Condividi tramite


Registro di sicurezza comune

Questa tabella è destinata alla raccolta di eventi in Common Event Format, che vengono spesso inviati da appliance di sicurezza diverse, ad esempio Check Point, Palo Alto e altro ancora.

Attributi di tabella

Attributo Valore
Tipi di risorse microsoft.securityinsights/cef,
microsoft.compute/virtualmachines,
microsoft.conenctedvmwarevsphere/virtualmachines,
microsoft.azurestackhci/virtualmachines
microsoft.scvmm/macchine virtuali
microsoft.compute/virtualmachinescalesets
Categorie Sicurezza
Soluzioni Sicurezza, Approfondimenti sulla Sicurezza
Log di base
Trasformazione al momento dell'inserimento
Query di esempio

Colonne

Colonna Tipo Descrizione
Attività corda Stringa che rappresenta una descrizione leggibile e comprensibile dell'evento.
Estensioni Aggiuntive corda Segnaposto per campi aggiuntivi. I campi vengono registrati come coppie chiave-valore.
Protocollo dell'applicazione corda Protocollo usato nell'applicazione, ad esempio HTTP, HTTPS, SSHv2, Telnet, POP, IMPA, IMAPS e così via.
_BilledSize autentico Dimensioni del record in byte
Nome host del collettore corda Nome host del computer dell'agente di raccolta che esegue l'agente.
Direzione della Comunicazione corda Qualsiasi informazione sulla direzione in cui è stata presa la comunicazione osservata. Valori validi: 0 = In ingresso, 1 = In uscita.
Computatore corda Host, da Syslog.
DestinationDnsDomain corda Parte DNS del nome di dominio completamente qualificato (FQDN).
DestinationHostName corda Destinazione a cui fa riferimento l'evento in una rete IP. Il formato deve essere un FQDN associato al nodo di destinazione, quando è disponibile un nodo. Ad esempio: host.domain.com o host.
IP di destinazione corda Indirizzo IpV4 di destinazione a cui fa riferimento l'evento in una rete IP.
Indirizzo MAC di Destinazione corda Indirizzo MAC di destinazione (FQDN).
DestinationNTDomain corda Nome di dominio di Windows dell'indirizzo di destinazione.
Porto di Destinazione INT Porta di destinazione. Valori validi: 0 - 65535.
DestinationProcessId INT ID del processo di destinazione associato all'evento.
NomeDelProcessoDiDestinazione corda Nome del processo di destinazione dell'evento, ad esempio telnetd o sshd.
DestinationServiceName corda Servizio di destinazione dell'evento. Ad esempio: sshd.
IndirizzoDestinazioneTradotto corda Identifica la destinazione tradotta a cui fa riferimento l'evento in una rete IP, come indirizzo IP IPv4.
PortaTradottaDiDestinazione INT Porta dopo la conversione, ad esempio un firewall Numeri di porta validi: 0 - 65535.
DestinationUserID corda Identifica l'utente di destinazione in base all'ID. Ad esempio: in Unix, l'utente radice è in genere associato all'ID utente 0.
NomeUtenteDestinazione corda Identifica l'utente di destinazione in base al nome.
DestinationUserPrivileges corda Definisce i privilegi dell'uso della destinazione. Valori validi: Amministratore, Utente, Ospite.
DeviceAction corda L'azione menzionata nell'evento.
Indirizzo del dispositivo corda Indirizzo IPv4 del dispositivo che genera l'evento.
DeviceCustomDate1 corda Uno dei due campi timestamp disponibili per mappare i campi che non si applicano a nessun altro in questo dizionario. Usare con moderazione e cercare un campo più specifico, fornito dal dizionario, quando possibile.
EtichettaDataPersonalizzata1Dispositivo corda Tutti i campi personalizzati hanno un campo etichetta corrispondente. Ognuno di questi campi è una stringa e descrive lo scopo del campo personalizzato.
DeviceCustomDate2 corda Uno dei due campi timestamp disponibili per mappare i campi che non si applicano a nessun altro in questo dizionario. Usare con moderazione e cercare un campo più specifico, fornito dal dizionario, quando possibile.
