Referenční dokumentace schématu upozornění Advanced Security Information Model (ASIM)

Schéma upozornění služby Microsoft Sentinel je navržené tak, aby normalizovalo výstrahy související se zabezpečením z různých produktů do standardizovaného formátu v rámci modelu ASIM (Microsoft Advanced Security Information Model). Toto schéma se zaměřuje výhradně na události zabezpečení, které zajišťují konzistentní a efektivní analýzu napříč různými zdroji dat.

Schéma výstrah představuje různé typy výstrah zabezpečení, jako jsou hrozby, podezřelé aktivity, anomálie chování uživatelů a porušení dodržování předpisů. Tyto výstrahy hlásí různé produkty a systémy zabezpečení, včetně EDR, antivirového softwaru, systémů detekce neoprávněných vniknutí, nástrojů ochrany před únikem informací atd.

Další informace o normalizaci v Microsoft Sentinelu naleznete v tématu Normalizace a Advanced Security Information Model (ASIM).

Analyzátory

Další informace o analyzátorech ASIM najdete v přehledu analyzátorů ASIM.

Sjednocení analyzátorů

Pokud chcete použít analyzátory, které sjednocují všechny předdefinované analyzátory ASIM a zajišťují, aby se vaše analýza spouštěla ve všech nakonfigurovaných zdrojích, použijte _Im_AlertEvent analyzátor.

Předefinované analyzátory specifické pro zdroj

Seznam analyzátorů výstrah, které Microsoft Sentinel nabízí, najdete v seznamu analyzátorů ASIM.

Přidání vlastních normalizovaných analyzátorů

Při vývoji vlastních analyzátorů pro informační model výstrah pojmenujte funkce KQL pomocí následující syntaxe:

• vimAlertEvent<vendor><Product> pro parametrizované analyzátory
• ASimAlertEvent<vendor><Product> pro pravidelné analyzátory

Informace o přidání vlastních analyzátorů do analyzátorů výstrah najdete v článku Správa analyzátorů ASIM.

Filtrování parametrů analyzátoru

Analyzátory výstrah podporují různé parametry filtrování za účelem zlepšení výkonu dotazů. Tyto parametry jsou volitelné, ale můžou zvýšit výkon dotazů. K dispozici jsou následující parametry filtrování:

Name	Typ	Popis
čas zahájení	datetime	Vyfiltrujte pouze výstrahy, které se v tuto chvíli spustily. Tento parametr filtruje pole TimeGenerated , což je standardní designátor pro čas události, bez ohledu na mapování specifického analyzátoru polí EventStartTime a EventEndTime.
endtime	datetime	Vyfiltrujte pouze výstrahy, které se v této době spustily nebo dříve. Tento parametr filtruje pole TimeGenerated , což je standardní designátor pro čas události, bez ohledu na mapování specifického analyzátoru polí EventStartTime a EventEndTime.
ipaddr_has_any_prefix	dynamic	Vyfiltrujte pouze výstrahy, pro které je pole DvcIpAddr v jedné z uvedených hodnot.
hostname_has_any	dynamic	Vyfiltrujte pouze výstrahy, pro které je pole DvcHostname v jedné z uvedených hodnot.
username_has_any	dynamic	Vyfiltrujte pouze výstrahy, pro které je pole Uživatelské jméno v jedné z uvedených hodnot.
attacktactics_has_any	dynamic	Vyfiltrujte pouze výstrahy, pro které je pole AttackTactics v jedné z uvedených hodnot.
attacktechniques_has_any	dynamic	Vyfiltrujte pouze výstrahy, pro které je pole AttackTechniques v jedné z uvedených hodnot.
threatcategory_has_any	dynamic	Vyfiltrujte pouze výstrahy, pro které je pole ThreatCategory v jedné z uvedených hodnot.
alertverdict_has_any	dynamic	Vyfiltrujte pouze výstrahy, pro které je pole AlertVerdict v jedné z uvedených hodnot.
eventseverity_has_any	dynamic	Vyfiltrujte pouze výstrahy, pro které je pole EventSeverity v jedné z uvedených hodnot.

Přehled schématu

Schéma výstrah slouží k několika typům událostí zabezpečení, které sdílejí stejná pole. Tyto události jsou identifikovány polem EventType:

• Informace o hrozbách: Výstrahy související s různými typy škodlivých aktivit, jako jsou malware, phishing, ransomware a další kybernetické hrozby.
• Podezřelé aktivity: Výstrahy pro aktivity, které nemusí nutně potvrdit hrozby, ale jsou podezřelé, a zaručují další šetření, například několik neúspěšných pokusů o přihlášení nebo přístup k omezeným souborům.
• Anomálie chování uživatelů: Výstrahy označující neobvyklé nebo neočekávané chování uživatele, které můžou naznačovat problém se zabezpečením, například neobvyklé časy přihlášení nebo neobvyklé vzory přístupu k datům.
• Porušení dodržování předpisů: Výstrahy související s nedodržením právních předpisů nebo interními zásadami Například virtuální počítač vystavený s otevřenými veřejnými porty ohroženými útoky (Výstraha zabezpečení cloudu).

