Remarque
L’accès à cette page nécessite une autorisation. Vous pouvez essayer de vous connecter ou de modifier des répertoires.
L’accès à cette page nécessite une autorisation. Vous pouvez essayer de modifier des répertoires.
Le schéma de normalisation de la gestion des utilisateurs Microsoft Sentinel est utilisé pour décrire les activités de gestion des utilisateurs, par exemple la création d’un utilisateur ou d’un groupe, le changement d’un attribut utilisateur ou l’ajout d’un utilisateur à un groupe. De tels événements sont signalés, par exemple, par les systèmes d’exploitation, les services d’annuaire, les systèmes de gestion des identités et tout autre système établissant des rapports sur l’activité de gestion des utilisateurs au niveau local.
Pour plus d’informations sur la normalisation dans Microsoft Sentinel, consultez Normalisation et modèle ASIM (Advanced Security Information Model).
Vue d’ensemble du schéma
Le schéma de gestion des utilisateurs ASIM décrit les activités de gestion des utilisateurs. Les activités incluent généralement les entités suivantes :
- Intervenant : utilisateur effectuant l’activité de gestion.
- Processus responsable de l’action : processus utilisé par l’intervenant pour effectuer l’activité de gestion.
- Src : quand l’activité est effectuée sur le réseau, il s’agit de l’appareil source à partir duquel l’activité a été lancée.
- Utilisateur cible : utilisateur dont le compte est managé.
- Groupe dans lequel l’utilisateur cible est ajouté ou supprimé, ou fait l’objet d’un changement.
Certaines activités, par exemple UserCreated, GroupCreated, UserModified et GroupModified*, définissent ou mettent à jour les propriétés utilisateur. La propriété définie ou mise à jour est documentée dans les champs suivants :
- EventSubType : nom de la valeur définie ou mise à jour. UpdatedPropertyName : alias de EventSubType quand EventSubType fait référence à l’un des types d’événement appropriés.
- PreviousPropertyValue : valeur précédente de la propriété.
- NewPropertyValue : valeur mise à jour de la propriété.
Détails du schéma
Champs ASIM communs
Important
Les champs communs à tous les schémas sont décrits en détail dans l’article Champs communs ASIM.
Champs communs avec des instructions spécifiques
La liste suivante mentionne les champs qui ont des instructions spécifiques pour les événements d’activité :
| Champ | Classe | Type | Description |
|---|---|---|---|
| EventType | Obligatoire | Énuméré | Décrit l’opération signalée par l’enregistrement. Pour l’activité de gestion des utilisateurs, les valeurs prises en charge sont les suivantes : - UserCreated- UserDeleted- UserModified- UserLocked- UserUnlocked- UserDisabled- UserEnabled- PasswordChanged- PasswordReset- GroupCreated- GroupDeleted- GroupModified- UserAddedToGroup- UserRemovedFromGroup- GroupEnumerated- UserRead- GroupRead |
| ÉvénementSous-Type | Facultatif | Énuméré | Les sous-types suivants sont pris en charge : - UserRead : mot de passe, code de hachage- UserCreated, , GroupCreatedUserModified, GroupModified. Pour plus d’informations, consultez UpdatedPropertyName |
| EventResult | Obligatoire | Énuméré | Bien qu’une défaillance soit possible, la plupart des systèmes signalent uniquement les événements de gestion des utilisateurs réussis. La valeur attendue pour les événements réussis est Success. |
| EventResultDetails | Recommandé | Énuméré | Les valeurs valides sont NotAuthorized et Other. |
| EventSeverity | Obligatoire | Énuméré | Bien que toute valeur de gravité valide soit autorisée, le niveau de gravité des événements de gestion des utilisateurs est généralement Informational. |
| EventSchema | Obligatoire | Énuméré | La version du schéma documenté ici est UserManagement. |
| EventSchemaVersion | Obligatoire | SchemaVersion (chaîne) | Version du schéma. La version du schéma documenté ici est 0.1.2. |
| Champs Dvc | Pour les événements de gestion des utilisateurs, les champs d’appareil font référence au système qui signale l’événement. Il s’agit généralement du système sur lequel l’utilisateur est géré. |
Tous les champs communs
Les champs qui apparaissent dans le tableau ci-dessous sont communs à tous les schémas ASIM. Toute instruction spécifiée ci-dessus remplace les instructions générales pour le champ. Par exemple, un champ peut être facultatif en général, mais obligatoire pour un schéma spécifique. Pour plus d’informations sur chaque champ, reportez-vous à l’article Champs communs ASIM.
