Referenz zum Schema für die Netzwerksitzungsnormalisierung des erweiterten Sicherheitsinformationsmodells (ADVANCED Security Information Model, ASIM) (öffentliche Vorschau)

Das Normalisierungsschema der Microsoft Sentinel-Netzwerksitzung stellt eine IP-Netzwerkaktivität dar, z. B. Netzwerkverbindungen und Netzwerksitzungen. Solche Ereignisse werden beispielsweise von Betriebssystemen, Routern, Firewalls und Intrusion-Prevention-Systemen gemeldet.

Das Netzwerknormalisierungsschema kann zwar jede Art von IP-Netzwerksitzung darstellen, ist jedoch auf die Unterstützung gängiger Quelltypen wie Netflow, Firewalls und Intrusion-Prevention-Systeme ausgelegt.

Weitere Informationen zur Normalisierung in Microsoft Sentinel finden Sie unter Normalisierung und erweitertes Sicherheitsinformationsmodell (Advanced Security Information Model, ASIM).

In diesem Artikel wird die Version 0.2.x des Netzwerknormalisierungsschemas beschrieben. Die Version 0.1 wurde veröffentlicht, bevor ASIM verfügbar war, und ist an mehreren Stellen nicht auf ASIM abgestimmt. Weitere Informationen finden Sie unter Unterschiede zwischen Versionen der Netzwerknormalisierungsschemas.

Parser

Weitere Informationen zu ASIM-Parsern finden Sie in der Übersicht über ASIM-Parser.

Vereinheitlichende Parsern

Um Parser zu verwenden, die alle bereits integrierten ASIM-Parser vereinheitlichen, und sicherzustellen, dass ihre Analyse über alle konfigurierten Quellen hinweg ausgeführt wird, verwenden Sie den Filterparser _Im_NetworkSession oder den parameterlosen Parser _ASim_NetworkSession.

Sie können auch vom Arbeitsbereich bereitgestellte ImNetworkSession- und ASimNetworkSession-Parser verwenden, indem Sie sie aus dem Microsoft Sentinel GitHub-Repository bereitstellen.

Weitere Informationen finden Sie unter Integrierte ASIM-Parser und im Arbeitsbereich bereitgestellte Parser.

Vorkonfigurierte, quellspezifische Parser

Die Liste der Netzwerksitzungsparser, die Microsoft Sentinel einsatzbereit zur Verfügung stellt, finden Sie in der ASIM-Parserliste

Hinzufügen eigener normalisierter Parser

Wenn Sie benutzerdefinierte Parser für das Netzwerksitzungs-Informationsmodell entwickeln, benennen Sie Ihre KQL-Funktionen anhand der folgenden Syntax:

• vimNetworkSession<vendor><Product> für parametrisierte Parser
• ASimNetworkSession<vendor><Product> für reguläre Parser

Im Artikel Verwalten von ASIM-Parsern erfahren Sie, wie Sie Ihre benutzerdefinierten Parser der Netzwerksitzung hinzufügen, die Parser vereinheitlicht.

Filtern von Parser-Parametern

Die Netzwerksitzungsparser unterstützen Filterparameter. Diese Parser sind optional, können aber die Abfrageleistung verbessern.

Die folgenden Filterparameter sind verfügbar:

Einige Parameter können sowohl eine Liste von Werten des Typs dynamic als auch einen einzelnen Zeichenfolgenwert akzeptieren. Um eine Literalliste an Parameter zu übergeben, die einen dynamischen Wert erwarten, verwenden Sie explizit ein dynamisches Literal. Beispiel: dynamic(['192.168.','10.'])

Verwenden Sie beispielsweise Folgendes, um ausschließlich Netzwerksitzungen für eine angegebenen Liste von Domänennamen zu filtern:

let torProxies=dynamic(["tor2web.org", "tor2web.com", "torlink.co"]);
_Im_NetworkSession (hostname_has_any = torProxies)

Normalisierter Inhalt

Eine vollständige Liste der Analyseregeln, die normalisierte DNS-Ereignisse verwenden, finden Sie unter Sicherheitsinhalte für Netzwerksitzungen.

Schemaübersicht

Das Netzwerksitzungsinformationsmodell ist auf das OSSEM-Netzwerkentitätsschema ausgerichtet.

Das Netzwerksitzungsschema bietet mehrere Arten ähnlicher, aber doch unterschiedlicher Szenarien, die dieselben Felder verwenden. Diese Szenarien werden durch das Feld EventType identifiziert:

• NetworkSession – eine Netzwerksitzung, die von einem Zwischengerät gemeldet wird, das das Netzwerk überwacht, z. B. eine Firewall, ein Router oder ein Tap für ein Netzwerk.
• L2NetworkSession – Netzwerksitzungen, für die nur Informationen der Ebene 2 verfügbar sind. Solche Ereignisse umfassen MAC-Adressen, aber keine IP-Adressen.
• Flow – ein aggregiertes Ereignis, das mehrere ähnliche Netzwerksitzungen meldet, in der Regel über einen vordefinierten Zeitraum, z. B. Netflow-Ereignisse.
• EndpointNetworkSession – eine Netzwerksitzung, die von einem der Endpunkte der Sitzung gemeldet wird, einschließlich Clients und Servern. Für solche Ereignisse unterstützt das Schema die Aliasfelder remote und local.
• IDS – eine Netzwerksitzung, die als verdächtig gemeldet wird. Bei einem solchen Ereignis werden einige der Prüffelder und möglicherweise nur ein IP-Adressfeld ausgefüllt, entweder die Quelle oder das Ziel.

In der Regel sollte eine Abfrage nur eine Teilmenge dieser Ereignistypen auswählen und muss möglicherweise einzelne Aspekte der Anwendungsfälle separat behandeln. IDS-Ereignisse spiegeln beispielsweise nicht das gesamte Netzwerkvolumen wider und sollten bei spaltenbasierten Analysen nicht berücksichtigt werden.

Netzwerksitzungsereignisse verwenden die Deskriptoren Src und Dst, um die Rollen der Geräte und der zugehörigen Benutzer und Anwendungen, die an der Sitzung beteiligt sind, zu bezeichnen. So werden beispielsweise der Hostname und die IP-Adresse des Quellgeräts mit SrcHostname und SrcIpAddr bezeichnet. Andere ASIM-Schemata verwenden in der Regel Target anstelle von Dst.

Bei Ereignissen, die von einem Endpunkt gemeldet werden und bei denen der Ereignistyp EndpointNetworkSession ist, bezeichnen die Deskriptoren Local und Remote den Endpunkt selbst bzw. das Gerät am anderen Ende der Netzwerksitzung.

Der Deskriptor Dvc wird für das Berichterstellungsgerät verwendet. Dabei handelt es sich um das lokale System für Sitzungen, die von einem Endpunkt gemeldet werden, und für das Zwischengerät oder den Netzwerk-TAP für andere Netzwerksitzungsereignisse.

Schemadetails

Allgemeine ASIM-Felder

Allgemeine Felder mit bestimmten Richtlinien

In der folgenden Liste werden Felder erwähnt, die bestimmte Richtlinien für Netzwerksitzungsereignisse enthalten:

Alle allgemeinen Felder

Felder, die in der folgenden Tabelle angezeigt werden, sind für alle ASIM-Schemas gleich. Jede oben angegebene Richtlinie setzt die allgemeinen Richtlinien für das Feld außer Kraft. Beispielsweise kann ein Feld im Allgemeinen optional, aber für ein bestimmtes Schema obligatorisch sein. Weitere Informationen zu den einzelnen Feldern finden Sie im Artikel Allgemeine ASIM-Felder.

Netzwerksitzungsfelder

Felder für „Zielsystem“

Felder für „Zielbenutzer“

Felder für „Zielanwendung“

Felder für „Quellsystem“

Felder für „Quellbenutzer“

Felder für „Quellanwendung“

Lokale Aliase und Remotealiase

Alle oben aufgeführten Quell- und Zielfelder können optional durch Felder mit demselben Namen und den Deskriptoren Local und Remote als Aliase ersetzt werden. Dies ist in der Regel hilfreich für Ereignisse, die von einem Endpunkt gemeldet werden und für die der Ereignistyp EndpointNetworkSession lautet.

Für solche Ereignisse bezeichnen die Deskriptoren Local und Remote den Endpunkt selbst bzw. das Gerät am anderen Ende der Netzwerksitzung. Bei eingehenden Verbindungen ist das lokale System das Ziel, Local-Felder sind Aliase für die Dst-Felder, und „Remote“-Felder sind Aliase für Src-Felder. Im Gegensatz dazu ist bei ausgehenden Verbindungen das lokale System die Quelle, Local-Felder sind Aliase für Src-Felder und Remote-Felder sind Aliase für Dst-Felder.

Für ein eingehendes Ereignis ist das Feld LocalIpAddr beispielsweise ein Alias für DstIpAddr und das Feld RemoteIpAddr ist ein Alias für SrcIpAddr.

Aliase für Hostname und IP-Adresse

Felder für Zwischengerät und NAT (Network Address Translation)

Die folgenden Felder sind nützlich, wenn der Datensatz Informationen zu einem Zwischengerät wie etwa einer Firewall oder einem Proxy zum Vermitteln der Netzwerksitzung enthält.

Zwischensysteme verwenden häufig die Adressenübersetzung, daher sind die ursprüngliche Adresse und die extern beobachtete Adresse nicht identisch. In solchen Fällen stellen die primären Adressfelder wie SrcIPAddr und DstIpAddr die extern beobachteten Adressen dar, während die NAT-Adressfelder SrcNatIpAddr und DstNatIpAddr die interne Adresse des ursprünglichen Geräts vor der Übersetzung darstellen.

Inspektionsfelder

Die folgenden Felder werden zur Darstellung der Inspektion verwendet, die von einem Sicherheitsgerät wie etwa einer Firewall, einem IPS oder einem Websicherheitsgateway durchgeführt wurde:

Weitere Felder

Wenn das Ereignis von einem der Endpunkte der Netzwerksitzung gemeldet wird, kann es Informationen zu dem Prozess enthalten, von dem die Sitzung initiiert oder beendet wurde. In solchen Fällen wird das ASIM-Prozessereignisschema zum Normalisieren dieser Informationen verwendet.

Schemaupdates

In der Version 0.2.1 des Schemas wurde Folgendes geändert:

• Hinzufügung von Src und Dst als Aliase zu einem führenden Bezeichner für das Quell- und das Zielsystem.
• Die Felder NetworkConnectionHistory, SrcVlanId, DstVlanId, InnerVlanId und OuterVlanId wurden hinzugefügt.

In der Version 0.2.2 des Schemas wurde Folgendes geändert:

• Die Aliase Remote und Local wurden hinzugefügt.
• Der Ereignistyp EndpointNetworkSession wurde hinzugefügt.
• Hostname und IpAddr wurden als Aliase für RemoteHostname und LocalIpAddr definiert, wenn der Ereignistyp EndpointNetworkSession ist.
• DvcInterface wurde als Alias für DvcInboundInterface oder DvcOutboundInterface definiert.
• Der Typ der folgenden Felder wurde von „Integer“ in „Long“ geändert: SrcBytes, DstBytes, NetworkBytes, SrcPackets, DstPackets und NetworkPackets.
• Die Felder NetworkProtocolVersion, SrcSubscriptionId und DstSubscriptionId wurden hinzugefügt.
• Als veraltet markiert: DstUserDomain und SrcUserDomain.

In der Version 0.2.3 des Schemas wurde Folgendes geändert:

• Der Filterparameter ipaddr_has_any_prefix wurde hinzugefügt.
• Der Filterparameter hostname_has_any entspricht nun entweder dem Quell- oder Ziel-Hostnamen.
• Die Felder ASimMatchingHostname und ASimMatchingIpAddr wurden hinzugefügt.

In der Version 0.2.4 des Schemas wurde Folgendes geändert:

• Die TcpFlags-Felder wurden hinzugefügt.
• NetworkIcpmType und NetworkIcmpCode wurden aktualisiert, sodass sie den Zahlenwert für beide widerspiegeln.
• Zusätzliche Inspektionsfelder wurden hinzugefügt.
• Das Feld „ThreatRiskLevelOriginal“ wurde in ThreatOriginalRiskLevel umbenannt, um die ASIM-Konventionen einzuhalten. Vorhandene Microsoft-Parser behalten bis zum 1. Mai 2023 ThreatRiskLevelOriginal bei.
• EventResultDetails wurde als empfohlen gekennzeichnet, und die zulässigen Werte wurden angegeben.

In der Version 0.2.5 des Schemas wurde Folgendes geändert:

• Die Felder DstUserScope, SrcUserScope, SrcDvcScopeId, SrcDvcScope, DstDvcScopeId, DstDvcScope, DvcScopeId und DvcScope wurden hinzugefügt.

In der Version 0.2.6 des Schemas wurde Folgendes geändert:

• IDS als Ereignistyp hinzugefügt

Nächste Schritte

Weitere Informationen finden Sie unter

• Sehen Sie sich das ASIM-Webinar an, oder befassen Sie sich mit den Folien.
• Übersicht über das erweiterte Sicherheitsinformationsmodell (Advanced Security Information Model, ASIM)
• Schemas für das erweiterte Sicherheitsinformationsmodell (Advanced Security Information Model, ASIM)
• Parser für das erweiterte Sicherheitsinformationsmodell (Advanced Security Information Model, ASIM)
• Inhalte für das erweiterte Sicherheitsinformationsmodell (Advanced Security Information Model, ASIM)