Бөлісу құралы:


ОбщийЖурналБезопасности

Эта таблица предназначена для сбора событий в формате common Event, которые чаще всего отправляются из различных устройств безопасности, таких как Check Point, Palo Alto и многое другое.

Атрибуты таблицы

Атрибут Значение
Типы ресурсов microsoft.securityinsights/cef,
microsoft.compute/virtualmachines,
microsoft.conenctedvmwarevsphere/virtualmachines,
microsoft.azurestackhci/virtualmachines
microsoft.scvmm/virtualmachines
microsoft.compute/virtualmachinescalesets
Категории Безопасность
Решения Безопасность, Аналитика безопасности
Базовый журнал Да
Преобразование на этапе приема данных Да
Примеры запросов Да

Столбцы

Столбец Тип Описание
Вид занятий строка Строка, представляющая понятное описание события.
Дополнительные расширения строка Заполнитель для дополнительных полей. Поля записываются в виде пар "ключ-значение".
протокол приложения строка Протокол, используемый в приложении, например HTTP, HTTPS, SSHv2, Telnet, POP, IMPA, IMAP и т. д.
_BilledSize (Размер счета) реальный Размер записи в байтах
ИмяХостаКоллектора строка Имя хоста машины сбора данных, на которой запущен агент.
Направление связи строка Любые сведения о направлении наблюдаемого обмена данными. Допустимые значения: 0 = входящий трафик, 1 = исходящий трафик.
Компьютер строка Хост из системного журнала.
Доменное имя назначения DNS строка Часть DNS полностью квалифицированного доменного имени (FQDN).
DestinationHostName строка Цель, к которой относится событие в IP-сети. Формат должен представлять собой полное доменное имя, связанное с узлом назначения, если узел доступен. Например, host.domain.com или хост.
IP-адрес назначения строка Адрес IPv4 назначения, к которому обращается событие в IP-сети.
MAC-адрес назначения строка MAC-адрес назначения (FQDN).
Домен назначения NT строка Доменное имя Windows для адреса назначения.
Порт назначения INT Порт назначения. Допустимые значения: 0 – 65535.
Идентификатор процесса назначения INT Идентификатор целевого процесса, связанного с событием.
Имя процесса назначения строка Имя целевого процесса события, например telnetd или sshd.
Название службы назначения строка Служба, на которую направлено событие. Например: sshd.
Адрес назначения после перевода строка Определяет переведённый пункт назначения, к которому обращается событие в IP-сети, в виде IPv4-адреса.
Переведённый порт назначения INT Порт после перевода, например допустимые номера портов брандмауэра: 0 – 65535.
DestinationUserID строка Определяет пользователя назначения по идентификатору. Например, в Unix корневой пользователь обычно связан с идентификатором пользователя 0.
Имя пользователя назначения строка Определяет пользователя назначения по имени.
Права пользователя назначения строка Определяет разрешения пользователя назначения. Допустимые значения: Admninistrator, User, Guest.
Действие устройства строка Действие, указанное в событии.
Адрес устройства строка Адрес IPv4 устройства, создающего событие.
ПараметрУстройстваДата1 строка Один из двух полей метки времени, доступных для сопоставления полей, которые не соответствуют другим в этом словаре. Используйте экономно и, когда возможно, ищите более конкретную графу, предоставленную словарем.
НестандартнаяДатаУстройства1Метка строка Все настраиваемые поля имеют соответствующее поле метки. Каждое из этих полей представляет собой строку и описывает назначение настраиваемого поля.
Настроенная дата устройства 2 строка Один из двух полей метки времени, доступных для сопоставления полей, которые не соответствуют другим в этом словаре. Используйте экономно и, когда возможно, ищите более конкретную графу, предоставленную словарем.
ЯрлыкПользовательскаяДатаУстройства2 строка Все настраиваемые поля имеют соответствующее поле метки. Каждое из этих полей представляет собой строку и описывает назначение настраиваемого поля.
КонфигурацияУстройствоИндивидуальнаяПлавающаяТочка1 реальный Один из четырех полей с плавающей запятой, доступных для сопоставления полей, которые не применяются к другим в этом словаре.
МеткаПользовательскийПлавающийТочка1Устройство строка Все настраиваемые поля имеют соответствующее поле метки. Каждое из этих полей представляет собой строку и описывает назначение настраиваемого поля.
Пользовательское устройство с плавающей запятой 2 реальный Один из четырех полей с плавающей запятой, доступных для сопоставления полей, которые не применяются к другим в этом словаре.