| Classe | Fields |
|---|---|
| Obligatoire |
-
EventCount - EventStartTime - ÉvénementEndTemps - EventType - EventResult - EventProduct - ÉvénementVendor - EventSchema - EventSchemaVersion - Cvn |
| Recommandé |
-
EventResultDétails - Sévérité des événements - EventUid - DvcIpAddr - DvcHostname - DvcDomain - DvcDomainType - DvcFQDN - DvcId - DvcIdType - DvcAction |
| Facultatif |
-
EventMessage - ÉvénementSous-Type - ÉvénementOriginalUid - EventOriginalType - ÉvénementOriginalSous-Type - ÉvénementOriginalRésultatDétails - ÉvénementOriginalSévérité - EventProductVersion - ÉvénementReportUrl - Propriétaire d’événements - DvcZone - DvcMacAddr - DvcOs - DvcOsVersion - DvcOriginalAction - DvcInterface - ChampsAdditionnels - DvcDescription - DvcScopeId - DvcScope |
Champs de propriété mis à jour
| Champ | Classe | Type | Description |
|---|---|---|---|
| UpdatedPropertyName | Alias | Alias de EventSubType quand le type d’événement est UserCreated, GroupCreated, UserModified ou GroupModified.Les valeurs prises en charge sont les suivantes : - MultipleProperties : utilisé quand l’activité met à jour plusieurs propriétés- Previous<PropertyName>, où <PropertyName> est l’une des valeurs prises en charge pour UpdatedPropertyName. - New<PropertyName>, où <PropertyName> est l’une des valeurs prises en charge pour UpdatedPropertyName. |
|
| Valeur de la propriété précédente | Facultatif | Chaîne | Valeur précédente stockée dans la propriété spécifiée. |
| NouvelleValeur de la propriété | Facultatif | Chaîne | Nouvelle valeur stockée dans la propriété spécifiée. |
Champs utilisateur cibles
| Champ | Classe | Type | Description |
|---|---|---|---|
| TargetUserId | Facultatif | Chaîne | Représentation unique, alphanumérique et lisible par l’ordinateur de l’utilisateur cible. Les types et formats pris en charge comprennent les suivants : - SID (Windows) : S-1-5-21-1377283216-344919071-3415362939-500- UID (Linux) : 4578- AADID (Microsoft Entra ID) : 9267d02c-5f76-40a9-a9eb-b686f3ca47aa- OktaId : 00urjk4znu3BcncfY0h7- AWSId : 72643944673Stockez le type de l’ID dans le champ TargetUserIdType. Si d’autres ID sont disponibles, nous vous recommandons de normaliser les noms de champs en TargetUserSid, TargetUserUid, TargetUserAADID, TargetUserOktaId et TargetUserAwsId, respectivement. Pour plus d’informations, consultez L’entité utilisateur. Exemple : S-1-12 |
| TargetUserIdType | Conditionnelle | Énuméré | Type de l’ID stocké dans le champ TargetUserId. Les valeurs SID, UID, AADID, OktaId et AWSId sont prises en charge. |
| Nom d’utilisateur cible | Facultatif | Nom d’utilisateur (chaîne) | Nom d’utilisateur cible, en incluant les informations de domaine le cas échéant. Utilisez l'un des formats suivants et dans l'ordre de priorité suivant : - Upn/E-mail : johndow@contoso.com- Windows : Contoso\johndow- DN : CN=Jeff Smith,OU=Sales,DC=Fabrikam,DC=COM- Simple : johndow. Utilisez la forme Simple uniquement si les informations de domaine ne sont pas disponibles.Stockez le type du nom d’utilisateur dans le champ TargetUsernameType. Si d’autres ID sont disponibles, nous vous recommandons de normaliser les noms de champs en TargetUserUpn, TargetUserWindows et TargetUserDn. Pour plus d’informations, consultez L’entité utilisateur. Exemple : AlbertE |
| CibleTypeNomUtilisateurType | Conditionnelle | Énuméré | Spécifie le type du nom d’utilisateur stocké dans le champ TargetUsername. Les valeurs UPN, Windows, DN et Simple sont prises en charge. Pour plus d’informations, consultez L’entité utilisateur.Exemple : Windows |
