Referência dos tipos de entidade do Microsoft Sentinel

Este documento contém dois conjuntos de informações sobre entidades e tipos de entidade no Microsoft Sentinel e na plataforma de operações de segurança unificadas da Microsoft.

• A tabela Tipos e identificadores de entidade mostra os diferentes tipos de entidades que podem ser identificadas em alertas e incidentes, permitindo que você as rastreie e investigue. A tabela também mostra, para cada tipo de entidade, os diferentes identificadores que podem ser usados para identificar uma entidade.
• A seção Esquema de entidade mostra a estrutura de dados e o esquema para entidades em geral e para cada tipo de entidade em particular.

Tipos de entidade e identificadores

A tabela a seguir mostra os tipos de entidade que podem ser reconhecidos pelo Microsoft Sentinel e os atributos que podem ser usados como identificadores para cada tipo de entidade.

O Microsoft Sentinel reconhece entidades em alertas e incidentes criados pelo mapeamento de entidades em regras de análise. Ele também reconhece entidades já identificadas em alertas ingeridos de outras fontes.

Atualmente, você pode usar até três identificadores para uma determinada entidade ao criar um mapeamento de entidade no Microsoft Sentinel. Identificadores fortes por si só são suficientes para identificar uma entidade exclusivamente, enquanto identificadores fracos só conseguem fazer isso em combinação com outros identificadores. Saiba mais sobre identificadores fortes e fracos. A maioria, mas não todos os identificadores nesta tabela, podem ser usados ao criar mapeamentos de entidade no Microsoft Sentinel (consulte as notas de rodapé).

Tipo de entidade	Identificadores	Identificadores fortes	Identificadores fracos
Conta	Nome FullName * NTDomain DnsDomain UPNSuffix Sid AadTenantId AadUserId PUID IsDomainJoined DisplayName * ObjectGuid	Name+UPNSuffix AADUserId Sid ** Sid+Host ** Name+Host+NTDomain ** Name+NTDomain ** Name+DnsDomain PUID ObjectGuid	Nome
Host	DnsDomain NTDomain HostName FullName * NetBiosName AzureID OMSAgentID OSFamily OSVersion IsDomainJoined	HostName+NTDomain HostName+DnsDomain NetBiosName+NTDomain NetBiosName+DnsDomain AzureID OMSAgentID	HostName NetBiosName
IP	Endereço AddressScope	Address ** Address+AddressScope **
URL	Url	URL (se for URL absoluto) **	URL (se for URL relativa) **
Recursos do Azure (AzureResource)	ResourceId	ResourceId
Aplicativo de nuvem (CloudApplication)	AppId Nome InstanceName	AppId Nome AppId+InstanceName Name+InstanceName
Resolução DNS (DNS)	DomainName	DomainName+DnsServerIp+HostIpAddress	DomainName+HostIpAddress
Arquivo	Diretório Nome	Directory+Name
Hash do arquivo (FileHash)	Algoritmo Valor	Algorithm+Value
Malware	Nome Categoria	Name+Category
Processo	ProcessId CommandLine ElevationToken CreationTimeUtc	Host+ProcessID+CreationTimeUtc Host+ParentProcessId+    CreationTimeUtc+CommandLine Host+ProcessId+    CreationTimeUtc+ImageFile Host+ProcessId+    CreationTimeUtc+ImageFile+    FileHash	ProcessId+CreationTimeUtc+    CommandLine (no Host) ProcessId+CreationTimeUtc+    ImageFile (sem Host)
Chave do Registro (Chave do Registro)	Hive Chave	Hive+Key
Valor do Registro (Valor do Registro)	Nome Valor ValueType	Key+Name	Name (sem Key)
Grupo de segurança (Grupo de Segurança)	DistinguishedName SID ObjectGuid	DistinguishedName SID ObjectGuid
Mailbox	MailboxPrimaryAddress DisplayName Upn ExternalDirectoryObjectId RiskLevel	MailboxPrimaryAddress
Cluster de e-mail (MailCluster)	NetworkMessageIds CountByDeliveryStatus CountByThreatType CountByProtectionStatus Ameaças Consulta Querytime MailCount IsVolumeAnomaly Origem ClusterSourceIdentifier * ClusterSourceType * ClusterQueryStartTime * ClusterQueryEndTime * ClusterGroup *	Query+Source
Mensagem de e-mail (Mensagem de e-mail)	Destinatário URLs Ameaças Remetente P1Sender * P1SenderDisplayName * P1SenderDomain * SenderIP P2Sender * P2SenderDisplayName * P2SenderDomain * ReceivedDate NetworkMessageId InternetMessageId Assunto BodyFingerprintBin1 * BodyFingerprintBin2 * BodyFingerprintBin3 * BodyFingerprintBin4 * BodyFingerprintBin5 * AntispamDirection DeliveryAction DeliveryLocation Language * ThreatDetectionMethods *	NetworkMessageId+Recipient
E-mail de envio (EnvioCorreio)	NetworkMessageId Timestamp Destinatário Remetente SenderIp Assunto ReportType SubmissionId SubmissionDate Emissor	SubmissionId+NetworkMessageId+    Recipient+Submitter
Entidades do Sentinel	Entidades	Entidades

