Référence du schéma de normalisation des événements d’e-mail ASIM Microsoft Sentinel

Le schéma de normalisation des événements d’e-mail Microsoft Sentinel représente l’activité de livraison et d’inspection des e-mails. Elle inclut les détails d’adressage et de routage des messages, les résultats d’authentification des e-mails, les résultats de livraison et les menaces identifiées dans les messages e-mail.

Utilisez le schéma d’événements de messagerie pour normaliser les enregistrements provenant des serveurs de messagerie, des passerelles de messagerie sécurisées, des services de sécurité des e-mails et d’autres systèmes qui traitent ou inspectent les e-mails. La normalisation permet d’analyser ces enregistrements avec des noms et des valeurs de champs cohérents, quelle que soit la source.

Pour plus d’informations sur la normalisation dans Microsoft Sentinel, consultez Normalisation et le modèle ASIM (Advanced Security Information Model).

Vue d’ensemble du schéma

Les champs principaux d’un événement par email décrivent :

Les Dvc champs décrivent le système de déclaration ou d’inspection.

Analyseurs

Déploiement et utilisation des analyseurs d’événements par email

Déploie des analyseurs ASIM depuis le dépôt Microsoft Sentinel GitHub. Pour interroger toutes les sources d’événements d’e-mail normalisées, utilisez le parseur _Im_EmailEvent unificateur comme nom de table dans votre requête.

Pour plus d’informations sur l’utilisation des analyseurs ASIM, consultez la vue d’ensemble des analyseurs ASIM.

Ajouter vos propres analyseurs normalisés

Lorsque vous implémentez des analyseurs analysables personnalisés pour le modèle d’information d’événements Email, utilisez la syntaxe de nommage suivante :

  • ASimEmailEvent<vendor><Product> Pour les analyseurs classiques.
  • vimEmailEvent<vendor><Product> pour les analyseurs paramétrés.

Pour ajouter des analyseurs personnalisés à l’analyse unificatrice des événements Email, voir Gérer les analyseurs ASIM.

Résultats de l’analyseur de filtres

L’analyseur de filtrage des événements Email prend en charge les paramètres de filtrage pour améliorer les performances des requêtes.

Name Catégorie Description
starttime datetime Filtrez les événements qui ont commencé à cette période ou après.
endtime datetime Filtrez les événements qui se sont terminés à cette période ou avant.
ipaddr_has_any_prefix dynamic Filtrez les événements pour lesquels une adresse IP commence par l’un des préfixes listés.
emailfromaddress_has_any dynamic Filtrer les événements pour lesquels EmailFromAddress contient l’une des valeurs listées.
emailrecipient_has_any dynamic Filtrez les événements qui ont l’un des destinataires de l’email listés.
emailsubject_has_any dynamic Filtrer les événements pour lesquels EmailSubject contient l’une des valeurs listées.
emaildirection_in dynamic Filtrez les événements pour lesquels EmailDirection est l’une des valeurs listées.
emaildeliverylocation_in dynamic Filtrez les événements pour lesquels EmailDeliveryLocation est l’une des valeurs listées.
eventresult String Filtrez les événements pour lesquels EventResult est égal à la valeur spécifiée. La valeur par défaut, *, ne filtre pas par résultat.
emballer Boolean Lorsqu’il est réglé sur true, emballe les champs sources non mappés dans le AdditionalFields champ dynamique. La valeur par défaut est false.

Par exemple, utilisez la requête suivante pour retourner les emails entrants envoyés par des adresses contenant contoso.com durant le dernier jour :

_Im_EmailEvent(
	starttime=ago(1d),
	endtime=now(),
	emailfromaddress_has_any=dynamic(['contoso.com']),
	emaildirection_in=dynamic(['Inbound'])
)

Détails du schéma

Champs ASIM courants

Important

Les champs communs à tous les schémas sont décrits en détail dans les champs courants ASIM. Les directives de cet article passent outre les directives générales d’un domaine.

Champs communs avec des instructions spécifiques

Champ classe Catégorie Description
Eventtype Obligatoire Énuméré Décrit l’activité normalisée des emails. Les valeurs autorisées sont EmailDelivery et EmailInspection.
ÉvénementSous-Type Optional Énuméré Fournit plus de détails sur l’activité par email. Les valeurs autorisées sont EmailSent et EmailReceived.
EventSchema Obligatoire Énuméré Le nom du schéma est EmailEvent.
EventSchemaVersion Obligatoire SchemaVersion (chaîne) Version du schéma. La version documentée ici est 1.0.0.
EventResultDétails Recommandé Énuméré Fournit des détails sur le résultat. Les valeurs autorisées sont InvalidAddress, MailboxFull, MessageTooLarge, MessageRateLimitExceededRecipientRateLimitExceeded, BlockedByPolicy, BlockedBySpamFilter, PhishingDetected, MalwareDetectedOtheret .
EventSeverity Recommandé Énuméré La gravité de l’événement. Les valeurs autorisées sont Informational, , MediumLowet High.

Tous les champs courants

classe Fields
Obligatoire - EventCount
- EventStartTime
- ÉvénementEndTemps
- Eventtype
- EventResult
- EventProduct
- ÉvénementVendor
- EventSchema
- EventSchemaVersion
- Cvn
Recommandé - EventResultDétails
- Sévérité des événements
- EventUid
- DvcIpAddr
- DvcHostname
- DvcDomain
Optional - EventMessage
- ÉvénementSous-Type
- ÉvénementOriginalUid
- EventOriginalType
- ÉvénementOriginalRésultatDétails
- ÉvénementOriginalSévérité
- EventProductVersion
- ÉvénementReportUrl
- Propriétaire d’événements
- DvcDescription
- DvcFQDN
- DvcId
- DvcInterface
- DvcMacAddr
- DvcOriginalAction
- DvcOs
- DvcOsVersion
- DvcScope
- DvcScopeId
- DvcZone
- Entités additionnelles
- ChampsAdditionnels
Conditionnelle - DvcDomainType
- DvcIdType

Champs d’email

Champ classe Catégorie Description
EmailFromAddress Recommandé String L’adresse e-mail dans l’en-tête du message From .
EmailFromDomain Optional String Le domaine de l’adresse dans l’en-tête du message From .
EmailMailFromAddress Optional String L’adresse de l’expéditeur de l’enveloppe utilisée par le protocole de transport du courrier.
EmailMailFromDomain Optional String Le domaine de l’adresse de l’expéditeur de l’enveloppe.
EmailRépondreÀAdresseAdresse Recommandé String L’adresse e-mail dans l’en-tête du message Reply-To .
EmailReplyToDomain Optional String Le domaine de l’adresse dans l’en-tête du message Reply-To .
EmailtoDestinataires Recommandé Dynamique Un tableau de destinataires dans l’en-tête du message To .
EmailCCRecipients Optional Dynamique Un tableau de destinataires dans l’en-tête du message Cc .
EmailBCCRecipients Optional Dynamique Un tableau de destinataires dans l’en-tête du message Bcc .
E-mailObjet Recommandé String L’objet de l’e-mail.
EmailLanguage Optional String Le langage du contenu de l’email, tel que rapporté par la source.
EmailSizeBytes Recommandé Long La taille totale de l’email en octets.
EmailProtocolName Recommandé Énuméré Le protocole utilisé pour transférer ou récupérer l’email. Les valeurs autorisées sont SMTP, IMAP et POP3.
EmailDirection Recommandé Énuméré L’orientation de l’email par rapport à l’environnement de reporting. Les valeurs autorisées sont Inbound, Outbound, Internal, Local et Unknown.
EmailDeliveryLocation Optional Énuméré L’endroit normalisé où l’email a été livré. Les valeurs autorisées sont Inbox, , QuarantineJunket DeletedItems.
EmailOriginalDeliveryLocation Optional String Le lieu de livraison tel que rapporté par la source.
EmailFileCount Recommandé Integer Le nombre de fichiers attachés à l’email.
EmailFiles Optional Dynamique Un tableau qui décrit les fichiers attachés à l’email.
EmailUrlCount Recommandé Integer Le nombre d’URL trouvées dans l’email.
EmailUrls Optional Dynamique Une série d’URL trouvées dans l’email.

Champs d’authentification des e-mails

Champ classe Catégorie Description
EmailSpfResult Optional Énuméré Le résultat du Cadre de politique de l’expéditeur (SPF) normalisé. Les valeurs autorisées sont Pass, Fail, SoftFail, Neutral, None, TemporaryError, et PermanentError.
EmailSpfOriginalResult Optional String Le résultat du FPS tel que rapporté par la source.
EmailDkimDomain Optional String Le domaine qui a signé le message avec DomainKeys Identified Mail (DKIM).
EmailDkimSignature Optional String La signature DKIM associée au message.
EmailDkimResult Optional Énuméré Le résultat DKIM normalisé. Les valeurs autorisées sont Pass, Fail, TemporaryError, PermanentError et None.
EmailDkimOriginalResult Optional String Le résultat du DKIM tel que rapporté par la source.
EmailDmarcResult Optional Énuméré Le résultat normalisé de l’authentification des messages basée sur le domaine (DMARC). Les valeurs autorisées sont Pass, , BestGuessPassFailet None.
EmailDmarcOriginalResult Optional String Le résultat DMARC tel que rapporté par la source.
EmailDmarcPolicy Optional Énuméré La politique DMARC s’appliquait à l’email. Les valeurs autorisées sont Quarantine, Reject et None.
EmailDmarcOverride Optional Énuméré La raison pour laquelle la politique DMARC a été annulée. Les valeurs autorisées sont Forwarded, , LocalPolicyMailingList, SampleOut, TrustedForwarderet Other.

Champs de livraison et de destination

Champ classe Catégorie Description
DvcAction Optional Énuméré L’action normalisée prise sur l’email. Les valeurs autorisées sont Delivered, Modified, Redirected, Blocked, Quarantined, Deleted, Purged, et NA.
Dst Obligatoire String Un identifiant unique pour la destination de l’email.
DstIpAddr Recommandé Adresse IP L’adresse IP de la destination de l’email.

