Microsoft Sentinel ASIM Email Event normalization séma referencia

A Microsoft Sentinel Email Event normalizációs sémája az e-mail kézbesítési és ellenőrzési tevékenységet képviseli. Tartalmazza az üzenetcímzési és útvonaltervezési részleteket, az e-mail hitelesítési eredményeket, kézbesítési eredményeket és az e-mailekben azonosított fenyegetéseket.

Használja az Email Event sémát a levelezőszerverekről, biztonságos e-mail átjárókról, e-mailbiztonsági szolgáltatásokról és más e-maileket feldolgozó vagy vizsgáló rendszerekről származó rekordok normalizálására. A normalizáció lehetővé teszi, hogy ezeket a rekordokat konzisztens mezőnevekkel és értékekkel elemezd, függetlenül a forrástól.

A Microsoft Sentinel normalizálásáról további információt a Normalizálás és az Advanced Security Information Model (ASIM) című cikkben talál.

Séma áttekintése

Egy e-mail esemény fő területei a következőket írják le:

A mezők Dvc leírják a jelentési vagy ellenőrzési rendszert.

Elemzők

E-mail eseményelemzők telepítése és használata

Telepítsd az ASIM elemzőket a Microsoft Sentinel GitHub tárolóból. Az összes normalizált e-mail eseményforrás lekérdezéséhez használja az egyesítő elemzőt _Im_EmailEvent táblanévként a lekérdezésben.

Az ASIM-elemzők használatáról az ASIM-elemzők áttekintésében talál további információt.

Saját normalizált elemzők hozzáadása

Amikor egyedi elemzőket valósítasz meg az Email Event információs modellhez, használd az alábbi névadási szintaxist:

  • ASimEmailEvent<vendor><Product> A hagyományos elemzőkhöz.
  • vimEmailEvent<vendor><Product> paraméterezett parszerekhez.

Egyedi elemzők hozzáadásához az Email Event egyesítő elemzőhöz lásd: ASIM parserek kezelése.

Szűrő elemző eredmények

Az Email Event szűrő elemző támogatja a paraméterek szűrését a lekérdezések teljesítményének javítása érdekében.

Név Típus Leírás
indítási idő datetime Szűrd az eseményeket, amelyek ennél az időpontnál vagy utána kezdődtek.
endtime datetime Szűrd meg azokat az eseményeket, amelyek ennél az időpontnál vagy előtte véget értek.
ipaddr_has_any_prefix dynamic Szűrőesemények, amelyeknél az IP-cím az egyik felsorolt előtaggal kezdődik.
emailfromaddress_has_any dynamic Szűrő események, amelyekhez EmailFromAddress egy felsorolt érték tartozik.
emailrecipient_has_any dynamic Szűrd ki azokat az eseményeket, amelyekben az egyik felsorolt e-mail címzett szerepel.
emailsubject_has_any dynamic Szűrő események, amelyekhez EmailSubject egy felsorolt érték tartozik.
emaildirection_in dynamic Szűrd az eseményeket, amelyekhez EmailDirection ezek közül az egyik felsorolt érték.
emaildeliverylocation_in dynamic Szűrd az eseményeket, amelyekhez EmailDeliveryLocation ezek közül az egyik felsorolt érték.
eventresult String Olyan eseményeket szűrjünk, amelyekhez EventResult a megadott érték megegyezik. Az alapértelmezett érték, *, nem szűri az eredmény alapján.
csomagol logikai Ha beállítjuk true, csomagolja fel a leképezetlen forrásmezőket a AdditionalFields dinamikus mezőbe. Az alapértelmezett érték a false.

Például a következő lekérdezést használjuk vissza a bejövő e-maileket, amelyeket az utolsó nap címei küldtek contoso.com :

_Im_EmailEvent(
	starttime=ago(1d),
	endtime=now(),
	emailfromaddress_has_any=dynamic(['contoso.com']),
	emaildirection_in=dynamic(['Inbound'])
)

Séma részletei

Gyakori ASIM-mezők

Important

Az összes sémához közös mezőket részletesen leírják az ASIM közös mezők. A cikkben szereplő irányelvek felülírják az adott terület általános irányelveit.

