Справочник по схеме нормализации проверки подлинности с расширенной информационной моделью безопасности (ASIM)

Схема проверки подлинности Microsoft Sentinel используется для описания событий, связанных с проверкой подлинности пользователя, входом и выходом. События проверки подлинности отправляются многими устройствами отчетности, как правило, как часть потока событий наряду с другими событиями. Например, Windows отправляет несколько событий проверки подлинности вместе с другими событиями действий ОС.

К событиям проверки подлинности относятся как события из систем, ориентированных на проверку подлинности, например VPN-шлюзы или контроллеры домена, так и прямую проверку подлинности в конечную систему, например компьютер или брандмауэр.

Дополнительные сведения о нормализации в Microsoft Sentinel см. в разделе Нормализация и расширенная информационная модель безопасности (ASIM).

Парсеров

Разверните средства синтаксического анализа проверки подлинности ASIM из репозитория Microsoft Sentinel GitHub. Дополнительные сведения о средствах синтаксического анализа ASIM см. в статьях Обзор анализаторов ASIM.

Объединение синтаксического анализа

Чтобы использовать средства синтаксического анализа, которые унифицируют все встроенные средства синтаксического анализа ASIM и убедитесь, что анализ выполняется во всех настроенных источниках, используйте imAuthentication средство синтаксического анализа фильтра или ASimAuthentication средство синтаксического анализа без параметров.

Средства синтаксического анализа для конкретного источника

Список средств синтаксического анализа проверки подлинности, Microsoft Sentinel предоставляет, см. в списке средств синтаксического анализа ASIM:

Добавление собственных нормализованных анализаторов

При реализации пользовательских средств синтаксического анализа для информационной модели проверки подлинности назовите свои функции KQL, используя следующий синтаксис:

  • vimAuthentication<vendor><Product> для фильтров синтаксического анализа
  • ASimAuthentication<vendor><Product> для синтаксического анализа без параметров

Сведения о добавлении пользовательских анализаторов в унифицированный синтаксический анализатор см. в статье Управление средствами синтаксического анализа ASIM.

Фильтрация параметров средства синтаксического анализа

Средства im синтаксического анализа и vim* поддерживают параметры фильтрации. Хотя эти средства синтаксического анализа являются необязательными, они могут повысить производительность запросов.

Доступны следующие параметры фильтрации:

Имя Тип Описание
Starttime datetime Отфильтруйте только события проверки подлинности, которые были запущены в это время или позже. Этот параметр фильтрует TimeGenerated поле, которое является стандартным конструктором для времени события, независимо от сопоставления полей EventStartTime и EventEndTime специфичного для средства синтаксического анализа.
время окончания datetime Отфильтруйте только события проверки подлинности, которые были завершены в это время или раньше. Этот параметр фильтрует TimeGenerated поле, которое является стандартным конструктором для времени события, независимо от сопоставления полей EventStartTime и EventEndTime специфичного для средства синтаксического анализа.
srcipaddr_has_any_prefix dynamic Фильтрация только событий проверки подлинности, для которых префикс исходного IP-адреса находится в одном из перечисленных значений. Префиксы должны заканчиваться .на , например: 10.0..
srchostname_has_any dynamic Фильтрация только событий проверки подлинности, для которых имя исходного узла является любым из перечисленных значений.
username_has_any dynamic Фильтрация только событий проверки подлинности, для которых имя пользователя является любым из перечисленных значений.
targetappname_has_any dynamic Фильтрация только событий проверки подлинности, для которых имя целевого приложения является любым из перечисленных значений.
eventtype_in dynamic Фильтруйте только события проверки подлинности, для которых тип события является любым из перечисленных значений.
eventresult string Фильтрация только событий проверки подлинности с определенным значением EventResult .
eventresultdetails_in dynamic Фильтруйте только события проверки подлинности, для которых сведения о результатах события являются любым из перечисленных значений.

Например, чтобы отфильтровать только события проверки подлинности за последний день для определенного пользователя, используйте:

imAuthentication (username_has_any = dynamic(['johndoe']), starttime = ago(1d), endtime=now())

Совет

Чтобы передать литерал списка параметрам, которые ожидают динамическое значение, явно используйте динамический литерал. Пример: dynamic(['192.168.','10.']).

