Lista över Microsoft Sentinel ASIM-parsers (Advanced Security Information Model)

Avancerade säkerhetsinformationsmodeller (ASIM)-parsare normaliserar säkerhetshändelsedata från olika källor. Följande tabeller listar källkodsspecifika filtreringsparsrar från Microsoft Sentinel GitHub-arkivet. Välj ett källnamn för att se dess definition av frågetidsparser. Kolumnen Query Time Parser använder namnet EquivalentBuiltInParser som anges i den definitionen.

För en översikt av ASIM-parsare, se parsers-översikten. För att förstå hur parsers passar in i ASIM-arkitekturen, se ASIM-arkitekturdiagrammet.

Kolumnen Uses pack-parametern anger om filtreringsparsern accepterar parametern pack . När det stöds, sätt pack=true att behålla omappade källfält i AdditionalFields.

Kolumnen Ingest Time Parser länkar Yes till den matchande definitionen av ingestion-time parser, eller är tom om arkivet inte innehåller någon. Inbyggda normaliserade tabeller kräver ingen normaliseringsparser med intagningstid.

Agent Event-parsare

Source Notes Frågetidsparser Intag tidsparser Använder pack-parametern
Normaliserade agenthändelseloggar Alla händelser normaliserades vid inmatning till tabellen ASimAgentEventLogs . _Im_AgentEvent_Native true
Anthropic Claude-efterlevnad Anthropic Claude Compliance-händelser samlade in med Codeless Connector Framework av BlueVoyant. _Im_AgentEvent_AnthropicClaudeCompliance true

Aviseringshändelseparsers

Source Notes Frågetidsparser Intag tidsparser Använder pack-parametern
Normaliserade varningshändelseloggar Alla händelser normaliserades vid inmatning till tabellen ASimAlertEventLogs . _Im_AlertEvent_Native true
AWS GuardDuty AWS GuardDuty-fynd. _Im_AlertEvent_AWSGuardDuty Yes true
Bitdefender GravityZone Bitdefender GravityZone-varningar. _Im_AlertEvent_BitdefenderGravityZone true
Cisco Secure Endpoint Cisco Secure Endpoint-varningar. _Im_AlertEvent_CiscoSecureEndpoint true
CrowdStrike Falcon CrowdStrike Falcon-varningar. _Im_AlertEvent_CrowdStrikeFalcon Yes true
Google Cloud Security Command Center Fynd från Google Cloud Security Command Center. _Im_AlertEvent_GoogleCloudSCC true
Google SecOps Google SecOps-detekteringsvarningar. _Im_AlertEvent_GoogleSecOps true
Google Hot Intelligence Google Threat Intelligence-varningar. _Im_AlertEvent_GoogleThreatIntelligence true
Microsoft Defender XDR Microsoft Defender XDR aviseringshändelser AlertEvidence (i tabellen). _Im_AlertEvent_MicrosoftDefenderXDR false
Netskope Security Cloud Netskope Security Cloud-varningar. _Im_AlertEvent_NetskopeSecurityCloud true
Palo Alto Cortex XDR Palo Alto Cortex XDR-varningar. _Im_AlertEvent_PaloAltoXDR true
Salesforce Real-Time händelseövervakning Salesforce Real-Time händelseövervakningsvarningar. _Im_AlertEvent_SalesforceRealTimeEventMonitoring true
SentinelOne-singulariteten SentinelOne Singularity-hothändelser (i SentinelOne_CL tabellen). _Im_AlertEvent_SentinelOneSingularity false
SentinelOne-singulariteten (CCF) SentinelOne Singularity-varningar samlas in med Codeless Connector Framework. _Im_AlertEvent_SentinelOneSingularityAlerts true
Wiz Cloud Wiz Cloud-problem i tabellen WizIssuesV3_CL . _Im_AlertEvent_WizCloud true
Wiz Defend Wiz Defend-detektioner WizDetectionsV3_CL i bordet. _Im_AlertEvent_WizDefend true

Tillgångsenhetsparsare

Source Notes Frågetidsparser Intag tidsparser Använder pack-parametern
Normaliserade tillgångsenhetsloggar Alla händelser normaliserades vid inmatning till tabellen ASimAssetEntityLogs . _Im_AssetEntity_Native true

