你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。

高级安全信息模型 (ASIM) 审核事件规范化架构参考（公共预览版）

  • 项目

Microsoft Sentinel 审核事件规范化架构表示与信息系统的审核线索关联的事件。 审核线索日志记录系统配置活动和策略更改。 此类更改通常由系统管理员执行，但也可由用户在配置其自己的应用程序的设置时执行。

每个系统都会将审核事件及其核心活动日志一起记录。 例如，防火墙将记录有关处理网络会话的事件，以及有关应用于防火墙本身的配置更改的审核事件。

有关 Microsoft Sentinel 中规范化的详细信息，请参阅规范化和高级安全信息模型 (ASIM)。

重要

审核事件规范化架构目前以预览版提供。 服务级别协议未随此功能一起提供。 建议不要将它用于生产工作负载。

Azure 预览版补充条款包含适用于 beta 版、预览版或其他尚未正式发布的 Azure 功能的其他法律条款。

架构概述

审核事件的主要字段包括：

  • 由字段 Object 表示的对象（例如事件涉及的受管理资源或策略规则）。 字段 ObjectType 指定对象的类型。
  • 对象的应用程序上下文，由字段 TargetAppName 表示，别名为 Application。
  • 对对象执行的操作，由字段 EventType 和 Operation 表示。 虽然 Operation 是源报告的值，但 EventType 是规范化版本，该字段在不同源之间的一致性更佳。
  • 对象的旧值和新值（如果适用）分别由 OldValue 和 NewValue 表示。

审核事件还引用配置操作中涉及的以下实体：

  • Actor - 执行配置操作的用户。
  • TargetApp - 应用配置操作的应用程序或系统。
  • Target - 运行 TaregtApp* 的系统。
  • ActingApp - 参与者用于执行配置操作的应用程序。
  • Src - 参与者用于启动配置操作的系统（如果与 Target 不同）。

描述符 Dvc 用于报告设备：对于终结点报告的会话，它是本地系统；对于其他情况，它是中间设备或安全设备。

分析器

部署和使用审核事件分析程序

从 Microsoft Sentinel GitHub 存储库部署 ASIM 审核事件分析程序。 若要跨所有审核事件源进行查询，请使用统一分析程序 imAuditEvent 作为查询中的表名称。

有关 ASIM 分析程序的详细信息，请参阅 ASIM 分析程序概述。 有关 Microsoft Sentinel 现成提供的审核事件分析程序列表，请参考 ASIM 分析程序列表

添加自己的规范化分析器

为文件事件信息模型实现自定义分析器时，请使用以下语法来命名 KQL 函数：imAuditEvent<vendor><Product>。 若要了解如何将自定义分析程序添加到审核事件统一分析程序，请参阅管理 ASIM 分析程序一文。

筛选分析程序参数

审核事件分析程序支持筛选参数。 尽管这些参数是可选的，但它们可以提高查询性能。

可使用以下筛选参数：

名称 Type 说明
starttime datetime 仅筛选在此时间或之后运行的事件。 此参数使用 TimeGenerated 字段作为事件的时间指示符。
endtime datetime 仅筛选在此时间或之前完成运行的事件查询。 此参数使用 TimeGenerated 字段作为事件的时间指示符。
srcipaddr_has_any_prefix 动态 仅筛选来自此源 IP 地址的事件，如 SrcIpAddr 字段中所示。
eventtype_in string 仅筛选其中的事件类型（如 EventType 字段中所示）是提供的任一字词的事件。
eventresult string 仅筛选其中的事件结果（如 EventResult 字段中所示）等于参数值的事件。
actorusername_has_any 动态/字符串 仅筛选其中的 ActorUsername 包含所提供的任一字词的事件。
operation_has_any 动态/字符串 仅筛选其中的 Operation 字段包含所提供的任一字词的事件。
object_has_any 动态/字符串 仅筛选其中的 Object 字段包含所提供的任一字词的事件。
newvalue_has_any 动态/字符串 仅筛选其中的 NewValue 字段包含所提供的任一字词的事件。

某些参数可以接受 dynamic 类型的值列表或单个字符串值。 若要将文本列表传递到需要动态值的参数，请显式使用动态文本。 例如：dynamic(['192.168.','10.'])

