你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。

Microsoft Sentinel ASIM Email Event normalization schema reference

Microsoft Sentinel 邮件事件规范化模式表示邮件的投递和检查活动。 它包括消息地址和路由细节、电子邮件认证结果、投递结果以及邮件中识别的威胁。

使用电子邮件事件模式来规范邮件服务器、安全邮件网关、邮件安全服务及其他处理或检查邮件的系统的记录。 归一化功能允许你分析这些记录，无论来源为何，字段名称和值都一致。

有关Microsoft Sentinel规范化的详细信息，请参阅规范化和高级安全信息模型 (ASIM) 。

架构概述

电子邮件事件的主要字段描述如下：

这些 Dvc 字段描述了报告或检查系统。

解析 器

部署并使用电子邮件事件解析器

从Microsoft Sentinel GitHub仓库部署ASIM解析器。 要查询所有规范化的邮件事件源，请使用统一解析器 _Im_EmailEvent 作为查询中的表名。

有关使用 ASIM 分析程序的详细信息，请参阅 ASIM 分析程序概述。

添加自己的规范化分析程序

当你为邮件事件信息模型实现自定义解析器时，请使用以下命名语法：

  • ASimEmailEvent<vendor><Product> 对于普通解析器来说。
  • vimEmailEvent<vendor><Product> 对于参数化解析器。

要向邮件事件统一解析器添加自定义解析器，请参见 管理ASIM解析器。

过滤分析器结果

邮件事件过滤解析器支持 过滤参数 以提升查询性能。

Name 类型 Description
starttime 日期/时间 过滤事件发生在此时间点或之后。
endtime 日期/时间 过滤那些在此时间点或之前结束的事件。
ipaddr_has_any_prefix dynamic 过滤IP地址以列表中前缀之一开头的事件。
emailfromaddress_has_any dynamic 过滤事件，其中 EmailFromAddress 包含列出的值之一。
emailrecipient_has_any dynamic 筛选包含上述邮件收件人的事件。
emailsubject_has_any dynamic 过滤事件，其中 EmailSubject 包含列出的值之一。
emaildirection_in dynamic 过滤事件，其中 EmailDirection 一个值是 。
emaildeliverylocation_in dynamic 过滤事件，其中 EmailDeliveryLocation 一个值是 。
eventresult String 过滤事件，使 EventResult 得 等于指定值。 默认值 *不按结果进行筛选。
打包 布尔 当设置为 true时，将未映射的源字段打包到 AdditionalFields 动态字段中。 默认值为 false。

例如，使用以下查询返回由地址发送的入站邮件，地址在上一天内包含 contoso.com ：

_Im_EmailEvent(
	starttime=ago(1d),
	endtime=now(),
	emailfromaddress_has_any=dynamic(['contoso.com']),
	emaildirection_in=dynamic(['Inbound'])
)

架构详细信息

常见 ASIM 字段

Important

所有模式共有的字段在 ASIM通用字段中有详细描述。 本文中的指导原则优先于某一领域的一般指导原则。

具有特定准则的通用字段

领域 Class 类型 Description
EventType 强制的 Enumerated 描述了归一化的邮件活动。 允许的值为 EmailDelivery 和 EmailInspection。
事件子类型 Optional Enumerated 提供了关于邮件活动的更多细节。 允许的值为 EmailSent 和 EmailReceived。
EventSchema 强制的 Enumerated 模式名称为 EmailEvent。
EventSchemaVersion 强制的 SchemaVersion（字符串） 架构的版本。 这里文档的版本是 1.0.0。
EventResultDetails 推荐 Enumerated 提供结果的详细信息。 允许的值为 InvalidAddress、 MailboxFull、 RecipientRateLimitExceededMessageTooLargeBlockedByPolicyOtherMessageRateLimitExceededBlockedBySpamFilterPhishingDetectedMalwareDetected和 。
EventSeverity 推荐 Enumerated 事件的严重程度。 允许的值为 Informational、 、 LowMedium和 High。

所有常见字段

Class Fields
强制的 - EventCount
- EventStartTime
- EventEndTime
- EventType
- EventResult
- “EventProduct”
- EventVendor 事件供应商
- EventSchema
- EventSchemaVersion
- Dvc
推荐 - EventResultDetails
- EventSeverity 事件严重性
- EventUid 事件
- DvcIpAddr
- DvcHostname
- Dvc域
Optional - EventMessage
- 事件子类型
- EventOriginalUid
- EventOriginalType
- EventOriginalResultDetails
- EventOriginalSeverity
- EventProductVersion
- EventReportUrl
- EventOwner 事件所有者
- DvcDescription
- DvcFQDN
- DvcId
- DvcInterface
- DvcMacAddr
- DvcOriginalAction
- DvcOs
- DvcOsVersion
- DvcScope（数字视觉示波器）
- DvcScopeId（DvcScopeId）
- DvcZone
- 附加实体
- 附加字段
有條件的 - DvcDomainType
- DvcIdType-

Email 字段

领域 Class 类型 Description
发件人邮箱 推荐 String 邮件头中的 From 电子邮件地址。
来自域名的电子邮件 Optional String 消息头部地址的 From 域名。
电子邮件发件人地址 Optional String 邮件传输协议使用的信封发送地址。
电子邮件发件域名 Optional String 信封发件地址的域。
邮箱回复地址 推荐 String 邮件头中的 Reply-To 电子邮件地址。
电子邮件回复域名 Optional String 消息头部地址的 Reply-To 域名。
收件人邮件 推荐 动态 消息头部中的 To 接收者数组。
电子邮件CCRecipients Optional 动态 消息头部中的 Cc 接收者数组。
电子邮件BCCRecipients Optional 动态 消息头部中的 Bcc 接收者数组。
邮件主题 推荐 String 电子邮件主题。
电子邮件语言 Optional String 消息来源报道的邮件内容语言。
电子邮件大小字节 推荐 Long 邮件总大小（字节单位）。
电子邮件协议名称 推荐 Enumerated 用于传输或检索邮件的协议。 允许使用的值为 SMTP、IMAP 和 POP3。
电子邮件方向 推荐 Enumerated 邮件的方向相对于报告环境。 允许使用的值为 Inbound、Outbound、Internal、Local 和 Unknown。
电子邮件配送地点 Optional Enumerated 邮件被归一化的发送地点。 允许的值为 Inbox、 、 JunkQuarantine和 DeletedItems。
电子邮件原始配送地址 Optional String 消息来源报道的送货地点。
电子邮件文件计数 推荐 Integer 邮件附件的数量。
电子邮件文件 Optional 动态 一个描述附加在邮件中的文件的数组。
电子邮件网址计数 推荐 Integer 邮件中发现的网址数量。
电子邮件URLs Optional 动态 邮件中发现的一系列网址。

电子邮件认证字段

领域 Class 类型 Description
电子邮件Spf结果 Optional Enumerated 标准化发送方策略框架（SPF）结果。 允许的值为 Pass、 Fail、 PermanentErrorSoftFailNeutralNoneTemporaryError和 。
电子邮件 SpfOriginalResult Optional String 消息来源报道的SPF结果。
电子邮件DkimDomain Optional String 该域名用DomainKeys Identified Mail（DKIM）签署该消息。
电子邮件Dkim签名 Optional String 与该消息关联的DKIM签名。
电子邮件Dkim结果 Optional Enumerated 归一化后的DKIM结果。 允许使用的值为 Pass、Fail、TemporaryError、PermanentError 和 None。
电子邮件Dkim原始结果 Optional String 消息来源报告的DKIM结果。
电子邮件Dmarc结果 Optional Enumerated 归一化的基于域的消息认证、报告与一致性（DMARC）结果。 允许的值为 Pass、 、 FailBestGuessPass和 None。
电子邮件Dmarc原始结果 Optional String 消息来源所报道的DMARC结果。
电子邮件DmarcPolicy Optional Enumerated DMARC政策适用于该邮件。 允许使用的值为 Quarantine、Reject 和 None。
电子邮件DmarcOverride Optional Enumerated DMARC政策被推翻的原因。 允许的值为Forwarded、、LocalPolicy、MailingListSampleOut、和TrustedForwarderOther。

送货和目的字段

领域 Class 类型 Description
Dvc行动 Optional Enumerated 对邮件采取的正常化处理。 允许的值为Delivered、Modified、Redirected、BlockedQuarantined、 DeletedPurged和NA。
夏令时 强制的 String 电子邮件目的地的唯一标识符。
DstIpAddr 推荐 IP 地址 电子邮件目的地的IP地址。

源系统字段

领域 Class 类型 Description
Src 推荐 String 源系统的唯一标识符。
SrcIpAddr Optional IP 地址 源 IP 地址。
IpAddr Alias IP 地址 SrcIpAddr 的别名。
SrcHostname 推荐 Hostname 源设备主机名，不包括域信息。
SrcDomain 推荐 域名 源设备的域。
SrcDomainType 有條件的 Enumerated SrcDomain 的类型。 允许使用的值为 Windows、FQDN 和 ResourceGroup。 使用时 SrcDomain 必须使用。
SrcFQDN Optional FQDN 源设备的完全限定域名。
SrcDvcId Optional String 源设备的 ID。
SrcDvcIdType 有條件的 Enumerated SrcDvcId 的类型。 允许的值为 AzureResourceId、 MDEid、 MD4IoTidVMConnectionId、 AwsVpcId、 AppGateIdVectraIdForcepointIdOther和 。 使用时 SrcDvcId 必须使用。
SrcDvcScope（扫描仪示波器） Optional String 源设备所属的云平台范围。
SrcDvcScopeID Optional String 源设备所属的云平台范围的ID。
SrcDeviceType Optional Enumerated 源设备类型。
词典描述 Optional String 对源设备的描述。
SrcIsp Optional String 与源IP地址关联的互联网服务提供商。
SrcGeoCountry Optional String 与源IP地址相关的国家或地区。
SrcGeoRegion Optional String 与源 IP 地址关联的区域。
SrcGeoCity Optional String 与源 IP 地址关联的城市。
SrcGeoLatitude Optional 雷亚尔 与源IP地址相关的纬度。
SrcGeoLongitude Optional 雷亚尔 与源IP地址相关的经度。

源用户字段

领域 Class 类型 Description
SrcUserName Optional String 源用户的名字。
User Alias String 别名为 SrcUserName。
SrcUserUpn 推荐 String 源用户的用户主体名称（UPN）。
SrcUserID Optional String 源用户的机器可读标识符。
SrcUserIdType Optional Enumerated SrcUserId 的类型。 允许的值为 SID、 UID、 AWSIdAADIDPUIDOtherOktaIdSalesforceIdVectraUserIdMD4IoTid和 。
SrcUsernameType Optional Enumerated 该值 SrcUserName的类型。
SrcUserScope Optional String 定义源用户的范围。
SrcUserScopeId Optional String 定义源用户的范围ID。

检查字段

以下字段描述了与电子邮件检查相关的规则、威胁或指标。

领域 Class 类型 Description
RuleName Optional String 检查规则的名称或编号。
RuleNumber Optional Integer 检查规则的数字编号。
规则 Alias String 别名为 RuleName。
RuleDescription Optional String 检查规则的描述。
IndicatorType Optional Enumerated 邮件事件中识别的指示器类型。
IndicatorAssociation Optional Enumerated 指示器与邮件事件之间的关联。
ThreatId Optional String 邮件中识别的威胁身份。
ThreatName Optional String 邮件中提到的威胁名称。
ThreatCategory Optional String 归一化威胁类别。
ThreatOriginalCategory Optional String 消息来源报告的威胁类别。
ThreatRiskLevel Optional RiskLevel (整数) 正常化威胁风险等级，从0。100
ThreatOriginalRiskLevel Optional String 消息来源报告的威胁风险等级。
ThreatConfidence Optional 置信水平（整数） 归一化置信水平，从 0100。
ThreatOriginalConfidence Optional String 消息来源报道的威胁信心。
ThreatIsActive Optional 布尔 指示已识别威胁是否处于活跃状态。
ThreatFirstReportedTime Optional 日期/时间 第一次报告威胁。
ThreatLastReportedTime Optional 日期/时间 这是上一次威胁被报告的时候。
ThreatIpAddr Optional IP 地址 与已识别威胁相关的IP地址。
威胁场 有條件的 Enumerated 就是被识别出威胁的领域。
AttackTactics Optional String 与邮件事件相关的MITRE AT&CK策略。
AttackTechniques Optional String 与邮件事件相关的MITRE AT&CK技术。
AttackRemediationSteps Optional String 针对已识别攻击或威胁的修复建议步骤。

架构更新

版本 1.0.0 是电子邮件事件模式的初始版本。

相关内容

  • 上次更新时间为