Általános mezők konkrét irányelvekkel

Field Class Típus Leírás
EventType Mandatory Felsorolt Leírja a normalizált e-mail aktivitást. A megengedett értékek: EmailDelivery és EmailInspection.
EventSubType Optional Felsorolt További részleteket ad az e-mail tevékenységről. A megengedett értékek: EmailSent és EmailReceived.
EventSchema Mandatory Felsorolt A séma neve .EmailEvent
EventSchemaVersion Mandatory SchemaVersion (sztring) A séma verziója. A itt dokumentált verzió .1.0.0
EseményEredményRészletek Recommended Felsorolt Részletesen szolgál az eredményről. A megengedett értékek InvalidAddress, MailboxFull, MessageTooLarge, MessageRateLimitExceeded, BlockedByPolicyPhishingDetectedMalwareDetectedRecipientRateLimitExceededBlockedBySpamFilterés .Other
EventSeverity Recommended Felsorolt Az esemény súlyossága. Az engedélyezett értékek a következőkInformational: , LowMediumés High.

Minden közös mező

Class Fields
Mandatory - EventCount
- EseményKezdetIdő
- EventEndTime
- EventType
- EseményEredmény
- EventProduct
- EventVendor
- EventSchema
- EventSchemaVersion
- DVC
Recommended - EseményEredményRészletek
- EseménySeverity
- EventUid
- DvcIpAddr
- DvcHostname
- DvcDomain
Optional - EventMessage
- EventSubType
- EventOriginalUid
- EventOriginalType
- EseményEredetiEredményRészletek
- EseményEredetiSúlyosság
- EventProductVersion
- EventReportUrl
- Eseménytulajdonos
- DvcLeírás
- DvcFQDN
- DvcId
- DvcInterface
- DvcMacAddr
- DvcOriginalAction
- DvcOs
- DvcOsVersion
- DvcScope
- DvcScopeId
- DvcZone
- AdditionalEntitenciák
- További mezők
Conditional - DvcDomainType
- DvcIdType

E-mail mezők

Field Class Típus Leírás
EmailFromAddress Recommended String Az üzenet From fejlécében szereplő e-mail cím.
EmailFromDomain Optional String A domain az üzenet From fejlécében szereplő címről.
EmailMailFromAddress Optional String A boríték-küldő címe, amelyet a postaátviteli protokoll használ.
EmailMailFromDomain Optional String A boríték-feladó címének tartománya.
EmailReplyTo Address Recommended String Az üzenet Reply-To fejlécében szereplő e-mail cím.
EmailReplyToDomain Optional String A domain az üzenet Reply-To fejlécében szereplő címről.
EmailToRecipients Recommended Dinamikus Az üzenet To fejlécében szereplő címzők sora.
EmailCCRecipients Optional Dinamikus Az üzenet Cc fejlécében szereplő címzők sora.
EmailBCCRecipients Optional Dinamikus Az üzenet Bcc fejlécében szereplő címzők sora.
EmailSubject Recommended String Az e-mail tárgya.
EmailLanguage Optional String Az e-mail tartalmának nyelvezete, ahogy azt a forrás bejelentette.
EmailSizeBytes Recommended Long Az e-mail teljes mérete bájtokban.
EmailProtocolName Recommended Felsorolt Az e-mail átvitelére vagy visszavételére használt protokoll. Az engedélyezett értékek a következőkSMTP: és IMAPPOP3.
EmailDirection Recommended Felsorolt Az e-mail iránya a jelentési környezethez képest. Az engedélyezett értékek a következőkInbound: , Outbound, InternalLocalés Unknown.
EmailDeliveryLocation Optional Felsorolt Az a normalizált hely, ahol az e-mail kézbesítette. Az engedélyezett értékek a következőkInbox: , JunkQuarantineés DeletedItems.
EmailOriginalDeliveryLocation Optional String A kézbesítési hely, ahogy a forrás jelentette.
EmailFileCount Recommended Integer Az e-mailhez csatolt fájlok száma.
EmailFiles Optional Dinamikus Egy tömb, amely leírja az e-mailhez csatolt fájlokat.
EmailUrlCount Recommended Integer Az e-mailben található URL-ek száma.
EmailUrls Optional Dinamikus Az e-mailben található URL-ek tömbje.

E-mail hitelesítési mezők

Field Class Típus Leírás
EmailSpfResult Optional Felsorolt A normalizált Küldő Politikai Keretrendszer (SPF) eredménye. Engedélyezett értékek: Pass, Fail, SoftFailTemporaryErrorNeutralNoneés .PermanentError
EmailSpfOriginalResult Optional String Az SPF eredmény, ahogy a forrás beszámolt.
EmailDkimDomain Optional String Az a domain, amely aláírta az üzenetet DomainKeys Azonosító Levelével (DKIM).
EmailDkimSignature Optional String Az üzenethez tartozó DKIM aláírás.
EmailDkimResult Optional Felsorolt A normalizált DKIM eredmény. Az engedélyezett értékek a következőkPass: , Fail, TemporaryErrorPermanentErrorés None.
EmailDkimOriginalResult Optional String A DKIM eredményét a forrás közölte.
EmailDmarcResult Optional Felsorolt A normalizált Domain-based Message Authentication, Reporting, and Conformance (DMARC) eredmény. Az engedélyezett értékek a következőkPass: , FailBestGuessPassés None.
EmailDmarcOriginalResult Optional String A DMARC eredménye, ahogy a forrás közölte.
EmailDmarcPolicy Optional Felsorolt A DMARC szabályzata az e-mailre vonatkozott. Az engedélyezett értékek a következőkQuarantine: és RejectNone.
EmailDmarcOverride Optional Felsorolt Ez az oka volt annak, hogy felülírták a DMARC szabályzatot. Az engedélyezett értékek a következőkForwarded: , LocalPolicyMailingList, , SampleOutTrustedForwarderés Other.

Szállítási és célmezők

Field Class Típus Leírás
DvcAction Optional Felsorolt Az e-mailre vonatkozó normalizált lépés. Az engedélyezett értékek Delivered, Modified, Redirected, Blocked, QuarantinedDeletedPurged, és .NA
DST Mandatory String Egy egyedi azonosító az e-mail célponthoz.
DstIpAddr Recommended IP-cím Az e-mail célpont IP-címe.

Forrásrendszer mezői

Field Class Típus Leírás
Src Recommended String Egyedi azonosító a forrásrendszerhez.
SrcIpAddr Optional IP-cím A forrás IP-címe.
IpAddr Alias IP-cím Alias a SrcIpAddrhez.
SrcHostname Recommended Hostname A forráseszköz hostneve, tartományinformáció nélkül.
SrcDomain Recommended Domain A forráseszköz tartománya.
SrcDomainType Conditional Felsorolt A típus SrcDomain. Az engedélyezett értékek a következőkWindows: és FQDNResourceGroup. Kötelező, ha SrcDomain használatban van.
SrcFQDN Optional FQDN A forráseszköz teljes minősített domain neve.
SrcDvcId Optional String A forráseszköz azonosítója.
SrcDvcIdType Conditional Felsorolt A típus SrcDvcId. Az engedélyezett értékek AzureResourceId, MDEid, MD4IoTid, VMConnectionId, AwsVpcIdAppGateIdVectraIdForcepointIdés .Other Kötelező, ha SrcDvcId használatban van.
SrcDvcScope Optional String A felhőplatform hatóköre, amelyhez a forráseszköz tartozik.
SrcDvcScopeId Optional String A felhőplatform hatókörének azonosítója, amelyhez a forráseszköz tartozik.
SrcDeviceType Optional Felsorolt A forráseszköz típusa.
SrcDescription Optional String A forráseszköz leírása.
SrcIsp Optional String Az internetszolgáltató, amely a forrás IP-címhez kapcsolódik.
SrcGeoCountry Optional String Az ország vagy régió, amely a forrás IP-címhez kapcsolódik.
SrcGeoRegion Optional String A forrás IP-címéhez társított régió.
SrcGeoCity Optional String A forrás IP-címéhez társított város.
SrcGeoL hála Optional reál A forrás IP-címhez tartozó szélességi fok.
SrcGeoLongitude Optional reál A forrás IP-címhez tartozó hosszúság.

