次の表は、Common Event Format (CEF) フィールド名をMicrosoft Sentinelの CommonSecurityLog で使用する名前にマップします。これは、Microsoft Sentinelで CEF データ ソースを操作する場合に役立つ場合があります。 詳細については、「syslog メッセージと CEF メッセージを取り込んで、Azure Monitor エージェントでMicrosoft Sentinelする」を参照してください。
A - C
D
E - I
| CEF キー名 | CommonSecurityLog 名 | 説明 |
|---|---|---|
| 外部ID | ExternalID | 発信元デバイスで使用される ID。 通常、これらの値には、それぞれイベントに関連付けられている増加する値があります。 |
| fileCreateTime | FileCreateTime | ファイルが作成された時刻。 |
| fileHash | FileHash | ファイルのハッシュ。 |
| fileId | FileID | inode などのファイルに関連付けられている ID。 |
| fileModificationTime | FileModificationTime | ファイルが最後に変更された時刻。 |
| Filepath | FilePath | ファイル名を含む、ファイルへの完全パス。 例: C:\ProgramFiles\WindowsNT\Accessories\wordpad.exe または /usr/bin/zip。 |
| filePermission | FilePermission | ファイルのアクセス許可。 |
| Filetype | FileType | パイプ、ソケットなどのファイルの種類。 |
| Fname | FileName | パスのないファイルの名前。 |
| fsize | FileSize | ファイルのサイズ。 |
| ホスト | コンピューター | Syslog からのホスト |
| で | ReceivedBytes | 受信に転送されたバイト数。 |
M - P
| CEF キー名 | CommonSecurityLog 名 | 説明 |
|---|---|---|
| msg | メッセージ | イベントの詳細を示すメッセージ。 |
| 名前 | アクティビティ | イベントの人間が判読できるわかりやすい説明を表す文字列。 |
| oldFileCreateTime | OldFileCreateTime | 古いファイルが作成された時刻。 |
| oldFileHash | OldFileHash | 古いファイルのハッシュ。 |
| oldFileId | OldFileId | inode などの古いファイルに関連付けられている ID。 |
| oldFileModificationTime | OldFileModificationTime | 古いファイルが最後に変更された時刻。 |
| oldFileName | OldFileName | 古いファイルの名前。 |
| oldFilePath | OldFilePath | ファイル名を含む、古いファイルへの完全パス。 たとえば、 C:\ProgramFiles\WindowsNT\Accessories\wordpad.exe および /usr/bin/zip が禁止となります。 |
| oldFilePermission | OldFilePermission | 古いファイルのアクセス許可。 |
| oldFileSize | OldFileSize | 古いファイルのサイズ。 |
| oldFileType | OldFileType | パイプ、ソケットなど、古いファイルのファイルの種類。 |
| 乙 | SentBytes | 送信に転送されたバイト数。 |
| 結果 | EventOutcome | イベントの結果 ( success や failureなど)。 |
| プロト | プロトコル | 使用されるレイヤー 4 プロトコルを識別するトランスポート プロトコル。 使用可能な値には、 TCP や UDPなどのプロトコル名が含まれます。 |
R - T
カスタム フィールド
次の表では、組み込みフィールドのいずれにも適用されないデータに使用できる CEF キーと CommonSecurityLog フィールドの名前をマップします。
カスタム IPv6 アドレス フィールド
次の表は、カスタム データで使用できる IPv6 アドレス フィールドの CEF キーと CommonSecurityLog 名をマップします。
| CEF キー名 | CommonSecurityLog 名 |
|---|---|
| c6a1 | DeviceCustomIPv6Address1 |
| c6a1Label | DeviceCustomIPv6Address1Label |
| c6a2 | DeviceCustomIPv6Address2 |
| c6a2Label | DeviceCustomIPv6Address2Label |
| c6a3 | DeviceCustomIPv6Address3 |
| c6a3Label | DeviceCustomIPv6Address3Label |
| c6a4 | DeviceCustomIPv6Address4 |
| c6a4Label | DeviceCustomIPv6Address4Label |
| cfp1 | DeviceCustomFloatingPoint1 |
| cfp1Label | deviceCustomFloatingPoint1Label |
| cfp2 | DeviceCustomFloatingPoint2 |
| cfp2Label | deviceCustomFloatingPoint2Label |
| cfp3 | DeviceCustomFloatingPoint3 |
| cfp3Label | deviceCustomFloatingPoint3Label |
| cfp4 | DeviceCustomFloatingPoint4 |
| cfp4Label | deviceCustomFloatingPoint4Label |
ユーザー設定の数値フィールド
次の表は、カスタム データで使用できる 数値 フィールドの CEF キーと CommonSecurityLog 名をマップします。
| CEF キー名 | CommonSecurityLog 名 |
|---|---|
| cn1 | DeviceCustomNumber1 |
| cn1Label | DeviceCustomNumber1Label |
| Cn2 | DeviceCustomNumber2 |
| cn2Label | DeviceCustomNumber2Label |
| cn3 | DeviceCustomNumber3 |
| cn3Label | DeviceCustomNumber3Label |
カスタム文字列フィールド
次の表は、カスタム データで使用できる 文字列 フィールドの CEF キーと CommonSecurityLog 名をマップします。
| CEF キー名 | CommonSecurityLog 名 |
|---|---|
| cs1 | DeviceCustomString1 1 |
| cs1Label | DeviceCustomString1Label 1 |
| cs2 | DeviceCustomString2 1 |
| cs2Label | DeviceCustomString2Label 1 |
| cs3 | DeviceCustomString3 1 |
| cs3Label | DeviceCustomString3Label 1 |
| cs4 | DeviceCustomString4 1 |
| cs4Label | DeviceCustomString4Label 1 |
| Cs5 | DeviceCustomString5 1 |
| cs5Label | DeviceCustomString5Label 1 |
| Cs6 | DeviceCustomString6 1 |
| cs6Label | DeviceCustomString6Label 1 |
| flexString1 | FlexString1 |
| flexString1Label | FlexString1Label |
| flexString2 | FlexString2 |
| flexString2Label | FlexString2Label |
カスタム タイムスタンプ フィールド
次の表は、カスタム データで使用できる タイムスタンプ フィールドの CEF キーと CommonSecurityLog 名をマップします。
| CEF キー名 | CommonSecurityLog 名 |
|---|---|
| deviceCustomDate1 | DeviceCustomDate1 |
| deviceCustomDate1Label | DeviceCustomDate1Label |
| deviceCustomDate2 | DeviceCustomDate2 |
| deviceCustomDate2Label | DeviceCustomDate2Label |
| flexDate1 | FlexDate1 |
| flexDate1Label | FlexDate1Label |
カスタム整数データ フィールド
次の表は、カスタム データで使用できる 整数 フィールドの CEF キーと CommonSecurityLog 名をマップします。
| CEF キー名 | CommonSecurityLog 名 |
|---|---|
| flexNumber1 | FlexNumber1 |
| flexNumber1Label | FlexNumber1Label |
| flexNumber2 | FlexNumber2 |
| flexNumber2Label | FlexNumber2Label |
エンリッチメント フィールド
次の CommonSecurityLog フィールドは、ソース デバイスから受信した元のイベントをエンリッチするためにMicrosoft Sentinelによって追加され、CEF キーにはマッピングがありません。
脅威インテリジェンス フィールド
| CommonSecurityLog フィールド名 | 説明 |
|---|---|
| IndicatorThreatType | 脅威インテリジェンス フィードに従った MaliciousIP 脅威の種類。 |
| MaliciousIP | 現在の脅威インテリジェンス フィードと関連付けるメッセージ内の IP アドレスを一覧表示します。 |
| MaliciousIPCountry | レコード インジェスト時の地理情報に従って、 MaliciousIP の国/地域。 |
| MaliciousIPLatitude | レコード インジェスト時の地理情報に従った MaliciousIP 経度。 |
| MaliciousIPLongitude | レコード インジェスト時の地理情報に従った MaliciousIP 経度。 |
| ReportReferenceLink | 脅威インテリジェンス レポートにリンクします。 |
| ThreatConfidence | 脅威インテリジェンス フィードに従って、 MaliciousIP 脅威の信頼度。 |
| ThreatDescription | 脅威インテリジェンス フィードに従った MaliciousIP 脅威の説明。 |
| ThreatSeverity | レコード インジェスト時の脅威インテリジェンス フィードに従った 、MaliciousIP の脅威の重大度。 |
その他のエンリッチメント フィールド
| CommonSecurityLog フィールド名 | 説明 |
|---|---|
| OriginalLogSeverity | 常に空で、CiscoASA との統合がサポートされます。 ログ重大度の値の詳細については、「 LogSeverity 」フィールドを参照してください。 |
| RemoteIP | リモート IP アドレス。 この値は、可能であれば CommunicationDirection フィールドに基づいています。 |
| RemotePort | リモート ポート。 この値は、可能であれば CommunicationDirection フィールドに基づいています。 |
| SimplifiedDeviceAction |
DeviceAction フィールドに元の値を保持したまま、DeviceAction 値を静的な値セットに簡略化します。 たとえば、 Denied>Deny。 |
| SourceSystem | 常に OpsManager として定義されます。 |