Observação
O acesso a essa página exige autorização. Você pode tentar entrar ou alterar diretórios.
O acesso a essa página exige autorização. Você pode tentar alterar os diretórios.
O Esquema de Alerta do Microsoft Sentinel foi projetado para normalizar alertas relacionados à segurança de vários produtos em um formato padronizado dentro do Modelo Avançado de Informações de Segurança (ASIM) da Microsoft. Esse esquema se concentra exclusivamente em eventos de segurança, garantindo uma análise consistente e eficiente em diferentes fontes de dados.
O Esquema de Alerta representa vários tipos de alertas de segurança, como ameaças, atividades suspeitas, anomalias de comportamento do usuário e violações de conformidade. Esses alertas são relatados por diferentes produtos e sistemas de segurança, incluindo, mas não se limitando a, EDRs, software antivírus, sistemas de detecção de intrusão, ferramentas de prevenção contra perda de dados etc.
Para obter mais informações sobre a normalização no Microsoft Sentinel, consulte Normalização e o ASIM (Modelo Avançado de Informações de Segurança).
Analisadores
Para obter mais informações sobre analisadores ASIM, consulte a visão geral dos analisadores ASIM.
Unificando Analisadores
Para usar analisadores que unificam todos os analisadores prontos para uso do ASIM e garantir que sua análise seja executada em todas as fontes configuradas, use o _Im_AlertEvent analisador.
Analisadores específicos de origem prontos para uso
Para obter a lista dos analisadores de alerta que Microsoft Sentinel fornece prontos para uso, consulte a lista de analisadores ASIM.
Adicionar seus próprios analisadores normalizados
Ao desenvolver analisadores personalizados para o modelo de informações de alerta, nomeie suas funções KQL usando a seguinte sintaxe:
-
vimAlertEvent<vendor><Product>para analisadores parametrizados -
ASimAlertEvent<vendor><Product>Para analisadores regulares
Consulte o artigo Gerenciando analisadores ASIM para saber como adicionar seus analisadores personalizados aos analisadores unificadores de alerta.
Parâmetros do analisador de filtragem
Os analisadores de alerta dão suporte a vários parâmetros de filtragem para melhorar o desempenho da consulta. Esses parâmetros são opcionais, mas podem melhorar o desempenho da consulta. Os seguintes parâmetros de filtragem estão disponíveis:
| Nome | Tipo | Descrição |
|---|---|---|
| starttime | datetime | Filtrar apenas alertas iniciados nesse horário ou posteriormente. Esse parâmetro é filtrado TimeGenerated no campo, que é o designador padrão para a hora do evento, independentemente do mapeamento específico do analisador dos campos EventStartTime e EventEndTime. |
| Hora de Término | datetime | Filtrar somente alertas iniciados nessa hora ou antes dela. Esse parâmetro é filtrado TimeGenerated no campo, que é o designador padrão para a hora do evento, independentemente do mapeamento específico do analisador dos campos EventStartTime e EventEndTime. |
| ipaddr_has_any_prefix | dinâmico | Filtrar apenas alertas para os quais o campo "DvcIpAddr" está em um dos valores listados. |
| hostname_has_any | dinâmico | Filtrar somente alertas para os quais o campo "DvcHostname" está em um dos valores listados. |
| username_has_any | dinâmico | Filtrar apenas alertas para os quais o campo "Nome de usuário" está em um dos valores listados. |
| attacktactics_has_any | dinâmico | Filtrar apenas alertas para os quais o campo "AttackTactics" está em um dos valores listados. |
| attacktechniques_has_any | dinâmico | Filtrar apenas alertas para os quais o campo 'AttackTechniques' está em um dos valores listados. |
| threatcategory_has_any | dinâmico | Filtrar somente alertas para os quais o campo "ThreatCategory" está em um dos valores listados. |
| alertverdict_has_any | dinâmico | Filtrar apenas alertas para os quais o campo "AlertVerdict" está em um dos valores listados. |
| eventseverity_has_any | dinâmico | Filtrar somente alertas para os quais o campo "EventSeverity" está em um dos valores listados. |
Visão geral do esquema
O Esquema de alerta atende a vários tipos de eventos de segurança, que compartilham os mesmos campos. Esses eventos são identificados pelo campo EventType:
- Informações sobre ameaças: alertas relacionados a vários tipos de atividades mal-intencionadas, como malware, phishing, ransomware e outras ameaças cibernéticas.
