Security Data Lake-ийн мэдээллийн загварын схем — 3-р хэсэг: HTTP Fields

← Үндсэн хуудас

HTTP Fields (HTTP талбарууд)

Хүснэгт 19. HTTP талбарууд. Мөр бүр: талбарын нэр — жишээ утга; талбарын төрөл; тайлбар.

• `http_application` — facebook; keyword; Layer 7 (програмын түвшний) аппликейшний нэр
• `http_bytes` — 29347485; Long; Хүсэлт ба хариуны байтын нийлбэр
• `http_content_type` — application/octet-stream; keyword; HTTP агуулгын Mime төрөл
• `http_headers` — keyword; HTTP header-үүдийн бүтэн жагсаалт
• `http_host` — Host: wwww.mycorp.local; keyword; host: header хүсэлт дэх (байгаа бол)
• `http_referrer` — http://mycorp.local/; keyword; “referer” header-ийн утга (байгаа бол)
• `http_request_bytes` — 239478; long; Хүсэлтийн хэмжээ
• `http_request_method` — GET, POST; keyword; HTTP хүсэлтийн арга
• `http_request_path` — /path/to/resource?option=test; keyword; Талбарын уртыг 8192 тэмдэгтээр таслах эсэхийг хянах шаардлагатай (utf-8-г анхаарна). Зарим хүн замд “query” (сүүлийн “/”-оос хойших текст) орохгүй гэж үзэх боловч энэ утганд орсон байж болно.
• `http_response_bytes` — 498274; long; Хариуны хэмжээ
• `http_response` — OK, Moved Permanently; keyword; Хариуны кодоос тусгасан текст хариу
• `http_response_code` — 200, 404, 500; integer; Серверийн тоон хариуны код
• `http_uri` — https://www.graylog.org, https://www.graylog.org/blog, https://www.mycorp.local/workspaces/team#posts; keyword; Хүсэлтийн бүтэн мөр; талбарын уртыг 8192 тэмдэгтээр таслах эсэхийг хянах шаардлагатай (utf-8-г анхаарна)
• `http_uri_category` — Suspicious, Games; keyword; Холбогдох вэб сайт/URL-ийн ангилал
• `http_uri_stem` — Default.htm; keyword; Хүсэлтийн объект. Жишээ нь http://www.test.com/test.jsp?hello=y хаягийн URI stem нь /test.jsp
• `http_uri_query` — hello=y; keyword; Клиентийн гүйцэтгэх гэсэн query. Жишээ нь http://www.test.com/test.jsp?hello=y хаягийн query нь hello=y
• `http_user_agent` — Mozilla/5.0 (Macintosh; Intel Mac OS X 10.15; rv:74.0) Gecko/20100101 Firefox/74.0); keyword; User Agent мөр
• `http_user_agent_name` — Firefox; keyword; Клиент хөтчийг ихэвчлэн user agent-ийн шинжилгээгээр тодорхойлох оролдлого
• `http_user_agent_os` — Windows 10; keyword; User Agent-ийн үйлдлийн систем
• `http_version` — 1.0, 1.1, 2.0; keyword; HTTP-ийн хувилбар
• `http_xff` — X-Forwarded-For: 10.1.2.3; keyword; HTTP x-forwarded-for header-ийн утга. Цаашид: IP төрлөөр тусгаж магадгүй; үүнийг өөр өөрөөр илэрхийлдгийг анхаарах шаардлагатай.

Хүснэгт 20. Үүсмэл ба баяжуулсан талбарууд (утгыг гадаад эх сурвалжаас гаргаж авах эсвэл нэмнэ). Мөр бүр: талбарын нэр — жишээ утга; талбарын төрөл; тайлбар.

• `http_request_path_analyzed` — ** TBD; HTTP замд хамгийн тохиромжтой analyzer-ийн тохиргоог хянах шаардлагатай / таслах эсэхийг авч үзнэ
• `http_uri_analyzed` — ftp://ftp01.server.internal/file.tar.gz, https://www.graylog.org, https://www.graylog.org/blog; text/standard; URL-ийг token болгон задлах шаардлагатай үед сонголтоор хуулна. Цаашид: analyzer-ийн хамгийн сайн тохиргоог судалж, таслах эсэхийг авч үзнэ
• `http_uri_length` — 9283; long; HTTP user agent-ийн мөрийн урт
• `http_user_agent_analyzed` — text/standard; http_user_agent талбарын хуулбар бөгөөд текст шинжилгээгээр боловсруулсан
• `http_user_agent_length` — 54; long; Анхны user agent-ийн мөрийн урт

Network Fields (Сүлжээний талбарууд)

Хүснэгт 21. Сүлжээний талбарууд. Мөр бүр: талбарын нэр — жишээ утга; талбарын төрөл; тайлбар.

• `network_application` — facebook, instagram; keyword/loweronly; Аппликейшний нэр - Facebook гэх мэт
• `network_bytes` — 71238; long; Холболтын үеэр дамжсан байт. Илгээсэн/хүлээн авсан байтыг нэмж (source_bytes_sent/destination_bytes_sent) тооцож болно - зарим вендор үүнийг packet_length гэж өгдөг
• `network_bytes_rx` — DEPRECATED (хэрэглэхээс татгалзсан) - destination_bytes_sent-ийг ашиглана уу; Хуучирсан талбарын лавлагаа
• `network_bytes_tx` — DEPRECATED (хэрэглэхээс татгалзсан) - source_bytes_sent-ийг ашиглана уу; Хуучирсан талбарын лавлагаа
• `network_community_id` — keyword; Үзнэ үү: https://github.com/corelight/community-id-spec
• `network_connection_duration` — 0:23:45; keyword; Сүлжээний холболт тогтоосон хугацаа
• `network_connection_uid` — CMdzit1AMNsmfAIiQc; keyword; Сүлжээний холболтын өвөрмөц танигч утга
• `network_data_bytes` — 71238; long; Өгөгдлийн payload-ийн нийт байт
• `network_direction` — inbound, outbound, lateral; keyword; Ажигласан сүлжээний урсгалын чиглэл. inbound эсвэл outbound байх ёстой; вендор чиглэлийг өөрөөр өгвөл эдгээр утга руу тусгана.
• `network_forwarded_ip` — 10.1.2.3, fe80:5cc3:11:4::2c; ip; Сүлжээний үйл явдалтай холбоотой forward хийсэн IP хаягууд
• `network_header_bytes` — 71238; long; Пакетийн header мэдээллийн нийт байт
• `network_iana_number` — 6, 17, 41; integer; https://www.iana.org/assignments/protocol-numbers/protocol-numbers.xhtml
• `network_icmp_type` — echo, time exceeded; keyword; https://www.iana.org/assignments/icmp-parameters/icmp-parameters.xhtml
• `network_inner` — TBD; Үүрлэсэн эсвэл encapsulate хийсэн сүлжээний өгөгдөл
• `network_interface_in` — gi0/1; keyword/loweronly; Урсгал хүлээн авч буй интерфэйсийн нэр
• `network_interface_out` — gi0/1; keyword/loweronly; Урсгал илгээж буй интерфэйсийн нэр
• `network_ip_version` — 4, 6; keyword; IPv4 эсвэл IPv6
• `network_name` — TBD; Сүлжээний контекстийн логик буюу тайлбарлах нэр
• `network_packets` — 71238; long; Холболтын үеэр дамжсан пакетийн тоо. Илгээсэн/хүлээн авсан пакетийг нэмж (source_packets_sent/destination_packets_sent) тооцож болно
• `network_packets_rx` — DEPRECATED (хэрэглэхээс татгалзсан) - destination_packets_sent-ийг ашиглана уу; Хуучирсан талбарын лавлагаа
• `network_packets_tx` — DEPRECATED (хэрэглэхээс татгалзсан) - source_packets_sent-ийг ашиглана уу; Хуучирсан талбарын лавлагаа
• `network_protocol` — ipv4, ipv6, icmp; keyword/loweronly; Протоколын нэр, https://www.iana.org/assignments/protocol-numbers/protocol-numbers.xhtml дахь Keyword баганаас авах нь дээр
• `network_transport` — udp, tcp; keyword/loweronly; Пакет/холболтын transport давхаргын протокол
• `network_tunnel_type` — gre, ipsec; keyword/loweronly; Туннелийн төрөл
• `network_tunnel_duration` — 2093847; long; Туннелийн үргэлжилсэн хугацаа (секундээр)
• `network_type` — TBD - network_protocol байгаа тул шаардлагагүй байж магадгүй; Сүлжээний өөрийн төрлийг заах сонголтот талбар

Policy Fields (Бодлогын талбарууд)

• Үйлдлийн систем, галт хана (firewall) гэх мэт систем/төхөөрөмжийн бодлоготой холбоотой.

Хүснэгт 22. Бодлогын талбарууд. Мөр бүр: талбарын нэр — жишээ утга; талбарын төрөл; тайлбар.

• `policy_id` — 6da61e4c-84a8-4136-900d-f86c09bb3774; keyword; Бодлогын өвөрмөц танигч
• `policy_uid` — keyword
• `policy_name` — admin-user-template; keyword; Бодлогын нэр

Privilege Fields (Эрхийн талбарууд)

Privilege талбарууд нь үйлдлийн системийн эрх (privilege) оноолттой холбоотой талбарууд юм. Эдгээрийг ихэвчлэн дүр (role) эсвэл шинж чанар (attribute) гэж үзэх бөгөөд бүлэг эсвэл тусдаа дансанд оноож болно.

Microsoft Windows бол шинж чанарт суурилсан эрхийн шийдлийн жишээ. Windows-ийн эрхийг ихэвчлэн бүлгийн гишүүнчлэлээр удирддаг ч дансанд ямар үйлдэл хийхийг зөвшөөрсөнийг тодорхойлоход security token гол үүрэгтэй. Эдгээр token нь нэвтрэх (authentication) явцад үүсэх бөгөөд дансны эрхийн мэдээллийг агуулна, жишээ нь SeDebugPrivilege нь дансанд мэдрэмтгий системийн процесстой харьцаж, debug хийхийг зөвшөөрнө. Token дахь эрх бүр дансанд олгосон тодорхой эрхэд харгалзах бөгөөд тодорхой үйлдлийг идэвхжүүлэх эсвэл хязгаарлана.

Microsoft Entra ID бол дүрд суурилсан эрхийн шийдлийн жишээ. Entra ID нь олон суурилагдсан дүртэй бөгөөд хэрэглэгч өөрийн дүрийг тодорхойлж болно; эдгээр дүр нь Entra ID хэрэглэгчид ямар үйлдэл хийж чадахыг тодорхойлно.

..._category дэд талбарууд нь вендорын өгсөн эсвэл өөрийн тодорхойлсон эрхэд контекст нэмэх зорилгоор эх сурвалжийн төрөл бүрт хийдэг түгээмэл баяжуулалт юм. privilege_name, privilege_assigned_name эсвэл privilege_removed_name дахь утга нь дансанд мэдрэмтгий үйлдэл хийх боломж олгодог эрх бол category талбарт оноох tag утга нь elevated_privilege юм.

Хүснэгт 23. Эрхийн талбарууд. Мөр бүр: талбарын нэр — жишээ утга; талбарын төрөл; тайлбар.

• `privilege_assigned_category` — elevated_privilege; keyword; Тухайн эрхийн талаар нэмэлт мета өгөгдөл өгөхөд ашиглах tag төрлийн утгууд. privilege_id талбарт заасан шинж чанар эсвэл дүр нь системд мэдрэмтгий ажил хийх эрх олгодог бол энд 'elevated_privilege' утгыг оноодог.
• `privilege_assigned_id` — ffd52fa5-98dc-465c-991d-fc073eb59f8f; keyword; Эрхийн шинж чанар эсвэл дүрийн танилт; нийцлийн (compliance) агуулга энэ талбарыг ашигладаг.
• `privilege_assigned_name` — SeDebugPrivilege; keyword; Эрхийн товч тайлбарлах нэр; бүх систем үүнийг үүсгэхгүй.
• `privilege_category` — built_in; keyword; Тухайн эрхийн талаар нэмэлт мета өгөгдөл өгөхөд ашиглах tag төрлийн утгууд. privilege_id талбарт заасан шинж чанар эсвэл дүр нь системд мэдрэмтгий ажил хийх эрх олгодог бол энд 'elevated_privilege' утгыг оноодог.
• `privilege_id` — c430b396-e693-46cc-96f3-db01bf8bb62a; keyword; Эрхийн шинж чанар эсвэл дүрийн танилт; нийцлийн (compliance) агуулга энэ талбарыг ашигладаг.
• `privilege_name` — Attack Simulation Administrator; keyword; Эрхийн товч тайлбарлах нэр; бүх систем үүнийг үүсгэхгүй.
• `privilege_removed_category` — built_in; keyword; Тухайн эрхийн талаар нэмэлт мета өгөгдөл өгөхөд ашиглах tag төрлийн утгууд. privilege_id талбарт заасан шинж чанар эсвэл дүр нь системд мэдрэмтгий ажил хийх эрх олгодог бол энд 'elevated_privilege' утгыг оноодог.
• `privilege_removed_id` — c430b396-e693-46cc-96f3-db01bf8bb62a; keyword; Эрхийн шинж чанар эсвэл дүрийн танилт; нийцлийн (compliance) агуулга энэ талбарыг ашигладаг.
• `privilege_removed_name` — SeLoadDriverPrivilege; keyword; Эрхийн товч тайлбарлах нэр; бүх систем үүнийг үүсгэхгүй.

Process Fields (Процессын талбарууд)

• Process нь бинар файлын ажиллуулалттай холбоотой.
• process_ names талбарын өмнө target_… ба parent_… угтвар залгаж болно, жишээ нь parent_process_id, target_process_name гэх мэт.

Хүснэгт 24. Процессын талбарууд. Мөр бүр: талбарын нэр — жишээ утга; талбарын төрөл; тайлбар.

• `process_description` — WMI Commandline Utility; keyword; Ажилласан процессын тайлбар
• `process_command_line` — c:\\tmp\\runme.exe, /tmp/runme; keyword/loweronly; Ажилласан процессын бүтэн командын мөр
• `process_command_line_length` — 29347; long; process_command_line-ийн урт
• `process_id` — 2045,0x3e7; keyword/loweronly; Ажилласан процессын танигч (ID)
• `process_integrity_level` — medium, high, trusted; keyword; Ажилласан процессын integrity түвшин
• `process_parent_command_line` — c:\\tmp\\runme.exe, /tmp/runme; keyword/loweronly; Эцэг процессын бүтэн командын мөр
• `process_parent_id` — 2045,0x3e7; keyword/loweronly; Эцэг процессын танигч (ID)
• `process_parent_name` — whoami, whoami.exe; keyword/loweronly; Эцэг процессын файлын нэр (замгүй)
• `process_parent_path` — C:\\Windows\\system32\\whoami.exe, /usr/bin/whoami; keyword/loweronly; Эцэг процессын бүтэн зам
• `process_parent_uid` — {73123815-5caa-4e39-90dc-d25d4013bf15}; keyword; process_id-аас өөр, эцэг процессын GUID эсвэл өвөрмөц танигч
• `process_name` — whoami, whoami.exe; keyword/loweronly; Ажилласан процессын файлын нэр (замгүй)
• `process_path` — C:\\Windows\\system32\\whoami.exe, /usr/bin/whoami; keyword/loweronly; Ажилласан процессын бүтэн зам
• `process_target_id` — 2045,0x3e7; keyword; Тухайн процесст хийсэн үйлдлийн бай процессын ID
• `process_target_name` — whoami, whoami.exe; keyword; Тухайн процесст хийсэн үйлдлийн бай процессын нэр
• `process_target_path` — C:\\Windows\\system32\\whoami.exe, /usr/bin/whoami; keyword; Тухайн процесст хийсэн үйлдлийн бай процессын бүтэн зам ба нэр
• `process_target_uid` — {73123815-5caa-4e39-90dc-d25d4013bf15}; keyword; Ажиллаж буй тухайн процесст хийсэн үйлдлийн бай процессын өвөрмөц танигч
• `process_uid` — {73123815-5caa-4e39-90dc-d25d4013bf15}; keyword; process_id-аас өөр, ажилласан процессын GUID эсвэл өвөрмөц танигч
• `process_working_directory` — C:\\Windows\\Temp; keyword; Процессыг дуудсан одоогийн ажлын хавтас

