Microsoft Sentinel wbudowanych schematów szablonów listy obserwowanych (wersja zapoznawcza)

W tym artykule szczegółowo opisano schematy używane w każdym wbudowanym szablonie listy obserwowanych udostępnianym przez Microsoft Sentinel. Aby uzyskać więcej informacji, zobacz Tworzenie list obserwowanych w Microsoft Sentinel.

Szablony listy obserwowanych Microsoft Sentinel są obecnie w wersji zapoznawczej. Dodatkowe warunki Azure (wersja zapoznawcza) obejmują dodatkowe warunki prawne, które mają zastosowanie do funkcji Azure, które są w wersji beta, wersji zapoznawczej lub w inny sposób nie zostały jeszcze udostępnione do ogólnej dostępności.

Zasoby o wysokiej wartości

Lista obserwowanych zasobów o wysokiej wartości zawiera listę urządzeń, zasobów i innych zasobów, które mają wartość krytyczną w organizacji, i zawiera następujące pola:

Nazwa pola Formatowanie Przykład Obowiązkowe/opcjonalne
Typ zasobu Ciąg Device, Azure resource, , AWS resource, URL, SPO, , File shareOther Obowiązkowe
Identyfikator zasobu Ciąg, w zależności od typu zasobu /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/SOC-Purview/providers/Microsoft.Storage/storageAccounts/purviewadls Obowiązkowe
Nazwa zasobu Ciąg Microsoft.Storage/storageAccounts/purviewadls Opcjonalny
Nazwa FQDN zasobu FQDN Finance-SRv.local.microsoft.com Obowiązkowe
IP Address (Adres IP) IP 1.1.1.1 Opcjonalny
Tagi Listy ["SAW user","Blue Ocean team"] dla plików CSV utworzonych w programie Microsoft Excel lub [""SAW user"",""Blue Ocean team""] plików CSV utworzonych w edytorze tekstów Opcjonalny

Użytkownicy adresów VIP

Lista obserwowanych użytkowników adresów VIP zawiera listę kont użytkowników pracowników o dużym wpływie w organizacji i zawiera następujące wartości:

Nazwa pola Formatowanie Przykład Obowiązkowe/opcjonalne
Identyfikator użytkownika UID 52322ec8-6ebf-11eb-9439-0242ac130002 Opcjonalny
Identyfikator obiektu usługi AAD użytkownika SID aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb Opcjonalny
Identyfikator Sid użytkownika lokalnego SID S-1-12-1-4141952679-1282074057-627758481-2916039507 Opcjonalny
Główna nazwa użytkownika nazwa UPN JeffL@seccxp.ninja Obowiązkowe
Tagi Listy ["SAW user","Blue Ocean team"] dla plików CSV utworzonych w programie Microsoft Excel lub [""SAW user"",""Blue Ocean team""] plików CSV utworzonych w edytorze tekstów Opcjonalny

Adresy sieciowe

Lista obserwowanych adresów sieciowych zawiera listę podsieci IP i ich kontekstów organizacyjnych oraz zawiera następujące pola:

Nazwa pola Formatowanie Przykład Obowiązkowe/opcjonalne
Podsieć IP Zakres podsieci 198.51.100.0/24 Obowiązkowe
Nazwa zakresu Ciąg DMZ Opcjonalny
Tagi Listy ["Example","Example"] dla plików CSV utworzonych w programie Microsoft Excel lub [""Example"",""Example""] plików CSV utworzonych w edytorze tekstów Opcjonalny

Pracownicy, którzy zakończyli pracę

Lista obserwowanych Zakończonych pracowników zawiera listę kont użytkowników pracowników, którzy zostali lub mają zostać przerwani, i zawiera następujące pola:

Nazwa pola Formatowanie Przykład Obowiązkowe/opcjonalne
Identyfikator użytkownika UID 52322ec8-6ebf-11eb-9439-0242ac130002 Opcjonalny
Identyfikator obiektu usługi AAD użytkownika SID aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb Opcjonalny
Identyfikator Sid użytkownika lokalnego SID S-1-12-1-4141952679-1282074057-123 Opcjonalny
Główna nazwa użytkownika nazwa UPN JeffL@seccxp.ninja Obowiązkowe
Userstate Ciąg

Zalecamy użycie jednej Notified lub Terminated		 Terminated Obowiązkowe
Data powiadomienia Sygnatura czasowa — dzień

Zalecamy używanie formatu UTC		 2020-12-1 Opcjonalny
Data zakończenia Sygnatura czasowa — dzień

Zalecamy używanie formatu UTC		 2021-01-01 Obowiązkowe
Tagi Listy ["SAW user","Amba Wolfs team"] dla plików CSV utworzonych w programie Microsoft Excel lub [""SAW user"",""Amba Wolfs team""] plików CSV utworzonych w edytorze tekstów Opcjonalny

Korelacja tożsamości

Lista obserwowanych korelacji tożsamości zawiera listę powiązanych kont użytkowników należących do tej samej osoby i zawiera następujące pola:

Nazwa pola Formatowanie Przykład Obowiązkowe/opcjonalne
Identyfikator użytkownika UID 52322ec8-6ebf-11eb-9439-0242ac130002 Opcjonalny
Identyfikator obiektu usługi AAD użytkownika SID aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb Opcjonalny
Identyfikator Sid użytkownika lokalnego SID S-1-12-1-4141952679-1282074057-627758481-2916039507 Opcjonalny
Główna nazwa użytkownika nazwa UPN JeffL@seccxp.ninja Obowiązkowe
Identyfikator pracownika Ciąg 8234123 Opcjonalny
Poczta e-mail Email JeffL@seccxp.ninja Opcjonalny
Skojarzony identyfikator konta uprzywilejowanego Identyfikator UID/SID S-1-12-1-4141952679-1282074057-627758481-2916039507 Opcjonalny
Skojarzone konto uprzywilejowane nazwa UPN Admin@seccxp.ninja Opcjonalny
Tagi Listy ["SAW user","Amba Wolfs team"] dla plików CSV utworzonych w programie Microsoft Excel lub [""SAW user"",""Amba Wolfs team""]plików CSV utworzonych w edytorze tekstów Opcjonalny

Konta usług

Lista obserwowanych kont usług zawiera listę kont usług i ich właścicieli oraz zawiera następujące pola:

Nazwa pola Formatowanie Przykład Obowiązkowe/opcjonalne
Identyfikator usługi UID 1111-112123-12312312-123123123 Opcjonalny
Identyfikator obiektu usługi AAD SID 11123-123123-123123-123123 Opcjonalny
Identyfikator Sid usługi lokalnej SID S-1-12-1-3123123-123213123-12312312-2916039507 Opcjonalny
Nazwa główna usługi nazwa UPN myserviceprin@contoso.com Obowiązkowe
Identyfikator użytkownika właściciela UID 52322ec8-6ebf-11eb-9439-0242ac130002 Opcjonalny
Identyfikator obiektu AAD użytkownika właściciela SID aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb Opcjonalny
Identyfikator Sid użytkownika lokalnego właściciela SID S-1-12-1-4141952679-1282074057-627758481-2916039507 Opcjonalny
Główna nazwa użytkownika właściciela nazwa UPN JeffL@seccxp.ninja Obowiązkowe
Tagi Listy ["Automation Account","GitHub Account"] dla plików CSV utworzonych w programie Microsoft Excel lub [""Automation Account"",""GitHub Account""]plików CSV utworzonych w edytorze tekstów Opcjonalny

Następne kroki

Aby uzyskać więcej informacji, zobacz,

  • Last updated on