Granska händelseparsers

Source Notes Frågetidsparser Intag tidsparser Använder pack-parametern
Normaliserade revisionshändelseloggar Alla händelser normaliserades vid inmatning till tabellen ASimAuditEventLogs . _Im_AuditEvent_Native false
Alibaba Cloud ActionTrail Alibaba Cloud ActionTrail-revisionshändelser. _Im_AuditEvent_AlibabaCloudActionTrail true
AWS CloudTrail AWS CloudTrail-granskningshändelser. _Im_AuditEvent_AWSCloudTrail true
AWS CloudTrail (EC2-konto och infrastruktur) Amazon EC2-konton och infrastrukturgranskningshändelser. _Im_AuditEvent_AWSCloudTrailEC2AccountAndInfrastructure Yes true
AWS CloudTrail (EC2-kapacitet och bokningar) Amazon EC2-kapacitet och bokningsgranskningshändelser. _Im_AuditEvent_AWSCloudTrailEC2CapacityAndReservations Yes true
AWS CloudTrail (EC2 EBS) Amazon Elastic Block Store-revisionshändelser. _Im_AuditEvent_AWSCloudTrailEC2EBS Yes true
AWS CloudTrail (EC2 Fleet och Spot) Amazon EC2 Fleet och Spot-revisionsevenemang. _Im_AuditEvent_AWSCloudTrailEC2FleetAndSpot Yes true
AWS CloudTrail (EC2-bilder och import/export) Amazon EC2-image och import/export-revisionshändelser. _Im_AuditEvent_AWSCloudTrailEC2ImagesAndImportExport Yes true
AWS CloudTrail (EC2-instanser) Amazon EC2-instansgranskningshändelser. _Im_AuditEvent_AWSCloudTrailEC2Instances Yes true
AWS CloudTrail (EC2-gränssnitt och adresser) Amazon EC2-nätverksgränssnitt och adressgranskningshändelser. _Im_AuditEvent_AWSCloudTrailEC2InterfacesAndAddresses Yes true
AWS CloudTrail (EC2 IPAM-routning) Amazon VPC IP Address Manager-routnings- och resursgranskningshändelser för Public Key Infrastructure (RPKI). _Im_AuditEvent_AWSCloudTrailEC2IPAMRouting Yes true
AWS CloudTrail (EC2 IPAM) Amazon VPC IP-adressansvarig revisionshändelser. _Im_AuditEvent_AWSCloudTrailEC2IPAM Yes true
AWS CloudTrail (EC2-lansering och åtkomst) Amazon EC2-lansering och åtkomst till revisionshändelser. _Im_AuditEvent_AWSCloudTrailEC2LaunchAndAccess Yes true
AWS CloudTrail (EC2 privat anslutning) Amazon EC2 privata anslutningsgranskningshändelser. _Im_AuditEvent_AWSCloudTrailEC2PrivateConnectivity Yes true
AWS CloudTrail (EC2-säkerhet och observabilitet) Amazon EC2 säkerhets- och observabilitetsgranskningshändelser. _Im_AuditEvent_AWSCloudTrailEC2SecurityAndObservability Yes true
AWS CloudTrail (EC2 Transit Gateway-routing) AWS Transit Gateways routing-granskningshändelser. _Im_AuditEvent_AWSCloudTrailEC2TransitGatewayRouting Yes true
AWS CloudTrail (EC2 Transit Gateway) AWS Transit Gateway-revisionshändelser. _Im_AuditEvent_AWSCloudTrailEC2TransitGateway Yes true
AWS CloudTrail (EC2 verifierad åtkomst) AWS Verified Access-revisionshändelser. _Im_AuditEvent_AWSCloudTrailEC2VerifiedAccess Yes true
AWS CloudTrail (EC2 VPC-kärna och routning) Amazon VPC-kärn- och routinggranskningshändelser. _Im_AuditEvent_AWSCloudTrailEC2VPCCoreAndRouting Yes true
Azure Activity Azure Aktivitetshändelser (i AzureActivity tabellen) i kategorin Administrative. _Im_AuditEvent_AzureActivity false
Azure Key Vault Azure Key Vault granskningshändelser. _Im_AuditEvent_AzureKeyVault false
Barracuda CEF Barracuda-händelser som samlats in med CEF. _Im_AuditEvent_BarracudaCEF false
Barracuda WAF Barracuda WAF-händelser. _Im_AuditEvent_BarracudaWAF false
Cisco ISE Cisco ISE-händelser. _Im_AuditEvent_CiscoISE false
Cisco Meraki Cisco Meraki-händelser som samlas in med hjälp av API-anslutningsappen eller Syslog. _Im_AuditEvent_CiscoMeraki false
Cisco Meraki (Syslog) Cisco Meraki-händelser som samlats in i tabellen Syslog. _Im_AuditEvent_CiscoMerakiSyslog false
CrowdStrike Falcon CrowdStrike Falcon Host-evenemang. _Im_AuditEvent_CrowdStrikeFalconHost false
CrowdStrike Falcon Data Replikator CrowdStrike Falcon Data Replicator-granskningshändelser. _Im_AuditEvent_CrowdStrikeFalconDataReplicator Yes true
Illumio SaaS Core Illumio SaaS Core-händelser. _Im_AuditEvent_IllumioSaaSCore false
Infoblox BloxOne Infoblox BloxOne-händelser. _Im_AuditEvent_InfobloxBloxOne false
Microsoft-evenemang Windows-granskningshändelser som samlats in i tabellen Event _Im_AuditEvent_MicrosoftEvent false
Microsoft Exchange 365 Exchange Administrativa händelser som samlas in med hjälp av Office 365-anslutningsappen OfficeActivity (i tabellen). _Im_AuditEvent_MicrosoftExchangeAdmin365 false
Microsoft Security Events Windows Event 1102 samlas in med hjälp av Azure Monitor Agent (med hjälp av tabellernaSecurityEvent). _Im_AuditEvent_MicrosoftSecurityEvents false
Microsoft Windows Evenemang Windows Event 1102 samlas in med hjälp av Azure Monitor Agent (med hjälp av tabellernaWindowsEvent). _Im_AuditEvent_MicrosoftWindowsEvents false
Oracle Cloud-infrastruktur Oracle Cloud Infrastructure revisionsloggar. _Im_AuditEvent_OracleOCI true
Salesforce Revisionsspår Salesforce satte upp revisionsspår. _Im_AuditEvent_SalesforceAuditTrail Ja (V2-tabell) true
Salesforce Real-Time händelseövervakning Salesforce Real-Time händelsegranskningshändelser. _Im_AuditEvent_SalesforceRealTimeEventMonitoring true
SentinelOne SentinelOne-händelser. _Im_AuditEvent_SentinelOne false
SQL-säkerhetsgranskning SQL-säkerhetsrevisionsloggar. _Im_AuditEvent_SQLSecurityAudit true
Vectra XDR Vectra XDR-granskningshändelser. _Im_AuditEvent_VectraXDRAudit false
VMware Carbon Black Cloud VMware Carbon Black Cloud-händelser. _Im_AuditEvent_VMwareCarbonBlackCloud false

