Naslaginformatie over entiteitstypen in Microsoft Sentinel

  • Artikel

Dit document bevat twee sets met informatie over entiteiten en entiteitstypen in Microsoft Sentinel.

  • In de tabel Entiteitstypen en id's ziet u de verschillende typen entiteiten die kunnen worden gebruikt in entiteitstoewijzing in zowel analyseregels als opsporing. De tabel bevat ook voor elk entiteitstype de verschillende id's die kunnen worden gebruikt om een entiteit te identificeren.
  • In de sectie Entiteitsschema ziet u de gegevensstructuur en het schema voor entiteiten in het algemeen en voor elk entiteitstype in het bijzonder, inclusief enkele typen die niet worden weergegeven in de functie entiteitstoewijzing.

Entiteitstypen en -id's

In de volgende tabel ziet u de entiteitstypen die momenteel beschikbaar zijn voor toewijzing in Microsoft Sentinel en de kenmerken die beschikbaar zijn als id's voor elk entiteitstype. Bijna al deze kenmerken worden weergegeven in de vervolgkeuzelijst Id's in de sectie entiteitstoewijzing van de wizard Analyseregels (zie voetnoten voor uitzonderingen).

U kunt maximaal drie id's gebruiken voor één entiteitstoewijzing. Sterke id's alleen zijn voldoende om een entiteit uniek te identificeren, terwijl zwakke id's dit alleen in combinatie met andere id's kunnen doen.

Meer informatie over sterke en zwakke id's.

Entiteitstype Identifiers Sterke id's Zwakke id's
Rekening Naam
Fullname*
NTDomain
DnsDomain
UPNS-achtervoegsel
Sid
AadTenantId
AadUserId
PUID
IsDomainJoined
Displayname*
ObjectGuid		 Naam+UPNS-achtervoegsel
AADUserId
Sid **
Sid+Host**
Name+Host+NTDomain **
Name+NTDomain **
Name+DnsDomain
PUID
ObjectGuid		 Naam
Host DnsDomain
NTDomain
HostName
Fullname*
NetBiosName
AzureID
OMSAgentID
OSFamily
OSVersion
IsDomainJoined		 HostName+NTDomain
HostName+DnsDomain
NetBiosName+NTDomain
NetBiosName+DnsDomain
AzureID
OMSAgentID		 HostName
NetBiosName
IP Adres
AddressScope		 Adres **
Address+AddressScope **
URL URL URL (als absolute URL)** URL (indien relatieve URL)**
Azure-resource
(AzureResource)		 ResourceId ResourceId
Cloudtoepassing
(CloudApplication)		 AppId
Naam
InstanceName		 AppId
Naam
AppId+InstanceName
Name+InstanceName
DNS-omzetting
(DNS)		 DomainName DomainName+DnsServerIp+HostIpAddress DomainName+HostIpAddress
Bestand Directory
Naam		 Directory+Naam
Bestandshash
(FileHash)		 Algoritme
Weergegeven als		 Algoritme+waarde
Malware Naam
Categorie		 Naam+categorie
Verwerken ProcessId
Commandline
ElevationToken
CreationTimeUtc		 Host+ProcessID+CreationTimeUtc
Host+ParentProcessId+
   CreationTimeUtc+CommandLine
Host+ProcessId+
   CreationTimeUtc+ImageFile
Host+ProcessId+
   CreationTimeUtc+ImageFile+
   FileHash		 ProcessId+CreationTimeUtc+
   CommandLine (geen host)
ProcessId+CreationTimeUtc+
   ImageFile (geen host)
Registersleutel
(RegistryKey)		 Hive
Key		 Hive+Key
Registerwaarde
(RegistryValue)		 Naam
Weergegeven als
ValueType
 Key+Name Naam (geen sleutel)
Beveiligingsgroep
(SecurityGroup)		 DistinguishedName
SID
ObjectGuid		 DistinguishedName
SID
ObjectGuid
Postvak MailboxPrimaryAddress
DisplayName
Upn
ExternalDirectoryObjectId
RiskLevel		 MailboxPrimaryAddress
E-mailcluster
(MailCluster)		 NetworkMessageIds
CountByDeliveryStatus
CountByThreatType
CountByProtectionStatus
Bedreigingen
Query
QueryTime
MailCount
IsVolumeAnomaly
Bron
ClusterSourceIdentifier *
ClusterSourceType *
ClusterQueryStartTime *
ClusterQueryEndTime *
ClusterGroup *		 Query+bron
E-mailbericht
(MailMessage)		 Ontvanger
Urls
Bedreigingen
Afzender
P1Sender *
P1SenderDisplayName *
P1SenderDomain *
SenderIP
P2Sender *
P2SenderDisplayName *
P2SenderDomain *
ReceivedDate
NetworkMessageId
InternetMessageId
Onderwerp
BodyFingerprintBin1 *
BodyFingerprintBin2 *
BodyFingerprintBin3 *
BodyFingerprintBin4 *
BodyFingerprintBin5 *
AntispamDirection
DeliveryAction
DeliveryLocation
Language*
ThreatDetectionMethods *		 NetworkMessageId+Recipient
E-mail verzenden
(SubmissionMail)		 NetworkMessageId
Tijdstempel
Ontvanger
Afzender
SenderIp
Onderwerp
ReportType
SubmissionId
Inzendingdatum
Indiener		 SubmissionId+NetworkMessageId+
   Recipient+Submitter
Sentinel-entiteiten Entiteiten Entiteiten

