Microsoft Sentinel ASIM Email Event normalization scheme reference

Schemat normalizacji zdarzeń e-mailowych Microsoft Sentinel reprezentuje działania związane z dostarczaniem i inspekcją e-maili. Zawiera szczegóły dotyczące adresowania i routowania wiadomości, wyniki uwierzytelniania e-mail, wyniki dostawy oraz zagrożenia zidentyfikowane w wiadomościach e-mail.

Użyj schematu E-Event do normalizacji rekordów z serwerów pocztowych, zabezpieczonych bram pocztowych, usług bezpieczeństwa poczty oraz innych systemów przetwarzających lub kontrolujących pocztę e-mail. Normalizacja pozwala analizować te rekordy z spójnymi nazwami pól i wartościami, niezależnie od źródła.

Aby uzyskać więcej informacji na temat normalizacji w Microsoft Sentinel, zobacz Normalizacja i Zaawansowany model informacji o zabezpieczeniach (ASIM).

Przegląd schematu

Główne pola zdarzenia e-mail opisują:

Pola Dvc te opisują system raportowania lub inspekcji.

Parsery

Wdrażaj i używaj parserów zdarzeń e-mail

Wdroż parsery ASIM z repozytorium Microsoft Sentinel GitHub. Aby zapytać wszystkie znormalizowane źródła zdarzeń e-maili, użyj parsera _Im_EmailEvent unifikującego jako nazwy tabeli w swoim zapytaniu.

Aby uzyskać więcej informacji na temat korzystania z analizatorów ASIM, zobacz omówienie analizatorów ASIM.

Dodawanie własnych znormalizowanych analizatorów

Gdy implementujesz niestandardowe parsery dla modelu informacji o zdarzeniu e-mailowym, użyj następującej składni nazewnictwa:

  • ASimEmailEvent<vendor><Product> dla zwykłych parserów.
  • vimEmailEvent<vendor><Product> dla parametrycznych parserów.

Aby dodać niestandardowe parsery do parsera unifikującego zdarzenia e-mailowe, zobacz Zarządzanie parserami ASIM.

Wyniki parsera filtrów

Parser filtrowania zdarzeń e-mailowych obsługuje parametry filtrowania w celu poprawy wydajności zapytań.

Name Typ Description
godzina rozpoczęcia data/godzina Filtruj zdarzenia, które zaczęły się w tym czasie lub później.
godzina zakończenia data/godzina Filtruj wydarzenia, które zakończyły się w tym czasie lub wcześniej.
ipaddr_has_any_prefix dynamic Filtruj zdarzenia, dla których adres IP zaczyna się od jednego z wymienionych prefiksów.
emailfromaddress_has_any dynamic Zdarzenia filtrujące zawierające EmailFromAddress jedną z wymienionych wartości.
emailrecipient_has_any dynamic Filtruj zdarzenia, które zawierają jednego z wymienionych odbiorców e-maili.
emailsubject_has_any dynamic Zdarzenia filtrujące zawierające EmailSubject jedną z wymienionych wartości.
emaildirection_in dynamic Filtruj zdarzenia, dla których EmailDirection jest jedna z wymienionych wartości.
emaildeliverylocation_in dynamic Filtruj zdarzenia, dla których EmailDeliveryLocation jest jedna z wymienionych wartości.
eventresult String Zdarzenia filtrujące dla których EventResult wartość jest równa się określonej. Domyślna wartość *, nie filtruje według wyniku.
pakiet logiczny Po ustawieniu na true, pakuj niemapowane pola źródłowe do AdditionalFields pola dynamicznego. Wartość domyślna to false.

Na przykład, użyj następującego zapytania, aby odpowiedzieć na e-maile wysyłane przez adresy, które zawierają w contoso.com ostatnim dniu:

_Im_EmailEvent(
	starttime=ago(1d),
	endtime=now(),
	emailfromaddress_has_any=dynamic(['contoso.com']),
	emaildirection_in=dynamic(['Inbound'])
)

Szczegóły schematu

Typowe pola usługi ASIM

Important

Pola wspólne dla wszystkich schematów są szczegółowo opisane w typowych polach ASIM. Wytyczne zawarte w tym artykule mają pierwszeństwo przed ogólnymi wytycznymi dla danej dziedziny.

