A referência do esquema de normalização dos eventos de auditoria do ASIM (Modelo Avançado de Informações de Segurança)

O esquema de normalização de eventos de Auditoria do Microsoft Sentinel representa eventos associados à trilha de auditoria dos sistemas de informações. A trilha de auditoria registra as atividades de configuração do sistema e as alterações de política. Essas alterações geralmente são executadas por administradores do sistema, mas também podem ser executadas pelos usuários ao definir as configurações de seus próprios aplicativos.

Cada sistema registra eventos de auditoria junto com seus principais logs de atividades. Por exemplo, um Firewall registrará eventos sobre as sessões de rede em processos e eventos de auditoria sobre alterações de configuração aplicadas ao próprio Firewall.

Para obter mais informações sobre a normalização no Microsoft Sentinel, consulte Normalização e o ASIM (Modelo Avançado de Informações de Segurança).

Visão geral do esquema

Os principais campos de um evento de auditoria são:

  • O objeto, que pode ser, por exemplo, um recurso gerenciado ou uma regra de política, no qual o evento se concentra, representado pelo campo Objeto. O campo ObjectType especifica o tipo do objeto.
  • O contexto de aplicativo do objeto, representado pelo campo TargetAppName, que é aliado por Application.
  • A operação executada no objeto, representada pelos campos EventType e Operation. Embora Operation seja o valor relatado pela fonte, EventType é uma versão normalizada que é mais consistente entre as fontes.
  • Os valores antigos e novos para o objeto, se aplicável, representados por OldValue e NewValue , respectivamente.

Os eventos de auditoria também fazem referência às seguintes entidades, que estão envolvidas na operação de configuração:

  • Ator - O usuário que executa a operação de configuração.
  • TargetApp - O aplicativo ou sistema ao qual a operação de configuração se aplica.
  • Target - O sistema no qual o TargetApp está rodando.
  • ActingApp - O aplicativo usado pelo Ator para executar a operação de configuração.
  • Src - O sistema usado pelo Ator para iniciar a operação de configuração, se diferente do Target.

O descritor Dvc é usado para o dispositivo de relatório, que é o sistema local para sessões relatadas por um ponto de extremidade, e o dispositivo intermediário ou de segurança em outros casos.

Analisadores

Implantação e uso de analisadores de eventos de auditoria

Implante os analisadores de eventos de auditoria do ASIM do repositório GitHub do Microsoft Sentinel. Para consultar todas as fontes de eventos de auditoria, use o analisador imAuditEvent unificador como o nome da tabela em sua consulta.

Para obter mais informações sobre o uso de analisadores ASIM, consulte a visão geral dos analisadores ASIM. Para obter a lista dos analisadores de eventos de auditoria Microsoft Sentinel fornece prontos para uso, consulte a lista de analisadores ASIM

Adicionar seus próprios analisadores normalizados

Ao implementar analisadores personalizados para o modelo de informações de Evento de Arquivo, nomeie suas funções KQL usando a seguinte sintaxe: imAuditEvent<vendor><Product>. Consulte o artigo Gerenciando analisadores ASIM para saber como adicionar seus analisadores personalizados ao analisador unificador de eventos de auditoria.

Parâmetros do analisador filtrante

Os analisadores de eventos de auditoria dão suporte a parâmetros de filtragem. Embora esses parâmetros sejam opcionais, eles podem melhorar o desempenho da consulta.

Os seguintes parâmetros de filtragem estão disponíveis:

Nome Tipo Descrição
starttime datetime Filtre somente os eventos executados nesse horário ou após esse período. Esse parâmetro usa o TimeGenerated campo como o designador de tempo do evento.
Hora de Término datetime Filtrar somente consultas de eventos que terminaram de ser executadas nesse horário ou antes disso. Esse parâmetro usa o TimeGenerated campo como o designador de tempo do evento.
srcipaddr_has_any_prefix dinâmico Filtre somente eventos desse endereço IP de origem, conforme representado no campo SrcIpAddr .
eventtype_in dinâmico Filtre apenas eventos em que o tipo de evento, conforme representado no campo EventType , seja qualquer um dos valores listados. Por exemplo: dynamic(['Create', 'Delete']).
EventResult cadeia Filtrar somente eventos nos quais o resultado do evento, conforme representado no campo EventResult , é igual ao valor do parâmetro.
actorusername_has_any dinâmico/cadeia de caracteres Filtrar somente eventos nos quais o ActorUsername inclui qualquer um dos termos fornecidos.
operation_has_any dinâmico/cadeia de caracteres Filtrar somente eventos nos quais o campo Operação inclui qualquer um dos termos fornecidos.
object_has_any dinâmico/cadeia de caracteres Filtrar somente eventos nos quais o campo Objeto inclui qualquer um dos termos fornecidos.
newvalue_has_any dinâmico/cadeia de caracteres Filtrar somente eventos nos quais o campo NovoValor inclui qualquer um dos termos fornecidos.

Alguns parâmetros podem aceitar tanto a lista de valores do tipo dynamic quanto um único valor de cadeia de caracteres. Para passar uma lista de literais para parâmetros que esperam um valor dinâmico, use explicitamente um literal dinâmico. Por exemplo: dynamic(['192.168.','10.'])

Por exemplo, para filtrar apenas eventos de auditoria com os termos install ou update em seu campo Operação , a partir do último dia, use:

imAuditEvent (operation_has_any=dynamic(['install','update']), starttime = ago(1d), endtime=now())

Detalhes do esquema

Campos ASIM comuns

Importante

Os campos comuns a todos os esquemas são descritos em detalhes no artigo Campos comuns do ASIM .

Campos comuns com diretrizes específicas

A lista a seguir menciona campos que possuem diretrizes específicas para Eventos de Auditoria:

Campo Classe Tipo Descrição
Tipo de evento Obrigatório Enumerado Descreve a operação auditada pelo evento usando um valor normalizado. Use EventSubType para fornecer mais detalhes, que o valor normalizado não transmite, e Operação. para armazenar a operação conforme relatado pelo dispositivo de relatório.

Para registros de Evento de Auditoria, os valores permitidos são:
- Set
- Read
- Create
- Delete
- Execute
- Install
- Clear
- Enable
- Disable
- Initialize
- Start
- Stop
- Other

Os eventos de auditoria representam uma grande variedade de operações, e o valor permite operações Other de mapeamento que não têm nenhuma correspondência EventType. No entanto, o uso de Other limita a usabilidade do evento e deve ser evitado, se possível.
EventSubType Opcional Cadeia de caracteres Fornece mais detalhes que o valor normalizado em EventType não transmite.
EventSchema Obrigatório Enumerado O nome do esquema documentado aqui é AuditEvent.
EventSchemaVersion Obrigatório SchemaVersion (cadeia de caracteres) A versão do esquema. A versão do esquema documentada aqui é 1.0.0.

Todos os campos comuns

Os campos que aparecem na tabela são comuns a todos os esquemas ASIM. Qualquer uma das diretrizes especificadas neste documento substitui as diretrizes gerais do campo. Por exemplo, um campo pode ser opcional em geral, mas obrigatório para um esquema específico. Para obter mais informações sobre cada campo, consulte o artigo Campos comuns do ASIM .

Classe Fields
Obrigatório - EventCount
- EventStartTime
- EventEndTime
- Tipo de evento
- EventResult
- EventProduct
- EventVendor
- EventSchema
- EventSchemaVersion
- DVC
Recomendado - EventResultDetails
- EventSeveridade
- EventUid
- DvcIpAddr
- Nome do host do DVC
- DvcDomain
- DvcDomainType
- DvcFQDN
- DvcId
- DvcIdType
- DvcAction
Opcional - EventMessage
- EventSubType
- EventOriginalUid
- EventOriginalType
- EventOriginalSubType
- EventOriginalResultDetails
- EventOriginalSeverity
- EventProductVersion
- EventReportUrl
- EventOwner
- DvcZone
- DvcMacAddr
- DvcOs
- DvcOsVersion
- DvcOriginalAction
- Interface DvcInterface
- AdditionalFields
- DvcDescription
- DvcScopeId
- DvcScope

Campos de auditoria

Campo Classe Tipo Descrição
Divisão de Obrigatório Cadeia de caracteres A operação auditada conforme relatado pelo dispositivo de relatório.
Objeto Obrigatório Cadeia de caracteres O nome do objeto no qual a operação identificada por EventType é executada.
ObjectId Opcional Cadeia de caracteres A ID do objeto no qual a operação identificada por EventType é executada.
ObjectType Condicional Enumerado O tipo de objeto. Os valores permitidos são:
- Cloud Resource
- Configuration Atom
- Policy Rule
- Event Log
-Scheduled Task
-Service
-Directory Service Object
-Other
OriginalObjectType Opcional Cadeia de caracteres O tipo de Objeto conforme relatado pelo sistema de relatório
Valor antigo Opcional Cadeia de caracteres O valor antigo de Object antes da operação, se aplicável.
Novo Valor Recomendado Cadeia de caracteres O novo valor de Object após a execução da operação, se aplicável.
Valor Alias Alias para NewValue
ValueType Condicional Enumerado O tipo dos valores antigos e novos. Os valores permitidos são
- Outros

