Microsoft Sentinel ASIM Email Event normalization şema referansı

Microsoft Sentinel E-posta Olayı normalizasyon şeması, e-posta teslimatı ve denetim etkinliğini temsil eder. Mesaj adresleme ve yönlendirme detaylarını, e-posta doğrulama sonuçları, teslimat sonuçlarını ve e-posta mesajlarında tespit edilen tehditleri içerir.

E-posta sunucuları, güvenli e-posta geçitleri, e-posta güvenlik hizmetleri ve e-postaları işleyen veya denetleyen diğer sistemlerden gelen kayıtları normalleştirmek için E-posta Olayı şemasını kullanın. Normalizasyon, bu kayıtları kaynak ne olursa olsun tutarlı alan adları ve değerlerle analiz etmenizi sağlar.

Microsoft Sentinel normalleştirme hakkında daha fazla bilgi için bkz. Normalleştirme ve Gelişmiş Güvenlik Bilgi Modeli (ASIM).

Şemaya genel bakış

Bir e-posta etkinliğinin ana alanları şunları tanımlar:

Alanlar, Dvc raporlama veya denetim sistemini tanımlar.

Çözümleyiciler

E-posta olay ayrıştırıcılarını dağıtın ve kullanın

Microsoft Sentinel GitHub deposundan ASIM ayrıştırıcılarını dağıtın. Tüm normalleştirilmiş e-posta olay kaynaklarını sorgulamak için, sorunuzda tablo adı olarak birleştirici ayrıştırıcıyı _Im_EmailEvent kullanın.

ASIM ayrıştırıcılarını kullanma hakkında daha fazla bilgi için bkz. ASIM ayrıştırıcılarına genel bakış.

Kendi normalleştirilmiş ayrıştırıcılarınızı ekleme

Email Event bilgi modeli için özel ayrıştırıcılar uygularken, aşağıdaki adlandırma sözdizimi kullanın:

  • ASimEmailEvent<vendor><Product> Normal ayrıştırıcılar için.
  • vimEmailEvent<vendor><Product> parametrizlenmiş ayrıştırıcılar için.

Email Event birleştirici ayrıştırıcısına özel ayrıştırıcılar eklemek için Manage ASIM ayrıştırıcılarına bakınız.

Filtre ayrıştırıcı sonuçları

Email Event filtreleme ayrıştırıcısı, sorgu performansını artırmak için parametreleri filtrelemeyi destekler.

Name Türü Description
starttime datetime Bu zamandan sonra veya bu zamana kadar başlayan olayları filtreleyin.
bitiş saati datetime Bu zamana kadar veya öncesinde biten olayları filtreleyin.
ipaddr_has_any_prefix dynamic IP adresinin listelenen öneklerden biriyle başladığı filtreleme olayları.
emailfromaddress_has_any dynamic Listelenen değerlerden birini içeren filtreleme olayları EmailFromAddress .
emailrecipient_has_any dynamic Listelenen e-posta alıcılarından birine sahip olayları filtreleyin.
emailsubject_has_any dynamic Listelenen değerlerden birini içeren filtreleme olayları EmailSubject .
emaildirection_in dynamic Filtre olayları bu EmailDirection için listelenen değerlerden biridir.
emaildeliverylocation_in dynamic Filtre olayları bu EmailDeliveryLocation için listelenen değerlerden biridir.
eventresult String Belirtilen değere eşit olan olayları EventResult filtreleyin. Varsayılan değer, *, sonuç olarak filtrelenmez.
paketlemek Boolean Ayarlandığında true, eşlenmemiş kaynak alanları dinamik alana AdditionalFields paketler. Varsayılan değer: false.

Örneğin, son gün içinde gönderilen contoso.com adresler tarafından gönderilen gelen e-postaları döndürmek için aşağıdaki sorguyu kullanın:

_Im_EmailEvent(
	starttime=ago(1d),
	endtime=now(),
	emailfromaddress_has_any=dynamic(['contoso.com']),
	emaildirection_in=dynamic(['Inbound'])
)

Şema ayrıntıları

Ortak ASIM alanları

Important

Tüm şemalarda ortak olan alanlar, ASIM ortak alanlarında ayrıntılı olarak tanımlanmıştır. Bu makaledeki yönergeler, bir alanın genel yönergelerini geçersiz kılar.

Belirli yönergelere sahip ortak alanlar

Alan Class Türü Description
Eventtype Mandatory Numaralandırılmış Normalleştirilmiş e-posta aktivitesini tanımlar. İzin verilen değerler EmailDelivery ve EmailInspection'dir.
EventSubType Optional Numaralandırılmış E-posta etkinliği hakkında daha fazla detay sağlar. İzin verilen değerler EmailSent ve EmailReceived'dir.
EventSchema Mandatory Numaralandırılmış Şema adı .EmailEvent
EventSchemaVersion Mandatory SchemaVersion (Dize) Bu, şemanın versiyonu. Burada belgelenen versiyon şudur: 1.0.0.
OlaySonuçDetaylar Recommended Numaralandırılmış Sonuç hakkında detaylar verir. İzin verilen değerler InvalidAddress, MailboxFull, MessageTooLarge, MessageRateLimitExceeded, RecipientRateLimitExceeded, BlockedByPolicyPhishingDetectedBlockedBySpamFilterMalwareDetected, , ve .Other
EventSeverity Recommended Numaralandırılmış Olayın şiddeti. İzin verilen değerler , Informational, Lowve MediumdeğerleridirHigh.

Tüm ortak alanlar

Class Fields
Mandatory - EventCount
- EventStartTime
- EventEndTime
- Eventtype
- EventResult
- EventProduct
- EventVendor
- EventSchema
- EventSchemaVersion
- Dvc
Recommended - OlaySonuçDetaylar
- Olay Şiddeti
- EventUid
- DvcIpAddr
- DvcHostname
- DvcDomain
Optional - EventMessage
- EventSubType
- EventOriginalUid
- EventOriginalType
- OlayOrijinalSonuçDetaylar
- OlayOrijinalŞiddet
- EventProductVersion
- EventReportUrl
- Etkinlik Sahibi
- DvcDescription
- DvcFQDN
- DvcId
- DvcInterface
- DvcMacAddr
- DvcOriginalAction
- DvcOs
- DvcOsVersion
- DvcScope
- DvcScopeId
- DvcZone
- EkVarlıklar
- EkAlanlar
Conditional - DvcDomainType
- DvcIdType

E-posta alanları

Alan Class Türü Description
EmailFromAddress Recommended String Mesaj From başlığındaki e-posta adresi.
EmailFromDomain Optional String Mesaj From başlığındaki adresten alan adı.
EmailMailFromAddress Optional String Posta taşıma protokolü tarafından kullanılan zarf gönderici adresi.
EmailMailFromDomain Optional String Zarf gönderici adresinin alan alanı.
E-postaCevap Adresi Recommended String Mesaj Reply-To başlığındaki e-posta adresi.
EmailReplyToDomain Optional String Mesaj Reply-To başlığındaki adresten alan adı.
E-postaToRecipients Recommended Dinamik Mesaj To başlığında bir dizi alıcı.
EmailCCRecipients Optional Dinamik Mesaj Cc başlığında bir dizi alıcı.
EmailBCCRecipients Optional Dinamik Mesaj Bcc başlığında bir dizi alıcı.
E-posta Konusu Recommended String E-posta konusu.
E-posta Dili Optional String E-posta içeriğinin dili, kaynağın bildirdiği gibi.
EmailSizeBytes Recommended Long Toplam e-posta boyutu bayt cinsinden.
EmailProtocolName Recommended Numaralandırılmış E-postayı aktarmak veya almak için kullanılan protokol. İzin verilen değerler , SMTPve IMAPdeğerleridirPOP3.
E-posta Yönü Recommended Numaralandırılmış E-postanın raporlama ortamına göre yönü. İzin verilen değerler , Inbound, Outbound, Internalve LocalUnknown.
E-postaTeslimat Yeri Optional Numaralandırılmış E-postanın teslim edildiği normalleştirilmiş konum. İzin verilen değerler , Inbox, Junkve QuarantinedeğerleridirDeletedItems.
E-postaOrijinalTeslimatKonum Optional String Kaynağın bildirdiği gibi teslimat yeri.
EmailFileCount Recommended Integer E-posta eklenen dosya sayısı.
E-posta Dosyaları Optional Dinamik E-posta eklenmiş dosyaları tanımlayan bir dizi.
EmailUrlCount Recommended Integer E-postada bulunan URL sayısı.
E-posta URL'leri Optional Dinamik E-postada bulunan bir dizi URL.

E-posta doğrulama alanları

Alan Class Türü Description
EmailSpfResult Optional Numaralandırılmış Normalleştirilmiş Gönderici Politika Çerçevesi (SPF) sonucu. İzin verilen değerler Pass, Fail, SoftFail, Neutral, NoneTemporaryError, ve PermanentError.
EmailSpfOriginalResult Optional String Kaynağın bildirdiği gibi SPF sonucu.
EmailDkimDomain Optional String Mesajı imzalayan alan adı DomainKeys Tanımlı Posta (DKIM) ile imzalandı.
EmailDkimSignature Optional String Mesajla ilişkili DKIM imzası.
EmailDkimResult Optional Numaralandırılmış Normalleşmiş DKIM sonucu. İzin verilen değerler , Pass, Fail, TemporaryErrorve PermanentErrorNone.
EmailDkimOriginalResult Optional String Kaynağın bildirdiği gibi DKIM sonucu.
EmailDmarcResult Optional Numaralandırılmış Normalize edilmiş Alan Tabanlı Mesaj Doğrulama, Raporlama ve Uyum (DMARC) sonucu. İzin verilen değerler , Pass, Failve BestGuessPassdeğerleridirNone.
EmailDmarcOriginalResult Optional String Kaynağın bildirdiği gibi DMARC sonucu.
E-postaDmarcPolicy Optional Numaralandırılmış DMARC politikası e-posta için de geçerliydi. İzin verilen değerler , Quarantineve RejectdeğerleridirNone.
EmailDmarcOverride Optional Numaralandırılmış DMARC politikasının geçersiz kalmasının sebebi. İzin verilen değerler Forwarded, LocalPolicy, MailingList, SampleOut, TrustedForwarder ve Other değerleridir.

Teslimat ve varış alanları

Alan Class Türü Description
DvcAction Optional Numaralandırılmış E-postada alınan normalleştirilmiş eylem. İzin verilen değerler Delivered, Modified, Redirected, Blocked, PurgedQuarantinedDeletedve .NA
Dst Mandatory String E-posta hedefi için benzersiz bir tanımlayıcı.
DstIpAddr Recommended IP address E-posta hedefinin IP adresi.

Kaynak sistem alanları

Alan Class Türü Description
Src Recommended String Kaynak sistem için benzersiz bir tanımlayıcı.
SrcIpAddr Optional IP address Kaynak IP adresi.
IpAddr Alias IP address SrcIpAddr diğer adı.
SrcHostname Recommended Konak adı Etki alanı bilgileri hariç kaynak cihaz ana bilgisayar adı.
SrcDomain Recommended Domain Kaynak cihazın etki alanı.
SrcDomainType Conditional Numaralandırılmış Türü SrcDomain. İzin verilen değerler , Windowsve FQDNdeğerleridirResourceGroup. Kullanıldığında SrcDomain gereklidir.
SrcFQDN Optional FQDN Kaynak cihazın tam nitelikli alan adı.
SrcDvcId Optional String Kaynak cihazın kimliği.
SrcDvcIdType Conditional Numaralandırılmış Türü SrcDvcId. İzin verilen değerler AzureResourceId, MDEid, MD4IoTid, VMConnectionId, ForcepointIdAppGateIdAwsVpcIdVectraId, ve .Other Kullanıldığında SrcDvcId gereklidir.
SrcDvcScope Optional String Kaynak cihazın ait olduğu bulut platformu kapsamı.
SrcDvcScopeId Optional String Kaynak cihazın ait olduğu bulut platformunun kapsamının kimliği.
SrcDeviceType Optional Numaralandırılmış Kaynak cihaz türü.
SrcDescription Optional String Kaynak cihazın tanımı.
SrcIsp Optional String Kaynak IP adresiyle ilişkilendirilen internet servis sağlayıcısı.
SrcGeoCountry Optional String Kaynak IP adresiyle ilişkili ülke veya bölge.
SrcGeoRegion Optional String Kaynak IP adresiyle ilişkilendirilmiş bölge.
SrcGeoCity Optional String Kaynak IP adresiyle ilişkili şehir.
SrcGeoLatitude Optional Gerçek Kaynak IP adresiyle ilişkili enlem.
SrcGeoLongitude Optional Gerçek Kaynak IP adresiyle ilişkili boylam.

Kaynak kullanıcı alanları

Alan Class Türü Description
SrcUserName Optional String Kaynak kullanıcının adı.
User Alias String Takma ad olarak SrcUserName.
SrcUserUpn Recommended String Kaynak kullanıcının Kullanıcı Ana Adı (UPN).
SrcUserId Optional String Kaynak kullanıcı için makine tarafından okunabilir bir tanımlayıcı.
SrcUserIdType Optional Numaralandırılmış Türü SrcUserId. İzin verilen değerler SID, UID, AADID, OktaId, AWSId, PUIDVectraUserIdSalesforceIdMD4IoTid, , ve .Other
SrcUsernameType Optional Numaralandırılmış Değerin türü.SrcUserName
SrcUserScope Optional String Kaynak kullanıcının tanımlandığı kapsam.
SrcUserScopeId Optional String Kaynak kullanıcının tanımlandığı kapsamın kimliği.

İnceleme alanları

Aşağıdaki alanlar, e-posta denetimiyle ilişkili kural, tehdit veya göstergeyi tanımlar.

Alan Class Türü Description
Rulename Optional String Denetim kuralının adı veya kimliği.
RuleNumber Optional Integer Denetim kuralının sayısal kimliği.
Rule Alias String Takma ad olarak RuleName.
RuleDescription Optional String Denetim kuralının bir açıklaması.
IndicatorType Optional Numaralandırılmış E-posta etkinliğinde belirtilen gösterge türü.
IndicatorAssociation Optional Numaralandırılmış Gösterge ile e-posta olayı arasındaki ilişki.
ThreatId Optional String E-postada belirtilen tehdidin kimliği.
ThreatName Optional String E-postada belirtilen tehdidin adı.
ThreatCategory Optional String Normalleştirilmiş tehdit kategorisi.
ThreatOriginalCategory Optional String Kaynak tarafından bildirilen tehdit kategorisi.
ThreatRiskLevel Optional RiskLevel (Tamsayı) Normalleştirilmiş tehdit risk seviyesi, 0100.
ThreatOriginalRiskLevel Optional String Kaynak tarafından bildirilen tehdit risk seviyesi.
ThreatConfidence Optional ConfidenceLevel (Tamsayı) Normalleşmiş güven seviyesi, .0100
ThreatOriginalConfidence Optional String Kaynağın bildirdiği gibi tehdit güveni.
ThreatIsActive Optional Boolean Tanımlanan tehdidin aktif olup olmadığını gösterir.
ThreatFirstReportedTime Optional Tarih ve saat Tehdidin ilk kez bildirildiği zaman.
ThreatLastReportedTime Optional Tarih ve saat Tehdidin son bildirildiği zaman.
ThreatIpAddr Optional IP address Tanımlanan tehditle ilişkili bir IP adresi.
ThreatField Conditional Numaralandırılmış Tehdidin tanımlandığı alan.
AttackTactics Optional String MITRE ATT&CK e-posta etkinliğiyle ilgili taktikler.
AttackTechniques Optional String E-posta etkinliğiyle ilişkili MITRE ATT&CK teknikleri.
AttackRemediationSteps Optional String Tespit edilen saldırı veya tehdidin düzeltilmesi için önerilen adımlar.

Şema güncelleştirmeleri

Versiyon 1.0.0 , E-posta Etkinliği şemasının ilk sürümüdür.

İlgili içerik

  • Son güncelleştirme: