Gelişmiş Güvenlik Bilgileri Modeli (ASIM) DNS normalleştirme şeması başvurusu (Genel önizleme)

DNS bilgi modeli, bir DNS sunucusu veya DNS güvenlik sistemi tarafından bildirilen olayları açıklamak için kullanılır ve Microsoft Sentinel tarafından kaynak agnostik analizi etkinleştirmek için kullanılır.

Daha fazla bilgi için bkz. Normalleştirme ve Gelişmiş Güvenlik Bilgileri Modeli (ASIM).

Şemaya genel bakış

ASIM DNS şeması DNS protokolü etkinliğini temsil eder. Dns sunucusu günlük DNS etkinliğine DNS istekleri gönderen hem DNS sunucuları hem de cihazlar. DNS protokolü etkinliği DNS sorgularını, DNS sunucusu güncelleştirmelerini ve DNS toplu veri aktarımlarını içerir. Şema protokol etkinliğini temsil ettiğinden, uygun olduğunda bu makalede başvurulan RFC'ler ve resmi olarak atanan parametre listeleri tarafından yönetilir. DNS şeması DNS sunucusu denetim olaylarını temsil etmez.

DNS sunucuları tarafından bildirilen en önemli etkinlik, alanının olarak ayarlandığı EventType Querybir DNS sorgusudur.

DNS olayındaki en önemli alanlar şunlardır:

• DnsQuery, sorgunun verildiği etki alanı adını bildirir.

• İsteğin oluşturulduğu IP adresini temsil eden SrcIpAddr (IpAddr ile diğer adı kullanılır). DNS sunucuları genellikle SrcIpAddr alanını sağlar, ancak DNS istemcileri bazen bu alanı sağlamaz ve yalnızca SrcHostname alanını sağlar.

• İsteğin başarılı olup olmadığını ve başarılı olup olmadığını, nedenini bildiren EventResultDetails.

• Kullanılabilir olduğunda, sunucu tarafından sorguya verilen yanıtı tutan DnsResponseName. ASIM yanıtı ayrıştırmayı gerektirmez ve biçimi kaynaklar arasında değişir.

  Bu alanı kaynak belirsiz içerikte kullanmak için veya contains işleçleriyle içeriği has arayın.

İstemci cihazında toplanan DNS olayları Kullanıcı ve İşlem bilgilerini de içerebilir.

DNS olaylarını toplama yönergeleri

DNS, çok sayıda bilgisayarı geçebileceği için benzersiz bir protokoldür. Ayrıca DNS UDP kullandığından istekler ve yanıtlar birbirleri ile doğrudan ilişkili değildir.

Aşağıdaki görüntüde dört segment de dahil olmak üzere basitleştirilmiş bir DNS isteği akışı gösterilmektedir. Gerçek dünya isteği daha karmaşık olabilir ve daha fazla segment söz konusu olabilir.

İstek ve yanıt kesimleri DNS isteği akışında doğrudan birbirine bağlı olmadığından, tam günlük kaydı önemli ölçüde yinelenenlere neden olabilir.

Günlüğe kaydedilecek en değerli kesim, istemciye verilen yanıttır. Yanıt, etki alanı adı sorgularını, arama sonucunu ve istemcinin IP adresini sağlar. Birçok DNS sistemi yalnızca bu kesimi günlüğe kaydederken, diğer bölümleri günlüğe kaydetmede değer vardır. Örneğin, DNS önbelleği zehirlenmesi saldırısı genellikle yukarı akış sunucusundan gelen sahte yanıtlardan yararlanır.

Veri kaynağınız tam DNS günlüğünü destekliyorsa ve birden çok kesimi günlüğe kaydetmeyi seçtiyseniz, Microsoft Sentinel'de veri yinelemesini önlemek için sorgularınızı ayarlayın.

Örneğin, sorgunuzu aşağıdaki normalleştirmeyle değiştirebilirsiniz:

_Im_Dns | where SrcIpAddr != "127.0.0.1" and EventSubType == "response"

Çözümleyicileri

ASIM ayrıştırıcıları hakkında daha fazla bilgi için bkz . ASIM ayrıştırıcılarına genel bakış.

Kullanıma yönelik ayrıştırıcılar

Tüm ASIM kullanıma alınmış ayrıştırıcıları birleştiren ayrıştırıcıları kullanmak ve çözümlemenizin yapılandırılan tüm kaynaklarda çalıştığından emin olmak için, sorgunuzda tablo adı olarak birleştirici ayrıştırıcıyı _Im_Dns kullanın.

MICROSOFT Sentinel, DNS ayrıştırıcılarının listesi için asim ayrıştırıcıları listesine bakın.

Kendi normalleştirilmiş ayrıştırıcılarınızı ekleme

Dns bilgi modeli için özel ayrıştırıcılar uygularken, biçimini vimDns<vendor><Product>kullanarak KQL işlevlerinizi adlandırın. ÖZEL ayrıştırıcılarınızı DNS birleştirici ayrıştırıcısına eklemeyi öğrenmek için ASIM ayrıştırıcılarını yönetme makalesine bakın.

Ayrıştırıcı parametrelerini filtreleme

DNS ayrıştırıcıları filtreleme parametrelerini destekler. Bu parametreler isteğe bağlı olsa da sorgu performansınızı artırabilir.

Aşağıdaki filtreleme parametreleri kullanılabilir:

Örneğin, yalnızca etki alanı adını çözümleyemeyen son güne ait DNS sorgularını filtrelemek için şunu kullanın:

_Im_Dns (responsecodename = 'NXDOMAIN', starttime = ago(1d), endtime=now())

Yalnızca belirtilen etki alanı adları listesi için DNS sorgularını filtrelemek için şunu kullanın:

let torProxies=dynamic(["tor2web.org", "tor2web.com", "torlink.co"]);
_Im_Dns (domain_has_any = torProxies)

Bazı parametreler hem tür dynamic değerleri listesini hem de tek bir dize değerini kabul edebilir. Sabit bir listeyi dinamik değer bekleyen parametrelere geçirmek için, dinamik değişmez değeri açıkça kullanın. Örneğin: dynamic(['192.168.','10.'])

Normalleştirilmiş içerik

Normalleştirilmiş DNS olaylarını kullanan analiz kurallarının tam listesi için bkz . DNS sorgusu güvenlik içeriği.

Şema ayrıntıları

DNS bilgi modeli, OSSEM DNS varlık şemasıyla hizalanır.

Daha fazla bilgi için bkz . İnternet Atanan Numaralar Yetkilisi (IANA) DNS parametre başvurusu.

Ortak ASIM alanları

Belirli yönergelere sahip ortak alanlar

Aşağıdaki listede, DNS olayları için belirli yönergelere sahip alanlardan bahsediliyor:

Tüm ortak alanlar

Aşağıdaki tabloda görünen alanlar tüm ASIM şemalarında ortaktır. Yukarıda belirtilen tüm yönergeler, alanın genel yönergelerini geçersiz kılar. Örneğin, bir alan genel olarak isteğe bağlı olabilir, ancak belirli bir şema için zorunlu olabilir. Her alan hakkında daha fazla ayrıntı için ASIM Ortak Alanları makalesine bakın.

Kaynak sistem alanları

Kaynak kullanıcı alanları

Kaynak işlem alanları

Hedef sistem alanları

DNS'ye özgü alanlar

Denetim alanları

Dns güvenlik cihazının gerçekleştirdiği bir incelemeyi temsil etmek için aşağıdaki alanlar kullanılır. Tehditle ilgili alanlar, kaynak adres, hedef adres, yanıttaki IP adreslerinden biri veya DNS sorgu etki alanı ile ilişkili tek bir tehdidi temsil eder. Birden fazla tehdit tehdit olarak tanımlandıysa, diğer IP adresleri hakkındaki bilgiler alanında AdditionalFieldsdepolanabilir.

Kullanım dışı bırakılan diğer adlar ve alanlar

Aşağıdaki alanlar geriye dönük uyumluluk için korunan diğer adlardır. Bunlar 31 Aralık 2021'de şemadan kaldırıldı.

• Query (diğer adı DnsQuery)
• QueryType (diğer adı DnsQueryType)
• QueryTypeName (diğer adı DnsQueryTypeName)
• ResponseName (diğer adı DnsReasponseName)
• ResponseCodeName (diğer adı DnsResponseCodeName)
• ResponseCode (diğer adı DnsResponseCode)
• QueryClass (diğer adı DnsQueryClass)
• QueryClassName (diğer adı DnsQueryClassName)
• Flags (diğer adı DnsFlags)
• SrcUserDomain

Şema güncelleştirmeleri

Şemanın 0.1.2 sürümündeki değişiklikler şunlardır:

• alanını EventSchemaekledik.
• Birleşik Bayraklar alanını genişleten ayrılmış bayrak alanı eklendi: DnsFlagsAuthoritative, DnsFlagsCheckingDisabled, DnsFlagsRecursionAvailable, DnsFlagsRecursionDesired, DnsFlagsTruncated, ve .DnsFlagsZ

Şemanın 0.1.3 sürümündeki değişiklikler şunlardır:

• Şema artık , Dst*ve Process* User* alanlarını açıkça belgelemektedirSrc*.
• En son ortak alan tanımıyla eşleşmesi için daha fazla Dvc* alan eklendi.
• Dst Kaynak ve hedef sistemler için öndeki tanımlayıcıya ve diğer adları olarak eklendiSrc.
• İsteğe bağlı DnsNetworkDuration ve Durationöğesine bir diğer ad eklendi.
• İsteğe bağlı Coğrafi Konum ve Risk Düzeyi alanları eklendi.

Şemanın 0.1.4 sürümündeki değişiklikler şunlardır:

• İsteğe bağlı , , ThreatFieldThreatName, , ThreatConfidence, , ThreatOriginalConfidence, ThreatOriginalRiskLevel, ThreatFirstReportedTimeThreatIsActiveve ThreatLastReportedTimealanlarını ThreatIpAddrekledik.

Şemanın 0.1.5 sürümündeki değişiklikler şunlardır:

• , , SrcUserSessionId, , , SrcDvcScope, DstDvcScopeId, DstDvcScopeDvcScopeIdve DvcScopealanlarını SrcUserScopeekledikSrcDvcScopeId.

Şemanın 0.1.6 sürümündeki değişiklikler şunlardır:

• , , DnsResponseIpRegion, DnsResponseIpCityDnsResponseIpLatitudeve DnsResponseIpLongitudealanlarını DnsResponseIpCountryekledik.

Şemanın 0.1.7 sürümündeki değişiklikler şunlardır:

• , , , SrcOriginalRiskLevelDstDescription, , DstOriginalRiskLevel, SrcUserScopeId, , NetworkProtocolVersion, Rule, RuleNameRuleNumberve ThreatIdalanlarını SrcDescriptionekledik.

Kaynağa özgü tutarsızlıklar

Normalleştirmenin amacı, tüm kaynakların tutarlı telemetri sağladığından emin olmaktır. Zorunlu şema alanları gibi gerekli telemetriyi sağlamayan bir kaynak normalleştirilemez. Ancak, bazı tutarsızlıklar olsa bile genellikle tüm gerekli telemetri verilerini sağlayan kaynaklar normalleştirilebilir. Tutarsızlıklar sorgu sonuçlarının eksiksizliğini etkileyebilir.

Aşağıdaki tabloda bilinen tutarsızlıklar listeleniyor:

DNS yanıtlarını işleme

Çoğu durumda, günlüğe kaydedilen DNS olayları büyük ve ayrıntılı olabilecek yanıt bilgilerini içermez. Kaydınız daha fazla yanıt bilgisi içeriyorsa, kayıtta göründüğü gibi ResponseName alanında depolayın.

Ayrıca, ayrıştırılmamış yanıtı giriş olarak alan ve aşağıdaki yapıya sahip dinamik değer döndüren adlı _imDNS<vendor>Response_ek bir KQL işlevi de sağlayabilirsiniz:

[
    {
        "part": "answer"
        "query": "yahoo.com."
        "TTL": 1782
        "Class": "IN"
        "Type": "A"
        "Response": "74.6.231.21"
    }
    {
        "part": "authority"
        "query": "yahoo.com."
        "TTL": 113066
        "Class": "IN"
        "Type": "NS"
        "Response": "ns5.yahoo.com"
    }
    ...
]

Dinamik değerdeki her sözlükteki alanlar, her DNS yanıtında yer alan alanlara karşılık gelir. Girdi, sözlüğün part ait olduğu yanıttaki bölümü yansıtmak için , authorityveya additional içermelidir.answer

DNS bayraklarını işleme

Bayrak verileri için ayrıştırma ve normalleştirme gerekli değildir. Bunun yerine, raporlama cihazı tarafından sağlanan bayrak verilerini Bayraklar alanında depolayın . Tek tek bayrakların değerini belirlemek doğrudan doğruysa, ayrılmış bayrak alanlarını da kullanabilirsiniz.

Ayrıca, ayrıştırılmamış yanıtı veya ayrılmış bayrak alanlarını giriş olarak alan ve her bayrağı aşağıdaki sırayla temsil eden Boole değerleriyle dinamik bir liste döndüren adlı _imDNS<vendor>Flags_fazladan bir KQL işlevi de sağlayabilirsiniz:

• Kimliği doğrulandı (AD)
• Yetkili (AA)
• Devre Dışı (CD) Denetleniyor
• Özyineleme Kullanılabilir (RA)
• Özyineleme İstenen (RD)
• Kesilmiş (TC)
• Z

Sonraki adımlar

Daha fazla bilgi için bkz.

• ASIM Web seminerini izleyin veya slaytları gözden geçirin
• Gelişmiş Güvenlik Bilgileri Modeline (ASIM) genel bakış
• Gelişmiş Güvenlik Bilgileri Modeli (ASIM) şemaları
• Gelişmiş Güvenlik Bilgileri Modeli (ASIM) ayrıştırıcıları
• Gelişmiş Güvenlik Bilgileri Modeli (ASIM) içeriği