Schemi ASIM (Advanced Security Information Model)
Uno schema ASIM (Advanced Security Information Model) è un set di campi che rappresentano un'attività. L'uso dei campi da uno schema normalizzato in una query garantisce il suo funzionamento con ogni origine normalizzata.
Per comprendere in che modo gli schemi rientrano nell'architettura ASIM, vedere il diagramma dell'architettura di ASIM.
I riferimenti allo schema delineano i campi che comprendono ogni schema. ASIM definisce attualmente gli schemi seguenti:
| Schema | Versione | Stato |
|---|---|---|
| Evento di controllo | 0,1 | Anteprima |
| Evento di autenticazione | 0.1.3 | Anteprima |
| Attività DNS | 0.1.7 | Anteprima |
| Attività DHCP | 0,1 | Anteprima |
| Attività file | 0.2.1 | Anteprima |
| Sessione di rete | 0.2.6 | Anteprima |
| Process, evento | 0.1.4 | Anteprima |
| Evento del Registro di sistema | 0.1.2 | Anteprima |
| Gestione degli utenti | 0,1 | Anteprima |
| Sessione Web | 0.2.6 | Anteprima |
Importante
Gli schemi e i parser ASIM sono attualmente in anteprima. Le condizioni aggiuntive per l'anteprima di Azure includono termini legali aggiuntivi che si applicano a funzionalità di Azure in versione beta, anteprima o diversamente non ancora disponibili a livello generale.
Concetti relativi allo schema
I concetti seguenti consentono di comprendere i documenti di riferimento dello schema ed estendere lo schema in modo normalizzato nel caso in cui i dati includano informazioni che lo schema non copre.
| Idea | Descrizione |
|---|---|
| Nomi dei campi | Al centro di ogni schema sono i relativi nomi di campo. I nomi dei campi appartengono ai gruppi seguenti: - Campi comuni a tutti gli schemi. - Campi specifici di uno schema. - Campi che rappresentano entità, ad esempio gli utenti, che partecipano allo schema. I campi che rappresentano le entità sono simili tra gli schemi. Quando le origini hanno campi non presentati nello schema documentato, vengono normalizzati per mantenere la coerenza. Se i campi aggiuntivi rappresentano un'entità, verranno normalizzati in base alle linee guida sul campo dell'entità. In caso contrario, gli schemi si sforzano di mantenere la coerenza tra tutti gli schemi. Ad esempio, mentre i log attività del server DNS non forniscono informazioni utente, i log attività DNS di un endpoint possono includere informazioni utente, che possono essere normalizzate in base alle linee guida dell'entità utente. |
| Tipi di campo | Ogni campo dello schema ha un tipo. L'area di lavoro Log Analytics include un set limitato di tipi di dati. Per questo motivo, Microsoft Sentinel usa un tipo logico per molti campi dello schema, che Log Analytics non applica ma è necessario per la compatibilità dello schema. I tipi di campo logici assicurano che i valori e i nomi dei campi siano coerenti tra le origini. Per altre informazioni, vedere Tipi logici. |
| Classe Field | I campi possono avere diverse classi, che definiscono quando i campi devono essere implementati da un parser: - I campi obbligatori devono essere visualizzati in ogni parser. Se l'origine non fornisce informazioni per questo valore o i dati non possono essere aggiunti in altro modo, non supporterà la maggior parte degli elementi di contenuto che fanno riferimento allo schema normalizzato. - I campi consigliati devono essere normalizzati, se disponibili. Tuttavia, potrebbero non essere disponibili in ogni origine. Qualsiasi elemento di contenuto che fa riferimento allo schema normalizzato deve prendere in considerazione la disponibilità. - I campi facoltativi , se disponibili, possono essere normalizzati o lasciati nel formato originale. In genere, un parser minimo non li normalizzerebbe per motivi di prestazioni. - I campi condizionali sono obbligatori se il campo seguito viene popolato. I campi condizionali vengono in genere usati per descrivere il valore in un altro campo. Ad esempio, il campo comune DvcIdType descrive il valore int il campo comune DvcId ed è quindi obbligatorio se quest'ultimo viene popolato. - Alias è un tipo speciale di un campo condizionale ed è obbligatorio se il campo con alias viene popolato. |
| Campi comuni | Alcuni campi sono comuni a tutti gli schemi ASIM. Ogni schema può aggiungere linee guida per l'uso di alcuni dei campi comuni nel contesto dello schema specifico. Ad esempio, i valori consentiti per il campo EventType possono variare in base allo schema, come potrebbe essere il valore del campo EventSchemaVersion . |
| Entità | Gli eventi si evolvono intorno a entità, ad esempio utenti, host, processi o file. Ogni entità potrebbe richiedere diversi campi per descriverlo. Ad esempio, un host potrebbe avere un nome e un indirizzo IP. Un singolo record può includere più entità dello stesso tipo, ad esempio un host di origine e di destinazione. ASIM definisce come descrivere le entità in modo coerente e le entità consentono di estendere gli schemi. Ad esempio, mentre lo schema della sessione di rete non include informazioni sul processo, alcune origini eventi forniscono informazioni sul processo che possono essere aggiunte. Per altre informazioni, vedere Entità. |
| Alias | Gli alias consentono più nomi per un valore specificato. In alcuni casi, utenti diversi si aspettano che un campo abbia nomi diversi. Nella terminologia DNS, ad esempio, potrebbe essere previsto un campo denominato DnsQuery, mentre in genere contiene un nome di dominio. Il dominio alias consente all'utente di usare entrambi i nomi. In alcuni casi, un alias può avere il valore di uno dei diversi campi, a seconda dei valori disponibili nell'evento. Ad esempio, l'alias Dvc , aliasa i campi DvcFQDN, DvcId, DvcHostname o DvcIpAddr o Prodotto evento . Quando un alias può avere diversi valori, il tipo deve essere una stringa per contenere tutti i possibili valori con alias. Di conseguenza, quando si assegna un valore a tale alias, assicurarsi di convertire il tipo in stringa usando la funzione KQL tostring. Le tabelle normalizzate native non includono alias, perché implicano l'archiviazione dei dati duplicati. I parser stub aggiungono invece gli alias. Per implementare gli alias nei parser, creare una copia del valore originale usando l'operatore extend . |
Tipi logici
Ogni campo dello schema ha un tipo. Alcuni tipi predefiniti di Log Analytics, ad esempio string, intdatetime, o dynamic. Gli altri campi hanno un tipo Logico, che rappresenta la modalità di normalizzazione dei valori dei campi.
| Tipo di dati | Tipo fisico | Formato e valore |
|---|---|---|
| Boolean | Bool | Usare il tipo di dati KQL bool predefinito anziché una rappresentazione numerica o stringa di valori booleani. |
| Enumerato | Stringa | Elenco di valori come definito in modo esplicito per il campo. La definizione dello schema elenca i valori accettati. |
| Data/Ora | A seconda della funzionalità del metodo di inserimento, usare una delle rappresentazioni fisiche seguenti con priorità decrescente: - Tipo datetime predefinito di Log Analytics - Un campo integer che usa la rappresentazione numerica datetime di Log Analytics. - Campo stringa che usa la rappresentazione numerica datetime di Log Analytics - Campo stringa che archivia un formato di data/ora di Log Analytics supportato. |
