A Entidade de Utilizador do Modelo de Informações de Segurança Avançada (ASIM)

Os utilizadores são centrais para as atividades comunicadas por eventos. Os campos de entidade de utilizador listados nesta secção são utilizados para descrever os utilizadores envolvidos na ação. Quando utilizados num evento, os prefixos são utilizados para designar a função de uma entidade de utilizador na atividade. Os prefixos Src e Dst são utilizados para designar a função de utilizador em eventos relacionados com a rede, nos quais um sistema de origem e um sistema de destino comunicam. Os prefixos "Actor" e "Target" são utilizados para eventos orientados para o sistema, como eventos de processo.

O ID e o âmbito do utilizador

Campo Classe Tipo Descrição
UserId Opcional Cadeia de caracteres Uma representação exclusiva, alfanumérica e legível pelo computador do utilizador.
UserScope Opcional string O âmbito no qual UserId e Username são definidos. Por exemplo, um nome de domínio de inquilino Microsoft Entra. O campo UserIdType representa também o tipo de campo associado a este campo.
UserScopeId Opcional string O ID do âmbito no qual UserId e Username são definidos. Por exemplo, um ID de diretório de inquilino Microsoft Entra. O campo UserIdType representa também o tipo de campo associado a este campo.
UserIdType Opcional UserIdType O tipo do ID armazenado no campo UserId .
UserSid, UserUid, UserAadId, UserOktaId, UserAWSId, UserPuid Opcional Cadeia de caracteres Campos utilizados para armazenar IDs de utilizador específicos. Selecione o ID mais associado ao evento como o ID principal armazenado em UserId. Preencha o campo ID específico relevante, além de UserId, mesmo que o evento tenha apenas um ID.
UserAADTenant, UserAWSAccount Opcional Cadeia de caracteres Campos utilizados para armazenar âmbitos específicos. Utilize o campo UserScope para o âmbito associado ao ID armazenado no campo UserId . Preencha o campo de âmbito específico relevante, além do UserScope, mesmo que o evento tenha apenas um ID.

Os valores permitidos para um tipo de ID de utilizador são:

Tipo Descrição Exemplo
SID Um ID de utilizador do Windows. S-1-5-21-1377283216-344919071-3415362939-500
UID Um ID de utilizador Linux. 4578
AADID Um ID de utilizador Microsoft Entra. 00aa00aa-bb11-cc22-dd33-44ee44ee44ee
OktaId Um ID de utilizador okta. 00urjk4znu3BcncfY0h7
AWSId Um ID de utilizador do AWS. 72643944673
PUID Um ID de utilizador do Microsoft 365. 10032001582F435C
SalesforceId Um ID de utilizador do Salesforce. 00530000009M943

O nome de utilizador

Campo Classe Tipo Descrição
Nome de utilizador Opcional Cadeia de caracteres O nome de utilizador de origem, incluindo informações de domínio quando disponíveis. Utilize o formulário simples apenas se as informações de domínio não estiverem disponíveis. Armazene o tipo nome de utilizador no campo UsernameType .
UsernameType Opcional UsernameType Especifica o tipo do nome de utilizador armazenado no campo Nome de utilizador .
UserUPN, WindowsUsername, DNUsername, SimpleUsername Opcional Cadeia de caracteres Campos utilizados para armazenar nomes de utilizador adicionais, se o evento original incluir vários nomes de utilizador. Selecione o nome de utilizador mais associado ao evento como o nome de utilizador principal armazenado em Nome de utilizador.

Os valores permitidos para um tipo de nome de utilizador são:

Tipo Descrição Exemplo
UPN Um UPN ou Email designador de nome de utilizador de endereço. johndow@contoso.com
Windows Um nome de utilizador do Windows, incluindo um domínio. Contoso\johndow
DN Um designador de nome único LDAP. CN=Jeff Smith,OU=Sales,DC=Fabrikam,DC=COM
Simples Um nome de utilizador simples sem um designador de domínio. johndow
AWSId Um ID de utilizador do AWS. 72643944673

Campos de utilizador adicionais

Campo Classe Tipo Descrição
UserType Opcional UserType O tipo de utilizador de origem. Os valores suportados incluem:
- Regular
- Machine
- Admin
- System
- Application
- Service Principal
- Service
- Anonymous
- Other.

O valor pode ser fornecido no registo de origem com termos diferentes, que devem ser normalizados com estes valores. Armazene o valor original no campo OriginalUserType .
OriginalUserType Opcional Cadeia de caracteres O tipo de utilizador de destino original, se for fornecido pelo dispositivo de relatório.