Riferimento allo schema di normalizzazione della sessione di rete (ASIM) Advanced Security Information Model (anteprima pubblica)

Lo schema di normalizzazione della sessione di rete di Microsoft Sentinel rappresenta un'attività di rete IP, ad esempio connessioni di rete e sessioni di rete. Tali eventi vengono segnalati, ad esempio, da sistemi operativi, router, firewall e sistemi di prevenzione delle intrusioni.

Lo schema di normalizzazione di rete può rappresentare qualsiasi tipo di sessione di rete IP, ma è progettato per fornire supporto per i tipi di origine comuni, ad esempio Netflow, firewall e sistemi di prevenzione delle intrusioni.

Per altre informazioni sulla normalizzazione in Microsoft Sentinel, vedere Normalizzazione e Advanced Security Information Model (ASIM).

Questo articolo descrive la versione 0.2.x dello schema di normalizzazione di rete. La versione 0.1 è stata rilasciata prima che ASIM fosse disponibile e non sia allineata ad ASIM in diverse posizioni. Per altre informazioni, vedere Differenze tra le versioni dello schema di normalizzazione di rete.

Parser

Per altre informazioni sui parser ASIM, vedere panoramica dei parser ASIM.

Parser di unificazione

Per usare parser che unificano tutti i parser predefiniti di ASIM e assicurarsi che l'analisi venga eseguita in tutte le origini configurate, usare il _Im_NetworkSession parser di filtro o il _ASim_NetworkSession parser senza parametri.

È anche possibile usare i parser e ASimNetworkSession distribuiti ImNetworkSession nell'area di lavoro distribuindoli dal repository GitHub di Microsoft Sentinel.

Per altre informazioni, vedere Parser ASIM predefiniti e parser distribuiti nell'area di lavoro.

Parser specifici dell'origine predefiniti

Per l'elenco dei parser di sessione di rete forniti da Microsoft Sentinel, vedere l'elenco dei parser ASIM

Aggiungere parser normalizzati personalizzati

Quando si sviluppano parser personalizzati per il modello di informazioni sessione di rete, denominare le funzioni KQL usando la sintassi seguente:

• vimNetworkSession<vendor><Product> per parser parametrizzati
• ASimNetworkSession<vendor><Product> per parser regolari

Fare riferimento all'articolo Gestione dei parser ASIM per informazioni su come aggiungere parser personalizzati alle sessioni di rete che unificano i parser.

Filtro dei parametri del parser

I parser di sessione di rete supportano i parametri di filtro. Anche se questi parametri sono facoltativi, possono migliorare le prestazioni delle query.

Sono disponibili i parametri di filtro seguenti:

Alcuni parametri possono accettare entrambi l'elenco di valori di tipo dynamic o un singolo valore stringa. Per passare un elenco di valori letterali ai parametri che prevedono un valore dinamico, usare in modo esplicito un valore letterale dinamico. Ad esempio: dynamic(['192.168.','10.'])

Ad esempio, per filtrare solo le sessioni di rete per un elenco specificato di nomi di dominio, usare:

let torProxies=dynamic(["tor2web.org", "tor2web.com", "torlink.co"]);
_Im_NetworkSession (hostname_has_any = torProxies)

Contenuto normalizzato

Per un elenco completo delle regole di analisi che usano eventi DNS normalizzati, vedere Contenuto della sicurezza delle sessioni di rete.

Panoramica dello schema

Il modello di informazioni sessione di rete è allineato allo schema di entità OSSEM Network.

Lo schema sessione di rete offre diversi tipi di scenari simili ma distinti, che condividono gli stessi campi. Questi scenari sono identificati dal campo EventType:

• NetworkSession : una sessione di rete segnalata da un dispositivo intermedio che monitora la rete, ad esempio un firewall, un router o un tocco di rete.
• L2NetworkSession - Sessioni di rete per le quali sono disponibili solo le informazioni di livello 2. Tali eventi includono indirizzi MAC, ma non indirizzi IP.
• Flow - Un evento aggregato che segnala più sessioni di rete simili, in genere in un periodo di tempo predefinito, ad esempio gli eventi Netflow .
• EndpointNetworkSession : una sessione di rete segnalata da uno dei punti finali della sessione, inclusi client e server. Per tali eventi, lo schema supporta i remote campi alias e local .
• IDS : una sessione di rete segnalata come sospetta. Un evento di questo tipo includerà alcuni campi di ispezione popolati e potrebbe avere un solo campo indirizzo IP popolato, l'origine o la destinazione.

In genere, una query deve selezionare solo un subset di tali tipi di evento e potrebbe essere necessario gestire separatamente aspetti univoci dei casi d'uso. Ad esempio, gli eventi IDS non riflettono l'intero volume di rete e non devono essere presi in considerazione nell'analisi basata su colonne.

Gli eventi di sessione di rete usano i descrittori Src e Dst per indicare i ruoli dei dispositivi e degli utenti e delle applicazioni correlati coinvolti nella sessione. Ad esempio, il nome host e l'indirizzo IP del dispositivo di origine sono denominati SrcHostname e SrcIpAddr. Altri schemi ASIM usano Target in genere anziché Dst.

Per gli eventi segnalati da un endpoint e per cui il tipo di evento è EndpointNetworkSession, i descrittori Local e Remote denotano rispettivamente l'endpoint stesso e il dispositivo all'altra estremità della sessione di rete.

Il descrittore Dvc viene usato per il dispositivo di report, ovvero il sistema locale per le sessioni segnalate da un endpoint e il dispositivo intermedio o il tocco di rete per altri eventi di sessione di rete.

Dettagli dello schema

Campi comuni di ASIM

Campi comuni con linee guida specifiche

L'elenco seguente elenca i campi con linee guida specifiche per gli eventi di sessione di rete:

Tutti i campi comuni

I campi visualizzati nella tabella seguente sono comuni a tutti gli schemi ASIM. Tutte le linee guida specificate in precedenza sostituiscono le linee guida generali per il campo. Ad esempio, un campo potrebbe essere facoltativo in generale, ma obbligatorio per uno schema specifico. Per altre informazioni su ogni campo, vedere l'articolo Campi comuni ASIM.

Campi sessione di rete

Campi di sistema di destinazione

Campi utente di destinazione

Campi dell'applicazione di destinazione

Campi del sistema di origine

Campi utente di origine

Campi dell'applicazione di origine

Alias locali e remoti

Tutti i campi di origine e di destinazione elencati in precedenza possono essere facoltativamente aliasati da campi con lo stesso nome e i descrittori Local e Remote. Ciò è in genere utile per gli eventi segnalati da un endpoint e per cui il tipo di evento è EndpointNetworkSession.

Per tali eventi, i descrittori Local e Remote denotano rispettivamente l'endpoint stesso e il dispositivo all'altra estremità della sessione di rete. Per le connessioni in ingresso, il sistema locale è la destinazione, Local i campi sono alias per i campi e i Dst campi 'Remote' sono alias per Src i campi. Viceversa, per le connessioni in uscita, il sistema locale è l'origine, Local i campi sono alias per i Src campi e Remote i campi sono alias per Dst i campi.

Ad esempio, per un evento in ingresso, il campo LocalIpAddr è un alias a DstIpAddr e il campo RemoteIpAddr è un alias di SrcIpAddr.

Alias di nome host e indirizzo IP

Campi NAT (Network Address Translation) intermedio e dispositivo intermedio

I campi seguenti sono utili se il record include informazioni su un dispositivo intermedio, ad esempio un firewall o un proxy, che inoltra la sessione di rete.

I sistemi intermedi usano spesso la traduzione degli indirizzi e pertanto l'indirizzo originale e l'indirizzo osservato esternamente non sono uguali. In questi casi, i campi degli indirizzi primari, ad esempio SrcIPAddr e DstIpAddr , rappresentano gli indirizzi osservati esternamente, mentre i campi degli indirizzi NAT, SrcNatIpAddr e DstNatIpAddr rappresentano l'indirizzo interno del dispositivo originale prima della conversione.

Campi di ispezione

I campi seguenti vengono usati per rappresentare l'ispezione eseguita da un dispositivo di sicurezza, ad esempio un firewall, un IPS o un gateway di sicurezza Web:

Altri campi

Se l'evento viene segnalato da uno degli endpoint della sessione di rete, potrebbe includere informazioni sul processo che ha avviato o terminato la sessione. In questi casi, lo schema di eventi del processo ASIM viene usato per normalizzare queste informazioni.

Aggiornamenti dello schema

Di seguito sono riportate le modifiche apportate alla versione 0.2.1 dello schema:

• Aggiunta Src e Dst come alias a un identificatore iniziale per i sistemi di origine e di destinazione.
• Sono stati aggiunti i campi NetworkConnectionHistory, SrcVlanIdDstVlanId, InnerVlanId, e OuterVlanId.

Di seguito sono riportate le modifiche apportate alla versione 0.2.2 dello schema:

• Aggiunta di Remote alias e Local .
• Aggiunta del tipo di EndpointNetworkSessionevento .
• Definito Hostname e IpAddr come alias per RemoteHostname e LocalIpAddr rispettivamente quando il tipo di evento è EndpointNetworkSession.
• Definito DvcInterface come alias in DvcInboundInterface o DvcOutboundInterface.
• Modifica del tipo dei campi seguenti da Integer a Long: SrcBytes, , DstBytesNetworkBytesSrcPackets, DstPackets, e NetworkPackets.
• Sono stati aggiunti i campi NetworkProtocolVersion, SrcSubscriptionIde DstSubscriptionId.
• Deprecato DstUserDomain e SrcUserDomain.

Di seguito sono riportate le modifiche apportate alla versione 0.2.3 dello schema:

• Aggiunta del ipaddr_has_any_prefix parametro di filtro.
• Il hostname_has_any parametro di filtro corrisponde ora ai nomi host di origine o di destinazione.
• Sono stati aggiunti i campi ASimMatchingHostname e ASimMatchingIpAddr.

Di seguito sono riportate le modifiche apportate alla versione 0.2.4 dello schema:

• Sono stati aggiunti i TcpFlags campi.
• Aggiornato e NetworkIcmpCode per riflettere il valore numerico NetworkIcpmType per entrambi.
• Aggiunta di campi di ispezione aggiuntivi.
• Il campo 'ThreatRiskLevelOriginal' è stato rinominato in per allinearsi ThreatOriginalRiskLevel alle convenzioni ASIM. I parser Microsoft esistenti manterranno ThreatRiskLevelOriginal fino al 1° maggio 2023.
• Contrassegnato EventResultDetails come consigliato e specificato i valori consentiti.

Di seguito sono riportate le modifiche apportate alla versione 0.2.5 dello schema:

• Sono stati aggiunti i campi DstUserScope, SrcDvcScopeSrcDvcScopeIdDstDvcScopeIdSrcUserScope, DstDvcScope, DvcScopeId, e .DvcScope

Di seguito sono riportate le modifiche apportate alla versione 0.2.6 dello schema:

• Aggiunta di IDS come tipo di evento

Passaggi successivi

Per altre informazioni, vedi:

• Guardare il webinar di ASIM o esaminare le diapositive
• Panoramica di ASIM (Advanced Security Information Model)
• Schemi ASIM (Advanced Security Information Model)
• Parser ASIM (Advanced Security Information Model)
• Contenuti ASIM (Advanced Security Information Model)