次の方法で共有

ASimWebSessionLogs

Advanced Security Information Model (ASIM) Web セッション正規化スキーマ - IP ネットワーク アクティビティについて説明します。 たとえば、IP ネットワークのアクティビティは、Web サーバー、Web プロキシ、Web セキュリティ ゲートウェイによって報告されます。

テーブル属性

属性 価値
リソースの種類 microsoft.securityinsights/websessionlogs
Categories (カテゴリ) セキュリティ
ソリューション SecurityInsights
基本的なログ はい
インジェスト時の変換 はい
サンプル クエリ -

列

列 タイプ 説明
AdditionalFields ダイナミック ASim にマップされないソースによって提供されるキーと値のペアを使用して表される追加情報。
_請求額サイズ real レコード サイズ (バイト単位)
DstAppId ひも レポート デバイスによって報告された、ターゲット アプリケーションの ID。
DstAppName ひも ターゲット アプリケーションの名前。
DstAppType ひも ターゲット アプリケーションの種類。
DstBytes 長い 接続またはセッションで送信先から送信元に送信されたバイト数。 イベントが集計される場合、DstBytes は集計されたすべてのセッションの合計です。
送信先デバイスタイプ ひも ターゲット デバイスの種類。
DstDomain ひも ターゲット デバイスのドメイン。
ドメインタイプ (DstDomainType) ひも DstDomain の種類。
DstDvcId ひも ターゲット デバイスの ID。
DstDvcIdType ひも DstDvcId の種類。
DstDvcScope ひも 宛先デバイスが属するクラウド プラットフォーム スコープ。 DvcScope は、Azure のサブスクリプションと AWS のアカウントにマップされます。
DstDvcScopeId ひも 宛先デバイスが属するクラウド プラットフォーム スコープ ID。 DvcScopeId は、Azure ではサブスクリプション ID に、AWS ではアカウント ID にマップされます。
DstFQDN ひも 使用可能な場合はドメイン情報を含む、ターゲット デバイスのホスト名。
DstGeoCity ひも ターゲット IP アドレスに関連付けられている都市。
DstGeoCountry ひも ターゲット IP アドレスに関連付けられている国。
DstGeoLatitude real ターゲット IP アドレスに関連付けられている地理的座標の緯度。
DstGeoLongitude real ターゲット IP アドレスに関連付けられている地理的座標の経度。
DstGeoRegion ひも ターゲット IP アドレスに関連付けられた国の地域または州。
DstHostname ひも ドメイン情報を除いた、ターゲット デバイスのホスト名。
DstIpAddr ひも 接続またはセッションのターゲットの IP アドレス。
DstMacAddr ひも ターゲット デバイスによって接続またはセッションに使用される、ネットワーク インターフェイスの MAC アドレス。
DstNatIpAddr ひも DstNatIpAddr は、ネットワーク アドレス変換が使用された場合の宛先デバイスの元のアドレス、または送信元との通信に中間デバイスによって使用される IP アドレスのいずれかを表します。
DstNatポート番号 INT 中間 NAT デバイスによって報告された場合は、その NAT デバイスがソースとの通信に使用するポート。
DstOriginalUserType ひも ソースによって提供されている場合、元のターゲット ユーザーの種類。
DstPackets 長い 接続またはセッションで送信先から送信元に送信されたパケット数。 パケットの意味はレポート デバイスで定義されます。 イベントが集計される場合、DstPackets は集計されたすべてのセッションの合計です。
送信先ポート番号 INT 送信先 IP ポート。
DstUserId (送信先ユーザーID) ひも ターゲット ユーザーの、コンピューターが判読できる英数字の一意表現。
DstUserIdType ひも DstUserId フィールドに格納されている ID の種類。
DstUsername ひも 使用可能な場合はドメイン情報を含む、ターゲットのユーザー名。 シンプル形式は、ドメイン情報が利用できない場合にのみ使用します。
DstUsernameType ひも DstUsername フィールドに格納されているユーザー名の種類を指定します。
DstUserType ひも ターゲット ユーザーの種類。
Dvc ひも イベントが発生したデバイスまたはイベントを報告したデバイスの一意の識別子。
DvcAction ひも Web セッションで実行されるアクション。
DvcDomain ひも イベントを報告するデバイスのドメイン。
Dvcドメインタイプ ひも DvcDomain の種類。 指定できる値は、"Windows" と "FQDN" です。
