Referenční informace k typům entit Microsoft Sentinelu

  • Článek

Tento dokument obsahuje dvě sady informací týkajících se entit a typů entit v Microsoft Sentinelu.

  • Tabulka Typů entit a identifikátorů zobrazuje různé typy entit, které lze použít v mapování entit v analytických pravidlech i proaktivního vyhledávání. Tabulka také ukazuje různé identifikátory, které lze použít k identifikaci entity pro každý typ entity.
  • Část Schéma entity zobrazuje strukturu dat a schéma entit obecně a pro každý typ entity, včetně některých typů, které nejsou reprezentovány ve funkci mapování entit.

Typy a identifikátory entit

Následující tabulka uvádí typy entit, které jsou aktuálně k dispozici pro mapování v Microsoft Sentinelu, a atributy, které jsou k dispozici jako identifikátory pro každý typ entity. Téměř všechny tyto atributy se zobrazí v rozevíracím seznamu Identifikátory v části mapování entit v průvodci analytickým pravidlem (viz poznámky pod čarou pro výjimky).

Pro mapování jedné entity můžete použít až tři identifikátory. Samotné silné identifikátory jsou dostatečné k jednoznačné identifikaci entity, zatímco slabé identifikátory to mohou provést pouze v kombinaci s jinými identifikátory.

Přečtěte si další informace o silných a slabých identifikátorech.

Typ entity Identifiers Silné identifikátory Slabé identifikátory
Obchodní vztah Název
Celéjméno*
NTDomain
Doména Dns
Přípona hlavního názvu uživatele (UPN)
Sid
AadTenantId
AadUserId
PUID
IsDomainJoined
Displayname*
ObjectGuid		 Name+UPNSuffix
AADUserId
Sid **
Sid+Host**
Name+Host+NTDomain **
Name+NTDomain **
Name+DnsDomain
PUID
ObjectGuid		 Název
Hostitel Doména Dns
NTDomain
Název hostitele
Celéjméno*
NetBiosName
AzureID
OMSAgentID
OSFamily
OSVersion
IsDomainJoined		 HostName+NTDomain
Název hostitele + DnsDomain
NetBiosName+NTDomain
NetBiosName+DnsDomain
AzureID
OMSAgentID		 Název hostitele
NetBiosName
IP Adresa
AddressScope		 Adresu **
Address+AddressScope **
Adresa URL URL Adresa URL (pokud absolutní adresa URL )** Adresa URL (pokud relativní adresa URL)**
Prostředek Azure
(AzureResource)		 ResourceId ResourceId
Cloudová aplikace
(CloudApplication)		 AppId
Název
InstanceName		 AppId
Název
AppId+InstanceName
Name+InstanceName
Překlad DNS
(DNS)		 DomainName DomainName+DnsServerIp+HostIpAddress DomainName+HostIpAddress
Soubor Adresář
Název		 Adresář a název
Hodnota hash souboru
(FileHash)		 Algoritmus
Hodnota		 Algoritmus+hodnota
Malware Název
Kategorie		 Name+Category
Proces ProcessId
CommandLine
ElevationToken
Creationtimeutc		 Host+ProcessID+CreationTimeUtc
Host+ParentProcessId+
   CreationTimeUtc+CommandLine
Host+ProcessId+
   CreationTimeUtc+ImageFile
Host+ProcessId+
   CreationTimeUtc+ImageFile+
   FileHash		 ProcessId+CreationTimeUtc+
   Příkazový řádek (bez hostitele)
ProcessId+CreationTimeUtc+
   ImageFile (bez hostitele)
Klíč registru
(RegistryKey)		 Hive
Key		 Hive+Key
Hodnota registru
(RegistryValue)		 Jméno
Hodnota
ValueType
 Klíč+název Název (bez klíče)
Skupina zabezpečení
(SecurityGroup)		 Distinguishedname
SID
ObjectGuid		 Distinguishedname
SID
ObjectGuid
Poštovní schránka MailboxPrimaryAddress
DisplayName
Upn
ExternalDirectoryObjectId
RiskLevel		 MailboxPrimaryAddress
Poštovní cluster
(MailCluster)		 NetworkMessageIds
CountByDeliveryStatus
CountByThreatType
CountByProtectionStatus
Hrozby
Dotaz
QueryTime
MailCount
IsVolumeAnomaly
Source
ClusterSourceIdentifier *
ClusterSourceType *
ClusterQueryStartTime *
ClusterQueryEndTime *
ClusterGroup *		 Dotaz+zdroj
E-mailová zpráva
(MailMessage)		 Příjemce
Adresy url
Hrozby
Odesílatel
P1Sender *
P1SenderDisplayName *
P1SenderDomain *
SenderIP
P2Sender *
P2SenderDisplayName *
P2SenderDomain *
ReceivedDate
NetworkMessageId
InternetMessageId
Předmět
BodyFingerprintBin1 *
BodyFingerprintBin2 *
BodyFingerprintBin3 *
BodyFingerprintBin4 *
BodyFingerprintBin5 *
AntispamDirection
DeliveryAction
DeliveryLocation
Jazyk*
ThreatDetectionMethods *		 NetworkMessageId+Recipient
Odeslání e-mailu
(Odesílaná pošta)		 NetworkMessageId
Časové razítko
Příjemce
Odesílatel
SenderIp
Předmět
Typ sestavy
Id odeslání
Datum odeslání
Zadavatel		 SubmissionId+NetworkMessageId+
   Příjemce a odesílejte
Entity služby Sentinel Entity Entity

