Microsoft Sentinel ASIM Email Event normalisatieschema referentie

Het normalisatieschema van Microsoft Sentinel Email Event vertegenwoordigt e-mailaflevering en inspectieactiviteiten. Het bevat adres- en routeringsdetails, e-mailauthenticatieresultaten, leveringsresultaten en bedreigingen die in e-mails zijn geïdentificeerd.

Gebruik het E-mailgebeurtenis-schema om records van mailservers, beveiligde e-mailgateways, e-mailbeveiligingsdiensten en andere systemen die e-mail verwerken of inspecteren te normaliseren. Normalisatie stelt je in staat deze records te analyseren met consistente veldnamen en waarden, ongeacht de bron.

Zie Normalisatie en het Advanced Security Information Model (ASIM) voor meer informatie over normalisatie in Microsoft Sentinel.

Schemaoverzicht

De belangrijkste velden van een e-mailgebeurtenis beschrijven:

De velden Dvc beschrijven het rapportage- of inspectiesysteem.

Parsers (taalanalysatoren)

Deploy en gebruik e-mail-event parsers

Deploy ASIM-parsers vanuit de Microsoft Sentinel GitHub repository. Om alle genormaliseerde e-mailgebeurtenisbronnen te bevragen, gebruik je de unifying parser _Im_EmailEvent als tabelnaam in je query.

Zie het overzicht van ASIM-parsers voor meer informatie over het gebruik van ASIM-parsers.

Uw eigen genormaliseerde parsers toevoegen

Wanneer u aangepaste parsers implementeert voor het E-mailgebeurtenisinformatiemodel, gebruikt u de volgende naamgevingssyntaxis:

  • ASimEmailEvent<vendor><Product> voor gewone parsers.
  • vimEmailEvent<vendor><Product> voor geparametriseerde parsers.

Om aangepaste parsers toe te voegen aan de E-mailgebeurtenis-unificerende parser, zie ASIM-parsers beheren.

Resultaten van filterparser

De Email Event filtering-parser ondersteunt filterparameters om de queryprestaties te verbeteren.

Name Type Description
begintijd datetime Filter gebeurtenissen die op of na deze periode zijn begonnen.
eindtijd datetime Filter gebeurtenissen die op of vóór deze tijd eindigden.
ipaddr_has_any_prefix dynamic Filtergebeurtenissen waarvoor een IP-adres begint met een van de vermelde prefixen.
emailfromaddress_has_any dynamic Filter evenementen waarvoor EmailFromAddress een van de vermelde waarden bevat.
emailrecipient_has_any dynamic Filter evenementen die een van de vermelde e-mailontvangers hebben.
emailsubject_has_any dynamic Filter evenementen waarvoor EmailSubject een van de vermelde waarden bevat.
emaildirection_in dynamic Filter gebeurtenissen waarvoor EmailDirection een van de vermelde waarden is.
emaildeliverylocation_in dynamic Filter gebeurtenissen waarvoor EmailDeliveryLocation een van de vermelde waarden is.
eventresult String Filtergebeurtenissen waarvoor EventResult gelijk is aan de gespecificeerde waarde. De standaardwaarde, *, filtert niet op resultaat.
inpakken Boolean Wanneer ingesteld op true, pak niet-toegewezen bronvelden in het AdditionalFields dynamische veld. De standaardwaarde is false.

Gebruik bijvoorbeeld de volgende query om inkomende e-mails terug te sturen die zijn verzonden door adressen die tijdens de laatste dag zijn contoso.com opgenomen:

_Im_EmailEvent(
	starttime=ago(1d),
	endtime=now(),
	emailfromaddress_has_any=dynamic(['contoso.com']),
	emaildirection_in=dynamic(['Inbound'])
)

Schemadetails

Algemene ASIM-velden

Important

Velden die gemeenschappelijk zijn voor alle schema's worden in detail beschreven in ASIM algemene velden. De richtlijnen in dit artikel overschrijven de algemene richtlijnen voor een vakgebied.

Algemene velden met specifieke richtlijnen

Veld Class Type Description
EventType Mandatory Opgesomd Beschrijft de genormaliseerde e-mailactiviteit. Toegestane waarden zijn EmailDelivery en EmailInspection.
EventSubType Optional Opgesomd Geeft meer details over de e-mailactiviteit. Toegestane waarden zijn EmailSent en EmailReceived.
EventSchema Mandatory Opgesomd De naam van het schema is EmailEvent.
EventSchemaVersion Mandatory SchemaVersion (tekenreeks) De versie van het schema. De hier gedocumenteerde versie is 1.0.0.
EventResultDetails Aanbevolen Opgesomd Geeft details over het resultaat. Toegestane waarden zijn InvalidAddress, MailboxFull, MessageTooLarge, MessageRateLimitExceeded, , RecipientRateLimitExceeded, BlockedByPolicy, PhishingDetectedBlockedBySpamFilter, , MalwareDetected, en Other.
EventSeverity Aanbevolen Opgesomd De ernst van het incident. Toegestane waarden zijnInformational, Low, en MediumHigh.

Alle algemene velden

Class Fields
Mandatory - EventCount
- EventStartTime
- EventEndTime
- EventType
- EventResult
- EventProduct
- EventVendor
- EventSchema
- EventSchemaVersion
- DVC
Aanbevolen - EventResultDetails
- GebeurtenisErnst
- EventUid
- DvcIpAddr
- DvcHostname
- DvcDomain
Optional - EventMessage
- EventSubType
- EventOriginalUid
- EventOriginalType
- EventOrigineelResultaatDetails
- GebeurtenisOrigineelErnst
- EventProductVersion
- EventReportUrl
- EventOwner
- DvcBeschrijving
- DvcFQDN
- DvcId
- DvcInterface
- DvcMacAddr
- DvcOriginalAction
- DvcOs
- DvcOsVersion
- DvcScope
- DvcScopeId
- DvcZone
- Aanvullende Entiteiten
- AdditionalFields
Conditional - DvcDomainType
- DvcIdType

E-mailvelden

Veld Class Type Description
E-mailFromAddress Aanbevolen String Het e-mailadres in de berichtheader From .
EmailFromDomain Optional String Het domein van het adres in de berichtheader From .
E-mailFromAddress Optional String Het envelop-afzenderadres dat door het posttransportprotocol wordt gebruikt.
EmailMailFromDomain Optional String Het domein van het envelopadres van de afzender.
E-mailAntwoordOpAdres Aanbevolen String Het e-mailadres in de berichtheader Reply-To .
EmailReplyToDomain Optional String Het domein van het adres in de berichtheader Reply-To .
E-mailToRecipients Aanbevolen Dynamic Een array van ontvangers in de berichtheader To .
EmailCCRecipients Optional Dynamic Een array van ontvangers in de berichtheader Cc .
EmailBCCRecipients Optional Dynamic Een array van ontvangers in de berichtheader Bcc .
E-mailOnderwerp Aanbevolen String Het e-mailonderwerp.
EmailLanguage Optional String De taal van de e-mailinhoud, zoals gerapporteerd door de bron.
EmailSizeBytes Aanbevolen Long De totale e-mailgrootte in bytes.
EmailProtocolName Aanbevolen Opgesomd Het protocol dat wordt gebruikt om de e-mail over te zetten of op te halen. Toegestane waarden zijn SMTP, IMAPen POP3.
EmailDirection Aanbevolen Opgesomd De richting van de e-mail ten opzichte van de rapportageomgeving. Toegestane waarden zijnInbound, , , Outbounden InternalLocalUnknown.
E-mailBezorgLocatie Optional Opgesomd De genormaliseerde locatie waar de e-mail is bezorgd. Toegestane waarden zijnInbox, Junk, en QuarantineDeletedItems.
E-mailOorspronkelijkBezorgLocatie Optional String De afleverlocatie zoals opgegeven door de bron.
EmailFileCount Aanbevolen Integer Het aantal bestanden dat aan de e-mail is gekoppeld.
EmailFiles Optional Dynamic Een array die bestanden beschrijft die aan de e-mail zijn gekoppeld.
EmailUrlCount Aanbevolen Integer Het aantal URL's dat in de e-mail is gevonden.
EmailUrls Optional Dynamic Een reeks URL's gevonden in de e-mail.

E-mailauthenticatievelden

Veld Class Type Description
EmailSpfResult Optional Opgesomd Het genormaliseerde resultaat van het Sender Policy Framework (SPF). Toegestane waarden zijn Pass, Fail, , SoftFail, NoneNeutral, , TemporaryErroren PermanentError.
EmailSpfOriginalResult Optional String Het SPF-resultaat zoals gerapporteerd door de bron.
EmailDkimDomain Optional String Het domein dat het bericht ondertekende met DomainKeys Identified Mail (DKIM).
EmailDkimSignature Optional String De DKIM-handtekening die aan het bericht is gekoppeld.
EmailDkimResult Optional Opgesomd Het genormaliseerde DKIM-resultaat. Toegestane waarden zijnPass, , , Failen TemporaryErrorPermanentErrorNone.
EmailDkimOriginalResult Optional String Het DKIM-resultaat zoals gerapporteerd door de bron.
EmailDmarcResult Optional Opgesomd Het genormaliseerde Domain-based Message Authentication, Reporting, and Conformance (DMARC) resultaat op. Toegestane waarden zijnPass, Fail, en BestGuessPassNone.
EmailDmarcOorspronkelijkResultaat Optional String Het DMARC-resultaat zoals gerapporteerd door de bron.
E-mailDmarcPolicy Optional Opgesomd Het DMARC-beleid gold voor de e-mail. Toegestane waarden zijn Quarantine, Rejecten None.
E-mailDmarcOverride Optional Opgesomd De reden dat het DMARC-beleid werd overruled. Toegestane waarden zijnForwarded, LocalPolicy, MailingList, , SampleOuten TrustedForwarderOther.

Bezorg- en bestemmingsvelden

Veld Class Type Description
DvcAction Optional Opgesomd De genormaliseerde actie die op de e-mail is genomen. Toegestane waarden zijn Delivered, Modified, Redirected, , QuarantinedBlocked, Deleted, Purged, , en NA.
Dst Mandatory String Een unieke identificatie voor de e-mailbestemming.
DstIpAddr Aanbevolen IP address Het IP-adres van de e-mailbestemming.

Bronsysteemvelden

Veld Class Type Description
Src Aanbevolen String Een unieke identificatie voor het bronsysteem.
SrcIpAddr Optional IP address Het ip-adres van de bron.
Ipaddr Alias IP address Alias naar SrcIpAddr.
SrcHostname Aanbevolen Hostname De hostnaam van het bronapparaat, met uitzondering van domeingegevens.
SrcDomain Aanbevolen Domein Het domein van het bronapparaat.
SrcDomainType Conditional Opgesomd Het type SrcDomain. Toegestane waarden zijn Windows, FQDNen ResourceGroup. Vereist wanneer SrcDomain het wordt gebruikt.
SrcFQDN Optional FQDN De volledig gekwalificeerde domeinnaam van het bronapparaat.
SrcDvcId Optional String De id van het bronapparaat.
SrcDvcIdType Conditional Opgesomd Het type SrcDvcId. Toegestane waarden zijn AzureResourceId, MDEid, MD4IoTid, VMConnectionId, AwsVpcId, VectraIdForcepointId, AppGateId, en Other. Vereist wanneer SrcDvcId het wordt gebruikt.
SrcDvcScope Optional String De cloudplatformscope waartoe het bronapparaat behoort.
SrcDvcScopeId Optional String De ID van het cloudplatform waartoe het bronapparaat behoort.
SrcDeviceType Optional Opgesomd Het type bronapparaat.
SrcBeschrijving Optional String Een beschrijving van het bronapparaat.
SrcIsp Optional String De internetprovider die gekoppeld is aan het bron-IP-adres.
SrcGeoCountry Optional String Het land of de regio die gekoppeld is aan het bron-IP-adres.
SrcGeoRegion Optional String De regio die is gekoppeld aan het bron-IP-adres.
SrcGeoCity Optional String De plaats die is gekoppeld aan het bron-IP-adres.
SrcGeoLatitude Optional Werkelijk De breedtegraad die hoort bij het bron-IP-adres.
SrcGeoLongitude Optional Werkelijk De lengtegraad die geassocieerd is met het bron-IP-adres.

Brongebruikersvelden

Veld Class Type Description
SrcUserName Optional String De naam van de brongebruiker.
User Alias String Alias van SrcUserName.
SrcUserUpn Aanbevolen String De User Principal Name (UPN) van de brongebruiker.
SrcUserId Optional String Een machineleesbare identificatie voor de brongebruiker.
SrcUserIdType Optional Opgesomd Het type SrcUserId. Toegestane waarden zijn SID, UID, AADID, OktaId, , AWSId, PUID, VectraUserIdSalesforceId, , MD4IoTid, en Other.
SrcGebruikersnaamType Optional Opgesomd Het type van de waarde in SrcUserName.
SrcUserScope Optional String De scope waarin de brongebruiker wordt gedefinieerd.
SrcUserScopeId Optional String De ID van de scope waarin de brongebruiker is gedefinieerd.

Inspectievelden

De volgende velden beschrijven de regel, dreiging of indicator die bij e-mailinspectie hoort.

Veld Class Type Description
RuleName Optional String De naam of ID van de inspectieregel.
RuleNumber Optional Integer De numerieke ID van de inspectieregel.
regel Alias String Alias van RuleName.
RuleDescription Optional String Een beschrijving van de inspectieregel.
IndicatorType Optional Opgesomd Het type indicator dat in het e-mailevent werd geïdentificeerd.
IndicatorAssociation Optional Opgesomd De associatie tussen de indicator en het e-mailevenement.
ThreatId Optional String De ID van de dreiging die in de e-mail is geïdentificeerd.
ThreatName Optional String De naam van de dreiging die in de e-mail werd geïdentificeerd.
ThreatCategory Optional String De categorie genormaliseerde dreiging.
ThreatOriginalCategory Optional String De dreigingscategorie zoals gerapporteerd door de bron.
ThreatRiskLevel Optional RiskLevel (geheel getal) Het genormaliseerde dreigingsrisiconiveau, van tot en met 0100.
ThreatOriginalRiskLevel Optional String Het dreigingsrisiconiveau zoals gerapporteerd door de bron.
ThreatConfidence Optional ConfidenceLevel (geheel getal) Het genormaliseerde betrouwbaarheidsniveau, van tot en met 0100.
ThreatOriginalConfidence Optional String Het vertrouwen in de dreiging zoals gerapporteerd door de bron.
ThreatIsActive Optional Boolean Geeft aan of de geïdentificeerde dreiging actief is.
ThreatFirstReportedTime Optional Datetime De eerste keer dat de dreiging werd gemeld.
ThreatLastReportedTime Optional Datetime De laatste keer dat de dreiging werd gemeld.
ThreatIpAddr Optional IP address Een IP-adres gekoppeld aan de geïdentificeerde dreiging.
ThreatField Conditional Opgesomd Het veld waarvoor de dreiging werd geïdentificeerd.
AttackTactics Optional String De MITRE ATT&CK-tactieken die bij het e-mailevenement horen.
AttackTechniques Optional String De MITRE ATT&CK-technieken die bij het e-mailevenement horen.
AttackRemediationSteps Optional String Aanbevolen stappen om de geïdentificeerde aanval of dreiging te verhelpen.

Schema-updates

De versie 1.0.0 is de eerste release van het E-mailgebeurtenis-schema.

Verwante onderwerpen

  • Laatst bijgewerkt om