Advanced Security Information Model (ASIM) ネットワーク セッション正規化スキーマ リファレンス

Microsoft Sentinelネットワークセッション正規化スキーマは、ネットワーク接続やネットワークセッションなどのIPネットワークアクティビティを表します。 そのようなイベントは、オペレーティングシステム、ルーター、ファイアウォール、侵入防止システムなどによって報告されます。

ネットワーク正規化スキーマは、任意の種類の IP ネットワーク セッションを表すことができますが、Netflow、ファイアウォール、侵入防止システムなどの一般的な種類のソースをサポートするように設計されています。

Microsoft Sentinel での正規化の詳細については、「正規化と Advanced Security Information Model (ASIM)」を参照してください。

パーサー

ASIM パーサーの詳細については、ASIM パーサーの概要に関する各ページを参照してください。

統一パーサー

すべての ASIM すぐに使用できるパーサーを統合し、構成されているすべてのソースで分析が確実に実行されるようにするには、 _Im_NetworkSession パーサーを使用します。

すぐに使える、ソース固有のパーサー

Microsoft Sentinel が提供するネットワーク セッションパーサーの一覧については、ASIM パーサーの一覧を参照してください

独自の正規化されたパーサーを追加する

ネットワーク セッション情報モデル用のカスタム パーサーを開発するときは、次の構文を使用して KQL 関数に名前を付けます。

• vimNetworkSession<vendor><Product> (パラメーター化パーサーの場合)
• ASimNetworkSession<vendor><Product> (標準パーサーの場合)

ネットワーク セッション統一パーサーにカスタム パーサーを追加する方法については、ASIM パーサーの管理に関する記事を参照してください。

パーサー パラメーターのフィルター処理

ネットワーク セッション パーサーでは、フィルター処理パラメーターがサポートされています。 これらのパーサーは省略可能ですが、クエリのパフォーマンスを向上させることができます。

次のフィルター処理パラメーターを使用できます。

一部のパラメーターは、dynamic 型の値のリストまたは単一の文字列値の両方を受け取ることができます。 動的な値を期待するパラメーターにリテラル リストを渡すには、動的リテラルを明示的に使用します。 例: dynamic(['192.168.','10.'])

たとえば、指定したドメイン名の一覧に対応するネットワーク セッションのみをフィルター処理で抽出するには、以下を使用します。

let torProxies=dynamic(["tor2web.org", "tor2web.com", "torlink.co"]);
_Im_NetworkSession (hostname_has_any = torProxies)

正規化されたコンテンツ

正規化された DNS イベントを使用する分析ルールの完全な一覧については、「ネットワーク セッションのセキュリティ コンテンツ」を参照してください。

スキーマの概要

ネットワーク セッション情報モデルは、OSSEM ネットワーク エンティティ スキーマに対応しています。

ネットワーク セッション スキーマは、同じフィールドを共有するいくつかの種類の類似した異なるシナリオを提供します。 これらのシナリオは、EventType フィールドによって識別されます。

• NetworkSession - ファイアウォール、ルーター、ネットワーク タップなど、ネットワークを監視している中間デバイスによって報告されるネットワーク セッション。
• L2NetworkSession - レイヤー2情報のみが利用可能なネットワークセッション。 このようなイベントには MAC アドレスが含まれますが、IP アドレスは含まれません。
• Flow - 複数の同様のネットワーク セッション (通常は、Netflow イベントなど、定義済みの期間に実行) を報告する集計イベント。
• EndpointNetworkSession - クライアントとサーバーを含む、セッションのエンドポイントの 1 つによって報告されるネットワーク セッション。 このようなイベントでは、スキーマは別名フィールド remote および local をサポートします。
• IDS - 疑わしいと報告されたネットワーク セッション。 このようなイベントでは、検査フィールドの一部が入力され、送信元または宛先の 1 つの IP アドレス フィールドだけ入力される場合があります。

通常、クエリでは、これらのイベントの種類のサブセットのみを選択する必要があり、ユース ケースの個別の固有の側面に対処する必要がある場合があります。 たとえば、IDS イベントはネットワーク ボリューム全体を反映せず、列ベースの分析は考慮しないようにする必要があります。

ネットワーク セッション イベントでは、記述子 Src および Dst を使用して、セッションに関係するデバイスおよび関連するユーザーとアプリケーションの役割を表します。 そのため、たとえば、ソース デバイスのホスト名と IP アドレスは、それぞれ SrcHostname と SrcIpAddr という名前になります。 その他の ASIM スキーマでは、通常、Target ではなく Dst が使用されます。

エンドポイントによって報告され、イベントの種類が EndpointNetworkSession であるイベントの場合、記述子 Local と Remote は、それぞれエンドポイント自体と、ネットワーク セッションのもう一方の端にあるデバイスを表します。

記述子 Dvc は、エンドポイントによって報告されるセッションの場合はレポート デバイス (ローカル システム) に、その他のネットワーク セッション イベントの場合は中間デバイス (ネットワーク タップ) に使用されます。

スキーマの詳細

一般的な ASIM フィールド

特定のガイドラインを持つ共通フィールド

次の一覧には、ネットワーク セッション イベントに関する具体的なガイドラインが含まれたフィールドを示しています。

すべての共通フィールド

下の表に示すフィールドは、すべての ASIM スキーマに共通です。 上で指定されているガイドラインは、フィールドの一般的なガイドラインに優先します。 たとえば、フィールドは一般的には省略可能ですが、特定のスキーマでは必須です。 各フィールドの詳細については、ASIM 共通フィールドに関する記事を参照してください。