Poznámky pod čarou tabulky:

  • * Tyto identifikátory se zobrazují v seznamu identifikátorů, které lze použít v mapování entit, ale přísně řečeno nejsou součástí schématu entity.
  • ** Tyto identifikátory jsou považovány za silné pouze za určitých podmínek. Postupujte podle odkazů asterisků a podívejte se na podmínky, které platí, v části Schémata entit uvedené v příslušné entitě níže.
  • Názvy identifikátorů kurzívou (bez hvězdičky) představují interní entity, což znamená, že jeden typ entity může mít jiné typy entit jako atributy (viz část Schémata entit níže). Pokud chcete zobrazit vlastní schéma interní entity, postupujte podle odkazu na identifikátor.

Schémata typů entit

Následující část obsahuje podrobnější přehled o úplných schématech jednotlivých typů entit. Všimněte si, že mnoho z těchto schémat obsahuje odkazy na jiné typy entit. Schéma účtu například obsahuje odkaz na typ entity Hostitel, protože jedním atributem uživatelského účtu je hostitel, na který je definovaný. Tyto entity jako atributy se označují jako interní entity a nedají se použít jako identifikátory pro mapování entit, ale jsou velmi užitečné při poskytování kompletního obrázku entit na stránkách entit a grafu šetření.

Poznámka:

Otazník za hodnotou ve sloupci Typ označuje, že pole má hodnotu null.

Seznam schémat typů entit

Obchodní vztah

Název entity: Účet

Pole Typ Popis
Typ String "account" (účet)
Název String Název účtu. Toto pole by mělo obsahovat jenom název bez přidané domény.
FullName -- Součástí schématu není zpětnou kompatibilitu se starou verzí mapování entit.
NTDomain String Název domény NETBIOS, jak se zobrazí ve formátu upozornění – doména\uživatelské jméno. Příklady: Finance, NT AUTHORITY
Doména Dns String Plně kvalifikovaný název DNS domény. Příklady: finance.contoso.com
Přípona hlavního názvu uživatele (UPN) String Přípona hlavního názvu uživatele pro účet. V mnoha případech je přípona hlavního názvu uživatele (UPN) také názvem domény. Příklady: contoso.com
Hostitel Entita (hostitel) Hostitel, který obsahuje účet, pokud se jedná o místní účet.
Sid String Identifikátor zabezpečení účtu.
AadTenantId Identifikátor guid? ID tenanta Microsoft Entra, pokud je známo.
AadUserId Identifikátor guid? ID objektu účtu Microsoft Entra, pokud je známo.
PUID Identifikátor guid? ID uživatele Služby Microsoft Entra Passport, pokud je známo.
IsDomainJoined Bool? Určuje, jestli se jedná o účet domény.
DisplayName -- Součástí schématu není zpětnou kompatibilitu se starou verzí mapování entit.
ObjectGuid Identifikátor guid? Atribut objectGUID je atribut s jednou hodnotou, který je jedinečným identifikátorem objektu přiřazeného službou Active Directory.
CloudAppAccountId String ID účtu v upozorněních od poskytovatele CloudApp. Odkazuje na ID účtů v aplikacích třetích stran, které nejsou podporovány v jiných produktech Microsoftu.
IsAnonymized Bool? Určuje, jestli je uživatelské jméno anonymizované. Nepovinné. Výchozí hodnota: false.
Stream Stream Zdroj protokolů zjišťování souvisejících s konkrétním účtem. Nepovinné.