Důležité

Aby se zachovala relevance a efektivita schématu výstrah, měly by se mapovat pouze výstrahy související se zabezpečením.

Schéma upozornění odkazuje na následující entity, které zaznamenávají podrobnosti o výstraze:

• Pole Dvc slouží k zaznamenání podrobností o hostiteli nebo IP adrese přidružené k upozornění.
  
• Uživatelská pole slouží k zaznamenání podrobností o uživateli přidruženém k upozornění.
  
• Podobně se pole Proces, Adresa URL, Registr a E-mail používají k zaznamenání pouze podrobností o procesu, souboru, adrese URL, registru a e-mailu přidruženém k upozornění.

Důležité

• Při vytváření analyzátoru specifického pro produkt použijte schéma upozornění ASIM, pokud výstraha obsahuje informace o incidentu zabezpečení nebo potenciální hrozbě a primární podrobnosti lze mapovat přímo na dostupná pole schématu výstrah. Schéma výstrah je ideální pro zaznamenávání souhrnných informací bez rozsáhlých polí specifických pro entity.
• Pokud ale zjistíte, že umísťujete důležitá pole do "AdditionalFields", protože chybí přímé shody polí, zvažte specializovanější schéma. Pokud například výstraha obsahuje podrobnosti související se sítí, například několik IP adres, například SrcIpAdr, DstIpAddr, PortNumber atd., můžete se rozhodnout pro schéma NetworkSession přes schéma upozornění. Specializovaná schémata také poskytují vyhrazená pole pro zachycení informací souvisejících s hrozbami, zvýšení kvality dat a usnadnění efektivní analýzy.

Podrobnosti schématu

Běžná pole ASIM

V následujícím seznamu jsou uvedena pole s konkrétními pokyny pro události upozornění:

Pole	Třída	Typ	Popis
Typ události	Povinné	Enumerated	Typ události Podporované hodnoty jsou: -Alert
EventSubType	Doporučené	Enumerated	Určuje podtyp nebo kategorii události výstrahy a poskytuje podrobnější podrobnosti v rámci širší klasifikace událostí. Toto pole pomáhá rozlišovat povahu zjištěného problému a zlepšit prioritu incidentů a strategie reakce. Mezi podporované hodnoty patří: - Threat (Představuje potvrzenou nebo vysoce pravděpodobnou škodlivou aktivitu, která by mohla ohrozit systém nebo síť). - Suspicious Activity (Příznaky chování nebo události, které se zobrazují neobvykle nebo podezřele, i když ještě nejsou potvrzeny jako škodlivé) - Anomaly (Identifikuje odchylky od normálních vzorů, které by mohly znamenat potenciální bezpečnostní riziko nebo provozní problém). - Compliance Violation (Zvýrazní aktivity, které porušují regulační, zásady nebo standardy dodržování předpisů)
Id události	Povinné	řetězec	Strojově čitelný alfanumerický řetězec, který jednoznačně identifikuje výstrahu v systému. Například A1bC2dE3fH4iJ5kL6mN7oP8qR9s
EventMessage	Volitelné	řetězec	Podrobné informace o upozornění, včetně jeho kontextu, příčiny a potenciálního dopadu. Například Potential use of the Rubeus tool for kerberoasting, a technique used to extract service account credentials from Kerberos tickets.
IpAddr	Alias		Alias nebo popisný název DvcIpAddr pole
Název hostitele	Alias		Alias nebo popisný název DvcHostname pole
EventSchema	Povinné	Enumerated	Schéma použité pro událost. Schéma, které je zde zdokumentované, je AlertEvent.
EventSchemaVersion	Povinné	SchemaVersion (řetězec)	Verze schématu. Verze zde popsaného schématu je 0.1.

Všechna společná pole

Pole, která se zobrazují v následující tabulce, jsou společná pro všechna schémata ASIM. Všechny výše uvedené pokyny přepíší obecné pokyny pro dané pole. Pole může být například volitelné obecně, ale povinné pro konkrétní schéma. Další informace o jednotlivých polích najdete v článku o společných polích ASIM.

