Referensi skema normalisasi Sesi Jaringan Model Informasi Keamanan Tingkat Lanjut (ASIM)

Skema normalisasi Sesi Jaringan Microsoft Sentinel mewakili aktivitas jaringan IP, seperti koneksi jaringan dan sesi jaringan. Peristiwa tersebut dilaporkan, misalnya, oleh sistem operasi, router, firewall, dan sistem pencegahan intrusi.

Skema normalisasi jaringan dapat mewakili semua jenis sesi jaringan IP tetapi dirancang untuk memberikan dukungan untuk jenis sumber umum, seperti Netflow, firewall, dan sistem pencegahan intrusi.

Untuk informasi selengkapnya tentang normalisasi di Microsoft Sentinel, lihat Normalisasi dan Model Informasi Keamanan Tingkat Lanjut (ASIM).

Parser

Untuk informasi selengkapnya tentang parser ASIM, lihat gambaran umum parser ASIM.

Menyatukan pengurai

Untuk menggunakan pengurai yang menyatukan semua pengurai di luar kotak ASIM, dan memastikan bahwa analisis Anda berjalan di semua sumber yang dikonfigurasi, gunakan _Im_NetworkSession pengurai.

Pengurai di luar kotak, khusus-sumber

Untuk daftar parser Sesi Jaringan yang disediakan Microsoft Azure Sentinel di luar kotak, lihat daftar parser ASIM

Tambahkan parser normalisasi Anda sendiri

Saat mengembangkan pengurai kustom untuk model informasi Sesi Jaringan, beri nama fungsi KQL Anda menggunakan sintaks berikut:

  • vimNetworkSession<vendor><Product> untuk pengurai berparameter
  • ASimNetworkSession<vendor><Product> untuk pengurai reguler

Lihat artikel Mengelola pengurai ASIM untuk mempelajari cara menambahkan parser kustom Anda ke parser pemersatu sesi jaringan.

Memfilter parameter parser

Pengurai Sesi Jaringan mendukung parameter pemfilteran. Meskipun parameter ini bersifat opsional, parameter ini dapat meningkatkan performa kueri Anda.

Parameter pemfilteran berikut ini tersedia:

Name Type Deskripsi
starttime tanggalwaktu Filter hanya sesi jaringan yang dimulai pada atau setelah waktu ini. Parameter ini memfilter pada TimeGenerated bidang , yang merupakan penunjuk standar untuk waktu peristiwa, terlepas dari pemetaan khusus pengurai bidang EventStartTime dan EventEndTime.
endtime tanggalwaktu Filter hanya sesi jaringan yang mulai dijalankan pada atau setelah waktu ini. Parameter ini memfilter pada TimeGenerated bidang , yang merupakan penunjuk standar untuk waktu peristiwa, terlepas dari pemetaan khusus pengurai bidang EventStartTime dan EventEndTime.
srcipaddr_has_any_prefix dynamic Filter hanya sesi jaringan yang prefiks bidang alamat IP sumbernya berada di salah satu nilai yang tercantum. Prefiks harus diakhiri dengan ., misalnya: 10.0.. Panjang daftar dibatasi hingga 10.000 item.
srcipaddr_has_any_prefix dynamic Filter hanya sesi jaringan yang prefiks bidang alamat IP sumbernya berada di salah satu nilai yang tercantum. Prefiks harus diakhiri dengan ., misalnya: 10.0.. Panjang daftar dibatasi hingga 10.000 item.
ipaddr_has_any_prefix dynamic Filter hanya sesi jaringan yang prefiks bidang alamat IP tujuan atau bidang alamat IP sumber berada di salah satu nilai yang tercantum. Prefiks harus diakhiri dengan ., misalnya: 10.0.. Panjang daftar dibatasi hingga 10.000 item.

Bidang ASimMatchingIpAddr diatur dengan salah satu nilai SrcIpAddr, DstIpAddr, atau Both untuk mencerminkan bidang atau bidang yang cocok.
dstportnomor Integer Filter hanya sesi jaringan dengan nomor port tujuan yang ditentukan.
hostname_has_any dynamic/string Filter hanya sesi jaringan yang bidang nama host tujuan memiliki salah satu nilai yang tercantum. Panjang daftar dibatasi hingga 10.000 item.

Bidang ASimMatchingHostname diatur dengan salah satu nilai SrcHostname, DstHostname, atau Both untuk mencerminkan bidang atau bidang yang cocok.
DVCACTION dynamic/string Filter hanya sesi jaringan yang bidang Tindakan Perangkat adalah salah satu nilai yang tercantum.
hasil peristiwa string Filter hanya sesi jaringan dengan nilai EventResult tertentu.

Beberapa parameter dapat menerima kedua daftar nilai jenis dynamic atau nilai string tunggal. Untuk meneruskan daftar harfiah ke parameter yang memerlukan nilai dinamis, secara eksplisit gunakan harfiah dinamis. Sebagai contoh: dynamic(['192.168.','10.'])

Misalnya, untuk memfilter hanya sesi jaringan untuk daftar nama domain tertentu, gunakan:

let torProxies=dynamic(["tor2web.org", "tor2web.com", "torlink.co"]);
_Im_NetworkSession (hostname_has_any = torProxies)

Tip

Untuk meneruskan daftar harfiah ke parameter yang memerlukan nilai dinamis, secara eksplisit gunakan harfiah dinamis. Misalnya: dynamic(['192.168.','10.']).

Konten yang dinormalisasi

Untuk daftar lengkap aturan analitik yang menggunakan peristiwa DNS yang dinormalisasi, lihat Konten keamanan sesi jaringan.

Gambaran umum Skema

Model informasi Sesi Jaringan disejajarkan dengan skema entitas Jaringan OSSEM.

