Bagikan melalui

Referensi skema normalisasi Sesi Jaringan Model Informasi Keamanan Tingkat Lanjut (ASIM)

Skema normalisasi Sesi Jaringan Microsoft Sentinel mewakili aktivitas jaringan IP, seperti koneksi jaringan dan sesi jaringan. Peristiwa tersebut dilaporkan, misalnya, oleh sistem operasi, router, firewall, dan sistem pencegahan intrusi.

Skema normalisasi jaringan dapat mewakili semua jenis sesi jaringan IP tetapi dirancang untuk memberikan dukungan untuk jenis sumber umum, seperti Netflow, firewall, dan sistem pencegahan intrusi.

Untuk informasi selengkapnya tentang normalisasi di Microsoft Sentinel, lihat Normalisasi dan Model Informasi Keamanan Tingkat Lanjut (ASIM).

Parser

Untuk informasi selengkapnya tentang parser ASIM, lihat gambaran umum parser ASIM.

Menyatukan pengurai

Untuk menggunakan pengurai yang menyatukan semua pengurai di luar kotak ASIM, dan memastikan bahwa analisis Anda berjalan di semua sumber yang dikonfigurasi, gunakan _Im_NetworkSession pengurai.

Pengurai di luar kotak, khusus-sumber

Untuk daftar parser Sesi Jaringan yang disediakan Microsoft Azure Sentinel di luar kotak, lihat daftar parser ASIM

Tambahkan parser normalisasi Anda sendiri

Saat mengembangkan pengurai kustom untuk model informasi Sesi Jaringan, beri nama fungsi KQL Anda menggunakan sintaks berikut:

  • vimNetworkSession<vendor><Product> untuk pengurai berparameter
  • ASimNetworkSession<vendor><Product> untuk pengurai reguler

Lihat artikel Mengelola pengurai ASIM untuk mempelajari cara menambahkan parser kustom Anda ke parser pemersatu sesi jaringan.

Memfilter parameter parser

Pengurai Sesi Jaringan mendukung parameter pemfilteran. Meskipun parameter ini bersifat opsional, parameter ini dapat meningkatkan performa kueri Anda.

Parameter pemfilteran berikut ini tersedia:

Nama Tipe Deskripsi
Waktu mulai tanggalwaktu Filter hanya sesi jaringan yang dimulai pada atau setelah waktu ini. Parameter ini memfilter pada TimeGenerated bidang , yang merupakan penunjuk standar untuk waktu peristiwa, terlepas dari pemetaan khusus pengurai bidang EventStartTime dan EventEndTime.
akhir zaman tanggalwaktu Filter hanya sesi jaringan yang mulai dijalankan pada atau setelah waktu ini. Parameter ini memfilter pada TimeGenerated bidang , yang merupakan penunjuk standar untuk waktu peristiwa, terlepas dari pemetaan khusus pengurai bidang EventStartTime dan EventEndTime.
srcipaddr_has_any_prefix dinamis Filter hanya sesi jaringan yang prefiks bidang alamat IP sumbernya berada di salah satu nilai yang tercantum. Prefiks harus diakhiri dengan ., misalnya: 10.0.. Panjang daftar dibatasi hingga 10.000 item.
srcipaddr_has_any_prefix dinamis Filter hanya sesi jaringan yang prefiks bidang alamat IP sumbernya berada di salah satu nilai yang tercantum. Prefiks harus diakhiri dengan ., misalnya: 10.0.. Panjang daftar dibatasi hingga 10.000 item.
ipaddr_has_any_prefix dinamis Filter hanya sesi jaringan yang prefiks bidang alamat IP tujuan atau bidang alamat IP sumber berada di salah satu nilai yang tercantum. Prefiks harus diakhiri dengan ., misalnya: 10.0.. Panjang daftar dibatasi hingga 10.000 item.

Bidang ASimMatchingIpAddr diatur dengan salah satu nilai SrcIpAddr, DstIpAddr, atau Both untuk mencerminkan bidang atau bidang yang cocok.
dstportnomor Integer Filter hanya sesi jaringan dengan nomor port tujuan yang ditentukan.
hostname_has_any dinamis/string Filter hanya sesi jaringan yang bidang nama host tujuan memiliki salah satu nilai yang tercantum. Panjang daftar dibatasi hingga 10.000 item.

Bidang ASimMatchingHostname diatur dengan salah satu nilai SrcHostname, DstHostname, atau Both untuk mencerminkan bidang atau bidang yang cocok.
DVCACTION dinamis/string Filter hanya sesi jaringan yang bidang Tindakan Perangkat adalah salah satu nilai yang tercantum.
hasil peristiwa string Filter hanya sesi jaringan dengan nilai EventResult tertentu.

Beberapa parameter dapat menerima kedua daftar nilai jenis dynamic atau nilai string tunggal. Untuk meneruskan daftar harfiah ke parameter yang memerlukan nilai dinamis, secara eksplisit gunakan harfiah dinamis. Misalnya: dynamic(['192.168.','10.'])

Misalnya, untuk memfilter hanya sesi jaringan untuk daftar nama domain tertentu, gunakan:

let torProxies=dynamic(["tor2web.org", "tor2web.com", "torlink.co"]);
_Im_NetworkSession (hostname_has_any = torProxies)

Petunjuk / Saran

Untuk meneruskan daftar harfiah ke parameter yang memerlukan nilai dinamis, secara eksplisit gunakan harfiah dinamis. Misalnya: dynamic(['192.168.','10.']).

Konten yang dinormalisasi

Untuk daftar lengkap aturan analitik yang menggunakan peristiwa DNS yang dinormalisasi, lihat Konten keamanan sesi jaringan.

Gambaran umum Skema

Model informasi Sesi Jaringan disejajarkan dengan skema entitas Jaringan OSSEM.

