Microsoft Sentinel referência do esquema de normalização de gestão de utilizadores

O Microsoft Sentinel esquema de normalização de gestão de utilizadores é utilizado para descrever atividades de gestão de utilizadores, como criar um utilizador ou um grupo, alterar o atributo de utilizador ou adicionar um utilizador a um grupo. Tais eventos são comunicados, por exemplo, por sistemas operativos, serviços de diretório, sistemas de gestão de identidades e qualquer outro relatório de sistema sobre a atividade de gestão de utilizadores local.

Para obter mais informações sobre a normalização no Microsoft Sentinel, veja Normalização e Modelo avançado de informações de segurança (ASIM).

Visão geral do esquema

O esquema de gestão de utilizadores do ASIM descreve as atividades de gestão de utilizadores. Normalmente, as atividades incluem as seguintes entidades:

  • Actor – o utilizador que executa a atividade de gestão.
  • Processo de Representação – o processo utilizado pelo ator para efetuar a atividade de gestão.
  • Src – quando a atividade é efetuada através da rede, o dispositivo de origem a partir do qual a atividade foi iniciada.
  • Utilizador de Destino – o utilizador que é a conta é gerida.
  • Agrupar o utilizador de destino é adicionado ou removido ou modificado.

Algumas atividades, como UserCreated, GroupCreated, UserModified e GroupModified*, definem ou atualizam as propriedades do utilizador. O conjunto de propriedades ou atualizado está documentado nos seguintes campos:

Analisadores

Para obter mais informações sobre os analisadores do ASIM, veja Descrição geral dos analisadores do ASIM.

Filtrar parâmetros do analisador

Os analisadores de Gestão de Utilizadores suportam parâmetros de filtragem. Embora estes parâmetros sejam opcionais, podem melhorar o desempenho da consulta.

Estão disponíveis os seguintes parâmetros de filtragem:

Nome Tipo Descrição
hora de início datetime Filtre apenas eventos de gestão de utilizadores que ocorreram em ou depois deste momento. Este parâmetro filtra no TimeGenerated campo, que é o designador padrão para a hora do evento, independentemente do mapeamento específico do analisador dos campos EventStartTime e EventEndTime.
endtime datetime Filtre apenas os eventos de gestão de utilizadores que ocorreram em ou antes deste momento. Este parâmetro filtra no TimeGenerated campo, que é o designador padrão para a hora do evento, independentemente do mapeamento específico do analisador dos campos EventStartTime e EventEndTime.
srcipaddr_has_any_prefix dinâmico Filtre apenas eventos de gestão de utilizadores em que o prefixo do endereço IP de origem corresponda a qualquer um dos valores listados. Os prefixos devem terminar com um ., por exemplo: 10.0..
targetusername_has_any dinâmico Filtre apenas eventos de gestão de utilizadores em que o nome de utilizador de destino tenha qualquer um dos valores listados.
actorusername_has_any dinâmico Filtre apenas eventos de gestão de utilizadores em que o nome de utilizador do ator tenha qualquer um dos valores listados.
eventtype_in dinâmico Filtre apenas eventos de gestão de utilizadores em que o tipo de evento seja um dos valores listados, como UserCreated, UserDeleted, UserModified, PasswordChangedou GroupCreated.

Por exemplo, para filtrar apenas eventos de criação de utilizadores do último dia, utilize:

_Im_UserManagement (eventtype_in=dynamic(['UserCreated']), starttime = ago(1d), endtime=now())

Detalhes do esquema

Campos ASIM comuns

Importante

Os campos comuns a todos os esquemas são descritos em detalhe no artigo Campos Comuns do ASIM .

Campos comuns com diretrizes específicas

A lista seguinte menciona campos que têm diretrizes específicas para eventos de atividade do processo:

Campo Classe Tipo Descrição
EventType Obrigatório Enumerado Descreve a operação comunicada pelo registo.