Tabelnoten:

  • * Deze id's worden weergegeven in de lijst met id's die kunnen worden gebruikt in entiteitstoewijzing, maar strikt genomen maken ze geen deel uit van het entiteitsschema.
  • ** Deze id's worden alleen onder bepaalde voorwaarden als sterk beschouwd. Volg de sterretjeskoppelingen om de voorwaarden te bekijken die van toepassing zijn, onder de vermelding van de relevante entiteit in de sectie entiteitsschema's hieronder.
  • Cursieve id-namen (zonder sterretje) vertegenwoordigen interne entiteiten, wat betekent dat het ene entiteitstype andere entiteitstypen als kenmerken kan hebben (zie de sectie entiteitsschema's hieronder). Volg de koppeling van de id om het eigen schema van de interne entiteit weer te geven.

Schema's voor entiteitstypen

De volgende sectie bevat een uitgebreider overzicht van de volledige schema's van elk entiteitstype. Veel van deze schema's bevatten koppelingen naar andere entiteitstypen. Het accountschema bevat bijvoorbeeld een koppeling naar het type Host-entiteit, omdat één kenmerk van een gebruikersaccount de host is waarop het is gedefinieerd. Deze entiteiten-als-kenmerken worden 'interne entiteiten' genoemd en kunnen niet worden gebruikt als id's voor entiteitstoewijzing, maar ze zijn erg handig om een volledig beeld te geven van entiteiten op entiteitspagina's en de onderzoeksgrafiek.

Notitie

Een vraagteken na de waarde in de kolom Type geeft aan dat het veld nullable is.

Lijst met schema's voor entiteitstypen

Rekening

Entiteitsnaam: Account

Veld Type Description
Type String 'account'
Naam String De naam van het account. Dit veld mag alleen de naam bevatten zonder dat er een domein aan is toegevoegd.
FullName -- Geen deel van het schema, opgenomen voor achterwaartse compatibiliteit met oude versie van entiteitstoewijzing.
NTDomain String De NETBIOS-domeinnaam zoals deze wordt weergegeven in de waarschuwingsindeling: domein\gebruikersnaam. Voorbeelden: Financiën, NT AUTHORITY
DnsDomain String De volledig gekwalificeerde DNS-naam van het domein. Voorbeelden: finance.contoso.com
UPNS-achtervoegsel String Het achtervoegsel user principal name voor het account. In veel gevallen is het UPN-achtervoegsel ook de domeinnaam. Voorbeelden: contoso.com
Host Entiteit (host) De host die het account bevat, als het een lokaal account is.
Sid String De beveiligings-id van het account.
AadTenantId Guid? De tenant-id van Microsoft Entra, indien bekend.
AadUserId Guid? De object-id van het Microsoft Entra-account, indien bekend.
PUID Guid? De Microsoft Entra Passport-gebruikers-id, indien bekend.
IsDomainJoined Bool? Geeft aan of het account een domeinaccount is.
DisplayName -- Geen deel van het schema, opgenomen voor achterwaartse compatibiliteit met oude versie van entiteitstoewijzing.
ObjectGuid Guid? Het kenmerk objectGUID is een kenmerk met één waarde dat de unieke id is voor het object, toegewezen door Active Directory.
CloudAppAccountId String De AccountID in waarschuwingen van de CloudApp-provider. Verwijst naar account-id's in apps van derden die niet worden ondersteund in andere Microsoft-producten.
IsAnonymized Bool? Geeft aan of de gebruikersnaam geanonimiseerd is. Optioneel. Standaardwaarde: false.
Stream Stream De bron van detectielogboeken met betrekking tot het specifieke account. Optioneel.