EtichettaDataPersonalizzata2DelDispositivo corda Tutti i campi personalizzati hanno un campo etichetta corrispondente. Ognuno di questi campi è una stringa e descrive lo scopo del campo personalizzato.
DispositivoPersonalizzatoPuntoFluttuante1 autentico Uno dei due campi timestamp disponibili per eseguire il mapping dei campi che non sono applicabili a nessun altro in questo dizionario.
DeviceCustomFloatingPoint1Label corda Tutti i campi personalizzati hanno un campo etichetta corrispondente. Ognuno di questi campi è una stringa e descrive lo scopo del campo personalizzato.
DispositivoCustomFloatingPoint2 autentico Uno dei due campi timestamp disponibili per eseguire il mapping dei campi che non sono applicabili a nessun altro in questo dizionario.
EtichettaPuntoMobilePersonalizzatoDispositivo2 corda Tutti i campi personalizzati hanno un campo etichetta corrispondente. Ognuno di questi campi è una stringa e descrive lo scopo del campo personalizzato.
DeviceCustomFloatingPoint3 autentico Uno dei due campi timestamp disponibili per eseguire il mapping dei campi che non sono applicabili a nessun altro in questo dizionario.
EtichettaPuntoFlottantePersonalizzato3Dispositivo corda Tutti i campi personalizzati hanno un campo etichetta corrispondente. Ognuno di questi campi è una stringa e descrive lo scopo del campo personalizzato.
DeviceCustomFloatingPoint4 autentico Uno dei due campi timestamp disponibili per eseguire il mapping dei campi che non sono applicabili a nessun altro in questo dizionario.
DeviceCustomFloatingPoint4Etichetta corda Tutti i campi personalizzati hanno un campo etichetta corrispondente. Ognuno di questi campi è una stringa e descrive lo scopo del campo personalizzato.
DeviceCustomIndirizzoIPv6Personalizzato1 corda Uno dei quattro indirizzi IPv6 disponibili per eseguire il mapping dei campi che non sono applicabili a nessun altro in questo dizionario.
EtichettaIndirizzoIPv6Personalizzato1Dispositivo corda Tutti i campi personalizzati hanno un campo etichetta corrispondente. Ognuno di questi campi è una stringa e descrive lo scopo del campo personalizzato.
Indirizzo IPv6 Personalizzato del Dispositivo 2 corda Uno dei quattro indirizzi IPv6 disponibili per eseguire il mapping dei campi che non sono applicabili a nessun altro in questo dizionario.
EtichettaIndirizzoIPv6PersonalizzatoDispositivo2 corda Tutti i campi personalizzati hanno un campo etichetta corrispondente. Ognuno di questi campi è una stringa e descrive lo scopo del campo personalizzato.
DeviceCustomIPv6Address3 corda Uno dei quattro indirizzi IPv6 disponibili per eseguire il mapping dei campi che non sono applicabili a nessun altro in questo dizionario.
EtichettaIndirizzoIPv6PersonalizzatoDispositivo3 corda Tutti i campi personalizzati hanno un campo etichetta corrispondente. Ognuno di questi campi è una stringa e descrive lo scopo del campo personalizzato.
DeviceCustomIPv6Address4 corda Uno dei quattro indirizzi IPv6 disponibili per eseguire il mapping dei campi che non sono applicabili a nessun altro in questo dizionario.
EtichettaIndirizzoIPV6PersonalizzatoDispositivo4 corda Tutti i campi personalizzati hanno un campo etichetta corrispondente. Ognuno di questi campi è una stringa e descrive lo scopo del campo personalizzato.
NumeroPersonalizzatoDelDispositivo1 INT Presto sarà un campo obsoleto. Verrà sostituito da FieldDeviceCustomNumber1.
DeviceCustomNumber1Label corda Tutti i campi personalizzati hanno un campo etichetta corrispondente. Ognuno di questi campi è una stringa e descrive lo scopo del campo personalizzato.
