Referencia del esquema de normalización de eventos de correo electrónico ASIM de Microsoft Sentinel

El esquema de normalización de eventos de correo electrónico de Microsoft Sentinel representa la actividad de entrega e inspección del correo. Incluye detalles de direccionamiento y enrutamiento de mensajes, resultados de autenticación por correo electrónico, resultados de entrega y amenazas identificadas en los mensajes de correo.

Utiliza el esquema de Eventos de Correo para normalizar registros de servidores de correo, pasarelas de correo electrónico seguras, servicios de seguridad de correo electrónico y otros sistemas que procesan o inspeccionan correos electrónicos. La normalización te permite analizar estos registros con nombres y valores de campos consistentes, independientemente de la fuente.

Para obtener más información sobre la normalización en Microsoft Sentinel, vea Normalización y el modelo de información de seguridad avanzada (ASIM).

Información general del esquema

Los campos principales de un evento de correo electrónico describen:

Los Dvc campos describen el sistema de informes o inspección.

Analizadores

Desplegar y usar analizadores de eventos de correo electrónico

Despliega analizadores ASIM desde el repositorio Microsoft Sentinel GitHub. Para consultar todas las fuentes normalizadas de eventos de correo electrónico, usa el analizador _Im_EmailEvent unificador como nombre de la tabla en tu consulta.

Para obtener más información sobre el uso de analizadores de ASIM, consulte la introducción a los analizadores de ASIM.

Agregar sus propios analizadores normalizados

Cuando implementes analizadores personalizados para el modelo de información de eventos de correo electrónico, utiliza la siguiente sintaxis de nombres:

  • ASimEmailEvent<vendor><Product> Para los parsers normales.
  • vimEmailEvent<vendor><Product> para analizadores parametrizados.

Para añadir analizadores personalizados al analizador unificador de eventos de correo electrónico, consulta Gestionar analizadores ASIM.

Resultados del analizador de filtros

El analizador de filtrado de eventos de correo electrónico soporta parámetros de filtrado para mejorar el rendimiento de las consultas.

Name Tipo Description
starttime datetime Filtra los eventos que comenzaron en ese momento o después.
endtime datetime Filtra los eventos que terminaron en ese momento o antes.
ipaddr_has_any_prefix dynamic Filtra los eventos para los que una dirección IP comienza con uno de los prefijos listados.
emailfromaddress_has_any dynamic Filtrar eventos para los que EmailFromAddress contiene uno de los valores listados.
emailrecipient_has_any dynamic Filtra los eventos que tengan uno de los destinatarios del correo listados.
emailsubject_has_any dynamic Filtrar eventos para los que EmailSubject contiene uno de los valores listados.
emaildirection_in dynamic Filtra eventos para cuyo EmailDirection valor es uno de los valores listados.
emaildeliverylocation_in dynamic Filtra eventos para cuyo EmailDeliveryLocation valor es uno de los valores listados.
eventresult String Filtrar eventos para los que EventResult equivale al valor especificado. El valor por defecto, *, no se filtra por resultado.
empaquetar Boolean Cuando se establece en true, empaqueta campos fuente no mapeados en el AdditionalFields campo dinámico. El valor predeterminado es false.

Por ejemplo, utiliza la siguiente consulta para devolver el correo entrante enviado por direcciones que contienen contoso.com durante el último día:

_Im_EmailEvent(
	starttime=ago(1d),
	endtime=now(),
	emailfromaddress_has_any=dynamic(['contoso.com']),
	emaildirection_in=dynamic(['Inbound'])
)

Detalles del esquema

Campos comunes de ASIM

Importante

Los campos comunes a todos los esquemas se describen en detalle en los campos comunes de ASIM. Las directrices de este artículo prevalecen sobre las directrices generales de un campo.

Campos comunes con directrices específicas

Campo Class Tipo Description
Tipo de evento Mandatory Enumerado Describe la actividad normalizada del correo electrónico. Los valores permitidos son EmailDelivery y EmailInspection.
Subtipo de evento Optional Enumerado Proporciona más detalles sobre la actividad por correo electrónico. Los valores permitidos son EmailSent y EmailReceived.
EventSchema Mandatory Enumerado El nombre del esquema es EmailEvent.
EventSchemaVersion Mandatory SchemaVersion (cadena) Versión del esquema. La versión documentada aquí es 1.0.0.
DetallesResultadoEvento Recomendado Enumerado Proporciona detalles sobre el resultado. Los valores permitidos son InvalidAddress, MailboxFull, MessageTooLarge, MessageRateLimitExceededRecipientRateLimitExceeded, BlockedByPolicy, BlockedBySpamFilter, , PhishingDetected, MalwareDetected, , y Other.
EventSeverity Recomendado Enumerado La gravedad del evento. Los valores permitidos son Informational, Low, Mediumy High.

