Microsoft Sentinel 이메일 이벤트 정규화 스키마는 이메일 전달 및 검사 활동을 나타냅니다. 여기에는 메시지 주소 지정 및 라우팅 세부사항, 이메일 인증 결과, 전달 결과, 이메일 내에서 식별된 위협 등이 포함됩니다.
이메일 이벤트 스키마를 사용하여 메일 서버, 보안 이메일 게이트웨이, 이메일 보안 서비스 및 이메일을 처리하거나 검사하는 기타 시스템의 기록을 정규화합니다. 정규화는 출처와 상관없이 일관된 필드 이름과 값을 가진 레코드를 분석할 수 있게 해줍니다.
Microsoft Sentinel 정규화에 대한 자세한 내용은 정규화 및 ASIM(고급 보안 정보 모델)을 참조하세요.
스키마 개요
이메일 이벤트의 주요 필드는 다음과 같습니다:
- 이메일 활동은 EventType과 EventSubType으로 표현됩니다.
- 발신자와 수신자는 EmailFromAddress, EmailToRecipients, EmailCCRecipients, EmailBCCRecipients로 대표됩니다.
- 이 메시지는 EmailSubject, EmailSizeBytes, EmailFiles, EmailUrls와 같은 필드로 표현됩니다.
- SPF, DKIM, DMARC 필드로 표현되는 이메일 인증.
- 전달 결과는 DvcAction, EmailDeliveryLocation, EventResult, EventResultDetails로 표현됩니다.
- 메시지와 관련된 위협 및 검사 규칙은 검사 필드로 표현됩니다.
필드는 Dvc 보고 또는 검사 시스템을 설명합니다.
파서들
이메일 이벤트 파서를 배포하고 사용하세요
Microsoft Sentinel GitHub 저장소에서 ASIM 파서를 배포하세요. 모든 정규화된 이메일 이벤트 소스를 쿼리하려면, 쿼리의 테이블 이름으로 통합 파서를 _Im_EmailEvent 사용하세요.
ASIM 파서 사용에 대한 자세한 내용은 ASIM 파서 개요를 참조하세요.
정규화된 자체 파서 추가
이메일 이벤트 정보 모델에 대한 맞춤형 파서를 구현할 때는 다음과 같은 명명 문법을 사용하세요:
-
ASimEmailEvent<vendor><Product>일반 파서들을 위한 것입니다. -
vimEmailEvent<vendor><Product>매개변수화된 파서에 대해.
이메일 이벤트 통합 파서에 사용자 지정 파서를 추가하려면 ASIM 파서 관리(Manage ASIM parser)를 참조하세요.
필터 파서 결과
이메일 이벤트 필터링 파서는 쿼리 성능 향상을 위한 필터링 매개변수 를 지원합니다.
| Name | Type | Description |
|---|---|---|
| starttime | datetime | 이 시점 또는 그 이후에 시작된 이벤트들을 필터링하세요. |
| endtime | datetime | 이 시점에 또는 그 이전에 종료된 사건들을 필터링하세요. |
| ipaddr_has_any_prefix | dynamic | IP 주소가 나열된 접두사 중 하나로 시작하는 이벤트를 필터링합니다. |
| emailfromaddress_has_any | dynamic | 나열된 값 중 하나를 포함하는 이벤트를 EmailFromAddress 필터링합니다. |
| emailrecipient_has_any | dynamic | 나열된 이메일 수신자 중 하나를 가진 이벤트를 필터링하세요. |
| emailsubject_has_any | dynamic | 나열된 값 중 하나를 포함하는 이벤트를 EmailSubject 필터링합니다. |
| emaildirection_in | dynamic | 이 이벤트에 대해 나열된 값 중 하나인 필터 이벤트 EmailDirection 입니다. |
| emaildeliverylocation_in | dynamic | 이 이벤트에 대해 나열된 값 중 하나인 필터 이벤트 EmailDeliveryLocation 입니다. |
| eventresult | String | 지정된 값과 같은 이벤트 EventResult 를 필터링합니다. 기본 값인 *는 결과별로 필터링되지 않습니다. |
| 압축 | Boolean | 로 true설정하면 매핑되지 않은 소스 필드를 동적 필드에 AdditionalFields 포장합니다. 기본값은 false입니다. |
예를 들어, 다음 쿼리를 사용하여 지난 하루 동안 다음과 contoso.com 같은 주소를 받은 수신 이메일을 반환합니다:
_Im_EmailEvent(
starttime=ago(1d),
endtime=now(),
emailfromaddress_has_any=dynamic(['contoso.com']),
emaildirection_in=dynamic(['Inbound'])
)
스키마 세부 정보
일반 ASIM 필드
Important
모든 스키마에 공통된 필드는 ASIM 공통 필드에서 자세히 설명되어 있습니다. 이 글의 지침은 해당 분야의 일반 지침을 우선합니다.
