Asignación de campos CEF y CommonSecurityLog

En las tablas siguientes se asignan nombres de campo de Formato de evento común (CEF) a los nombres que usan en CommonSecurityLog de Microsoft Sentinel y puede resultar útil cuando se trabaja con un origen de datos CEF en Microsoft Sentinel. Para obtener más información, vea Ingest syslog and CEF messages to Microsoft Sentinel with the Azure Monitor Agent.

A - C

Nombre de clave CEF	Nombre del campo CommonSecurityLog	Description
actuar	DeviceAction	Acción mencionada en el evento.
aplicación	ApplicationProtocol	Protocolo usado en la aplicación, como HTTP, HTTPS, SSHv2, Telnet, POP, IMPA, IMAPS, etc.
gato	DeviceEventCategory	Representa la categoría asignada por el dispositivo de origen. Los dispositivos suelen usar su propio esquema de categorización para clasificar eventos. Por ejemplo: `/Monitor/Disk/Read`.
cnt	EventCount	Recuento asociado al evento, que muestra cuántas veces se observó el mismo evento.

D

Nombre de clave CEF	Nombre de CommonSecurityLog	Description
Proveedor de dispositivos	DeviceVendor	Cadena que, junto con las definiciones de producto y versión del dispositivo, identifica de forma única el tipo de dispositivo de envío.
Producto del dispositivo	DeviceProduct	Cadena que, junto con las definiciones de versión y proveedor de dispositivos, identifica de forma única el tipo de dispositivo de envío.
Versión del dispositivo	DeviceVersion	Cadena que, junto con las definiciones de producto y proveedor del dispositivo, identifica de forma única el tipo de dispositivo de envío.
destinationDnsDomain	DestinationDnsDomain	Parte DNS del nombre de dominio completo (FQDN).
destinationServiceName	DestinationServiceName	El servicio al que se dirige el evento. Por ejemplo, `sshd`.
destinationTranslatedAddress	DestinationTranslatedAddress	Identifica el destino traducido al que hace referencia el evento en una red IP, como una dirección IP IPv4.
destinationTranslatedPort	DestinationTranslatedPort	Puerto, después de la traducción, como un firewall. Números de puerto válidos: `0` - `65535`
deviceDirection	CommunicationDirection	Cualquier información sobre la dirección que ha tomado la comunicación observada. Valores válidos: - `0` = Entrante - `1` = Saliente
deviceDnsDomain	DeviceDnsDomain	Parte del dominio DNS del nombre de dominio completo (FQDN)
DeviceEventClassID	DeviceEventClassID	Cadena o entero que actúa como identificador único por tipo de evento.
deviceExternalId	deviceExternalId	Nombre que identifica de forma única el dispositivo que genera el evento.
deviceFacility	DeviceFacility	La instalación que genera el evento.
deviceInboundInterface	DeviceInboundInterface	Interfaz en la que el paquete o los datos entraron en el dispositivo.
deviceNtDomain	DeviceNtDomain	Dominio de Windows de la dirección del dispositivo
deviceOutboundInterface	DeviceOutboundInterface	Interfaz en la que el paquete o los datos abandonaron el dispositivo.
devicePayloadId	DevicePayloadId	Identificador único de la carga asociada al evento.
deviceProcessName	ProcessName	Nombre del proceso asociado al evento. Por ejemplo, en UNIX, el proceso que genera la entrada de Syslog.
deviceTranslatedAddress	DeviceTranslatedAddress	Identifica la dirección del dispositivo traducida a la que hace referencia el evento, en una red IP. El formato es una dirección Ipv4.
dhost	DestinationHostName	Destino al que hace referencia el evento en una red IP. El formato debe ser un FQDN asociado al nodo de destino, cuando hay un nodo disponible. Por ejemplo, `host.domain.com` o `host`.
dmac	DestinationMacAddress	La dirección MAC de destino (FQDN)
dntdom	DestinationNTDomain	Nombre de dominio de Windows de la dirección de destino.
pppd	DestinationProcessId	Identificador del proceso de destino asociado al evento.
dpriv	DestinationUserPrivileges	Define los privilegios del uso de destino. Valores válidos: `Administrator`, , `UserGuest`
dproc	DestinationProcessName	Nombre del proceso de destino del evento, como `telnetd` o `sshd.`
dpt	DestinationPort	Puerto de destino. Valores válidos: `*0` - `65535`
dst	DestinationIP	Dirección IpV4 de destino a la que hace referencia el evento en una red IP.
dtz	DeviceTimeZone	Zona horaria del dispositivo que genera el evento
duid	DestinationUserId	Identifica al usuario de destino por identificador.
duser	DestinationUserName	Identifica al usuario de destino por nombre.
dvc	DeviceAddress	Dirección IPv4 del dispositivo que genera el evento.
dvchost	DeviceName	FQDN asociado al nodo de dispositivo, cuando hay un nodo disponible. Por ejemplo, `host.domain.com` o `host`.
dvcmac	DeviceMacAddress	Dirección MAC del dispositivo que genera el evento.
dvcpid	Identificador de proceso	Define el identificador del proceso en el dispositivo que genera el evento.

