Référence de schéma de normalisation des événements d’audit ASIM (Advanced Security Information Model)

Le schéma de normalisation des événements d’audit Microsoft Sentinel représente les événements associés à la piste d’audit des systèmes d’information. La piste d’audit journalise les activités de configuration système et les modifications de stratégie. Ces modifications sont souvent effectuées par les administrateurs système, mais peuvent aussi être effectuées par les utilisateurs lors de la configuration des paramètres de leurs propres applications.

Chaque système journalise les événements d’audit en même temps que ses journaux d’activité de base. Par exemple, un pare-feu journalisera les événements concernant les sessions et processus réseau, ainsi que les événements d’audit concernant les modifications de configuration appliquées au pare-feu lui-même.

Pour plus d’informations sur la normalisation dans Microsoft Sentinel, consultez Normalisation et Advanced SIEM Information Model (ASIM).

Vue d’ensemble du schéma

Les principaux champs d’un événement d’audit sont :

• L’objet, qui peut être par exemple une ressource managée ou une règle de stratégie, sur lequel l’événement se concentre, représenté par le champ Object. Le champ ObjectType spécifie le type de l’objet.
• Le contexte d’application de l’objet, représenté par le champ TargetAppName, dont l’alias est Application.
• L’opération effectuée sur l’objet, représentée par les champs EventType et Operation. Operation est la valeur signalée par la source, tandis que EventType est une version normalisée, qui est plus cohérente entre les sources.
• Anciennes et nouvelles valeurs de l’objet, le cas échéant, représentées respectivement par OldValue et NewValue.

Les événements d’audit font également référence aux entités suivantes impliquées dans l’opération de configuration :

• Actor - L’utilisateur effectuant l’opération de configuration.
• TargetApp - L’application ou le système pour lequel l’opération de configuration s’applique.
• Cible : système sur lequel TargetApp* est en cours d’exécution.
• ActingApp -L’application utilisée par Actor pour effectuer l’opération de configuration.
• Src - Le système utilisé par Actor pour lancer l’opération de configuration, s’il est différent de Target.

Le descripteur Dvc est utilisé pour le dispositif à l’origine du signalement, qui correspond au système local pour les sessions signalées par un point de terminaison, et le dispositif intermédiaire ou de sécurité dans les autres cas.

Analyseurs

Déploiement et utilisation d’analyseurs d’événements d’audit

Déployez les analyseurs des événements d’audit ASIM à partir du référentiel GitHub de Microsoft Sentinel. Pour interroger toutes les sources de l’événement d’audit, utilisez l’analyseur d’unification imAuditEvent comme nom de table dans votre requête.

Pour plus d’informations sur les analyseurs ASIM, consultez Vue d’ensemble des analyseurs ASIM. Pour obtenir la liste des analyseurs d’événements d’audit, Microsoft Sentinel fournit une référence prête à l’emploi à la liste des analyseurs ASIM

Ajouter vos propres analyseurs normalisés

Quand vous implémentez des analyseurs personnalisés pour le modèle d’informations sur les événements de fichier, nommez vos fonctions KQL avec la syntaxe suivante : imAuditEvent<vendor><Product>. Reportez-vous à l’article Gestion des analyseurs ASIM pour découvrir comment ajouter vos analyseurs personnalisés aux analyseurs d’unification de l’événement d’audit.

Paramètres de filtrage des analyseurs

Les analyseurs d’événements d’audits prennent en charge les paramètres de filtrage. Bien que ces paramètres soient facultatifs, ils peuvent améliorer les performances de vos requêtes.

Les paramètres de filtrage suivants sont disponibles :

Certains paramètres peuvent accepter à la fois une liste de valeurs de type dynamic ou une valeur de chaîne unique. Pour transmettre une liste de littéraux aux paramètres qui attendent une valeur dynamique, utilisez explicitement un littéral dynamique. Par exemple : dynamic(['192.168.','10.'])

Par exemple, pour ne filtrer que les événements d’audit avec les termes install ou update dans leur champ Opération , du dernier jour, utilisez :

imAuditEvent (operation_has_any=dynamic(['install','update']), starttime = ago(1d), endtime=now())

Détails du schéma

Champs ASIM communs

Champs communs avec des instructions spécifiques

La liste suivante mentionne les champs qui ont des instructions spécifiques pour les événements d’audit :

Tous les champs communs

Les champs qui apparaissent dans le tableau sont communs à tous les schémas ASIM. Toutes les instructions spécifiées dans ce document remplacent les instructions générales pour le champ. Par exemple, un champ peut être facultatif en général, mais obligatoire pour un schéma spécifique. Pour plus d’informations sur chaque champ, consultez l’article Champs communs ASIM.

Champs d’audit

Champs d’intervenant

Champs de l’application cible

Champs Système cible

Champs Application responsable de l’action

Champs Système source

Champs d’inspection

Les champs suivants sont utilisés pour représenter cette inspection effectuée par un système de sécurité.

Mises à jour du schéma

Les changements apportés à la version 0.1.1 du schéma sont :

• Ajout du champ ObjectId et OriginalObjectType.

Les modifications apportées à la version 0.1.2 du schéma sont les suivantes :

• Ajout du champ ActingOriginalAppType, OriginalObjectType, SrcOriginalRiskLevelSrcRiskLevel, ,TargetGeoCity,TargetGeoCountry,TargetGeoLatitude,TargetGeoLongitude,TargetGeoRegionTargetOriginalAppType,,TargetOriginalRiskLevel etTargetRiskLevel

Étapes suivantes

Pour plus d'informations, consultez les pages suivantes :

• Regardez le webinaire sur ASIM ou passez en revue les diapositives
• Vue d’ensemble de l’Advanced SIEM Information Model (ASIM)
• Schémas de l’Advanced SIEM Information Model (ASIM)
• Analyseurs de l’Advanced SIEM Information Model (ASIM)
• Contenu de l’Advanced SIEM Information Model (ASIM)