Skema Sesi Jaringan melayani beberapa jenis skenario serupa tetapi berbeda, yang memiliki bidang yang sama. Skenario tersebut diidentifikasi oleh bidang EventType:

  • NetworkSession - sesi jaringan yang dilaporkan oleh perangkat perantara yang memantau jaringan, seperti Firewall, router, atau ketukan jaringan.
  • L2NetworkSession - Sesi jaringan yang hanya tersedia informasi lapisan 2. Peristiwa tersebut akan mencakup alamat MAC tetapi bukan alamat IP.
  • Flow - peristiwa agregat yang melaporkan beberapa sesi jaringan serupa, biasanya selama periode waktu yang telah ditentukan sebelumnya, seperti peristiwa Netflow .
  • EndpointNetworkSession - sesi jaringan yang dilaporkan oleh salah satu titik akhir sesi, termasuk klien dan server. Untuk peristiwa tersebut, skema mendukung remote bidang alias dan local .
  • IDS - sesi jaringan yang dilaporkan mencurigakan. Peristiwa seperti itu akan memiliki beberapa bidang inspeksi yang diisi, dan mungkin hanya memiliki satu bidang alamat IP yang diisi, baik sumber atau tujuan.

Biasanya, kueri harus memilih hanya subset dari jenis peristiwa tersebut, dan mungkin perlu mengatasi aspek unik kasus penggunaan secara terpisah. Misalnya, peristiwa IDS tidak mencerminkan seluruh volume jaringan dan tidak boleh diperhitungkan dalam analitik berbasis kolom.

Acara sesi jaringan menggunakan deskriptor Src dan Dst untuk menunjukkan peran perangkat dan pengguna dan aplikasi terkait yang terlibat dalam sesi tersebut. Jadi, misalnya, nama host perangkat sumber dan alamat IP diberi nama SrcHostname dan SrcIpAddr. Skema ASIM lainnya biasanya menggunakan Target alih-alih Dst.

Untuk peristiwa yang dilaporkan oleh titik akhir dan untuk jenis peristiwanya EndpointNetworkSession, deskriptor Local dan Remote menunjukkan titik akhir itu sendiri dan perangkat di ujung lain sesi jaringan masing-masing.

Deskriptor Dvc digunakan untuk perangkat pelaporan, yang merupakan sistem lokal untuk sesi yang dilaporkan oleh titik akhir, dan perangkat perantara atau ketukan jaringan untuk acara sesi jaringan lainnya.

Detail skema

Bidang ASIM umum

Penting

Bidang yang umum untuk semua skema dijelaskan secara rinci dalam artikel Bidang Umum ASIM.

Bidang umum dengan pedoman khusus

Daftar berikut menyebutkan bidang yang memiliki pedoman khusus untuk acara Sesi Jaringan:

Bidang Kelas Tipe Deskripsi
Jumlah Peristiwa Wajib Bilangan bulat Sumber Netflow mendukung agregasi, dan bidang EventCount harus diatur ke nilai bidang FLOWS Netflow. Untuk sumber lain, nilainya biasanya disetel ke 1.
Jenis Peristiwa Wajib Disebutkan Menjelaskan skenario yang dilaporkan oleh rekaman.

Untuk catatan Sesi Jaringan, nilai yang diizinkan adalah:
- EndpointNetworkSession
- NetworkSession
- L2NetworkSession
- IDS
- Flow

Untuk informasi selengkapnya tentang jenis peristiwa, lihat gambaran umum skema
Subtipe Peristiwa Opsional Disebutkan Deskripsi tambahan tentang jenis peristiwa, jika berlaku.
Untuk catatan Sesi Jaringan, nilai yang didukung meliputi:
- Start
- End

Bidang ini tidak relevan untuk Flow peristiwa.
Hasil Peristiwa Wajib Disebutkan Jika perangkat sumber tidak memberikan hasil acara, EventResult harus didasarkan pada nilai DvcAction. Jika DvcAction adalah Deny, Drop, Drop ICMP, Reset, Reset Source, atau Reset Destination
, EventResult seharusnya Failure. Jika tidak, EventResult harus Success.
EventResultDetails Direkomendasikan Disebutkan Alasan atau detail untuk hasil yang dilaporkan di bidang EventResult. Nilai yang didukung adalah:
-Failover
- TCP Tidak Valid
- Terowongan Tidak Valid
- Percobaan Kembali Maksimum
-Reset
- Masalah Perutean
- Simulasi
- Dihentikan
- Batas Waktu
- Kesalahan sementara
- Tidak diketahui
- TA.

Nilai asli, spesifikasi sumber, disimpan dalam bidang EventOriginalResultDetails.
Skema Peristiwa Wajib Disebutkan Nama skema yang didokumentasikan di sini adalah NetworkSession.
EventSchemaVersion Wajib SchemaVersion (String) Versi skema. Versi skema yang didokumentasikan di sini adalah 0.2.7.
DvcAction Direkomendasikan Disebutkan Tindakan yang diambil pada sesi jaringan. Nilai yang didukung adalah:
- Allow
- Deny
- Drop
- Drop ICMP
- Reset
- Reset Source
- Reset Destination
- Encrypt
- Decrypt
- VPNroute

Catatan: Nilai mungkin disediakan dalam rekaman sumber dengan menggunakan istilah yang berbeda, yang harus dinormalisasi ke nilai-nilai ini. Nilai asli harus disimpan di bidang DvcOriginalAction.

Contoh: drop
Tingkat Keparahan Peristiwa Opsional Disebutkan Jika perangkat sumber tidak memberikan tingkat keparahan peristiwa, EventSeverity harus didasarkan pada nilai DvcAction. Jika DvcAction adalah Deny, Drop, Drop ICMP, Reset, Reset Source, atau Reset Destination
, EventSeverity harus Low. Jika tidak, EventSeverity harus Informational.
Antarmuka Dvc Bidang DvcInterface harus mengalias bidang DvcInboundInterface atau bidang DvcOutboundInterface.
Bidang Dvc Untuk acara Sesi Jaringan, bidang perangkat mengacu pada sistem yang melaporkan acara Sesi Jaringan.

Semua bidang umum

Bidang yang muncul pada tabel di bawah ini adalah umum untuk semua skema ASIM. Setiap pedoman yang ditentukan di atas mengambil alih pedoman umum untuk bidang ini. Misalnya, sebuah bidang mungkin opsional secara umum, tetapi wajib untuk skema tertentu. Untuk informasi selengkapnya tentang kolom, lihat artikel Bidang Umum ASIM.

Kelas Bidang
Wajib - Jumlah Peristiwa
- Waktu MulaiPeristiwa
- Waktu Akhir Peristiwa
- Jenis Peristiwa
- Hasil Peristiwa
- Produk Acara
- Vendor Peristiwa
- Skema Peristiwa
- EventSchemaVersion
- Dvc
Direkomendasikan - EventResultDetails
- Tingkat Keparahan Peristiwa
- Acara Uid
- DvcIpAddr
- Nama Host Dvc
- Domain Dvc
- DvcDomainType
- DvcFQDN
- DvcId
- DvcIdType
- DvcAction
Opsional - Pesan Peristiwa
- Subtipe Peristiwa
- PeristiwaAsliUid
- EventOriginalType
- PeristiwaAsliSubtipe
- EventOriginalResultDetails
- Tingkat Keparahan PeristiwaAsli
- EventProductVersion
- EventReportUrl
- Pemilik Acara
- Zona Dvc
- DvcMacAddr
- DvcOs
- Versi DvcOsVersi
- DvcTindakan Asli
- Antarmuka Dvc
- Bidang Tambahan
- Deskripsi Dvc
- DvcScopeId
- Ruang lingkup Dvc

Bidang sesi jaringan

Bidang Kelas Tipe Deskripsi
Protokol Aplikasi Jaringan Opsional string Protokol lapisan aplikasi yang digunakan oleh sambungan atau sesi. Nilai harus dalam huruf besar semua.

Contoh: FTP
Protokol Jaringan Opsional Disebutkan Protokol IP yang digunakan oleh koneksi atau sesi seperti yang tercantum dalam penugasan protokol IANA, yang biasanya TCP, UDP, atau ICMP.

Contoh: TCP
VersionNetworkProtocol Opsional Disebutkan Versi NetworkProtocol. Saat menggunakannya untuk membedakan antara versi IP, gunakan nilai IPv4 dan IPv6.
Arah Jaringan Opsional Disebutkan Arah koneksi atau sesi:

- Untuk , NetworkSession atau Flow, L2NetworkSession mewakili arah relatif terhadap batas organisasi atau lingkungan cloud. Nilai yang didukung adalah Inbound, Outbound, Local (ke organisasi), External (ke organisasi) atau NA (Tidak Berlaku).

- Untuk EventTypeEndpointNetworkSession, NetworkDirection mewakili arah relatif terhadap titik akhir. Nilai yang didukung adalah Inbound, Outbound, Local (ke sistem), Listen atau NA (Tidak Berlaku). Nilai Listen menunjukkan bahwa perangkat telah mulai menerima sambungan jaringan, tetapi sebenarnya belum tentu tersambung.
Durasi Jaringan Opsional Bilangan bulat Jumlah waktu, dalam milidetik, untuk penyelesaian sesi jaringan atau sambungan.

Contoh: 1500
Durasi Nama lain Alias untuk NetworkDuration.
JaringanIcmpType Opsional string Untuk pesan ICMP, nama jenis ICMP yang terkait dengan nilai numerik, seperti yang dijelaskan dalam RFC 2780 untuk koneksi jaringan IPv4, atau di RFC 4443 untuk koneksi jaringan IPv6.

Contoh: Destination Unreachable untuk NetworkIcmpCode 3
Kode Icmp Jaringan Opsional Bilangan bulat Untuk pesan ICMP, nomor kode ICMP seperti yang dijelaskan dalam RFC 2780 untuk koneksi jaringan IPv4, atau dalam RFC 4443 untuk koneksi jaringan IPv6.
Jaringan ConnectionHistory Opsional string Bendera TCP dan informasi header IP potensial lainnya.
DstBytes Direkomendasikan Panjang Jumlah byte yang dikirim dari tujuan ke sumber untuk sambungan atau sesi. Jika peristiwa digabungkan, DstBytes harus merupakan jumlah dari semua sesi gabungan.

Contoh: 32455
SrcByte Direkomendasikan Panjang Jumlah byte yang dikirim dari sumber ke tujuan untuk sambungan atau sesi. Jika peristiwa digabungkan, SrcBytes harus merupakan jumlah dari semua sesi gabungan.

Contoh: 46536
Byte Jaringan Opsional Panjang Jumlah byte yang dikirim ke kedua arah. Jika BytesReceived dan BytesSent ada, BytesTotal harus sama dengan jumlahnya. Jika acara digabungkan, NetworkBytes harus merupakan jumlah dari semua sesi gabungan.

Contoh: 78991
Paket DstDst Opsional Panjang Jumlah paket yang dikirim dari tujuan ke sumber untuk sambungan atau sesi. Arti dari paket didefinisikan oleh perangkat pelaporan. Jika peristiwa digabungkan, DstPackets harus merupakan jumlah di semua sesi gabungan.

Contoh: 446
Paket Src Opsional Panjang Jumlah paket yang dikirim dari sumber ke tujuan untuk sambungan atau sesi. Arti dari paket didefinisikan oleh perangkat pelaporan. Jika peristiwa digabungkan, SrcPackets harus merupakan jumlah di semua sesi gabungan.

Contoh: 6478
Paket Jaringan Opsional Panjang Jumlah paket yang dikirim ke kedua arah. Jika PacketsReceived dan PacketsSent ada, PacketsTotal harus sama dengan jumlahnya. Arti dari paket didefinisikan oleh perangkat pelaporan. Jika acara digabungkan, NetworkPackets harus merupakan jumlah dari semua sesi gabungan.

Contoh: 6924
NetworkSessionId Opsional string Pengidentifikasi sesi seperti yang dilaporkan oleh perangkat pelaporan.