Sterke id's van een accountentiteit

  • Naam + UPNS-achtervoegsel
  • AadUserId
  • Sid
    ** Deze id is sterk zolang het account geen van de ingebouwde accounts is die worden vermeld in de onderstaande opmerking .
  • Sid + host
    ** Wanneer het account een van de ingebouwde accounts is die worden vermeld in de onderstaande opmerking , is het hostonderdeel vereist om deze id een sterke te maken.
  • Naam + NTDomain
    ** Deze combinatie is een sterke id wanneer het account een domeinaccount is, omdat NTDomain geen ingebouwd domein/werkgroep is en verschilt van de hostnaam. In dit geval is dit een sterke id, zelfs zonder het hostonderdeel.
  • Naam + NTDomain + Host
    ** Het hostonderdeel is nodig om een sterke id te maken wanneer het account een lokaal account is, wat betekent dat het NTDomain een ingebouwd domein/werkgroep is.
  • Naam + DnsDomain
  • PUID
  • ObjectGuid

Zwakke id's van een accountentiteit

  • Naam

Notitie

Als de accountentiteit is gedefinieerd met behulp van de naam-id en de naamwaarde van een bepaalde entiteit een van de volgende algemene, vaak ingebouwde accountnamen is, wordt die entiteit verwijderd uit de waarschuwing.

  • ADMIN
  • BEHEERDER
  • SYSTEEM
  • ROOT
  • ANONIEME
  • GEVERIFIEERDE GEBRUIKER
  • NETWERK
  • NULL
  • LOKAAL SYSTEEM
  • LOCALSYSTEM
  • NETWERKSERVICE

Terug naar lijst met schema's van entiteitstype | Terug naar tabel met entiteits-id's

Host

Entiteitsnaam: Host

Veld Type Description
Type String 'host'
IpInterfaces Lijstentiteit<(IP)> Lijst met alle IP-interfaces op de hostcomputer.
DnsDomain String Het DNS-domein waartoe deze host behoort. Moet het volledige DNS-achtervoegsel voor het domein bevatten, indien bekend.
NTDomain String Het NT-domein waartoe deze host behoort.
Hostname String De hostnaam zonder het domeinachtervoegsel.
NetBiosName String De hostnaam (pre-Windows 2000).
IoTDevice Entiteit (IoT-apparaat) De ioT-apparaatentiteit (als deze host een IoT-apparaat vertegenwoordigt).
AzureID String De Azure-resource-id van de virtuele machine, indien bekend.
OMSAgentID String De OMS-agent-id, als er een OMS-agent is geïnstalleerd op de host.
OSFamily Enum? Een van de volgende waarden:
  • Linux
  • Windows
  • Android
  • IOS
  • Mac
    		•
    OSVersion String Een vrije-tekstweergave van het besturingssysteem.
    Dit veld is bedoeld om specifieke versies te bevatten die nauwkeuriger zijn dan OSFamily, of toekomstige waarden die niet worden ondersteund door OSFamily-opsomming.
    IsDomainJoined Bool Geeft aan of deze host deel uitmaakt van een domein.

    Sterke id's van een hostentiteit

    • HostName + NTDomain
    • HostName + DnsDomain
    • NetBiosName + NTDomain
    • NetBiosName + DnsDomain
    • AzureID
    • OMSAgentID
    • IoTDevice

    Zwakke id's van een hostentiteit

    • HostName
    • NetBiosName

    Terug naar lijst met schema's van entiteitstype | Terug naar tabel met entiteits-id's

    IP

    Entiteitsnaam: IP

    Veld Type Description
    Type String "ip"
    Adres String Het IP-adres bijvoorbeeld als tekenreeks. 127.0.0.1 (in IPv4 of IPv6).
    AddressScope String Naam van de host, het subnet of het privénetwerk voor privé-, niet-globale IP-adressen. Null of leeg voor globale IP-adressen (standaard).
    Location Geolocatie De context van de geografische locatie die is gekoppeld aan de IP-entiteit.

    Zie ook Entiteiten verrijken in Microsoft Sentinel met geolocatiegegevens via REST API (openbare preview) voor meer informatie.
    Stream Stream De bron van detectielogboeken met betrekking tot het specifieke IP-adres. Optioneel.

    Sterke id's van een IP-entiteit

    • Adres
      ** Alleen adres is een unieke, sterke id wanneer het IP-adres een globaal adres is.
    • Adres + AddressScope
      ** Voor privé/interne, niet-globale IP-adressen is het AddressScope-onderdeel vereist om dit een sterke id te maken.

