ASimWebSessionLogs

Schema för normalisering av webbsessioner i ASIM (Advanced Security Information Model) – beskriver en IP-nätverksaktivitet. Ip-nätverksaktiviteter rapporteras till exempel av webbservrar, webbproxyservrar och webbsäkerhetsgatewayer.

Tabellattribut

Attribut	Värde
Resurstyper	microsoft.securityinsights/websessionlogs
Kategorier	Säkerhet
Lösningar	SecurityInsights
Grundläggande logg	No
Inmatningstidstransformering	Yes
Exempelfrågor	-

Kolumner

Kolumn	Typ	Description
AdditionalFields	dynamisk	Ytterligare information som representeras med nyckel/värde-par som tillhandahålls av källan som inte mappar till ASim.
_BilledSize	real	Poststorleken i byte
DstAppId	sträng	ID:t för målprogrammet enligt rapporteringsenhetens rapporteringsenhet.
DstAppName	sträng	Namnet på målprogrammet.
DstAppType	sträng	Typ av målprogram.
DstBytes	long	Antalet byte som skickas från målet till källan för anslutningen eller sessionen. Om händelsen aggregeras är DstBytes summan för alla aggregerade sessioner.
DstDeviceType	sträng	Typ av målenhet.
DstDomain	sträng	Målenhetens domän.
DstDomainType	sträng	Typ av DstDomain.
DstDvcId	sträng	Målenhetens ID.
DstDvcIdType	sträng	Typ av DstDvcId.
DstDvcScope	sträng	Molnplattformsomfånget som målenheten tillhör. DvcScope mappar till en prenumeration på Azure och till ett konto på AWS.
DstDvcScopeId	sträng	Molnplattformens omfångs-ID som målenheten tillhör. DvcScopeId mappar till ett prenumerations-ID i Azure och till ett konto-ID på AWS.
DstFQDN	sträng	Målenhetens värdnamn, inklusive domäninformation när det är tillgängligt.
DstGeoCity	sträng	Den ort som är associerad med målets IP-adress.
DstGeoCountry	sträng	Det land som är associerat med målets IP-adress.
DstGeoLatitude	real	Latitud för den geografiska koordinat som är associerad med målets IP-adress.
DstGeoLongitude	real	Longitud för den geografiska koordinat som är associerad med målets IP-adress.
DstGeoRegion	sträng	Regionen eller tillståndet i ett land som är associerat med målets IP-adress.
DstHostname	sträng	Målenhetens värdnamn, exklusive domäninformation.
DstIpAddr	sträng	IP-adressen för anslutningen eller sessionsmålet.
DstMacAddr	sträng	MAC-adressen för nätverksgränssnittet som används för anslutningen eller sessionen av målenheten.
DstNatIpAddr	sträng	DstNatIpAddr representerar något av: Målenhetens ursprungliga adress om nätverksadressöversättning användes eller den IP-adress som används av den mellanliggande enheten för kommunikation med källan.
DstNatPortNumber	int	Om den rapporteras av en mellanliggande NAT-enhet används porten av NAT-enheten för kommunikation med källan.
DstOriginalUserType	sträng	Den ursprungliga målanvändartypen, om den tillhandahålls av källan.
DstPackets	long	Antalet paket som skickas från målet till källan för anslutningen eller sessionen. Innebörden av ett paket definieras av rapporteringsenheten. Om händelsen aggregeras är DstPackets summan för alla aggregerade sessioner.
DstPortNumber	int	Målets IP-port.
DstUserId	sträng	En maskinläsbar, alfanumerisk och unik representation av målanvändaren.
DstUserIdType	sträng	Typen av ID som lagras i fältet DstUserId.
DstUsername	sträng	Målanvändarnamnet, inklusive domäninformation när det är tillgängligt. Använd bara det enkla formuläret om domäninformation inte är tillgänglig.
DstUsernameType	sträng	Anger typen av användarnamn som lagras i fältet DstUsername.
DstUserType	sträng	Typ av målanvändare.
Dvc	sträng	En unik identifierare för den enhet där händelsen inträffade eller som rapporterade händelsen.
DvcAction	sträng	Den åtgärd som vidtagits på webbsessionen.
DvcDomain	sträng	Domänen för enheten som rapporterar händelsen.
DvcDomainType	sträng	Typ av DvcDomain. Möjliga värden är "Windows" och "FQDN".
DvcFQDN	sträng	Värdnamnet för den enhet där händelsen inträffade eller som rapporterade händelsen.
DvcHostname	sträng	Värdnamnet för enheten som rapporterar händelsen.
DvcId	sträng	Det unika ID:t för den enhet där händelsen inträffade eller som rapporterade händelsen.
DvcIdType	sträng	Typ av DvcId.
DvcIpAddr	sträng	IP-adressen för enheten som rapporterar händelsen.
DvcOriginalAction	sträng	Den ursprungliga DvcAction som tillhandahålls av rapporteringsenheten.
EventCount	int	Det här värdet används när källan stöder aggregering och en enskild post kan representera flera händelser.
EventEndTime	datetime	Tiden då händelsen avslutades. Om källan stöder aggregering och posten representerar flera händelser, den tid då den senaste händelsen genererades. Om det inte tillhandahålls av källposten kan det här fältet vara alias för fältet TimeGenerated.
EventMessage	sträng	Ett allmänt meddelande eller en beskrivning.
EventOriginalResultDetails	sträng	Den ursprungliga resultatinformationen som tillhandahålls av källan. Det här värdet används för att härleda EventResultDetails, som bara ska ha ett av de värden som dokumenteras för varje schema.
EventOriginalSeverity	sträng	Den ursprungliga allvarlighetsgraden som tillhandahålls av rapporteringsenheten. Det här värdet används för att härleda EventSeverity.
EventOriginalSubType	sträng	Den ursprungliga händelseundertypen eller ID:t om den tillhandahålls av källan. Det här fältet används till exempel för att lagra den ursprungliga Inloggningstypen för Windows. Det här värdet används för att härleda EventSubType, som bara ska ha ett av de värden som dokumenteras för varje schema.
EventOriginalType	sträng	Den ursprungliga händelsetypen eller ID:t om den tillhandahålls av källan.
EventOriginalUid	sträng	Ett unikt ID för den ursprungliga posten, om det tillhandahålls av källan.
EventOwner	sträng	Ägaren till händelsen, som vanligtvis är den avdelning eller det dotterbolag där den genererades.
EventProduct	sträng	Den produkt som genererar händelsen.
EventProductVersion	sträng	Den version av produkten som genererar händelsen.
EventReportUrl	sträng	En URL som anges i händelsen för en resurs som ger mer information om händelsen.
EventResult	sträng	Resultatet av händelsen, som representeras av något av följande värden: Success, Partial, Failure, NA (Not Applicable). Värdet kanske inte anges direkt av källorna, i så fall härleds det från andra händelsefält, till exempel fältet EventResultDetails.
EventResultDetails	sträng	HTTP-statuskoden.
EventSchemaVersion	sträng	Versionen av schemat.
EventSeverity	sträng	Händelsens allvarlighetsgrad. Giltiga värden är: Information, Låg, Medel eller Hög.
EventStartTime	datetime	Tiden då händelsen startades. Om källan stöder aggregering och posten representerar flera händelser, den tid då den första händelsen genererades. Om det inte anges av källposten kan det här fältet ange fältet TimeGenerated som alias.
EventSubType	sträng	Ytterligare beskrivning av händelsetypen, om tillämpligt.
Eventtype	sträng	Åtgärden som rapporterats av posten.
EventVendor	sträng	Leverantören av produkten som genererar händelsen.
FileContentType	sträng	För HTTP-uppladdningar, innehållstypen för den uppladdade filen.
FileMD5	sträng	För HTTP-uppladdningar, MD5-hashen för den uppladdade filen.
Filnamn	sträng	För HTTP-uppladdningar, namnet på den uppladdade filen.
FileSHA1	sträng	För HTTP-uppladdningar sha1-hash för den uppladdade filen.
FileSHA256	sträng	Sha256-hashen för den uppladdade filen för HTTP-uppladdningar.
FileSHA512	sträng	För HTTP-uppladdningar sha512-hash för den uppladdade filen.
Filstorlek	int	För HTTP-uppladdningar är storleken i byte för den uppladdade filen.
HttpContentFormat	sträng	Innehållsformatdelen i HttpContentType
HttpContentType	sträng	Innehållstypen HTTP-svarsrubrik.
HttpHost	sträng	Den virtuella webbserver som HTTP-begäran har riktats mot.
HttpReferrer	sträng	HTTP-referensrubriken.
HttpRequestMethod	sträng	HTTP-metoden.
HttpRequestTime	int	Hur lång tid det tog att skicka begäran till servern i millisekunder.
HttpRequestXff	sträng	HTTP X-Forwarded-For-huvudet.
HttpResponseTime	int	Hur lång tid det tog att ta emot ett svar på servern i millisekunder.
HttpUserAgent	sträng	HTTP-användaragentens huvud.
HttpVersion	sträng	HTTP-begärandeversionen.
_IsBillable	sträng	Anger om inmatning av data är fakturerbar. När _IsBillable är false debiteras inte inmatningen till ditt Azure-konto
NetworkApplicationProtocol	sträng	Protokollet på programnivå som används av anslutningen eller sessionen.
Nätverksbyte	long	Antal byte som skickats i båda riktningarna. Om både BytesReceived och BytesSent finns ska BytesTotal vara lika med summan. Om händelsen aggregeras är NetworkBytes summan för alla aggregerade sessioner.
NetworkConnectionHistory	sträng	TCP-flaggor och annan potentiell information om IP-huvuden.
NetworkDirection	sträng	Riktningen för anslutningen eller sessionen.
NetworkDuration	int	Hur lång tid, i millisekunder, för slutförandet av webbsessionen eller anslutningen.
NetworkIcmpCode	int	För ett ICMP-meddelande skriver ICMP-meddelandet numeriskt värde enligt beskrivningen i RFC 2780 för IPv4-nätverksanslutningar eller i RFC 4443 för IPv6-nätverksanslutningar.
NetworkIcmpType	sträng	För ett ICMP-meddelande skriver ICMP-meddelandetextrepresentationen enligt beskrivningen i RFC 2780 för IPv4-nätverksanslutningar eller i RFC 4443 för IPv6-nätverksanslutningar.
NetworkPackets	long	Antalet paket som skickas i båda riktningarna. Om både PacketsReceived och PacketsSent finns ska BytesTotal vara lika med summan. Innebörden av ett paket definieras av rapporteringsenheten. Om händelsen aggregeras är NetworkPackets summan för alla aggregerade sessioner.
NetworkProtocol	sträng	IP-protokollet som används av anslutningen eller sessionen enligt listan i IANA-protokolltilldelning, vilket vanligtvis är TCP, UDP eller ICMP.
NetworkProtocolVersion	sträng	Versionen av NetworkProtocol.
NetworkSessionId	sträng	Sessionsidentifieraren som rapporteras av rapporteringsenheten.
_ResourceId	sträng	En unik identifierare för resursen som posten är associerad med
Regel	sträng	Antingen NetworkRuleName eller NetworkRuleNumber
RuleName	sträng	Namnet eller ID:t för regeln som DvcAction beslutades om. Exempel: AnyAnyDrop
RuleNumber	int	Antalet av regeln som DvcAction beslutades om. Exempel: 23
SourceSystem	sträng	Typen av agent som händelsen samlades in av. Till exempel OpsManager för Windows-agenten, antingen direktanslutning eller Operations Manager, Linux för alla Linux-agenter eller Azure för Azure Diagnostics
SrcAppId	sträng	ID:t för källprogrammet enligt rapporteringsenheten.
SrcAppName	sträng	Namnet på källprogrammet.
SrcAppType	sträng	Typ av källprogram.
SrcBytes	long	Antalet byte som skickas från källan till målet för anslutningen eller sessionen. Om händelsen aggregeras är SrcBytes summan för alla aggregerade sessioner.
SrcDeviceType	sträng	Typ av källenhet.
SrcDomain	sträng	Källenhetens domän.
SrcDomainType	sträng	Typen av SrcDomain.
SrcDvcId	sträng	Källenhetens ID.
SrcDvcIdType	sträng	Typen av SrcDvcId.
SrcDvcScope	sträng	Molnplattformsomfånget som källenheten tillhör. DvcScope mappar till en prenumeration på Azure och till ett konto på AWS.
SrcDvcScopeId	sträng	Molnplattformens omfångs-ID som källenheten tillhör. DvcScopeId mappar till ett prenumerations-ID på Azure och till ett konto-ID på AWS.
SrcFQDN	sträng	Källenhetens värdnamn, inklusive domäninformation när det är tillgängligt.
SrcGeoCity	sträng	Orten som är associerad med källans IP-adress.
SrcGeoCountry	sträng	Det land som är associerat med källans IP-adress.
SrcGeoLatitude	real	Latitud för den geografiska koordinat som är associerad med källans IP-adress.
SrcGeoLongitude	real	Longitud för den geografiska koordinat som är associerad med källans IP-adress.
SrcGeoRegion	sträng	Regionen i ett land som är associerat med källans IP-adress.
SrcHostname	sträng	Källenhetens värdnamn, exklusive domäninformation. Om inget enhetsnamn är tillgängligt kan den relevanta IP-adressen lagras.
SrcIpAddr	sträng	IP-adressen som anslutningen eller sessionen kommer från.
SrcMacAddr	sträng	MAC-adressen för nätverksgränssnittet från vilket anslutningen eller sessionen har sitt ursprung.
SrcNatIpAddr	sträng	SrcNatIpAddr representerar något av: Källenhetens ursprungliga adress om nätverksadressöversättning användes eller den IP-adress som används av den mellanliggande enheten för kommunikation med målet.
SrcNatPortNumber	int	Om den rapporteras av en mellanliggande NAT-enhet används porten av NAT-enheten för kommunikation med målet.
SrcOriginalUserType	sträng	Den ursprungliga målanvändartypen, om den tillhandahålls av rapporteringsenheten.
SrcPackets	long	Antalet paket som skickas från källan till målet för anslutningen eller sessionen. Innebörden av ett paket definieras av rapporteringsenheten. Om händelsen aggregeras är SrcPackets summan för alla aggregerade sessioner.
SrcPortNumber	int	DEN IP-port som anslutningen kommer från. Kanske inte är relevant för en session som består av flera anslutningar.
SrcProcessGuid	sträng	En genererad unik identifierare (GUID) för källprocessen.
SrcProcessId	sträng	Källprocessens process-ID (PID).
SrcProcessName	sträng	Namnet på källprocessen.
SrcUserId	sträng	En maskinläsbar, alfanumerisk och unik representation av källanvändaren.
SrcUserIdType	sträng	Typen av ID som lagras i fältet SrcUserId.
SrcUsername	sträng	Källans användarnamn, inklusive domäninformation när det är tillgängligt.
SrcUsernameType	sträng	Anger typen av användarnamn som lagras i fältet SrcUsername.
SrcUserScope	sträng	Omfånget, till exempel Azure AD klientorganisation, där SrcUserId och SrcUsername definieras.
SrcUserScopeId	sträng	ID:t för omfånget, till exempel Azure AD klientorganisation, där SrcUserId och SrcUsername definieras.
SrcUserType	sträng	Typ av källanvändare.
_SubscriptionId	sträng	En unik identifierare för prenumerationen som posten är associerad med
TenantId	sträng	Log Analytics-arbetsytans ID
ThreatCategory	sträng	Kategorin för det hot eller den skadliga kod som identifierades i webbsessionen.
ThreatConfidence	int	Konfidensnivån för det identifierade hotet normaliserades till ett värde mellan 0 och 100.
ThreatField	sträng	Det fält som ett hot identifierades för. Värdet är antingen SrcIpAddr, DstIpAddr, Domain eller DnsResponseName.
ThreatFirstReportedTime	datetime	Första gången IP-adressen eller domänen identifierades som ett hot.
ThreatId	sträng	ID:t för det hot eller den skadliga kod som identifierades i webbsessionen.
ThreatIpAddr	sträng	En IP-adress för vilken ett hot har identifierats. Fältet ThreatField innehåller namnet på fältet ThreatIpAddr representerar.
ThreatIsActive	boolesk	Sant ID som det identifierade hotet betraktas som ett aktivt hot.
ThreatLastReportedTime	datetime	Senaste gången IP-adressen eller domänen identifierades som ett hot.
ThreatName	sträng	Namnet på det hot eller den skadliga kod som identifierades i webbsessionen.
ThreatOriginalConfidence	sträng	Den ursprungliga konfidensnivån för det hot som identifierats, enligt rapporteringsenhetens rapportering.
ThreatOriginalRiskLevel	sträng	Risknivån som rapporteras av rapporteringsenheten.
ThreatRiskLevel	int	Risknivån som är associerad med sessionen. Nivån är ett tal mellan 0 och 100.
TimeGenerated	datetime	Tidsstämpeln (UTC) som återspeglar den tid då händelsen genererades.
Typ	sträng	Namnet på tabellen
URL	sträng	Den fullständiga URL:en för HTTP-begäran, inklusive parametrar.
UrlCategory	sträng	Den definierade gruppering av en URL eller domändelen av URL:en.
UrlOriginal	sträng	Det ursprungliga värdet för URL:en, när URL:en ändrades av rapporteringsenheten och båda värdena anges.