Parsare för autentisering

Source Notes Frågetidsparser Intag tidsparser Använder pack-parametern
Normaliserade autentiseringsloggar Alla händelser normaliserades vid inmatning till tabellen ASimAuthenticationEventLogs . _Im_Authentication_Native false
Alibaba Cloud ActionTrail Alibaba Cloud ActionTrail-autentiseringshändelser. _Im_Authentication_AlibabaCloudActionTrail true
Aruba Networks ClearPass Aruba Networks ClearPass-autentiseringshändelser. _Im_Authentication_ArubaNetworksClearPass true
Auth0 Auth0-autentiseringshändelser. _Im_Authentication_OktaAuth0 true
AWS CloudTrail AWS-inloggningar samlas in med hjälp av AWS CloudTrail-anslutningsappen. _Im_Authentication_AWSCloudTrail Yes false
Barracuda WAF Barracuda WAF-händelser. _Im_Authentication_BarracudaWAF false
Cisco ASA Cisco ASA-händelser som samlas in med HJÄLP av CEF. _Im_Authentication_CiscoASA false
Cisco DNA Center Cisco DNA Center-autentiseringshändelser samlas in med hjälp av Syslog. _Im_Authentication_CiscoDNAC false
Cisco FTD Cisco Firepower Threat Defense-autentiseringshändelser samlas in med Syslog. _Im_Authentication_CiscoFTD false
Cisco IOS Cisco IOS-autentiseringshändelser samlas in med Syslog. _Im_Authentication_CiscoIOS false
Cisco ISE Cisco ISE-händelser. _Im_Authentication_CiscoISE false
Cisco ISE (administratör) Cisco ISE-administratörsautentiseringshändelser. _Im_Authentication_CiscoISEAdministrator true
Cisco Meraki Cisco Meraki-händelser som samlas in med hjälp av API-anslutningsappen eller Syslog. _Im_Authentication_CiscoMeraki false
Cisco Meraki (Syslog) Cisco Meraki-händelser som samlats in i tabellen Syslog. _Im_Authentication_CiscoMerakiSyslog false
CrowdStrike Falcon CrowdStrike Falcon Host-evenemang. _Im_Authentication_CrowdStrikeFalconHost false
CrowdStrike Falcon Data Replikator CrowdStrike Falcon Data Replicator-autentiseringshändelser. _Im_Authentication_CrowdStrikeFalconDataReplicator Yes true
CyberArk-revision CyberArk-granskningsautentiseringshändelser. _Im_Authentication_CyberArkAudit true
Fortinet Fortigate Fortinet Fortigate-systemadministratörsloggar. _Im_Authentication_FortinetFortigate Yes false
Google Workspace Inloggningar för Google Workspace. _Im_Authentication_GoogleWorkspace false
Google Workspace (CCF) Google Workspace-inloggningsaktiviteter i tabellen GoogleWorkspaceReports , insamlade med Codeless Connector Framework. _Im_Authentication_GoogleWorkspaceLogins true
Illumio SaaS Core Illumio SaaS Core-händelser. _Im_Authentication_IllumioSaaSCore false
Linux Sshd Linux sshd-aktivitet som rapporterats med Syslog. _Im_Authentication_Sshd false
Linux Su Linux su-aktivitet som rapporterats med Syslog. _Im_Authentication_Su false
Linux Sudo Linux sudo-aktivitet som rapporterats med Syslog. _Im_Authentication_Sudo false
Microsoft Defender for IoT Microsoft Defender för IoT-autentiseringshändelser. _Im_Authentication_MD4IoT false
Microsoft Defender XDR Microsoft Defender XDR för slutpunktsinloggningar för Windows och Linux. _Im_Authentication_M365Defender false
Microsoft Entra ID Microsoft Entra ID inloggningar som samlas in med hjälp av Microsoft Entra-anslutningsappen för regelbundna inloggningar. _Im_Authentication_SigninLogs false
Microsoft Entra ID (Hanterade identiteter) Microsoft Entra ID inloggningar som samlas in med hjälp av Microsoft Entra-anslutningsappen för inloggningar med hanterade identiteter. _Im_Authentication_AADManagedIdentitySignInLogs false
Microsoft Entra ID (icke-interaktiv) Microsoft Entra ID-inloggningar, insamlade med Microsoft Entra-kontakten för icke-interaktiva inloggningar. _Im_Authentication_AADNonInteractiveUserSignInLogs false
Microsoft Entra ID (Service Principal) Microsoft Entra ID inloggningar som samlas in med hjälp av Microsoft Entra-anslutningsappen för inloggningar med tjänstens huvudnamn. _Im_Authentication_AADServicePrincipalSignInLogs false
Microsoft Windows Evenemang Windows-inloggningar (Händelser 4624, 4625, 4634, 4647) som samlats in med hjälp av Azure Monitor Agent eller Log Analytics-agenten till tabellerna SecurityEvent eller WindowsEvent . _Im_Authentication_MicrosoftWindowsEvent false
Okta (OktaSystemLogs) Okta-autentisering som samlas in med i tabellen OktaSystemLogs. _Im_Authentication_OktaSystemLogs false
Okta (V1) Okta-autentisering, som samlas in med Okta-anslutningsappen (V1 SSO). _Im_Authentication_OktaSSO false
Okta (V2) Okta-autentisering, som samlas in med Okta-anslutningsappen (V2). _Im_Authentication_OktaV2 Yes false
Oracle Cloud-infrastruktur Inloggningsloggar för Oracle Cloud Infrastructure. _Im_Authentication_OracleOCI true
Palo Alto Cortex Data Lake Palo Alto Cortex Data Lake-händelser. _Im_Authentication_PaloAltoCortexDataLake false
Palo Alto GlobalProtect Palo Alto PAN-OS GlobalProtect-autentiseringshändelser. _Im_Authentication_PaloAltoGlobalProtect true
Palo Alto PAN-OS Palo Alto PAN-OS autentiseringshändelser. _Im_Authentication_PaloAltoPanOS true
Palo Alto Prisma Cloud Compute Palo Alto Prisma Cloud Compute authentication events. _Im_Authentication_PaloAltoPrismaCloud true
PostgreSQL Inloggningsloggar för PostgreSQL. _Im_Authentication_PostgreSQL false
Salesforce Inloggningshistorik Salesforce-inloggningshistorik. _Im_Authentication_SalesforceLoginHistory Ja (V2-tabell) true
Salesforce Real-Time händelseövervakning Salesforce Real-Time Event Monitoring-autentiseringshändelser. _Im_Authentication_SalesforceRealTimeEventMonitoring true
Salesforce Service Cloud Salesforce Service Cloud-händelser. _Im_Authentication_SalesforceSC Yes true
SentinelOne SentinelOne-händelser. _Im_Authentication_SentinelOne false
Vectra XDR Vectra XDR-granskningshändelser. _Im_Authentication_VectraXDRAudit false
VMware Carbon Black Cloud VMware Carbon Black Cloud-händelser. _Im_Authentication_VMwareCarbonBlackCloud false
VMware ESXi VMware ESXi-autentiseringshändelser. _Im_Authentication_VMwareESXi true
VMware vCenter VMware vCenter-autentiseringshändelser. _Im_Authentication_VMwareVCenter true
Wiz Cloud Wiz Cloud-autentiseringshändelser. _Im_Authentication_WizCloud true
Zscaler privat åtkomst Zscaler Private Access-autentiseringshändelser. _Im_Authentication_ZscalerZPA true