Нормализованное содержимое

Нормализованные правила аналитики проверки подлинности уникальны, так как они обнаруживают атаки из разных источников. Например, если пользователь вошел в разные несвязанные системы из разных стран или регионов, Microsoft Sentinel теперь обнаружит эту угрозу.

Полный список правил аналитики, использующих нормализованные события проверки подлинности, см. в разделе Сведения о безопасности схемы проверки подлинности.

Обзор схемы

Модель сведений о проверке подлинности соответствует схеме сущности входа в OSSEM.

Поля, перечисленные в таблице ниже, относятся к событиям проверки подлинности, но похожи на поля в других схемах и соответствуют аналогичным соглашениям об именовании.

События проверки подлинности ссылались на следующие сущности:

  • TargetUser — сведения о пользователе, используемые для проверки подлинности в системе. TargetSystem является основным субъектом события проверки подлинности, а псевдоним User определяет целевой пользователь.
  • TargetApp — приложение, прошедшее проверку подлинности.
  • Target — система, на которой работает TargetApp .
  • Субъект — пользователь, инициирующий проверку подлинности, если он отличается от TargetUser.
  • ActingApp — приложение, используемое субъектом для проверки подлинности.
  • Src — система, используемая субъектом для инициации проверки подлинности.

Связь между этими сущностями лучше всего продемонстрировать следующим образом:

Субъект, запускающий действующее приложение ActingApp в исходной системе Src, пытается пройти проверку подлинности в качестве targetUser в целевом приложении TargetApp в целевой системе TargetDvc.

Сведения о схеме

В следующих таблицах тип относится к логическому типу. Дополнительные сведения см. в разделе Логические типы.

Общие поля ASIM

Важно!

Поля, общие для всех схем, подробно описаны в статье Общие поля ASIM .

Общие поля с определенными рекомендациями

В следующем списке упоминаются поля с определенными рекомендациями по событиям проверки подлинности:

Поле Класс Тип Описание
EventType Обязательный Перечисленных Описывает операцию, сообщаемую записью.

Для записей проверки подлинности поддерживаются следующие значения:
- Logon
- Logoff
- Elevate
EventOutcomeПодробности Рекомендуемый Перечисленных Сведения, связанные с результатом события. Это поле обычно заполняется, когда результатом является сбой.

Допустимые значения:
- No such user or password. Это значение следует использовать также в том случае, если исходное событие сообщает о том, что такого пользователя нет, без ссылки на пароль.
- No such user
- Incorrect password
- Incorrect key
- Account expired
- Password expired
- User locked
- User disabled
- Logon violates policy. Это значение следует использовать, когда исходное событие сообщает, например: требуется MFA, вход в нерабочее время, ограничения условного доступа или слишком частые попытки.
- Session expired
- Other

Значение может быть указано в исходной записи с использованием разных терминов, которые должны быть нормализованы для этих значений. Исходное значение должно храниться в поле EventOriginalResultDetails.
EventSubType Необязательный Перечисленных Тип входа. Допустимые значения:
- System
- Interactive
- RemoteInteractive
- Service
- RemoteService
- Remote — Используйте, если тип удаленного входа неизвестен.
- AssumeRole — обычно используется, если тип события имеет значение Elevate.

Значение может быть указано в исходной записи с использованием разных терминов, которые должны быть нормализованы для этих значений. Исходное значение должно храниться в поле EventOriginalSubType.
EventSchemaVersion Обязательный SchemaVersion (String) Версия схемы. Версия схемы, описанная здесь: 1.0.0
EventSchema Обязательный Перечисленных Описанное здесь имя схемы — Проверка подлинности.
Поля Dvc - - Для событий проверки подлинности поля устройства относятся к системе, сообщая о событии.

Все общие поля

Поля, отображаемые в таблице ниже, являются общими для всех схем ASIM. Любое указанное выше руководство переопределяет общие рекомендации для поля. Например, поле может быть необязательным в целом, но обязательным для конкретной схемы. Дополнительные сведения о каждом поле см. в статье Общие поля ASIM .