Para a atividade de Gestão de Utilizadores, os valores suportados são:
- UserCreated
- UserDeleted
- UserModified
- UserLocked
- UserUnlocked
- UserDisabled
- UserEnabled
- PasswordChanged
- PasswordReset
- GroupCreated
- GroupDeleted
- GroupModified
- UserAddedToGroup
- UserRemovedFromGroup
- GroupEnumerated
- UserRead
- GroupRead
EventSubType Opcional Enumerado São suportados os seguintes subtipos:
- UserRead: Palavra-passe, Hash
- UserCreated, GroupCreated, UserModified, GroupModified. Para obter mais informações, veja UpdatedPropertyName
EventResult Obrigatório Enumerado Embora a falha seja possível, a maioria dos sistemas reporta apenas eventos de gestão de utilizadores com êxito. O valor esperado para eventos com êxito é Success.
EventResultDetails Recomendado Enumerado Os valores válidos são NotAuthorized e Other.
EventSeverity Obrigatório Enumerado Embora seja permitido qualquer valor de gravidade válido, a gravidade dos eventos de gestão de utilizadores é normalmente Informational.
EventSchema Obrigatório Enumerado O nome do esquema documentado aqui é UserManagement.
EventSchemaVersion Obrigatório SchemaVersion (Cadeia) A versão do esquema. A versão do esquema documentado aqui é 0.1.2.
Campos dvc Para eventos de gestão de utilizadores, os campos do dispositivo referem-se ao sistema que reporta o evento. Normalmente, este é o sistema no qual o utilizador é gerido.

Todos os campos comuns

Os campos que aparecem na tabela abaixo são comuns a todos os esquemas ASIM. Qualquer orientação especificada acima substitui as diretrizes gerais do campo. Por exemplo, um campo pode ser opcional em geral, mas obrigatório para um esquema específico. Para obter mais detalhes sobre cada campo, veja o artigo Campos Comuns do ASIM .

Classe Fields
Obrigatório - EventCount
- EventStartTime
- EventEndTime
- EventType
- EventResult
- EventProduct
- EventVendor
- EventSchema
- EventSchemaVersion
- Dvc
Recomendado - EventResultDetails
- EventoSeverity
- EventUid
- DvcIpAddr
- DvcHostname
- DvcDomain
- DvcDomainType
- DvcFQDN
- DvcId
- DvcIdType
- DvcAction
Opcional - EventMessage
- EventSubType
- EventOriginalUid
- EventOriginalType
- EventOriginalSubType
- EventOriginalResultDetails
- EventOriginalSeverity
- EventProductVersion
- EventReportUrl
- EventOwner
- DvcZone
- DvcMacAddr
- DvcOs
- DvcOsVersion
- DvcOriginalAction
- DvcInterface
- Campos Adicionais
- DvcDescription
- DvcScopeId
- DvcScope

Campos de propriedade atualizados

Campo Classe Tipo Descrição
UpdatedPropertyName Alias Alias para EventSubType quando o Tipo de Evento é UserCreated, GroupCreated, UserModifiedou GroupModified.

Os valores com suporte são:
- MultipleProperties: utilizado quando a atividade atualiza várias propriedades
- Previous<PropertyName>, em que <PropertyName> é um dos valores suportados para UpdatedPropertyName.
- New<PropertyName>, em que <PropertyName> é um dos valores suportados para UpdatedPropertyName.
PreviousPropertyValue Opcional Cadeia de caracteres O valor anterior que foi armazenado na propriedade especificada.
NewPropertyValue Opcional Cadeia de caracteres O novo valor armazenado na propriedade especificada.

Campos de utilizador de destino

Campo Classe Tipo Descrição
TargetUserId Opcional Cadeia de caracteres Uma representação exclusiva, alfanumérica e legível por computador do utilizador de destino.

Os formatos e tipos suportados incluem:
- SID (Windows): S-1-5-21-1377283216-344919071-3415362939-500
- UID (Linux):4578
- AADID (Microsoft Entra ID):9267d02c-5f76-40a9-a9eb-b686f3ca47aa
- OktaId: 00urjk4znu3BcncfY0h7
- AWSId: 72643944673

Armazene o tipo de ID no campo TargetUserIdType . Se estiverem disponíveis outros IDs, recomendamos que normalize os nomes dos campos para TargetUserSid, TargetUserUid, TargetUserAADID, TargetUserOktaId e TargetUserAwsId, respetivamente. Para obter mais informações, veja A entidade Utilizador.

Exemplo: S-1-12
TargetUserIdType Condicional Enumerado O tipo do ID armazenado no campo TargetUserId .