МеткаПользовательскогоЧислаСПлавЗапятой2 строка Все настраиваемые поля имеют соответствующее поле метки. Каждое из этих полей представляет собой строку и описывает назначение настраиваемого поля.
УстройствоПользовательскаяПлавающаяТочка3 реальный Один из четырех полей с плавающей запятой, доступных для сопоставления полей, которые не применяются к другим в этом словаре.
ИндивидуальнаяМеткаВещественногоЧисла3Устройства строка Все настраиваемые поля имеют соответствующее поле метки. Каждое из этих полей представляет собой строку и описывает назначение настраиваемого поля.
Индивидуальная плав. точка устройства 4 реальный Один из четырех полей с плавающей запятой, доступных для сопоставления полей, которые не применяются к другим в этом словаре.
Пользовательская метка с плавающей запятой устройства 4 строка Все настраиваемые поля имеют соответствующее поле метки. Каждое из этих полей представляет собой строку и описывает назначение настраиваемого поля.
Настраиваемый IPv6-адрес устройства1 строка Одно из четырех полей адреса IPv6, доступных для сопоставления полей, которые не применяются ни к какому другому в этом словаре.
МеткаПользовательскогоIPv6АдресаУстройства1 строка Все настраиваемые поля имеют соответствующее поле метки. Каждое из этих полей представляет собой строку и описывает назначение настраиваемого поля.
ПользовательскийIPv6АдресУстройства2 строка Одно из четырех полей адреса IPv6, доступных для сопоставления полей, которые не применяются ни к какому другому в этом словаре.
МеткаПользовательскогоIPv6Адреса2Устройства строка Все настраиваемые поля имеют соответствующее поле метки. Каждое из этих полей представляет собой строку и описывает назначение настраиваемого поля.
DeviceCustomIPv6Address3 строка Одно из четырех полей адреса IPv6, доступных для сопоставления полей, которые не применяются ни к какому другому в этом словаре.
Пользовательский IPv6-адрес устройства 3 строка Все настраиваемые поля имеют соответствующее поле метки. Каждое из этих полей представляет собой строку и описывает назначение настраиваемого поля.
DeviceCustomIPv6Address4 строка Одно из четырех полей адреса IPv6, доступных для сопоставления полей, которые не применяются ни к какому другому в этом словаре.
ЯрлыкДляПользовательскогоIPv6АдресаУстройства4 строка Все настраиваемые поля имеют соответствующее поле метки. Каждое из этих полей представляет собой строку и описывает назначение настраиваемого поля.
ПользовательскоеЧислоУстройства1 INT Скоро станет устаревшим полем. Будет заменено на FieldDeviceCustomNumber1.
ЯрлыкПользовательскоеЧислоУстройства1 строка Все настраиваемые поля имеют соответствующее поле метки. Каждое из этих полей представляет собой строку и описывает назначение настраиваемого поля.
DeviceCustomNumber2 INT Скоро станет устаревшим полем. Будет заменено на FieldDeviceCustomNumber2.
МеткаПользовательскийНомерУстройства2 строка Все настраиваемые поля имеют соответствующее поле метки. Каждое из этих полей представляет собой строку и описывает назначение настраиваемого поля.
Пользовательский номер устройства 3 INT Скоро станет устаревшим полем. Будет заменен на FieldDeviceCustomNumber3.
ЯрлыкСвойственногоНомераПрибора3 строка Все настраиваемые поля имеют соответствующее поле метки. Каждое из этих полей представляет собой строку и описывает назначение настраиваемого поля.
DeviceCustomString1 строка Одна из шести строк, доступных для сопоставления полей, которые не относятся ни к одному другому в данном словаре. Используйте экономно и, когда возможно, ищите более конкретную графу, предоставленную словарем.
DeviceCustomString1Label строка Все настраиваемые поля имеют соответствующее поле метки. Каждое из этих полей представляет собой строку и описывает назначение настраиваемого поля.
DeviceCustomString2 строка Одна из шести строк, доступных для сопоставления полей, которые не относятся ни к одному другому в данном словаре. Используйте экономно и, когда возможно, ищите более конкретную графу, предоставленную словарем.
DeviceCustomString2Label строка Все настраиваемые поля имеют соответствующее поле метки. Каждое из этих полей представляет собой строку и описывает назначение настраиваемого поля.
DeviceCustomString3 строка Одна из шести строк, доступных для сопоставления полей, которые не относятся ни к одному другому в данном словаре. Используйте экономно и, когда возможно, ищите более конкретную графу, предоставленную словарем.
