Referência do esquema de normalização de eventos de e-mail ASIM do Microsoft Sentinel ASIM

O esquema de normalização do Microsoft Sentinel Email Event representa a atividade de entrega e inspeção de e-mails. Inclui detalhes de endereçamento e roteamento de mensagens, resultados de autenticação de e-mail, resultados de entrega e ameaças identificadas em mensagens de e-mail.

Use o esquema de Evento de E-mail para normalizar registros de servidores de e-mail, gateways de e-mail seguros, serviços de segurança de e-mail e outros sistemas que processam ou inspecionam e-mails. A normalização permite que você analise esses registros com nomes e valores de campos consistentes, independentemente da fonte.

Para obter mais informações sobre a normalização no Microsoft Sentinel, consulte Normalização e o ASIM (Modelo Avançado de Informações de Segurança).

Visão geral do esquema

Os principais campos de um evento de e-mail descrevem:

A atividade de e-mail, representada por EventType e EventSubType.
O remetente e os destinatários, representados por EmailFromAddress, EmailToRecipients, EmailCCRecipients e EmailBCCRecipients.
A mensagem é representada por campos como EmailSubject, EmailSizeBytes, EmailFiles e EmailUrls.
Autenticação por e-mail, representada pelos campos SPF, DKIM e DMARC.
O resultado da entrega, representado por DvcAction, EmailDeliveryLocation, EventResult e EventResultDetails.
Ameaças e regras de inspeção associadas à mensagem, representadas pelos campos de inspeção.

Os Dvc campos descrevem o sistema de relatórios ou inspeção.

Analisadores

Implantar e usar parsers de eventos de e-mail

Implante analisadores ASIM a partir do repositório Microsoft Sentinel GitHub. Para consultar todas as fontes normalizadas de eventos de e-mail, use o parser _Im_EmailEvent unificador como nome da tabela na sua consulta.

Para obter mais informações sobre o uso de analisadores ASIM, consulte a visão geral dos analisadores ASIM.

Adicionar seus próprios analisadores normalizados

Ao implementar analisadores personalizados para o modelo de informação de Eventos de E-mail, use a seguinte sintaxe de nomenclatura:

ASimEmailEvent<vendor><Product> Para analisadores comuns.
vimEmailEvent<vendor><Product> para analisadores parametrizados.

Para adicionar analisadores personalizados ao parsers unificador de Eventos de E-mail, veja Gerenciar analisadores ASIM.

Resultados do analisador de filtros

O parser de filtragem de eventos de e-mail suporta parâmetros de filtragem para melhorar o desempenho das consultas.

Name	Tipo	Description
starttime	datetime	Filtre eventos que começaram nesse período ou depois.
endtime	datetime	Filtre eventos que terminaram nesse horário ou antes.
ipaddr_has_any_prefix	dynamic	Filtre eventos para os quais um endereço IP começa com um dos prefixos listados.
emailfromaddress_has_any	dynamic	Eventos de filtro para os quais `EmailFromAddress` contém um dos valores listados.
emailrecipient_has_any	dynamic	Filtre eventos que tenham um dos destinatários listados por e-mail.
emailsubject_has_any	dynamic	Eventos de filtro para os quais `EmailSubject` contém um dos valores listados.
emaildirection_in	dynamic	Eventos de filtro para que `EmailDirection` é um dos valores listados.
emaildeliverylocation_in	dynamic	Eventos de filtro para que `EmailDeliveryLocation` é um dos valores listados.
EventResult	String	Filtrar eventos para os quais `EventResult` é igual ao valor especificado. O valor padrão, `*`, não filtra por resultado.
pacote	booleano	Quando definido como `true`, empacota campos de origem não mapeados no `AdditionalFields` campo dinâmico. O padrão é `false`.

Por exemplo, use a seguinte consulta para devolver e-mails recebidos enviados por endereços que contenham contoso.com durante o último dia:

_Im_EmailEvent(
	starttime=ago(1d),
	endtime=now(),
	emailfromaddress_has_any=dynamic(['contoso.com']),
	emaildirection_in=dynamic(['Inbound'])
)

Detalhes do esquema

Campos ASIM comuns

Importante

Campos comuns a todos os esquemas são descritos em detalhes nos campos comuns do ASIM. As diretrizes deste artigo prevalecem sobre as diretrizes gerais de um campo.

