Microsoft Sentinel ASIM Email Event normalization schema reference

Microsoft Sentinel Email Event-normaliseringsschemat representerar e-postleverans och inspektionsaktivitet. Den inkluderar meddelandeadressering och routningsdetaljer, e-postautentiseringsresultat, leveransresultat och hot som identifierats i e-postmeddelanden.

Använd Email Event-schemat för att normalisera poster från e-postservrar, säkra e-postgateways, e-postsäkerhetstjänster och andra system som bearbetar eller inspekterar e-post. Normalisering låter dig analysera dessa poster med konsekventa fältnamn och värden, oavsett källa.

Mer information om normalisering i Microsoft Sentinel finns i Normalisering och ASIM (Advanced Security Information Model).

Schemaöversikt

De huvudsakliga fälten i ett e-postevent beskriver:

E-postaktiviteten, representerad av EventType och EventSubType.
Avsändaren och mottagarna representeras av EmailFromAddress, EmailToRecipients, EmailCCRecipients och EmailBCCRecipients.
Meddelandet representeras av fält som EmailSubject, EmailSizeBytes, EmailFiles och EmailUrls.
E-postautentisering, representerad av fälten SPF, DKIM och DMARC.
Leveransresultatet, representerat av DvcAction, EmailDeliveryLocation, EventResult och EventResultDetails.
Hot och inspektionsregler kopplade till meddelandet, representerade av inspektionsfälten.

Fälten Dvc beskriver rapporterings- eller inspektionssystemet.

Parser

Distribuera och använda e-posthändelseparsers

Distribuera ASIM-parsare från Microsoft Sentinel GitHub-arkivet. För att fråga alla normaliserade e-posthändelsekällor, använd unifying parser _Im_EmailEvent som tabellnamn i din fråga.

Mer information om hur du använder ASIM-parsers finns i översikten över ASIM-parsers.

Lägg till dina egna normaliserade parsers

När du implementerar anpassade parsers för Email Event informationsmodellen, använd följande namnsyntax:

ASimEmailEvent<vendor><Product> för vanliga parsare.
vimEmailEvent<vendor><Product> för parameteriserade parsers.

För att lägga till egna parsers till Email Event-unifieringsparsern, se Hantera ASIM-parsers.

Filter parserresultat

Email Event-filtreringsparsern stödjer filtreringsparametrar för att förbättra frågeprestandan.

Name	Type	Description
starttime	datetime	Filtrera händelser som började vid eller efter denna tidpunkt.
sluttid	datetime	Filtrera händelser som slutade vid eller före denna tidpunkt.
ipaddr_has_any_prefix	dynamic	Filterhändelser där en IP-adress börjar med ett av de listade prefixen.
emailfromaddress_has_any	dynamic	Filtrera händelser för vilka `EmailFromAddress` innehåller ett av de listade värdena.
emailrecipient_has_any	dynamic	Filtrera händelser som har en av de listade e-postmottagarna.
emailsubject_has_any	dynamic	Filtrera händelser för vilka `EmailSubject` innehåller ett av de listade värdena.
emaildirection_in	dynamic	Filtrera händelser för vilket `EmailDirection` är ett av de listade värdena.
emaildeliverylocation_in	dynamic	Filtrera händelser för vilket `EmailDeliveryLocation` är ett av de listade värdena.
eventresult	String	Filtrera händelser för vilka `EventResult` är lika med det angivna värdet. Standardvärdet, `*`, filtrerar inte efter resultat.
packa	Boolean	När den sätts till `true`, packar omappade källfält i det dynamiska `AdditionalFields` fältet. Standardvärdet är `false`.

Använd till exempel följande fråga för att returnera inkommande e-post skickad från adresser som innehåller contoso.com under den sista dagen:

_Im_EmailEvent(
	starttime=ago(1d),
	endtime=now(),
	emailfromaddress_has_any=dynamic(['contoso.com']),
	emaildirection_in=dynamic(['Inbound'])
)

Schemainformation

Vanliga ASIM-fält

Important

Fält som är gemensamma för alla scheman beskrivs i detalj i ASIM gemensamma fält. Riktlinjerna i denna artikel går före de allmänna riktlinjerna för ett fält.

Vanliga fält med specifika riktlinjer

Fält	Class	Type	Description
Eventtype	Mandatory	Uppräknad	Beskriver den normaliserade e-postaktiviteten. Tillåtna värden är `EmailDelivery` och `EmailInspection`.
EventSubType	Valfritt	Uppräknad	Ger mer detaljer om e-postaktiviteten. Tillåtna värden är `EmailSent` och `EmailReceived`.
EventSchema	Mandatory	Uppräknad	Schemanamnet är `EmailEvent`.
EventSchemaVersion	Mandatory	SchemaVersion (sträng)	Versionen av schemat. Den version som dokumenteras här är `1.0.0`.
EventResultDetaljer	Rekommenderad	Uppräknad	Ger detaljer om resultatet. Tillåtna värden är `InvalidAddress`, `MailboxFull`, `MessageTooLarge`, `MessageRateLimitExceeded`, , `RecipientRateLimitExceeded`, `BlockedBySpamFilterMalwareDetectedBlockedByPolicyPhishingDetected`, , och .`Other`
EventSeverity	Rekommenderad	Uppräknad	Händelsens allvar. Tillåtna värden är `Informational`, `Low`, `Medium`och `High`.

Alla vanliga fält

Class	Fields
Mandatory	- EventCount - EventStartTime - EventEndTime - Eventtype - EventResultat - EventProduct - EventVendor - EventSchema - EventSchemaVersion - DVC
Rekommenderad	- EventResultDetaljer - HändelseAllvarlighet - EventUid - DvcIpAddr - DvcHostname - DvcDomain
Valfritt	- EventMessage - EventSubType - EventOriginalUid - EventOriginalType - EventOriginalResultDetaljer - HändelseOriginalallvarlighet - EventProductVersion - EventReportUrl - EventOwner - DvcBeskrivning - DvcFQDN - DvcId - DvcInterface - DvcMacAddr - DvcOriginalAction - DvcOs - DvcOsVersion - DvcScope - DvcScopeId - DvcZone - Ytterligare enheter - AdditionalFields
Conditional	- DvcDomainType - DvcIdType

E-postfält

Fält	Class	Type	Description
EmailFromAddress	Rekommenderad	String	E-postadressen i meddelandehuvudet `From` .
EmailFromDomain	Valfritt	String	Domänen från adressen i meddelandehuvudet `From` .
E-postE-MailFrånAdress	Valfritt	String	Kuvertavsändaradressen som används av posttransportprotokollet.
EmailMailFromDomain	Valfritt	String	Domänen för kuvertavsändarens adress.
EmailSvarTillAdress	Rekommenderad	String	E-postadressen i meddelandehuvudet `Reply-To` .
EmailReplyToDomain	Valfritt	String	Domänen från adressen i meddelandehuvudet `Reply-To` .
EmailToRecipients	Rekommenderad	Dynamisk	En array av mottagare i meddelandehuvudet `To` .
EmailCCRecipients	Valfritt	Dynamisk	En array av mottagare i meddelandehuvudet `Cc` .
EmailBCCRecipients	Valfritt	Dynamisk	En array av mottagare i meddelandehuvudet `Bcc` .
EmailSubject	Rekommenderad	String	E-postämnet.
EmailLanguage	Valfritt	String	Språket i e-postinnehållet, som rapporterats av källan.
EmailSizeBytes	Rekommenderad	Long	Den totala e-poststorleken i bytes.
EmailProtocolName	Rekommenderad	Uppräknad	Protokollet som används för att överföra eller hämta e-posten. Tillåtna värden är `SMTP`, `IMAP`och `POP3`.
EmailDirection	Rekommenderad	Uppräknad	Mejlets riktning i förhållande till rapporteringsmiljön. Tillåtna värden är `Inbound`, `Outbound`, `Internal`, `Local`och `Unknown`.
EmailDeliveryLocation	Valfritt	Uppräknad	Den normaliserade platsen där mejlet levererades. Tillåtna värden är `Inbox`, `Junk`, `Quarantine`och `DeletedItems`.
EmailOriginalDeliveryLocation	Valfritt	String	Leveransplatsen som rapporterats av källan.
EmailFileCount	Rekommenderad	Integer	Antalet filer som är bifogade mejlet.
EmailFiles	Valfritt	Dynamisk	En array som beskriver filer som är bifogade mejlet.
EmailUrlCount	Rekommenderad	Integer	Antalet URL:er som hittades i mejlet.
EmailURL:er	Valfritt	Dynamisk	En rad URL:er hittades i mejlet.

E-postautentiseringsfält

Fält	Class	Type	Description
EmailSpfResult	Valfritt	Uppräknad	Det normaliserade Sender Policy Framework (SPF)-resultatet. Tillåtna värden är `Pass`, `Fail`, `SoftFail`, , `NoneNeutral`, , `TemporaryError`och `PermanentError`.
EmailSpfOriginalResult	Valfritt	String	SPF-resultatet enligt källan.
EmailDkimDomain	Valfritt	String	Domänen som signerade meddelandet med DomainKeys Identified Mail (DKIM).
EmailDkimSignatur	Valfritt	String	DKIM-signaturen kopplad till meddelandet.
EmailDkimResult	Valfritt	Uppräknad	Det normaliserade DKIM-resultatet. Tillåtna värden är `Pass`, `Fail`, `TemporaryError`, `PermanentError`och `None`.
EmailDkimOriginalResult	Valfritt	String	DKIM-resultatet enligt källan.
EmailDmarcResult	Valfritt	Uppräknad	Det normaliserade resultatet av domänbaserad meddelandeautentisering, rapportering och konformitet (DMARC). Tillåtna värden är `Pass`, `Fail`, `BestGuessPass`och `None`.
EmailDmarcOriginalResultat	Valfritt	String	DMARC-resultatet enligt källan.
EmailDmarcPolicy	Valfritt	Uppräknad	DMARC-policyn gällde mejlet. Tillåtna värden är `Quarantine`, `Reject`och `None`.
EmailDmarcOverride	Valfritt	Uppräknad	Anledningen till att DMARC-policyn åsidosattes. Tillåtna värden är `Forwarded`, `LocalPolicy`, `MailingList`, `SampleOut`, `TrustedForwarder`och `Other`.

Leverans- och destinationsfält

Fält	Class	Type	Description
DvcAction	Valfritt	Uppräknad	Den normaliserade åtgärden som togs på mejlet. Tillåtna värden är `Delivered`, `Modified`, `Redirected`, , `Blocked`, `DeletedQuarantined`, , `Purged`och `NA`.
Dst	Mandatory	String	En unik identifierare för e-postens destination.
DstIpAddr	Rekommenderad	IP address	IP-adressen till e-postens destination.

Källsystemfält

Fält	Class	Type	Description
Src	Rekommenderad	String	En unik identifierare för källsystemet.
SrcIpAddr	Valfritt	IP address	Källans IP-adress.
IpAddr	Alias	IP address	Alias för SrcIpAddr.
SrcHostname	Rekommenderad	Hostname	Källenhetens värdnamn, exklusive domäninformation.
SrcDomain	Rekommenderad	Domän	Källenhetens domän.
SrcDomainType	Conditional	Uppräknad	Typen av `SrcDomain`. Tillåtna värden är `Windows`, `FQDN`och `ResourceGroup`. Krävs när `SrcDomain` den används.
SrcFQDN	Valfritt	FQDN	Det fullt kvalificerade domännamnet för källenheten.
SrcDvcId	Valfritt	String	Källenhetens ID.
SrcDvcIdType	Conditional	Uppräknad	Typen av `SrcDvcId`. Tillåtna värden är `AzureResourceId`, `MDEid`, , `VMConnectionIdMD4IoTid`, , `AwsVpcId`, `ForcepointIdVectraId`, `AppGateId`, , och `Other`. Krävs när `SrcDvcId` den används.
SrcDvcScope	Valfritt	String	Den molnplattformsomfattning som källenheten tillhör.
SrcDvcScopeId	Valfritt	String	ID:t för molnplattformens omfattning som källenheten tillhör.
SrcDeviceType	Valfritt	Uppräknad	Källenhetens typ.
SrcBeskrivning	Valfritt	String	En beskrivning av källenheten.
SrcIsp	Valfritt	String	Internetleverantören som är kopplad till käll-IP-adressen.
SrcGeoCountry	Valfritt	String	Landet eller regionen som är kopplad till käll-IP-adressen.
SrcGeoRegion	Valfritt	String	Den region som är associerad med källans IP-adress.
SrcGeoCity	Valfritt	String	Den ort som är associerad med källans IP-adress.
SrcGeoLatitude	Valfritt	Realtal	Latituden kopplad till käll-IP-adressen.
SrcGeoLongitude	Valfritt	Realtal	Longituden kopplad till käll-IP-adressen.

Källanvändarfält

Fält	Class	Type	Description
SrcUserName	Valfritt	String	Källanvändarens namn.
User	Alias	String	Alias till `SrcUserName`.
SrcUserUpn	Rekommenderad	String	Källanvändarens User Principal Name (UPN).
SrcUserId	Valfritt	String	En maskinläsbar identifierare för källanvändaren.
SrcUserIdType	Valfritt	Uppräknad	Typen av `SrcUserId`. Tillåtna värden är `SID`, `UID`, `AADID`, `OktaId`, , `AWSId`, `SalesforceIdMD4IoTidPUIDVectraUserId`, , och .`Other`
SrcAnvändarnamnTyp	Valfritt	Uppräknad	Typen av värdet i `SrcUserName`.
SrcUserScope	Valfritt	String	Omfattningen där källanvändaren definieras.
SrcUserScopeId	Valfritt	String	ID:t för det område där källanvändaren definieras.

Kontrollfält

Följande fält beskriver regeln, hotet eller indikatorn som är kopplad till e-postinspektion.

Fält	Class	Type	Description
RuleName	Valfritt	String	Namnet eller ID:t på inspektionsregeln.
RuleNumber	Valfritt	Integer	Det numeriska ID:t för inspektionsregeln.
Rule	Alias	String	Alias till `RuleName`.
RuleDescription	Valfritt	String	En beskrivning av inspektionsregeln.
IndicatorType	Valfritt	Uppräknad	Typen av indikator som identifierades i e-posthändelsen.
IndicatorAssociation	Valfritt	Uppräknad	Kopplingen mellan indikatorn och e-posthändelsen.
ThreatId	Valfritt	String	Hotets ID som identifierades i mejlet.
ThreatName	Valfritt	String	Namnet på hotet som identifierades i mejlet.
ThreatCategory	Valfritt	String	Den normaliserade hotkategorin.
ThreatOriginalCategory	Valfritt	String	Hotkategorin som rapporterats av källan.
ThreatRiskLevel	Valfritt	RiskLevel (heltal)	Den normaliserade hotrisknivån, från och med `0100`.
ThreatOriginalRiskLevel	Valfritt	String	Hotrisknivån som rapporterats av källan.
ThreatConfidence	Valfritt	ConfidenceLevel (heltal)	Den normaliserade konfidensnivån, från och med `0100`.
ThreatOriginalConfidence	Valfritt	String	Hotförtroendet enligt källan.
ThreatIsActive	Valfritt	Boolean	Indikerar om det identifierade hotet är aktivt.
ThreatFirstReportedTime	Valfritt	Datetime	Första gången hotet rapporterades.
ThreatLastReportedTime	Valfritt	Datetime	Senast hotet rapporterades.
ThreatIpAddr	Valfritt	IP address	En IP-adress kopplad till det identifierade hotet.
ThreatField	Conditional	Uppräknad	Fältet där hotet identifierades.
AttackTactics	Valfritt	String	MITRE ATT&CK-taktikerna kopplade till e-posthändelsen.
AttackTechniques	Valfritt	String	MITRE ATT&CK-teknikerna kopplade till e-posthändelsen.
AttackRemediationSteg	Valfritt	String	Rekommenderade åtgärder för att åtgärda den identifierade attacken eller hotet.

Schemauppdateringar

Versionen 1.0.0 är den första versionen av Email Event-schemat.

Feedback

Var den här sidan till hjälp?

Uppdaterades senast 2026-10-05