La rappresentazione di data e ora di Log Analytics è simile ma diversa dalla rappresentazione dell'ora Unix. Per altre informazioni, vedere le linee guida per la conversione. Nota: se applicabile, l'ora deve essere modificata per il fuso orario. |
| Indirizzo MAC | Stringa | Notazione colon-esadecimale. |
| Indirizzo IP | Stringa | Gli schemi di Microsoft Sentinel non hanno indirizzi IPv4 e IPv6 separati. Qualsiasi campo indirizzo IP può includere un indirizzo IPv4 o un indirizzo IPv6, come indicato di seguito: - IPv4 in una notazione dot-decimal. - IPv6 nella notazione a 8 hextets, consentendo la forma breve. Ad esempio: - IPv4: 192.168.10.10 - IPv6: FEDC:BA98:7654:3210:FEDC:BA98:7654:3210- Formato breve IPv6: 1080::8:800:200C:417A |
| FQDN | Stringa | Nome di dominio completo che usa una notazione punto, ad esempio learn.microsoft.com. Per altre informazioni, vedere L'entità Device. |
| Hostname (Nome host) | Stringa | Un nome host che non è un FQDN, include fino a 63 caratteri, tra cui lettere, numeri e trattini. Per altre informazioni, vedere L'entità Device. |
| Domaintype | Enumerated | Tipo di dominio archiviato nei campi dominio e FQDN. Per un elenco di valori e altre informazioni, vedere L'entità Device. |
| DvcIdType | Enumerated | Tipo di ID dispositivo archiviato nei campi DvcId. Per un elenco di valori consentiti e altre informazioni, vedere DvcIdType. |
| DeviceType | Enumerated | Tipo di dispositivo archiviato nei campi DeviceType. I valori possibili includono: - Computer- Mobile Device- IOT Device- Other. Per altre informazioni, vedere L'entità Device. |
| Nome utente | Stringa | Nome utente valido in uno dei tipi supportati. Per altre informazioni, vedere L'entità User. |
| UsernameType | Enumerated | Tipo di nome utente archiviato nei campi nome utente. Per altre informazioni ed elenco dei valori supportati, vedere L'entità User. |
| UserIdType | Enumerated | Tipo dell'ID archiviato nei campi ID utente. I valori supportati sono SID, UIS, AADID, OktaId, AWSIde PUID. Per altre informazioni, vedere L'entità User. |
| Usertype | Enumerated | Tipo di utente. Per altre informazioni ed elenco dei valori consentiti, vedere L'entità User. |
| AppType | Enumerated | Tipo di un'applicazione. I valori supportati includono: Process, Service, Resource, URLSaaS application, , CSPe Other. |
| Paese/area geografica | Stringa | Stringa che usa ISO 3166-1, in base alla priorità seguente: - Codici alfa-2, ad esempio US per il Stati Uniti. - Codici alfa-3, ad esempio USA per il Stati Uniti. - Nome breve. L'elenco dei codici è disponibile nel sito Web international standards organization (ISO). |
| Area | Stringa | Nome della suddivisione del paese, che usa ISO 3166-2. L'elenco dei codici è disponibile nel sito Web international standards organization (ISO). |
| Città | Stringa | |
| Longitudine | Double | Rappresentazione di coordinate ISO 6709 (decimale con segno). |
| Latitudine | Double | Rappresentazione di coordinate ISO 6709 (decimale con segno). |
| MD5 | Stringa | 32 caratteri esadecimale. |
| SHA1 | Stringa | 40 caratteri esadecimale. |
| SHA256 | Stringa | 64 caratteri esadecimale. |
| SHA512 | Stringa | 128 caratteri esadecimale. |
Entità
Gli eventi si evolvono intorno a entità, ad esempio utenti, host, processi o file. La rappresentazione di entità consente a diverse entità dello stesso tipo di far parte di un singolo record e supporta più attributi per le stesse entità.