Skema Sesi Jaringan melayani beberapa jenis skenario serupa tetapi berbeda, yang memiliki bidang yang sama. Skenario tersebut diidentifikasi oleh bidang EventType:

  • NetworkSession - sesi jaringan yang dilaporkan oleh perangkat perantara yang memantau jaringan, seperti Firewall, router, atau ketukan jaringan.
  • L2NetworkSession - Sesi jaringan yang hanya tersedia informasi lapisan 2. Peristiwa tersebut akan mencakup alamat MAC tetapi bukan alamat IP.
  • Flow - peristiwa agregat yang melaporkan beberapa sesi jaringan serupa, biasanya selama periode waktu yang telah ditentukan sebelumnya, seperti peristiwa Netflow .
  • EndpointNetworkSession - sesi jaringan yang dilaporkan oleh salah satu titik akhir sesi, termasuk klien dan server. Untuk peristiwa tersebut, skema mendukung remote bidang alias dan local .
  • IDS - sesi jaringan yang dilaporkan mencurigakan. Peristiwa seperti itu akan memiliki beberapa bidang inspeksi yang diisi, dan mungkin hanya memiliki satu bidang alamat IP yang diisi, baik sumber atau tujuan.

Biasanya, kueri harus memilih hanya subset dari jenis peristiwa tersebut, dan mungkin perlu mengatasi aspek unik kasus penggunaan secara terpisah. Misalnya, peristiwa IDS tidak mencerminkan seluruh volume jaringan dan tidak boleh diperhitungkan dalam analitik berbasis kolom.

Acara sesi jaringan menggunakan deskriptor Src dan Dst untuk menunjukkan peran perangkat dan pengguna dan aplikasi terkait yang terlibat dalam sesi tersebut. Jadi, misalnya, nama host perangkat sumber dan alamat IP diberi nama SrcHostname dan SrcIpAddr. Skema ASIM lainnya biasanya menggunakan Target alih-alih Dst.

Untuk peristiwa yang dilaporkan oleh titik akhir dan untuk jenis peristiwanya EndpointNetworkSession, deskriptor Local dan Remote menunjukkan titik akhir itu sendiri dan perangkat di ujung lain sesi jaringan masing-masing.

Deskriptor Dvc digunakan untuk perangkat pelaporan, yang merupakan sistem lokal untuk sesi yang dilaporkan oleh titik akhir, dan perangkat perantara atau ketukan jaringan untuk acara sesi jaringan lainnya.

Detail skema

Bidang ASIM umum

Penting

Bidang yang umum untuk semua skema dijelaskan secara rinci dalam artikel Bidang Umum ASIM.

Bidang umum dengan pedoman khusus

Daftar berikut menyebutkan bidang yang memiliki pedoman khusus untuk acara Sesi Jaringan:

Ladang Class Type Deskripsi
Jumlah Peristiwa Mandatory Integer Sumber Netflow mendukung agregasi, dan bidang EventCount harus diatur ke nilai bidang FLOWS Netflow. Untuk sumber lain, nilainya biasanya disetel ke 1.
Jenis Peristiwa Mandatory Disebutkan Menjelaskan skenario yang dilaporkan oleh rekaman.

Untuk catatan Sesi Jaringan, nilai yang diizinkan adalah:
- EndpointNetworkSession
- NetworkSession
- L2NetworkSession
- IDS
- Flow

Untuk informasi selengkapnya tentang jenis peristiwa, lihat gambaran umum skema
Subtipe Peristiwa Optional Disebutkan Deskripsi tambahan tentang jenis peristiwa, jika berlaku.
Untuk catatan Sesi Jaringan, nilai yang didukung meliputi:
- Start
- End

Bidang ini tidak relevan untuk Flow peristiwa.
Hasil Peristiwa Mandatory Disebutkan Jika perangkat sumber tidak memberikan hasil acara, EventResult harus didasarkan pada nilai DvcAction. Jika DvcAction adalah Deny, Drop, Drop ICMP, Reset, Reset Source, atau Reset Destination
, EventResult seharusnya Failure. Jika tidak, EventResult harus Success.
EventResultDetails Recommended Disebutkan Alasan atau detail untuk hasil yang dilaporkan di bidang EventResult. Nilai yang didukung adalah:
-Failover
- TCP Tidak Valid
- Terowongan Tidak Valid
- Percobaan Kembali Maksimum
-Reset
- Masalah Perutean
- Simulasi
- Dihentikan
- Batas Waktu
- Kesalahan sementara
- Tidak diketahui
- TA.

Nilai asli, spesifikasi sumber, disimpan dalam bidang EventOriginalResultDetails.
EventSchema Mandatory Disebutkan Nama skema yang didokumentasikan di sini adalah NetworkSession.
EventSchemaVersion Mandatory SchemaVersion (String) Versi dari skema ini. Versi skema yang didokumentasikan di sini adalah 0.2.7.
DvcAction Recommended Disebutkan Tindakan yang diambil pada sesi jaringan. Nilai yang didukung adalah:
- Allow
- Deny
- Drop
- Drop ICMP
- Reset
- Reset Source
- Reset Destination
- Encrypt
- Decrypt
- VPNroute

Catatan: Nilai mungkin disediakan dalam rekaman sumber dengan menggunakan istilah yang berbeda, yang harus dinormalisasi ke nilai-nilai ini. Nilai asli harus disimpan di bidang DvcOriginalAction.

Contoh: drop
Tingkat Keparahan Peristiwa Optional Disebutkan Jika perangkat sumber tidak memberikan tingkat keparahan peristiwa, EventSeverity harus didasarkan pada nilai DvcAction. Jika DvcAction adalah Deny, Drop, Drop ICMP, Reset, Reset Source, atau Reset Destination
, EventSeverity harus Low. Jika tidak, EventSeverity harus Informational.
Antarmuka Dvc Bidang DvcInterface harus mengalias bidang DvcInboundInterface atau bidang DvcOutboundInterface.
Bidang Dvc Untuk acara Sesi Jaringan, bidang perangkat mengacu pada sistem yang melaporkan acara Sesi Jaringan.

Semua bidang umum

Bidang yang muncul pada tabel di bawah ini adalah umum untuk semua skema ASIM. Setiap pedoman yang ditentukan di atas mengambil alih pedoman umum untuk bidang ini. Misalnya, sebuah bidang mungkin opsional secara umum, tetapi wajib untuk skema tertentu. Untuk informasi selengkapnya tentang kolom, lihat artikel Bidang Umum ASIM.

Kelas Fields
Mandatory - Jumlah Peristiwa
- Waktu MulaiPeristiwa
- Waktu Akhir Peristiwa
- Jenis Peristiwa
- Hasil Peristiwa
- Produk Acara
- Vendor Peristiwa
- Skema Peristiwa
- EventSchemaVersion
- Dvc
Recommended - EventResultDetails
- Tingkat Keparahan Peristiwa
- Acara Uid
- DvcIpAddr
- Nama Host Dvc
- Domain Dvc
- DvcDomainType
- DvcFQDN
- DvcId
- DvcIdType
- DvcAction
Optional - Pesan Peristiwa
- Subtipe Peristiwa
- PeristiwaAsliUid
- EventOriginalType
- PeristiwaAsliSubtipe
- EventOriginalResultDetails
- Tingkat Keparahan PeristiwaAsli
- EventProductVersion
- EventReportUrl
- Pemilik Acara
- Zona Dvc
- DvcMacAddr
- DvcOs
- DvcOsVersion
- DvcOriginalAction
- Antarmuka Dvc
- Bidang Tambahan
- DvcDescription
- DvcScopeId
- Ruang lingkup Dvc

Bidang sesi jaringan

Ladang Class Type Deskripsi
Protokol Aplikasi Jaringan Optional string Protokol lapisan aplikasi yang digunakan oleh sambungan atau sesi. Nilai harus dalam huruf besar semua.

Contoh: FTP
Protokol Jaringan Optional Disebutkan Protokol IP yang digunakan oleh koneksi atau sesi seperti yang tercantum dalam penugasan protokol IANA, yang biasanya TCP, UDP, atau ICMP.

Contoh: TCP
NetworkProtocolVersion Optional Disebutkan Versi NetworkProtocol. Saat menggunakannya untuk membedakan antara versi IP, gunakan nilai IPv4 dan IPv6.
Arah Jaringan Optional Disebutkan Arah koneksi atau sesi:

- Untuk , NetworkSession atau Flow, L2NetworkSession mewakili arah relatif terhadap batas organisasi atau lingkungan cloud. Nilai yang didukung adalah Inbound, Outbound, Local (ke organisasi), External (ke organisasi) atau NA (Tidak Berlaku).

- Untuk EventTypeEndpointNetworkSession, NetworkDirection mewakili arah relatif terhadap titik akhir. Nilai yang didukung adalah Inbound, Outbound, Local (ke sistem), Listen atau NA (Tidak Berlaku). Nilai Listen menunjukkan bahwa perangkat telah mulai menerima sambungan jaringan, tetapi sebenarnya belum tentu tersambung.
Durasi Jaringan Optional Integer Jumlah waktu, dalam milidetik, untuk penyelesaian sesi jaringan atau sambungan.

Contoh: 1500
Duration Alias Alias untuk NetworkDuration.
JaringanIcmpType Optional string Untuk pesan ICMP, nama jenis ICMP yang terkait dengan nilai numerik, seperti yang dijelaskan dalam RFC 2780 untuk koneksi jaringan IPv4, atau di RFC 4443 untuk koneksi jaringan IPv6.

Contoh: Destination Unreachable untuk NetworkIcmpCode 3
Kode Icmp Jaringan Optional Integer Untuk pesan ICMP, nomor kode ICMP seperti yang dijelaskan dalam RFC 2780 untuk koneksi jaringan IPv4, atau dalam RFC 4443 untuk koneksi jaringan IPv6.
Jaringan ConnectionHistory Optional string Bendera TCP dan informasi header IP potensial lainnya.
DstBytes Recommended Long Jumlah byte yang dikirim dari tujuan ke sumber untuk sambungan atau sesi. Jika peristiwa digabungkan, DstBytes harus merupakan jumlah dari semua sesi gabungan.

Contoh: 32455
SrcByte Recommended Long Jumlah byte yang dikirim dari sumber ke tujuan untuk koneksi atau sesi. Jika peristiwa digabungkan, SrcBytes harus merupakan jumlah dari semua sesi gabungan.

Contoh: 46536
Byte Jaringan Optional Long Jumlah byte yang dikirim ke kedua arah. Jika BytesReceived dan BytesSent ada, BytesTotal harus sama dengan jumlahnya. Jika acara digabungkan, NetworkBytes harus merupakan jumlah dari semua sesi gabungan.

Contoh: 78991
Paket DstDst Optional Long Jumlah paket yang dikirim dari tujuan ke sumber untuk sambungan atau sesi. Arti dari paket didefinisikan oleh perangkat pelaporan. Jika peristiwa digabungkan, DstPackets harus merupakan jumlah di semua sesi gabungan.

Contoh: 446
Paket Src Optional Long Jumlah paket yang dikirim dari sumber ke tujuan untuk sambungan atau sesi. Arti dari paket didefinisikan oleh perangkat pelaporan. Jika peristiwa digabungkan, SrcPackets harus merupakan jumlah di semua sesi gabungan.

Contoh: 6478
Paket Jaringan Optional Long Jumlah paket yang dikirim ke kedua arah. Jika PacketsReceived dan PacketsSent ada, PacketsTotal harus sama dengan jumlahnya. Arti dari paket didefinisikan oleh perangkat pelaporan. Jika acara digabungkan, NetworkPackets harus merupakan jumlah dari semua sesi gabungan.

Contoh: 6924
NetworkSessionId Optional string Pengidentifikasi sesi sebagaimana dilaporkan oleh perangkat pelaporan.

Contoh: 172\_12\_53\_32\_4322\_\_123\_64\_207\_1\_80
SessionId Alias string Alias untuk NetworkSessionId
TcpFlagsAck Optional Boolean Bendera TCK ACK dilaporkan. Bendera konfirmasi digunakan untuk mengonfirmasi penerimaan paket yang berhasil. Seperti yang dapat kita lihat dari diagram di atas, penerima akan mengirim ACK dan SYN dalam langkah kedua proses konfirmasi tiga arah untuk memberi tahu pengirim bahwa ia menerima paket awalnya.
TcpFlagsFin Optional Boolean Bendera TCP FIN dilaporkan. Bendera selesai berarti tidak ada lagi data dari pengirim. Oleh karena itu, hal ini digunakan dalam paket terakhir yang dikirim oleh pengirim.
TcpFlagsSyn Optional Boolean Bendera TCP SYN dilaporkan. Bendera sinkronisasi digunakan sebagai langkah pertama dalam membangun konfirmasi tiga arah antara dua host. Hanya paket pertama dari pengirim dan penerima yang harus memiliki bendera ini diatur.
TcpFlagsUrg Optional Boolean Bendera TCP URG dilaporkan. Bendera mendesak digunakan untuk memberi tahu penerima guna memproses paket mendesak sebelum memproses semua paket lainnya. Penerima akan diberi tahu ketika semua data mendesak yang diketahui telah diterima. Lihat RFC 6093 untuk mengetahui detail selengkapnya.
TcpFlagsPsh Optional Boolean Bendera TCP PSH dilaporkan. Bendera push mirip dengan bendera URG dan memberi tahu penerima untuk memproses paket ini saat diterima alih-melakukan buffer terhadap paket.
TcpFlagsRst Optional Boolean Bendera TCP RST dilaporkan. Bendera reset dikirim dari penerima ke pengirim ketika paket dikirim ke host tertentu yang tidak mengharapkannya.
TcpFlagsEce Optional Boolean Bendera TCP ECE dilaporkan. Bendera ini bertanggung jawab untuk menunjukkan apakah peer TCP mendukung ECN. Lihat RFC 3168 untuk mengetahui detail selengkapnya.
TCPnderaCwr Optional Boolean Bendera TCP CWR dilaporkan. Bendera pengurangan periode kemacetan digunakan oleh host pengirim untuk menunjukkan bahwa ia menerima paket dengan set bendera ECE. Lihat RFC 3168 untuk mengetahui detail selengkapnya.
TcpFlagsNs Optional Boolean Bendera TCP NS dilaporkan. Bendera jumlah nonce masih merupakan bendera eksperimental yang digunakan untuk membantu melindungi agar paket berbahaya yang tidak disengaja tidak disembunyikan dari pengirim. Lihat RFC 3540 untuk mengetahui detail selengkapnya

Bidang sistem tujuan

Ladang Class Type Deskripsi
Dst Alias Pengenal unik dari server yang menerima permintaan DNS.

Bidang ini bisa mengalias bidang DstDvcId, DstHostname, atau DstIpAddr.

Contoh: 192.168.12.1
DstIpAddr Recommended alamat IP Alamat IP koneksi atau tujuan sesi. Jika sesi menggunakan terjemahan alamat jaringan, DstIpAddr adalah alamat yang terlihat publik, dan bukan alamat sumber asli, yang disimpan dalam DstNatIpAddr

Contoh: 2001:db8::ff00:42:8329

Catatan: Nilai ini wajib jika DstHostname ditentukan.
Nomor DstPort Optional Integer Port IP tujuan.

Contoh: 443
DstNama Host Recommended Nama Host (String) Nama host perangkat tujuan, tidak termasuk informasi domain. Jika tidak ada nama perangkat yang tersedia, simpan alamat IP yang relevan di bidang ini.

Contoh: DESKTOP-1282V4D
Domain DstDomain Recommended Domain (String) Domain perangkat tujuan.

Contoh: Contoso
DstDomainType Bersyarat Disebutkan Jenis DstDomain. Untuk mengetahui daftar nilai yang diizinkan dan informasi lebih lanjut, lihat DomainType di artikel Gambaran Umum Skema.

Diperlukan jika DstDomain digunakan.
DstFQDN Optional FQDN (String) Nama host perangkat target, termasuk informasi domain saat tersedia.

Contoh: Contoso\DESKTOP-1282V4D

Catatan: Bidang ini mendukung format FQDN tradisional dan format domain\hostname Windows. DstDomainType mencerminkan format yang digunakan.
DstDvcId Optional string ID perangkat tujuan. Jika terdapat beberapa ID tersedia, gunakan yang paling penting, dan simpan yang lain di bidang DstDvc<DvcIdType>.

Contoh: ac7e9755-8eae-4ffc-8a02-50ed7a2216c3
DstDvcScopeId Optional string ID cakupan platform cloud yang dimiliki perangkat. DstDvcScopeId memetakan ke ID langganan di Azure dan ke ID akun di AWS.
Ruang lingkup DstDvc Optional string Cakupan platform cloud yang dimiliki perangkat. DstDvcScope memetakan ke ID langganan di Azure dan ke ID akun di AWS.
DstDvcIdType Bersyarat Disebutkan Jenis DstDvcId. Untuk mengetahui daftar nilai yang diizinkan dan informasi lebih lanjut, lihat DvcIdType di artikel Gambaran Umum Skema.

Diperlukan jika DstDeviceId digunakan.
DstDeviceType Optional Disebutkan Jenis perangkat tujuan. Untuk mengetahui daftar nilai yang diizinkan dan informasi lebih lanjut, lihat DeviceType di artikel Gambaran Umum Skema.
Zona DstDstZone Optional string Zona jaringan dari tujuan, seperti yang didefinisikan oleh perangkat pelaporan.

Contoh: Dmz
DstInterfaceName Optional string Antarmuka jaringan yang digunakan untuk sambungan atau sesi oleh perangkat tujuan.

Contoh: Microsoft Hyper-V Network Adapter
DstInterfaceGuid Optional GUID (String) GUID antarmuka jaringan yang digunakan pada perangkat tujuan.

Contoh:
46ad544b-eaf0-47ef-
827c-266030f545a6
DstMacAddr Optional Alamat MAC (String) Alamat MAC dari antarmuka jaringan yang digunakan untuk koneksi atau sesi oleh perangkat tujuan.

Contoh: 06:10:9f:eb:8f:14
DstVlanId Optional string ID VLAN yang terkait dengan perangkat tujuan.

Contoh: 130
OuterVlanId Alias Alias untuk DstVlanId.

Dalam banyak kasus, VLAN tidak dapat ditentukan sebagai sumber atau tujuan tetapi dicirikan sebagai inner atau outer. Alias ini menandakan bahwa DstVlanId harus digunakan ketika VLAN dicirikan sebagai outer.
DstGeoCountry Optional Negara Negara/wilayah yang terkait dengan alamat IP tujuan. Untuk informasi selengkapnya, lihat Jenis logika.

Contoh: USA
DstGeoRegion Optional Wilayah Wilayah, atau status, yang terkait dengan alamat IP tujuan. Untuk informasi selengkapnya, lihat Jenis logika.

Contoh: Vermont
DstGeoCity Optional Kota Kota yang terkait dengan alamat IP tujuan. Untuk informasi selengkapnya, lihat Jenis logika.

Contoh: Burlington
DstGeoLatitude Optional Lintang Garis lintang koordinat geografis yang terkait dengan alamat IP tujuan. Untuk informasi selengkapnya, lihat Jenis logika.

Contoh: 44.475833
DstGeoLongitude Optional Bujur Garis bujur koordinat geografis yang terkait dengan alamat IP tujuan. Untuk informasi selengkapnya, lihat Jenis logika.

Contoh: 73.211944
Deskripsi Dst Optional string Teks deskriptif yang terkait dengan perangkat. Misalnya: Primary Domain Controller.

Bidang pengguna tujuan

Ladang Class Type Deskripsi
DstUserId Optional string Representasi unik, alfanumerik, dan dapat dibaca mesin dari pengguna tujuan. Untuk format yang didukung untuk jenis ID yang berbeda, lihat Entitas pengguna.

Contoh: S-1-12
DstUserScope Optional string Cakupan, seperti penyewa Microsoft Entra, di mana DstUserId dan DstUsername ditentukan. atau informasi selengkapnya dan daftar nilai yang diizinkan, lihat UserScope di artikel Gambaran Umum Skema.
DstUserScopeId Optional string ID cakupan, seperti ID Microsoft Entra Directory, di mana DstUserId dan DstUsername ditentukan. untuk informasi selengkapnya dan daftar nilai yang diizinkan, lihat UserScopeId di artikel Gambaran Umum Skema.
DstUserIdType Bersyarat UserIdType Jenis ID yang disimpan di bidang DstUserId. Untuk mengetahui daftar nilai yang diizinkan dan informasi lebih lanjut, lihat UserIdType di artikel Gambaran Umum Skema.
DstNama pengguna Optional Nama pengguna (String) Nama pengguna Tujuan, termasuk informasi domain bila ada. Untuk format yang didukung untuk jenis ID yang berbeda, lihat Entitas pengguna. Gunakan formulir sederhana hanya jika informasi domain tidak tersedia.

Simpan jenis Nama Pengguna di bidang DstUsernameType. Jika format nama pengguna lain tersedia, simpan di bidang DstUsername<UsernameType>.

Contoh: AlbertE
Pengguna Alias Alias ke DstUsername.
DstUsernameType Bersyarat JenisNamaPengguna Menentukan jenis nama pengguna yang disimpan di bidang DstUsername. Untuk mengetahui daftar nilai yang diizinkan dan informasi lebih lanjut, lihat UsernameType di artikel Gambaran Umum Skema.

Contoh: Windows
DstUserType Optional Jenis Pengguna Jenis pengguna tujuan. Untuk mengetahui daftar nilai yang diizinkan dan informasi lebih lanjut, lihat UserType di artikel Gambaran Umum Skema.

Catatan: Nilai mungkin disediakan dalam rekaman sumber dengan menggunakan istilah yang berbeda, yang harus dinormalisasi ke nilai-nilai ini. Simpan nilai asli di bidang DstOriginalUserType.
DstOriginalUserType Optional string Jenis pengguna tujuan asli, jika disediakan oleh sumbernya.

Bidang Aplikasi tujuan

Ladang Class Type Deskripsi
DstAppName Optional string Nama aplikasi tujuan.

Contoh: Facebook
DstAppId Optional string ID aplikasi tujuan, seperti yang dilaporkan oleh perangkat pelapor. Jika DstAppType adalah Process, DstAppId dan DstProcessId harus memiliki nilai yang sama.

Contoh: 124
DstAppType Optional Jenis Aplikasi Tipe aplikasi tujuan. Untuk mengetahui daftar nilai yang diizinkan dan informasi lebih lanjut, lihat AppType di artikel Gambaran Umum Skema.

Bidang ini wajib jika DstAppName atau DstAppId digunakan.
DstProcessName Optional string Nama file proses yang mengakhiri sesi jaringan. Nama ini biasanya dianggap sebagai nama proses.

Contoh: C:\Windows\explorer.exe
Proses Alias Alias ke DstProcessName

Contoh: C:\Windows\System32\rundll32.exe
DstProcessId Optional string ID proses (PID) dari proses yang mengakhiri sesi jaringan.

Contoh: 48610176

Catatan: Jenis didefinisikan sebagai string untuk mendukung berbagai sistem, tetapi pada Windows dan Linux nilai ini harus berupa angka.

Jika Anda menggunakan mesin Windows atau Linux dan menggunakan jenis yang berbeda, pastikan untuk mengonversi nilai ini. Misalnya, jika Anda menggunakan nilai heksadesimal, ubah menjadi nilai desimal.
DstProcessGuid Optional string Pengidentifikasi unik (GUID) yang dihasilkan dari proses yang mengakhiri sesi jaringan.

Contoh: EF3BD0BD-2B74-60C5-AF5C-010000001E00

Bidang sistem sumber

Ladang Class Type Deskripsi
Busur Alias Pengenal unik perangkat sumber.

Bidang ini bisa menjadi alias bagi bidang SrcDvcId, SrcHostname, atau SrclpAddr.

Contoh: 192.168.12.1
SrcIpAddr Recommended alamat IP Alamat IP tempat koneksi atau sesi berasal. Nilai ini wajib jika SrcHostname ditentukan. Jika sesi menggunakan terjemahan alamat jaringan, SrcIpAddr adalah alamat yang terlihat oleh publik, dan bukan alamat asli sumber, yang disimpan di SrcNatIpAddr

Contoh: 77.138.103.108
SrcPortNumber Optional Integer Port IP tempat sambungan berasal. Mungkin tidak relevan untuk sesi yang terdiri dari beberapa sambungan.

Contoh: 2335
Nama Host Src Recommended Nama Host (String) Nama host perangkat sumber, tidak termasuk informasi domain. Jika tidak ada nama perangkat yang tersedia, simpan alamat IP yang relevan di bidang ini.

Contoh: DESKTOP-1282V4D
Domain Src Recommended Domain (String) Domain perangkat sumber.

Contoh: Contoso
SrcDomainType Bersyarat JenisDomain Jenis SrcDomain. Untuk mengetahui daftar nilai yang diizinkan dan informasi lebih lanjut, lihat DomainType di artikel Gambaran Umum Skema.

Diperlukan jika SrcDomain digunakan.
SrcFQDN Optional FQDN (String) Nama host perangkat sumber, termasuk informasi domain saat tersedia.

Catatan: Bidang ini mendukung format FQDN tradisional dan format domain\hostname Windows. Bidang SrcDomainType mencerminkan format yang digunakan.

Contoh: Contoso\DESKTOP-1282V4D
SrcDvcId Optional string ID perangkat sumber. Jika terdapat beberapa ID tersedia, gunakan yang paling penting, dan simpan yang lain di bidang SrcDvc<DvcIdType>.

Contoh: ac7e9755-8eae-4ffc-8a02-50ed7a2216c3
SrcDvcScopeId Optional string ID cakupan platform cloud yang dimiliki perangkat. Peta SrcDvcScopeId ke ID langganan di Azure dan ke ID akun di AWS.
Lingkup SrcDvc Optional string Cakupan platform cloud yang dimiliki perangkat. SrcDvcScope memetakan ke ID langganan di Azure dan ke ID akun di AWS.
SrcDvcIdType Bersyarat DvcIdType Jenis SrcDvcId. Untuk mengetahui daftar nilai yang diizinkan dan informasi lebih lanjut, lihat DvcIdType di artikel Gambaran Umum Skema.

Catatan: Bidang ini diperlukan jika SrcDvcId digunakan.
SrcDeviceType Optional Jenis Perangkat Jenis perangkat sumber Untuk mengetahui daftar nilai yang diizinkan dan informasi lebih lanjut, lihat DeviceType di artikel Gambaran Umum Skema.
Zona Src Optional string Zona jaringan dari sumber, seperti yang didefinisikan oleh perangkat pelaporan.

Contoh: Internet
SrcInterfaceName Optional string Antarmuka jaringan yang digunakan untuk sambungan atau sesi oleh perangkat sumber.

Contoh: eth01
SrcInterfaceGuid Optional GUID (String) GUID antarmuka jaringan yang digunakan pada perangkat asal.

Contoh:
46ad544b-eaf0-47ef-
827c-266030f545a6
SrcMacAddr Optional Alamat MAC (String) Alamat MAC antarmuka jaringan dari mana koneksi atau sesi berasal.

Contoh: 06:10:9f:eb:8f:14
SrcVlanId Optional string ID VLAN yang terkait dengan perangkat sumber.

Contoh: 130
InnerVlanId Alias Alias untuk SrcVlanId.

Dalam banyak kasus, VLAN tidak dapat ditentukan sebagai sumber atau tujuan tetapi dicirikan sebagai inner atau outer. Alias ini menandakan bahwa SrcVlanId harus digunakan ketika VLAN dicirikan sebagai inner.
SrcGeoCountry Optional Negara Negara/wilayah yang terkait dengan alamat IP sumber.

Contoh: USA
Wilayah Geologi Src Optional Wilayah Wilayah yang terkait dengan alamat IP sumber.

Contoh: Vermont
SrcGeoCity Optional Kota Kota yang terkait dengan alamat IP sumber.

Contoh: Burlington
SrcGeoLatitude Optional Lintang Garis lintang koordinat geografis yang terkait dengan alamat IP sumber.

Contoh: 44.475833
SrcGeoBujur Optional Bujur Garis bujur koordinat geografis yang terkait dengan alamat IP sumber.

Contoh: 73.211944
Deskripsi Src Optional string Teks deskriptif yang terkait dengan perangkat. Misalnya: Primary Domain Controller.

Bidang pengguna sumber

Ladang Class Type Deskripsi
SrcUserId Optional string Representasi unik, alfanumerik, dan dapat dibaca komputer dari pengguna sumber. Untuk format yang didukung untuk jenis ID yang berbeda, lihat Entitas pengguna.

Contoh: S-1-12
SrcUserScope Optional string Cakupan, seperti penyewa Microsoft Entra, di mana SrcUserId dan SrcUsername ditentukan. atau informasi selengkapnya dan daftar nilai yang diizinkan, lihat UserScope di artikel Gambaran Umum Skema.
SrcUserScopeId Optional string ID cakupan, seperti ID Microsoft Entra Directory, di mana SrcUserId dan SrcUsername ditentukan. untuk informasi selengkapnya dan daftar nilai yang diizinkan, lihat UserScopeId di artikel Gambaran Umum Skema.
SrcUserIdType Bersyarat UserIdType Jenis ID yang disimpan pada bidang ActorUserId. Untuk mengetahui daftar nilai yang diizinkan dan informasi lebih lanjut, lihat UserIdType di artikel Gambaran Umum Skema.
SrcNama pengguna Optional Nama pengguna (String) Nama pengguna Sumber, termasuk informasi domain jika tersedia. Untuk format yang didukung untuk jenis ID yang berbeda, lihat Entitas pengguna. Gunakan formulir sederhana hanya jika informasi domain tidak tersedia.

Simpan jenis Nama Pengguna di bidang SrcUsernameType. Jika format nama pengguna lain tersedia, simpan di bidang SrcUsername<UsernameType>.

Contoh: AlbertE
SrcUsernameType Bersyarat JenisNamaPengguna Menentukan jenis nama pengguna yang disimpan di bidang TargetUsername. Untuk mengetahui daftar nilai yang diizinkan dan informasi lebih lanjut, lihat UsernameType di artikel Gambaran Umum Skema.

Contoh: Windows
SrcUserType Optional Jenis Pengguna Jenis pengguna sumber. Untuk mengetahui daftar nilai yang diizinkan dan informasi lebih lanjut, lihat UserType di artikel Gambaran Umum Skema.

Catatan: Nilai mungkin disediakan dalam rekaman sumber dengan menggunakan istilah yang berbeda, yang harus dinormalisasi ke nilai-nilai ini. Simpan nilai asli di bidang SrcOriginalUserType.
SrcOriginalUserType Optional string Jenis pengguna tujuan asli, jika disediakan oleh perangkat pelapor.

Bidang aplikasi sumber

Ladang Class Type Deskripsi
Nama Aplikasi Src Optional string Nama aplikasi sumber.

Contoh: filezilla.exe
SrcAppId Optional string ID aplikasi sumber, seperti yang dilaporkan oleh perangkat pelapor. Jika SrcAppType adalah Process, SrcAppId dan SrcProcessId harus memiliki nilai yang sama.

Contoh: 124
SrcAppType Optional Jenis Aplikasi Jenis aplikasi sumber. Untuk mengetahui daftar nilai yang diizinkan dan informasi lebih lanjut, lihat AppType di artikel Gambaran Umum Skema.

Bidang ini wajib jika SrcAppName atau SrcAppId digunakan.
SrcProcessName Optional string Nama file dari proses yang memulai sesi jaringan. Nama ini biasanya dianggap sebagai nama proses.

Contoh: C:\Windows\explorer.exe
SrcProcessId Optional string ID proses (PID) dari proses yang memulai sesi jaringan.

Contoh: 48610176

Catatan: Jenis didefinisikan sebagai string untuk mendukung berbagai sistem, tetapi pada Windows dan Linux nilai ini harus berupa angka.

Jika Anda menggunakan mesin Windows atau Linux dan menggunakan jenis yang berbeda, pastikan untuk mengonversi nilai ini. Misalnya, jika Anda menggunakan nilai heksadesimal, ubah menjadi nilai desimal.
SrcProcessGuid Optional string Pengidentifikasi unik (GUID) yang dihasilkan dari proses yang memulai sesi jaringan.

Contoh: EF3BD0BD-2B74-60C5-AF5C-010000001E00

Alias lokal dan jarak jauh

Semua bidang sumber dan tujuan yang tercantum di atas, dapat secara opsional alias oleh bidang dengan nama yang sama dan deskriptor Local dan Remote. Biasanya membantu untuk peristiwa yang dilaporkan oleh titik akhir dan untuk peristiwa dengan jenis acara EndpointNetworkSession.

Untuk peristiwa seperti itu deskriptor Local dan Remote menunjukkan titik akhir itu sendiri dan perangkat di ujung lain dari sesi jaringan masing-masing. Untuk koneksi masuk, sistem lokal adalah tujuan, bidang Local adalah alias ke bidang Dst, dan bidang 'Jarak Jauh' adalah alias ke bidang Src. Sebaliknya, untuk koneksi keluar, sistem lokal adalah sumber, bidang Local adalah alias ke bidang Src, dan bidang Remote adalah alias ke bidang Dst.

Misalnya, untuk peristiwa masuk, bidang LocalIpAddr adalah alias ke DstIpAddr dan bidang RemoteIpAddr adalah alias ke SrcIpAddr.

Nama host dan alias alamat IP

Ladang Class Type Deskripsi
Nama host Alias - Jika jenis peristiwa adalah NetworkSession, Flow atau L2NetworkSession, Nama host adalah alias untuk DstHostname.
- Jika jenis peristiwa adalah EndpointNetworkSession, Nama host adalah alias ke RemoteHostname, yang dapat menjadi alias DstHostname atau SrcHostName, tergantung pada NetworkDirection
IpAddr Alias - Jika jenis peristiwa adalah NetworkSession, Flow atau L2NetworkSession, IpAddr adalah alias untuk SrcIpAddr.
- Jika jenis peristiwa adalah EndpointNetworkSession, IpAddr adalah alias untuk LocalIpAddr, yang dapat alias baik SrcIpAddr atau DstIpAddr, tergantung pada NetworkDirection.

Bidang perangkat perantara dan Terjemahan Alamat Jaringan (NAT)

Bidang berikut berguna jika catatan menyertakan informasi tentang perangkat perantara, seperti firewall atau proksi, yang merelai sesi jaringan.

Sistem perantara sering menggunakan terjemahan alamat dan oleh karena itu alamat asli dan alamat yang terlihat dari luar tidak sama. Dalam kasus demikian, bidang alamat utama seperti SrcIPAddr dan DstIpAddr mewakili alamat yang diamati secara eksternal, sedangkan bidang alamat NAT, SrcNatIpAddr dan DstNatIpAddr mewakili alamat internal perangkat asli sebelum terjemahan.

Ladang Class Type Deskripsi
DstNatIpAddr Optional alamat IP DstNatIpAddr mewakili salah satu dari:
- Alamat asli perangkat tujuan jika terjemahan alamat jaringan digunakan.
- Alamat IP yang digunakan oleh perangkat perantara untuk komunikasi dengan sumber.

Contoh: 2::1
DstNatPortNumber Optional Integer Jika dilaporkan oleh perangkat NAT perantara, port yang digunakan oleh perangkat NAT untuk komunikasi dengan sumbernya.

Contoh: 443
SrcNatIpAddr Optional alamat IP DstNatIpAddr mewakili salah satu dari:
- Alamat asli perangkat tujuan jika terjemahan alamat jaringan digunakan.
- Alamat IP yang digunakan oleh perangkat perantara untuk komunikasi dengan tujuan.

Contoh: 4.3.2.1
SrcNatPortNumber Optional Integer Jika dilaporkan oleh perangkat NAT perantara, port yang digunakan oleh perangkat NAT untuk komunikasi dengan tujuan.

Contoh: 345
Antarmuka DvcInbound Optional string Jika dilaporkan oleh perangkat perantara, antarmuka jaringan digunakan oleh perangkat NAT untuk koneksi ke perangkat sumber.

Contoh: eth0
Antarmuka DvcOutbound Optional string Jika dilaporkan oleh perangkat perantara, antarmuka jaringan digunakan oleh perangkat NAT untuk koneksi ke perangkat tujuan.

Contoh: Ethernet adapter Ethernet 4e

Bidang inspeksi

Bidang berikut digunakan untuk mewakili pemeriksaan yang dilakukan oleh perangkat keamanan seperti firewall, IPS, atau gateway keamanan web:

Ladang Class Type Deskripsi
Nama Aturan Jaringan Optional string Nama atau ID aturan yang digunakan untuk memutuskan DvcAction.

Contoh: AnyAnyDrop
Nomor Aturan Jaringan Optional Integer Jumlah aturan yang digunakan untuk memutuskan DvcAction.

Contoh: 23
Aturan Alias string Baik nilai NetworkRuleName atau nilai NetworkRuleNumber. Perhatikan jika nilai NetworkRuleNumber digunakan, jenis tersebut harus dikonversi ke string.
Identifi Ancaman Optional string ID ancaman atau malware yang diidentifikasi dalam sesi jaringan.

Contoh: Tr.124
Nama Ancaman Optional string Nama ancaman atau malware yang diidentifikasi dalam sesi jaringan.

Contoh: EICAR Test File
Kategori Ancaman Optional string Kategori ancaman atau malware yang diidentifikasi dalam sesi jaringan.

Contoh: Trojan
Tingkat Risiko Ancaman Optional Tingkat Risiko (Bilangan Bulat) Tingkat risiko yang terkait dengan sesi. Levelnya harus berupa angka antara 0 hingga 100.

Catatan: Nilai ini dapat diberikan dalam catatan sumber menggunakan skala yang berbeda, yang harus dinormalisasi ke skala ini. Nilai asli harus disimpan di ThreatRiskLevelOriginal.
AncamanTingkat Risiko Asli Optional string Tingkat risiko seperti yang dilaporkan oleh perangkat pelaporan.
ThreatIpAddr Optional Alamat IP Alamat IP yang ancamannya diidentifikasi. Bidang ThreatField berisi nama bidang yang diwakili ThreatIpAddr.
Bidang Ancaman Bersyarat Disebutkan Bidang yang ancamannya diidentifikasi. Nilainya adalah SrcIpAddr atau DstIpAddr.
ThreatConfidence Optional Tingkat Keyakinan (Bilangan bulat) Tingkat keyakinan ancaman yang diidentifikasi, dinormalisasi ke nilai antara 0 dan 100.
ThreatOriginalConfidence Optional string Tingkat keyakinan asli ancaman yang diidentifikasi, seperti yang dilaporkan oleh perangkat pelaporan.
AncamanIsAktif Optional Boolean Benar jika ancaman yang diidentifikasi dianggap sebagai ancaman aktif.
ThreatFirstReportedTime Optional tanggalwaktu Pertama kali alamat IP atau domain diidentifikasi sebagai ancaman.
ThreatLastReportedTime Optional tanggalwaktu Terakhir kali alamat IP atau domain diidentifikasi sebagai ancaman.

Bidang lainnya

Ladang Class Type Deskripsi
ASimMatchingIpAddr Recommended Disebutkan Saat pengurai menggunakan parameter pemfilteran ipaddr_has_any_prefix, bidang ini diatur dengan salah satu nilai SrcIpAddr, DstIpAddr, atau Both untuk merefleksikan bidang yang cocok.
ASimMatchingHostname Recommended Disebutkan Saat pengurai menggunakan parameter pemfilteran hostname_has_any, bidang ini diatur dengan salah satu nilai SrcHostname, DstHostname, atau Both untuk merefleksikan bidang yang cocok.

Jika peristiwa dilaporkan oleh salah satu titik akhir sesi jaringan, mungkin termasuk informasi tentang proses yang memulai atau mengakhiri sesi. Dalam kasus seperti itu, Skema Peristiwa Proses ASIM digunakan untuk menormalkan informasi ini.

Pembaruan skema

Berikut adalah perubahan dalam versi 0.2.1 dari skema:

  • Penambahan Src dan Dst sebagai alias ke pengenal utama untuk sistem sumber dan tujuan.
  • Menambahkan bidang NetworkConnectionHistory, SrcVlanId, DstVlanId, InnerVlanId, dan OuterVlanId.

Berikut adalah perubahan dalam versi 0.2.2 dari skema:

  • Penambahan alias Remote dan Local.
  • Penambahan jenis acara EndpointNetworkSession.
  • Definisi Hostname dan IpAddr sebagai alias untuk RemoteHostname dan LocalIpAddr masing-masing ketika jenis kejadiannya EndpointNetworkSession.
  • Didefinisikan DvcInterface sebagai alias untuk DvcInboundInterface atau DvcOutboundInterface.
  • Mengubah jenis bidang berikut dari Integer menjadi Long: SrcBytes, DstBytes, NetworkBytes, SrcPackets, DstPackets, dan NetworkPackets.
  • Menambahkan bidang NetworkProtocolVersion.
  • Menghentikan DstUserDomain dan SrcUserDomain.

Berikut adalah perubahan dalam versi 0.2.3 skema:

  • Menambahkan ipaddr_has_any_prefix parameter penyaringan.
  • hostname_has_any Parameter penyaringan sekarang cocok dengan nama host sumber atau tujuan.
  • Menambahkan bidang ASimMatchingHostname dan ASimMatchingIpAddr.

Berikut adalah perubahan dalam versi 0.2.4 dari skema:

  • Menambahkan bidang TcpFlags.
  • Memperbarui NetworkIcpmType dan NetworkIcmpCode untuk mencerminkan nilai angka untuk keduanya.
  • Menambahkan bidang pemeriksaan tambahan.
  • Bidang 'ThreatRiskLevelOriginal' diganti namanya menjadi ThreatOriginalRiskLevel selaras dengan konvensi ASIM. Pengurai Microsoft yang ada akan dipertahankan ThreatRiskLevelOriginal hingga 1 Mei 2023.
  • Menandai EventResultDetails sebagai direkomendasikan, dan menentukan nilai yang diizinkan.

Berikut ini adalah perubahan dalam skema versi 0.2.5:

  • Menambahkan bidang DstUserScope, , SrcUserScope, SrcDvcScopeIdSrcDvcScope, , DstDvcScopeId, DstDvcScope, DvcScopeId, dan DvcScope.

Berikut ini adalah perubahan dalam skema versi 0.2.6:

  • Menambahkan IDS sebagai jenis peristiwa

Berikut ini adalah perubahan pada versi 0.2.7 dari skema:

  • Menambahkan bidang DstDescription dan SrcDescription

Konten terkait

  • Last updated on