ASIM) 警示架構參考 (先進安全資訊模型

Microsoft Sentinel警示架構旨在將來自不同產品的安全相關警示標準化Microsoft納入先進安全資訊模型 (ASIM) 標準化格式。 此架構專注於安全事件，確保不同資料來源間的分析一致且高效。

警示架構代表各種類型的安全警示，例如威脅、可疑活動、使用者行為異常及合規違規。 這些警示由不同的安全產品與系統回報，包括但不限於電子設備管理系統（EDR）、防毒軟體、入侵偵測系統、資料遺失防護工具等。

欲了解更多關於Microsoft Sentinel正規化的資訊，請參閱 ASIM) 正規化及先進安全資訊模型 (。

解析器

欲了解更多關於 ASIM 解析器的資訊，請參閱 ASIM 解析器概述。

統一解析器

要使用統一所有 ASIM 現成解析器並確保分析能跨越所有設定來源的解析器，請使用解析 _Im_AlertEvent 器。

開箱即用、針對來源的特定解析器

關於 Microsoft Sentinel 開箱即用的 Alert 解析器清單，請參考 ASIM 解析器清單。

加入你自己的正規化解析器

在為警示資訊模型 開發自訂解析器 時，請使用以下語法命名你的 KQL 函式：

  • vimAlertEvent<vendor><Product> 對於參數化解析器
  • ASimAlertEvent<vendor><Product> 對於一般解析器

請參閱文章 《管理 ASIM 解析器 》，了解如何將自訂解析器加入警報統一解析器中。

過濾解析器參數

Alert 解析器支援多種 過濾參數 以提升查詢效能。 這些參數是可選的，但能提升查詢效能。 以下過濾參數可用：

名稱 類型 描述
開始時間 日期時間 只篩選從此時間開始或之後開始的警示。 此參數會在欄位上過濾 TimeGenerated ，欄位是事件時間的標準指示符，無論 EventStartTime 與 EventEndTime 欄位的解析器特定映射為何。
末日 日期時間 只篩選從此時間開始或更早開始的警示。 此參數會在欄位上過濾 TimeGenerated ，欄位是事件時間的標準指示符，無論 EventStartTime 與 EventEndTime 欄位的解析器特定映射為何。
ipaddr_has_any_prefix 動態 只過濾那些「 DvcIpAddr」 欄位在列出值中出現的警示。
hostname_has_any 動態 只過濾包含 「DvcHostname」 欄位的警報。
username_has_any 動態 只過濾包含 「使用者名稱」 欄位的警示。
attacktactics_has_any 動態 只篩選包含 「AttackTactics」 欄位的警報。
attacktechniques_has_any 動態 只過濾包含 「攻擊技術」 欄位的警報。
threatcategory_has_any 動態 只過濾那些「 ThreatCategory」 欄位在列出值中出現的警報。
alertverdict_has_any 動態 僅篩選包含 「AlertVerdict」 欄位的警報。
eventseverity_has_any 動態 只過濾「 事件嚴重度」 欄位位於列出值中的警報。

架構概述

警示架構服務多種安全事件，這些事件共用相同欄位。 這些事件由 EventType 欄位識別：

  • 威脅資訊：與各種惡意活動相關的警示，如惡意軟體、網路釣魚、勒索軟體及其他網路威脅。
  • 可疑活動：針對不一定是確定威脅，但可疑且需進一步調查的活動警示，例如多次登入失敗或存取受限檔案。
  • 使用者行為異常：提示異常或意外的使用者行為，可能暗示安全問題，如異常登入時間或異常資料存取模式。
  • 合規違規：與未遵守法規或內部政策相關的警示。 例如，一台公開埠口開放、易受雲端安全警示攻擊 (的虛擬機) 。

重要事項

為維持警示架構的相關性與效能，僅應映射與安全相關的警示。

警報架構指以下實體以擷取警報的詳細資訊：

  • DVC 欄位用於捕捉與警示相關的主機或 IP 的詳細資訊
  • 使用者 欄位用來擷取與警示相關的使用者細節。
  • 同樣地，Process、File、Url、Registry 和 Email 欄位也分別用來擷取與警示相關的流程、檔案、網址、登錄檔和電子郵件的關鍵細節。

重要事項

  • 在建立產品專屬解析器時，當警報包含安全事件或潛在威脅資訊時，請使用 ASIM 警示結構，且主要細節可直接映射到可用的警示結構欄位。 Alert 架構非常適合擷取摘要資訊，無需龐大的實體特定欄位。
  • 然而，如果你發現因為缺乏直接欄位匹配而將重要欄位置於「額外欄位」中，請考慮更專門化的架構。 例如，如果警報包含多個網路相關細節，如 SrcIpAdr、DstIpAddr、PortNumber 等，則你可以選擇 NetworkSession 架構而非警報架構。 專門架構也提供專屬欄位，用以捕捉威脅相關資訊，提升資料品質並促進高效分析。