DeviceCustomNumber2 INT Presto sarà un campo obsoleto. Verrà sostituito da FieldDeviceCustomNumber2.
DeviceCustomNumber2Label corda Tutti i campi personalizzati hanno un campo etichetta corrispondente. Ognuno di questi campi è una stringa e descrive lo scopo del campo personalizzato.
DeviceCustomNumber3 INT Presto sarà un campo obsoleto. Verrà sostituito da FieldDeviceCustomNumber3.
EtichettaNumeroPersonalizzato3Dispositivo corda Tutti i campi personalizzati hanno un campo etichetta corrispondente. Ognuno di questi campi è una stringa e descrive lo scopo del campo personalizzato.
DeviceCustomString1 corda Una delle sei stringhe disponibili per mappare i campi che non corrispondono ad altro in questo dizionario. Usare con moderazione e cercare un campo più specifico, fornito dal dizionario, quando possibile.
DeviceCustomString1Label corda Tutti i campi personalizzati hanno un campo etichetta corrispondente. Ognuno di questi campi è una stringa e descrive lo scopo del campo personalizzato.
DeviceCustomString2 corda Una delle sei stringhe disponibili per mappare i campi che non corrispondono ad altro in questo dizionario. Usare con moderazione e cercare un campo più specifico, fornito dal dizionario, quando possibile.
DeviceCustomString2Label corda Tutti i campi personalizzati hanno un campo etichetta corrispondente. Ognuno di questi campi è una stringa e descrive lo scopo del campo personalizzato.
DeviceCustomString3 corda Una delle sei stringhe disponibili per mappare i campi che non corrispondono ad altro in questo dizionario. Usare con moderazione e cercare un campo più specifico, fornito dal dizionario, quando possibile.
EtichettaStringaPersonalizzata3DelDispositivo corda Tutti i campi personalizzati hanno un campo etichetta corrispondente. Ognuno di questi campi è una stringa e descrive lo scopo del campo personalizzato.
DeviceCustomString4 corda Una delle sei stringhe disponibili per mappare i campi che non corrispondono ad altro in questo dizionario. Usare con moderazione e cercare un campo più specifico, fornito dal dizionario, quando possibile.
DescrizionePersonalizzataDispositivo4Etichetta corda Tutti i campi personalizzati hanno un campo etichetta corrispondente. Ognuno di questi campi è una stringa e descrive lo scopo del campo personalizzato.
DeviceCustomString5 corda Una delle sei stringhe disponibili per mappare i campi che non corrispondono ad altro in questo dizionario. Usare con moderazione e cercare un campo più specifico, fornito dal dizionario, quando possibile.
DeviceCustomString5Label corda Tutti i campi personalizzati hanno un campo etichetta corrispondente. Ognuno di questi campi è una stringa e descrive lo scopo del campo personalizzato.
DeviceCustomString6 corda Una delle sei stringhe disponibili per mappare i campi che non corrispondono ad altro in questo dizionario. Usare con moderazione e cercare un campo più specifico, fornito dal dizionario, quando possibile.
EtichettaStringaPersonalizzata6Dispositivo corda Tutti i campi personalizzati hanno un campo etichetta corrispondente. Ognuno di questi campi è una stringa e descrive lo scopo del campo personalizzato.
DominioDnsDelDispositivo corda Parte del dominio DNS del nome di dominio completo (FQDN).
CategoriaEventoDispositivo corda Rappresenta la categoria assegnata dal dispositivo di origine. I dispositivi usano spesso uno schema di categorizzazione personalizzato per classificare l'evento. Esempio: '/Monitor/Disk/Read'.
DeviceEventClassID corda Stringa o integer che funge da identificatore univoco per tipo di evento.
DeviceExternalID corda Nome che identifica in modo univoco il dispositivo che genera l'evento.
DeviceFacility corda Struttura che genera l'evento. Ad esempio: auth o local1.
Interfaccia di Ingresso del Dispositivo corda Interfaccia in cui il pacchetto o i dati sono stati immessi nel dispositivo. Ad esempio: ethernet1/2.