Todos los campos comunes

Class Campos
Mandatory - Conteo de Eventos
- EventoInicio
- EventoEndTime
- Tipo de evento
- EventoResultado
- EventProduct
- ProveedorDeevento
- EventSchema
- EventSchemaVersion
- DVC
Recomendado - DetallesResultadoEvento
- Severidad del evento
- EventUid
- DvcIpAddr
- DvcNombre de Host
- DvcDomain
Optional - EventMessage
- Subtipo de evento
- EventoOriginalUid
- EventoOriginalType
- EventoOriginalDetallesResultados
- EventoOriginalSeveridad
- EventProductVersion
- EventReportUrl
- Propietario del evento
- Descripción de Dvc
- DvcFQDN
- DvcId
- DvcInterface
- DvcMacAddr
- DvcOriginalAction
- DvcOs
- DvcOsVersion
- DvcScope
- DvcScopeId
- DvcZone
- Entidades Adicionales
- Campos adicionales
Condicional - DvcDomainType
- DvcIdType

Campos de Email

Campo Class Tipo Description
Correo electrónicoDeDirección Recomendado String La dirección de correo electrónico en el encabezado del mensaje From .
EmailFromDomain Optional String El dominio de la dirección en la cabecera del mensaje From .
Correo electrónicoCorreo deDirección Optional String La dirección del remitente del sobre utilizada por el protocolo de transporte de correo.
EmailMailFromDomain Optional String El dominio de la dirección del remitente del sobre.
Correo electrónicoResponderADirección Recomendado String La dirección de correo electrónico en el encabezado del mensaje Reply-To .
EmailResponderToDominio Optional String El dominio de la dirección en la cabecera del mensaje Reply-To .
EmailToRecipients Recomendado Dinámico Un array de destinatarios en la cabecera del mensaje To .
EmailCCRecipients Optional Dinámico Un array de destinatarios en la cabecera del mensaje Cc .
EmailBCCRecipients Optional Dinámico Un array de destinatarios en la cabecera del mensaje Bcc .
Asunto del correo electrónico Recomendado String El asunto del correo electrónico.
EmailLanguage Optional String El lenguaje del contenido del correo, según lo informado por la fuente.
EmailSizeBytes Recomendado Long El tamaño total del correo en bytes.
EmailProtocolName Recomendado Enumerado El protocolo utilizado para transferir o recuperar el correo electrónico. Los valores permitidos son SMTP, IMAP y POP3.
Dirección de correo electrónico Recomendado Enumerado La dirección del correo en relación con el entorno de reportes. Los valores permitidos son Inbound, Outbound, Internal, Local y Unknown.
EmailDeliveryLocation Optional Enumerado La ubicación normalizada donde se entregó el correo. Los valores permitidos son Inbox, Junk, Quarantiney DeletedItems.
Correo electrónicoOriginalDeliveryUbicación Optional String El lugar de entrega según la fuente.
CorreoArchivoConteo Recomendado Integer El número de archivos adjuntos al correo.
EmailFiles Optional Dinámico Un array que describe los archivos adjuntos al correo.
Correo electrónicoConteo de URLs Recomendado Integer El número de URLs que aparecen en el correo.
EmailUrls Optional Dinámico Una variedad de URLs que aparecen en el correo.

Campos de autenticación de correo electrónico

Campo Class Tipo Description
EmailSpfResult Optional Enumerado El resultado normalizado del Marco de Política del Remitente (SPF). Los valores permitidos son Pass, Fail, SoftFail, Neutral, None, TemporaryError, y PermanentError.
EmailSpfOriginalResult Optional String El resultado del SPF tal y como lo ha reportado la fuente.
EmailDkimDomain Optional String El dominio que firmó el mensaje con DomainKeys Identified Mail (DKIM).
EmailDkimSignature Optional String La firma DKIM asociada al mensaje.
EmailDkimResult Optional Enumerado El resultado normalizado de DKIM. Los valores permitidos son Pass, Fail, TemporaryError, PermanentError y None.
Correo electrónicoDkimOriginalResult Optional String El resultado de DKIM según informó la fuente.
EmailDmarcResult Optional Enumerado El resultado normalizado de Autenticación, Reporte y Conformidad de Mensajes Basados en Dominio (DMARC). Los valores permitidos son Pass, Fail, BestGuessPassy None.
Correo electrónicoDmarcOriginalResultado Optional String El resultado del DMARC tal y como lo informó la fuente.
EmailDmarcPolicy Optional Enumerado La política DMARC se aplicaba al correo electrónico. Los valores permitidos son Quarantine, Reject y None.
Correo electrónicoDmarcOverride Optional Enumerado La razón por la que se anuló la política DMARC. Los valores permitidos son Forwarded, LocalPolicy, MailingList, SampleOut, TrustedForwardery Other.

Campos de entrega y destino

Campo Class Tipo Description
DvcAction Optional Enumerado La acción normalizada tomada en el correo. Los valores permitidos son Delivered, Modified, Redirected, Blocked, QuarantinedDeleted, , Purged, y NA.
Dst Mandatory String Un identificador único para el destino del correo electrónico.
DstIpAddr Recomendado Dirección IP La dirección IP del destino del correo electrónico.

Campos del sistema de origen

Campo Class Tipo Description
Src Recomendado String Un identificador único para el sistema fuente.
SrcIpAddr Optional Dirección IP La dirección IP de origen.
IpAddr Alias Dirección IP Alias para SrcIpAddr.
SrcHostname Recomendado Hostname Nombre de host del dispositivo de origen, excepto la información de dominio.
SrcDomain Recomendado Domain Dominio del dispositivo de origen.
SrcDomainType Condicional Enumerado Tipo de SrcDomain. Los valores permitidos son Windows, FQDN y ResourceGroup. Es obligatorio cuando SrcDomain se usa.
SrcFQDN Optional FQDN El nombre de dominio totalmente cualificado del dispositivo de origen.
SrcDvcId Optional String Identificador del dispositivo de origen.
SrcDvcIdType Condicional Enumerado Tipo de SrcDvcId. Los valores permitidos son AzureResourceId, MDEid, MD4IoTid, VMConnectionIdAwsVpcId, VectraId, ForcepointId, , AppGateId, , y Other. Es obligatorio cuando SrcDvcId se usa.
SrcDvcScope Optional String El alcance de la plataforma en la nube al que pertenece el dispositivo de origen.
SrcDvcScopeId Optional String El ID del alcance de la plataforma en la nube al que pertenece el dispositivo de origen.
SrcDeviceType Optional Enumerado El tipo de dispositivo de origen.
SrcDescription Optional String Una descripción del dispositivo de origen.
SrcIsp Optional String El proveedor de servicios de internet asociado a la dirección IP de origen.
SrcGeoCountry Optional String El país o región asociada con la dirección IP de origen.
SrcGeoRegion Optional String Región asociada a la dirección IP de origen.
SrcGeoCity Optional String Ciudad asociada con la dirección IP de origen.
SrcGeoLatitude Optional Real La latitud asociada a la dirección IP de origen.
SrcGeoLongitude Optional Real La longitud asociada a la dirección IP de origen.

Campos de usuario de origen

Campo Class Tipo Description
SrcUserName Optional String El nombre del usuario de origen.
Usuario Alias String Alias para SrcUserName.
SrcUserUpn Recomendado String El Nombre Principal de Usuario (UPN) del usuario de origen.
SrcUserId Optional String Un identificador legible por máquina para el usuario fuente.
SrcUserIdType Optional Enumerado Tipo de SrcUserId. Los valores permitidos son SID, UID, AADID, OktaIdAWSId, PUID, SalesforceId, , VectraUserId, MD4IoTid, , y Other.
SrcUsernameType Optional Enumerado El tipo del valor en SrcUserName.
SrcUserScope Optional String El ámbito en el que se define el usuario fuente.
SrcUserScopeId Optional String El ID del ámbito en el que se define el usuario fuente.

Campos de inspección

Los siguientes campos describen la norma, amenaza o indicador asociado a la inspección de correos electrónicos.

Campo Class Tipo Description
RuleName Optional String El nombre o el DNI de la norma de inspección.
RuleNumber Optional Integer El ID numérico de la norma de inspección.
Regla Alias String Alias para RuleName.
RuleDescription Optional String Una descripción de la norma de inspección.
IndicatorType Optional Enumerado El tipo de indicador identificado en el evento de correo.
IndicatorAssociation Optional Enumerado La asociación entre el indicador y el evento de correo electrónico.
ThreatId Optional String El ID de la amenaza identificada en el correo.
ThreatName Optional String El nombre de la amenaza identificada en el correo.
ThreatCategory Optional String La categoría de amenaza normalizada.
ThreatOriginalCategory Optional String La categoría de amenaza según la fuente.
ThreatRiskLevel Optional RiskLevel (integer) El nivel de riesgo de amenaza normalizado, desde 0 a través 100de .
ThreatOriginalRiskLevel Optional String El nivel de riesgo de amenaza según lo reportado por la fuente.
ThreatConfidence Optional ConfidenceLevel (integer) El nivel de confianza normalizado, desde 0 a través 100de .
ThreatOriginalConfidence Optional String La confianza en la amenaza según la fuente.
ThreatIsActive Optional Boolean Indica si la amenaza identificada está activa.
ThreatFirstReportedTime Optional Fecha y hora La primera vez que se reportó la amenaza.
ThreatLastReportedTime Optional Fecha y hora La última vez que se reportó la amenaza.
ThreatIpAddr Optional Dirección IP Una dirección IP asociada a la amenaza identificada.
ThreatField Condicional Enumerado El campo para el que se identificó la amenaza.
AttackTactics Optional String Las tácticas de MITRE ATT&CK asociadas al evento de correo electrónico.
AttackTechniques Optional String Las técnicas MITRE ATT&CK asociadas al evento de correo electrónico.
AttackRemediationSteps Optional String Pasos recomendados para remediar el ataque o amenaza identificada.

Actualizaciones de esquema

Versión 1.0.0 es la versión inicial del esquema de Eventos de Correo Electrónico.

Contenido relacionado

  • Se actualizó por última vez el