Referência do esquema de normalização de Sessão de Rede do ASIM (Modelo de Informações de Segurança Avançado) (versão prévia pública)

O esquema de normalização de Sessão de Rede do Microsoft Sentinel representa uma atividade de rede de IP, como conexões de rede e sessões de rede. Esses eventos são relatados, por exemplo, por sistemas operacionais, roteadores, firewalls e sistemas de prevenção contra intrusões.

O esquema de normalização de rede pode representar qualquer tipo de uma sessão de rede IP, mas foi projetado para dar suporte a tipos de origem comuns, como NetFlow, firewalls e sistemas de prevenção contra intrusão.

Para saber mais sobre a normalização no Microsoft Sentinel, confira Normalização e o ASIM (Modelo de Informações de Segurança Avançado).

Este artigo descreve a versão 0.2.x do esquema de normalização de rede. A versão 0.1 foi lançada antes que o ASIM estivesse disponível e não se alinha com o ASIM em vários locais. Para obter mais informações, confira Diferenças entre as versões do esquema de normalização de rede.

Analisadores

Para obter mais informações sobre os analisadores do ASIM, consulte a Visão geral dos analisadores do ASIM.

Unificando analisadores

Para usar analisadores que unificam todos os analisadores do ASIM e garantir que sua análise seja executado em todas as fontes configuradas, use o _Im_NetworkSessionanalisador de filtragem ou o _ASim_NetworkSession analisador sem parâmetros.

Você também pode usar os analisadores ImNetworkSession e ASimNetworkSession implantados pelo workspace ao implantá-los no ImNetworkSession.

Para obter mais informações, consulte Analisadores ASIM integrados e analisadores implantados no workspace.

Analisadores específicos da origem e prontos para uso

Para obter a lista dos analisadores de Sessão de Rede que o Microsoft Sentinel fornece prontos para uso, consulte a Lista dos analisadores do ASIM

Adicionar seus próprios analisadores normalizados

Ao desenvolver analisadores personalizados para o modelo de informação da Sessão de Rede, dê um nome às suas funções KQL usando a seguinte sintaxe:

• vimNetworkSession<vendor><Product> para analisadores parametrizados
• ASimNetworkSession<vendor><Product> para analisadores regulares

Consulte o artigo Gerenciando analisadores ASIM para saber como adicionar seus analisadores personalizados à sessão de rede unificando analisadores.

Filtragem de parâmetros de analisador

Os analisadores de Sessão de Rede dão suporte a parâmetros de filtragem. Embora esses analisadores sejam opcionais, eles podem melhorar o desempenho da consulta.

Os seguintes parâmetros de filtragem estão disponíveis:

Alguns parâmetros podem aceitar uma lista de valores do tipo dynamic ou um só valor de cadeia de caracteres. Para passar uma lista literal para parâmetros que esperam um valor dinâmico, use explicitamente um literal dinâmico. Por exemplo: dynamic(['192.168.','10.'])

Por exemplo, para filtrar somente sessões de rede em uma lista especificada de nomes de domínio, use o seguinte:

let torProxies=dynamic(["tor2web.org", "tor2web.com", "torlink.co"]);
_Im_NetworkSession (hostname_has_any = torProxies)

Conteúdo normalizado

Para obter uma lista completa de regras de análise que usam eventos DNS normalizados, confira o Conteúdo de segurança da sessão de rede.

Visão geral do esquema

O modelo de informação de Sessão de Rede está alinhado com o esquema de entidade de Rede OSSEM.

O esquema de Sessão de Rede atende a vários tipos de cenários semelhantes, mas distintos, que compartilham os mesmos campos. Esses cenários são identificados pelo campo EventType:

• NetworkSession: uma sessão de rede relatada por um dispositivo intermediário que monitora a rede, como um firewall, um roteador ou um TAP de rede.
• L2NetworkSession: sessões de rede para as quais apenas as informações da camada 2 estão disponíveis. Esses eventos incluirão endereços MAC, mas não endereços IP.
• Flow: um evento agregado que relata várias sessões de rede semelhantes, normalmente durante um período de tempo predefinido, como eventos Netflow.
• EndpointNetworkSession: uma sessão de rede relatada por um dos pontos de extremidade da sessão, incluindo clientes e servidores. Para esses eventos, o esquema dá suporte aos campos de alias remote e local.
• IDS: uma sessão de rede relatada como suspeita. Esse evento terá alguns dos campos de inspeção preenchidos e poderá ter apenas um campo de endereço IP preenchido, seja a origem ou o destino.

Normalmente, uma consulta deve selecionar apenas um subconjunto desses tipos de evento e pode precisar abordar aspectos separados exclusivos dos casos de uso. Por exemplo, os eventos IDS não refletem todo o volume de rede e não devem ser levados em conta na análise baseada em coluna.

Os eventos de sessão de rede usam os descritores e para denotar as funções dos dispositivos Src e Dst usuários e aplicativos relacionados envolvidos na sessão. Portanto, por exemplo, o nome do host do dispositivo de origem e o endereço IP são chamados SrcHostname e SrcIpAddr. Outros esquemas ASIM normalmente usam Target em vez de Dst.

Para eventos relatados por um ponto de extremidade cujo o tipo de evento é EndpointNetworkSession, os descritores Local e Remote denotam o próprio ponto de extremidade e o dispositivo na outra extremidade da sessão de rede, respectivamente.

O descritor Dvc é usado para o dispositivo de relatório, que é o sistema local para sessões relatadas por um ponto de extremidade e o toque de rede, ou dispositivo intermediário para outros eventos de sessão de rede.

Detalhes do esquema

Campos comuns do ASIM

Campos comuns com diretrizes específicas

A seguinte lista menciona os campos que têm diretrizes específicas para eventos de sessão de rede:

Todos os campos comuns

Os campos que aparecem na tabela abaixo são comuns a todos os esquemas do ASIM. Qualquer diretriz especificada acima substitui as diretrizes gerais do campo. Por exemplo, um campo pode ser opcional em geral, mas obrigatório para um esquema específico. Para saber mais sobre cada campo, confira o artigo Campos comuns do ASIM.

Campos da sessão de rede

Campos do sistema de destino

Campos de usuário de destino

Campos do aplicativo de destino

Campos do sistema de origem

Campos do usuário de origem

Campos de aplicativo de origem

Aliases locais e remotos

Todos os campos de origem e de destino listados acima podem ser, opcionalmente, com aliases por campos com o mesmo nome e os descritores Local e Remote. Isso geralmente é útil para eventos relatados por um ponto de extremidade e para o qual o tipo de evento é EndpointNetworkSession.

Para esses eventos, os descritores Local e Remote denotam o próprio ponto de extremidade e o dispositivo na outra extremidade da sessão de rede, respectivamente. Para conexões de entrada, o sistema local é o destino, os campos Local são aliases para os campos Dst, e os campos 'Remotos ' são aliases para campos Src. Para conexões de saída, o sistema local é a origem, os campos Local são aliases para os campos Src, e os campos Remote são aliases para campos Dst.

Por exemplo, para um evento de entrada, o campo LocalIpAddr é um alias para DstIpAddr, e o campo RemoteIpAddr é um alias para SrcIpAddr.

Nome de host e aliases de endereço IP

Campos do dispositivo intermediário e NAT (Conversão de Endereços de Rede)

Os campos a seguir serão úteis se o registro incluir informações sobre um dispositivo intermediário, como um firewall ou um proxy, que retransmite a sessão de rede.

Os sistemas intermediários geralmente usam a conversão de endereços e, portanto, o endereço original e o endereço observado externamente não são os mesmos. Nesses casos, os campos de endereço primário, como SrcIPAddr e DstIpAddr, representam os endereços observados externamente, enquanto os campos de endereço NAT, SrcNatIpAddr e DstNatIpAddr, representam o endereço interno do dispositivo original antes da tradução.

Campos de inspeção

Os seguintes campos são usados para representar essa inspeção que um dispositivo de segurança, como um firewall, um IPS ou um gateway de segurança da Web, realizou:

Outros campos

Se o evento for relatado por um dos pontos de extremidade da sessão de rede, ele poderá incluir informações sobre o processo que iniciou ou encerrou a sessão. Nesses casos, o esquema de Evento de Processo do ASIM é usado para normalizar essas informações.

Atualizações de esquema

Estas são as alterações na versão 0.2.1 do esquema:

• Adicionados Src e Dst como aliases a um identificador principal para os sistemas de origem e de destino.
• Adicionados os campos NetworkConnectionHistory, SrcVlanId, DstVlanId, InnerVlanId e OuterVlanId.

Estas são as alterações na versão 0.2.2 do esquema:

• Adicionados os aliases Remote e Local.
• Adicionado o tipo de evento EndpointNetworkSession.
• Definido Hostname e IpAddr como aliases para RemoteHostname e LocalIpAddr, respectivamente, quando o tipo de evento é EndpointNetworkSession.
• Definido DvcInterface como um alias para DvcInboundInterface ou DvcOutboundInterface.
• Alterado o tipo dos campos a seguir de inteiro para longo: SrcBytes, DstBytes, NetworkBytes, SrcPackets, DstPackets e NetworkPackets.
• Adicionados os campos NetworkProtocolVersion, SrcSubscriptionId e DstSubscriptionId.
• Preteridos DstUserDomain e SrcUserDomain.

Estas são as alterações na versão 0.2.3 do esquema:

• Adicionado o parâmetro ipaddr_has_any_prefix de filtragem.
• O parâmetro hostname_has_any de filtragem agora corresponde aos nomes do host de origem ou de destino.
• Adicionados os campos ASimMatchingHostname e ASimMatchingIpAddr.

Estas são as alterações na versão 0.2.4 do esquema:

• Adicionados os campos TcpFlags.
• Atualizados NetworkIcpmType e NetworkIcmpCode para refletir o valor do número para ambos.
• Adicionados campos de inspeção adicionais.
• O campo ''ThreatRiskLevelOriginal'' foi renomeado para ThreatOriginalRiskLevel se alinhar às convenções ASIM. Os analisadores existentes da Microsoft manterão ThreatRiskLevelOriginal até 1º de maio de 2023.
• Marcado EventResultDetails como recomendado e especificados os valores permitidos.

Estas são as alterações na versão 0.2.5 do esquema:

• Adicionados os campos DstUserScope, SrcUserScope, SrcDvcScopeId, SrcDvcScope, DstDvcScopeId, DstDvcScope, DvcScopeId e DvcScope.

Estas são as alterações na versão 0.2.6 do esquema:

• IDS adicionado como um tipo de evento

Próximas etapas

Para obter mais informações, consulte:

• Assista ao Webinar do ASIM ou examine os slides
• Visão geral do ASIM (Modelo de Informações de Segurança Avançado)
• Esquemas do ASIM (Modelo de Informações de Segurança Avançado)
• Analisadores do ASIM (Modelo de Informações de Segurança Avançado)
• Conteúdo do ASIM (Modelo de Informações de Segurança Avançado)