Referência do esquema de normalização de eventos de e-mail ASIM Microsoft Sentinel

O esquema de normalização do Microsoft Sentinel Email Event representa a atividade de entrega e inspeção do email. Inclui detalhes de endereçamento e encaminhamento de mensagens, resultados de autenticação por email, resultados de entrega e ameaças identificadas nas mensagens de email.

Use o esquema de Eventos de Email para normalizar registos de servidores de email, gateways de email seguros, serviços de segurança de email e outros sistemas que processam ou inspecionam emails. A normalização permite-lhe analisar estes registos com nomes e valores de campos consistentes, independentemente da fonte.

Para obter mais informações sobre a normalização no Microsoft Sentinel, veja Normalização e Modelo avançado de informações de segurança (ASIM).

Visão geral do esquema

Os principais campos de um evento de email descrevem:

Os Dvc campos descrevem o sistema de reporte ou inspeção.

Analisadores

Implementar e usar parsers de eventos de email

Implementa analisadores ASIM a partir do repositório Microsoft Sentinel GitHub. Para consultar todas as fontes normalizadas de eventos de email, use o parser _Im_EmailEvent unificador como nome da tabela na sua consulta.

Para obter mais informações sobre a utilização de analisadores ASIM, veja Descrição geral dos analisadores asIM.

Adicionar os seus próprios analisadores normalizados

Quando implementar analisadores personalizados para o modelo de informação de Eventos de Email, use a seguinte sintaxe de nomenclatura:

  • ASimEmailEvent<vendor><Product> Para analisadores normais.
  • vimEmailEvent<vendor><Product> para analisadores parametrizados.

Para adicionar analisadores personalizados ao analisador unificador do Evento de Email, veja Gerir analisadores ASIM.

Resultados do parser de filtros

O parser de filtragem de eventos de email suporta parâmetros de filtragem para melhorar o desempenho das consultas.

Name Tipo Description
hora de início datetime Filtra os eventos que começaram nessa altura ou depois.
endtime datetime Filtrar os eventos que terminaram nessa altura ou antes.
ipaddr_has_any_prefix dynamic Filtrar eventos para os quais um endereço IP começa com um dos prefixos listados.
emailfromaddress_has_any dynamic Filtrar eventos para os quais EmailFromAddress contém um dos valores listados.
emailrecipient_has_any dynamic Filtrar eventos que tenham um dos destinatários do email listados.
emailsubject_has_any dynamic Filtrar eventos para os quais EmailSubject contém um dos valores listados.
emaildirection_in dynamic Filtrar eventos para que EmailDirection é um dos valores listados.
emaildeliverylocation_in dynamic Filtrar eventos para que EmailDeliveryLocation é um dos valores listados.
eventresult String Filtrar eventos para os quais EventResult é igual ao valor especificado. O valor padrão, *, não filtra pelo resultado.
Pacote booleano Quando definido para true, empacota campos fonte não mapeados no AdditionalFields campo dinâmico. A predefinição é false.

Por exemplo, use a seguinte consulta para devolver emails recebidos enviados por endereços que contenham contoso.com durante o último dia:

_Im_EmailEvent(
	starttime=ago(1d),
	endtime=now(),
	emailfromaddress_has_any=dynamic(['contoso.com']),
	emaildirection_in=dynamic(['Inbound'])
)

Detalhes do esquema

Campos ASIM comuns

Importante

Os campos comuns a todos os esquemas são descritos em detalhe nos campos comuns do ASIM. As diretrizes deste artigo sobrepõem-se às diretrizes gerais de um campo.

Campos comuns com diretrizes específicas

Field Class Tipo Description
EventoType Obrigatório Enumerado Descreve a atividade normalizada do email. Os valores permitidos são EmailDelivery e EmailInspection.
Subtipo de Evento Opcional Enumerado Fornece mais detalhes sobre a atividade por email. Os valores permitidos são EmailSent e EmailReceived.
EventSchema Obrigatório Enumerado O nome do esquema é EmailEvent.
EventSchemaVersion Obrigatório SchemaVersion (Cadeia) A versão do esquema. A versão aqui documentada é 1.0.0.
EventResultDetails Recommended Enumerado Fornece detalhes sobre o resultado. Os valores permitidos são InvalidAddress, MailboxFull, MessageTooLarge, MessageRateLimitExceeded, RecipientRateLimitExceededBlockedByPolicy, BlockedBySpamFilter, PhishingDetected, , MalwareDetected, e Other.
EventoSeverity Recommended Enumerado A gravidade do evento. Os valores permitidos são Informational, Low, Mediume High.