Per abilitare la funzionalità delle entità, la rappresentazione di entità ha le linee guida seguenti:
| Linee guida | Descrizione |
|---|---|
| Descrittori e aliasing | Poiché un singolo evento include spesso più di un'entità dello stesso tipo, ad esempio host di origine e di destinazione, i descrittori vengono usati come prefisso per identificare tutti i campi associati a un'entità specifica. Per mantenere la normalizzazione, ASIM usa un piccolo set di descrittori standard, selezionando quelli più appropriati per il ruolo specifico delle entità. Se una singola entità di un tipo è rilevante per un evento, non è necessario usare un descrittore. Inoltre, un set di campi senza un descrittore alias l'entità più usata per ogni tipo. |
| Identificatori e tipi | Uno schema normalizzato consente diversi identificatori per ogni entità, che si prevede coesistere negli eventi. Se l'evento di origine ha altri identificatori di entità che non possono essere mappati allo schema normalizzato, mantenerli nel modulo di origine o usare il campo dinamico AdditionalFields . Per mantenere le informazioni sul tipo per gli identificatori, archiviare il tipo, se applicabile, in un campo con lo stesso nome e un suffisso di Tipo. Ad esempio, UserIdType. |
| Attributi | Le entità hanno spesso altri attributi che non fungono da identificatore e possono anche essere qualificati con un descrittore. Ad esempio, se l'utente di origine dispone di informazioni sul dominio, il campo normalizzato è SrcUserDomain. |
Ogni schema definisce in modo esplicito le entità centrali e i campi di entità. Le linee guida seguenti consentono di comprendere i campi dello schema centrale e come estendere gli schemi in modo normalizzato usando altre entità o campi di entità non definiti in modo esplicito nello schema.
Entità User
Gli utenti sono fondamentali per le attività segnalate dagli eventi. I campi elencati in questa sezione vengono usati per descrivere gli utenti coinvolti nell'azione. I prefissi vengono usati per designare il ruolo dell'utente nell'attività. I prefissi Src e Dst vengono usati per designare il ruolo utente negli eventi correlati alla rete, in cui un sistema di origine e un sistema di destinazione comunicano. I prefissi 'Actor' e 'Target' vengono usati per eventi orientati al sistema, ad esempio eventi di processo.
ID utente e ambito
| Campo | Classe | Type | descrizione |
|---|---|---|---|
| ID utente | Facoltativo | Stringa | Rappresentazione univoca dell'utente leggibile, alfanumerica e leggibile dal computer. |
| UserScope | Facoltativo | stringa | Ambito in cui sono definiti UserId e Username . Ad esempio, un nome di dominio tenant di Microsoft Entra. Il campo UserIdType rappresenta anche il tipo dell'oggetto associato a questo campo. |
| UserScopeId | Facoltativo | stringa | ID dell'ambito in cui sono definiti UserId e Username . Ad esempio, un ID directory tenant di Microsoft Entra. Il campo UserIdType rappresenta anche il tipo dell'oggetto associato a questo campo. |
| UserIdType | Facoltativo | UserIdType | Tipo dell'ID archiviato nel campo UserId . |
| UserSid, UserUid, UserAadId, UserOktaId, UserAWSId, UserPuid | Facoltativo | Stringa | Campi usati per archiviare ID utente specifici. Selezionare l'ID più associato all'evento come ID primario archiviato in UserId. Popolare il campo ID specifico pertinente, oltre a UserId, anche se l'evento ha un solo ID. |
| UserAADTenant, UserAWSAccount | Facoltativo | Stringa | Campi usati per archiviare ambiti specifici. Usare il campo UserScope per l'ambito associato all'ID archiviato nel campo UserId . Popolare il campo ambito specifico pertinente, oltre a UserScope, anche se l'evento ha un solo ID. |
I valori consentiti per un tipo di ID utente sono:
| Type | Descrizione | Esempio |
|---|---|---|
| SID | ID utente di Windows. | S-1-5-21-1377283216-344919071-3415362939-500 |
| UID | ID utente Linux. | 4578 |
| AADID | ID utente di Microsoft Entra. | 9267d02c-5f76-40a9-a9eb-b686f3ca47aa |
| OktaId | ID utente okta. | 00urjk4znu3BcncfY0h7 |
| AWSId | ID utente AWS. | 72643944673 |
| PUID | ID utente di Microsoft 365. | 10032001582F435C |
| SalesforceId | ID utente di Salesforce. | 00530000009M943 |
Nome dell'utente
| Campo | Classe | Type | Descrizione |
|---|---|---|---|
