Security Data Lake-ийн мэдээллийн загварын схем (Security Data Lake Information Model Schema) — 4-р хэсэг: Source Fields

← Үндсэн хуудас

Source Fields (Эх үүсвэрийн талбарууд)

Хүснэгт 29. Эх үүсвэрийн талбарын схем. Мөр бүр: талбарын нэр — жишээ утга; талбарын төрөл; тайлбар.

• `source_bytes_sent` — 29834710; long; эх үүсвэрээс илгээсэн сүлжээний байт. Зарим эх үүсвэр үүнийг source bytes tx, bytes tx гэх мэтээр харуулж болно.
• `source_device_model` — iPad; keyword; төхөөрөмжийн загварын нэр.
• `source_device_vendor` — Apple, ASUS; keyword; төхөөрөмж үйлдвэрлэгчийн нэр.
• `source_hostname` — corpdc01, corpdc01.local, lab01.corpdomain.com; keyword (normalized:loweronly); NetBIOS эсвэл DNS хост нэр, жижиг үсэг рүү хөрвүүлсэн.
• `source_id` — 09VX93DD; keyword; эх үүсвэрийг тодорхойлох утга, жишээ нь серийн дугаар.
• `source_ip` — 10.1.2.3, fe80:5cc3:11:4::2c; ip; IPv4 болон IPv6 хаяг.
• `source_ipv6` — fe80:5cc3:11:4::2c; ip; зөвхөн IPv6 хаяг.
• `source_nat_ip` — 10.1.2.3, fe80:5cc3:11:4::2c; ip; NAT үүргийг гүйцэтгэж буй сүлжээний төхөөрөмжөөс оноосон хөрвүүлсэн IP хаяг.
• `source_nat_port` — 2384; integer; NAT үүргийг гүйцэтгэж буй сүлжээний төхөөрөмжөөс оноосон хөрвүүлсэн сүлжээний порт.
• `source_os_name` — IOS, Android; keyword; үйлдлийн системийн нэр.
• `source_os_version` — IOS 10.0; keyword; үйлдлийн системийн хувилбарын дугаар.
• `source_packets_sent` — 23094823; long; эх үүсвэрээс илгээсэн пакетын тоо.
• `source_port` — 45392; integer; порт дугаар, 0-65535.
• `source_port_iana_name` — ssh, ftp; keyword; сүлжээний аппликейшнтэй холбоотой IANA-д бүртгэлтэй үйлчилгээний нэр. Illuminate Core нь source_ip тодорхойлогдсон, харин source_port тодорхойлогдоогүй үйл явдалд энэ утгыг ашиглан source_port-ыг тодорхойлно.
• `source_region` — us-east-1; keyword; эх үүсвэр төхөөрөмж байрлаж буй бүсийн нэр.
• `source_type` — (жишээ утгагүй); keyword; эх үүсвэр төхөөрөмжийн мэдээлэл, жишээ нь загварын дугаар.
• `source_vm_name` — (жишээ утгагүй); keyword; виртуал системийн нэр (хост нэртэй андуурч болохгүй).
• `source_vsys_uuid` — (жишээ утгагүй); keyword; (тайлбаргүй).
• `source_zone` — (жишээ утгагүй); keyword; (тайлбаргүй).

Хүснэгт 30. Гаргуулсан ба баяжуулсан талбарууд (утгыг гаднах эх сурвалжаас гаргаж авч эсвэл нэмнэ).

• `source_as_`* — (жишээ утгагүй); төрөлгүй; [as_ талбарууд](/business/support/gz-1425221-security-data-lake-information-model-schema)-ыг үзнэ үү.
• `source_category` — (жишээ утгагүй); keyword; ирээдүйд: entity mapping-ээс.
• `source_geo_`* — (жишээ утгагүй); төрөлгүй; [geo_ талбарууд](/business/support/gz-1425221-security-data-lake-information-model-schema)-ыг үзнэ үү.
• `source_location_name` — Chicago, US, Datacenter 01, Bismark - Finance; keyword; байгууллагын дотоод сүлжээний тодорхойлолтоос, эсвэл байгаа бол Geo байршлын талбаруудаас гаргаж авна.
• `source_mac` — a0:b4:44:01:a9:d1; keyword; хостын MAC хаяг, хоёр цэгээр тусгаарласан, жижиг үсгээр.
• `source_priority` — critical, high, medium, low; keyword; ирээдүйд: entity mapping-ээс.
• `source_priority_level` — 1-4; byte; эх үүсвэр төхөөрөмжийн ач холбогдлыг илэрхийлэх тоон утга: 1 = low, 2 = medium, 3 = high, 4 = critical.
• `source_reference` — IPv4, IPv6, hostname, fqdn; keyword (normalized:loweronly); дараах талбаруудаас автоматаар оноогдоно: source_ip, source_hostname, source_vm_name, source_mac.

Threat Fields (Аюулын талбарууд)

• Аюултай холбоотой мэдээлэл.

Хүснэгт 31. Аюулын талбарууд.

• `threat_category` — malware, trojan; Keyword; аюулын ангилал.
• `threat_detected` — true, false; Keyword; аюул илэрсэн эсэх.

Trace Fields (Мөшгилтийн талбарууд)

• Мөшгилт (tracing) нь олон лог дундах үйл явдлыг өвөрмөц ID-аар (микро үйлчилгээ, вэб апп) мөрдөх боломж олгоно.

Хүснэгт 32. Мөшгилтийн талбарууд.

• `trace_id` — (жишээ утгагүй); Keyword; хоорондоо холбоотой олон үйл явдлын өвөрмөц ID.
• `trace_call` — (жишээ утгагүй); Keyword; процессын дуудлагатай холбоотой stack trace.

User Fields (Хэрэглэгчийн талбарууд)

• Боломжит угтварууд: source_ (жишээ нь `source_user_name`) эсвэл `destination_` (жишээ нь destination_user_name).
• Мессеж нэг акаунтын хийсэн үйлдэл нөгөө акаунтад нөлөөлснийг дүрсэлсэн үед үйлдэл хийсэн акаунтыг (actor) source_user_ талбарууд, үйлдэл хийгдсэн акаунтыг (subject) `user_` талбарууд тодорхойлно. Жишээ нь:

- Нэвтрэлт баталгаажуулалт, үүнд баталгаажуулж буй үйлчилгээний акаунтын контекстийг өгнө.
- IAM үйл явдал, үүнд хэрэглэгч эсвэл үйлчилгээ өөр хэрэглэгч эсвэл бүлэгт нөлөөлөх үйлдэл хийсэн.

Хүснэгт 33. Хэрэглэгчийн талбарууд.

• `user_command` — (жишээ утгагүй); keyword; (тайлбаргүй).
• `user_command_path` — (жишээ утгагүй); keyword; (тайлбаргүй).
• `user_domain` — mycorp.internal; keyword; AD эсвэл LDAP домэйн.
• `user_email` — user@mycorp.internal; keyword; (тайлбаргүй).
• `user_id` — (жишээ утгагүй); keyword; SID, UID гэх мэтэд харгалзана.
• `user_name` — (жишээ утгагүй); keyword (normalized:loweronly); (тайлбаргүй).
• `user_session_id` — 0x534, 1055; keyword; хэрэглэгчийн нэвтрэлтийн сессийн ID.

Хүснэгт 34. Гаргуулсан ба баяжуулсан талбарууд (утгыг гаднах эх сурвалжаас гаргаж авч эсвэл нэмнэ).

• `user_category` — vip, default account, finance, help desk; keyword; ирээдүйд: entity mapping-ээс.
• `user_name_mapped` — Built in\Administrators; keyword (normalized:loweronly); хэрэглэгчийн нэр (нэрс)-ийг мессежээс гадуурх эх сурвалжаас оноосон үед энэ талбарт бичнэ. Windows-ийн well-known SID-ууд эндээс тайлагдана.
• `user_priority` — critical, high, medium, low; keyword; ирээдүйд: entity mapping-ээс.
• `user_priority_level` — 1-4; byte; хэрэглэгчийн акаунтын ач холбогдлыг илэрхийлэх тоон утга: 1 = low, 2 = medium, 3 = high, 4 = critical.
• `user_type` — user, computer, well-known sid, group, {вендорын өгсөн дурын утга}; keyword; туршилтын талбар. ** Судалгаа үргэлжилж байна: winlogbeats/nxlog янз бүрийн тохиргоонд SID тайлалтын талаар юу өгч болох, мөн янз бүрийн технологи «төрөл»-ийг хэрхэн ашигладгийг авч үзэх хэрэгтэй.

Энд тухайн вендорын технологид хамаарах, нийтлэг схемд багтдаггүй талбаруудыг оруулсан:

• Palo Alto талбарууд
• Microsoft Windows талбарууд

Microsoft Windows Fields (Microsoft Windows-ын талбарууд)

Хүснэгт 35. Windows-ын талбарууд.

• `source_user_sid_authority1` — S-1-0-0; keyword; SID угтвартай анхны «authority». Домэйнд хамаарахгүй well-known SID-ийн хувьд SID мэдээлэл агуулсан цорын ганц талбар энэ байна.
• `source_user_sid_authority2` — (жишээ утгагүй); keyword; SID-ийн домэйн authority хэсэг.
• `source_user_sid_rid` — 500; keyword; хэрэглэгчийн RID.
• `target_user_sid_authority1` — S-1-0-0; keyword; SID угтвартай анхны «authority». Домэйнд хамаарахгүй well-known SID-ийн хувьд SID мэдээлэл агуулсан цорын ганц талбар энэ байна.
• `target_user_sid_authority2` — (жишээ утгагүй); keyword; SID-ийн домэйн authority хэсэг.
• `target_user_sid_rid` — (жишээ утгагүй); keyword; хэрэглэгчийн RID.
• `user_sid_authority1` — (жишээ утгагүй); keyword; SID угтвартай анхны «authority». Домэйнд хамаарахгүй well-known SID-ийн хувьд SID мэдээлэл агуулсан цорын ганц талбар энэ байна.
• `user_sid_authority2` — (жишээ утгагүй); keyword; SID-ийн домэйн authority хэсэг.
• `user_sid_rid` — (жишээ утгагүй); keyword; хэрэглэгчийн RID.
• `windows_authentication_lmpackage_name` — (жишээ утгагүй); keyword; зөвхөн windows_authentication_package_name = “NTLM” үед тодорхойлогдоно.
• `windows_authentication_package_name` — NTLM, Kerberos; keyword; Event ID 4624/4625-аас авсан нэвтрэлт баталгаажуулалтын мэдээлэл.
• `windows_authentication_process_name` — winlogon.exe; keyword; Event ID 4624/4625-аас авсан нэвтрэлт баталгаажуулалтын мэдээлэл.
• `windows_logon_type` — 2, 3, 10; byte; https://docs.microsoft.com/en-us/windows/security/threat-protection/auditing/event-4624
• `windows_logon_type_description` — Interactive, Network, RemoteInteractive; keyword; logon type талбарт харгалзах тайлбар.
• `windows_kerberos_encryption` — 0x12; keyword; Windows Kerberos-ийн шифрлэлтийн hex утга.
• `windows_kerberos_encryption_type` — AES256_CTS_HMAC_SHA1; keyword; Kerberos ticket-ийн шифрлэлтийн төрлүүд
• `windows_kerberos_service_name` — krbtgt/CORP.LOCAL; keyword; Kerberos ticket хүсэлтэд зорилтот болсон үйлчилгээний нэр.

Palo Alto Fields (Palo Alto-н талбарууд)

Хүснэгт 36. Palo Alto-н талбарууд.

• `pan_alert_direction` — 0, 1; keyword; халдлагын чиглэлийг заана (клиентээс сервер рүү эсвэл серверээс клиент рүү): 0 — аюулын чиглэл клиентээс сервер рүү; 1 — аюулын чиглэл серверээс клиент рүү.
• `pan_after_change_detail` — (жишээ утгагүй); keyword; зөвхөн custom лог дээр байна, анхдагч форматад байхгүй. Тохиргоо өөрчлөгдсөний дараах бүтэн xpath-г агуулна.
• `pan_assoc_id` — (жишээ утгагүй); keyword; хоёр SCTP төгсгөл хоорондын холбоо (association)-ын бүх холболтыг тодорхойлох дугаар.
• `pan_auth_method` — LDAP, RADIUS, SAML; keyword; баталгаажуулалтын төрлийг заасан тэмдэгт мөр, жишээ нь LDAP, RADIUS эсвэл SAML.
• `pan_before_change_detail` — (жишээ утгагүй); keyword; зөвхөн custom лог дээр байна, анхдагч форматад байхгүй. Тохиргоо өөрчлөгдсөний дараах бүтэн xpath-г агуулна. (Эх хуудсанд ингэж бичигдсэн.)
• `pan_cloud_hostname` — wildfire.example.com; keyword; файл байршуулсан WildFire төхөөрөмж эсвэл Cloud-ын FQDN.
• `pan_dev_group_level_[1-4]` — 1, 2, 3, 4; keyword; төхөөрөмжийн бүлэг DG шатлал дахь байрлалыг заасан ID дугаарууд.
• `pan_dynusergroup_name` — Corp-Quarantine; keyword; сессийг эхлүүлсэн хэрэглэгч багтсан динамик хэрэглэгчийн бүлгийн нэр.
• `pan_event_name` — system, config, threat; keyword; үйл явдлын нэрийг заасан тэмдэгт мөр.
• `pan_event_object` — (жишээ утгагүй); keyword; системийн үйл явдалтай холбоотой объектын нэр.
• `pan_evidence` — Host visited known malware URL (19 times); keyword; хост корреляцийн объектод тодорхойлсон нөхцөлтэй хэдэн удаа таарсныг заасан хураангуй өгүүлбэр. Жишээ нь «Host visited known malware URL (19 times)».
• `pan_flags` — 0x00000001; keyword; сессийн дэлгэрэнгүйг өгдөг 32 битийн талбар.
• `pan_gp_client_version` — 6.0.4; keyword; клиентийн GlobalProtect аппын хувилбар.
• `pan_gp_connect_method` — on-demand, user-login; keyword; GlobalProtect апп Gateway-д хэрхэн холбогдохыг заасан тэмдэгт мөр (жишээ нь on-demand эсвэл user-login).
• `pan_gp_error` — portal-auth-failed; keyword; аливаа үйл явдалд гарсан алдааг заасан тэмдэгт мөр.
• `pan_gp_error_code` — 11001; keyword; гарсан алдаатай холбоотой бүхэл тоо.
• `pan_gp_error_extended` — certificate expired; keyword; гарсан аливаа үйл явдлын нэмэлт мэдээлэл.
• `pan_gp_hostname` — gp-gateway01; keyword; GlobalProtect портал эсвэл gateway-н нэр.
• `pan_gp_hostid` — 123e4567-e89b-12d3-a456-426614174000; keyword; GlobalProtect-оос хостыг тодорхойлохоор оноосон өвөрмөц ID.
• `pan_gp_location_name` — EU-West; keyword; администраторын тодорхойлсон GlobalProtect портал эсвэл gateway-н байршлын нэр.
• `pan_gp_reason` — host-quarantine; keyword; хорио (quarantine)-н шалтгааныг харуулсан тэмдэгт мөр.
• `pan_hip` — HIP-Profile-Workstations; keyword; HIP объект эсвэл профайлын нэр.
• `pan_hip_type` — object, profile; keyword; hip талбар HIP объект эсвэл HIP профайлыг илэрхийлж буйг заана.
• `pan_http2` — parent-session-id, 0; keyword; траффик HTTP/2 холболт ашигласан эсэхийг заана: Parent session ID — HTTP/2 холболт; 0 — SSL сесс.
• `pan_link_changes` — 3; keyword; сессийн үед линк flap болсон тоо.
• `pan_link_switches` — linkA,linkB,linkC; keyword; линк flap-ын дөрөв хүртэлх бичлэг агуулна. Бичлэг бүр линкийн нэр, линкийн tag, линкийн төрөл, физик интерфэйс, цагийн тэмдэг, уншсан байт, бичсэн байт, линкийн эрүүл байдал, линк flap-ын шалтгааныг агуулна.
• `pan_log_action` — forwarded-to-panorama; keyword; сесст хэрэглэсэн Log Forwarding Profile.
• `pan_log_panorama` — 0, 1; keyword; логийг Panorama руу дамжуулсан эсэхийг заасан битийн талбар.
• `pan_log_subtype` — system, config, threat; keyword; тухайн логийн дэд төрөл.
• `pan_module` — auth, general, ha; keyword; лог үүсгэсэн дэд системийн талаарх нэмэлт мэдээлэл.
• `pan_monitor_tag` — 356938035643809; keyword; IMEI, 15/16 оронтой дугаар.
• `pan_object_id` — object-123; keyword; системийн үйл явдалтай холбоотой объектын нэр.
• `pan_objectname` — correlation-object-01; keyword; таарсан корреляцийн объектын нэр.
• `pan_parent_session_id` — 1234567890; keyword; энэ сесс туннелдсэн сессийн ID.
• `pan_parent_start_time` — 2025-10-27T11:22:33Z; keyword; туннель сесс эхэлсэн цаг.
• `pan_pcap_id` — pcap-42; keyword; пакет барилтын (Packet Capture) ID.
• `pan_ppid` — 17; keyword; дата chunk-ийн payload-н протоколын ID.
• `pan_sctp_chunks_sum` — 1024; keyword; нэг association-д илгээсэн ба хүлээн авсан SCTP chunk-ийн нийлбэр.
• `pan_sctp_chunks_tx` — 512; keyword; нэг association-д илгээсэн SCTP chunk-ийн тоо.
• `pan_sctp_chunks_rx` — 512; keyword; нэг association-д хүлээн авсан SCTP chunk-ийн тоо.
• `pan_sdwan_cluster` — SDWAN-Europe; keyword; SD-WAN кластерын нэр.
• `pan_sdwan_cluster_type` — mesh, hub-spoke; keyword; кластерын төрөл (mesh эсвэл hub-spoke).
• `pan_sdwan_device_type` — hub, branch; keyword; төхөөрөмжийн төрөл (hub эсвэл branch).
• `pan_sdwan_policy_id` — policy-EdgeQoS-01; keyword; SD-WAN бодлогын нэр.
• `pan_sdwan_site_name` — Paris Branch; keyword; SD-WAN сайтын нэр.
• `pan_session_end_reason` — aged-out, tcp-rst-from-client; keyword; сесс дууссан шалтгаан.
• `pan_source_region` — EMEA, US; keyword; сессийг эхлүүлсэн хэрэглэгчийн бүс.
• `pan_tunnel_id` — IMSI-310260123456789; keyword; International Mobile Subscriber Identity дугаар.
• `pan_tunnel_stage` — before-login, login, tunnel; keyword; холболтын үе шатыг заасан тэмдэгт мөр (жишээ нь before-login, login эсвэл tunnel).
• `pan_url_index` — 42; keyword; URL Filtering/WildFire дахь лог бичлэгүүдийн дарааллыг хооронд нь уялдуулах тоолуур.
• `pan_wildfire_hash` — 4c583e00d47108f809282d5d595f5fb0; keyword; WildFire руу илгээсэн файлын binary hash.
• `pan_wildfire_report_id` — WF-2025-10-001234; keyword; Wildfire Cloud/Appliance дээрх шинжилгээний хүсэлтийг тодорхойлно.