Todos os campos comuns

Class Fields
Obrigatório - Contagem de Eventos
- EventoInícioHora
- EventEndTime
- EventoType
- EventResult
- EventProduct
- EventVendor
- EventSchema
- EventSchemaVersion
- DVC
Recommended - EventResultDetails
- EventoSeverity
- EventUid
- DvcIpAddr
- DvcNome de Anfitrião
- DvcDomain
Opcional - EventMessage
- Subtipo de Evento
- EventOriginalUid
- EventOriginalType
- EventOriginalResultDetails
- EventoOriginalSeveridade
- EventProductVersion
- EventReportUrl
- Proprietário do Evento
- DvcDescription
- DvcFQDN
- DvcId
- DvcInterface
- DvcMacAddr
- DvcOriginalAction
- DvcOs
- DvcOsVersion
- DvcScope
- DvcScopeId
- DvcZone
- Entidades Adicionais
- Campos Adicionais
Conditional - DvcDomainType
- DvcIdType

Campos de email

Field Class Tipo Description
EmailFromAddress Recommended String O endereço de email no cabeçalho da mensagem From .
EmailFromDomain Opcional String O domínio do endereço no cabeçalho da mensagem From .
EmailMailFromAddress Opcional String O endereço do remetente do envelope usado pelo protocolo de transporte de correio.
EmailMailFromDomain Opcional String O domínio do endereço do remetente do envelope.
EmailResponderParaEndereço Recommended String O endereço de email no cabeçalho da mensagem Reply-To .
EmailReplyToDomain Opcional String O domínio do endereço no cabeçalho da mensagem Reply-To .
EmailToRecipients Recommended Dynamic Um array de destinatários no cabeçalho da mensagem To .
EmailCCRecipients Opcional Dynamic Um array de destinatários no cabeçalho da mensagem Cc .
EmailBCCRecipients Opcional Dynamic Um array de destinatários no cabeçalho da mensagem Bcc .
Assunto do EmailT Recommended String O assunto do e-mail.
EmailLanguage Opcional String A linguagem do conteúdo do email, conforme reportado pela fonte.
EmailSizeBytes Recommended Long O tamanho total do email em bytes.
EmailProtocolName Recommended Enumerado O protocolo usado para transferir ou recuperar o email. Os valores permitidos são SMTP, IMAPe POP3.
EmailDireção Recommended Enumerado A direção do email em relação ao ambiente de reporte. Os valores permitidos são Inbound, Outbound, Internal, Local, e Unknown.
EmailDeliveryLocalização Opcional Enumerado O local normalizado onde o email foi entregue. Os valores permitidos são Inbox, Junk, Quarantinee DeletedItems.
EmailOriginalDeliveryLocalização Opcional String O local de entrega conforme reportado pela fonte.
EmailFicheiroContagem Recommended Integer O número de ficheiros anexados ao email.
EmailFiles Opcional Dynamic Um array que descreve ficheiros anexados ao email.
EmailUrlCount Recommended Integer O número de URLs encontrados no email.
EmailUrls Opcional Dynamic Uma série de URLs encontradas no email.

Campos de autenticação de email

Field Class Tipo Description
EmailSpfResultado Opcional Enumerado O resultado normalizado do Quadro de Política do Remetente (SPF). Os valores permitidos são Pass, Fail, SoftFail, Neutral, None, TemporaryError, e PermanentError.
EmailSpfOriginalResult Opcional String O resultado do SPF conforme reportado pela fonte.
EmailDkimDomain Opcional String O domínio que assinou a mensagem com DomainKeys Identified Mail (DKIM).
EmailDkimSignature Opcional String A assinatura DKIM associada à mensagem.
EmailDkimResult Opcional Enumerado O resultado DKIM normalizado. Os valores permitidos são Pass, Fail, TemporaryError, PermanentError, e None.
EmailDkimOriginalResult Opcional String O resultado do DKIM foi reportado pela fonte.
EmailDmarcResult Opcional Enumerado O resultado normalizado de Autenticação, Relatórios e Conformidade de Mensagens Baseadas em Domínio (DMARC). Os valores permitidos são Pass, Fail, BestGuessPasse None.
EmailDmarcOriginalResult Opcional String O resultado do DMARC conforme reportado pela fonte.
EmailDmarcPolicy Opcional Enumerado A política DMARC aplicava-se ao email. Os valores permitidos são Quarantine, Rejecte None.
EmailDmarcOverride Opcional Enumerado A razão pela qual a política do DMARC foi anulada. Os valores permitidos são Forwarded, LocalPolicy, MailingList, SampleOut, TrustedForwarder, e Other.

Campos de entrega e destino

Field Class Tipo Description
DvcAction Opcional Enumerado A ação normalizada tomada no email. Os valores permitidos são Delivered, Modified, Redirected, Blocked, Quarantined, Deleted, Purged, e NA.
Dst Obrigatório String Um identificador único para o destino do email.
DstIpAddr Recommended endereço IP O endereço IP do destino do email.

