Observação
O acesso a essa página exige autorização. Você pode tentar entrar ou alterar diretórios.
O acesso a essa página exige autorização. Você pode tentar alterar os diretórios.
O esquema de normalização de Evento de Arquivo é usado para descrever a atividade de arquivo, como criar, modificar ou excluir arquivos ou documentos. Esses eventos são relatados por sistemas operacionais, sistemas de armazenamento de arquivos, como os Arquivos do Azure, e sistemas de gerenciamento de documentos, como o Microsoft SharePoint.
Para obter mais informações sobre a normalização no Microsoft Sentinel, consulte Normalização e o ASIM (Modelo Avançado de Informações de Segurança).
Analisadores
Implantando e usando analisadores de atividade de arquivo
Implante os analisadores de atividade de arquivo ASIM do repositório GitHub do Microsoft Sentinel. Para consultar todas as origens de atividade de arquivo, use o analisador imFileEvent unificador como o nome da tabela em sua consulta.
Para obter mais informações sobre o uso de analisadores ASIM, consulte a visão geral dos analisadores ASIM. Para obter a lista dos analisadores de atividade de arquivo Microsoft Sentinel fornece prontos para uso, consulte a lista de analisadores ASIM
Adicionar seus próprios analisadores normalizados
Ao implementar analisadores personalizados para o modelo de informações de Evento de Arquivo, nomeie suas funções KQL usando a seguinte sintaxe: imFileEvent<vendor><Product.
Consulte o artigo Gerenciando analisadores ASIM para saber como adicionar seus analisadores personalizados ao analisador unificador de atividade de arquivo.
Parâmetros do analisador filtrante
Os analisadores de eventos de arquivo dão suporte a parâmetros de filtragem. Embora esses parâmetros sejam opcionais, eles podem melhorar o desempenho da consulta.
Os seguintes parâmetros de filtragem estão disponíveis:
| Nome | Tipo | Descrição |
|---|---|---|
| starttime | datetime | Filtre somente os eventos de arquivo que ocorreram nessa hora ou após essa hora. Esse parâmetro é filtrado TimeGenerated no campo, que é o designador padrão para a hora do evento, independentemente do mapeamento específico do analisador dos campos EventStartTime e EventEndTime. |
| Hora de Término | datetime | Filtre somente os eventos de arquivo que ocorreram nessa hora ou antes dela. Esse parâmetro é filtrado TimeGenerated no campo, que é o designador padrão para a hora do evento, independentemente do mapeamento específico do analisador dos campos EventStartTime e EventEndTime. |
| eventtype_in | dinâmico | Filtrar somente eventos de arquivo em que o tipo de evento é um dos valores listados, como FileCreated, FileModified, , FileRenamedFileDeleted, ou FileCopied. |
| srcipaddr_has_any_prefix | dinâmico | Filtrar somente eventos de arquivo em que o prefixo do endereço IP de origem corresponda a qualquer um dos valores listados. Os prefixos devem terminar com um ., por exemplo: 10.0.. |
| actorusername_has_any | dinâmico | Filtrar somente eventos de arquivo em que o nome de usuário do ator tenha qualquer um dos valores listados. |
| targetfilepath_has_any | dinâmico | Filtrar somente eventos de arquivo nos quais o caminho do arquivo de destino tenha qualquer um dos valores listados. |
| srcfilepath_has_any | dinâmico | Filtrar somente eventos de arquivo em que o caminho do arquivo de origem tenha qualquer um dos valores listados. |
| hashes_has_any | dinâmico | Filtrar somente eventos de arquivo em que o hash de arquivo corresponde a qualquer um dos valores listados. |
| dvchostname_has_any | dinâmico | Filtrar somente eventos de arquivo nos quais o nome de host do dispositivo tenha qualquer um dos valores listados. |
Por exemplo, para filtrar apenas eventos de criação e modificação de arquivos do último dia, use:
_Im_FileEvent (eventtype_in=dynamic(['FileCreated','FileModified']), starttime = ago(1d), endtime=now())
Conteúdo normalizado
Para obter uma lista completa de regras de análise que usam eventos normalizados de Atividade de Arquivo, consulte Conteúdo de segurança de Atividade de Arquivo.
