Agente ASIM do Microsoft Sentinel Referência do esquema de normalização de eventos

O esquema de normalização de Eventos do Agente do Microsoft Sentinel representa eventos associados às atividades e à telemetria de agentes de IA que operam em ambientes corporativos. Esses eventos capturam todo o espectro de interações do agente, incluindo invocações de modelo, uso de ferramentas, consumo de token, processos de pensamento e comunicação entre os agentes de origem e destino. Essas atividades são geradas por uma ampla variedade de plataformas e estruturas de agentes de IA, cada uma produzindo telemetria em seu próprio formato.

Cada plataforma de agente de IA registra eventos de agente como parte de sua telemetria operacional. A normalização desses eventos usando o esquema ASIM permite que os analistas de segurança correlacionem comportamentos de agentes entre plataformas, detectem padrões anômalos e investiguem incidentes sem precisar aprender o formato proprietário de cada fonte.

Para obter mais informações sobre a normalização no Microsoft Sentinel, consulte Normalização e o ASIM (Modelo Avançado de Informações de Segurança).

Analisadores

Implantando e usando analisadores de eventos de agente

Implante os analisadores de eventos do agente ASIM do repositório GitHub do Microsoft Sentinel. Para consultar todas as origens de eventos do agente, use o analisador _Im_AgentEvent unificador como o nome da tabela em sua consulta.

Para obter mais informações sobre o uso de analisadores ASIM, consulte a visão geral dos analisadores ASIM.

Adicionar seus próprios analisadores normalizados

Ao implementar analisadores personalizados para o modelo de informações do Agent Event, nomeie suas funções KQL usando a seguinte sintaxe:

  • ASimAgentEvent<vendor><Product> Para analisadores regulares
  • vimAgentEvent<vendor><Product> para analisadores parametrizados

Para adicionar analisadores personalizados ao analisador unificador do Agent Event, consulte Gerenciando analisadores ASIM.

Parâmetros do analisador filtrante

Os analisadores de eventos do agente suportam parâmetros de filtragem. Embora esses parâmetros sejam opcionais, eles podem melhorar o desempenho da consulta.

Os seguintes parâmetros de filtragem estão disponíveis:

Nome Tipo Descrição
starttime datetime Filtre somente os eventos executados nesse horário ou após esse período. Esse parâmetro usa o TimeGenerated campo como o designador de tempo do evento.
Hora de Término datetime Filtre somente os eventos que terminaram de ser executados nesse horário ou antes disso. Esse parâmetro usa o TimeGenerated campo como o designador de tempo do evento.
agentid_has_any dinâmico Filtre somente eventos que tenham qualquer uma das IDs de agente, conforme representado no campo SrcAgentId, TargetAgentId ou PlatformTargetAgentId .
agentname_has_any dinâmico Filtre somente eventos que tenham qualquer um dos nomes de agente, conforme representado no campo SrcAgentName, TargetAgentName ou PlatformTargetAgentName .
username_has_any dinâmico Filtre apenas eventos que tenham qualquer um dos nomes de usuário listados, conforme representado no campo ActorUsername .

Alguns parâmetros podem aceitar uma lista de valores de tipo dynamic ou um único valor de cadeia de caracteres. Para passar uma lista de literais para parâmetros que esperam um valor dinâmico, use explicitamente um literal dinâmico. Por exemplo: dynamic(['192.168.','10.'])

Por exemplo, para filtrar apenas eventos de agente com os nomes M365Planner de agente do último dia, use:

_Im_AgentEvent (agentname_has_any=dynamic(['M365Planner']), starttime = ago(1d), endtime=now())

Detalhes do esquema

Campos ASIM comuns

Importante

Os campos comuns a todos os esquemas são descritos em detalhes no artigo Campos comuns do ASIM .

Campos comuns com diretrizes específicas

A lista a seguir menciona campos que têm diretrizes específicas para eventos de agente:

Campo Classe Tipo Descrição
EventOriginalType Opcional Cadeia de caracteres Descreve a operação chamada pelo agente que iniciou o evento. Como esse é um espaço em evolução no qual os agentes podem executar um grande número de ações, não impusemos um conjunto de enumerações para EventType.
EventSchema Obrigatório Enumerado O nome do esquema documentado aqui é AgentEvent.
EventSchemaVersion Obrigatório SchemaVersion (cadeia de caracteres) A versão do esquema. A versão do esquema documentada aqui é 1.0.0.

Todos os campos comuns

Os campos nesta tabela são comuns a todos os esquemas ASIM. As diretrizes especificadas neste documento substituem as diretrizes gerais para cada campo. Por exemplo, um campo pode ser opcional em geral, mas obrigatório para um esquema específico. Para obter mais informações sobre cada campo, consulte o artigo Campos comuns do ASIM .

