ASimWebSessionLogs

O esquema de normalização da sessão web do ASIM (Modelo avançado de informações de segurança) – descreva uma atividade de rede IP. Por exemplo, as atividades de rede IP são relatadas por servidores Web, proxies Web e gateways de segurança da Web.

Atributos de tabela

Atributo	Valor
Tipos de recurso	microsoft.securityinsights/websessionlogs
Categorias	Segurança
Soluções	SecurityInsights
Log básico	No
Transformação de tempo de ingestão	Yes
Consultas de amostras	-

Colunas

Coluna	Tipo	Descrição
AdditionalFields	dinâmico	Informações adicionais, representadas usando pares chave/valor fornecidos pela origem que não são mapeadas para o ASim.
_BilledSize	real	O tamanho do registro em bytes
DstAppId	string	A ID do aplicativo de destino, conforme relatado pelo dispositivo de relatório.
DstAppName	string	O nome do aplicativo de destino.
DstAppType	string	O tipo do aplicativo de destino.
DstBytes	long	O número de bytes enviados do destino para a origem da conexão ou sessão. Se o evento for agregado, DstBytes será a soma em todas as sessões agregadas.
DstDeviceType	string	O tipo do dispositivo de destino.
DstDomain	string	O domínio do dispositivo de destino.
DstDomainType	string	O tipo de DstDomain.
DstDvcId	string	A ID do dispositivo de destino.
DstDvcIdType	string	O tipo de DstDvcId.
DstDvcScope	string	O escopo da plataforma de nuvem ao qual o dispositivo de destino pertence. O DvcScope é mapeado para uma assinatura no Azure e para uma conta no AWS.
DstDvcScopeId	string	A ID do escopo da plataforma de nuvem à qual o dispositivo de destino pertence. Mapa do DvcScopeId para uma ID da assinatura no Azure e para uma ID da conta na AWS.
DstFQDN	string	O nome do host do dispositivo de destino, incluindo informações de domínio, quando disponíveis.
DstGeoCity	string	A cidade associada ao endereço IP de destino.
DstGeoCountry	string	O país associado ao endereço IP de destino.
DstGeoLatitude	real	A latitude da coordenada geográfica associada ao endereço IP de destino.
DstGeoLongitude	real	A longitude da coordenada geográfica associada ao endereço IP de destino.
DstGeoRegion	string	A região ou o estado em um país associado ao endereço IP de destino.
DstHostname	string	O nome do host do dispositivo de destino, excluindo informações de domínio.
DstIpAddr	string	O endereço IP da conexão ou do destino da sessão.
DstMacAddr	string	O endereço MAC do adaptador de rede usado pelo dispositivo de destino para a conexão ou a sessão.
DstNatIpAddr	string	O DstNatIpAddr representa um dos: o endereço original do dispositivo de destino se a conversão de endereços de rede tiver sido usada ou o endereço IP usado pelo dispositivo intermediário para comunicação com a origem.
DstNatPortNumber	INT	Se relatado por um dispositivo NAT intermediário, a porta usada pelo dispositivo NAT para a comunicação com a origem.
DstOriginalUserType	string	O tipo de usuário de destino original, se fornecido pela fonte.
DstPackets	long	O número de pacotes enviados do destino para a origem da conexão ou sessão. O significado de um pacote é definido pelo dispositivo de relatório. Se o evento for agregado, DstPackets será a soma em todas as sessões agregadas.
DstPortNumber	INT	A porta do IP de destino.
	string	Uma representação exclusiva, alfanumérica e legível pelo computador do usuário de destino.
DstUserIdType	string	O tipo da ID armazenada no campo DstUserId.
DstUsername	string	O nome de usuário de destino, incluindo informações de domínio, quando disponíveis. Use o formulário simples somente quando as informações de domínio não estiverem disponíveis.
DstUsernameType	string	Especifica o tipo do nome de usuário armazenado no campo DstUsername.
DstUserType	string	O tipo de usuário de destino.
Dvc	string	Um identificador exclusivo do dispositivo no qual o evento ocorreu ou que relatou o evento.
DvcAction	string	A ação executada na sessão da Web.
DvcDomain	string	O domínio do dispositivo que relata o evento.
DvcDomainType	string	O tipo de DvcDomain. Os valores possíveis incluem 'Windows' e 'FQDN'.
DvcFQDN	string	O nome do host do dispositivo no qual o evento ocorreu ou que relatou o evento.
DvcHostname	string	O nome do host do dispositivo que relata o evento.
DvcId	string	A ID exclusiva do dispositivo no qual o evento ocorreu ou que relatou o evento.
DvcIdType	string	O tipo de DvcId.
DvcIpAddr	string	O endereço IP do dispositivo que relata o evento.
DvcOriginalAction	string	A DvcAction original, conforme fornecida pelo dispositivo de relatório.
EventCount	INT	Esse valor é usado quando a origem permite a agregação e um único registro pode representar vários eventos.
EventEndTime	DATETIME	A hora em que o evento terminou. Se a origem for compatível com a agregação e o registro representar vários eventos, especificará a hora em que o último evento foi gerado. Se não for fornecido pelo registro de origem, esse campo terá como alias o campo TimeGenerated.
EventMessage	string	Uma mensagem ou descrição geral.
EventOriginalResultDetails	string	Os detalhes do resultado original fornecidos pela origem. Esse valor é usado para derivar EventResultDetails, que deve ter apenas um dos valores documentados por esquema.
EventOriginalSeverity	string	A severidade original, conforme fornecido pelo dispositivo de relatório. Esse valor é usado para derivar EventSeverity.
EventOriginalSubType	string	O subtipo ou a ID do evento original, se fornecido pela origem. Por exemplo, esse campo será usado para armazenar o tipo de logon original do Windows. Esse valor é usado para derivar EventSubType, que deve ter apenas um dos valores documentados por esquema.
EventOriginalType	string	O ID ou tipo de evento original, se fornecido pela origem.
EventOriginalUid	string	Uma ID exclusiva do registro original, se fornecida pela origem.
EventOwner	string	O proprietário do evento, que geralmente é o departamento ou subsidiária no qual ele foi gerado.
EventProduct	string	O produto que gera o evento.
EventProductVersion	string	A versão do produto que gera o evento.
EventReportUrl	string	Uma URL fornecida no evento para um recurso que apresenta informações adicionais sobre o evento.
EventResult	string	O resultado do evento, representado por um dos seguintes valores: Êxito, Parcial, Falha, NA (Não Aplicável). O valor pode não ser fornecido diretamente pelas fontes, caso em que é derivado de outros campos de evento, por exemplo, o campo EventResultDetails.
EventResultDetails	string	O código de status HTTP.
EventSchemaVersion	string	A versão do esquema.
EventSeverity	string	Gravidade do evento. Os valores válidos são: Informativo, Baixo, Médio ou Alto.
EventStartTime	DATETIME	A hora em que o evento iniciou. Se a origem for compatível com a agregação e o registro representar vários eventos, especificará a hora em que o primeiro evento foi gerado. Se não for fornecido pelo registro de origem, esse campo terá como alias o campo TimeGenerated.
EventSubType	string	Descrição adicional do tipo de evento, se aplicável.
EventType	string	A operação relatada pelo registro.
EventVendor	string	O fornecedor do produto que gera o evento.
FileContentType	string	Para uploads HTTP, o tipo de conteúdo do arquivo carregado.
FileMD5	string	Para uploads HTTP, o hash MD5 do arquivo carregado.
FileName	string	Para uploads HTTP, o nome do arquivo carregado.
FileSHA1	string	Para uploads HTTP, o hash SHA1 do arquivo carregado.
FileSHA256	string	Para uploads HTTP, o hash SHA256 do arquivo carregado.
FileSHA512	string	Para uploads HTTP, o hash SHA512 do arquivo carregado.
FileSize	INT	Para uploads HTTP, o tamanho em bytes do arquivo carregado.
HttpContentFormat	string	A parte do formato de conteúdo de HttpContentType
HttpContentType	string	O cabeçalho de tipo de conteúdo da resposta HTTP.
HttpHost	string	O servidor Web virtual que a solicitação HTTP tem como destino.
HttpReferrer	string	O cabeçalho do referenciador HTTP.
HttpRequestMethod	string	O método HTTP.
HttpRequestTime	INT	A quantidade de tempo, em milissegundos, levou para enviar a solicitação ao servidor.
HttpRequestXff	string	O cabeçalho HTTP X-Forwarded-For.