Třída	Pole
Povinné	- EventCount - Čas začátku události - EventEndTime - Typ události - Id události - EventProduct - EventVendor - EventSchema - EventSchemaVersion
Doporučené	- EventSubType - Závažnost události - DvcIpAddr - DvcHostname - DvcDomain - DvcDomainType - DvcFQDN - DvcId - DvcIdType
Volitelné	- UdálostZpráva - UdálostOriginální typ - UdálostOriginální Subtyp - UdálostOriginalSeverity - EventProductVersion - UdálostOriginalUid - EventReportUrl - Výsledek události - Vlastník události - DvcZone - DvcMacAddr - DvcOs - DvcOsVersion - DvcAction - DvcOriginalAction - DvcInterface - Další pole - Popis dvcDescription - DvcScopeId - DvcScope

Kontrolní pole

Následující tabulka obsahuje pole, která poskytují kritické přehledy o pravidlech a hrozbách spojených s výstrahami. Společně pomáhají rozšířit kontext výstrahy, což usnadňuje analytikům zabezpečení pochopení jeho původu a významu.

Pole	Třída	Typ	Popis
AlertId	Alias	řetězec	Alias nebo popisný název EventUid pole
AlertName	Doporučené	řetězec	Název nebo název výstrahy Například Possible use of the Rubeus kerberoasting tool
Popis upozornění	Alias	řetězec	Alias nebo popisný název EventMessage pole
AlertVerdict	Volitelné	Enumerated	Konečné určení nebo výsledek výstrahy označující, jestli byla výstraha potvrzena jako hrozba, považována za podezřelá nebo vyřešená jako falešně pozitivní. Podporované hodnoty jsou: - True Positive (Potvrzeno jako legitimní hrozba) - False Positive (Nesprávně identifikovaný jako hrozba) - Benign Positive (pokud je událost určena jako neškodná) - Unknown (Nejisté nebo nedevidovaný stav)
AlertStatus	Volitelné	Enumerated	Označuje aktuální stav nebo průběh výstrahy. Podporované hodnoty jsou: - Active - Closed
AlertOriginalStatus	Volitelné	řetězec	Stav výstrahy hlášený původním systémem.
DetectionMethod	Volitelné	Enumerated	Poskytuje podrobné informace o konkrétní metodě detekce, technologii nebo zdroji dat, které přispěly ke generování výstrahy. Toto pole nabízí lepší přehled o tom, jak byla výstraha zjištěna nebo aktivována, což pomáhá porozumět kontextu detekce a spolehlivosti. Mezi podporované hodnoty patří: - EDR: Systémy detekce koncových bodů a reakce, které monitorují a analyzují aktivity koncových bodů za účelem identifikace hrozeb. - Behavioral Analytics: Techniky, které detekují neobvyklé vzory v chování uživatele, zařízení nebo systému. - Reputation: Detekce hrozeb na základě pověsti IP adres, domén nebo souborů. - Threat Intelligence: Externí nebo interní informační kanály poskytující data o známých hrozbách nebo nežádoucí taktikě. - Intrusion Detection: Systémy, které monitorují síťový provoz nebo aktivity pro známky neoprávněných vniknutí nebo útoků. - Automated Investigation: Automatizované systémy, které analyzují a prošetřují výstrahy, snižují ruční úlohy. - Antivirus: Tradiční antivirové moduly, které detekují malware na základě podpisů a heuristiky. - Data Loss Prevention: Řešení zaměřená na zabránění neoprávněným přenosům nebo únikům dat. - User Defined Blocked List: Vlastní seznamy definované uživateli, které blokují konkrétní IP adresy, domény nebo soubory. - Cloud Security Posture Management: Nástroje, které v cloudových prostředích vyhodnocuje a spravuje rizika zabezpečení. - Cloud Application Security: Řešení, která zajišťují cloudové aplikace a data. - Scheduled Alerts: Výstrahy generované na základě předdefinovaných plánů nebo prahových hodnot. - Other: Jakákoli jiná metoda detekce, kterou výše uvedené kategorie nepokrýval.
Pravidlo	Alias	řetězec	Buď hodnota RuleName, nebo hodnota RuleNumber. Pokud se použije hodnota RuleNumber, typ by měl být převeden na řetězec.
RuleNumber	Volitelné	int	Číslo pravidla přidruženého k upozornění. Například 123456
RuleName	Volitelné	řetězec	Název nebo ID pravidla přidruženého k upozornění. Například Server PSEXEC Execution via Remote Access
RuleDescription	Volitelné	řetězec	Popis pravidla přidruženého k upozornění Například This rule detects remote execution on a server using PSEXEC, which may indicate unauthorized administrative activity or lateral movement within the network
ThreatId	Volitelné	řetězec	ID hrozby nebo malwaru zjištěného v upozornění. Například 1234567891011121314
ThreatName	Volitelné	řetězec	Název hrozby nebo malwaru zjištěného v upozornění. Například Init.exe
ThreatFirstReportedTime	Volitelné	datetime	Datum a čas prvního nahlášení hrozby Například 2024-09-19T10:12:10.0000000Z
ThreatLastReportedTime	Volitelné	datetime	Datum a čas posledního nahlášení hrozby Například 2024-09-19T10:12:10.0000000Z
ThreatCategory	Doporučené	Enumerated	Kategorie hrozby nebo malwaru zjištěného v upozornění. Podporované hodnoty jsou: Malware, Ransomware, , TrojanVirusWormAdwareSpywareRootkit, Cryptominor, PhishingSpam, MaliciousUrl, , Spoofing, , Security Policy ViolationUnknown
ThreatOriginalCategory	Volitelné	řetězec	Kategorie hrozby hlášená původním systémem.
ThreatIsActive	Volitelné	bool	Určuje, jestli je hrozba aktuálně aktivní. Podporované hodnoty jsou: True, False
ThreatRiskLevel	Volitelné	RizikLevel (celočíselné)	Úroveň rizika spojená s hrozbou. Úroveň by měla být číslo od 0 do 100. Poznámka: Hodnota může být ve zdrojovém záznamu poskytována pomocí jiného měřítka, které by se mělo normalizovat na toto měřítko. Původní hodnota by měla být uložena v ThreatRiskLevelOriginal.
ThreatOriginalRiskLevel	Volitelné	řetězec	Úroveň rizika hlášená systémem původu.
ThreatConfidence	Volitelné	ConfidenceLevel (celé číslo)	Úroveň spolehlivosti zjištěné hrozby normalizovaná na hodnotu mezi 0 a 100.
ThreatOriginalConfidence	Volitelné	řetězec	Úroveň spolehlivosti hlášená původním systémem.
IndicatorType	Doporučené	Enumerated	Typ nebo kategorie ukazatele Podporované hodnoty jsou: -Ip -User -Process -Registry -Url -Host -Cloud Resource -Application -File -Email -Mailbox -Logon Session
Přidružení ukazatele	Volitelné	Enumerated	Určuje, jestli je indikátor propojený s hrozbou nebo přímo ovlivněn. Podporované hodnoty jsou: -Associated -Targeted
AttackTactics	Doporučené	řetězec	Taktika útoku (název, ID nebo obojí) přidružená k upozornění. Upřednostňovaný formát: např: Persistence, Privilege Escalation
AttackTechniques	Doporučené	řetězec	Techniky útoku (název, ID nebo obojí) přidružené k upozornění. Upřednostňovaný formát: např: Local Groups (T1069.001), Domain Groups (T1069.002)
AttackRemediationSteps	Doporučené	řetězec	Doporučené akce nebo kroky pro zmírnění nebo nápravu zjištěného útoku nebo hrozby Příklady: 1. Make sure the machine is completely updated and all your software has the latest patch. 2. Contact your incident response team.

