Condividi tramite

ASimNetworkSessionLogs

Lo schema di normalizzazione delle sessioni di rete di Microsoft Sentinel rappresenta un'attività di rete IP, ad esempio connessioni di rete e sessioni di rete. Tali eventi vengono segnalati, ad esempio, da sistemi operativi, router, firewall e sistemi di prevenzione delle intrusioni.

Attributi di tabella

Attributo Valore
Tipi di risorse microsoft.securityinsights/networksessionnormalized
Categorie Sicurezza
Soluzioni SecurityInsights
Log di base Sì
Trasformazione del tempo di inserimento Sì
Query di esempio -

Colonne

Colonna Tipo Descrizione
Campi aggiuntivi dinamico Informazioni aggiuntive, rappresentate usando coppie chiave/valore fornite dall'origine che non eseguono il mapping ad ASim.
_BilledSize autentico Dimensioni del record in byte
DstAppId corda ID dell'applicazione di destinazione, come riportato dal dispositivo di segnalazione.
DstAppName corda Nome dell'applicazione di destinazione.
DstAppType corda Tipo dell'applicazione di destinazione.
DstBytes lungo Numero di byte inviati dalla destinazione all'origine per la connessione o la sessione. Se l'evento è aggregato, DstBytes corrisponde alla somma di tutte le sessioni aggregate.
DstDescription corda Testo descrittivo associato alla destinazione.
DstDeviceType corda Tipo del dispositivo di destinazione.
DstDomain corda Dominio del dispositivo di destinazione.
DstDomainType corda Tipo di DstDomain.
DstDvcId corda ID del dispositivo di destinazione.
DstDvcIdType corda Tipo di DstDvcId.
DstFQDN corda Nome host del dispositivo di destinazione, incluse le informazioni sul dominio, se disponibili.
DstGeoCity corda Città associata all'indirizzo IP di destinazione.
DstGeoCountry corda Paese associato all'indirizzo IP di destinazione.
DstGeoLatitude autentico Latitudine della coordinata geografica associata all'indirizzo IP di destinazione.
DstGeoLongitude autentico Longitudine della coordinata geografica associata all'indirizzo IP di destinazione.
Regione Geografica DST corda L'area o lo stato all'interno di un paese associato all'indirizzo IP di destinazione.
DstHostname corda Nome host del dispositivo di destinazione, escluse le informazioni sul dominio.
DstInterfaceGuid corda GUID dell'interfaccia di rete usata nel dispositivo di destinazione.
DstInterfaceName corda Interfaccia di rete usata per la connessione o la sessione dal dispositivo di destinazione.
DstIpAddr corda Indirizzo IP della connessione o della destinazione della sessione.
DstMacAddr corda Indirizzo MAC dell'interfaccia di rete usata per la connessione o la sessione dal dispositivo di destinazione.
DstNatIpAddr corda DstNatIpAddr rappresenta uno dei seguenti: indirizzo originale del dispositivo di destinazione se è stata usata la conversione degli indirizzi di rete o l'indirizzo IP usato dal dispositivo intermedio per la comunicazione con l'origine.
DstNatPortNumber INT Se segnalato da un dispositivo NAT intermedio, la porta usata dal dispositivo NAT per la comunicazione con l'origine.
DstOriginalUserType corda Tipo di utente di destinazione originale, se fornito dall'origine.
DstPackets lungo Numero di pacchetti inviati dalla destinazione all'origine per la connessione o la sessione. Il significato di un pacchetto è definito dal dispositivo di report. Se l'evento è aggregato, DstPackets corrisponde alla somma di tutte le sessioni aggregate.
DstPortNumber INT Porta IP di destinazione.
DstSubscriptionId corda ID sottoscrizione della piattaforma cloud a cui appartiene il dispositivo di destinazione. Mapping di DstSubscriptionId a un ID sottoscrizione in Azure e a un ID account in AWS.
DstUserId corda Rappresentazione univoca, alfanumerica e leggibile dalla macchina dell'utente di destinazione.
DstUserIdType corda Tipo dell'ID archiviato nel campo DstUserId.
DstUsername corda Nome utente di destinazione, incluse le informazioni sul dominio, se disponibili. Usare il modulo semplice solo se le informazioni sul dominio non sono disponibili.
DstUsernameType corda Specifica il tipo di nome utente archiviato nel campo DstUsername.
DstUserType corda Tipo di utente di destinazione.
DstVlanId corda ID VLAN correlato al dispositivo di destinazione.
Zona DST corda Zona di rete della destinazione, come definito dal dispositivo di reporting.
Dvc corda Identificatore univoco del dispositivo in cui si è verificato l'evento o che ha segnalato l'evento.
DvcAction corda Azione eseguita nella sessione di rete.
DvcDescription corda Un testo descrittivo associato al dispositivo. Ad esempio: Controller di dominio primario.
DvcDomain corda Dominio del dispositivo che segnala l'evento.
DvcDomainType corda Tipo di DvcDomain. I valori possibili includono 'Windows' e 'FQDN'.
DvcFQDN corda Nome host del dispositivo in cui si è verificato l'evento o che ha segnalato l'evento.
DvcHostname corda Nome host del dispositivo che segnala l'evento.
DvcId corda ID univoco del dispositivo in cui si è verificato l'evento o che ha segnalato l'evento.
DvcIdType corda Il tipo di DvcId.
DvcInboundInterface corda Se segnalato da un dispositivo intermedio, l'interfaccia di rete usata dal dispositivo NAT per la connessione al dispositivo di origine.
DvcInterface corda Interfaccia di rete in cui sono stati acquisiti i dati. Questo campo è in genere rilevante per l'attività correlata alla rete acquisita da un dispositivo intermedio o di tocco.
DvcIpAddr corda Indirizzo IP del dispositivo che segnala l'evento.
DvcMacAddr corda Indirizzo MAC del dispositivo in cui si è verificato l'evento o che ha segnalato l'evento. Esempio: 00:1B:44:11:3A:B7.
DvcOriginalAction corda Il DvcAction originale così come fornito dal dispositivo di creazione di report.
DvcOs corda Il sistema operativo in esecuzione nel dispositivo segnala l'evento.
DvcOsVersion corda Versione del sistema operativo nel dispositivo che segnala l'evento.
DvcOutboundInterface corda Se segnalato da un dispositivo intermedio, l'interfaccia di rete usata dal dispositivo NAT per la connessione al dispositivo di destinazione.
DvcSubscriptionId corda ID sottoscrizione della piattaforma cloud a cui appartiene il dispositivo. DvcSubscriptionId esegue il mapping a un ID sottoscrizione in Azure e a un ID account in AWS.
DvcZone corda Rete in cui si è verificato l'evento o che ha segnalato l'evento. La zona è definita dal dispositivo di report.
Conteggio eventi INT Questo valore viene usato quando l'origine supporta l'aggregazione e un singolo record può rappresentare più eventi.
Ora di Fine Evento data e ora Ora di fine dell'evento. Se l'origine supporta l'aggregazione e il record rappresenta più eventi, l'ora in cui è stato generato l'ultimo evento. Se non specificato dal record di origine, questo campo alias il campo TimeGenerated.
Messaggio dell'Evento corda Messaggio o descrizione generali.
DettagliOriginaliDelRisultatoDell'Evento corda Dettagli del risultato originale forniti dall'origine. Questo valore viene usato per derivare EventResultDetails, che deve avere solo uno dei valori documentati per ogni schema.
EventOriginalSeverity corda Gravità originale fornita dal dispositivo di report. Questo valore viene usato per derivare EventSeverity.
EventOriginalSubType corda Sottotipo o ID dell'evento originale, se specificato dall'origine. Ad esempio, questo campo verrà usato per archiviare il tipo di accesso di Windows originale. Questo valore viene usato per derivare EventSubType, che deve avere solo uno dei valori documentati per ogni schema.
EventOriginalType corda Tipo di evento o ID originale, se specificato dall'origine.
EventOriginalUid corda ID univoco del record originale, se specificato dall'origine.
EventProduct corda Prodotto che genera l'evento.
EventProductVersion corda Versione del prodotto che genera l'evento.
EventReportUrl corda URL fornito nell'evento per una risorsa che fornisce altre informazioni sull'evento.
Risultato dell'evento corda Il risultato dell'evento, rappresentato da uno dei seguenti valori: Successo, Parziale, Fallimento, NA (Non Applicabile). Il valore potrebbe non essere fornito direttamente dalle origini, nel qual caso è derivato da altri campi evento, ad esempio il campo EventResultDetails.
Dettagli dei Risultati dell'Evento corda Motivo o dettagli per il risultato segnalato nel campo EventResult.
EventSchemaVersion corda La versione dello schema.
EventSeverity corda Gravità dell'evento. I valori validi sono: Informativo, Basso, Medio o Alto.
OraInizioEvento data e ora Ora di avvio dell'evento. Se l'origine supporta l'aggregazione e il record rappresenta più eventi, l'ora in cui è stato generato il primo evento. Se non specificato dal record di origine, questo campo alias il campo TimeGenerated.
EventSubtype corda Descrizione aggiuntiva del tipo di evento, se applicabile.
Tipo di Evento corda Operazione segnalata dal record.
EventVendor corda Fornitore del prodotto che genera l'evento.
_ÈFatturabile corda Specifica se l'acquisizione dei dati è fatturabile. Quando _IsBillable è false, l'ingestione non viene fatturata sul tuo account Azure
Protocollo di Applicazione di Rete corda Protocollo del livello applicazione usato dalla connessione o dalla sessione.
NetworkBytes lungo Numero di byte inviati in entrambe le direzioni. Se esistono sia BytesReceived che BytesSent, BytesTotal deve essere uguale alla somma. Se l'evento è aggregato, NetworkBytes corrisponde alla somma di tutte le sessioni aggregate.
CronologiaConnessioniDiRete corda Flag TCP e altre informazioni potenziali sull'intestazione IP.
Direzione della Rete corda Direzione della connessione o della sessione.
Durata della Rete INT Quantità di tempo, espressa in millisecondi, per il completamento della sessione di rete o della connessione.
NetworkIcmpCode INT Per un messaggio ICMP, il valore numerico del tipo di messaggio ICMP, come descritto in RFC 2780 per le connessioni di rete IPv4 o in RFC 4443 per le connessioni di rete IPv6.
NetworkIcmpType corda Per un messaggio ICMP, la rappresentazione testuale del tipo di messaggio ICMP, come descritto in RFC 2780 per le connessioni di rete IPv4 o in RFC 4443 per le connessioni di rete IPv6.
Pacchetti di Rete lungo Numero di pacchetti inviati in entrambe le direzioni. Se sono presenti sia PacketsReceived che PacketsSent, BytesTotal deve essere uguale alla somma. Il significato di un pacchetto è definito dal dispositivo di report. Se l'evento è aggregato, NetworkPackets è la somma di tutte le sessioni aggregate.
Protocollo di rete corda Protocollo IP usato dalla connessione o dalla sessione, come indicato nell'assegnazione del protocollo IANA, che in genere è TCP, UDP o ICMP.
VersioneDelProtocolloDiRete corda Versione di NetworkProtocol.
NetworkRuleName corda Nome o ID della regola su cui è stato deciso DvcAction.
NetworkRuleNumber INT Numero della regola su cui è stato deciso DvcAction.
NetworkSessionId corda Identificatore di sessione segnalato dal dispositivo di report.
_ResourceId corda Identificatore univoco della risorsa a cui è associato il record.
SourceSystem corda Tipo di agente da cui è stato raccolto l'evento. Ad esempio, OpsManager per l'agente Windows con connessione diretta oppure Operations Manager, Linux per tutti gli agenti Linux o Azure per Diagnostica di Azure
SrcAppId corda ID dell'applicazione di origine, come segnalato dal dispositivo di report.
SrcAppName corda Nome dell'applicazione di origine.
SrcAppType corda Tipo dell'applicazione di origine.
SrcBytes lungo Numero di byte inviati dall'origine alla destinazione per la connessione o la sessione. Se l'evento è aggregato, SrcBytes corrisponde alla somma di tutte le sessioni aggregate.
SrcDescription corda Testo descrittivo associato all'origine.
SrcDeviceType corda Tipo del dispositivo di origine.
SrcDomain corda Dominio del dispositivo di origine.
SrcDomainType corda Tipo di SrcDomain.
SrcDvcId corda ID del dispositivo di origine.
SrcDvcIdType corda Tipo di SrcDvcId.
SrcFQDN corda Nome host del dispositivo di origine, incluse le informazioni sul dominio, se disponibili.
SrcGeoCity corda Città associata all'indirizzo IP di origine.
SrcGeoCountry corda Paese associato all'indirizzo IP di origine.
SrcGeoLatitude autentico Latitudine della coordinata geografica associata all'indirizzo IP di origine.
SrcGeoLongitude autentico Longitudine della coordinata geografica associata all'indirizzo IP di origine.
SrcGeoRegion corda Area all'interno di un paese associato all'indirizzo IP di origine.
SrcHostname corda Nome host del dispositivo di origine, escluse le informazioni sul dominio. Se non è disponibile alcun nome di dispositivo, può archiviare l'indirizzo IP pertinente.
SrcInterfaceGuid corda GUID dell'interfaccia di rete usata nel dispositivo di origine.
SrcInterfaceName corda Interfaccia di rete usata per la connessione o la sessione dal dispositivo di origine.
SrcIpAddr corda Indirizzo IP da cui ha avuto origine la connessione o la sessione.
SrcMacAddr corda Indirizzo MAC dell'interfaccia di rete da cui ha avuto origine la connessione o la sessione.
SrcNatIpAddr corda SrcNatIpAddr rappresenta l'indirizzo originale del dispositivo di origine se è stata usata la conversione degli indirizzi di rete o l'indirizzo IP utilizzato dal dispositivo intermedio per la comunicazione con la destinazione.
SrcNatPortNumber INT Se segnalato da un dispositivo NAT intermedio, la porta usata dal dispositivo NAT per la comunicazione con la destinazione.
SrcOriginalUserType corda Il tipo di utente di destinazione originale, se fornito dal dispositivo di report.
SrcPackets lungo Numero di pacchetti inviati dall'origine alla destinazione per la connessione o la sessione. Il significato di un pacchetto è definito dal dispositivo di report. Se l'evento è aggregato, SrcPackets corrisponde alla somma di tutte le sessioni aggregate.
SrcPortNumber INT Porta IP da cui ha avuto origine la connessione. Potrebbe non essere rilevante per una sessione che comprende più connessioni.
SrcSubscriptionId corda ID sottoscrizione della piattaforma cloud a cui appartiene il dispositivo di origine. SrcSubscriptionId corrisponde a un ID dell'abbonamento su Azure e a un ID dell'account su AWS.
SrcUserId corda Rappresentazione univoca e alfanumerica dell'utente di origine, leggibile dal computer.
SrcUserIdType corda Tipo dell'ID archiviato nel campo SrcUserId.
SrcUsername corda Nome utente di origine, incluse le informazioni sul dominio, se disponibili.
SrcUsernameType corda Specifica il tipo di nome utente archiviato nel campo SrcUsername.
SrcUserType corda Tipo dell'utente di origine.
SrcVlanId corda ID VLAN correlato al dispositivo di origine.
SrcZone corda Zona di rete dell'origine, come definito dal dispositivo di reporting.
_SubscriptionId (ID sottoscrizione) corda Identificatore univoco della sottoscrizione a cui è associato il record
TcpFlagsAck Bool Flag TCP ACK segnalato. Il flag di riconoscimento viene usato per confermare la ricezione corretta di un pacchetto. Come si può vedere dal diagramma precedente, il ricevitore invia un ACK e un SYN nel secondo passaggio del processo di handshake a tre vie per indicare al mittente che ha ricevuto il pacchetto iniziale.
TcpFlagsFin Bool Flag TCP FIN segnalato. Il flag completato indica che non sono presenti più dati dal mittente. Pertanto, viene usato nell'ultimo pacchetto inviato dal mittente.
TcpFlagsPsh Bool Flag TCP PSH segnalato. Il flag di push è in qualche modo simile al flag URG e indica al ricevitore di elaborare questi pacchetti man mano che vengono ricevuti anziché memorizzarli nel buffer.
TcpFlagsRst Bool Flag TCP RST segnalato. Il flag di reset viene inviato dal ricevitore al mittente quando un pacchetto viene inviato a un host specifico che non lo attendeva.
TcpFlagsSyn Bool Flag TCP SYN segnalato. Il segnale di sincronizzazione viene usato come primo passo per stabilire una procedura di handshake a tre vie tra due host. Solo il primo pacchetto del mittente e del destinatario deve avere questo flag impostato.
TcpFlagsUrg Bool Flag TCP URG segnalato. Il flag urgente viene usato per notificare al ricevitore di elaborare i pacchetti urgenti prima di elaborare tutti gli altri pacchetti. Il ricevitore riceverà una notifica quando sono stati ricevuti tutti i dati urgenti noti. Per altri dettagli, vedere RFC 6093.
ID del tenant corda L'ID dell'area di lavoro Log Analytics
Categoria di Minaccia corda Categoria della minaccia o del malware identificato nella sessione di rete.
Livello di fiducia nella minaccia INT Livello di attendibilità della minaccia identificata, normalizzato in un valore compreso tra 0 e 100.
ThreatField corda Campo per il quale è stata identificata una minaccia. Il valore è SrcIpAddr, DstIpAddr, Domain o DnsResponseName.
TempoDellaPrimaSegnalazioneDiMinaccia data e ora La prima volta che l'indirizzo IP o il dominio sono stati identificati come minaccia.
Identificatore di minaccia corda ID della minaccia o del malware identificato nella sessione di rete.
Indirizzo IP di minaccia corda Indirizzo IP per il quale è stata identificata una minaccia. Il campo ThreatField contiene il nome del campo che ThreatIpAddr rappresenta.
La minaccia è attiva Bool True ID la minaccia identificata è considerata una minaccia attiva.
TempoUltimaSegnalazioneMinaccia data e ora L'ultima volta che l'indirizzo IP o il dominio sono stati identificati come minaccia.
Nome della Minaccia corda Nome della minaccia o del malware identificato nella sessione di rete.
MinacciaOriginaleFiducia corda Livello di attendibilità originale della minaccia identificata, come segnalato dal dispositivo di report.
Livello di Rischio Originale della Minaccia corda Livello di rischio segnalato dal dispositivo di report.
Livello di Rischio di Minaccia INT Livello di rischio associato alla sessione. Il livello è un numero compreso tra 0 e 100.
TimeGenerated data e ora Timestamp (UTC) che riflette l'ora in cui è stato generato l'evento.
Tipo corda Nome della tabella
  • Last updated on