Referenční informace o schématu normalizace DNS Advanced Security Information Model (ASIM) (Public Preview)

Informační model DNS slouží k popisu událostí hlášených serverem DNS nebo systémem zabezpečení DNS a používá ho Microsoft Sentinel k povolení analýzy nezávislé na zdroji.

Další informace naleznete v tématu Normalizace a Advanced Security Information Model (ASIM).

Přehled schématu

Schéma ASIM DNS představuje aktivitu protokolu DNS. Servery DNS i zařízení, která odesílají požadavky DNS na aktivitu DNS protokolu serveru DNS. Aktivita protokolu DNS zahrnuje dotazy DNS, aktualizace serveru DNS a hromadné přenosy dat DNS. Vzhledem k tomu, že schéma představuje aktivitu protokolu, řídí se seznamy rfc a oficiálně přiřazených parametrů, na které se odkazuje v tomto článku, pokud je to vhodné. Schéma DNS nepředstavuje události auditu serveru DNS.

Nejdůležitější aktivitou hlášenou servery DNS je dotaz DNS, pro který EventType je pole nastavené na Query.

Nejdůležitější pole v události DNS jsou:

• DnsQuery, který hlásí název domény, pro kterou byl dotaz vystaven.

• SrcIpAddr (aliased to IpAddr), který představuje IP adresu, ze které se požadavek vygeneroval. Servery DNS obvykle poskytují pole SrcIpAddr, ale klienti DNS toto pole někdy neposkytují a poskytují pouze pole SrcHostname .

• EventResultDetails, která hlásí, jestli byl požadavek úspěšný, a pokud ne, proč.

• Pokud je k dispozici, DnsResponseName, který obsahuje odpověď poskytovanou serverem pro dotaz. ASIM nevyžaduje parsování odpovědi a jeho formát se mezi zdroji liší.

  Chcete-li toto pole použít v obsahu nezávislém na zdroji, vyhledejte obsah pomocí has operátorů nebo contains operátorů.

Události DNS shromážděné na klientském zařízení můžou obsahovat také informace o uživatelích a procesu .

Pokyny pro shromažďování událostí DNS

DNS je jedinečný protokol, který může překračovat velký počet počítačů. Vzhledem k tomu, že DNS používá UDP, požadavky a odpovědi jsou odpojené a nesouvisí přímo s nimi.

Následující obrázek ukazuje zjednodušený tok požadavků DNS, včetně čtyř segmentů. Žádost z reálného světa může být složitější a s větším zapojením segmentů.

Vzhledem k tomu, že segmenty požadavků a odpovědí nejsou přímo připojené k sobě v toku požadavků DNS, může úplné protokolování vést k významnému duplikování.

Nejdůležitějším segmentem, který se má protokolovat, je odpověď na klienta. Odpověď poskytuje dotazy na název domény, výsledek vyhledávání a IP adresu klienta. Zatímco mnoho systémů DNS protokoluje pouze tento segment, existuje hodnota protokolování ostatních částí. Například útok na otravu mezipamětí DNS často využívá falešné odpovědi z upstreamového serveru.

Pokud váš zdroj dat podporuje úplné protokolování DNS a rozhodli jste se protokolovat více segmentů, upravte dotazy tak, aby se zabránilo duplikaci dat v Microsoft Sentinelu.

Dotaz můžete například upravit pomocí následující normalizace:

_Im_Dns | where SrcIpAddr != "127.0.0.1" and EventSubType == "response"

Analyzátory

Další informace o analyzátorech ASIM najdete v přehledu analyzátorů ASIM.

Předsefinované analyzátory

Pokud chcete použít analyzátory, které sjednocují všechny předem používané analyzátory ASIM a zajišťují, aby se vaše analýza spouštěla ve všech nakonfigurovaných zdrojích, použijte sjednocení analyzátoru _Im_Dns jako název tabulky v dotazu.

Seznam analyzátorů DNS, které Microsoft Sentinel nabízí, najdete v seznamu analyzátorů ASIM.

Přidání vlastních normalizovaných analyzátorů

Při implementaci vlastních analyzátorů pro informační model Dns pojmenujte funkce KQL pomocí formátu vimDns<vendor><Product>. Informace o přidání vlastních analyzátorů do analyzátoru DNS najdete v článku Správa analyzátorů ASIM.

Filtrování parametrů analyzátoru

Analyzátory DNS podporují parametry filtrování. I když jsou tyto parametry volitelné, můžou zlepšit výkon dotazů.

K dispozici jsou následující parametry filtrování:

Pokud například chcete filtrovat pouze dotazy DNS z posledního dne, které se nepovedlo přeložit název domény, použijte:

_Im_Dns (responsecodename = 'NXDOMAIN', starttime = ago(1d), endtime=now())

Pokud chcete filtrovat jenom dotazy DNS pro zadaný seznam názvů domén, použijte:

let torProxies=dynamic(["tor2web.org", "tor2web.com", "torlink.co"]);
_Im_Dns (domain_has_any = torProxies)

Některý parametr může přijmout oba seznamy hodnot typu dynamic nebo jednu řetězcovou hodnotu. Pokud chcete předat literálový seznam parametrům, které očekávají dynamickou hodnotu, explicitně použijte dynamický literál. Příklad: dynamic(['192.168.','10.'])

Normalizovaný obsah

Úplný seznam analytických pravidel, která používají normalizované události DNS, najdete v tématu Obsah zabezpečení dotazů DNS.

Podrobnosti schématu

Informační model DNS je v souladu se schématem entity DNS OSSEM.

Další informace najdete v referenčních informacích k parametru DNS IANA (Internet Assigned Numbers Authority).

Běžná pole ASIM

Běžná pole s konkrétními pokyny

Následující seznam uvádí pole, která mají specifické pokyny pro události DNS:

Všechna společná pole

Pole, která se zobrazují v následující tabulce, jsou společná pro všechna schémata ASIM. Všechny výše uvedené pokyny přepíší obecné pokyny pro dané pole. Pole může být například volitelné obecně, ale povinné pro konkrétní schéma. Další podrobnosti o jednotlivých polích najdete v článku O společných polích ASIM.

Pole zdrojového systému

Pole zdrojového uživatele

Pole zdrojového procesu

Cílová systémová pole

Pole specifická pro DNS

Kontrolní pole

Následující pole slouží k reprezentaci kontroly, kterou provedlo bezpečnostní zařízení DNS. Pole související s hrozbami představují jednu hrozbu, která je přidružená buď ke zdrojové adrese, cílové adrese, jedné z IP adres v odpovědi nebo doméně dotazu DNS. Pokud byla jako hrozba identifikována více než jedna hrozba, mohou být informace o jiných IP adresách uloženy v poli AdditionalFields.

Zastaralé aliasy a pole

Následující pole jsou aliasy, které se zachovají kvůli zpětné kompatibilitě. Byly odebrány ze schématu 31. prosince 2021.

• Query (alias na DnsQuery)
• QueryType (alias na DnsQueryType)
• QueryTypeName (alias na DnsQueryTypeName)
• ResponseName (alias na DnsReasponseName)
• ResponseCodeName (alias na DnsResponseCodeName)
• ResponseCode (alias na DnsResponseCode)
• QueryClass (alias na DnsQueryClass)
• QueryClassName (alias na DnsQueryClassName)
• Flags (alias na DnsFlags)
• SrcUserDomain

Aktualizace schématu

Změny ve verzi 0.1.2 schématu jsou:

• Bylo přidáno pole EventSchema.
• Přidání vyhrazeného pole příznaku, které rozšiřuje kombinované pole Příznaky : DnsFlagsAuthoritative, DnsFlagsCheckingDisabled, DnsFlagsRecursionAvailable, DnsFlagsRecursionDesired, , DnsFlagsTruncateda DnsFlagsZ.

Změny ve verzi 0.1.3 schématu jsou:

• Schéma teď explicitně dokumentuje Src*, Process* Dst*a User* pole.
• Přidali jsme další Dvc* pole, která odpovídají nejnovější definici běžných polí.
• Přidání Src a Dst přidání aliasů do počátečního identifikátoru pro zdrojové a cílové systémy
• Přidání volitelného DnsNetworkDuration a Durationaliasu do něj.
• Přidání volitelných polí Geografické umístění a Úroveň rizika

Změny ve verzi 0.1.4 schématu jsou:

• Přidání volitelných polí ThreatIpAddr, , ThreatNameThreatOriginalRiskLevelThreatFieldThreatOriginalConfidenceThreatIsActiveThreatConfidenceThreatFirstReportedTime, a .ThreatLastReportedTime

Změny ve verzi 0.1.5 schématu jsou:

• Přidání polí SrcUserScope, , SrcUserSessionIdSrcDvcScopeId, DstDvcScopeDvcScopeIdSrcDvcScopeDstDvcScopeId, a .DvcScope

Změny ve verzi 0.1.6 schématu jsou:

• Přidání polí DnsResponseIpCountry, , DnsResponseIpRegionDnsResponseIpCity, DnsResponseIpLatitudea DnsResponseIpLongitude.

Změny ve verzi 0.1.7 schématu jsou:

• Přidání polí SrcDescription, , , DstDescription, DstOriginalRiskLevelNetworkProtocolVersionSrcUserScopeIdRule, RuleName, RuleNumber, a .ThreatIdSrcOriginalRiskLevel

Nesrovnalosti specifické pro zdroj

Cílem normalizace je zajistit, aby všechny zdroje poskytovaly konzistentní telemetrii. Zdroj, který neposkytuje požadovanou telemetrii, například povinná pole schématu, nelze normalizovat. Zdroje, které obvykle poskytují veškerou povinnou telemetrii, i když existují určité nesrovnalosti, je však možné normalizovat. Nesrovnalosti můžou ovlivnit úplnost výsledků dotazu.

V následující tabulce jsou uvedené známé nesrovnalosti:

Zpracování odpovědi DNS

Ve většině případů protokolované události DNS nezahrnují informace o odpovědích, které můžou být velké a podrobné. Pokud váš záznam obsahuje další informace o odpovědi, uložte ho do pole ResponseName , jak se zobrazí v záznamu.

Můžete také poskytnout další funkci KQL volané _imDNS<vendor>Response_, která přebírá neparsovanou odpověď jako vstup a vrací dynamickou hodnotu s následující strukturou:

[
    {
        "part": "answer"
        "query": "yahoo.com."
        "TTL": 1782
        "Class": "IN"
        "Type": "A"
        "Response": "74.6.231.21"
    }
    {
        "part": "authority"
        "query": "yahoo.com."
        "TTL": 113066
        "Class": "IN"
        "Type": "NS"
        "Response": "ns5.yahoo.com"
    }
    ...
]

Pole v každém slovníku v dynamické hodnotě odpovídají polím v každé odpovědi DNS. Položka part by měla obsahovat buď answer, authoritynebo additional odrážet část v odpovědi, do které slovník patří.

Zpracování příznaků DNS

Analýza a normalizace nejsou vyžadovány pro data příznaku. Místo toho uložte data příznaku poskytnutá zařízením pro generování sestav do pole Příznaky . Pokud je určení hodnoty jednotlivých příznaků rovnou vpřed, můžete také použít vyhrazená pole příznaků.

Můžete také zadat další funkci KQL s názvem _imDNS<vendor>Flags_, která přebírá neparsedovanou odpověď nebo vyhrazená pole příznaku jako vstup a vrací dynamický seznam s logickými hodnotami, které představují každý příznak v následujícím pořadí:

• Ověřeno (AD)
• Autoritativní (AA)
• Kontrola zakázaného disku (CD)
• Rekurze dostupná (RA)
• Rekurze Desired (RD)
• Zkráceno (TC)
• Z

Další kroky

Další informace naleznete v tématu:

• Podívejte se na webinář ASIM nebo si prohlédněte snímky.
• Přehled rozšířeného modelu informací o zabezpečení (ASIM)
• Schémata advanced Security Information Model (ASIM)
• Analyzátory advanced security information model (ASIM)
• Obsah rozšířeného modelu informací o zabezpečení (ASIM)