Classe Fields
Obrigatório - EventCount
- EventStartTime
- EventEndTime
- EventProduct
- EventVendor
- EventSchema
- EventSchemaVersion
Recomendado - EventUid
Opcional - EventOriginalUid
- EventOriginalType
- EventOriginalResultDetails
- AdditionalFields

Informações do agente de origem

Campo Classe Tipo Descrição
SrcAgentId Recomendado Cadeia de caracteres A ID exclusiva do agente de origem.
SrcAgentName Recomendado Cadeia de caracteres O nome do agente de origem.
SrcAgentOriginalType Opcional Cadeia de caracteres O tipo original do agente de origem.
SrcAgentDescription Opcional Cadeia de caracteres Uma descrição do agente de origem.
SrcAgentBlueprintId Opcional Cadeia de caracteres A ID do blueprint do agente de origem.
SrcIpAddr Opcional Cadeia de caracteres O endereço IP da origem.
SrcFQDN Opcional Cadeia de caracteres O nome de domínio totalmente qualificado da fonte.
SrcPortNumber Opcional int O número da porta da origem.

Campos do agente de destino

Campo Classe Tipo Descrição
TargetAgentId Opcional Cadeia de caracteres A ID exclusiva do agente de destino.
TargetAgentName Opcional Cadeia de caracteres O nome do agente de destino.
TargetAgentUsername Opcional Cadeia de caracteres O nome de usuário do agente de destino.
TargetAgentUserId Opcional Cadeia de caracteres A ID do usuário do agente de destino.
TargetAgentOriginalType Opcional Cadeia de caracteres O tipo original do agente de destino.
TargetAgentDescription Opcional Cadeia de caracteres Uma descrição do agente de destino.
TargetAgentBlueprintId Opcional Cadeia de caracteres A ID do blueprint do agente de destino.

Campos do agente de destino da plataforma

Campo Classe Tipo Descrição
PlatformTargetAgentId Opcional Cadeia de caracteres A ID exclusiva do agente de destino da plataforma.
PlatformTargetAgentName Opcional Cadeia de caracteres O nome do agente de destino da plataforma.
PlatformTargetAgentDescription Opcional Cadeia de caracteres Uma descrição do agente de destino da plataforma.
PlatformTargetOriginalAgentType Opcional Cadeia de caracteres O tipo original do agente de destino da plataforma.

Campos de ator

Campo Classe Tipo Descrição
ActorUserId Opcional Cadeia de caracteres Uma representação exclusiva, alfanumérica e legível por máquina do Ator. Para obter mais informações e campos alternativos para outras IDs, consulte A entidade User.

Exemplo: S-1-12-1-4141952679-1282074057-627758481-2916039507
ActorUserIdType Opcional Cadeia de caracteres O tipo de ID armazenado no campo ActorUserId . Para obter mais informações e uma lista de valores permitidos, consulte UserIdType no artigo Visão geral do esquema.
ActorUserScope Opcional Cadeia de caracteres O escopo, como o Nome de Domínio do Microsoft Entra, no qual ActorUserId e ActorUsername são definidos. Para obter mais informações e uma lista de valores permitidos, consulte UserScope no artigo Visão geral do esquema.
ActorUserScopeId Opcional Cadeia de caracteres A ID do escopo, como a ID do Microsoft Entra Directory, na qual ActorUserId e ActorUsername são definidos. Para obter mais informações e uma lista de valores permitidos, consulte UserScopeId no artigo Visão geral do esquema.
ActorUsername Opcional Nome de usuário (cadeia de caracteres) O nome de usuário do Ator, incluindo informações de domínio, quando disponíveis. Para obter mais informações, consulte A entidade User.

Exemplo: AlbertE
ActorUsernameType Opcional Cadeia de caracteres Especifica o tipo de nome de usuário armazenado no campo ActorUsername . Para obter mais informações e uma lista de valores permitidos, consulte UsernameType no artigo Visão geral do esquema.

Exemplo: Windows
ActingAppId Opcional Cadeia de caracteres A ID do aplicativo que iniciou a atividade relatada, incluindo um processo, navegador ou serviço.

Por exemplo: 0x12ae8
ActingAppName Opcional Cadeia de caracteres O nome do aplicativo que iniciou a atividade relatada, incluindo um serviço, uma URL ou um aplicativo SaaS.

Por exemplo: C:\Windows\System32\svchost.exe
ActingAppType Opcional AppType O tipo de aplicação de atuação. Para obter mais informações e uma lista de valores permitida, consulte AppType no artigo Visão geral do esquema.
ActingOriginalAppType Opcional Cadeia de caracteres O tipo de aplicativo que iniciou a atividade, conforme relatado pelo dispositivo de relatório.

Campos do modelo

Campo Classe Tipo Descrição
ModelProviderName Opcional Cadeia de caracteres O nome do provedor de modelos.
Nome do Modelo Opcional Cadeia de caracteres O nome do modelo.

Campos de token

Campo Classe Tipo Descrição
InputTokensUsed Opcional long O número de tokens de entrada usados.
OutputTokensUsed Opcional long O número de tokens de saída usados.

Campos de ferramenta

Campo Classe Tipo Descrição
ToolId Opcional Cadeia de caracteres A ID exclusiva da ferramenta.
ToolName Opcional Cadeia de caracteres O nome da ferramenta.
Descrição da ferramenta Opcional Cadeia de caracteres Uma descrição da ferramenta.
ToolOriginalType Opcional Cadeia de caracteres O tipo original da ferramenta.

Campos específicos do evento

Campo Classe Tipo Descrição
EventSessionId Opcional Cadeia de caracteres A ID exclusiva da sessão de evento.
EventSessionName Opcional Cadeia de caracteres O nome da sessão de evento.
Tipo de evento Opcional Cadeia de caracteres O tipo do evento.
EventOriginalType Opcional Cadeia de caracteres O tipo original do evento, conforme relatado pela fonte.
EventRequestId Opcional Cadeia de caracteres A ID exclusiva da solicitação de evento.
EventRequestTemperature Opcional double O parâmetro temperature da solicitação de evento.
EventRequestTopP Opcional double O parâmetro top-p da solicitação de evento.
EventRequestPresencePenalty Opcional double O parâmetro de penalidade de presença da solicitação de evento.
EventRequestFrequencyPenalty Opcional double O parâmetro de penalidade de frequência da solicitação de evento.
EventRequestSeed Opcional long O parâmetro seed da solicitação de evento.
EventResponseId Opcional Cadeia de caracteres A ID exclusiva da resposta de evento.
EventOriginalRequestDetails Opcional Cadeia de caracteres Os detalhes da solicitação original conforme relatado pela fonte.
EventOriginalResultDetails Opcional Cadeia de caracteres Os detalhes do resultado original conforme relatado pela fonte.
EventErrorDetails Opcional Cadeia de caracteres Detalhes sobre o erro associado ao evento.
EventOriginalErrorType Opcional Cadeia de caracteres O tipo de erro original, conforme relatado pela fonte.
EventThoughtProcessDetails Opcional Cadeia de caracteres Detalhes sobre o processo de pensamento associado ao evento.
EventThoughtProcessId Opcional Cadeia de caracteres O ID exclusivo do processo de pensamento.
EventFinishReasons Opcional dinâmico As razões pelas quais o evento terminou.
EventOutputType Opcional Cadeia de caracteres O tipo de saída do evento.

Campos de correlação de entidades

Note

Os colaboradores não precisam preencher esses campos. Os analisadores aplicáveis os preencherão quando o suporte interno da Microsoft for adicionado.

Campo Classe Tipo Descrição
AtivaçãoAplicaçãoEntityKey Opcional Cadeia de caracteres Um identificador de string estável e determinístico que identifica unicamente a aplicação atuante dentro de um único namespace. Esse identificador único em todo o sistema permite correlação com entidades em outros eventos e inventários de entidades.
ActorUserAdditionalIds Opcional Dinâmico Para a estrutura e uso dos campos, veja Campos com sufixo com AdditionalIds.
ActorUserEntityKey Opcional Cadeia de caracteres Um identificador de string estável e determinístico que identifica de forma única o usuário ator dentro de um único namespace. Esse identificador único em todo o sistema permite correlação com entidades em outros eventos e inventários de entidades.
PlatformTargetAgentEntityKey Opcional Cadeia de caracteres Um identificador de string estável e determinístico que identifica de forma única o agente de alvo da plataforma dentro de um único namespace. Esse identificador único em todo o sistema permite correlação com entidades em outros eventos e inventários de entidades.
SrcAgentEntityKey Opcional Cadeia de caracteres Um identificador de string estável e determinístico que identifica unicamente o agente fonte dentro de um único namespace. Esse identificador único em todo o sistema permite correlação com entidades em outros eventos e inventários de entidades.
TargetAgentEntityKey Opcional Cadeia de caracteres Um identificador de string estável e determinístico que identifica de forma única o agente alvo dentro de um único namespace. Esse identificador único em todo o sistema permite correlação com entidades em outros eventos e inventários de entidades.

Atualizações de esquema

Versão Alterações
1.0.0 Adicionaram campos de correlação de entidades.

Conteúdo relacionado

  • Última atualização em