Champs et définitions des métadonnées réseau

Cette page fournit une référence structurée des champs de métadonnées de sécurité réseau utilisés sur laplateforme Vectra AI . Elle définit les attributs de schéma communs, les champs de connectivité au niveau de la couche session, la télémétrie spécifique aux protocoles (DNS, HTTP, SMB, LDAP, etc.), les métadonnées d'authentification (Kerberos, NTLM, RADIUS), les attributs de correspondance au niveau de la couche de détection, ainsi que les empreintes de communications chiffrées (SSL/TLS, SSH, X.509). Ces flux de métadonnées normalisés permettent l'analyse comportementale, la corrélation inter-domaines et la visibilité du trafic chiffré sans nécessiter de capture complète des paquets. Ensemble, ils constituent la base d'une observabilité réseau évolutive et d'enquêtes de sécurité dans les environnements d'entreprise hybrides.

Ces flux de métadonnées normalisés facilitent la recherche de menaces, l'enrichissement des métadonnées et l'analyse forensic des métadonnées en permettant l'analyse comportementale, la corrélation interdomaines et la visibilité du trafic chiffré, sans nécessiter de capture complète des paquets. Ensemble, ils constituent la base d'une observabilité et d'une analyse réseau évolutives dans les environnements d'entreprise hybrides.

Champs de métadonnées réseau communs à tous les flux de télémétrie (à l'exception du DHCP)

Ces champs apparaissent dans presque tous les flux de métadonnées et définissent le schéma de connexion commun utilisé pour tous les types de métadonnées. Ils contiennent les identifiants de l'origine et du répondeur, les ports, les noms d'hôte, les indicateurs de localisation, les attributs des capteurs, les horodatages et un identifiant unique de connexion (UID) stable.

Considérez ces champs comme des clés de jointure de référence. Ils servent de point d'ancrage aux workflows d'enrichissement des métadonnées en permettant de relier les enregistrements relatifs au protocole, à l'authentification et à la détection à une même session et à une même entité. Dans le cadre de la recherche de menaces et de l'analyse forensic des métadonnées, cette cohérence permet d'effectuer des pivots fiables entre les différentes couches de télémétrie.

La plupart des tables de protocole qui suivent reprennent ce schéma tout en héritant de ce contexte commun. Cela permet de préserver l'intégrité de l'attribution et la continuité de la session entre les flux de métadonnées du réseau.

Champs de métadonnées des balises et modèles de communication comportementale

Les métadonnées de balise décrivent les communications répétées entre une source et une destination au cours de plusieurs sessions. Les champs ci-dessous renseignent l'identifiant de la balise, les limites temporelles, le nombre de sessions, le volume de données par direction, le contexte du protocole/service et l'empreinte du client utilisés pour résumer le schéma.

L'analyse des balises est fréquemment utilisée dans la recherche de menaces pour identifier les rappels de commande et de contrôle, les boucles d'automatisation et les communications sortantes persistantes. Plutôt que d'inspecter les paquets, les analystes s'appuient sur des types de métadonnées qui décrivent la périodicité et la cohérence.

Utilisez ces champs pour évaluer la durée, la fréquence et le volume directionnel. Passez ensuite aux métadonnées DNS, HTTP ou SSL/TLS pour obtenir un contexte comportemental plus détaillé lors de l'analyse forensique des métadonnées.

Cessez de chercher à savoir « ce qui » se cache derrière les détections réseau

Le signalement n'est qu'un indicateur comportemental parmi d'autres. Lorsque des métadonnées réseau suspectes sont détectées, les analystes doivent encore déterminer quel endpoint ou quelle identité endpoint en est à l'origine. Sans ce lien, les enquêtes s'enlisent.

Voir la corrélation entre endpoint

Champs de métadonnées DCE-RPC et attributs des appels de procédure à distance

Les métadonnées DCE-RPC enregistrent le comportement des appels de procédure à distance généralement associés à l'administration Windows et à l'interaction entre les services. Ces champs contiennent des informations sur le contexte du domaine, endpoint , les opérations invoquées, l'attribution des noms d'utilisateur et la chronologie des requêtes et des réponses.

Dans le cadre de la recherche de menaces, les métadonnées DCE-RPC permettent de mettre en évidence des séquences d'exécution à distance anormales et des schémas d'utilisation des privilèges sans avoir recours endpoint .

Utilisez les noms des opérations et le contexte (nom d'utilisateur/hôte) pour distinguer les tâches administratives courantes des activités de déplacement latéral lors de l'analyse des métadonnées.

Champs de métadonnées DHCP et attributs de configuration réseau

Les métadonnées DHCP enregistrent les attributions dynamiques d'adresses et de configurations qui permettent d'intégrer les appareils au réseau. Ces types de métadonnées associent les adresses IP attribuées aux adresses MAC et aux noms d'hôte, tout en enregistrant la durée du bail et l'attribution des serveurs DHCP/DNS.

Étant donné que la rotation des adresses IP complique les enquêtes, les enregistrements DHCP fournissent des métadonnées essentielles pour assurer la continuité de l'attribution.

Utilisez les champs DHCP pour stabiliser les enquêtes en cas de changement d'adresse IP, en ancrant l'identité aux attributs propres à chaque appareil plutôt qu'à un adressage éphémère.

Champs de métadonnées DNS et attributs de réponse aux requêtes

Les métadonnées DNS reflètent le comportement de la résolution de domaine, notamment l'intention de la requête, la gestion de la récursivité, les codes de réponse, les indicateurs de troncature, les valeurs TTL et le nombre d'enregistrements.

Les métadonnées du réseau DNS jouent un rôle central dans la recherche de menaces, car elles permettent de mettre au jour les infrastructures de relais, les changements de domaine, les opérations de reconnaissance et les tentatives de rappel infructueuses, sans qu'il soit nécessaire d'inspecter la charge utile.

Les métadonnées DNS permettent de visualiser :

• Quels domaines ont fait l'objet d'une requête et par qui ?
  
• Si la récursivité a été demandée ou si elle était disponible
  
• Comment les réponses faisant autorité ont été fournies
  
• Quels codes de réponse et quelles valeurs TTL ont été observés ?

Utilisez l'analyse des métadonnées DNS pour déterminer l'intention et le résultat, identifier les requêtes effectuées et les réponses obtenues, et déterminer si la résolution a échoué, puis passez aux métadonnées TLS ou HTTP pour approfondir l'analyse.

Champs de métadonnées HTTP et attributs de session Web

Les métadonnées HTTP résument le comportement de la couche Web sans stocker l'intégralité des données. Ces champs enregistrent le contexte dérivé des en-têtes, les méthodes, les URI, les indicateurs de transfert par proxy, les attributs d'empreinte numérique et les mesures directionnelles relatives aux octets et aux paquets.

Dans le cadre des analyses des métadonnées réseau, les champs HTTP fournissent un contexte au niveau de la couche applicative pour la recherche de menaces, notamment en ce qui concerne les transferts de fichiers suspects, les rappels automatisés et les structures d'en-tête anormales.

Utilisez les métadonnées HTTP pour reconstituer le comportement Web, puis établissez des corrélations avec les métadonnées DNS et TLS afin de confirmer l'identité de la destination et les caractéristiques de chiffrement.

Métadonnées de connectivité iSession et attributs réseau au niveau de la session

Les métadonnées iSession définissent le modèle de session normalisé utilisé dans tous les protocoles. Elles enregistrent l'état de la connexion, le degré de certitude quant à la direction, les marqueurs temporels, les variantes d'empreinte digitale, le contexte VLAN et le nombre d'octets/paquets par direction.

Cette abstraction au niveau de la couche de session permet un enrichissement évolutif des métadonnées en normalisant la manière dont celles-ci sont représentées, quel que soit le protocole utilisé.

Considérez iSession comme l'épine dorsale de la recherche de menaces. Il assure une continuité stable des sessions à travers les différents types de métadonnées liés aux protocoles, à l'authentification et à la détection.

Valeurs de l'état de connexion et indicateurs du cycle de vie des sessions TCP

Les valeurs d'état de connexion indiquent comment une session a évolué : établie, rejetée, réinitialisée, semi-ouverte ou incomplète. Ces indicateurs sont des métadonnées comportementales qui révèlent des activités de balayage, de sondage, des communications instables ou des sessions interrompues.

Utilisez les états du cycle de vie ainsi que les champs relatifs au moment et au volume pour hiérarchiser les schémas de reconnaissance lors de l'analyse des métadonnées.

Champs de métadonnées Kerberos et attributs des tickets d'authentification

Les métadonnées Kerberos enregistrent la délivrance des tickets, le type d'authentification, l'évaluation des privilèges, la négociation du chiffrement et les états de réussite ou d'échec. Ces types de métadonnées au niveau de l'identité sont essentiels pour détecter l'utilisation abusive des identifiants et l'escalade des privilèges.

Les métadonnées Kerberos permettent de visualiser :

• Niveaux de privilèges des comptes et des services (faible, moyen, élevé)
  
• Types de demandes et de réponses de ticket (AS, TGT)
  
• Utilisation et négociation des algorithmes de chiffrement
  
• Conditions de réussite et d'échec de l'authentification

Utilisez les catégories de privilèges et les types de requêtes pour concentrer la recherche de menaces sur les comptes et les services à fort impact, puis exploitez les données LDAP ou la télémétrie de session à des fins de validation.

Champs de métadonnées LDAP et attributs de requête d'annuaire

Les métadonnées LDAP fournissent un aperçu des opérations de recherche et de connexion au répertoire, notamment la portée des requêtes, la sélection des attributs, le nombre de résultats et les conditions d'erreur.

L'analyse des métadonnées des répertoires s'avère particulièrement utile pour identifier les tentatives d'énumération précédant les abus d'authentification.

Utilisez le volume des résultats et les schémas d'erreurs pour distinguer les recherches courantes des découvertes à grande échelle dans le cadre des processus de recherche de menaces.

Match les champs Match et les attributs des signatures d'alerte

Match correspondent à des résultats de détection évalués plutôt qu'à des données télémétriques brutes. Ces types de métadonnées décrivent l'identité de la signature, son niveau de gravité, son état de révision, son champ d'application et le contexte du paquet.

Cette couche reflète la manière dont les métadonnées du réseau ont été interprétées par la logique de détection.

Utilisez les métadonnées de correspondance pour comprendre pourquoi une détection s'est déclenchée, puis examinez les métadonnées du protocole et de la session sous-jacentes pour obtenir une reconstitution complète.

Champs de métadonnées NTLM et attributs de réponse d'authentification

Les métadonnées NTLM enregistrent les tentatives d'authentification et leurs résultats, notamment l'hôte, le domaine, le nom d'utilisateur, le code d'état et le statut de réussite.

Dans les environnements où le protocole NTLM reste actif, ces types de métadonnées sont essentiels pour détecter les abus liés à l'authentification de secours.

Utilisez les échecs répétés ou les schémas de réussite anormaux comme indices pour la recherche de menaces, puis établissez des corrélations avec les métadonnées SMB ou RDP.

Champs de métadonnées RDP et attributs des sessions de bureau à distance

Les métadonnées RDP enregistrent les attributs des sessions à distance interactives, notamment l'identité du client, la version, les caractéristiques d'affichage et les indicateurs de chiffrement.

Ces types de métadonnées permettent d'analyser les habitudes d'accès administratif sans avoir à déchiffrer le contenu.

Définir les schémas d'accès à distance attendus et signaler les écarts lors de l'analyse forensic des métadonnées.

Champs de métadonnées RADIUS et attributs de comptabilité d'authentification

Les enregistrements de métadonnées RADIUS consignent les opérations d'authentification et de comptabilisation liées au contrôle d'accès, notamment les identifiants de session, la durée, les compteurs de paquets et d'octets, l'adressage et les marqueurs de politique.

Ces types de métadonnées réseau permettent de retracer les chemins d'accès à distance via des systèmes VPN, NAC ou sans fil.

Utilisez les champs de contexte comptables et NAS pour vérifier la portée et la durée de l'accès avant de passer à l'analyse des activités SMB ou RDP.

Champs de métadonnées RADIUS étendus et attributs de contrôle d'accès au réseau

Les métadonnées RADIUS étendues fournissent des informations supplémentaires sur les périphériques et le contexte d'application : identifiants et ports NAS, délais d'expiration des sessions et des périodes d'inactivité, points d'extrémité du tunnel, indicateurs de source externe, délais de réponse, ainsi que la présence ou non de champs sensibles (tels que les mots de passe). Ces champs permettent de mieux comprendre comment les décisions d'accès ont été mises en œuvre.

Utilisez le NAS et le contexte du tunnel pour déterminer précisément où l'accès a été accordé, quel service a été sollicité et combien de temps il a duré ; cela s'avère particulièrement utile pour retracer les chemins d'accès à distance vers les activités SMB/RDP internes.

Champs de métadonnées des fichiers SMB et attributs des opérations sur les fichiers

Les métadonnées des fichiers SMB enregistrent les opérations au niveau des fichiers, notamment la création, le renommage, le comportement de suppression à la fermeture, le contexte du chemin d'accès, la version SMB et l'attribution à l'utilisateur.

Ces types de métadonnées sont essentiels pour les enquêtes sur les ransomwares et la propagation latérale.

Utilisez les actions sur les fichiers et les modèles de renommage pour identifier les comportements malveillants lors de la recherche de menaces.

Mappage des champs de métadonnées SMB et des attributs de connexion partagée

Les métadonnées de mappage SMB enregistrent les connexions de l'arborescence et les accès aux partages avant toute interaction avec les fichiers.

Cette couche permet d'enrichir les métadonnées en associant l'identité de l'utilisateur au contexte d'accès partagé.

Utilisez les événements de mappage pour établir la lignée d'accès avant d'analyser les opérations au niveau des fichiers.

Champs de métadonnées SMTP et attributs d'en-tête des e-mails

Les métadonnées SMTP enregistrent les attributs des en-têtes de courrier électronique et les résultats d'authentification, notamment les protocoles SPF, DKIM et DMARC, l'utilisation du protocole TLS et l'adresse IP d'origine. Les métadonnées réseau liées aux e-mails facilitent la recherche de menaces visant phishing et les comportements d'expéditeurs usurpés.

Utiliser les résultats de l'authentification et les métadonnées de la chaîne de relais pour vérifier de manière approfondie la légitimité de l'expéditeur.

Champs de métadonnées SSH et attributs de négociation de session chiffrée

Les métadonnées SSH enregistrent les détails de la négociation, notamment les versions client/serveur, l'échange de clés, le choix de l'algorithme de chiffrement, l'algorithme MAC et les hachages d'empreinte digitale. Ces types de métadonnées permettent d'identifier l'utilisation d'outils d'administration inhabituels et les comportements non autorisés des shells distants.

Utilisez les champs « algorithme » et « empreinte digitale » pour établir une base de référence des outils d'administration attendus et identifier les clients ou les schémas de négociation inhabituels, puis examinez les données de connectivité de la session afin de déterminer la durée, la direction et le volume de cette même session SSH.

Champs de métadonnées SSL/TLS et attributs de session chiffrée

Les métadonnées SSL/TLS enregistrent les caractéristiques de la négociation de la poignée de main et de l'échange de certificats pour les sessions chiffrées. Les champs ci-dessous comprennent les versions de protocole, la suite de chiffrement choisie, les paramètres de courbe, les extensions client/serveur, les identifiants de l'émetteur et du sujet, le SNI et les empreintes JA3/JA4, ainsi que l'état de l'établissement de la connexion.

Utilisez les empreintes TLS et le contexte SNI/certificat pour identifier les implémentations client/serveur et l'identité de la destination, puis passez au format X.509 pour examiner les propriétés du certificat et la couverture SAN afin d'effectuer une analyse de confiance plus approfondie.

Champs de métadonnées des certificats X.509 et attributs des certificats numériques

Les métadonnées X.509 enregistrent l'identité du certificat et ses caractéristiques de confiance, notamment la composition du sujet et de l'émetteur, les périodes de validité, les valeurs SAN, la longueur de clé, l'algorithme de signature et l'empreinte JA4X. Ces types de métadonnées permettent l'analyse forensic des métadonnées de certificats et la détection d'infrastructures suspectes.

Utilisez les attributs X.509 pour évaluer le niveau de confiance et les schémas de réutilisation, puis établissez des corrélations avec les métadonnées TLS et DNS afin de compléter la chaîne d'investigation.