DeviceCustomString3Label строка Все настраиваемые поля имеют соответствующее поле метки. Каждое из этих полей представляет собой строку и описывает назначение настраиваемого поля.
DeviceCustomString4 строка Одна из шести строк, доступных для сопоставления полей, которые не относятся ни к одному другому в данном словаре. Используйте экономно и, когда возможно, ищите более конкретную графу, предоставленную словарем.
DeviceCustomString4Label строка Все настраиваемые поля имеют соответствующее поле метки. Каждое из этих полей представляет собой строку и описывает назначение настраиваемого поля.
DeviceCustomString5 строка Одна из шести строк, доступных для сопоставления полей, которые не относятся ни к одному другому в данном словаре. Используйте экономно и, когда возможно, ищите более конкретную графу, предоставленную словарем.
DeviceCustomString5Label строка Все настраиваемые поля имеют соответствующее поле метки. Каждое из этих полей представляет собой строку и описывает назначение настраиваемого поля.
DeviceCustomString6 строка Одна из шести строк, доступных для сопоставления полей, которые не относятся ни к одному другому в данном словаре. Используйте экономно и, когда возможно, ищите более конкретную графу, предоставленную словарем.
ЯрлыкПользовательскойСтрокиУстройства6 строка Все настраиваемые поля имеют соответствующее поле метки. Каждое из этих полей представляет собой строку и описывает назначение настраиваемого поля.
Домен DNS устройства строка Часть домена DNS в полностью квалифицированном доменном имени (FQDN).
Категория событий устройства строка Относится к категории, назначенной исходным устройством. Устройства часто используют собственную схему классификации для классификации событий. Пример: '/Monitor/Disk/Read'.
DeviceEventClassID строка Строка или целое число, служащие уникальным идентификатором для каждого типа событий.
ВнешнийИдентификаторУстройства строка Имя, которое однозначно идентифицирует устройство, создающее событие.
УстройствоОбъект строка Оборудование, создающее событие. Например: аутентификация или local1.
Интерфейс входящих данных устройства строка Интерфейс, по которому пакет или данные поступили на устройство. Например, ethernet1/2.
MAC-адрес устройства строка MAC-адрес устройства, создающего событие.
Имя устройства строка Полное доменное имя, связанное с узлом устройства, если узел доступен. Например, host.domain.com или хост.
DeviceNtDomain строка Домен Windows для адреса устройства.
Интерфейс исходящих данных устройства строка Интерфейс, по которому пакет или данные покинули устройство.
DevicePayloadId строка Уникальный идентификатор полезной нагрузки, связанной с событием.
УстройствоПродукт строка Строка, которая вместе с определениями продуктов и версий устройства однозначно определяет тип отправки устройства.
Часовой пояс устройства строка Часовой пояс устройства, создающего событие.
АдресУстройстваПереведенный строка Определяет преобразованный адрес устройства, к которому обращается событие, в IP-сети. Формат — адрес IPv4.
Поставщик устройств строка Строка, которая вместе с определениями продуктов и версий устройства однозначно определяет тип отправки устройства.
Версия устройства строка Строка, которая вместе с определениями продуктов и версий устройства однозначно определяет тип отправки устройства.
Время окончания дата и время Время окончания действия, связанного с событием.
Количество событий INT Связанное с событием число, которое показывает, сколько раз наблюдалось одно и то же событие.
РезультатСобытия строка Отображает результат, как правило, как "успешно" или "сбой".
Тип события INT Тип события. Значения включают: 0: базовое событие, 1: агрегированное, 2: событие корреляции, 3: событие действия. Примечание. Для базовых событий это событие можно опустить.
Внешний ID INT Скоро станет устаревшим полем. Будет заменено ExtID.
ExtID строка Идентификатор, используемый исходным устройством (заменит устаревший ExternalID). Как правило, эти значения имеют возрастающие значения, каждое из которых связано с событием.
ПользовательскийНомерУстройства1 длинный Одно из трех числовых полей, доступных для сопоставления с полями, которые не применяются ни к каким другим в этом словаре (заменяет устаревшее поле DeviceCustomNumber1). Используйте экономно и, когда возможно, ищите более конкретную графу, предоставленную словарем.
ПользовательскийНомерУстройстваПоля2 длинный Одно из трех полей чисел, доступных для сопоставления полей, которые не относятся к другим полям в этом словаре (заменит ранее использовавшиеся поля DeviceCustomNumber2). Используйте экономно и, когда возможно, ищите более конкретную графу, предоставленную словарем.
