Gelişmiş Güvenlik Bilgileri Modeli (ASIM) Ağ Oturumu normalleştirme şeması başvurusu

Microsoft Sentinel Ağ Oturumu normalleştirme şeması, ağ bağlantıları ve ağ oturumları gibi bir IP ağ etkinliğini temsil eder. Bu tür olaylar, örneğin işletim sistemleri, yönlendiriciler, güvenlik duvarları ve izinsiz girişi önleme sistemleri tarafından bildirilir.

Ağ normalleştirme şeması herhangi bir IP ağ oturumu türünü temsil edebilir, ancak Netflow, güvenlik duvarları ve yetkisiz erişim önleme sistemleri gibi ortak kaynak türleri için destek sağlamak üzere tasarlanmıştır.

Microsoft Sentinel normalleştirme hakkında daha fazla bilgi için bkz. Normalleştirme ve Gelişmiş Güvenlik Bilgi Modeli (ASIM).

Çözümleyicileri

ASIM ayrıştırıcıları hakkında daha fazla bilgi için bkz. ASIM ayrıştırıcılarına genel bakış.

Ayrıştırıcıları birleştirme

Tüm ASIM kullanıma alınmış ayrıştırıcıları birleştiren ayrıştırıcıları kullanmak ve çözümlemenizin yapılandırılan tüm kaynaklarda çalıştığından emin olmak için ayrıştırıcıyı _Im_NetworkSession kullanın.

Kullanıma açık, kaynağa özgü ayrıştırıcılar

İlk kullanıma sunulan ağ oturumu ayrıştırıcıları Microsoft Sentinel listesi için ASIM ayrıştırıcıları listesine bakın

Kendi normalleştirilmiş ayrıştırıcılarınızı ekleme

Ağ Oturumu bilgi modeli için özel ayrıştırıcılar geliştirirken aşağıdaki söz dizimini kullanarak KQL işlevlerinizi adlandırın:

• vimNetworkSession<vendor><Product> parametrized ayrıştırıcılar için
• ASimNetworkSession<vendor><Product> normal ayrıştırıcılar için

Ayrıştırıcıları birleştiren ağ oturumuna özel ayrıştırıcılarınızı eklemeyi öğrenmek için ASIM ayrıştırıcılarını yönetme makalesine bakın.

Ayrıştırıcı parametrelerini filtreleme

Ağ Oturumu ayrıştırıcıları filtreleme parametrelerini destekler. Bu parametreler isteğe bağlı olsa da sorgu performansınızı artırabilir.

Aşağıdaki filtreleme parametreleri kullanılabilir:

Bazı parametreler hem tür dynamic değerleri listesini hem de tek bir dize değerini kabul edebilir. Dinamik değer bekleyen parametrelere değişmez değer listesi geçirmek için, dinamik değişmez değeri açıkça kullanın. Örneğin: dynamic(['192.168.','10.'])

Örneğin, yalnızca belirtilen etki alanı adları listesi için ağ oturumlarını filtrelemek için şunu kullanın:

let torProxies=dynamic(["tor2web.org", "tor2web.com", "torlink.co"]);
_Im_NetworkSession (hostname_has_any = torProxies)

Normalleştirilmiş içerik

Normalleştirilmiş DNS olaylarını kullanan analiz kurallarının tam listesi için bkz. Ağ oturumu güvenlik içeriği.

Şemaya genel bakış

Ağ Oturumu bilgi modeli , OSSEM Ağ varlık şemasıyla hizalanır.

Ağ Oturumu şeması, aynı alanları paylaşan benzer ancak farklı senaryoların çeşitli türlerine hizmet eder. Bu senaryolar EventType alanı tarafından tanımlanır:

• NetworkSession - Güvenlik duvarı, yönlendirici veya ağ dokunması gibi ağı izleyen bir ara cihaz tarafından bildirilen bir ağ oturumu.
• L2NetworkSession - yalnızca katman 2 bilgilerinin kullanılabildiği bir ağ oturumu. Bu tür olaylar MAC adreslerini içerir ancak IP adreslerini içermez.
• Flow - genellikle Netflow olayları gibi önceden tanımlanmış bir zaman aralığında birden çok benzer ağ oturumu bildiren bir toplu olay.
• EndpointNetworkSession - istemciler ve sunucular da dahil olmak üzere oturumun bitiş noktalarından biri tarafından bildirilen bir ağ oturumu. Bu tür olaylar için şema ve remote diğer ad alanlarını desteklerlocal.
• IDS - şüpheli olarak bildirilen bir ağ oturumu. Böyle bir olayda bazı inceleme alanları doldurulur ve kaynak veya hedef olmak üzere yalnızca bir IP adresi alanı doldurulmuş olabilir.

Genellikle, bir sorgu bu olay türlerinin yalnızca bir alt kümesini seçmelidir ve kullanım örneklerinin benzersiz yönlerini ayrı ayrı ele alması gerekebilir. Örneğin, IDS olayları ağ biriminin tamamını yansıtmaz ve sütun tabanlı analizde dikkate alınmamalıdır.

Ağ oturumu olayları tanımlayıcıları Src kullanır ve Dst oturumda yer alan cihazların ve ilgili kullanıcıların ve uygulamaların rollerini belirtir. Bu nedenle, örneğin, kaynak cihaz ana bilgisayar adı ve IP adresi ve SrcHostnameolarak adlandırılırSrcIpAddr. Diğer ASIM şemaları genellikle yerine TargetkullanırDst.

Bir uç nokta tarafından bildirilen ve olay türünün EndpointNetworkSessionolduğu olaylar için, sırasıyla uç noktanın kendisini ve Local cihazı ağ oturumunun diğer ucunda tanımlar Remote ve belirtir.

Tanımlayıcı Dvc , bir uç nokta tarafından bildirilen oturumlar için yerel sistem olan raporlama cihazı ve diğer ağ oturumu olayları için aracı cihaz veya ağ dokunması için kullanılır.

Şema ayrıntıları

Ortak ASIM alanları

Belirli yönergelere sahip ortak alanlar

Aşağıdaki listede Ağ Oturumu olayları için belirli yönergelere sahip alanlardan bahsedmektedir:

Tüm ortak alanlar

Aşağıdaki tabloda görünen alanlar tüm ASIM şemalarında ortaktır. Yukarıda belirtilen tüm yönergeler alanın genel yönergelerini geçersiz kılar. Örneğin, bir alan genel olarak isteğe bağlı olabilir, ancak belirli bir şema için zorunlu olabilir. Her alan hakkında daha fazla bilgi için ASIM Ortak Alanları makalesine bakın.

Ağ oturumu alanları

Hedef sistem alanları

Hedef kullanıcı alanları

Hedef uygulama alanları

Kaynak sistem alanları

Kaynak kullanıcı alanları

Kaynak uygulama alanları

Yerel ve uzak diğer adlar

Yukarıda listelenen tüm kaynak ve hedef alanları, isteğe bağlı olarak aynı ada ve tanımlayıcılara Local ve Remotealanlara göre diğer adla adlandırılabilir. Bu genellikle bir uç nokta tarafından bildirilen ve olay türünün EndpointNetworkSessionolduğu olaylar için yararlıdır.

Bu tür olaylar için, uç noktayı ve Local cihazı sırasıyla ağ oturumunun diğer ucunda açıklayıcılar Remote ve belirtir. Gelen bağlantılar için hedef yerel sistemdir, Local alanlar alanların diğer adlarıdır Dst ve 'Uzak' alanlar alanların diğer adlarıdır Src . Buna karşılık, giden bağlantılar için kaynak yerel sistemdir, Local alanlar alanların diğer adlarıdır Src ve Remote alanlar alanların diğer adlarıdır Dst .

Örneğin, bir gelen olay için, alanı LocalIpAddr için bir diğer addır DstIpAddr ve alanı RemoteIpAddr için bir diğer addır SrcIpAddr.

Ana bilgisayar adı ve IP adresi diğer adları

Aracı cihaz ve Ağ Adresi Çevirisi (NAT) alanları

Kayıt, ağ oturumunu aktaran bir güvenlik duvarı veya ara sunucu gibi bir aracı cihaz hakkında bilgi içeriyorsa aşağıdaki alanlar yararlıdır.

Aracı sistemler genellikle adres çevirisi kullanır ve bu nedenle özgün adres ile dışarıdan gözlemlenen adres aynı değildir. Bu gibi durumlarda, SrcIPAddr ve DstIpAddr gibi birincil adres alanları harici olarak gözlemlenen adresleri temsil ederken NAT adres alanları, SrcNatIpAddr ve DstNatIpAddr çeviriden önce özgün cihazın iç adresini temsil eder.

İnceleme alanları

Aşağıdaki alanlar güvenlik duvarı, IPS veya web güvenlik ağ geçidi gibi bir güvenlik cihazının hangi incelemeyi gerçekleştirdiğini göstermek için kullanılır:

Diğer alanlar

Olay ağ oturumunun uç noktalarından biri tarafından bildirilirse, oturumu başlatan veya sonlandıran işlem hakkında bilgi içerebilir. Bu gibi durumlarda, bu bilgileri normalleştirmek için ASIM İşlem Olayı şeması kullanılır.

Şema güncelleştirmeleri

Şemanın 0.2.1 sürümündeki değişiklikler şunlardır:

• Kaynak ve Src hedef sistemler için önde gelen tanımlayıcıya ve diğer adları olarak eklendiDst.
• , , NetworkConnectionHistory, SrcVlanIdDstVlanIdve InnerVlanIdalanlarını OuterVlanIdekledik.

Şemanın 0.2.2 sürümündeki değişiklikler şunlardır:

• ve Remote diğer adları eklendiLocal.
• olay türü EndpointNetworkSessioneklendi.
• olay türü Hostnameolduğunda ve IpAddr için RemoteHostname ve diğer adları olarak tanımlanırLocalIpAddr.EndpointNetworkSession
• veya DvcInterfaceiçin DvcInboundInterface diğer ad olarak tanımlanırDvcOutboundInterface.
• Aşağıdaki alanların türü Tamsayı yerine Uzun olarak değiştirildi: SrcBytes, DstBytes, NetworkBytes, SrcPackets, DstPackets, ve NetworkPackets.
• alanı NetworkProtocolVersioneklendi.
• Ve kullanım dışı bırakıldı DstUserDomainSrcUserDomain.

Şemanın 0.2.3 sürümündeki değişiklikler şunlardır:

• ipaddr_has_any_prefix Filtreleme parametresi eklendi.
• Filtreleme hostname_has_any parametresi artık kaynak veya hedef ana bilgisayar adlarıyla eşleşir.
• ve ASimMatchingHostnamealanlarını ASimMatchingIpAddr ekledik.

Şemanın 0.2.4 sürümündeki değişiklikler şunlardır:

• TcpFlags Alanları ekledik.
• ve her NetworkIcpmType ikisinin sayı değerini yansıtacak şekilde güncelleştirildiNetworkIcmpCode.
• Ek inceleme alanları eklendi.
• 'ThreatRiskLevelOriginal' alanı ASIM kurallarıyla uyumlu olacak şekilde ThreatOriginalRiskLevel yeniden adlandırıldı. Mevcut Microsoft ayrıştırıcıları 1 Mayıs 2023'e kadar bakım ThreatRiskLevelOriginal yapacaktır.
• Önerilen olarak işaretlendi EventResultDetails ve izin verilen değerleri belirtti.

Şemanın 0.2.5 sürümündeki değişiklikler şunlardır:

• , , , DstUserScopeSrcUserScope, , SrcDvcScopeId, SrcDvcScope, DstDvcScopeIdve DstDvcScopeDvcScopeIdalanlarını DvcScopeekledik.

Şemanın 0.2.6 sürümündeki değişiklikler şunlardır:

• Olay türü olarak IDS eklendi

Şemanın 0.2.7 sürümündeki değişiklikler şunlardır:

• alanları DstDescription eklendi ve SrcDescription

İlgili içerik

• Gelişmiş Güvenlik Bilgileri Modeline (ASIM) genel bakış
• Gelişmiş Güvenlik Bilgileri Modeli (ASIM) şemaları
• Gelişmiş Güvenlik Bilgileri Modeli (ASIM) ayrıştırıcıları
• Gelişmiş Güvenlik Bilgileri Modeli (ASIM) içeriği
• Azure Sentinel Web Semineri: Azure Sentinel'da Bilgiler Model-Understanding Normalleştirme