| Nome utente | Facoltativo | Stringa | Nome utente di origine, incluse le informazioni sul dominio, se disponibili. Usare il modulo semplice solo se le informazioni sul dominio non sono disponibili. Archiviare il tipo di nome utente nel campo UsernameType . |
| UsernameType | Facoltativo | UsernameType | Specifica il tipo di nome utente archiviato nel campo Nome utente . |
| UserUPN, WindowsUsername, DNUsername, SimpleUsername | Facoltativo | Stringa | Campi usati per archiviare nomi utente aggiuntivi, se l'evento originale include più nomi utente. Selezionare il nome utente più associato all'evento come nome utente primario archiviato in Nome utente. |
I valori consentiti per un tipo di nome utente sono:
| Type | Descrizione | Esempio |
|---|---|---|
| UPN | Un upN o un operatore nome utente indirizzo di posta elettronica. | johndow@contoso.com |
| Windows | Nome utente di Windows incluso un dominio. | Contoso\johndow |
| DN | Identificatore del nome distinto LDAP. | CN=Jeff Smith,OU=Sales,DC=Fabrikam,DC=COM |
| Semplice | Un nome utente semplice senza un designatore di dominio. | johndow |
| AWSId | ID utente AWS. | 72643944673 |
Campi utente aggiuntivi
| Campo | Classe | Type | Descrizione |
|---|---|---|---|
| Usertype | Facoltativo | UserType | Tipo di utente di origine. I valori supportati includono: - Regular- Machine- Admin- System- Application- Service Principal- Service- Anonymous- Other.Il valore può essere fornito nel record di origine usando termini diversi, che devono essere normalizzati in questi valori. Archiviare il valore originale nel campo OriginalUserType . |
| OriginalUserType | Facoltativo | Stringa | Tipo di utente di destinazione originale, se fornito dal dispositivo di report. |
Entità del dispositivo
I dispositivi, o gli host, sono i termini comuni usati per i sistemi che partecipano all'evento. Il Dvc prefisso viene usato per designare il dispositivo primario in cui si verifica l'evento. Alcuni eventi, ad esempio le sessioni di rete, dispongono di dispositivi di origine e di destinazione, designati dal prefisso Src e Dst. In questo caso, il Dvc prefisso viene usato per il dispositivo che segnala l'evento, che potrebbe essere l'origine, la destinazione o un dispositivo di monitoraggio.
Alias del dispositivo
| Campo | Classe | Type | Descrizione |
|---|---|---|---|
| Dvc, Src, Dst | Obbligatorio | Stringa | I Dvccampi , 'Src' o 'Dst' vengono usati come identificatore univoco del dispositivo. È impostato sul migliore disponibile identificato per il dispositivo. Questi campi possono eseguire l'alias dei campi FQDN, DvcId, Hostname o IpAddr . Per le origini cloud, per cui non è presente alcun dispositivo apparente, usare lo stesso valore del campo Prodotto evento . |
Nome del dispositivo
I nomi dei dispositivi segnalati possono includere solo un nome host o un nome di dominio completo (FQDN), che include un nome host e un nome di dominio. Il nome di dominio completo può essere espresso usando diversi formati. I campi seguenti consentono di supportare le diverse varianti in cui è possibile specificare il nome del dispositivo.
| Campo | Classe | Type | Descrizione |
|---|---|---|---|
| Hostname (Nome host) | Consigliato | Hostname (Nome host) | Nome host breve del dispositivo. |
| Dominio | Consigliato | Stringa | Dominio del dispositivo in cui si è verificato l'evento, senza il nome host. |
| Domaintype | Consigliato | Enumerated | Tipo di dominio. I valori supportati includono FQDN e Windows. Questo campo è obbligatorio se viene utilizzato il campo Dominio . |
| FQDN | Facoltativo | Stringa | Nome di dominio completo del dispositivo, inclusi nome host e dominio . Questo campo supporta sia il formato FQDN tradizionale che il formato domain\hostname di Windows. Il campo DomainType riflette il formato utilizzato. |
Ad esempio:
| Campo | Valore per l'input appserver.contoso.com |
valore per l'input appserver |
|---|---|---|
| Hostname (Nome host) | appserver |
appserver |
| Dominio | contoso.con |
<empty> |
| Domaintype | FQDN |
<empty> |
| FQDN | appserver.contoso.com |
<empty> |
Quando il valore fornito dall'origine è un FQDN o quando il valore può essere e FQDN o un nome host breve, il parser deve calcolare i 4 valori. Usare le funzioni _ASIM_ResolveFQDNhelper ASIM , _ASIM_ResolveSrcFQDN, _ASIM_ResolveDstFQDNe _ASIM_ResolveDvcFQDN per impostare facilmente tutti e quattro i campi in base a un singolo valore di input. Per altre informazioni, vedere Funzioni helper ASIM.