Campos comuns com diretrizes específicas

Field	Class	Tipo	Description
Tipo de evento	Obrigatório	Enumerado	Descreve a atividade normalizada de e-mail. Os valores permitidos são `EmailDelivery` e `EmailInspection`.
EventSubType	Optional	Enumerado	Fornece mais detalhes sobre a atividade por e-mail. Os valores permitidos são `EmailSent` e `EmailReceived`.
EventSchema	Obrigatório	Enumerado	O nome do esquema é `EmailEvent`.
EventSchemaVersion	Obrigatório	SchemaVersion (cadeia de caracteres)	A versão do esquema. A versão documentada aqui é `1.0.0`.
EventResultDetails	Recomendado	Enumerado	Fornece detalhes sobre o resultado. Os valores permitidos são `InvalidAddress`, `MailboxFull`, `MessageTooLarge`, `MessageRateLimitExceededRecipientRateLimitExceeded`, `BlockedByPolicy`, `BlockedBySpamFilter`, `PhishingDetected`, `MalwareDetected`, , e `Other`.
EventSeverity	Recomendado	Enumerado	A gravidade do evento. Os valores permitidos são `Informational`, `Low`, `Medium`e `High`.

Todos os campos comuns

Class	Campos
Obrigatório	- EventCount - EventStartTime - EventEndTime - Tipo de evento - EventResult - EventProduct - EventVendor - EventSchema - EventSchemaVersion - DVC
Recomendado	- EventResultDetails - EventSeveridade - EventUid - DvcIpAddr - Nome do host do DVC - DvcDomain
Optional	- EventMessage - EventSubType - EventOriginalUid - EventOriginalType - EventOriginalResultDetails - EventOriginalSeverity - EventProductVersion - EventReportUrl - EventOwner - DvcDescription - DvcFQDN - DvcId - Interface DvcInterface - DvcMacAddr - DvcOriginalAction - DvcOs - DvcOsVersion - DvcScope - DvcScopeId - DvcZone - Entidades Adicionais - AdditionalFields
Condicional	- DvcDomainType - DvcIdType

Campos de Email

Field	Class	Tipo	Description
E-mailDeEndereço	Recomendado	String	O endereço de e-mail no cabeçalho da mensagem `From` .
EmailDeDomínio	Optional	String	O domínio do endereço no cabeçalho da mensagem `From` .
E-mailCorreioDeEndereço	Optional	String	O endereço do remetente do envelope usado pelo protocolo de transporte de correspondência.
EmailMailFromDomain	Optional	String	O domínio do endereço do remetente do envelope.
E-mailResponderAParaEndereço	Recomendado	String	O endereço de e-mail no cabeçalho da mensagem `Reply-To` .
EmailReplyToDomain	Optional	String	O domínio do endereço no cabeçalho da mensagem `Reply-To` .
EmailToRecipients	Recomendado	Dinâmico	Um array de destinatários no cabeçalho da mensagem `To` .
EmailCCRecipients	Optional	Dinâmico	Um array de destinatários no cabeçalho da mensagem `Cc` .
EmailBCCRecipients	Optional	Dinâmico	Um array de destinatários no cabeçalho da mensagem `Bcc` .
Assunto do E-mail	Recomendado	String	O assunto do email.
EmailLanguage	Optional	String	A linguagem do conteúdo do e-mail, conforme relatado pela fonte.
EmailSizeBytes	Recomendado	Long	O tamanho total do e-mail em bytes.
EmailProtocolName	Recomendado	Enumerado	O protocolo usado para transferir ou recuperar o e-mail. Os valores permitidos são `SMTP`, `IMAP` e `POP3`.
EmailDireção	Recomendado	Enumerado	A direção do e-mail em relação ao ambiente de relatório. Os valores permitidos são `Inbound`, `Outbound`, `Internal`, `Local` e `Unknown`.
EmailDeliveryLocalização	Optional	Enumerado	O local normalizado onde o e-mail foi entregue. Os valores permitidos são `Inbox`, `Junk`, `Quarantine`e `DeletedItems`.
E-mailOriginalDeliveryLocalização	Optional	String	O local de entrega conforme informado pela fonte.
E-mailContagemFicheiroContagem	Recomendado	Integer	O número de arquivos anexados ao e-mail.
Arquivos de E-Mail	Optional	Dinâmico	Um array que descreve arquivos anexados ao e-mail.
E-mailContagemUrl	Recomendado	Integer	O número de URLs encontradas no e-mail.
EmailUrls	Optional	Dinâmico	Uma variedade de URLs encontradas no e-mail.