DHCP-händelseparsers

Source Notes Frågetidsparser Intag tidsparser Använder pack-parametern
Normaliserade DHCP-händelseloggar Alla händelser normaliserades vid inmatning till tabellen ASimDhcpEventLogs . _Im_DhcpEvent_Native false
Infoblox BloxOne Infoblox BloxOne DHCP-händelser. _Im_DhcpEvent_InfobloxBloxOne false

DNS-parsare

Source Notes Frågetidsparser Intag tidsparser Använder pack-parametern
Normaliserade DNS-loggar Alla händelser normaliserades vid inmatning till tabellen ASimDnsActivityLogs . DNS-anslutningsappen för Azure Monitor Agent använder tabellen ASimDnsActivityLogs . _Im_Dns_Native false
Azure Firewall Azure Firewall DNS-loggar. _Im_Dns_AzureFirewall false
Cisco Umbrella Cisco Umbrella DNS-loggar. _Im_Dns_CiscoUmbrella false
Corelight Zeek Corelight Zeek DNS-loggar. _Im_Dns_CorelightZeek false
CrowdStrike Falcon Data Replikator CrowdStrike Falcon Data Replicator DNS-händelser. _Im_Dns_CrowdStrikeFalconDataReplicator Yes true
Fortinet FortiGate Fortinet FortiGate DNS-loggar. _Im_Dns_FortinetFortiGate Yes false
GCP DNS GOOGLE Cloud Platform DNS-loggar. _Im_Dns_Gcp false
Gigamon V-Series Gigamon V-Series applikationsmetadataintelligens DNS-händelser. _Im_Dns_GigamonVSeries true
Halcyon Halcyon DNS-aktivitet. _Im_Dns_Halcyon false
Infoblox BloxOne Infoblox BloxOne DNS-händelser. _Im_Dns_InfobloxBloxOne false
Infoblox NIOS Infoblox NIOS-, BIND- och BlueCat DNS-servrar. Samma parser stöder flera källor. _Im_Dns_InfobloxNIOS false
Microsoft DNS Server Samlas in med HJÄLP av DNS-anslutningsappen för Log Analytics-agenten (äldre). _Im_Dns_MicrosoftOMS false
Microsoft DNS-server (NXlog) Microsoft DNS-server som samlats in med NXlog. _Im_Dns_MicrosoftNXlog false
Microsoft Sysmon för Windows (Event) Sysmon DNS-händelser (händelse 22) som samlas in med Azure Monitor Agent eller Log Analytics-agenten (äldre) i Event tabellen. _Im_Dns_MicrosoftSysmon false
Microsoft Sysmon för Windows (WindowsEvent) Sysmon DNS-händelser (händelse 22) som samlas in med Azure Monitor Agent eller Log Analytics-agenten (äldre) i WindowsEvent tabellen. _Im_Dns_MicrosoftSysmonWindowsEvent false
SentinelOne SentinelOne DNS-händelser. _Im_Dns_SentinelOne false
Vectra AI Vectra AI DNS-händelser. _Im_Dns_VectraAI false
Zscaler ZIA Zscaler ZIA DNS-loggar. _Im_Dns_ZscalerZIA false

