Microsoft Sentinel ASIM Email Event normalization scheme, reference

Normalizační schéma Microsoft Sentinel Email Event představuje aktivity doručování a inspekce e-mailů. Obsahuje podrobnosti o adresování a směrování zpráv, výsledky ověřování e-mailů, výsledky doručení a hrozby identifikované v e-mailových zprávách.

Použijte schéma E-mailových událostí k normalizaci záznamů z poštovních serverů, zabezpečených e-mailových bran, služeb e-mailové bezpečnosti a dalších systémů, které zpracovávají nebo kontrolují e-maily. Normalizace vám umožňuje analyzovat tyto záznamy s konzistentními názvy polí a hodnotami, bez ohledu na zdroj.

Další informace o normalizaci v Microsoft Sentinel najdete v tématech Normalizace a Rozšířený model informací o zabezpečení (ASIM).

Přehled schématu

Hlavní pole e-mailové události popisují:

Pole Dvc popisují systém hlášení nebo kontroly.

Analyzátory

Nasazení a používání parserů e-mailových událostí

Nasadit ASIM parsery z Microsoft Sentinel GitHub repozitáře. Pro dotazování všech normalizovaných zdrojů e-mailových událostí použijte unifying parser _Im_EmailEvent jako název tabulky ve svém dotazu.

Další informace o používání analyzátorů ASIM najdete v přehledu analyzátorů ASIM.

Přidání vlastních normalizovaných analyzátorů

Když implementujete vlastní parsery pro informační model Email Event, použijte následující syntaxi pojmenování:

  • ASimEmailEvent<vendor><Product> pro běžné parsery.
  • vimEmailEvent<vendor><Product> pro parametrizované parsery.

Pro přidání vlastních parserů do sjednocovacího parseru Email Event viz Správa ASIM parserů.

Výsledky filtračního parseru

Parser filtrování e-mailových událostí podporuje parametry filtrování pro zlepšení výkonu dotazů.

Name Typ Description
čas zahájení datetime Filtrujte události, které začaly v tomto období nebo později.
endtime datetime Filtrujte události, které skončily v této době nebo dříve.
ipaddr_has_any_prefix dynamic Filtrujte události, pro které IP adresa začíná jedním z uvedených prefixů.
emailfromaddress_has_any dynamic Filtrační události, pro které EmailFromAddress obsahuje jednu z uvedených hodnot.
emailrecipient_has_any dynamic Filtrujte události, které obsahují jednoho z uvedených příjemců e-mailů.
emailsubject_has_any dynamic Filtrační události, pro které EmailSubject obsahuje jednu z uvedených hodnot.
emaildirection_in dynamic Filtrujte události, pro které EmailDirection je jedna z uvedených hodnot.
emaildeliverylocation_in dynamic Filtrujte události, pro které EmailDeliveryLocation je jedna z uvedených hodnot.
eventresult String Filtrační události, pro které EventResult je rovna zadané hodnotě. Výchozí hodnota *, se nefiltruje podle výsledku.
balíček logický Při nastavení na true, zabalte nemapovaná zdrojová pole do dynamického AdditionalFields pole. Výchozí hodnota je false.

Například použijte následující dotaz k vrácení příchozích e-mailů zaslaných z adres, které obsahují contoso.com během posledního dne:

_Im_EmailEvent(
	starttime=ago(1d),
	endtime=now(),
	emailfromaddress_has_any=dynamic(['contoso.com']),
	emaildirection_in=dynamic(['Inbound'])
)

Podrobnosti schématu

Běžná pole ASIM

Important

Pole společná všem schématům jsou podrobně popsána v ASIM společných polích. Pokyny v tomto článku mají přednost před obecnými pokyny pro dané pole.

Společná pole se specifickými pokyny

Pole Class Typ Description
Eventtype Povinné Vyjmenováno Popisuje normalizovanou e-mailovou aktivitu. Povolené hodnoty jsou EmailDelivery a EmailInspection.
EventSubType Optional Vyjmenováno Poskytuje podrobnější informace o e-mailové aktivitě. Povolené hodnoty jsou EmailSent a EmailReceived.
EventSchema Povinné Vyjmenováno Název schématu je .EmailEvent
EventSchemaVersion Povinné SchemaVersion (řetězec) Verze tohoto schématu. Zde zdokumentovaná verze je .1.0.0
VýsledekUdálostPodrobnosti Doporučený Vyjmenováno Poskytuje podrobnosti o výsledku. Povolené hodnoty jsou InvalidAddress, MailboxFull, MessageTooLarge, MessageRateLimitExceeded, RecipientRateLimitExceeded, BlockedByPolicy, BlockedBySpamFilter, PhishingDetected, , MalwareDetected, a .Other
EventSeverity Doporučený Vyjmenováno Závažnost události. Povolené hodnoty jsou Informational, Low, Mediuma High.