E - I

Nombre de clave CEF	Nombre de CommonSecurityLog	Description
externalId	ExternalID	Identificador usado por el dispositivo de origen. Normalmente, estos valores tienen valores crecientes que están asociados a un evento.
fileCreateTime	FileCreateTime	Hora en que se creó el archivo.
fileHash	FileHash	Hash de un archivo.
fileId	FileID	Identificador asociado a un archivo, como el inode.
fileModificationTime	FileModificationTime	Hora a la que se modificó por última vez el archivo.
filePath	FilePath	Ruta de acceso completa al archivo, incluido el nombre de archivo. Por ejemplo, `C:\ProgramFiles\WindowsNT\Accessories\wordpad.exe` o `/usr/bin/zip`.
filePermission	FilePermission	Permisos del archivo.
fileType	FileType	Tipo de archivo, como canalización, socket, etc.
fname	FileName	Nombre del archivo, sin la ruta de acceso.
fsize	FileSize	Tamaño del archivo.
Host	Equipo	Host, desde Syslog
en	ReceivedBytes	Número de bytes transferidos entrantes.

M - P

Nombre de clave CEF	Nombre de CommonSecurityLog	Description
msg	Mensaje	Mensaje que proporciona más detalles sobre el evento.
Nombre	Actividad	Cadena que representa una descripción legible y comprensible del evento.
oldFileCreateTime	OldFileCreateTime	Hora en que se creó el archivo anterior.
oldFileHash	OldFileHash	Hash del archivo antiguo.
oldFileId	OldFileId	Y el identificador asociado al archivo antiguo, como el inode.
oldFileModificationTime	OldFileModificationTime	Hora a la que se modificó por última vez el archivo anterior.
oldFileName	OldFileName	Nombre del archivo antiguo.
oldFilePath	OldFilePath	Ruta de acceso completa al archivo antiguo, incluido el nombre de archivo. Por ejemplo, `C:\ProgramFiles\WindowsNT\Accessories\wordpad.exe` o `/usr/bin/zip`.
oldFilePermission	OldFilePermission	Permisos del archivo antiguo.
oldFileSize	OldFileSize	Tamaño del archivo antiguo.
oldFileType	OldFileType	Tipo de archivo del archivo antiguo, como una canalización, un socket, etc.
salida	SentBytes	Número de bytes transferidos salientes.
resultado	EventOutcome	Resultado del evento, como `success` o `failure`.
proto	Protocolo	Protocolo de transporte que identifica el protocolo de capa 4 usado. Los valores posibles incluyen nombres de protocolo, como `TCP` o `UDP`.

