Microsoft Sentinel naplózási táblák referenciája

Ez a cikk a SentinelAudit táblák azon mezőit ismerteti, amelyek Microsoft Sentinel erőforrások felhasználói tevékenységeinek naplózására szolgálnak. A Microsoft Sentinel naplózási funkcióval nyomon követheti az SIEM-ben végrehajtott műveleteket, és információkat kaphat a környezetében végrehajtott módosításokról és a módosításokat végző felhasználókról.

Megtudhatja, hogyan kérdezheti le és használhatja a naplózási táblát a környezet műveleteinek mélyebb monitorozásához és láthatóságához.

Microsoft Sentinel naplózási funkciója jelenleg csak az elemzési szabály erőforrástípusára vonatkozik, de később más típusokat is hozzáadhat. Az alábbi táblázatokban szereplő adatmezők nagy része az erőforrástípusokra vonatkozik, de néhány típushoz külön alkalmazás tartozik. Az alábbi leírások az egyik vagy a másik módszert jelölik.

SentinelAudit táblaoszlopok sémája

Az alábbi táblázat a SentinelAudit adattáblában létrehozott oszlopokat és adatokat ismerteti:

Oszlopnév	Oszloptípus	Leírás
TenantId	Karakterlánc	A Microsoft Sentinel-munkaterület bérlőazonosítója.
TimeGenerated	Datetime	Az az időpont (UTC), amikor a naplózott tevékenység történt.
OperationName	Karakterlánc	A Azure művelet rögzítése folyamatban van. Például: - Microsoft.SecurityInsights/alertRules/Write - Microsoft.SecurityInsights/alertRules/Delete
SentinelResourceId	Karakterlánc	A Microsoft Sentinel munkaterület egyedi azonosítója és a kapcsolódó erőforrás, amelyen a naplózott tevékenység történt.
SentinelResourceName	Karakterlánc	Az erőforrás neve. Elemzési szabályok esetén ez a szabály neve.
Állapot	Karakterlánc	Az SuccessFailure vagy értéket jelöli.
Leírás	Karakterlánc	Ismerteti a műveletet, beleértve a szükséges bővített adatokat is. Hibák esetén például ez az oszlop jelezheti a hiba okát.
WorkspaceId	Karakterlánc	A munkaterület GUID azonosítója, amelyen a naplózott tevékenység történt. A teljes Azure erőforrás-azonosító a SentinelResourceID oszlopban érhető el.
SentinelResourceType	Karakterlánc	A figyelt Microsoft Sentinel erőforrástípus.
SentinelResourceKind	Karakterlánc	A figyelt erőforrás konkrét típusa. Elemzési szabályok esetében például: NRT.
CorrelationId	Karakterlánc	Az esemény korrelációs azonosítója GUID formátumban.
ExtendedProperties	Dinamikus (json)	Egy JSON-táska, amely az OperationName értéktől és az esemény állapotától függően változik. További részletekért lásd: Bővített tulajdonságok .
Típus	Karakterlánc	SentinelAudit

Műveletnevek különböző erőforrástípusokhoz

Erőforrástípusok	Műveletnevek	Állapotok
Elemzési szabályok	- Microsoft.SecurityInsights/alertRules/Write - Microsoft.SecurityInsights/alertRules/Delete	Siker Hiba

Bővített tulajdonságok

Elemzési szabályok

Az elemzési szabályok kiterjesztett tulajdonságai bizonyos szabálybeállításokat tükröznek.

Oszlopnév	Oszloptípus	Leírás
CallerIpAddress	Karakterlánc	Az IP-cím, amelyről a műveletet kezdeményezték.
Hívó neve	Karakterlánc	A műveletet kezdeményező felhasználó vagy alkalmazás.
OriginalResourceState	Dinamikus (json)	Egy JSON-táska, amely leírja a szabályt a módosítás előtt.
Ok	Karakterlánc	A művelet sikertelen végrehajtásának oka. Például: No permissions.
ResourceDiffMemberNames	Tömb[Sztring]	A szabály azon tulajdonságainak tömbje, amelyeket a naplózott tevékenység módosított. Például: ['custom_details','look_back'].
ResourceDisplayName	Karakterlánc	Annak az elemzési szabálynak a neve, amelyen a naplózott tevékenység történt.
ResourceGroupName	Karakterlánc	Annak a munkaterületnek az erőforráscsoportja, amelyen a naplózott tevékenység történt.
Erőforrás-azonosító	Karakterlánc	Annak az elemzési szabálynak az erőforrás-azonosítója, amelyen a naplózott tevékenység történt.
SubscriptionId	Karakterlánc	Annak a munkaterületnek az előfizetés-azonosítója, amelyen a naplózott tevékenység történt.
UpdatedResourceState	Dinamikus (json)	Egy JSON-táska, amely leírja a szabályt a módosítás után.
Uri	Karakterlánc	Az elemzési szabály teljes útvonalú erőforrás-azonosítója.
WorkspaceId	Karakterlánc	Annak a munkaterületnek az erőforrás-azonosítója, amelyen a naplózott tevékenység történt.
WorkspaceName	Karakterlánc	Annak a munkaterületnek a neve, amelyen a naplózott tevékenység történt.

Következő lépések

• Tudnivalók a naplózásról és az állapotmonitorozásról a Microsoft Sentinel-ben.
• Kapcsolja be a naplózást és az állapotfigyelést Microsoft Sentinel.
• Monitorozza az automatizálási szabályok és forgatókönyvek állapotát.
• Monitorozza az adatösszekötők állapotát.
• Monitorozza az elemzési szabályok állapotát és integritását.
• SentinelHealth táblák referenciája