Visão geral do esquema
O modelo de informações do Evento de Arquivo é alinhado ao esquema de entidade do Processo OSSEM.
O esquema de evento de arquivo faz referência às seguintes entidades, que são centrais para as atividades de arquivo:
- Ator. O usuário que iniciou a atividade de arquivo
- ActingProcess. O processo usado pelo Ator para iniciar a atividade de arquivo
- TargetFile. O arquivo no qual a operação foi executada
- Arquivo de Origem (SrcFile). Armazena informações de arquivo antes da operação.
A relação entre essas entidades é melhor demonstrada da seguinte forma: Um Ator executa uma operação de arquivo usando um Processo de Atuação, que modifica o Arquivo de Origem para o Arquivo de Destino.
Por exemplo: JohnDoe (Ator) usa Windows File Explorer (Processo de atuação) para renomear new.doc (Arquivo de origem) para old.doc (Arquivo de destino).
Detalhes do esquema
Campos comuns
Importante
Os campos comuns a todos os esquemas são descritos em detalhes no artigo Campos comuns do ASIM .
Campos com diretrizes específicas para o esquema de Evento de Arquivo
A lista a seguir menciona campos que possuem diretrizes específicas para eventos de atividade de arquivo:
| Field | Classe | Tipo | Descrição |
|---|---|---|---|
| Tipo de evento | Obrigatório | Enumerado | Descreve a operação relatada pelo registro. Os valores com suporte incluem: - FileAccessed- FileCreated- FileModified- FileDeleted- FileRenamed- FileCopied- FileMoved- FolderCreated- FolderDeleted- FolderMoved- FolderModified- FileCreatedOrModified |
| EventSubType | Opcional | Enumerado | Descreve detalhes sobre a operação relatada em EventType. Os valores com suporte por tipo de evento incluem: - FileCreated
-
Upload, Checkin- FileModified - Checkin- FileCreatedOrModified - Checkin - FileAccessed
-
Download, Preview, Checkout, Extended- FileDeleted
-
Recycled, Versions, Site |
| EventSchema | Obrigatório | Enumerado | O nome do esquema documentado aqui é FileEvent. |
| EventSchemaVersion | Obrigatório | SchemaVersion (cadeia de caracteres) | A versão do esquema. A versão do esquema documentado aqui é 1.0.0 |
| Campos Dvc | - | - | Para eventos de atividade de arquivo, os campos de dispositivo se referem ao sistema no qual a atividade de arquivo ocorreu. |
Importante
Atualmente, o EventSchema campo é opcional, mas se tornará obrigatório em 1º de setembro de 2022.
Todos os campos comuns
Os campos que aparecem na tabela são comuns a todos os esquemas ASIM. Qualquer uma das diretrizes específicas do esquema neste documento substitui as diretrizes gerais do campo. Por exemplo, um campo pode ser opcional em geral, mas obrigatório para um esquema específico. Para obter mais informações sobre cada campo, consulte o artigo Campos comuns do ASIM .
| Classe | Fields |
|---|---|
| Obrigatório |
-
EventCount - EventStartTime - EventEndTime - Tipo de evento - EventResult - EventProduct - EventVendor - EventSchema - EventSchemaVersion - DVC |
| Recomendado |
-
EventResultDetails - EventSeveridade - EventUid - DvcIpAddr - Nome do host do DVC - DvcDomain - DvcDomainType - DvcFQDN - DvcId - DvcIdType - DvcAction |
| Opcional |
-
EventMessage - EventSubType - EventOriginalUid - EventOriginalType - EventOriginalSubType - EventOriginalResultDetails - EventOriginalSeverity - EventProductVersion - EventReportUrl - EventOwner - DvcZone - DvcMacAddr - DvcOs - DvcOsVersion - DvcOriginalAction - Interface DvcInterface - AdditionalFields - DvcDescription - DvcScopeId - DvcScope |
Campos de arquivo de destino
Os campos a seguir representam informações sobre o arquivo de destino em uma operação de arquivo. Se a operação envolver um único arquivo, FileCreate por exemplo, ele será representado pelos campos de arquivo de destino.
