Referência do esquema de normalização de eventos do Modelo de Informações de Segurança Avançada (ASIM)

O esquema de evento do Registro é usado para descrever a atividade do Windows de criar, modificar ou excluir entidades do Registro do Windows.

Os eventos do Registro são específicos para sistemas Windows, mas são relatados por diferentes sistemas que monitoram o Windows, como sistemas EDR (End Point Detection and Response), Sysmon ou o próprio Windows.

Para obter mais informações sobre a normalização no Microsoft Sentinel, consulte Normalização e o ASIM (Modelo Avançado de Informações de Segurança).

Analisadores

Para usar o analisador unificador que unifica todos os analisadores internos e garantir que sua análise seja executada em todas as fontes configuradas, use imRegistry como o nome da tabela em sua consulta.

Para obter a lista de analisadores de Eventos de Processo que o Microsoft Sentinel fornece prontos para uso, consulte a lista de analisadores ASIM

Implante os analisadores unificadores e específicos de origem do repositório GitHub do Microsoft Sentinel.

Para obter mais informações, consulte Analisadores ASIM e Usar analisadores ASIM.

Adicionar seus próprios analisadores normalizados

Ao implementar analisadores personalizados para o modelo de informações de Evento do Registro, nomeie suas funções KQL usando a seguinte sintaxe: imRegistry<vendor><Product>.

Adicione suas funções KQL aos imRegistry analisadores unificadores para garantir que qualquer conteúdo que use o modelo de Evento do Registro também use seu novo analisador.

Parâmetros do analisador filtrante

Os analisadores de eventos do Registro dão suporte a parâmetros de filtragem. Embora esses parâmetros sejam opcionais, eles podem melhorar o desempenho da consulta.

Os seguintes parâmetros de filtragem estão disponíveis:

Nome Tipo Descrição
starttime datetime Filtre somente os eventos do Registro que ocorreram nessa hora ou após essa hora. Esse parâmetro é filtrado TimeGenerated no campo, que é o designador padrão para a hora do evento, independentemente do mapeamento específico do analisador dos campos EventStartTime e EventEndTime.
Hora de Término datetime Filtre somente os eventos do Registro que ocorreram nessa hora ou antes dela. Esse parâmetro é filtrado TimeGenerated no campo, que é o designador padrão para a hora do evento, independentemente do mapeamento específico do analisador dos campos EventStartTime e EventEndTime.
eventtype_in dinâmico Filtrar somente eventos do Registro em que o tipo de evento é um dos valores listados, incluindo: RegistryKeyCreated, RegistryKeyDeleted, RegistryKeyRenamed, RegistryValueDeleted, ou RegistryValueSet.
actorusername_has_any dinâmico Filtrar somente eventos do Registro em que o nome de usuário do ator tenha qualquer um dos valores listados.
registrykey_has_any dinâmico Filtrar somente eventos do Registro em que a chave do Registro tenha qualquer um dos valores listados.
registryvalue_has_any dinâmico Filtrar somente eventos do Registro em que o valor do Registro tenha qualquer um dos valores listados.
registrydata_has_any dinâmico Filtrar somente eventos do Registro nos quais os dados do Registro tenham qualquer um dos valores listados.
dvchostname_has_any dinâmico Filtrar somente eventos de registro em que o nome de host do dispositivo tenha qualquer um dos valores listados.

Por exemplo, para filtrar apenas eventos de criação de chave do Registro do último dia, use:

_Im_RegistryEvent (eventtype_in=dynamic(['RegistryKeyCreated']), starttime = ago(1d), endtime=now())

Conteúdo normalizado

O Microsoft Sentinel fornece a consulta de busca de Chave do Registro Persistente por meio do IFEO. Essa consulta funciona em qualquer dado de atividade do Registro normalizado usando o Modelo de Informações de Segurança Avançada.

Para obter mais informações, consulte Buscar ameaças com o Microsoft Sentinel.

Detalhes do esquema

O modelo de informações de evento do Registro está alinhado com o esquema de entidade do Registro OSSEM.

Campos ASIM comuns

Importante

Os campos comuns a todos os esquemas são descritos em detalhes no artigo Campos comuns do ASIM .

