Informations de référence sur le schéma de normalisation des événements d’audit ASIM (Advanced Security Information Model) (préversion publique)
Le schéma de normalisation des événements d’audit Microsoft Sentinel représente les événements associés à la piste d’audit des systèmes d’information. La piste d’audit journalise les activités de configuration système et les modifications de stratégie. Ces modifications sont souvent effectuées par les administrateurs système, mais peuvent aussi être effectuées par les utilisateurs lors de la configuration des paramètres de leurs propres applications.
Chaque système journalise les événements d’audit en même temps que ses journaux d’activité de base. Par exemple, un pare-feu journalisera les événements concernant les sessions et processus réseau, ainsi que les événements d’audit concernant les modifications de configuration appliquées au pare-feu lui-même.
Pour plus d’informations sur la normalisation dans Microsoft Sentinel, consultez Normalisation et Advanced SIEM Information Model (ASIM).
Important
Le schéma de normalisation des événements d’audit est actuellement en préversion. Cette fonctionnalité est fournie sans contrat de niveau de service. Nous ne la recommandons pas pour les charges de travail de production.
Les Conditions d’utilisation supplémentaires des préversions Microsoft Azure incluent des conditions légales supplémentaires qui s’appliquent aux fonctionnalités Azure en version bêta, en préversion ou pas encore disponibles dans la version en disponibilité générale.
Vue d’ensemble du schéma
Les principaux champs d’un événement d’audit sont :
- L’objet, qui peut être par exemple une ressource managée ou une règle de stratégie, sur lequel l’événement se concentre, représenté par le champ Object. Le champ ObjectType spécifie le type de l’objet.
- Le contexte d’application de l’objet, représenté par le champ TargetAppName, dont l’alias est Application.
- L’opération effectuée sur l’objet, représentée par les champs EventType et Operation. Operation est la valeur signalée par la source, tandis que EventType est une version normalisée, qui est plus cohérente entre les sources.
- Anciennes et nouvelles valeurs de l’objet, le cas échéant, représentées respectivement par OldValue et NewValue.
Les événements d’audit font également référence aux entités suivantes impliquées dans l’opération de configuration :
- Actor - L’utilisateur effectuant l’opération de configuration.
- TargetApp - L’application ou le système pour lequel l’opération de configuration s’applique.
- Target : système sur lequel TaregtApp* est en cours d’exécution.
- ActingApp -L’application utilisée par Actor pour effectuer l’opération de configuration.
- Src - Le système utilisé par Actor pour lancer l’opération de configuration, s’il est différent de Target.
Le descripteur Dvc est utilisé pour le dispositif à l’origine du signalement, qui correspond au système local pour les sessions signalées par un point de terminaison, et le dispositif intermédiaire ou de sécurité dans les autres cas.
Analyseurs
Déploiement et utilisation d’analyseurs d’événements d’audit
Déployez les analyseurs des événements d’audit ASIM à partir du référentiel GitHub de Microsoft Sentinel. Pour interroger toutes les sources de l’événement d’audit, utilisez l’analyseur d’unification imAuditEvent comme nom de table dans votre requête.
Pour plus d’informations sur les analyseurs ASIM, consultez Vue d’ensemble des analyseurs ASIM. Pour obtenir la liste des analyseurs d’événements d’audit, Microsoft Sentinel fournit une référence prête à l’emploi à la liste des analyseurs ASIM
Ajouter vos propres analyseurs normalisés
Quand vous implémentez des analyseurs personnalisés pour le modèle d’informations sur les événements de fichier, nommez vos fonctions KQL avec la syntaxe suivante : imAuditEvent<vendor><Product>. Reportez-vous à l’article Gestion des analyseurs ASIM pour découvrir comment ajouter vos analyseurs personnalisés aux analyseurs d’unification de l’événement d’audit.
Paramètres de filtrage des analyseurs
Les analyseurs d’événements d’audits prennent en charge les paramètres de filtrage. Bien que ces paramètres soient facultatifs, ils peuvent améliorer les performances de vos requêtes.