| Campo | Classe | Tipo | Descrição |
|---|---|---|---|
| TargetFileCreationTime | Opcional | Data/Hora | A hora em que o arquivo de destino foi criado. |
| TargetFileDirectory | Opcional | Cadeia de caracteres | A pasta ou o local de arquivo de destino. Esse campo deve ser semelhante ao campo TargetFilePath , sem o elemento final. Nota: Um analisador pode fornecer esse valor se o valor estiver disponível na origem do log e não precisar ser extraído do caminho completo. |
| TargetFileExtension | Opcional | Cadeia de caracteres | A extensão de arquivo de destino. Nota: Um analisador pode fornecer esse valor se o valor estiver disponível na origem do log e não precisar ser extraído do caminho completo. |
| TargetFileMimeType | Opcional | Cadeia de caracteres | O tipo MIME, ou Media, do arquivo de destino. Os valores permitidos são listados no repositório Tipos de mídia IANA . |
| TargetFileName | Recomendado | Cadeia de caracteres | O nome do arquivo de destino, sem um caminho ou um local, mas com uma extensão, se relevante. Esse campo deve ser semelhante ao elemento final no campo TargetFilePath . |
| FileName | Alias | Alias para o campo TargetFileName . | |
| TargetFilePath | Obrigatório | Cadeia de caracteres | O caminho completo e normalizado do arquivo de destino, incluindo a pasta ou o local, o nome do arquivo e a extensão. Para obter mais informações, consulte Estrutura de caminhos. Observação: Se o registro não incluir informações de pasta ou local, armazene o nome do arquivo somente aqui. Exemplo: C:\Windows\System32\notepad.exe |
| TargetFilePathType | Obrigatório | Enumerado | O tipo de TargetFilePath. Para obter mais informações, consulte Estrutura de caminhos. |
| FilePath | Alias | Alias para o campo TargetFilePath . | |
| TargetFileMD5 | Opcional | MD5 | O hash MD5 do arquivo de destino. Exemplo: 75a599802f1fa166cdadb360960b1dd0 |
| TargetFileSHA1 | Opcional | SHA1 | O hash SHA-1 do arquivo de destino. Exemplo: d55c5a4df19b46db8c54c801c4665d3338acdab0 |
| TargetFileSHA256 | Opcional | SHA256 | O hash SHA-256 do arquivo de destino. Exemplo: e81bb824c4a09a811af17deae22f22dd2e1ec8cbb00b22629d2899f7c68da274 |
| TargetFileSHA512 | Opcional | SHA512 | O hash SHA-512 do arquivo de origem. |
| Hash | Alias | Alias para o melhor hash do Arquivo de Destino disponível. | |
| HashType | Condicional | Enumerado | O tipo de hash armazenado no campo de alias HASH, os valores permitidos são MD5, SHA, SHA256e SHA512IMPHASH. Obrigatório se Hash estiver preenchido. |
| TargetFileSize | Opcional | Long | O tamanho do arquivo de destino em bytes. |
Campos do arquivo de origem
Os campos a seguir representam informações sobre o arquivo de origem em uma operação de arquivo que tem uma origem e um destino, como uma cópia. Se a operação envolver um único arquivo, ele será representado pelos campos de arquivo de destino.