例如，若要仅筛选过去一天的、其 Operation 字段中包含字词 install 或 update 的审核事件，请使用：

imAuditEvent (operation_has_any=dynamic(['install','update']), starttime = ago(1d), endtime=now())

架构详细信息

通用 ASIM 字段

重要

ASIM 通用字段一文详细介绍了所有架构的通用字段。

符合特定准则的通用字段

以下列表提及了具有特定审核事件准则的字段：

字段 类 类型 说明
EventType 必需 Enumerated 描述事件使用规范化值审核的操作。 使用 EventSubType 提供规范化值未传达的更多详细信息，并使用 Operation。 存储报告设备报告的操作。

对于审核事件记录，允许的值为：
- Set
- Read
- Create
- Delete
- Execute
- Install
- Clear
- Enable
- Disable
- Other

审核事件表示丰富多样的操作，Other 值实现没有对应 EventType 的映射操作。 但使用 Other 会限制事件的可用性，应尽可能地避免使用该值。
EventSubType 可选 String 提供 EventType 中的规范化值未传达的更多详细信息。
EventSchema 必需 字符串 此处所述的架构名称为 AuditEvent。
EventSchemaVersion 必需 字符串 架构的版本。 此处所述的架构版本为 0.1。

所有通用字段

表中显示的字段是所有 ASIM 架构通用的。 本文档中指定的任何准则都可替代字段的一般准则。 例如，字段通常情况下可能是可选项，但可能是特定架构的必需项。 有关每个字段的详细信息，请参阅 ASIM 通用字段一文。

类 Fields
必需 - EventCount
- EventStartTime
- EventEndTime
- EventType
- EventResult
- “EventProduct”
- EventVendor
- EventSchema
- EventSchemaVersion
- Dvc
建议 - EventResultDetails
- EventSeverity
- EventUid
- DvcIpAddr
- DvcHostname
- DvcDomain
- DvcDomainType
- DvcFQDN
- DvcId
- DvcIdType-
- DvcAction
可选 - EventMessage
- EventSubType
- EventOriginalUid
- EventOriginalType
- EventOriginalSubType
- EventOriginalResultDetails
- EventOriginalSeverity
- EventProductVersion
- EventReportUrl
- EventOwner
- DvcZone
- DvcMacAddr
- DvcOs
- DvcOsVersion
- DvcOriginalAction
- DvcInterface
- AdditionalFields
- DvcDescription
- DvcScopeId
- DvcScope

审核字段

字段 类 类型 说明
Operation 必需 字符串 报告设备报告的审核操作。
Object 必需 字符串 对其执行标识为 EventType 的操作的对象名称。
ObjectType 必需 Enumerated Object 的类型。 允许值包括：
- Cloud Resource
- Configuration Atom
- Policy Rule
- Other
OldValue 可选 字符串 执行操作之前的 Object 旧值（如果适用）。
NewValue 可选 String 执行操作之后的 Object 新值（如果适用）。
Value Alias NewValue 的别名
ValueType 条件逻辑 Enumerated 旧值和新值的类型。 允许的值为
- Other

参与者字段

字段 类 类型 说明
ActorUserId 可选 String 参与者的计算机可读的唯一字母数字表示形式。 有关详细信息，以及其他 ID 的替代字段，请参阅 User 实体。

示例： S-1-12-1-4141952679-1282074057-627758481-2916039507
ActorScope 可选 字符串 在其中定义了 ActorUserId 和 ActorUsername 的范围（例如 Microsoft Entra 域名）。 有关详细信息和允许值的列表，请参阅架构概述文章中的 UserScope。
ActorScopeId 可选 字符串 在其中定义了 ActorUserId 和 ActorUsername 的范围 ID（例如 Microsoft Entra Directory ID）。 有关详细信息和允许值的列表，请参阅架构概述文章中的 UserScopeId。
ActorUserIdType 条件逻辑 UserIdType ActorUserId 字段中存储的 ID 的类型。 有关详细信息和允许值的列表，请参阅架构概述文章中的 UserIdType。
ActorUsername 建议 用户名 参与者的用户名，包括域信息（如果可用）。 有关详细信息，请参阅用户实体。

示例： AlbertE
用户 Alias ActorUsername 的别名
ActorUsernameType 条件逻辑 UsernameType 指定 ActorUsername 字段中存储的用户名的类型。 有关详细信息和允许值的列表，请参阅架构概述文章中的 UsernameType。

示例： Windows
ActorUserType 可选 UserType 参与者的类型。 有关详细信息和允许值的列表，请参阅架构概述文章中的 UserType。

例如：Guest
ActorOriginalUserType 可选 UserType 报告设备报告的用户类型。
“ActorSessionId” 可选 字符串 参与者登录会话的唯一 ID。