Les paramètres de filtrage suivants sont disponibles :
| Nom | Type | Description |
|---|---|---|
| starttime | DATETIME | Filtrez uniquement les événements qui ont été exécutés à ce moment-là ou après. Ce paramètre utilise le champ TimeGenerated comme indicateur de temps de l’événement. |
| endtime | DATETIME | Filtrez uniquement les requêtes d’événement dont l’exécution s’est terminée à ce moment-là ou avant. Ce paramètre utilise le champ TimeGenerated comme indicateur de temps de l’événement. |
| srcipaddr_has_any_prefix | dynamique | Filtrez uniquement les événements de cette adresse IP source, telle qu’elle est représentée dans le champ SrcIpAddr. |
| eventtype_in | string | Filtrez uniquement les événements dans lesquels le type d’événement, tel qu’il est représenté dans le champ EventType, est l’un des termes fournis. |
| eventresult | string | Filtrez uniquement les événements dans lesquels le résultat de l’événement, tel qu’il est représenté dans le champ EventResult, est égal à la valeur du paramètre. |
| actorusername_has_any | dynamic/string | Filtrez uniquement les événements dans lesquels ActorUsername inclut l’un des termes fournis. |
| operation_has_any | dynamic/string | Filtrez uniquement les événements dans lesquels le champ Operation inclut l’un des termes fournis. |
| object_has_any | dynamic/string | Filtrez uniquement les événements dans lesquels le champ Object inclut l’un des termes fournis. |
| newvalue_has_any | dynamic/string | Filtrez uniquement les événements dans lesquels le champ NewValue inclut l’un des termes fournis. |
Certains paramètres peuvent accepter à la fois une liste de valeurs de type dynamic ou une valeur de chaîne unique. Pour transmettre une liste de littéraux aux paramètres qui attendent une valeur dynamique, utilisez explicitement un littéral dynamique. Par exemple : dynamic(['192.168.','10.'])
Par exemple, pour filtrer uniquement les événements d’audit avec les termes install ou update dans leur champ Operation, à partir du dernier jour, utilisez :
imAuditEvent (operation_has_any=dynamic(['install','update']), starttime = ago(1d), endtime=now())
Détails du schéma
Champs ASIM communs
Important
Les champs communs à tous les schémas sont décrits en détail dans l’article Champs communs ASIM.
Champs communs avec des instructions spécifiques
La liste suivante mentionne les champs qui ont des instructions spécifiques pour les événements d’audit :
| Champ | Classe | Type | Description |
|---|---|---|---|
| EventType | Obligatoire | Énuméré | Décrit l’opération auditée par l’événement à l’aide d’une valeur normalisée. Utilisez EventSubType pour fournir des détails supplémentaires que la valeur normalisée ne transmet pas, et Operation. pour stocker l’opération telle que signalée par le dispositif de signalement. Pour les enregistrements d’événements d’audit, les valeurs autorisées sont : - Set- Read- Create- Delete- Execute- Install- Clear- Enable- Disable- Other Les événements d’audit représentent une grande variété d’opérations, et la valeur Other active les opérations de mappage qui n’ont pas de EventType correspondant. Toutefois, l’utilisation de Other limite l’utilisabilité de l’événement et doit être évitée si possible. |
| EventSubType | Facultatif | Chaîne | Fournit des détails supplémentaires que la valeur normalisée dans EventType ne transmet pas. |
| EventSchema | Obligatoire | Chaîne | La version du schéma documenté ici est AuditEvent. |
| EventSchemaVersion | Obligatoire | Chaîne | Version du schéma. La version du schéma documenté ici est 0.1. |
Tous les champs communs
Les champs qui apparaissent dans le tableau sont communs à tous les schémas ASIM. Toutes les instructions spécifiées dans ce document remplacent les instructions générales pour le champ. Par exemple, un champ peut être facultatif en général, mais obligatoire pour un schéma spécifique. Pour plus d’informations sur chaque champ, consultez l’article Champs communs ASIM.