| Campo | Classe | Tipo | Descrição |
|---|---|---|---|
| SrcFileCreationTime | Opcional | Data/Hora | A hora em que o arquivo de origem foi criado. |
| SrcFileDirectory | Opcional | Cadeia de caracteres | A pasta ou o local do arquivo de origem. Esse campo deve ser semelhante ao campo SrcFilePath , sem o elemento final. Nota: Um analisador pode fornecer esse valor se o valor estiver disponível na origem do log e não precisar ser extraído do caminho completo. |
| SrcFileExtension | Opcional | Cadeia de caracteres | A extensão do arquivo de origem. Observação: um analisador pode fornecer esse valor, o valor está disponível na origem do log e não precisa ser extraído do caminho completo. |
| SrcFileMimeType | Opcional | Cadeia de caracteres | O tipo MIME ou Mídia do arquivo de origem. Os valores suportados estão listados no repositório Tipos de mídia IANA . |
| SrcFileName | Recomendado | Cadeia de caracteres | O nome do arquivo de origem, sem um caminho ou local, mas com uma extensão, se relevante. Esse campo deve ser semelhante ao último elemento no campo SrcFilePath . |
| SrcFilePath | Recomendado | Cadeia de caracteres | O caminho completo e normalizado do arquivo de origem, incluindo a pasta ou o local, o nome do arquivo e a extensão. Para obter mais informações, consulte Estrutura de caminhos. Exemplo: /etc/init.d/networking |
| SrcFilePathType | Recomendado | Enumerado | O tipo de SrcFilePath. Para obter mais informações, consulte Estrutura de caminhos. |
| SrcFileMD5 | Opcional | MD5 | O hash MD5 do arquivo de origem. Exemplo: 75a599802f1fa166cdadb360960b1dd0 |
| SrcFileSHA1 | Opcional | SHA1 | O hash SHA-1 do arquivo de origem. Exemplo: d55c5a4df19b46db8c54c801c4665d3338acdab0 |
| SrcFileSHA256 | Opcional | SHA256 | O hash SHA-256 do arquivo de origem. Exemplo: e81bb824c4a09a811af17deae22f22dd2e1ec8cbb00b22629d2899f7c68da274 |
| SrcFileSHA512 | Opcional | SHA512 | O hash SHA-512 do arquivo de origem. |
| SrcFileSize | Opcional | Long | O tamanho do arquivo de origem, em bytes. |
Campos de ator
| Campo | Classe | Tipo | Descrição |
|---|---|---|---|
| ActorUserId | Recomendado | Cadeia de caracteres | Uma representação exclusiva, alfanumérica e legível por máquina do Ator. Para o formato com suporte para diferentes tipos de ID, consulte a entidade Usuário. Exemplo: S-1-12 |
| ActorScope | Opcional | Cadeia de caracteres | O escopo, como o locatário do Microsoft Entra, no qual ActorUserId e ActorUsername são definidos. ou obter mais informações e uma lista de valores permitidos, consulte UserScope no artigo Visão geral do esquema. |
| ActorScopeId | Opcional | Cadeia de caracteres | A ID do escopo, como a ID do Microsoft Entra Directory, na qual ActorUserId e ActorUsername são definidos. ou obter mais informações e uma lista de valores permitidos, consulte UserScopeId no artigo Visão geral do esquema. |
| ActorUserIdType | Condicional | Enumerado | O tipo de ID armazenado no campo ActorUserId . Para obter uma lista de valores permitidos e mais informações, consulte UserIdType no artigo Visão geral do esquema. |
| ActorUsername | Obrigatório | Nome de usuário (cadeia de caracteres) | O nome de usuário do Ator, incluindo informações de domínio, quando disponíveis. Para o formato com suporte para diferentes tipos de ID, consulte a entidade Usuário. Use o formulário simples somente se as informações do domínio não estiverem disponíveis. Armazene o tipo Username no campo ActorUsernameType . Se outros formatos de nome de usuário estiverem disponíveis, armazene-os nos campos ActorUsername<UsernameType>.Exemplo: AlbertE |
| Usuário | Alias | Alias para o campo ActorUsername . Exemplo: CONTOSO\dadmin |
|
| ActorUsernameType | Condicional | Enumerado | Especifica o tipo de nome de usuário armazenado no campo ActorUsername . Para obter uma lista de valores permitidos e mais informações, consulte UsernameType no artigo Visão geral do esquema. Exemplo: Windows |