結構細節

常見的ASIM欄位

以下列表提及對警報事件有特定指引的欄位：

欄位 類別 類型 描述
EventType 強制性 列舉 活動類型。

支援的值有：
-Alert
事件子類型 建議 列舉 指定警報事件的子類型或類別，提供更細緻的事件分類細節。 此欄位有助於區分偵測到的問題性質，提升事件優先順序與應對策略。

支持的價值觀包括：
- Threat (代表已確認或極有可能的惡意活動，可能危及系統或網路)
- Suspicious Activity (標記那些看似異常或可疑但尚未被確認為惡意的行為或事件)
- Anomaly (識別可能顯示潛在安全風險或操作問題的偏離模式)
- Compliance Violation (強調違反法規、政策或合規標準的行為)
最終 強制性 字串 一個機器可讀的字母數字字串，能唯一識別系統內的警示。
例如： A1bC2dE3fH4iJ5kL6mN7oP8qR9s
活動訊息 選用 字串 關於警報的詳細資訊，包括其背景、原因及潛在影響。
例如： Potential use of the Rubeus tool for kerberoasting, a technique used to extract service account credentials from Kerberos tickets.
IpAddr 別名 田野的別名或友善名稱 DvcIpAddr 。
主機名稱 別名 田野的別名或友善名稱 DvcHostname 。
事件架構 強制性 列舉 活動所使用的架構。 此處所記錄的結構模式為 AlertEvent。
事件架構版本 強制性 SchemaVersion 的 (字串) 那個版本的架構。 此處所記錄的結構版本為 1.0.0。

所有公共領域

下表中出現的欄位是所有 ASIM 架構共有的。 上述任何指引都凌駕於該領域的一般指引之上。 例如，某個欄位一般可能是可選的，但在特定結構中卻是強制的。 欲了解更多各領域的資訊，請參閱 ASIM 的「共同領域 」條目。

類別 Fields
強制性 - 事件計數
- 事件開始時間
- 事件結束時間
- 事件類型
- 最終
- EventProduct
- EventVendor
- 事件架構
- 事件架構版本
建議 - 事件子類型
- 事件嚴重度
- DvcIpAddr
- DvcHostname
- DvcDomain
- DvcDomainType
- DvcFQDN
- DVCID
- DvcId類型
選用 - 活動訊息
- 事件原創類型
- 事件原始子類型
- 事件原始嚴重度
- 事件產品版本
- 事件原創
- 事件報告網址
- 事件結果
- 活動擁有者
- DvcZone
- DvcMacAddr
- DVCOS
- DvcOS 版本
- Dvc行動
- DVC原創行動
- Dvc介面
- 額外欄位
- DVC說明
- DvcScopeID
- DvcScope（視覺化器）

檢查場

下表涵蓋了提供關鍵洞見的欄位，說明與警示相關的規則與威脅。 這些因素共同豐富了警報的背景，使安全分析師更容易理解其起源與重要性。

欄位 類別 類型 描述
警報識別 別名 字串 田野的別名或友善名稱 EventUid 。
警報名稱 建議 字串 警報標題或名稱。
例如： Possible use of the Rubeus kerberoasting tool
警示描述 別名 字串 田野的別名或友善名稱 EventMessage 。
AlertVerdict 警示判決 選用 列舉 警示的最終判斷或結果，指示警示是否被確認為威脅、被視為可疑，或是誤判。

支援的值有：
- True Positive (確認為真正的威脅)
- False Positive (被錯誤認定為威脅)
- Benign Positive (當事件被判定為無害時)
- Unknown (狀態不確定或未確定)
警戒狀態 選用 列舉 顯示警報的當前狀態或進度。

支援的值有：
- Active
- Closed
警報原始狀態 選用 字串 由起始系統回報的警報狀態。
偵測方法 選用 列舉 提供有關特定偵測方法、技術或資料來源的詳細資訊，這些方法有助於警示產生。 此領域提供更深入的洞察，了解警示如何被偵測或觸發，有助於理解偵測情境與可靠性。

支持的價值觀包括：
- EDR：端點偵測與回應系統，監控並分析端點活動以識別威脅。
- Behavioral Analytics：偵測使用者、裝置或系統行為異常模式的技術。
- Reputation：基於IP位址、網域或檔案的聲譽進行威脅偵測。
- Threat Intelligence：外部或內部情報來源，提供已知威脅或敵方戰術的資料。
- Intrusion Detection：監控網路流量或活動以偵測入侵或攻擊跡象的系統。
- Automated Investigation：自動化系統能分析並調查警示，減輕人工工作負擔。
- Antivirus：傳統防毒引擎，根據特徵碼和啟發式偵測惡意軟體。
- Data Loss Prevention：專注於防止未經授權資料傳輸或外洩的解決方案。
- User Defined Blocked List：使用者自訂清單，用以封鎖特定 IP、網域或檔案。
- Cloud Security Posture Management：評估與管理雲端環境安全風險的工具。
- Cloud Application Security：保護雲端應用與資料安全的解決方案。
- Scheduled Alerts：根據預先定義的排程或門檻產生的警報。
- Other：上述類別未涵蓋的其他偵測方法。
Rule 別名 字串 要麼是 RuleName 的值，要麼是 RuleNumber 的值。 如果使用 RuleNumber 的值，該型別應轉換為字串。
規則編號 選用 int 與警報相關的規則編號。

例如： 123456
規則名稱 選用 字串 與警示相關的規則名稱或 ID。

例如： Server PSEXEC Execution via Remote Access
規則描述 選用 字串 與警報相關的規則說明。

例如： This rule detects remote execution on a server using PSEXEC, which may indicate unauthorized administrative activity or lateral movement within the network
威脅本體 選用 字串 警示中識別出的威脅或惡意軟體的識別碼。

例如： 1234567891011121314
威脅名稱 選用 字串 警示中識別的威脅或惡意軟體名稱。

例如： Init.exe
威脅首次報告時間 選用 日期時間 威脅首次被通報的日期和時間。

例如： 2024-09-19T10:12:10.0000000Z
威脅最後報告時間 選用 日期時間 威脅最後一次被通報的日期和時間。

例如： 2024-09-19T10:12:10.0000000Z
威脅類別 建議 列舉 警示中識別的威脅或惡意軟體類別。

支援的值為：、、、 MalwareRansomwareTrojanVirusWormAdwareSpywareRootkitCryptominerPhishingSpamMaliciousUrlSpoofingSecurity Policy ViolationUnknown
威脅原始分類 選用 字串 由起源系統報告的威脅類別。
威脅是活躍的 選用 bool 顯示威脅是否仍在運作中。

支援的值有： True， False
威脅風險等級 選用 風險等級 (整數) 威脅相關的風險等級。 等級應該是 0 到 100 之間的數字。

注意：該值可能在來源記錄中透過使用不同的刻度來提供，該刻度應被正規化至該刻度。 原始值應該儲存在 ThreatRiskLevelOriginal。
威脅原始風險等級 選用 字串 原始系統報告的風險等級。
威脅信心 選用 信心水準 (整數) 所識別威脅的信心等級，標準化為0到100之間的值。
威脅原創自信 選用 字串 由原始系統報告的信心水準。
指示類型 建議 列舉 指標的類型或類別

支援的值有：
-Ip
-User
-Process
-Registry
-Url
-Host
-Cloud Resource
-Application
-File
-Email
-Mailbox
-Logon Session
指標協會 選用 列舉 指定該指標是否與威脅相關或直接受影響。

支援的值有：
-Associated
-Targeted
攻擊戰術 建議 字串 攻擊策略 (名稱、ID 或兩者) 與警報相關聯。
偏好格式：

例如： Persistence, Privilege Escalation
攻擊技術 建議 字串 攻擊技術 (名稱、ID 或兩者) 與警報相關聯。
偏好格式：

例如： Local Groups (T1069.001), Domain Groups (T1069.002)
攻擊修復步驟 建議 字串 建議的行動或步驟，以減輕或修復已識別的攻擊或威脅。
例如：
1. Make sure the machine is completely updated and all your software has the latest patch.
2. Contact your incident response team.

使用者欄位

本節定義與識別及分類與警示相關使用者的欄位，提供受影響使用者及其身份格式的明確說明。 如果警示包含多個超出此處映射範圍的使用者相關欄位，您可以考慮是否更適合使用專門的結構，如認證事件結構，來完整呈現資料。

欄位 類別 類型 描述
UserId 選用 字串 一個機器可讀、以字母數字組成、與警示相關的使用者獨特表示方式。

例如： A1bC2dE3fH4iJ5kL6mN7o
使用者IdType 條件式 列舉 使用者ID的類型，例如 GUID、、 SID或 Email。

支援的值有：
- GUID
- SID
- Email
- Username
- Phone
- Other
Username 建議 使用者名稱 (字串) 與警示相關的使用者名稱，包括網域資訊（如有）。

例如或 Contoso\JSmithjohn.smith@contoso.com
使用者 別名 字串 田野的別名或友善名稱 Username 。
使用者名稱類型 條件式 使用者名稱類型 指定欄位中儲存 Username 的使用者名稱類型。 欲了解更多資訊及允許值清單，請參閱結構概覽文章中的 UsernameType。