Notas de rodapé da tabela:

• * Esses identificadores são exibidos na lista de identificadores que podem ser usados no mapeamento de entidade, mas, estritamente falando, não fazem parte do esquema de entidade.
• ** Esses identificadores só são considerados fortes sob determinadas condições. Para ver as condições que se aplicam, siga os links dos asteriscos na listagem da entidade relevante na seção de esquemas de entidade abaixo.
• Os nomes de identificador em itálico (sem um asterisco) representam entidades internas, o que significa que um tipo de entidade pode ter outros tipos de entidade como atributos (consulte a seção de esquemas de entidade abaixo). Siga o link do identificador para ver o esquema da entidade interna.

Esquemas de tipo de entidade

A seção a seguir contém uma análise mais detalhada dos esquemas completos de cada tipo de entidade. Você notará que muitos desses esquemas incluem links para outros tipos de entidade. Por exemplo, o esquema de conta de usuário inclui um link para o tipo de entidade Host, já que um atributo de uma conta de usuário é o host no qual está definido. Essas entidades como atributos são conhecidas como "entidades internas" e não podem ser usadas como identificadores no mapeamento de entidade, mas são muito úteis para fornecer um retrato completo das entidades em páginas de entidade e o grafo de investigação.

Lista de esquemas de tipo de entidade

• Conta
• Host
• IP
• Malware
• Arquivo
• Processo
• Aplicativo de nuvem
• Resolução DNS
• Recursos do Azure
• Hash do arquivo
• Chave do Registro
• Valor do Registro
• Grupo de segurança
• URL
• Dispositivo IoT
• Caixa de Correio
• Cluster de e-mail
• Mensagem de e-mail
• E-mail de envio
• Entidades do Sentinel

Conta

Nome da entidade: Conta

Campo	Type	Descrição
Tipo	String	'account'
Nome	String	O nome da conta. Esse campo deve conter apenas o nome, sem nenhum domínio adicionado.
FullName	--	Não faz parte do esquema, incluído para compatibilizar a versão antiga do mapeamento de entidade com versões anteriores.
NTDomain	String	O nome de domínio NETBIOS como ele aparece no formato de alerta — domínio\nome de usuário. Exemplos: Financeiro, NT AUTHORITY
DnsDomain	String	O nome DNS do domínio totalmente qualificado. Exemplos: financeiro.contoso.com
UPNSuffix	String	O sufixo do nome UPN para a conta. Em muitos casos, o sufixo UPN também é o nome de domínio. Exemplos: contoso.com
Host	Entidade (Host)	O host que contém a conta, caso seja uma conta local.
Sid	String	O identificador de segurança da conta.
AadTenantId	Guid?	A ID do locatário do Microsoft Entra, se conhecida.
AadUserId	Guid?	A ID do objeto da conta do Microsoft Entra, se conhecida.
PUID	Guid?	A ID do usuário do Microsoft Entra Passport, se conhecida.
IsDomainJoined	Bool?	Indica se a conta é uma conta de domínio.
DisplayName	--	Não faz parte do esquema, incluído para compatibilizar a versão antiga do mapeamento de entidade com versões anteriores.
ObjectGuid	Guid?	O atributo objectGUID é um atributo de valor único que é o identificador exclusivo do objeto, atribuído pelo Active Directory Domain Services.
CloudAppAccountId	String	A AccountID em alertas do provedor CloudApp. Refere-se a IDs de conta em aplicativos de terceiros que não têm suporte em outros produtos da Microsoft.
IsAnonymized	Bool?	Indica se o nome de usuário é anônimo. Opcional. Valor padrão: false.
Stream	STREAM	A origem dos logs de descoberta relacionados à conta específica. Opcional.

Identificadores fortes de uma entidade de conta

• Name + UPNSuffix
• AadUserId
• Sid
  ** Esse identificador é forte desde que a conta não seja uma das contas internas listadas na Observação abaixo.
• Sid + Host
  ** Quando a conta é uma das contas internas listadas na Observação abaixo, é preciso do componente Host para tornar esse identificador forte.
• Name + NTDomain
  ** Essa combinação se torna um identificador forte quando a conta é uma conta de domínio, já que NTDomain não é um domínio/grupo de trabalho interno e é diferente do nome do host. Nesse caso, esse é um identificador forte mesmo sem o componente Host.
• Name + NTDomain + Host
  ** É preciso do componente Host para criar um identificador forte quando a conta é uma conta local, o que significa que o NTDomain é um grupo de trabalho/domínio interno.
• Name + DnsDomain
• PUID
• ObjectGuid

Identificadores fracos de uma entidade de conta

• Nome

Voltar à lista de esquemas de tipo de entidade | Voltar à tabela de identificadores de entidade

Host

Nome da entidade: Host

Campo	Type	Descrição
Tipo	String	'host'
IpInterfaces	List<Entity (Ip)>	Lista de todas as interfaces IP no computador host.
DnsDomain	String	O domínio DNS ao qual este host pertence. Deve conter o sufixo DNS completo para o domínio, se conhecido.
NTDomain	String	O domínio NT ao qual este host pertence.
HostName	String	O nome do host sem o sufixo de domínio.
NetBiosName	String	O nome do host (anterior ao Windows 2000).
IoTDevice	Entidade (Dispositivo IoT)	A entidade do dispositivo IoT (se este host representar um dispositivo IoT).
AzureID	String	A ID do recurso da VM do Azure, se conhecida.
OMSAgentID	String	A ID do agente do OMS, se o host tiver o agente do OMS instalado.
OSFamily	Enum?	Um dos seguintes valores: Linux Windows Android IOS Mac
OSVersion	String	Uma representação de texto livre do sistema operacional. Esse campo destina-se a manter versões específicas, que são mais refinadas do que o OSFamily ou valores futuros não suportados pela enumeração OSFamily.
IsDomainJoined	Bool	Indica se este host pertence a um domínio.

Identificadores fortes de uma entidade de host

• HostName + NTDomain
• HostName + DnsDomain
• NetBiosName + NTDomain
• NetBiosName + DnsDomain
• AzureID
• OMSAgentID
• IoTDevice

Identificadores fracos de uma entidade de host

• HostName
• NetBiosName

Voltar à lista de esquemas de tipo de entidade | Voltar à tabela de identificadores de entidade

IP

Nome da entidade: IP

Campo	Type	Descrição
Tipo	String	'ip'
Endereço	String	O endereço IP como cadeia de caracteres, por exemplo. 127.0.0.1 (em IPv4 ou IPv6).
AddressScope	String	Nome do host, da sub-rede ou da rede privada para endereços IP privados e não globais. Nulo ou vazio para endereços IP globais (padrão).
Localização	GeoLocation	O contexto de localização geográfica anexado à entidade IP. Para obter mais informações, também veja Enriquecer entidades no Microsoft Sentinel com os dados de geolocalização pela API REST (Versão prévia pública).
Stream	STREAM	A origem dos logs de descoberta relacionados ao IP específico. Opcional.

Identificadores fortes de uma entidade IP

• Endereço
  ** O endereço sozinho é um identificador exclusivo e forte quando o endereço IP é um endereço global.
• Address + AddressScope
  ** Para endereços IP privados/internos e não globais, é preciso do componente AddressScope para tornar esse identificador forte.

Voltar à lista de esquemas de tipo de entidade | Voltar à tabela de identificadores de entidade

Malware

Nome da entidade: Malware

Campo	Type	Descrição
Tipo	String	'malware'
Nome	String	O nome do malware atribuído pelo fornecedor (detecção?), como Win32/Toga!rfn.
Categoria	String	A categoria de malware atribuída pelo fornecedor (detecção?), por exemplo. Trojan.
Arquivos	List<Entity (File)>	Lista de entidades de arquivo vinculadas nas quais o malware foi encontrado. Pode conter as entidades de arquivo embutidas ou como referência. Consulte a entidade Arquivo para obter mais detalhes sobre a estrutura.
Processos	List<Entity (Process)>	Lista de entidades de processo vinculadas nas quais o malware foi encontrado. Isso geralmente seria usado quando o alerta fosse disparado na atividade sem arquivos. Consulte a entidade Processo para obter mais detalhes sobre a estrutura.

Identificadores fortes de uma entidade de malware

• Name + Category

Voltar à lista de esquemas de tipo de entidade | Voltar à tabela de identificadores de entidade

Arquivo

Nome da entidade: Arquivo

Campo	Type	Descrição
Tipo	String	'file'
Diretório	String	O caminho completo para o arquivo.
Nome	String	O nome do arquivo sem o caminho (alguns alertas podem não incluir o caminho).
AlternateDataStreamName	String	O nome do fluxo de arquivos no sistema de arquivos NTFS (nulo para o fluxo principal).
Host	Entidade (Host)	O host no qual o arquivo foi armazenado.
HostUrl	Entidade (URL)	URL da qual o arquivo foi baixado (Marca da Web).
WindowsSecurityZoneType	WindowsSecurityZone	Zona de Segurança do Windows à qual a URL pertence (Marca da Web).
ReferrerUrl	Entidade (URL)	URL do referenciador da solicitação HTTP de download do arquivo (Marca da Web).
SizeInBytes	Long?	O tamanho do arquivo em bytes.
FileHashes	List<Entity (FileHash)>	Os hashes de arquivo associados a este arquivo.

Identificadores fortes de uma entidade de arquivo

• Name + Directory
• Name + FileHash
• Name + Directory + FileHash

Voltar à lista de esquemas de tipo de entidade | Voltar à tabela de identificadores de entidade

Processo

Nome da entidade: Processo

Campo	Type	Descrição
Tipo	String	'process'
ProcessId	String	A ID do processo.
CommandLine	String	A linha de comando usada para criar o processo.
ElevationToken	Enum?	O token de elevação associado ao processo. Valores possíveis: TokenElevationTypeDefault TokenElevationTypeFull TokenElevationTypeLimited
CreationTimeUtc	DateTime?	A hora em que o processo começou a ser executado.
ImageFile	Entidade (Arquivo)	Pode conter as entidades de arquivo embutidas ou como referência. Consulte a entidade Arquivo para obter mais detalhes sobre a estrutura.
Conta	Entidade (Conta)	A conta que executa os processos. Pode conter a entidade Conta embutida ou como referência. Consulte a entidade Conta para obter mais detalhes sobre a estrutura.
ParentProcess	Entidade (Processo)	A entidade de processo pai. Pode conter dados parciais; por exemplo, apenas o PID.
Host	Entidade (Host)	O host no qual o processo estava em execução.
LogonSession	Entidade (HostLogonSession)	A sessão na qual o processo estava em execução.

Identificadores fortes de uma entidade de processo

• Host + ProcessId + CreationTimeUtc
• Host + ParentProcessId + CreationTimeUtc + CommandLine
• Host + ProcessId + CreationTimeUtc + ImageFile
• Host + ProcessId + CreationTimeUtc + ImageFile.FileHash

Identificadores fracos de uma entidade de processo

• ProcessId + CreationTimeUtc + CommandLine (e nenhum host)
• Host + ProcessId + CreationTimeUtc + ImageFile (e nenhum host)

Voltar à lista de esquemas de tipo de entidade | Voltar à tabela de identificadores de entidade

Aplicativo de nuvem

Nome da entidade: CloudApplication

Campo	Type	Descrição
Tipo	String	'cloud-application'
AppId	Int	Preterido; em vez disso, use o campo SaasId. O identificador técnico do aplicativo. Os valores possíveis são aqueles definidos na lista de identificadores de aplicativos na nuvem. Valor opcional. Não deve conter InstanceId.
SaasId	Int	Substitui o campo AppId preterido. O identificador técnico do aplicativo. Os valores possíveis são aqueles definidos na lista de identificadores de aplicativos na nuvem. Valor opcional. Não deve conter InstanceId.
Nome	String	O nome do aplicativo em nuvem relacionado. Valor opcional.
InstanceName	String	O nome da instância definida pelo usuário do aplicativo de nuvem. Geralmente, ele é usado para diferenciar os vários aplicativos do mesmo tipo que um cliente possui.
InstanceId	Int	O identificador da sessão específica do aplicativo. Esse é um número de execução baseado em zero. Valor opcional.
Risco	AppRisk?	Permite a filtragem de aplicativos pela pontuação de risco, de modo que você possa se concentrar, por exemplo, somente na análise dos aplicativos de alto risco. Valores possíveis, como Baixo, Médio, Alto ou Desconhecido.
Stream	STREAM	A origem dos logs de descoberta relacionados ao aplicativo de nuvem específico. Opcional.

Identificadores fortes de uma entidade de aplicativo de nuvem

• AppId (sem InstanceName)
• Name (sem InstanceName)
• AppId + InstanceName
• Name + InstanceName

Lista de identificadores de aplicativo de nuvem

Voltar à lista de esquemas de tipo de entidade | Voltar à tabela de identificadores de entidade

Resolução DNS

Nome da entidade: DNS

Campo	Type	Descrição
Tipo	String	'dns'
DomainName	String	O nome do registro do DNS associado ao alerta.
IpAddress	List<Entity (IP)>	Entidades correspondentes aos endereços IP resolvidos.
DnsServerIp	Entidade (IP)	Uma entidade que representa o servidor DNS resolvendo a solicitação.
HostIpAddress	Entidade (IP)	Uma entidade que representa o cliente da solicitação de DNS.

Identificadores fortes de uma entidade DNS

• DomainName + DnsServerIp + HostIpAddress

Identificadores fracos de uma entidade DNS

• DomainName + HostIpAddress

Voltar à lista de esquemas de tipo de entidade | Voltar à tabela de identificadores de entidade

Recursos do Azure

Nome da entidade: AzureResource

Campo	Type	Descrição
Tipo	String	'recurso-azure'
ResourceId	String	A ID do recurso do Azure. Mandatory.
SubscriptionId	String	A ID da assinatura do recurso.
ActiveContacts	List<ActiveContact>	Contatos ativos associados ao recurso.
ResourceType	String	O tipo do recurso.
ResourceName	String	O nome do recurso.

Identificadores fortes de uma entidade de recursos do Azure

• ResourceId

Voltar à lista de esquemas de tipo de entidade | Voltar à tabela de identificadores de entidade

Hash do arquivo

Nome da entidade: FileHash

Campo	Type	Descrição
Tipo	String	'filehash'
Algoritmo	Enumeração	O tipo do algoritmo de hash. Mandatory. Valores possíveis: Unknown MD5 SHA1 SHA256 SHA256AC
Valor	String	O valor de hash. Mandatory.

Identificadores fortes de uma entidade hash de arquivo

• Algorithm + Value

Voltar à lista de esquemas de tipo de entidade | Voltar à tabela de identificadores de entidade

Chave do Registro

Nome da entidade: RegistryKey

Campo	Type	Descrição
Tipo	String	'registry-key'
Hive	Enum?	Um dos seguintes valores: HKEY_LOCAL_MACHINE HKEY_CLASSES_ROOT HKEY_CURRENT_CONFIG HKEY_USERS HKEY_CURRENT_USER_LOCAL_SETTINGS HKEY_PERFORMANCE_DATA HKEY_PERFORMANCE_NLSTEXT HKEY_PERFORMANCE_TEXT HKEY_A HKEY_CURRENT_USER
Chave	String	Caminho da chave do registro.

Identificadores fortes de uma entidade de chave do registro

• Hive + Key

Voltar à lista de esquemas de tipo de entidade | Voltar à tabela de identificadores de entidade

Valor do Registro

Nome da entidade: RegistryValue

Campo	Type	Descrição
Tipo	String	'registry-value'
Host	Entidade (Host)	O host ao qual o registro pertence.
Chave	Entidade (RegistryKey)	Caminho da chave do registro.
Nome	String	O nome do valor de registro.
Valor	String	Representação formatada da cadeia de caracteres dos dados do valor.
ValueType	Enum?	Um dos seguintes valores: String Binário DWord Qword MultiString ExpandString Nenhum Unknown Os valores devem estar em conformidade com a enumeração do Microsoft.Win32.RegistryValueKind.

Identificadores fortes de uma entidade de valor de registro

• Key + Name

Identificadores fracos de uma entidade de valor de registro

• Nome (sem chave)

Voltar à lista de esquemas de tipo de entidade | Voltar à tabela de identificadores de entidade

Grupo de segurança

Nome da entidade: SecurityGroup

Campo	Type	Descrição
Tipo	String	'grupo-segurança'
DistinguishedName	String	O nome diferenciado do grupo.
SID	String	Um atributo de valor único que especifica o SID (identificador de segurança) do grupo.
ObjectGuid	Guid?	Um atributo de valor único que é o identificador exclusivo do objeto, atribuído pelo Active Directory Domain Services.

Identificadores fortes de uma entidade de grupo de segurança

• DistinguishedName
• SID
• ObjectGuid

Voltar à lista de esquemas de tipo de entidade | Voltar à tabela de identificadores de entidade

URL

Nome da entidade: Url

Campo	Type	Descrição
Type	String	'url'
Url	Uri	O URL completo ao qual a entidade aponta. Mandatory.

Identificadores fortes de uma entidade URL

• Url (** Esse identificador é forte quando a URL é uma URL absoluta.)

Identificadores fracos de uma entidade URL

• Url (** Esse identificador é fraco quando a URL é uma URL relativa.)

Voltar à lista de esquemas de tipo de entidade | Voltar à tabela de identificadores de entidade

Dispositivo IoT

Nome da entidade: IoTDevice

Campo	Type	Descrição
Tipo	String	'iotdevice'
IoTHub	Entidade (AzureResource)	A entidade AzureResource que representa o Hub IoT ao qual o dispositivo pertence.
DeviceId	String	A ID do dispositivo no contexto do Hub IoT. Mandatory.
DeviceName	String	O nome amigável do dispositivo.
Proprietários	Lista<Cadeia de caracteres>	Os proprietários do dispositivo.
IoTSecurityAgentId	Guid?	A ID do agente do Defender para IoT em execução no dispositivo.
DeviceType	String	O tipo do dispositivo ('sensor de temperatura', 'freezer', 'turbinas de vento' etc.).
DeviceTypeId	String	Uma ID exclusiva para identificar cada tipo de dispositivo de acordo com o esquema de tipo de dispositivo, pois o tipo de dispositivo em si é um nome de exibição e não confiável em comparações. Valores possíveis: Unclassified = 0 Miscellaneous = 1 Network Device = 2 Printer = 3 Audio and Video = 4 Media and Surveillance = 5 Communication = 7 Smart Appliance = 9 Workstation = 10 Server = 11 Mobile = 12 Smart Facility = 13 Industrial = 14 Operational Equipment = 15
Origem	String	A origem (Microsoft/fornecedor) da entidade do dispositivo.
SourceRef	Entidade (Url)	Uma referência de URL para o item de origem no qual o dispositivo é gerenciado.
Fabricante	String	O fabricante do dispositivo.
Modelo	String	O modelo do dispositivo.
OperatingSystem	String	O sistema operacional que o dispositivo está executando.
IpAddress	Entidade (IP)	O endereço IP atual do dispositivo.
MacAddress	String	O endereço MAC do dispositivo.
Nics	Entidade (Nic)	As NICs atuais no dispositivo.
Protocolos	Lista<Cadeia de caracteres>	Uma lista de protocolos compatíveis com o dispositivo.
SerialNumber	String	O número de série do dispositivo.
Site	String	O local do site do dispositivo.
Zona	String	O local da zona do dispositivo dentro de um site.
Sensor	String	O sensor que monitora o dispositivo.
Importância	Enum?	Um dos seguintes valores: Baixo Normal Alto
PurdueLayer	String	A camada Purdue do dispositivo.
IsProgramming	Bool?	Indica se o dispositivo foi classificado como dispositivo de programação.
IsAuthorized	Bool?	Indica se o dispositivo foi classificado como um dispositivo autorizado.
IsScanner	Bool?	Indica se o dispositivo foi classificado como um dispositivo de scanner.
DevicePageLink	Entidade (Url)	Uma URL para a página do dispositivo no portal do Defender para IoT.
DeviceSubType	String	O nome do subtipo do dispositivo.

Identificadores fortes de uma entidade de dispositivo IoT

• IoTHub + DeviceId

Identificadores fracos de uma entidade de dispositivo IoT

• DeviceID (sem IoTHub)

Voltar à lista de esquemas de tipo de entidade | Voltar à tabela de identificadores de entidade

Mailbox

Nome da entidade: Caixa de correio

Campo	Type	Descrição
Tipo	String	'caixa de correio'
MailboxPrimaryAddress	String	O endereço principal da caixa de correio.
DisplayName	String	O nome de exibição da caixa de correio.
Upn	String	O UPN da caixa de correio.
AadId	String	O identificador do Azure AD da caixa de correio do usuário.
RiskLevel	RiskLevel?	O nível de risco da caixa de correio. Valores possíveis: Nenhum Baixo Médio Alto
ExternalDirectoryObjectId	Guid?	O identificador AzureAD da caixa de correio. Semelhante ao AadUserId da entidade Conta, mas esta propriedade é específica para o objeto mailbox no Office.

Identificadores fortes de uma entidade de caixa de correio

• MailboxPrimaryAddress

Voltar à lista de esquemas de tipo de entidade | Voltar à tabela de identificadores de entidade

Cluster de e-mail

Nome da entidade: MailCluster

Campo	Type	Descrição
Tipo	String	'cluster-email'
NetworkMessageIds	lLista<Cadeia de caracteres>	As IDs de mensagens de email que fazem parte do cluster de email.
CountByDeliveryStatus	IDictionary<String,Int>	Contagem de mensagens de email por representação de cadeia de caracteres do DeliveryStatus.
CountByThreatType	IDictionary<String,Int>	Contagem de mensagens de email por representação de cadeia de caracteres do Threattype.
CountByProtectionStatus	IDictionary<String,long>	Contagem de mensagens de email por representação de cadeia de caracteres do status Proteção.
CountByDeliveryLocation	IDictionary<String,long>	Contagem de mensagens de email por representação de cadeia de caracteres do Local de entrega.
Ameaças	lLista<Cadeia de caracteres>	As ameaças de mensagens de email que fazem parte do cluster de email.
Consulta	String	A consulta que foi usada para identificar as mensagens do cluster de email.
QueryTime	DateTime?	Tempo de consulta.
MailCount	Int?	O número de mensagens de email que fazem parte do cluster de email.
IsVolumeAnomaly	Bool?	Indica se o cluster de email é um cluster de email de anomalias de volume.
Origem	String	A origem do cluster de emails (o padrão é O365 ATP).

Identificadores fortes de uma entidade de cluster de email

• Query + Source

Voltar à lista de esquemas de tipo de entidade | Voltar à tabela de identificadores de entidade

Mensagem de e-mail

Nome da entidade: MailMessage

Campo	Type	Descrição
Tipo	String	'mensagem-email'
Arquivos	IList<Entity (File)>	As entidades de arquivo dos anexos desta mensagem de email.
Recipient	String	O destinatário desta mensagem de email. No caso de vários destinatários, a mensagem de email é copiada e cada cópia tem um destinatário.
Urls	lLista<Cadeia de caracteres>	Os URLs contidos nesta mensagem de email.
Ameaças	lLista<Cadeia de caracteres>	As ameaças contidas nesta mensagem de email.
Remetente	String	O endereço de email do remetente.
SenderIP	String	O endereço IP do remetente.
ReceivedDate	Datetime	A data de recebimento desta mensagem.
NetworkMessageId	Guid?	A ID da mensagem de rede deste email.
InternetMessageId	String	A ID da mensagem da internet deste email.
Assunto	String	O assunto da mensagem deste email.
AntispamDirection	Enum?	A direção desta mensagem de email. Valores possíveis: Unknown Entrada Saída IntraOrg (interno)
DeliveryAction	Enum?	A ação de entrega desta mensagem de email. Valores possíveis: Unknown DeliveredAsSpam Entregue Bloqueado Substituído
DeliveryLocation	Enum?	O local de entrega desta mensagem de email. Valores possíveis: Unknown Caixa de Entrada JunkFolder DeletedFolder Quarentena Externo Com falha Dropped Encaminhado
CampaignId	String	O identificador da campanha na qual essa mensagem de email está presente.
SuspiciousRecipients	lLista<Cadeia de caracteres>	A lista de destinatários que foram detectados como suspeitos.
ForwardedRecipients	lLista<Cadeia de caracteres>	A lista de todos os destinatários no email encaminhado.
ForwardingType	lLista<Cadeia de caracteres>	O tipo de encaminhamento do email, como SMTP, ETR etc.

