A referência do esquema de normalização da sessão de rede ASIM (Advanced Security Information Model) (visualização pública)

O esquema de normalização da Sessão de Rede do Microsoft Sentinel representa uma atividade de rede IP, como conexões de rede e sessões de rede. Tais eventos são relatados, por exemplo, por sistemas operacionais, roteadores, firewalls e sistemas de prevenção de intrusão.

O esquema de normalização de rede pode representar qualquer tipo de sessão de rede IP, mas foi projetado para fornecer suporte a tipos de fonte comuns, como Netflow, firewalls e sistemas de prevenção de invasões.

Para obter mais informações sobre normalização no Microsoft Sentinel, consulte Normalização e o modelo avançado de informações de segurança (ASIM).

Este artigo descreve a versão 0.2.x do esquema de normalização de rede. A versão 0.1 foi lançada antes do ASIM estar disponível e não se alinha com o ASIM em vários lugares. Para obter mais informações, consulte Diferenças entre versões de esquema de normalização de rede.

Analisadores

Para obter mais informações sobre analisadores ASIM, consulte a visão geral dos analisadores ASIM.

Analisadores unificadores

Para usar analisadores que unifiquem todos os analisadores ASIM prontos para uso e garantir que sua análise seja executada em todas as fontes configuradas, use o _Im_NetworkSession analisador de filtragem ou o _ASim_NetworkSession analisador sem parâmetros.

Você também pode usar o espaço de trabalho implantado ImNetworkSession e ASimNetworkSession analisadores implantando-os a partir do repositório GitHub do Microsoft Sentinel.

Para obter mais informações, consulte Analisadores ASIM internos e analisadores implantados no espaço de trabalho.

Analisadores prontos para uso e específicos da fonte

Para obter a lista dos analisadores de sessão de rede fornecidos pelo Microsoft Sentinel prontos para uso, consulte a lista de analisadores ASIM

Adicione seus próprios analisadores normalizados

Ao desenvolver analisadores personalizados para o modelo de informações da Sessão de Rede, nomeie suas funções KQL usando a seguinte sintaxe:

• vimNetworkSession<vendor><Product> para analisadores parametrizados
• ASimNetworkSession<vendor><Product> para analisadores regulares

Consulte o artigo Gerenciando analisadores ASIM para saber como adicionar seus analisadores personalizados aos analisadores unificadores de sessão de rede.

Parâmetros do analisador de filtragem

Os analisadores de sessão de rede suportam parâmetros de filtragem. Embora esses parâmetros sejam opcionais, eles podem melhorar o desempenho da consulta.

Os seguintes parâmetros de filtragem estão disponíveis:

Alguns parâmetros podem aceitar tanto a lista de valores do tipo dynamic ou um único valor de cadeia de caracteres. Para passar uma lista literal para parâmetros que esperam um valor dinâmico, use explicitamente um literal dinâmico. Por exemplo: dynamic(['192.168.','10.'])

Por exemplo, para filtrar apenas sessões de rede para uma lista especificada de nomes de domínio, use:

let torProxies=dynamic(["tor2web.org", "tor2web.com", "torlink.co"]);
_Im_NetworkSession (hostname_has_any = torProxies)

Conteúdo normalizado

Para obter uma lista completa das regras de análise que usam eventos DNS normalizados, consulte Conteúdo de segurança da sessão de rede.

Descrição geral do esquema

O modelo de informações da Sessão de Rede está alinhado com o esquema de entidade da Rede OSSEM.

O esquema de Sessão de Rede serve vários tipos de cenários semelhantes, mas distintos, que partilham os mesmos campos. Esses cenários são identificados pelo campo EventType:

• NetworkSession - uma sessão de rede relatada por um dispositivo intermediário monitorando a rede, como um firewall, um roteador ou uma torneira de rede.
• L2NetworkSession - sessões em rede para as quais apenas estão disponíveis informações da camada 2. Tais eventos incluirão endereços MAC, mas não endereços IP.
• Flow - um evento agregado que relata várias sessões de rede semelhantes, normalmente durante um período de tempo predefinido, como eventos Netflow .
• EndpointNetworkSession - uma sessão de rede reportada por um dos pontos finais da sessão, incluindo clientes e servidores. Para tais eventos, o esquema suporta os remote campos e local alias.
• IDS - uma sessão de rede relatada como suspeita. Esse evento terá alguns dos campos de inspeção preenchidos e poderá ter apenas um campo de endereço IP preenchido, seja a origem ou o destino.

Normalmente, uma consulta deve selecionar apenas um subconjunto desses tipos de evento e pode precisar abordar separadamente aspetos exclusivos dos casos de uso. Por exemplo, os eventos IDS não refletem todo o volume da rede e não devem ser levados em conta na análise baseada em colunas.

Os eventos de sessão de rede usam os descritores Src e Dst para indicar as funções dos dispositivos e usuários e aplicativos relacionados envolvidos na sessão. Assim, por exemplo, o nome do host do dispositivo de origem e o endereço IP são nomeados SrcHostname e SrcIpAddr. Outros esquemas ASIM normalmente usam Target em vez de Dst.

Para eventos relatados por um ponto de extremidade e para os quais o tipo de evento é EndpointNetworkSession, os descritores Local e Remote denotam o ponto de extremidade em si e o dispositivo na outra extremidade da sessão de rede, respectivamente.

O descritor Dvc é usado para o dispositivo de relatório, que é o sistema local para sessões relatadas por um ponto de extremidade, e o dispositivo intermediário ou toque de rede para outros eventos de sessão de rede.

Detalhes do esquema

Campos ASIM comuns

Domínios comuns com orientações específicas

A lista a seguir menciona campos que têm diretrizes específicas para eventos de Sessão de Rede:

Todos os campos comuns

Os campos que aparecem na tabela abaixo são comuns a todos os esquemas ASIM. Qualquer diretriz especificada acima substitui as diretrizes gerais para o campo. Por exemplo, um campo pode ser opcional em geral, mas obrigatório para um esquema específico. Para obter mais informações sobre cada campo, consulte o artigo Campos comuns do ASIM.

Campos de sessão de rede

Campos do sistema de destino

Campos de utilizador de destino

Campos do aplicativo de destino

Campos do sistema de origem

Campos de usuário de origem

Campos do aplicativo de origem

Aliases locais e remotos

Todos os campos de origem e destino listados acima, podem ser opcionalmente aliased por campos com o mesmo nome e os descritores Local e Remote. Isso geralmente é útil para eventos relatados por um ponto de extremidade e para os quais o tipo de evento é EndpointNetworkSession.

Para tais eventos, os descritores Local e Remote denotam o ponto final em si e o dispositivo na outra extremidade da sessão de rede, respectivamente. Para conexões de entrada, o sistema local é o destino, Local os campos são aliases para os Dst campos e os campos 'Remotos' são aliases para Src campos. Por outro lado, para conexões de saída, o sistema local é a origem, Local os campos são aliases para os Src campos e Remote os campos são aliases para Dst campos.

Por exemplo, para um evento de entrada, o campo LocalIpAddr é um alias para DstIpAddr e o campo RemoteIpAddr é um alias para SrcIpAddr.

Aliases de nome de host e endereço IP

Campos NAT (Network Address Translation) e dispositivo intermediário

Os campos a seguir são úteis se o registro incluir informações sobre um dispositivo intermediário, como um firewall ou um proxy, que retransmite a sessão de rede.

Os sistemas intermediários utilizam frequentemente a tradução de endereços e, por conseguinte, o endereço original e o endereço observados externamente não são os mesmos. Nesses casos, os campos de endereço primário, como SrcIPAddr e DstIpAddr , representam os endereços observados externamente, enquanto os campos de endereço NAT, SrcNatIpAddr e DstNatIpAddr representam o endereço interno do dispositivo original antes da tradução.

Campos de inspeção

Os campos a seguir são usados para representar a inspeção que um dispositivo de segurança, como um firewall, um IPS ou um gateway de segurança da Web, realizou:

Outros domínios

Se o evento for relatado por um dos pontos de extremidade da sessão de rede, ele poderá incluir informações sobre o processo que iniciou ou encerrou a sessão. Nesses casos, o esquema de evento de processo ASIM é usado para normalizar essas informações.

Atualizações de esquema

A seguir estão as alterações na versão 0.2.1 do esquema:

• Adicionado Src e Dst como aliases a um identificador principal para os sistemas de origem e destino.
• Adicionados os campos NetworkConnectionHistory, SrcVlanId, DstVlanId, InnerVlanId, e OuterVlanId.

A seguir estão as alterações na versão 0.2.2 do esquema:

• Adicionado Remote e Local aliases.
• Adicionado o tipo EndpointNetworkSessionde evento .
• Definido Hostname e IpAddr como aliases para RemoteHostname e LocalIpAddr respectivamente quando o tipo de evento é EndpointNetworkSession.
• Definido DvcInterface como um alias para DvcInboundInterface ou DvcOutboundInterface.
• Alterado o tipo dos seguintes campos de Inteiro para Longo: SrcBytes, DstBytes, NetworkBytes, SrcPackets, DstPackets, e NetworkPackets.
• Adicionados os campos NetworkProtocolVersion, SrcSubscriptionIde DstSubscriptionId.
• Preterido DstUserDomain e SrcUserDomain.

A seguir estão as alterações na versão 0.2.3 do esquema:

• Adicionado o ipaddr_has_any_prefix parâmetro de filtragem.
• O hostname_has_any parâmetro de filtragem agora corresponde aos nomes de host de origem ou de destino.
• Adicionados os campos ASimMatchingHostname e ASimMatchingIpAddr.

A seguir estão as alterações na versão 0.2.4 do esquema:

• Adicionados os TcpFlags campos.
• Atualizado NetworkIcpmType e NetworkIcmpCode para refletir o valor numérico de ambos.
• Adicionados campos de inspeção adicionais.
• O campo 'ThreatRiskLevelOriginal' foi renomeado para ThreatOriginalRiskLevel se alinhar com as convenções ASIM. Os analisadores Microsoft existentes serão mantidos ThreatRiskLevelOriginal até 1º de maio de 2023.
• Marcado EventResultDetails como recomendado e especificado os valores permitidos.

A seguir estão as alterações na versão 0.2.5 do esquema:

• Adicionados os campos DstUserScope, SrcUserScope, , SrcDvcScopeIdSrcDvcScope, DstDvcScopeId, DstDvcScope, DvcScopeId, e DvcScope.

A seguir estão as alterações na versão 0.2.6 do esquema:

• IDS adicionado como um tipo de evento

Próximos passos

Para obter mais informações, consulte:

• Assista ao Webinar da ASIM ou revise os slides
• Visão geral do ASIM (Advanced Security Information Model, modelo avançado de informações de segurança)
• Esquemas ASIM (Advanced Security Information Model)
• Analisadores ASIM (Advanced Security Information Model)
• Conteúdo do modelo avançado de informações de segurança (ASIM)