- Atividades Suspeitas: Alertas para atividades que não são necessariamente ameaças confirmadas, mas são suspeitas e justificam uma investigação mais aprofundada, como várias tentativas de login com falha ou acesso a arquivos restritos.
- Anomalias de Comportamento do Usuário: alertas que indicam um comportamento incomum ou inesperado do usuário que pode sugerir um problema de segurança, como horários de logon anormais ou padrões incomuns de acesso a dados.
- Violações de Conformidade: alertas relacionados à não conformidade com políticas regulatórias ou internas. Por exemplo, uma VM exposta com portas públicas abertas vulneráveis a ataques (Alerta de Segurança na Nuvem).
Importante
Para preservar a relevância e a eficácia do Esquema de Alerta, somente alertas relacionados à segurança devem ser mapeados.
O esquema de alerta refere-se às seguintes entidades para capturar detalhes sobre o alerta:
-
Os campos Dvc são usados para capturar detalhes sobre o host ou IP associado ao alerta
-
Os campos de usuário são usados para capturar detalhes sobre o usuário associado ao alerta.
- Da mesma forma, os campos Processo, Arquivo, URL, Registro e Email são usados para capturar apenas os detalhes principais sobre o processo, arquivo, URL, registro e email associados ao alerta, respectivamente.
Importante
- Ao criar um analisador específico do produto, use o esquema de alerta do ASIM quando o alerta contiver informações sobre um incidente de segurança ou ameaça potencial, e os detalhes primários puderem ser mapeados diretamente para os campos do esquema de alerta disponíveis. O esquema de alerta é ideal para capturar informações de resumo sem campos extensos específicos da entidade.
- No entanto, se você estiver colocando campos essenciais em 'AdditionalFields' devido à falta de correspondências diretas de campo, considere um esquema mais especializado. Por exemplo, se um alerta incluir detalhes relacionados à rede, como vários endereços IP, por exemplo, SrcIpAdr, DstIpAddr, PortNumber etc., você poderá optar pelo esquema NetworkSession em vez do esquema Alerta. Esquemas especializados também fornecem campos dedicados para capturar informações relacionadas a ameaças, melhorar a qualidade dos dados e facilitar análises eficientes.
Detalhes do esquema
Campos ASIM Comuns
A lista a seguir menciona campos que possuem diretrizes específicas para eventos de Alerta:
| Campo | Classe | Tipo | Descrição |
|---|---|---|---|
| EventType | Obrigatório | Enumerado | Tipo do evento. Os valores com suporte são: - Alert |
| EventSubType | Recomendado | Enumerado | Especifica o subtipo ou a categoria do evento de alerta, fornecendo detalhes mais granulares dentro da classificação de evento mais ampla. Esse campo ajuda a distinguir a natureza do problema detectado, melhorando as estratégias de priorização e resposta a incidentes. Os valores com suporte incluem: - Threat (Representa uma atividade maliciosa confirmada ou altamente provável que pode comprometer o sistema ou a rede)- Suspicious Activity (Sinaliza comportamentos ou eventos que parecem incomuns ou suspeitos, embora ainda não confirmados como mal-intencionados)- Anomaly (Identifica desvios dos padrões normais que podem indicar um possível risco de segurança ou problema operacional)- Compliance Violation (Destaca atividades que violam padrões regulatórios, de política ou de conformidade) |
| EventUid | Obrigatório | cadeia | Uma cadeia de caracteres alfanumérica, legível por computador, que identifica com exclusividade um alerta dentro de um sistema. por exemplo, A1bC2dE3fH4iJ5kL6mN7oP8qR9s |
| EventMessage | Opcional | cadeia | Informações detalhadas sobre o alerta, incluindo seu contexto, causa e possível impacto. por exemplo, Potential use of the Rubeus tool for kerberoasting, a technique used to extract service account credentials from Kerberos tickets. |
| IpAddr | Alias | Alias ou nome amigável para o DvcIpAddr campo. |
|
| Nome do host | Alias | Alias ou nome amigável para o DvcHostname campo. |
|
| EventSchema | Obrigatório | Enumerado | O esquema usado para o evento. O esquema documentado aqui é AlertEvent. |
| EventSchemaVersion | Obrigatório | SchemaVersion (cadeia de caracteres) | A versão do esquema. A versão do esquema documentada aqui é 1.0.0. |
Todos os campos comuns
Os campos que aparecem na tabela abaixo são comuns a todos os esquemas ASIM. Qualquer diretriz especificada acima substitui as diretrizes gerais para o campo. Por exemplo, um campo pode ser opcional em geral, mas obrigatório para um esquema específico. Para obter mais informações sobre cada campo, consulte o artigo Campos comuns do ASIM .