Typowe pola z określonymi wytycznymi

Pole Class Typ Description
Eventtype Mandatory Wyliczony Opisuje znormalizowaną aktywność e-mailową. Dozwolone wartości to EmailDelivery i EmailInspection.
Event SubType Optional Wyliczony Zawiera więcej szczegółów dotyczących aktywności mailowej. Dozwolone wartości to EmailSent i EmailReceived.
EventSchema Mandatory Wyliczony Nazwa schematu to EmailEvent.
EventSchemaVersion Mandatory SchemaVersion (ciąg) Wersja schematu. Wersja opisana tutaj to .1.0.0
WydarzenieRezultatSzczegóły Zalecane Wyliczony Zawiera szczegóły dotyczące efektu. Dozwolone wartości to , , , , , , , , PhishingDetected, , MalwareDetected, oraz .OtherBlockedBySpamFilterBlockedByPolicyRecipientRateLimitExceededMessageRateLimitExceededMessageTooLargeMailboxFullInvalidAddress
EventSeverity Zalecane Wyliczony O powadze zdarzenia. Dozwolone wartości to Informational, , LowMediumi High.

Wszystkie typowe pola

Class Pola formularza
Mandatory - EventCount
- Czas rozpoczęcia wydarzenia
- EventEndTime
- Eventtype
- Wynik wydarzenia
- Produkt EventProduct
- EventVendor
- EventSchema
- EventSchemaVersion
- DVC
Zalecane - WydarzenieRezultatSzczegóły
- EventSeverity
- Identyfikator zdarzenia
- DvcIpAddr
- DvcHostname
- DvcDomain
Optional - EventMessage
- Event SubType
- EventOriginalUid
- WydarzenieOryginalny Typ
- WydarzenieOryginalnyWySzczegóły
- WydarzenieOryginalnaPoważność
- EventProductVersion
- EventReportUrl
- Właściciel zdarzenia
- Opis Dvc
- DvcFQDN
- DvcId
- DvcInterface
- DvcMacAddr
- DvcOriginalAction
- DvcOs
- DvcOsVersion
- DvcScope
- DvcScopeId
- DvcZone
- DodatkowePodmioty
- Pola dodatkowe
Conditional - DvcDomainType
- DvcIdType

Pola e-mail

Pole Class Typ Description
EmailFromAddress Zalecane String Adres e-mail w nagłówku wiadomości From .
EmailFromDomain Optional String Domena z adresu w nagłówku wiadomości From .
EmailMailZAdresu Optional String Adres nadawcy koperty używany przez protokół transportu poczty.
EmailMailZDomeny Optional String Domena adresu nadawcy koperty.
EmailReanswerToAddress Zalecane String Adres e-mail w nagłówku wiadomości Reply-To .
EmailReplyToDomain Optional String Domena z adresu w nagłówku wiadomości Reply-To .
EmailToRecipients Zalecane Dynamiczny Tablica odbiorców w nagłówku wiadomości To .
EmailCCRecipients Optional Dynamiczny Tablica odbiorców w nagłówku wiadomości Cc .
EmailBCCRecipients Optional Dynamiczny Tablica odbiorców w nagłówku wiadomości Bcc .
EmailSubject Zalecane String Temat wiadomości e-mail.
EmailLanguage Optional String Język treści e-maila, jak podaje źródło.
EmailSizeBytes Zalecane Long Całkowity rozmiar e-maila w bajtach.
EmailProtocolName Zalecane Wyliczony Protokół używany do przesyłania lub pobierania e-maila. Dozwolone wartości to SMTP, IMAPi POP3.
EmailDirection Zalecane Wyliczony Kierunek e-maila względem środowiska raportowania. Dozwolone wartości to Inbound, Outbound, Internal, Locali Unknown.
LokalizacjaDostawa e-maili Optional Wyliczony Znormalizowane miejsce, gdzie e-mail został dostarczony. Dozwolone wartości to Inbox, , JunkQuarantinei DeletedItems.
E-mailMiejsceOryginalnaDostawa Optional String Miejsce dostawy podane przez źródło.
EmailFileCount Zalecane Integer Liczba plików dołączonych do maila.
Pliki E-mailowe Optional Dynamiczny Tablica opisująca pliki dołączone do e-maila.
EmailUrlCount Zalecane Integer Liczba adresów URL znalezionych w mailu.
Adresy EmailUrls Optional Dynamiczny Zestaw adresów URL znalezionych w mailu.

