ASIM(고급 보안 정보 모델) 네트워크 세션 정규화 스키마 참조

Microsoft Sentinel 네트워크 세션 정규화 스키마는 네트워크 연결 및 네트워크 세션과 같은 IP 네트워크 활동을 나타냅니다. 이러한 이벤트는 예를 들어 운영 체제, 라우터, 방화벽 및 침입 방지 시스템에 의해 보고됩니다.

네트워크 정규화 스키마는 모든 형식의 IP 네트워크 세션을 나타낼 수 있지만 Netflow, 방화벽 및 침입 방지 시스템과 같은 일반적인 원본 형식에 대한 지원을 제공하도록 설계되었습니다.

Microsoft Sentinel의 정규화에 대한 자세한 내용은 정규화 및 ASIM(고급 보안 정보 모델)을 참조하세요.

파서

ASIM 파서에 대한 자세한 내용은 ASIM 파서 개요를 참조하세요.

파서 통합

모든 ASIM 기본 제공 파서를 통합하는 파서를 사용하고 구성된 모든 원본에서 분석이 실행되도록 하려면 _Im_NetworkSession 필터링 파서 또는 _ASim_NetworkSession 매개 변수가 없는 파서를 사용합니다.

또한 ImNetworkSession에서 배포하여 작업 영역에 배포된 ASimNetworkSession 및 파서를 사용할 수 있습니다.

자세한 내용은 기본 제공 ASIM 파서 및 작업 영역 배포 파서를 참조하세요.

기본 제공 원본 관련 파서

Microsoft Sentinel이 기본 제공하는 네트워크 세션 파서 목록은 ASIM 파서 목록을 참조하세요.

사용자 고유의 정규화된 파서 추가

네트워크 세션 정보 모델에 대한 사용자 지정 파서를 개발할 때 다음 구문을 사용하여 KQL 함수의 이름을 지정합니다.

• vimNetworkSession<vendor><Product> - 매개 변수화된 파서의 경우
• ASimNetworkSession<vendor><Product> - 일반 파서의 경우

사용자 지정 파서를 네트워크 세션 통합 파서에 추가하는 방법을 알아보려면 ASIM 파서 관리 문서를 참조하세요.

파서 매개 변수 필터링

네트워크 세션 파서는 필터링 매개 변수를 지원합니다. 이러한 매개 변수는 선택 사항이지만 쿼리 성능을 향상시킬 수 있습니다.

다음 필터링 매개 변수를 사용할 수 있습니다.

일부 매개 변수는 형식 dynamic 값 목록 또는 단일 문자열 값을 모두 허용할 수 있습니다. 동적 값이 필요한 매개 변수에 리터럴 목록을 전달하려면 동적 리터럴을 명시적으로 사용합니다. 예: dynamic(['192.168.','10.'])

예를 들어 지정된 도메인 이름 목록에 대한 네트워크 세션만 필터링하려면 다음을 사용합니다.

let torProxies=dynamic(["tor2web.org", "tor2web.com", "torlink.co"]);
_Im_NetworkSession (hostname_has_any = torProxies)

정규화된 콘텐츠

정규화된 DNS 이벤트를 사용하는 분석 규칙의 전체 목록은 네트워크 세션 보안 콘텐츠를 참조 하세요.

스키마 개요

네트워크 세션 정보 모델은 OSSEM 네트워크 항목 스키마와 일치합니다.

네트워크 세션 스키마는 동일한 필드를 공유하는 유사하지만 고유한 여러 유형의 시나리오를 제공합니다. 이러한 시나리오는 EventType 필드로 식별됩니다.

• NetworkSession - 방화벽, 라우터 또는 네트워크 탭과 같은 네트워크를 모니터링하는 중간 디바이스에서 보고한 네트워크 세션입니다.
• L2NetworkSession - 2계층 정보만 제공되는 네트워크 세션. 해당 이벤트에는 MAC 주소를 포함하지만 IP 주소는 포함하지 않습니다.
• Flow- 일반적으로 Netflow 이벤트와 같이 미리 정의된 기간 동안 여러 유사한 네트워크 세션을 보고하는 집계된 이벤트입니다.
• EndpointNetworkSession - 클라이언트 및 서버를 포함하여 세션의 끝점 중 하나에서 보고한 네트워크 세션입니다. 이러한 이벤트의 경우 스키마는 별칭 필드와 remote 별칭 필드를 지원 local 합니다.
• IDS - 의심스러운 것으로 보고된 네트워크 세션입니다. 이러한 이벤트에는 일부 검사 필드가 채워지고 하나의 IP 주소 필드(원본 또는 대상)만 채워질 수 있습니다.