Všechna společná pole

Class Fields
Povinné - Počet událostí
- Čas začátku události
- EventEndTime
- Eventtype
- Výsledek události
- EventProduct
- EventVendor
- EventSchema
- EventSchemaVersion
- DVC
Doporučený - VýsledekUdálostPodrobnosti
- Závažnost události
- Id události
- DvcIpAddr
- Název hostitele Dvc
- Doména dvc
Optional - UdálostZpráva
- EventSubType
- UdálostOriginalUid
- UdálostOriginální typ
- UdálostPůvodníVýsledekDetaily
- UdálostOriginalSeverity
- EventProductVersion
- EventReportUrl
- Vlastník událostí
- Popis dvcDescription
- DvcFQDN
- DvcId
- DvcInterface
- DvcMacAddr
- DvcOriginalAction
- DvcOs
- DvcOsVersion
- DvcScope
- DvcScopeId
- DvcZone
- Doplňkové entity
- Další pole
Conditional - DvcDomainType
- DvcIdType

E-mailová pole

Pole Class Typ Description
EmailFromAddress Doporučený String E-mailová adresa v hlavičce zprávy From .
EmailFromDomain Optional String Doména z adresu v hlavičce zprávy From .
EmailMailFromAddress Optional String Adresa odesílatele obálky používaná protokolem pro přepravu pošty.
EmailMailFromDomain Optional String Doména adresy odesílatele obálky.
EmailRerespondToAddress Doporučený String E-mailová adresa v hlavičce zprávy Reply-To .
EmailReplyToDomain Optional String Doména z adresu v hlavičce zprávy Reply-To .
EmailPříjemcům Doporučený Dynamický Pole příjemců v hlavičce zprávy To .
EmailCCRecipients Optional Dynamický Pole příjemců v hlavičce zprávy Cc .
EmailBCCRecipients Optional Dynamický Pole příjemců v hlavičce zprávy Bcc .
EmailSubject Doporučený String Předmět e-mailu.
EmailLanguage Optional String Jazyk obsahu e-mailu, jak uvádí zdroj.
EmailSizeBytes Doporučený Long Celková velikost e-mailu v bajtech.
EmailProtocolName Doporučený Vyjmenováno Protokol použitý k přenosu nebo získání e-mailu. Povolené hodnoty jsou SMTP, IMAPa POP3.
EmailDirection Doporučený Vyjmenováno Směr e-mailu vzhledem k prostředí pro reportování. Povolené hodnoty jsou Inbound, , OutboundInternal, Locala Unknown.
E-mailDoručeníMísto Optional Vyjmenováno Normalizované místo, kam byl e-mail doručen. Povolené hodnoty jsou Inbox, Junk, Quarantinea DeletedItems.
E-mailPůvodníDoručeníMísto Optional String Místo doručení, jak uvádí zdroj.
EmailFileCount Doporučený Integer Počet souborů připojených k e-mailu.
EmailFiles Optional Dynamický Pole, které popisuje soubory připojené k e-mailu.
EmailUrlCount Doporučený Integer Počet URL adres nalezených v e-mailu.
EmailUrls Optional Dynamický Pole URL adres nalezených v e-mailu.

Pole pro ověření e-mailem

Pole Class Typ Description
EmailSpfResult Optional Vyjmenováno Výsledek normalizovaného rámce politiky odesílatelů (SPF). Povolené hodnoty jsou Pass, Fail, SoftFail, Neutral, None, , TemporaryError, a .PermanentError
EmailSpfOriginalResult Optional String Výsledek SPF, jak uvádí zdroj.
EmailDkimDomain Optional String Doména, která zprávu podepsala, pomocí DomainKeys Identified Mail (DKIM).
EmailDkimSignature Optional String DKIM podpis spojený se zprávou.
EmailDkimResult Optional Vyjmenováno Výsledek normalizovaného DKIM. Povolené hodnoty jsou Pass, , FailTemporaryError, PermanentErrora None.
EmailDkimOriginalResult Optional String Výsledek DKIM, jak uvádí zdroj.
EmailDmarcResult Optional Vyjmenováno Výsledek normalizované doménové autentizace, reportování a shody zpráv (DMARC). Povolené hodnoty jsou Pass, Fail, BestGuessPassa None.
EmailDmarcOriginalResult Optional String Výsledek DMARC, jak uvádí zdroj.
EmailDmarcPolicy Optional Vyjmenováno Na e-mail se vztahovala politika DMARC. Povolené hodnoty jsou Quarantine, Rejecta None.
EmailDmarcOverride Optional Vyjmenováno Důvod, proč byla politika DMARC zrušena. Povolené hodnoty jsou Forwarded, , LocalPolicyMailingListSampleOut, , TrustedForwardera .Other

Pole doručení a cíl

Pole Class Typ Description
DvcAction Optional Vyjmenováno Normalizovaná akce provedená na e-mailu. Povolené hodnoty jsou , , , , , QuarantinedDeleted, , Purged, a .NABlockedRedirectedModifiedDelivered
DST Povinné String Jedinečný identifikátor pro cílovou adresu e-mailu.
DstIpAddr Doporučený adresa IP IP adresa cílového e-mailu.

