ASimNetworkSessionLogs

  • 아티클

Microsoft Sentinel 네트워크 세션 정규화 스키마는 네트워크 연결 및 네트워크 세션과 같은 IP 네트워크 작업을 나타냅니다. 이러한 이벤트는 예를 들어 운영 체제, 라우터, 방화벽 및 침입 방지 시스템에 의해 보고됩니다.

테이블 특성

attribute 값
리소스 종류 microsoft.securityinsights/networksessionnormalized
범주 보안
솔루션 SecurityInsights
기본 로그 No
수집 시간 변환 Yes
샘플 쿼리 -

열

열 형식 Description
AdditionalFields 동적 ASim에 매핑되지 않는 원본에서 제공하는 키/값 쌍을 사용하여 표시되는 추가 정보입니다.
_BilledSize real 레코드 크기(바이트)
DstAppId 문자열 보고 디바이스에서 보고한 대상 애플리케이션의 ID입니다.
DstAppName 문자열 대상 애플리케이션의 이름입니다.
DstAppType 문자열 대상 애플리케이션의 형식입니다.
DstBytes long 연결 또는 세션의 대상에서 원본으로 보낸 바이트 수 이벤트가 집계되면 DstBytes는 집계된 모든 세션의 합계입니다.
DstDescription 문자열 대상과 연결된 설명 텍스트입니다.
DstDeviceType 문자열 대상 디바이스의 형식입니다.
DstDomain 문자열 대상 디바이스의 도메인입니다.
DstDomainType 문자열 DstDomain 형식입니다.
DstDvcId 문자열 대상 디바이스의 ID입니다.
DstDvcIdType 문자열 DstDvcId 형식입니다.
DstFQDN 문자열 사용 가능한 경우 도메인 정보를 포함한 대상 디바이스 호스트 이름입니다.
DstGeoCity 문자열 대상 IP 주소와 연결된 도시입니다.
DstGeoCountry 문자열 대상 IP 주소와 연결된 국가입니다.
DstGeoLatitude real 대상 IP 주소와 연결된 지리적 좌표의 위도입니다.
DstGeoLongitude real 대상 IP 주소와 연결된 지리적 좌표의 경도입니다.
DstGeoRegion 문자열 대상 IP 주소와 연결된 국가 내의 지역 또는 주입니다.
DstHostname 문자열 도메인 정보를 제외한 대상 디바이스 호스트 이름입니다.
DstInterfaceGuid 문자열 대상 디바이스에서 사용되는 네트워크 인터페이스의 GUID입니다.
DstInterfaceName 문자열 대상 디바이스의 연결 또는 세션에 사용되는 네트워크 인터페이스
DstIpAddr string 연결 또는 세션 대상의 IP 주소입니다.
DstMacAddr 문자열 대상 디바이스의 연결 또는 세션에 사용되는 네트워크 인터페이스의 MAC 주소입니다.
DstNatIpAddr 문자열 DstNatIpAddr는 네트워크 주소 변환을 사용한 경우 대상 디바이스의 원래 주소 또는 원본과의 통신을 위해 중간 디바이스에서 사용하는 IP 주소 중 하나를 나타냅니다.
DstNatPortNumber int 중간 NAT 디바이스에서 보고한 경우 NAT 디바이스에서 원본과 통신하는 데 사용하는 포트입니다.
DstOriginalUserType 문자열 원본에서 제공한 경우 원래 대상 사용자 유형입니다.
DstPackets long 연결 또는 세션의 대상에서 원본으로 전송된 패킷 수입니다. 패킷의 의미는 보고 디바이스에 의해 정의됩니다. 이벤트가 집계되면 DstPackets는 집계된 모든 세션에 대한 합계입니다.
DstPortNumber int 대상 IP 포트
DstSubscriptionId 문자열 대상 디바이스가 속한 클라우드 플랫폼 구독 ID입니다. DstSubscriptionId는 Azure의 구독 ID와 AWS의 계정 ID에 매핑됩니다.
DstUserId 문자열 대상 사용자에 대한 컴퓨터 판독 가능한 영숫자 고유 표현입니다.
DstUserIdType 문자열 DstUserId 필드에 저장된 ID 형식입니다.