| Classe | Fields |
|---|---|
| Obligatoire | - EventCount - EventStartTime - EventEndTime - EventType - EventResult - EventProduct - EventVendor - EventSchema - EventSchemaVersion - Dvc |
| Recommandé | - EventResultDetails - EventSeverity - EventUid - DvcIpAddr - DvcHostname - DvcDomain - DvcDomainType - DvcFQDN - DvcId - DvcIdType - DvcAction |
| Facultatif | - EventMessage - EventSubType - EventOriginalUid - EventOriginalType - EventOriginalSubType - EventOriginalResultDetails - EventOriginalSeverity - EventProductVersion - EventReportUrl - EventOwner - DvcZone - DvcMacAddr - DvcOs - DvcOsVersion - DvcOriginalAction - DvcInterface - AdditionalFields - DvcDescription - DvcScopeId - DvcScope |
Champs d’audit
| Champ | Classe | Type | Description |
|---|---|---|---|
| Operation | Obligatoire | String | Opération auditée telle que signalée par le dispositif de reporting. |
| Object | Obligatoire | String | Nom de l’objet sur lequel l’opération identifiée par EventType est effectuée. |
| ObjectType | Obligatoire | Énuméré | Type d’Object. Les valeurs autorisées sont les suivantes : - Cloud Resource- Configuration Atom- Policy Rule- Autre |
| OldValue | Facultatif | String | Ancienne valeur de Object avant l’opération, le cas échéant. |
| NewValue | Facultatif | String | Nouvelle valeur de Object après l’exécution de l’opération, le cas échéant. |
| Value | Alias | Alias pour NewValue | |
| ValueType | Logique conditionnelle | Énuméré | Type des anciennes et nouvelles valeurs. Les valeurs autorisées sont - Autre |
Champs d’intervenant
| Champ | Classe | Type | Description |
|---|---|---|---|
| ActorUserId | Facultatif | String | Représentation unique, alphanumérique et lisible par l’ordinateur de l’intervenant. Pour plus d’informations et pour obtenir d’autres champs d’ID supplémentaires, consultez L’entité Utilisateur. Exemple : S-1-12-1-4141952679-1282074057-627758481-2916039507 |
| ActorScope | Facultatif | String | L’étendue, par exemple le nom de domaine Microsoft Entra, dans laquelle ActorUserId et ActorUsername sont définis. Pour plus d’informations et pour obtenir la liste des valeurs autorisées, consultez UserScope dans l’article Vue d’ensemble du schéma. |
| ActorScopeId | Facultatif | String | ID d’étendue, par exemple, l’ID d’annuaire Microsoft Entra, où sont définis ActorUserId et ActorUsername. Pour plus d’informations et pour obtenir la liste des valeurs autorisées, consultez UserScopeId dans l’article Vue d’ensemble du schéma. |
| ActorUserIdType | Logique conditionnelle | UserIdType | Type de l’ID stocké dans le champ ActorUserId. Pour plus d’informations et pour obtenir la liste des valeurs autorisées, consultez UserIdType dans l'article Vue d’ensemble du schéma. |
| ActorUsername | Recommandé | Nom d’utilisateur | Nom d’utilisateur de l’intervenant, y compris les informations de domaine, le cas échéant. Pour plus d’informations, consultez L’entité utilisateur. Exemple : AlbertE |
| Utilisateur | Alias | Alias pour ActorUsername | |
| ActorUsernameType | Logique conditionnelle | UsernameType | Spécifie le type du nom d’utilisateur stocké dans le champ ActorUsername. Pour plus d’informations et pour obtenir la liste des valeurs autorisées, consultez UsernameType dans l'article Vue d’ensemble du schéma. Exemple : Windows |
| ActorUserType | Facultatif | UserType | Type de l’intervenant. Pour plus d’informations et pour obtenir la liste des valeurs autorisées, consultez UserIdType dans l'article Vue d’ensemble du schéma. Par exemple : Guest |
| ActorOriginalUserType | Facultatif | UserType | Type d’utilisateur signalé par le dispositif de reporting. |