| TargetUserType | Facultatif | Énuméré | Type de l’utilisateur cible. Les valeurs prises en charge sont : - Regular- Machine- Admin- System- Application- Service Principal- OtherRemarque : la valeur peut être fournie dans l’enregistrement source avec des termes différents, qui doivent être normalisés avec ces valeurs. Stockez la valeur d’origine dans le champ TargetOriginalUserType. |
| TargetOriginalUserType | Facultatif | Chaîne | Le type d'utilisateur de destination original, s'il est fourni par la source. |
| TargetUserScope | Facultatif | Chaîne | Étendue, par exemple, le locataire Microsoft Entra, où sont définis DstUserId et DstUsername. Pour plus d’informations et pour obtenir la liste des valeurs autorisées, consultez UserScope dans l’article Vue d’ensemble du schéma. |
| TargetUserScopeId | Facultatif | Chaîne | ID d’étendue, par exemple, l’ID d’annuaire Microsoft Entra, où sont définis TargetUserId et TargetUsername. Pour plus d’informations et pour obtenir la liste des valeurs autorisées, consultez UserScopeId dans l’article Vue d’ensemble du schéma. |
| TargetUserSessionId | Facultatif | Chaîne | ID unique de la session de connexion de l’utilisateur cible. Exemple : 999 Remarque : le type est défini en tant que chaîne pour la prise en charge de différents systèmes. Cependant, sur Windows, cette valeur doit être numérique. Si vous utilisez un ordinateur Windows ou Linux et avez utilisé un type différent, assurez-vous de convertir les valeurs. Par exemple, si vous avez utilisé une valeur hexadécimale, convertissez-la en valeur décimale. |
Champs d’intervenant
| Champ | Classe | Type | Description |
|---|---|---|---|
| ActorUserId | Facultatif | Chaîne | Représentation unique, alphanumérique et lisible par l’ordinateur de l’intervenant. Les types et formats pris en charge comprennent les suivants : - SID (Windows) : S-1-5-21-1377283216-344919071-3415362939-500- UID (Linux) : 4578- AADID (Microsoft Entra ID) : 9267d02c-5f76-40a9-a9eb-b686f3ca47aa- OktaId : 00urjk4znu3BcncfY0h7- AWSId : 72643944673Stockez le type de l’ID dans le champ ActorUserIdType. Si d’autres ID sont disponibles, nous vous recommandons de normaliser les noms de champs en ActorUserSid, ActorUserUid, ActorUserAadId, ActorUserOktaId et ActorAwsId, respectivement. Pour plus d’informations, consultez L’entité utilisateur. Exemple : S-1-12 |
| ActorUserIdType | Conditionnelle | Énuméré | Type de l’ID stocké dans le champ ActorUserId. Les valeurs SID, UID, AADID, OktaId et AWSId sont prises en charge. |
| Nom d’utilisateur Acteur | Obligatoire | Nom d’utilisateur (chaîne) | Nom d’utilisateur de l’intervenant, en incluant les informations de domaine le cas échéant. Utilisez l'un des formats suivants et dans l'ordre de priorité suivant : - Upn/E-mail : johndow@contoso.com- Windows : Contoso\johndow- DN : CN=Jeff Smith,OU=Sales,DC=Fabrikam,DC=COM- Simple : johndow. Utilisez la forme Simple uniquement si les informations de domaine ne sont pas disponibles.Stockez le type du nom d’utilisateur dans le champ ActorUsernameType. Si d’autres ID sont disponibles, nous vous recommandons de normaliser les noms de champs en ActorUserUpn, ActorUserWindows et ActorUserDn. Pour plus d’informations, consultez L’entité utilisateur. Exemple : AlbertE |
| Utilisateur | Alias | Alias de ActorUsername. | |
| ActorUsernameType | Conditionnelle | Énuméré | Spécifie le type du nom d’utilisateur stocké dans le champ ActorUsername. Les valeurs UPN, Windows, DN et Simple sont prises en charge. Pour plus d’informations, consultez L’entité utilisateur.Exemple : Windows |
| ActorUserType | Facultatif | Énuméré | Type de l’intervenant. Les valeurs autorisées sont les suivantes : - Regular- Machine- Admin- System- Application- Service Principal- OtherRemarque : la valeur peut être fournie dans l’enregistrement source avec des termes différents, qui doivent être normalisés avec ces valeurs. Stockez la valeur d’origine dans le champ ActorOriginalUserType. |