Forrásfelhasználó mezői

Field Class Típus Leírás
SrcUserName Optional String A forrásfelhasználó neve.
Felhasználó Alias String Alias .SrcUserName
SrcUserUpn Recommended String A forrásfelhasználó fő felhasználóneve (UPN).
SrcUserId Optional String Egy géppel olvasható azonosító a forrásfelhasználó számára.
SrcUserIdType Optional Felsorolt A típus SrcUserId. A megengedett értékek SID, UID, AADID, OktaId, PUIDVectraUserIdMD4IoTidAWSIdSalesforceIdés .Other
SrcUsernameType Optional Felsorolt Az érték típusa .SrcUserName
SrcUserScope Optional String Az a hatótáv, amelyben a forrásfelhasználó definiálható.
SrcUserScopeId Optional String Az azonosítója, amelyben a forrás felhasználó definiálva van meghatározva.

Vizsgálati mezők

Az alábbi mezők írják le az e-mail ellenőrzéshez kapcsolódó szabályt, fenyegetést vagy jelzőt.

Field Class Típus Leírás
Szabálynév Optional String Az ellenőrzési szabály neve vagy azonosítója.
RuleNumber Optional Integer Az ellenőrzési szabály numerikus azonosítója.
szabály Alias String Alias .RuleName
Szabálydescription Optional String Az ellenőrzési szabály leírása.
Mutatótípus Optional Felsorolt Az e-mail eseményben azonosított indikátor típusa.
IndicatorAssociation Optional Felsorolt Az indikátor és az e-mail esemény közötti kapcsolat.
ThreatId Optional String Az e-mailben azonosított fenyegetés azonosítója.
ThreatName Optional String Az e-mailben azonosított fenyegetés neve.
ThreatCategory Optional String A normalizált fenyegetés kategóriá.
ThreatOriginalCategory Optional String A forrás által jelentett fenyegetettségi kategória.
ThreatRiskLevel Optional RiskLevel (egész szám) A normalizált fenyegetettségi kockázati szint, a 0100.
ThreatOriginalRiskLevel Optional String A forrás által jelentett fenyegetettségi kockázati szint.
ThreatConfidence Optional ConfidenceLevel (egész szám) A normalizált bibizalomszint, a 0100.
ThreatOriginalConfidence Optional String A forrás által beszámolt fenyegetés bizalma.
ThreatIsActive Optional logikai Jelzi, hogy az azonosított fenyegetés aktív-e.
ThreatFirstReportedTime Optional Datetime Az első alkalommal, amikor a fenyegetést jelentettek.
ThreatLastReportedTime Optional Datetime Legutóbb a fenyegetésről jelentek.
ThreatIpAddr Optional IP-cím Egy IP-cím, amely az azonosított fenyegetéshez kapcsolódik.
ThreatField Conditional Felsorolt Az a mező, ahol a fenyegetést azonosították.
AttackTactics Optional String Az e-mail eseménnyel kapcsolatos MITRE ATT&CK taktikai.
AttackTechniques Optional String Az e-mail eseménnyel kapcsolatos MITRE ATT&CK technikák.
AttackRemediationSteps Optional String Ajánlott lépések az azonosított támadás vagy fenyegetés orvoslására.

Sémafrissítések

A verzió 1.0.0 az Email Event séma kezdeti kiadása.

Kapcsolódó tartalom

  • Utolsó frissítés időpontja: