Referenz zum Schema für die Websitzungsnormalisierung des erweiterten Sicherheitsinformationsmodells (ADVANCED Security Information Model, ASIM) (öffentliche Vorschau)

Das Normalisierungsschema für Websitzungen wird verwendet, um eine IP-Netzwerkaktivität zu beschreiben. IP-Netzwerkaktivitäten werden beispielsweise von Webservern, Webproxys und Websicherheitsgateways gemeldet.

Weitere Informationen zur Normalisierung in Microsoft Sentinel finden Sie unter Normalisierung und erweitertes Sicherheitsinformationsmodell (Advanced Security Information Model, ASIM).

Schemaübersicht

Das Normalisierungsschema für Websitzungen stellt eine beliebige HTTP-Netzwerksitzung dar und eignet sich für die Unterstützung gängiger Quelltypen. Hierzu zählen unter anderem folgende:

• Webserver
• Webproxys
• Websicherheitsgateways

Das ASIM-Websitzungsschema stellt HTTP- und HTTPS-Protokollaktivitäten dar. Da das Schema die Protokollaktivität darstellt, wird es von RFCs und offiziell zugewiesenen Parameterlisten bestimmt, auf die in diesem Artikel gegebenenfalls verwiesen wird.

Das Websitzungsschema stellt keine Überwachungsereignisse von Quellgeräten dar. Beispielsweise kann ein Ereignis, das eine Richtlinie für Websicherheitsgateways ändert, nicht durch das Websitzungsschema dargestellt werden.

Da es sich bei HTTP-Sitzungen um Anwendungsschichtsitzungen handelt, die TCP/IP als zugrunde liegende Netzwerkschichtsitzung verwenden, ist das Websitzungsschema eine Obermenge des ASIM-Netzwerksitzungsschemas.

Die wichtigsten Felder in einem Websitzungsschema sind:

• Url: Meldet die URL, die der Client vom Server angefordert hat.
• SrcIpAddr (mit dem Alias IpAddr), das die IP-Adresse darstellt, von der die Anforderung generiert wurde.
• Feld EventResultDetails, in dem in der Regel der HTTP-Statuscode gemeldet wird.

Websitzungsereignisse können auch Informationen zu dem Benutzer und Prozess enthalten, von dem die Anforderung initiiert wird.

Parser

Weitere Informationen zu ASIM-Parsern finden Sie in der Übersicht über ASIM-Parser.

Vereinheitlichende Parsern

Um Parser zu verwenden, die alle bereits integrierten ASIM-Parser vereinheitlichen, und sicherzustellen, dass ihre Analyse über alle konfigurierten Quellen hinweg ausgeführt wird, verwenden Sie den Filterparser _Im_WebSession oder den parameterlosen Parser _ASim_WebSession.

Sie können auch vom Arbeitsbereich bereitgestellte ImWebSession- und ASimWebSession-Parser verwenden, indem Sie sie aus dem Microsoft Sentinel GitHub-Repository bereitstellen. Weitere Informationen finden Sie unter Integrierte ASIM-Parser und im Arbeitsbereich bereitgestellte Parser.

Vorkonfigurierte, quellspezifische Parser

Die Liste der Websitzungsparser, die Microsoft Sentinel einsatzbereit zur Verfügung stellt, finden Sie in der ASIM-Parserliste

Hinzufügen eigener normalisierter Parser

Wenn Sie benutzerdefinierte Parser für das Websitzungsinformationsmodell implementieren, benennen Sie Ihre KQL-Funktionen anhand der folgenden Syntax:

• vimWebSession<vendor><Product> für parametrisierte Parser
• ASimWebSession<vendor><Product> für reguläre Parser

Filtern von Parser-Parametern

Die Parser im und vim* unterstützen Filterparameter. Indem diese Parser optional sind, können sie die Leistung Ihrer Abfrage verbessern.

Die folgenden Filterparameter sind verfügbar:

Einige Parameter können sowohl eine Liste von Werten des Typs dynamic als auch einen einzelnen Zeichenfolgenwert akzeptieren. Um eine Literalliste an Parameter zu übergeben, die einen dynamischen Wert erwarten, verwenden Sie explizit ein dynamisches Literal. Beispiel: dynamic(['192.168.','10.'])

Verwenden Sie beispielsweise Folgendes, um nur Websitzungen für eine angegebenen Liste von Domänennamen zu filtern:

let torProxies=dynamic(["tor2web.org", "tor2web.com", "torlink.co"]);
_Im_WebSession (url_has_any = torProxies)

Schemadetails

Das Websitzungsinformationsmodell ist auf das OSSEM-Netzwerkentitätsschema und auf das OSSEM-HTTP-Entitätsschema ausgerichtet.

Den bewährten Methoden der Branche entsprechend verwendet das Websitzungsschema die Deskriptoren Src und Dst zur Identifikation der Quell- und Zielgeräte der Sitzung, ohne das Token Dvc in den Feldnamen einzuschließen.

Der Hostname und die IP-Adresse des Quellgeräts heißen also beispielsweise SrcHostname bzw. SrcIpAddr und nicht SrcDvcHostname und SrcDvcIpAddr. Das Präfix Dvc wird ggf. nur für das meldende Gerät oder das Zwischengerät verwendet.

Felder, die die den Quell- und Zielgeräten zugeordneten Benutzer und Anwendungen beschreiben, verwenden auch die Deskriptoren Src und Dst.

Andere ASIM-Schemas verwenden in der Regel Target anstelle von Dst.

Allgemeine ASIM-Felder

Allgemeine Felder mit bestimmten Richtlinien

In der folgenden Liste werden Felder erwähnt, die bestimmte Richtlinien für Websitzungsereignisse enthalten.

Alle allgemeinen Felder

Felder, die in der folgenden Tabelle angezeigt werden, sind für alle ASIM-Schemas gleich. Jede oben angegebene Richtlinie setzt die allgemeinen Richtlinien für das Feld außer Kraft. Beispielsweise kann ein Feld im Allgemeinen optional, aber für ein bestimmtes Schema obligatorisch sein. Weitere Informationen zu den einzelnen Feldern finden Sie im Artikel Allgemeine ASIM-Felder.

Netzwerksitzungsfelder

HTTP-Sitzungen sind Anwendungsschichtsitzungen, die TCP/IP als zugrunde liegende Netzwerkschichtsitzung verwenden. Das Websitzungsschema ist eine Obermenge des ASIM-Netzwerksitzungsschemas, und alle Netzwerkschemafelder sind auch im Websitzungsschema enthalten.

Für die folgenden ASIM-Netzwerksitzungsschemafelder gelten spezifische Richtlinien, wenn es für ein Websitzungsereignis verwendet wird:

• Der Alias „User“ sollte auf SrcUsername verweisen, nicht auf DstUsername.
• Das Feld EventOriginalResultDetails kann jedes von der Quelle gemeldete Ergebnis sowie den in EventResultDetails gespeicherten HTTP-Statuscode enthalten.
• Für Websitzungen ist das primäre Zielfeld das URL-Feld. Die Zieldomäne (DstDomain) ist optional und wird nicht empfohlen. Insbesondere ist es nicht notwendig, sie im Parser aus der URL zu extrahieren, wenn sie nicht verfügbar ist.
• Die Felder NetworkRuleName und NetworkRuleNumber werden in RuleName bzw. RuleNumber umbenannt.

Websitzungsereignisse werden üblicherweise von Zwischengeräten gemeldet, die die HTTP-Verbindung des Clients beenden und als Proxy eine neue Verbindung mit dem Server initiieren. Verwenden Sie zum Darstellen des Zwischengeräts die Felder des ASIM-Netzwerksitzungsschemas "Intermediäre Geräte".

HTTP-Sitzungsfelder

Im Anschluss sind weitere spezifische Felder für Websitzungen aufgeführt:

Weitere Felder

Wenn das Ereignis von einem der Endpunkte der Websitzung gemeldet wird, kann es Informationen zu dem Prozess enthalten, von dem die Sitzung initiiert oder beendet wurde. In solchen Fällen wird das ASIM-Prozessereignisschema zum Normalisieren dieser Informationen verwendet.

Schemaupdates

Das Websitzungsschema basiert auf dem Netzwerksitzungsschema. Daher gelten Aktualisierungen des Netzwerksitzungsschemas auch für das Websitzungsschema.

In der Version 0.2.5 des Schemas wurde Folgendes geändert:

• Das Feld HttpHost wurde hinzugefügt.

In der Version 0.2.6 des Schemas wurde Folgendes geändert:

• Der Typ von FileSize wurde von Integer in Long geändert.

Nächste Schritte

Weitere Informationen finden Sie unter

• Sehen Sie sich das ASIM-Webinar an, oder befassen Sie sich mit den Folien.
• Übersicht über das erweiterte Sicherheitsinformationsmodell (Advanced Security Information Model, ASIM)
• Schemas für das erweiterte Sicherheitsinformationsmodell (Advanced Security Information Model, ASIM)
• Parser für das erweiterte Sicherheitsinformationsmodell (Advanced Security Information Model, ASIM)
• Inhalte für das erweiterte Sicherheitsinformationsmodell (Advanced Security Information Model, ASIM)