DeviceMacAddress corda Indirizzo MAC del dispositivo che genera l'evento.
Nome del dispositivo corda FQDN associato al nodo del dispositivo, quando è disponibile un nodo. Ad esempio: host.domain.com o host.
DeviceNtDomain corda Dominio Windows dell'indirizzo del dispositivo.
Interfaccia Di Uscita Del Dispositivo corda Interfaccia in cui il pacchetto o i dati hanno lasciato il dispositivo.
DevicePayloadId corda Identificatore univoco per il payload associato all'evento.
Dispositivo Prodotto corda Stringa che, insieme alle definizioni di prodotto e versione del dispositivo, identifica in modo univoco il tipo di dispositivo di invio.
DeviceTimeZone corda Fuso orario del dispositivo che genera l'evento.
IndirizzoTradottoDelDispositivo corda Identifica l'indirizzo del dispositivo convertito a cui fa riferimento l'evento, in una rete IP. Il formato è un indirizzo Ipv4.
Fornitore di Dispositivi corda Stringa che, insieme alle definizioni di prodotto e versione del dispositivo, identifica in modo univoco il tipo di dispositivo di invio.
Versione del Dispositivo corda Stringa che, insieme alle definizioni di prodotto e versione del dispositivo, identifica in modo univoco il tipo di dispositivo di invio.
Ora di Fine data e ora Ora in cui l'attività correlata all'evento è terminata.
Conteggio eventi INT Conteggio associato all'evento, che mostra quante volte è stato osservato lo stesso evento.
Risultato dell'Evento corda Visualizza il risultato, in genere come "esito positivo" o "errore".
TipoDiEvento INT Tipo di evento. I valori di valore includono: 0: evento di base, 1: aggregato, 2: evento di correlazione, 3: evento azione. Nota: questo evento può essere omesso per gli eventi di base.
ExternalID INT Presto sarà un campo obsoleto. Verrà sostituito da ExtID.
ExtID corda ID usato dal dispositivo di origine (sostituirà ExternalID legacy). In genere, questi valori hanno valori crescenti associati a un evento.
NumeroPersonalizzatoDispositivoCampo1 lungo Uno dei tre campi numerici disponibili per eseguire il mapping dei campi che non si applicano a nessun altro campo in questo dizionario (sostituirà il vecchio DeviceCustomNumber1). Usare con moderazione e cercare un campo più specifico, fornito dal dizionario, quando possibile.
FieldDeviceCustomNumber2 lungo Uno dei tre campi numerici disponibili per mappare campi che non corrispondono a nessun altro in questo dizionario (sostituirà il legacy DeviceCustomNumber2). Usare con moderazione e cercare un campo più specifico, fornito dal dizionario, quando possibile.
FieldDeviceCustomNumber3 lungo Uno dei tre campi numerici disponibili per mappare i campi che non si applicano ad altri in questo dizionario (sostituirà il legacy DeviceCustomNumber3). Usare con moderazione e cercare un campo più specifico, fornito dal dizionario, quando possibile.
FileCreateTime corda Ora di creazione del file.
Hash del file corda Hash di un file.
FileID corda ID associato a un file, ad esempio l'inode.
OraDiModificaDelFile corda Ora dell'ultima modifica del file.
Nome del file corda Nome del file, senza il percorso.
FilePath corda Percorso completo del file, incluso il nome file. Ad esempio: C:\ProgramFiles\WindowsNT\Accessories\wordpad.exe o /usr/bin/zip.
Autorizzazione ai file corda Autorizzazioni del file. Ad esempio: '2,1,1'.
Dimensione del file INT Le dimensioni del file in byte.
Tipo di file corda Tipo di file, ad esempio pipe, socket e così via.
FlexDate1 corda Campo timestamp disponibile per eseguire il mapping di un timestamp che non si applica ad alcun altro campo timestamp definito in questo dizionario. Utilizzare i campi flessibili con parsimonia e, quando possibile, cercare un campo più specifico fornito dal dizionario. Questi campi sono in genere riservati per l'uso dei clienti e non devono essere impostati dai fornitori, a meno che non sia necessario.