Campos comuns com diretrizes específicas

A lista a seguir menciona campos que possuem diretrizes específicas para eventos de atividade de processo:

Campo Classe Tipo Descrição
EventType Obrigatório Enumerado Descreve a operação relatada pelo registro.

Para registros do Registro, os valores com suporte incluem:
- RegistryKeyCreated
- RegistryKeyDeleted
- RegistryKeyRenamed
- RegistryValueDeleted
- RegistryValueSet
EventSchemaVersion Obrigatório SchemaVersion (cadeia de caracteres) A versão do esquema. A versão do esquema documentado aqui é 1.0.0
EventSchema Obrigatório Cadeia de caracteres O nome do esquema documentado aqui é RegistryEvent.
Campos Dvc Para eventos de atividade do Registro, os campos de dispositivo se referem ao sistema no qual a atividade do Registro ocorreu.

Todos os campos comuns

Os campos que aparecem na tabela abaixo são comuns a todos os esquemas ASIM. Qualquer diretriz especificada acima substitui as diretrizes gerais para o campo. Por exemplo, um campo pode ser opcional em geral, mas obrigatório para um esquema específico. Para obter mais detalhes sobre cada campo, consulte o artigo Campos comuns do ASIM .

Classe Fields
Obrigatório - EventCount
- EventStartTime
- EventEndTime
- Tipo de evento
- EventResult
- EventProduct
- EventVendor
- EventSchema
- EventSchemaVersion
- DVC
Recomendado - EventResultDetails
- EventSeveridade
- EventUid
- DvcIpAddr
- Nome do host do DVC
- DvcDomain
- DvcDomainType
- DvcFQDN
- DvcId
- DvcIdType
- DvcAction
Opcional - EventMessage
- EventSubType
- EventOriginalUid
- EventOriginalType
- EventOriginalSubType
- EventOriginalResultDetails
- EventOriginalSeverity
- EventProductVersion
- EventReportUrl
- EventOwner
- DvcZone
- DvcMacAddr
- DvcOs
- DvcOsVersion
- DvcOriginalAction
- Interface DvcInterface
- AdditionalFields
- DvcDescription
- DvcScopeId
- DvcScope

Campos específicos de eventos do Registro

Os campos listados na tabela abaixo são específicos para eventos do Registro, mas são semelhantes aos campos em outros esquemas e seguem convenções de nomenclatura semelhantes.

Para obter mais informações, consulte Estrutura do Registro na documentação do Windows.

Campo Classe Tipo Descrição
RegistryKey Obrigatório Cadeia de caracteres A chave do Registro associada à operação, normalizada para as convenções de nomenclatura de chave raiz padrão. Para obter mais informações, consulte Chaves raiz.

As chaves do Registro são semelhantes às pastas em sistemas de arquivos.

Por exemplo: HKEY_LOCAL_MACHINE\SOFTWARE\MTG
RegistryValue Recomendado Cadeia de caracteres O valor do Registro associado à operação. Os valores do Registro são semelhantes aos arquivos em sistemas de arquivos.

Por exemplo: Path
RegistryValueType Recomendado Cadeia de caracteres O tipo de valor do Registro, normalizado para o formato padrão. Para obter mais informações, consulte Tipos de valor.

Por exemplo: Reg_Expand_Sz
RegistryValueData Recomendado Cadeia de caracteres Os dados armazenados no valor do Registro.

Exemplo: C:\Windows\system32;C:\Windows;
RegistryPreviousKey Recomendado Cadeia de caracteres Para operações que modificam o Registro, a chave do Registro original, normalizada para nomenclatura de chave raiz padrão. Para obter mais informações, consulte Chaves raiz.

Observação: se a operação alterou outros campos, como o valor, mas a chave permanece a mesma, o RegistryPreviousKey terá o mesmo valor que RegistryKey.

Exemplo: HKEY_LOCAL_MACHINE\SOFTWARE\MTG
RegistryPreviousValue Recomendado Cadeia de caracteres Para operações que modificam o Registro, o tipo de valor original, normalizado para o formulário padrão. Para obter mais informações, consulte Tipos de valor.

Se o tipo não foi alterado, esse campo tem o mesmo valor que o campo RegistryValueType .

Exemplo: Path
RegistryPreviousValueType Recomendado Cadeia de caracteres Para operações que modificam o Registro, o tipo de valor original.

Se o tipo não foi alterado, esse campo terá o mesmo valor que o campo RegistryValueType , normalizado para o formulário padrão. Para obter mais informações, consulte Tipos de valor.

Exemplo: Reg_Expand_Sz
RegistryPreviousValueData Recomendado Cadeia de caracteres Os dados originais do Registro, para operações que modificam o Registro.

Exemplo: C:\Windows\system32;C:\Windows;
Usuário Alias Alias para o campo ActorUsername .

Exemplo: CONTOSO\ dadmin
Processo Alias Alias para o campo ActingProcessName .

Exemplo: C:\Windows\System32\rundll32.exe
ActorUsername Obrigatório Nome de usuário (cadeia de caracteres) O nome de usuário do usuário que iniciou o evento.

Exemplo: CONTOSO\WIN-GG82ULGC9GO$
ActorUsernameType Condicional Enumerado Especifica o tipo de nome de usuário armazenado no campo ActorUsername . Para obter mais informações, consulte A entidade User.

Exemplo: Windows
ActorUserId Recomendado Cadeia de caracteres Uma ID exclusiva do Ator. A ID específica depende do sistema que está gerando o evento. Para obter mais informações, consulte A entidade User.

Exemplo: S-1-5-18
ActorScope Opcional Cadeia de caracteres O escopo, como o locatário do Microsoft Entra, no qual ActorUserId e ActorUsername são definidos. ou obter mais informações e uma lista de valores permitidos, consulte UserScope no artigo Visão geral do esquema.
ActorUserIdType Condicional Enumerado O tipo de ID armazenado no campo ActorUserId . Para obter mais informações, consulte A entidade User.

Exemplo: SID
ActorSessionId Opcional Cadeia de caracteres O ID exclusivo da sessão de login do Ator.

Exemplo: 999

Observação: o tipo é definido como cadeia de caracteres para dar suporte a sistemas variados, mas no Windows esse valor deve ser numérico. Se você estiver usando um computador Windows e a origem enviar um tipo diferente, converta o valor. Por exemplo, se a origem enviar um valor hexadecimal, converta-o em um valor decimal.
ActingProcessName Opcional Cadeia de caracteres O nome do arquivo de imagem do processo de atuação. Esse nome normalmente é considerado o nome do processo.

Exemplo: C:\Windows\explorer.exe
ActingProcessId Obrigatório Cadeia de caracteres A ID do processo (PID) do processo de atuação.

Exemplo: 48610176

Observação: o tipo é definido como cadeia de caracteres para dar suporte a sistemas variados, mas no Windows e no Linux esse valor deve ser numérico.

Se você estiver usando um computador Windows ou Linux e usou um tipo diferente, certifique-se de converter os valores. Por exemplo, se você usou um valor hexadecimal, converta-o em um valor decimal.
ActingProcessGuid Opcional GUID (cadeia de caracteres) Um identificador exclusivo gerado (GUID) do processo de atuação.

Exemplo: EF3BD0BD-2B74-60C5-AF5C-010000001E00
ParentProcessName Opcional Cadeia de caracteres O nome do arquivo de imagem do processo pai. Esse valor é normalmente considerado como o nome do processo.

Exemplo: C:\Windows\explorer.exe
ParentProcessId Obrigatório Cadeia de caracteres A ID do processo (PID) do processo pai.

Exemplo: 48610176
ParentProcessGuid Opcional Cadeia de caracteres Um identificador exclusivo gerado (GUID) do processo pai.

Exemplo: EF3BD0BD-2B74-60C5-AF5C-010000001E00

Campos de inspeção

Os campos a seguir são usados para representar a inspeção realizada por um sistema de segurança, como um sistema EDR.

Campo Classe Tipo Descrição
RuleName Opcional Cadeia de caracteres O nome ou ID da regra por associado aos resultados da inspeção.
RuleNumber Opcional Número inteiro O número da regra associada aos resultados da inspeção.
Rule Condicional Cadeia de caracteres O valor de kRuleName ou o valor de RuleNumber. Se o valor de RuleNumber for usado, o tipo deverá ser convertido em cadeia de caracteres.
ID da Ameaça Opcional Cadeia de caracteres A ID da ameaça ou malware identificado na atividade de arquivo.
Nome da Ameaça Opcional Cadeia de caracteres O nome da ameaça ou malware identificado na atividade de arquivo.

Exemplo: EICAR Test File
ThreatCategory Opcional Cadeia de caracteres A categoria da ameaça ou malware identificado na atividade de arquivo.

Exemplo: Trojan
ThreatRiskLevel Opcional RiskLevel (Inteiro) O nível de risco associado à ameaça identificada. O nível deve ser um número entre 0 e 100.

Observação: O valor pode ser fornecido no registro de origem usando uma escala diferente, que deve ser normalizada para essa escala. O valor original deve ser armazenado em ThreatOriginalRiskLevel.
ThreatOriginalRiskLevel Opcional Cadeia de caracteres O nível de risco conforme relatado pelo dispositivo de relatório.
ThreatField Opcional Cadeia de caracteres O campo para o qual uma ameaça foi identificada.
ThreatConfidence Opcional ConfidenceLevel (inteiro) O nível de confiança da ameaça identificada, normalizado para um valor entre 0 e 100.
ThreatOriginalConfidence Opcional Cadeia de caracteres O nível de confiança original da ameaça identificada, conforme relatado pelo dispositivo de relatório.
ThreatIsActive Opcional booleano Verdadeiro se a ameaça identificada for considerada uma ameaça ativa.
ThreatFirstReportedTime Opcional datetime A primeira vez que o endereço IP ou domínio foi identificado como uma ameaça.
ThreatLastReportedTime Opcional datetime A última vez em que o endereço IP ou domínio foi identificado como uma ameaça.

Chaves raiz

Diferentes fontes representam prefixos de chaves do Registro usando diferentes representações. Para os campos RegistryKey e RegistryPreviousKey , use os seguintes prefixos normalizados:

Prefixo de chave normalizado Outras representações comuns
HKEY_LOCAL_MACHINE HKLM, \REGISTRY\MACHINE
HKEY_USERS HKU, \REGISTRY\USER

Tipos de valor

Diferentes fontes representam tipos de valor do Registro usando diferentes representações. Para os campos RegistryValueType e RegistryPreviousValueType , use os seguintes tipos normalizados:

Prefixo de chave normalizado Outras representações comuns
Reg_None None, %%1872
Reg_Sz String, %%1873
Reg_Expand_Sz ExpandString, %%1874
Reg_Binary Binary, %%1875
Reg_DWord Dword, %%1876
Reg_Multi_Sz MultiString, %%1879
Reg_QWord Qword, %%1883

Campos de correlação de entidades

Observação

Os colaboradores não precisam preencher esses campos. Os analisadores aplicáveis os preencherão quando o suporte interno da Microsoft for adicionado.

Campo Classe Tipo Descrição
Processo de atuaçãoChave de Entidade Opcional Cadeia de caracteres Um identificador de string estável e determinístico que identifica de forma única o processo de atuação dentro de um único namespace. Esse identificador único em todo o sistema permite correlação com entidades em outros eventos e inventários de entidades.
ActorUserAdditionalIds Opcional Dinâmico Para a estrutura e uso dos campos, veja Campos com sufixo com AdditionalIds.
ActorUserEntityKey Opcional Cadeia de caracteres Um identificador de string estável e determinístico que identifica de forma única o usuário ator dentro de um único namespace. Esse identificador único em todo o sistema permite correlação com entidades em outros eventos e inventários de entidades.
ParentProcessEntityKey Opcional Cadeia de caracteres Um identificador de string estável e determinístico que identifica de forma única o processo pai dentro de um único namespace. Esse identificador único em todo o sistema permite correlação com entidades em outros eventos e inventários de entidades.

Atualizações de esquema

Versão Alterações
0.1.1 Adicionado o campo EventSchema.
0.1.2 Adicionados os campos ActorScope, DvcScopeId, e DvcScope.
0.1.3 Campos de inspeção adicionados.
1.0.0 Adicionaram campos de correlação de entidades.

Conteúdo relacionado

  • Última atualização em