Freigeben über


Sicherheitsinhalte des Advanced Security Information Model (ASIM)

Zu den normalisierten Sicherheitsinhalten in Microsoft Sentinel gehören Analyseregeln, Hunting-Abfragen und Arbeitsmappen, die mit vereinheitlichenden Normalisierungsparsern arbeiten.

Sie finden normalisierte, integrierte Inhalte in Microsoft Sentinel-Katalogen und Lösungen, erstellen Sie Ihre eigenen normalisierten Inhalte, oder ändern Sie bestehende Inhalte, um normalisierte Daten zu verwenden.

In diesem Artikel werden integrierte Microsoft Sentinel-Inhalte aufgelistet, die für die Unterstützung des erweiterten Sicherheitsinformationsmodells (ASIM) konfiguriert wurden. Während Links zum Microsoft Sentinel GitHub-Repository als Referenz bereitgestellt werden, finden Sie diese Regeln auch im Microsoft Sentinel Analytics-Regelkatalog. Verwenden Sie die verlinkten GitHub-Seiten, um alle relevanten Hunting-Abfragen zu kopieren.

Informationen dazu, wie normalisierte Inhalte in die ASIM-Architektur passen, finden Sie im Architekturdiagramm zu ASIM.

Tipp

Sehen Sie sich auch das ausführliche Webinar zu normalisierten Parsern und Inhalten in Microsoft Sentinel oder die Folien an. Weitere Informationen finden Sie in den nächsten Schritten.

Inhalt der Authentifizierungssicherheit

Der folgende integrierte Authentifizierungsinhalt wird für die ASIM-Normalisierung unterstützt.

Analyseregeln

Sicherheitsinhalt der Dateiaktivität

Der folgende integrierte Dateiaktivitätsinhalt wird für die ASIM-Normalisierung unterstützt.

Analyseregeln

Sicherheitsinhalte für Registrierungsaktivitäten

Der folgende integrierte Registrierungsaktivitätsinhalt wird für die ASIM-Normalisierung unterstützt.

Analyseregeln

Hunting-Abfragen

Sicherheitsinhalt von DNS-Abfragen

Der folgende integrierte DNS-Abfrageinhalt wird für die ASIM-Normalisierung unterstützt.

Lösungen Analyseregeln
DNS-Grundlagen
Log4j-Erkennung von Sicherheitsrisiken
Legacy-IOC-basierte Bedrohungserkennung
TI zuordnen der Domänenentität zu DNS-Ereignissen (ASIM DNS-Schema)
TI zuordnen der IP-Entität zu DNS-Ereignissen (ASIM DNS-Schema)
Potenzielle DGA erkannt (ASimDNS)
Übermäßige NXDOMAIN-DNS-Abfragen (ASIM-DNS-Schema)
DNS-Ereignisse im Zusammenhang mit Miningpools (ASIM-DNS-Schema)
DNS-Ereignisse im Zusammenhang mit ToR-Proxys (ASIM-DNS-Schema)
Bekannte Forest Blizzard-Gruppendomänen – Juli 2019

Sicherheitsinhalte für Netzwerksitzungen

Die folgenden integrierten Inhalte, die mit Netzwerksitzungen zusammenhängen, werden für die ASIM-Normalisierung unterstützt.

Lösungen Analyseregeln Hunting-Abfragen
Grundlegendes zu Netzwerksitzungen
Log4j-Erkennung von Sicherheitsrisiken
Legacy-IOC-basierte Bedrohungserkennung
Log4j-Exploit-Sicherheitslücke (auch bekannt als Log4Shell-IP-IOC)
Zu hohe Anzahl fehlgeschlagener Verbindungen aus einer einzigen Quelle (ASIM-Netzwerksitzungsschema)
Potenzielle Beaconingaktivität (ASIM-Netzwerksitzungsschema)
TI zuordnen der IP-Entität zu Netzwerksitzungsereignissen (ASIM-Netzwerksitzungsschema)
Portscan erkannt (ASIM-Netzwerksitzungsschema)
Bekannte Forest Blizzard-Gruppendomänen – Juli 2019
Verbindungen externer IP-Adressen mit OMI-bezogenen Ports

Sicherheitsinhalte für Prozessaktivitäten

Der folgende integrierte Prozessaktivitätsinhalt wird für die ASIM-Normalisierung unterstützt.

