Referensi skema normalisasi Event Email Microsoft Sentinel ASIM

Skema normalisasi Event Email Microsoft Sentinel mewakili aktivitas pengiriman dan inspeksi email. Dokumen ini mencakup detail alamat dan routing pesan, hasil autentikasi email, hasil pengiriman, dan ancaman yang diidentifikasi dalam pesan email.

Gunakan skema Event Email untuk menormalkan catatan dari server email, gateway email aman, layanan keamanan email, dan sistem lain yang memproses atau memeriksa email. Normalisasi memungkinkan Anda menganalisis catatan ini dengan nama dan nilai bidang yang konsisten, tanpa memandang sumbernya.

Untuk informasi selengkapnya tentang normalisasi di Microsoft Sentinel, lihat Normalisasi dan Model Informasi Keamanan Tingkat Lanjut (ASIM).

Gambaran umum Skema

Kolom utama dari acara email mendeskripsikan:

Aktivitas email, yang diwakili oleh EventType dan EventSubType.
Pengirim dan penerima, yang diwakili oleh EmailFromAddress, EmailToRecipients, EmailCCRecipients, dan EmailBCCRecipients.
Pesan yang diwakili oleh bidang seperti EmailSubject, EmailSizeBytes, EmailFiles, dan EmailUrls.
Autentikasi email, yang diwakili oleh kolom SPF, DKIM, dan DMARC.
Hasil pengiriman, yang diwakili oleh DvcAction, EmailDeliveryLocation, EventResult, dan EventResultDetails.
Ancaman dan aturan inspeksi yang terkait dengan pesan, yang diwakili oleh kolom inspeksi.

Kolom-kolom tersebut Dvc menjelaskan sistem pelaporan atau inspeksi.

Parser

Deploy dan gunakan parser event email

Sebarkan parser ASIM dari repositori Microsoft Sentinel GitHub. Untuk melakukan query ke semua sumber event email yang dinormalisasi, gunakan parser _Im_EmailEvent penyatuan sebagai nama tabel dalam query Anda.

Untuk informasi selengkapnya tentang menggunakan pengurai ASIM, lihat gambaran umum pengurai ASIM.

Tambahkan parser normalisasi Anda sendiri

Saat Anda mengimplementasikan parser khusus untuk model informasi Peristiwa Email, gunakan sintaks penamaan berikut:

ASimEmailEvent<vendor><Product> untuk parser biasa.
vimEmailEvent<vendor><Product> untuk parser yang diparameterkan.

Untuk menambahkan parser kustom ke parser penyambung Acara Email, lihat Kelola parser ASIM.

Filter hasil parser

Parser penyaringan Peristiwa Email mendukung parameter penyaringan untuk meningkatkan kinerja kueri.

Name	Type	Description
starttime	tanggalwaktu	Filter peristiwa yang dimulai pada atau setelah waktu ini.
endtime	tanggalwaktu	Filter peristiwa yang berakhir pada atau sebelum waktu ini.
ipaddr_has_any_prefix	dynamic	Filter event di mana alamat IP dimulai dengan salah satu awalan yang tercantum.
emailfromaddress_has_any	dynamic	Filter event yang `EmailFromAddress` berisi salah satu nilai yang terdaftar.
emailrecipient_has_any	dynamic	Filter event yang memiliki salah satu penerima email yang tercantum.
emailsubject_has_any	dynamic	Filter event yang `EmailSubject` berisi salah satu nilai yang terdaftar.
emaildirection_in	dynamic	Filter event yang `EmailDirection` merupakan salah satu nilai yang terdaftar.
emaildeliverylocation_in	dynamic	Filter event yang `EmailDeliveryLocation` merupakan salah satu nilai yang terdaftar.
hasil peristiwa	String	Filter event yang `EventResult` sama dengan nilai yang ditentukan. Nilai default, `*`, tidak difilter berdasarkan hasil.
bungkus	Boolean	Ketika diatur ke `true`, pack field sumber yang belum dipetakan ke dalam `AdditionalFields` field dinamis. Defaultnya adalah `false`.

Misalnya, gunakan kueri berikut untuk mengembalikan email masuk yang dikirim oleh alamat yang berisi contoso.com selama hari terakhir:

_Im_EmailEvent(
	starttime=ago(1d),
	endtime=now(),
	emailfromaddress_has_any=dynamic(['contoso.com']),
	emaildirection_in=dynamic(['Inbound'])
)

Detail skema

Bidang ASIM umum

Important

Field yang umum untuk semua skema dijelaskan secara rinci dalam field umum ASIM. Pedoman dalam artikel ini mengesampingkan pedoman umum untuk suatu bidang.