Query Fields (Query талбарууд)

Хүснэгт 25. Query талбарууд. Мөр бүр: талбарын нэр — жишээ утга; талбарын төрөл; тайлбар.

• `query_class` — IN; keyword; Нэрийн query-ийн анги, DNS-д ихэвчлэн IN
• `query_record_type` — A, AAAA, MX, SRV; keyword; Хүссэн бичлэгийн төрөл
• `query_record_type_code` — 1, 3, 5; keyword; Хүссэн бичлэгийн төрөлд IANA-аас оноосон код
• `query_request` — www.graylog.org; keyword; DNS хүсэлтэд шийдвэрлэж буй нэр
• `query_request_length` — 25; Long; Нэр шийдвэрлэх хүсэлтийн урт
• `query_response` — keyword; Нэр шийдвэрлэх хариу
• `query_response_length` — 25; Long; Нэр шийдвэрлэх хариуны урт
• `query_result` — NXDOMAIN, NOERROR; keyword; Нэр шийдвэрлэх хүсэлтийн төлөв
• `query_result_code` — 0, 3; keyword; IANA-аас оноосон DNS RCODE

Rule Fields (Дүрмийн талбарууд)

• Үйлдлийн систем, галт хана (firewall) гэх мэт систем/төхөөрөмжийн дүрмүүдтэй холбоотой.

Хүснэгт 26. Дүрмийн талбарууд. Мөр бүр: талбарын нэр — жишээ утга; талбарын төрөл; тайлбар.

• `rule_id` — 6da61e4c-84a8-4136-900d-f86c09bb3774; keyword; Дүрмийн өвөрмөц танигч
• `rule_name` — admin-user-template; keyword; Дүрмийн нэр (жишээ нь Outbound Web Traffic)

Service Fields (Үйлчилгээний талбарууд)

• Service нь өгөгдлийг цуглуулсан үйлчилгээ/аппликейшнийг тайлбарлана.

Хүснэгт 27. Үйлчилгээний талбарууд. Мөр бүр: талбарын нэр — жишээ утга; талбарын төрөл; тайлбар.

• `service_name` — graylog-server.service, sshd, graylog-sidecar; keyword; Үйлчилгээний нэр
• `service_version` — 1.0.1054; keyword; Үйлчилгээ эсвэл суурь аппликейшний хувилбарын дугаар
• `service_state` — running, started, stopped; keyword; Үйлчилгээний төлөв

Session Fields (Сессийн талбарууд)

• Сүлжээний сесс, нэвтрэлтийн сесс гэх мэт эхлэл, төгсгөлтэй аливаа зүйл.

Хүснэгт 28. Сессийн талбарууд. Мөр бүр: талбарын нэр — жишээ утга; талбарын төрөл; тайлбар.

• `session_id` — Keyword; Вендорын өгсөн өвөрмөц танигч. Санамсаргүй үсэг тооны мөр, hex утга, GUID гэх мэт байж болно.