    Terug naar lijst met schema's van entiteitstype | Terug naar tabel met entiteits-id's

    Malware

    Entiteitsnaam: Malware

    Veld Type Description
    Type String 'malware'
    Naam String De malwarenaam die is toegewezen door de leverancier (detectie?), zoals Win32/Toga!rfn.
    Categorie String De malwarecategorie die is toegewezen door de leverancier van de (detectie?) bijvoorbeeld. Trojan.
    Bestanden Lijstentiteit<(bestand)> Lijst met gekoppelde bestandsentiteiten waarop de malware is gevonden. Kan de bestandsentiteiten inline of als verwijzing bevatten.
    Zie de bestandsentiteit voor meer informatie over de structuur.
    Processen Lijstentiteit<(proces)> Lijst met gekoppelde procesentiteiten waarop de malware is gevonden. Dit wordt vaak gebruikt wanneer de waarschuwing wordt geactiveerd voor bestandsloze activiteiten.
    Zie de entiteit Proces voor meer informatie over de structuur.

    Sterke id's van een malware-entiteit

    • Naam + categorie

    Terug naar lijst met schema's van entiteitstype | Terug naar tabel met entiteits-id's

    Bestand

    Entiteitsnaam: Bestand

    Veld Type Description
    Type String 'bestand'
    Directory String Het volledige pad naar het bestand.
    Naam String De bestandsnaam zonder het pad (sommige waarschuwingen bevatten mogelijk geen pad).
    AlternateDataStreamName String De bestandsnaam in het NTFS-bestandssysteem (null voor de hoofdstroom).
    Host Entiteit (host) De host waarop het bestand is opgeslagen.
    HostUrl Entiteit (URL) URL van waaruit het bestand is gedownload
    (Mark of the Web).
    WindowsSecurityZoneType WindowsSecurityZone Windows-beveiliging zone waartoe de URL behoort
    (Mark of the Web).
    ReferrerUrl Entiteit (URL) Referrer-URL van de HTTP-aanvraag voor het downloaden van bestanden
    (Mark of the Web).
    SizeInBytes Lange? De grootte van het bestand in bytes.
    FileHashes Lijstentiteit<(FileHash)> De bestands-hashes die aan dit bestand zijn gekoppeld.

    Sterke id's van een bestandsentiteit

    • Naam en map
    • Naam + FileHash
    • Name + Directory + FileHash

    Terug naar lijst met schema's van entiteitstype | Terug naar tabel met entiteits-id's

    Proces

    Entiteitsnaam: Proces

    Veld Type Description
    Type String 'proces'
    ProcessId String De proces-id.
    Commandline String De opdrachtregel die wordt gebruikt om het proces te maken.
    ElevationToken Enum? Het token voor benodigde bevoegdheden dat aan het proces is gekoppeld.
    Mogelijke waarden:
  • TokenElevationTypeDefault
  • TokenElevationTypeFull
  • TokenElevationTypeLimited
    		•
    CreationTimeUtc Datetime? Het tijdstip waarop het proces is gestart.
    ImageFile Entiteit (bestand) Kan de bestandsentiteit inline of als verwijzing bevatten.
    Zie de bestandsentiteit voor meer informatie over de structuur.
    Rekening Entiteit (account) Het account waarop de processen worden uitgevoerd.
    Kan de accountentiteit inline of als verwijzing bevatten.
    Zie de entiteit Account voor meer informatie over de structuur.
    ParentProcess Entiteit (proces) De bovenliggende procesentiteit.
    Kan gedeeltelijke gegevens bevatten, bijvoorbeeld alleen de PID.
    Host Entiteit (host) De host waarop het proces werd uitgevoerd.
    LogonSession Entiteit (HostLogonSession) De sessie waarin het proces werd uitgevoerd.

    Sterke id's van een procesentiteit

    • Host + ProcessId + CreationTimeUtc
    • Host + ParentProcessId + CreationTimeUtc + CommandLine
    • Host + ProcessId + CreationTimeUtc + ImageFile
    • Host + ProcessId + CreationTimeUtc + ImageFile.FileHash

    Zwakke id's van een procesentiteit

    • ProcessId + CreationTimeUtc + CommandLine (en geen host)
    • ProcessId + CreationTimeUtc + ImageFile (en geen host)

    Terug naar lijst met schema's van entiteitstype | Terug naar tabel met entiteits-id's