FlexDate1Label corda Il campo etichetta è una stringa e descrive lo scopo del campo flex.
FlexNumber1 INT Campi numerici disponibili per eseguire il mapping dei dati Int che non si applicano ad altri campi in questo dizionario.
FlexNumber1Label corda Etichetta che descrive il valore in FlexNumber1
FlexNumber2 INT Campi numerici disponibili per eseguire il mapping dei dati Int che non si applicano ad altri campi in questo dizionario.
FlexNumber2Label corda Etichetta che descrive il valore in FlexNumber2
FlexString1 corda Uno dei due campi timestamp disponibili per eseguire il mapping dei campi che non sono applicabili a nessun altro in questo dizionario. Usare con moderazione e cercare un campo più specifico, fornito dal dizionario, quando possibile. Questi campi sono in genere riservati per l'uso dei clienti e non devono essere impostati dai fornitori, a meno che non sia necessario.
FlexString1Label corda Il campo etichetta è una stringa e descrive lo scopo del campo flex.
FlexString2 corda Uno dei due campi timestamp disponibili per eseguire il mapping dei campi che non sono applicabili a nessun altro in questo dizionario. Usare con moderazione e cercare un campo più specifico, fornito dal dizionario, quando possibile. Questi campi sono in genere riservati per l'uso dei clienti e non devono essere impostati dai fornitori, a meno che non sia necessario.
FlexString2Label corda Il campo etichetta è una stringa e descrive lo scopo del campo flex.
Tipo di Indicatore di Minaccia corda Il tipo di minaccia di MaliciousIP in base al feed TI.
_ÈFatturabile corda Specificare se l'inserimento dei dati è fatturabile. Quando _IsBillable è false, il caricamento non viene fatturato sul tuo account Azure.
LogSeverity corda Stringa o integer che descrive l'importanza dell'evento. Valori stringa validi: Sconosciuto, Basso, Medio, Alto, Molto-Alto. Valori interi validi: 0-3 = Basso, 4-6 = Medio, 7-8 = Alto, 9-10 = Molto-Alto.
IP Malizioso corda Se uno degli indirizzi IP nel messaggio è correlato al feed TI corrente, verrà visualizzato qui.
MaliciousIPCountry corda Paese del MalwareIP in base alle informazioni GEO al momento dell'inserimento del record.
MaliciousIPLatitudine autentico Latitudine di MaliciousIP in base alle informazioni GEO al momento dell'inserimento del record.
MaliciousIPLongitude autentico La longitudine del MaliciousIP in base alle informazioni di geolocalizzazione al momento dell'ingestione del record.
Messaggio corda Messaggio che fornisce altri dettagli sull'evento.
OldFileCreateTime corda Ora di creazione del file precedente.
OldFileHash corda Hash del file precedente.
OldFileID corda ID associato al file precedente, ad esempio l'inode.
VecchioTempoDiModificaDelFile corda Ora dell'ultima modifica del file precedente.
OldFileName corda Nome del file precedente.
OldFilePath corda Percorso completo del file precedente, incluso il nome file. Ad esempio: C:\ProgramFiles\WindowsNT\Accessories\wordpad.exe o /usr/bin/zip.
OldFilePermission corda Autorizzazioni del file precedente. Ad esempio: '2,1,1'.
OldFileSize INT Dimensioni del file precedente in byte.
VecchioTipoDiFile corda Tipo di file del file precedente, ad esempio pipe, socket e così via.
OriginalLogSeverity corda Versione non mappata di LogSeverity. Ad esempio: Avviso/Critico/Info invece di Basso/Medio/Alto normalizzato nel campo LogSeverity
ID del Processo INT Definisce l'ID del processo nel dispositivo che genera l'evento.
ProcessName corda Nome del processo associato all'evento. Ad esempio: in UNIX, il processo che genera la voce syslog.
Protocollo corda Protocollo di trasporto che identifica il protocollo di livello 4 usato. I valori possibili includono nomi di protocollo, ad esempio TCP o UDP.