일반적으로 쿼리는 이러한 이벤트 형식의 하위 집합만 선택해야 하며 사용 사례의 고유한 측면을 별도로 해결해야 할 수 있습니다. 예를 들어 IDS 이벤트는 전체 네트워크 볼륨을 반영하지 않으며 열 기반 분석에서 고려해서는 안 됩니다.

네트워크 세션 이벤트는 설명자 Src 및 Dst를 사용하여 세션에 관련된 디바이스 및 관련 사용자 및 애플리케이션의 역할을 나타냅니다. 따라서 예를 들어 원본 디바이스 호스트 이름과 IP 주소의 이름은 SrcHostname 및 SrcIpAddr입니다. 다른 ASIM 스키마는 일반적으로 대신 사용합니다 TargetDst.

엔드포인트에 의해 보고되고 이벤트 유형이 EndpointNetworkSession인 이벤트의 경우 설명자 Local 및 Remote는 각각 엔드포인트 자체와 네트워크 세션의 다른 쪽 끝에 있는 디바이스를 나타냅니다.

설명자 Dvc는 보고 디바이스에 사용됩니다. 이 디바이스는 엔드포인트에서 보고한 세션에 대한 로컬 시스템이고 다른 네트워크 세션 이벤트에 대해서는 중간 디바이스 또는 네트워크 탭에 사용됩니다.

스키마 세부 정보

일반적인 ASIM 필드

특정 지침이 있는 공통 필드

다음 목록에는 네트워크 세션 이벤트에 대한 특정 지침이 있는 필드가 나와 있습니다.

모든 공통 필드

아래 표에 나열된 필드는 모든 ASIM 스키마에 공통적으로 적용됩니다. 위에 지정된 모든 지침은 필드에 대한 일반 지침을 재정의합니다. 예를 들어 필드가 일반적으로 선택 사항이지만 특정 스키마에서는 필수 사항일 수 있습니다. 각 필드에 대한 자세한 내용은 ASIM 공통 필드 문서를 참조하세요.

네트워크 세션 필드

대상 시스템 필드

대상 사용자 필드

대상 애플리케이션 필드

원본 시스템 필드

원본 사용자 필드

원본 애플리케이션 필드

로컬 및 원격 별칭

위에 나열된 모든 원본 및 대상 필드는 동일한 이름과 설명자 Local 및 Remote를 가진 필드로 선택적으로 별칭을 지정할 수 있습니다. 이는 일반적으로 엔드포인트에서 보고하고 이벤트 유형이 EndpointNetworkSession인 이벤트에 유용합니다.

이러한 이벤트의 경우 설명자 Local 및 Remote는 각각 엔드포인트 자체와 네트워크 세션의 다른 쪽 끝에 있는 디바이스를 나타냅니다. 인바운드 연결의 경우 로컬 시스템은 대상이고 Local 필드는 Dst 필드에 대한 별칭이며 'Remote' 필드는 Src 필드에 대한 별칭입니다. 반대로 아웃바운드 연결의 경우 로컬 시스템은 원본이고 Local 필드는 Src 필드에 대한 별칭이며 Remote 필드는 Dst 필드에 대한 별칭입니다.

예를 들어 인바운드 이벤트의 경우 LocalIpAddr 필드는 DstIpAddr에 대한 별칭이고 RemoteIpAddr 필드는 SrcIpAddr에 대한 별칭입니다.

호스트 이름 및 IP 주소 별칭

중간 디바이스 및 NAT(Network Address Translation) 필드

다음 필드는 네트워크 세션을 릴레이하는 방화벽 또는 프록시와 같은 중간 디바이스에 대한 정보를 레코드에 포함하는 경우에 유용합니다.