    Cloudtoepassing

    Entiteitsnaam: CloudApplication

    Veld Type Description
    Type String 'cloudtoepassing'
    AppId Int Afgekeurd; gebruik in plaats daarvan het veld SaasId. De technische id van de toepassing. Mogelijke waarden zijn de waarden die zijn gedefinieerd in de lijst met cloudtoepassings-id's. Waarde optioneel. Mag geen InstanceId bevatten.
    SaasId Int Vervangt het afgeschafte AppId-veld. De technische id van de toepassing. Mogelijke waarden zijn de waarden die zijn gedefinieerd in de lijst met cloudtoepassings-id's. Waarde optioneel. Mag geen InstanceId bevatten.
    Naam String De naam van de gerelateerde cloudtoepassing. Waarde optioneel.
    Instancename String De door de gebruiker gedefinieerde exemplaarnaam van de cloudtoepassing. Het wordt vaak gebruikt om onderscheid te maken tussen verschillende toepassingen van hetzelfde type dat een klant heeft.
    InstanceId Int De id van de specifieke sessie van de toepassing. Dit is een op nul gebaseerd actief nummer. Waarde optioneel.
    Risico AppRisk? Hiermee kunt u apps filteren op risicoscore, zodat u zich kunt richten op het bekijken van bijvoorbeeld alleen zeer riskante apps. Mogelijke waarden zoals Laag, Gemiddeld, Hoog of Onbekend.
    Stream Stream De bron van detectielogboeken met betrekking tot de specifieke cloud-app. Optioneel.

    Sterke id's van een cloudtoepassingsentiteit

    • AppId (zonder InstanceName)
    • Naam (zonder InstanceName)
    • AppId + InstanceName
    • Name + InstanceName

    Lijst met cloudtoepassings-id's

    Terug naar lijst met schema's van entiteitstype | Terug naar tabel met entiteits-id's

    DNS-resolutie

    Entiteitsnaam: DNS

    Veld Type Description
    Type String 'dns'
    Domeinnaam String De naam van de DNS-record die aan de waarschuwing is gekoppeld.
    IpAddress Lijstentiteit<(IP)> Entiteiten die overeenkomen met de opgeloste IP-adressen.
    DnsServerIp Entiteit (IP) Een entiteit die de DNS-server vertegenwoordigt die de aanvraag omzet.
    HostIpAddress Entiteit (IP) Een entiteit die de DNS-aanvraagclient vertegenwoordigt.

    Sterke id's van een DNS-entiteit

    • DomainName + DnsServerIp + HostIpAddress

    Zwakke id's van een DNS-entiteit

    • DomainName + HostIpAddress

    Terug naar lijst met schema's van entiteitstype | Terug naar tabel met entiteits-id's

    Azure-resource

    Entiteitsnaam: AzureResource

    Veld Type Description
    Type String 'azure-resource'
    ResourceId String De Azure-resource-id van de resource. Verplicht.
    SubscriptionId String De abonnements-id van de resource.
    ActiveContacts ActiveContact<vermelden> Actieve contactpersonen die zijn gekoppeld aan de resource.
    Resourcetype String Het type resource.
    Resourcename String De naam van de resource.

    Sterke id's van een Azure-resource-entiteit

    • ResourceId

    Terug naar lijst met schema's van entiteitstype | Terug naar tabel met entiteits-id's

    Bestandshash

    Entiteitsnaam: FileHash

    Veld Type Description
    Type String 'filehash'
    Algoritme Enum Het type hash-algoritme. Verplicht. Mogelijke waarden:
  • Onbekend
  • MD5
  • SHA1
  • SHA256
  • SHA256AC
    		•
    Value String De hashwaarde. Verplicht.

    Sterke id's van een bestandshashentiteit

    • Algoritme + waarde

    Terug naar lijst met schema's van entiteitstype | Terug naar tabel met entiteits-id's

    Registersleutel

    Entiteitsnaam: RegistryKey

    Veld Type Description
    Type String 'registersleutel'
    Hive Enum? Een van de volgende waarden:
  • HKEY_LOCAL_MACHINE
  • HKEY_CLASSES_ROOT
  • HKEY_CURRENT_CONFIG
  • HKEY_USERS
  • HKEY_CURRENT_USER_LOCAL_SETTINGS
  • HKEY_PERFORMANCE_DATA
  • HKEY_PERFORMANCE_NLSTEXT
  • HKEY_PERFORMANCE_TEXT
  • HKEY_A
  • HKEY_CURRENT_USER
    		•
    Code String Het pad naar de registersleutel.

