Microsoft Sentinel ASIM Email Event normalization schema reference

Microsoft Sentinel Email Event-normaliseringsschemat representerar e-postleverans och inspektionsaktivitet. Den inkluderar meddelandeadressering och routningsdetaljer, e-postautentiseringsresultat, leveransresultat och hot som identifierats i e-postmeddelanden.

Använd Email Event-schemat för att normalisera poster från e-postservrar, säkra e-postgateways, e-postsäkerhetstjänster och andra system som bearbetar eller inspekterar e-post. Normalisering låter dig analysera dessa poster med konsekventa fältnamn och värden, oavsett källa.

Mer information om normalisering i Microsoft Sentinel finns i Normalisering och ASIM (Advanced Security Information Model).

Schemaöversikt

De huvudsakliga fälten i ett e-postevent beskriver:

Fälten Dvc beskriver rapporterings- eller inspektionssystemet.

Parser

Distribuera och använda e-posthändelseparsers

Distribuera ASIM-parsare från Microsoft Sentinel GitHub-arkivet. För att fråga alla normaliserade e-posthändelsekällor, använd unifying parser _Im_EmailEvent som tabellnamn i din fråga.

Mer information om hur du använder ASIM-parsers finns i översikten över ASIM-parsers.

Lägg till dina egna normaliserade parsers

När du implementerar anpassade parsers för Email Event informationsmodellen, använd följande namnsyntax:

  • ASimEmailEvent<vendor><Product> för vanliga parsare.
  • vimEmailEvent<vendor><Product> för parameteriserade parsers.

För att lägga till egna parsers till Email Event-unifieringsparsern, se Hantera ASIM-parsers.

Filter parserresultat

Email Event-filtreringsparsern stödjer filtreringsparametrar för att förbättra frågeprestandan.

Name Type Description
starttime datetime Filtrera händelser som började vid eller efter denna tidpunkt.
sluttid datetime Filtrera händelser som slutade vid eller före denna tidpunkt.
ipaddr_has_any_prefix dynamic Filterhändelser där en IP-adress börjar med ett av de listade prefixen.
emailfromaddress_has_any dynamic Filtrera händelser för vilka EmailFromAddress innehåller ett av de listade värdena.
emailrecipient_has_any dynamic Filtrera händelser som har en av de listade e-postmottagarna.
emailsubject_has_any dynamic Filtrera händelser för vilka EmailSubject innehåller ett av de listade värdena.
emaildirection_in dynamic Filtrera händelser för vilket EmailDirection är ett av de listade värdena.
emaildeliverylocation_in dynamic Filtrera händelser för vilket EmailDeliveryLocation är ett av de listade värdena.
eventresult String Filtrera händelser för vilka EventResult är lika med det angivna värdet. Standardvärdet, *, filtrerar inte efter resultat.
packa Boolean När den sätts till true, packar omappade källfält i det dynamiska AdditionalFields fältet. Standardvärdet är false.

Använd till exempel följande fråga för att returnera inkommande e-post skickad från adresser som innehåller contoso.com under den sista dagen:

_Im_EmailEvent(
	starttime=ago(1d),
	endtime=now(),
	emailfromaddress_has_any=dynamic(['contoso.com']),
	emaildirection_in=dynamic(['Inbound'])
)

Schemainformation

Vanliga ASIM-fält

Important

Fält som är gemensamma för alla scheman beskrivs i detalj i ASIM gemensamma fält. Riktlinjerna i denna artikel går före de allmänna riktlinjerna för ett fält.

Vanliga fält med specifika riktlinjer

Fält Class Type Description
Eventtype Mandatory Uppräknad Beskriver den normaliserade e-postaktiviteten. Tillåtna värden är EmailDelivery och EmailInspection.
EventSubType Valfritt Uppräknad Ger mer detaljer om e-postaktiviteten. Tillåtna värden är EmailSent och EmailReceived.
EventSchema Mandatory Uppräknad Schemanamnet är EmailEvent.
EventSchemaVersion Mandatory SchemaVersion (sträng) Versionen av schemat. Den version som dokumenteras här är 1.0.0.
EventResultDetaljer Rekommenderad Uppräknad Ger detaljer om resultatet. Tillåtna värden är InvalidAddress, MailboxFull, MessageTooLarge, MessageRateLimitExceeded, , RecipientRateLimitExceeded, BlockedBySpamFilterMalwareDetectedBlockedByPolicyPhishingDetected, , och .Other
EventSeverity Rekommenderad Uppräknad Händelsens allvar. Tillåtna värden är Informational, Low, Mediumoch High.