| Classe | Campos |
|---|---|
| Obrigatório |
-
EventCount - EventStartTime - EventEndTime - Tipo de evento - EventUid - EventProduct - EventVendor - EventSchema - EventSchemaVersion |
| Recomendado |
-
EventSubType - EventSeveridade - DvcIpAddr - Nome do host do DVC - DvcDomain - DvcDomainType - DvcFQDN - DvcId - DvcIdType |
| Opcional |
-
EventMessage - EventOriginalType - EventOriginalSubType - EventOriginalSeverity - EventProductVersion - EventOriginalUid - EventReportUrl - EventResult - EventOwner - DvcZone - DvcMacAddr - DvcOs - DvcOsVersion - DvcAction - DvcOriginalAction - Interface DvcInterface - AdditionalFields - DvcDescription - DvcScopeId - DvcScope |
Campos de Inspeção
A tabela a seguir abrange campos que fornecem informações críticas sobre as regras e ameaças associadas a alertas. Juntos, eles ajudam a enriquecer o contexto do alerta, tornando mais fácil para os analistas de segurança entender sua origem e significado.
| Campo | Classe | Tipo | Descrição |
|---|---|---|---|
| AlertId | Alias | cadeia | Alias ou nome amigável para o EventUid campo. |
| AlertName | Recomendado | cadeia | Título ou nome do alerta. por exemplo, Possible use of the Rubeus kerberoasting tool |
| AlertDescription | Alias | cadeia | Alias ou nome amigável para o EventMessage campo. |
| AlertVerdict | Opcional | Enumerado | A determinação final ou o resultado do alerta, indicando se o alerta foi confirmado como uma ameaça, considerado suspeito ou resolvido como um falso positivo. Os valores com suporte são: - True Positive (Confirmado como uma ameaça legítima)- False Positive (Identificado incorretamente como uma ameaça)- Benign Positive (quando o evento for determinado como inofensivo)- Unknown(status incerto ou indeterminado) |
| AlertStatus | Opcional | Enumerado | Indica o estado atual ou o progresso do alerta. Os valores com suporte são: - Active- Closed |
| AlertOriginalStatus | Opcional | cadeia | O status do alerta conforme informado pelo sistema de origem. |
| DetectionMethod | Opcional | Enumerado | Fornece informações detalhadas sobre o método de detecção, a tecnologia ou a fonte de dados específicos que contribuíram para a geração do alerta. Esse campo oferece uma visão maior de como o alerta foi detectado ou disparado, auxiliando na compreensão do contexto e da confiabilidade da detecção. Os valores com suporte incluem: - EDR: Sistemas de detecção e resposta de endpoint que monitoram e analisam as atividades do endpoint para identificar ameaças.- Behavioral Analytics: técnicas que detectam padrões anormais no comportamento do usuário, dispositivo ou sistema.- Reputation: detecção de ameaças com base na reputação de endereços IP, domínios ou arquivos.- Threat Intelligence: feeds de inteligência externa ou interna que fornecem dados sobre ameaças conhecidas ou táticas adversárias.- Intrusion Detection: Sistemas que monitoram o tráfego ou atividades de rede em busca de sinais de invasões ou ataques.- Automated Investigation: Sistemas automatizados que analisam e investigam alertas, reduzindo a carga de trabalho manual.- Antivirus: Mecanismos antivírus tradicionais que detectam malware com base em assinaturas e heurística.- Data Loss Prevention: Soluções focadas na prevenção de transferências ou vazamentos de dados não autorizados.- User Defined Blocked List: listas personalizadas definidas pelos usuários para bloquear IPs, domínios ou arquivos específicos.- Cloud Security Posture Management: ferramentas que avaliam e gerenciam riscos de segurança em ambientes de nuvem.- Cloud Application Security: Soluções que protegem dados e aplicativos na nuvem.- Scheduled Alerts: alertas gerados com base em agendamentos ou limites predefinidos.- Other: Qualquer outro método de detecção não abrangido pelas categorias acima. |