R - T

Nombre de clave CEF	Nombre de CommonSecurityLog	Description
motivo	Reason	Motivo por el que se generó un evento de auditoría. Por ejemplo, `badd password` o `unknown user`. Esto también podría ser un error o un código devuelto. Por ejemplo: `0x1234`.
Solicitud	RequestURL	Dirección URL a la que se accede para una solicitud HTTP, incluido el protocolo. Por ejemplo: `http://www/secure.com`
requestClientApplication	RequestClientApplication	Agente de usuario asociado a la solicitud.
requestContext	RequestContext	Describe el contenido desde el que se originó la solicitud, como el referenciador HTTP.
requestCookies	RequestCookies	Cookies asociadas a la solicitud.
requestMethod	RequestMethod	Método utilizado para acceder a una dirección URL. Los valores válidos incluyen métodos como `POST`, `GET`y así sucesivamente.
rt	ReceiptTime	Hora a la que se recibió el evento relacionado con la actividad.
Severity	LogSeverity	Cadena o entero que describe la importancia del evento. Valores de cadena válidos: `Unknown` , `Low`, `Medium`, , `HighVery-High` Los valores enteros válidos son: - `0` - `3` = Bajo - `4` - `6` = Medio - `7` - `8` = Alto - `9` - `10` = Very-High
shost	SourceHostName	Identifica el origen al que hace referencia el evento en una red IP. El formato debe ser un nombre de dominio completo (FQDN) asociado al nodo de origen, cuando haya un nodo disponible. Por ejemplo, `host` o `host.domain.com`.
smac	SourceMacAddress	Dirección MAC de origen.
sntdom	SourceNTDomain	Nombre de dominio de Windows para la dirección de origen.
sourceDnsDomain	SourceDnsDomain	Parte del dominio DNS del FQDN completo.
sourceServiceName	SourceServiceName	El servicio responsable de generar el evento.
sourceTranslatedAddress	SourceTranslatedAddress	Identifica el origen traducido al que hace referencia el evento en una red IP.
sourceTranslatedPort	SourceTranslatedPort	Puerto de origen después de la traducción, como un firewall. Los números de puerto válidos son `0` - `65535`.
spid	SourceProcessId	Identificador del proceso de origen asociado al evento.
spriv	SourceUserPrivileges	Privilegios del usuario de origen. Entre los valores válidos se incluyen : `Administrator`, `User`, `Guest`
sproc	SourceProcessName	Nombre del proceso de origen del evento.
spt	SourcePort	Número de puerto de origen. Los números de puerto válidos son `0` - `65535`.
src	SourceIP	Origen al que hace referencia un evento en una red IP, como una dirección IPv4.
suid	SourceUserID	Identifica al usuario de origen por identificador.
suser	SourceUserName	Identifica al usuario de origen por nombre.
type	EventType	Tipo de evento. Los valores de valor incluyen: - `0`: evento base - `1`: agregado - `2`: evento de correlación - `3`: evento action Nota: Este evento se puede omitir para eventos base.

Campos personalizados

En las tablas siguientes se asignan los nombres de las claves CEF y los campos CommonSecurityLog que están disponibles para que los clientes puedan usar para los datos que no se aplican a ninguno de los campos integrados.

Campos de dirección IPv6 personalizados

En la tabla siguiente se asignan los nombres cef key y CommonSecurityLog para los campos de dirección IPv6 disponibles para los datos personalizados.

Nombre de clave CEF	Nombre de CommonSecurityLog
c6a1	DeviceCustomIPv6Address1
c6a1Label	DeviceCustomIPv6Address1Label
c6a2	DeviceCustomIPv6Address2
c6a2Label	DeviceCustomIPv6Address2Label
c6a3	DeviceCustomIPv6Address3
c6a3Label	DeviceCustomIPv6Address3Label
c6a4	DeviceCustomIPv6Address4
c6a4Label	DeviceCustomIPv6Address4Label
cfp1	DeviceCustomFloatingPoint1
cfp1Label	deviceCustomFloatingPoint1Label
cfp2	DeviceCustomFloatingPoint2
cfp2Label	deviceCustomFloatingPoint2Label
cfp3	DeviceCustomFloatingPoint3
cfp3Label	deviceCustomFloatingPoint3Label
cfp4	DeviceCustomFloatingPoint4
cfp4Label	deviceCustomFloatingPoint4Label

Campos de número personalizados

En la tabla siguiente se asignan los nombres cef key y CommonSecurityLog para los campos numéricos disponibles para los datos personalizados.

Nombre de clave CEF	Nombre de CommonSecurityLog
cn1	DeviceCustomNumber1
cn1Label	DeviceCustomNumber1Label
cn2	DeviceCustomNumber2
cn2Label	DeviceCustomNumber2Label
cn3	DeviceCustomNumber3
cn3Label	DeviceCustomNumber3Label

Campos de cadena personalizados

En la tabla siguiente se asignan los nombres cef key y CommonSecurityLog para los campos de cadena disponibles para los datos personalizados.

Nombre de clave CEF	Nombre de CommonSecurityLog
cs1	DeviceCustomString1 ¹
cs1Label	DeviceCustomString1Label ¹
cs2	DeviceCustomString2 ¹
cs2Label	DeviceCustomString2Label ¹
cs3	DeviceCustomString3 ¹
cs3Label	DeviceCustomString3Label ¹
cs4	DeviceCustomString4 ¹
cs4Label	DeviceCustomString4Label ¹
cs5	DeviceCustomString5 ¹
cs5Label	DeviceCustomString5Label ¹
cs6	DeviceCustomString6 ¹
cs6Label	DeviceCustomString6Label ¹
flexString1	FlexString1
flexString1Label	FlexString1Label
flexString2	FlexString2
flexString2Label	FlexString2Label

Sugerencia

¹ Se recomienda usar los campos DeviceCustomString con moderación y usar campos integrados más específicos cuando sea posible.

Campos de marca de tiempo personalizados

En la tabla siguiente se asignan los nombres cef key y CommonSecurityLog para los campos de marca de tiempo disponibles para los datos personalizados.

Nombre de clave CEF	Nombre de CommonSecurityLog
deviceCustomDate1	DeviceCustomDate1
deviceCustomDate1Label	DeviceCustomDate1Label
deviceCustomDate2	DeviceCustomDate2
deviceCustomDate2Label	DeviceCustomDate2Label
flexDate1	FlexDate1
flexDate1Label	FlexDate1Label

Campos de datos enteros personalizados

En la tabla siguiente se asignan los nombres cef key y CommonSecurityLog para los campos enteros disponibles para los datos personalizados.

Nombre de clave CEF	Nombre de CommonSecurityLog
flexNumber1	FlexNumber1
flexNumber1Label	FlexNumber1Label
flexNumber2	FlexNumber2
flexNumber2Label	FlexNumber2Label

Campos de enriquecimiento

Los siguientes campos CommonSecurityLog se agregan Microsoft Sentinel para enriquecer los eventos originales recibidos de los dispositivos de origen y no tienen asignaciones en claves CEF:

Campos de inteligencia sobre amenazas

Nombre del campo CommonSecurityLog	Description
IndicatorThreatType	Tipo de amenaza MaliciousIP , según la fuente de inteligencia sobre amenazas.
MaliciousIP	Enumera las direcciones IP del mensaje que se correlacionan con la fuente de inteligencia sobre amenazas actual.
MaliciousIPCountry	País o región de MaliciousIP , según la información geográfica en el momento de la ingesta de registros.
MaliciousIPLatitude	La longitud MaliciousIP , según la información geográfica en el momento de la ingesta del registro.
MaliciousIPLongitude	La longitud MaliciousIP , según la información geográfica en el momento de la ingesta del registro.
ReportReferenceLink	Vínculo al informe de inteligencia sobre amenazas.
ThreatConfidence	La confianza de amenazas MaliciousIP , según la fuente de inteligencia sobre amenazas.
ThreatDescription	Descripción de la amenaza MaliciousIP , según la fuente de inteligencia sobre amenazas.
ThreatSeverity	Gravedad de la amenaza de MaliciousIP, según la fuente de inteligencia sobre amenazas en el momento de la ingesta del registro.

Otros campos de enriquecimiento

Nombre del campo CommonSecurityLog	Description
OriginalLogSeverity	Siempre vacío, compatible con la integración con CiscoASA. Para más información sobre los valores de gravedad del registro, consulte el campo LogSeverity .
RemoteIP	Dirección IP remota. Este valor se basa en el campo CommunicationDirection , si es posible.
RemotePort	Puerto remoto. Este valor se basa en el campo CommunicationDirection , si es posible.
SimplifiedDeviceAction	Simplifica el valor de DeviceAction en un conjunto estático de valores, al tiempo que mantiene el valor original en el campo DeviceAction . Por ejemplo: `Denied`>`Deny`.
SourceSystem	Siempre se define como OpsManager.

Comentarios

¿Le ha resultado útil esta página?

Last updated on 2026-04-23