Security Data Lake-ийн мэдээллийн загварын схем (Security Data Lake Information Model Schema) — 2-р хэсэг: Email Fields

← Үндсэн хуудас

Email Fields (И-мэйлийн талбарууд)

Хүснэгт 9. Email Fields. Мөр бүр: талбарын нэр — жишээ утга; талбарын төрөл; тайлбар.

• `email_attachment_file_name` — attachment.exe; array; хавсралтын файлын нэр(үүд).
• `email_attachment_file_size` — 1024; long; хавсралтуудын хэмжээ (байтаар).
• `email_bcc` — stefan@example.com; keyword; BCC (далд хуулбар) хүлээн авагч буюу очих хаягийн и-мэйл хаяг.
• `email_cc` — stefan@example.com; keyword; CC (хуулбар) хүлээн авагч буюу очих хаягийн и-мэйл хаяг.
• `email_delivered_to` — joe@example.com; keyword; и-мэйлийн Delivered-To толгой талбар.
• `email_direction` — inbound, outbound, lateral; keyword; ажиглагдсан и-мэйл урсгалын чиглэлийг заана. Заавал inbound, outbound эсвэл lateral байх ёстой. Үйлдвэрлэгч сүлжээний чиглэлийг өөрөөр өгдөг бол эдгээр утга руу хөрвүүлж оноох хэрэгтэй.
• `email_from` — stefan@example.com; keyword; RFC 5322-ын дагуу захидлыг бодитоор дамжуулсан буюу илгээгчийн хаягийг заана.
• `email_message_id` — <CAD78=PvAb+iLQ6x+221MGa-22@mail.gmail.com>; keyword; дэлхийд давтагдахгүй захидлын танигч.
• `email_raw_header` — (жишээ байхгүй); keyword; и-мэйлийн баталгаажуулалтын толгой талбар.
• `email_reply_to` — stefan@example.com; keyword; RFC 5322-ын Reply-To: толгой талбарын утгад үндэслэн хариуг хүргэх хаяг.
• `email_size` — 234; long; и-мэйлийн хэмжээ (байтаар).
• `email_subject` — RE: FWD: Testing; keyword; и-мэйлийн сэдэв.
• `email_to` — stefan@example.com; keyword; хүлээн авагч буюу очих хаягийн и-мэйл хаяг.
• `email_uid` — 123456789A; keyword; и-мэйл программ захидлыг хянахад дотооддоо ашигладаг өвөрмөц танигч.
• `email_x_originating_ip` — 192.168.2.3; array; и-мэйлийн гарал үүслийн IP хаяг(ууд)-ыг заасан X-Originating-IP толгой талбар.
• `email_xmailer` — spambot; keyword; и-мэйлийг үүсгэж илгээсэн хэрэгсэл.

Event Fields (Үйл явдлын талбарууд)

Хүснэгт 10. Event Fields.

• `event_action` — blocked, allowed, scan_start, scan_end, scan_pause, scan_cancel, scan_resume; keyword; галт ханын лог эсвэл вирусны эсрэг агентын лог зэрэгт тайлбарласан үйлдэл.
• `event_code` — 4624, 1; long; эх мессежийн төрлийг төлөөлсөн, үйлдвэрлэгчээс тодорхойлсон тоон үйл явдал, жишээ нь Microsoft-ын EventCode/Event ID. Мужаар хайлт хийх боломжтой байхын тулд энэ талбарыг тоон утга гэж үзнэ. Тэргүүн 0-үүд хасагдана.
• `event_created` — 2020-02-20 08:23:15.102, 1602080607; date; үйл явдал бодитоор болсон эсвэл эх үйл явдлын мессеж үүссэн огноо, цаг.
• `event_duration` — 10293874; long; тайлбарлаж буй үйл явдлын үргэлжилсэн хугацаа (секундээр).
• `event_end` — 2021-03-26T11:25:13.113; date; логийн мессежэд тайлбарласан үйл явдал дууссан огноо, цаг. Ихэвчлэн үргэлжлэх хугацаатай үйл явдалд хамаарна.
• `event_error_code` — 0xC00008; keyword; одоогийн мессежтэй холбоотой, үйлдвэрлэгчээс өгсөн алдааны код.
• `event_error_description` — ERROR_ACCESS_DENIED, Not Found; keyword; одоогийн мессежтэй холбоотой алдааны тайлбар.
• `event_id` — 0023425, 90EF8; keyword; мессежийн төрлийг төлөөлсөн, үйлдвэрлэгчээс өгсөн танигч. event_code-той төстэй боловч энэ нь тэмдэгт мөр утга болж бүртгэгддэг. Мужаар хайх боломжгүй, харин ID утгууд ямар ч байдлаар өөрчлөгдөхгүй.
• `event_log_name` — security, auth.log; keyword; 'Security', 'auth.log' зэрэг логийн лавлагаа. Энэ нь vendor_subtype-аас ялгаатай нь логийг анх цуглуулсан эх сурвалжийг илүү тод заадаг.
• `event_log_path` — /var/log/syslog; keyword; лог файл эх сурвалжийн бүтэн зам.
• `event_observer_hostname` — SERVER01.server01.corp.internal; keyword/loweronly; IDS эсвэл IPS зэрэг системийн хост нэр буюу FQDN. Тус систем нь сүлжээний траффик гэх мэт зүйлийг шалгасны үндсэн дээр мессеж (жишээ нь сэрэмжлүүлэг) үүсгэдэг.
• `event_observer_id` — 234cd78sc; keyword; ажиглагч төхөөрөмжийн өвөрмөц ID, серийн дугаар гэх мэт.
• `event_observer_ip` — 10.1.2.3, fe80:5cc3:11:4::2c; ip; үйл явдал ажиглагчийн IP хаяг.
• `event_observer_uid` — (жишээ байхгүй); keyword; үйл явдал ажиглагчтай холбоотой өвөрмөц танигч (серийн дугаар эсвэл хөрөнгийн ID гэх мэт).
• `event_received_time` — 2020-02-20 08:00:00, 1602080607; date; үйл явдлыг мэдээлэгч хост хүлээн авсан огноо, цаг. Ихэвчлэн төвлөрсөн лог серверээр дамжуулсан логт хамаарна.
• `event_repeat_count` — 5, 3, 9185; long; мессеж давтагдсан тоо.
• `event_reporter` — SERVER01.server01.corp.internal; keyword; мессежийг Security Data Lake руу хүргэсэн системийн хост нэр эсвэл IP, жишээ нь WEC сервер, syslog цуглуулагч.
• `event_source` — LAPTOP01,laptop01.corp.internal; keyword; үйл явдлыг үүсгэсэн эх системийн хост нэр эсвэл IP.
• `event_source_api_version` — (жишээ байхгүй); keyword; логийг API-аар цуглуулдаг үед эх сурвалжийн API-ийн хувилбар.
• `event_source_product` — windows, linux, okta; keyword; үйл явдлыг үүсгэсэн систем, жишээ нь “windows”, “okta”.
• `event_start` — 2020-02-20 08:00:00, 1602080607; date; логийн мессежэд тайлбарласан үйл явдал эхэлсэн огноо, цаг. Ихэвчлэн үргэлжлэх хугацаатай үйл явдалд хамаарна.
• `event_uid` — 1123523564, 0122e2b3-9923-11ea-ab51-061b68b4ca16; keyword; нэг үйл явдал/мессежтэй холбоотой өвөрмөц танигч, жишээ нь Windows үйл явдлын логийн “record number”, Security Data Lake-ийн мессежийн ID.

Хүснэгт 11. Derived and Enriched Fields (Гаралтай ба баяжуулсан талбарууд; утгууд нь гаднын эх сурвалжаас гаргаж авагдах эсвэл нэмэгдэнэ).

• `event_outcome` — success, failure; keyword; event_action-д тайлбарласан үйлдлийн үр дүн (амжилттай/амжилтгүй).
• `event_severity` — critical, high, medium, low, informational; keyword; зөвхөн event_severity_level тодорхойлогдсон үед Illuminate Core үүнийг нэмнэ. Адил биш эрсдэлийн түвшинтэй үйлдвэрлэгчийн түвшингээс оноож болно.
• `event_severity_level` — 1-5; byte; эх мессежийн эрсдэлийн зэргийг тоогоор илэрхийлнэ: 1 = informational, 2 = low, 3 = medium, 4 = high, 5 = critical. Зөвхөн event_severity тодорхойлогдсон үед Illuminate Core үүнийг нэмнэ.

File Fields (Файлын талбарууд)

Хүснэгт 12. File Fields.

• `file_company` — Microsoft; keyword; файлын мета өгөгдлөөс авсан, файлтай холбоотой компанийн нэр.
• `file_compile_time` — (жишээ байхгүй); date; хоёртын файлыг хөрвүүлсэн (compile) огноо, цаг.
• `file_contents` — (жишээ байхгүй); keyword; файлын агуулга.
• `file_description` — WMI; keyword; файлын тайлбар.
• `file_is_executable` — true, false; boolean; файл ажиллах боломжтой (executable) эсэхийг заасан тэмдэг.
• `file_is_signed` — 1; boolean; файлд дижитал гарын үсэг зурсан эсэхийг заасан тэмдэг.
• `file_name` — file.zip, file.exe, file; keyword; замыг оруулаагүй файлын нэр.
• `file_path` — C:\\temp\\file.exe; keyword; файлын нэрийг оруулсан бүтэн зам.
• `file_product` — (жишээ байхгүй); keyword; файл хамт хүргэгдсэн бүтээгдэхүүний нэр.
• `file_product_version` — (жишээ байхгүй); keyword; файл хамт хүргэгдсэн бүтээгдэхүүний хувилбар.
• `file_signature_status` — valid; keyword; файлын гарын үсгийн төлөв.
• `file_signed_by` — Microsoft Windows; keyword; файлд гарын үсэг зурсан этгээдийн нэр.
• `file_size` — 23894713; long; файлын хэмжээ (байтаар).
• `file_type` — gzip compressed data, application/pdf; keyword; файлын агуулгын тайлбар.
• `file_version` — 10.0.14393.4169 (rs1_release.210107-1130); keyword; файлын хувилбар.

Geolocation Sub-Fields (Газарзүйн байршлын дэд талбарууд)

• Geo талбарууд нь үйл явдал, хост, IP хаягийн байршлыг заасан өгөгдөл агуулна.
• Geo талбарууд нь source (эх сурвалж), destination (очих), host (хост) обьектуудад хамаарна.

Хүснэгт 13. Geolocation Sub-Fields.

• …`_geo_city` — Hamburg, Houston; keyword; хотын нэр.
• …`_geo_continent` — America; keyword; тивийн нэр.
• …`_geo_country_iso` — US, DE, CA; keyword; улсын ISO Alpha-2 код.
• …`_geo_country` — USA, Canada; keyword; улсын нэр.
• …`_geo_coordinates` — 34.1186,-118.3004; keyword; өргөрөг, уртрагийн координат.
• …`_geo_name` — Hamburg, DE; keyword; байршлын нэр. Бусад утгыг нийлүүлж гаргаж болно.
• …`_geo_state` — Hamburg; keyword; мужийн нэр.

GIM Fields (GIM талбарууд)

GIM талбарууд нь Security Data Lake мессежүүдэд стандарт ангилал (category), дэд ангилал (subcategory), төрөл (type) оноход ашигладаг мета талбарууд юм.

Хүснэгт 14. GIM Fields.

• `gim_event_type_code` — 100000; long; энэ талбарыг хэвийн болгох (normalization) явцад онооно. Энэ талбарт үндэслэн мессежүүдэд category, subcategory, type талбарууд хэрэгжинэ.

Хүснэгт 15. GIM Derived fields (Эдгээр талбарыг баяжуулах явцад мессежүүдэд нэмнэ).

• `gim_event_category` — process, audit, authentication; keyword; холбогдох логийн мессеж аль ангилалд хамаарах. Мессежийн ангилал нь ихэвчлэн нийтлэг талбартай, хоорондоо холбоотой мессежүүдийн бүлэг юм.
• `gim_event_class` — endpoint, protocol; keyword; холбоотой ангилалд ашиглагддаг заавал биш талбар. Жишээ нь process болон service ангилал нь бусдын дунд Endpoint gim_event_class-д багтана.
• `gim_event_type` — network connection; keyword; холбогдох логийн мессежэд тайлбарласан үйл явдлын тодорхойлолт.
• `gim_event_subcategory` — credential validation, process; keyword; ангилал доторх, нэг бүрийн үйл явдлууд олон нийтлэг шинж чанартай хоёрдогч бүлэг.

Hash Fields (Хэш талбарууд)

Хүснэгт 16. Hash Fields.

• `hash_md5` — 4c583e00d47108f809282d5d595f5fb0; keyword; MD5 хэш утга.
• `hash_sha1` — 5d4d04eff6aba8467ebd26c43008ab028203be35; keyword; SHA1 хэш утга.
• `hash_sha256` — (жишээ байхгүй); keyword; SHA256 хэш утга.
• `hash_sha512` — (жишээ байхгүй); keyword; SHA512 хэш утга.
• `hash_imphash` — 0c2803c4e9a2102c4dc65963dad36cdf; keyword; IMP хэш утга.

Host Fields (Хостын талбарууд)

Хүснэгт 17. Host Fields.

• `host_device` — \\Device\\HarddiskVolume2; keyword; системд холбогдсон төхөөрөмж (диск, сүлжээний адаптер)-ийн танигч.
• `host_hostname` — corpdc01, corpdc01.local, lab01.corpdomain.com; keyword (normalized:loweronly); NetBIOS эсвэл DNS хост нэр.
• `host_id` — (жишээ байхгүй); keyword; хостын өвөрмөц танигч (жишээ нь Microsoft-ын SID).
• `host_ip` — 10.1.2.3, fe80:5cc3:11:4::2c; ip; IPv4 ба IPv6 хаягууд.
• `host_ipv6` — fe80:5cc3:11:4::2c; ip; IPv6 хаягууд.
• `host_mac` — 02:a1:f9:c2:d5:04; keyword; хостын MAC хаяг, хоёр цэгээр тусгаарласан, жижиг үсгээр.
• `host_reference` — 127.0.0.1, corpdc01, corpdc01.local, lab01.corpdomain.com; keyword (normalized:loweronly); host_ip эсвэл host_hostname-аас энэ дарааллаар оноогдоно. Хоёуланг нь өгдөггүй мессежүүдэд нийтлэг лавлах талбар болдог (анхаарах: энэ талбар дээр CIDR хайлт ажиллахгүй).
• `host_region` — us-east-1; keyword; эх төхөөрөмж байрлаж буй бүсийн нэр.
• `host_type_version` — (жишээ байхгүй); keyword; хостын үйлдлийн системийн хувилбар.
• `host_virtfw_hostname` — (жишээ байхгүй); keyword/loweronly; хуваагдсан үйлчилгээ болгон ажилладаг галт ханын хувьд логик төхөөрөмжийн нэр.
• `host_virtfw_id` — (жишээ байхгүй); keyword; хуваагдсан үйлчилгээ болгон ажилладаг галт ханын хувьд логик төхөөрөмжийн ID утга.
• `host_virtfw_uid` — (жишээ байхгүй); keyword; виртуал хостыг төлөөлсөн UUID зэрэг өвөрмөц танигч.
• `host_vm_name` — (жишээ байхгүй); keyword; виртуал системийн нэр (хост нэртэй андуурч болохгүй).

Хүснэгт 18. Derived and Enriched Fields (Гаралтай ба баяжуулсан талбарууд; утгууд нь гаднын эх сурвалжаас гаргаж авагдах эсвэл нэмэгдэнэ).

• `host_as_`* — (жишээ байхгүй); (төрөл заагаагүй); үзэх: [as_ fields](/business/support/gz-1425221-security-data-lake-information-model-schema).
• `host_category` — (жишээ байхгүй); keyword; ирээдүйд: обьектын зураглалаас авна.
• `host_geo_`* — (жишээ байхгүй); (төрөл заагаагүй); үзэх: [geo_ fields](/business/support/gz-1425221-security-data-lake-information-model-schema).
• `host_location_name` — Chicago, US, Datacenter 01, Bismark - Finance; keyword; байгууллагын дотоод сүлжээний тодорхойлолтоос, эсвэл байгаа бол Geo байршлын талбаруудаас гаргаж авна.
• `host_priority` — critical, high, medium, low; keyword; ирээдүйд: обьектын зураглалаас авна.
• `host_priority_level` — 2; byte; хост төхөөрөмжийн ач холбогдлыг тоогоор илэрхийлнэ: 1 = low, 2 = medium, 3 = high, 4 = critical.
• `host_reference` — IPv4,IPv6, hostname,fqdn; keyword (normalized:loweronly); дараах талбаруудаас автоматаар оноогдоно: host_ip, host_hostname, host_vm_name, host_mac.
• `host_type` — (жишээ байхгүй); keyword; машины “төрөл”.