DvcFQDN ひも イベントが発生した、またはイベントを報告したデバイスのホスト名。
Dvcホスト名 ひも イベントを報告するデバイスのホスト名。
DvcId ひも イベントが発生したデバイスまたはイベントを報告したデバイスの一意の ID。
DvcIdType ひも DvcId の種類。
DvcIpAddr ひも イベントを報告するデバイスの IP アドレス。
DvcOriginalAction ひも レポート デバイスによって提供された元の DvcAction。
イベント数 INT この値は、ソースが集計に対応しており、1 つのレコードが複数のイベントを表す可能性があるときに使用されます。
イベント終了時間 datetime イベントが終了した時刻。 ソースが集計に対応していて、レコードが複数のイベントを表す場合は、最後のイベントが生成された時刻。 ソース レコードによって指定されなかった場合、このフィールドが TimeGenerated フィールドの別名となります。
イベントメッセージ ひも 一般的なメッセージまたは説明。
イベントの元の結果の詳細 ひも ソースによって提供される元の結果の詳細。 この値は EventResultDetails を導出するために使用され、これには、スキーマごとに文書化された値のうち 1 つのみが含まれるようにします。
EventOriginalSeverity ひも レポート デバイスによって提供された元の重大度。 この値は EventSeverity を導出するために使用されます。
EventOriginalSubType ひも 元のイベントのサブタイプまたは ID (ソースによって提供されている場合)。 たとえば、このフィールドは元の Windows ログオンの種類を格納するために使用されます。 この値は EventSubType を導出するために使用され、これには、スキーマごとに文書化された値のうち 1 つのみが含まれるようにします。
EventOriginalType ひも 元のイベントの種類または ID (ソースによって提供されている場合)。
イベントオリジナルUID (EventOriginalUid) ひも 元のレコードの一意の ID (ソースによって提供されている場合)。
イベントオーナー ひも イベントの所有者。通常は、イベントが生成された部門または子会社です。
EventProduct ひも イベントを生成している製品。
EventProductVersion ひも イベントを生成している製品のバージョン。
イベントレポートURL ひも イベント時に提供される、そのイベントに関する詳細情報を補足するURL。
イベント結果 ひも イベントの結果。Success、Partial、Failure、NA (Not Applicable) のいずれかの値で表されます。 この値はソースによって直接提供されない場合があります。その場合は、EventResultDetails フィールドなどの他のイベント フィールドから派生します。
イベント結果の詳細 ひも HTTP 状態コード。
EventSchemaVersion ひも スキーマのバージョン。
EventSeverity ひも イベントの重大度。 有効な値は、Informational、Low、Medium、High です。
イベント開始時刻 datetime イベントが開始した時刻。 ソースが集計に対応していて、レコードが複数のイベントを表す場合は、最初のイベントが生成された時刻。 ソース レコードによって指定されなかった場合、このフィールドが TimeGenerated フィールドの別名となります。
イベントサブタイプ ひも イベントの種類の追加説明 (該当する場合)。
イベントタイプ ひも レコードによって報告される操作。
EventVendor ひも イベントを生成している製品のベンダー。
ファイルコンテンツタイプ ひも HTTP アップロードの場合、アップロードされたファイルのコンテンツ タイプ。
FileMD5 ひも HTTP アップロードの場合、アップロードされたファイルの MD5 ハッシュ。
ファイル名 ひも HTTP アップロードの場合、アップロードされたファイルの名前。
FileSHA1 ひも HTTP アップロードの場合、アップロードされたファイルの SHA1 ハッシュ。
FileSHA256 ひも HTTP アップロードの場合、アップロードされたファイルの SHA256 ハッシュ。
FileSHA512 ひも HTTP アップロードの場合、アップロードされたファイルの SHA512 ハッシュ。
ファイルサイズ INT HTTP アップロードの場合、アップロードされたファイルのバイト サイズ。
Httpコンテンツフォーマット ひも HttpContentType のコンテンツ形式の部分
Httpコンテンツタイプ ひも HTTP 応答のコンテンツ タイプのヘッダー。
HttpHost ひも HTTP 要求の対象となっている仮想 Web サーバー。
HTTPリファラー ひも HTTP 参照元ヘッダー。
HttpRequestMethod（HTTPリクエストメソッド） ひも HTTP メソッド。