DstUsername 문자열 사용 가능한 경우 도메인 정보를 포함한 대상 사용자 이름입니다. 도메인 정보를 사용할 수 없는 경우에만 단순 양식을 사용합니다.
DstUsernameType 문자열 DstUsername 필드에 저장된 사용자 이름 형식을 지정합니다.
DstUserType 문자열 대상 사용자의 형식입니다.
DstVlanId 문자열 대상 디바이스와 관련된 VLAN ID입니다.
DstZone 문자열 보고 디바이스에 정의된 대상의 네트워크 영역
Dvc 문자열 이벤트가 발생했거나 이벤트를 보고한 디바이스의 고유 식별자입니다.
DvcAction 문자열 네트워크 세션에서 수행된 작업입니다.
DvcDescription 문자열 디바이스와 관련된 설명 텍스트입니다. 예: 기본 도메인 컨트롤러.
DvcDomain 문자열 이벤트를 보고하는 디바이스의 도메인입니다.
DvcDomainType 문자열 DvcDomain 형식입니다. 가능한 값에는 'Windows' 및 'FQDN'이 포함됩니다.
DvcFQDN 문자열 이벤트가 발생했거나 이벤트를 보고한 디바이스의 호스트 이름입니다.
DvcHostname 문자열 이벤트를 보고하는 디바이스의 호스트 이름입니다.
DvcId 문자열 이벤트가 발생했거나 이벤트를 보고한 디바이스의 고유 ID입니다.
DvcIdType 문자열 DvcId 형식입니다.
DvcInboundInterface 문자열 중간 디바이스에서 보고한 경우 원본 디바이스에 연결하기 위해 NAT 디바이스에서 사용하는 네트워크 인터페이스입니다.
DvcInterface 문자열 데이터가 캡처된 네트워크 인터페이스입니다. 이 필드는 일반적으로 중간 또는 탭 디바이스에 의해 캡처되는 네트워크 관련 작업과 관련이 있습니다.
DvcIpAddr 문자열 이벤트를 보고하는 디바이스의 IP 주소입니다.
DvcMacAddr 문자열 이벤트가 발생했거나 이벤트를 보고한 디바이스의 MAC 주소입니다. 예: 00:1B:44:11:3A:B7
DvcOriginalAction 문자열 보고 디바이스에서 제공한 원래 DvcAction입니다.
DvcOs 문자열 이벤트를 보고하는 디바이스에서 실행되는 운영 체제입니다.
DvcOsVersion 문자열 이벤트를 보고하는 디바이스의 운영 체제 버전입니다.
DvcOutboundInterface 문자열 중간 디바이스에 의해 보고된 경우 NAT 디바이스가 대상 디바이스에 연결하는 데 사용하는 네트워크 인터페이스입니다.
DvcSubscriptionId 문자열 디바이스가 속한 클라우드 플랫폼 구독 ID입니다. DvcSubscriptionId는 Azure의 구독 ID와 AWS의 계정 ID에 매핑됩니다.
DvcZone 문자열 이벤트가 발생했거나 이벤트를 보고한 네트워크입니다. 영역은 보고 디바이스에 의해 정의됩니다.
EventCount int 이 값은 원본에서 집계를 지원할 때 사용되며, 단일 레코드에서 여러 이벤트를 나타낼 수 있습니다.
EventEndTime Datetime 이벤트가 종료된 시간입니다. 원본이 집계를 지원하고 레코드가 여러 이벤트를 나타내는 경우 마지막 이벤트가 생성된 시간입니다. 원본 레코드에서 제공하지 않는 경우 이 필드는 TimeGenerated 필드의 별칭을 지정합니다.
EventMessage 문자열 일반 메시지 또는 설명입니다.
EventOriginalResultDetails 문자열 원본에서 제공한 원본 결과 세부 정보입니다. 이 값은 각 스키마에 대해 문서화된 값 중 하나만 있어야 하는 EventResultDetails를 파생하는 데 사용됩니다.
EventOriginalSeverity 문자열 보고 디바이스에서 제공한 원래 심각도입니다. 이 값은 EventSeverity를 파생하는 데 사용됩니다.
EventOriginalSubType 문자열 원본에서 제공한 경우 원래 이벤트 하위 형식 또는 ID입니다. 예를 들어, 이 필드는 원래 Windows 로그온 형식을 저장하는 데 사용됩니다. 이 값은 각 스키마에 대해 문서화된 값 중 하나만 있어야 하는 EventSubType을 파생하는 데 사용됩니다.
EventOriginalType 문자열 원본에서 제공하는 경우 원본 이벤트 유형 또는 ID입니다.
EventOriginalUid 문자열 원본에서 제공하는 경우 원래 레코드의 고유 ID입니다.
EventProduct 문자열 이벤트를 생성하는 제품
EventProductVersion 문자열 이벤트를 생성하는 제품의 버전
EventReportUrl 문자열 이벤트에 대한 추가 정보를 제공하는 리소스에 대해 이벤트에 제공된 URL입니다.
EventResult 문자열 성공, 부분, 실패, NA(해당 없음) 값 중 하나로 표시되는 이벤트의 결과입니다. 값은 원본에서 직접 제공할 수 없습니다. 이 경우 EventResultDetails 필드와 같은 다른 이벤트 필드에서 파생됩니다.
EventResultDetails 문자열 EventResult 필드에 보고된 결과에 대한 이유 또는 세부 정보.
EventSchemaVersion 문자열 스키마의 버전입니다.
EventSeverity 문자열 이벤트의 심각도입니다. 유효한 값은 정보, 낮음, 중간 또는 높음입니다.
EventStartTime Datetime 이벤트가 시작된 시간입니다. 원본이 집계를 지원하고 레코드가 여러 이벤트를 나타내는 경우 첫 번째 이벤트가 생성된 시간입니다. 원본 레코드에서 제공하지 않는 경우 이 필드는 TimeGenerated 필드의 별칭을 지정합니다.
EventSubType 문자열 해당하는 경우 이벤트 유형에 대한 추가 설명입니다.
EventType 문자열 레코드에서 보고한 작업입니다.
EventVendor 문자열 이벤트를 생성하는 제품의 공급 업체
_IsBillable 문자열 데이터 수집을 청구할 수 있는지 여부를 지정합니다. _IsBillable 수집 시 false Azure 계정에 청구되지 않음
NetworkApplicationProtocol 문자열 연결 또는 세션에서 사용하는 애플리케이션 계층 프로토콜입니다.
NetworkBytes long 양방향으로 전송된 바이트 수. BytesReceived와 BytesSent가 모두 있는 경우 그 합계는 BytesTotal과 같아야 합니다. 이벤트가 집계되면 NetworkBytes는 집계된 모든 세션의 합계입니다.
NetworkConnectionHistory 문자열 TCP 플래그 및 기타 잠재적인 IP 헤더 정보.
NetworkDirection 문자열 연결 또는 세션의 방향입니다.
NetworkDuration int 네트워크 세션 또는 연결을 완료하는 데 걸리는 시간(밀리초)
NetworkIcmpCode int ICMP 메시지의 경우 IPv4 네트워크 연결의 경우 RFC 2780 또는 IPv6 네트워크 연결의 경우 RFC 4443에 설명된 대로 ICMP 메시지 형식 숫자 값입니다.
NetworkIcmpType 문자열 ICMP 메시지의 경우 IPv4 네트워크 연결에 대해서는 RFC 2780 또는 IPv6 네트워크 연결에 대해서는 RFC 4443에 설명된 대로 ICMP 메시지 형식 텍스트 표현입니다.
NetworkPackets long 양방향으로 전송된 패킷 수입니다. PacketsReceived와 PacketsSent가 모두 있는 경우 그 합계는 BytesTotal과 같아야 합니다. 패킷의 의미는 보고 디바이스에 의해 정의됩니다. 이벤트가 집계되면 NetworkPackets는 집계된 모든 세션의 합계입니다.
NetworkProtocol 문자열 일반적으로 TCP, UDP 또는 ICMP인 IANA 프로토콜 할당에 나열된 대로 연결 또는 세션에서 사용하는 IP 프로토콜입니다.
NetworkProtocolVersion 문자열 NetworkProtocol의 버전입니다.
NetworkRuleName 문자열 DvcAction이 결정된 규칙의 이름 또는 ID입니다.
NetworkRuleNumber int DvcAction이 결정된 규칙의 번호입니다.
NetworkSessionId 문자열 보고 디바이스에서 보고한 세션 식별자
_ResourceId 문자열 레코드가 연결된 리소스의 고유 식별자입니다.
SourceSystem 문자열 이벤트가 수집된 에이전트 유형입니다. 예를 들어 OpsManager Windows 에이전트의 경우 직접 연결 또는 Operations Manager, Linux 모든 Linux 에이전트 또는 Azure Azure Diagnostics
SrcAppId 문자열 보고 디바이스에서 보고한 원본 애플리케이션의 ID입니다.
SrcAppName 문자열 원본 애플리케이션의 이름입니다.
SrcAppType 문자열 원본 애플리케이션의 형식입니다.
SrcBytes long 연결 또는 세션의 원본에서 대상으로 보낸 바이트 수 이벤트가 집계되면 SrcBytes는 집계된 모든 세션에 대한 합계입니다.
SrcDescription string 원본과 연결된 설명 텍스트입니다.
SrcDeviceType 문자열 원본 디바이스의 형식입니다.
SrcDomain 문자열 원본 디바이스의 도메인입니다.
SrcDomainType 문자열 SrcDomain 형식입니다.
SrcDvcId string 원본 디바이스의 ID입니다.
SrcDvcIdType string SrcDvcId 형식입니다.
SrcFQDN string 사용 가능한 경우 도메인 정보를 포함한 원본 디바이스 호스트 이름입니다.
SrcGeoCity string 원본 IP 주소와 연결된 도시입니다.
SrcGeoCountry string 원본 IP 주소와 연결된 국가입니다.
SrcGeoLatitude real 원본 IP 주소와 연결된 지리적 좌표의 위도입니다.
SrcGeoLongitude real 원본 IP 주소와 연결된 지리적 좌표의 경도입니다.
SrcGeoRegion string 원본 IP 주소와 연결된 국가 내의 지역입니다.
SrcHostname string 도메인 정보를 제외한 원본 디바이스 호스트 이름입니다. 사용할 수 있는 디바이스 이름이 없으면 관련 IP 주소를 저장할 수 있습니다.
SrcInterfaceGuid string 원본 디바이스에서 사용되는 네트워크 인터페이스의 GUID입니다.
SrcInterfaceName string 원본 디바이스에서 연결 또는 세션에 사용하는 네트워크 인터페이스
SrcIpAddr string 연결 또는 세션이 시작된 IP 주소
SrcMacAddr string 연결 또는 세션이 시작된 네트워크 인터페이스의 MAC 주소입니다.
SrcNatIpAddr string SrcNatIpAddr는 네트워크 주소 변환을 사용한 경우 원본 디바이스의 원래 주소 또는 대상과의 통신을 위해 중간 디바이스에서 사용하는 IP 주소 중 하나를 나타냅니다.
SrcNatPortNumber int 중간 NAT 디바이스에서 보고된 경우 NAT 디바이스에서 대상과 통신하는 데 사용하는 포트입니다.
SrcOriginalUserType 문자열 보고 디바이스에서 에서 제공하는 경우 원래 대상 사용자 유형입니다.
SrcPackets long 연결 또는 세션 원본에서 대상으로 보낸 패킷 수입니다. 패킷의 의미는 보고 디바이스에 의해 정의됩니다. 이벤트가 집계되면 SrcPackets는 집계된 모든 세션에 대한 합계입니다.
SrcPortNumber int 연결이 시작된 IP 포트. 여러 연결을 구성하는 세션과 관련이 없을 수 있습니다.
SrcSubscriptionId 문자열 원본 디바이스가 속한 클라우드 플랫폼 구독 ID입니다. SrcSubscriptionId는 Azure의 구독 ID와 AWS의 계정 ID에 매핑됩니다.
SrcUserId 문자열 원본 사용자에 대한 컴퓨터 판독 가능한 영숫자 고유 표현입니다.
SrcUserIdType 문자열 SrcUserId 필드에 저장된 ID 형식입니다.
SrcUsername 문자열 사용 가능한 경우 도메인 정보를 포함한 원본 사용자 이름입니다.
SrcUsernameType 문자열 SrcUsername 필드에 저장된 사용자 이름 형식을 지정합니다.
SrcUserType 문자열 원본 사용자의 형식입니다.
SrcVlanId 문자열 원본 디바이스와 관련된 VLAN ID입니다.
SrcZone 문자열 보고 디바이스에서 정의한 원본 네트워크 영역
_SubscriptionId 문자열 레코드가 연결된 구독의 고유 식별자입니다.
TcpFlagsAck bool TCP ACK 플래그가 보고되었습니다. 승인 플래그는 패킷의 성공적인 수신을 승인하는 데 사용됩니다. 위의 다이어그램에서 볼 수 있듯이 수신기는 3방향 핸드셰이크 프로세스의 두 번째 단계에서 ACK와 SYN을 전송하여 보낸 사람에게 초기 패킷을 수신했음을 알 수 있습니다.
TcpFlagsFin bool TCP FIN 플래그가 보고되었습니다. 완료된 플래그는 보낸 사람으로부터 더 이상 데이터가 없음을 의미합니다. 따라서 보낸 사람으로부터 전송된 마지막 패킷에 사용됩니다.
TcpFlagsPsh bool TCP PSH 플래그가 보고되었습니다. 푸시 플래그는 URG 플래그와 다소 유사하며 수신자가 이러한 패킷을 버퍼링하는 대신 수신될 때 처리하도록 지시합니다.
TcpFlagsRst bool TCP RST 플래그가 보고되었습니다. 패킷이 예상하지 못한 특정 호스트로 전송되면 재설정 플래그가 수신자에서 보낸 사람에게 전송됩니다.
TcpFlagsSyn bool TCP SYN 플래그가 보고되었습니다. 동기화 플래그는 두 호스트 간에 3방향 핸드셰이크를 설정하는 첫 번째 단계로 사용됩니다. 보낸 사람 및 수신자 모두의 첫 번째 패킷에만 이 플래그를 설정해야 합니다.
TcpFlagsUrg bool TCP URG 플래그가 보고되었습니다. 긴급 플래그는 다른 모든 패킷을 처리하기 전에 수신자에게 긴급 패킷을 처리하도록 알리는 데 사용됩니다. 알려진 긴급 데이터가 모두 수신되면 수신자에게 알림이 전송됩니다. 자세한 내용은 RFC 6093을 참조하세요.
TenantId 문자열 Log Analytics 작업 영역 ID
ThreatCategory 문자열 네트워크 세션에서 식별된 위협 또는 맬웨어의 범주입니다.
ThreatConfidence int 식별된 위협의 신뢰 수준이며, 0~100의 값으로 정규화됩니다.
ThreatField 문자열 위협이 식별된 필드입니다. 값은 SrcIpAddr, DstIpAddr, Domain 또는 DnsResponseName입니다.
ThreatFirstReportedTime Datetime IP 주소 또는 도메인이 처음으로 위협으로 식별된 시간입니다.
ThreatId 문자열 네트워크 세션에서 식별된 위협 또는 맬웨어의 ID입니다.
ThreatIpAddr string 위협이 식별된 IP 주소입니다. ThreatField 필드에는 ThreatIpAddr에서 나타내는 필드의 이름이 포함됩니다.
ThreatIsActive bool 식별된 위협이 활성 위협으로 간주되는 True ID입니다.
ThreatLastReportedTime Datetime IP 주소 또는 도메인이 마지막으로 위협으로 식별된 시간입니다.
ThreatName 문자열 네트워크 세션에서 식별된 위협 또는 맬웨어의 이름입니다.
ThreatOriginalConfidence 문자열 보고 디바이스에서 보고하는 식별된 위협의 원래 신뢰 수준입니다.
ThreatOriginalRiskLevel string 보고 디바이스에서 보고한 위험 수준입니다.
ThreatRiskLevel int 세션과 관련된 위험 수준입니다. 수준은 0에서 100 사이의 숫자입니다.
TimeGenerated Datetime 이벤트가 생성된 시간을 반영하는 타임스탬프(UTC)입니다.
Type 문자열 테이블의 이름입니다.