ネットワーク セッションのフィールド

ターゲット システムのフィールド

ターゲット ユーザー フィールド

ターゲット アプリケーションのフィールド

ソース システム フィールド

ソース ユーザー フィールド

ソース アプリケーション フィールド

ローカルとリモートの別名

これまでに挙げたすべてのソース ターゲットとターゲット フィールドについて、必要に応じて、同じ名前のフィールドと記述子 Local および Remote を使用して別名を指定できます。 通常、これが役立つのは、エンドポイントによって報告され、イベントの種類が EndpointNetworkSession であるイベントの場合です。

このようなイベントの場合、記述子 Local はエンドポイント自体を表し、Remote はネットワーク セッションのもう一方の端にあるデバイスを表します。 インバウンド接続の場合、ローカル システムがターゲットであり、Local フィールドは Dst フィールドの別名であり、"Remote" フィールドは Src フィールドの別名です。 反対に、アウトバウンド接続の場合、ローカル システムがソースであり、Local フィールドは Src フィールドの別名であり、Remote フィールドは Dst フィールドの別名です。

たとえば、インバウンド イベントの場合、フィールド LocalIpAddr は DstIpAddr の別名であり、フィールド RemoteIpAddr は SrcIpAddr の別名です。

ホスト名と IP アドレスの別名

中間デバイス フィールドとネット ワークアドレス変換 (NAT) フィールド

次のフィールドは、ネットワーク セッションを中継するファイアウォールやプロキシなどの中間デバイスに関する情報がレコードに含まれる場合に便利です。

多くの場合、中間システムではアドレス変換を使用するため、元のアドレスと外部に公開されるアドレスは同じではありません。 このような場合、SrcIPAddr や DstIpAddr などのプライマリ アドレス フィールドは外部に公開されるアドレスを表す一方、NAT アドレス フィールド SrcNatIpAddr および DstNatIpAddr は変換前の元のデバイスの内部アドレスを表します。

検査のフィールド

次のフィールドは、ファイアウォール、IPS、Web セキュリティ ゲートウェイなどのセキュリティ デバイスによって実行された検査を表すために使用されます。

その他のフィールド

イベントがネットワーク セッションのいずれかのエンドポイントによって報告された場合、セッションを開始または終了したプロセスに関する情報が含まれる場合があります。 このような場合は、ASIM プロセス イベント スキーマを使用してこの情報を正規化します。

スキーマの更新

スキーマのバージョン 0.2.1 の変更点を次に示します。

• Src と Dst がソースと送信先のシステムの先頭の識別子に別名として追加されました。
• フィールド NetworkConnectionHistory、 SrcVlanId、 DstVlanId、 InnerVlanId、OuterVlanIdが追加されました。

スキーマのバージョン 0.2.2 の変更点を次に示します。

• Remote と Local の別名が追加されました。
• イベントの種類 EndpointNetworkSession が追加されました。
• イベントの種類が Hostname の場合に、IpAddr と RemoteHostname がそれぞれ LocalIpAddr と EndpointNetworkSession の別名として定義されました。
• DvcInterface が DvcInboundInterface または DvcOutboundInterface の別名として定義されました。
• SrcBytes、DstBytes、NetworkBytes、SrcPackets、DstPackets、NetworkPackets の各フィールドのデータ型が Integer から Long に変更されました。
• フィールド NetworkProtocolVersion が追加されました。
• DstUserDomain と SrcUserDomain が非推奨になりました。

スキーマのバージョン 0.2.3 の変更点を次に示します。

• ipaddr_has_any_prefix フィルター パラメータを追加しました。
• hostname_has_anyフィルター パラメータが、送信元ホスト名または宛先ホスト名のいずれかと一致するようになりました。
• フィール ドASimMatchingHostname と ASimMatchingIpAddr が追加されました。

スキーマのバージョン 0.2.4 の変更点を次に示します。

• フィールド TcpFlags を追加しました。
• NetworkIcpmType と NetworkIcmpCode を更新し、両方に数値を反映しました。
• 新しい検査フィールドを追加しました。
• ASIM の規約に合わせてフィールド 'ThreatRiskLevelOriginal' の名前を ThreatOriginalRiskLevel に変更しました。 既存の Microsoft パーサーは、2023 年 5 月 1 日まで ThreatRiskLevelOriginal を残します。
• EventResultDetails を推奨としてマークし、許容値を指定しました。

スキーマのバージョン 0.2.5 の変更点を次に示します。

• フィールド DstUserScope、SrcUserScope、SrcDvcScopeId、SrcDvcScope、DstDvcScopeId、DstDvcScope、DvcScopeId、DvcScope が追加されました。

スキーマのバージョン 0.2.6 の変更点を次に示します。

• イベントの種類として IDS を追加しました

以下はスキーマのバージョン0.2.7における変更点です:

• DstDescription とSrcDescription

次のステップ

詳細については、次を参照してください。

• ASIM ウェビナーを視聴したり、スライドを確認したりしてください
• Advanced Security Information Model (ASIM) の概要
• Advanced Security Information Model (ASIM) スキーマ
• Advanced Security Information Model (ASIM) のパーサー
• Advanced Security Information Model (ASIM) コンテンツ