Microsoft Sentinel schema di normalizzazione della rete (versione legacy - anteprima pubblica)

Lo schema di normalizzazione della rete viene usato per descrivere gli eventi di rete segnalati e viene usato da Microsoft Sentinel per abilitare l'analisi unificante.

Per altre informazioni, vedere Normalization and the Advanced Security Information Model (ASIM).

Importante

Questo articolo si riferisce alla versione 0.1 dello schema di normalizzazione della rete, che è stato rilasciato come anteprima prima della disponibilità di ASIM. La versione 0.2.x dello schema di normalizzazione della rete è allineata a ASIM e offre altri miglioramenti.

Per altre informazioni, vedere Differenze tra le versioni dello schema di normalizzazione della rete

Terminologia

La terminologia seguente viene usata negli schemi Microsoft Sentinel:

Termine Definizione
Dispositivo di creazione di report Sistema che invia i record a Microsoft Sentinel. Potrebbe non essere il sistema soggetto del record.
Registrazione Unità di dati inviati dal dispositivo di report. Questa unità di dati viene spesso definita log, evento , ma alertpuò anche avere altri tipi.

Tipi e formati di dati

La tabella seguente fornisce indicazioni per la normalizzazione dei valori dei dati, necessaria per i campi normalizzati e consigliata per altri campi.

Tipo di dati Tipo fisico Formato e valore
Data/ora Uno dei seguenti, a seconda della funzionalità del metodo di inserimento usato, con priorità decrescente:
  • Tipo datetime predefinito di Log Analytics
  • Campo intero che usa la rappresentazione numerica datetime di Log Analytics
  • Campo stringa che usa la rappresentazione numerica datetime di Log Analytics
 Rappresentazione datetime di Log Analytics.

La rappresentazione di data e ora di Log Analytics è di natura simile, ma diversa dalla rappresentazione dell'ora Unix. Fare riferimento a queste linee guida per la conversione.

La data e l'ora devono essere regolate per i fusi orari.
Indirizzo MAC Stringa notazione Colon-Hexadecimal
Indirizzo IP Indirizzo IP Lo schema non dispone di indirizzi IPv4 e IPv6 separati. Qualsiasi campo indirizzo IP può includere un indirizzo IPv4 o un indirizzo IPv6:
  • IPv4 in una notazione punto-decimale
  • Notazione IPv6 in 8 esadecimali, che consente le forme brevi descritte qui.
Utente Stringa Sono disponibili i 3 campi utente seguenti:
  • Nome utente
  • UPN utente
  • Dominio utente
ID utente Stringa Attualmente sono supportati i 2 ID utente seguenti:
  • SID utente
  • Microsoft Entra ID
Dispositivo Stringa Sono supportate le 3 colonne di dispositivi/host seguenti:
  • ID
  • Nome
  • Nome dominio completo (FQDN)
Paese Stringa Stringa che usa ISO 3166-1, in base alle priorità seguenti:
  • Codici Alfa-2, ad US esempio per il Stati Uniti
  • Codici Alfa-3, ad USA esempio per il Stati Uniti
  • Nome breve
Area Stringa Nome della suddivisione paese/area geografica con ISO 3166-2
Città Stringa
Longitudine Double Rappresentazione di coordinate ISO 6709 (decimale con segno)
Latitudine Double Rappresentazione di coordinate ISO 6709 (decimale con segno)
Algoritmo hash Stringa Sono supportate le 4 colonne hash seguenti:
  • MD5
  • SHA1
  • SHA256
  • SHA512
Tipo di file Stringa Tipo del tipo di file:
  • Extension
  • Classe
  • NamedType

Schema della tabella delle sessioni di rete

Di seguito è riportato lo schema della tabella delle sessioni di rete con versione 1.0.0

Nome del campo Tipo valore Esempio Descrizione Entità OSSEM associate
EventType Stringa Traffico Tipo di evento raccolto Evento
EventSubType Stringa Autenticazione Descrizione aggiuntiva del tipo, se applicabile Evento
EventCount Numero intero 10 Numero di eventi aggregati, se applicabile. Evento
EventEndTime Data/ora Vedere "tipi di dati" Ora di fine dell'evento Evento
EventMessage stringa accesso negato Messaggio o descrizione generale, incluso in o generato dal record Evento
DvcIpAddr Indirizzo IP 23.21.23.34 Indirizzo IP del dispositivo che genera il record Dispositivo
IP
DvcMacAddr Stringa 06:10:9f:eb:8f:14 Indirizzo MAC dell'interfaccia di rete del dispositivo di segnalazione da cui è stato inviato l'evento. Dispositivo
Mac
DvcHostname Nome dispositivo (stringa) syslogserver1.contoso.com Nome del dispositivo che genera il messaggio. Dispositivo
EventProduct Stringa OfficeSharepoint Prodotto che genera l'evento. Evento
EventProductVersion stringa 9.0 Versione del prodotto che genera l'evento. Evento
EventResourceId ID dispositivo (stringa) /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeee4e4e4e4e /resourcegroups/contoso77/providers /microsoft.compute/virtualmachines /syslogserver1 ID risorsa del dispositivo che genera il messaggio. Evento
EventReportUrl Stringa https://192.168.1.1/repoerts/ae3-56.htm Collegamento al report completo creato dal dispositivo di report Evento
EventVendor Stringa Microsoft Fornitore del prodotto che genera l'evento. Evento
EventResult Multivalore: Success, Partial, Failure, [Empty] (String) Esito positivo Risultato segnalato per l'attività. Valore vuoto se non applicabile. Evento
EventResultDetails Stringa Password errata Motivo o dettagli del risultato segnalato in EventResult Evento
EventSchemaVersion Reale 0.1 Microsoft Sentinel versione dello schema. Attualmente 0.1. Evento
EventSeverity Stringa Bassa Se l'attività segnalata ha un impatto sulla sicurezza, indica la gravità dell'impatto. Evento
EventOriginalUid Stringa af6ae8fe-ff43-4a4c-b537-8635976a2b51 ID record del dispositivo di report. Evento
EventStartTime Data/ora Vedere "tipi di dati" L'ora in cui l'evento ha dichiarato Evento
TimeGenerated Data/ora Vedere "tipi di dati" Ora in cui si è verificato l'evento, come segnalato dall'origine dei report. Campo personalizzato.
EventTimeIngested Data/ora Vedere "tipi di dati" Ora in cui l'evento è stato inserito in Microsoft Sentinel. Verrà aggiunto da Microsoft Sentinel. Evento
EventUid GUID (String) 516a64e3-8360-4f1e-a67c-d96b3d52df54 Identificatore univoco usato da Microsoft Sentinel per contrassegnare una riga. Evento
NetworkApplicationProtocol Stringa HTTPS Protocollo a livello di applicazione usato dalla connessione o dalla sessione. Rete
DstBytes int 32455 Numero di byte inviati dalla destinazione all'origine per la connessione o la sessione. Destinazione
SrcBytes int 46536 Numero di byte inviati dall'origine alla destinazione per la connessione o la sessione. Origine
NetworkBytes int 78991 Numero di byte inviati in entrambe le direzioni. Se sono presenti sia BytesReceived che BytesSent, BytesTotal deve essere uguale alla somma. Rete
NetworkDirection Multivalore: in ingresso, in uscita (stringa) Inbound Direzione della connessione o della sessione, all'interno o all'esterno dell'organizzazione. Rete
DstGeoCity Stringa Burlington Città associata all'indirizzo IP di destinazione Destinazione
Area geografica
DstGeoCountry Paese (stringa) USA Paese/area geografica associato all'indirizzo IP di origine Destinazione
Area geografica
DstDvcHostname Nome dispositivo (String) victim_pc Nome del dispositivo di destinazione Destinazione
Dispositivo
DstDvcFqdn Stringa victim_pc.contoso.local Nome di dominio completo dell'host in cui è stato creato il log Destinazione
Dispositivo
DstDomainHostname stringa CONTOSO Il dominio della destinazione, il dominio dell'host di destinazione (sito Web, nome di dominio e così via), ad esempio per le ricerche DNS o le ricerche NS Destinazione
DstInterfaceName stringa Scheda di rete Microsoft Hyper-V Interfaccia di rete usata per la connessione o la sessione dal dispositivo di destinazione. Destinazione
DstInterfaceGuid stringa 2BB33827-6BB6-48DB-8DE6-DB9E0B9F9C9B GUID dell'interfaccia di rete usata per la richiesta di autenticazione Destinazione
DstIpAddr Indirizzo IP 2001:db8::ff00:42:8329 Indirizzo IP della connessione o della destinazione della sessione, più comunemente definito IP di destinazione nel pacchetto di rete Destinazione
IP
DstDvcIpAddr Indirizzo IP 75.22.12.2 Indirizzo IP di destinazione di un dispositivo non direttamente associato al pacchetto di rete Destinazione
Dispositivo
IP
DstGeoLatitude Latitudine (doppia) 44.475833 La latitudine della coordinata geografica associata all'indirizzo IP di destinazione Destinazione
Area geografica
DstMacAddr Stringa 06:10:9f:eb:8f:14 Indirizzo MAC dell'interfaccia di rete in cui la connessione o la sessione è terminata, più comunemente indicato come MAC di destinazione nel pacchetto di rete Destinazione
MAC
DstDvcMacAddr Stringa 06:10:9f:eb:8f:14 Indirizzo MAC di destinazione di un dispositivo non direttamente associato al pacchetto di rete. Destinazione
Dispositivo
MAC
DstDvcDomain Stringa CONTOSO Dominio del dispositivo di destinazione. Destinazione
Dispositivo
DstPortNumber Numero intero 443 Porta IP di destinazione. Destinazione
Porta
DstGeoRegion Area (stringa) Vermont Area associata all'indirizzo IP di destinazione Destinazione
Area geografica
DstResourceId ID dispositivo (stringa) /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeee4e4e4e4e /resourcegroups/contoso77/providers /microsoft.compute/virtualmachines /victim ID risorsa del dispositivo di destinazione. Destinazione
DstNatIpAddr Indirizzo IP 2::1 Se segnalato da un dispositivo NAT intermedio, ad esempio un firewall, l'indirizzo IP usato dal dispositivo NAT per la comunicazione con l'origine. NAT di destinazione,
IP
DstNatPortNumber int 443 Se segnalato da un dispositivo NAT intermedio, ad esempio un firewall, la porta usata dal dispositivo NAT per la comunicazione con l'origine. NAT di destinazione,
Porta
DstUserSid SID utente S-12-1445 ID utente dell'identità associata alla destinazione della sessione. In genere, l'identità usata per autenticare un server. Per altre informazioni, vedere Tipi e formati di dati. Destinazione
Utente
DstUserAadId Stringa (GUID) ae92b0b4-cfba-4b42-85a0-fbd862f4df54 ID dell'oggetto account Microsoft Entra dell'utente all'estremità di destinazione della sessione Destinazione
Utente
DstUserName Nome utente (stringa) johnd Nome utente dell'identità associata alla destinazione della sessione. Destinazione
Utente
DstUserUpn stringa johnd@anon.com UPN dell'identità associata alla destinazione della sessione. Destinazione
Utente
DstUserDomain stringa GRUPPO Nome del dominio o del computer dell'account nella destinazione della sessione Destinazione
Utente
DstZone Stringa Dmz Zona di rete della destinazione, come definito dal dispositivo di report. Destinazione
DstGeoLongitude Longitudine (double) -73.211944 Longitudine della coordinata geografica associata all'indirizzo IP di destinazione Destinazione
Area geografica
DvcAction Multivalore: Allow, Deny, Drop (string) Consenti Se segnalato da un dispositivo intermedio, ad esempio un firewall, l'azione eseguita dal dispositivo. Dispositivo
DvcInboundInterface Stringa eth0 Se segnalata da un dispositivo intermedio, ad esempio un firewall, l'interfaccia di rete usata per la connessione al dispositivo di origine. Dispositivo
DvcOutboundInterface Stringa Scheda Ethernet Ethernet 4 Se segnalato da un dispositivo intermedio, ad esempio un firewall, l'interfaccia di rete usata per la connessione al dispositivo di destinazione. Dispositivo
NetworkDuration Numero intero 1500 La quantità di tempo, in millisecondi, per il completamento della sessione di rete o della connessione Rete
NetworkIcmpCode Numero intero 34 Per un messaggio ICMP, il valore numerico del tipo di messaggio ICMP (RFC 2780 o RFC 4443). Rete
NetworkIcmpType Stringa Destinazione non raggiungibile Per un messaggio ICMP, rappresentazione del testo del tipo di messaggio ICMP (RFC 2780 o RFC 4443). Rete
DstPackets int 446 Numero di pacchetti inviati dalla destinazione all'origine per la connessione o la sessione. Il significato di un pacchetto è definito dal dispositivo di report. Destinazione
SrcPackets int 6478 Numero di pacchetti inviati dall'origine alla destinazione per la connessione o la sessione. Il significato di un pacchetto è definito dal dispositivo di report. Origine
NetworkPackets int 0 Numero di pacchetti inviati in entrambe le direzioni. Se esistono sia PacketsReceived che PacketsSent, BytesTotal deve essere uguale alla somma. Rete
HttpRequestTime Numero intero 700 Quantità di tempo necessario per inviare la richiesta al server, se applicabile. Http
HttpResponseTime Numero intero 800 La quantità di tempo necessario per ricevere una risposta nel server, se applicabile. Http
NetworkRuleName Stringa AnyAnyDrop Nome o ID della regola in base alla quale DeviceAction è stato deciso Rete
NetworkRuleNumber int 23 Numero regola corrispondente Rete
NetworkSessionId stringa 172_12_53_32_4322__123_64_207_1_80 Identificatore di sessione segnalato dal dispositivo di report. Ad esempio, identificatore di sessione L7 per applicazioni specifiche che seguono l'autenticazione Rete
SrcGeoCity Stringa Burlington Città associata all'indirizzo IP di origine Fonte
Area geografica
SrcGeoCountry Paese (stringa) USA Paese/area geografica associato all'indirizzo IP di origine Fonte
Area geografica
SrcDvcHostname Nome dispositivo (String) Cattivo Nome del dispositivo di origine Fonte
Dispositivo
SrcDvcFqdn stringa Villain.malicious.com Nome di dominio completo dell'host in cui è stato creato il log Fonte
Dispositivo
SrcDvcDomain stringa EVILORG Dominio del dispositivo da cui è stata avviata la sessione Fonte
Dispositivo
SrcDvcOs Stringa iOS Sistema operativo del dispositivo di origine Fonte
Dispositivo
SrcDvcModelName Stringa Samsung Galaxy Note Nome del modello del dispositivo di origine Fonte
Dispositivo
SrcDvcModelNumber Stringa 10.0 Numero di modello del dispositivo di origine Fonte
Dispositivo
SrcDvcType Stringa Dispositivi mobili Tipo del dispositivo di origine Fonte
Dispositivo
SrcInterfaceName Stringa eth01 Interfaccia di rete usata per la connessione o la sessione dal dispositivo di origine. Origine
SrcInterfaceGuid Stringa 46ad544b-eaf0-47ef-827c-266030f545a6 GUID dell'interfaccia di rete usata Origine
SrcIpAddr Indirizzo IP 77.138.103.108 Indirizzo IP da cui ha origine la connessione o la sessione. Fonte
IP
SrcDvcIpAddr Indirizzo IP 77.138.103.108 Indirizzo IP di origine di un dispositivo non direttamente associato al pacchetto di rete (raccolto da un provider o calcolato in modo esplicito). Fonte
Dispositivo
IP
SrcGeoLatitude Latitudine (doppia) 44.475833 La latitudine della coordinata geografica associata all'indirizzo IP di origine Fonte
Area geografica
SrcGeoLongitude Longitudine (double) -73.211944 Longitudine della coordinata geografica associata all'indirizzo IP di origine Fonte
Area geografica
SrcMacAddr Stringa 06:10:9f:eb:8f:14 Indirizzo MAC dell'interfaccia di rete da cui ha avuto origine la connessione della sessione. Fonte
Mac
SrcDvcMacAddr Stringa 06:10:9f:eb:8f:14 Indirizzo MAC di origine di un dispositivo non direttamente associato al pacchetto di rete. Fonte
Dispositivo
Mac
SrcPortNumber Numero intero 2335 Porta IP da cui ha origine la connessione. Potrebbe non essere rilevante per una sessione che include più connessioni. Fonte
Porta
SrcGeoRegion Area (stringa) Vermont Area all'interno di un paese/area geografica associata all'indirizzo IP di origine Fonte
Area geografica
SrcResourceId Stringa /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeee4e4e4e4e /resourcegroups/contoso77/providers /microsoft.compute/virtualmachines /syslogserver1 ID risorsa del dispositivo che genera il messaggio. Origine
SrcNatIpAddr Indirizzo IP 4.3.2.1 Se segnalato da un dispositivo NAT intermedio, ad esempio un firewall, l'indirizzo IP usato dal dispositivo NAT per la comunicazione con la destinazione. NAT di origine,
IP
SrcNatPortNumber Numero intero 345 Se segnalato da un dispositivo NAT intermedio, ad esempio un firewall, la porta usata dal dispositivo NAT per la comunicazione con la destinazione. NAT di origine,
Porta
SrcUserSid ID utente (stringa) S-15-1445 ID utente dell'identità associata all'origine delle sessioni. In genere, l'utente che esegue un'azione sul client. Per altre informazioni, vedere Tipi e formati di dati. Fonte
Utente
SrcUserAadId Stringa (GUID) 16c8752c-7dd2-4cad-9e03-fb5d1cee5477 ID oggetto account Microsoft Entra dell'utente all'estremità di origine della sessione Fonte
Utente
SrcUserName Nome utente (stringa) Bob Nome utente dell'identità associata all'origine delle sessioni. In genere, l'utente che esegue un'azione sul client. Per altre informazioni, vedere Tipi e formati di dati. Origine
Utente
SrcUserUpn stringa bob@alice.com UPN dell'account che avvia la sessione Fonte
Utente
SrcUserDomain stringa DESKTOP Dominio per l'account che avvia la sessione Fonte
Utente
SrcZone Stringa Tocco Zona di rete dell'origine, come definito dal dispositivo di report. Origine
NetworkProtocol Stringa TCP Protocollo IP usato dalla connessione o dalla sessione. In genere, TCP, UDP o ICMP Rete
CloudAppName Stringa Facebook Nome dell'applicazione di destinazione per un'applicazione HTTP identificato da un proxy. Cloud
CloudAppId Stringa 124 ID dell'applicazione di destinazione per un'applicazione HTTP identificato da un proxy. Questo valore è in genere specifico del proxy usato. Cloud
CloudAppOperation Stringa Deletefile Operazione eseguita dall'utente nel contesto dell'applicazione di destinazione per un'applicazione HTTP identificata da un proxy. Questo valore è in genere specifico del proxy usato. Cloud
CloudAppRiskLevel Stringa 3 Livello di rischio associato a un'applicazione HTTP identificato da un proxy. Questo valore è in genere specifico del proxy usato. Cloud
FileName Stringa ImNotMalicious.exe Nome file trasmesso tramite le connessioni di rete per i protocolli, ad esempio FTP e HTTP, che forniscono le informazioni sul nome file. File
Filepath Stringa C:\Malicious\ImNotMalicious.exe Percorso completo, incluso il nome del file, del file File
FileHashMd5 Stringa 51BC68715FC7C109DCEA406B42D9D78F Valore hash MD5 del file trasmesso tramite le connessioni di rete per i protocolli. File
FileHashSha1 Stringa 491AE3... C299821476F4 Valore hash SHA1 del file trasmesso tramite le connessioni di rete per i protocolli. File
FileHashSha256 Stringa 9B8F8EDB... C129976F03 Valore hash SHA256 del file trasmesso tramite le connessioni di rete per i protocolli. File
FileHashSha512 Stringa 5E127D... F69F73F01F361 Valore hash SHA512 del file trasmesso tramite le connessioni di rete per i protocolli. File
FileExtension Stringa exe Tipo di file trasmesso tramite le connessioni di rete per protocolli come FTP e HTTP. File
FileMimeType Stringa application/msword Tipo MIME del file trasmesso tramite le connessioni di rete per protocolli come FTP e HTTP File
Dimensione Numero intero 23500 Dimensioni del file, in byte, del file trasmesso tramite le connessioni di rete per i protocolli. File
HttpVersion Stringa 2.0 Versione della richiesta HTTP per le connessioni di rete HTTP/HTTPS. Http
HttpRequestMethod Stringa GET Metodo HTTP per le sessioni di rete HTTP/HTTPS. Http
HttpStatusCode Stringa 404 Codice di stato HTTP per le sessioni di rete HTTP/HTTPS. Http
HttpContentType Stringa multipart/form-data; boundary=something Intestazione del tipo di contenuto HTTP Response per le sessioni di rete HTTP/HTTPS. Http
HttpReferrerOriginal Stringa https://developer.mozilla.org/en-US/docs/Web/JavaScript Intestazione del referrer HTTP per le sessioni di rete HTTP/HTTPS. Http
HttpUserAgentOriginal Stringa Mozilla/5.0 (Windows NT 10.0; WOW64) AppleWebKit/537.36 (KHTML, come Gecko) Chrome/83.0.4103.97 Safari/537.36 Intestazione dell'agente utente HTTP per le sessioni di rete HTTP/HTTPS. Http
HttpRequestXff Stringa 120.12.41.1 Intestazione HTTP X-Forwarded-For per le sessioni di rete HTTP/HTTPS. Http
UrlCategory Stringa Motori di ricerca Raggruppamento definito di un URL, possibilmente basato sul dominio nell'URL, correlato al contenuto. Ad esempio: adulti, notizie, pubblicità, domini parcheggiati e così via.) Url
UrlOriginal Stringa https:// contoso.com/fo/?k=v&q=u#f URL della richiesta HTTP per le sessioni di rete HTTP/HTTPS. Url
UrlHostname Stringa contoso.com Parte di dominio di un URL di richiesta HTTP per le sessioni di rete HTTP/HTTPS. Url
ThreatCategory Stringa Trojan Categoria di una minaccia identificata da un sistema di sicurezza, ad esempio il gateway di sicurezza Web di un IPS, associata a questa sessione di rete. Minacce
ThreatId Stringa Tr.124 L'ID di una minaccia identificata da un sistema di sicurezza, ad esempio il gateway di sicurezza Web di un IPS, ed è associato a questa sessione di rete. Minacce
ThreatName Stringa EICAR Test File Nome della minaccia o del malware identificato Minacce
AdditionalFields Dinamico (contenitore JSON) {
Property1: "val1",
Proprietà2: "val2"
}		 Quando nessuna colonna corrispondente nello schema corrisponde, è possibile archiviare altri campi in un contenitore JSON.
Per l'analisi in tempo di query, è consigliabile promuovere colonne aggiuntive anziché usare un contenitore JSON perché la compressione dei dati nel codice JSON ridurrà le prestazioni delle query.		 Campo personalizzato.

Differenze tra la versione 0.1 e la versione 0.2

La versione originale dello schema di normalizzazione della sessione di rete Microsoft Sentinel versione 0.1 è stata rilasciata come anteprima prima che fosse disponibile ASIM.

Le differenze tra la versione 0.1, documentata in questo articolo e la versione 0.2.x , includono:

  • Nella versione 0.2, i nomi di parser unificanti e specifici dell'origine sono stati modificati in modo da essere conformi a una convenzione di denominazione ASIM standard.
  • La versione 0.2 aggiunge linee guida specifiche e parser unificanti per supportare tipi di dispositivo specifici.

Le sezioni seguenti descrivono le differenze tra la versione 0.2.x e i campi specifici.

Campi aggiunti nella versione 0.2

I campi seguenti sono stati aggiunti nella versione 0.2.x e non esistono nella versione 0.1:

  • DstAppType
  • DstDeviceType
  • DstDomainType
  • DstDvcId
  • DstDvcIdType
  • DstOriginalUserType
  • DstUserIdType
  • DstUsernameType
  • DstUserType
  • DvcActionOriginal
  • DvcDomain
  • DvcDomainType
  • DvcFQDN
  • DvcId
  • DvcIdType
  • DvcIdType
  • EventOriginalSeverity
  • EventOriginalType
  • SrcAppId
  • SrcAppName
  • SrcAppType
  • SrcDeviceType
  • SrcDomainType
  • SrcDvcId
  • SrcDvcIdType
  • SrcOriginalUserType
  • SrcUserIdType
  • SrcUsernameType
  • SrcUserType
  • ThreatRiskLevelOriginal
  • Url

Nuovi campi con alias nella versione 0.2

I campi seguenti sono ora aliasati nella versione 0.2.x con l'introduzione di ASIM:

Campo nella versione 0.1 Alias nella versione 0.2
SessionId NetworkSessionId
Durata NetworkDuration
IpAddr SrcIpAddr
Utente DstUsername
Nome host DstHostname
UserAgent HttpUserAgent

Campi modificati nella versione 0.2

I campi seguenti vengono enumerati nella versione 0.2.x e richiedono un valore specifico da un elenco specificato.

