Gelişmiş Güvenlik Bilgileri Modeli (ASIM) ortak şema alanları başvurusu

Bazı alanlar tüm ASIM şemalarında ortaktır. Her şema, belirli bir şema bağlamındaki bazı ortak alanları kullanmaya yönelik yönergeler ekleyebilir. Örneğin, EventType alanı için izin verilen değerler, EventSchemaVersion alanının değeri gibi şemaya göre farklılık gösterebilir.

Standart Log Analytics alanları

Log Analytics, çoğu durumda her kayıt için aşağıdaki alanları oluşturur. Özel bağlayıcı oluşturduğunuzda bunlar geçersiz kılınabilir.

Alan	Tür	Tartışma
TimeGenerated	Tarih/Saat	Olayın raporlama cihazı tarafından oluşturulduğu zaman.
Tür	Dize	Kaydın getirildiği özgün tablo. Bu alan, aynı olay birden çok kanaldan farklı tablolara alınabildiğinde ve aynı EventVendor ve EventProduct değerlerine sahip olduğunda yararlıdır. Örneğin, bir Sysmon olayı tabloya `Event` veya tabloya `WindowsEvent` toplanabilir.

Not

Log Analytics, güvenlik kullanım örnekleriyle daha az ilgili olan diğer alanları da ekler. Daha fazla bilgi için bkz. Azure İzleyici Günlüklerindeki Standart sütunlar.

Ortak ASIM alanları

Aşağıdaki alanlar asim tarafından tüm şemalar için tanımlanır:

Olay alanları

Alan	Sınıfı	Tür	Açıklama
EventMessage	İsteğe bağlı	Dize	Kayıtta bulunan veya kayıttan oluşturulan genel bir ileti veya açıklama.
EventCount	Zorunlu	Tamsayı	Kayıt tarafından açıklanan olay sayısı. Bu değer, kaynak toplamayı desteklediğinde kullanılır ve tek bir kayıt birden çok olayı temsil edebilir. Diğer kaynaklar için olarak `1`ayarlayın.
EventStartTime	Zorunlu	Tarih/saat	Olayın başladığı zaman. Kaynak toplamayı destekliyorsa ve kayıt birden çok olayı temsil ediyorsa, ilk olayın oluşturulduğu zaman. Kaynak kayıt tarafından sağlanmazsa, bu alan TimeGenerated alanının diğer adını alır.
EventEndTime	Zorunlu	Tarih/saat	Olayın sona erdiğinde. Kaynak toplamayı destekliyorsa ve kayıt birden çok olayı temsil ediyorsa, son olayın oluşturulduğu zaman. Kaynak kayıt tarafından sağlanmazsa, bu alan TimeGenerated alanının diğer adını alır.
Eventtype	Zorunlu	Numaralandırılmış	Kayıt tarafından bildirilen işlemi açıklar. Her şema, bu alan için geçerli olan değerlerin listesini belgeler. Özgün, kaynağa özgü değer EventOriginalType alanında depolanır.
EventSubType	İsteğe bağlı	Numaralandırılmış	EventType alanında bildirilen işlemin alt bölümlerini açıklar. Her şema, bu alan için geçerli olan değerlerin listesini belgeler. Özgün, kaynağa özgü değer EventOriginalSubType alanında depolanır.
EventResult	Zorunlu	Numaralandırılmış	Aşağıdaki değerlerden biri: Başarı, Kısmi, Hata, NA (Uygulanamaz). Değer, kaynak kayıtta farklı terimler kullanılarak sağlanabilir ve bu terimler bu değerlerle normalleştirilmelidir. Alternatif olarak, kaynak yalnızca EventResultDetails alanını sağlayabilir ve bu alan EventResult değerini türetmek için analiz edilmelidir. Örnek: `Success`
EventResultDetails	Önerilen	Numaralandırılmış	EventResult alanında bildirilen sonucun nedeni veya ayrıntıları. Her şema, bu alan için geçerli olan değerlerin listesini belgeler. Özgün, kaynağa özgü değer EventOriginalResultDetails alanında depolanır. Örnek: `NXDOMAIN`
EventUid	Önerilen	Dize	Microsoft Sentinel tarafından atanan kaydın benzersiz kimliği. Bu alan genellikle Log Analytics alanına eşlenir `_ItemId` .
EventOriginalUid	İsteğe bağlı	Dize	Kaynak tarafından sağlanmışsa özgün kaydın benzersiz kimliği. Örnek: `69f37748-ddcd-4331-bf0f-b137f1ea83b`
EventOriginalType	İsteğe bağlı	Dize	Kaynak tarafından sağlanmışsa özgün olay türü veya kimliği. Örneğin, bu alan özgün Windows olay kimliğini depolamak için kullanılır. Bu değer, her şema için belgelenmiş değerlerden yalnızca birine sahip olması gereken EventType'ı türetmek için kullanılır. Örnek: `4624`
EventOriginalSubType	İsteğe bağlı	Dize	Kaynak tarafından sağlanmışsa özgün olay alt türü veya kimliği. Örneğin, bu alan özgün Windows oturum açma türünü depolamak için kullanılır. Bu değer, her şema için belgelenen değerlerden yalnızca birine sahip olması gereken EventSubType'ı türetmek için kullanılır. Örnek: `2`
EventOriginalResultDetails	İsteğe bağlı	Dize	Kaynak tarafından sağlanan özgün sonuç ayrıntıları. Bu değer, her şema için belgelenen değerlerden yalnızca birine sahip olması gereken EventResultDetails'i türetmek için kullanılır.
EventSeverity	Önerilen	Numaralandırılmış	Olayın önem derecesi. Geçerli değerler şunlardır: `Informational`, `Low`, `Medium`veya `High`.
EventOriginalSeverity	İsteğe bağlı	Dize	Raporlama cihazı tarafından sağlanan özgün önem derecesi. Bu değer EventSeverity'yi türetmek için kullanılır.
EventProduct	Zorunlu	Dize	Olayı oluşturan ürün. Değer , Satıcılar ve Ürünler'de listelenen değerlerden biri olmalıdır. Örnek: `Sysmon`
EventProductVersion	İsteğe bağlı	Dize	Olayı oluşturan ürünün sürümü. Örnek: `12.1`
EventVendor	Zorunlu	Dize	Olayı oluşturan ürünün satıcısı. Değer , Satıcılar ve Ürünler'de listelenen değerlerden biri olmalıdır. Örnek: `Microsoft`
EventSchema	Zorunlu	Numaralandırılmış	Olayın normalleştirildiği şema. Her şema, şema adını belgeler.
EventSchemaVersion	Zorunlu	SchemaVersion (Dize)	Şemanın sürümü. Her şema geçerli sürümünü belgeler.
EventReportUrl	İsteğe bağlı	URL (Dize)	Olay hakkında daha fazla bilgi sağlayan bir kaynak için olayda sağlanan URL.
EventOwner	İsteğe bağlı	Dize	Genellikle oluşturulduğu departman veya yan kuruluş olan olayın sahibi.

Cihaz alanları

Cihaz alanlarının rolü farklı şemalar ve olay türleri için farklıdır. Örneğin:

Ağ Oturumu olayları için cihaz alanları genellikle olayı oluşturan cihaz hakkında bilgi sağlar
İşlem olayları için cihaz alanları, işlemin yürütüldüğünü belirten cihaz hakkında bilgi sağlar.

Her şema belgesi, şema için cihazın rolünü belirtir.

Alan	Sınıfı	Tür	Açıklama
Dvc	Diğer ad	Dize	Şemaya bağlı olarak olayın gerçekleştiği veya olayı bildirdiği cihazın benzersiz tanımlayıcısı. Bu alan DvcFQDN, DvcId,DvcHostname veya DvcIpAddr alanlarını diğer adla adlandırabilir. Görünür cihaz bulunmayan bulut kaynakları için Olay Ürünü alanıyla aynı değeri kullanın.
DvcIpAddr	Önerilen	IP adresi	Şemaya bağlı olarak olayın gerçekleştiği veya olayı bildirdiği cihazın IP adresi. Örnek: `45.21.42.12`
DvcHostname	Önerilen	Ana bilgisayar adı	Şemaya bağlı olarak olayın gerçekleştiği veya olayı bildirdiği cihazın ana bilgisayar adı. Örnek: `ContosoDc`
DvcDomain	Önerilen	Etki Alanı (Dize)	Şemaya bağlı olarak olayın gerçekleştiği veya olayı bildirdiği cihazın etki alanı. Örnek: `Contoso`
DvcDomainType	Koşullu	Numaralandırılmış	DvcDomain türü. İzin verilen değerlerin listesi ve daha fazla bilgi için bkz. DomainType. Not: DvcDomain alanı kullanılıyorsa bu alan gereklidir.
DvcFQDN	İsteğe bağlı	FQDN (Dize)	Şemaya bağlı olarak olayın gerçekleştiği veya olayı bildirdiği cihazın ana bilgisayar adı. Örnek: `Contoso\DESKTOP-1282V4D` Not: Bu alan hem geleneksel FQDN biçimini hem de Windows etki alanı\konak adı biçimini destekler. DvcDomainType alanı kullanılan biçimi yansıtır.
DvcDescription	İsteğe bağlı	Dize	Cihazla ilişkilendirilmiş açıklayıcı bir metin. Örneğin: `Primary Domain Controller`.
DvcId	İsteğe bağlı	Dize	Şemaya bağlı olarak olayın gerçekleştiği veya olayı bildirdiği cihazın benzersiz kimliği. Örnek: `41502da5-21b7-48ec-81c9-baeea8d7d669` Birden çok kimlik varsa, listedeki ilk kimliği kullanın ve DvcAzureResourceId, DvcMDEid vb. alan adlarını kullanarak diğerlerini depolayın.
DvcIdType	Koşullu	Numaralandırılmış	DvcId türü. İzin verilen değerlerin listesi , , `AzureResourceIdMDEid`, , `MD4IoTid`, `VMConnectionId`, `AwsVpcId`, `VectraId`, `AppGateId`ve `FQDN`şeklindedir`Other`. Cihaz kimliği olarak kullanmak `FQDN` , ana bilgisayar adının yeniden kullanılması anlamına gelir. Yalnızca son çare olarak kullanın. Not: DvcId alanı kullanılıyorsa bu alan gereklidir.
DvcMacAddr	İsteğe bağlı	MAC adresi	Olayın gerçekleştiği veya olayı bildirdiği cihazın MAC adresi. Örnek: `00:1B:44:11:3A:B7`
DvcZone	İsteğe bağlı	Dize	Şemaya bağlı olarak olayın oluştuğu veya olayı bildirdiği ağ. Bölge, raporlama cihazı tarafından tanımlanır. Örnek: `Dmz`
DvcO'lar	İsteğe bağlı	Dize	Olayın oluştuğu veya olayı bildirdiği cihazda çalışan işletim sistemi. Örnek: `Windows`
DvcOsVersion	İsteğe bağlı	Dize	Olayın oluştuğu veya olayı bildirdiği cihazdaki işletim sisteminin sürümü. Örnek: `10`
DvcAction	İsteğe bağlı	Dize	Güvenlik sistemlerini raporlamak için, sistem tarafından gerçekleştirilen eylem (varsa). Örnek: `Blocked`
DvcOriginalAction	İsteğe bağlı	Dize	Raporlama cihazı tarafından sağlanan özgün DvcAction .
DvcInterface	İsteğe bağlı	Dize	Verilerin yakalandığı ağ arabirimi. Bu alan genellikle bir ara veya dokunma cihazı tarafından yakalanan ağ ile ilgili etkinlikle ilgilidir.
DvcScopeId	İsteğe bağlı	Dize	Cihazın ait olduğu bulut platformu kapsam kimliği. DvcScopeId, Azure'teki bir abonelik kimliğiyle ve AWS'de hesap kimliğiyle eşler.
DvcScope	İsteğe bağlı	Dize	Cihazın ait olduğu bulut platformu kapsamı. DvcScope, Azure'teki bir abonelik kimliğiyle ve AWS'de hesap kimliğiyle eşler.

Diğer alanlar

Alan	Sınıfı	Tür	Açıklama
EkAlanlar	İsteğe bağlı	Dinamik	Kaynağınız korumaya değer ek bilgiler sağlıyorsa, özgün alan adlarıyla tutun veya dinamik AdditionalFields alanını oluşturun ve ek bilgileri anahtar/değer çiftleri olarak ekleyin.

Şema güncelleştirmeleri

Alan EventOwner , 1 Aralık 2022'de ortak alanlara ve dolayısıyla tüm şemalara eklendi.
Alan, EventUid 26 Aralık 2022'de ortak alanlara ve dolayısıyla tüm şemalara eklenmiştir.

Satıcılar ve ürünler

Tutarlılığı korumak için, izin verilen satıcıların ve ürünlerin listesi ASIM'in bir parçası olarak ayarlanır ve kullanılabilir olduğunda kaynak tarafından gönderilen değere doğrudan karşılık gelmez.

Sırasıyla EventVendor ve EventProduct alanlarında kullanılan satıcıların ve ürünlerin şu anda desteklenen listesi:

Satıcı	Ürünler
`AWS`	- `CloudTrail` - `VPC`
`Cisco`	- `ASA` - `Umbrella` - `IOS` - `Meraki`
`Corelight`	`Zeek`
`Cynerio`	`Cynerio`
`Dataminr`	`Dataminr Pulse`
`Fortinet`	`Fortigate`
`GCP`	`Cloud DNS`
`Infoblox`	`NIOS`
`Microsoft`	- Microsoft Entra ID - `Azure` - `Azure Firewall` - `Azure Blob Storage` - `Azure File Storage` - `Azure Key Vault` - `Azure NSG flows` - `Azure Queue Storage` - `Azure Table Storage` - `DNS Server` - `Microsoft Defender XDR for Endpoint` - `Microsoft Defender for IoT` - `Security Events` - `SharePoint` - `OneDrive` - `Sysmon` - `Sysmon for Linu`X - `VMConnection` - `Windows Firewall` - `WireData`
`Linux`	- `su` - `sudo`
`Okta`	- `Okta` - `Auth0`
`OpenBSD`	`OpenSSH`
`Palo Alto`	- `PanOS` - `CDL`
`PostgreSQL`	`PostgreSQL`
`Squid`	`Squid Proxy`
`Vectra AI`	`Vectra Steam`
`WatchGuard`	`Fireware`
`Zscaler`	- `ZIA DNS` - `ZIA Firewall` - `ZIA Proxy`

Burada listelenmeyen bir satıcı veya ürün için ayrıştırıcı geliştiriyorsanız, izin verilen yeni satıcı ve ürün belirleyicileri ayırmak için Microsoft Sentinel ekibine başvurun.

Geri Bildirim

Bu sayfayı yararlı buldunuz mu?

Last updated on 2026-04-23