Class Fields
Обязательный - EventCount
- EventStartTime
- EventEndTime
- Eventtype
- EventResult
- EventProduct
- EventVendor
- EventSchema
- EventSchemaVersion
- DVC
Рекомендуемый - EventOutcomeПодробности
- СобытиеСерьёзность
- EventUid
- DvcIpAddr
- DvcHostname
- DvcDomain
- DvcDomainType
- DvcFQDN
- DvcId
- DvcIdType
- DvcAction
Необязательный - EventMessage
- EventSubType
- EventOriginalUid
- EventOriginalType
- EventOriginalSubType
- СобытиеОригиналРезультатПодробности
- СобытиеОригиналСерьёзность
- EventProductVersion
- EventReportUrl
- Владелец мероприятия
- DvcZone
- DvcMacAddr
- DvcOs
- DvcOsVersion
- DvcOriginalAction
- DvcInterface
- Дополнительные поля
- DvcОписание
- DvcScopeId
- DvcScope

Поля, относящиеся к проверке подлинности

Поле Класс Тип Описание
LogonMethod Необязательный String Метод, используемый для проверки подлинности. Допустимые значения: Managed Identity, Service Principal, Username & Password, Multi factor authentication, Passwordless, PKI, PAMи Other.

Примеры: Managed Identity
LogonProtocol Необязательный String Протокол, используемый для проверки подлинности.

Пример: NTLM

Поля субъекта

Поле Класс Тип Описание
ActorUserId Необязательный String Машиночитаемое, буквенно-цифровое, уникальное представление субъекта. Дополнительные сведения и альтернативные поля для дополнительных идентификаторов см. в разделе Сущность пользователя.

Пример: S-1-12-1-4141952679-1282074057-627758481-2916039507
ActorScope Необязательный String Область, например клиент Microsoft Entra, в котором определены ActorUserId и ActorUsername. дополнительные сведения и список допустимых значений см. в статье UserScope в статье Общие сведения о схеме.
ActorScopeId Необязательный String Идентификатор область, например Microsoft Entra идентификатор каталога, в котором определены ActorUserId и ActorUsername. Дополнительные сведения и список допустимых значений см. в разделе UserScopeIdстатьи Общие сведения о схеме.
ActorUserIdType Условного UserIdType Тип идентификатора, хранящегося в поле ActorUserId . Дополнительные сведения и список допустимых значений см. в разделе UserIdTypeстатьи Общие сведения о схеме.
Имя пользователя актёра Необязательный Имя пользователя (строка) Имя пользователя субъекта, включая сведения о домене, если они доступны. Дополнительные сведения см. в разделе Сущность пользователя.

Пример: AlbertE
ActorUsernameType Условного UsernameType Указывает тип имени пользователя, хранящегося в поле ActorUsername . Дополнительные сведения и список допустимых значений см. в статье UsernameType статьи Общие сведения о схеме.

Пример: Windows
ActorUserType Необязательный UserType Тип субъекта. Дополнительные сведения и список допустимых значений см. в статье UserType статьи Общие сведения о схеме.

Пример: Guest
ActorOriginalUserType Необязательный String Тип пользователя, о чем сообщает устройство отчетов.
ActorSessionId Необязательный String Уникальный идентификатор сеанса входа субъекта.

Пример: 102pTUgC3p8RIqHvzxLCHnFlg

Поля действующего приложения

Поле Класс Тип Описание
ActingAppId Необязательный String Идентификатор приложения, авторизующего от имени субъекта, включая процесс, браузер или службу.

Пример: 0x12ae8
ActingAppName Необязательный String Имя приложения, авторизующего от имени субъекта, включая процесс, браузер или службу.

Пример: C:\Windows\System32\svchost.exe
ActingAppType Необязательный AppType Тип действующего приложения. Дополнительные сведения и список разрешенных значений см. в разделе AppTypeстатьи Общие сведения о схеме.
ActingOriginalAppType Необязательный String Тип действующего приложения, сообщаемый устройством отчетности.
HttpUserAgent Необязательный String Если проверка подлинности выполняется по протоколу HTTP или HTTPS, значение этого поля является user_agent заголовка HTTP, предоставляемого действующим приложением при выполнении проверки подлинности.