Uživatelská pole

Tato část definuje pole související s identifikací a klasifikací uživatelů přidružených k upozornění a poskytuje přehled o ovlivněných uživatelích a formátu jejich identity. Pokud výstraha obsahuje další pole související s uživatelem, která překračují mapovaná data, můžete zvážit, jestli je vhodnější použít specializované schéma, jako je schéma událostí ověřování.

Pole	Třída	Typ	Popis
UserId	Volitelné	řetězec	Strojově čitelná alfanumerická, jedinečná reprezentace uživatele přidruženého k upozornění. Například A1bC2dE3fH4iJ5kL6mN7o
UserIdType	Podmíněné	Enumerated	Typ ID uživatele, například GUID, SIDnebo Email. Podporované hodnoty jsou: - GUID - SID - Email - Username - Phone - Other
Uživatelské jméno	Doporučené	Uživatelské jméno (řetězec)	Jméno uživatele přidruženého k upozornění, včetně informací o doméně, pokud jsou k dispozici. např. Contoso\JSmithjohn.smith@contoso.com
Uživatel	Alias	řetězec	Alias nebo popisný název Username pole
UsernameType	Podmíněné	UsernameType	Určuje typ uživatelského jména uloženého Username v poli. Další informace a seznam povolených hodnot naleznete v části UsernameType v článku Přehled schématu. Například Windows
UserType	Volitelné	UserType	Typ objektu Actor. Další informace a seznam povolených hodnot naleznete v části UserType v článku Přehled schématu. Například Guest
OriginalUserType	Volitelné	řetězec	Typ uživatele hlášený zařízením pro generování sestav.
UserSessionId	Volitelné	řetězec	Jedinečné ID relace uživatele přidružené k upozornění. Například a1bc2de3-fh4i-j5kl-6mn7-op8qr9st0u
UserScopeId	Volitelné	řetězec	ID oboru, například ID adresáře Microsoft Entra, ve kterém jsou definované ID uživatele a uživatelské jméno. Například a1bc2de3-fh4i-j5kl-6mn7-op8qrs
UserScope	Volitelné	řetězec	Obor, například tenant Microsoft Entra, ve kterém jsou definované ID uživatele a uživatelské jméno. Další informace a seznam povolených hodnot naleznete v tématu UserScope v článku Přehled schématu. Například Contoso Directory