例如： Windows
UserType 選用 UserType 演員的類型。 欲了解更多資訊及允許值清單，請參閱結構概覽文章中的 UserType。

例如： Guest
原始使用者類型 選用 字串 使用者類型由報告裝置回報。
UserSessionID 選用 字串 與警示相關的使用者會話唯一 ID。

例如： a1bc2de3-fh4i-j5kl-6mn7-op8qr9st0u
使用者範圍ID 選用 字串 範圍 ID，例如 Microsoft Entra 目錄 ID，定義了 UserID 和 Username。

例如： a1bc2de3-fh4i-j5kl-6mn7-op8qrs
使用者範圍 選用 字串 範圍，例如 Microsoft Entra 租戶，定義了 UserId 和 Username。 欲了解更多資訊及允許值清單，請參閱結構概覽文章中的 UserScope。

例如： Contoso Directory

製程場

此區塊允許您使用指定欄位擷取與警示相關的流程實體相關細節。 如果警示包含超出此處映射的詳細流程相關欄位，您可以考慮是否更適合使用專門的結構，如流程事件結構，來完整呈現資料。

欄位 類別 類型 描述
ProcessID 選用 字串 程序識別碼 (PID，) 與警示相關聯。

例如： 12345678
ProcessCommandLine 選用 字串 用命令列啟動這個程序。

例如： "choco.exe" -v
程序名稱 選用 字串 流程名稱。

例如： C:\Windows\explorer.exe
ProcessFileCompany 選用 字串 製作流程影像檔案的公司。

例如： Microsoft

檔案欄位

此區塊可讓您擷取與警報相關的檔案實體相關細節。 如果警報包含超出此處映射的詳細檔案相關欄位，您可以考慮是否更適合使用專門的結構，如檔案事件結構，來完整呈現資料。

欄位 類別 類型 描述
FileName 選用 字串 與警報相關的檔案名稱，沒有路徑或位置。

例如： Notepad.exe
FilePath 選用 字串 目標檔案的完整正規化路徑，包括資料夾或位置、檔名及副檔名。

例如： C:\Windows\System32\notepad.exe
FileSHA1 選用 字串 檔案的 SHA1 雜湊值。

例如： j5kl6mn7op8qr9st0uv1
檔案SHA256 選用 字串 檔案的 SHA256 雜湊值。

例如： a1bc2de3fh4ij5kl6mn7op8qrs2de3
檔案MD5 選用 字串 檔案的 MD5 雜湊值。

例如： j5kl6mn7op8qr9st0uv1wx2yz3ab4c
FileSize 選用 long 檔案大小以位元組為單位。

例如： 123456

網址欄位

如果您的警示包含 URL 實體資訊，以下欄位可擷取與 URL 相關的資料。

欄位 類別 類型 描述
Url 選用 字串 警示中擷取的網址字串。

例如： https://contoso.com/fo/?k=v&amp;q=u#f

登錄欄位

如果您的警示包含註冊機構的詳細資訊，請使用以下欄位擷取特定登記相關資訊。

欄位 類別 類型 描述
登錄鑰匙 選用 字串 與警示相關的登錄檔金鑰，並標準化為標準根金鑰命名慣例。

例如： HKEY_LOCAL_MACHINE\SOFTWARE\MTG
登錄值 選用 字串 登錄值。

例如： ImagePath
RegistryValueData 選用 字串 登錄檔值的資料。

例如： C:\Windows\system32;C:\Windows;
登錄值類型 選用 列舉 登錄值的類型。

例如： Reg_Expand_Sz

Email 欄位

如果您的警示包含電子郵件實體資訊，請使用以下欄位擷取特定電子郵件相關細節。

欄位 類別 類型 描述
電子郵件訊息ID 選用 字串 電子郵件訊息的唯一識別碼，與警報相關聯。

例如： Request for Invoice Access
EmailSubject 選用 字串 電子郵件主題。

例如： j5kl6mn7-op8q-r9st-0uv1-wx2yz3ab4c

實體相關欄位

Note

貢獻者不需要填寫這些欄位。 當內部 Microsoft 支援加入時，適用的解析器會自動填充這些資料。

欄位 類別 類型 描述
FileEntityKey 選用 字串 一個穩定且確定性的字串識別碼，能在單一命名空間內唯一識別檔案。 此系統性唯一識別碼可與其他事件及實體清單中的實體進行關聯。
ProcessEntityKey 選用 字串 一個穩定且確定性的字串識別碼，能在單一命名空間內唯一識別程序。 此系統性唯一識別碼可與其他事件及實體清單中的實體進行關聯。
UserAdditionalIds 選用 動態 關於欄位結構與用法，請參見「 Fields」後綴 AdditionalIds。
UserEntityKey 選用 字串 一個穩定且確定性的字串識別碼，能在單一命名空間內唯一識別使用者。 此系統性唯一識別碼可與其他事件及實體清單中的實體進行關聯。

結構描述更新

版本 變更
0.1 初始版本。
1.0.0 新增實體相關欄位。
  • Last updated on