| ActorSessionId | Opcional | Cadeia de caracteres | O ID exclusivo da sessão de login do Ator. Exemplo: 999Observação: o tipo é definido como cadeia de caracteres para dar suporte a sistemas variados, mas no Windows esse valor deve ser numérico. Se você estiver usando um computador Windows e usou um tipo diferente, converta os valores. Por exemplo, se você usou um valor hexadecimal, converta-o em um valor decimal. |
| ActorUserType | Opcional | UserType | O tipo de Ator. Para obter uma lista de valores permitidos e mais informações, consulte UserType no artigo Visão geral do esquema. Observação: O valor pode ser fornecido no registro de origem usando termos diferentes, que devem ser normalizados para esses valores. Armazene o valor original no campo ActorOriginalUserType . |
| ActorOriginalUserType | Opcional | Cadeia de caracteres | O tipo de usuário de destino original, se fornecido pelo dispositivo de relatório. |
Campos de processo de atuação
| Campo | Classe | Tipo | Descrição |
|---|---|---|---|
| ActingProcessCommandLine | Opcional | Cadeia de caracteres | A linha de comando usada para executar o processo de atuação. Exemplo: "choco.exe" -v |
| ActingProcessName | Opcional | cadeia | O nome do processo de atuação. Esse nome normalmente é derivado da imagem ou do arquivo executável usado para definir o código inicial e os dados mapeados no espaço de endereço virtual do processo. Exemplo: C:\Windows\explorer.exe |
| Processo | Alias | Alias para ActingProcessName | |
| ActingProcessId | Opcional | Cadeia de caracteres | A ID do processo (PID) do processo de atuação. Exemplo: 48610176 Observação: o tipo é definido como cadeia de caracteres para dar suporte a sistemas variados, mas no Windows e no Linux esse valor deve ser numérico. Se você estiver usando um computador Windows ou Linux e usou um tipo diferente, certifique-se de converter os valores. Por exemplo, se você usou um valor hexadecimal, converta-o em um valor decimal. |
| ActingProcessGuid | Opcional | GUID (cadeia de caracteres) | Um identificador exclusivo gerado (GUID) do processo de atuação. Permite identificar o processo entre sistemas. Exemplo: EF3BD0BD-2B74-60C5-AF5C-010000001E00 |
Campos relacionados do sistema de origem
Os campos a seguir representam informações sobre o sistema que inicia a atividade do arquivo, normalmente quando transportado pela rede.
| Campo | Classe | Tipo | Descrição |
|---|---|---|---|
| SrcIpAddr | Recomendado | Endereço IP | Quando a operação é iniciada por um sistema remoto, o endereço IP deste sistema. Exemplo: 185.175.35.214 |
| IpAddr | Alias | Alias para SrcIpAddr | |
| Src | Alias | Alias para SrcIpAddr | |
| SrcPortNumber | Opcional | Número inteiro | Quando a operação é iniciada por um sistema remoto, o número da porta a partir da qual a conexão foi iniciada. Exemplo: 2335 |
| SrcHostname | Opcional | Nome do host (cadeia de caracteres) | O nome do host do dispositivo de origem, excluindo informações de domínio. Se nenhum nome de dispositivo estiver disponível, armazene o endereço IP relevante nesse campo. Exemplo: DESKTOP-1282V4D |
| SrcDomain | Opcional | Domínio (cadeia de caracteres) | O domínio do dispositivo de origem. Exemplo: Contoso |
| SrcDomainType | Condicional | Tipo de domínio | O tipo de SrcDomain. Para obter uma lista de valores permitidos e mais informações, consulte DomainType no artigo Visão geral do esquema. Obrigatório se SrcDomain for usado. |
| SrcFQDN | Opcional | FQDN (Cadeia de caracteres) | O nome do host do dispositivo de origem, incluindo informações de domínio, quando disponíveis. Observação: este campo suporta o formato FQDN tradicional e o formato domínio\nome do host do Windows. O campo SrcDomainType reflete o formato usado. Exemplo: Contoso\DESKTOP-1282V4D |
| SrcDescription | Opcional | Cadeia de caracteres | Um texto descritivo associado ao dispositivo. Por exemplo: Primary Domain Controller. |
| SrcDvcId | Opcional | Cadeia de caracteres | A ID do dispositivo de origem. Se várias IDs estiverem disponíveis, use a mais importante e armazene as outras nos campos SrcDvc<DvcIdType>.Exemplo: ac7e9755-8eae-4ffc-8a02-50ed7a2216c3 |
| SrcDvcScopeId | Opcional | Cadeia de caracteres | A ID do escopo da plataforma de nuvem à qual o dispositivo pertence. Mapa SrcDvcScopeId para uma ID de assinatura no Azure e para uma ID de conta no AWS. |
