進階安全性資訊模型 （ASIM） DNS 正規化架構參考 （公開預覽）

DNS 資訊模型可用來描述 DNS 伺服器或 DNS 安全性系統所報告的事件，並由 Microsoft Sentinel 用來啟用與來源無關的分析。

如需詳細資訊，請參閱正規化和進階安全性資訊模型（ASIM）。

結構描述概觀

ASIM DNS 架構代表 DNS 通訊協議活動。 將 DNS 要求傳送至 DNS 伺服器記錄 DNS 活動的 DNS 伺服器和裝置。 DNS 通訊協定活動包括 DNS 查詢、DNS 伺服器更新和 DNS 大量數據傳輸。 由於架構代表通訊協議活動，因此會受到 RFC 的控管，而且會適當時參考本文所參考的正式指派參數清單。 DNS 架構不代表 DNS 伺服器稽核事件。

DNS 伺服器所報告的最重要活動是 DNS 查詢，欄位 EventType 會設定為 Query。

DNS 事件中最重要的欄位包括：

• DnsQuery，其會報告發出查詢的功能變數名稱。

• SrcIpAddr （別名為 IpAddr），代表產生要求的來源 IP 位址。 DNS 伺服器通常會提供 SrcIpAddr 欄位，但 DNS 用戶端有時不會提供此欄位，而且只提供 SrcHostname 字段。

• EventResultDetails，其會報告要求是否成功，如果不是，則為原因。

• 當可用時， DnsResponseName 會保存伺服器提供給查詢的答案。 ASIM 不需要剖析回應，而且其格式會因來源而異。

  若要在與來源無關的內容中使用此字段，請使用 或 contains 運算符來搜尋內容has。

在用戶端裝置上收集的 DNS 事件也可能包含 用戶 和 進程 資訊。

收集 DNS 事件的指導方針

DNS 是一種唯一的通訊協議，因為它可能會跨越大量的計算機。 此外，由於 DNS 會使用 UDP，因此要求和回應會取消結合，而且不會彼此直接相關。

下圖顯示簡化的 DNS 要求流程，包括四個區段。 真實世界的要求可能更為複雜，涉及更多區段。

由於要求和回應區段不會在 DNS 要求流程中彼此直接連線，因此完整記錄可能會導致大量重複。

要記錄的最有價值的區段是客戶端的回應。 回應會提供域名查詢、查閱結果，以及用戶端的IP位址。 雖然許多 DNS 系統只會記錄此區段，但記錄其他部分有一個值。 例如，DNS 快取中毒攻擊通常會利用上游伺服器的假回應。

如果您的數據源支援完整的 DNS 記錄，而且您已選擇記錄多個區段，請調整查詢以防止數據重複Microsoft Sentinel。

例如，您可以使用下列正規化來修改查詢：

_Im_Dns | where SrcIpAddr != "127.0.0.1" and EventSubType == "response"

剖析器

如需 ASIM 剖析器的詳細資訊，請參閱 ASIM 剖析器概觀。

現用剖析器

若要使用將所有 ASIM 現成剖析器統一起來的剖析器，並確保分析在所有設定的來源上執行，請使用統一剖析器 _Im_Dns 作為查詢中的數據表名稱。

如需 DNS 剖析器清單，Microsoft Sentinel 提供現成的參考 ASIM 剖析器清單。

新增您自己的標準化剖析器

實作 Dns 資訊模型的自訂剖析器時，請使用 格式為您的 KQL 函式 vimDns<vendor><Product>命名。 請參閱管理 ASIM 剖析器一文，瞭解如何將自定義剖析器新增至 DNS 統一剖析器。

篩選剖析器參數

DNS 剖析器支援 篩選參數。 雖然這些參數是選擇性的，但它們可以改善查詢效能。

下列篩選參數可供使用：

例如，若要僅篩選過去一天無法解析功能變數名稱的 DNS 查詢，請使用：

_Im_Dns (responsecodename = 'NXDOMAIN', starttime = ago(1d), endtime=now())

若要僅篩選指定功能變數名稱清單的 DNS 查詢，請使用：

let torProxies=dynamic(["tor2web.org", "tor2web.com", "torlink.co"]);
_Im_Dns (domain_has_any = torProxies)

某些參數可以接受類型的 dynamic 值清單或單一字串值。 若要將常值清單傳遞至預期動態值的參數，請明確使用 動態常值。 例如：dynamic(['192.168.','10.'])

標準化內容

如需使用標準化 DNS 事件之分析規則的完整清單，請參閱 DNS 查詢安全性內容。

架構詳細數據

DNS 資訊模型會與 OSSEM DNS 實體架構一致。

如需詳細資訊，請參閱 因特網指派的數位授權單位 （IANA） DNS 參數參考。

一般 ASIM 欄位

具有特定指導方針的常見欄位

下列清單提及具有 DNS 事件特定指導方針的欄位：

所有通用欄位

下表中顯示的欄位適用於所有 ASIM 架構。 上述任何指定的指導方針會覆寫欄位的一般指導方針。 例如，欄位通常是選擇性的，但特定架構的必要專案。 如需每個欄位的進一步詳細數據，請參閱 ASIM 通用欄位 一文。

來源系統欄位

來源使用者欄位

來源進程欄位

目的地系統欄位

DNS 特定欄位

檢查欄位

下列欄位可用來代表 DNS 安全性裝置執行的檢查。 威脅相關欄位代表與來源位址、目的地位址、回應中的其中一個IP位址或 DNS 查詢網域相關聯的單一威脅。 如果一個以上的威脅被識別為威脅，其他IP位址的相關信息可以儲存在欄位中 AdditionalFields。

已被取代的別名和欄位

下列欄位是為了回溯相容性而維護的別名。 它們於 2021 年 12 月 31 日從架構中移除。

• Query （別名至 DnsQuery）
• QueryType （別名至 DnsQueryType）
• QueryTypeName （別名至 DnsQueryTypeName）
• ResponseName （別名至 DnsReasponseName）
• ResponseCodeName （別名至 DnsResponseCodeName）
• ResponseCode （別名至 DnsResponseCode）
• QueryClass （別名至 DnsQueryClass）
• QueryClassName （別名至 DnsQueryClassName）
• Flags （別名至 DnsFlags）
• SrcUserDomain

架構更新

架構0.1.2版中的變更如下：

• 新增欄位 EventSchema。
• 已新增專用旗標欄位，可增強合併旗標欄位：DnsFlagsAuthoritative、DnsFlagsCheckingDisabled、DnsFlagsRecursionAvailable、、DnsFlagsRecursionDesired、 DnsFlagsTruncated和 DnsFlagsZ。

架構0.1.3版中的變更如下：

• 架構現在會明確記載Src*、 Dst*Process* 和 User* 欄位。
• 已新增更多 Dvc* 欄位，以符合最新的通用欄位定義。
• 將 Src 和 Dst 新增為來源和目的地系統前置標識符的別名。
• 已將選擇性 DnsNetworkDuration 和 新增 Duration至它的別名。
• 已新增選擇性的 [地理位置] 和 [風險層級] 欄位。

架構0.1.4版中的變更如下：

• 已新增選擇性欄位 ThreatIpAddr、ThreatField、、、ThreatOriginalRiskLevelThreatConfidenceThreatNameThreatOriginalConfidence、、ThreatIsActive、 ThreatFirstReportedTime和 。ThreatLastReportedTime

架構0.1.5版中的變更如下：

• 新增欄SrcUserScope位、SrcUserSessionId、、、SrcDvcScopeId、DstDvcScopeIdSrcDvcScope、DstDvcScope、 DvcScopeId和 DvcScope。

架構0.1.6版的變更如下：

• 已新增、DnsResponseIpRegion、DnsResponseIpCity、 DnsResponseIpLatitude和DnsResponseIpLongitude欄位DnsResponseIpCountry。

架構0.1.7版中的變更如下：

• 已新增SrcDescription欄位、SrcOriginalRiskLevel、、 DstOriginalRiskLevelRuleNameRuleNetworkProtocolVersionSrcUserScopeIdDstDescriptionRuleNumber和 。ThreatId

來源特定差異

正規化的目標是確保所有來源都提供一致的遙測。 未提供必要遙測的來源，例如強制架構欄位，無法正規化。 不過，通常提供所有必要的遙測的來源，即使有一些差異，也可以正規化。 差異可能會影響查詢結果的完整性。

下表列出已知的差異：

處理 DNS 回應

在大部分情況下，記錄的 DNS 事件不包含響應資訊，這可能很大且詳細。 如果您的記錄包含更多回應資訊，請將它儲存在 [ResponseName ] 欄位中，因為它出現在記錄中。

您也可以提供稱為 _imDNS<vendor>Response_的額外 KQL 函式，它會接受未剖析的回應作為輸入，並傳回具有下列結構的動態值：

[
    {
        "part": "answer"
        "query": "yahoo.com."
        "TTL": 1782
        "Class": "IN"
        "Type": "A"
        "Response": "74.6.231.21"
    }
    {
        "part": "authority"
        "query": "yahoo.com."
        "TTL": 113066
        "Class": "IN"
        "Type": "NS"
        "Response": "ns5.yahoo.com"
    }
    ...
]

動態值中每個字典中的欄位會對應至每個 DNS 回應中的欄位。 專案 part 應包含 answer、 authority或 additional ，以反映字典所屬回應中的元件。

處理 DNS 旗標

旗標數據不需要剖析和正規化。 請改為將報告裝置提供的旗標數據儲存在 [旗標] 字段中。 如果判斷個別旗標的值是直接的，您也可以使用專用旗標欄位。

您也可以提供稱為 _imDNS<vendor>Flags_的額外 KQL 函式，它會接受未剖析的回應或專用旗標欄位作為輸入，並傳回動態清單，並以下列順序表示每個旗標的布爾值：

• 已驗證 （AD）
• 權威 （AA）
• 檢查已停用 （CD）
• 遞迴可用 （RA）
• 遞迴預期 （RD）
• 截斷 （TC）
• Z

下一步

如需詳細資訊，請參閱

• 觀看 ASIM 網路研討會 或檢閱 投影片
• 進階安全性資訊模型 (ASIM) 概觀
• 進階安全性資訊模型 (ASIM) 結構描述
• 進階安全性資訊模型 (ASIM) 剖析器
• 進階安全性資訊模型 (ASIM) 內容