Schemareferens för autentiseringsnormalisering för Asim (Advanced Security Information Model) (Offentlig förhandsversion)

Microsoft Sentinel-autentiseringsschemat används för att beskriva händelser som rör användarautentisering, inloggning och utloggning. Autentiseringshändelser skickas av många rapporteringsenheter, vanligtvis som en del av händelseströmmen tillsammans med andra händelser. Windows skickar till exempel flera autentiseringshändelser tillsammans med andra os-aktivitetshändelser.

Autentiseringshändelser omfattar både händelser från system som fokuserar på autentisering, till exempel VPN-gatewayer eller domänkontrollanter, och direktautentisering till ett slutsystem, till exempel en dator eller brandvägg.

Mer information om normalisering i Microsoft Sentinel finns i Normalisering och ASIM (Advanced Security Information Model).

Tolkar

Distribuera ASIM-autentiseringsparsers från Microsoft Sentinel GitHub-lagringsplatsen. Mer information om ASIM-parsare finns i artiklarna asim parsers overview..

Förena parsers

Om du vill använda parsers som förenar alla ASIM-parsare och ser till att analysen körs över alla konfigurerade källor använder du imAuthentication filtreringsparsern eller parsern ASimAuthentication utan parameter.

Källspecifika parsers

Listan över autentiseringsparsers som Microsoft Sentinel innehåller finns i ASIM-parsningslistan:

Lägg till dina egna normaliserade parsers

När du implementerar anpassade parsers för autentiseringsinformationsmodellen namnger du dina KQL-funktioner med följande syntax:

• vimAuthentication<vendor><Product> för filtrering av parsers
• ASimAuthentication<vendor><Product> för parameterlösa parsers

Information om hur du lägger till dina anpassade parsers i den enande parsern finns i Hantera ASIM-parsers.

Filtrera parserparametrar

Parsarna im och vim* stöder filtreringsparametrar. Även om dessa parsers är valfria kan de förbättra frågeprestandan.

Följande filtreringsparametrar är tillgängliga:

Om du till exempel bara vill filtrera autentiseringshändelser från den senaste dagen till en viss användare använder du:

imAuthentication (targetusername_has = 'johndoe', starttime = ago(1d), endtime=now())

Normaliserat innehåll

Normaliserade analysregler för autentisering är unika eftersom de identifierar attacker mellan källor. Om en användare till exempel är inloggad i olika orelaterade system, från olika länder/regioner, identifierar Microsoft Sentinel nu det här hotet.

En fullständig lista över analysregler som använder normaliserade autentiseringshändelser finns i Säkerhetsinnehåll för autentiseringsschema.

Schemaöversikt

Autentiseringsinformationsmodellen är anpassad till OSSEM-inloggningsentitetsschemat.

Fälten som anges i tabellen nedan är specifika för autentiseringshändelser, men liknar fält i andra scheman och följer liknande namngivningskonventioner.

Autentiseringshändelser refererar till följande entiteter:

• TargetUser – användarinformationen som används för att autentisera till systemet. TargetSystem är det primära ämnet för autentiseringshändelsen och aliaset Användaralias som en TargetUser har identifierat.
• TargetApp – programmet som autentiserats till.
• Target – det system som TargetApp* körs på.
• Aktör – Den användare som initierar autentiseringen, om den skiljer sig från TargetUser.
• ActingApp – programmet som används av aktören för att utföra autentiseringen.
• Src – Systemet som används av aktören för att initiera autentiseringen.

Relationen mellan dessa entiteter visas bäst på följande sätt:

En aktör som kör ett tillförordnadt program, ActingApp, i ett källsystem, Src, försöker autentisera som en TargetUser till ett målprogram, TargetApp, på ett målsystem, TargetDvc.

Schemainformation

I följande tabeller refererar Type till en logisk typ. Mer information finns i Logiska typer.

Vanliga ASIM-fält

Vanliga fält med specifika riktlinjer

I följande lista nämns fält som har specifika riktlinjer för autentiseringshändelser:

Alla vanliga fält

Fält som visas i tabellen nedan är gemensamma för alla ASIM-scheman. Alla riktlinjer som anges ovan åsidosätter de allmänna riktlinjerna för fältet. Ett fält kan till exempel vara valfritt i allmänhet, men obligatoriskt för ett specifikt schema. Mer information om varje fält finns i artikeln vanliga ASIM-fält .

Autentiseringsspecifika fält

Aktörsfält

Agerar programfält

Målanvändarfält

Källsystemfält

Målprogramfält

Målsystemfält

Kontrollfält

Följande fält används för att representera inspektionen som utförs av ett säkerhetssystem.

Schemauppdateringar

Det här är ändringarna i version 0.1.1 av schemat:

• Användar- och enhetsentitetsfält har uppdaterats så att de överensstämmer med andra scheman.
• Byt TargetDvc namn och SrcDvc till Target respektive Src för att överensstämma med aktuella ASIM-riktlinjer. De omdöpta fälten implementeras som alias fram till den 1 juli 2022. Dessa fält omfattar: SrcDvcHostname, SrcDvcHostnameType, SrcDvcType, SrcDvcIpAddr, TargetDvcHostname, TargetDvcHostnameType, TargetDvcType, TargetDvcIpAddroch TargetDvc.
• Aliasen Src och Dst.
• Fälten , SrcDeviceType, TargetDvcIdTypeoch TargetDeviceType, och har lagts SrcDvcIdTypetill.EventSchema

Det här är ändringarna i version 0.1.2 av schemat:

• Fälten har lagts till ActorScope, TargetUserScope, SrcDvcScopeIdSrcDvcScope, TargetDvcScopeId, TargetDvcScope, DvcScopeIdoch DvcScope.

Det här är ändringarna i version 0.1.3 av schemat:

• Fälten SrcPortNumber, , ActorOriginalUserTypeActorScopeId, TargetOriginalUserType, TargetUserScopeId, , SrcDescription, SrcRiskLeveloch SrcOriginalRiskLevelTargetDescription.
• Kontrollfält har lagts till
• Målsystemets geoplatsfält har lagts till.

Nästa steg

Mer information finns i:

• Titta på ASIM-webbseminariet eller granska bilderna
• Översikt över Advanced Security Information Model (ASIM)
• ASIM-scheman (Advanced Security Information Model)
• Asim-parsers (Advanced Security Information Model)
• Asim-innehåll (Advanced Security Information Model)