Microsoft Sentinel ASIM Email Event normalization schema reference

Microsoft Sentinel 電子郵件事件正規化架構代表電子郵件投遞與檢查活動。 它包含訊息地址與路由細節、電子郵件認證結果、送達結果，以及電子郵件中識別的威脅。

利用電子郵件事件架構來正規化郵件伺服器、安全郵件閘道、電子郵件安全服務及其他處理或檢查電子郵件的系統的紀錄。 正規化讓你能以一致的欄位名稱和值分析這些紀錄，無論來源為何。

欲了解更多關於Microsoft Sentinel正規化的資訊，請參閱 ASIM) 正規化及先進安全資訊模型 (。

結構描述概觀

電子郵件事件的主要欄位描述：

欄位 Dvc 描述報告或檢查系統。

解析器

部署並使用電子郵件事件解析器

從 Microsoft Sentinel GitHub 倉庫部署 ASIM 解析器。 要查詢所有正規化的電子郵件事件來源，請使用統一解析器 _Im_EmailEvent 作為查詢中的資料表名稱。

欲了解更多使用 ASIM 解析器，請參閱 ASIM 解析器概述。

加入你自己的正規化解析器

當你實作電子郵件事件資訊模型的自訂解析器時，請使用以下命名語法：

  • ASimEmailEvent<vendor><Product> 對於一般解析器來說。
  • vimEmailEvent<vendor><Product> 用於參數化解析器。

若要為電子郵件事件統一解析器新增自訂解析器，請參閱 管理 ASIM 解析器。

過濾分析器結果

電子郵件事件過濾解析器支援 過濾參數 以提升查詢效能。

Name 類型 Description
starttime 日期時間 篩選從此時間開始或之後開始的事件。
endtime 日期時間 過濾在此時間點或之前結束的事件。
ipaddr_has_any_prefix dynamic 過濾 IP 位址以上述前綴之一開頭的事件。
emailfromaddress_has_any dynamic 過濾事件，該 EmailFromAddress 事件包含列出的其中一個值。
emailrecipient_has_any dynamic 篩選包含上述郵件收件人的活動。
emailsubject_has_any dynamic 過濾事件，該 EmailSubject 事件包含列出的其中一個值。
emaildirection_in dynamic 篩選事件，其中 EmailDirection 值是列出的值之一。
emaildeliverylocation_in dynamic 篩選事件，其中 EmailDeliveryLocation 值是列出的值之一。
事件結果 String 篩選事件，使 EventResult 得等於指定值。 預設值 *，不會以結果來篩選。
包 布林值 當 設定為 true時，將未映射的來源欄位打包到動態欄位中 AdditionalFields 。 預設值為 false。

例如，使用以下查詢回傳由過去一天內包含以下 contoso.com 內容的地址所寄出的入信信件：

_Im_EmailEvent(
	starttime=ago(1d),
	endtime=now(),
	emailfromaddress_has_any=dynamic(['contoso.com']),
	emaildirection_in=dynamic(['Inbound'])
)

結構細節

常見的ASIM欄位

Important

所有結構共有的欄位在 ASIM 共用欄位中有詳細描述。 本文中的指導方針凌駕於該領域的一般指引之上。

具有特定指引的共同領域

Field Class 類型 Description
事件類型 強制的 已列舉 描述了標準化的電子郵件活動。 允許的值為 EmailDelivery 和 EmailInspection。
事件子類型 Optional 已列舉 提供更多關於電子郵件活動的細節。 允許的值為 EmailSent 和 EmailReceived。
事件架構 強制的 已列舉 結構名稱為 EmailEvent。
事件架構版本 強制的 SchemaVersion 的 (字串) 模式的版本。 此處所記錄的版本為 1.0.0。
事件結果詳情 推薦 已列舉 提供結果細節。 允許的值為 InvalidAddress、 MailboxFull、 RecipientRateLimitExceededMessageTooLargeBlockedByPolicyOtherMessageRateLimitExceededBlockedBySpamFilterPhishingDetectedMalwareDetected和 。
EventSeverity 推薦 已列舉 事件的嚴重性。 允許的值為 Informational、Low、Medium 和 High。

所有共同領域

Class Fields
強制的 - 事件計數
- 事件開始時間
- 事件結束時間
- 事件類型
- 事件結果
- EventProduct
- EventVendor
- 事件架構
- 事件架構版本
- DVC
推薦 - 事件結果詳情
- 事件嚴重度
- 最終
- DvcIpAddr
- DvcHostname
- DvcDomain
Optional - 活動訊息
- 事件子類型
- 事件原創
- 事件原創類型
- 事件原始結果細節
- 事件原始嚴重度
- 事件產品版本
- 事件報告網址
- 活動擁有者
- Dvc說明
- DvcFQDN
- DVCID
- Dvc介面
- DvcMacAddr
- DVC原創行動
- DvcOS
- DvcOs版本
- DvcScope（視覺化器）
- DvcScopeID
- DvcZone
- 額外實體
- 額外欄位
Conditional - DvcDomainType
- DvcId類型

Email 欄位

Field Class 類型 Description
電子郵件寄件地址 推薦 String 訊息標頭裡的 From 電子郵件地址。
EmailFromDomain Optional String 該網域來自訊息 From 標頭中的位址。
電子郵件寄件人地址 Optional String 郵件傳輸協定所使用的信封寄件地址。
電子郵件寄件網域 Optional String 信封寄件地址的網域。
電子郵件回覆地址 推薦 String 訊息標頭裡的 Reply-To 電子郵件地址。
電子郵件回覆網域 Optional String 該網域來自訊息 Reply-To 標頭中的位址。
收件人的電子郵件 推薦 動態 訊息標頭中的 To 接收者陣列。
電子郵件CCRecipients Optional 動態 訊息標頭中的 Cc 接收者陣列。
電子郵件BCCRecipients Optional 動態 訊息標頭中的 Bcc 接收者陣列。
電子郵件主旨 推薦 String 電子郵件主旨。
電子郵件語言 Optional String 電子郵件內容的語言，根據消息來源的報導。
電子郵件大小字節 推薦 Long 電子郵件總大小以位元組為單位。
電子郵件協議名稱 推薦 已列舉 傳輸或取回電子郵件的協定。 允許的值為 SMTP、IMAP 和 POP3。
電子郵件方向 推薦 已列舉 電子郵件的方向與報告環境相對於。 允許的值為 Inbound、Outbound、Internal、Local 和 Unknown。
電子郵件配送地點 Optional 已列舉 郵件被標準化送達的地點。 允許的值為 Inbox、Junk、Quarantine 和 DeletedItems。
電子郵件原始配送地點 Optional String 根據消息來源所說的送貨地點。
電子郵件檔案計數 推薦 Integer 電子郵件附帶的檔案數量。
電子郵件檔案 Optional 動態 一個描述附在電子郵件上的檔案陣列。
電子郵件網址計數 推薦 Integer 電子郵件中找到的網址數量。
電子郵件網址 Optional 動態 電子郵件中出現的多個網址。

電子郵件認證欄位

Field Class 類型 Description
電子郵件Spf結果 Optional 已列舉 標準化的發送者政策框架（SPF）結果。 允許的值為 Pass、 Fail、 PermanentErrorSoftFailNeutralNoneTemporaryError和 。
電子郵件原始結果 Optional String 根據消息來源所報導的防曬係數結果。
電子郵件DkimDomain Optional String 該網域以 DomainKeys 識別郵件（DKIM）簽署該訊息。
電子郵件Dkim簽名 Optional String 與該訊息相關的 DKIM 簽名。
電子郵件Dkim結果 Optional 已列舉 標準化的DKIM結果。 允許的值為 Pass、Fail、TemporaryError、PermanentError 和 None。
電子郵件Dkim原始結果 Optional String 根據消息來源所報導的DKIM結果。
電子郵件Dmarc結果 Optional 已列舉 標準化的基於網域的訊息驗證、報告與符合性（DMARC）結果。 允許的值為 Pass、Fail、BestGuessPass 和 None。
電子郵件 Dmarc 原始結果 Optional String 根據來源報告的 DMARC 結果。
電子郵件DmarcPolicy Optional 已列舉 DMARC 政策適用於該郵件。 允許的值為 Quarantine、Reject 和 None。
電子郵件DmarcOverride Optional 已列舉 DMARC 政策被覆寫的原因。 允許的值為 Forwarded、 LocalPolicy、 MailingListSampleOutTrustedForwarderOther和 。

配送與目的地欄位

Field Class 類型 Description
Dvc動作 Optional 已列舉 對郵件採取的正常化處理。 允許的值為 Delivered、 Modified、 DeletedNARedirectedBlockedQuarantinedPurged和 。
Dst（夏令時間） 強制的 String 電子郵件目的地的唯一識別碼。
DstIpAddr 推薦 IP 位址 電子郵件目的地的 IP 位址。

來源系統欄位

Field Class 類型 Description
Src 推薦 String 來源系統的唯一識別碼。
SrcIpAddr Optional IP 位址 來源IP位址。
IpAddr Alias IP 位址 別名 SrcIpAddr。
SrcHostname 推薦 Hostname 來源裝置主機名，不包括網域資訊。
SrcDomain 推薦 Domain 來源裝置的網域。
SrcDomainType Conditional 已列舉 SrcDomain 的類型。 允許的值為 Windows、FQDN 和 ResourceGroup。 使用時 SrcDomain 必須。
SrcFQDN Optional FQDN 來源裝置的完全限定網域名稱。
SrcDvcId Optional String 來源裝置的標識碼。
SrcDvcIdType Conditional 已列舉 SrcDvcId 的類型。 允許的值為 AzureResourceId、 MDEid、 ForcepointIdVMConnectionIdOtherMD4IoTidAwsVpcIdVectraIdAppGateId和 。 使用時 SrcDvcId 必須。
SrcDvcScope（標準化示波器） Optional String 來源裝置所屬的雲端平台範圍。
SrcDvcScopeId Optional String 來源裝置所屬的雲端平台範圍的 ID。
SrcDeviceType Optional 已列舉 來源裝置類型。
描述 Optional String 來源裝置的描述。
SrcIsp Optional String 與來源 IP 位址相關的網際網路服務提供者。
SrcGeoCountry Optional String 與來源 IP 位址相關的國家或地區。
SrcGeoRegion Optional String 與來源 IP 位址相關的區域。
SrcGeoCity Optional String 與來源IP位址相關聯的城市。
地理緯度 Optional 里耳 與來源 IP 位址相關的緯度。
地理經度 Optional 里耳 與來源 IP 位址相關的經度。

來源使用者欄位

Field Class 類型 Description
SrcUserName Optional String 來源使用者的名字。
User Alias String 別名為 SrcUserName.
SrcUserUpn 推薦 String 來源使用者的使用者主體名稱（UPN）。
SrcUserID Optional String 一個可機器可讀的來源使用者識別碼。
SrcUserIdType Optional 已列舉 SrcUserId 的類型。 允許的值為 SID、 UID、 AWSIdAADIDPUIDOtherOktaIdSalesforceIdVectraUserIdMD4IoTid和 。
SrcUsernameType Optional 已列舉 該數值 SrcUserName的類型。
SrcUserScope Optional String 定義來源使用者的範圍。
SrcUserScopeID Optional String 定義來源使用者的範圍的 ID。

檢查場

以下欄位描述與電子郵件檢查相關的規則、威脅或指標。

Field Class 類型 Description
規則名稱 Optional String 檢查規則的名稱或識別碼。
規則編號 Optional Integer 檢查規則的數字識別碼。
規則 Alias String 別名為 RuleName.
規則描述 Optional String 檢查規則的說明。
指示類型 Optional 已列舉 電子郵件事件中識別的指標類型。
指標協會 Optional 已列舉 指標與電子郵件事件之間的關聯。
威脅本體 Optional String 電子郵件中識別的威脅身份。
威脅名稱 Optional String 電子郵件中提到的威脅名稱。
威脅類別 Optional String 標準化威脅類別。
威脅原始分類 Optional String 根據消息來源所報告的威脅類別。
威脅風險等級 Optional 風險等級 (整數) 標準化威脅風險等級，從 0 。100
威脅原始風險等級 Optional String 根據消息來源所報告的威脅風險等級。
威脅信心 Optional 信心水準 (整數) 正規化信心水準，從 0 到 100。
威脅原創自信 Optional String 根據消息來源所報導的威脅信心。
威脅是活躍的 Optional 布林值 顯示已識別的威脅是否仍在運作中。
威脅首次報告時間 Optional 約會時間 第一次被報告威脅。
威脅最後報告時間 Optional 約會時間 最後一次被報告威脅。
威脅加倍 Optional IP 位址 與已識別威脅相關的 IP 位址。
威脅場 Conditional 已列舉 該領域被識別為威脅。
攻擊戰術 Optional String 與電子郵件事件相關的 MITRE AT&CK 策略。
攻擊技術 Optional String 與電子郵件活動相關的 MITRE ATT&CK 技術。
攻擊修復步驟 Optional String 建議的步驟以修復已識別的攻擊或威脅。

結構描述更新

版本 1.0.0 是電子郵件事件架構的初始版本。

相關內容

  • 上次更新時間：