| SrcDvcScope | Opcional | Cadeia de caracteres | O escopo da plataforma de nuvem ao qual o dispositivo pertence. Mapa SrcDvcScope para uma ID de assinatura no Azure e para uma ID de conta no AWS. |
| SrcDvcIdType | Condicional | DvcIdType | O tipo de SrcDvcId. Para obter uma lista de valores permitidos e mais informações, consulte DvcIdType no artigo Visão geral do esquema. Observação: esse campo é obrigatório se SrcDvcId for usado. |
| SrcDeviceType | Opcional | DeviceType | O tipo do dispositivo de origem. Para obter uma lista de valores permitidos e mais informações, consulte DeviceType no artigo Visão geral do esquema. |
| SrcGeoCountry | Opcional | País/Região | O país/região associado ao endereço IP de origem. Exemplo: USA |
| SrcGeoRegion | Opcional | Região | A região associada ao endereço IP de origem. Exemplo: Vermont |
| SrcGeoCity | Opcional | Cidade | A cidade associada ao endereço IP de origem. Exemplo: Burlington |
| SrcGeoLatitude | Opcional | Latitude | A latitude da coordenada geográfica associada ao endereço IP de origem. Exemplo: 44.475833 |
| SrcGeoLongitude | Opcional | Longitude | A longitude da coordenada geográfica associada ao endereço IP de origem. Exemplo: 73.211944 |
Campos de aplicação de atuação
Os campos a seguir representam informações sobre um aplicativo local que se comunicou por meio de uma rede com um sistema remoto para executar a atividade de arquivo.
| Campo | Classe | Tipo | Descrição |
|---|---|---|---|
| ActingAppName | Opcional | Cadeia de caracteres | O nome do aplicativo atuante. Exemplo: Facebook |
| ActingAppId | Opcional | Cadeia de caracteres | A ID do aplicativo atuante, conforme relatado pelo dispositivo de relatório. |
| ActingAppType | Opcional | AppType | O tipo do aplicativo de destino. Para obter uma lista de valores permitidos e mais informações, consulte AppType no artigo Visão geral do esquema. Esse campo é obrigatório se TargetAppName ou TargetAppId forem usados. |
| HttpUserAgent | Opcional | Cadeia de caracteres | Quando a operação é iniciada por um sistema remoto usando HTTP ou HTTPS, o agente do usuário utilizado. Por exemplo: Mozilla/5.0 (Windows NT 10.0; Win64; x64)AppleWebKit/537.36 (KHTML, like Gecko) Chrome/42.0.2311.135Safari/537.36 Edge/12.246 |
| NetworkApplicationProtocol | Opcional | Cadeia de caracteres | Quando a operação é iniciada por um sistema remoto, esse valor é o protocolo da camada de aplicativo usado no modelo OSI. Embora esse campo não seja enumerado e qualquer valor seja aceito, os valores preferenciais incluem: HTTP, HTTPS,FTPSMB , eSSHExemplo: SMB |
Campos de aplicação de destino
Os campos a seguir representam informações sobre o aplicativo de destino que executa a atividade do arquivo em nome do usuário. Um aplicativo de destino geralmente está relacionado à atividade de arquivos pela rede, por exemplo, usando aplicativos SaaS (Software como serviço).
| Campo | Classe | Tipo | Descrição |
|---|---|---|---|
| TargetAppName | Opcional | Cadeia de caracteres | O nome do aplicativo de destino. Exemplo: Facebook |
| Aplicação | Alias | Alias para TargetAppName. | |
| TargetAppId | Opcional | Cadeia de caracteres | A ID do aplicativo de destino, conforme relatado pelo dispositivo de relatório. |
| TargetAppType | Condicional | AppType | O tipo do aplicativo de destino. Para obter uma lista de valores permitidos e mais informações, consulte AppType no artigo Visão geral do esquema. Esse campo é obrigatório se TargetAppName ou TargetAppId forem usados. |
| TargetOriginalAppType | Opcional | Cadeia de caracteres | O tipo do aplicativo de destino, conforme relatado pelo dispositivo de relatório. |
| TargetUrl | Opcional | URL (cadeia de caracteres) | Quando a operação é iniciada usando HTTP ou HTTPS, a URL usada. Exemplo: https://onedrive.live.com/?authkey=... |
| Url | Alias | Alias para TargetUrl |
Campos de inspeção
Os campos a seguir são usados para representar a inspeção realizada por um sistema de segurança, como um sistema antivírus. O thread identificado geralmente é associado ao arquivo no qual a atividade foi executada, e não à atividade em si.
| Campo | Classe | Tipo | Descrição |
|---|---|---|---|
| RuleName | Opcional | Cadeia de caracteres | O nome ou ID da regra por associado aos resultados da inspeção. |
| RuleNumber | Opcional | Número inteiro | O número da regra associada aos resultados da inspeção. |
| Rule | Condicional | Cadeia de caracteres | O valor de kRuleName ou o valor de RuleNumber. Se o valor de RuleNumber for usado, o tipo deverá ser convertido em cadeia de caracteres. |
| ID da Ameaça | Opcional | Cadeia de caracteres | A ID da ameaça ou malware identificado na atividade de arquivo. |
| Nome da Ameaça | Opcional | Cadeia de caracteres | O nome da ameaça ou malware identificado na atividade de arquivo. Exemplo: EICAR Test File |
| ThreatCategory | Opcional | Cadeia de caracteres | A categoria da ameaça ou malware identificado na atividade de arquivo. Exemplo: Trojan |
| ThreatRiskLevel | Opcional | RiskLevel (Inteiro) | O nível de risco associado à ameaça identificada. O nível deve ser um número entre 0 e 100. Observação: O valor pode ser fornecido no registro de origem usando uma escala diferente, que deve ser normalizada para essa escala. O valor original deve ser armazenado em ThreatOriginalRiskLevel. |
| ThreatOriginalRiskLevel | Opcional | Cadeia de caracteres | O nível de risco conforme relatado pelo dispositivo de relatório. |
| ThreatFilePath | Opcional | Cadeia de caracteres | Um caminho de arquivo para o qual uma ameaça foi identificada. O campo ThreatField contém o nome do campo que ThreatFilePath representa. |
| ThreatField | Condicional | Enumerado | O campo para o qual uma ameaça foi identificada. O valor é ou SrcFilePathDstFilePath. |
| ThreatConfidence | Opcional | ConfidenceLevel (inteiro) | O nível de confiança da ameaça identificada, normalizado para um valor entre 0 e 100. |
| ThreatOriginalConfidence | Opcional | Cadeia de caracteres | O nível de confiança original da ameaça identificada, conforme relatado pelo dispositivo de relatório. |
| ThreatIsActive | Opcional | booleano | Verdadeiro se a ameaça identificada for considerada uma ameaça ativa. |
| ThreatFirstReportedTime | Opcional | datetime | A primeira vez que o endereço IP ou domínio foi identificado como uma ameaça. |
| ThreatLastReportedTime | Opcional | datetime | A última vez em que o endereço IP ou domínio foi identificado como uma ameaça. |
Estrutura do caminho
O caminho deve ser normalizado para corresponder a um dos seguintes formatos. O formato para o qual o valor é normalizado será refletido no respectivo campo FilePathType .
| Tipo | Exemplo | Observações |
|---|---|---|
| Windows Local | C:\Windows\System32\notepad.exe |
Como os nomes de caminho do Windows não diferenciam maiúsculas de minúsculas, esse tipo implica que o valor não diferencia maiúsculas de minúsculas. |
| Windows Share | \\Documents\My Shapes\Favorites.vssx |
Como os nomes de caminho do Windows não diferenciam maiúsculas de minúsculas, esse tipo implica que o valor não diferencia maiúsculas de minúsculas. |
| UNIX | /etc/init.d/networking |
Como os nomes de caminho Unix diferenciam maiúsculas de minúsculas, esse tipo implica que o valor diferencia maiúsculas de minúsculas. - Use esse tipo para o AWS S3. Concatene os nomes de bucket e chave para criar o caminho. - Use esse tipo para chaves de objeto do armazenamento de Blobs do Azure. |
| URL | https://1drv.ms/p/s!Av04S_*********we |
Use quando o caminho do arquivo estiver disponível como uma URL. URLs não se limitam a http ou https, e qualquer valor, incluindo um valor FTP, é válido. |
Campos de correlação de entidades
Note
Os colaboradores não precisam preencher esses campos. Os analisadores aplicáveis os preencherão quando o suporte interno da Microsoft for adicionado.
