Parsery wdrożone w przestrzeni roboczej zaawansowanego modelu informacji o zabezpieczeniach (ASIM)

Analizatory Modelu Informacji o Zaawansowanym Bezpieczeństwie (ASIM) wdrożone w środowisku pracy są używane do rozwijania i modyfikowania analizatorów ASIM.

Wdrażanie analizatorów obszarów roboczych

Usługa ASIM obsługuje również wdrażanie parserów do określonych obszarów roboczych z GitHub, przy użyciu szablonu ARM. Analizatory wdrożone w przestrzeni roboczej są używane do tworzenia i zarządzania analizatorami ASIM. Analizatory wdrożone w obszarze roboczym są funkcjonalnie równoważne, ale mają nieco inne konwencje nazewnictwa, umożliwiając współistnienie obu zestawów analizatorów z wbudowanymi analizatorami w tym samym obszarze roboczym usługi Microsoft Sentinel.

Zaleca się używanie wbudowanych analizatorów podczas tworzenia zawartości ASIM. Analizatory wdrożone w obszarze roboczym są zwykle używane podczas procesu tworzenia analizatora lub do udostępniania zmodyfikowanych wersji wbudowanych analizatorów zgodnie z opisem w temacie zarządzanie analizatorami

Użyj analizatorów obszarów roboczych

W przypadku korzystania z analizatorów obszarów roboczych w zapytaniach jednocząca nazwa analizatora to im<schema>, gdzie <schema> oznacza określony schemat, który obsługuje.

W poniższej tabeli wymieniono dostępne analizatory ujednolicania:

Zarządzanie analizatorami ujednolicania wdrożonych w obszarze roboczym

Dodawanie analizatora niestandardowego do modułu ujednolicania wdrożonego w obszarze roboczym

Aby dodać analizator niestandardowy, wstaw wiersz do instrukcji w module ujednolicania wdrożonym w obszarze roboczym, który odwołuje się do union nowego analizatora niestandardowego.

Pamiętaj, aby dodać zarówno analizator niestandardowy filtrowania, jak i analizator niestandardowy bez parametrów. Składnia wiersza do dodania jest inna dla każdego schematu:

Podczas dodawania dodatkowego analizatora do analizatora ujednolicania upewnij się, że na końcu poprzedniego wiersza dodano przecinek.

Na przykład w poniższym przykładzie pokazano filtrowanie DNS ujednolicające analizator, po dodaniu niestandardowego added_parserelementu :

  let Generic=(starttime:datetime=datetime(null), endtime:datetime=datetime(null) , srcipaddr:string='*' , domain_has_any:dynamic=dynamic([]) , responsecodename:string='*', response_has_ipv4:string='*' , response_has_any_prefix:dynamic=dynamic([]) , eventtype:string='lookup' ){
  let DisabledParsers=materialize(_GetWatchlist('ASimDisabledParsers') | where SearchKey in ('Any', 'imDns') | extend SourceSpecificParser=column_ifexists('SourceSpecificParser','') | distinct SourceSpecificParser);
  let imDnsBuiltInDisabled=toscalar('imDnsBuiltIn' in (DisabledParsers) or 'Any' in (DisabledParsers)); 
  union isfuzzy=true
      vimDnsEmpty
    , vimDnsCiscoUmbrella  ( starttime, endtime, srcipaddr, domain_has_any, responsecodename, response_has_ipv4, response_has_any_prefix, eventtype, (imDnsBuiltInDisabled or('vimDnsCiscoUmbrella'   in (DisabledParsers) )))
    , vimDnsInfobloxNIOS   ( starttime, endtime, srcipaddr, domain_has_any, responsecodename, response_has_ipv4, response_has_any_prefix, eventtype, (imDnsBuiltInDisabled or('vimDnsInfobloxNIOS'    in (DisabledParsers) )))
    ...
    , vimDnsAzureFirewall  ( starttime, endtime, srcipaddr, domain_has_any, responsecodename, response_has_ipv4, response_has_any_prefix, eventtype, (imDnsBuiltInDisabled or('vimDnsAzureFirewall'   in (DisabledParsers) )))
    , vimDnsMicrosoftNXlog ( starttime, endtime, srcipaddr, domain_has_any, responsecodename, response_has_ipv4, response_has_any_prefix, eventtype, (imDnsBuiltInDisabled or('vimDnsMicrosoftNXlog'  in (DisabledParsers) ))),
    added_parser ( starttime, endtime, srcipaddr, domain_has_any, responsecodename, response_has_ipv4, response_has_any_prefix, eventtype)
     };
  Generic( starttime, endtime, srcipaddr, domain_has_any, responsecodename, response_has_ipv4, response_has_any_prefix, eventtype)