Contoh: 172\_12\_53\_32\_4322\_\_123\_64\_207\_1\_80
SessionId Nama lain string Alias untuk NetworkSessionId
TcpFlagsAck Opsional Boolean Bendera TCK ACK dilaporkan. Bendera konfirmasi digunakan untuk mengonfirmasi penerimaan paket yang berhasil. Seperti yang dapat kita lihat dari diagram di atas, penerima akan mengirim ACK dan SYN dalam langkah kedua proses konfirmasi tiga arah untuk memberi tahu pengirim bahwa ia menerima paket awalnya.
TcpFlagsFin Opsional Boolean Bendera TCP FIN dilaporkan. Bendera selesai berarti tidak ada lagi data dari pengirim. Oleh karena itu, bendera ini digunakan dalam paket terakhir yang dikirim dari pengirim.
TcpFlagsSyn Opsional Boolean Bendera TCP SYN dilaporkan. Bendera sinkronisasi digunakan sebagai langkah pertama dalam membangun konfirmasi tiga arah antara dua host. Hanya paket pertama dari pengirim dan penerima yang boleh mengatur bendera ini.
TcpFlagsUrg Opsional Boolean Bendera TCP URG dilaporkan. Bendera mendesak digunakan untuk memberi tahu penerima guna memproses paket mendesak sebelum memproses semua paket lainnya. Penerima akan diberi tahu ketika semua data mendesak yang diketahui telah diterima. Lihat RFC 6093 untuk mengetahui detail selengkapnya.
TcpFlagsPsh Opsional Boolean Bendera TCP PSH dilaporkan. Bendera push mirip dengan bendera URG dan memberi tahu penerima untuk memproses paket ini saat diterima alih-melakukan buffer terhadap paket.
TcpFlagsRst Opsional Boolean Bendera TCP RST dilaporkan. Bendera reset dikirim dari penerima ke pengirim ketika paket dikirim ke host tertentu yang tidak mengharapkannya.
TcpFlagsEce Opsional Boolean Bendera TCP ECE dilaporkan. Bendera ini bertanggung jawab untuk menunjukkan apakah peer TCP mendukung ECN. Lihat RFC 3168 untuk mengetahui detail selengkapnya.
TCPnderaCwr Opsional Boolean Bendera TCP CWR dilaporkan. Bendera pengurangan periode kemacetan digunakan oleh host pengirim untuk menunjukkan bahwa ia menerima paket dengan set bendera ECE. Lihat RFC 3168 untuk mengetahui detail selengkapnya.
TcpFlagsNs Opsional Boolean Bendera TCP NS dilaporkan. Bendera jumlah nonce masih merupakan bendera eksperimental yang digunakan untuk membantu melindungi agar paket berbahaya yang tidak disengaja tidak disembunyikan dari pengirim. Lihat RFC 3540 untuk mengetahui detail selengkapnya

Bidang sistem tujuan

Bidang Kelas Tipe Deskripsi
Dst Nama lain Pengenal unik dari server yang menerima permintaan DNS.

Bidang ini bisa mengalias bidang DstDvcId, DstHostname, atau DstIpAddr.

Contoh: 192.168.12.1
DstIpAddr Direkomendasikan alamat IP Alamat IP koneksi atau tujuan sesi. Jika sesi menggunakan terjemahan alamat jaringan, DstIpAddr adalah alamat yang terlihat publik, dan bukan alamat sumber asli, yang disimpan dalam DstNatIpAddr

Contoh: 2001:db8::ff00:42:8329

Catatan: Nilai ini wajib jika DstHostname ditentukan.
Nomor DstPort Opsional Bilangan bulat Port IP tujuan.

Contoh: 443
DstNama Host Direkomendasikan Nama Host (String) Nama host perangkat tujuan, tidak termasuk informasi domain. Jika tidak ada nama perangkat yang tersedia, simpan alamat IP yang relevan di bidang ini.

Contoh: DESKTOP-1282V4D
Domain DstDomain Direkomendasikan Domain (String) Domain perangkat tujuan.

Contoh: Contoso
DstDomainType Kondisional Disebutkan Jenis DstDomain. Untuk mengetahui daftar nilai yang diizinkan dan informasi lebih lanjut, lihat DomainType di artikel Gambaran Umum Skema.

Diperlukan jika DstDomain digunakan.
DstFQDN Opsional FQDN (String) Nama host perangkat target, termasuk informasi domain saat tersedia.

Contoh: Contoso\DESKTOP-1282V4D

Catatan: Bidang ini mendukung format FQDN tradisional dan format domain\hostname Windows. DstDomainType mencerminkan format yang digunakan.
DstDvcId Opsional string ID perangkat tujuan. Jika terdapat beberapa ID tersedia, gunakan yang paling penting, dan simpan yang lain di bidang DstDvc<DvcIdType>.

Contoh: ac7e9755-8eae-4ffc-8a02-50ed7a2216c3
DstDvcScopeId Opsional string ID cakupan platform cloud milik perangkat. DstDvcScopeId memetakan ke ID langganan di Azure dan ke ID akun di AWS.
Ruang lingkup DstDvc Opsional string Cakupan platform cloud milik perangkat. DstDvcScope memetakan ke ID langganan di Azure dan ke ID akun di AWS.
DstDvcIdType Kondisional Disebutkan Jenis DstDvcId. Untuk mengetahui daftar nilai yang diizinkan dan informasi lebih lanjut, lihat DvcIdType di artikel Gambaran Umum Skema.

Diperlukan jika DstDeviceId digunakan.
DstJenis Perangkat Opsional Disebutkan Jenis perangkat tujuan. Untuk mengetahui daftar nilai yang diizinkan dan informasi lebih lanjut, lihat DeviceType di artikel Gambaran Umum Skema.
Zona DstDstZone Opsional string Zona jaringan dari tujuan, seperti yang didefinisikan oleh perangkat pelaporan.

Contoh: Dmz
DstInterfaceName Opsional string Antarmuka jaringan yang digunakan untuk sambungan atau sesi oleh perangkat tujuan.

Contoh: Microsoft Hyper-V Network Adapter
DstInterfaceGuid Opsional GUID (String) GUID dari antarmuka jaringan yang digunakan pada perangkat tujuan.

Contoh:
46ad544b-eaf0-47ef-
827c-266030f545a6
DstMacAddr Opsional Alamat MAC (String) Alamat MAC dari antarmuka jaringan yang digunakan untuk koneksi atau sesi oleh perangkat tujuan.

Contoh: 06:10:9f:eb:8f:14
DstVlanId Opsional string ID VLAN yang terkait dengan perangkat tujuan.

Contoh: 130
OuterVlanId Nama lain Alias untuk DstVlanId.

Dalam banyak kasus, VLAN tidak dapat ditentukan sebagai sumber atau tujuan tetapi dicirikan sebagai inner atau outer. Alias ini menandakan bahwa DstVlanId harus digunakan ketika VLAN dicirikan sebagai outer.
DstGeoCountry Opsional Negara Negara/wilayah yang terkait dengan alamat IP tujuan. Untuk informasi lebih lanjut, lihat Jenis Logis.