ID dispositivo e ambito
| Campo | Classe | Type | Descrizione |
|---|---|---|---|
| DvcId | Facoltativo | Stringa | ID univoco del dispositivo. Ad esempio: 41502da5-21b7-48ec-81c9-baeea8d7d669 |
| ScopeId | Facoltativo | Stringa | ID dell'ambito della piattaforma cloud a cui appartiene il dispositivo. L'ambito viene mappato a un ID sottoscrizione in Azure e a un ID account in AWS. |
| Scope | Facoltativo | Stringa | L'ambito della piattaforma cloud a cui appartiene il dispositivo. L'ambito è mappato a una sottoscrizione in Azure e a un account in AWS. |
| DvcIdType | Facoltativo | Enumerated | Tipo di DvcId. In genere, questo campo identificherà anche il tipo di Ambito e ScopeId. Questo campo è obbligatorio se viene usato il campo DvcId . |
| DvcAzureResourceId, DvcMDEid, DvcMD4IoTid, DvcVM Connessione ionId, DvcVectraId, DvcAwsVpcId | Facoltativo | Stringa | Campi usati per archiviare ID dispositivo aggiuntivi, se l'evento originale include più ID dispositivo. Selezionare l'ID dispositivo più associato all'evento come ID primario archiviato in DvcId. |
Si noti che i campi denominati devono anteporre un prefisso di ruolo, Src ad esempio o Dst, ma non devono anteporre un secondo Dvc prefisso se usato in tale ruolo.
I valori consentiti per un tipo di ID dispositivo sono:
| Type | Descrizione |
|---|---|
| MDEid | ID di sistema assegnato da Microsoft Defender per endpoint. |
| AzureResourceId | ID risorsa di Azure. |
| MD4IoTid | ID risorsa di Microsoft Defender per IoT. |
| VM Connessione ionId | ID risorsa della soluzione Informazioni dettagliate macchina virtuale di Monitoraggio di Azure. |
| AwsVpcId | ID VPC AWS. |
| VectraId | ID risorsa assegnato dall'intelligenza artificiale Vectra. |
| Altri | Tipo ID non elencato in precedenza. |
Ad esempio, la soluzione Informazioni dettagliate macchina virtuale di Monitoraggio di Azure fornisce informazioni sulle sessioni di rete in VMConnection. La tabella fornisce un ID risorsa di Azure nel _ResourceId campo e un ID dispositivo specifico per informazioni dettagliate macchina virtuale nel Machine campo. Usare il mapping seguente per rappresentare tali ID:
| Campo | Destinazione mapping |
|---|---|
| DvcId | Campo Machine della VMConnection tabella. |
| DvcIdType | Valore VMConnectionId |
| DvcAzureResourceId | Campo _ResourceId della VMConnection tabella. |
Campi aggiuntivi del dispositivo
| Campo | Classe | Type | Descrizione |
|---|---|---|---|
| IpAddr | Consigliato | Indirizzo IP | Indirizzo IP del dispositivo. Esempio: 45.21.42.12 |
| DvcDescription | Facoltativo | Stringa | Testo descrittivo associato al dispositivo. Ad esempio: Primary Domain Controller. |
| MacAddr | Facoltativo | MAC | Indirizzo MAC del dispositivo in cui si è verificato l'evento o che ha segnalato l'evento. Esempio: 00:1B:44:11:3A:B7 |
| Zona | Facoltativo | Stringa | Rete in cui si è verificato l'evento o che ha segnalato l'evento, a seconda dello schema. La zona è definita dal dispositivo di report. Esempio: Dmz |
| DvcOs | Facoltativo | Stringa | Sistema operativo in esecuzione nel dispositivo in cui si è verificato l'evento o che ha segnalato l'evento. Esempio: Windows |
| DvcOsVersion | Facoltativo | Stringa | Versione del sistema operativo nel dispositivo in cui si è verificato l'evento o che ha segnalato l'evento. Esempio: 10 |
| DvcAction | Facoltativo | Stringa | Per la creazione di report sui sistemi di sicurezza, l'azione intrapresa dal sistema, se applicabile. Esempio: Blocked |
| DvcOriginalAction | Facoltativo | Stringa | DvcAction originale fornito dal dispositivo di creazione report. |
| Interfaccia | Facoltativo | Stringa | Interfaccia di rete in cui sono stati acquisiti i dati. Questo campo è in genere rilevante per l'attività correlata alla rete acquisita da un dispositivo intermedio o di tocco. |
Si noti che i campi denominati nell'elenco con il prefisso Dvc devono anteporre un prefisso di ruolo, Src ad esempio o Dst, ma non anteporre un secondo Dvc prefisso se usato in tale ruolo.
Mapping di entità di esempio
Questa sezione usa l'evento di Windows 4624 come esempio per descrivere come i dati dell'evento vengono normalizzati per Microsoft Sentinel.
Questo evento ha le entità seguenti:
| Terminologia Microsoft | Prefisso del campo evento originale | Prefisso del campo ASIM | Descrizione |
|---|---|---|---|
| Argomento | Subject |
Actor |
Utente che ha segnalato informazioni su un accesso riuscito. |
| Nuovo accesso | Target |
TargetUser |
Utente per il quale è stato eseguito l'accesso. |
| Processo | - | ActingProcess |
Processo che ha tentato l'accesso. |
| Informazioni sulla rete | - | Src |
Computer da cui è stato eseguito un tentativo di accesso. |
In base a queste entità, l'evento di Windows 4624 viene normalizzato come segue (alcuni campi sono facoltativi):
| Campo normalizzato | Campo originale | Valore nell'esempio | Note |
|---|---|---|---|
| ActorUserId | SubjectUserSid | S-1-5-18 | |
| ActorUserIdType | - | SID | |
| ActorUserName | SubjectDomainName\ SubjectUserName | WORKGROUP\WIN-GG82ULGC9GO$ | Costruito concatenando i due campi |
| ActorUserNameType | - | Windows | |
| ActorSessionId | SubjectLogonId | 0x3e7 | |
| TargetUserId | TargetUserSid | S-1-5-21-1377283216-344919071-3415362939-500 | |
| ID utente | TargetUserSid | Alias | |
| TargetUserIdType | - | SID | |
| TargetUserName | TargetDomainName\ TargetUserName | Amministrazione istrator\WIN-GG82ULGC9GO$ | Costruito concatenando i due campi |
| Nome utente | TargetDomainName\ TargetUserName | Alias | |
| TargetUserNameType | - | Windows | |
| TargetSessionId | TargetLogonId | 0x8dcdc | |
| ActingProcessName | ProcessName | C:\Windows\System32\svchost.exe | |
| ActingProcessId | ProcessId | 0x44c | |
| SrcHostname | WorkstationName | Windows | |
| SrcIpAddr | IpAddress | 127.0.0.1 | |
| SrcPortNumber | IpPort | 0 | |
| TargetHostname | Computer | WIN-GG82ULGC9GO | |
| Hostname (Nome host) | Computer | Alias |
Passaggi successivi
Questo articolo offre una panoramica della normalizzazione in Microsoft Sentinel e ASIM.
Per altre informazioni, vedere:
- Guardare il webinar di approfondimento su Microsoft Sentinel Normalizzazione dei parser e del contenuto normalizzato o esaminare le diapositive
- Panoramica di Advanced Security Information Model (ASIM)
- Parser ASIM (Advanced Security Information Model)
- Contenuto di Advanced Security Information Model (ASIM)