Motivo corda Motivo per cui è stato generato un evento di controllo. Ad esempio, "password non valida" o "utente sconosciuto". Può trattarsi anche di un errore o di un codice restituito. Esempio: '0x1234'.
Ora di Ricezione corda Ora in cui è stato ricevuto l'evento correlato all'attività. Diverso rispetto al campo "Timegenerated", che indica quando l'evento è stato ricevuto nel dispositivo di raccolta log.
Byte Ricevuti lungo Numero di byte trasferiti in ingresso.
RemoteIP corda Indirizzo IP remoto, derivato dal valore di direzione dell'evento, se possibile.
RemotePort corda Porta remota, derivata dal valore di direzione dell'evento, se possibile.
LinkRiferimentoRapporto corda Collegamento al report del feed TI.
RequestClientApplication corda Agente utente associato alla richiesta.
RequestContext corda Descrive il contenuto da cui ha avuto origine la richiesta, ad esempio il referrer HTTP.
RequestCookies corda Cookie associati alla richiesta.
RequestMethod corda Metodo utilizzato per accedere a un URL. I valori validi includono metodi come POST, GET e così via.
RequestURL corda URL a cui si accede per una richiesta HTTP, incluso il protocollo . Ad esempio: http://www/secure.com.
_ResourceId corda Identificatore univoco della risorsa a cui è associato il record.
SentBytes lungo Numero di byte trasferiti in uscita.
SimplifiedDeviceAction corda Versione mappata di DeviceAction, ad esempio Negata > Nega.
SourceDnsDomain corda Parte del dominio DNS del nome di dominio completo.
SourceHostName corda Identifica l'origine a cui fa riferimento l'evento in una rete IP. Il formato deve essere un nome di dominio completo (DQDN) associato al nodo di origine, quando è disponibile un nodo. Ad esempio: host o host.domain.com.
IP sorgente corda Origine a cui un evento fa riferimento in una rete IP, come indirizzo IPv4.
Indirizzo MAC di origine corda Indirizzo MAC di origine.
SourceNTDomain corda Nome di dominio di Windows per l'indirizzo di origine.
SourcePort INT Numero di porta di origine. I numeri di porta validi sono compresi tra 0 e 65535.
SourceProcessId INT ID del processo di origine associato all'evento.
SourceProcessName corda Nome del processo di origine dell'evento.
NomeServizioOrigine corda Servizio responsabile della generazione dell'evento.
SourceSystem corda Tipo di agente da cui è stato raccolto l'evento. Ad esempio, OpsManager per l'agente Windows o connessione diretta oppure Operations Manager, Linux per tutti gli agenti Linux o Azure per Diagnostica di Azure
SourceTranslatedAddress corda Identifica l'origine tradotta a cui fa riferimento l'evento in una rete IP.
SourceTranslatedPort INT Porta di origine dopo la conversione, ad esempio un firewall. I numeri di porta validi sono compresi tra 0 e 65535.
SourceUserID corda Identifica l'utente di origine in base all'ID.
SourceUserName corda Identifica l'utente di origine in base al nome. Anche gli indirizzi di posta elettronica vengono mappati nei campi UserName. Il mittente è un candidato da inserire in questo campo.
SourceUserPrivileges corda Privilegi dell'utente di origine. I valori validi includono: Administrator, User, Guest.
Ora di Inizio data e ora Ora di inizio dell'attività a cui fa riferimento l'evento.
_SubscriptionId (ID sottoscrizione) corda Identificatore univoco della sottoscrizione a cui è associato il record
Id del tenant corda L'ID dell'area di lavoro Log Analytics
Livello di fiducia nella minaccia corda La probabilità di minaccia di MaliciousIP in base al feed TI.
Descrizione della minaccia corda La descrizione della minaccia di MaliciousIP in base al feed TI.
Gravità della minaccia INT Gravità della minaccia di MaliciousIP in base al feed TI al momento dell'inserimento di record.
TimeGenerated data e ora Tempo di raccolta degli eventi in UTC.
Tipo corda Nome della tabella