중간 시스템은 종종 주소 변환을 사용하므로 원래 주소와 외부에서 관찰되는 주소가 동일하지 않습니다. 이러한 경우 SrcIPAddr 및 DstIpAddr과 같은 기본 주소 필드는 외부에서 관찰되는 주소를 나타내고 NAT 주소 필드인 SrcNatIpAddr 및 DstNatIpAddr은 변환 전 원래 디바이스의 내부 주소를 나타냅니다.

검사 필드

다음 필드는 방화벽, IPS 또는 웹 보안 게이트웨이와 같은 보안 디바이스가 수행한 검사를 나타내는 데 사용됩니다.

기타 필드

이벤트가 네트워크 세션의 엔드포인트 중 하나에서 보고되면 세션을 시작하거나 종료한 프로세스에 대한 정보가 포함될 수 있습니다. 이러한 경우 ASIM 프로세스 이벤트 스키마가 이 정보를 정규화하는 데 사용됩니다.

스키마 업데이트

다음은 스키마 버전 0.2.1의 변경 내용입니다.

• 원본 및 대상 시스템의 선행 식별자에 별칭으로 Src 및 Dst를 추가했습니다.
• NetworkConnectionHistory, SrcVlanId, DstVlanId, InnerVlanId 및 OuterVlanId 필드를 추가했습니다.

다음은 스키마 버전 0.2.2의 변경 내용입니다.

• Remote 및 Local 별칭을 추가했습니다.
• 이벤트 유형 EndpointNetworkSession을 추가했습니다.
• 이벤트 유형이 Hostname일 때 각각 IpAddr 및 RemoteHostname에 대한 별칭으로 LocalIpAddr 및 EndpointNetworkSession을 정의했습니다.
• DvcInterface를 DvcInboundInterface 또는 DvcOutboundInterface에 대한 별칭으로 정의했습니다.
• SrcBytes, DstBytes, NetworkBytes, SrcPackets, DstPackets 및 NetworkPackets 필드 형식을 정수에서 Long으로 변경했습니다.
• NetworkProtocolVersion 필드를 추가했습니다.
• DstUserDomain 및 SrcUserDomain 사용되지 않음

다음은 스키마 버전 0.2.3의 변경 내용입니다.

• ipaddr_has_any_prefix 필터링 매개 변수가 추가되었습니다.
• 이제 hostname_has_any 필터링 매개 변수가 원본 또는 대상 호스트 이름과 일치합니다.
• ASimMatchingHostname 및 ASimMatchingIpAddr 필드를 추가했습니다.

다음은 스키마 버전 0.2.4의 변경 내용입니다.

• TcpFlags 필드를 추가했습니다.
• NetworkIcpmType과 NetworkIcmpCode가 둘 다에 대한 숫자 값을 반영하도록 업데이트되었습니다.
• 추가 검사 필드가 추가되었습니다.
• ASIM 규칙에 맞게 'ThreatRiskLevelOriginal' 필드의 이름이 바뀌었 ThreatOriginalRiskLevel 습니다. 기존 Microsoft 파서는 2023년 5월 1일까지 ThreatRiskLevelOriginal을 유지됩니다.
• EventResultDetails를 권장으로 표시하고 허용되는 값을 지정했습니다.

다음은 스키마 버전 0.2.5의 변경 내용입니다.

• 필드DstUserScope, ,SrcUserScope, SrcDvcScopeId, SrcDvcScopeDstDvcScopeId, DstDvcScopeDvcScopeId및 DvcScope.를 추가했습니다.

다음은 스키마 버전 0.2.6의 변경 내용입니다.

• 이벤트 유형으로 IDS 추가됨

다음은 스키마 0.2.7 버전에서의 변경 사항입니다:

• 필드 DstDescription 를 추가했고, SrcDescription

다음 단계

자세한 내용은 다음을 참조하세요.

• ASIM 웨비나를 시청하거나 슬라이드를 검토
• ASIM(고급 보안 정보 모델) 개요
• ASIM(고급 보안 정보 모델) 스키마
• ASIM(고급 보안 정보 모델) 파서
• ASIM(고급 보안 정보 모델) 콘텐츠