E-posthändelseparsare

Source Notes Frågetidsparser Intag tidsparser Använder pack-parametern
Normaliserade e-posthändelseloggar Alla händelser normaliserades vid inmatning till tabellen ASimEmailEventLogs . _Im_EmailEvent_Native true
Microsoft Defender för Office 365 E-postleveransposter finns i tabellen EmailEvents . _Im_EmailEvent_MicrosoftDefenderOffice365 true
Proofpoint POD (MailLog) SMTP-mottagnings- och leveransposter i tabellen ProofpointPODMailLog_CL . _Im_EmailEvent_ProofpointPODMailLog Yes true
Proofpoint POD (meddelande) Meddelandeinspektionsposter i tabellen ProofpointPODMessage_CL . _Im_EmailEvent_ProofpointPODMessage Yes true
Proofpoint TAP (blockerade klick) Blockerade URL-klick-händelser i tabellen ProofPointTAPClicksBlockedV2_CL , normaliserade som EmailInteraction. _Im_EmailEvent_ProofpointTAPClicksBlocked Yes true
Proofpoint TAP (blockerade meddelanden) Blockade-meddelande-händelser i ProofPointTAPMessagesBlockedV2_CL tabellen. _Im_EmailEvent_ProofpointTAPBlocked Yes true
Proofpoint TAP (levererade meddelanden) Leveransmeddelandehändelser i tabellen ProofPointTAPMessagesDeliveredV2_CL . _Im_EmailEvent_ProofpointTAPDelivered Yes true
Proofpoint TAP (tillåtna klick) Tillåtna URL-klick-händelser i tabellen ProofPointTAPClicksPermittedV2_CL , normaliserade som EmailInteraction. _Im_EmailEvent_ProofpointTAPClicksPermitted Yes true

Filaktivitetsparsers

Source Notes Frågetidsparser Intag tidsparser Använder pack-parametern
Normaliserade filhändelseloggar Alla händelser normaliserades vid inmatning till tabellen ASimFileEventLogs . _Im_FileEvent_Native false
AWS CloudTrail AWS CloudTrail-filhändelser. _vim_FileEvent_AWSCloudTrail Yes true
Azure Blob Storage Azure Blob Storage filhändelser. _Im_FileEvent_AzureBlobStorage false
Azure File Storage Azure File Storage-händelser. _Im_FileEvent_AzureFileStorage false
Azure Queue Storage Azure Queue Storage-händelser. _Im_FileEvent_AzureQueueStorage false
Azure Table Storage Azure Table Storage-händelser. _Im_FileEvent_AzureTableStorage false
CrowdStrike Falcon Data Replikator CrowdStrike Falcon Data Replicator-filhändelser. _Im_FileEvent_CrowdStrikeFalconDataReplicator Yes true
Google Workspace Google Workspace-filhändelser. _Im_FileEvent_GoogleWorkspace false
Linux Sysmon (Skapade händelser) Sysmon för Linux skapade filhändelser (händelser 11). _Im_FileEvent_LinuxSysmonFileCreated false
Linux Sysmon (borttagna händelser) Sysmon för Linux borttagna filhändelser (händelser 23, 26). _Im_FileEvent_LinuxSysmonFileDeleted false
Microsoft Defender XDR Microsoft Defender XDR för endpoint-filhändelser. _Im_FileEvent_Microsoft365D false
Microsoft Security Events Windows-filhändelser (händelse 4663) samlas in med hjälp av anslutningsappen för säkerhetshändelser. _Im_FileEvent_MicrosoftSecurityEvents false
Microsoft SharePoint Microsoft Office 365 SharePoint- och OneDrive-händelser som samlas in med anslutningsappen för Office-aktivitet. _Im_FileEvent_MicrosoftSharePoint false
Microsoft Sysmon för Windows (Event) Sysmon för Windows-filhändelser (händelser 11, 23, 26) som samlats in i tabellen Event . _Im_FileEvent_MicrosoftSysmon false
Microsoft Sysmon för Windows (WindowsEvent) Sysmon för Windows-filhändelser (händelser 11, 23, 26) som samlats in i tabellen WindowsEvent . _Im_FileEvent_MicrosoftSysmonWindowsEvent false
Microsoft Windows Evenemang Windows-filhändelser (händelse 4663) samlas in i WindowsEvent tabellen. _Im_FileEvent_MicrosoftWindowsEvents false
Salesforce Real-Time händelseövervakning Salesforce Real-Time händelser för händelser för övervakningsfiler. _Im_FileEvent_SalesforceRealTimeEventMonitoring true
SentinelOne SentinelOne-filhändelser. _Im_FileEvent_SentinelOne false
VMware Carbon Black Cloud VMware Carbon Black Cloud-filhändelser. _Im_FileEvent_VMwareCarbonBlackCloud false

Parsare för nätverkssessioner

Source Notes Frågetidsparser Intag tidsparser Använder pack-parametern
Normaliserade nätverkssessionsloggar Alla händelser normaliserades vid inmatning till tabellen ASimNetworkSessionLogs . Brandväggsanslutningsappen för Azure Monitor Agent använder den här tabellen. _Im_NetworkSession_Native false
AppGate SDP IP-anslutningsloggar som samlas in med Syslog. _Im_NetworkSession_AppGateSDP false
AWS GuardDuty AWS GuardDuty-nätverksfynd. _Im_NetworkSession_AWSGuardDuty true
AWS VPC-loggar Samlas in med hjälp av AWS S3-anslutningsappen. _Im_NetworkSession_AWSVPC Yes false
Azure Firewall Azure Firewall nätverksloggar. _Im_NetworkSession_AzureFirewall false
Azure Monitor VMConnection Samlas in som en del av Azure Monitor VM Insights-lösningen. _Im_NetworkSession_VMConnection false
Azure NSG Azure flödesloggar för nätverkssäkerhetsgrupper. _Im_NetworkSession_AzureNSG false
Barracuda CEF Barracuda-händelser som samlats in med CEF. _Im_NetworkSession_BarracudaCEF false
Barracuda WAF Barracuda WAF-händelser. _Im_NetworkSession_BarracudaWAF false
Checkpoint SmartDefense Check Point SmartDefense-nätverkshändelser. _Im_NetworkSession_CheckPointSmartDefense true
Checkpoint-brandvägg Checkpoint Firewall-händelser som samlas in med HJÄLP av CEF. _Im_NetworkSession_CheckPointFirewall false
Cisco ASA Cisco ASA-händelser som samlas in med HJÄLP av CEF. _Im_NetworkSession_CiscoASA false
Cisco Firepower Cisco Firepower-händelser. _Im_NetworkSession_CiscoFirepower false
Cisco FTD Cisco Firepower Threat Defense nätverkshändelser. _Im_NetworkSession_CiscoFTD true
Cisco ISE Cisco ISE-händelser. _Im_NetworkSession_CiscoISE false
Cisco Meraki Cisco Meraki-händelser som samlas in med hjälp av API-anslutningsappen eller Syslog. _Im_NetworkSession_CiscoMeraki false
Cisco Meraki (Syslog) Cisco Meraki-händelser som samlats in i tabellen Syslog. _Im_NetworkSession_CiscoMerakiSyslog false
Corelight Zeek Corelight Zeek-nätverkshändelser. _Im_NetworkSession_CorelightZeek false
CrowdStrike Falcon CrowdStrike Falcon Host-evenemang. _Im_NetworkSession_CrowdStrikeFalconHost false
CrowdStrike Falcon Data Replikator CrowdStrike Falcon Data Replicator-nätverkshändelser. _Im_NetworkSession_CrowdStrikeFalconDataReplicator Yes true
ForcePoint-brandväggen ForcePoint Firewall-händelser. _Im_NetworkSession_ForcePointFirewall false
Fortinet FortiGate Fortinet FortiGate-brandväggshändelser som samlats in med Syslog. _Im_NetworkSession_FortinetFortiGate Yes false
Gigamon V-Series Gigamon V-Series applikationsmetadataintelligens nätverkshändelser. _Im_NetworkSession_GigamonVSeries true
Illumio SaaS Core Illumio SaaS Core-händelser. _Im_NetworkSession_IllumioSaaSCore false
Microsoft Defender for IoT (agent) Microsoft Defender för IoT-mikroagenthändelser. _Im_NetworkSession_MD4IoTAgent false
Microsoft Defender for IoT (Sensor) Microsoft Defender för IoT-mikrosensorhändelser. _Im_NetworkSession_MD4IoTSensor false
Microsoft Defender XDR Microsoft Defender XDR för nätverkshändelser för slutpunkter. _Im_NetworkSession_Microsoft365Defender false
Microsoft Sysmon för Linux Sysmon för Linux nätverkshändelser (händelse 3). _Im_NetworkSession_LinuxSysmon false
Microsoft Sysmon för Windows (Event) Sysmon för Windows-nätverkshändelser (händelse 3) som samlats in i Event tabellen. _Im_NetworkSession_MicrosoftSysmon false
Microsoft Sysmon för Windows (WindowsEvent) Sysmon för Windows-nätverkshändelser (händelse 3) som samlats in i WindowsEvent tabellen. _Im_NetworkSession_MicrosoftSysmonWindowsEvent false
Microsoft Windows Brandvägg Händelser i Windows-brandväggen (händelser 5150-5159) som samlas in med Azure Monitor-agenten eller Log Analytics-agenten. _Im_NetworkSession_MicrosoftWindowsEventFirewall false
Microsoft Windows Zabezpečenie Händelsebrandvägg Händelser i Windows-brandväggen som samlas in via anslutningsprogrammet för säkerhetshändelser. _Im_NetworkSession_MicrosoftSecurityEventFirewall false
NTA NetAnalytics Händelser för nätverkstrafikanalys. _Im_NetworkSession_NTANetAnalytics false
Palo Alto Cortex Data Lake Palo Alto Cortex Data Lake-händelser. _Im_NetworkSession_PaloAltoCortexDataLake false
Palo Alto PanOS Palo Alto PanOS-trafikloggar som samlats in med CEF. _Im_NetworkSession_PaloAltoCEF false
SentinelOne SentinelOne-nätverkshändelser. _Im_NetworkSession_SentinelOne false
SonicWall-brandväggen SonicWall Firewall-händelser. _Im_NetworkSession_SonicWallFirewall false
Vectra AI Vectra AI-nätverkshändelser. Stöder packparametern. _Im_NetworkSession_VectraAI true
VMware Carbon Black Cloud VMware Carbon Black Cloud-nätverkshändelser. _Im_NetworkSession_VMwareCarbonBlackCloud false
WatchGuard Fireware OS WatchGuard Fireware OS-händelser som samlats in med Syslog. _Im_NetworkSession_WatchGuardFirewareOS false
Zscaler privat åtkomst Zscaler Private Access nätverkshändelser i tabellen ZPA_CL . _Im_NetworkSession_ZscalerZPA true
Zscaler ZIA Zscaler ZIA-brandväggsloggar som samlats in med CEF. _Im_NetworkSession_ZscalerZIA false

Bearbeta händelseparsers

Source Notes Frågetidsparser Intag tidsparser Använder pack-parametern
Normaliserade processhändelseloggar Alla händelser normaliserades vid inmatning till tabellen ASimProcessEventLogs . _Im_ProcessEvent_Native false
CrowdStrike Falcon Endpoint Protection Processskapande, observation, avslutning och termineringsförfrågan i CrowdStrike_Process_Events_CL tabellen. _Im_ProcessEvent_CrowdStrikeFalconEndpointProtection Yes false
Linux Sysmon (Create) Sysmon för Linux processskapandehändelser (händelser 1). _Im_ProcessCreate_LinuxSysmon false
Linux Sysmon (Terminate) Sysmon för Linux processavslutshändelser (händelser 5). _Im_ProcessTerminate_LinuxSysmon false
Microsoft Defender for IoT (Create) Microsoft Defender for IoT processskapandehändelser. _Im_ProcessCreate_MD4IoT false
Microsoft Defender for IoT (Terminate) Microsoft Defender for IoT processavslutande händelser. _Im_ProcessTerminate_MD4IoT false
Microsoft Defender XDR Microsoft Defender XDR för endpoint-processhändelser. _Im_ProcessEvent_Microsoft365D false
Microsoft Security Events (Create) Windows-säkerhet händelser för att skapa händelser (händelser 4688). _Im_ProcessCreate_MicrosoftSecurityEvents false
Microsoft Security Events (Terminera) Windows-säkerhet Händelser processavslutshändelser (händelser 4689). _Im_ProcessTerminate_MicrosoftSecurityEvents false
Microsoft Sysmon för Windows (Create, WindowsEvent) Sysmon-processskapandehändelser (Händelse 1) samlas till WindowsEvent tabellen. _Im_ProcessEvent_CreateMicrosoftSysmonWindowsEvent false
Microsoft Sysmon för Windows (Create) Sysmon för Windows-processhändelser (händelse 1) som samlats in i tabellerna Event . _Im_ProcessEvent_CreateMicrosoftSysmon false
Microsoft Sysmon för Windows (Terminate, WindowsEvent) Sysmon-processavslutningshändelser (Händelse 5) samlades till WindowsEvent tabellen. _Im_ProcessTerminate_MicrosoftSysmonWindowsEvent false
Microsoft Sysmon för Windows (Terminate) Sysmon för Windows-processhändelser (händelse 5) som samlats in i tabellerna Event . _Im_ProcessTerminate_MicrosoftSysmon false
Microsoft Windows Evenemang (Skapa) Windows-processhändelser (händelse 4688) samlas in i tabellen WindowsEvent . _Im_ProcessCreate_MicrosoftWindowsEvents false
Microsoft Windows Evenemang (Terminate) Windows-processhändelser (händelse 4689) samlas in i tabellen WindowsEvent . _Im_ProcessTerminate_MicrosoftWindowsEvents false
SentinelOne SentinelEn processhändelser. _Im_ProcessCreate_SentinelOne false
Trend Micro Vision One Trend Micro Vision One processhändelser. _Im_ProcessCreate_TrendMicroVisionOne false
VMware Carbon Black Cloud (Create) Processskapandehändelser för VMware Carbon Black Cloud. _Im_ProcessCreate_VMwareCarbonBlackCloud false
VMware Carbon Black Cloud (Terminate) VMware Carbon Black Cloud-processavslutshändelser. _Im_ProcessTerminate_VMwareCarbonBlackCloud false

Parsers för registerhändelse

Source Notes Frågetidsparser Intag tidsparser Använder pack-parametern
Normaliserade registerhändelseloggar Alla händelser normaliserades vid inmatning till tabellen ASimRegistryEventLogs . _Im_RegistryEvent_Native false
CrowdStrike Falcon Data Replikator CrowdStrike Falcon Data Replicator-registreringshändelser. _Im_RegistryEvent_CrowdStrikeFalconDataReplicator Yes true
Microsoft Defender XDR Microsoft Defender XDR för endpoint-registerhändelser. _Im_RegistryEvent_Microsoft365D false
Microsoft Security Events Windows-säkerhet Händelser registerhändelser (händelser 4657, 4663). _Im_RegistryEvent_MicrosoftSecurityEvent false
Microsoft Sysmon för Windows (Event) Sysmon för Windows registerhändelser (Händelser 12, 13, 14) samlade i tabellenEvent. _Im_RegistryEvent_MicrosoftSysmon false
Microsoft Sysmon för Windows (WindowsEvent) Sysmon-registerhändelser samlades till WindowsEvent tabellen. _Im_RegistryEvent_MicrosoftSysmonWindowsEvent false
Microsoft Windows Evenemang Windows-registerhändelser som samlats in i WindowsEvent tabellen. _Im_RegistryEvent_MicrosoftWindowsEvent false
SentinelOne SentinelOne-registerhändelser. _Im_RegistryEvent_SentinelOne false
Trend Micro Vision One Trend Micro Vision One-registerhändelser. _Im_RegistryEvent_TrendMicroVisionOne false
VMware Carbon Black Cloud VMware Carbon Black Cloud-registerhändelser. _Im_RegistryEvent_VMwareCarbonBlackCloud false

Parser för användarhantering

Source Notes Frågetidsparser Intag tidsparser Använder pack-parametern
Normaliserade användarhanteringsloggar Alla händelser normaliserades vid inmatning till tabellen ASimUserManagementLogs . _Im_UserManagement_Native false
Alibaba Cloud ActionTrail Alibaba Cloud ActionTrail användarhanteringsevenemang. _Im_UserManagement_AlibabaCloudActionTrail true
AWS CloudTrail AWS CloudTrail-användarhanteringshändelser. _Im_UserManagement_AWSCloudTrail Yes true
Cisco ISE Cisco ISE-användarhanteringshändelser. _Im_UserManagement_CiscoISE false
CrowdStrike Falcon Data Replikator CrowdStrike Falcon Data Replicator-användarhanteringshändelser. _Im_UserManagement_CrowdStrikeFalconDataReplicator Yes true
Linux Authpriv Linux användarhanteringshändelser för authpriv. _Im_UserManagement_LinuxAuthpriv false
Microsoft Security Events Windows-säkerhet Händelser användarhanteringshändelser. _Im_UserManagement_MicrosoftSecurityEvent false
Microsoft Windows Evenemang Windows-användarhanteringshändelser som samlats in i WindowsEvent tabellen. _Im_UserManagement_MicrosoftWindowsEvent false
Salesforce Real-Time händelseövervakning Salesforce Real-Time händelseövervakning av användarhanteringshändelser. _Im_UserManagement_SalesforceRealTimeEventMonitoring true
SentinelOne SentinelEn användarhanteringshändelser. _Im_UserManagement_SentinelOne false

Parsare för webbsessioner

Source Notes Frågetidsparser Intag tidsparser Använder pack-parametern
Normaliserade webbsessionsloggar Alla händelser normaliserades vid inmatning till tabellen ASimWebSessionLogs . _Im_WebSession_Native false
Apache HTTP Server Apache HTTP Server-loggar. _Im_WebSession_ApacheHTTPServer false
AWS WAF AWS Web Application Firewall-händelser. _Im_WebSession_AWSWAF true
Azure Firewall Azure Firewall webbsessionsloggar. _Im_WebSession_AzureFirewall false
Barracuda CEF Barracuda-händelser som samlats in med CEF. _Im_WebSession_BarracudaCEF false
Barracuda WAF Barracuda WAF-händelser. _Im_WebSession_BarracudaWAF false
Cisco Firepower Cisco Firepower-webbhändelser. _Im_WebSession_CiscoFirepower false
Cisco Meraki Cisco Meraki-webbhändelser. _Im_WebSession_CiscoMeraki false
Cisco Umbrella Cisco Umbrella-proxyloggar. _Im_WebSession_CiscoUmbrella true
Citrix NetScaler Citrix NetScaler-webbhändelser. _Im_WebSession_CitrixNetScaler false
Cloudflare One Cloudflare One webbsessionshändelser. _Im_WebSession_CloudflareOne true
F5 ASM F5 ASM-webbhändelser. _Im_WebSession_F5ASM false
Fortinet FortiGate Fortinet FortiGate-webbsessionsloggar. _Im_WebSession_FortinetFortiGate Yes false
Internet Information Services (IIS) IIS-loggar som samlas in med hjälp av Azure Monitor Agent eller Log Analytics Agent. _Im_WebSession_IIS false
Palo Alto Cortex Data Lake Palo Alto Cortex Data Lake-händelser. _Im_WebSession_PaloAltoCortexDataLake false
Palo Alto PanOS Palo Alto PanOS-hotloggar som samlats in med CEF. _Im_WebSession_PaloAltoCEF false
Salesforce Real-Time händelseövervakning Salesforce Real-Time händelseövervakning av webbsessioner. _Im_WebSession_SalesforceRealTimeEventMonitoring true
Salesforce Service Cloud Salesforce Service Cloud webbsessionshändelser. _Im_WebSession_SalesforceServiceCloud Yes true
SonicWall-brandväggen SonicWall Firewall-webbhändelser. _Im_WebSession_SonicWallFirewall false
Bläckfiskproxy Webbloggar för bläckfiskproxy. _Im_WebSession_SquidProxy false
Vectra AI Vectra AI-webbhändelser. Stöder packparametern. _Im_WebSession_VectraAI true
Zscaler ZIA Zscaler ZIA-webbloggar som samlats in med HJÄLP av CEF. _Im_WebSession_ZscalerZIA false

Nästa steg

Relaterat innehåll

Läs mer om ASIM-parsers:

Läs mer om ASIM:

  • Uppdaterades senast