| ActorOriginalUserType | Facultatif | Chaîne | Type d’utilisateur de destination d’origine, s’il est fourni par le dispositif de reporting. |
| ActorOriginalUserType | Type de l’utilisateur intervenant d’origine, s’il est fourni par la source. | ||
| ActorSessionId | Facultatif | Chaîne | ID unique de la session de connexion de l’Intervenant. Exemple : 999Remarque : le type est défini en tant que chaîne pour la prise en charge de différents systèmes. Cependant, sur Windows, cette valeur doit être numérique. Si vous utilisez un ordinateur Windows et avez utilisé un type différent, assurez-vous de convertir les valeurs. Par exemple, si vous avez utilisé une valeur hexadécimale, convertissez-la en valeur décimale. |
| ActorScope | Facultatif | Chaîne | L’étendue, par exemple, tel que le locataire Microsoft Entra, dans lequel ActorUserId et ActorUsername sont définis. Pour plus d’informations et pour obtenir la liste des valeurs autorisées, consultez UserScope dans l’article Vue d’ensemble du schéma. |
| ActorScopeId | Facultatif | Chaîne | ID d’étendue, par exemple, l’ID d’annuaire Microsoft Entra, où sont définis ActorUserId et ActorUsername. Pour plus d’informations et pour obtenir la liste des valeurs autorisées, consultez UserScopeId dans l’article Vue d’ensemble du schéma. |
Regrouper des champs
| Champ | Classe | Type | Description |
|---|---|---|---|
| GroupId | Facultatif | Chaîne | Représentation unique et alphanumérique (lisible par une machine) du groupe, pour les activités impliquant un groupe. Les types et formats pris en charge comprennent les suivants : - SID (Windows) : S-1-5-21-1377283216-344919071-3415362939-500- UID (Linux) : 4578Stockez le type de l’ID dans le champ GroupIdType. Si d’autres ID sont disponibles, nous vous recommandons de normaliser les noms de champs en GroupSid ou GroupUid, respectivement. Pour plus d’informations, consultez L’entité utilisateur. Exemple : S-1-12 |
| GroupIdType | Facultatif | Énuméré | Type de l’ID stocké dans le champ GroupId. Les valeurs prises en charge sont SID et UID. |
| Nom du groupe | Facultatif | Chaîne | Nom du groupe, en incluant les informations de domaine le cas échéant, pour les activités impliquant un groupe. Utilisez l'un des formats suivants et dans l'ordre de priorité suivant : - Upn/E-mail : grp@contoso.com- Windows : Contoso\grp- DN : CN=grp,OU=Sales,DC=Fabrikam,DC=COM- Simple : grp. Utilisez la forme Simple uniquement si les informations de domaine ne sont pas disponibles.Stockez le type du nom de groupe dans le champ GroupNameType. Si d’autres ID sont disponibles, nous vous recommandons de normaliser les noms de champs en GroupUpn, GroupNameWindows et GroupDn. Exemple : Contoso\Finance |
| GroupNameType | Facultatif | Énuméré | Spécifie le type du nom de groupe stocké dans le champ GroupName. Les valeurs UPN, Windows, DN et Simple sont prises en charge.Exemple : Windows |
| GroupType | Facultatif | Énuméré | Type du groupe, pour les activités impliquant un groupe. Les valeurs prises en charge sont : - Local Distribution- Local Security Enabled- Global Distribution- Global Security Enabled- Universal Distribution- Universal Security Enabled- OtherRemarque : la valeur peut être fournie dans l’enregistrement source avec des termes différents, qui doivent être normalisés avec ces valeurs. Stockez la valeur d’origine dans le champ GroupOriginalType. |
| GroupOriginalType | Facultatif | Chaîne | Type du groupe d’origine, s’il est fourni par la source. |
Champs sources
| Champ | Classe | Type | Description |
|---|---|---|---|
| Src | Recommandé | Chaîne | Identificateur unique de l’appareil source. Ce champ peut prendre l’alias des champs SrcDvcId, SrcHostname et SrcIpAddr. Exemple : 192.168.12.1 |