Alla vanliga fält

Class Fields
Mandatory - EventCount
- EventStartTime
- EventEndTime
- Eventtype
- EventResultat
- EventProduct
- EventVendor
- EventSchema
- EventSchemaVersion
- DVC
Rekommenderad - EventResultDetaljer
- HändelseAllvarlighet
- EventUid
- DvcIpAddr
- DvcHostname
- DvcDomain
Valfritt - EventMessage
- EventSubType
- EventOriginalUid
- EventOriginalType
- EventOriginalResultDetaljer
- HändelseOriginalallvarlighet
- EventProductVersion
- EventReportUrl
- EventOwner
- DvcBeskrivning
- DvcFQDN
- DvcId
- DvcInterface
- DvcMacAddr
- DvcOriginalAction
- DvcOs
- DvcOsVersion
- DvcScope
- DvcScopeId
- DvcZone
- Ytterligare enheter
- AdditionalFields
Conditional - DvcDomainType
- DvcIdType

E-postfält

Fält Class Type Description
EmailFromAddress Rekommenderad String E-postadressen i meddelandehuvudet From .
EmailFromDomain Valfritt String Domänen från adressen i meddelandehuvudet From .
E-postE-MailFrånAdress Valfritt String Kuvertavsändaradressen som används av posttransportprotokollet.
EmailMailFromDomain Valfritt String Domänen för kuvertavsändarens adress.
EmailSvarTillAdress Rekommenderad String E-postadressen i meddelandehuvudet Reply-To .
EmailReplyToDomain Valfritt String Domänen från adressen i meddelandehuvudet Reply-To .
EmailToRecipients Rekommenderad Dynamisk En array av mottagare i meddelandehuvudet To .
EmailCCRecipients Valfritt Dynamisk En array av mottagare i meddelandehuvudet Cc .
EmailBCCRecipients Valfritt Dynamisk En array av mottagare i meddelandehuvudet Bcc .
EmailSubject Rekommenderad String E-postämnet.
EmailLanguage Valfritt String Språket i e-postinnehållet, som rapporterats av källan.
EmailSizeBytes Rekommenderad Long Den totala e-poststorleken i bytes.
EmailProtocolName Rekommenderad Uppräknad Protokollet som används för att överföra eller hämta e-posten. Tillåtna värden är SMTP, IMAPoch POP3.
EmailDirection Rekommenderad Uppräknad Mejlets riktning i förhållande till rapporteringsmiljön. Tillåtna värden är Inbound, Outbound, Internal, Localoch Unknown.
EmailDeliveryLocation Valfritt Uppräknad Den normaliserade platsen där mejlet levererades. Tillåtna värden är Inbox, Junk, Quarantineoch DeletedItems.
EmailOriginalDeliveryLocation Valfritt String Leveransplatsen som rapporterats av källan.
EmailFileCount Rekommenderad Integer Antalet filer som är bifogade mejlet.
EmailFiles Valfritt Dynamisk En array som beskriver filer som är bifogade mejlet.
EmailUrlCount Rekommenderad Integer Antalet URL:er som hittades i mejlet.
EmailURL:er Valfritt Dynamisk En rad URL:er hittades i mejlet.

E-postautentiseringsfält

Fält Class Type Description
EmailSpfResult Valfritt Uppräknad Det normaliserade Sender Policy Framework (SPF)-resultatet. Tillåtna värden är Pass, Fail, SoftFail, , NoneNeutral, , TemporaryErroroch PermanentError.
EmailSpfOriginalResult Valfritt String SPF-resultatet enligt källan.
EmailDkimDomain Valfritt String Domänen som signerade meddelandet med DomainKeys Identified Mail (DKIM).
EmailDkimSignatur Valfritt String DKIM-signaturen kopplad till meddelandet.
EmailDkimResult Valfritt Uppräknad Det normaliserade DKIM-resultatet. Tillåtna värden är Pass, Fail, TemporaryError, PermanentErroroch None.
EmailDkimOriginalResult Valfritt String DKIM-resultatet enligt källan.
EmailDmarcResult Valfritt Uppräknad Det normaliserade resultatet av domänbaserad meddelandeautentisering, rapportering och konformitet (DMARC). Tillåtna värden är Pass, Fail, BestGuessPassoch None.
EmailDmarcOriginalResultat Valfritt String DMARC-resultatet enligt källan.
EmailDmarcPolicy Valfritt Uppräknad DMARC-policyn gällde mejlet. Tillåtna värden är Quarantine, Rejectoch None.
EmailDmarcOverride Valfritt Uppräknad Anledningen till att DMARC-policyn åsidosattes. Tillåtna värden är Forwarded, LocalPolicy, MailingList, SampleOut, TrustedForwarderoch Other.

Leverans- och destinationsfält

Fält Class Type Description
DvcAction Valfritt Uppräknad Den normaliserade åtgärden som togs på mejlet. Tillåtna värden är Delivered, Modified, Redirected, , Blocked, DeletedQuarantined, , Purgedoch NA.
Dst Mandatory String En unik identifierare för e-postens destination.
DstIpAddr Rekommenderad IP address IP-adressen till e-postens destination.

