La Entidad de Usuario del Modelo Avanzado de Información de Seguridad (ASIM)

Los usuarios son fundamentales para las actividades notificadas por eventos. Los campos de entidad usuario listados en esta sección se utilizan para describir a los usuarios implicados en la acción. Cuando se utiliza en un evento, se utilizan prefijos para designar el papel de una entidad usuario en la actividad. Los prefijos Src y Dst se usan para designar el rol de usuario en eventos relacionados con la red, en los que un sistema de origen y un sistema de destino se comunican. Los prefijos "Actor" y "Target" se usan para eventos orientados al sistema, como los eventos de proceso.

El identificador de usuario y el ámbito

Campo	Class	Tipo	Description
UserId	Opcional	String	Una representación del usuario única, alfanumérica y legible por un ordenador.
UserScope	Opcional	cuerda / cadena	Ámbito en el que se definen UserId y Username. Por ejemplo, un nombre dominio de inquilino de Microsoft Entra. El campo UserIdType representa también el tipo asociado a este campo.
UserScopeId	Opcional	cuerda / cadena	El ID del ámbito en el que se definen UserId y Username. Por ejemplo, un id. de directorio de inquilino de Microsoft Entra. El campo UserIdType representa también el tipo asociado a este campo.
UserIdType	Opcional	UserIdType	El tipo del Id. almacenado en el campo UserId.
UserSid, UserUid, UserAadId, UserOktaId, UserAWSId, UserPuid	Opcional	String	Campos usados para almacenar identificadores de usuario concretos. Seleccione el Id. más asociado al evento como el Id. principal almacenado en UserId. Rellene el campo de identificador específico relevante, además de UserId, aunque el evento solo tenga un identificador.
UserAADTenant, UserAWSAccount	Opcional	String	Campos usados para almacenar ámbitos concretos. Use el campo UserScope para el ámbito asociado al identificador almacenado en el campo UserId. Rellene el campo de ámbito específico relevante, además de UserScope, aunque el evento solo tenga un identificador.

Los valores permitidos para un tipo de Id. de usuario son:

Tipo	Description	Example
SID	Un Id. de usuario de Windows.	S-1-5-21-1377283216-344919071-3415362939-500
UID	Un Id. de usuario de Linux.	4578
AADID	Un id. de usuario de Microsoft Entra.	00aa00aa-bb11-cc22-dd33-44ee44ee44ee
OktaId	Un Id. de usuario de Okta.	00urjk4znu3BcncfY0h7
AWSId	Un Id. de usuario de AWS.	72643944673
PUID	Un Id. de usuario de Microsoft 365.	10032001582F435C
SalesforceId	Id. de usuario de Salesforce.	00530000009M943

Nombre del usuario

Campo	Class	Tipo	Description
Nombre de usuario	Opcional	String	El nombre de usuario de origen, incluida la información del dominio cuando esté disponible. Use este formato simple solo si no hay disponible información de dominio. Almacene el tipo de nombre de usuario en el campo UsernameType.
UsernameType	Opcional	UsernameType	Especifica el tipo del nombre de usuario almacenado en el campo Username.
UserUPN, WindowsUsername, DNUsername, SimpleUsername	Opcional	String	Campos usados para almacenar nombres de usuario adicionales, si el evento original incluye varios nombres de usuario. Seleccione el nombre de usuario más asociado al evento como el nombre de usuario principal, almacenado en Username.

Los valores permitidos para un tipo de nombre de usuario son:

Tipo	Description	Example
UPN	Un designador de nombres de usuario de UPN o de una dirección de correo electrónico.	johndow@contoso.com
Windows	Un nombre de usuario de Windows que incluye un dominio.	Contoso\johndow
DN	Un designador de nombres distintivos (DN) de LDAP.	CN=Jeff Smith,OU=Sales,DC=Fabrikam,DC=COM
Simple	Un nombre de usuario básico, sin un designador de dominio.	johndow
AWSId	Un Id. de usuario de AWS.	72643944673

Campos de usuario adicionales

Campo	Class	Tipo	Description
UserType	Opcional	Tipo de Usuario	Tipo del usuario de origen. Los valores admitidos incluyen: - Regular - Machine - Admin - System - Application - Service Principal - Service - Anonymous - Other. El valor se puede proporcionar en el registro de origen mediante términos diferentes, que se deben normalizar con estos valores. Almacene el valor original en el campo OriginalUserType.
OriginalUserType	Opcional	String	El tipo de usuario de destino original, si lo proporciona el dispositivo de informes.