Pole zdrojového systému

Pole Class Typ Description
Src Doporučený String Jedinečný identifikátor pro zdrojový systém.
SrcIpAddr Optional adresa IP Zdrojová IP adresa.
IpAddr Alias adresa IP Alias pro SrcIpAddr.
SrcHostname Doporučený Hostname Název hostitele zdrojového zařízení s výjimkou informací o doméně.
SrcDomain Doporučený Doména Doména zdrojového zařízení.
SrcDomainType Conditional Vyjmenováno Typ SrcDomain. Povolené hodnoty jsou Windows, FQDNa ResourceGroup. Povinné, když SrcDomain se používá.
SrcFQDN Optional FQDN Plně kvalifikované doménové jméno zdrojového zařízení.
SrcDvcId Optional String ID zdrojového zařízení.
SrcDvcIdType Conditional Vyjmenováno Typ SrcDvcId. Povolené hodnoty jsou , , , , , , VectraId, ForcepointId, , AppGateIda .OtherAwsVpcIdVMConnectionIdMD4IoTidMDEidAzureResourceId Povinné, když SrcDvcId se používá.
SrcDvcScope Optional String Rozsah cloudové platformy, do které patří zdrojové zařízení.
SrcDvcScopeId Optional String ID rozsahu cloudové platformy, do kterého patří zdrojové zařízení.
SrcDeviceType Optional Vyjmenováno Typ zdrojového zařízení.
Popis SrcDescription Optional String Popis zdrojového zařízení.
SrcIsp Optional String Poskytovatel internetových služeb přiřazený ke zdrojové IP adrese.
SrcGeoCountry Optional String Země nebo region spojený se zdrojovou IP adresou.
Oblast SrcGeo Optional String Oblast přidružená ke zdrojové IP adrese.
SrcGeoCity Optional String Město přidružené ke zdrojové IP adrese.
SrcGeoLatitude Optional real Šířka spojená se zdrojovou IP adresou.
SrcGeoLongitude Optional real Délka spojená se zdrojovou IP adresou.

Pole zdrojového uživatele

Pole Class Typ Description
SrcUserName Optional String Jméno zdrojového uživatele.
User Alias String Přezdívka .SrcUserName
SrcUserUpn Doporučený String Uživatelské hlavní jméno uživatele (UPN) zdrojového uživatele.
SrcUserId Optional String Strojově čitelný identifikátor pro zdrojového uživatele.
SrcUserIdType Optional Vyjmenováno Typ SrcUserId. Povolené hodnoty jsou SID, UID, AADID, OktaId, AWSId, PUID, SalesforceId, VectraUserId, , MD4IoTid, a .Other
SrcUsernameType Optional Vyjmenováno Typ hodnoty v SrcUserName.
SrcUserScope Optional String Rozsah, v jakém je definován zdrojový uživatel.
SrcUserScopeId Optional String ID rozsahu, ve kterém je zdrojový uživatel definován.

Pole kontroly

Následující pole popisují pravidlo, hrozbu nebo indikátor spojený s inspekcí e-mailu.

Pole Class Typ Description
Název pravidla Optional String Název nebo ID inspekčního pravidla.
Číslo pravidla Optional Integer Číselné ID inspekčního pravidla.
Rule Alias String Přezdívka .RuleName
Popis pravidla Optional String Popis pravidla inspekce.
Typ ukazatele Optional Vyjmenováno Typ indikátoru identifikovaného v e-mailové události.
Přidružení ukazatele Optional Vyjmenováno Spojení mezi indikátorem a e-mailovou událostí.
ThreatId Optional String Identifikace hrozby uvedené v e-mailu.
ThreatName Optional String Název hrozby uvedené v e-mailu.
ThreatCategory Optional String Normalizovaná kategorie hrozeb.
ThreatOriginalCategory Optional String Kategorie hrozby, jak ji uvádí zdroj.
ThreatRiskLevel Optional RiskLevel (integer) Normalizovaná úroveň rizika hrozby, od 0 do .100
ThreatOriginalRiskLevel Optional String Úroveň rizika hrozby, jak ji uvádí zdroj.
ThreatConfidence Optional ConfidenceLevel (integer) Normalizovaná úroveň jistoty, od 0 přes 100.
ThreatOriginalConfidence Optional String Důvěra v hrozby, jak uvádí zdroj.
ThreatIsActive Optional logický Označuje, zda je identifikovaná hrozba aktivní.
ThreatFirstReportedTime Optional Datum a čas Poprvé byla hrozba nahlášena.
ThreatLastReportedTime Optional Datum a čas Poslední nahlášení hrozby.
ThreatIpAddr Optional adresa IP IP adresa spojená s identifikovanou hrozbou.
ThreatField Conditional Vyjmenováno Pole, pro které byla hrozba identifikována.
AttackTactics Optional String Taktika MITRE ATT&CK spojená s e-mailovou akcí.
AttackTechniques Optional String Techniky MITRE ATT&CK spojené s e-mailovou akcí.
AttackRemediationSteps Optional String Doporučené kroky k nápravě identifikovaného útoku nebo hrozby.

Aktualizace schématu

Verze 1.0.0 je počáteční vydání schématu E-mailové události.

Související obsah

  • Poslední aktualizace v