Microsoft Sentinel naslaginformatie over het schema voor gebeurtenisnormalisatie van ASIM-agent

Het normalisatieschema voor Microsoft Sentinel Agent-gebeurtenis vertegenwoordigt gebeurtenissen die zijn gekoppeld aan de activiteiten en telemetrie van AI-agents die in bedrijfsomgevingen worden uitgevoerd. Deze gebeurtenissen leggen het volledige spectrum van agentinteracties vast, waaronder model-aanroepen, hulpprogrammagebruik, tokenverbruik, gedachteprocessen en communicatie tussen bron- en doelagents. Deze activiteiten worden gegenereerd door een breed scala aan AI-agentplatforms en -frameworks, die elk telemetrie in een eigen indeling produceren.

Elk AI-agentplatform registreert agent-gebeurtenissen als onderdeel van de operationele telemetrie. Als u deze gebeurtenissen normaliseert met behulp van het ASIM-schema, kunnen beveiligingsanalisten het gedrag van agents tussen platforms correleren, afwijkende patronen detecteren en incidenten onderzoeken zonder de eigen indeling van elke bron te hoeven leren.

Zie Normalisatie en het Advanced Security Information Model (ASIM) voor meer informatie over normalisatie in Microsoft Sentinel.

Parsers

Agent-gebeurtenisparseer implementeren en gebruiken

Implementeer de gebeurtenisparseer van de ASIM-agent vanuit de Microsoft Sentinel GitHub-opslagplaats. Als u een query wilt uitvoeren op alle agent gebeurtenisbronnen, gebruikt u de parseerfunctie _Im_AgentEvent voor unifying als de tabelnaam in uw query.

Zie het overzicht van ASIM-parsers voor meer informatie over het gebruik van ASIM-parsers.

Uw eigen genormaliseerde parsers toevoegen

Wanneer u aangepaste parsers implementeert voor het agentgebeurtenisinformatiemodel, geeft u de KQL-functies een naam met behulp van de volgende syntaxis:

  • ASimAgentEvent<vendor><Product> voor normale parsers
  • vimAgentEvent<vendor><Product> voor geparameteriseerde parsers

Zie ASIM-parsers beheren om aangepaste parsers toe te voegen aan de parseerfunctie voor agent-gebeurtenis-unificatie.

Parameters voor filteren van parser

De agent-gebeurtenisparser ondersteunt filterparameters. Hoewel deze parameters optioneel zijn, kunnen ze uw queryprestaties verbeteren.

De volgende filterparameters zijn beschikbaar:

Naam Type Beschrijving
Starttime Datetime Filter alleen gebeurtenissen die op of na deze tijd zijn uitgevoerd. Deze parameter gebruikt het TimeGenerated veld als de tijdsopgave van de gebeurtenis.
Eindtijd Datetime Filter alleen gebeurtenissen die op of vóór deze tijd zijn uitgevoerd. Deze parameter gebruikt het TimeGenerated veld als de tijdsopgave van de gebeurtenis.
agentid_has_any Dynamische Filter alleen gebeurtenissen met een van de agent-id's, zoals weergegeven in het veld SrcAgentId, TargetAgentId of PlatformTargetAgentId .
agentname_has_any Dynamische Filter alleen gebeurtenissen met een van de agentnamen, zoals weergegeven in het veld SrcAgentName, TargetAgentName of PlatformTargetAgentName .
username_has_any Dynamische Filter alleen gebeurtenissen met een van de vermelde gebruikersnamen, zoals weergegeven in het veld ActorUsername .

Sommige parameters kunnen zowel een lijst met waarden van het type dynamic als één tekenreekswaarde accepteren. Als u een letterlijke lijst wilt doorgeven aan parameters die een dynamische waarde verwachten, gebruikt u expliciet een dynamische letterlijke waarde. Bijvoorbeeld:dynamic(['192.168.','10.'])

Als u bijvoorbeeld alleen agent-gebeurtenissen wilt filteren met de namen M365Planner van de agent van de laatste dag, gebruikt u:

_Im_AgentEvent (agentname_has_any=dynamic(['M365Planner']), starttime = ago(1d), endtime=now())

Schemadetails

Algemene ASIM-velden

Belangrijk

Algemene velden voor alle schema's worden uitgebreid beschreven in het artikel Algemene velden van ASIM .

