重要
注意： 2026 年 8 月 18 日，根据 世纪互联发布的公告，所有Microsoft Sentinel 功能将在中国 Azure 正式停用。
Microsoft Sentinel 用户管理规范化架构用于描述用户管理活动，例如创建用户或组、更改用户属性或将用户添加到组。 此类事件由操作系统、目录服务、标识管理系统和任何其他报告其本地用户管理活动的系统报告。
有关 Microsoft Sentinel 中规范化的详细信息，请参阅规范化和高级安全信息模型 (ASIM)。
架构概述
ASIM 用户管理架构描述用户管理活动。 这些活动通常包括以下实体：
- 参与者 - 执行管理活动的用户。
- 操作进程 - 参与者用来执行管理活动的过程。
- 源 - 通过网络执行活动时发起活动的源设备。
- 目标用户 - 托管帐户的用户。
- 组 - 在其中添加、删除或修改目标用户的组。
某些活动（如 UserCreated、GroupCreated、UserModified 和 GroupModified*）会设置或更新用户属性。 以下字段记录了设置或更新的属性：
- EventSubType - 设置或更新的值的名称。 当 EventSubType 引用其中一种相关事件类型时，UpdatedPropertyName 是 EventSubType 的别名。
- PreviousPropertyValue - 属性的旧值。
- NewPropertyValue - 属性的更新值。
分析器
有关 ASIM 分析程序的详细信息，请参阅 ASIM 分析程序概述。
筛选分析程序参数
用户管理分析程序支持 筛选参数。 尽管这些参数是可选的，但它们可以提高查询性能。
可使用以下筛选参数：
| Name | 类型 | 说明 |
|---|---|---|
| starttime | 日期/时间 | 仅筛选在此时间或之后发生的用户管理事件。 此参数筛选字段 TimeGenerated ，该字段是事件时间的标准设计器，无论 EventStartTime 和 EventEndTime 字段的特定于分析程序映射。 |
| endtime | 日期/时间 | 仅筛选在此时间或之前发生的用户管理事件。 此参数筛选字段 TimeGenerated ，该字段是事件时间的标准设计器，无论 EventStartTime 和 EventEndTime 字段的特定于分析程序映射。 |
| srcipaddr_has_any_prefix | dynamic | 仅筛选源 IP 地址前缀与列出的任何值匹配的用户管理事件。 前缀应以 . 结尾，例如：10.0.。 |
| targetusername_has_any | dynamic | 仅筛选目标用户名具有任何列出的值的用户管理事件。 |
| actorusername_has_any | dynamic | 仅筛选执行组件用户名具有任何列出的值的用户管理事件。 |
| eventtype_in | dynamic | 仅筛选事件类型为列出的值之一的用户管理事件，例如UserCreated、UserDeleted、UserModified或PasswordChangedGroupCreated。 |
例如，若要仅筛选过去一天的用户创建事件，请使用：
_Im_UserManagement (eventtype_in=dynamic(['UserCreated']), starttime = ago(1d), endtime=now())
架构详细信息
通用 ASIM 字段
重要
ASIM 通用字段一文详细介绍了所有架构的通用字段。
符合特定准则的通用字段
以下列表提及了符合进程活动事件特定准则的字段：
| 字段 | 类 | 类型 | 说明 |
|---|---|---|---|
| EventType | 必需 | Enumerated | 描述记录报告的操作。 对于用户管理活动，支持的值包括： - UserCreated- UserDeleted- UserModified- UserLocked- UserUnlocked- UserDisabled- UserEnabled- PasswordChanged- PasswordReset- GroupCreated- GroupDeleted- GroupModified- UserAddedToGroup- UserRemovedFromGroup- GroupEnumerated- UserRead- GroupRead |
| 事件子类型 | 可选 | Enumerated | 支持以下子类型： - UserRead：密码、哈希代码- UserCreated、GroupCreated、UserModified. GroupModified 有关详细信息，请参阅 UpdatedPropertyName |
| EventResult | 必需 | Enumerated | 虽然可能会失败，但大多数系统只报告成功的用户管理事件。 成功事件的预期值为 Success。 |
| EventResultDetails | 建议 | Enumerated | 有效值是 NotAuthorized 和 Other。 |
| EventSeverity | 必需 | Enumerated | 虽然允许使用任何有效的严重性值，但用户管理事件的严重性通常为 Informational。 |
| EventSchema | 必需 | Enumerated | 此处所述的架构名称为 UserManagement。 |
| EventSchemaVersion | 必需 | SchemaVersion（字符串） | 架构的版本。 此处所述的架构版本为 0.1.2。 |
| Dvc 字段 | 对于用户管理事件，设备字段是指报告事件的系统。 这通常是管理用户的系统。 |
所有通用字段
下表中显示的字段是所有 ASIM 架构通用的。 上面指定的任何准则都将替代字段的一般准则。 例如，字段通常情况下可能是可选项，但可能是特定架构的必需项。 有关每个字段的更多详细信息，请参阅 ASIM 通用字段一文。
| 类 | Fields |
|---|---|
| 必需 |
- EventCount - EventStartTime - EventEndTime - EventType - EventResult - “EventProduct” - EventVendor 事件供应商 - EventSchema - EventSchemaVersion - Dvc |
| 建议 |
- EventResultDetails - EventSeverity 事件严重性 - EventUid 事件 - DvcIpAddr - DvcHostname - Dvc域 - DvcDomainType - DvcFQDN - DvcId - DvcIdType- - DvcAction |
| 可选 |
- EventMessage - 事件子类型 - EventOriginalUid - EventOriginalType - EventOriginalSubType - EventOriginalResultDetails - EventOriginalSeverity - EventProductVersion - EventReportUrl - EventOwner 事件所有者 - DvcZone - DvcMacAddr - DvcOs - DvcOsVersion - DvcOriginalAction - DvcInterface - 附加字段 - DvcDescription - DvcScopeId（DvcScopeId） - DvcScope（数字视觉示波器） |
更新的属性字段
目标用户字段
| 字段 | 类 | 类型 | 说明 |
|---|---|---|---|
| “TargetUserId” | 可选 | 字符串 | 目标用户的计算机可读的唯一字母数字表示形式。 支持的格式和类型包括： - SID (Windows)：- - UID (Linux)：- - AADID (Microsoft Entra ID)： 9267d02c-5f76-40a9-a9eb-b686f3ca47aa- OktaId：- - AWSId： 将 ID 类型存储在 TargetUserIdType 字段中。 如果其他 ID 可用，建议将字段名称分别规范为 TargetUserSid、TargetUserUid、TargetUserAADID、TargetUserOktaId 和 TargetUserAwsId。 有关详细信息，请参阅用户实体。 示例： S-1-12 |
| TargetUserIdType | 有條件的 | Enumerated |
TargetUserId 字段中存储的 ID 的类型。 支持的值为 SID、UID、AADID。 |
| TargetUsername | 可选 | 用户名（字符串） | 目标用户名，包括域信息（如果可用）。 使用以下格式之一并遵循以下优先顺序： - UPN/电子邮件： - Windows：- - DN：- - 简单：。 仅当未提供域信息时才使用 Simple 格式。 将用户名类型存储在 TargetUsernameType 字段中。 如果其他 ID 可用，建议将字段名称规范为 TargetUserUpn、TargetUserWindows 和 TargetUserDn。 有关详细信息，请参阅用户实体。 示例： AlbertE |
| TargetUsernameType | 有條件的 | Enumerated | 指定 TargetUsername 字段中存储的用户名的类型。 支持的值包括 UPN、Windows、DN 和 Simple。 有关详细信息，请参阅用户实体。示例： Windows |
| TargetUserType | 可选 | Enumerated | 目标用户的类型。 支持的值包括： - Regular- Machine- Admin- System- Application- Service Principal- Other注意：可以在源记录中使用不同字词提供该值，这些字词应规范化为上述值。 将原始值存储在 TargetOriginalUserType 字段中。 |
| 目标原始用户类型 | 可选 | 字符串 | 原始目标用户类型（如果源已提供）。 |
| TargetUserScope | 可选 | 字符串 | 在其中定义了 TargetUserId 和 TargetUsername 的范围（例如 Microsoft Entra 租户）。 有关详细信息和允许值的列表，请参阅架构概述文章中的 UserScope。 |
| TargetUserScopeId | 可选 | 字符串 | 在其中定义了 TargetUserId 和 TargetUsername 的范围 ID（例如 Microsoft Entra 目录 ID）。 有关详细信息和允许值的列表，请参阅架构概述文章中的 UserScopeId。 |
| “TargetUserSessionId” | 可选 | 字符串 | 目标用户的登录会话的唯一 ID。 示例： 999 注意：类型定义为“字符串”以支持不同的系统，但在 Windows 上，此值必须是数字。 如果使用的是 Windows 或 Linux 计算机并使用了其他类型，请务必转换值。 例如，如果使用了十六进制值，请将其转换为十进制值。 |
参与者字段
| 字段 | 类 | 类型 | 说明 |
|---|---|---|---|
| ActorUserId | 可选 | 字符串 | 参与者的计算机可读的唯一字母数字表示形式。 支持的格式和类型包括： - SID (Windows)：- - UID (Linux)：- - AADID (Microsoft Entra ID)： 9267d02c-5f76-40a9-a9eb-b686f3ca47aa- OktaId：- - AWSId： 将 ID 类型存储在 ActorUserIdType 字段中。 如果其他 ID 可用，建议将字段名称分别规范为 ActorUserSid、ActorUserUid、ActorUserAadId、ActorUserOktaId 和 ActorAwsId。 有关详细信息，请参阅用户实体。 示例：S-1-12 |
| ActorUserIdType | 有條件的 | Enumerated |
ActorUserId 字段中存储的 ID 的类型。 支持的值包括：SID、UID、AADID。 |
| ActorUsername | 必需 | 用户名（字符串） | 参与者的用户名，包括域信息（如果可用）。 使用以下格式之一并遵循以下优先顺序： - UPN/电子邮件： - Windows：- - DN：- - 简单：。 仅当未提供域信息时才使用 Simple 格式。 将用户名类型存储在 ActorUsernameType 字段中。 如果其他 ID 可用，建议将字段名称规范为 ActorUserUpn、ActorUserWindows 和 ActorUserDn。 有关详细信息，请参阅用户实体。 示例： AlbertE |
| 用户 | Alias | ActorUsername 的别名。 | |
| ActorUsernameType | 有條件的 | Enumerated | 指定 ActorUsername 字段中存储的用户名的类型。 支持的值为 UPN、Windows、DN 和 Simple。 有关详细信息，请参阅用户实体。示例： Windows |
| ActorUserType | 可选 | Enumerated | 参与者的类型。 允许值包括： - Regular- Machine- Admin- System- Application- Service Principal- Other注意：可以在源记录中使用不同字词提供该值，这些字词应规范化为上述值。 将原始值存储在 ActorOriginalUserType 字段中。 |
| ActorOriginalUserType | 可选 | 字符串 | 原始目标用户类型（如果报告设备已提供）。 |
| ActorOriginalUserType | 原始参与者用户类型（如果源已提供）。 | ||
| “ActorSessionId” | 可选 | 字符串 | Actor 登录会话的唯一 ID。 示例： 999注意：类型定义为“字符串”以支持不同的系统，但在 Windows 上，此值必须是数字。 如果使用的是 Windows 计算机并使用了其他类型，请务必转换值。 例如，如果使用了十六进制值，请将其转换为十进制值。 |
| ActorScope | 可选 | 字符串 | 在其中定义了 ActorUserId 和 ActorUsername 的范围（例如 Microsoft Entra 租户）。 有关详细信息和允许值的列表，请参阅架构概述文章中的 UserScope。 |
| ActorScopeId | 可选 | 字符串 | 在其中定义了 ActorUserId 和 ActorUsername 的范围 ID（例如 Microsoft Entra 目录 ID）。 有关详细信息和允许值的列表，请参阅架构概述文章中的 UserScopeId。 |
对字段分组
| 字段 | 类 | 类型 | 说明 |
|---|---|---|---|
| 群组ID | 可选 | 字符串 | 组的计算机可读的唯一字母数字表示形式，适用于涉及组的活动。 支持的格式和类型包括： - SID (Windows)：- - UID (Linux)：- 将 ID 类型存储在 GroupIdType 字段中。 如果其他 ID 可用，建议将字段名称分别规范为 GroupSid 或 GroupUid。 有关详细信息，请参阅用户实体。 示例： S-1-12 |
| GroupIdType | 可选 | Enumerated |
GroupId 字段中存储的 ID 的类型。 支持的值为 SID 和 UID。 |
| 组名 | 可选 | 字符串 | 包含域信息（如果可用）的组名称，适用于涉及组的活动。 使用以下格式之一并遵循以下优先顺序： - UPN/电子邮件： - Windows：- - DN：- - 简单：。 仅当未提供域信息时才使用 Simple 格式。 将组名称类型存储在 GroupNameType 字段中。 如果其他 ID 可用，建议将字段名称规范为 GroupUpn、GorupNameWindows 和 GroupDn。 示例： Contoso\Finance |
| GroupNameType | 可选 | Enumerated | 指定 GroupName 字段中存储的组名称的类型。 支持的值包括 UPN、Windows、DN 和 Simple。示例： Windows |
| GroupType | 可选 | Enumerated | 组的类型，适用于涉及组的活动。 支持的值包括： - Local Distribution- Local Security Enabled- Global Distribution- Global Security Enabled- Universal Distribution- Universal Security Enabled- Other注意：可以在源记录中使用不同字词提供该值，这些字词应规范化为上述值。 将原始值存储在 GroupOriginalType 字段中。 |
| GroupOriginalType | 可选 | 字符串 | 原始组类型（如果源已提供）。 |
源字段
| 字段 | 类 | 类型 | 说明 |
|---|---|---|---|
| 来源 | 建议 | 字符串 | 目标设备的唯一标识符。 此字段又可称为 SrcDvcId、SrcHostname 或 SrcIpAddr 字段。 示例： 192.168.12.1 |
| SrcIpAddr | 建议 | IP 地址 | 源设备的 IP 地址。 如果指定了 SrcHostname，则此值是必需的。 示例： 77.138.103.108 |
| IpAddr | Alias | SrcIpAddr 的别名。 | |
| SrcPortNumber | 可选 | 整数 | 连接起始的 IP 端口。 可能与包含多个连接的会话无关。 示例： 2335 |
| SrcMacAddr | 可选 | MAC地址（字符串） | 从中发起了连接或会话的网络接口的 MAC 地址。 示例： 06:10:9f:eb:8f:14 |
| 词典描述 | 可选 | 字符串 | 与设备关联的描述性文本。 例如： Primary Domain Controller。 |
| SrcHostname 的 | 建议 | 字符串 | 源设备主机名，不包括域信息。 示例： DESKTOP-1282V4D |
| SrcDomain | 建议 | 域（字符串） | 源设备的域。 示例： Contoso |
| SrcDomainType | 建议 | Enumerated |
SrcDomain 的类型（如果已知）。 可能的值包括： - Windows（例如 contoso）- FQDN（例如 microsoft.com）如果使用了 SrcDomain，则该字段是必填的。 |
| SrcFQDN | 可选 | FQDN（字符串） | 源设备主机名，包括域信息（如果可用）。 注意：此字段支持传统的 FQDN 格式和 Windows 域\主机名格式。 SrcDomainType 字段反映使用的格式。 示例： Contoso\DESKTOP-1282V4D |
| SrcDvcId | 可选 | 字符串 | 记录中报告的源设备的 ID。 示例： ac7e9755-8eae-4ffc-8a02-50ed7a2216c3 |
| SrcDvcScopeID | 可选 | 字符串 | 设备所属的云平台范围 ID。 SrcDvcScopeId 映射到 Azure 上的订阅 ID。 |
| SrcDvcScope（扫描仪示波器） | 可选 | 字符串 | 设备所属的云平台范围。 SrcDvcScope 映射到 Azure 上的订阅 ID。 |
| SrcDvcIdType | 有條件的 | Enumerated |
SrcDvcId 的类型（如果已知）。 可能的值包括： - AzureResourceId- MDEid如果有多个可用 ID，请使用上述列表中的第一个 ID，并分别在 SrcDvcAzureResourceId 和 SrcDvcMDEid 中存储其他 ID。 注意：如果使用了 SrcDvcId，则此字段是必填的。 |
| SrcDeviceType | 可选 | Enumerated | 源设备的类型。 可能的值包括： - Computer- Mobile Device- IOT Device- Other |
| SrcGeoCountry | 可选 | 国家/地区 | 与源 IP 地址关联的国家/地区。 |
| SrcGeoRegion | 可选 | 区域 | 与源 IP 地址关联的区域。 |
| SrcGeoCity | 可选 | 城市 | 与源 IP 地址关联的城市。 |
| SrcGeoLatitude | 可选 | 纬度 | 与源 IP 地址关联的地理坐标的纬度。 示例： 44.475833 |
| SrcGeoLongitude | 可选 | 经度 | 与源 IP 地址关联的地理坐标的经度。 示例： 73.211944 |
| SrcRiskLevel | 可选 | 整数 | 与源关联的风险级别。 该值应调整为 0 到 100 的范围，其中 0 表示良性，100 表示高风险。示例： 90 |
| SrcOriginalRiskLevel | 可选 | 字符串 | 与源关联的风险级别，由报告设备报告。 示例： Suspicious |
操作应用程序
检查字段
以下字段用于表示由安全系统（如EDR系统）执行的检查。
| 字段 | 类 | 类型 | 说明 |
|---|---|---|---|
| 规则名称 | 可选 | 字符串 | 与检查结果关联的规则的名称或 ID。 |
| 规则编号 | 可选 | 整数 | 与检查结果关联的规则的数量。 |
| 规则 | 有條件的 | 字符串 | kRuleName 的值或 RuleNumber 的值。 如果使用 RuleNumber 的值，则类型应转换为字符串。 |
| ThreatId | 可选 | 字符串 | 在文件活动中识别到的威胁或恶意软件的 ID。 |
| ThreatName | 可选 | 字符串 | 在文件活动中识别到的威胁或恶意软件的名称。 示例： EICAR Test File |
| ThreatCategory | 可选 | 字符串 | 在文件活动中识别到的威胁或恶意软件的类别。 示例： Trojan |
| ThreatRiskLevel | 可选 | 风险水平（整数） | 与已识别的威胁关联的风险级别。 级别应是介于 0 和 100 之间的数字。 注意：可以在源记录中使用不同的标度提供值，而使用的标度应规范化为此标度。 原始值应存储在 ThreatOriginalRiskLevel。 |
| ThreatOriginalRiskLevel | 可选 | 字符串 | 报告设备报告的风险级别。 |
| ThreatField | 可选 | 字符串 | 已识别出威胁的字段。 |
| ThreatConfidence | 可选 | 置信水平（整数） | 已识别威胁的可信度，规范化为 0 到 100 之间的值。 |
| ThreatOriginalConfidence | 可选 | 字符串 | 报告设备所报告的威胁的初始可信级别。 |
| ThreatIsActive | 可选 | 布尔 | 如果已识别的威胁被视为活动威胁，则为 True。 |
| ThreatFirstReportedTime | 可选 | 日期/时间 | IP 地址或域首次被识别为威胁的时间。 |
| ThreatLastReportedTime | 可选 | 日期/时间 | 上次将 IP 地址或域识别为威胁的时间。 |
其他字段和别名
| 字段 | 类 | 类型 | 说明 |
|---|---|---|---|
| 主机名 | Alias | DvcHostname 的别名。 |
架构更新
架构版本 0.1.2 中的更改包括：
- 增加了检查字段。
- 添加了源字段
SrcDescription，SrcMacAddr， ，SrcOriginalRiskLevelSrcPortNumberSrcRiskLevel， ， - 添加了目标字段
TargetUserScope，TargetUserScopeId，TargetUserSessionId - 添加了actor field
ActorOriginalUserType，ActorScope，ActorScopeId - 新增了代理应用字段
ActingOriginalAppType