Campos de ator

Campo Classe Tipo Descrição
ActorUserId Opcional Cadeia de caracteres Uma representação exclusiva, alfanumérica e legível por máquina do Ator. Para obter mais informações e campos alternativos para outras IDs, consulte A entidade User.

Exemplo: S-1-12-1-4141952679-1282074057-627758481-2916039507
ActorScope Opcional Cadeia de caracteres O escopo, como o Nome de Domínio do Microsoft Entra, no qual ActorUserId e ActorUsername são definidos. ou obter mais informações e uma lista de valores permitidos, consulte UserScope no artigo Visão geral do esquema.
ActorScopeId Opcional Cadeia de caracteres A ID do escopo, como a ID do Microsoft Entra Directory, na qual ActorUserId e ActorUsername são definidos. para obter mais informações e uma lista de valores permitidos, consulte UserScopeId no artigo Visão geral do esquema.
ActorUserIdType Condicional Enumerado O tipo de ID armazenado no campo ActorUserId . Para obter mais informações e uma lista de valores permitidos, consulte UserIdType no artigo Visão geral do esquema.
ActorUsername Recomendado Nome de usuário (cadeia de caracteres) O nome de usuário do Ator, incluindo informações de domínio, quando disponíveis. Para obter mais informações, consulte A entidade User.

Exemplo: AlbertE
Usuário Alias Alias para ActorUsername
ActorUsernameType Condicional UsernameType Especifica o tipo de nome de usuário armazenado no campo ActorUsername . Para obter mais informações e uma lista de valores permitidos, consulte UsernameType no artigo Visão geral do esquema.

Exemplo: Windows
ActorUserType Opcional UserType O tipo do Ator. Para obter mais informações e uma lista de valores permitidos, consulte UserType no artigo Visão geral do esquema.

Por exemplo: Guest
ActorOriginalUserType Opcional Cadeia de caracteres O tipo de usuário conforme relatado pelo dispositivo de relatório.
ActorSessionId Opcional Cadeia de caracteres O ID exclusivo da sessão de login do Ator.

Exemplo: 102pTUgC3p8RIqHvzxLCHnFlg

Campos de aplicação de destino

Campo Classe Tipo Descrição
TargetAppId Opcional Cadeia de caracteres A ID do aplicativo ao qual o evento se aplica, incluindo um processo, navegador ou serviço.

Exemplo: 89162
TargetAppName Opcional Cadeia de caracteres O nome do aplicativo ao qual o evento se aplica, incluindo um serviço, uma URL ou um aplicativo SaaS.

Exemplo: Exchange 365
Aplicação Alias Alias para TargetAppName
TargetAppType Condicional AppType O tipo de aplicativo autorizando em nome do Ator. Para obter mais informações e uma lista de valores permitida, consulte AppType no artigo Visão geral do esquema.
TargetOriginalAppType Opcional Cadeia de caracteres O tipo de aplicativo ao qual o evento se aplica, conforme relatado pelo dispositivo de relatório.
TargetUrl Opcional URL A URL associada ao aplicativo de destino.

Exemplo: https://console.aws.amazon.com/console/home?fromtb=true&hashArgs=%23&isauthcode=true&nc2=h_ct&src=header-signin&state=hashArgsFromTB_us-east-1_7596bc16c83d260b

Campos do sistema de destino

Campo Classe Tipo Descrição
Horário de verão Alias Cadeia de caracteres Um identificador exclusivo do destino de autenticação.

Esse campo pode alias para os campos TargetDvcId, TargetHostname, TargetIpAddr, TargetAppId ou TargetAppName .

Exemplo: 192.168.12.1
Nome do Host do Alvo Recomendado Nome do host O nome do host do dispositivo de destino, excluindo informações de domínio.

Exemplo: DESKTOP-1282V4D
TargetDomain Opcional Domain(String) O domínio do dispositivo de destino.

Exemplo: Contoso
TargetDomainType Condicional Enumerado O tipo de TargetDomain. Para obter uma lista de valores permitidos e mais informações, consulte DomainType no artigo Visão geral do esquema.