Källsystemfält

Fält Class Type Description
Src Rekommenderad String En unik identifierare för källsystemet.
SrcIpAddr Valfritt IP address Källans IP-adress.
IpAddr Alias IP address Alias för SrcIpAddr.
SrcHostname Rekommenderad Hostname Källenhetens värdnamn, exklusive domäninformation.
SrcDomain Rekommenderad Domän Källenhetens domän.
SrcDomainType Conditional Uppräknad Typen av SrcDomain. Tillåtna värden är Windows, FQDNoch ResourceGroup. Krävs när SrcDomain den används.
SrcFQDN Valfritt FQDN Det fullt kvalificerade domännamnet för källenheten.
SrcDvcId Valfritt String Källenhetens ID.
SrcDvcIdType Conditional Uppräknad Typen av SrcDvcId. Tillåtna värden är AzureResourceId, MDEid, , VMConnectionIdMD4IoTid, , AwsVpcId, ForcepointIdVectraId, AppGateId, , och Other. Krävs när SrcDvcId den används.
SrcDvcScope Valfritt String Den molnplattformsomfattning som källenheten tillhör.
SrcDvcScopeId Valfritt String ID:t för molnplattformens omfattning som källenheten tillhör.
SrcDeviceType Valfritt Uppräknad Källenhetens typ.
SrcBeskrivning Valfritt String En beskrivning av källenheten.
SrcIsp Valfritt String Internetleverantören som är kopplad till käll-IP-adressen.
SrcGeoCountry Valfritt String Landet eller regionen som är kopplad till käll-IP-adressen.
SrcGeoRegion Valfritt String Den region som är associerad med källans IP-adress.
SrcGeoCity Valfritt String Den ort som är associerad med källans IP-adress.
SrcGeoLatitude Valfritt Realtal Latituden kopplad till käll-IP-adressen.
SrcGeoLongitude Valfritt Realtal Longituden kopplad till käll-IP-adressen.

Källanvändarfält

Fält Class Type Description
SrcUserName Valfritt String Källanvändarens namn.
User Alias String Alias till SrcUserName.
SrcUserUpn Rekommenderad String Källanvändarens User Principal Name (UPN).
SrcUserId Valfritt String En maskinläsbar identifierare för källanvändaren.
SrcUserIdType Valfritt Uppräknad Typen av SrcUserId. Tillåtna värden är SID, UID, AADID, OktaId, , AWSId, SalesforceIdMD4IoTidPUIDVectraUserId, , och .Other
SrcAnvändarnamnTyp Valfritt Uppräknad Typen av värdet i SrcUserName.
SrcUserScope Valfritt String Omfattningen där källanvändaren definieras.
SrcUserScopeId Valfritt String ID:t för det område där källanvändaren definieras.

Kontrollfält

Följande fält beskriver regeln, hotet eller indikatorn som är kopplad till e-postinspektion.

Fält Class Type Description
RuleName Valfritt String Namnet eller ID:t på inspektionsregeln.
RuleNumber Valfritt Integer Det numeriska ID:t för inspektionsregeln.
Rule Alias String Alias till RuleName.
RuleDescription Valfritt String En beskrivning av inspektionsregeln.
IndicatorType Valfritt Uppräknad Typen av indikator som identifierades i e-posthändelsen.
IndicatorAssociation Valfritt Uppräknad Kopplingen mellan indikatorn och e-posthändelsen.
ThreatId Valfritt String Hotets ID som identifierades i mejlet.
ThreatName Valfritt String Namnet på hotet som identifierades i mejlet.
ThreatCategory Valfritt String Den normaliserade hotkategorin.
ThreatOriginalCategory Valfritt String Hotkategorin som rapporterats av källan.
ThreatRiskLevel Valfritt RiskLevel (heltal) Den normaliserade hotrisknivån, från och med 0100.
ThreatOriginalRiskLevel Valfritt String Hotrisknivån som rapporterats av källan.
ThreatConfidence Valfritt ConfidenceLevel (heltal) Den normaliserade konfidensnivån, från och med 0100.
ThreatOriginalConfidence Valfritt String Hotförtroendet enligt källan.
ThreatIsActive Valfritt Boolean Indikerar om det identifierade hotet är aktivt.
ThreatFirstReportedTime Valfritt Datetime Första gången hotet rapporterades.
ThreatLastReportedTime Valfritt Datetime Senast hotet rapporterades.
ThreatIpAddr Valfritt IP address En IP-adress kopplad till det identifierade hotet.
ThreatField Conditional Uppräknad Fältet där hotet identifierades.
AttackTactics Valfritt String MITRE ATT&CK-taktikerna kopplade till e-posthändelsen.
AttackTechniques Valfritt String MITRE ATT&CK-teknikerna kopplade till e-posthändelsen.
AttackRemediationSteg Valfritt String Rekommenderade åtgärder för att åtgärda den identifierade attacken eller hotet.

Schemauppdateringar

Versionen 1.0.0 är den första versionen av Email Event-schemat.

Relaterat innehåll

  • Uppdaterades senast