Champs système source

Champ classe Catégorie Description
Src Recommandé String Un identifiant unique pour le système source.
SrcIpAddr Optional Adresse IP Adresse IP de la source.
IpAddr Alias Adresse IP Alias de SrcIpAddr.
SrcHostname Recommandé Nom d’hôte Nom d’hôte de l’appareil source, à l’exception des informations de domaine.
SrcDomain Recommandé Domaine Domaine de l’appareil source.
SrcDomainType Conditionnelle Énuméré Type de SrcDomain. Les valeurs autorisées sont Windows, FQDN et ResourceGroup. Obligatoire lorsqu’elle SrcDomain est utilisée.
SrcFQDN Optional FQDN Le nom de domaine entièrement qualifié de l’appareil source.
SrcDvcId Optional String ID de l’appareil source.
SrcDvcIdType Conditionnelle Énuméré Type de SrcDvcId. Les valeurs autorisées sont AzureResourceId, MDEid, MD4IoTid, VMConnectionId, AwsVpcIdVectraId, ForcepointId, AppGateId, , et Other. Obligatoire lorsqu’elle SrcDvcId est utilisée.
SrcDvcScope Optional String L’étendue de la plateforme cloud à laquelle appartient l’appareil source.
SrcDvcScopeId Optional String L’ID de la portée de la plateforme cloud à laquelle appartient l’appareil source.
SrcDeviceType Optional Énuméré Le type d’appareil source.
SrcDescription Optional String Une description de l’appareil source.
SrcIsp Optional String Le fournisseur d’accès Internet associé à l’adresse IP source.
SrcGeoCountry Optional String Le pays ou la région associé à l’adresse IP source.
SrcGeoRegion Optional String Région associée à l’adresse IP source.
SrcGeoCity Optional String Ville associée à l’adresse IP source.
SrcGeoLatitude Optional Réel La latitude associée à l’adresse IP source.
SrcGeoLongitude Optional Réel La longitude associée à l’adresse IP source.

Champs de l’utilisateur source

Champ classe Catégorie Description
SrcUserName Optional String Le nom de l’utilisateur source.
Utilisateur Alias String Alias à SrcUserName.
SrcUserUpn Recommandé String Le nom principal utilisateur (UPN) de l’utilisateur source.
SrcUserId Optional String Un identifiant lisible par machine pour l’utilisateur source.
SrcUserIdType Optional Énuméré Type de SrcUserId. Les valeurs autorisées sont SID, UID, AADID, OktaIdAWSId, PUID, SalesforceId, VectraUserId, MD4IoTidOtheret .
SrcUsernameType Optional Énuméré Le type de la valeur dans SrcUserName.
SrcUserScope Optional String Le champ d’application dans lequel l’utilisateur source est défini.
SrcUserScopeId Optional String L’ID de l’étendue dans laquelle l’utilisateur source est défini.

Champs d’inspection

Les champs suivants décrivent la règle, la menace ou l’indicateur associé à l’inspection des e-mails.

Champ classe Catégorie Description
RuleName Optional String Le nom ou l’identifiant de la règle d’inspection.
RuleNumber Optional Integer L’identification numérique de la règle d’inspection.
Règle Alias String Alias à RuleName.
RuleDescription Optional String Une description de la règle d’inspection.
Type d’indicateur Optional Énuméré Le type d’indicateur identifié dans l’événement par email.
IndicatorAssociation Optional Énuméré L’association entre l’indicateur et l’événement par email.
ThreatId Optional String L’identification de la menace identifiée dans l’email.
ThreatName Optional String Le nom de la menace identifiée dans l’email.
ThreatCategory Optional String La catégorie de menace normalisée.
ThreatOriginalCategory Optional String La catégorie de menace telle que rapportée par la source.
ThreatRiskLevel Optional RiskLevel (Entier) Le niveau de risque de menace normalisé, de 0 jusqu’à 100.
ThreatOriginalRiskLevel Optional String Le niveau de risque de menace tel que rapporté par la source.
ThreatConfidence Optional ConfidenceLevel (entier) Le niveau de confiance normalisé, à 0 partir de .100
ThreatOriginalConfidence Optional String La confiance en la menace telle que rapportée par la source.
ThreatIsActive Optional Boolean Indique si la menace identifiée est active.
ThreatFirstReportedTime Optional Date et Heure La première fois que la menace a été signalée.
ThreatLastReportedTime Optional Date et Heure La dernière fois que la menace a été signalée.
ThreatIpAddr Optional Adresse IP Une adresse IP associée à la menace identifiée.
ChampDeMenace Conditionnelle Énuméré Le champ pour lequel la menace a été identifiée.
AttackTactics Optional String Les tactiques MITRE ATT&CK associées à l’événement par email.
AttackTechniques Optional String Les techniques MITRE ATT&CK associées à l’événement par email.
AttackRemediationSteps Optional String Mesures recommandées pour remédier à l’attaque ou à la menace identifiée.

Mises à jour de schéma

Version 1.0.0 est la version initiale du schéma d’événements par email.

Contenu connexe

  • Dernière mise à jour :