Пример: Mozilla/5.0 (iPhone; CPU iPhone OS 12_1 like Mac OS X) AppleWebKit/605.1.15 (KHTML, like Gecko) Version/12.0 Mobile/15E148 Safari/604.1

Поля целевого пользователя

Поле Класс Тип Описание
TargetUserId Необязательный String Машиночитаемое, буквенно-цифровое, уникальное представление целевого пользователя. Дополнительные сведения и альтернативные поля для дополнительных идентификаторов см. в разделе Сущность пользователя.

Пример: 00urjk4znu3BcncfY0h7
TargetUserScope Необязательный String Область, например клиент Microsoft Entra, в котором определены TargetUserId и TargetUsername. дополнительные сведения и список допустимых значений см. в статье UserScope в статье Общие сведения о схеме.
TargetUserScopeId Необязательный String Идентификатор область, например идентификатор каталога Microsoft Entra, в котором определены TargetUserId и TargetUsername. Дополнительные сведения и список допустимых значений см. в разделе UserScopeIdстатьи Общие сведения о схеме.
TargetUserIdType Условного UserIdType Тип идентификатора пользователя, хранящегося в поле TargetUserId . Дополнительные сведения и список допустимых значений см. в разделе UserIdTypeстатьи Общие сведения о схеме.

Пример: SID
Имя пользователя TargetUsername Необязательный Имя пользователя (строка) Имя пользователя целевого пользователя, включая сведения о домене, если они доступны. Дополнительные сведения см. в разделе Сущность пользователя.

Пример: MarieC
TargetUsernameType Условного UsernameType Указывает тип имени пользователя, хранящегося в поле TargetUsername . Дополнительные сведения и список допустимых значений см. в статье UsernameType статьи Общие сведения о схеме.
TargetUserType Необязательный UserType Тип целевого пользователя. Дополнительные сведения и список допустимых значений см. в статье UserType статьи Общие сведения о схеме.

Пример: Member
TargetSessionId Необязательный String Идентификатор сеанса входа targetUser на исходном устройстве.
TargetOriginalUserType Необязательный String Тип пользователя, о чем сообщает устройство отчетов.
Пользователь Alias Имя пользователя (строка) Псевдоним targetUsername или TargetUserId , если targetUsername не определен.

Пример: CONTOSO\dadmin

Поля исходной системы

Поле Класс Тип Описание
Src Рекомендуемый String Уникальный идентификатор исходного устройства.

Это поле может содержать псевдонимы полей SrcDvcId, SrcHostname или SrcIpAddr .

Пример: 192.168.12.1
SrcDvcId Необязательный String Идентификатор исходного устройства. Если доступно несколько идентификаторов, используйте наиболее важный и сохраните остальные в полях SrcDvc<DvcIdType>.

Пример: ac7e9755-8eae-4ffc-8a02-50ed7a2216c3
SrcDvcScopeId Необязательный String Идентификатор область облачной платформы, к которому принадлежит устройство. SrcDvcScopeId сопоставляется с идентификатором подписки на Azure и идентификатором учетной записи в AWS.
SrcDvcScope Необязательный String Облачная платформа область, к которой принадлежит устройство. SrcDvcScope сопоставляется с идентификатором подписки на Azure и идентификатором учетной записи в AWS.
SrcDvcIdType Условного DvcIdType Тип SrcDvcId. Список допустимых значений и дополнительные сведения см. в статье DvcIdType в статье Общие сведения о схеме.

Примечание. Это поле является обязательным, если используется SrcDvcId .
SrcDeviceType Необязательный DeviceType Тип исходного устройства. Список допустимых значений и дополнительные сведения см. в статье DeviceType в статье Общие сведения о схеме.
SrcHostname Необязательный Hostname (Имя узла) Имя узла исходного устройства, за исключением сведений о домене. Если имя устройства недоступно, сохраните соответствующий IP-адрес в этом поле.

Пример: DESKTOP-1282V4D
SrcDomain Необязательный Домен (строка) Домен исходного устройства.

Пример: Contoso
SrcDomainType Условного DomainType Тип SrcDomain. Список допустимых значений и дополнительные сведения см. в разделе DomainType статьи Общие сведения о схеме.

Требуется, если используется SrcDomain .
SrcFQDN Необязательный Полное доменное имя (строка) Имя узла исходного устройства, включая сведения о домене, если они доступны.

Примечание. Это поле поддерживает как традиционный формат полного доменного имени, так и формат домен\имя узла Windows. Поле SrcDomainType отражает используемый формат.

Пример: Contoso\DESKTOP-1282V4D
SrcОписание Необязательный String Описательный текст, связанный с устройством. Пример: Primary Domain Controller.
SrcIpAddr Рекомендуемый IP-адрес IP-адрес исходного устройства.

Пример: 2.2.2.2
SrcPortNumber Необязательный Integer IP-порт, с которого было создано подключение.

Пример: 2335
SrcDvcOs Необязательный String ОС исходного устройства.

Пример: Windows 10
IpAddr Alias Псевдоним для SrcIpAddr
SrcIsp Необязательный String Поставщик услуг Интернета (ISP), используемый исходным устройством для подключения к Интернету.

Пример: corpconnect
SrcGeoCountry Необязательный Страна Пример: Canada

Дополнительные сведения см. в разделе Логические типы.
SrcGeoCity Необязательный Город Пример: Montreal

Дополнительные сведения см. в разделе Логические типы.
SrcGeoRegion Необязательный Region Пример: Quebec

Дополнительные сведения см. в разделе Логические типы.
SrcGeoLongitude Необязательный Longitude Пример: -73.614830

Дополнительные сведения см. в разделе Логические типы.
SrcGeoLatitude Необязательный Latitude Пример: 45.505918

Дополнительные сведения см. в разделе Логические типы.
SrcRiskLevel Необязательный Integer Уровень риска, связанный с источником. Значение должно быть скорректировано в диапазоне 0 до 100, с 0 для доброкачественных и 100 для высокого риска.

Пример: 90
SrcOriginalRiskLevel Необязательный String Уровень риска, связанный с источником, о чем сообщает устройство отчетности.

Пример: Suspicious

Поля целевого приложения

Поле Класс Тип Описание
TargetAppId Необязательный String Идентификатор приложения, которому требуется авторизация, часто назначается устройством отчетности.

Пример: 89162
TargetAppName Необязательный String Имя приложения, для которого требуется авторизация, включая службу, URL-адрес или приложение SaaS.

Пример: Saleforce
Приложения Alias Псевдоним targetAppName.
TargetAppType Условного AppType Тип приложения, авторизующего от имени субъекта. Дополнительные сведения и список разрешенных значений см. в разделе AppTypeстатьи Общие сведения о схеме.
TargetOriginalAppType Необязательный String Тип приложения, авторизующего от имени субъекта, как сообщается устройством отчетности.
TargetUrl Необязательный URL-адрес URL-адрес, связанный с целевым приложением.

Пример: https://console.aws.amazon.com/console/home?fromtb=true&hashArgs=%23&isauthcode=true&nc2=h_ct&src=header-signin&state=hashArgsFromTB_us-east-1_7596bc16c83d260b
LogonTarget Alias Псевдоним для TargetAppName, TargetUrl или TargetHostname, в зависимости от того, какое поле лучше всего описывает целевой объект проверки подлинности.

Целевые системные поля

Поле Класс Тип Описание
Дст Alias String Уникальный идентификатор целевого объекта проверки подлинности.

Это поле может быть псевдонимом полей TargetDvcId, TargetHostname, TargetIpAddr, TargetAppId или TargetAppName .

Пример: 192.168.12.1
TargetHostname Рекомендуемый Hostname (Имя узла) Имя узла целевого устройства, за исключением сведений о домене.

Пример: DESKTOP-1282V4D
TargetDomain Рекомендуемый Домен (строка) Домен целевого устройства.

Пример: Contoso
TargetDomainType Условного Перечисленных Тип TargetDomain. Список допустимых значений и дополнительные сведения см. в разделе DomainType статьи Общие сведения о схеме.

Требуется, если используется TargetDomain .
TargetFQDN Необязательный Полное доменное имя (строка) Имя узла целевого устройства, включая сведения о домене, если они доступны.

