Security Data Lake Information Model Schema (мэдээллийн загварын схем) — 5-р хэсэг: Vendor Fields

← Үндсэн хуудас

Vendor Fields (Нийлүүлэгчийн талбарууд)

• Нийлүүлэгчийн талбарууд (vendor fields) нь эх сурвалжаас ирсэн өгөгдлийг өөрчлөлтгүй, яг байгаагаар нь хадгалахад зориулагдсан.
• Эдгээр талбар нь бидний боловсруулдаг контентод ашиглагддаг мэдээллийг, эсвэл event_outcome зэрэг талбарыг хэрхэн тодорхойлсон тухай нэмэлт мэдээллийг хадгалахад зориулагдсан.

Хүснэгт 37. Vendor Fields (хүснэгтийн мөр бүрийг доор жагсаалтаар харуулав)

• `vendor_alert_severity` — төрөл: keyword; жишээ утга: critical, high, medium, low; Мессеж нь сэрэмжлүүлэг (alert) байх үед нийлүүлэгчийн өгсөн сэрэмжлүүлгийн ноцтой байдлын текстэн тодорхойлолт
• `vendor_alert_severity_level` — төрөл: integer; жишээ утга: 4, 3, 2, 1; Мессеж нь сэрэмжлүүлэг байх үед нийлүүлэгчийн өгсөн сэрэмжлүүлгийн ноцтой байдлын тоон утга
• `vendor_authentication_provider` — төрөл: keyword; жишээ утга: Active Directory; Нийлүүлэгчийн тодорхойлсон үйлдэл — нэвтрэх эрхийг баталгаажуулж буй үйлчилгээний товч тайлбар
• `vendor_credential_type` — төрөл: keyword; жишээ утга: password, token; Нийлүүлэгчийн тодорхойлсон нэвтрэх мэдээллийн (credential) төрөл
• `vendor_event_action` — төрөл: keyword; жишээ утга: allow, deny, pass, fail; Нийлүүлэгчийн тодорхойлсон үйлдэл — үйл явдал ямар үйлдлийг илэрхийлж буйг хэлэх товч, ихэвчлэн нэг үгтэй тайлбар. Утгыг эх логоос үсгийн хэмжээг оролцуулан яг хэвээр нь ашиглана
• `vendor_event_category` — төрөл: keyword; жишээ утга: Removable Media, Registry, File System; Нийлүүлэгчийн тодорхойлсон үйл явдлын ангилал
• `vendor_event_description` — төрөл: keyword; Нийлүүлэгчийн тодорхойлсон үйлдлийн тайлбар; vendor_event_action-д орсноос илүү дэлгэрэнгүй
• `vendor_event_outcome` — төрөл: keyword; жишээ утга: block, drop, report, allow, reject; Мессежид заасан үйлдлийн нийлүүлэгчийн тодорхойлсон үр дүн
• `vendor_event_outcome_reason` — төрөл: keyword; Мессежийн илэрхийлж буй нийлүүлэгчийн үйлдэл болон/эсвэл үр дүнгийн шалтгааныг нийлүүлэгчийн өгсөн текстээр тайлбарласан талбар
• `vendor_event_severity` — төрөл: keyword; жишээ утга: critical, high, medium, low, informational; Ноцтой байдлын зэрэглэлийн нийлүүлэгчийн тодорхойлсон текстэн тодорхойлолт
• `vendor_event_severity_level` — төрөл: integer; жишээ утга: 0, 1, 5, 10; Энэ үйл явдлын нийлүүлэгчийн тодорхойлсон ноцтой байдлын тоон зэрэглэл
• `vendor_private_ip` — төрөл: IP
• `vendor_private_ipv6` — төрөл: IP
• `vendor_public_ip` — төрөл: IP
• `vendor_public_ipv6` — төрөл: IP
• `vendor_signin_protocol` — төрөл: keyword
• `vendor_subtype` — төрөл: keyword; жишээ утга: ids, dnsmasq, kernel, threat; Логийн нийлүүлэгчийн тодорхойлсон дэд төрөл — event_log_name-ээс ялгаатай нь логийн мессежийн сэдэв буюу ангиллыг илүү илэрхийлнэ
• `vendor_threat_suspected` — төрөл: keyword
• `vendor_transaction_id` — төрөл: keyword
• `vendor_transaction_type` — төрөл: keyword
• `vendor_user_type` — төрөл: keyword

Message Categories (Мессежийн ангилал)

Доорх жагсаалт нь Security Data Lake боловсруулалтын шугамд (pipeline) үүсгэсэн gim_event_type_code-ийг Illuminate контент доторх нэгдсэн (normalized) ангилалд хэрхэн харгалзуулдгийг харуулна. Нэгдсэн ангилал нь dashboard, хайлт, сэрэмжлүүлгийн дүрэм зэрэгт энэ формат ашигладаг бүх төрлийн төхөөрөмжид нийтлэг нэр хэрэглэх боломж олгоно. Хайлтын хүснэгтэд (lookup table) энэ мөр иймэрхүү харагдана:

"100000","|authentication|","|logon|","logon"

100000 кодыг боловсруулалтын шугамд логт хавсаргах бөгөөд ингэснээр боловсруулалтын дараагийн шатанд lookup функц ангилал, дэд ангилал, үйл явдлын төрлийг хавсаргах боломжтой болно.

Дээрх тохиолдолд ангилал нь |authentication| бөгөөд олон төрлийн үйл явдал үүнд хамаарна. Нэвтрэх (log on), гарах (log off), сессийн холболт тасрах (session disconnect) зэрэг бүгд бүлэглэхэд хялбар байхын тулд authentication ангилалд орно. Мөн энэ логт |logon| дэд ангилал оноогддог бөгөөд энэ нь үйл явдал нэвтрэх үйл явцын үед болсныг заана. Log on-ийн дор амжилттай нэвтрэлт, амжилтгүй нэвтрэлт гэх мэт олон төрөл байж болно. Эцэст нь үйл явдлын төрлийг logon гэж нэмдэг бөгөөд энэ нь үйл явдлыг ямар төрлөөр боловсруулсныг илүү нарийвчлан заана.

Мөр бүрийн формат: gim_event_type_code — класс (gim_event_class, байвал); ангилал (gim_event_category); дэд ангилал (gim_event_subcategory); төрөл (gim_event_type).

• 000000 — ангилал: message; дэд ангилал: message.log_message; төрөл: message
• 100000 — ангилал: authentication; дэд ангилал: authentication.logon; төрөл: logon
• 100003 — ангилал: authentication; дэд ангилал: authentication.logon; төрөл: logon with alternate credentials
• 100004 — ангилал: authentication; дэд ангилал: authentication.logon; төрөл: session reconnect
• 100500 — ангилал: authentication; дэд ангилал: authentication.credential validation; төрөл: credential validation
• 100501 — ангилал: authentication; дэд ангилал: authentication.credential validation; төрөл: error
• 100502 — ангилал: authentication; дэд ангилал: authentication.credential validation; төрөл: mfa
• 100503 — ангилал: authentication; дэд ангилал: authentication.credential validation; төрөл: sms_send_message
• 100504 — ангилал: authentication; дэд ангилал: authentication.credential validation; төрөл: voice_call
• 101000 — ангилал: authentication; дэд ангилал: authentication.access notice; төрөл: special logon
• 101001 — ангилал: authentication; дэд ангилал: authentication.access notice; төрөл: error
• 101500 — ангилал: authentication; дэд ангилал: authentication.access policy; төрөл: access policy violation
• 101501 — ангилал: authentication; дэд ангилал: authentication.access policy; төрөл: device policy violation
• 101502 — ангилал: authentication; дэд ангилал: authentication.access policy; төрөл: account policy violation
• 102000 — ангилал: authentication; дэд ангилал: authentication.kerberos request; төрөл: service ticket renewed
• 102001 — ангилал: authentication; дэд ангилал: authentication.kerberos request; төрөл: service ticket requested
• 102002 — ангилал: authentication; дэд ангилал: authentication.kerberos request; төрөл: tgt request
• 102003 — ангилал: authentication; дэд ангилал: authentication.kerberos request; төрөл: error
• 102500 — ангилал: authentication; дэд ангилал: authentication.logoff; төрөл: logoff
• 102501 — ангилал: authentication; дэд ангилал: authentication.logoff; төрөл: session disconnect
• 109999 — ангилал: authentication; дэд ангилал: authentication.default; төрөл: authentication message
• 110000 — ангилал: iam; дэд ангилал: iam.object create; төрөл: account created
• 110001 — ангилал: iam; дэд ангилал: iam.object create; төрөл: error
• 110002 — ангилал: iam; дэд ангилал: iam.object create; төрөл: group created
• 110500 — ангилал: iam; дэд ангилал: iam.object delete; төрөл: account deleted
• 110501 — ангилал: iam; дэд ангилал: iam.object delete; төрөл: group deleted
• 111000 — ангилал: iam; дэд ангилал: iam.object modify; төрөл: account modified
• 111001 — ангилал: iam; дэд ангилал: iam.object modify; төрөл: privileges assigned
• 111002 — ангилал: iam; дэд ангилал: iam.object modify; төрөл: privileges removed
• 111003 — ангилал: iam; дэд ангилал: iam.object modify; төрөл: account renamed
• 111004 — ангилал: iam; дэд ангилал: iam.object modify; төрөл: password change
• 111005 — ангилал: iam; дэд ангилал: iam.object modify; төрөл: administrative password reset
• 111006 — ангилал: iam; дэд ангилал: iam.object modify; төрөл: error
• 111007 — ангилал: iam; дэд ангилал: iam.object modify; төрөл: group member added
• 111008 — ангилал: iam; дэд ангилал: iam.object modify; төрөл: group member removed
• 111009 — ангилал: iam; дэд ангилал: iam.object modify; төрөл: group properties modified
• 111500 — ангилал: iam; дэд ангилал: iam.object disable; төрөл: account locked
• 111501 — ангилал: iam; дэд ангилал: iam.object disable; төрөл: account disabled
• 112000 — ангилал: iam; дэд ангилал: iam.object enable; төрөл: account unlocked
• 112001 — ангилал: iam; дэд ангилал: iam.object enable; төрөл: account enabled
• 112002 — ангилал: iam; дэд ангилал: iam.object enable; төрөл: error
• 119500 — ангилал: iam; дэд ангилал: iam.information; төрөл: group membership enumerated
• 119999 — ангилал: iam; дэд ангилал: iam.default; төрөл: iam message
• 120000 — ангилал: network; дэд ангилал: network.network connection; төрөл: network connection
• 120100 — ангилал: network; дэд ангилал: network.routing; төрөл: network routing
• 120200 — ангилал: network; дэд ангилал: network.open; төрөл: network connection initiated
• 120300 — ангилал: network; дэд ангилал: network.close; төрөл: network connection ended
• 120500 — ангилал: network; дэд ангилал: network.flow; төрөл: flow record
• 120600 — ангилал: network; дэд ангилал: network.icmp_request; төрөл: icmp_request
• 120700 — ангилал: network; дэд ангилал: network.icmp_reply; төрөл: icmp_reply
• 129999 — ангилал: network; дэд ангилал: network.default; төрөл: network message
• 130000 — ангилал: messaging; дэд ангилал: messaging.email; төрөл: email sent
• 130500 — ангилал: messaging; дэд ангилал: messaging.email; төрөл: email blocked
• 131000 — ангилал: messaging; дэд ангилал: messaging.email; төрөл: email rejected
• 131500 — ангилал: messaging; дэд ангилал: messaging.email; төрөл: email quarantined
• 132000 — ангилал: messaging; дэд ангилал: messaging.email; төрөл: email deleted
• 139999 — ангилал: messaging; дэд ангилал: messaging.default; төрөл: message
• 140000 — класс: protocol; ангилал: name resolution; дэд ангилал: name resolution.dns request; төрөл: dns query
• 140200 — класс: protocol; ангилал: name resolution; дэд ангилал: name resolution.dns answer; төрөл: dns response
• 140300 — класс: protocol; ангилал: name resolution; дэд ангилал: name resolution.error; төрөл: dns error
• 140500 — класс: protocol; ангилал: name resolution; дэд ангилал: name resolution.ddns update; төрөл: ddns update
• 149999 — класс: protocol; ангилал: name resolution; дэд ангилал: name resolution.default; төрөл: dns message
• 150000 — ангилал: database; дэд ангилал: database.query; төрөл: database query
• 150500 — ангилал: database; дэд ангилал: database.update; төрөл: update rows
• 151000 — ангилал: database; дэд ангилал: database.add; төрөл: insert rows
• 151001 — ангилал: database; дэд ангилал: database.add; төрөл: add table
• 151002 — ангилал: database; дэд ангилал: database.add; төрөл: create database
• 151500 — ангилал: database; дэд ангилал: database.delete; төрөл: delete rows
• 151501 — ангилал: database; дэд ангилал: database.delete; төрөл: drop table
• 151502 — ангилал: database; дэд ангилал: database.delete; төрөл: drop database
• 159999 — ангилал: database; дэд ангилал: database.default; төрөл: database message
• 170000 — ангилал: alert; дэд ангилал: alert.network alert; төрөл: ids alert
• 170001 — ангилал: alert; дэд ангилал: alert.network alert; төрөл: network alert
• 170002 — ангилал: alert; дэд ангилал: alert.network alert; төрөл: network dlp alert
• 171000 — ангилал: alert; дэд ангилал: alert.host alert; төрөл: malware alert
• 171001 — ангилал: alert; дэд ангилал: alert.host alert; төрөл: host dlp alert
• 171002 — ангилал: alert; дэд ангилал: alert.host alert; төрөл: hips alert
• 171003 — ангилал: alert; дэд ангилал: alert.host alert; төрөл: fim alert
• 179999 — ангилал: alert; дэд ангилал: alert.default; төрөл: alert message
• 180000 — класс: protocol; ангилал: http; дэд ангилал: http.default; төрөл: http message
• 180100 — класс: protocol; ангилал: http; дэд ангилал: http.request; төрөл: http request
• 180200 — класс: protocol; ангилал: http; дэд ангилал: http.communication; төрөл: http communication
• 180300 — класс: protocol; ангилал: http; дэд ангилал: http.proxied; төрөл: http proxied communication
• 190000 — класс: endpoint; ангилал: process; дэд ангилал: process.execute; төрөл: process started
• 190100 — класс: endpoint; ангилал: process; дэд ангилал: process.end; төрөл: process stopped
• 190500 — класс: endpoint; ангилал: process; дэд ангилал: process.interaction; төрөл: process accessed
• 190501 — класс: endpoint; ангилал: process; дэд ангилал: process.interaction; төрөл: remote thread created
• 191000 — класс: endpoint; ангилал: process; дэд ангилал: process.action; төрөл: process altered
• 191001 — класс: endpoint; ангилал: process; дэд ангилал: process.action; төрөл: image loaded
• 199990 — класс: endpoint; ангилал: process; дэд ангилал: process.default; төрөл: process message
• 200000 — класс: endpoint; ангилал: file; дэд ангилал: file.create; төрөл: file created
• 200100 — класс: endpoint; ангилал: file; дэд ангилал: file.delete; төрөл: file deleted
• 201000 — класс: endpoint; ангилал: file; дэд ангилал: file.modify; төрөл: file modified
• 201001 — класс: endpoint; ангилал: file; дэд ангилал: file.modify; төрөл: file timestamp modified
• 201002 — класс: endpoint; ангилал: file; дэд ангилал: file.modify; төрөл: file stream created
• 201500 — класс: endpoint; ангилал: file; дэд ангилал: file.access; төрөл: file accessed
• 201501 — класс: endpoint; ангилал: file; дэд ангилал: file.access; төрөл: raw file access
• 202000 — класс: endpoint; ангилал: file; дэд ангилал: file.integrity; төрөл: file signature invalid
• 202001 — класс: endpoint; ангилал: file; дэд ангилал: file.integrity; төрөл: file integrity notice
• 209999 — класс: endpoint; ангилал: file; дэд ангилал: file.default; төрөл: file event
• 210000 — класс: endpoint; ангилал: service; дэд ангилал: service.start; төрөл: service started
• 210100 — класс: endpoint; ангилал: service; дэд ангилал: service.stop; төрөл: service stopped
• 211000 — класс: endpoint; ангилал: service; дэд ангилал: service.configuration; төрөл: service configuration change
• 211500 — класс: endpoint; ангилал: service; дэд ангилал: service.state; төрөл: service installed
• 211501 — класс: endpoint; ангилал: service; дэд ангилал: service.state; төрөл: service removed
• 211502 — класс: endpoint; ангилал: service; дэд ангилал: service.state; төрөл: service enabled
• 211503 — класс: endpoint; ангилал: service; дэд ангилал: service.state; төрөл: service disabled
• 211504 — класс: endpoint; ангилал: service; дэд ангилал: service.state; төрөл: service error
• 219999 — класс: endpoint; ангилал: service; дэд ангилал: service.default; төрөл: service event
• 220000 — класс: endpoint; ангилал: audit; дэд ангилал: audit.integrity; төрөл: audit log cleared
• 220100 — класс: endpoint; ангилал: audit; дэд ангилал: audit.state; төрөл: audit service started
• 220101 — класс: endpoint; ангилал: audit; дэд ангилал: audit.state; төрөл: audit service stopped
• 220102 — класс: endpoint; ангилал: audit; дэд ангилал: audit.state; төрөл: audit error
• 220500 — класс: endpoint; ангилал: audit; дэд ангилал: audit.policy; төрөл: audit policy changed
• 229999 — класс: endpoint; ангилал: audit; дэд ангилал: audit.default; төрөл: audit event
• 230000 — класс: endpoint; ангилал: pipe; дэд ангилал: pipe.add; төрөл: pipe created
• 230100 — класс: endpoint; ангилал: pipe; дэд ангилал: pipe.remove; төрөл: pipe deleted
• 230500 — класс: endpoint; ангилал: pipe; дэд ангилал: pipe.state; төрөл: pipe connected
• 239999 — класс: endpoint; ангилал: pipe; дэд ангилал: pipe.default; төрөл: pipe event
• 240000 — класс: endpoint; ангилал: wmi; дэд ангилал: wmi.filter; төрөл: wmi filter created
• 240001 — класс: endpoint; ангилал: wmi; дэд ангилал: wmi.filter; төрөл: wmi filter removed
• 240500 — класс: endpoint; ангилал: wmi; дэд ангилал: wmi.consumer; төрөл: wmi consumer created
• 240501 — класс: endpoint; ангилал: wmi; дэд ангилал: wmi.consumer; төрөл: wmi consumer removed
• 241000 — класс: endpoint; ангилал: wmi; дэд ангилал: wmi.binding; төрөл: wmi binding created
• 249999 — класс: endpoint; ангилал: wmi; дэд ангилал: wmi.default; төрөл: wmi event
• 250000 — класс: endpoint; ангилал: registry; дэд ангилал: registry.value_change; төрөл: registry value set
• 250001 — класс: endpoint; ангилал: registry; дэд ангилал: registry.value_change; төрөл: registry value added
• 250002 — класс: endpoint; ангилал: registry; дэд ангилал: registry.value_change; төрөл: registry value deleted
• 250003 — класс: endpoint; ангилал: registry; дэд ангилал: registry.value_change; төрөл: registry value modified
• 250500 — класс: endpoint; ангилал: registry; дэд ангилал: registry.key_change; төрөл: registry key added
• 250501 — класс: endpoint; ангилал: registry; дэд ангилал: registry.key_change; төрөл: registry key deleted
• 250502 — класс: endpoint; ангилал: registry; дэд ангилал: registry.key_change; төрөл: registry key renamed
• 251000 — класс: endpoint; ангилал: registry; дэд ангилал: registry.object_renamed; төрөл: registry object renamed
• 259999 — класс: endpoint; ангилал: registry; дэд ангилал: registry.default; төрөл: registry event
• 260000 — класс: endpoint; ангилал: system_time; дэд ангилал: system_time.time_change; төрөл: system time changed
• 269999 — класс: endpoint; ангилал: system_time; дэд ангилал: system_time.default; төрөл: system time event
• 270000 — класс: endpoint; ангилал: driver; дэд ангилал: driver.loaded; төрөл: system driver loaded
• 270100 — класс: endpoint; ангилал: driver; дэд ангилал: driver.unloaded; төрөл: system driver unloaded
• 279999 — класс: endpoint; ангилал: driver; дэд ангилал: driver.default; төрөл: system driver event
• 280000 — класс: endpoint; ангилал: agent; дэд ангилал: agent.activity; төрөл: agent activity
• 280001 — класс: endpoint; ангилал: agent; дэд ангилал: agent.activity; төрөл: antivirus and malware scan
• 280100 — класс: endpoint; ангилал: agent; дэд ангилал: agent.update; төрөл: agent update
• 280200 — класс: endpoint; ангилал: agent; дэд ангилал: agent.status; төрөл: agent status
• 289999 — класс: endpoint; ангилал: agent; дэд ангилал: agent.default; төрөл: agent default
• 290000 — класс: protocol; ангилал: dhcp; дэд ангилал: dhcp.request; төрөл: dhcp request
• 290100 — класс: protocol; ангилал: dhcp; дэд ангилал: dhcp.offer; төрөл: dhcp offer
• 290200 — класс: protocol; ангилал: dhcp; дэд ангилал: dhcp.discovery; төрөл: dhcp discovery
• 290300 — класс: protocol; ангилал: dhcp; дэд ангилал: dhcp.acknowledgement; төрөл: dhcp acknowledgement
• 299999 — класс: protocol; ангилал: dhcp; дэд ангилал: dhcp.default; төрөл: dhcp default event
• 300000 — ангилал: detection; дэд ангилал: detection.network_detection; төрөл: ids_detection
• 300001 — ангилал: detection; дэд ангилал: detection.network_detection; төрөл: network_detection
• 300002 — ангилал: detection; дэд ангилал: detection.network_detection; төрөл: network_dlp_detection
• 301000 — ангилал: detection; дэд ангилал: detection.host_detection; төрөл: host_malware_detection
• 301001 — ангилал: detection; дэд ангилал: detection.host_detection; төрөл: host_dlp_detection
• 301002 — ангилал: detection; дэд ангилал: detection.host_detection; төрөл: hips_detection
• 301003 — ангилал: detection; дэд ангилал: detection.host_detection; төрөл: fim_detection
• 309999 — ангилал: detection; дэд ангилал: detection.default; төрөл: detection_message