Identificadores fortes de uma entidade de mensagem de email

• NetworkMessageId + Recipient

Voltar à lista de esquemas de tipo de entidade | Voltar à tabela de identificadores de entidade

E-mail de envio

Nome da entidade: SubmissionMail

Campo	Type	Descrição
Tipo	String	'SubmissionMail'
SubmissionId	Guid?	A ID de envio.
SubmissionDate	DateTime?	Data e hora relatadas para este envio.
Emissor	String	O endereço de email de quem enviou.
NetworkMessageId	Guid?	A ID da mensagem de rede do email ao qual o envio pertence.
Timestamp	DateTime?	O carimbo de data/hora quando a mensagem é recebida (email).
Recipient	String	O destinatário do email.
Remetente	String	O remetente do email.
SenderIp	String	O IP do remetente.
Assunto	String	O assunto do email de envio.
ReportType	String	O tipo de envio para a instância especificada. Os valores possíveis são Junk, Phish, Malware ou NotJunk.

Identificadores fortes de uma entidade SubmissionMail

• SubmissionId, Submitter, NetworkMessageId, Recipient

Voltar à lista de esquemas de tipo de entidade | Voltar à tabela de identificadores de entidade

Entidades do Sentinel

Campo	Type	Descrição
Entidades	String	Uma lista das entidades identificadas no alerta. Essa lista é a coluna entities do esquema SecurityAlert (consulte a documentação).

Voltar à lista de esquemas de tipo de entidade | Voltar à tabela de identificadores de entidade

Identificadores de aplicativo de nuvem

A lista a seguir define identificadores para aplicativos de nuvem conhecidos. O valor da ID do aplicativo é usado como um identificador de entidade de aplicativo de nuvem.

ID do aplicativo	Nome
10026	DocuSign
10395	Anaplan
10489	Box
10549	Cisco Webex
10618	Atlassian
10915	Cornerstone OnDemand
10921	Zendesk
10980	Okta
11042	Jive Software
11114	Salesforce
11161	Office 365
11162	Microsoft OneNote Online
11394	Microsoft Online Services
11522	Yammer
11599	Amazon Web Services
11627	Dropbox
11713	Expensify
11770	G Suite
12005	SuccessFactors
12260	Microsoft Azure
12275	Workday
13843	LivePerson
13979	Concur
14509	ServiceNow
15570	Tableau
15600	Microsoft OneDrive for Business
15782	Citrix ShareFile
17152	Amazon
17865	Ariba Inc
18432	Zscaler
19688	Xactly
20595	Microsoft Defender for Cloud Apps
20892	Microsoft SharePoint Online
20893	Microsoft Exchange Online
20940	Active Directory
20941	Adallom CPanel
22110	Google Cloud Platform
22930	Gmail
23004	Ciclo de vida do Autodesk Fusion
23043	Slack
23233	Microsoft Office Online
25275	Microsoft Skype for Business
25988	Google Docs
26055	Centro de administração do Microsoft 365
26060	Engrenagens de OPSWAT
26061	Microsoft Word Online
26062	Microsoft PowerPoint Online
26063	Microsoft Excel Online
26069	Google Drive
26206	Workiva
26311	Microsoft Dynamics
26318	ID do Microsoft Entra
26320	Microsoft Office Sway
26321	Microsoft Delve
26324	Microsoft Power BI
27548	Microsoft Forms
27592	Microsoft Flow
27593	Microsoft PowerApps
28353	Workplace by Facebook
28373	Emulador de proxy CAS
28375	Microsoft Teams
32780	Microsoft Dynamics 365
33626	Google
34127	Microsoft AppSource
34667	HighQ
35395	Microsoft Dynamics Talent

Próximas etapas

Neste documento, você aprendeu sobre a estrutura, os identificadores e o esquema de entidades no Microsoft Sentinel.

Saiba mais sobre entidades e mapeamento de entidades.