Silné identifikátory entity účtu

  • Name + UPNSuffix
  • AadUserId
  • Sid
    ** Tento identifikátor je silný, pokud účet není jedním z předdefinovaných účtů uvedených v následující poznámce .
  • Sid + Hostitel
    ** Pokud je účet jedním z předdefinovaných účtů uvedených v poznámce níže, je nutné, aby byl tento identifikátor silný.
  • Name + NTDomain
    ** Tato kombinace je silný identifikátor, pokud je účtem domény, protože NTDomain není integrovanou doménou nebo pracovní skupinou a liší se od názvu hostitele. V tomto případě se jedná o silný identifikátor i bez komponenty Host.
  • Name + NTDomain + Host
    ** Součást Hostitel je nutná k vytvoření silného identifikátoru, pokud je účet místním účtem, což znamená, že NTDomain je integrovaná doména nebo pracovní skupina.
  • Name + DnsDomain
  • PUID
  • ObjectGuid

Slabé identifikátory entity účtu

  • Název

Poznámka:

Pokud je entita Account definována pomocí identifikátoru Název a hodnota Název konkrétní entity je jedním z následujících obecných, běžně předdefinovaných názvů účtů, pak se tato entita z výstrahy zahodí.

  • SPRÁVCE
  • SPRÁVCE
  • SYSTÉM
  • KOŘENOVÉ
  • ANONYMNÍ
  • OVĚŘENÝ UŽIVATEL
  • SÍŤOVÉ
  • NULL
  • MÍSTNÍ SYSTÉM
  • LOCALSYSTEM
  • SÍŤOVÁ SLUŽBA

Zpět na seznam schémat | typů entit Zpět na tabulku identifikátorů entit

Hostitelský počítač

Název entity: Hostitel

Pole Typ Popis
Typ String "hostitel"
IpInterfaces Entita seznamu<(IP)> Seznam všech IP rozhraní na hostitelském počítači
Doména Dns String Doména DNS, do které tento hostitel patří. Pokud je to známo, měla by obsahovat úplnou příponu DNS pro doménu.
NTDomain String Doména NT, do které tento hostitel patří.
Hostname String Název hostitele bez přípony domény.
NetBiosName String Název hostitele (před Windows 2000).
IoTDevice Entita (zařízení IoT) Entita zařízení IoT (pokud tento hostitel představuje zařízení IoT).
AzureID String ID prostředku Azure virtuálního počítače, pokud je známo.
OMSAgentID String ID agenta OMS, pokud je na hostiteli nainstalovaný agent OMS.
OSFamily Výčtu? Jedna z následujících hodnot:
  • Linux
  • Windows
  • Android
  • IOS
  • Mac
    		•
    OSVersion String Bezplatná textová reprezentace operačního systému.
    Toto pole má obsahovat konkrétní verze, které jsou jemněji odstupňované než OSFamily, nebo budoucí hodnoty, které nejsou podporovány výčtem OSFamily.
    IsDomainJoined Bool Určuje, jestli tento hostitel patří do domény.

    Silné identifikátory hostitelské entity

    • Název hostitele + NTDomain
    • Název hostitele + Doména DNS
    • NetBiosName + NTDomain
    • NetBiosName + DnsDomain
    • AzureID
    • OMSAgentID
    • IoTDevice

    Slabé identifikátory hostitelské entity

    • Název hostitele
    • NetBiosName

    Zpět na seznam schémat | typů entit Zpět na tabulku identifikátorů entit

    IP

    Název entity: IP adresa

    Pole Typ Popis
    Typ String Ip
    Adresa String IP adresa jako řetězec, například. 127.0.0.1 (buď v IPv4, nebo IPv6).
    AddressScope String Název hostitele, podsítě nebo privátní sítě pro privátní, ne globální IP adresy. Hodnota null nebo prázdná pro globální IP adresy (výchozí).
    Místo GeoLocation Kontext geografického umístění připojený k entitě IP.

    Další informace najdete také v tématu Obohacení entit v Microsoft Sentinelu o data geografické polohy prostřednictvím rozhraní REST API (Public Preview).
    Stream Stream Zdroj protokolů zjišťování souvisejících s konkrétní IP adresou. Nepovinné.

    Silné identifikátory entity IP

    • Adresa
      ** Samotná adresa je jedinečný, silný identifikátor, pokud je IP adresa globální.
    • Address + AddressScope
      ** U privátních/interních, ne globálních IP adres je komponenta AddressScope nutná k vytvoření silného identifikátoru.

    Zpět na seznam schémat | typů entit Zpět na tabulku identifikátorů entit

    Malware

    Název entity: Malware

    Pole Typ Popis
    Typ String Malware
    Název String Název malwaru přiřazený dodavatelem (detekce?), například Win32/Toga!rfn.
    Kategorie String Například kategorie malwaru přiřazená dodavatelem (detekce?). Trojan.
    Soubory Entita seznamu<(soubor)> Seznam propojených entit souborů, na kterých byl malware nalezen. Může obsahovat vložené nebo referenční entity Souboru.
    Další podrobnosti o struktuře najdete v entitě Soubor .
    Procesy Entita seznamu<(proces)> Seznam propojených entit procesu, na kterých byl malware nalezen. To by se často použilo, když se upozornění aktivovalo u aktivity bez souborů.
    Další podrobnosti o struktuře najdete v entitě Proces .

    Silné identifikátory entity malwaru

    • Name + Category

    Zpět na seznam schémat | typů entit Zpět na tabulku identifikátorů entit

    Soubor

    Název entity: Soubor

    Pole Typ Popis
    Typ String "soubor"
    Adresář String Úplná cesta k souboru.
    Název String Název souboru bez cesty (některé výstrahy nemusí obsahovat cestu).
    AlternateDataStreamName String Název datového proudu souboru v systému souborů NTFS (hodnota null pro hlavní datový proud)
    Hostitel Entita (hostitel) Hostitel, na kterém byl soubor uložen.
    Adresa hostUrl Entita (ADRESA URL) Adresa URL, ze které byl soubor stažen
    (Značka webu).
    WindowsSecurityZoneType WindowsSecurityZone Zabezpečení Windows zóny, do které adresa URL patří
    (Značka webu).
    ReferrerUrl Entita (ADRESA URL) Adresa URL referreru požadavku HTTP pro stažení souboru
    (Značka webu).
    SizeInBytes Dlouhé? Velikost souboru souboru v bajtech
    FileHashes Entita seznamu<(FileHash)> Hodnoty hash souboru přidružené k tomuto souboru.

    Silné identifikátory entity souboru

    • Name + Directory
    • Name + FileHash
    • Name + Directory + FileHash

    Zpět na seznam schémat | typů entit Zpět na tabulku identifikátorů entit

    Zpracovat

    Název entity: Proces

    Pole Typ Popis
    Typ String Proces
    Processid String ID procesu.
    Commandline String Příkazový řádek použitý k vytvoření procesu.
    ElevationToken Výčtu? Token zvýšení oprávnění přidružený k procesu.
    Možné hodnoty:
  • TokenElevationTypeDefault
  • TokenElevationTypeFull
  • TokenElevationTypeLimited
    		•
    Creationtimeutc Datetime? Čas, kdy se proces spustil.
    ImageFile Entita (soubor) Může obsahovat entitu Soubor vloženou nebo jako odkaz.
    Další podrobnosti o struktuře najdete v entitě Soubor .
    Obchodní vztah Entita (účet) Účet, který spouští procesy.
    Může obsahovat entitu Klient vloženou nebo jako odkaz.
    Další podrobnosti o struktuře najdete v entitě Účet .
    ParentProcess Entita (proces) Entita nadřazeného procesu.
    Může obsahovat částečná data, například pouze KÓD PID.
    Hostitel Entita (hostitel) Hostitel, na kterém byl proces spuštěný.
    Přihlášení Entita (HostLogonSession) Relace, ve které byl proces spuštěn.

    Silné identifikátory entity procesu

    • Host + ProcessId + CreationTimeUtc
    • Host + ParentProcessId + CreationTimeUtc + CommandLine
    • Host + ProcessId + CreationTimeUtc + ImageFile
    • Host + ProcessId + CreationTimeUtc + ImageFile.FileHash

    Slabé identifikátory entity procesu

    • ProcessId + CreationTimeUtc + CommandLine (a bez hostitele)
    • ProcessId + CreationTimeUtc + ImageFile (a bez hostitele)

    Zpět na seznam schémat | typů entit Zpět na tabulku identifikátorů entit

    Cloudová aplikace

    Název entity: CloudApplication

    Pole Typ Popis
    Typ String Cloud-application
    Appid Int Zastaralé; místo toho použijte pole SaasId. Technický identifikátor aplikace. Možné hodnoty jsou ty, které jsou definovány v seznamu identifikátorů cloudových aplikací. Nepovinná hodnota. Neměla by obsahovat ID instance.
    SaasId Int Nahradí zastaralé pole AppId. Technický identifikátor aplikace. Možné hodnoty jsou ty, které jsou definovány v seznamu identifikátorů cloudových aplikací. Nepovinná hodnota. Neměla by obsahovat ID instance.
    Název String Název související cloudové aplikace. Nepovinná hodnota.
    Název_instance String Uživatelem definovaný název instance cloudové aplikace. Často se používá k rozlišení mezi několika aplikacemi stejného typu, které má zákazník.
    Instanceid Int Identifikátor konkrétní relace aplikace. Jedná se o spuštěné číslo založené na nule. Nepovinná hodnota.
    Riziko AppRisk? Umožňuje filtrovat aplikace podle skóre rizika, abyste se mohli zaměřit například na kontrolu jenom vysoce rizikových aplikací. Možné hodnoty, jako je Nízký, Střední, Vysoký nebo Neznámý.
    Stream Stream Zdroj protokolů zjišťování souvisejících s konkrétní cloudovou aplikací. Nepovinné.

    Silné identifikátory entity cloudové aplikace

    • AppId (bez instanceName)
    • Název (bez instanceName)
    • AppId + InstanceName
    • Name + InstanceName

    Seznam identifikátorů cloudových aplikací

    Zpět na seznam schémat | typů entit Zpět na tabulku identifikátorů entit

    Překlad DNS

    Název entity: DNS

    Pole Typ Popis
    Typ String Dns
    Název_domény String Název záznamu DNS přidruženého k upozornění.
    IpAddress Entita seznamu<(IP)> Entity odpovídající přeložené IP adrese
    DnsServerIp Entita (IP) Entita představující server DNS, který požadavek přeloží.
    HostIpAddress Entita (IP) Entita představující klienta požadavku DNS.

    Silné identifikátory entity DNS

    • DomainName + DnsServerIp + HostIpAddress

    Slabé identifikátory entity DNS

    • DomainName + HostIpAddress

    Zpět na seznam schémat | typů entit Zpět na tabulku identifikátorů entit

    Prostředek Azure

    Název entity: AzureResource

    Pole Typ Popis
    Typ String Azure-resource
    ResourceId String ID prostředku Azure Povinné.
    SubscriptionId String ID předplatného prostředku.
    ActiveContacts List<ActiveContact> Aktivní kontakty přidružené k prostředku
    Resourcetype String Typ prostředku.
    ResourceName String Název prostředku.

    Silné identifikátory entity prostředků Azure

    • ResourceId

    Zpět na seznam schémat | typů entit Zpět na tabulku identifikátorů entit

    Hodnota hash souboru

    Název entity: FileHash

    Pole Typ Popis
    Typ String 'filehash'
    Algoritmus Výčet Typ hashovacího algoritmu. Povinné. Možné hodnoty:
  • Neznámý
  • MD5
  • SHA1
  • SHA256
  • SHA256AC
    		•
    Hodnota String Hodnota hash. Povinné.

    Silné identifikátory entity hash souboru

    • Algoritmus + hodnota

    Zpět na seznam schémat | typů entit Zpět na tabulku identifikátorů entit

    Klíč registru

    Název entity: RegistryKey

    Pole Typ Popis
    Typ String "registry-key"
    Hive Výčtu? Jedna z následujících hodnot:
  • HKEY_LOCAL_MACHINE
  • HKEY_CLASSES_ROOT
  • HKEY_CURRENT_CONFIG
  • HKEY_USERS
  • HKEY_CURRENT_USER_LOCAL_SETTINGS
  • HKEY_PERFORMANCE_DATA
  • HKEY_PERFORMANCE_NLSTEXT
  • HKEY_PERFORMANCE_TEXT
  • HKEY_A
  • HKEY_CURRENT_USER
    		•
    Klíč String Cesta ke klíči registru.

    Silné identifikátory entity klíče registru

    • Hive + klíč

    Zpět na seznam schémat | typů entit Zpět na tabulku identifikátorů entit

    Hodnota registru

    Název entity: RegistryValue

    Pole Typ Popis
    Typ String 'registry-value'
    Hostitel Entita (hostitel) Hostitel, ke kterému registr patří.
    Klíč Entita (RegistryKey) Entita klíče registru.
    Název String Název hodnoty registru.
    Hodnota String Řetězcové znázornění dat hodnoty
    Valuetype Výčtu? Jedna z následujících hodnot:
  • String
  • Binární
  • Dword
  • Qword
  • MultiString
  • ExpandString
  • Nic
  • Neznámý
    Hodnoty by měly odpovídat výčtu Microsoft.Win32.RegistryValueKind.
    		•

    Silné identifikátory entity hodnoty registru

    • Klíč + název

    Slabé identifikátory entity hodnoty registru

    • Název (bez klíče)

    Zpět na seznam schémat | typů entit Zpět na tabulku identifikátorů entit

    Skupina zabezpečení

    Název entity: SecurityGroup

    Pole Typ Popis
    Typ String Skupina zabezpečení
    Distinguishedname String Rozlišující název skupiny.
    SID String Atribut s jednou hodnotou, který určuje identifikátor zabezpečení (SID) skupiny.
    ObjectGuid Identifikátor guid? Atribut s jednou hodnotou, který je jedinečným identifikátorem objektu přiřazeného službou Active Directory.

    Silné identifikátory entity skupiny zabezpečení

    • Distinguishedname
    • SID
    • ObjectGuid

    Zpět na seznam schémat | typů entit Zpět na tabulku identifikátorů entit

    Adresa URL

    Název entity: Adresa URL

    Pole Typ Popis
    Typ String Adresa URL
    URL Identifikátor URI Úplná adresa URL, na které entita odkazuje. Povinné.

    Silné identifikátory entity adresy URL

    • Adresa URL (** Tento identifikátor je silný, pokud je adresa URL absolutní adresou URL.)

    Slabé identifikátory entity adresy URL

    • Adresa URL (** Tento identifikátor je slabý, pokud je adresa URL relativní adresou URL.)

    Zpět na seznam schémat | typů entit Zpět na tabulku identifikátorů entit

    Zařízení IoT

    Název entity: IoTDevice

    Pole Typ Popis
    Typ String Iotdevice
    IoTHub Entita (AzureResource) Entita AzureResource představující IoT Hub, do které zařízení patří.
    Deviceid String ID zařízení v kontextu ioT Hubu. Povinné.
    DeviceName String Popisný název zařízení.
    Majitelé List<String> Vlastníci zařízení.
    IoTSecurityAgentId Identifikátor guid? ID agenta Defender for IoT spuštěného na zařízení.
    DeviceType String Typ zařízení ("senzor teploty", "mrazák", "větrná turbína" atd.).
    DeviceTypeId String Jedinečné ID pro identifikaci jednotlivých typů zařízení podle schématu typu zařízení, protože samotný typ zařízení je zobrazovaný název a ve srovnání není spolehlivý.

    Možné hodnoty:
    Neotříděné = 0
    Různé = 1
    Síťové zařízení = 2
    Tiskárna = 3
    Zvuk a video = 4
    Média a dohled = 5
    Komunikace = 7
    Inteligentní zařízení = 9
    Pracovní stanice = 10
    Server = 11
    Mobilní zařízení = 12
    Inteligentní zařízení = 13
    Průmyslové = 14
    Provozní vybavení = 15
    Source String Zdroj (Microsoft/Vendor) entity zařízení.
    SourceRef Entita (adresa URL) Odkaz na adresu URL zdrojové položky, ve které je zařízení spravované.
    Výrobce String Výrobce zařízení.
    Model String Model zařízení.
    Operatingsystem String Operační systém, na kterém je zařízení spuštěné.
    IpAddress Entita (IP) Aktuální IP adresa zařízení.
    MacAddress String Adresa MAC zařízení.
    Nic Entita (nic) Aktuální síťové karty v zařízení.
    Protokoly List<String> Seznam protokolů, které zařízení podporuje.
    Sériové číslo String Sériové číslo zařízení.
    Pracoviště String Umístění webu zařízení.
    Zóny String Umístění zóny zařízení v rámci webu.
    Senzor String Senzor monitoruje zařízení.
    Význam Výčtu? Jedna z následujících hodnot:
  • Nízká
  • Normální
  • Vysoká
    		•
    PurdueLayer String Vrstva Purdue zařízení.
    IsProgramming Bool? Určuje, jestli se zařízení klasifikuje jako programovací zařízení.
    Isauthorized Bool? Určuje, jestli se zařízení klasifikuje jako autorizované zařízení.
    IsScanner Bool? Určuje, jestli se zařízení klasifikuje jako zařízení skeneru.
    DevicePageLink Entita (adresa URL) Adresa URL stránky zařízení na portálu Defender for IoT
    DeviceSubType String Název podtypu zařízení.

    Silné identifikátory entity zařízení IoT

    • IoTHub + DeviceId

    Slabé identifikátory entity zařízení IoT

    • DeviceId (bez IoTHubu)

    Zpět na seznam schémat | typů entit Zpět na tabulku identifikátorů entit

    Poštovní schránka

    Název entity: Poštovní schránka

    Pole Typ Popis
    Typ String Poštovní schránka
    MailboxPrimaryAddress String Primární adresa poštovní schránky.
    DisplayName String Zobrazovaný název poštovní schránky.
    Upn String Hlavní název uživatele (UPN) poštovní schránky.
    AadId String Identifikátor Azure AD poštovní schránky uživatele.
    RiskLevel RiskLevel? Úroveň rizika této poštovní schránky. Možné hodnoty:
  • Nic
  • Nízká
  • Střední
  • Vysoká
    		•
    ExternalDirectoryObjectId Identifikátor guid? Identifikátor poštovní schránky AzureAD. Podobně jako AadUserId v entitě Účet, ale tato vlastnost je specifická pro objekt poštovní schránky na straně Office.

    Silné identifikátory entity poštovní schránky

    • MailboxPrimaryAddress

    Zpět na seznam schémat | typů entit Zpět na tabulku identifikátorů entit

    Poštovní cluster

    Název entity: MailCluster

    Pole Typ Popis
    Typ String Poštovní cluster
    NetworkMessageIds Řetězec IList<> ID poštovních zpráv, které jsou součástí poštovního clusteru.
    CountByDeliveryStatus IDictionary<String, Int> Počet e-mailových zpráv podle reprezentace řetězce DeliveryStatus
    CountByThreatType IDictionary<String, Int> Počet e-mailových zpráv podle reprezentace řetězce ThreatType
    CountByProtectionStatus IDictionary<String,long> Počet e-mailových zpráv podle reprezentace stavového řetězce ochrany
    CountByDeliveryLocation IDictionary<String,long> Počet e-mailových zpráv podle reprezentace řetězce umístění doručení
    Hrozby Řetězec IList<> Hrozby poštovních zpráv, které jsou součástí poštovního clusteru.
    Dotaz String Dotaz použitý k identifikaci zpráv poštovního clusteru.
    QueryTime Datetime? Čas dotazu.
    MailCount Int? Počet e-mailových zpráv, které jsou součástí poštovního clusteru.
    IsVolumeAnomaly Bool? Určuje, jestli je poštovní cluster hromadnou anomálií.
    Source String Zdroj poštovního clusteru (výchozí hodnota je O365 ATP).

    Silné identifikátory entity poštovního clusteru

    • Dotaz + zdroj

    Zpět na seznam schémat | typů entit Zpět na tabulku identifikátorů entit

    Mail message

    Název entity: MailMessage

    Pole Typ Popis
    Typ String 'mail-message'
    Soubory Entita IList<(soubor)> Entity Soubor příloh této e-mailové zprávy.
    Příjemce String Příjemce této e-mailové zprávy. V případě více příjemců se e-mailová zpráva zkopíruje a každá kopie má jednoho příjemce.
    Adresy url Řetězec IList<> Adresy URL obsažené v této e-mailové zprávě.
    Hrozby Řetězec IList<> Hrozby obsažené v této e-mailové zprávě.
    Odesílatele String E-mailová adresa odesílatele.
    SenderIP String IP adresa odesílatele.
    ReceivedDate DateTime Datum přijetí této zprávy.
    NetworkMessageId Identifikátor guid? ID síťové zprávy této e-mailové zprávy.
    InternetMessageId String ID internetové zprávy této e-mailové zprávy.
    Předmět String Předmět této e-mailové zprávy.
    AntispamDirection Výčtu? Směrovost této e-mailové zprávy. Možné hodnoty:
  • Neznámý
  • Příchozí
  • Odchozí
  • Intraorg (interní)
    		•
    DeliveryAction Výčtu? Akce doručení této e-mailové zprávy. Možné hodnoty:
  • Neznámý
  • DeliveredAsSpam
  • Doručení
  • Blokované
  • Replaced
    		•
    DeliveryLocation Výčtu? Umístění doručení této e-mailové zprávy. Možné hodnoty:
  • Neznámý
  • Doručená pošta
  • JunkFolder
  • DeletedFolder
  • Karanténa
  • Externí
  • Neúspěšný
  • Klesl
  • Předány
    		•
    CampaignId String Identifikátor kampaně, ve které je tato e-mailová zpráva přítomna.
    Podezřelérecipienty Řetězec IList<> Seznam příjemců, kteří byli zjištěni jako podezřelí.
    ForwardedRecipients Řetězec IList<> Seznam všech příjemců přeposlané pošty.
    ForwardingType Řetězec IList<> Typ přeposílání pošty, například SMTP, ETR atd.

    Silné identifikátory entity poštovní zprávy

    • NetworkMessageId + Příjemce

    Zpět na seznam schémat | typů entit Zpět na tabulku identifikátorů entit

    Odeslání e-mailu

    Název entity: SubmissionMail

    Pole Typ Popis
    Typ String "SubmissionMail"
    Id odeslání Identifikátor guid? ID odeslání.
    Datum odeslání Datetime? Nahlášený čas pro toto odeslání
    Zadavatel String E-mailová adresa odesílatele.
    NetworkMessageId Identifikátor guid? ID síťové zprávy e-mailu, do kterého odeslání patří.
    Timestamp Datetime? Časové razítko při přijetí zprávy (Pošta).
    Příjemce String Příjemce e-mailu.
    Odesílatele String Odesílatel e-mailu.
    SenderIp String IP adresa odesílatele.
    Předmět String Předmět odeslání e-mailu.
    Typ sestavy String Typ odeslání pro danou instanci. Možné hodnoty jsou Junk, Phish, Malware nebo NotJunk.

    Silné identifikátory entity SubmissionMail

    • SubmitId, Submitter, NetworkMessageId, Recipient

    Zpět na seznam schémat | typů entit Zpět na tabulku identifikátorů entit

    Entity služby Sentinel

    Pole Typ Popis
    Entity String Seznam entit identifikovaných v upozornění Tento seznam je sloupec entit ze schématu SecurityAlert (viz dokumentace).

    Zpět na seznam schémat | typů entit Zpět na tabulku identifikátorů entit

    Identifikátory cloudových aplikací

    Následující seznam definuje identifikátory známých cloudových aplikací. Hodnota ID aplikace se používá jako identifikátor entity cloudové aplikace .

    ID aplikace Název
    10026 DocuSign
    10395 Anaplan
    10489 Box
    10549 Cisco Webex
    10618 Atlassian
    10915 Cornerstone OnDemand
    10921 Zendesk
    10980 Okta
    11042 Jive Software
    11114 Salesforce
    11161 Office 365
    11162 Microsoft OneNote Online
    11394 Microsoft Online Services
    11522 Yammer
    11599 Amazon Web Services
    11627 DropBox
    11713 Expensify
    11770 G Suite
    12005 SuccessFactors
    12260 Microsoft Azure
    12275 Workday
    13843 LivePerson
    13979 Concur
    14509 ServiceNow
    15570 Tableau
    15600 Microsoft OneDrive pro firmy
    15782 Citrix ShareFile
    17152 Amazon
    17865 Ariba Inc
    18432 Zscaler
    19688 Xactly
    20595 Microsoft Defender for Cloud Apps
    20892 Microsoft SharePoint Online
    20893 Microsoft Exchange Online
    20940 Active Directory
    20941 Adallom CPanel
    22110 Google Cloud Platform
    22930 Gmail
    23004 Autodesk Fusion Lifecycle
    23043 Slack
    23233 systém Microsoft Office Online
    25275 Microsoft Skype pro firmy
    25988 Google Docs
    26055 Centrum pro správu Microsoft 365
    26060 OPSWAT Gears
    26061 Microsoft Word Online
    26062 Microsoft PowerPoint Online
    26063 Microsoft Excel Online
    26069 Google Drive
    26206 Workiva
    26311 Microsoft Dynamics
    26318 Microsoft Entra ID
    26320 systém Microsoft Office Sway
    26321 Microsoft Delve
    26324 Microsoft Power BI
    27548 Microsoft Forms
    27592 Microsoft Flow
    27593 Microsoft PowerApps
    28353 Workplace od Facebooku
    28373 Emulátor proxy serveru CAS
    28375 Microsoft Teams
    32780 Microsoft Dynamics 365
    33626 Google
    34127 Microsoft AppSource
    34667 HighQ
    35395 Microsoft Dynamics Talent

    Další kroky

    V tomto dokumentu jste se dozvěděli o struktuře entit, identifikátorech a schématu v Microsoft Sentinelu.

    Přečtěte si další informace o entitách a mapování entit.