示例： 102pTUgC3p8RIqHvzxLCHnFlg

目标应用程序字段

字段 类 类型 说明
TargetAppId 可选 String 事件应用的应用程序 ID，包括进程、浏览器或服务。

示例： 89162
TargetAppName 可选 String 事件应用的应用程序名称，包括服务、URL 或 SaaS 应用程序。

示例： Exchange 365
Application Alias TargetAppName 的别名
TargetAppType 可选 AppType 代表参与者授权的应用程序的类型。 有关详细信息和允许值的列表，请参阅架构概述文章中的 AppType。
TargetUrl 可选 URL 与目标应用程序相关联的 URL。

示例： https://console.aws.amazon.com/console/home?fromtb=true&hashArgs=%23&isauthcode=true&nc2=h_ct&src=header-signin&state=hashArgsFromTB_us-east-1_7596bc16c83d260b

目标系统字段

字段 类 类型 说明
Dst Alias 字符串 身份验证目标的唯一标识符。

此字段可以是 TargerDvcId、TargetHostname、TargetIpAddr、TargetAppId 或 TargetAppName 字段的别名。

示例：192.168.12.1
TargetHostname 建议 主机名 目标设备主机名，不包括域信息。

示例：DESKTOP-1282V4D
TargetDomain 建议 字符串 目标设备的域。

示例：Contoso
TargetDomainType 条件逻辑 Enumerated TargetDomain 的类型。 有关允许值的列表和更多信息，请参阅架构概述文章中的 DomainType。

如果使用了 TargetDomain，则该字段是必填的。
TargetFQDN 可选 字符串 目标设备主机名，包括域信息（如果可用）。

示例：Contoso\DESKTOP-1282V4D

注意：此字段支持传统的 FQDN 格式和 Windows 域\主机名格式。 TargetDomainType 反映所使用的格式。
TargetDescription 可选 字符串 与设备关联的描述性文本。 例如：Primary Domain Controller。
TargetDvcId 可选 String 目标设备的 ID。 如果有多个可用的 ID，请使用最重要的一个，将其他 ID 存储在字段中 TargetDvc<DvcIdType>。

示例：ac7e9755-8eae-4ffc-8a02-50ed7a2216c3
TargetDvcScopeId 可选 String 设备所属的云平台范围 ID。 TargetDvcScopeId 映射到 Azure 上的订阅 ID 和 AWS 上的帐户 ID。
TargetDvcScope 可选 String 设备所属的云平台范围。 TargetDvcScope 映射到 Azure 上的订阅 ID 和 AWS 上的帐户 ID。
TargetDvcIdType 条件逻辑 Enumerated TargetDvcId 的类型。 有关允许值的列表和更多信息，请参阅架构概述文章中的 DvcIdType。

如果使用了 TargetDeviceId，则该字段是必填的。
TargetDeviceType 可选 Enumerated 目标设备的类型。 有关允许值的列表和更多信息，请参阅架构概述文章中的 DeviceType。
TargetIpAddr 可选 IP 地址 目标设备的 IP 地址。

示例： 2.2.2.2
TargetDvcOs 可选 字符串 目标设备的 OS。

示例： Windows 10
TargetPortNumber 可选 整数 目标设备的端口。

操作应用程序字段

字段 类 类型 说明
ActingAppId 可选 String 启动报告的活动的应用程序的 ID，包括进程、浏览器或服务。

例如： 0x12ae8
ActiveAppName 可选 String 启动报告的活动的应用程序的名称，包括服务、URL 或 SaaS 应用程序。

例如： C:\Windows\System32\svchost.exe
ActingAppType 可选 AppType 操作应用程序的类型。 有关详细信息和允许值的列表，请参阅架构概述文章中的 AppType。
HttpUserAgent 可选 字符串 通过 HTTP 或 HTTPS 执行身份验证时，此字段的值是执行身份验证时操作应用程序提供的 user_agent HTTP 标头。

例如： Mozilla/5.0 (iPhone; CPU iPhone OS 12_1 like Mac OS X) AppleWebKit/605.1.15 (KHTML, like Gecko) Version/12.0 Mobile/15E148 Safari/604.1

源系统字段

字段 类 类型 说明
Src Alias 字符串 目标设备的唯一标识符。

此字段又可称为 SrcDvcId、SrcHostname 或 SrcIpAddr 字段。

示例： 192.168.12.1
SrcIpAddr 建议 IP 地址 从中发起了连接或会话的 IP 地址。

示例：77.138.103.108
IpAddr Alias SrcIpAddr 的别名；如果未提供 SrcIpAddr，则为 TargetIpAddr 的别名。
SrcPortNumber 可选 整数 从中发起了连接的 IP 端口。 可能与包含多个连接的会话无关。

