Esquemas ASIM (Advanced Security Information Model)

Um esquema do Modelo Avançado de Informação de Segurança (ASIM) é um conjunto de campos que representam uma atividade ou entidade. Usar os campos de um esquema normalizado numa consulta garante que a consulta funciona com todas as fontes normalizadas.

Para entender como os esquemas se encaixam na arquitetura ASIM, consulte o diagrama de arquitetura ASIM.

Esquemas de Atividade/Evento

As referências de esquema descrevem os campos que compõem cada esquema. Atualmente, o ASIM define os seguintes esquemas para eventos:

Esquemas de Entidades

Atualmente, a ASIM define os seguintes esquemas para entidades:

Para entidades que fazem parte de outros esquemas ASIM, consulte Entidades de Evento.

Nomeação de Campos

No núcleo de cada esquema estão seus nomes de campo. Os nomes dos campos pertencem aos seguintes grupos:

• Campos comuns a todos os esquemas.
• Campos específicos de um esquema.
• Campos que representam entidades, como utilizadores, que participam no esquema. Os campos que representam entidades são semelhantes entre esquemas.

Quando as fontes têm campos que não são apresentados no esquema documentado, elas são normalizadas para manter a consistência. Se os campos extra representarem uma entidade, são normalizados com base nas diretrizes do campo da entidade. Caso contrário, os esquemas se esforçam para manter a consistência em todos os esquemas.

Por exemplo, enquanto os logs de atividade do servidor DNS não fornecem informações do usuário, os logs de atividade do DNS de um ponto de extremidade podem incluir informações do usuário, que podem ser normalizadas de acordo com as diretrizes da entidade do usuário.

Campos comuns

Alguns campos são comuns a todos os esquemas ASIM. Cada esquema pode adicionar diretrizes para usar alguns dos campos comuns no contexto do esquema específico. Por exemplo, os valores permitidos para o campo EventType podem variar por esquema, assim como o valor do campo EventSchemaVersion .

Classes de campo

Os campos podem ter várias classes, que definem quando os campos devem ser implementados por um analisador:

• Campos obrigatórios devem aparecer em todos os analisadores. Se a sua fonte não fornecer informação para esse valor, ou se os dados não puderem ser adicionados de outra forma, não suporta a maioria dos itens de conteúdo que referenciam o esquema normalizado.
• Os campos recomendados devem ser normalizados, se disponíveis. No entanto, eles podem não estar disponíveis em todas as fontes. Qualquer item de conteúdo que faça referência a esse esquema normalizado deve levar em conta a disponibilidade.
• Campos opcionais , se disponíveis, podem ser normalizados ou mantidos na sua forma original. Normalmente, um analisador mínimo não os normalizaria por motivos de desempenho.
• Os campos condicionais são obrigatórios se o campo que seguem estiver preenchido. Os campos condicionais são normalmente usados para descrever o valor em outro campo. Por exemplo, o campo comum DvcIdType descreve o valor int do campo comum DvcId e, portanto, é obrigatório se este último for preenchido.
• Alias é um tipo especial de campo condicional e é obrigatório se o campo aliasado estiver preenchido.

Entidades do Evento

Os eventos evoluem em torno de entidades, como usuários, hosts, processos ou arquivos. Cada entidade pode necessitar de vários campos para a descrever. Por exemplo, um host pode ter um nome e um endereço IP.

Um único registro pode incluir várias entidades do mesmo tipo, como um host de origem e de destino.

O ASIM define como descrever entidades de forma consistente, e as entidades permitem estender os esquemas.

Por exemplo, embora o esquema de Sessão de Rede não inclua informações de processo, algumas fontes de eventos fornecem informações de processo que podem ser adicionadas. Para obter mais informações, consulte Entidades.

Para habilitar a funcionalidade da entidade, a representação da entidade tem as seguintes diretrizes:

Para mais informações sobre tipos específicos de entidades, consulte:

• Entidade de Utilizador
• Entidade do Dispositivo
• Entidade de Aplicação

Para mais informações sobre esquemas de entidades completas, consulte:

• Esquema de Entidade de Ativo

Aliases

Os aliases permitem vários nomes para um valor especificado. Em alguns casos, usuários diferentes esperam que um campo tenha nomes diferentes. Por exemplo, na terminologia DNS, você pode esperar um campo chamado DnsQuery, enquanto mais geralmente, ele contém um nome de domínio. O alias Domain ajuda o usuário, permitindo o uso de ambos os nomes.

Em alguns casos, um alias pode ter o valor de um dos vários campos, dependendo de quais valores estão disponíveis no evento. Por exemplo, o alias Dvc faz alias para os campos DvcFQDN, DvcId, DvcHostname, ou DvcIpAddr, ou Produto de Evento. Quando um alias pode ter vários valores, seu tipo deve ser uma cadeia de caracteres para acomodar todos os possíveis valores com alias. Como resultado, ao atribuir um valor a esse alias, certifique-se de converter o tipo em string usando a função KQL tostring.

Tabelas normalizadas nativas não incluem aliases, pois esses implicariam armazenamento duplicado de dados. Em vez disso, os analisadores de stub adicionam os aliases. Para implementar aliases em analisadores, crie uma cópia do valor original usando o extend operador .

Tipos lógicos

Cada campo de esquema tem um tipo. O espaço de trabalho Log Analytics tem um conjunto limitado de tipos de dados. Por esta razão, o Microsoft Sentinel utiliza um tipo lógico para muitos campos de esquema, que o Log Analytics não aplica, mas é necessário para compatibilidade de esquemas. Os tipos de campo lógico garantem que os valores e os nomes de campo sejam consistentes entre as fontes.

Exemplo de mapeamento de entidade

Esta secção utiliza o evento Windows 4624 como exemplo para descrever como os dados do evento são normalizados para Microsoft Sentinel.

Este evento conta com as seguintes entidades:

Com base nestas entidades, Windows evento 4624 é normalizado da seguinte forma (alguns campos são opcionais):

Próximos passos

Este artigo fornece uma visão geral da normalização no Microsoft Sentinel e no ASIM.

Para obter mais informações, consulte:

• Veja o webinar Deep Dive sobre a Normalização de Parsers e Conteúdo Normalizado no Microsoft Sentinel ou reveja os slides
• Visão geral do ASIM (Advanced Security Information Model, modelo avançado de informações de segurança)
• Analisadores do Modelo Avançado de Informação de Segurança (ASIM)
• Conteúdo do modelo avançado de informações de segurança (ASIM)