  • EventType
  • EventResultDetails
  • EventSeverity

Campi rinominati nella versione 0.2

Nella versione 0.2.x sono stati rinominati i campi seguenti:

  • Nella versione 0.2 usare i campi predefiniti di Log Analytics:

    Si noti che ingestion_time() è una funzione KQL e non un nome di campo.

    Campo nella versione 0.1 Rinominato nella versione 0.2
    EventResourceId _Resourceid
    EventUid _Itemid
    EventTimeIngested ingestion_time()

  • Rinominato per allinearsi ai miglioramenti di ASIM e OSSEM:

    Campo nella versione 0.1 Rinominato nella versione 0.2
    HttpReferrerOriginal HttpReferrer
    HttpUserAgentOriginal HttpUserAgent

  • Rinominata per indicare che la destinazione della sessione di rete non deve essere un servizio cloud:

    Campo nella versione 0.1 Rinominato nella versione 0.2
    CloudAppId DstAppId
    CloudAppName DstAppName
    CloudAppRiskLevel ThreatRiskLevel

  • Rinominato per modificare il caso e allinearsi alla gestione ASIM dell'entità utente:

    Campo nella versione 0.1 Rinominato nella versione 0.2
    DstUserName DstUsername
    SrcUserName SrcUsername

  • Rinominato in modo da allinearsi meglio all'entità del dispositivo ASIM e consentire ID risorsa diversi da quelli di Azure:

    Campo nella versione 0.1 Rinominato nella versione 0.2
    DstResourceId SrcDvcAzureResourceId
    SrcResourceId SrcDvcAzureResourceId

  • Rinominata per rimuovere la Dvc stringa dai nomi dei campi, poiché la gestione nella versione 0.1 non era coerente:

    Campo nella versione 0.1 Rinominato nella versione 0.2
    DstDvcDomain DstDomain
    DstDvcFqdn DstFqdn
    DstDvcHostname DstHostname
    SrcDvcDomain SrcDomain
    SrcDvcFqdn SrcFqdn
    SrcDvcHostname SrcHostname

  • Rinominato per allinearsi alle linee guida per la rappresentazione dei file ASIM:

    Campo nella versione 0.1 Rinominato nella versione 0.2
    FileHashMd5 FileMD5
    FileHashSha1 FileSHA1
    FileHashSha256 FileSHA256
    FileHashSha512 FileSHA512
    FileMimeType FileContentType

Campi rimossi nella versione 0.2

I campi seguenti sono disponibili solo nella versione 0.1 e sono stati rimossi nella versione 0.2.x:

Motivo Campi rimossi
Rimosso perché esistono duplicati, senza la Dvc stringa nel nome del campo - DstDvcIpAddr
- DstDvcMacAddr
- SrcDvcIpAddr
- SrcDvcMacAddr
Rimosso per allinearsi alla gestione ASIM degli URL - UrlHostname
Rimossi perché questi campi non vengono in genere forniti come parte degli eventi della sessione di rete.

Se un evento include questi campi, usare lo schema dell'evento di elaborazione per comprendere come descrivere le proprietà del dispositivo.		 - SrcDvcOs
- SrcDvcModelName
- SrcDvcModelNumber
- DvcMacAddr
- DvcOs
Rimozione per l'allineamento con le linee guida per la rappresentazione dei file ASIM -Filepath
-Fileextension
Rimosso perché questo campo indica che deve essere usato uno schema diverso, ad esempio lo schema di autenticazione. - CloudAppOperation
Rimosso come duplicato DstHostname - DstDomainHostname

Contenuto correlato

  • Ultimo aggiornamento: