通过

你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。

高级安全信息模型 (ASIM) DHCP 规范化架构参考（公共预览版）

  • 项目

DHCP 信息模型用于描述 DHCP 服务器报告的事件，Microsoft Sentinel 用它来启用与源无关的分析。

有关详细信息，请参阅规范化和高级安全信息模型 (ASIM)。

重要

DHCP 规范化架构目前为预览版。 此功能不附带服务级别协议，不建议将其用于生产工作负荷。

Azure 预览版补充条款包含适用于 beta 版、预览版或其他尚未正式发布的 Azure 功能的其他法律条款。

架构概述

ASIM DHCP 架构表示 DHCP 服务器活动，包括为 DHCP IP 地址（从客户端系统租用）请求提供服务，以及使用授予的租用更新 DNS 服务器。

DHCP 事件中最重要的字段是 SrcIpAddr 和 SrcHostname，DHCP 服务器通过授予租用来绑定它们，其别名分别为 IpAddr 和 Hostname 字段。 SrcMacAddr 字段也很重要，因为它表示未租用 IP 地址时使用的客户端计算机。

DHCP 服务器可能会因安全问题或网络饱和而拒绝客户端。 它也有可能通过租给客户端一个将其连接到有限网络的 IP 地址来隔离客户端。 EventResult、EventResultDetails 和 DvcAction 字段提供有关 DHCP 服务器响应和操作的信息。

租用持续时间存储在 DhcpLeaseDuration 字段中。

架构详细信息

ASIM 与开源安全事件元数据 (OSSEM) 项目保持一致。

OSSEM 没有与 ASIM DHCP 架构类似的 DHCP 架构。

通用 ASIM 字段

重要

ASIM 通用字段一文详细介绍了所有架构的通用字段。

符合特定准则的通用字段

以下列表提及了符合 DHCP 事件特定准则的字段：

字段 类 类型 说明
EventType 必需 Enumerated 指示记录报告的操作。

可能的值为 Assign、Renew、Release 和 DNS Update。

示例： Assign
EventSchemaVersion 必需 字符串 此处所述的架构版本为 0.1。
EventSchema 必需 字符串 此处记录的架构的名称为 DhcpEvent。
Dvc 字段 - - 对于 DHCP 事件，设备字段是指报告 DHCP 事件的系统。

所有通用字段

下表中显示的字段是所有 ASIM 架构通用的。 上面指定的任何准则都将替代字段的一般准则。 例如，字段通常情况下可能是可选项，但可能是特定架构的必需项。 有关每个字段的更多详细信息，请参阅 ASIM 通用字段一文。

类 Fields
必需 - EventCount
- EventStartTime
- EventEndTime
- EventType
- EventResult
- “EventProduct”
- EventVendor
- EventSchema
- EventSchemaVersion
- Dvc
建议 - EventResultDetails
- EventSeverity
- EventUid
- DvcIpAddr
- DvcHostname
- DvcDomain
- DvcDomainType
- DvcFQDN
- DvcId
- DvcIdType-
- DvcAction
可选 - EventMessage
- EventSubType
- EventOriginalUid
- EventOriginalType
- EventOriginalSubType
- EventOriginalResultDetails
- EventOriginalSeverity
- EventProductVersion
- EventReportUrl
- EventOwner
- DvcZone
- DvcMacAddr
- DvcOs
- DvcOsVersion
- DvcOriginalAction
- DvcInterface
- AdditionalFields
- DvcDescription
- DvcScopeId
- DvcScope

特定于 DHCP 的字段

以下字段特定于 DHCP 事件，但有许多类似于其他架构中的字段，并遵循相同的命名约定。

字段 类 类型 备注
SrcIpAddr 必需 IP 地址 DHCP 服务器分配给客户端的 IP 地址。

示例： 192.168.12.1
IpAddr Alias SrcIpAddr 的别名
RequestedIpAddr 可选 IP 地址 DHCP 客户端请求的 IP 地址（如果可用）。

示例： 192.168.12.3
SrcHostname 必需 字符串 请求 DHCP 租用的设备的主机名。 如果没有可用的设备名称，请在此字段中存储相关的 IP 地址。

示例： DESKTOP-1282V4D
主机名 Alias SrcHostname 的别名
SrcDomain 建议 字符串 源设备的域。

示例： Contoso
SrcDomainType 条件逻辑 Enumerated SrcDomain 的类型（如果已知）。 可能的值包括：
- Windows（例如：contoso）
- FQDN（例如：microsoft.com）

如果使用了 SrcDomain，则该字段是必填的。
SrcFQDN 可选 String 源设备主机名，包括域信息（如果可用）。

注意：此字段支持传统的 FQDN 格式和 Windows 域\主机名格式。 SrcDomainType 字段反映使用的格式。

示例： Contoso\DESKTOP-1282V4D
SrcDvcId 可选 字符串 记录中报告的源设备的 ID。

例如： ac7e9755-8eae-4ffc-8a02-50ed7a2216c3
SrcDvcScopeId 可选 String 设备所属的云平台范围 ID。 SrcDvcScopeId 映射到 Azure 上的订阅 ID 和 AWS 上的帐户 ID。
SrcDvcScope 可选 String 设备所属的云平台范围。 SrcDvcScope 映射到 Azure 上的订阅 ID 和 AWS 上的帐户 ID。
SrcDvcIdType 条件逻辑 Enumerated SrcDvcId 的类型（如果已知）。 可能的值包括：
- AzureResourceId
- MDEid

如果有多个可用 ID，请使用上述列表中的第一个 ID，并分别在 SrcDvcAzureResourceId 和 SrcDvcMDEid 中存储其他 ID 。

注意：如果使用了 SrcDvcId，则此字段是必填的。
SrcDeviceType 可选 Enumerated 源设备的类型。 可能的值包括：
- Computer
- Mobile Device
- IOT Device
- Other
SrcUserId 可选 String 源用户的计算机可读的唯一字母数字表示形式。 格式和支持的类型包括：
- SID (Windows)：S-1-5-21-1377283216-344919071-3415362939-500-
- UID (Linux)：4578-
- AADID (Microsoft Entra ID)：9267d02c-5f76-40a9-a9eb-b686f3ca47aa
- OktaId：00urjk4znu3BcncfY0h7-
- AWSId：72643944673

在 SrcUserIdType 字段中存储 ID 类型。 如果其他 ID 可用，建议将字段名称分别规范化为 SrcUserSid、SrcUserUid、SrcUserAadId、SrcUserOktaId 和 UserAwsId。

示例： S-1-12
SrcUserIdType 条件逻辑 Enumerated SrcUserId 字段中存储的 ID 的类型。 支持的值包括：SID、UIS、AADID、OktaId 和 AWSId。
SrcUsername 可选 字符串 源用户名，包括域信息（如果可用）。 使用以下格式之一并遵循以下优先顺序：
- UPN/电子邮件：johndow@contoso.com
- Windows：Contoso\johndow-
- DN：CN=Jeff Smith,OU=Sales,DC=Fabrikam,DC=COM-
- 简单：johndow。 仅当未提供域信息时才使用简单格式。

在 SrcUsernameType 字段中存储用户名类型。 如果其他 ID 可用，建议将字段名称规范化为 SrcUserUpn、SrcUserWindows 和 SrcUserDn 。

有关详细信息，请参阅用户实体。

示例： AlbertE
用户 Alias SrcUsername 的别名
SrcUsernameType 条件逻辑 Enumerated 指定 SrcUsername 字段中存储的用户名的类型。 支持的值为 UPN、Windows、DN 和 Simple。 有关详细信息，请参阅用户实体。

示例： Windows
SrcUserType 可选 Enumerated 操作者的类型。 允许值包括：
- Regular
- Machine
- Admin
- System
- Application
- Service Principal
- Other

注意：可以在源记录中使用不同字词提供该值，这些字词应规范化为这些值。 在 EventOriginalUserType 字段中存储原始值。
SrcOriginalUserType 原始源用户类型（如果源已提供）。
SrcMacAddr 必需 MAC 地址 请求 DHCP 租用的客户端的 MAC 地址。

注意：Windows DHCP 服务器以非标准方式记录 MAC 地址，省略应该由分析程序插入的冒号。

示例： 06:10:9f:eb:8f:14
DhcpLeaseDuration 可选 整数 授予客户端的租用时长，以秒为单位。
DhcpSessionId 可选 string 报告设备报告的会话标识符。 对于 Windows DHCP 服务器，请将此字段设置为 TransactionID 字段。

示例： 2099570186
SessionId Alias 字符串 DhcpSessionId 的别名
DhcpSessionDuration 可选 整数 完成 DHCP 会话所花费的时间，以毫秒为单位。

示例： 1500
持续时间 Alias DhcpSessionDuration 的别名
DhcpSrcDHCId  可选 String RFC4701 定义的 DHCP 客户端 ID
DhcpCircuitId  可选 String RFC3046 定义的 DHCP 线路 ID
DhcpSubscriberId  可选 String RFC3993 定义的 DHCP 订阅者 ID
DhcpVendorClassId   可选 String RFC3925 定义的 DHCP 供应商类 ID。
DhcpVendorClass   可选 String RFC3925 定义的 DHCP 供应商类。
DhcpUserClassId   可选 String RFC3004 定义的 DHCP 用户类 ID。
DhcpUserClass  可选 String RFC3004 定义的 DHCP 用户类。

后续步骤

有关详细信息，请参阅：