Analisadores implantados na área de trabalho do Modelo Avançado de Informação de Segurança (ASIM)

Os analisadores do Modelo Avançado de Informação de Segurança (ASIM) implementados no espaço de trabalho são usados para apoiar o desenvolvimento e modificação dos analisadores ASIM.

Implementar analisadores de workspace

O ASIM também suporta a implementação de analisadores para espaços de trabalho específicos a partir do GitHub, utilizando um modelo ARM. Os analisadores implementados no espaço de trabalho são usados para o desenvolvimento e gestão de analisadores ASIM. Os parsers implementados no espaço de trabalho são funcionalmente equivalentes, mas têm convenções de nomeação ligeiramente diferentes, permitindo que ambos os conjuntos de parsers coexistam com parsers incorporados no mesmo espaço de trabalho do Microsoft Sentinel.

Recomenda-se o uso de parsers integrados ao desenvolver conteúdo ASIM. Os analisadores implementados no espaço de trabalho são tipicamente usados durante o processo de desenvolvimento do analisador ou para fornecer versões modificadas dos analisadores integrados, conforme descrito na gestão de analisadores

Utilizar analisadores de ambiente de trabalho

Ao usar analisadores de workspace nas suas consultas, o nome unificador do parser é im<schema>, onde <schema> representa o esquema específico que serve.

A tabela a seguir lista os analisadores unificadores disponíveis:

Gerenciar analisadores unificadores implantados no espaço de trabalho

Adicionar um analisador personalizado a um analisador unificador implantado no espaço de trabalho

Para adicionar um analisador personalizado, insira uma linha à union instrução no analisador unificador implantado no espaço de trabalho que faz referência ao novo analisador personalizado.

Certifique-se de adicionar um analisador personalizado de filtragem e um analisador personalizado sem parâmetros. A sintaxe da linha a ser adicionada é diferente para cada esquema:

Ao adicionar um analisador adicional a um analisador unificador, certifique-se de adicionar uma vírgula no final da linha anterior.

Por exemplo, o exemplo a seguir mostra o analisador unificador de filtragem DNS, depois de ter adicionado o personalizado added_parser:

  let Generic=(starttime:datetime=datetime(null), endtime:datetime=datetime(null) , srcipaddr:string='*' , domain_has_any:dynamic=dynamic([]) , responsecodename:string='*', response_has_ipv4:string='*' , response_has_any_prefix:dynamic=dynamic([]) , eventtype:string='lookup' ){
  let DisabledParsers=materialize(_GetWatchlist('ASimDisabledParsers') | where SearchKey in ('Any', 'imDns') | extend SourceSpecificParser=column_ifexists('SourceSpecificParser','') | distinct SourceSpecificParser);
  let imDnsBuiltInDisabled=toscalar('imDnsBuiltIn' in (DisabledParsers) or 'Any' in (DisabledParsers)); 
  union isfuzzy=true
      vimDnsEmpty
    , vimDnsCiscoUmbrella  ( starttime, endtime, srcipaddr, domain_has_any, responsecodename, response_has_ipv4, response_has_any_prefix, eventtype, (imDnsBuiltInDisabled or('vimDnsCiscoUmbrella'   in (DisabledParsers) )))
    , vimDnsInfobloxNIOS   ( starttime, endtime, srcipaddr, domain_has_any, responsecodename, response_has_ipv4, response_has_any_prefix, eventtype, (imDnsBuiltInDisabled or('vimDnsInfobloxNIOS'    in (DisabledParsers) )))
    ...
    , vimDnsAzureFirewall  ( starttime, endtime, srcipaddr, domain_has_any, responsecodename, response_has_ipv4, response_has_any_prefix, eventtype, (imDnsBuiltInDisabled or('vimDnsAzureFirewall'   in (DisabledParsers) )))
    , vimDnsMicrosoftNXlog ( starttime, endtime, srcipaddr, domain_has_any, responsecodename, response_has_ipv4, response_has_any_prefix, eventtype, (imDnsBuiltInDisabled or('vimDnsMicrosoftNXlog'  in (DisabledParsers) ))),
    added_parser ( starttime, endtime, srcipaddr, domain_has_any, responsecodename, response_has_ipv4, response_has_any_prefix, eventtype)
     };
  Generic( starttime, endtime, srcipaddr, domain_has_any, responsecodename, response_has_ipv4, response_has_any_prefix, eventtype)

Usar uma versão modificada de um analisador implantado no espaço de trabalho

Os usuários do Microsoft Sentinel podem modificar diretamente os analisadores implantados no espaço de trabalho. Crie um analisador com base no original, comente o original e adicione sua versão modificada ao analisador unificador implantado no espaço de trabalho.

Por exemplo, o código a seguir mostra um analisador unificador de filtragem DNS, tendo substituído o vimDnsAzureFirewall analisador por uma versão modificada:

  let Generic=(starttime:datetime=datetime(null), endtime:datetime=datetime(null) , srcipaddr:string='*' , domain_has_any:dynamic=dynamic([]) , responsecodename:string='*', response_has_ipv4:string='*' , response_has_any_prefix:dynamic=dynamic([]) , eventtype:string='lookup' ){
  let DisabledParsers=materialize(_GetWatchlist('ASimDisabledParsers') | where SearchKey in ('Any', 'imDns') | extend SourceSpecificParser=column_ifexists('SourceSpecificParser','') | distinct SourceSpecificParser);
  let imDnsBuiltInDisabled=toscalar('imDnsBuiltIn' in (DisabledParsers) or 'Any' in (DisabledParsers)); 
  union isfuzzy=true
      vimDnsEmpty
    , vimDnsCiscoUmbrella  ( starttime, endtime, srcipaddr, domain_has_any, responsecodename, response_has_ipv4, response_has_any_prefix, eventtype, (imDnsBuiltInDisabled or('vimDnsCiscoUmbrella'   in (DisabledParsers) )))
    , vimDnsInfobloxNIOS   ( starttime, endtime, srcipaddr, domain_has_any, responsecodename, response_has_ipv4, response_has_any_prefix, eventtype, (imDnsBuiltInDisabled or('vimDnsInfobloxNIOS'    in (DisabledParsers) )))
    ...
    // , vimDnsAzureFirewall  ( starttime, endtime, srcipaddr, domain_has_any, responsecodename, response_has_ipv4, response_has_any_prefix, eventtype, (imDnsBuiltInDisabled or('vimDnsAzureFirewall'   in (DisabledParsers) )))
    , vimDnsMicrosoftNXlog ( starttime, endtime, srcipaddr, domain_has_any, responsecodename, response_has_ipv4, response_has_any_prefix, eventtype, (imDnsBuiltInDisabled or('vimDnsMicrosoftNXlog'  in (DisabledParsers) ))),
    modified_vimDnsAzureFirewall ( starttime, endtime, srcipaddr, domain_has_any, responsecodename, response_has_ipv4, response_has_any_prefix, eventtype)
     };
  Generic( starttime, endtime, srcipaddr, domain_has_any, responsecodename, response_has_ipv4, response_has_any_prefix, eventtype)

Conteúdo relacionado

Para obter mais informações, consulte:

• Visão geral dos analisadores ASIM
• Gerenciar analisadores ASIM
• Desenvolver analisadores ASIM personalizados