Lösungen Analyseregeln Hunting-Abfragen
Endpoint Threat Protection Essentials
Legacy-IOC-basierte Bedrohungserkennung
Wahrscheinliche Verwendung des AdFind Recon-Tools (normalisierte Prozessereignisse)
Base64-codierte Windows-Prozessbefehlszeilen (normalisierte Prozessereignisse)
Schadsoftware im Papierkorb (normalisierte Prozessereignisse)
Midnight Blizzard – verdächtige rundll32.exe-Ausführung von vbscript (normalisierte Prozessereignisse)
SUNBURST – verdächtige untergeordnete SolarWinds-Prozesse (normalisierte Prozessereignisse)
Aufschlüsselung der täglichen Zusammenfassung des CScript-Skripts (normalisierte Prozessereignisse)
Enumeration von Benutzern und Gruppen (normalisierte Prozessereignisse)
Exchange PowerShell-Snap-In hinzugefügt (normalisierte Prozessereignisse)
Host exportiert Postfach und Entfernen des Exports (normalisierte Prozessereignisse)
Invoke-PowerShellTcpOneLine-Syntax (normalisierte Prozessereignisse)
Nishang Reverse TCP Shell in Base64 (normalisierte Prozessereignisse)
Zusammenfassung der Benutzer, die mit ungewöhnlichen/nicht dokumentierten Befehlszeilenschaltern erstellt wurden (normalisierte Prozessereignisse)
Powercat-Download (normalisierte Prozessereignisse)
PowerShell-Downloads (normalisierte Prozessereignisse)
Entropie für Prozesse für einen bestimmten Host (normalisierte Prozessereignisse)
SolarWinds-Inventar (normalisierte Prozessereignisse)
Verdächtige Enumeration mithilfe des Adfind-Tools (normalisierte Prozessereignisse)
Herunterfahren/Neustarten des Windows-Systems (normalisierte Prozessereignisse)
Certutil (LOLBins und LOLScripts, normalisierte Prozessereignisse)
Rundll32 (LOLBins und LOLScripts, normalisierte Prozessereignisse)
Ungewöhnliche Prozesse – unter 5 % (normalisierte Prozessereignisse)
Unicode Obfuscation in der Befehlszeile

Sicherheitsinhalte für Websitzungen

Der folgende integrierte Websitzungsinhalt wird für die ASIM-Normalisierung unterstützt.

Lösungen Analyseregeln
Log4j-Erkennung von Sicherheitsrisiken
Bedrohungserkennung
TI zuordnen der Domänenentität zu Websitzungsereignissen (ASIM Web Session Schema)
TI zuordnen der IP-Entität zu Websitzungsereignissen (ASIM Web Session Schema)
Potenzielle Kommunikation mit einem DGA-basierten (Domain Generation Algorithm) Hostnamen (ASIM-Netzwerksitzungsschema)
Ein Client hat eine Webanforderung an eine potenziell schädliche Datei (ASIM-Websitzungsschema) gestellt
Auf einem Host wird möglicherweise ein Crypto-Miner (ASIM-Websitzungsschema) ausgeführt
Auf einem Host wird möglicherweise ein Hackingtool (ASIM-Websitzungsschema) ausgeführt
Auf einem Host wird möglicherweise PowerShell ausgeführt, um HTTP(S)-Anforderungen zu senden (ASIM-Websitzungsschema)
Discord CDN: Riskanter Dateidownload (ASIM-Websitzungsschema)
Übermäßige Anzahl von HTTP-Authentifizierungsfehlern von einer Quelle (ASIM-Websitzungsschema)
Benutzer-Agent-Suche nach Log4j-Ausbeutungsversuchen

Nächste Schritte

Weitere Informationen finden Sie unter