Pole procesu

Tato část umožňuje zachytit podrobnosti související s entitou procesu zapojenou do výstrahy pomocí zadaných polí. Pokud výstraha obsahuje další podrobná pole související s procesem, která překračují mapovaná data, můžete zvážit, jestli je vhodnější použít specializované schéma, jako je schéma událostí procesu.

Pole	Třída	Typ	Popis
Id procesu	Volitelné	řetězec	ID procesu (PID) přidružené k výstraze. Například 12345678
ProcessCommandLine	Volitelné	řetězec	Příkazový řádek použitý ke spuštění procesu. Například "choco.exe" -v
ProcessName	Volitelné	řetězec	Název procesu. Například C:\Windows\explorer.exe
ProcessFileCompany	Volitelné	řetězec	Společnost, která vytvořila soubor obrázku procesu. Například Microsoft

Pole souboru

Tato část umožňuje zachytit podrobnosti související s entitou souboru, která je součástí výstrahy. Pokud výstraha obsahuje další podrobná pole související se soubory, která překračují mapovaná data, můžete zvážit, jestli je vhodnější použít specializované schéma, jako je schéma událostí souboru.

Pole	Třída	Typ	Popis
Jméno souboru	Volitelné	řetězec	Název souboru přidruženého k upozornění bez cesty nebo umístění Například Notepad.exe
Cesta k souboru	Volitelné	řetězec	Úplná normalizovaná cesta cílového souboru, včetně složky nebo umístění, názvu souboru a přípony. Například C:\Windows\System32\notepad.exe
FileSHA1	Volitelné	řetězec	Hodnota hash SHA1 souboru. Například j5kl6mn7op8qr9st0uv1
FileSHA256	Volitelné	řetězec	Hodnota hash SHA256 souboru Například a1bc2de3fh4ij5kl6mn7op8qrs2de3
FileMD5	Volitelné	řetězec	Hodnota hash MD5 souboru. Například j5kl6mn7op8qr9st0uv1wx2yz3ab4c
Velikost souboru	Volitelné	long	Velikost souboru v bajtech Například 123456

Pole adresy URL

Pokud výstraha obsahuje informace o entitě Url, můžou následující pole zaznamenávat data související s adresou URL.

Pole	Třída	Typ	Popis
Adresa URL	Volitelné	řetězec	Řetězec adresy URL zachycený v upozornění. Například https://contoso.com/fo/?k=v&q=u#f

Pole registru

Pokud výstraha obsahuje podrobnosti o entitě registru, pomocí následujících polí zachyťte konkrétní informace související s registrem.

Pole	Třída	Typ	Popis
Klíč registru	Volitelné	řetězec	Klíč registru přidružený k upozornění, normalizovaný na standardní zásady vytváření názvů kořenových klíčů. Například HKEY_LOCAL_MACHINE\SOFTWARE\MTG
RegistryValue	Volitelné	řetězec	Hodnota registru. Například ImagePath
RegistryValueData	Volitelné	řetězec	Data hodnoty registru. Například C:\Windows\system32;C:\Windows;
RegistryValueType	Volitelné	Enumerated	Typ hodnoty registru. Například Reg_Expand_Sz

Pole e-mailu

Pokud upozornění obsahuje informace o entitě e-mailu, pomocí následujících polí zachyťte konkrétní podrobnosti související s e-mailem.

Pole	Třída	Typ	Popis
EmailMessageId	Volitelné	řetězec	Jedinečný identifikátor e-mailové zprávy přidružené k upozornění Například Request for Invoice Access
Odeslat e-mail	Volitelné	řetězec	Předmět e-mailu Například j5kl6mn7-op8q-r9st-0uv1-wx2yz3ab4c

Aktualizace schématu

Toto jsou změny v různých verzích schématu:

• Verze 0.1: Počáteční verze.