Referência do esquema de normalização de eventos de e-mail ASIM do Microsoft Sentinel ASIM

O esquema de normalização do Microsoft Sentinel Email Event representa a atividade de entrega e inspeção de e-mails. Inclui detalhes de endereçamento e roteamento de mensagens, resultados de autenticação de e-mail, resultados de entrega e ameaças identificadas em mensagens de e-mail.

Use o esquema de Evento de E-mail para normalizar registros de servidores de e-mail, gateways de e-mail seguros, serviços de segurança de e-mail e outros sistemas que processam ou inspecionam e-mails. A normalização permite que você analise esses registros com nomes e valores de campos consistentes, independentemente da fonte.

Para obter mais informações sobre a normalização no Microsoft Sentinel, consulte Normalização e o ASIM (Modelo Avançado de Informações de Segurança).

Visão geral do esquema

Os principais campos de um evento de e-mail descrevem:

Os Dvc campos descrevem o sistema de relatórios ou inspeção.

Analisadores

Implantar e usar parsers de eventos de e-mail

Implante analisadores ASIM a partir do repositório Microsoft Sentinel GitHub. Para consultar todas as fontes normalizadas de eventos de e-mail, use o parser _Im_EmailEvent unificador como nome da tabela na sua consulta.

Para obter mais informações sobre o uso de analisadores ASIM, consulte a visão geral dos analisadores ASIM.

Adicionar seus próprios analisadores normalizados

Ao implementar analisadores personalizados para o modelo de informação de Eventos de E-mail, use a seguinte sintaxe de nomenclatura:

  • ASimEmailEvent<vendor><Product> Para analisadores comuns.
  • vimEmailEvent<vendor><Product> para analisadores parametrizados.

Para adicionar analisadores personalizados ao parsers unificador de Eventos de E-mail, veja Gerenciar analisadores ASIM.

Resultados do analisador de filtros

O parser de filtragem de eventos de e-mail suporta parâmetros de filtragem para melhorar o desempenho das consultas.

Name Tipo Description
starttime datetime Filtre eventos que começaram nesse período ou depois.
endtime datetime Filtre eventos que terminaram nesse horário ou antes.
ipaddr_has_any_prefix dynamic Filtre eventos para os quais um endereço IP começa com um dos prefixos listados.
emailfromaddress_has_any dynamic Eventos de filtro para os quais EmailFromAddress contém um dos valores listados.
emailrecipient_has_any dynamic Filtre eventos que tenham um dos destinatários listados por e-mail.
emailsubject_has_any dynamic Eventos de filtro para os quais EmailSubject contém um dos valores listados.
emaildirection_in dynamic Eventos de filtro para que EmailDirection é um dos valores listados.
emaildeliverylocation_in dynamic Eventos de filtro para que EmailDeliveryLocation é um dos valores listados.
EventResult String Filtrar eventos para os quais EventResult é igual ao valor especificado. O valor padrão, *, não filtra por resultado.
pacote booleano Quando definido como true, empacota campos de origem não mapeados no AdditionalFields campo dinâmico. O padrão é false.

Por exemplo, use a seguinte consulta para devolver e-mails recebidos enviados por endereços que contenham contoso.com durante o último dia:

_Im_EmailEvent(
	starttime=ago(1d),
	endtime=now(),
	emailfromaddress_has_any=dynamic(['contoso.com']),
	emaildirection_in=dynamic(['Inbound'])
)

Detalhes do esquema

Campos ASIM comuns

Importante

Campos comuns a todos os esquemas são descritos em detalhes nos campos comuns do ASIM. As diretrizes deste artigo prevalecem sobre as diretrizes gerais de um campo.

Campos comuns com diretrizes específicas

Field Class Tipo Description
Tipo de evento Obrigatório Enumerado Descreve a atividade normalizada de e-mail. Os valores permitidos são EmailDelivery e EmailInspection.
EventSubType Optional Enumerado Fornece mais detalhes sobre a atividade por e-mail. Os valores permitidos são EmailSent e EmailReceived.
EventSchema Obrigatório Enumerado O nome do esquema é EmailEvent.
EventSchemaVersion Obrigatório SchemaVersion (cadeia de caracteres) A versão do esquema. A versão documentada aqui é 1.0.0.
EventResultDetails Recomendado Enumerado Fornece detalhes sobre o resultado. Os valores permitidos são InvalidAddress, MailboxFull, MessageTooLarge, MessageRateLimitExceededRecipientRateLimitExceeded, BlockedByPolicy, BlockedBySpamFilter, PhishingDetected, MalwareDetected, , e Other.
EventSeverity Recomendado Enumerado A gravidade do evento. Os valores permitidos são Informational, Low, Mediume High.

Todos os campos comuns

Class Campos
Obrigatório - EventCount
- EventStartTime
- EventEndTime
- Tipo de evento
- EventResult
- EventProduct
- EventVendor
- EventSchema
- EventSchemaVersion
- DVC
Recomendado - EventResultDetails
- EventSeveridade
- EventUid
- DvcIpAddr
- Nome do host do DVC
- DvcDomain
Optional - EventMessage
- EventSubType
- EventOriginalUid
- EventOriginalType
- EventOriginalResultDetails
- EventOriginalSeverity
- EventProductVersion
- EventReportUrl
- EventOwner
- DvcDescription
- DvcFQDN
- DvcId
- Interface DvcInterface
- DvcMacAddr
- DvcOriginalAction
- DvcOs
- DvcOsVersion
- DvcScope
- DvcScopeId
- DvcZone
- Entidades Adicionais
- AdditionalFields
Condicional - DvcDomainType
- DvcIdType

Campos de Email

Field Class Tipo Description
E-mailDeEndereço Recomendado String O endereço de e-mail no cabeçalho da mensagem From .
EmailDeDomínio Optional String O domínio do endereço no cabeçalho da mensagem From .
E-mailCorreioDeEndereço Optional String O endereço do remetente do envelope usado pelo protocolo de transporte de correspondência.
EmailMailFromDomain Optional String O domínio do endereço do remetente do envelope.
E-mailResponderAParaEndereço Recomendado String O endereço de e-mail no cabeçalho da mensagem Reply-To .
EmailReplyToDomain Optional String O domínio do endereço no cabeçalho da mensagem Reply-To .
EmailToRecipients Recomendado Dinâmico Um array de destinatários no cabeçalho da mensagem To .
EmailCCRecipients Optional Dinâmico Um array de destinatários no cabeçalho da mensagem Cc .
EmailBCCRecipients Optional Dinâmico Um array de destinatários no cabeçalho da mensagem Bcc .
Assunto do E-mail Recomendado String O assunto do email.
EmailLanguage Optional String A linguagem do conteúdo do e-mail, conforme relatado pela fonte.
EmailSizeBytes Recomendado Long O tamanho total do e-mail em bytes.
EmailProtocolName Recomendado Enumerado O protocolo usado para transferir ou recuperar o e-mail. Os valores permitidos são SMTP, IMAP e POP3.
EmailDireção Recomendado Enumerado A direção do e-mail em relação ao ambiente de relatório. Os valores permitidos são Inbound, Outbound, Internal, Local e Unknown.
EmailDeliveryLocalização Optional Enumerado O local normalizado onde o e-mail foi entregue. Os valores permitidos são Inbox, Junk, Quarantinee DeletedItems.
E-mailOriginalDeliveryLocalização Optional String O local de entrega conforme informado pela fonte.
E-mailContagemFicheiroContagem Recomendado Integer O número de arquivos anexados ao e-mail.
Arquivos de E-Mail Optional Dinâmico Um array que descreve arquivos anexados ao e-mail.
E-mailContagemUrl Recomendado Integer O número de URLs encontradas no e-mail.
EmailUrls Optional Dinâmico Uma variedade de URLs encontradas no e-mail.

Campos de autenticação de e-mail

Field Class Tipo Description
EmailSpfResult Optional Enumerado O resultado normalizado do Framework de Políticas do Remetente (SPF). Os valores permitidos são Pass, Fail, SoftFail, Neutral, None, TemporaryError, e PermanentError.
EmailSpfOriginalResult Optional String O resultado do FPS conforme relatado pela fonte.
EmailDkimDomain Optional String O domínio que assinou a mensagem com DomainKeys Identified Mail (DKIM).
EmailDkimSignature Optional String A assinatura DKIM associada à mensagem.
EmailDkimResult Optional Enumerado O resultado normalizado do DKIM. Os valores permitidos são Pass, Fail, TemporaryError, PermanentError e None.
EmailDkimOriginalResult Optional String O resultado do DKIM conforme relatado pela fonte.
EmailDmarcResultado Optional Enumerado O resultado normalizado de Autenticação, Relatórios e Conformidade de Mensagens Baseadas em Domínio (DMARC). Os valores permitidos são Pass, Fail, BestGuessPasse None.
EmailDmarcOriginalResult Optional String O resultado do DMARC conforme relatado pela fonte.
EmailDmarcPolicy Optional Enumerado A política DMARC se aplicava ao e-mail. Os valores permitidos são Quarantine, Reject e None.
EmailDmarcOverride Optional Enumerado A razão pela qual a política DMARC foi anulada. Os valores permitidos são Forwarded, , LocalPolicy, MailingList, SampleOut, TrustedForwardere Other.

Campos de entrega e destino

Field Class Tipo Description
DvcAction Optional Enumerado A ação normalizada tomada no e-mail. Os valores permitidos são Delivered, Modified, Redirected, Blocked, Quarantined, Deleted, Purged, e NA.
Dst Obrigatório String Um identificador único para o destino do e-mail.
DstIpAddr Recomendado endereço IP O endereço IP do destino do e-mail.

Campos do sistema de origem

Field Class Tipo Description
Src Recomendado String Um identificador único para o sistema de origem.
SrcIpAddr Optional endereço IP Endereço IP de origem.
IpAddr Alias endereço IP Alias para SrcIpAddr.
SrcHostname Recomendado Nome do host O nome do host do dispositivo de origem, excluindo informações de domínio.
SrcDomain Recomendado Domínio O domínio do dispositivo de origem.
SrcDomainType Condicional Enumerado O tipo de SrcDomain. Os valores permitidos são Windows, FQDN e ResourceGroup. É obrigatório quando SrcDomain é usado.
SrcFQDN Optional FQDN O nome de domínio totalmente qualificado do dispositivo de origem.
SrcDvcId Optional String A ID do dispositivo de origem.
SrcDvcIdType Condicional Enumerado O tipo de SrcDvcId. Os valores permitidos são AzureResourceId, MDEid, MD4IoTid, VMConnectionId, AwsVpcIdVectraId, , ForcepointId, AppGateId, , e Other. É obrigatório quando SrcDvcId é usado.
SrcDvcScope Optional String O escopo da plataforma de nuvem ao qual o dispositivo de origem pertence.
SrcDvcScopeId Optional String O ID do escopo da plataforma em nuvem ao qual o dispositivo de origem pertence.
SrcDeviceType Optional Enumerado O tipo de dispositivo de origem.
SrcDescription Optional String Uma descrição do dispositivo de origem.
SrcIsp Optional String O provedor de serviço de internet associado ao endereço IP de origem.
SrcGeoCountry Optional String O país ou região associada ao endereço IP de origem.
SrcGeoRegion Optional String A região associada ao endereço IP de origem.
SrcGeoCity Optional String A cidade associada ao endereço IP de origem.
SrcGeoLatitude Optional Real A latitude associada ao endereço IP de origem.
SrcGeoLongitude Optional Real A longitude associada ao endereço IP de origem.

Campos de usuário de origem

Field Class Tipo Description
SrcUserName Optional String O nome do usuário de origem.
User Alias String Alias para SrcUserName.
SrcUserUpn Recomendado String O Nome Principal do Usuário (UPN) do usuário de origem.
SrcUserId Optional String Um identificador legível por máquina para o usuário de origem.
SrcUserIdType Optional Enumerado O tipo de SrcUserId. Os valores permitidos são SID, UID, AADID, OktaIdAWSId, PUID, SalesforceId, VectraUserId, MD4IoTid, , e Other.
SrcUsernameType Optional Enumerado O tipo do valor em SrcUserName.
SrcUserScope Optional String O escopo em que o usuário fonte é definido.
SrcUserScopeId Optional String O ID do escopo no qual o usuário fonte é definido.

Campos de inspeção

Os campos a seguir descrevem a regra, ameaça ou indicador associado à inspeção de e-mails.

Field Class Tipo Description
RuleName Optional String O nome ou identificação da regra de inspeção.
RuleNumber Optional Integer O ID numérico da regra de inspeção.
Regra Alias String Alias para RuleName.
RuleDescription Optional String Uma descrição da regra de inspeção.
IndicatorType Optional Enumerado O tipo de indicador identificado no evento de e-mail.
IndicatorAssociation Optional Enumerado A associação entre o indicador e o evento de e-mail.
ID da Ameaça Optional String A identidade da ameaça identificada no e-mail.
Nome da Ameaça Optional String O nome da ameaça identificada no e-mail.
ThreatCategory Optional String A categoria de ameaça normalizada.
ThreatOriginalCategory Optional String A categoria de ameaça conforme relatada pela fonte.
ThreatRiskLevel Optional RiskLevel (Inteiro) O nível normalizado de risco de ameaça, de 0 até o 100.
ThreatOriginalRiskLevel Optional String O nível de risco de ameaça conforme relatado pela fonte.
ThreatConfidence Optional ConfidenceLevel (inteiro) O nível de confiança normalizado, de 0 através 100de .
ThreatOriginalConfidence Optional String A confiança na ameaça conforme relatada pela fonte.
ThreatIsActive Optional booleano Indica se a ameaça identificada está ativa.
ThreatFirstReportedTime Optional Data e hora A primeira vez que a ameaça foi reportada.
ThreatLastReportedTime Optional Data e hora A última vez que a ameaça foi reportada.
ThreatIpAddr Optional endereço IP Um endereço IP associado à ameaça identificada.
ThreatField Condicional Enumerado O campo para o qual a ameaça foi identificada.
Táticas de ataque Optional String As táticas MITRE ATT&CK associadas ao evento de e-mail.
AttackTechniques Optional String As técnicas MITRE ATT&CK associadas ao evento por e-mail.
AttackRemediationSteps Optional String Passos recomendados para remediar o ataque ou ameaça identificada.

Atualizações de esquema

Versão 1.0.0 é a versão inicial do esquema de Evento de E-mail.

Conteúdo relacionado

  • Última atualização em