Contoh: USA
DstGeoRegion Opsional Wilayah Wilayah, atau status, yang terkait dengan alamat IP tujuan. Untuk informasi lebih lanjut, lihat Jenis Logis.

Contoh: Vermont
DstGeoCity Opsional Kota Kota yang terkait dengan alamat IP tujuan. Untuk informasi lebih lanjut, lihat Jenis Logis.

Contoh: Burlington
DstGeoLatitude Opsional Garis Lintang Garis lintang koordinat geografis yang terkait dengan alamat IP tujuan. Untuk informasi lebih lanjut, lihat Jenis Logis.

Contoh: 44.475833
DstGeoBujur Opsional Garis bujur Garis bujur koordinat geografis yang terkait dengan alamat IP tujuan. Untuk informasi lebih lanjut, lihat Jenis Logis.

Contoh: 73.211944
Deskripsi Dst Opsional string Teks deskriptif yang terkait dengan perangkat. Misalnya: Primary Domain Controller.

Bidang pengguna tujuan

Bidang Kelas Tipe Deskripsi
DstUserId Opsional string Representasi unik, alfanumerik, dan dapat dibaca mesin dari pengguna tujuan. Untuk format yang didukung untuk jenis ID yang berbeda, lihat Entitas pengguna.

Contoh: S-1-12
DstUserScope Opsional string Cakupan, seperti penyewa Microsoft Entra, di mana DstUserId dan DstUsername ditentukan. atau informasi selengkapnya dan daftar nilai yang diizinkan, lihat UserScope di artikel Gambaran Umum Skema.
DstUserScopeId Opsional string ID cakupan, seperti ID Microsoft Entra Directory, di mana DstUserId dan DstUsername ditentukan. untuk informasi selengkapnya dan daftar nilai yang diizinkan, lihat UserScopeId di artikel Gambaran Umum Skema.
DstUserIdType Kondisional UserIdType Jenis ID yang disimpan di bidang DstUserId. Untuk mengetahui daftar nilai yang diizinkan dan informasi lebih lanjut, lihat UserIdType di artikel Gambaran Umum Skema.
DstNama pengguna Opsional Nama pengguna (String) Nama pengguna Tujuan, termasuk informasi domain bila ada. Untuk format yang didukung untuk jenis ID yang berbeda, lihat Entitas pengguna. Gunakan formulir sederhana hanya jika informasi domain tidak tersedia.

Simpan jenis Nama Pengguna di bidang DstUsernameType. Jika format nama pengguna lain tersedia, simpan di bidang DstUsername<UsernameType>.

Contoh: AlbertE
Pengguna Nama lain Alias ke DstUsername.
DstUsernameType Kondisional Jenis Nama Pengguna Menentukan jenis nama pengguna yang disimpan di bidang DstUsername. Untuk mengetahui daftar nilai yang diizinkan dan informasi lebih lanjut, lihat UsernameType di artikel Gambaran Umum Skema.

Contoh: Windows
DstUserType Opsional Jenis Pengguna Jenis pengguna tujuan. Untuk mengetahui daftar nilai yang diizinkan dan informasi lebih lanjut, lihat UserType di artikel Gambaran Umum Skema.

Catatan: Nilai mungkin disediakan dalam rekaman sumber dengan menggunakan istilah yang berbeda, yang harus dinormalisasi ke nilai-nilai ini. Simpan nilai asli di bidang DstOriginalUserType.
DstOriginalUserType Opsional string Jenis pengguna tujuan asli, jika disediakan oleh sumbernya.

Bidang Aplikasi tujuan

Bidang Kelas Tipe Deskripsi
DstAppName Opsional string Nama aplikasi tujuan.

Contoh: Facebook
DstAppId Opsional string ID aplikasi tujuan, seperti yang dilaporkan oleh perangkat pelapor. Jika DstAppType adalah Process, DstAppId dan DstProcessId harus memiliki nilai yang sama.

Contoh: 124
DstAppType Opsional Jenis Aplikasi Tipe aplikasi tujuan. Untuk mengetahui daftar nilai yang diizinkan dan informasi lebih lanjut, lihat AppType di artikel Gambaran Umum Skema.

Bidang ini wajib jika DstAppName atau DstAppId digunakan.
DstProcessName Opsional string Nama file proses yang mengakhiri sesi jaringan. Nama ini biasanya dianggap sebagai nama proses.

Contoh: C:\Windows\explorer.exe
Proses Nama lain Alias ke DstProcessName

Contoh: C:\Windows\System32\rundll32.exe
DstProcessId Opsional string ID proses (PID) dari proses yang mengakhiri sesi jaringan.

Contoh: 48610176

Catatan: Jenis didefinisikan sebagai string untuk mendukung berbagai sistem, tetapi pada Windows dan Linux nilai ini harus berupa angka.

Jika Anda menggunakan mesin Windows atau Linux dan menggunakan jenis yang berbeda, pastikan untuk mengonversi nilai ini. Misalnya, jika Anda menggunakan nilai heksadesimal, ubah menjadi nilai desimal.
DstProcessGuid Opsional string Pengidentifikasi unik (GUID) yang dihasilkan dari proses yang mengakhiri sesi jaringan.

Contoh: EF3BD0BD-2B74-60C5-AF5C-010000001E00

Bidang sistem sumber

Bidang Kelas Tipe Deskripsi
Src Nama lain Pengenal unik perangkat sumber.

Bidang ini bisa menjadi alias bagi bidang SrcDvcId, SrcHostname, atau SrclpAddr.

Contoh: 192.168.12.1
SrcIpAddr Direkomendasikan alamat IP Alamat IP tempat koneksi atau sesi berasal. Nilai ini wajib jika SrcHostname ditentukan. Jika sesi menggunakan terjemahan alamat jaringan, SrcIpAddr adalah alamat yang terlihat oleh publik, dan bukan alamat asli sumber, yang disimpan di SrcNatIpAddr

Contoh: 77.138.103.108
Nomor SrcPort Opsional Bilangan bulat Port IP tempat sambungan berasal. Mungkin tidak relevan untuk sesi yang terdiri dari beberapa sambungan.

Contoh: 2335
Nama Host Src Direkomendasikan Nama Host (String) Nama host perangkat sumber, tidak termasuk informasi domain. Jika tidak ada nama perangkat yang tersedia, simpan alamat IP yang relevan di bidang ini.

Contoh: DESKTOP-1282V4D
Domain Src Direkomendasikan Domain (String) Domain perangkat sumber.

Contoh: Contoso
SrcDomainType Kondisional Jenis Domain Jenis SrcDomain. Untuk mengetahui daftar nilai yang diizinkan dan informasi lebih lanjut, lihat DomainType di artikel Gambaran Umum Skema.

Diperlukan jika SrcDomain digunakan.
SrcFQDN Opsional FQDN (String) Nama host perangkat sumber, termasuk informasi domain saat tersedia.

Catatan: Bidang ini mendukung format FQDN tradisional dan format domain\hostname Windows. Bidang SrcDomainType mencerminkan format yang digunakan.

Contoh: Contoso\DESKTOP-1282V4D
SrcDvcId Opsional string ID perangkat sumber. Jika terdapat beberapa ID tersedia, gunakan yang paling penting, dan simpan yang lain di bidang SrcDvc<DvcIdType>.

Contoh: ac7e9755-8eae-4ffc-8a02-50ed7a2216c3
SrcDvcScopeId Opsional string ID cakupan platform cloud milik perangkat. Peta SrcDvcScopeId ke ID langganan di Azure dan ke ID akun di AWS.
Lingkup SrcDvc Opsional string Cakupan platform cloud milik perangkat. SrcDvcScope memetakan ke ID langganan di Azure dan ke ID akun di AWS.
SrcDvcIdType Kondisional DvcIdType Jenis SrcDvcId. Untuk mengetahui daftar nilai yang diizinkan dan informasi lebih lanjut, lihat DvcIdType di artikel Gambaran Umum Skema.

Catatan: Bidang ini diperlukan jika SrcDvcId digunakan.
SrcDeviceType Opsional Jenis Perangkat Jenis perangkat sumber Untuk mengetahui daftar nilai yang diizinkan dan informasi lebih lanjut, lihat DeviceType di artikel Gambaran Umum Skema.
Zona Src Opsional string Zona jaringan dari sumber, seperti yang didefinisikan oleh perangkat pelaporan.

Contoh: Internet
SrcInterfaceName Opsional string Antarmuka jaringan yang digunakan untuk sambungan atau sesi oleh perangkat sumber.

Contoh: eth01
SrcInterfaceGuid Opsional GUID (String) GUID antarmuka jaringan yang digunakan pada perangkat sumber.

Contoh:
46ad544b-eaf0-47ef-
827c-266030f545a6
SrcMacAddr Opsional Alamat MAC (String) Alamat MAC antarmuka jaringan dari mana koneksi atau sesi berasal.

Contoh: 06:10:9f:eb:8f:14
SrcVlanId Opsional string ID VLAN yang terkait dengan perangkat sumber.

Contoh: 130
InnerVlanId Nama lain Alias untuk SrcVlanId.

Dalam banyak kasus, VLAN tidak dapat ditentukan sebagai sumber atau tujuan tetapi dicirikan sebagai inner atau outer. Alias ini menandakan bahwa SrcVlanId harus digunakan ketika VLAN dicirikan sebagai inner.
SrcGeoCountry Opsional Negara Negara/wilayah yang terkait dengan alamat IP sumber.

Contoh: USA
Wilayah Geologi Src Opsional Wilayah Wilayah yang terkait dengan alamat IP sumber.

Contoh: Vermont
SrcGeoCity Opsional Kota Kota yang terkait dengan alamat IP sumber.

Contoh: Burlington
SrcGeoLatitude Opsional Garis Lintang Garis lintang koordinat geografis yang terkait dengan alamat IP sumber.

Contoh: 44.475833
SrcGeoBujur Opsional Garis bujur Garis bujur koordinat geografis yang terkait dengan alamat IP sumber.

Contoh: 73.211944
Deskripsi Src Opsional string Teks deskriptif yang terkait dengan perangkat. Misalnya: Primary Domain Controller.

Bidang pengguna sumber

Bidang Kelas Tipe Deskripsi
SrcUserId Opsional string Representasi unik, alfanumerik, dan dapat dibaca komputer dari pengguna sumber. Untuk format yang didukung untuk jenis ID yang berbeda, lihat Entitas pengguna.

Contoh: S-1-12
SrcUserScope Opsional string Cakupan, seperti penyewa Microsoft Entra, di mana SrcUserId dan SrcUsername ditentukan. atau informasi selengkapnya dan daftar nilai yang diizinkan, lihat UserScope di artikel Gambaran Umum Skema.
SrcUserScopeId Opsional string ID cakupan, seperti ID Microsoft Entra Directory, di mana SrcUserId dan SrcUsername ditentukan. untuk informasi selengkapnya dan daftar nilai yang diizinkan, lihat UserScopeId di artikel Gambaran Umum Skema.
SrcUserIdType Kondisional UserIdType Jenis ID yang disimpan pada bidang ActorUserId. Untuk mengetahui daftar nilai yang diizinkan dan informasi lebih lanjut, lihat UserIdType di artikel Gambaran Umum Skema.
SrcNama pengguna Opsional Nama pengguna (String) Nama pengguna Sumber, termasuk informasi domain jika tersedia. Untuk format yang didukung untuk jenis ID yang berbeda, lihat Entitas pengguna. Gunakan formulir sederhana hanya jika informasi domain tidak tersedia.

Simpan jenis Nama Pengguna di bidang SrcUsernameType. Jika format nama pengguna lain tersedia, simpan di bidang SrcUsername<UsernameType>.

Contoh: AlbertE
SrcUsernameType Kondisional Jenis Nama Pengguna Menentukan jenis nama pengguna yang disimpan di bidang TargetUsername. Untuk mengetahui daftar nilai yang diizinkan dan informasi lebih lanjut, lihat UsernameType di artikel Gambaran Umum Skema.

Contoh: Windows
SrcUserType Opsional Jenis Pengguna Jenis pengguna sumber. Untuk mengetahui daftar nilai yang diizinkan dan informasi lebih lanjut, lihat UserType di artikel Gambaran Umum Skema.

Catatan: Nilai mungkin disediakan dalam rekaman sumber dengan menggunakan istilah yang berbeda, yang harus dinormalisasi ke nilai-nilai ini. Simpan nilai asli di bidang SrcOriginalUserType.
SrcOriginalUserType Opsional string Jenis pengguna tujuan asli, jika disediakan oleh perangkat pelapor.

