Esquemas del Modelo avanzado de información de seguridad (ASIM)

Un esquema de Modelo de información de seguridad avanzada (ASIM) es un conjunto de campos que representan una actividad o entidad. El uso de los campos de un esquema normalizado en una consulta garantiza que la consulta funcione con cada origen normalizado.

Para entender cómo encajan los esquemas en la arquitectura de ASIM, consulte el diagrama de arquitectura de ASIM.

Esquemas de actividad y eventos

En las referencias de esquema se describen los campos que componen cada esquema. Actualmente, ASIM define los siguientes esquemas para eventos:

Esquemas de entidad

Actualmente, ASIM define los siguientes esquemas para las entidades:

Para las entidades que forman parte de otros esquemas de ASIM, consulte Entidades de eventos.

Nomenclatura de campo

En el núcleo de cada esquema están sus nombres de campo. Los nombres de campo pertenecen a los siguientes grupos:

• Campos comunes a todos los esquemas.
• Campos específicos de un esquema.
• Campos que representan entidades, como los usuarios, que participan en el esquema. Los campos que representan entidades son similares en todos los esquemas.

Cuando los orígenes tienen campos que no se presentan en el esquema documentado, se normalizan para mantener la coherencia. Si los campos adicionales representan una entidad, se normalizan en función de las directrices del campo de entidad. De lo contrario, los esquemas tratan por todos los medios de mantener la coherencia en todos ellos.

Por ejemplo, aunque los registros de actividad de los servidores DNS no proporcionan información de usuario, los registros de actividad de DNS de un punto de conexión pueden incluir dicha información, que se puede normalizar según las directrices de la entidad del usuario.

Campos comunes

Algunos campos son comunes a todos los esquemas de ASIM. Cada esquema puede agregar directrices para usar algunos de los campos comunes en el contexto del esquema específico. Por ejemplo, los valores permitidos del campo EventType pueden variar según el esquema, al igual que el valor del campo EventSchemaVersion.

Clases de campo

Los campos pueden tener varias clases, que definen cuándo un analizador debe implementar los campos:

• Los campos obligatorios deben aparecer en cada analizador. Si el origen no proporciona información para este valor o los datos no se pueden agregar de otra manera, no admite la mayoría de los elementos de contenido que hacen referencia al esquema normalizado.
• Los campos recomendados deben normalizarse si están disponibles. Sin embargo, es posible que no estén disponibles en todos los orígenes. Cualquier elemento de contenido que haga referencia a ese esquema normalizado debe tener en cuenta la disponibilidad.
• Los campos opcionales , si están disponibles, se pueden normalizar o dejar en su forma original. Normalmente, un analizador mínimo no los normalizaría por motivos de rendimiento.
• Los campos condicionales son obligatorios si el campo que siguen se rellena. Los campos condicionales se suelen usar para describir el valor en otro campo. Por ejemplo, el campo común DvcIdType describe el valor en el campo común DvcId y, por lo tanto, es obligatorio si se rellena este último.
• Alias es un tipo especial de un campo condicional y es obligatorio si se rellena el campo con alias.

Entidades de eventos

Los eventos evolucionan en torno a entidades, como usuarios, hosts, procesos o archivos. Cada entidad puede requerir varios campos para su descripción. Por ejemplo, un host puede tener un nombre y una dirección IP.

Un único registro puede incluir varias entidades del mismo tipo, como un host de origen y uno de destino.

ASIM define cómo describir las entidades de forma coherente, y las entidades permiten ampliar los esquemas.

Por ejemplo, aunque el esquema de sesión de red no incluye información de proceso, algunos orígenes de eventos proporcionan información de este tipo que se puede agregar. Para obtener más información, consulte Entidades.

Para habilitar la funcionalidad de entidad, la representación de entidad tiene las siguientes directrices:

Para obtener más información sobre los tipos de entidad específicos, consulte:

• Entidad de usuario
• Entidad de dispositivo
• Entidad de aplicación

Para obtener más información sobre los esquemas de entidad completos, consulte:

• Esquema de entidad de activo

Alias

Los alias permiten varios nombres para un valor especificado. En algunos casos, los distintos usuarios esperan que un campo tenga nombres diferentes. Por ejemplo, en la terminología de DNS, puede esperar un campo denominado DnsQuery, mientras que, en términos más generales, contiene un nombre de dominio. El alias Domain ayuda al usuario al permitir el uso de ambos nombres.

En algunos casos, un alias puede tener el valor de uno de varios campos, en función de los valores disponibles en el evento. Por ejemplo, el alias Dvc , corresponde a los campos DvcFQDN, DvcId, DvcHostname, DvcIpAddr o Event Product. Cuando un alias puede tener varios valores, su tipo tiene que ser una cadena para dar cabida a todos los posibles valores de alias. En consecuencia, cuando asigne un valor a un alias de este tipo, asegúrese de convertir el tipo a cadena usando la función KQL tostring.

Las tablas normalizadas nativas no incluyen alias, ya que esto implicaría el almacenamiento de datos duplicado. En su lugar, los analizadores de código auxiliar agregan los alias. Para implementar alias en los analizadores de código auxiliar, cree una copia del valor original usando el operador extend.

Tipos lógicos

Cada campo de esquema tiene un tipo. El área de trabajo de Log Analytics tiene un conjunto limitado de tipos de datos. Por este motivo, Microsoft Sentinel usa un tipo lógico para muchos campos de esquema, que Log Analytics no aplica, pero es necesario para la compatibilidad de esquemas. Los tipos de campo lógicos garantizan que los valores y los nombres de campo sean coherentes entre orígenes.

Asignación de entidades de ejemplo

En esta sección se usa Windows evento 4624 como ejemplo para describir cómo se normalizan los datos del evento para Microsoft Sentinel.

Este evento tiene las siguientes entidades:

En función de estas entidades, Windows evento 4624 se normaliza de la siguiente manera (algunos campos son opcionales):

Pasos siguientes

En este artículo se proporciona información general sobre la normalización en Microsoft Sentinel y ASIM.

Para más información, consulte:

• Vea el Seminario web a fondo sobre los analizadores de normalización y el contenido normalizado de Microsoft Sentinel o revise las diapositivas
• Introducción al Modelo avanzado de información de seguridad (ASIM)
• Analizadores del Modelo avanzado de información de seguridad (ASIM)
• Contenido del Modelo avanzado de información de seguridad (ASIM)