Campos do sistema de origem

Field Class Tipo Description
Src Recommended String Um identificador único para o sistema de origem.
SrcIpAddr Opcional endereço IP O endereço IP de origem.
IpAddr Alias endereço IP Alias para SrcIpAddr.
SrcHostname Recommended Hostname O nome de host do dispositivo de origem, excluindo informações de domínio.
SrcDomain Recommended Domain O domínio do dispositivo de origem.
SrcDomainType Conditional Enumerado O tipo de SrcDomain. Os valores permitidos são Windows, FQDNe ResourceGroup. É obrigatório quando SrcDomain é utilizado.
SrcFQDN Opcional FQDN O nome de domínio totalmente qualificado do dispositivo de origem.
SrcDvcId Opcional String A ID do dispositivo de origem.
SrcDvcIdType Conditional Enumerado O tipo de SrcDvcId. Os valores permitidos são AzureResourceId, MDEid, MD4IoTid, VMConnectionId, AwsVpcIdVectraId, ForcepointId, , AppGateId, e Other. É obrigatório quando SrcDvcId é utilizado.
SrcDvcScope Opcional String O âmbito da plataforma cloud ao qual pertence o dispositivo de origem.
SrcDvcScopeId Opcional String O ID do âmbito da plataforma cloud ao qual o dispositivo de origem pertence.
SrcDeviceType Opcional Enumerado O tipo de dispositivo de origem.
SrcDescription Opcional String Uma descrição do dispositivo de origem.
SrcIsp Opcional String O fornecedor de serviços de internet associado ao endereço IP de origem.
SrcGeoCountry Opcional String O país ou região associada ao endereço IP de origem.
SrcGeoRegion Opcional String A região associada ao endereço IP de origem.
SrcGeoCity Opcional String A cidade associada ao endereço IP de origem.
SrcGeoLatitude Opcional real A latitude associada ao endereço IP de origem.
SrcGeoLongitude Opcional real A longitude associada ao endereço IP de origem.

Campos de utilizador de origem

Field Class Tipo Description
SrcUserName Opcional String O nome do utilizador de origem.
User Alias String Pseudónimo de SrcUserName.
SrcUserUpn Recommended String O Nome Principal do Utilizador (UPN) do utilizador de origem.
SrcUserId Opcional String Um identificador legível por máquina para o utilizador de origem.
SrcUserIdType Opcional Enumerado O tipo de SrcUserId. Os valores permitidos são SID, UID, AADID, OktaId, AWSIdPUID, SalesforceId, VectraUserId, , MD4IoTid, e Other.
SrcNomeUtilizadorTipo Opcional Enumerado O tipo do valor em SrcUserName.
SrcUserScope Opcional String O âmbito em que o utilizador fonte é definido.
SrcUserScopeId Opcional String O ID do âmbito em que o utilizador de origem está definido.

Campos de inspeção

Os campos seguintes descrevem a regra, ameaça ou indicador associado à inspeção por email.

Field Class Tipo Description
RuleName Opcional String O nome ou identificação da regra de inspeção.
RuleNumber Opcional Integer O ID numérico da regra de inspeção.
Rule Alias String Pseudónimo de RuleName.
RuleDescription Opcional String Uma descrição da regra de inspeção.
IndicatorType Opcional Enumerado O tipo de indicador identificado no evento de email.
IndicatorAssociation Opcional Enumerado A associação entre o indicador e o evento de email.
ThreatId Opcional String A identificação da ameaça identificada no email.
ThreatName Opcional String O nome da ameaça identificada no email.
ThreatCategory Opcional String A categoria de ameaça normalizada.
ThreatOriginalCategory Opcional String A categoria de ameaça conforme reportada pela fonte.
ThreatRiskLevel Opcional RiskLevel (Número Inteiro) O nível normalizado de risco de ameaça, a partir 0 de 100.
ThreatOriginalRiskLevel Opcional String O nível de risco de ameaça conforme reportado pela fonte.
ThreatConfidence Opcional ConfidenceLevel (Número Inteiro) O nível de confiança normalizado, a partir de 0 .100
ThreatOriginalConfidence Opcional String A confiança na ameaça conforme reportada pela fonte.
ThreatIsActive Opcional booleano Indica se a ameaça identificada está ativa.
ThreatFirstReportedTime Opcional Datetime Foi a primeira vez que a ameaça foi reportada.
ThreatLastReportedTime Opcional Datetime A última vez que a ameaça foi reportada.
ThreatIpAddr Opcional endereço IP Um endereço IP associado à ameaça identificada.
ThreatField Conditional Enumerado O campo para o qual a ameaça foi identificada.
AttackTactics Opcional String As táticas MITRE ATT&CK associadas ao evento de email.
AttackTechniques Opcional String As técnicas MITRE ATT&CK associadas ao evento de email.
AttackRemediationSteps Opcional String Passos recomendados para remediar o ataque ou ameaça identificada.

Atualizações de esquema

A versão 1.0.0 é a versão inicial do esquema de Eventos de Email.

Conteúdo relacionado

  • Última atualização a