Bidang aplikasi sumber

Bidang Kelas Tipe Deskripsi
Nama Aplikasi Src Opsional string Nama aplikasi sumber.

Contoh: filezilla.exe
SrcAppId Opsional string ID aplikasi sumber, seperti yang dilaporkan oleh perangkat pelapor. Jika SrcAppType adalah Process, SrcAppId dan SrcProcessId harus memiliki nilai yang sama.

Contoh: 124
SrcAppType Opsional Jenis Aplikasi Jenis aplikasi sumber. Untuk mengetahui daftar nilai yang diizinkan dan informasi lebih lanjut, lihat AppType di artikel Gambaran Umum Skema.

Bidang ini wajib jika SrcAppName atau SrcAppId digunakan.
SrcProcessName Opsional string Nama file dari proses yang memulai sesi jaringan. Nama ini biasanya dianggap sebagai nama proses.

Contoh: C:\Windows\explorer.exe
SrcProcessId Opsional string ID proses (PID) dari proses yang memulai sesi jaringan.

Contoh: 48610176

Catatan: Jenis didefinisikan sebagai string untuk mendukung berbagai sistem, tetapi pada Windows dan Linux nilai ini harus berupa angka.

Jika Anda menggunakan mesin Windows atau Linux dan menggunakan jenis yang berbeda, pastikan untuk mengonversi nilai ini. Misalnya, jika Anda menggunakan nilai heksadesimal, ubah menjadi nilai desimal.
SrcProcessGuid Opsional string Pengidentifikasi unik (GUID) yang dihasilkan dari proses yang memulai sesi jaringan.

Contoh: EF3BD0BD-2B74-60C5-AF5C-010000001E00

Alias lokal dan jarak jauh

Semua bidang sumber dan tujuan yang tercantum di atas, dapat secara opsional alias oleh bidang dengan nama yang sama dan deskriptor Local dan Remote. Biasanya membantu untuk peristiwa yang dilaporkan oleh titik akhir dan untuk peristiwa dengan jenis acara EndpointNetworkSession.

Untuk peristiwa seperti itu deskriptor Local dan Remote menunjukkan titik akhir itu sendiri dan perangkat di ujung lain dari sesi jaringan masing-masing. Untuk koneksi masuk, sistem lokal adalah tujuan, bidang Local adalah alias ke bidang Dst, dan bidang 'Jarak Jauh' adalah alias ke bidang Src. Sebaliknya, untuk koneksi keluar, sistem lokal adalah sumber, bidang Local adalah alias ke bidang Src, dan bidang Remote adalah alias ke bidang Dst.

Misalnya, untuk peristiwa masuk, bidang LocalIpAddr adalah alias ke DstIpAddr dan bidang RemoteIpAddr adalah alias ke SrcIpAddr.

Nama host dan alias alamat IP

Bidang Kelas Tipe Deskripsi
Nama host Nama lain - Jika jenis peristiwa adalah NetworkSession, Flow atau L2NetworkSession, Nama host adalah alias untuk DstHostname.
- Jika jenis peristiwa adalah EndpointNetworkSession, Nama host adalah alias ke RemoteHostname, yang dapat menjadi alias DstHostname atau SrcHostName, tergantung pada NetworkDirection
IpAddr Nama lain - Jika jenis peristiwa adalah NetworkSession, Flow atau L2NetworkSession, IpAddr adalah alias untuk SrcIpAddr.
- Jika jenis peristiwa adalah EndpointNetworkSession, IpAddr adalah alias untuk LocalIpAddr, yang dapat alias baik SrcIpAddr atau DstIpAddr, tergantung pada NetworkDirection.

Bidang perangkat perantara dan Terjemahan Alamat Jaringan (NAT)

Bidang berikut berguna jika catatan menyertakan informasi tentang perangkat perantara, seperti firewall atau proksi, yang merelai sesi jaringan.

Sistem perantara sering menggunakan terjemahan alamat dan oleh karena itu alamat asli dan alamat yang terlihat dari luar tidak sama. Dalam kasus demikian, bidang alamat utama seperti SrcIPAddr dan DstIpAddr mewakili alamat yang diamati secara eksternal, sedangkan bidang alamat NAT, SrcNatIpAddr dan DstNatIpAddr mewakili alamat internal perangkat asli sebelum terjemahan.

Bidang Kelas Tipe Deskripsi
DstNatIpAddr Opsional alamat IP DstNatIpAddr mewakili salah satu dari:
- Alamat asli perangkat tujuan jika terjemahan alamat jaringan digunakan.
- Alamat IP yang digunakan oleh perangkat perantara untuk komunikasi dengan sumber.

Contoh: 2::1
DstNatPortNumber Opsional Bilangan bulat Jika dilaporkan oleh perangkat NAT perantara, port yang digunakan oleh perangkat NAT untuk komunikasi dengan sumbernya.

Contoh: 443
SrcNatIpAddr Opsional alamat IP DstNatIpAddr mewakili salah satu dari:
- Alamat asli perangkat tujuan jika terjemahan alamat jaringan digunakan.
- Alamat IP yang digunakan oleh perangkat perantara untuk komunikasi dengan tujuan.

Contoh: 4.3.2.1
SrcNatPortNumber Opsional Bilangan bulat Jika dilaporkan oleh perangkat NAT perantara, port yang digunakan oleh perangkat NAT untuk komunikasi dengan tujuan.

Contoh: 345
Antarmuka DvcInbound Opsional string Jika dilaporkan oleh perangkat perantara, antarmuka jaringan digunakan oleh perangkat NAT untuk koneksi ke perangkat sumber.

Contoh: eth0
Antarmuka DvcOutbound Opsional string Jika dilaporkan oleh perangkat perantara, antarmuka jaringan digunakan oleh perangkat NAT untuk koneksi ke perangkat tujuan.

Contoh: Ethernet adapter Ethernet 4e

Bidang inspeksi

Bidang berikut digunakan untuk mewakili pemeriksaan yang dilakukan oleh perangkat keamanan seperti firewall, IPS, atau gateway keamanan web:

Bidang Kelas Tipe Deskripsi
Nama Aturan Jaringan Opsional string Nama atau ID aturan yang digunakan untuk memutuskan DvcAction.