Obrigatório se TargetDomain for usado.
TargetFQDN Opcional FQDN (Cadeia de caracteres) O nome do host do dispositivo de destino, incluindo informações de domínio, quando disponíveis.

Exemplo: Contoso\DESKTOP-1282V4D

Observação: este campo suporta o formato FQDN tradicional e o formato domínio\nome do host do Windows. O TargetDomainType reflete o formato usado.
TargetDescription Opcional Cadeia de caracteres Um texto descritivo associado ao dispositivo. Por exemplo: Primary Domain Controller.
TargetDvcId Opcional Cadeia de caracteres A ID do dispositivo de destino. Se várias IDs estiverem disponíveis, use a mais importante e armazene as outras nos campos TargetDvc<DvcIdType>.

Exemplo: ac7e9755-8eae-4ffc-8a02-50ed7a2216c3
TargetDvcScopeId Opcional Cadeia de caracteres A ID do escopo da plataforma de nuvem à qual o dispositivo pertence. TargetDvcScopeId mapeado para uma ID de assinatura no Azure e para uma ID de conta no AWS.
TargetDvcScope Opcional Cadeia de caracteres O escopo da plataforma de nuvem ao qual o dispositivo pertence. TargetDvcScope mapeado para uma ID de assinatura no Azure e para uma ID de conta no AWS.
TargetDvcIdType Condicional Enumerado O tipo de TargetDvcId. Para obter uma lista de valores permitidos e mais informações, consulte DvcIdType no artigo Visão geral do esquema.

Obrigatório se TargetDeviceId for usado.
TargetDeviceType Opcional Enumerado O tipo do dispositivo de destino. Para obter uma lista de valores permitidos e mais informações, consulte DeviceType no artigo Visão geral do esquema.
TargetIpAddr Recomendado Endereço IP O endereço IP do dispositivo de destino.

Exemplo: 2.2.2.2
TargetDvcOs Opcional Cadeia de caracteres O sistema operacional do dispositivo de destino.

Exemplo: Windows 10
TargetPortNumber Opcional Número inteiro A porta do dispositivo de destino.
TargetGeoCountry Opcional País/Região O país/região associado ao endereço IP de destino.

Exemplo: USA
TargetGeoRegion Opcional Região A região dentro de um país/região associada ao endereço IP de destino.

Exemplo: Vermont
TargetGeoCity Opcional Cidade A cidade associada ao endereço IP de destino.

Exemplo: Burlington
TargetGeoLatitude Opcional Latitude A latitude da coordenada geográfica associada ao endereço IP de destino.

Exemplo: 44.475833
TargetGeoLongitude Opcional Longitude A longitude da coordenada geográfica associada ao endereço IP de destino.

Exemplo: 73.211944
TargetRiskLevel Opcional Número inteiro O nível de risco associado ao destino. O valor deve ser ajustado para um intervalo de 0 até , com 0 para benigno 100e 100 para alto risco.

Exemplo: 90
TargetOriginalRiskLevel Opcional Cadeia de caracteres O nível de risco associado ao destino, conforme relatado pelo dispositivo de relatório.

Exemplo: Suspicious

Campos de aplicação em ação

Campo Classe Tipo Descrição
ActingAppId Opcional Cadeia de caracteres A ID do aplicativo que iniciou a atividade relatada, incluindo um processo, navegador ou serviço.

Por exemplo: 0x12ae8
ActingAppName Opcional Cadeia de caracteres O nome do aplicativo que iniciou a atividade relatada, incluindo um serviço, uma URL ou um aplicativo SaaS.

Por exemplo: C:\Windows\System32\svchost.exe
ActingAppType Opcional AppType O tipo de aplicação de atuação. Para obter mais informações e uma lista de valores permitida, consulte AppType no artigo Visão geral do esquema.
ActingOriginalAppType Opcional Cadeia de caracteres O tipo de aplicativo que iniciou a atividade, conforme relatado pelo dispositivo de relatório.
HttpUserAgent Opcional Cadeia de caracteres Quando a autenticação é executada por HTTP ou HTTPS, o valor desse campo é o cabeçalho HTTP user_agent fornecido pelo aplicativo atuante ao executar a autenticação.

Por exemplo: Mozilla/5.0 (iPhone; CPU iPhone OS 12_1 like Mac OS X) AppleWebKit/605.1.15 (KHTML, like Gecko) Version/12.0 Mobile/15E148 Safari/604.1

Campos do sistema de origem

Campo Classe Tipo Descrição
SRC Alias Cadeia de caracteres Um identificador exclusivo do dispositivo de origem.

Esse campo pode ser alias dos campos SrcDvcId, SrcHostname ou SrcIpAddr .

Exemplo: 192.168.12.1
SrcIpAddr Recomendado endereço IP O endereço IP do qual a conexão ou sessão se originou.

Exemplo: 77.138.103.108
IpAddr Alias Alias para SrcIpAddr ou para TargetIpAddr se SrcIpAddr não for fornecido.
SrcPortNumber Opcional Número inteiro A porta IP da qual a conexão se originou. Pode não ser relevante para uma sessão que inclui várias conexões.

Exemplo: 2335
SrcHostname Opcional Nome do host O nome do host do dispositivo de origem, excluindo informações de domínio. Se nenhum nome de dispositivo estiver disponível, armazene o endereço IP relevante nesse campo.

Exemplo: DESKTOP-1282V4D
SrcDomain Opcional Domínio (cadeia de caracteres) O domínio do dispositivo de origem.

Exemplo: Contoso
SrcDomainType Condicional Tipo de domínio O tipo de SrcDomain. Para obter uma lista de valores permitidos e mais informações, consulte DomainType no artigo Visão geral do esquema.

Obrigatório se SrcDomain for usado.
SrcFQDN Opcional FQDN (Cadeia de caracteres) O nome do host do dispositivo de origem, incluindo informações de domínio, quando disponíveis.

Observação: este campo suporta o formato FQDN tradicional e o formato domínio\nome do host do Windows. O campo SrcDomainType reflete o formato usado.

Exemplo: Contoso\DESKTOP-1282V4D
SrcDescription Opcional Cadeia de caracteres Um texto descritivo associado ao dispositivo. Por exemplo: Primary Domain Controller.
SrcDvcId Opcional Cadeia de caracteres A ID do dispositivo de origem. Se várias IDs estiverem disponíveis, use a mais importante e armazene as outras nos campos SrcDvc<DvcIdType>.

Exemplo: ac7e9755-8eae-4ffc-8a02-50ed7a2216c3
SrcDvcScopeId Opcional Cadeia de caracteres A ID do escopo da plataforma de nuvem à qual o dispositivo pertence. Mapa SrcDvcScopeId para uma ID de assinatura no Azure e para uma ID de conta no AWS.
SrcDvcScope Opcional Cadeia de caracteres O escopo da plataforma de nuvem ao qual o dispositivo pertence. Mapa SrcDvcScope para uma ID de assinatura no Azure e para uma ID de conta no AWS.
SrcDvcIdType Condicional DvcIdType O tipo de SrcDvcId. Para obter uma lista de valores permitidos e mais informações, consulte DvcIdType no artigo Visão geral do esquema.

Observação: esse campo é obrigatório se SrcDvcId for usado.
SrcDeviceType Opcional DeviceType O tipo do dispositivo de origem. Para obter uma lista de valores permitidos e mais informações, consulte DeviceType no artigo Visão geral do esquema.
SrcGeoCountry Opcional País/Região O país/região associado ao endereço IP de origem.

Exemplo: USA
SrcGeoRegion Opcional Região A região dentro de um país/região associada ao endereço IP de origem.

Exemplo: Vermont
SrcGeoCity Opcional Cidade A cidade associada ao endereço IP de origem.

Exemplo: Burlington
SrcGeoLatitude Opcional Latitude A latitude da coordenada geográfica associada ao endereço IP de origem.

Exemplo: 44.475833
SrcGeoLongitude Opcional Longitude A longitude da coordenada geográfica associada ao endereço IP de origem.

Exemplo: 73.211944
SrcRiskLevel Opcional Número inteiro O nível de risco associado à origem. O valor deve ser ajustado para um intervalo de 0 até , com 0 para benigno 100e 100 para alto risco.

Exemplo: 90
SrcOriginalRiskLevel Opcional Cadeia de caracteres O nível de risco associado à origem, conforme relatado pelo dispositivo de relatório.

Exemplo: Suspicious

Campos de inspeção

Os campos a seguir são usados para representar a inspeção realizada por um sistema de segurança.

Campo Classe Tipo Descrição
RuleName Opcional Cadeia de caracteres O nome ou ID da regra por associado aos resultados da inspeção.
RuleNumber Opcional Número inteiro O número da regra associada aos resultados da inspeção.
Rule Alias Cadeia de caracteres O valor de RuleName ou o valor de RuleNumber. Se o valor de RuleNumber for usado, o tipo deverá ser convertido em cadeia de caracteres.
ID da Ameaça Opcional Cadeia de caracteres A ID da ameaça ou malware identificado na atividade de auditoria.
Nome da Ameaça Opcional Cadeia de caracteres O nome da ameaça ou malware identificado na atividade de auditoria.
ThreatCategory Opcional Cadeia de caracteres A categoria da ameaça ou malware identificado na atividade de auditoria de arquivo.
ThreatRiskLevel Opcional RiskLevel (Inteiro) O nível de risco associado à ameaça identificada. O nível deve ser um número entre 0 e 100.

Observação: O valor pode ser fornecido no registro de origem usando uma escala diferente, que deve ser normalizada para essa escala. O valor original deve ser armazenado em ThreatRiskLevelOriginal.
ThreatOriginalRiskLevel Opcional Cadeia de caracteres O nível de risco conforme relatado pelo dispositivo de relatório.
ThreatConfidence Opcional ConfidenceLevel (inteiro) O nível de confiança da ameaça identificada, normalizado para um valor entre 0 e 100.
ThreatOriginalConfidence Opcional Cadeia de caracteres O nível de confiança original da ameaça identificada, conforme relatado pelo dispositivo de relatório.
ThreatIsActive Opcional booleano Verdadeiro se a ameaça identificada for considerada uma ameaça ativa.
ThreatFirstReportedTime Opcional datetime A primeira vez que o endereço IP ou domínio foi identificado como uma ameaça.
ThreatLastReportedTime Opcional datetime A última vez em que o endereço IP ou domínio foi identificado como uma ameaça.
ThreatIpAddr Opcional Endereço IP Um endereço IP para o qual uma ameaça foi identificada. O campo ThreatField contém o nome do campo que ThreatIpAddr representa.
ThreatField Condicional Enumerado O campo para o qual uma ameaça foi identificada. O valor é ou SrcIpAddrTargetIpAddr.

Campos de correlação de entidades

Note

Os colaboradores não precisam preencher esses campos. Os analisadores aplicáveis os preencherão quando o suporte interno da Microsoft for adicionado.

Campo Classe Tipo Descrição
AtivaçãoAplicaçãoEntityKey Opcional Cadeia de caracteres Um identificador de string estável e determinístico que identifica unicamente a aplicação atuante dentro de um único namespace. Esse identificador único em todo o sistema permite correlação com entidades em outros eventos e inventários de entidades.
ActorUserAdditionalIds Opcional Dinâmico Para a estrutura e uso dos campos, veja Campos com sufixo com AdditionalIds.
ActorUserEntityKey Opcional Cadeia de caracteres Um identificador de string estável e determinístico que identifica de forma única o usuário ator dentro de um único namespace. Esse identificador único em todo o sistema permite correlação com entidades em outros eventos e inventários de entidades.
SrcSystemEntityKey Opcional Cadeia de caracteres Um identificador de string estável e determinístico que identifica de forma única o sistema de origem dentro de um único namespace. Esse identificador único em todo o sistema permite correlação com entidades em outros eventos e inventários de entidades.
TargetApplicationEntityKey Opcional Cadeia de caracteres Um identificador de string estável e determinístico que identifica de forma única a aplicação alvo dentro de um único namespace. Esse identificador único em todo o sistema permite correlação com entidades em outros eventos e inventários de entidades.
TargetSystemEntityKey Opcional Cadeia de caracteres Um identificador de string estável e determinístico que identifica de forma única o sistema-alvo dentro de um único namespace. Esse identificador único em todo o sistema permite correlação com entidades em outros eventos e inventários de entidades.

Atualizações de esquema

Versão Alterações
0.1.1 Adicionados os campos ObjectId e OriginalObjectType.
0.1.2 Adicionaram os campos ActingOriginalAppType, OriginalObjectType, SrcOriginalRiskLevel, TargetGeoCitySrcRiskLevel, TargetGeoCountry, TargetGeoLatitude, TargetGeoLongitude, TargetGeoRegion, TargetOriginalAppTypeTargetOriginalRiskLevele TargetRiskLevel.
1.0.0 Adicionaram campos de correlação de entidades.

Conteúdo relacionado

  • Última atualização em