| Campo | Classe | Tipo | Descrição |
|---|---|---|---|
| AtivaçãoAplicaçãoEntityKey | Opcional | Cadeia de caracteres | Um identificador de string estável e determinístico que identifica unicamente a aplicação atuante dentro de um único namespace. Esse identificador único em todo o sistema permite correlação com entidades em outros eventos e inventários de entidades. |
| Processo de atuaçãoChave de Entidade | Opcional | Cadeia de caracteres | Um identificador de string estável e determinístico que identifica de forma única o processo de atuação dentro de um único namespace. Esse identificador único em todo o sistema permite correlação com entidades em outros eventos e inventários de entidades. |
| ActorUserAdditionalIds | Opcional | Dinâmico | Para a estrutura e uso dos campos, veja Campos com sufixo com AdditionalIds. |
| ActorUserEntityKey | Opcional | Cadeia de caracteres | Um identificador de string estável e determinístico que identifica de forma única o usuário ator dentro de um único namespace. Esse identificador único em todo o sistema permite correlação com entidades em outros eventos e inventários de entidades. |
| FileEntityKey | Opcional | Cadeia de caracteres | Um identificador de string estável e determinístico que identifica de forma única o arquivo dentro de um único namespace. Esse identificador único em todo o sistema permite correlação com entidades em outros eventos e inventários de entidades. |
| SrcFileEntityKey | Opcional | Cadeia de caracteres | Um identificador de string estável e determinístico que identifica de forma única o arquivo fonte dentro de um único namespace. Esse identificador único em todo o sistema permite correlação com entidades em outros eventos e inventários de entidades. |
| SrcSystemEntityKey | Opcional | Cadeia de caracteres | Um identificador de string estável e determinístico que identifica de forma única o sistema de origem dentro de um único namespace. Esse identificador único em todo o sistema permite correlação com entidades em outros eventos e inventários de entidades. |
| TargetApplicationEntityKey | Opcional | Cadeia de caracteres | Um identificador de string estável e determinístico que identifica de forma única a aplicação alvo dentro de um único namespace. Esse identificador único em todo o sistema permite correlação com entidades em outros eventos e inventários de entidades. |
| TargetFileEntityKey | Opcional | Cadeia de caracteres | Um identificador de string estável e determinístico que identifica de forma única o arquivo alvo dentro de um único namespace. Esse identificador único em todo o sistema permite correlação com entidades em outros eventos e inventários de entidades. |
Atualizações de esquema
| Versão | Alterações |
|---|---|
| 0.1.1 | Adicionado o campo EventSchema. |
| 0.2 | - Campos de inspeção adicionados. - Somou os corpos ActorScope, TargetUserScope, HashType, TargetAppNameTargetAppId, TargetAppType, SrcGeoCountry, SrcGeoRegionSrcGeoLongitude, DvcScopeIdSrcGeoLatitudeActorSessionIde .DvcScope- Adicionaram os pseudônimos Url, IpAddr, FileName, e Src. |
| 0.2.1 | - Adicionado Application como um alias a TargetAppName.- Adicionou o campo ActorScopeId.- Adicionaram campos relacionados ao dispositivo de origem. |
| 0.2.2 | - Adicionou o campo TargetOriginalAppType.- Adicionados os campos ActingAppId, , e ActingAppType, que não estão disponíveis na ASimFileEventLogs tabelaActingAppName. |
| 1.0.0 | Adicionaram campos de correlação de entidades. |
Conteúdo relacionado
- Visão geral do ASIM (Modelo Avançado de Informações de Segurança)
- Esquemas do Modelo de Informação de Segurança Avançada (ASIM)
- Analisadores do ASIM (Modelo Avançado de Informações de Segurança)
- Conteúdo do ASIM (Modelo Avançado de Informações de Segurança)
- Azure Sentinel Webinar: A normalização da informação Model-Understanding em Azure Sentinel