Bidang umum dengan pedoman khusus

Field	Class	Type	Description
Jenis Peristiwa	Mandatory	Disebutkan	Menjelaskan aktivitas email yang dinormalisasi. Nilai yang diizinkan adalah `EmailDelivery` dan `EmailInspection`.
Subtipe Peristiwa	Optional	Disebutkan	Memberikan detail lebih lanjut tentang aktivitas email. Nilai yang diizinkan adalah `EmailSent` dan `EmailReceived`.
EventSchema	Mandatory	Disebutkan	Nama skemanya adalah `EmailEvent`.
EventSchemaVersion	Mandatory	SchemaVersion (String)	Versi dari skema ini. Versi yang didokumentasikan di sini adalah `1.0.0`.
EventResultDetails	Recommended	Disebutkan	Memberikan detail tentang hasilnya. Nilai yang diizinkan adalah `InvalidAddress`, `MailboxFull`, `RecipientRateLimitExceededBlockedBySpamFilterMessageTooLargeBlockedByPolicyPhishingDetectedMessageRateLimitExceededMalwareDetected`dan .`Other`
Tingkat Keparahan Peristiwa	Recommended	Disebutkan	Keparahan kejadian. Nilai yang diizinkan adalah `Informational`, `Low`, `Medium`, dan `High`.

Semua bidang umum

Class	Fields
Mandatory	- Jumlah Peristiwa - Waktu MulaiPeristiwa - Waktu Akhir Peristiwa - Jenis Peristiwa - Hasil Peristiwa - Produk Acara - Vendor Peristiwa - Skema Peristiwa - EventSchemaVersion - dvc
Recommended	- EventResultDetails - Tingkat Keparahan Peristiwa - Acara Uid - DvcIpAddr - Nama Host Dvc - Domain Dvc
Optional	- Pesan Peristiwa - Subtipe Peristiwa - PeristiwaAsliUid - EventOriginalType - EventOriginalResultDetailDetails - Tingkat Keparahan PeristiwaAsli - EventProductVersion - EventReportUrl - Pemilik Acara - Deskripsi Dvc - DvcFQDN - DvcId - Antarmuka Dvc - DvcMacAddr - DvcOriginalAction - DvcOs - DvcOsVersion - Ruang lingkup Dvc - DvcScopeId - Zona Dvc - Entitas Tambahan - Bidang Tambahan
Conditional	- DvcDomainType - DvcIdType

Kolom email

Field	Class	Type	Description
EmailDariAlamatnya	Recommended	String	Alamat email pada header pesan `From` .
EmailFromDomain	Optional	String	Domain dari alamat di header pesan `From` .
EmailMailFromAddress	Optional	String	Alamat pengirim amplop yang digunakan oleh protokol transportasi surat.
EmailMailFromDomain	Optional	String	Domain alamat pengirim amplop.
EmailBalasAlamatAlamat	Recommended	String	Alamat email pada header pesan `Reply-To` .
EmailReplyToDomain	Optional	String	Domain dari alamat di header pesan `Reply-To` .
EmailKePenerima	Recommended	Dinamis	Array penerima di header pesan `To` .
EmailCCRecipients	Optional	Dinamis	Array penerima di header pesan `Cc` .
EmailBCCRecipients	Optional	Dinamis	Array penerima di header pesan `Bcc` .
EmailSubjek	Recommended	String	Subjek email.
EmailLanguage	Optional	String	Bahasa isi email, sebagaimana dilaporkan oleh sumber.
EmailSizeBytes	Recommended	Long	Total ukuran email dalam byte.
EmailProtocolName	Recommended	Disebutkan	Protokol yang digunakan untuk mentransfer atau mengambil email. Nilai yang diizinkan adalah `SMTP`, `IMAP`, dan `POP3`.
EmailDirection	Recommended	Disebutkan	Arah email relatif terhadap lingkungan pelaporan. Nilai yang diizinkan adalah `Inbound`, `Outbound`, `Internal`, `Local`, dan `Unknown`.
EmailDeliveryLocation	Optional	Disebutkan	Lokasi yang dinormalisasi tempat email dikirim. Nilai yang diizinkan adalah `Inbox`, `Junk`, `Quarantine`, dan `DeletedItems`.
EmailAsliLokasiPengiriman	Optional	String	Lokasi pengiriman seperti yang dilaporkan oleh sumber.
EmailFileCount	Recommended	Integer	Jumlah file yang terlampir pada email.
EmailFiles	Optional	Dinamis	Array yang menjelaskan file yang dilampirkan pada email.
EmailUrlCount	Recommended	Integer	Jumlah URL yang ditemukan dalam email.
EmailUrls	Optional	Dinamis	Array URL yang ditemukan dalam email.