示例： 2335
SrcHostname 建议 主机名 源设备主机名，不包括域信息。 如果没有可用的设备名称，请在此字段中存储相关的 IP 地址。

示例： DESKTOP-1282V4D
SrcDomain 建议 字符串 源设备的域。

示例： Contoso
SrcDomainType 条件逻辑 DomainType SrcDomain 的类型。 有关允许值的列表和更多信息，请参阅架构概述文章中的 DomainType。

如果使用了 SrcDomain，则该字段是必填的。
SrcFQDN 可选 String 源设备主机名，包括域信息（如果可用）。

注意：此字段支持传统的 FQDN 格式和 Windows 域\主机名格式。 SrcDomainType 字段反映使用的格式。

示例： Contoso\DESKTOP-1282V4D
SrcDescription 可选 字符串 与设备关联的描述性文本。 例如：Primary Domain Controller。
SrcDvcId 可选 String 源设备的 ID。 如果有多个可用的 ID，请使用最重要的一个，将其他 ID 存储在字段中 SrcDvc<DvcIdType>。

示例： ac7e9755-8eae-4ffc-8a02-50ed7a2216c3
SrcDvcScopeId 可选 String 设备所属的云平台范围 ID。 SrcDvcScopeId 映射到 Azure 上的订阅 ID 和 AWS 上的帐户 ID。
SrcDvcScope 可选 String 设备所属的云平台范围。 SrcDvcScope 映射到 Azure 上的订阅 ID 和 AWS 上的帐户 ID。
SrcDvcIdType 条件逻辑 DvcIdType SrcDvcId 的类型。 有关允许值的列表和更多信息，请参阅架构概述文章中的 DvcIdType。

注意：如果使用了 SrcDvcId，则此字段是必填的。
SrcDeviceType 可选 DeviceType 源设备的类型。 有关允许值的列表和更多信息，请参阅架构概述文章中的 DeviceType。
SrcSubscriptionId 可选 String 源设备所属的云平台订阅 ID。 SrcSubscriptionId 映射到 Azure 上的订阅 ID 和 AWS 上的帐户 ID。
SrcGeoCountry 可选 国家/地区 与源 IP 地址关联的国家/地区。

示例：USA
SrcGeoRegion 可选 区域 与源 IP 地址关联的国家/地区中的区域。

示例：Vermont
SrcGeoCity 可选 城市 与源 IP 地址关联的城市。

示例：Burlington
SrcGeoLatitude 可选 纬度 与源 IP 地址关联的地理坐标的纬度。

示例：44.475833
SrcGeoLongitude 可选 经度 与源 IP 地址关联的地理坐标的经度。

示例：73.211944

检查字段

以下字段用于表示由安全系统执行的检查。

字段 类 类型 说明
RuleName 可选 String 与检查结果关联的规则的名称或 ID。
RuleNumber 可选 整数 与检查结果关联的规则的数量。
规则 Alias 字符串 RuleName 的值，或 RuleNumber 的值。 如果使用 RuleNumber 的值，则类型应转换为字符串。
ThreatId 可选 String 在审核活动中识别到的威胁或恶意软件的 ID。
ThreatName 可选 字符串 在审核活动中识别到的威胁或恶意软件的名称。
ThreatCategory 可选 字符串 在审核文件活动中识别到的威胁或恶意软件的类别。
ThreatRiskLevel 可选 整数 与已识别的威胁关联的风险级别。 级别应是介于 0 和 100 之间的数字。

注意：可以在源记录中使用不同的标度提供值，而使用的标度应规范化为此标度。 原始值应存储在 ThreatRiskLevelOriginal 中。
ThreatOriginalRiskLevel 可选 String 报告设备报告的风险级别。
ThreatConfidence 可选 整数 已识别威胁的可信度，规范化为 0 到 100 之间的值。
ThreatOriginalConfidence 可选 字符串 报告设备报告的已识别威胁的原始可信度。
ThreatIsActive 可选 Boolean 如果已识别的威胁被视为活动威胁，则为 True。
ThreatFirstReportedTime 可选 datetime IP 地址或域首次被识别为威胁的时间。
ThreatLastReportedTime 可选 datetime 上次将 IP 地址或域识别为威胁的时间。
ThreatIpAddr 可选 IP 地址 已识别出威胁的 IP 地址。 字段 ThreatField 包含 ThreatIpAddr 表示的字段的名称。
ThreatField 可选 Enumerated 已识别出威胁的字段。 该值为 SrcIpAddr 或 TargetIpAddr。

后续步骤

有关详细信息，请参阅：