| ActorSessionId | Facultatif | Chaîne | ID unique de la session de connexion de l’intervenant. Exemple : 102pTUgC3p8RIqHvzxLCHnFlg |
Champs de l’application cible
| Champ | Classe | Type | Description |
|---|---|---|---|
| TargetAppId | Facultatif | String | ID de l’application à laquelle s’applique l’événement, notamment un processus, un navigateur ou un service. Exemple : 89162 |
| TargetAppName | Facultatif | String | Nom de l’application à laquelle s’applique l’événement, notamment un service, une URL ou une application SaaS. Exemple : Exchange 365 |
| Application | Alias | Alias pour TargetAppName | |
| TargetAppType | Facultatif | AppType | Type de l’application effectuant l’autorisation pour le compte de l’intervenant. Pour plus d’informations et pour obtenir la liste autorisée des valeurs, consultez AppType dans l'article Vue d’ensemble du schéma. |
| TargetUrl | Facultatif | URL | URL associée à l’application cible. Exemple : https://console.aws.amazon.com/console/home?fromtb=true&hashArgs=%23&isauthcode=true&nc2=h_ct&src=header-signin&state=hashArgsFromTB_us-east-1_7596bc16c83d260b |
Champs Système cible
| Champ | Classe | Type | Description |
|---|---|---|---|
| Dst | Alias | Chaîne | Identificateur unique de la cible authentification. Ce champ peut avoir pour alias les champs TargerDvcId, TargetHostname, TargetIpAddr, TargetAppId ou TargetAppName. Exemple : 192.168.12.1 |
| TargetHostname | Recommandé | Nom d’hôte | Nom d’hôte de l’appareil cible, à l’exception des informations de domaine. Exemple : DESKTOP-1282V4D |
| TargetDomain | Recommandé | Chaîne | Domaine de l’appareil cible. Exemple : Contoso |
| TargetDomainType | Logique conditionnelle | Énuméré | Type de TargetDomain. Pour obtenir la liste des valeurs autorisées et des informations supplémentaires, reportez-vous à DomainType dans l’article Vue d’ensemble du schéma. Obligatoire si TargetDomain est utilisé. |
| TargetFQDN | Facultatif | Chaîne | Nom d’hôte de l’appareil cible, y compris les informations de domaine, le cas échéant. Exemple : Contoso\DESKTOP-1282V4D Remarque : ce champ prend en charge à la fois le format FQDN traditionnel et le format Windows domain\hostname. Le champ TargetDomainType reflète le format utilisé. |
| TargetDescription | Facultatif | String | Obtient le texte descriptif associé à l’appareil. Par exemple : Primary Domain Controller. |
| TargetDvcId | Facultatif | String | ID de l’appareil cible. Si plusieurs ID sont disponibles, utilisez le plus important et stockez les autres dans les champs TargetDvc<DvcIdType>. Exemple : ac7e9755-8eae-4ffc-8a02-50ed7a2216c3 |
| TargetDvcScopeId | Facultatif | String | ID de l’étendue de la plateforme cloud à laquelle appartient l’appareil source. TargetDvcScopeId correspond à un ID d’abonnement sur Azure et à un ID de compte sur AWS. |
| TargetDvcScope | Facultatif | String | Étendue de la plateforme cloud à laquelle appartient l’appareil source. TargetDvcScope correspond à un ID d’abonnement sur Azure et à un ID de compte sur AWS. |
| TargetDvcIdType | Logique conditionnelle | Énuméré | Type de TargetDvcId. Pour obtenir la liste des valeurs autorisées et des informations supplémentaires, reportez-vous à DvcIdType dans l’article Vue d’ensemble du schéma. Obligatoire si TargetDeviceId est utilisé. |
| TargetDeviceType | Facultatif | Énuméré | Type de l’appareil cible. Pour obtenir la liste des valeurs autorisées et des informations supplémentaires, reportez-vous à DeviceType dans l’article Vue d’ensemble du schéma. |
| TargetIpAddr | Facultatif | Adresse IP | Adresse IP de l’appareil cible. Exemple : 2.2.2.2 |
| TargetDvcOs | Facultatif | Chaîne | Système d’exploitation de l’appareil cible. Exemple : Windows 10 |
| TargetPortNumber | Facultatif | Integer | Port de l’appareil cible. |
Champs Application responsable de l’action
| Champ | Classe | Type | Description |
|---|---|---|---|
| ActingAppId | Facultatif | String | ID de l’application qui a lancé l’activité signalée, notamment un processus, un navigateur ou un service. Par exemple : 0x12ae8 |
| ActiveAppName | Facultatif | String | Nom de l’application qui a lancé l’activité signalée, notamment un service, une URL ou une application SaaS. Par exemple : C:\Windows\System32\svchost.exe |
| ActingAppType | Facultatif | AppType | Type de l’application agissante. Pour plus d’informations et pour obtenir la liste autorisée des valeurs, consultez AppType dans l'article Vue d’ensemble du schéma. |
| HttpUserAgent | Facultatif | Chaîne | Quand l’authentification est effectuée via HTTP ou HTTPS, la valeur de ce champ est l’en-tête HTTP user_agent fourni par l’application agissante lors de l’exécution de l’authentification. Par exemple : Mozilla/5.0 (iPhone; CPU iPhone OS 12_1 like Mac OS X) AppleWebKit/605.1.15 (KHTML, like Gecko) Version/12.0 Mobile/15E148 Safari/604.1 |
Champs Système source
| Champ | Classe | Type | Description |
|---|---|---|---|
| Src | Alias | Chaîne | Identificateur unique de l’appareil source. Ce champ peut prendre l’alias des champs SrcDvcId, SrcHostname et SrcIpAddr. Exemple : 192.168.12.1 |
| SrcIpAddr | Recommandé | Adresse IP | Adresse IP d’origine de la connexion ou de la session. Exemple : 77.138.103.108 |
| IpAddr | Alias | Alias pour SrcIpAddr ou pour TargetIpAddr si SrcIpAddr n’est pas fourni. | |
| SrcPortNumber | Facultatif | Integer | Port IP d’où provient la connexion. Peut ne pas être pertinent pour une session comprenant plusieurs connexions. Exemple : 2335 |
| SrcHostname | Recommandé | Nom d’hôte | Nom d’hôte de l’appareil source, à l’exception des informations de domaine. Si aucun nom de périphérique n’est disponible, stockez l’adresse IP pertinente dans ce champ. Exemple : DESKTOP-1282V4D |
| SrcDomain | Recommandé | Chaîne | Domaine de l’appareil source. Exemple : Contoso |
| SrcDomainType | Logique conditionnelle | DomainType | Type de SrcDomain. Pour obtenir la liste des valeurs autorisées et des informations supplémentaires, reportez-vous à DomainType dans l’article Vue d’ensemble du schéma. Obligatoire si SrcDomain est utilisé. |
| SrcFQDN | Facultatif | String | Nom d’hôte de l’appareil source, y compris les informations de domaine, le cas échéant. Remarque : ce champ prend en charge à la fois le format FQDN traditionnel et le format Windows domain\hostname. Le champ SrcDomainType reflète le format utilisé. Exemple : Contoso\DESKTOP-1282V4D |
| SrcDescription | Facultatif | String | Obtient le texte descriptif associé à l’appareil. Par exemple : Primary Domain Controller. |
| SrcDvcId | Facultatif | String | ID de l’appareil source. Si plusieurs ID sont disponibles, utilisez le plus important et stockez les autres dans les champs SrcDvc<DvcIdType>.Exemple : ac7e9755-8eae-4ffc-8a02-50ed7a2216c3 |
| SrcDvcScopeId | Facultatif | String | ID de l’étendue de la plateforme cloud à laquelle appartient l’appareil source. SrcDvcScopeId correspond à un ID d’abonnement sur Azure et à un ID de compte sur AWS. |
| SrcDvcScope | Facultatif | String | Étendue de la plateforme cloud à laquelle appartient l’appareil source. DvcSubscription correspond à un ID d’abonnement sur Azure et à un ID de compte sur AWS. |
| SrcDvcIdType | Logique conditionnelle | DvcIdType | Type de SrcDvcId. Pour obtenir la liste des valeurs autorisées et des informations supplémentaires, reportez-vous à DvcIdType dans l’article Vue d’ensemble du schéma. Remarque: ce champ est obligatoire si le champ SrcDvcld est utilisé. |
| SrcDeviceType | Facultatif | DeviceType | Type de l’appareil source. Pour obtenir la liste des valeurs autorisées et des informations supplémentaires, reportez-vous à DeviceType dans l’article Vue d’ensemble du schéma. |
| SrcSubscriptionId | Facultatif | String | ID d’abonnement à la plateforme cloud auquel appartient l’appareil source. DstSubscriptionId correspond à un ID d’abonnement sur Azure et à un ID de compte sur AWS. |
| SrcGeoCountry | Facultatif | Pays ou région | Pays associé à l’adresse IP source. Exemple : USA |
| SrcGeoRegion | Facultatif | Région | Région au sein d’un pays associé à l’adresse IP source. Exemple : Vermont |
| SrcGeoCity | Facultatif | City | Ville associée à l’adresse IP source. Exemple : Burlington |
| SrcGeoLatitude | Facultatif | Latitude | Latitude de la coordonnée géographique associée à l’adresse IP source. Exemple : 44.475833 |
| SrcGeoLongitude | Facultatif | Longitude | Longitude de la coordonnée géographique associée à l’adresse IP source. Exemple : 73.211944 |
Champs d’inspection
Les champs suivants sont utilisés pour représenter cette inspection effectuée par un système de sécurité.
| Champ | Classe | Type | Description |
|---|---|---|---|
| RuleName | Facultatif | String | Nom ou ID de la règle associée aux résultats de l’inspection. |
| RuleNumber | Facultatif | Integer | Numéro de la règle associée aux résultats de l’inspection. |
| Règle | Alias | String | Valeur de RuleName ou valeur de RuleNumber. Si la valeur de RuleNumber est utilisée, le type doit être converti en chaîne. |
| ThreatId | Facultatif | String | ID de la menace ou du programme malveillant identifié dans l’activité d’audit. |
| ThreatName | Facultatif | String | Nom de la menace ou du programme malveillant identifié dans l’activité d’audit. |
| ThreatCategory | Facultatif | String | Catégorie de la menace ou du programme malveillant identifié dans l’activité d’audit. |
| ThreatRiskLevel | Facultatif | Integer | Niveau de risque associé à la menace identifiée. Le niveau doit être un nombre compris entre 0 et 100. Remarque : la valeur peut être fournie dans l’enregistrement source en utilisant une échelle différente, qui doit être normalisée à cette échelle. La valeur d’origine doit être stockée dans le champ ThreatRiskLevelOriginal. |
| ThreatOriginalRiskLevel | Facultatif | String | Niveau de risque signalé par le périphérique de reporting. |
| ThreatConfidence | Facultatif | Integer | Niveau de confiance de la menace identifiée, normalisé à une valeur comprise entre 0 et 100. |
| ThreatOriginalConfidence | Facultatif | String | Niveau de confiance d’origine de la menace identifiée, comme indiqué par l’appareil de création de rapports. |
| ThreatIsActive | Facultatif | Booléen | True si la menace identifiée est considérée comme une menace active. |
| ThreatFirstReportedTime | Facultatif | DATETIME | Indique la première fois que l’adresse IP ou le domaine ont été identifiés comme une menace. |
| ThreatLastReportedTime | Facultatif | DATETIME | La dernière fois que l’adresse IP ou le domaine ont été identifiés comme une menace. |
| ThreatIpAddr | Facultatif | Adresse IP | Adresse IP pour laquelle une menace a été identifiée. Le champ ThreatField contient le nom du champ que ThreatIpAddr représente. |
| ThreatField | Facultatif | Énuméré | Champ pour lequel une menace a été identifiée. La valeur est soit SrcIpAddr, soit TargetIpAddr. |
Étapes suivantes
Pour plus d'informations, consultez les pages suivantes :