Microsoft Sentinel dokumentacja schematu normalizacji zdarzeń agenta usługi ASIM

Schemat normalizacji zdarzeń agenta Microsoft Sentinel reprezentuje zdarzenia skojarzone z działaniami i telemetrią agentów sztucznej inteligencji działających w środowiskach przedsiębiorstwa. Te zdarzenia przechwytują pełne spektrum interakcji agentów, w tym wywołania modelu, użycie narzędzi, użycie tokenu, procesy myślowe i komunikację między agentami źródłowymi i docelowymi. Te działania są generowane przez szeroką gamę platform i platform agentów sztucznej inteligencji, z których każda generuje dane telemetryczne we własnym formacie.

Każda platforma agenta sztucznej inteligencji rejestruje zdarzenia agenta w ramach telemetrii operacyjnej. Normalizacja tych zdarzeń przy użyciu schematu ASIM umożliwia analitykom zabezpieczeń korelowanie zachowań agentów między platformami, wykrywanie nietypowych wzorców i badanie zdarzeń bez konieczności poznania zastrzeżonego formatu każdego źródła.

Aby uzyskać więcej informacji na temat normalizacji w Microsoft Sentinel, zobacz Normalizacja i Zaawansowany model informacji o zabezpieczeniach (ASIM).

Parsery

Wdrażanie i używanie analizatorów zdarzeń agenta

Wdróż analizatory zdarzeń agenta usługi ASIM z repozytorium GitHub Microsoft Sentinel. Aby wykonać zapytanie dotyczące wszystkich źródeł zdarzeń agenta, użyj analizatora _Im_AgentEvent ujednolicenia jako nazwy tabeli w zapytaniu.

Aby uzyskać więcej informacji na temat korzystania z analizatorów ASIM, zobacz omówienie analizatorów ASIM.

Dodawanie własnych znormalizowanych analizatorów

Podczas implementowania analizatorów niestandardowych dla modelu informacji o zdarzeniu agenta nadaj funkcjom KQL nazwę przy użyciu następującej składni:

  • ASimAgentEvent<vendor><Product> dla zwykłych analizatorów
  • vimAgentEvent<vendor><Product> dla analizatorów sparametryzowanych

Aby dodać analizatory niestandardowe do analizatora ujednolicenia zdarzeń agenta, zobacz Managing ASIM parsers (Zarządzanie analizatorami ASIM).

Filtrowanie parametrów analizatora

Analizatory zdarzeń agenta obsługują parametry filtrowania. Te parametry są opcjonalne, ale mogą zwiększyć wydajność zapytania.

Dostępne są następujące parametry filtrowania:

Name (Nazwa) Typ Opis
Starttime data/godzina Filtruj tylko zdarzenia uruchomione o tej godzinie lub później. Ten parametr używa TimeGenerated pola jako projektanta czasu zdarzenia.
Endtime data/godzina Filtruj tylko zdarzenia, które zakończyły działanie o tej godzinie lub przed tą godziną. Ten parametr używa TimeGenerated pola jako projektanta czasu zdarzenia.
agentid_has_any Dynamiczne Filtruj tylko zdarzenia, które mają dowolny identyfikator agenta, reprezentowany w polu SrcAgentId, TargetAgentId lub PlatformTargetAgentId .
agentname_has_any Dynamiczne Filtruj tylko zdarzenia, które mają dowolną nazwę agenta, reprezentowaną w polu SrcAgentName, TargetAgentName lub PlatformTargetAgentName .
username_has_any Dynamiczne Filtruj tylko zdarzenia, które mają dowolną z wymienionych nazw użytkowników, reprezentowaną w polu ActorUsername .

Niektóre parametry mogą akceptować zarówno listę wartości typu dynamic , jak i pojedynczą wartość ciągu. Aby przekazać listę literałów do parametrów, które oczekują wartości dynamicznej, jawnie użyj literału dynamicznego. Przykład: dynamic(['192.168.','10.'])

Aby na przykład filtrować tylko zdarzenia agenta z nazwami agentów M365Planner z ostatniego dnia, użyj:

_Im_AgentEvent (agentname_has_any=dynamic(['M365Planner']), starttime = ago(1d), endtime=now())

Szczegóły schematu

Typowe pola usługi ASIM

Ważna

Pola wspólne dla wszystkich schematów zostały szczegółowo opisane w artykule ASIM Common Fields (Pola wspólne usługi ASIM ).