Пример: Contoso\DESKTOP-1282V4D

Примечание. Это поле поддерживает как традиционный формат полного доменного имени, так и формат домен\имя узла Windows. TargetDomainType отражает используемый формат.
Описание цели. Необязательный String Описательный текст, связанный с устройством. Пример: Primary Domain Controller.
TargetDvcId Необязательный String Идентификатор целевого устройства. Если доступно несколько идентификаторов, используйте наиболее важный и сохраните остальные в полях TargetDvc<DvcIdType>.

Пример: ac7e9755-8eae-4ffc-8a02-50ed7a2216c3
TargetDvcScopeId Необязательный String Идентификатор область облачной платформы, к которому принадлежит устройство. TargetDvcScopeId сопоставляется с идентификатором подписки на Azure и идентификатором учетной записи в AWS.
TargetDvcScope Необязательный String Облачная платформа область, к которой принадлежит устройство. TargetDvcScope сопоставляет идентификатор подписки на Azure и идентификатор учетной записи в AWS.
TargetDvcIdType Условного Перечисленных Тип TargetDvcId. Список допустимых значений и дополнительные сведения см. в статье DvcIdType в статье Общие сведения о схеме.

Требуется, если используется TargetDeviceId .
TargetDeviceType Необязательный Перечисленных Тип целевого устройства. Список допустимых значений и дополнительные сведения см. в статье DeviceType в статье Общие сведения о схеме.
TargetIpAddr Необязательный IP-адрес IP-адрес целевого устройства.

Пример: 2.2.2.2
TargetDvcOs Необязательный String ОС целевого устройства.

Пример: Windows 10
TargetPortNumber Необязательный Integer Порт целевого устройства.
TargetGeoCountry Необязательный Страна Страна или регион, связанные с целевым IP-адресом.

Пример: USA
TargetGeoRegion Необязательный Region Регион, связанный с целевым IP-адресом.

Пример: Vermont
TargetGeoCity Необязательный Город Город, связанный с целевым IP-адресом.

Пример: Burlington
TargetGeoLatitude Необязательный Latitude Широта географической координаты, связанной с целевым IP-адресом.

Пример: 44.475833
TargetGeoLongitude Необязательный Longitude Долгота географической координаты, связанной с целевым IP-адресом.

Пример: 73.211944
TargetRiskLevel Необязательный Integer Уровень риска, связанный с целевым объектом. Значение должно быть скорректировано в диапазоне 0 до 100, с 0 для доброкачественных и 100 для высокого риска.

Пример: 90
TargetOriginalRiskLevel Необязательный String Уровень риска, связанный с целевым объектом, о чем сообщает устройство отчетности.

Пример: Suspicious

Поля проверки

Следующие поля используются для представления проверки, выполняемой системой безопасности.

Поле Класс Тип Описание
RuleName Необязательный String Имя или идентификатор правила, связанного с результатами проверки.
RuleNumber Необязательный Integer Номер правила, связанного с результатами проверки.
Rule Alias String Значение RuleName или значение RuleNumber. Если используется значение RuleNumber , тип следует преобразовать в строку.
ThreatId Необязательный String Идентификатор угрозы или вредоносной программы, обнаруженной в действии аудита.
ThreatName Необязательный String Имя угрозы или вредоносной программы, обнаруженной в действии аудита.
ThreatCategory Необязательный String Категория угрозы или вредоносного ПО, обнаруженная в действии файла аудита.
ThreatRiskLevel Необязательный RiskLevel (целое число) Уровень риска, связанный с обнаруженной угрозой. Уровень должен быть числом от 0 до 100.

Примечание. Значение может быть предоставлено в исходной записи с помощью другой шкалы, которая должна быть нормализована по этому масштабу. Исходное значение должно храниться в ThreatRiskLevelOriginal.
УгрозаПервоначальныйРискУровень Необязательный String Уровень риска, сообщаемый устройством отчетности.
ThreatConfidence Необязательный ConfidenceLevel (Целое число) Уровень достоверности обнаруженной угрозы, нормализованный до значения от 0 до 100.
ThreatOriginalConfidence Необязательный String Исходный уровень достоверности обнаруженной угрозы, о чем сообщает устройство отчетности.
ThreatIsActive Необязательный Логический Значение true, если обнаруженная угроза считается активной угрозой.
ThreatFirstReportedTime Необязательный datetime При первом обнаружении IP-адреса или домена как угрозы.
ThreatLastReportedTime Необязательный datetime В последний раз IP-адрес или домен были определены как угроза.
ThreatIpAddr Необязательный IP-адрес IP-адрес, для которого была обнаружена угроза. Поле ThreatField содержит имя поля ThreatIpAddr , представляющего .
ThreatField Условного Перечисленных Поле, для которого была обнаружена угроза. Значение равно или SrcIpAddrTargetIpAddr.