| SrcIpAddr | Recommandé | Adresse IP | Adresse IP de l’appareil source. Cette valeur est obligatoire siSrcHostname est spécifié. Exemple : 77.138.103.108 |
| IpAddr | Alias | Alias de SrcIpAddr. | |
| SrcPortNumber | Facultatif | Nombre entier | Port IP d’où provient la connexion. Peut ne pas être pertinent pour une session comprenant plusieurs connexions. Exemple : 2335 |
| SrcMacAddr | Facultatif | Adresse MAC (chaîne) | Adresse MAC de l’interface réseau d’où provient la connexion ou la session. Exemple : 06:10:9f:eb:8f:14 |
| SrcDescription | Facultatif | Chaîne | Obtient le texte descriptif associé à l’appareil. Par exemple : Primary Domain Controller. |
| SrcHostname | Recommandé | Chaîne | Nom d’hôte de l’appareil source, à l’exception des informations de domaine. Exemple : DESKTOP-1282V4D |
| SrcDomain | Recommandé | Domaine (chaîne) | Domaine de l’appareil source. Exemple : Contoso |
| SrcDomainType | Recommandé | Énuméré | Type de SrcDomain, s’il est connu. Les valeurs possibles incluent : - Windows (par exemple, contoso)- FQDN (par exemple, microsoft.com)Obligatoire si SrcDomain est utilisé. |
| SrcFQDN | Facultatif | FQDN (Corde) | Nom d’hôte de l’appareil source, y compris les informations de domaine, le cas échéant. Remarque : ce champ prend en charge à la fois le format FQDN traditionnel et le format Windows domain\hostname. Le champ SrcDomainType reflète le format utilisé. Exemple : Contoso\DESKTOP-1282V4D |
| SrcDvcId | Facultatif | Chaîne | ID de l’appareil source comme indiqué dans l’enregistrement. Exemple : ac7e9755-8eae-4ffc-8a02-50ed7a2216c3 |
| SrcDvcScopeId | Facultatif | Chaîne | ID de l’étendue de la plateforme cloud à laquelle appartient l’appareil source. SrcDvcScopeId correspond à un ID d’abonnement sur Azure et à un ID de compte sur AWS. |
| SrcDvcScope | Facultatif | Chaîne | Étendue de la plateforme cloud à laquelle appartient l’appareil source. DvcSubscription correspond à un ID d’abonnement sur Azure et à un ID de compte sur AWS. |
| SrcDvcIdType | Conditionnelle | Énuméré | Type de SrcDvcId, s’il est connu. Les valeurs possibles incluent : - AzureResourceId- MDEidSi plusieurs ID sont disponibles, utilisez le premier de la liste précédente, et stockez les autres à l’aide des noms de champ SrcDvcAzureResourceId et SrcDvcMDEid, respectivement. Remarque: ce champ est obligatoire si le champ SrcDvcld est utilisé. |
| SrcDeviceType | Facultatif | Énuméré | Type de l’appareil source. Les valeurs possibles incluent : - Computer- Mobile Device- IOT Device- Other |
| SrcGeoCountry | Facultatif | Pays ou région | Pays/région associé à l’adresse IP source. Exemple : USA |
| SrcGeoRegion | Facultatif | Région | Région associée à l’adresse IP source. Exemple : Vermont |
| SrcGeoCity | Facultatif | City | Ville associée à l’adresse IP source. Exemple : Burlington |
| SrcGeoLatitude | Facultatif | Latitude | Latitude de la coordonnée géographique associée à l’adresse IP source. Exemple : 44.475833 |
| SrcGeoLongitude | Facultatif | Longitude | Longitude de la coordonnée géographique associée à l’adresse IP source. Exemple : 73.211944 |
| SrcRiskLevel | Facultatif | Nombre entier | Niveau de risque associé à la source. La valeur doit être ajustée dans une plage allant de 0 à 100, 0 étant un risque bénin et 100 étant un risque élevé.Exemple : 90 |
| SrcOriginalRiskLevel | Facultatif | Chaîne | Niveau de risque associé à la source, comme indiqué par l’appareil de création de rapports. Exemple : Suspicious |
Application responsable de l’action
Champs d’inspection
Les champs suivants sont utilisés pour représenter l’inspection effectuée par un système de sécurité tel qu’un système EDR.