HttpResponseTime	INT	A quantidade de tempo, em milissegundos, levou para receber uma resposta no servidor.
HttpUserAgent	string	O cabeçalho do agente do usuário HTTP.
HttpVersion	string	A versão da solicitação HTTP.
_IsBillable	string	Especifica se a ingestão dos dados é faturável. Quando _IsBillable é false ingestão não é cobrado para sua conta do Azure
NetworkApplicationProtocol	string	O protocolo de camada de aplicativo usado pela conexão ou sessão.
NetworkBytes	long	Número de bytes enviados em ambas as direções. Se BytesReceived e BytesSent existirem, BytesTotal será igual à soma dos dois. Se o evento for agregado, NetworkBytes será a soma em todas as sessões agregadas.
NetworkConnectionHistory	string	Sinalizadores TCP e outras informações potenciais de cabeçalho IP.
NetworkDirection	string	A direção da conexão ou sessão.
NetworkDuration	INT	A quantidade de tempo, em milissegundos, para a conclusão da sessão da Web ou da conexão.
NetworkIcmpCode	INT	Para uma mensagem ICMP, o valor numérico do tipo de mensagem ICMP, conforme descrito na RFC 2780 para conexões de rede IPv4 ou na RFC 4443 para conexões de rede IPv6.
NetworkIcmpType	string	Para uma mensagem ICMP, a representação de texto do tipo de mensagem ICMP, conforme descrito na RFC 2780 para conexões de rede IPv4 ou na RFC 4443 para conexões de rede IPv6.
NetworkPackets	long	O número de pacotes enviados em ambas as direções. Se PacketsReceived e PacketsSent existirem, BytesTotal será igual à soma dos dois. O significado de um pacote é definido pelo dispositivo de relatório. Se o evento for agregado, NetworkPackets será a soma em todas as sessões agregadas.
NetworkProtocol	string	O protocolo IP usado pela conexão ou sessão conforme listado na atribuição de protocolo IANA, que normalmente é TCP, UDP ou ICMP.
NetworkProtocolVersion	string	A versão do NetworkProtocol.
NetworkSessionId	string	O identificador de sessão, conforme relatado pelo dispositivo de relatório.
_ResourceId	string	Identificador exclusivo do recurso ao qual o registro está associado
Regra	string	NetworkRuleName ou NetworkRuleNumber
RuleName	string	O nome ou a ID da regra pela qual a DvcAction foi decidida. Exemplo: AnyAnyDrop
RuleNumber	INT	O número da regra pela qual DvcAction foi decidida. Exemplo: 23
SourceSystem	string	O tipo de agente pelo qual o evento foi coletado. Por exemplo, OpsManager para o agente do Windows, conexão direta ou Operations Manager, Linux para todos os agentes do Linux ou Azure para Diagnóstico do Azure
SrcAppId	string	A ID do aplicativo de destino, conforme relatado pelo dispositivo de relatório.
SrcAppName	string	O nome do aplicativo de origem.
SrcAppType	string	O tipo do aplicativo de origem.
SrcBytes	long	O número de bytes enviados da origem para o destino da conexão ou sessão. Se o evento for agregado, SrcBytes será a soma em todas as sessões agregadas.
SrcDeviceType	string	O tipo do dispositivo de origem.
SrcDomain	string	O domínio do dispositivo de origem.
SrcDomainType	string	O tipo de SrcDomain.
SrcDvcId	string	A ID do dispositivo de origem.
SrcDvcIdType	string	Tipo de SrcDvcId.
SrcDvcScope	string	O escopo da plataforma de nuvem ao qual o dispositivo de origem pertence. O DvcScope é mapeado para uma assinatura no Azure e para uma conta no AWS.
SrcDvcScopeId	string	A ID de escopo da plataforma de nuvem à qual o dispositivo de origem pertence. Mapa do DvcScopeId para uma ID da assinatura no Azure e para uma ID da conta na AWS.
SrcFQDN	string	O nome do host do dispositivo de origem, incluindo informações de domínio quando disponível.
SrcGeoCity	string	A cidade associada ao endereço IP de origem.
SrcGeoCountry	string	O país associado ao endereço IP de origem.
SrcGeoLatitude	real	A latitude da coordenada geográfica associada ao endereço IP de origem.
SrcGeoLongitude	real	A longitude da coordenada geográfica associada ao endereço IP de origem.
SrcGeoRegion	string	A região em um país associado ao endereço IP de origem.
SrcHostname	string	O nome do host do dispositivo de origem, incluindo informações de domínio. Se nenhum nome de dispositivo estiver disponível, poderá armazenar o endereço IP relevante.
SrcIpAddr	string	O endereço IP em que a conexão ou sessão foi originada.
SrcMacAddr	string	O endereço MAC do adaptador de rede em que a sessão ou a conexão foi originada.
SrcNatIpAddr	string	O SrcNatIpAddr representa um dos: o endereço original do dispositivo de origem se a conversão de endereços de rede foi usada ou o endereço IP usado pelo dispositivo intermediário para comunicação com o destino.
SrcNatPortNumber	INT	Se relatado por um dispositivo NAT intermediário, a porta usada pelo dispositivo NAT para a comunicação com o destino.
SrcOriginalUserType	string	O tipo de usuário de destino original, se fornecido pelo pelo dispositivo de relatório.
SrcPackets	long	O número de pacotes enviados da origem para o destino da conexão ou sessão. O significado de um pacote é definido pelo dispositivo de relatório. Se o evento for agregado, SrcPackets será a soma em todas as sessões agregadas.
SrcPortNumber	INT	A porta IP em que a conexão foi originada. Pode não ser relevante para uma sessão que abrange várias conexões.
SrcProcessGuid	string	Um GUID (identificador exclusivo) gerado do processo de origem.
SrcProcessId	string	A ID do processo (PID) do processo de origem.
SrcProcessName	string	O nome do processo de origem.
SrcUserId	string	Uma representação exclusiva, alfanumérica e legível pelo computador do usuário de origem.
SrcUserIdType	string	O tipo da ID armazenada no campo SrcUserId.
SrcUserName	string	O nome de usuário de origem, incluindo informações de domínio, quando disponíveis.
SrcUsernameType	string	Especifica o tipo do nome de usuário armazenado no campo SrcUsername.
SrcUserScope	string	O escopo, como o locatário do Azure AD, no qual SrcUserId e SrcUsername são definidos.
SrcUserScopeId	string	A ID do escopo, como Azure AD locatário, no qual SrcUserId e SrcUsername são definidos.
SrcUserType	string	O tipo do usuário de origem.
_SubscriptionId	string	Identificador exclusivo da assinatura à qual o registro está associado
TenantId	string	A ID do workspace do Log Analytics
ThreatCategory	string	A categoria da ameaça ou malware identificada na sessão da Web.
ThreatConfidence	INT	O nível de confiança da ameaça identificada, normalizado para um valor entre 0 e 100.
ThreatField	string	O campo para o qual uma ameaça foi identificada. O valor é SrcIpAddr, DstIpAddr, Domain ou DnsResponseName.
ThreatFirstReportedTime	DATETIME	A primeira vez em que o endereço IP ou domínio foi identificado como uma ameaça.
ThreatId	string	A ID da ameaça ou malware identificado na sessão da Web.
ThreatIpAddr	string	Um endereço IP para o qual uma ameaça foi identificada. O campo ThreatField contém o nome do campo que ThreatIpAddr representa.
ThreatIsActive	bool	True, a ID da ameaça identificada é considerada uma ameaça ativa.
ThreatLastReportedTime	DATETIME	A última vez em que o endereço IP ou domínio foi identificado como uma ameaça.
ThreatName	string	O nome da ameaça ou malware identificado na sessão da Web.
ThreatOriginalConfidence	string	O nível de confiança original da ameaça identificada, conforme relatado pelo dispositivo de relatório.
ThreatOriginalRiskLevel	string	O nível de risco, conforme relatado pelo dispositivo de relatório.
ThreatRiskLevel	INT	O nível de risco associado à sessão. O nível é um número entre 0 e 100.
TimeGenerated	DATETIME	O carimbo de data/hora (UTC) que reflete a hora em que o evento foi gerado.
Type	string	O nome da tabela
Url	string	A URL de solicitação HTTP completa, incluindo parâmetros.
UrlCategory	string	O agrupamento definido de uma URL ou a parte do domínio da URL.
UrlOriginal	string	O valor original da URL, quando a URL foi modificada pelo dispositivo de relatório e ambos os valores são fornecidos.