Поля корреляции сущностей

Note

Участникам не нужно заполнять эти области. Соответствующие парсеры будут заполнять их при добавлении внутренней поддержки Microsoft.

Поле Класс Тип Описание
ActingApplicationEntityKey Необязательный String Стабильный детерминированный идентификатор строк, который уникально идентифицирует действующее приложение в одном пространстве имён. Этот системный уникальный идентификатор позволяет корреляцию с объектами в других событиях и инвентаризациях сущностей.
ActorUserAdditionalIds Необязательный Dynamic О структуре и использовании поля см. Поля с суффиксом AdditionalIds.
ActorUserEntityKey Необязательный String Стабильный детерминированный идентификатор строк, который уникально идентифицирует актора пользователя в одном пространстве имён. Этот системный уникальный идентификатор позволяет корреляцию с объектами в других событиях и инвентаризациях сущностей.
SrcSystemEntityKey Необязательный String Стабильный, детерминированный идентификатор строк, который уникально идентифицирует исходную систему в одном пространстве имён. Этот системный уникальный идентификатор позволяет корреляцию с объектами в других событиях и инвентаризациях сущностей.
TargetApplicationEntityKey Необязательный String Стабильный детерминированный идентификатор строк, который уникально идентифицирует целевое приложение в одном пространстве имён. Этот системный уникальный идентификатор позволяет корреляцию с объектами в других событиях и инвентаризациях сущностей.
TargetSystemEntityKey Необязательный String Стабильный детерминированный идентификатор строк, который уникально идентифицирует целевой систему в одном пространстве имён. Этот системный уникальный идентификатор позволяет корреляцию с объектами в других событиях и инвентаризациях сущностей.
TargetUserAdditionalIds Необязательный Dynamic О структуре и использовании поля см. Поля с суффиксом AdditionalIds.
TargetUserEntityKey Необязательный String Стабильный, детерминированный идентификатор строк, который уникально идентифицирует целевого пользователя в одном пространстве имён. Этот системный уникальный идентификатор позволяет корреляцию с объектами в других событиях и инвентаризациях сущностей.

Обновления схемы

Версия Изменения
0.1.1 - Обновлены поля пользователя и сущности устройства для согласования с другими схемами.
- Переименовать TargetDvc в и SrcDvc в Target и Src, соответственно, чтобы соответствовать действующим рекомендациям ASIM. Переименованные поля реализуются как псевдонимы. К этим полям относятся SrcDvcHostname, SrcDvcHostnameType, SrcDvcType, SrcDvcIpAddr, TargetDvcHostnameTypeTargetDvcIpAddrTargetDvcHostnameTargetDvcTypeи .TargetDvc
- Добавлены псевдонимы Src и Dst.
- Добавлены поля SrcDvcIdType, SrcDeviceType, TargetDvcIdType, TargetDeviceTypeи EventSchema.
0.1.2 Добавлены поля , , , , , ActorScope, TargetUserScope, SrcDvcScopeIdи SrcDvcScope. TargetDvcScopeIdTargetDvcScopeDvcScopeIdDvcScope
0.1.3 - Добавлены поля SrcPortNumber, ActorOriginalUserType, ActorScopeId, TargetOriginalUserType, TargetUserScopeId, SrcOriginalRiskLevelSrcDescriptionSrcRiskLevelи .TargetDescription
- Добавлены поля для инспекции.
- Добавлены поля геолокации целевой системы.
0.1.4 - Добавлены поля ActingOriginalAppType и TargetOriginalAppType.
- Добавлен псевдоним Application.
1.0.0 Добавлены поля корреляции сущностей.

Связанные материалы

  • Последнее обновление: