Gelişmiş Güvenlik Bilgileri Modeli (ASIM) Ağ Oturumu normalleştirme şema başvurusu (Genel önizleme)

Microsoft Sentinel Ağ Oturumu normalleştirme şeması, ağ bağlantıları ve ağ oturumları gibi bir IP ağ etkinliğini temsil eder. Bu tür olaylar, örneğin işletim sistemleri, yönlendiriciler, güvenlik duvarları ve izinsiz girişi önleme sistemleri tarafından bildirilir.

Ağ normalleştirme şeması herhangi bir IP ağ oturumu türünü temsil edebilir, ancak Netflow, güvenlik duvarları ve yetkisiz erişim önleme sistemleri gibi ortak kaynak türleri için destek sağlamak üzere tasarlanmıştır.

Microsoft Sentinel'de normalleştirme hakkında daha fazla bilgi için bkz . Normalleştirme ve Gelişmiş Güvenlik Bilgileri Modeli (ASIM).

Bu makalede, ağ normalleştirme şemasının 0.2.x sürümü açıklanmaktadır. Sürüm 0.1 , ASIM kullanılabilir olmadan önce yayımlandı ve asim ile çeşitli yerlerde uyumlu değil. Daha fazla bilgi için bkz . Ağ normalleştirme şeması sürümleri arasındaki farklar.

Çözümleyicileri

ASIM ayrıştırıcıları hakkında daha fazla bilgi için bkz . ASIM ayrıştırıcılarına genel bakış.

Ayrıştırıcıları birleştirme

Tüm ASIM kullanıma alınmış ayrıştırıcıları birleştiren ayrıştırıcıları kullanmak ve çözümlemenizin yapılandırılan tüm kaynaklarda çalıştığından emin olmak için filtreleme ayrıştırıcısını _Im_NetworkSession veya parametresiz ayrıştırıcıyı _ASim_NetworkSession kullanın.

Çalışma alanı tarafından dağıtılan ImNetworkSession ve ASimNetworkSession ayrıştırıcıları Microsoft Sentinel GitHub deposundan dağıtarak da kullanabilirsiniz.

Daha fazla bilgi için bkz . yerleşik ASIM ayrıştırıcıları ve çalışma alanı tarafından dağıtılan ayrıştırıcılar.

Kullanıma açık, kaynağa özgü ayrıştırıcılar

Ağ Oturumu ayrıştırıcılarının listesi için Microsoft Sentinel kullanıma hazır sağlar ASIM ayrıştırıcıları listesine bakın

Kendi normalleştirilmiş ayrıştırıcılarınızı ekleme

Ağ Oturumu bilgi modeli için özel ayrıştırıcılar geliştirirken aşağıdaki söz dizimini kullanarak KQL işlevlerinizi adlandırın:

• vimNetworkSession<vendor><Product> parametrized ayrıştırıcılar için
• ASimNetworkSession<vendor><Product> normal ayrıştırıcılar için

Ayrıştırıcıları birleştiren ağ oturumuna özel ayrıştırıcılarınızı eklemeyi öğrenmek için ASIM ayrıştırıcılarını yönetme makalesine bakın.

Ayrıştırıcı parametrelerini filtreleme

Ağ Oturumu ayrıştırıcıları filtreleme parametrelerini destekler. Bu parametreler isteğe bağlı olsa da sorgu performansınızı artırabilir.

Aşağıdaki filtreleme parametreleri kullanılabilir:

Bazı parametreler hem tür dynamic değerleri listesini hem de tek bir dize değerini kabul edebilir. Sabit bir listeyi dinamik değer bekleyen parametrelere geçirmek için, dinamik değişmez değeri açıkça kullanın. Örneğin: dynamic(['192.168.','10.'])

Örneğin, yalnızca belirtilen etki alanı adları listesi için ağ oturumlarını filtrelemek için şunu kullanın:

let torProxies=dynamic(["tor2web.org", "tor2web.com", "torlink.co"]);
_Im_NetworkSession (hostname_has_any = torProxies)

Normalleştirilmiş içerik

Normalleştirilmiş DNS olaylarını kullanan analiz kurallarının tam listesi için bkz . Ağ oturumu güvenlik içeriği.

Şemaya genel bakış

Ağ Oturumu bilgi modeli, OSSEM Ağ varlık şemasıyla hizalanır.

Ağ Oturumu şeması, aynı alanları paylaşan çeşitli benzer ama farklı senaryo türlerine hizmet eder. Bu senaryolar EventType alanı tarafından tanımlanır:

• NetworkSession - Güvenlik duvarı, yönlendirici veya ağ dokunması gibi ağı izleyen bir ara cihaz tarafından bildirilen bir ağ oturumu.
• L2NetworkSession - yalnızca katman 2 bilgilerinin kullanılabildiği bir ağ oturumları. Bu tür olaylar MAC adreslerini içerir ancak IP adreslerini içermez.
• Flow- Genellikle Netflow olayları gibi önceden tanımlanmış bir zaman aralığında birden çok benzer ağ oturumu bildiren toplu bir olay.
• EndpointNetworkSession - istemciler ve sunucular dahil olmak üzere oturumun bitiş noktalarından biri tarafından bildirilen bir ağ oturumu. Bu tür olaylar için şema ve local diğer ad alanlarını desteklerremote.
• IDS - şüpheli olarak bildirilen bir ağ oturumu. Böyle bir olayda bazı denetim alanları doldurulur ve kaynak veya hedef olmak üzere yalnızca bir IP adresi alanı doldurulmuş olabilir.

Genellikle sorgunun bu olay türlerinin yalnızca bir alt kümesini seçmesi ve kullanım örneklerinin ayrı benzersiz yönlerini ele alması gerekebilir. Örneğin, IDS olayları ağ biriminin tamamını yansıtmaz ve sütun tabanlı analizde dikkate alınmamalıdır.

Ağ oturumu olayları, tanımlayıcıları Src kullanır ve Dst oturumda yer alan cihazların ve ilgili kullanıcıların ve uygulamaların rollerini belirtir. Bu nedenle, örneğin, kaynak cihaz ana bilgisayar adı ve IP adresi ve SrcIpAddrolarak adlandırılırSrcHostname. Diğer ASIM şemaları genellikle yerine DstkullanırTarget.

Bir uç nokta tarafından bildirilen ve olay türünün EndpointNetworkSessionolduğu olaylar için, sırasıyla uç noktanın kendisini ve cihazı ağ oturumunun diğer ucunda tanımlar Local Remote ve belirtir.

Tanımlayıcı Dvc , bir uç nokta tarafından bildirilen oturumlar için yerel sistem olan raporlama cihazı ve diğer ağ oturumu olayları için aracı cihaz veya ağ dokunması için kullanılır.

Şema ayrıntıları

Ortak ASIM alanları

Belirli yönergelere sahip ortak alanlar

Aşağıdaki listede Ağ Oturumu olayları için belirli yönergelere sahip alanlardan bahsediliyor:

Tüm ortak alanlar

Aşağıdaki tabloda görünen alanlar tüm ASIM şemalarında ortaktır. Yukarıda belirtilen tüm yönergeler, alanın genel yönergelerini geçersiz kılar. Örneğin, bir alan genel olarak isteğe bağlı olabilir, ancak belirli bir şema için zorunlu olabilir. Her alan hakkında daha fazla bilgi için ASIM Ortak Alanları makalesine bakın.

Ağ oturumu alanları

Hedef sistem alanları

Hedef kullanıcı alanları

Hedef uygulama alanları

Kaynak sistem alanları

Kaynak kullanıcı alanları

Kaynak uygulama alanları

Yerel ve uzak diğer adlar

Yukarıda listelenen tüm kaynak ve hedef alanlar, isteğe bağlı olarak aynı ada ve tanımlayıcılara Local ve Remoteile alanlara göre diğer adla adlandırılabilir. Bu genellikle bir uç nokta tarafından bildirilen ve olay türünün EndpointNetworkSessionolduğu olaylar için yararlıdır.

Bu tür olaylar için tanımlayıcılar Local ve Remote sırasıyla ağ oturumunun diğer ucundaki uç noktanın kendisini ve cihazı belirtir. Gelen bağlantılar için hedef yerel sistemdir, Local alanlar alanların diğer adlarıdır Dst ve 'Uzak' alanlar alanlar için Src diğer adlardır. Buna karşılık, giden bağlantılar için kaynak yerel sistemdir, Local alanlar alanların diğer adlarıdır Src ve Remote alanlar da alanların diğer adlarıdır Dst .

Örneğin, bir gelen olay için, alanı LocalIpAddr için DstIpAddr bir diğer addır ve alanı RemoteIpAddr için bir diğer addır SrcIpAddr.

Ana bilgisayar adı ve IP adresi diğer adları

Aracı cihaz ve Ağ Adresi Çevirisi (NAT) alanları

Kayıt, ağ oturumunu aktaran güvenlik duvarı veya ara sunucu gibi bir aracı cihaz hakkında bilgi içeriyorsa aşağıdaki alanlar yararlıdır.

Aracı sistemler genellikle adres çevirisi kullanır ve bu nedenle özgün adres ve dışarıdan gözlemlenen adres aynı değildir. Bu gibi durumlarda, SrcIPAddr ve DstIpAddr gibi birincil adres alanları dışarıdan gözlemlenen adresleri temsil ederken NAT adres alanları, SrcNatIpAddr ve DstNatIpAddr çeviriden önce özgün cihazın iç adresini temsil eder.

Denetim alanları

Aşağıdaki alanlar güvenlik duvarı, IPS veya web güvenlik ağ geçidi gibi bir güvenlik cihazının hangi incelemeyi gerçekleştirdiğini göstermek için kullanılır:

Diğer alanlar

Olay ağ oturumunun uç noktalarından biri tarafından bildirilirse, oturumu başlatan veya sonlandıran işlem hakkında bilgi içerebilir. Bu gibi durumlarda, ASIM İşlem Olayı şeması bu bilgileri normalleştirmek için kullanılır.

Şema güncelleştirmeleri

Şemanın 0.2.1 sürümündeki değişiklikler şunlardır:

• Dst Kaynak ve hedef sistemler için öndeki tanımlayıcıya ve diğer adları olarak eklendiSrc.
• , , SrcVlanId, DstVlanIdInnerVlanIdve OuterVlanIdalanlarını NetworkConnectionHistoryekledik.

Şemanın 0.2.2 sürümündeki değişiklikler şunlardır:

• ve Local diğer adları eklendiRemote.
• olay türü EndpointNetworkSessioneklendi.
• IpAddr Olay türü olduğunda EndpointNetworkSessionve için RemoteHostname LocalIpAddr ve diğer adları olarak tanımlanırHostname.
• veya DvcOutboundInterfaceiçin DvcInboundInterface diğer ad olarak tanımlanırDvcInterface.
• Aşağıdaki alanların türü Tamsayı olarak Long olarak değiştirildi: SrcBytes, DstBytes, NetworkBytes, SrcPackets, , DstPacketsve NetworkPackets.
• , SrcSubscriptionIdve DstSubscriptionIdalanlarını NetworkProtocolVersionekledik.
• Ve kullanım dışı bırakıldı DstUserDomain SrcUserDomain.

Şemanın 0.2.3 sürümündeki değişiklikler şunlardır:

• ipaddr_has_any_prefix Filtreleme parametresi eklendi.
• Filtreleme hostname_has_any parametresi artık kaynak veya hedef ana bilgisayar adlarıyla eşleşir.
• ve ASimMatchingIpAddralanlarını ASimMatchingHostname ekledik.

Şemanın 0.2.4 sürümündeki değişiklikler şunlardır:

• TcpFlags Alanlar eklendi.
• ve her NetworkIcmpCode ikisi için de sayı değerini yansıtacak şekilde güncelleştirildiNetworkIcpmType.
• Ek inceleme alanları eklendi.
• 'ThreatRiskLevelOriginal' alanı ASIM kurallarıyla uyumlu olacak şekilde ThreatOriginalRiskLevel yeniden adlandırıldı. Mevcut Microsoft ayrıştırıcıları 1 Mayıs 2023'e kadar devam ThreatRiskLevelOriginal edecektir.
• Önerilen olarak işaretlendi EventResultDetails ve izin verilen değerleri belirtti.

Şemanın 0.2.5 sürümündeki değişiklikler şunlardır:

• , , SrcUserScope, , , SrcDvcScope, DstDvcScopeId, DstDvcScopeDvcScopeIdve DvcScopealanlarını DstUserScopeekledikSrcDvcScopeId.

Şemanın 0.2.6 sürümündeki değişiklikler şunlardır:

• IdS olay türü olarak eklendi

Sonraki adımlar

Daha fazla bilgi için bkz.

• ASIM Web seminerini izleyin veya slaytları gözden geçirin
• Gelişmiş Güvenlik Bilgileri Modeline (ASIM) genel bakış
• Gelişmiş Güvenlik Bilgileri Modeli (ASIM) şemaları
• Gelişmiş Güvenlik Bilgileri Modeli (ASIM) ayrıştırıcıları
• Gelişmiş Güvenlik Bilgileri Modeli (ASIM) içeriği