Algemene velden met specifieke richtlijnen

In de volgende lijst worden velden vermeld met specifieke richtlijnen voor agent-gebeurtenissen:

Veld Klasse Type Beschrijving
EventOriginalType Optioneel Tekenreeks Beschrijft de bewerking die wordt aangeroepen door de agent die de gebeurtenis heeft geïnitieerd. Omdat dit een zich ontwikkelende ruimte is waarin agents een groot aantal acties kunnen uitvoeren, hebben we geen set opsommingen afgedwongen voor EventType.
EventSchema Verplicht Opgesomde De naam van het schema dat hier wordt beschreven, is AgentEvent.
EventSchemaVersion Verplicht SchemaVersion (tekenreeks) De versie van het schema. De versie van het schema dat hier wordt beschreven, is 0.1.0.

Alle algemene velden

Velden in deze tabel zijn gemeenschappelijk voor alle ASIM-schema's. Alle richtlijnen die in dit document zijn opgegeven, overschrijven de algemene richtlijnen voor elk veld. Een veld kan bijvoorbeeld in het algemeen optioneel zijn, maar verplicht voor een specifiek schema. Zie het artikel Algemene ASIM-velden voor meer informatie over elk veld.

Klasse Velden
Verplicht - EventCount
- EventStartTime
- EventEndTime
- EventProduct
- EventVendor
- EventSchema
- EventSchemaVersion
Aanbevolen - EventUid
Optioneel - EventOriginalUid
- EventOriginalType
- EventOriginalResultDetails
- AdditionalFields

Bronagentgegevens

Veld Klasse Type Beschrijving
SrcAgentId Aanbevolen Tekenreeks De unieke id van de bronagent.
SrcAgentName Aanbevolen Tekenreeks De naam van de bronagent.
SrcAgentOriginalType Optioneel Tekenreeks Het oorspronkelijke type van de bronagent.
SrcAgentDescription Optioneel Tekenreeks Een beschrijving van de bronagent.
SrcAgentBlueprintId Optioneel Tekenreeks De blauwdruk-id van de bronagent.
SrcIpAddr Optioneel Tekenreeks Het IP-adres van de bron.
SrcFQDN Optioneel Tekenreeks De volledig gekwalificeerde domeinnaam van de bron.
SrcPortNumber Optioneel int Het poortnummer van de bron.

Doelagentvelden

Veld Klasse Type Beschrijving
TargetAgentId Optioneel Tekenreeks De unieke id van de doelagent.
TargetAgentName Optioneel Tekenreeks De naam van de doelagent.
TargetAgentUsername Optioneel Tekenreeks De gebruikersnaam van de doelagent.
TargetAgentUserId Optioneel Tekenreeks De gebruikers-id van de doelagent.
TargetAgentOriginalType Optioneel Tekenreeks Het oorspronkelijke type van de doelagent.
TargetAgentDescription Optioneel Tekenreeks Een beschrijving van de doelagent.
TargetAgentBlueprintId Optioneel Tekenreeks De blauwdruk-id van de doelagent.

Velden voor platformdoelagent

Veld Klasse Type Beschrijving
PlatformTargetAgentId Optioneel Tekenreeks De unieke id van de platformdoelagent.
PlatformTargetAgentName Optioneel Tekenreeks De naam van de platformdoelagent.
PlatformTargetAgentDescription Optioneel Tekenreeks Een beschrijving van de platformdoelagent.
PlatformTargetOriginalAgentType Optioneel Tekenreeks Het oorspronkelijke type van de platformdoelagent.

Actorvelden

Veld Klasse Type Beschrijving
ActorUserId Optioneel Tekenreeks Een machineleesbare, alfanumerieke, unieke weergave van de Actor. Zie De entiteit Gebruiker voor meer informatie en voor alternatieve velden voor andere id's.

Voorbeeld: S-1-12-1-4141952679-1282074057-627758481-2916039507
ActorUserIdType Optioneel Tekenreeks Het type id dat is opgeslagen in het veld ActorUserId . Zie UserIdType in het artikel Schemaoverzicht voor meer informatie en een lijst met toegestane waarden.
ActorUserScope Optioneel Tekenreeks Het bereik, zoals Microsoft Entra Domeinnaam, waarin ActorUserId en ActorUsername zijn gedefinieerd. Zie UserScope in het artikel Schemaoverzicht voor meer informatie en een lijst met toegestane waarden.
ActorUserScopeId Optioneel Tekenreeks De bereik-id, zoals Microsoft Entra Directory-id, waarin ActorUserId en ActorUsername zijn gedefinieerd. Zie UserScopeId in het artikel Schemaoverzicht voor meer informatie en een lijst met toegestane waarden.
ActorUsername Optioneel Gebruikersnaam (tekenreeks) De gebruikersnaam van de actor, inclusief domeingegevens indien beschikbaar. Zie De entiteit Gebruiker voor meer informatie.

Voorbeeld: AlbertE
ActorUsernameType Optioneel Tekenreeks Hiermee geeft u het type van de gebruikersnaam op dat is opgeslagen in het veld ActorUsername . Zie UsernameType in het artikel Schemaoverzicht voor meer informatie en een lijst met toegestane waarden.

Voorbeeld: Windows
ActingAppId Optioneel Tekenreeks De id van de toepassing die de gerapporteerde activiteit heeft geïnitieerd, inclusief een proces, browser of service.

Bijvoorbeeld:0x12ae8
ActingAppName Optioneel Tekenreeks De naam van de toepassing die de gerapporteerde activiteit heeft geïnitieerd, inclusief een service, een URL of een SaaS-toepassing.

Bijvoorbeeld:C:\Windows\System32\svchost.exe
ActingAppType Optioneel AppType Het type actieve toepassing. Zie AppType in het artikel Schemaoverzicht voor meer informatie en een lijst met toegestane waarden.
ActingOriginalAppType Optioneel Tekenreeks Het type toepassing dat de activiteit heeft geïnitieerd, zoals gerapporteerd door het rapportageapparaat.

Modelvelden

Veld Klasse Type Beschrijving
ModelProviderName Optioneel Tekenreeks De naam van de modelprovider.
Modelnaam Optioneel Tekenreeks De naam van het model.

Tokenvelden

Veld Klasse Type Beschrijving
InputTokensUsed Optioneel Lange Het aantal gebruikte invoertokens.
OutputTokensUsed Optioneel Lange Het aantal uitvoertokens dat wordt gebruikt.

Hulpmiddelvelden

Veld Klasse Type Beschrijving
ToolId Optioneel Tekenreeks De unieke id van het hulpprogramma.
ToolName Optioneel Tekenreeks De naam van het hulpprogramma.
ToolDescription Optioneel Tekenreeks Een beschrijving van het hulpprogramma.
ToolOriginalType Optioneel Tekenreeks Het oorspronkelijke type van het hulpprogramma.

Gebeurtenisspecifieke velden

Veld Klasse Type Beschrijving
EventSessionId Optioneel Tekenreeks De unieke id van de gebeurtenissessie.
EventSessionName Optioneel Tekenreeks De naam van de gebeurtenissessie.
EventType Optioneel Tekenreeks Het type gebeurtenis.
EventOriginalType Optioneel Tekenreeks Het oorspronkelijke type gebeurtenis zoals gerapporteerd door de bron.
EventRequestId Optioneel Tekenreeks De unieke id van de gebeurtenisaanvraag.
EventRequestTemperature Optioneel Dubbele De temperatuurparameter van de gebeurtenisaanvraag.
EventRequestTopP Optioneel Dubbele De parameter top-p van de gebeurtenisaanvraag.
EventRequestPresencePenalty Optioneel Dubbele De aanwezigheidsstrafparameter van de gebeurtenisaanvraag.
EventRequestFrequencyPenalty Optioneel Dubbele De frequentiestrafparameter van de gebeurtenisaanvraag.
EventRequestSeed Optioneel Lange De seed-parameter van de gebeurtenisaanvraag.
EventResponseId Optioneel Tekenreeks De unieke id van het gebeurtenisantwoord.
EventOriginalRequestDetails Optioneel Tekenreeks De oorspronkelijke aanvraagdetails zoals gerapporteerd door de bron.
EventOriginalResultDetails Optioneel Tekenreeks De details van het oorspronkelijke resultaat zoals gerapporteerd door de bron.
EventErrorDetails Optioneel Tekenreeks Details over de fout die is gekoppeld aan de gebeurtenis.
EventOriginalErrorType Optioneel Tekenreeks Het oorspronkelijke fouttype zoals gerapporteerd door de bron.
EventThoughtProcessDetails Optioneel Tekenreeks Details over het denkproces dat is gekoppeld aan de gebeurtenis.
EventThoughtProcessId Optioneel Tekenreeks De unieke id van het denkproces.
EventFinishReasons Optioneel Dynamische De redenen waarom de gebeurtenis is voltooid.
EventOutputType Optioneel Tekenreeks Het type gebeurtenisuitvoer.

Verwante onderwerpen

  • Last updated on