Deutsch English (United States)

Beiträge in diesem Abschnitt

Microsoft Sentinel-Ereignisschema

Aktualisiert
  • Felder der Stammebene sind in den Protokollen für alle Ereignistypen vorhanden.
  • Einige Felder der Stammebene, z.B. ActorDetails und Location, sind dynamische Objekte mit eigenen Felddefinitionen.
  • EventResultDetails ist derzeit nur für Authentication-Ereignisse definiert. Für alle anderen Ereignistypen ist der Wert null.
  • Einige Ereignistypen enthalten ein dynamisches EventData-Feld. Dessen Struktur hängt vom jeweiligen EventTypeund EventSubType ab.
  • Einige EventData-Definitionen enthalten außerdem AdditionalFields. Diese Felder werden nur eingeschlossen, wenn die angegebenen Bedingungen erfüllt sind.

 

Ereignisfelder der Stammebene

Feldname Klasse Typ Format Beschreibung
TimeGenerated Erforderlich Datetime Datetime Zeitpunkt, zu dem das Ereignis an den Log Analytics-Arbeitsbereich gesendet wurde.
SchemaVersion Erforderlich String 2.0.0 Version des Ereignisschemas.
ActorUserEmail Erforderlich String {E-Mail-Adresse}

E-Mail-Adresse des Benutzers.

Wenn die Aktion vom Tresorit-Support ausgeführt wurde, lautet der Wert support@tresorit.com und alle anderen Benutzerfelder sind leer.
ActorUserIsExternal Erforderlich Boolean
  • True
  • False
 Ob der Benutzer zur Abonnementdomain gehört.
ActorDetails Erforderlich Dynamic Abhängig von ActorDetails Siehe ActorDetails.
EventType Erforderlich Enumerated
  • Authentication
  • UserActivity
  • AdminActivity
  • DomainUserManagement
 Typ des vom Ereignis gemeldeten Vorgangs.
EventSubType Erforderlich Enumerated Abhängig von EventType Untertyp des Vorgangs.
EventTimestamp Erforderlich Datetime {Zeitstempel im ISO-8601-Format} Zeitpunkt, zu dem das meldende Gerät das Ereignis generiert hat.
EventResult Erforderlich Enumerated
  • Success
  • Failure
  • Partial
 Ergebnis des Ereignisses.
EventResultDetails Empfohlen Enumerated / null Für jeden EventType definiert Nur für einige Ereignistypen definiert. Siehe das entsprechende Ereignisschema.
EventData Erforderlich Dynamic Für jeden EventType definiert Ereignistypspezifische Schemadefinition.
Location Erforderlich Dynamic Abhängig von Location Siehe Location.

ActorDetails

Feldname Klasse Typ Format Beschreibung
ActorUserId Empfohlen String {uuid_v4} Eindeutiger Bezeichner des Benutzers.
ActorUserFirstName Empfohlen String {Vorname} Vorname des Benutzers.
ActorUserLastName Empfohlen String {Nachname} Nachname des Benutzers.
ActorUserRole Empfohlen Enumerated
  • Owner
  • Co-Owner
  • Administrator
  • Member
 Rolle des Benutzers im Abonnement.
ActorSessionId Empfohlen String [a-z0-9]{64} Eindeutiger Bezeichner der Benutzersitzung.
SHA256("TresoritSIEM" + {SessionId})
ActorUserDomainId Empfohlen String {uuid_v4} Eindeutiger Bezeichner der Domain des Benutzers.
ActorUserDomainName Empfohlen String {Organisationsname} Name der Abonnementorganisation des Benutzers.
ActorDeviceName Empfohlen String {Gerätename} Name des Geräts oder der Websitzung, von der das Ereignis stammt.
ActorDeviceId Empfohlen String [a-zA-Z0-9]{32} Eindeutiger Bezeichner des Geräts.
ActorDeviceType Empfohlen Enumerated
  • Web
  • NativeDesktop
  • NativeMobile
 Clienttyp, von dem das Ereignis stammt.
ActorDevicePlatform Empfohlen Enumerated
  • Windows
  • macOS
  • Linux
  • iOS
  • Android
 Betriebssystem des Geräts, von dem das Ereignis stammt.
ActorDeviceIpAddress Empfohlen IP address {ipv4} IP-Adresse des Geräts.
ClientAgent Empfohlen String {ClientVersionNumber}({ClientType};{ClientId}) Tresorit-spezifische Client-Agent-Informationen.
HttpUserAgent Empfohlen String User-Agent: {BrowserInformation} ({SystemInformation}) {platform} ({platform-details}) {extensions} HTTP-User-Agent der ursprünglichen Anforderung.

Location

Feldname Klasse Typ Format Beschreibung
GeolocationCountry Empfohlen String {Land} Ungefähres Land basierend auf der IP-Adresse, von der das Ereignis stammt.*
GeolocationRegion Empfohlen String {Region} Ungefähre Region basierend auf der IP-Adresse, von der das Ereignis stammt.*
GeolocationCity Empfohlen String {Stadt} Ungefähre Stadt basierend auf der IP-Adresse, von der das Ereignis stammt.*
GeolocationLongitude Empfohlen Longitude ^-?([0-9]{1,2}|1[0-7][0-9]|180)(\.[0-9]{1,10})$ Ungefährer Längengrad basierend auf der IP-Adresse, von der das Ereignis stammt.*
GeolocationLatitude Empfohlen Latitude ^-?([0-8]?[0-9]|90)(\.[0-9]{1,10})$ Ungefährer Breitengrad basierend auf der IP-Adresse, von der das Ereignis stammt.*

* Die Genauigkeit der Geolokalisierung kann variieren.

 

Authentication-Ereignisfelder

Feldname Klasse Typ Format Beschreibung
EventSubType Erforderlich Enumerated
  • Login
  • Logout
  • DeviceRegister
  • DeviceRevoke
  • DomainVerifiedSignup
  • SignupViaInvitation
 Beschreibt einen Untertyp des Vorgangs Authentication.
Jedes Schema (basierend auf EventType) dokumentiert die für dieses Feld gültigen Werte.
EventResultDetails Empfohlen Enumerated
  • WrongPassword
  • IpPolicyConflict
  • ClientLocationPolicyConflict
  • ClientPlatformPolicyConflict
  • UserIsDisabledByPolicy
  • ServiceUnavailableInCountry
  • null if EventResult is Success
Zusätzliche Informationen zum Ergebnis des Authentication-Ereignisses.
EventData Erforderlich Dynamic Für jeden EventType definiert Siehe Authentication EventData.

Authentication EventData

Feldname Klasse Typ Format Beschreibung
LoginMethod Optional Enumerated
  • Password
  • TwoFactor
  • SSO
 Vom Benutzer verwendete Authentifizierungs-methode.
Erforderlich, wenn EventSubType Login ist.
RevokeMode Optional Enumerated
  • CertRevoke
  • CertRevokeWithDeviceWipe (bestmöglich)
 Ob synchronisierte Ordner und Dateien vom Gerät gelöscht werden.
Erforderlich, wenn EventSubType DeviceRevoke ist.
TargetDeviceName Optional String {Gerätename} Name des Geräts, das registriert oder widerrufen wird.
Erforderlich, wenn EventSubType DeviceRegister oder DeviceRevoke ist.
TargetDeviceId Optional String {Gerätebezeichner} Eindeutiger Bezeichner des Geräts, das registriert oder widerrufen wird.
Erforderlich, wenn EventSubType DeviceRegister oder DeviceRevoke ist.
TargetDeviceType Optional Enumerated
  • Web
  • NativeDesktop
  • NativeMobile
 Typ des Geräts, das registriert oder widerrufen wird.
Erforderlich, wenn EventSubType DeviceRegister oder DeviceRevoke ist.
TargetDevicePlatform Optional Enumerated
  • Windows
  • macOS
  • Linux
  • iOS
  • Android
 Plattform des Zielgeräts.
AdditionalFields Optional Dynamic Für jeden EventSubType definiert Siehe Authentication AdditionalFields.

Authentication AdditionalFields

Ereignistyp Ereignisuntertyp Bedingung Zusätzliche Felder
Authentication Login LoginMethod == Password TwoFactorOptions: Totp, Sms, Voice, Email
Für den Benutzer aktivierte Zwei-Faktor-Authentifizierungsoptionen.
Authentication Login LoginMethod == TwoFactor

SelectedTwoFactorOption: Totp, Sms, Voice, Email
Vom Benutzer ausgewählte Zwei-Faktor-Authentifizierungsoption.

TwoFactorOptionTarget: String
Telefonnummer oder E-Mail-Adresse, die mit der ausgewählten Zwei-Faktor-Authentifizierungsoption verknüpft ist.
null wenn die ausgewählte Option Totp ist.

 

UserActivity-Ereignisfelder

Feldname Klasse Typ Format Beschreibung
EventSubType Erforderlich Enumerated
  • PasswordChange
  • TwoFactorEnable
  • TwoFactorDisable
  • TwoFactorOptionConfig
  • DomainInviteAccept
  • DomainInviteDecline
  • AdvancedControlAccept
 Beschreibt einen Untertyp des Vorgangs UserActivity.
Jedes Schema (basierend auf EventType) dokumentiert die für dieses Feld gültigen Werte.
EventResultDetails Empfohlen Dynamic N/A Für diesen Ereignistyp nicht zutreffend.
EventData Erforderlich Dynamic Für jeden EventSubType definiert Siehe UserActivity EventData.

UserActivity EventData

Feldname Klasse Typ Format Beschreibung
AdditionalFields Optional Dynamic Für jeden EventSubType definiert Siehe UserActivity AdditionalFields.

UserActivity AdditionalFields

Ereignistyp Ereignisuntertyp Bedingung Zusätzliche Felder
UserActivity TwoFactorOptionConfig Einrichtung, Verifizierung oder Entfernung einer Telefonnummer

Action: StartPhoneNumberSetupWithTextMessage, StartPhoneNumberSetupWithVoiceCall, VerifyPhoneNumberWithTextMessage, VerifyPhoneNumberWithVoiceCall, RemovePhoneNumber

PhoneNumber: <Telefonnummer>
UserActivity TwoFactorOptionConfig Einrichtung oder Verifizierung von TOTP Action: StartTOTPSetup, VerifyTOTPSetup
UserActivity TwoFactorOptionConfig Aktivierung oder Deaktivierung einer 2FA-Option

Action: EnableOption, DisableOption

Option: Totp, Sms, Voice, Email

 

AdminActivity-Ereignisfelder

Feldname Klasse Typ Format Beschreibung
EventSubType Erforderlich Enumerated
  • SIEMEnable
  • SIEMDisable
  • SIEMConfigurationModify
  • AdvancedControlEnable
  • AdvancedControlDisable
  • SSOEnable
  • SSODisable
  • SCIMEnable
  • SCIMDisable
  • CompanyNameEdit
  • DomainCustomization
  • GenerateADConnectorAPIKey
  • RemoveADConnectorAPIKey
  • AddVerifiedEmailDomain
  • RemoveVerifiedEmailDomain
  • SetVerifiedEmailDomainRule
  • NewPolicyTemplate
  • DeletePolicyTemplate
  • ModifyPolicyTemplate
 Beschreibt einen Untertyp des Vorgangs AdminActivity.
Jedes Schema (basierend auf EventType) dokumentiert die für dieses Feld gültigen Werte.
EventResultDetails Empfohlen Dynamic N/A Für diesen Ereignistyp nicht zutreffend.
EventData Erforderlich Dynamic Defined for each EventSubType Siehe AdminActivity EventData.

AdminActivity EventData

Feldname Klasse Typ Format Beschreibung
AdditionalFields Optional Dynamic Für jeden EventSubType definiert Siehe AdminActivity AdditionalFields.

AdminActivity AdditionalFields

Ereignistyp Ereignisuntertyp Bedingung Zusätzliche Felder
AdminActivity SIEMEnable Immer

SentinelWorkspaceId: ID des von Microsoft Sentinel verwendeten Ziel-Log Analytics-Arbeitsbereichs.

EnabledLogTypes: An Microsoft Sentinel gesendete Protokolltypen.
AdminActivity SIEMConfigurationModify Immer

SentinelWorkspaceId: ID des von Microsoft Sentinel verwendeten Ziel-Log Analytics-Arbeitsbereichs.

EnabledLogTypes: An Microsoft Sentinel gesendete Protokolltypen.
AdminActivity SSOEnable Immer SsoType: Adfs, AzureAd, Okta, GoogleWs
AdminActivity NewPolicyTemplate Neue Richtlinienvorlage erstellen

PolicyName: Name der erstellten Richtlinienvorlage.

PolicyId: Eindeutiger Bezeichner der erstellten Richtlinienvorlage.
AdminActivity NewPolicyTemplate Vorhandene Richtlinienvorlage klonen

PolicyName: Name der erstellten Richtlinienvorlage.

PolicyId: Eindeutiger Bezeichner der erstellten Richtlinienvorlage.

ClonedFromPolicyId: Eindeutiger Bezeichner der Quellrichtlinienvorlage.
AdminActivity CompanyNameEdit

ChangeBillingInfoV3Async: Der Domainname ist derzeit der alte Kontoname

RenameDomainAsync: Immer

OriginalCompanyName: Ursprünglicher Firmenname vor der Umbenennung.

NewCompanyName: Neuer Firmenname nach der Umbenennung.
AdminActivity CompanyNameEdit RenameDomainAsync

OriginalCompanyName: Ursprünglicher Firmenname vor der Umbenennung.

NewCompanyName: Neuer Firmenname nach der Umbenennung.
AdminActivity AddVerifiedEmailDomain Immer

EmailDomain: Hinzugefügte E-Mail-Domain.
ValidationMethod: DnsTxt, Email

Status: Pending, Completed
AdminActivity RemoveVerifiedEmailDomain Immer EmailDomain: Entfernte E-Mail-Domain.
AdminActivity SetVerifiedEmailDomainRule Immer

EmailDomain: Konfigurierte verifizierte E-Mail-Domain.

AutoAssignmentSettings: Konfigurierter AutoAssignmentRuleEnum-Wert als Zeichenfolge.
AdminActivity ModifyPolicyTemplate Immer, außer bei Aufruf durch CloneGroupSettingsCoreAsync

OriginalTemplate: JSON der Richtlinienkonfiguration vor der Änderung.

NewTemplate: JSON der Richtlinienkonfiguration nach der Änderung.
AdminActivity ModifySubscription Immer

OldMainSubscription:
PlanName: Enterprise oder Enterprise Annual
SeatCount: Ganzzahl
PeriodType: Monat oder Jahr

NewMainSubscription:
PlanName: Enterprise oder Enterprise Annual
SeatCount: Ganzzahl
PeriodType: Monat oder Jahr

 

DomainUserManagement-Ereignisfelder

Feldname Klasse Typ Format Beschreibung
EventSubType Erforderlich Enumerated
  • UserInvite
  • UserAutoAdd
  • UserRemove
  • UserWipe
  • UserSuspend
  • UserUnsuspend
  • RoleChange
  • PolicyAssign
  • PasswordReset
  • TwoFactorDisable
  • DeviceRevoke
  • DataOwnershipTransfer
 Beschreibt einen Untertyp des Vorgangs DomainUserManagement.
Jedes Schema (basierend auf EventType) dokumentiert die für dieses Feld gültigen Werte.
EventResultDetails Empfohlen Dynamic N/A Für diesen Ereignistyp nicht zutreffend.
EventData Erforderlich Dynamic Für jeden EventSubType definiert Siehe DomainUser-Management EventData.

DomainUserManagement EventData

Feldname Klasse Typ Format Beschreibung
TargetUserId Optional String {uuid_v4} Eindeutiger Bezeichner des Zielbenutzers.
Erforderlich, sofern EventSubType nicht DomainInvite ist.
TargetUserEmail Optional String {E-Mail-Adresse} E-Mail-Adresse des Zielbenutzers.
Erforderlich, sofern EventSubType nicht DomainInvite ist (DSGVO).
TargetUserFirstName Optional String {Vorname} Vorname des Zielbenutzers.
TargetUserLastName Optional String {Nachname} Nachname des Zielbenutzers.
TargetUserRole Erforderlich Enumerated
  • Owner
  • Co-Owner
  • Administrator
  • Member
 Rolle des Zielbenutzers im Abonnement.
TargetUserNewRole Optional Enumerated
  • Owner
  • Co-Owner
  • Administrator
  • Member
 Neue Rolle des Zielbenutzers im Abonnement.
Erforderlich, wenn EventSubType RoleChange ist.
TargetUserPolicyId Optional String {uuid_v4} Eindeutiger Bezeichner der aktuellen Richtlinie des Zielbenutzers.
Erforderlich, wenn EventSubType PolicyAssign ist.
TargetUserPolicy Optional String {Name der bisherigen Richtlinie} Name der aktuellen Richtlinie des Zielbenutzers.
Erforderlich, wenn EventSubType PolicyAssign ist.
TargetUserNewPolicyId Optional String {uuid_v4} Eindeutiger Bezeichner der neuen Richtlinie des Zielbenutzers.
Erforderlich, wenn EventSubType PolicyAssign ist.
TargetUserNewPolicy Optional String {Name der neuen Richtlinie} Name der neuen Richtlinie des Zielbenutzers.
Erforderlich, wenn EventSubType PolicyAssign ist.
TargetDeviceName Optional String {Gerätename} Name des widerrufenen Geräts.
Erforderlich, wenn EventSubType DeviceRevoke ist.
TargetDeviceId Optional String {Gerätebezeichner} Eindeutiger Bezeichner des widerrufenen Geräts.
Erforderlich, wenn EventSubType DeviceRevoke ist.
TargetDeviceType Optional Enumerated
  • Web
  • NativeDesktop
  • NativeMobile
 Typ des widerrufenen Geräts.
Erforderlich, wenn EventSubType DeviceRevoke ist.
TargetDevicePlatform Optional Enumerated
  • Windows
  • macOS
  • Linux
  • iOS
  • Android
 Plattform des widerrufenen Geräts.
AdditionalFields Optional Dynamic Für jeden EventSubType definiert Siehe DomainUser-Management AdditionalFields.

DomainUserManagement AdditionalFields

Ereignistyp Ereignisuntertyp Bedingung Zusätzliche Felder
DomainUserManagement DataOwnershipTransfer Immer

SourceUserId: Eindeutiger Bezeichner des vorherigen Besitzers.

SourceUserRole: Rolle des vorherigen Besitzers.

SourceContainerId: Eindeutiger Bezeichner des übertragenen Containers.
DomainUserManagement TwoFactorOptionConfig Aktivierung oder Deaktivierung einer 2FA-Option

Action: EnableOption, DisableOption

Option: Totp, Sms, Voice, Email
War dieser Beitrag hilfreich?
1 von 1 fanden dies hilfreich

Verwandte Beiträge