Referenz zum Schema für die Websitzungsnormalisierung des erweiterten Sicherheitsinformationsmodells (ADVANCED Security Information Model, ASIM) (öffentliche Vorschau)

Artikel
03/24/2023

Das Normalisierungsschema für Websitzungen wird verwendet, um eine IP-Netzwerkaktivität zu beschreiben. IP-Netzwerkaktivitäten werden beispielsweise von Webservern, Webproxys und Websicherheitsgateways gemeldet.

Weitere Informationen zur Normalisierung in Microsoft Sentinel finden Sie unter Normalisierung und erweitertes Sicherheitsinformationsmodell (Advanced Security Information Model, ASIM).

Wichtig

Das Netzwerknormalisierungsschema befindet sich derzeit in der VORSCHAUPHASE. Dieses Feature wird ohne Vereinbarung zum Servicelevel bereitgestellt und ist nicht für Produktionsworkloads vorgesehen.

In den zusätzlichen Nutzungsbestimmungen für Microsoft Azure-Vorschauen finden Sie weitere rechtliche Bedingungen, die für Azure-Features gelten, die sich in der Beta- oder Vorschauversion befinden oder anderweitig noch nicht zur allgemeinen Verfügbarkeit freigegeben sind.

Schemaübersicht

Das Normalisierungsschema für Websitzungen stellt eine beliebige HTTP-Netzwerksitzung dar und eignet sich für die Unterstützung gängiger Quelltypen. Hierzu zählen unter anderem folgende:

Webserver
Webproxys
Websicherheitsgateways

Das ASIM-Websitzungsschema stellt HTTP- und HTTPS-Protokollaktivitäten dar. Da das Schema die Protokollaktivität darstellt, wird es von RFCs und offiziell zugewiesenen Parameterlisten bestimmt, auf die in diesem Artikel gegebenenfalls verwiesen wird.

Das Websitzungsschema stellt keine Überwachungsereignisse von Quellgeräten dar. Beispielsweise kann ein Ereignis, das eine Richtlinie für Websicherheitsgateways ändert, nicht durch das Websitzungsschema dargestellt werden.

Da es sich bei HTTP-Sitzungen um Anwendungsschichtsitzungen handelt, die TCP/IP als zugrunde liegende Netzwerkschichtsitzung verwenden, ist das Websitzungsschema eine Obermenge des ASIM-Netzwerksitzungsschemas.

Die wichtigsten Felder in einem Websitzungsschema sind:

Url: Meldet die URL, die der Client vom Server angefordert hat.
SrcIpAddr (mit dem Alias IpAddr), das die IP-Adresse darstellt, von der die Anforderung generiert wurde.
Feld EventResultDetails, in dem in der Regel der HTTP-Statuscode gemeldet wird.

Websitzungsereignisse können auch Informationen zu dem Benutzer und Prozess enthalten, von dem die Anforderung initiiert wird.

Parser

Weitere Informationen zu ASIM-Parsern finden Sie in der Übersicht über ASIM-Parser.

Vereinheitlichende Parsern

Um Parser zu verwenden, die alle bereits integrierten ASIM-Parser vereinheitlichen, und sicherzustellen, dass ihre Analyse über alle konfigurierten Quellen hinweg ausgeführt wird, verwenden Sie den Filterparser _Im_WebSession oder den parameterlosen Parser _ASim_WebSession.

Sie können auch vom Arbeitsbereich bereitgestellte ImWebSession- und ASimWebSession-Parser verwenden, indem Sie sie aus dem Microsoft Sentinel GitHub-Repository bereitstellen. Weitere Informationen finden Sie unter Integrierte ASIM-Parser und im Arbeitsbereich bereitgestellte Parser.

Vorkonfigurierte, quellspezifische Parser

Die Liste der Websitzungsparser, die Microsoft Sentinel einsatzbereit zur Verfügung stellt, finden Sie in der ASIM-Parserliste

Hinzufügen eigener normalisierter Parser

Wenn Sie benutzerdefinierte Parser für das Websitzungsinformationsmodell implementieren, benennen Sie Ihre KQL-Funktionen anhand der folgenden Syntax:

vimWebSession<vendor><Product> für parametrisierte Parser
ASimWebSession<vendor><Product> für reguläre Parser

Filtern von Parser-Parametern

Die Parser im und vim* unterstützen Filterparameter. Indem diese Parser optional sind, können sie die Leistung Ihrer Abfrage verbessern.

Die folgenden Filterparameter sind verfügbar:

Name	type	Beschreibung
StartTime	datetime	Filtern Sie nur Websitzungen, die zu oder nach diesem Zeitpunkt gestartet wurden.
EndTime	datetime	Filtern Sie nur Websitzungen, deren Ausführung zu oder nach diesem Zeitpunkt begonnen hat.
srcipaddr_has_any_prefix	dynamisch	Filtern Sie nur Websitzungen, deren Präfix des Felds für die Quell-IP-Adresse in einem der aufgeführten Werte enthalten ist. Die Liste der Werte kann sowohl IP-Adressen als auch IP-Adresspräfixe enthalten. Präfixe müssen mit einem Punkt (`.`) enden. Beispiel: `10.0.` Die Länge der Liste ist auf 10.000 Elemente beschränkt.
ipaddr_has_any_prefix	dynamisch	Filtern Sie nur Netzwerksitzungen, deren Präfix des Felds für die Ziel-IP-Adresse oder des Felds für die Quell-IP-Adresse in einem der aufgeführten Werte enthalten ist. Präfixe müssen mit einem Punkt (`.`) enden. Beispiel: `10.0.` Die Länge der Liste ist auf 10.000 Elemente beschränkt. Das Feld ASimMatchingIpAddr wird mit einem der Werte `SrcIpAddrDstIpAddr`, oder `Both` festgelegt, um die übereinstimmenden Felder oder Felder widerzuspiegeln.
url_has_any	dynamisch	Filtern Sie nur Websitzungen, bei denen das URL-Feld einen der aufgeführten Werte enthält. Das Schema der als Parameter übergebenen URL wird vom Parser möglicherweise ignoriert, wenn keine entsprechende Meldung durch die Quelle erfolgt. Wenn diese Option angegeben wurde und die Sitzung keine Websitzung ist, wird kein Ergebnis zurückgegeben. Die Länge der Liste ist auf 10.000 Elemente beschränkt.
httpuseragent_has_any	dynamisch	Filtern Sie nur Websitzungen, bei denen das Benutzer-Agent-Feld einen der aufgeführten Werte enthält. Wenn diese Option angegeben wurde und die Sitzung keine Websitzung ist, wird kein Ergebnis zurückgegeben. Die Länge der Liste ist auf 10.000 Elemente beschränkt.
eventresultdetails_in	dynamisch	Filtern Sie nur Websitzungen, bei denen der im Feld EventResultDetails gespeicherte HTTP-Statuscode einem der aufgeführten Werte entspricht.
eventresult	Zeichenfolge	Filtern Sie nur Netzwerksitzungen mit einem bestimmten Wert für EventResult.

Einige Parameter können sowohl eine Liste von Werten des Typs dynamic als auch einen einzelnen Zeichenfolgenwert akzeptieren. Um eine Literalliste an Parameter zu übergeben, die einen dynamischen Wert erwarten, verwenden Sie explizit ein dynamisches Literal. Beispiel: dynamic(['192.168.','10.'])

Verwenden Sie beispielsweise Folgendes, um nur Websitzungen für eine angegebenen Liste von Domänennamen zu filtern:

let torProxies=dynamic(["tor2web.org", "tor2web.com", "torlink.co"]);
_Im_WebSession (url_has_any = torProxies)

Schemadetails

Das Websitzungsinformationsmodell ist auf das OSSEM-Netzwerkentitätsschema und auf das OSSEM-HTTP-Entitätsschema ausgerichtet.

Den bewährten Methoden der Branche entsprechend verwendet das Websitzungsschema die Deskriptoren Src und Dst zur Identifikation der Quell- und Zielgeräte der Sitzung, ohne das Token Dvc in den Feldnamen einzuschließen.

Der Hostname und die IP-Adresse des Quellgeräts heißen also beispielsweise SrcHostname bzw. SrcIpAddr und nicht SrcDvcHostname und SrcDvcIpAddr. Das Präfix Dvc wird ggf. nur für das meldende Gerät oder das Zwischengerät verwendet.

Felder, die die den Quell- und Zielgeräten zugeordneten Benutzer und Anwendungen beschreiben, verwenden auch die Deskriptoren Src und Dst.

Andere ASIM-Schemas verwenden in der Regel Target anstelle von Dst.

Allgemeine ASIM-Felder

Wichtig

Felder, die allen Schemas gemeinsam sind, werden im Artikel Allgemeine ASIM-Felder ausführlich beschrieben.

Allgemeine Felder mit bestimmten Richtlinien

In der folgenden Liste werden Felder erwähnt, die bestimmte Richtlinien für Websitzungsereignisse enthalten.

Feld	Klasse	type	BESCHREIBUNG
EventType	Obligatorisch.	Enumerated	Beschreibt den vom Datensatz gemeldeten Vorgang. Zulässige Werte sind: - `HTTPsession` gibt eine Netzwerksitzung an, die für HTTP oder HTTPS verwendet wird und in der Regel von einem zwischengeschalteten Gerät wie einem Proxy oder einem Websicherheitsgateway gemeldet wird. - `WebServerSession` gibt eine von einem Webserver gemeldete HTTP-Anforderung an. Ein solches Ereignis weist in der Regel weniger netzwerkbezogene Informationen auf. Die gemeldete URL sollte kein Schema und keinen Servernamen enthalten, sondern nur den Pfad und die Parameter als Teil der URL. - `ApiRequest` gibt eine HTTP-Anforderung an, die einem API-Aufruf zugeordnet ist und in der Regel von einem Anwendungsserver gemeldet wird. Ein solches Ereignis weist in der Regel weniger netzwerkbezogene Informationen auf. Bei der Meldung durch den Anwendungsserver sollte die gemeldete URL kein Schema und keinen Servernamen enthalten, sondern nur den Pfad und die Parameter als Teil der URL.
EventResult	Obligatorisch.	Enumerated	Beschreibt das Ereignisergebnis, das in einen der folgenden Werte normalisiert wird: - `Success` - `Partial` - `Failure` - `NA` (nicht zutreffend) Für eine HTTP-Sitzung wird `Success` als Statuscode definiert, der niedriger als `400` ist, und `Failure` wird als Statuscode definiert, der höher als `400` ist. Eine Liste der HTTP-Statuscodes finden Sie unter W3 Org. Die Quelle stellt möglicherweise nur einen Wert für das Feld EventResultDetails bereit, das analysiert werden muss, um den Wert EventResult zu erhalten.
EventResultDetails	Empfohlen	String	Der HTTP-Statuscode. Hinweis: Der Wert kann im Quelldatensatz mit anderen Begriffen angegeben werden, die auf diese Werte normalisiert werden sollten. Der ursprüngliche Wert muss im Feld EventOriginalResultDetails gespeichert werden.
EventSchema	Obligatorisch.	String	Der Name des hier dokumentierten Schemas lautet `WebSession`.
EventSchemaVersion	Obligatorisch.	String	Die Version des Schemas. Die hier dokumentierte Version des Schemas ist `0.2.6`.
Dvc-Felder			Bei Websitzungsereignissen verweisen Gerätefelder auf das System, von dem das Websitzungsereignis gemeldet wird. Dies ist in der Regel ein zwischengeschaltetes Gerät für `HTTPSession`-Ereignisse und der Zielwebserver oder Zielanwendungsserver für `WebServerSession`- und `ApiRequest`-Ereignisse.

Alle allgemeinen Felder

Felder, die in der folgenden Tabelle angezeigt werden, sind für alle ASIM-Schemas gleich. Jede oben angegebene Richtlinie setzt die allgemeinen Richtlinien für das Feld außer Kraft. Beispielsweise kann ein Feld im Allgemeinen optional, aber für ein bestimmtes Schema obligatorisch sein. Weitere Informationen zu den einzelnen Feldern finden Sie im Artikel Allgemeine ASIM-Felder.

Klasse	Fields
Obligatorisch.	- EventCount - EventStartTime - EventEndTime - EventType - EventResult - EventProduct - EventVendor - EventSchema - EventSchemaVersion - Dvc
Empfohlen	- EventResultDetails - EventSeverity - EventUid - DvcIpAddr - DvcHostname - DvcDomain - DvcDomainType - DvcFQDN - DvcId - DvcIdType - DvcAction
Optional	- EventMessage - EventSubType - EventOriginalUid - EventOriginalType - EventOriginalSubType - EventOriginalResultDetails - EventOriginalSeverity - EventProductVersion - EventReportUrl - EventOwner - DvcZone - DvcMacAddr - DvcOs - DvcOsVersion - DvcOriginalAction - DvcInterface - AdditionalFields - DvcDescription - DvcScopeId - DvcScope

Netzwerksitzungsfelder

HTTP-Sitzungen sind Anwendungsschichtsitzungen, die TCP/IP als zugrunde liegende Netzwerkschichtsitzung verwenden. Das Websitzungsschema ist eine Obermenge des ASIM-Netzwerksitzungsschemas, und alle Netzwerkschemafelder sind auch im Websitzungsschema enthalten.

Für die folgenden ASIM-Netzwerksitzungsschemafelder gelten spezifische Richtlinien, wenn es für ein Websitzungsereignis verwendet wird:

Der Alias „User“ sollte auf SrcUsername verweisen, nicht auf DstUsername.
Das Feld EventOriginalResultDetails kann jedes von der Quelle gemeldete Ergebnis sowie den in EventResultDetails gespeicherten HTTP-Statuscode enthalten.
Für Websitzungen ist das primäre Zielfeld das URL-Feld. Die Zieldomäne (DstDomain) ist optional und wird nicht empfohlen. Insbesondere ist es nicht notwendig, sie im Parser aus der URL zu extrahieren, wenn sie nicht verfügbar ist.
Die Felder NetworkRuleName und NetworkRuleNumber werden in RuleName bzw. RuleNumber umbenannt.

Websitzungsereignisse werden üblicherweise von Zwischengeräten gemeldet, die die HTTP-Verbindung des Clients beenden und als Proxy eine neue Verbindung mit dem Server initiieren. Verwenden Sie zum Darstellen des Zwischengeräts die Zwischengerätefelder des ASIM-Netzwerksitzungsschemas.

HTTP-Sitzungsfelder

Im Anschluss sind weitere spezifische Felder für Websitzungen aufgeführt:

Feld	Klasse	type	BESCHREIBUNG
Url	Obligatorisch.	String	Die HTTP-Anforderungs-URL (einschließlich Parametern). Bei `HTTPSession`-Ereignissen kann die URL das Schema und sollte den Servernamen enthalten. Für `WebServerSession` und für `ApiRequest` enthält die URL in der Regel nicht das Schema und den Server, die in den Feldern `NetworkApplicationProtocol` bzw. `DstFQDN` zu finden sind. Beispiel: `https://contoso.com/fo/?k=v&q=u#f`
UrlCategory	Optional	String	Die definierte Gruppierung einer URL oder der Domänenteil der URL. Die Kategorie wird häufig von Websicherheitsgateways bereitgestellt und basiert auf dem Inhalt der Website, auf die die URL verweist. Beispiel: Suchmaschinen, Erwachsenen-, Nachrichten-, Werbe- und geparkte Domänen.
UrlOriginal	Optional	String	Der ursprüngliche Wert der URL, wenn die URL vom meldenden Gerät geändert wurde und beide Werte angegeben werden.
HttpVersion	Optional	String	Die HTTP-Anforderungsversion. Beispiel: `2.0`
HttpRequestMethod	Empfohlen	Enumerated	Die HTTP-Methode. Die Werte entsprechen der Definition in RFC 7231 und RFC 5789und umfassen `GET`, `HEAD`, `POST`, `PUT`, `DELETE`, `CONNECT`, `OPTIONS`, `TRACE` und `PATCH`. Beispiel: `GET`
HttpStatusCode	Alias		Der HTTP-Statuscode. Alias für EventResultDetails.
HttpContentType	Optional	String	Der Inhaltstypheader der HTTP-Antwort. Hinweis: Das Feld HttpContentType kann sowohl das Inhaltsformat als auch zusätzliche Parameter enthalten, etwa die Codierung, die zum Abrufen des tatsächlichen Formats verwendet wird. Beispiel: `text/html; charset=ISO-8859-4`
HttpContentFormat	Optional	String	Der Inhaltsformatteil von HttpContentType Beispiel: `text/html`
HttpReferrer	Optional	String	Der HTTP-Referrer-Header. Hinweis: ASIM verwendet die gemäß OSSEM richtige Schreibweise für Referrer und nicht die ursprüngliche HTTP-Headerschreibweise. Beispiel: `https://developer.mozilla.org/docs`
HttpUserAgent	Optional	String	Der HTTP-Benutzer-Agent-Header. Beispiel: `Mozilla/5.0` (Windows NT 10.0; WOW64) `AppleWebKit/537.36` (KHTML, wie Gecko) `Chrome/83.0.4103.97 Safari/537.36`
UserAgent	Alias		Alias für HttpUserAgent
HttpRequestXff	Optional	IP-Adresse	The HTTP-Header vom Typ „X-Forwarded-For“. Beispiel: `120.12.41.1`
HttpRequestTime	Optional	Integer	Die Zeitspanne in Millisekunden, die zum Senden der Anforderung an den Server benötigt wurde, falls zutreffend. Beispiel: `700`
HttpResponseTime	Optional	Integer	Die Zeitspanne in Millisekunden, die zum Empfangen einer Antwort auf dem Server benötigt wurde, falls zutreffend. Beispiel: `800`
HttpHost	Optional	String	Der virtuelle Webserver, auf den die HTTP-Anforderung ausgerichtet ist. Dieser Wert basiert in der Regel auf dem HTTP-Hostheader.
FileName	Optional	String	Bei HTTP-Uploads der Name der hochgeladenen Datei.
FileMD5	Optional	MD5	Bei HTTP-Uploads der MD5-Hash der hochgeladenen Datei. Beispiel: `75a599802f1fa166cdadb360960b1dd0`
FileSHA1	Optional	SHA1	Bei HTTP-Uploads der SHA1-Hash der hochgeladenen Datei. Beispiel: `d55c5a4df19b46db8c54` `c801c4665d3338acdab0`
FileSHA256	Optional	SHA256	Bei HTTP-Uploads der SHA256-Hash der hochgeladenen Datei. Beispiel: `e81bb824c4a09a811af17deae22f22dd` `2e1ec8cbb00b22629d2899f7c68da274`
FileSHA512	Optional	SHA512	Bei HTTP-Uploads der SHA512-Hash der hochgeladenen Datei.
Hash	Alias		Alias für das verfügbare Hashfeld.
FileHashType	Optional	Enumerated	Der Typ des Hashs im Feld Hash. Mögliche Werte: `MD5`, `SHA1`, `SHA256` und `SHA512`.
FileSize	Optional	Long	Bei HTTP-Uploads die Größe der hochgeladenen Datei in Bytes.
FileContentType	Optional	String	Bei HTTP-Uploads der Inhaltstyp der hochgeladenen Datei.

Weitere Felder

Wenn das Ereignis von einem der Endpunkte der Websitzung gemeldet wird, kann es Informationen zu dem Prozess enthalten, von dem die Sitzung initiiert oder beendet wurde. In solchen Fällen wird das ASIM-Prozessereignisschema zum Normalisieren dieser Informationen verwendet.

Schemaupdates

Das Websitzungsschema basiert auf dem Netzwerksitzungsschema. Daher gelten Aktualisierungen des Netzwerksitzungsschemas auch für das Websitzungsschema.

In der Version 0.2.5 des Schemas wurde Folgendes geändert:

Das Feld HttpHost wurde hinzugefügt.

In der Version 0.2.6 des Schemas wurde Folgendes geändert:

Der Typ von FileSize wurde von Integer in Long geändert.

Nächste Schritte

Weitere Informationen finden Sie unter