Entitas Perangkat Model Informasi Keamanan Lanjutan (ASIM)

Perangkat, atau host, adalah istilah umum yang digunakan untuk sistem yang mengambil bagian dalam peristiwa tersebut. Dvc Awalan digunakan untuk menunjuk perangkat utama tempat peristiwa terjadi. Beberapa peristiwa, seperti sesi jaringan, memiliki perangkat sumber dan tujuan, yang ditunjuk oleh awalan Src dan Dst. Dalam kasus seperti itu, awalan Dvc digunakan untuk perangkat yang melaporkan peristiwa, yang mungkin merupakan sumber, tujuan, atau perangkat pemantauan.

Alias perangkat

Ladang	Class	Type	Deskripsi
Dvc, Src, Dst	Mandatory	string	Bidang Dvc, 'Src', atau 'Dst' digunakan sebagai pengidentifikasi unik perangkat. Diatur ke opsi terbaik yang tersedia untuk perangkat. Bidang ini dapat alias bidang FQDN, DvcId, Hostname, atau IpAddr . Untuk sumber cloud yang tidak memiliki perangkat yang terlihat, gunakan nilai yang sama dengan di bidang Produk Peristiwa.

Nama perangkat

Nama perangkat yang dilaporkan hanya dapat menyertakan nama host, atau nama domain yang sepenuhnya memenuhi syarat (FQDN), yang mencakup nama host dan nama domain. FQDN mungkin diekspresikan menggunakan beberapa format. Bidang berikut memungkinkan dukungan varian yang berbeda di mana nama perangkat mungkin disediakan.

Ladang	Class	Type	Deskripsi
Nama host	Recommended	Host Name	Nama host pendek perangkat.
Domain	Recommended	string	Domain perangkat tempat peristiwa terjadi, tanpa nama host.
DomainType	Recommended	Disebutkan	Jenis Domain. Nilai yang didukung meliputi FQDN dan Windows. Bidang ini diperlukan jika bidang Domain digunakan.
FQDN	Optional	string	FQDN perangkat termasuk Nama Host dan Domain . Bidang ini mendukung format FQDN tradisional dan format domain\hostname Windows. Bidang DomainType mencerminkan format yang digunakan.

Contohnya:

Ladang	Nilai untuk input appserver.contoso.com	nilai untuk input appserver
Host Name	appserver	appserver
Domain	contoso.con	<kosong>
DomainType	FQDN	<kosong>
FQDN	appserver.contoso.com	<kosong>

Ketika nilai yang diberikan oleh sumber adalah FQDN, pengurai harus menghitung empat nilai. Ini juga berlaku ketika nilainya mungkin dan FQDN atau nama host pendek. Gunakan fungsi pembantu ASIM _ASIM_ResolveFQDN, _ASIM_ResolveSrcFQDN, _ASIM_ResolveDstFQDN, dan _ASIM_ResolveDvcFQDN untuk mengatur keempat bidang dengan mudah berdasarkan satu nilai input. Untuk informasi selengkapnya, lihat Fungsi pembantu ASIM.

ID perangkat dan Cakupan

Ladang	Class	Type	Deskripsi
DvcId	Optional	string	ID unik perangkat. Sebagai contoh: 41502da5-21b7-48ec-81c9-baeea8d7d669
ScopeId	Optional	string	ID cakupan platform cloud yang dimiliki perangkat. Peta cakupan ke ID langganan di Azure dan ke ID akun di AWS.
Ruang lingkup	Optional	string	Cakupan platform cloud yang dimiliki perangkat. Peta cakupan ke langganan di Azure dan ke akun di AWS.
DvcIdType	Optional	Disebutkan	Jenis DvcId. Biasanya bidang ini juga mengidentifikasi jenis Scope dan ScopeId. Bidang ini diperlukan jika bidang DvcId digunakan.
DvcAzureResourceId, DvcMDEid, DvcMD4IoTid, DvcVMConnectionId, DvcVectraId, DvcAwsVpcId	Optional	string	Kolom yang digunakan untuk menyimpan ID perangkat lain, jika peristiwa asli menyertakan beberapa ID perangkat. Pilih ID perangkat yang paling terkait dengan peristiwa sebagai ID utama yang disimpan di DvcId.

Nama bidang harus mendahului awalan peran seperti Src atau Dst, tetapi tidak boleh mendahului awalan kedua Dvc jika digunakan dalam peran tersebut.

Nilai yang diizinkan untuk jenis ID perangkat adalah:

Type	Deskripsi
MDEid	ID sistem yang ditetapkan oleh Microsoft Defender untuk Titik Akhir.
AzureResourceId	ID sumber daya Azure.
MD4IoTid	ID Sumber Daya Microsoft Defender untuk IoT.
VMConnectionId	ID sumber daya solusi Azure Monitor VM Insights.
AwsVpcId	AWS VPC ID
VectraId	ID sumber daya yang diunggaskan oleh Vectra AI.
Lainnya	Jenis ID yang tidak tercantum.

Misalnya, solusi Azure Monitor VM Insights menyediakan informasi sesi jaringan di VMConnection. Tabel ini menyediakan ID Sumber Daya Azure di kolom _ResourceId dan ID perangkat khusus untuk insights VM di kolom Machine. Gunakan pemetaan berikut untuk mewakili ID tersebut:

Ladang	Petakan menuju
DvcId	Bidang Machine pada tabel VMConnection.
DvcIdType	Nilai VMConnectionId
DvcAzureResourceId	Bidang _ResourceId pada tabel VMConnection.

Bidang perangkat lainnya

Ladang	Class	Type	Deskripsi
IpAddr	Recommended	alamat IP	Alamat IP perangkat. Contoh: 45.21.42.12
DvcDescription	Optional	string	Teks deskriptif yang terkait dengan perangkat. Misalnya: Primary Domain Controller.
MacAddr	Optional	MAC	Alamat MAC perangkat tempat peristiwa terjadi atau yang melaporkan peristiwa. Contoh: 00:1B:44:11:3A:B7
Zona	Optional	string	Jaringan tempat peristiwa terjadi atau yang melaporkan peristiwa, tergantung pada skemanya. Perangkat pelaporan menentukan zona. Contoh: Dmz
DvcOs	Optional	string	Sistem operasi yang berjalan pada perangkat tempat terjadinya peristiwa atau yang melaporkan peristiwa tersebut. Contoh: Windows
DvcOsVersion	Optional	string	Versi sistem operasi pada perangkat tempat peristiwa terjadi atau yang melaporkan peristiwa. Contoh: 10
DvcAction	Optional	string	Untuk melaporkan sistem keamanan, tindakan yang diambil oleh sistem, jika berlaku. Contoh: Blocked
DvcOriginalAction	Optional	string	DvcAction asli seperti yang disediakan oleh perangkat pelaporan.
Antarmuka	Optional	string	Antarmuka jaringan tempat data diambil. Bidang ini biasanya relevan dengan aktivitas terkait jaringan yang ditangkap oleh perangkat perantara atau ketuk.

Bidang yang dinamai dalam daftar dengan awalan Dvc harus mendahului awalan peran seperti Src atau Dst, tetapi tidak boleh mendahului awalan kedua Dvc jika digunakan dalam peran tersebut.