Contoh: AnyAnyDrop
Nomor Aturan Jaringan Opsional Bilangan bulat Jumlah aturan yang digunakan untuk memutuskan DvcAction.

Contoh: 23
Aturan Nama lain string Baik nilai NetworkRuleName atau nilai NetworkRuleNumber. Perhatikan jika nilai NetworkRuleNumber digunakan, jenis tersebut harus dikonversi ke string.
Identifi Ancaman Opsional string ID ancaman atau malware yang diidentifikasi dalam sesi jaringan.

Contoh: Tr.124
Nama Ancaman Opsional string Nama ancaman atau malware yang diidentifikasi dalam sesi jaringan.

Contoh: EICAR Test File
Kategori Ancaman Opsional string Kategori ancaman atau malware yang diidentifikasi dalam sesi jaringan.

Contoh: Trojan
Tingkat Risiko Ancaman Opsional Tingkat Risiko (Bilangan Bulat) Tingkat risiko yang terkait dengan sesi. Levelnya harus berupa angka antara 0 hingga 100.

Catatan: Nilai ini dapat diberikan dalam catatan sumber menggunakan skala yang berbeda, yang harus dinormalisasi ke skala ini. Nilai asli harus disimpan di ThreatRiskLevelOriginal.
AncamanTingkat Risiko Asli Opsional string Tingkat risiko seperti yang dilaporkan oleh perangkat pelaporan.
AncamanIpAddr Opsional Alamat IP Alamat IP yang ancamannya diidentifikasi. Bidang ThreatField berisi nama bidang yang diwakili ThreatIpAddr.
Bidang Ancaman Kondisional Disebutkan Bidang yang ancamannya diidentifikasi. Nilainya adalah SrcIpAddr atau DstIpAddr.
ThreatConfidence Opsional Tingkat Keyakinan (Bilangan bulat) Tingkat keyakinan ancaman yang diidentifikasi, dinormalisasi ke nilai antara 0 dan 100.
ThreatOriginalConfidence Opsional string Tingkat keyakinan asli ancaman yang diidentifikasi, seperti yang dilaporkan oleh perangkat pelaporan.
AncamanIsAktif Opsional Boolean Benar jika ancaman yang diidentifikasi dianggap sebagai ancaman aktif.
ThreatFirstReportedTime Opsional tanggalwaktu Pertama kali alamat IP atau domain diidentifikasi sebagai ancaman.
ThreatLastReportedTime Opsional tanggalwaktu Terakhir kali alamat IP atau domain diidentifikasi sebagai ancaman.

Bidang lainnya

Bidang Kelas Tipe Deskripsi
ASimMatchingIpAddr Direkomendasikan Disebutkan Saat pengurai menggunakan parameter pemfilteran ipaddr_has_any_prefix, bidang ini diatur dengan salah satu nilai SrcIpAddr, DstIpAddr, atau Both untuk merefleksikan bidang yang cocok.
ASimMatchingHostname Direkomendasikan Disebutkan Saat pengurai menggunakan parameter pemfilteran hostname_has_any, bidang ini diatur dengan salah satu nilai SrcHostname, DstHostname, atau Both untuk merefleksikan bidang yang cocok.

Jika peristiwa dilaporkan oleh salah satu titik akhir sesi jaringan, mungkin termasuk informasi tentang proses yang memulai atau mengakhiri sesi. Dalam kasus seperti itu, Skema Peristiwa Proses ASIM digunakan untuk menormalkan informasi ini.

Pembaruan skema

Berikut adalah perubahan dalam versi 0.2.1 dari skema:

  • Penambahan Src dan Dst sebagai alias ke pengenal utama untuk sistem sumber dan tujuan.
  • Menambahkan bidang NetworkConnectionHistory, SrcVlanId, DstVlanId, InnerVlanId, dan OuterVlanId.

Berikut adalah perubahan dalam versi 0.2.2 dari skema:

  • Penambahan alias Remote dan Local.
  • Penambahan jenis acara EndpointNetworkSession.
  • Definisi Hostname dan IpAddr sebagai alias untuk RemoteHostname dan LocalIpAddr masing-masing ketika jenis kejadiannya EndpointNetworkSession.
  • Didefinisikan DvcInterface sebagai alias untuk DvcInboundInterface atau DvcOutboundInterface.
  • Mengubah jenis bidang berikut dari Integer menjadi Long: SrcBytes, DstBytes, NetworkBytes, SrcPackets, DstPackets, dan NetworkPackets.
  • Menambahkan bidang NetworkProtocolVersion.
  • Menghentikan DstUserDomain dan SrcUserDomain.

Berikut adalah perubahan dalam versi 0.2.3 skema:

  • Menambahkan ipaddr_has_any_prefix parameter penyaringan.
  • hostname_has_any Parameter penyaringan sekarang cocok dengan nama host sumber atau tujuan.
  • Menambahkan bidang ASimMatchingHostname dan ASimMatchingIpAddr.

Berikut adalah perubahan dalam versi 0.2.4 dari skema:

  • Menambahkan bidang TcpFlags.
  • Memperbarui NetworkIcpmType dan NetworkIcmpCode untuk mencerminkan nilai angka untuk keduanya.
  • Menambahkan bidang pemeriksaan tambahan.
  • Bidang 'ThreatRiskLevelOriginal' diganti namanya menjadi ThreatOriginalRiskLevel selaras dengan konvensi ASIM. Pengurai Microsoft yang ada akan dipertahankan ThreatRiskLevelOriginal hingga 1 Mei 2023.
  • Menandai EventResultDetails sebagai direkomendasikan, dan menentukan nilai yang diizinkan.

Berikut ini adalah perubahan dalam skema versi 0.2.5:

  • Menambahkan bidang DstUserScope, , SrcUserScope, SrcDvcScopeIdSrcDvcScope, , DstDvcScopeId, DstDvcScope, DvcScopeId, dan DvcScope.

Berikut ini adalah perubahan dalam skema versi 0.2.6:

  • Menambahkan IDS sebagai jenis peristiwa

Berikut ini adalah perubahan pada versi 0.2.7 dari skema:

  • Menambahkan bidang DstDescription dan SrcDescription

Langkah berikutnya

Untuk informasi selengkapnya, lihat:

  • Last updated on