| Rule | Alias | cadeia | O valor de RuleName ou o valor de RuleNumber. Se o valor de RuleNumber for usado, o tipo deverá ser convertido em cadeia de caracteres. |
| RuleNumber | Opcional | int | O número da regra associada ao alerta. por exemplo, 123456 |
| RuleName | Opcional | cadeia | O nome ou a ID da regra associada ao alerta. por exemplo, Server PSEXEC Execution via Remote Access |
| RuleDescription | Opcional | cadeia | Descrição da regra associada ao alerta. por exemplo, This rule detects remote execution on a server using PSEXEC, which may indicate unauthorized administrative activity or lateral movement within the network |
| ID da Ameaça | Opcional | cadeia | A ID da ameaça ou malware identificado no alerta. por exemplo, 1234567891011121314 |
| Nome da Ameaça | Opcional | cadeia | O nome da ameaça ou malware identificado no alerta. por exemplo, Init.exe |
| ThreatFirstReportedTime | Opcional | datetime | Data e hora em que a ameaça foi relatada pela primeira vez. por exemplo, 2024-09-19T10:12:10.0000000Z |
| ThreatLastReportedTime | Opcional | datetime | Data e hora em que a ameaça foi relatada pela última vez. por exemplo, 2024-09-19T10:12:10.0000000Z |
| ThreatCategory | Recomendado | Enumerado | A categoria da ameaça ou malware identificado no alerta. Os valores com suporte são: Malware, Ransomware, VirusSpywareRootkitCryptominerTrojanSpamWormSpoofingAdwareMaliciousUrlPhishingSecurity Policy Violation,Unknown |
| ThreatOriginalCategory | Opcional | cadeia | A categoria da ameaça conforme relatado pelo sistema de origem. |
| ThreatIsActive | Opcional | bool | Indica se a ameaça está ativa no momento. Os valores com suporte são: True, False |
| ThreatRiskLevel | Opcional | RiskLevel (Inteiro) | O nível de risco associado à ameaça. O nível deve ser um número entre 0 e 100. Observação: O valor pode ser fornecido no registro de origem usando uma escala diferente, que deve ser normalizada para essa escala. O valor original deve ser armazenado em ThreatRiskLevelOriginal. |
| ThreatOriginalRiskLevel | Opcional | cadeia | O nível de risco conforme relatado pelo sistema de origem. |
| ThreatConfidence | Opcional | ConfidenceLevel (inteiro) | O nível de confiança da ameaça identificada, normalizado para um valor entre 0 e 100. |
| ThreatOriginalConfidence | Opcional | cadeia | O nível de confiança conforme relatado pelo sistema de origem. |
| IndicatorType | Recomendado | Enumerado | O tipo ou a categoria do indicador Os valores com suporte são: - Ip- User- Process- Registry- Url- Host- Cloud Resource- Application- File- Email- Mailbox- Logon Session |
| IndicatorAssociation | Opcional | Enumerado | Especifica se o indicador está vinculado ou diretamente afetado pela ameaça. Os valores com suporte são: - Associated- Targeted |
| Táticas de ataque | Recomendado | cadeia | As táticas de ataque (nome, ID ou ambos) associadas ao alerta. Formato preferencial: por exemplo: Persistence, Privilege Escalation |
| AttackTechniques | Recomendado | cadeia | As técnicas de ataque (nome, ID ou ambos) associadas ao alerta. Formato preferencial: por exemplo: Local Groups (T1069.001), Domain Groups (T1069.002) |
| AttackRemediationSteps | Recomendado | cadeia | Ações ou etapas recomendadas para mitigar ou corrigir o ataque ou ameaça identificado. por exemplo, 1. Make sure the machine is completely updated and all your software has the latest patch.2. Contact your incident response team. |
Campos de Usuário
Esta seção define campos relacionados à identificação e classificação de usuários associados a um alerta, fornecendo clareza sobre o usuário afetado e o formato de sua identidade. Se o alerta contiver vários campos adicionais relacionados ao usuário que excedem o que está mapeado aqui, você poderá considerar se um esquema especializado, como o esquema de Evento de Autenticação, pode ser mais apropriado para representar totalmente os dados.