HttpRequestTime (HTTPリクエスト時間) INT 要求をサーバーに送信するのにかかった時間 (ミリ秒単位)。
HttpRequestXff ひも HTTP X-Forwarded-For ヘッダー。
HTTP応答時間 INT サーバーで応答を受信するのにかかった時間 (ミリ秒単位)。
HTTPユーザーエージェント ひも HTTP ユーザー エージェント ヘッダー。
HttpVersion ひも HTTP 要求のバージョン。
_IsBillable // 請求可能かどうかを示す ひも データ インジェストが課金対象かどうかを指定します。 _IsBillable が false の場合、インジェストはお使いの Azure アカウントに課金されません
ネットワークアプリケーションプロトコル ひも 接続またはセッションで使用されるアプリケーション レイヤー プロトコル。
NetworkBytes 長い 両方向に送信されたバイト数。 BytesReceived と BytesSent が両方とも存在する場合、BytesTotal はその合計と同じである必要があります。 イベントが集計される場合、NetworkBytes は集計されたすべてのセッションの合計です。
ネットワーク接続履歴 ひも TCP フラグとその他の使用される可能性がある IP ヘッダー情報。
ネットワーク方向 ひも 接続またはセッションの方向。
ネットワーク期間 INT Web セッションまたは接続が完了するまでの時間 (ミリ秒単位)。
ネットワークICMPコード INT ICMP メッセージの種類を示す数値。IPv4 ネットワーク接続の場合は RFC 2780 で示されている値、IPv6 ネットワーク接続の場合は RFC 4443 で示されている値。
ネットワークICMPタイプ ひも ICMP メッセージの種類のテキスト表現。IPv4 ネットワーク接続の場合は RFC 2780 で示されている値、IPv6 ネットワーク接続の場合は RFC 4443 で示されている値。
ネットワークパケット 長い 両方向に送信されたパケット数。 PacketsReceived と PacketsSent が両方とも存在する場合、BytesTotal はその合計と同じである必要があります。 パケットの意味はレポート デバイスで定義されます。 イベントが集計される場合、NetworkPackets は集計されたすべてのセッションの合計です。
ネットワークプロトコル ひも IANA プロトコルの割り当て (通常は TCP、UDP、または ICMP) に記載されている接続またはセッションで使用される IP プロトコル。
ネットワークプロトコルバージョン ひも NetworkProtocol のバージョン。
ネットワークセッションID ひも レポート デバイスによって報告されたセッション識別子。
_ResourceId（リソース識別子） ひも レコードが関連付けられているリソースの一意識別子
ルール ひも NetworkRuleName または NetworkRuleNumber
ルール名 ひも DvcAction が決定されたときに使用されたルールの名前または ID。 例: AnyAnyDrop
ルール番号 INT DvcAction が決定されたときに使用されたルールの番号。 例: 23
SourceSystem ひも イベントを収集したエージェントの種類。 たとえば、Windows エージェントの場合は OpsManager (直接接続または Operations Manager のいずれか)、すべての Linux エージェントの場合は Linux、Azure Diagnostics の場合は Azure です
SrcAppId ひも レポートデバイスによって報告された、ソースアプリケーションのID。
SrcAppName ひも ソース アプリケーションの名前。
SrcAppType ひも ソース アプリケーションの種類。
SrcBytes 長い 接続またはセッションで送信元から送信先に送信されたバイト数。 イベントが集計される場合、SrcBytes は集計されたすべてのセッションの合計です。
SrcDeviceType ひも ソース デバイスの種類。
SrcDomain ひも ソース デバイスのドメイン。
SrcDomainType ひも SrcDomain の種類。
SrcDvcId ひも ソース デバイスの ID。
SrcDvcIdType ひも SrcDvcId の種類。
SrcDvcScope ひも ソース デバイスが属するクラウド プラットフォーム スコープ。 DvcScope は、Azure のサブスクリプションと AWS のアカウントにマップされます。
SrcDvcScopeId ひも ソース デバイスが属しているクラウド プラットフォーム スコープ ID。 DvcScopeId は、Azure ではサブスクリプション ID に、AWS ではアカウント ID にマップされます。
SrcFQDN ひも ソース デバイスのホスト名 (使用可能な場合はドメイン情報を含む)。
SrcGeoCity ひも 発信元 IP アドレスに関連付けられている都市。
SrcGeoCountry ひも 発信元 IP アドレスに関連付けられている国。
SrcGeoLatitude real 発信元 IP アドレスに関連付けられている地理的座標の緯度。
SrcGeoLongitude real 発信元 IP アドレスに関連付けられている地理的座標の経度。
SrcGeoRegion ひも 発信元 IP アドレスに関連付けられている国内の地域。
SrcHostname ひも ドメイン情報を除いた、ソース デバイスのホスト名。 使用可能なデバイス名がない場合は、関連する IP アドレスを格納できます。
SrcIpAddr ひも 接続またはセッションの開始元の IP アドレス。
SrcMacAddr ひも 接続またはセッションの開始元のネットワーク インターフェイスの MAC アドレス。
SrcNatIpAddr ひも SrcNatIpAddr は、送信元デバイスの元のアドレス (ネットワーク アドレス変換が使用された場合) または中継デバイスが宛先との通信に使用する IP アドレスのいずれかを表します。
SrcNatPortNumber INT 中間 NAT デバイスによって報告された場合は、その NAT デバイスがターゲットとの通信に使用するポート。
SrcOriginalUserType ひも レポートデバイスが指定した場合の、元の宛先のユーザータイプ。
SrcPackets 長い 接続またはセッションで送信元から送信先に送信されたパケット数。 パケットの意味はレポート デバイスで定義されます。 イベントが集計される場合、SrcPackets は集計されたすべてのセッションの合計です。
SrcPortNumber INT 接続元の IP ポート。 複数の接続を構成するセッションに関連しないことがあります。
SrcProcessGuid ひも ソースプロセスによって生成された一意の識別子 (GUID)。
SrcProcessId ひも ソース プロセスのプロセス ID (PID)。
SrcProcessName ひも ソース プロセスの名前。
SrcUserId ひも ソース ユーザーの、コンピューターが判読できる英数字の一意表現。
SrcUserIdType ひも SrcUserId フィールドに格納されている ID の種類。
SrcUsername ひも 使用可能な場合はドメイン情報を含む、ソースのユーザー名。
SrcUsernameType ひも SrcUsername フィールドに格納されているユーザー名の種類を指定します。
ユーザー範囲 (SrcUserScope) ひも SrcUserId と SrcUsername が定義されているスコープ (Azure AD テナントなど)。
SrcUserScopeId ひも SrcUserId と SrcUsername が定義されているスコープの ID (Azure AD テナントなど)。
SrcUserType ひも 送信元ユーザーの種類。
_SubscriptionId(サブスクリプションID) ひも レコードが関連付けられているサブスクリプションの一意識別子
テナントID ひも Log Analytics ワークスペース ID
脅威カテゴリ ひも Web セッションで識別される脅威またはマルウェアのカテゴリ。
ThreatConfidence INT 識別された脅威の信頼レベル。0 から 100 の間の値に正規化されます。
ThreatField ひも 脅威が特定されたフィールド。 値は SrcIpAddr、DstIpAddr、Domain、または DnsResponseName です。
脅威初報告時間 datetime IP アドレスまたはドメインが脅威として初めて識別された場合。
脅威識別子 ひも Web セッションで識別された脅威またはマルウェアの ID。
脅威のIPアドレス ひも 脅威が特定された IP アドレス。 ThreatField フィールドには、ThreatIpAddr が表すフィールドの名前が含まれています。
脅威が活動中です ブール 特定された脅威がアクティブな脅威と見なされる真の ID。
脅威が最後に報告された時間 datetime 最後に IP アドレスまたはドメインが脅威として識別された時刻。
ThreatName ひも Web セッションで識別された脅威またはマルウェアの名前。
ThreatOriginalConfidence ひも レポート デバイスによって報告される、特定された脅威の元の信頼レベル。
ThreatOriginalRiskLevel ひも レポート デバイスによって報告されたリスク レベル。
脅威リスクレベル INT セッションに関連付けられているリスク レベル。 レベルは 0 から 100 までの数値です。
タイムジェネレイテッド datetime イベントが生成された時刻を反映するタイムスタンプ (UTC)。
タイプ ひも テーブルの名前
URL ひも パラメーターを含む完全な HTTP 要求 URL。
UrlCategory ひも URL または URL のドメイン部分の定義されたグループ。
UrlOriginal ひも URL がレポート デバイスによって変更され、両方の値が提供された場合の、URL の元の値。