    Sterke id's van een registersleutelentiteit

    • Hive + Key

    Terug naar lijst met schema's van entiteitstype | Terug naar tabel met entiteits-id's

    Registerwaarde

    Entiteitsnaam: RegistryValue

    Veld Type Description
    Type String 'registerwaarde'
    Host Entiteit (host) De host waartoe het register behoort.
    Code Entiteit (RegistryKey) De entiteit registersleutel.
    Naam String De naam van de registerwaarde.
    Value String Tekenreeksgeformatteerde weergave van de waardegegevens.
    Valuetype Enum? Een van de volgende waarden:
  • String
  • Binary
  • Dword
  • Qword
  • MultiString
  • ExpandString
  • Geen
  • Onbekend
    Waarden moeten voldoen aan de opsomming Microsoft.Win32.RegistryValueKind.
    		•

    Sterke id's van een registerwaarde-entiteit

    • Sleutel + naam

    Zwakke id's van een registerwaarde-entiteit

    • Naam (zonder sleutel)

    Terug naar lijst met schema's van entiteitstype | Terug naar tabel met entiteits-id's

    Beveiligingsgroep

    Entiteitsnaam: SecurityGroup

    Veld Type Description
    Type String 'beveiligingsgroep'
    DistinguishedName String De DN-naam van de groep.
    SID String Een kenmerk met één waarde waarmee de beveiligings-id (SID) van de groep wordt opgegeven.
    ObjectGuid Guid? Een kenmerk met één waarde dat de unieke id is voor het object, toegewezen door Active Directory.

    Sterke id's van een entiteit van een beveiligingsgroep

    • DistinguishedName
    • SID
    • ObjectGuid

    Terug naar lijst met schema's van entiteitstype | Terug naar tabel met entiteits-id's

    URL

    Entiteitsnaam: URL

    Veld Type Description
    Type String 'URL'
    URL URI Een volledige URL waarnaar de entiteit verwijst. Verplicht.

    Sterke id's van een URL-entiteit

    • Url (** Deze id is sterk wanneer de URL een absolute URL is.)

    Zwakke id's van een URL-entiteit

    • URL (** Deze id is zwak wanneer de URL een relatieve URL is.)

    Terug naar lijst met schema's van entiteitstype | Terug naar tabel met entiteits-id's

    IoT-apparaat

    Entiteitsnaam: IoTDevice

    Veld Type Description
    Type String 'iotdevice'
    IoTHub Entiteit (AzureResource) De AzureResource-entiteit die de IoT Hub vertegenwoordigt waartoe het apparaat behoort.
    DeviceId String De id van het apparaat in de context van de IoT Hub. Verplicht.
    DeviceName String De beschrijvende naam van het apparaat.
    Eigenaren Lijstreeks<> De eigenaren van het apparaat.
    IoTSecurityAgentId Guid? De id van de Defender for IoT-agent die op het apparaat wordt uitgevoerd.
    DeviceType String Het type apparaat ('temperatuursensor', 'vriezer', 'windturbine' enz.).
    DeviceTypeId String Een unieke id om elk apparaattype te identificeren volgens het schema van het apparaattype, omdat het apparaattype zelf een weergavenaam is en niet betrouwbaar is in vergelijkingen.

    Mogelijke waarden:
    Niet-geclassificeerd = 0
    Diversen = 1
    Netwerkapparaat = 2
    Printer = 3
    Audio en video = 4
    Media en bewaking = 5
    Communicatie = 7
    Slim apparaat = 9
    Werkstation = 10
    Server = 11
    Mobiel = 12
    Smart Facility = 13
    Industrieel = 14
    Operationele apparatuur = 15
    Source String De bron (Microsoft/Vendor) van de apparaatentiteit.
    SourceRef Entiteit (URL) Een URL-verwijzing naar het bronitem waarin het apparaat wordt beheerd.
    Fabrikant String De fabrikant van het apparaat.
    Model String Het model van het apparaat.
    Operatingsystem String Het besturingssysteem waarop het apparaat wordt uitgevoerd.
    IpAddress Entiteit (IP) Het huidige IP-adres van het apparaat.
    MacAddress String Het MAC-adres van het apparaat.
    Netwerkkaarten Entiteit (Nic) De huidige NIC's op het apparaat.
    Protocollen Lijstreeks<> Een lijst met protocollen die door het apparaat worden ondersteund.
    Serienummer String Het serienummer van het apparaat.
    Locatie String De locatie van het apparaat.
    Zone String De zonelocatie van het apparaat binnen een site.
    Sensor String De sensor bewaakt het apparaat.
    Belang Enum? Een van de volgende waarden:
  • Beperkt
  • Normaal
  • Hoog
    		•
    PurdueLayer String De Purdue-laag van het apparaat.
    IsProgramming Bool? Geeft aan of het apparaat is geclassificeerd als programmeerapparaat.
    IsAuthorized Bool? Geeft aan of het apparaat is geclassificeerd als geautoriseerd apparaat.
    IsScanner Bool? Hiermee wordt aangegeven of het apparaat is geclassificeerd als een scannerapparaat.
    DevicePageLink Entiteit (URL) Een URL naar de apparaatpagina in de Defender for IoT-portal.
    DeviceSubType String De naam van het subtype van het apparaat.

    Sterke id's van een IoT-apparaatentiteit

    • IoTHub + DeviceId

    Zwakke id's van een IoT-apparaatentiteit

    • DeviceId (zonder IoTHub)

    Terug naar lijst met schema's van entiteitstype | Terug naar tabel met entiteits-id's

    Mailbox

    Entiteitsnaam: Postvak

    Veld Type Description
    Type String 'postvak'
    MailboxPrimaryAddress String Het primaire adres van het postvak.
    DisplayName String De weergavenaam van het postvak.
    Upn String De UPN van het postvak.
    AadId String De Azure AD-id van het postvak van de gebruiker.
    RiskLevel RiskLevel? Het risiconiveau van dit postvak. Mogelijke waarden:
  • Geen
  • Beperkt
  • Gemiddeld
  • Hoog
    		•
    ExternalDirectoryObjectId Guid? De AzureAD-id van het postvak. Vergelijkbaar met AadUserId in de accountentiteit, maar deze eigenschap is specifiek voor postvakobject aan de Zijde van Office.

    Sterke id's van een postvakentiteit

    • MailboxPrimaryAddress

    Terug naar lijst met schema's van entiteitstype | Terug naar tabel met entiteits-id's

    E-mailcluster

    Entiteitsnaam: MailCluster

    Veld Type Description
    Type String 'mail-cluster'
    NetworkMessageIds IList-tekenreeks<> De e-mailbericht-id's die deel uitmaken van het e-mailcluster.
    CountByDeliveryStatus IDictionaire<tekenreeks, Int> Aantal e-mailberichten per DeliveryStatus-tekenreeksweergave.
    CountByThreatType IDictionaire<tekenreeks, Int> Aantal e-mailberichten per ThreatType-tekenreeksweergave.
    CountByProtectionStatus IDictionaire<tekenreeks, lang> Het aantal e-mailberichten per weergave van de beveiligingsstatustekenreeks.
    CountByDeliveryLocation IDictionaire<tekenreeks, lang> Aantal e-mailberichten per weergave van de bezorgingslocatie.
    Bedreigingen IList-tekenreeks<> De bedreigingen van e-mailberichten die deel uitmaken van het e-mailcluster.
    Query String De query die is gebruikt om de berichten van het e-mailcluster te identificeren.
    QueryTime Datetime? De querytijd.
    MailCount Int? Het aantal e-mailberichten dat deel uitmaakt van het e-mailcluster.
    IsVolumeAnomaly Bool? Geeft aan of het e-mailcluster een volume-anomalie-e-mailcluster is.
    Source String De bron van het e-mailcluster (standaard is O365 ATP).

    Sterke id's van een e-mailclusterentiteit

    • Query + bron

    Terug naar lijst met schema's van entiteitstype | Terug naar tabel met entiteits-id's

    Mail message

    Entiteitsnaam: MailMessage

    Veld Type Description
    Type String 'e-mailbericht'
    Bestanden IList-entiteit<(bestand)> De bestandsentiteiten van de bijlagen van dit e-mailbericht.
    Ontvanger String De geadresseerde van dit e-mailbericht. In het geval van meerdere geadresseerden wordt het e-mailbericht gekopieerd en heeft elke kopie één geadresseerde.
    Urls IList-tekenreeks<> De URL's in dit e-mailbericht.
    Bedreigingen IList-tekenreeks<> De bedreigingen in dit e-mailbericht.
    Afzender String Het e-mailadres van de afzender.
    SenderIP String Het IP-adres van de afzender.
    ReceivedDate Datum en tijd De ontvangen datum van dit bericht.
    NetworkMessageId Guid? De netwerkbericht-id van dit e-mailbericht.
    InternetMessageId String De internetbericht-id van dit e-mailbericht.
    Onderwerp String Het onderwerp van dit e-mailbericht.
    AntispamDirection Enum? De richting van dit e-mailbericht. Mogelijke waarden:
  • Onbekend
  • Inkomend
  • Uitgaand
  • Intraorg (intern)
    		•
    DeliveryAction Enum? De bezorgingsactie van dit e-mailbericht. Mogelijke waarden:
  • Onbekend
  • DeliveredAsSpam
  • Afgeleverd
  • Geblokkeerd
  • Vervangen
    		•
    DeliveryLocation Enum? De bezorgingslocatie van dit e-mailbericht. Mogelijke waarden:
  • Onbekend
  • Postvak IN
  • JunkFolder
  • DeletedFolder
  • Quarantaine
  • External
  • Mislukt
  • Gedaald
  • Doorgestuurd
    		•
    CampaignId String De id van de campagne waarin dit e-mailbericht aanwezig is.
    SuspiciousRecipients IList-tekenreeks<> De lijst met geadresseerden die als verdacht zijn gedetecteerd.
    ForwardedRecipients IList-tekenreeks<> De lijst met alle geadresseerden in de doorgestuurde e-mail.
    ForwardingType IList-tekenreeks<> Het doorstuurtype van de e-mail, zoals SMTP, ETR, enzovoort.