Os valores suportados são , , , e AWSIdOktaId. AADIDUIDSID
TargetUsername Opcional Nome de utilizador (Cadeia) O nome de utilizador de destino, incluindo as informações de domínio quando disponíveis.

Utilize um dos seguintes formatos e, na seguinte ordem de prioridade:
- Upn/Email:johndow@contoso.com
- Windows: Contoso\johndow
- DN: CN=Jeff Smith,OU=Sales,DC=Fabrikam,DC=COM
- Simples: johndow. Utilize o formulário Simples apenas se as informações de domínio não estiverem disponíveis.

Armazene o tipo nome de utilizador no campo TargetUsernameType . Se estiverem disponíveis outros IDs, recomendamos que normalize os nomes dos campos para TargetUserUpn, TargetUserWindows e TargetUserDn. Para obter mais informações, veja A entidade Utilizador.

Exemplo: AlbertE
TargetUsernameType Condicional Enumerado Especifica o tipo do nome de utilizador armazenado no campo TargetUsername . Os valores suportados incluem UPN, Windows, DNe Simple. Para obter mais informações, veja A entidade Utilizador.

Exemplo: Windows
TargetUserType Opcional Enumerado O tipo de utilizador de destino. Os valores suportados incluem:
- Regular
- Machine
- Admin
- System
- Application
- Service Principal
- Other

Nota: o valor pode ser fornecido no registo de origem com termos diferentes, que devem ser normalizados para estes valores. Armazene o valor original no campo TargetOriginalUserType .
TargetOriginalUserType Opcional Cadeia de caracteres O tipo de utilizador de destino original, se for fornecido pela origem.
TargetUserScope Opcional Cadeia de caracteres O âmbito, como Microsoft Entra inquilino, no qual TargetUserId e TargetUsername estão definidos. ou mais informações e lista de valores permitidos, veja UserScope no artigo Descrição Geral do Esquema.
TargetUserScopeId Opcional Cadeia de caracteres O ID de âmbito, como Microsoft Entra ID do Diretório, no qual TargetUserId e TargetUsername são definidos. para obter mais informações e lista de valores permitidos, veja UserScopeId no artigo Descrição Geral do Esquema.
TargetUserSessionId Opcional Cadeia de caracteres O ID exclusivo da sessão de início de sessão do utilizador de destino.

Exemplo: 999

Nota: o tipo é definido como cadeia para suportar vários sistemas, mas no Windows este valor tem de ser numérico.

Se estiver a utilizar um computador Windows ou Linux e tiver utilizado um tipo diferente, certifique-se de que converte os valores. Por exemplo, se utilizou um valor hexadecimal, converta-o num valor decimal.

Campos de ator

Campo Classe Tipo Descrição
ActorUserId Opcional Cadeia de caracteres Uma representação exclusiva, alfanumérica e legível por computador do Ator.

Os formatos e tipos suportados incluem:
- SID (Windows): S-1-5-21-1377283216-344919071-3415362939-500
- UID (Linux):4578
- AADID (Microsoft Entra ID):9267d02c-5f76-40a9-a9eb-b686f3ca47aa
- OktaId: 00urjk4znu3BcncfY0h7
- AWSId: 72643944673

Armazene o tipo de ID no campo ActorUserIdType . Se estiverem disponíveis outros IDs, recomendamos que normalize os nomes dos campos para ActorUserSid, ActorUserUid, ActorUserAadId, ActorUserOktaId e ActorAwsId, respetivamente. Para obter mais informações, veja A entidade Utilizador.

Exemplo: S-1-12
ActorUserIdType Condicional Enumerado O tipo do ID armazenado no campo ActorUserId . Os valores suportados incluem SID, UID, AADID, , OktaIde AWSId.
ActorUsername Obrigatório Nome de utilizador (Cadeia) O Nome de utilizador do Ator, incluindo informações de domínio quando disponível.

Utilize um dos seguintes formatos e, na seguinte ordem de prioridade:
- Upn/Email:johndow@contoso.com
- Windows: Contoso\johndow
- DN: CN=Jeff Smith,OU=Sales,DC=Fabrikam,DC=COM
- Simples: johndow. Utilize o formulário Simples apenas se as informações de domínio não estiverem disponíveis.

Armazene o tipo nome de utilizador no campo ActorUsernameType . Se estiverem disponíveis outros IDs, recomendamos que normalize os nomes dos campos para ActorUserUpn, ActorUserWindows e ActorUserDn.

Para obter mais informações, veja A entidade Utilizador.

Exemplo: AlbertE
Utilizador Alias Alias para ActorUsername.
ActorUsernameType Condicional Enumerado Especifica o tipo do nome de utilizador armazenado no campo ActorUsername . Os valores suportados são UPN, Windows, DNe Simple. Para obter mais informações, veja A entidade Utilizador.

Exemplo: Windows
ActorUserType Opcional Enumerado O tipo do Ator. Os valores permitidos são:
- Regular
- Machine
- Admin
- System
- Application
- Service Principal
- Other

Nota: o valor pode ser fornecido no registo de origem com termos diferentes, que devem ser normalizados para estes valores. Armazene o valor original no campo ActorOriginalUserType .
ActorOriginalUserType Opcional Cadeia de caracteres O tipo de utilizador de destino original, se for fornecido pelo dispositivo de relatório.
ActorOriginalUserType O tipo de utilizador do ator original, se for fornecido pela origem.
ActorSessionId Opcional Cadeia de caracteres O ID exclusivo da sessão de início de sessão do Ator.

Exemplo: 999

Nota: o tipo é definido como cadeia para suportar vários sistemas, mas no Windows este valor tem de ser numérico.

Se estiver a utilizar um computador Windows e tiver utilizado um tipo diferente, certifique-se de que converte os valores. Por exemplo, se utilizou um valor hexadecimal, converta-o num valor decimal.
ActorScope Opcional Cadeia de caracteres O âmbito, como Microsoft Entra inquilino, no qual ActorUserId e ActorUsername estão definidos. ou mais informações e lista de valores permitidos, veja UserScope no artigo Descrição Geral do Esquema.
ActorScopeId Opcional Cadeia de caracteres O ID de âmbito, como Microsoft Entra ID do Diretório, no qual ActorUserId e ActorUsername estão definidos. ou mais informações e lista de valores permitidos, veja UserScopeId no artigo Descrição Geral do Esquema.

Campos de grupo

Campo Classe Tipo Descrição
GroupId Opcional Cadeia de caracteres Uma representação exclusiva, alfanumérica e legível por computador do grupo, para atividades que envolvam um grupo.

Os formatos e tipos suportados incluem:
- SID (Windows): S-1-5-21-1377283216-344919071-3415362939-500
- UID (Linux):4578

Armazene o tipo de ID no campo GroupIdType . Se estiverem disponíveis outros IDs, recomendamos que normalize os nomes dos campos para GroupSid ou GroupUid, respetivamente. Para obter mais informações, veja A entidade Utilizador.

Exemplo: S-1-12
GroupIdType Opcional Enumerado O tipo do ID armazenado no campo GroupId .

Os valores suportados são SID, e UID.
GroupName Opcional Cadeia de caracteres O nome do grupo, incluindo informações de domínio quando disponível, para atividades que envolvam um grupo.

Utilize um dos seguintes formatos e, na seguinte ordem de prioridade:
- Upn/Email:grp@contoso.com
- Windows: Contoso\grp
- DN: CN=grp,OU=Sales,DC=Fabrikam,DC=COM
- Simples: grp. Utilize o formulário Simples apenas se as informações de domínio não estiverem disponíveis.

Armazene o tipo de nome do grupo no campo GroupNameType . Se estiverem disponíveis outros IDs, recomendamos que normalize os nomes dos campos para GroupUpn, GroupNameWindows e GroupDn.

Exemplo: Contoso\Finance
GroupNameType Opcional Enumerado Especifica o tipo do nome do grupo armazenado no campo GroupName . Os valores suportados incluem UPN, Windows, DNe Simple.

Exemplo: Windows
GroupType Opcional Enumerado O tipo do grupo, para atividades que envolvam um grupo. Os valores suportados incluem:
- Local Distribution
- Local Security Enabled
- Global Distribution
- Global Security Enabled
- Universal Distribution
- Universal Security Enabled
- Other

Nota: o valor pode ser fornecido no registo de origem com termos diferentes, que devem ser normalizados para estes valores. Armazene o valor original no campo GroupOriginalType .
GroupOriginalType Opcional Cadeia de caracteres O tipo de grupo original, se for fornecido pela origem.