Campos de autenticação de e-mail

Field	Class	Tipo	Description
EmailSpfResult	Optional	Enumerado	O resultado normalizado do Framework de Políticas do Remetente (SPF). Os valores permitidos são `Pass`, `Fail`, `SoftFail`, `Neutral`, `None`, `TemporaryError`, e `PermanentError`.
EmailSpfOriginalResult	Optional	String	O resultado do FPS conforme relatado pela fonte.
EmailDkimDomain	Optional	String	O domínio que assinou a mensagem com DomainKeys Identified Mail (DKIM).
EmailDkimSignature	Optional	String	A assinatura DKIM associada à mensagem.
EmailDkimResult	Optional	Enumerado	O resultado normalizado do DKIM. Os valores permitidos são `Pass`, `Fail`, `TemporaryError`, `PermanentError` e `None`.
EmailDkimOriginalResult	Optional	String	O resultado do DKIM conforme relatado pela fonte.
EmailDmarcResultado	Optional	Enumerado	O resultado normalizado de Autenticação, Relatórios e Conformidade de Mensagens Baseadas em Domínio (DMARC). Os valores permitidos são `Pass`, `Fail`, `BestGuessPass`e `None`.
EmailDmarcOriginalResult	Optional	String	O resultado do DMARC conforme relatado pela fonte.
EmailDmarcPolicy	Optional	Enumerado	A política DMARC se aplicava ao e-mail. Os valores permitidos são `Quarantine`, `Reject` e `None`.
EmailDmarcOverride	Optional	Enumerado	A razão pela qual a política DMARC foi anulada. Os valores permitidos são `Forwarded`, , `LocalPolicy`, `MailingList`, `SampleOut`, `TrustedForwarder`e `Other`.

Campos de entrega e destino

Field	Class	Tipo	Description
DvcAction	Optional	Enumerado	A ação normalizada tomada no e-mail. Os valores permitidos são `Delivered`, `Modified`, `Redirected`, `Blocked`, `Quarantined`, `Deleted`, `Purged`, e `NA`.
Dst	Obrigatório	String	Um identificador único para o destino do e-mail.
DstIpAddr	Recomendado	endereço IP	O endereço IP do destino do e-mail.

Campos do sistema de origem

Field	Class	Tipo	Description
Src	Recomendado	String	Um identificador único para o sistema de origem.
SrcIpAddr	Optional	endereço IP	Endereço IP de origem.
IpAddr	Alias	endereço IP	Alias para SrcIpAddr.
SrcHostname	Recomendado	Nome do host	O nome do host do dispositivo de origem, excluindo informações de domínio.
SrcDomain	Recomendado	Domínio	O domínio do dispositivo de origem.
SrcDomainType	Condicional	Enumerado	O tipo de `SrcDomain`. Os valores permitidos são `Windows`, `FQDN` e `ResourceGroup`. É obrigatório quando `SrcDomain` é usado.
SrcFQDN	Optional	FQDN	O nome de domínio totalmente qualificado do dispositivo de origem.
SrcDvcId	Optional	String	A ID do dispositivo de origem.
SrcDvcIdType	Condicional	Enumerado	O tipo de `SrcDvcId`. Os valores permitidos são `AzureResourceId`, `MDEid`, `MD4IoTid`, `VMConnectionId`, `AwsVpcIdVectraId`, , `ForcepointId`, `AppGateId`, , e `Other`. É obrigatório quando `SrcDvcId` é usado.
SrcDvcScope	Optional	String	O escopo da plataforma de nuvem ao qual o dispositivo de origem pertence.
SrcDvcScopeId	Optional	String	O ID do escopo da plataforma em nuvem ao qual o dispositivo de origem pertence.
SrcDeviceType	Optional	Enumerado	O tipo de dispositivo de origem.
SrcDescription	Optional	String	Uma descrição do dispositivo de origem.
SrcIsp	Optional	String	O provedor de serviço de internet associado ao endereço IP de origem.
SrcGeoCountry	Optional	String	O país ou região associada ao endereço IP de origem.
SrcGeoRegion	Optional	String	A região associada ao endereço IP de origem.
SrcGeoCity	Optional	String	A cidade associada ao endereço IP de origem.
SrcGeoLatitude	Optional	Real	A latitude associada ao endereço IP de origem.
SrcGeoLongitude	Optional	Real	A longitude associada ao endereço IP de origem.