Bidang autentikasi email

Field	Class	Type	Description
EmailSpfResult	Optional	Disebutkan	Hasil Kerangka Kebijakan Pengirim (SPF) yang dinormalisasi. Nilai yang diizinkan adalah `Pass`, `Fail`, `SoftFail`, `Neutral`, `NoneTemporaryError`, , dan `PermanentError`.
EmailSpfOriginalResult	Optional	String	Hasil SPF seperti yang dilaporkan oleh sumber.
EmailDkimDomain	Optional	String	Domain yang menandatangani pesan dengan DomainKeys Identified Mail (DKIM).
EmailDkimSignature	Optional	String	Tanda tangan DKIM yang terkait dengan pesan.
EmailDkimResult	Optional	Disebutkan	Hasil DKIM yang dinormalisasi. Nilai yang diizinkan adalah `Pass`, `Fail`, `TemporaryError`, `PermanentError`, dan `None`.
EmailDkimHasil Asli	Optional	String	Hasil DKIM seperti yang dilaporkan oleh sumber.
EmailDmarcResult	Optional	Disebutkan	Hasil Autentikasi Pesan Berbasis Domain (DMARC) yang dinormalisasi. Nilai yang diizinkan adalah `Pass`, `Fail`, `BestGuessPass`, dan `None`.
EmailDmarcOriginalResult	Optional	String	Hasil DMARC seperti yang dilaporkan oleh sumber.
EmailDmarcPolicy	Optional	Disebutkan	Kebijakan DMARC berlaku untuk email tersebut. Nilai yang diizinkan adalah `Quarantine`, `Reject`, dan `None`.
EmailDmarcOverride	Optional	Disebutkan	Alasan kebijakan DMARC dibatalkan. Nilai yang diizinkan adalah `Forwarded`, , `LocalPolicyMailingList`, `SampleOut`, `TrustedForwarder`, dan `Other`.

Bidang pengiriman dan tujuan

Field	Class	Type	Description
DvcAction	Optional	Disebutkan	Tindakan yang sudah dinormalisasi yang diambil pada email tersebut. Nilai yang diizinkan adalah `Delivered`, `Modified`, `Redirected`, `Blocked`, `PurgedQuarantinedDeleted`dan .`NA`
dst	Mandatory	String	Pengenal unik untuk tujuan email.
DstIpAddr	Recommended	alamat IP	Alamat IP tujuan email.

Bidang sistem sumber

Field	Class	Type	Description
Src	Recommended	String	Pengenal unik untuk sistem sumber.
SrcIpAddr	Optional	alamat IP	Alamat IP sumber.
IpAddr	Alias	alamat IP	Alias ke SrcIpAddr.
SrcHostname	Recommended	Host Name	Nama host perangkat sumber, tidak termasuk informasi domain.
Domain Src	Recommended	Domain	Domain perangkat sumber.
SrcDomainType	Conditional	Disebutkan	Jenis `SrcDomain`. Nilai yang diizinkan adalah `Windows`, `FQDN`, dan `ResourceGroup`. Diperlukan saat `SrcDomain` digunakan.
SrcFQDN	Optional	FQDN	Nama domain lengkap dari perangkat sumber.
SrcDvcId	Optional	String	ID perangkat sumber.
SrcDvcIdType	Conditional	Disebutkan	Jenis `SrcDvcId`. Nilai yang diizinkan adalah `AzureResourceId`, `MDEid`, `AwsVpcIdVectraIdVMConnectionIdForcepointIdMD4IoTidAppGateId`dan .`Other` Diperlukan saat `SrcDvcId` digunakan.
SrcDvcScope	Optional	String	Ruang lingkup platform cloud tempat perangkat sumber berada.
SrcDvcScopeId	Optional	String	ID dari cakupan platform cloud tempat perangkat sumber berada.
SrcDeviceType	Optional	Disebutkan	Jenis perangkat sumber.
Deskripsi Src	Optional	String	Deskripsi perangkat sumber.
SrcIsp	Optional	String	Penyedia layanan internet yang terkait dengan alamat IP sumber.
SrcGeoCountry	Optional	String	Negara atau wilayah yang terkait dengan alamat IP sumber.
Wilayah Geologi Src	Optional	String	Wilayah yang terkait dengan alamat IP sumber.
SrcGeoCity	Optional	String	Kota yang terkait dengan alamat IP sumber.
SrcGeoLatitude	Optional	Nyata	Lintang yang terkait dengan alamat IP sumber.
SrcGeoBujur	Optional	Nyata	Bujur yang terkait dengan alamat IP sumber.

Bidang pengguna sumber

Field	Class	Type	Description
SrcUserName	Optional	String	Nama pengguna sumber.
User	Alias	String	Alias ke `SrcUserName`.
SrcUserUpn	Recommended	String	User Principal Name (UPN) pengguna sumber.
SrcUserId	Optional	String	Pengenal yang dapat dibaca mesin untuk pengguna sumber.
SrcUserIdType	Optional	Disebutkan	Jenis `SrcUserId`. Nilai yang diizinkan adalah `SID`, `UID`, `AWSIdSalesforceIdAADIDPUIDVectraUserIdOktaIdMD4IoTid`dan .`Other`
SrcUsernameType	Optional	Disebutkan	Jenis nilai dalam `SrcUserName`.
SrcUserScope	Optional	String	Ruang lingkup di mana pengguna sumber didefinisikan.
SrcUserScopeId	Optional	String	ID dari ruang lingkup di mana pengguna sumber didefinisikan.

Bidang inspeksi

Kolom berikut menjelaskan aturan, ancaman, atau indikator yang terkait dengan inspeksi email.

Field	Class	Type	Description
RuleName	Optional	String	Nama atau ID aturan inspeksi.
RuleNumber	Optional	Integer	ID numerik dari aturan inspeksi.
Aturan	Alias	String	Alias ke `RuleName`.
RuleDescription	Optional	String	Deskripsi aturan inspeksi.
IndicatorType	Optional	Disebutkan	Jenis indikator yang diidentifikasi dalam event email.
IndicatorAssociation	Optional	Disebutkan	Asosiasi antara indikator dan event email.
Identifi Ancaman	Optional	String	ID ancaman yang diidentifikasi dalam email.
Nama Ancaman	Optional	String	Nama ancaman yang diidentifikasi dalam email.
Kategori Ancaman	Optional	String	Kategori ancaman yang dinormalisasi.
ThreatOriginalCategory	Optional	String	Kategori ancaman seperti yang dilaporkan oleh sumber.
Tingkat Risiko Ancaman	Optional	Tingkat Risiko (Bilangan Bulat)	Tingkat risiko ancaman yang dinormalisasi, dari `0` hingga `100`.
ThreatOriginalRiskLevel	Optional	String	Tingkat risiko ancaman yang dilaporkan oleh sumber.
ThreatConfidence	Optional	Tingkat Keyakinan (Bilangan bulat)	Tingkat kepercayaan diri yang dinormalisasi, dari `0` hingga `100`.
ThreatOriginalConfidence	Optional	String	Kepercayaan ancaman seperti yang dilaporkan oleh sumber.
AncamanIsAktif	Optional	Boolean	Menunjukkan apakah ancaman yang teridentifikasi aktif.
ThreatFirstReportedTime	Optional	Tanggal dan waktu	Pertama kali ancaman itu dilaporkan.
ThreatLastReportedTime	Optional	Tanggal dan waktu	Terakhir kali ancaman itu dilaporkan.
ThreatIpAddr	Optional	alamat IP	Alamat IP yang terkait dengan ancaman yang telah diidentifikasi.
ThreatField	Conditional	Disebutkan	Medan tempat ancaman diidentifikasi.
AttackTactics	Optional	String	Taktik MITRE ATT&CK yang terkait dengan acara email.
AttackTechniques	Optional	String	Teknik MITRE ATT&CK yang terkait dengan acara email.
AttackRemediationSteps	Optional	String	Langkah-langkah yang direkomendasikan untuk memperbaiki serangan atau ancaman yang telah diidentifikasi.

Pembaruan skema

Versi adalah 1.0.0 rilis awal dari skema Acara Email.

Saran dan Komentar

Apakah halaman ini membantu?

Terakhir diperbarui pada 2026-10-05