Campos de origem

Campo Classe Tipo Descrição
Src Recomendado Cadeia de caracteres Um identificador exclusivo do dispositivo de origem.

Este campo pode alias os campos SrcDvcId, SrcHostname ou SrcIpAddr .

Exemplo: 192.168.12.1
SrcIpAddr Recomendado Endereço IP O endereço IP do dispositivo de origem. Este valor é obrigatório se srcHostname for especificado.

Exemplo: 77.138.103.108
IpAddr Alias Alias para SrcIpAddr.
SrcPortNumber Opcional Número inteiro A porta IP a partir da qual a ligação teve origem. Pode não ser relevante para uma sessão que inclua várias ligações.

Exemplo: 2335
SrcMacAddr Opcional Endereço MAC (Cadeia) O endereço MAC da interface de rede a partir da qual a ligação ou sessão teve origem.

Exemplo: 06:10:9f:eb:8f:14
SrcDescription Opcional Cadeia de caracteres Um texto descritivo associado ao dispositivo. Por exemplo: Primary Domain Controller.
SrcHostname Recomendado Cadeia de caracteres O nome do anfitrião do dispositivo de origem, excluindo as informações de domínio.

Exemplo: DESKTOP-1282V4D
SrcDomain Recomendado Domínio (Cadeia) O domínio do dispositivo de origem.

Exemplo: Contoso
SrcDomainType Recomendado Enumerado O tipo de SrcDomain, se conhecido. Os valores possíveis incluem:
- Windows (por contosoexemplo, )
- FQDN (por microsoft.comexemplo, )

Necessário se o SrcDomain for utilizado.
SrcFQDN Opcional FQDN (Cadeia) O nome do anfitrião do dispositivo de origem, incluindo informações de domínio quando disponível.

Nota: este campo suporta o formato FQDN tradicional e o formato de domínio/nome do anfitrião do Windows. O campo SrcDomainType reflete o formato utilizado.

Exemplo: Contoso\DESKTOP-1282V4D
SrcDvcId Opcional Cadeia de caracteres O ID do dispositivo de origem, conforme comunicado no registo.

Exemplo: ac7e9755-8eae-4ffc-8a02-50ed7a2216c3
SrcDvcScopeId Opcional Cadeia de caracteres O ID de âmbito da plataforma na cloud ao qual o dispositivo pertence. O mapa SrcDvcScopeId é mapeado para um ID de subscrição no Azure e para um ID de conta no AWS.
SrcDvcScope Opcional Cadeia de caracteres O âmbito da plataforma na cloud ao qual o dispositivo pertence. O SrcDvcScope mapeia para um ID de subscrição no Azure e para um ID de conta no AWS.
SrcDvcIdType Condicional Enumerado O tipo de SrcDvcId, se conhecido. Os valores possíveis incluem:
- AzureResourceId
- MDEid

Se estiverem disponíveis vários IDs, utilize o primeiro da lista anterior e armazene os outros em SrcDvcAzureResourceId e SrcDvcMDEid, respetivamente.

Nota: este campo é necessário se o SrcDvcId for utilizado.
SrcDeviceType Opcional Enumerado O tipo do dispositivo de origem. Os valores possíveis incluem:
- Computer
- Mobile Device
- IOT Device
- Other
SrcGeoCountry Opcional País/Região O país/região associado ao endereço IP de origem.

Exemplo: USA
SrcGeoRegion Opcional Região A região associada ao endereço IP de origem.

Exemplo: Vermont
SrcGeoCity Optional Cidade A cidade associada ao endereço IP de origem.

Exemplo: Burlington
SrcGeoLatitude Opcional Latitude A latitude da coordenada geográfica associada ao endereço IP de origem.

Exemplo: 44.475833
SrcGeoLongitude Opcional Longitude A longitude da coordenada geográfica associada ao endereço IP de origem.

Exemplo: 73.211944
SrcRiskLevel Opcional Número inteiro O nível de risco associado à origem. O valor deve ser ajustado para um intervalo de 0 para , com 0 para benigno e 100 para 100um risco elevado.

Exemplo: 90
SrcOriginalRiskLevel Opcional Cadeia de caracteres O nível de risco associado à origem, conforme comunicado pelo dispositivo de relatório.

Exemplo: Suspicious

Aplicação em Ação

Campo Classe Tipo Descrição
ActingAppId Opcional Cadeia de caracteres O ID da aplicação utilizada pelo ator para realizar a atividade, incluindo um processo, browser ou serviço.

Por exemplo: 0x12ae8
ActingAppName Opcional Cadeia de caracteres O nome da aplicação utilizada pelo ator para realizar a atividade, incluindo um processo, browser ou serviço.

Por exemplo: C:\Windows\System32\svchost.exe
ActingAppType Opcional Enumerado O tipo de aplicação em ação. Os valores suportados incluem:
- Process
- Browser
- Resource
- Other
ActingOriginalAppType Opcional Cadeia de caracteres O tipo da aplicação que iniciou a atividade conforme comunicado pelo dispositivo de relatório.
HttpUserAgent Opcional Cadeia de caracteres Quando a autenticação é efetuada através de HTTP ou HTTPS, o valor deste campo é o cabeçalho http user_agent fornecido pela aplicação em ação ao efetuar a autenticação.

Por exemplo: Mozilla/5.0 (iPhone; CPU iPhone OS 12_1 like Mac OS X) AppleWebKit/605.1.15 (KHTML, like Gecko) Version/12.0 Mobile/15E148 Safari/604.1

Campos de inspeção

Os seguintes campos são utilizados para representar essa inspeção realizada por um sistema de segurança como um sistema EDR.

Campo Classe Tipo Descrição
RuleName Opcional Cadeia de caracteres O nome ou ID da regra associado aos resultados da inspeção.
RuleNumber Opcional Número inteiro O número da regra associada aos resultados da inspeção.
Rule Condicional Cadeia de caracteres O valor de kRuleName ou o valor de RuleNumber. Se o valor de RuleNumber for utilizado, o tipo deve ser convertido em cadeia.
ThreatId Opcional Cadeia de caracteres O ID da ameaça ou software maligno identificado na atividade do ficheiro.
ThreatName Opcional Cadeia de caracteres O nome da ameaça ou software maligno identificado na atividade do ficheiro.

Exemplo: EICAR Test File
ThreatCategory Opcional Cadeia de caracteres A categoria da ameaça ou software maligno identificado na atividade do ficheiro.

Exemplo: Trojan
ThreatRiskLevel Opcional RiskLevel (Número Inteiro) O nível de risco associado à ameaça identificada. O nível deve ser um número entre 0 e 100.

Nota: o valor pode ser fornecido no registo de origem com uma escala diferente, que deve ser normalizada para esta escala. O valor original deve ser armazenado em ThreatOriginalRiskLevel.
ThreatOriginalRiskLevel Opcional Cadeia de caracteres O nível de risco, conforme comunicado pelo dispositivo de relatório.
ThreatField Opcional Cadeia de caracteres O campo para o qual foi identificada uma ameaça.
ThreatConfidence Opcional ConfidenceLevel (Número Inteiro) O nível de confiança da ameaça identificada, normalizado para um valor entre 0 e 100.
ThreatOriginalConfidence Opcional Cadeia de caracteres O nível de confiança original da ameaça identificado, conforme comunicado pelo dispositivo de relatório.
ThreatIsActive Opcional Booliano Verdadeiro se a ameaça identificada for considerada uma ameaça ativa.
ThreatFirstReportedTime Opcional datetime A primeira vez que o endereço IP ou domínio foi identificado como uma ameaça.
ThreatLastReportedTime Opcional datetime A última vez que o endereço IP ou domínio foi identificado como uma ameaça.

Campos e aliases adicionais

Campo Classe Tipo Descrição
Nome do anfitrião Alias Alias para DvcHostname.

Atualizações de esquema

As alterações na versão 0.1.2 do esquema são:

  • Campos de inspeção adicionados.
  • Foram adicionados os campos SrcDescriptionde origem , SrcMacAddr, SrcOriginalRiskLevel, SrcPortNumber, , SrcRiskLevel
  • Foram adicionados os campos TargetUserScopede destino , TargetUserScopeId, TargetUserSessionId
  • Foram adicionados os campos ActorOriginalUserTypede ator , ActorScope, ActorScopeId
  • Adicionado o campo da aplicação em ação ActingOriginalAppType

Próximas etapas

Para saber mais, confira:

  • Last updated on