Typowe pola z określonymi wytycznymi

Na poniższej liście wymieniono pola, które mają określone wytyczne dotyczące zdarzeń agenta:

Pole Klasa Typ Opis
EventOriginalType Opcjonalny Ciąg Opisuje operację wywoływaną przez agenta, który zainicjował zdarzenie. Ponieważ jest to ewoluująca przestrzeń, w której agenci mogą wykonywać ogromną liczbę akcji, nie wymusiliśmy zestawu wyliczeń dla typu zdarzenia.
EventSchema Obowiązkowe Wyliczane Nazwa schematu udokumentowanego w tym miejscu to AgentEvent.
EventSchemaVersion Obowiązkowe SchemaVersion (ciąg) Wersja schematu. Udokumentowana tutaj wersja schematu to 0.1.0.

Wszystkie typowe pola

Pola w tej tabeli są wspólne dla wszystkich schematów ASIM. Wszelkie wytyczne określone w tym dokumencie zastępują ogólne wytyczne dla każdego pola. Na przykład pole może być opcjonalne ogólnie, ale obowiązkowe dla określonego schematu. Aby uzyskać więcej informacji na temat każdego pola, zobacz artykuł ASIM Common Fields (Typowe pola usługi ASIM ).

Klasa Pola
Obowiązkowe - EventCount
- EventStartTime
- EventEndTime
- EventProduct
- EventVendor
- EventSchema
- EventSchemaVersion
Zalecane - Identyfikator zdarzenia
Opcjonalny - EventOriginalUid
- EventOriginalType
- EventOriginalResultDetails
- Pola dodatkowe

Informacje o agentze źródłowym

Pole Klasa Typ Opis
SrcAgentId Zalecane Ciąg Unikatowy identyfikator agenta źródłowego.
SrcAgentName Zalecane Ciąg Nazwa agenta źródłowego.
SrcAgentOriginalType Opcjonalny Ciąg Oryginalny typ agenta źródłowego.
SrcAgentDescription Opcjonalny Ciąg Opis agenta źródłowego.
SrcAgentBlueprintId Opcjonalny Ciąg Identyfikator strategii agenta źródłowego.
SrcIpAddr Opcjonalny Ciąg Adres IP źródła.
SrcFQDN Opcjonalny Ciąg W pełni kwalifikowana nazwa domeny źródła.
SrcPortNumber Opcjonalny Int Numer portu źródła.

Pola agenta docelowego

Pole Klasa Typ Opis
TargetAgentId Opcjonalny Ciąg Unikatowy identyfikator agenta docelowego.
TargetAgentName Opcjonalny Ciąg Nazwa agenta docelowego.
TargetAgentUsername Opcjonalny Ciąg Nazwa użytkownika agenta docelowego.
TargetAgentUserId Opcjonalny Ciąg Identyfikator użytkownika agenta docelowego.
TargetAgentOriginalType Opcjonalny Ciąg Oryginalny typ agenta docelowego.
TargetAgentDescription Opcjonalny Ciąg Opis agenta docelowego.
TargetAgentBlueprintId Opcjonalny Ciąg Identyfikator strategii agenta docelowego.

Pola agenta docelowego platformy

Pole Klasa Typ Opis
PlatformTargetAgentId Opcjonalny Ciąg Unikatowy identyfikator agenta docelowego platformy.
PlatformTargetAgentName Opcjonalny Ciąg Nazwa agenta docelowego platformy.
PlatformTargetAgentDescription Opcjonalny Ciąg Opis agenta docelowego platformy.
PlatformTargetOriginalAgentType Opcjonalny Ciąg Oryginalny typ agenta docelowego platformy.

Pola aktora

Pole Klasa Typ Opis
AktorUserId Opcjonalny Ciąg Czytelna dla maszyny, alfanumeryczna, unikatowa reprezentacja aktora. Aby uzyskać więcej informacji i w przypadku pól alternatywnych dla innych identyfikatorów, zobacz Jednostka Użytkownik.

Przykład: S-1-12-1-4141952679-1282074057-627758481-2916039507
AktorUserIdType Opcjonalny Ciąg Typ identyfikatora przechowywanego w polu ActorUserId . Aby uzyskać więcej informacji i listę dozwolonych wartości, zobacz UserIdType w artykule Omówienie schematu.
AktorUserScope Opcjonalny Ciąg Zakres, taki jak Microsoft Entra Nazwa domeny, w którym zdefiniowano elementy ActorUserId i ActorUsername. Aby uzyskać więcej informacji i listę dozwolonych wartości, zobacz UserScope w artykule Omówienie schematu.
AktorUserScopeId Opcjonalny Ciąg Identyfikator zakresu, taki jak identyfikator katalogu Microsoft Entra, w którym zdefiniowano elementy ActorUserId i ActorUsername. Aby uzyskać więcej informacji i listę dozwolonych wartości, zobacz UserScopeId w artykule Omówienie schematu.
AktorUsername Opcjonalny Nazwa użytkownika (ciąg) Nazwa użytkownika aktora, w tym informacje o domenie, jeśli są dostępne. Aby uzyskać więcej informacji, zobacz jednostka Użytkownik.

