Microsoft Sentinel 内置的监视列表模板架构(预览版)

本文详细介绍了 Microsoft Sentinel 提供的每个内置监视列表模板中使用的架构。 有关详细信息,请参阅在 Microsoft Sentinel 中创建监视列表

Microsoft Sentinel 监视列表模板目前以预览版提供。 Azure 预览版补充条款包含适用于 beta 版、预览版或其他尚未正式发布的 Azure 功能的其他法律条款。

高价值资产

“高价值资产”监视列表列出组织中具有重要价值的设备、资源和其他资产,此监视列表包括以下字段:

字段名称 格式 示例 必需/可选
资产类型 字符串 DeviceAzure resourceURLSPOFile shareOther 必需
资产 ID 字符串,视资产类型而定 /subscriptions/d1d8779d-38d7-4f06-91db-9cbc8de0176f/resourceGroups/SOC-Purview/providers/Microsoft.Storage/storageAccounts/purviewadls 必需
资产名称 字符串 Microsoft.Storage/storageAccounts/purviewadls 可选
资产 FQDN FQDN Finance-SRv.local.microsoft.com 必需
IP 地址 IP 1.1.1.1 可选
标记 列出 ["SAW user","Blue Ocean team"] 用于在 Microsoft Excel 中创建的 CSV 文件,或者 [""SAW user"",""Blue Ocean team""] 用于为在文本编辑器中创建的 CSV 文件 可选

VIP 用户

“VIP 用户”监视列表列出组织中影响力较高的员工的用户帐户,此监视列表包括以下值:

字段名称 格式 示例 必需/可选
用户标识符 UID 52322ec8-6ebf-11eb-9439-0242ac130002 可选
用户 AAD 对象 ID SID 03fa4b4e-dc26-426f-87b7-98e0c9e2955e 可选
用户本地 SID SID S-1-12-1-4141952679-1282074057-627758481-2916039507 可选
用户主体名称 UPN JeffL@seccxp.ninja 必需
标记 列出 ["SAW user","Blue Ocean team"] 用于在 Microsoft Excel 中创建的 CSV 文件,或者 [""SAW user"",""Blue Ocean team""] 用于为在文本编辑器中创建的 CSV 文件 可选

网络地址

“网络地址”监视列表列出 IP 子网及其各自的组织上下文,此监视列表包括以下字段:

字段名称 格式 示例 必需/可选
IP 子网 子网范围 198.51.100.0/24 必需
范围名 字符串 DMZ 可选
标记 列出 ["Example","Example"] 用于在 Microsoft Excel 中创建的 CSV 文件,或者 [""Example"",""Example""] 用于为在文本编辑器中创建的 CSV 文件 可选

离职的员工

“离职的员工”监视列表列出已离职或即将离职的员工的用户帐户,此监视列表包括以下字段:

字段名称 格式 示例 必需/可选
用户标识符 UID 52322ec8-6ebf-11eb-9439-0242ac130002 可选
用户 AAD 对象 ID SID 03fa4b4e-dc26-426f-87b7-98e0c9e2955e 可选
用户本地 SID SID S-1-12-1-4141952679-1282074057-123 可选
用户主体名称 UPN JeffL@seccxp.ninja 必需
UserState String

建议使用 NotifiedTerminated
Terminated 必需
通知日期 时间戳 - 具体日期

建议使用 UTC 格式
2020-12-1 可选
终止日期 时间戳 - 具体日期

建议使用 UTC 格式
2021-01-01 必需
标记 列出 ["SAW user","Amba Wolfs team"] 用于在 Microsoft Excel 中创建的 CSV 文件,或者 [""SAW user"",""Amba Wolfs team""] 用于为在文本编辑器中创建的 CSV 文件 可选

标识相关

“标识相关”监视列表列出属于同一人员的相关用户帐户,此监视列表包括以下字段:

字段名称 格式 示例 必需/可选
用户标识符 UID 52322ec8-6ebf-11eb-9439-0242ac130002 可选
用户 AAD 对象 ID SID 03fa4b4e-dc26-426f-87b7-98e0c9e2955e 可选
用户本地 SID SID S-1-12-1-4141952679-1282074057-627758481-2916039507 可选
用户主体名称 UPN JeffL@seccxp.ninja 必需
员工 ID 字符串 8234123 可选
Email 电子邮件 JeffL@seccxp.ninja 可选
关联的特权帐户 ID UID/SID S-1-12-1-4141952679-1282074057-627758481-2916039507 可选
关联的特权帐户 UPN Admin@seccxp.ninja 可选
标记 列出 ["SAW user","Amba Wolfs team"] 用于在 Microsoft Excel 中创建的 CSV 文件,或者 [""SAW user"",""Amba Wolfs team""] 用于为在文本编辑器中创建的 CSV 文件 可选

服务帐户

“服务帐户”监视列表列出服务帐户及其所有者,此监视列表包括以下字段:

字段名称 格式 示例 必需/可选
服务标识符 UID 1111-112123-12312312-123123123 可选
服务 AAD 对象 ID SID 11123-123123-123123-123123 可选
服务本地 SID SID S-1-12-1-3123123-123213123-12312312-2916039507 可选
服务主体名称 UPN myserviceprin@contoso.com 必需
所有者用户标识符 UID 52322ec8-6ebf-11eb-9439-0242ac130002 可选
所有者用户 AAD 对象 ID SID 03fa4b4e-dc26-426f-87b7-98e0c9e2955e 可选
所有者用户本地 SID SID S-1-12-1-4141952679-1282074057-627758481-2916039507 可选
所有者用户主体名称 UPN JeffL@seccxp.ninja 必需
标记 列出 ["Automation Account","GitHub Account"] 用于在 Microsoft Excel 中创建的 CSV 文件,或者 [""Automation Account"",""GitHub Account""] 用于为在文本编辑器中创建的 CSV 文件 可选

后续步骤

有关详细信息,请参阅