Microsoft Sentinel エージェント イベント正規化スキーマは、エンタープライズ環境全体で動作する AI エージェントのアクティビティとテレメトリに関連付けられたイベントを表します。 これらのイベントは、モデル呼び出し、ツールの使用状況、トークン消費、思考プロセス、ソースエージェントとターゲットエージェント間の通信など、エージェントの相互作用の全範囲をキャプチャします。 これらのアクティビティは、さまざまな AI エージェント プラットフォームとフレームワークによって生成され、それぞれが独自の形式でテレメトリを生成します。
すべての AI エージェント プラットフォームは、運用テレメトリの一部としてエージェント イベントをログに記録します。 ASIM スキーマを使用してこれらのイベントを正規化すると、セキュリティ アナリストは、各ソースの独自の形式を学習することなく、プラットフォーム間でエージェントの動作を関連付け、異常なパターンを検出し、インシデントを調査できます。
Microsoft Sentinelでの正規化の詳細については、「正規化と高度なセキュリティ情報モデル (ASIM)」を参照してください。
パーサー
エージェント イベント パーサーのデプロイと使用
Microsoft Sentinel GitHub リポジトリから ASIM エージェント イベント パーサーをデプロイします。 すべてのエージェント イベント ソースに対してクエリを実行するには、クエリのテーブル名として統合パーサー _Im_AgentEvent を使用します。
ASIM パーサーの使用の詳細については、 ASIM パーサーの概要に関するページを参照してください。
独自の正規化されたパーサーを追加する
エージェント イベント情報モデルにカスタム パーサーを実装する場合は、次の構文を使用して KQL 関数に名前を付けます。
-
ASimAgentEvent<vendor><Product>通常のパーサーの場合 -
vimAgentEvent<vendor><Product>パラメーター化されたパーサーの場合
エージェント イベント統合パーサーにカスタム パーサーを追加するには、「 ASIM パーサーの管理」を参照してください。
パーサー パラメーターのフィルター処理
エージェント イベント パーサーは、 フィルター パラメーターをサポートします。 これらのパラメーターは省略可能ですが、クエリのパフォーマンスを向上させることができます。
次のフィルター パラメーターを使用できます。
| 名前 | タイプ | 説明 |
|---|---|---|
| starttime | datetime | この時刻以降に実行されたイベントのみをフィルター処理します。 このパラメーターは、イベントの時刻指定子として TimeGenerated フィールドを使用します。 |
| endtime | datetime | この時刻以前に実行が完了したイベントのみをフィルター処理します。 このパラメーターは、イベントの時刻指定子として TimeGenerated フィールドを使用します。 |
| agentid_has_any | 動的 | SrcAgentId、TargetAgentId、または PlatformTargetAgentId フィールドで表されているように、エージェント ID のいずれかを持つイベントのみをフィルター処理します。 |
| agentname_has_any | 動的 | SrcAgentName、TargetAgentName、または PlatformTargetAgentName フィールドで表されるように、エージェント名を持つイベントのみをフィルター処理します。 |
| username_has_any | 動的 | ActorUsername フィールドで表されているように、一覧表示されているユーザー名を持つイベントのみをフィルター処理します。 |
一部のパラメーターでは、 dynamic 型の値の両方のリストまたは単一の文字列値を受け取ることができます。 動的な値が必要なパラメーターにリテラル リストを渡すには、 動的リテラルを明示的に使用します。 例: dynamic(['192.168.','10.'])
たとえば、最後の日から M365Planner エージェント名を持つエージェント イベントのみをフィルター処理するには、次を使用します。
_Im_AgentEvent (agentname_has_any=dynamic(['M365Planner']), starttime = ago(1d), endtime=now())
スキーマの詳細
一般的な ASIM フィールド
重要
すべてのスキーマに共通のフィールドについては、 ASIM 共通フィールド に関する記事を参照してください。
特定のガイドラインを含む一般的なフィールド
次の一覧では、エージェント イベントに関する特定のガイドラインがあるフィールドについて説明します。
すべての共通フィールド
このテーブルのフィールドは、すべての ASIM スキーマに共通です。 このドキュメントで指定されているガイドラインは、各フィールドの一般的なガイドラインよりも優先されます。 たとえば、フィールドは一般的には省略可能ですが、特定のスキーマでは必須です。 各フィールドの詳細については、 ASIM 共通フィールド に関する記事を参照してください。
| クラス | フィールド |
|---|---|
| 必須 |
-
イベントカウント - イベントスタート時間 - イベントエンドタイム - イベントプロダクト - イベントベンダー - イベントスキーマ - イベントスキーマバージョン |
| 推奨 |
-
結局 |
| 省略可能 |
-
イベントオリジナルUid - イベントオリジナルタイプ - イベントオリジナル結果詳細 - 追加フィールド |
ソース エージェント情報
ターゲット エージェント フィールド
プラットフォーム ターゲット エージェント フィールド
アクター フィールド
| フィールド | クラス | タイプ | 説明 |
|---|---|---|---|
| ActorUserID | 省略可能 | 文字列 | マシンが読み取り可能な英数字のアクターの一意の表現。 詳細および他の ID の代替フィールドについては、「 ユーザー エンティティ」を参照してください。 例: S-1-12-1-4141952679-1282074057-627758481-2916039507 |
| ActorUserIdType | 省略可能 | 文字列 | ActorUserId フィールドに格納されている ID の型。 許可される値の詳細と一覧については、スキーマの概要に関する記事の「UserIdType」を参照してください。 |
| アクターユーザースコープ | 省略可能 | 文字列 | ActorUserId と ActorUsername が定義されているMicrosoft Entraドメイン名などのスコープ。 許可される値の詳細と一覧については、スキーマの概要に関する記事の「UserScope」を参照してください。 |
| ActorUserScopeID | 省略可能 | 文字列 | ActorUserId と ActorUsername が定義されているMicrosoft Entra ディレクトリ ID などのスコープ ID。 許可される値の詳細と一覧については、スキーマの概要に関する記事の「UserScopeId」を参照してください。 |
| ActorUsername | 省略可能 | ユーザー名 (文字列) | アクターのユーザー名(使用可能な場合はドメイン情報を含む)。 詳細については、「 ユーザー エンティティ」を参照してください。 例: AlbertE |
| ActorUsernameType | 省略可能 | 文字列 |
ActorUsername フィールドに格納されているユーザー名の種類を指定します。 許可される値の詳細と一覧については、スキーマの概要に関する記事の UsernameType に関する記事を参照してください。 例: Windows |
| ActingAppId | 省略可能 | 文字列 | 報告されたアクティビティを開始したアプリケーションの ID (プロセス、ブラウザー、サービスなど)。 例: 0x12ae8 |
| ActingAppName | 省略可能 | 文字列 | 報告されたアクティビティを開始したアプリケーションの名前 (サービス、URL、SaaS アプリケーションなど)。 例: C:\Windows\System32\svchost.exe |
| ActingAppType | 省略可能 | AppType | 動作するアプリケーションの種類。 値の詳細と許可される一覧については、スキーマの概要に関する記事の「AppType」を参照してください。 |
| ActingOriginalAppType | 省略可能 | 文字列 | レポート デバイスによって報告されるアクティビティを開始したアプリケーションの種類。 |
モデル フィールド
| フィールド | クラス | タイプ | 説明 |
|---|---|---|---|
| ModelProviderName | 省略可能 | 文字列 | モデル プロバイダーの名前。 |
| モデル名 | 省略可能 | 文字列 | モデルの名前。 |
トークン フィールド
| フィールド | クラス | タイプ | 説明 |
|---|---|---|---|
| InputTokens使用中 | 省略可能 | long | 使用される入力トークンの数。 |
| OutputTokensUsed | 省略可能 | long | 使用される出力トークンの数。 |
ツール フィールド
| フィールド | クラス | タイプ | 説明 |
|---|---|---|---|
| ツールID | 省略可能 | 文字列 | ツールの一意の ID。 |
| ツールネーム | 省略可能 | 文字列 | ツールの名前。 |
| ツール説明 | 省略可能 | 文字列 | ツールの説明。 |
| ツールオリジナルタイプ | 省略可能 | 文字列 | ツールの元の種類。 |
イベント固有のフィールド
エンティティ相関フィールド
Note
貢献者はこれらのフィールドを埋める必要はありません。 該当するパーサーは、内部Microsoftのサポートが追加された際にそれらに入力されます。
| フィールド | クラス | タイプ | 説明 |
|---|---|---|---|
| ActingApplicationEntityKey | 省略可能 | 文字列 | 単一の名前空間内で動作するアプリケーションを一意に識別する、安定的で決定的な文字列識別子です。 このシステム全体の一意識別子により、他のイベントやエンティティインベントリ内のエンティティとの相関が可能となります。 |
| ActorUserAdditionalIds | 省略可能 | 動的 | フィールド構造と使用については、「Fields」に AdditionalIdsが付随する接尾辞を参照してください。 |
| ActorUserEntityKey | 省略可能 | 文字列 | 安定した決定性文字列識別子で、単一の名前空間内でアクターユーザーを一意に識別します。 このシステム全体の一意識別子により、他のイベントやエンティティインベントリ内のエンティティとの相関が可能となります。 |
| PlatformTargetAgentEntityKey | 省略可能 | 文字列 | 単一の名前空間内でプラットフォームのターゲットエージェントを一意に識別する、安定的で決定的な文字列識別子です。 このシステム全体の一意識別子により、他のイベントやエンティティインベントリ内のエンティティとの相関が可能となります。 |
| SrcAgentEntityKey | 省略可能 | 文字列 | 単一の名前空間内でソースエージェントを一意に識別する安定的で決定性的な文字列識別子です。 このシステム全体の一意識別子により、他のイベントやエンティティインベントリ内のエンティティとの相関が可能となります。 |
| TargetAgentEntityKey | 省略可能 | 文字列 | 単一の名前空間内でターゲットエージェントを一意に識別する、安定的で決定的な文字列識別子です。 このシステム全体の一意識別子により、他のイベントやエンティティインベントリ内のエンティティとの相関が可能となります。 |
スキーマの更新
| バージョン | 変更点 |
|---|---|
| 1.0.0 | エンティティ相関フィールドを追加しました。 |