Pola uwierzytelniania e-maila

Pole Class Typ Description
EmailSpfResult Optional Wyliczony Znormalizowany wynik Sender Policy Framework (SPF). Dozwolone wartości to Pass, Fail, SoftFail, Neutral, None, , TemporaryErrororaz .PermanentError
EmailSpfOriginalResult Optional String Wynik SPF według źródła.
EmailDkimDomain Optional String Domena, która podpisała wiadomość za pomocą DomainKeys Identified Mail (DKIM).
EmailDkimSignature Optional String Sygnatura DKIM powiązana z wiadomością.
EmailDkimResult Optional Wyliczony Znormalizowany wynik DKIM. Dozwolone wartości to Pass, Fail, TemporaryError, PermanentErrori None.
EmailDkimOriginalResult Optional String Wynik DKIM podany przez źródło.
EmailDmarcResult Optional Wyliczony Znormalizowany wynik uwierzytelniania, raportowania i zgodności wiadomości (DMARC) opartego na domenie. Dozwolone wartości to Pass, , FailBestGuessPassi None.
EmailDmarcOriginalResult Optional String Wynik DMARC według źródła.
EmailDmarcPolicy Optional Wyliczony Polityka DMARC dotyczyła tego e-maila. Dozwolone wartości to Quarantine, Rejecti None.
EmailDmarcOverride Optional Wyliczony To powód, dla którego polityka DMARC została zignorowana. Dozwolone wartości to Forwarded, , LocalPolicy, MailingListSampleOut, TrustedForwarder, i Other.

Pola dostawy i przeznaczenia

Pole Class Typ Description
DvcAction Optional Wyliczony Znormalizowane działania podjęte w e-mailu. Dozwolone wartości to , , , , , , Deleted, Purged, oraz .NAQuarantinedBlockedRedirectedModifiedDelivered
Dst Mandatory String Unikalny identyfikator docelowego adresu e-mail.
DstIpAddr Zalecane adres IP Adres IP adresu docelowego e-maila.

Pola systemu źródłowego

Pole Class Typ Description
Src Zalecane String Unikalny identyfikator systemu źródłowego.
SrcIpAddr Optional adres IP Źródłowy adres IP.
IpAddr Alias adres IP Alias do SrcIpAddr.
SrcHostname Zalecane Hostname Nazwa hosta urządzenia źródłowego z wyłączeniem informacji o domenie.
SrcDomain Zalecane Domain Domena urządzenia źródłowego.
SrcDomainType Conditional Wyliczony Typ SrcDomain. Dozwolone wartości to Windows, FQDNi ResourceGroup. Wymagane, gdy SrcDomain jest używane.
SrcFQDN Optional FQDN W pełni kwalifikowana domena urządzenia źródłowego.
SrcDvcId Optional String Identyfikator urządzenia źródłowego.
SrcDvcIdType Conditional Wyliczony Typ SrcDvcId. Dozwolone wartości to AzureResourceId, MDEid, MD4IoTid, VMConnectionId, AwsVpcId, VectraId, ForcepointId, AppGateIdoraz .Other Wymagane, gdy SrcDvcId jest używane.
SrcDvcScope Optional String Zakres platformy chmurowej, do którego należy urządzenie źródłowe.
SrcDvcScopeId Optional String ID zakresu platformy chmurowej, do którego należy urządzenie źródłowe.
SrcDeviceType Optional Wyliczony Typ urządzenia źródłowego.
Opis SrcDescription Optional String Opis urządzenia źródłowego.
SrcIsp Optional String Dostawca usług internetowych powiązany z adresem IP źródłowym.
SrcGeoCountry Optional String Kraj lub region powiązany z adresem IP źródłowym.
SrcGeoRegion Optional String Region skojarzony ze źródłowym adresem IP.
SrcGeoCity Optional String Miasto skojarzone ze źródłowym adresem IP.
SrcGeoLatitude Optional real Szerokość geograficzna przypisana do źródła adresu IP.
SrcGeoLongitude Optional real Długość geograficzna przypisana do źródła adresu IP.

Pola użytkownika źródłowego

Pole Class Typ Description
SrcUserName Optional String Nazwisko użytkownika źródłowego.
User Alias String Alias to SrcUserName.
SrcUserUpn Zalecane String Główne imię użytkownika źródłowego (UPN).
SrcUserId Optional String Odczytywalny maszynowo identyfikator użytkownika źródłowego.
SrcUserIdType Optional Wyliczony Typ SrcUserId. Dozwolone wartości to , , , , , , , , VectraUserId, , MD4IoTid, oraz .OtherSalesforceIdPUIDAWSIdOktaIdAADIDUIDSID
SrcUsernameType Optional Wyliczony Typ wartości w SrcUserName.
SrcUserScope Optional String Zakres, w jakim zdefiniowany jest użytkownik źródłowy.
SrcUserScopeId Optional String ID zakresu, w którym użytkownik źródłowy jest zdefiniowany.

Pola inspekcji

Poniższe pola opisują regułę, groźbę lub wskaźnik związany z inspekcją poczty elektronicznej.

Pole Class Typ Description
Rulename Optional String Nazwa lub identyfikator zasady inspekcji.
Numer reguły Optional Integer Numeryczny identyfikator reguły inspekcji.
Reguła Alias String Alias to RuleName.
RuleDescription Optional String Opis zasady inspekcji.
Typ wskaźnika Optional Wyliczony Typ wskaźnika zidentyfikowany w wydarzeniu e-mailowym.
IndicatorAssociation Optional Wyliczony Związek między wskaźnikiem a zdarzeniem e-mailowym.
ThreatId Optional String Identyfikacja zagrożenia wskazanego w e-mailu.
ThreatName Optional String Nazwa zagrożenia wskazanego w e-mailu.
ThreatCategory Optional String Znormalizowana kategoria zagrożenia.
ThreatOriginalCategory Optional String Kategoria zagrożenia według źródła.
ThreatRiskLevel Optional RiskLevel (liczba całkowita) Znormalizowany poziom ryzyka zagrożenia, od 0 do 100.
ThreatOriginalRiskLevel Optional String Poziom ryzyka zagrożenia według źródła.
ThreatConfidence Optional ConfidenceLevel (liczba całkowita) Znormalizowany poziom pewności, od 0 do 100.
ThreatOriginalConfidence Optional String Pewność zagrożenia, jak podaje źródło.
ThreatIsActive Optional logiczny Wskazuje, czy zidentyfikowane zagrożenie jest aktywne.
ThreatFirstReportedTime Optional Datetime To był pierwszy raz, gdy zagrożenie zostało zgłoszone.
ThreatLastReportedTime Optional Datetime Ostatni raz zgłoszono zagrożenie.
ThreatIpAddr Optional adres IP Adres IP powiązany z zidentyfikowanym zagrożeniem.
ThreatField Conditional Wyliczony Pole, dla którego zidentyfikowano zagrożenie.
AttackTactics Optional String Taktyka MITRE ATT&CK związana z wydarzeniem e-mailowym.
AttackTechniques Optional String Techniki MITRE ATT&CK związane z wydarzeniem e-mailowym.
AttackRemediationSteps Optional String Zalecane kroki w celu usunięcia zidentyfikowanego ataku lub zagrożenia.

Aktualizacje schematu

Wersja 1.0.0 to pierwsza wersja schematu Email Event.

Treści powiązane

  • Ostatnia aktualizacja o