| Campo | Classe | Tipo | Descrição |
|---|---|---|---|
| UserId | Opcional | cadeia | Uma representação exclusiva, legível por computador, alfanumérico, do usuário associado ao alerta. por exemplo, A1bC2dE3fH4iJ5kL6mN7o |
| UserIdType | Condicional | Enumerado | O tipo de ID do usuário, como GUID, SIDou Email.Os valores com suporte são: - GUID- SID- Email- Username- Phone- Other |
| Username | Recomendado | Nome de usuário (cadeia de caracteres) | Nome do usuário associado ao alerta, incluindo informações de domínio, quando disponíveis. por exemplo, Contoso\JSmith ou john.smith@contoso.com |
| Usuário | Alias | cadeia | Alias ou nome amigável para o Username campo. |
| UsernameType | Condicional | UsernameType | Especifica o tipo de nome de usuário armazenado no Username campo. Para obter mais informações e uma lista de valores permitidos, consulte UsernameType no artigo Visão geral do esquema.por exemplo, Windows |
| UserType | Opcional | UserType | O tipo do Ator. Para obter mais informações e uma lista de valores permitidos, consulte UserType no artigo Visão geral do esquema. por exemplo, Guest |
| OriginalUserType | Opcional | cadeia | O tipo de usuário conforme relatado pelo dispositivo de relatório. |
| UserSessionId | Opcional | cadeia | A ID exclusiva da sessão do usuário associada ao alerta. por exemplo, a1bc2de3-fh4i-j5kl-6mn7-op8qr9st0u |
| UserScopeId | Opcional | cadeia | A ID do escopo, como a ID do Microsoft Entra Directory, na qual a ID do usuário e o nome de usuário são definidos. por exemplo, a1bc2de3-fh4i-j5kl-6mn7-op8qrs |
| UserScope | Opcional | cadeia | O escopo, como o locatário do Microsoft Entra, no qual UserId e Username são definidos. Para obter mais informações e uma lista de valores permitidos, consulte UserScope no artigo Visão geral do esquema. por exemplo, Contoso Directory |
Campos de Processo
Esta seção permite capturar detalhes relacionados a uma entidade de processo envolvida em um alerta usando os campos especificados. Se o alerta contiver campos adicionais detalhados relacionados ao processo que excedam o que está mapeado aqui, você poderá considerar se um esquema especializado, como o esquema de evento de processo, pode ser mais apropriado para representar totalmente os dados.
| Campo | Classe | Tipo | Descrição |
|---|---|---|---|
| ProcessId | Opcional | cadeia | A ID do processo (PID) associada ao alerta. por exemplo, 12345678 |
| ProcessCommandLine | Opcional | cadeia | Linha de comando usada para iniciar o processo. por exemplo, "choco.exe" -v |
| ProcessName | Opcional | cadeia | Nome do processo. por exemplo, C:\Windows\explorer.exe |
| ProcessFileCompany | Opcional | cadeia | Empresa que criou o arquivo de imagem do processo. por exemplo, Microsoft |
Campos de Arquivo
Esta seção permite que você capture detalhes relacionados a uma entidade de arquivo envolvida em um alerta. Se o alerta contiver campos adicionais detalhados relacionados a arquivos que excedam o que está mapeado aqui, você poderá considerar se um esquema especializado, como o esquema de Evento de Arquivo, pode ser mais apropriado para representar totalmente os dados.
| Campo | Classe | Tipo | Descrição |
|---|---|---|---|
| FileName | Opcional | cadeia | Nome do arquivo associado ao alerta, sem caminho ou localização. por exemplo, Notepad.exe |
| FilePath | Opcional | cadeia | O caminho completo e normalizado do arquivo de destino, incluindo a pasta ou o local, o nome do arquivo e a extensão. por exemplo, C:\Windows\System32\notepad.exe |
| Arquivo SHA1 | Opcional | cadeia | Hash SHA1 do arquivo. por exemplo, j5kl6mn7op8qr9st0uv1 |
| ArquivoSHA256 | Opcional | cadeia | Hash SHA256 do arquivo. por exemplo, a1bc2de3fh4ij5kl6mn7op8qrs2de3 |
| FileMD5 | Opcional | cadeia | Hash MD5 do arquivo. por exemplo, j5kl6mn7op8qr9st0uv1wx2yz3ab4c |
| FileSize | Opcional | long | Tamanho do arquivo, em bytes. por exemplo, 123456 |
Campo URL
Se o alerta incluir informações sobre a entidade Url, os campos a seguir poderão capturar dados relacionados à URL.
| Campo | Classe | Tipo | Descrição |
|---|---|---|---|
| Url | Opcional | cadeia | A cadeia de caracteres da URL capturada no alerta. por exemplo, https://contoso.com/fo/?k=v&q=u#f |
Campos do Registro
Se o alerta incluir detalhes sobre a entidade do Registro, use os campos a seguir para capturar informações específicas relacionadas ao Registro.
| Campo | Classe | Tipo | Descrição |
|---|---|---|---|
| RegistryKey | Opcional | cadeia | A chave do Registro associada ao alerta, normalizada para convenções de nomenclatura de chave raiz padrão. por exemplo, HKEY_LOCAL_MACHINE\SOFTWARE\MTG |
| RegistryValue | Opcional | cadeia | Valor do Registro. por exemplo, ImagePath |
| RegistryValueData | Opcional | cadeia | Dados do valor do Registro. por exemplo, C:\Windows\system32;C:\Windows; |
| RegistryValueType | Opcional | Enumerado | Tipo do valor do Registro. por exemplo, Reg_Expand_Sz |
Campos de Email
Se o alerta incluir informações sobre a entidade de email, use os campos a seguir para capturar detalhes específicos relacionados ao email.
| Campo | Classe | Tipo | Descrição |
|---|---|---|---|
| EmailMessageId | Opcional | cadeia | Identificador exclusivo para a mensagem de email, associado ao alerta. por exemplo, Request for Invoice Access |
| EmailSubject | Opcional | cadeia | Assunto do email. por exemplo, j5kl6mn7-op8q-r9st-0uv1-wx2yz3ab4c |
Campos de correlação de entidades
Note
Os colaboradores não precisam preencher esses campos. Os analisadores aplicáveis os preencherão quando o suporte interno da Microsoft for adicionado.
| Campo | Classe | Tipo | Descrição |
|---|---|---|---|
| FileEntityKey | Opcional | cadeia | Um identificador de string estável e determinístico que identifica de forma única o arquivo dentro de um único namespace. Esse identificador único em todo o sistema permite correlação com entidades em outros eventos e inventários de entidades. |
| ProcessEntityKey | Opcional | cadeia | Um identificador de string estável e determinístico que identifica de forma única o processo dentro de um único namespace. Esse identificador único em todo o sistema permite correlação com entidades em outros eventos e inventários de entidades. |
| UserAdditionalIds | Opcional | dinâmico | Para a estrutura e uso dos campos, veja Campos com sufixo com AdditionalIds. |
| UserEntityKey | Opcional | cadeia | Um identificador de string estável e determinístico que identifica de forma única o usuário dentro de um único namespace. Esse identificador único em todo o sistema permite correlação com entidades em outros eventos e inventários de entidades. |
Atualizações de esquema
| Versão | Alterações |
|---|---|
| 0.1 | Lançamento inicial. |
| 1.0.0 | Adicionaram campos de correlação de entidades. |