Przykład: AlbertE
AktorUsernameType Opcjonalny Ciąg Określa typ nazwy użytkownika przechowywanej w polu ActorUsername . Aby uzyskać więcej informacji i listę dozwolonych wartości, zobacz UsernameType w artykule Omówienie schematu.

Przykład: Windows
ActingAppId Opcjonalny Ciąg Identyfikator aplikacji, która zainicjowała zgłoszone działanie, w tym proces, przeglądarka lub usługa.

Przykład: 0x12ae8
ActingAppName Opcjonalny Ciąg Nazwa aplikacji, która zainicjowała zgłoszone działanie, w tym usługa, adres URL lub aplikacja SaaS.

Przykład: C:\Windows\System32\svchost.exe
ActingAppType Opcjonalny Typ aplikacji Typ działającej aplikacji. Aby uzyskać więcej informacji i listę dozwolonych wartości, zobacz AppType w artykule Omówienie schematu.
ActingOriginalAppType Opcjonalny Ciąg Typ aplikacji, która zainicjowała działanie zgłoszone przez urządzenie raportowania.

Pola modelu

Pole Klasa Typ Opis
ModelProviderName Opcjonalny Ciąg Nazwa dostawcy modelu.
Modelname Opcjonalny Ciąg Nazwa modelu.

Pola tokenu

Pole Klasa Typ Opis
InputTokensUsed Opcjonalny Długi Liczba używanych tokenów wejściowych.
OutputTokensUsed Opcjonalny Długi Liczba używanych tokenów wyjściowych.

Pola narzędzi

Pole Klasa Typ Opis
ToolId Opcjonalny Ciąg Unikatowy identyfikator narzędzia.
ToolName Opcjonalny Ciąg Nazwa narzędzia.
ToolDescription Opcjonalny Ciąg Opis narzędzia.
ToolOriginalType Opcjonalny Ciąg Oryginalny typ narzędzia.

Pola specyficzne dla zdarzenia

Pole Klasa Typ Opis
EventSessionId Opcjonalny Ciąg Unikatowy identyfikator sesji zdarzeń.
EventSessionName Opcjonalny Ciąg Nazwa sesji zdarzeń.
Eventtype Opcjonalny Ciąg Typ zdarzenia.
EventOriginalType Opcjonalny Ciąg Oryginalny typ zdarzenia zgłoszony przez źródło.
EventRequestId Opcjonalny Ciąg Unikatowy identyfikator żądania zdarzenia.
EventRequestTemperature Opcjonalny Podwójne Parametr temperatury żądania zdarzenia.
EventRequestTopP Opcjonalny Podwójne Parametr top-p żądania zdarzenia.
EventRequestPresencePenalty Opcjonalny Podwójne Parametr kary obecności żądania zdarzenia.
EventRequestFrequencyPenalty Opcjonalny Podwójne Parametr frequency penalty żądania zdarzenia.
EventRequestSeed Opcjonalny Długi Parametr inicjowania żądania zdarzenia.
EventResponseId Opcjonalny Ciąg Unikatowy identyfikator odpowiedzi na zdarzenie.
EventOriginalRequestDetails Opcjonalny Ciąg Szczegóły oryginalnego żądania zgłoszone przez źródło.
EventOriginalResultDetails Opcjonalny Ciąg Szczegóły oryginalnego wyniku zgłoszone przez źródło.
EventErrorDetails Opcjonalny Ciąg Szczegóły dotyczące błędu skojarzonego ze zdarzeniem.
EventOriginalErrorType Opcjonalny Ciąg Oryginalny typ błędu zgłoszony przez źródło.
EventThoughtProcessDetails Opcjonalny Ciąg Szczegóły dotyczące procesu myślowego skojarzonego ze zdarzeniem.
EventThoughtProcessId Opcjonalny Ciąg Unikatowy identyfikator procesu myślowego.
EventFinishReasons Opcjonalny Dynamiczne Przyczyny zakończenia zdarzenia.
EventOutputType Opcjonalny Ciąg Typ danych wyjściowych zdarzenia.

Zawartość pokrewna

  • Last updated on