進階安全性資訊模型 （ASIM） 網路會話正規化架構參考

Microsoft Sentinel 網路會話正規化架構代表 IP 網路活動，例如網路連線和網路會話。 例如，作系統、路由器、防火牆和入侵預防系統會報告這類事件。

網路正規化架構可以代表任何類型的IP網路會話，但其設計目的是支援常見的來源類型，例如 Netflow、防火牆和入侵預防系統。

如需Microsoft Sentinel 中正規化的詳細資訊，請參閱正規化和進階安全性資訊模型 （ASIM）。

剖析器

如需 ASIM 剖析器的詳細資訊，請參閱 ASIM 剖析器概觀。

統一剖析器

要使用統一所有 ASIM 現成解析器的解析器，並確保你的分析能跨越所有設定的原始碼，請使用解析 _Im_NetworkSession 器。

現用的現用來源特定剖析器

如需網路會話剖析器清單，Microsoft Sentinel 提供現成的參考 ASIM 剖析器清單

新增您自己的標準化剖析器

開發網路工作階段資訊模型的自訂剖析器時，請使用下列語法為您的 KQL 函式命名：

• vimNetworkSession<vendor><Product> 適用於參數化剖析器
• ASimNetworkSession<vendor><Product> 適用於一般剖析器

請參閱管理 ASIM 剖析器一文，瞭解如何將自定義剖析器新增至網路會話統一剖析器。

篩選剖析器參數

網路會話剖析器支援 篩選參數。 雖然這些參數是選擇性的，但它們可以改善查詢效能。

下列篩選參數可供使用：

某些參數可以接受類型的 dynamic 值清單或單一字串值。 若要將常值清單傳遞至預期動態值的參數，請明確使用 動態常值。 例如：dynamic(['192.168.','10.'])

例如，若要僅篩選指定功能變數名稱清單的網路工作階段，請使用：

let torProxies=dynamic(["tor2web.org", "tor2web.com", "torlink.co"]);
_Im_NetworkSession (hostname_has_any = torProxies)

標準化內容

如需使用標準化 DNS 事件之分析規則的完整清單，請參閱 網路會話安全性內容。

結構描述概觀

網路會話資訊模型會與 OSSEM 網路實體架構一致。

網路會話架構提供數種類型的類似但不同的案例，這些案例會共用相同的字段。 這些案例是由 EventType 欄位所識別：

• NetworkSession - 由監視網路的中繼裝置所報告的網路會話，例如防火牆、路由器或網路點選。
• L2NetworkSession - 僅有第二層資訊的網路會話。 這類事件會包含 MAC 位址，但不包含 IP 位址。
• Flow - 報告多個類似網路會話的匯總事件，通常是在預先定義的時段內，例如 Netflow 事件。
• EndpointNetworkSession - 工作階段的其中一個端點所報告的網路工作階段，包括客戶端和伺服器。 針對這類事件，架構支援 remote 和 local 別名字段。
• IDS - 回報為可疑的網路會話。 這類事件會填入一些檢查欄位，而且可能只有一個IP位址欄位填入來源或目的地。

一般而言，查詢應該只選取這些事件類型的子集，而且可能需要個別解決使用案例的獨特層面。 例如，IDS 事件不會反映整個網路磁碟區，而且不應該在以數據行為基礎的分析中納入考慮。

網路會話事件會使用描述元 Src 和 Dst 來表示裝置的角色，以及會話中相關使用者和應用程式的角色。 因此，例如，來源裝置主機名和IP位址會命名 SrcHostname 為和 SrcIpAddr。 其他 ASIM 架構通常會使用 Target ， Dst而不是 。

針對端點所報告的事件，以及事件類型為 EndpointNetworkSession的事件，描述項 Local 和 Remote 表示端點本身和裝置分別位於網路會話的另一端。

描述元 Dvc 用於報告裝置，這是端點所報告會話的本機系統，以及其他網路會話事件的中繼裝置或網路點選。

架構詳細數據

一般 ASIM 欄位

具有特定指導方針的常見欄位

下列清單提及具有網路會話事件特定指導方針的欄位：

所有通用欄位

下表中顯示的欄位適用於所有 ASIM 架構。 上述任何指定的指導方針會覆寫欄位的一般指導方針。 例如，欄位通常是選擇性的，但特定架構的必要專案。 如需每個欄位的詳細資訊，請參閱 ASIM 通用欄位 一文。

網路會話欄位

目的地系統欄位

目的地使用者欄位

目的地應用程式欄位

來源系統欄位

來源使用者欄位

來源應用程式欄位

本機和遠端別名

以上所列的所有來源和目的地字段，都可以由具有相同名稱和描述元 Local 和的 Remote字段選擇性別名。 這通常有助於端點所報告的事件，且事件類型為 EndpointNetworkSession。

對於這類事件，描述項 Local 和 Remote 分別表示端點本身和網路會話另一端的裝置。 針對輸入連線，本機系統是目的地、 Local 欄位是欄位的別名 Dst ，而 'Remote' 字段則是字段的 Src 別名。 相反地，對於輸出連線，本機系統是來源、 Local 欄位是欄位的別名 Src ，而 Remote 欄位則是欄位的 Dst 別名。

例如，針對輸入事件，欄位 LocalIpAddr 是的 DstIpAddr 別名，而欄位 RemoteIpAddr 是 的 SrcIpAddr別名。

主機名和IP位址別名

中繼裝置和網路位址轉換 （NAT） 欄位

如果記錄包含中繼裝置的相關信息，例如防火牆或 Proxy，轉播網路會話，下列字段會很有用。

中繼系統通常會使用位址轉譯，因此在外部觀察到的原始位址和位址並不相同。 在這種情況下，SrcIPAddr 和 DstIpAddr 等主要位址字段代表外部觀察到的位址，而 NAT 位址欄位、SrcNatIpAddr 和 DstNatIpAddr 則代表原始裝置的內部位址，然後再翻譯。

檢查欄位

下列欄位可用來表示執行防火牆、IPS 或 Web 安全性閘道等安全性裝置的檢查：

其他欄位

如果事件是由網路會話的其中一個端點所報告，它可能包含起始或終止會話之進程的相關信息。 在這種情況下， ASIM進程事件架構 是用來正規化這項資訊。

架構更新

以下是架構 0.2.1 版的變更：

• 將 Src 和 Dst 新增為來源和目的地系統前置標識符的別名。
• 已新增、NetworkConnectionHistory、SrcVlanId、 DstVlanId和InnerVlanId欄位OuterVlanId。

以下是架構 0.2.2 版的變更：

• 已新增 Remote 和 Local 別名。
• 新增事件類型 EndpointNetworkSession。
• 當Hostname事件類型為 IpAddr時，分別定義為 和 RemoteHostnameLocalIpAddr 的EndpointNetworkSession別名。
• 定義為 DvcInterface 或DvcInboundInterface的DvcOutboundInterface別名。
• 將下列欄位的類型從 Integer 變更為 Long：SrcBytes、、DstBytes、NetworkBytesSrcPackets、DstPackets、 和 NetworkPackets。
• 新增欄位 NetworkProtocolVersion。
• 已 DstUserDomain 取代與 SrcUserDomain。

以下是架構 0.2.3 版的變更：

• ipaddr_has_any_prefix已新增篩選參數。
• 篩選 hostname_has_any 參數現在符合來源或目的地主機名。
• 新增欄位 ASimMatchingHostname 與 ASimMatchingIpAddr。

以下是架構 0.2.4 版的變更：

• 已新增 TcpFlags 欄位。
• 已更新 NetworkIcpmType 和 NetworkIcmpCode 以反映兩者的數位值。
• 已新增其他檢查欄位。
• 欄位 'ThreatRiskLevelOriginal' 已重新命名為 ThreatOriginalRiskLevel ，以符合 ASIM 慣例。 現有的Microsoft剖析器將維持 ThreatRiskLevelOriginal 到 2023 年 5 月 1 日為止。
• 標示 EventResultDetails 為建議，並指定允許的值。

以下是架構 0.2.5 版的變更：

• 新增欄DstUserScope位、SrcUserScope、、、SrcDvcScopeId、SrcDvcScopeDstDvcScopeId、DstDvcScope、 DvcScopeId和 DvcScope。

以下是架構 0.2.6 版的變更：

• 已將 IDS 新增為事件類型

以下是結構 0.2.7 版本的變更：

• 加入了欄位 DstDescription 和 SrcDescription

下一步

如需詳細資訊，請參閱

• 觀看 ASIM 網路研討會 或檢閱 投影片
• 進階安全性資訊模型 (ASIM) 概觀
• 進階安全性資訊模型 (ASIM) 結構描述
• 進階安全性資訊模型 (ASIM) 剖析器
• 進階安全性資訊模型 (ASIM) 內容