| Champ | Classe | Type | Description |
|---|---|---|---|
| Nom de la règle | Facultatif | Chaîne | Nom ou ID de la règle associée aux résultats de l’inspection. |
| Nombre de règles | Facultatif | Nombre entier | Numéro de la règle associée aux résultats de l’inspection. |
| Règle | Conditionnelle | Chaîne | Valeur de kRuleName ou valeur de RuleNumber. Si la valeur de RuleNumber est utilisée, le type doit être converti en chaîne. |
| ThreatId | Facultatif | Chaîne | ID de la menace ou du programme malveillant identifié dans l’activité de fichier. |
| ThreatName | Facultatif | Chaîne | Le nom de la menace ou du programme malveillant identifié dans l’activité de fichier. Exemple : EICAR Test File |
| ThreatCategory | Facultatif | Chaîne | Catégorie de la menace ou du programme malveillant identifié dans l’activité de fichier. Exemple : Trojan |
| ThreatRiskLevel | Facultatif | RiskLevel (entier) | Niveau de risque associé à la menace identifiée. Le niveau doit être un nombre compris entre 0 et 100. Remarque : la valeur peut être fournie dans l’enregistrement source en utilisant une échelle différente, qui doit être normalisée à cette échelle. La valeur originale doit être stockée dans ThreatOriginalRiskLevel. |
| MenaceOriginalRisqueLevel | Facultatif | Chaîne | Niveau de risque signalé par le périphérique de reporting. |
| ChampDeMenace | Facultatif | Chaîne | Champ pour lequel une menace a été identifiée. |
| ThreatConfidence | Facultatif | Niveau de confiance (entier) | Niveau de confiance de la menace identifiée, normalisé à une valeur comprise entre 0 et 100. |
| ThreatOriginalConfidence | Facultatif | Chaîne | Niveau de confiance initial de la menace identifiée, tel que rapporté par le dispositif de rapport. |
| ThreatIsActive | Facultatif | Booléen | True si la menace identifiée est considérée comme une menace active. |
| ThreatFirstReportedTime | Facultatif | datetime | Indique la première fois que l’adresse IP ou le domaine ont été identifiés comme une menace. |
| ThreatLastReportedTime | Facultatif | datetime | La dernière fois que l’adresse IP ou le domaine ont été identifiés comme une menace. |
Champs et alias supplémentaires
| Champ | Classe | Type | Description |
|---|---|---|---|
| Nom d’hôte | Alias | Alias de DvcHostname. |
Mises à jour du schéma
Les modifications apportées à la version 0.1.2 du schéma sont les suivantes :
- Ajout de champs d’inspection.
- Ajout des champs
SrcDescriptionsources ,SrcMacAddr, ,SrcOriginalRiskLevelSrcPortNumberSrcRiskLevel - Ajout des champs
TargetUserScopecibles ,TargetUserScopeId,TargetUserSessionId - Ajout des champs
ActorOriginalUserTyped’acteurs ,ActorScope,ActorScopeId - Ajout du champ d’application d’acteur
ActingOriginalAppType
Étapes suivantes
Pour plus d'informations, consultez les pages suivantes :