Używanie zmodyfikowanej wersji analizatora wdrożonego w obszarze roboczym

Użytkownicy usługi Microsoft Sentinel mogą bezpośrednio modyfikować analizatory wdrożone w obszarze roboczym. Utwórz analizator na podstawie oryginalnego elementu, oznacz jako komentarz oryginalny, a następnie dodaj zmodyfikowaną wersję do modułu ujednolicania wdrożonego w obszarze roboczym.

Na przykład poniższy kod przedstawia filtrowanie DNS jednoczący analizator, po zastąpieniu vimDnsAzureFirewall analizatora zmodyfikowaną wersją:

  let Generic=(starttime:datetime=datetime(null), endtime:datetime=datetime(null) , srcipaddr:string='*' , domain_has_any:dynamic=dynamic([]) , responsecodename:string='*', response_has_ipv4:string='*' , response_has_any_prefix:dynamic=dynamic([]) , eventtype:string='lookup' ){
  let DisabledParsers=materialize(_GetWatchlist('ASimDisabledParsers') | where SearchKey in ('Any', 'imDns') | extend SourceSpecificParser=column_ifexists('SourceSpecificParser','') | distinct SourceSpecificParser);
  let imDnsBuiltInDisabled=toscalar('imDnsBuiltIn' in (DisabledParsers) or 'Any' in (DisabledParsers)); 
  union isfuzzy=true
      vimDnsEmpty
    , vimDnsCiscoUmbrella  ( starttime, endtime, srcipaddr, domain_has_any, responsecodename, response_has_ipv4, response_has_any_prefix, eventtype, (imDnsBuiltInDisabled or('vimDnsCiscoUmbrella'   in (DisabledParsers) )))
    , vimDnsInfobloxNIOS   ( starttime, endtime, srcipaddr, domain_has_any, responsecodename, response_has_ipv4, response_has_any_prefix, eventtype, (imDnsBuiltInDisabled or('vimDnsInfobloxNIOS'    in (DisabledParsers) )))
    ...
    // , vimDnsAzureFirewall  ( starttime, endtime, srcipaddr, domain_has_any, responsecodename, response_has_ipv4, response_has_any_prefix, eventtype, (imDnsBuiltInDisabled or('vimDnsAzureFirewall'   in (DisabledParsers) )))
    , vimDnsMicrosoftNXlog ( starttime, endtime, srcipaddr, domain_has_any, responsecodename, response_has_ipv4, response_has_any_prefix, eventtype, (imDnsBuiltInDisabled or('vimDnsMicrosoftNXlog'  in (DisabledParsers) ))),
    modified_vimDnsAzureFirewall ( starttime, endtime, srcipaddr, domain_has_any, responsecodename, response_has_ipv4, response_has_any_prefix, eventtype)
     };
  Generic( starttime, endtime, srcipaddr, domain_has_any, responsecodename, response_has_ipv4, response_has_any_prefix, eventtype)

Treści powiązane

Aby uzyskać więcej informacji, zobacz:

• Omówienie analizatorów ASIM
• Zarządzanie analizatorami ASIM
• Opracowywanie niestandardowych analizatorów ASIM