Campos de usuário de origem

Field	Class	Tipo	Description
SrcUserName	Optional	String	O nome do usuário de origem.
User	Alias	String	Alias para `SrcUserName`.
SrcUserUpn	Recomendado	String	O Nome Principal do Usuário (UPN) do usuário de origem.
SrcUserId	Optional	String	Um identificador legível por máquina para o usuário de origem.
SrcUserIdType	Optional	Enumerado	O tipo de `SrcUserId`. Os valores permitidos são `SID`, `UID`, `AADID`, `OktaIdAWSId`, `PUID`, `SalesforceId`, `VectraUserId`, `MD4IoTid`, , e `Other`.
SrcUsernameType	Optional	Enumerado	O tipo do valor em `SrcUserName`.
SrcUserScope	Optional	String	O escopo em que o usuário fonte é definido.
SrcUserScopeId	Optional	String	O ID do escopo no qual o usuário fonte é definido.

Campos de inspeção

Os campos a seguir descrevem a regra, ameaça ou indicador associado à inspeção de e-mails.

Field	Class	Tipo	Description
RuleName	Optional	String	O nome ou identificação da regra de inspeção.
RuleNumber	Optional	Integer	O ID numérico da regra de inspeção.
Regra	Alias	String	Alias para `RuleName`.
RuleDescription	Optional	String	Uma descrição da regra de inspeção.
IndicatorType	Optional	Enumerado	O tipo de indicador identificado no evento de e-mail.
IndicatorAssociation	Optional	Enumerado	A associação entre o indicador e o evento de e-mail.
ID da Ameaça	Optional	String	A identidade da ameaça identificada no e-mail.
Nome da Ameaça	Optional	String	O nome da ameaça identificada no e-mail.
ThreatCategory	Optional	String	A categoria de ameaça normalizada.
ThreatOriginalCategory	Optional	String	A categoria de ameaça conforme relatada pela fonte.
ThreatRiskLevel	Optional	RiskLevel (Inteiro)	O nível normalizado de risco de ameaça, de `0` até o `100`.
ThreatOriginalRiskLevel	Optional	String	O nível de risco de ameaça conforme relatado pela fonte.
ThreatConfidence	Optional	ConfidenceLevel (inteiro)	O nível de confiança normalizado, de `0` através `100`de .
ThreatOriginalConfidence	Optional	String	A confiança na ameaça conforme relatada pela fonte.
ThreatIsActive	Optional	booleano	Indica se a ameaça identificada está ativa.
ThreatFirstReportedTime	Optional	Data e hora	A primeira vez que a ameaça foi reportada.
ThreatLastReportedTime	Optional	Data e hora	A última vez que a ameaça foi reportada.
ThreatIpAddr	Optional	endereço IP	Um endereço IP associado à ameaça identificada.
ThreatField	Condicional	Enumerado	O campo para o qual a ameaça foi identificada.
Táticas de ataque	Optional	String	As táticas MITRE ATT&CK associadas ao evento de e-mail.
AttackTechniques	Optional	String	As técnicas MITRE ATT&CK associadas ao evento por e-mail.
AttackRemediationSteps	Optional	String	Passos recomendados para remediar o ataque ou ameaça identificada.

Atualizações de esquema

Versão 1.0.0 é a versão inicial do esquema de Evento de E-mail.

Comentários

Esta página foi útil?

Última atualização em 2026-10-05