    Sterke id's van een e-mailberichtentiteit

    • NetworkMessageId + Recipient

    Terug naar lijst met schema's van entiteitstype | Terug naar tabel met entiteits-id's

    E-mail verzenden

    Entiteitsnaam: SubmissionMail

    Veld Type Description
    Type String 'SubmissionMail'
    SubmissionId Guid? De inzendings-id.
    Inzendingdatum Datetime? Gerapporteerde datumtijd voor deze inzending.
    Indiener String Het e-mailadres van de verzender.
    NetworkMessageId Guid? De netwerkbericht-id van e-mail waartoe de inzending behoort.
    Tijdstempel Datetime? Het tijdstempel wanneer het bericht wordt ontvangen (e-mail).
    Ontvanger String De geadresseerde van de e-mail.
    Afzender String De afzender van de e-mail.
    SenderIp String Het IP-adres van de afzender.
    Onderwerp String Het onderwerp van het verzenden van e-mail.
    ReportType String Het inzendingstype voor het opgegeven exemplaar. Mogelijke waarden zijn Ongewenste e-mail, Phish, Malware of NotJunk.

    Sterke id's van een SubmissionMail-entiteit

    • SubmissionId, Submitter, NetworkMessageId, Recipient

    Terug naar lijst met schema's van entiteitstype | Terug naar tabel met entiteits-id's

    Sentinel-entiteiten

    Veld Type Description
    Entiteiten String Een lijst met de entiteiten die zijn geïdentificeerd in de waarschuwing. Deze lijst is de kolom entiteiten uit het SecurityAlert-schema (zie documentatie).

    Terug naar lijst met schema's van entiteitstype | Terug naar tabel met entiteits-id's

    Cloudtoepassings-id's

    De volgende lijst definieert id's voor bekende cloudtoepassingen. De waarde van de app-id wordt gebruikt als een entiteits-id voor cloudtoepassingen .

    App-id Naam
    10026 DocuSign
    10395 Anaplan
    10489 Vak
    10549 Cisco Webex
    10618 Atlassian
    10915 Cornerstone OnDemand
    10921 Zendesk
    10980 Okta
    11042 Jive Software
    11114 Salesforce
    11161 Office 365
    11162 Microsoft OneNote Online
    11394 Microsoft Online Services
    11522 Yammer
    11599 Amazon Web Services
    11627 Dropbox
    11713 Expensify
    11770 G Suite
    12005 SuccessFactors
    12260 Microsoft Azure
    12275 Werkdag
    13843 LivePerson
    13979 Concur
    14509 ServiceNow
    15570 Tableau
    15600 Microsoft OneDrive voor Bedrijven
    15782 Citrix ShareFile
    17152 Amazon
    17865 Ariba Inc
    18432 Zscaler
    19688 Xactly
    20595 Microsoft Defender for Cloud Apps
    20892 Microsoft SharePoint Online
    20893 Microsoft Exchange Online
    20940 Active Directory
    20941 Adallom CPanel
    22110 Google Cloud Platform
    22930 Gmail
    23004 Autodesk Fusion Lifecycle
    23043 Slack
    23233 Microsoft Office Online
    25275 Microsoft Skype voor Bedrijven
    25988 Google Docs
    26055 Microsoft 365-beheercentrum
    26060 OPSWAT-tandwielen
    26061 Microsoft Word Online
    26062 Microsoft PowerPoint Online
    26063 Microsoft Excel Online
    26069 Google Drive
    26206 Workiva
    26311 Microsoft Dynamics
    26318 Microsoft Entra ID
    26320 Microsoft Office Sway
    26321 Microsoft Delve
    26324 Microsoft Power BI
    27548 Microsoft Forms
    27592 Microsoft Flow
    27593 Microsoft PowerApps
    28353 Workplace van Facebook
    28373 CAS-proxyemulator
    28375 Microsoft Teams
    32780 Microsoft Dynamics 365
    33626 Google
    34127 Microsoft AppSource
    34667 HighQ
    35395 Microsoft Dynamics Talent

    Volgende stappen

    In dit document hebt u geleerd over entiteitsstructuur, id's en schema's in Microsoft Sentinel.

    Meer informatie over entiteiten en entiteitstoewijzing.