ПользовательскийНомерУстройства3 длинный Одно из трех полей, доступных для сопоставления полей, которые не соответствуют всем другим в этом словаре (заменит старый DeviceCustomNumber3). Используйте экономно и, когда возможно, ищите более конкретную графу, предоставленную словарем.
Время создания файла строка Время создания файла.
Хеш файла строка Хеш-код файла.
ИдентификаторФайла строка Идентификатор, связанный с файлом, например inode.
ВремяИзмененияФайла строка Время последнего изменения файла.
Имя файла строка Имя файла без пути.
FilePath строка Полный путь к файлу, включая имя файла. Например: C:\ProgramFiles\WindowsNT\Accessories\wordpad.exe или /usr/bin/zip.
Разрешение на файл строка Разрешения файла. Например: "2,1,1".
Размер файла INT Размер файла в байтах.
Тип файла строка Тип файла, например канал связи, разъем и т. д.
FlexDate1 строка Поле временной метки, предназначенное для сопоставления временной метки, которая не относится ни к одному другому определенному полю временной метки в этом словаре. Используйте гибкие поля экономно и, по возможности, выбирайте более конкретные поля, предоставленные из словаря. Эти поля обычно зарезервированы для использования клиентами и не должны устанавливаться поставщиками, если это не необходимо.
FlexDate1Label строка Поле метки представляет собой строку и описывает назначение поля flex.
FlexNumber1 INT Числовые поля, доступные для сопоставления данных Int, которые не применяются к другому полю в этом словаре.
FlexNumber1Label строка Метка, описывающая значение в FlexNumber1
FlexNumber2 INT Числовые поля, доступные для сопоставления данных Int, которые не применяются к другому полю в этом словаре.
FlexNumber2Label строка Метка, описывающая значение в FlexNumber2
FlexString1 строка Один из четырех полей с плавающей запятой, доступных для сопоставления полей, которые не применяются к другим в этом словаре. Используйте экономно и, когда возможно, ищите более конкретную графу, предоставленную словарем. Эти поля обычно зарезервированы для использования клиентами и не должны устанавливаться поставщиками, если это не необходимо.
FlexString1Label строка Поле метки представляет собой строку и описывает назначение поля flex.
FlexString2 строка Один из четырех полей с плавающей запятой, доступных для сопоставления полей, которые не применяются к другим в этом словаре. Используйте экономно и, когда возможно, ищите более конкретную графу, предоставленную словарем. Эти поля обычно зарезервированы для использования клиентами и не должны устанавливаться поставщиками, если это не необходимо.
ФлексСтринг2Лейбл строка Поле метки представляет собой строку и описывает назначение поля flex.
Тип угрозы индикатора строка Тип угрозы вредоносного IP в соответствии с нашим источником информации TI.
_Платно строка Указывает, является ли загрузка данных платной. Если _IsBillable false, прием данных не учитывается в вашей учетной записи Azure.
LogSeverity строка Строка или целое число, описывающие важность события. Допустимые строковые значения: Неизвестно, Низкий, Средний, Высокий, Очень высокий. Допустимые целочисленные значения: 0-3 = Низкий, 4-6 = Средний, 7-8 = Высокий, 9-10 = Очень высокий.
вредоносный IP-адрес строка Если IP-адрес из сообщения совпадает с текущим источником потоковых данных TI, он будет отображаться здесь.
Страна вредоносного IP строка Страна вредоносного IP-адреса в соответствии с данными GEO во время приема записей.
Широта злонамеренного IP реальный Широта вредоносного IP в соответствии с данными GEO на момент обработки данных.
ДолготаВредоносногоIP реальный Долгота вредоносного IP-адреса согласно геоинформации в момент получения записи.
Сообщение строка Сообщение, содержащее дополнительные сведения о событии.
ВремяСозданияСтарогоФайла строка Время создания старого файла.
Хэш старого файла строка Хеш-код старого файла.
СтарыйИдентификаторФайла строка Идентификатор, связанный со старым файлом, например inode.
ВремяИзмененияСтарогоФайла строка Время последнего изменения старого файла.
СтароеИмяФайла строка Имя старого файла.
OldFilePath строка Полный путь к старому файлу, включая имя файла. Например: C:\ProgramFiles\WindowsNT\Accessories\wordpad.exe или /usr/bin/zip.
OldFilePermission строка Разрешения старого файла. Например: "2,1,1".
СтарыйРазмерФайла INT Размер старого файла в байтах.
СтарыйТипФайла строка Тип предыдущего файла, например канал, сокет и т. д.
OriginalLogSeverity строка Не сопоставленная версия LogSeverity. Например: предупреждение/критическое/информация вместо нормализированного низкого/среднего/высокого уровня в поле LogSeverity
Идентификатор процесса INT Определяет идентификатор процесса на устройстве, создающем событие.
Имя процесса строка Имя процесса, связанного с событием. Например, в UNIX процесс, создающий запись системного журнала.
Протокол строка Транспортный протокол, определяющий используемый протокол уровня 4. Возможные значения включают имена протоколов, такие как TCP или UDP.
Причина строка Причина создания события аудита. Например, "недопустимый пароль" или "неизвестный пользователь". Это также может быть ошибка или код возврата. Пример: "0x1234".
Время получения строка Время, когда было получено событие, связанное с деятельностью. Отличается от поля "Timegenerated", которое указывает время получения события на машине сбора журналов.
Полученные байты длинный Общее число байтов, переданных во входящем трафике.
Удаленный IP-адрес строка Удаленный IP-адрес, производный от значения направления события, если это возможно.
RemotePort строка Удаленный порт, производный от значения направления события, если это возможно.
ОтчетСсылкаНаИсточник строка Ссылка на отчет потока TI.
Запрос клиентского приложения строка Агент пользователя, связанный с запросом.
КонтекстЗапроса строка Описывает содержимое, от которого поступил запрос, например источник ссылки HTTP.
RequestCookies строка Файлы cookie, связанные с запросом.
requestMethod строка Метод, используемый для доступа к URL-адресу. Допустимые значения включают такие методы, как POST, GET и т. д.
RequestURL (РеквестЮРЛ) строка URL-адрес, к которому обращается HTTP-запрос, включая протокол. Например: http://www/secure.com.
_ResourceId (идентификатор ресурса) строка Уникальный идентификатор ресурса, с которым связана запись.
Отправленные байты длинный Общее число байтов, переданных в исходящем трафике.
Упрощенное действие устройства строка Сопоставленная версия DeviceAction, например Отказано > Отклонить.
ИсходныйDnsДомейн строка Часть полного FQDN, относящаяся к домену DNS.
SourceHostName строка Определяет источник, к которому обращается событие, в IP-сети. Формат должен представлять собой полное доменное имя (FQDN), связанное с исходным узлом, если узел доступен. Например, хост или host.domain.com.
ИсточникIP-адрес строка Источник, к которому обращается событие в IP-сети, как адрес IPv4.
исходный MAC-адрес (SourceMACAddress) строка MAC-адрес источника.
SourceNTDomain строка Доменное имя Windows для адреса источника.
SourcePort INT Номер исходного порта. Допустимые номера портов : 0 – 65535.
Идентификатор исходного процесса INT Идентификатор исходного процесса, связанного с событием.
ИмяИсходногоПроцесса строка Имя исходного процесса события.
ИмяИсходногоСервиса строка Служба, отвечающая за создание события.
SourceSystem строка Тип агента, которым было собрано событие. Например, OpsManager для агента Windows прямое подключение или Operations Manager Linux для всех агентов Linux или Azure для Azure Diagnostics
ИсточникПереведённыйАдрес строка Определяет преобразованный источник, к которому обращается событие, в IP-сети.
SourceTranslatedPort INT Исходный порт после преобразования, например брандмауэр. Допустимые номера портов : 0 – 65535.
SourceUserID строка Определяет исходного пользователя по идентификатору.
SourceUserName строка Определяет исходного пользователя по имени. Адреса электронной почты также сопоставляются с полями UserName. Отправитель является кандидатом, который должен быть помещен в это поле.
ПривилегииИсходногоПользователя строка Привилегии исходного пользователя. Допустимые значения: администратор, пользователь, гость.
Время начала дата и время Время начала действия, о котором идёт речь в событии.
_ИдентификаторПодписки строка Уникальный идентификатор подписки, с которой связана запись
ИдентификаторАрендатора строка Идентификатор рабочей области Log Analytics
Уверенность в угрозе строка Уровень уверенности в отношении вредоносного IP согласно данным из нашего канала угрозы безопасности.
Описание угрозы строка Описание угрозы вредоносного IP в соответствии с нашими аналитическими данными TI.
Уровень угрозы INT Степень серьезности угрозы от вредоносного IP согласно нашему потоку данных о угрозах (TI) на момент обработки записей.
Время генерации дата и время Время фиксирования событий по UTC.
Тип строка Имя таблицы.