특정 지침이 있는 공통 필드
모든 공통 필드
| 클래스 | Fields |
|---|---|
| 필수 |
-
이벤트카운트 - 이벤트 시작 시간 - 이벤트엔드타임 - 이벤트 타입 - 이벤트결과 - 이벤트프로덕트 - 이벤트벤더 - 이벤트 스키마 - 이벤트스키마버전 - DVC |
| 권장 |
-
이벤트결과상세 정보 - 사건심각도 - 결승 - DvcIpAddr - Dvc호스트네임 - Dvc도메인 |
| Optional |
-
이벤트 메시지 - 이벤트서브타입 - 이벤트오리지널UID - 이벤트오리지널타입 - 이벤트원본 결과상세 - 사건원본심각성 - 이벤트제품버전 - 이벤트 리포트 URL - 이벤트오너 - DVC 설명 - DvcFQDN - DvcID - Dvc인터페이스 - DvcMacAddr - Dvc 오리지널액션 - DvcOS - DvcOs버전 - Dvc스코프 - DvcScopeId(dvcScopeId) - DvcZone - 추가 엔티티 - 추가 필드 |
| Conditional |
-
DvcDomainType - DvcIdType |
Email 필드
이메일 인증 필드
| Field | 클래스 | Type | Description |
|---|---|---|---|
| 이메일Spf결과 | Optional | 열거됨 | 정규화된 송신자 정책 프레임워크(SPF) 결과가 나옵니다. 허용된 값은 Pass, NeutralSoftFailNoneFailTemporaryError그리고 PermanentError입니다. |
| 이메일Spf원본 결과 | Optional | String | 출처가 보고한 SPF 결과입니다. |
| 이메일Dkim도메인 | Optional | String | 메시지를 DomainKeys 식별 메일(DKIM)으로 서명한 도메인입니다. |
| 이메일DkimSignature | Optional | String | 메시지와 연관된 DKIM 서명. |
| 이메일DkimResult | Optional | 열거됨 | 정규화된 DKIM 결과입니다. 허용되는 값은 Pass, Fail, TemporaryError, PermanentError및 None. |
| 이메일Dkim원본 결과 | Optional | String | 출처가 보고한 DKIM 결과입니다. |
| 이메일DmarcResult | Optional | 열거됨 | 정규화된 도메인 기반 메시지 인증, 보고 및 적합성(DMARC) 결과입니다. 허용되는 값은 Pass, Fail, BestGuessPass 및 None입니다. |
| 이메일Dmarc원본 결과 | Optional | String | 출처가 보고한 DMARC 결과입니다. |
| 이메일DmarcPolicy | Optional | 열거됨 | DMARC 정책이 이메일에 적용되었습니다. 허용되는 값은 Quarantine, Reject 및 None입니다. |
| EmailDmarcOverride | Optional | 열거됨 | DMARC 정책이 무시된 이유입니다. 허용되는 값은 Forwarded, LocalPolicy, MailingListSampleOut, TrustedForwarder및 Other. |
배송 및 목적지 필드
원본 시스템 필드
| Field | 클래스 | Type | Description |
|---|---|---|---|
| Src | 권장 | String | 소스 시스템의 고유 식별자입니다. |
| SrcIpAddr | Optional | IP 주소 | 원본 IP 주소입니다. |
| IpAddr | Alias | IP 주소 | SrcIpAddr에 대한 별칭입니다. |
| SrcHostname | 권장 | 호스트 이름 | 도메인 정보를 제외한 원본 디바이스 호스트 이름입니다. |
| SrcDomain | 권장 | 도메인 | 원본 디바이스의 도메인입니다. |
| SrcDomainType | Conditional | 열거됨 |
SrcDomain의 형식입니다. 허용되는 값은 Windows, FQDN 및 ResourceGroup입니다. 사용 시 SrcDomain 필수입니다. |
| SrcFQDN | Optional | FQDN | 소스 장치의 완전 정식 도메인 이름입니다. |
| SrcDvcId | Optional | String | 원본 디바이스의 ID입니다. |
| SrcDvcIdType | Conditional | 열거됨 |
SrcDvcId의 형식입니다. 허용되는 값은 AzureResourceId, AwsVpcIdMD4IoTidMDEidVectraIdForcepointIdVMConnectionIdAppGateId입니다.Other 사용 시 SrcDvcId 필수입니다. |
| SrcDvc스코프 | Optional | String | 소스 장치가 속한 클라우드 플랫폼 범위. |
| SrcDvcScopeId | Optional | String | 소스 장치가 속한 클라우드 플랫폼 범위의 ID입니다. |
| SrcDeviceType | Optional | 열거됨 | 소스 장치 유형. |
| 서클 설명 | Optional | String | 소스 장치에 대한 설명입니다. |
| SrcIsp | Optional | String | 출처 IP 주소와 연관된 인터넷 서비스 제공업체입니다. |
| SrcGeoCountry | Optional | String | 발신 IP 주소와 관련된 국가 또는 지역. |
| SrcGeoRegion | Optional | String | 원본 IP 주소와 연결된 지역입니다. |
| SrcGeoCity | Optional | String | 원본 IP 주소와 연결된 도시입니다. |
| SrcGeoLatitude | Optional | 실제 | 출처 IP 주소와 관련된 위도입니다. |
| SrcGeoLongitude | Optional | 실제 | 출처 IP 주소와 관련된 경도입니다. |
원본 사용자 필드
| Field | 클래스 | Type | Description |
|---|---|---|---|
| SrcUserName | Optional | String | 출처 사용자의 이름입니다. |
| User | Alias | String | 별칭 .SrcUserName |
| SrcUserUpn | 권장 | String | 소스 사용자의 사용자 프린시펄 이름(UPN)입니다. |
| SrcUserID | Optional | String | 원본 사용자를 위한 기계 판독 가능한 식별자입니다. |
| SrcUserIdType | Optional | 열거됨 |
SrcUserId의 형식입니다. 허용되는 값은 SID, AADIDAWSIdOktaIdUIDSalesforceIdVectraUserIdPUIDMD4IoTid입니다.Other |
| SrcUsernameType | Optional | 열거됨 | 의 SrcUserName의 값 타입. |
| SrcUserScope | Optional | String | 소스 사용자가 정의되는 범위. |
| SrcUserScopeId | Optional | String | 소스 사용자가 정의된 범위의 ID입니다. |
검사 필드
다음 필드는 이메일 검사와 관련된 규칙, 위협 또는 지표를 설명합니다.
| Field | 클래스 | Type | Description |
|---|---|---|---|
| RuleName | Optional | String | 검사 규칙의 이름이나 ID입니다. |
| RuleNumber | Optional | Integer | 검사 규칙의 숫자 식별 번호. |
| 규칙 | Alias | String | 별칭 .RuleName |
| RuleDescription | Optional | String | 검사 규칙에 대한 설명입니다. |
| IndicatorType | Optional | 열거됨 | 이메일 이벤트에서 식별된 지표 유형. |
| IndicatorAssociation | Optional | 열거됨 | 인디케이터와 이메일 이벤트 간의 연관성. |
| ThreatId | Optional | String | 이메일에서 확인된 위협의 신원. |
| ThreatName | Optional | String | 이메일에서 언급된 위협의 이름입니다. |
| ThreatCategory | Optional | String | 정상화된 위협 범주입니다. |
| ThreatOriginalCategory | Optional | String | 출처가 보고한 위협 등급입니다. |
| ThreatRiskLevel | Optional | RiskLevel(정수) | 정상화된 위협 위험 수준은 0100. |
| ThreatOriginalRiskLevel | Optional | String | 출처가 보고한 위협 위험 수준입니다. |
| ThreatConfidence | Optional | ConfidenceLevel(정수) | 정규화된 신뢰 수준은 에서부터 0100시작됩니다. |
| ThreatOriginalConfidence | Optional | String | 출처가 보고한 위협 신뢰도입니다. |
| ThreatIsActive | Optional | Boolean | 식별된 위협이 활성화되어 있는지 여부를 나타냅니다. |
| ThreatFirstReportedTime | Optional | 날짜와 시간 | 위협이 처음 보고된 순간. |
| ThreatLastReportedTime | Optional | 날짜와 시간 | 위협이 마지막으로 보고된 때였다. |
| ThreatIpAddr | Optional | IP 주소 | 식별된 위협과 연관된 IP 주소입니다. |
| 스렛필드 | Conditional | 열거됨 | 위협이 확인된 분야입니다. |
| AttackTactics | Optional | String | 이메일 이벤트와 관련된 MITRE AT&CK 전술. |
| AttackTechniques | Optional | String | 이메일 이벤트와 관련된 MITRE AT&CK 기법들. |
| AttackRemediationSteps | Optional | String | 확인된 공격이나 위협을 해결하기 위한 권장 조치들. |
스키마 업데이트
버전은 1.0.0 이메일 이벤트 스키마의 초기 릴리스입니다.