Microsoft Sentinel 中的正規化安全性內容包括分析規則、搜捕查詢，以及搭配統一正規化剖析器使用的活頁簿。
您可以在 Microsoft Sentinel 資源庫和解決方案中找到正規化的現成內容，建立您自己的正規化內容，或是修改現有的自訂內容以使用正規化資料。
本文說明如何轉換現有的 Microsoft Sentinel 分析規則，以使用正規化資料搭配進階安全性資訊模型 (ASIM)。
若要了解正規化內容如何放入 ASIM 架構，請參閱 ASIM 架構圖。
提示
另請觀看有關 Microsoft Sentinel 正規化剖析器和正規化內容的深入探討網路研討會，或檢閱投影片。 如需詳細資訊，請參閱後續步驟。
修改自訂內容以利用正規化
若要讓您的自訂 Microsoft Sentinel 內容能夠利用正規化：
分析規則的正規化範例
例如，請設想觀察到具有高反向 DNS 對應計數的罕見用戶端 DNS 分析規則，此規則適用於由 Infoblox DNS 伺服器傳送的 DNS 事件：
let threshold = 200;
InfobloxNIOS
| where ProcessName =~ "named" and Log_Type =~ "client"
| where isnotempty(ResponseCode)
| where ResponseCode =~ "NXDOMAIN"
| summarize count() by Client_IP, bin(TimeGenerated,15m)
| where count_ > threshold
| join kind=inner (InfobloxNIOS
| where ProcessName =~ "named" and Log_Type =~ "client"
| where isnotempty(ResponseCode)
| where ResponseCode =~ "NXDOMAIN"
) on Client_IP
| extend timestamp = TimeGenerated, IPCustomEntity = Client_IP
下列程式碼是來源無從驗證的版本，此程式碼利用正規化對提供 DNS 查詢事件的任何來源提供相同的偵測。 下列範例使用內建 ASIM 剖析器：
_Im_Dns(responsecodename='NXDOMAIN')
| summarize count() by SrcIpAddr, bin(TimeGenerated,15m)
| where count_ > threshold
| join kind=inner (imDns(responsecodename='NXDOMAIN')) on SrcIpAddr
| extend timestamp = TimeGenerated, IPCustomEntity = SrcIpAddr
正規化、來源無從驗證的版本有下列差異：
使用
_Im_Dns或imDns正規化剖析器，而不使用 Infoblox 剖析器。標準化剖析器只會擷取 DNS 查詢事件，因此不需要像 Infoblox 版本中
where ProcessName =~ "named" and Log_Type =~ "client"所執行的一樣，檢查事件種類。使用
SrcIpAddr欄位，而不使用Client_IP。ResponseCodeName 使用剖析器參數篩選，免除必須使用明確的
where子句。
注意
除了支援任何正規化 DNS 來源之外，正規化版本也較短且更容易了解。
如果結構描述或剖析器不支援篩選參數，則除了篩選條件會與原始查詢分開保留之外，變更很類似。 例如：
let threshold = 200;
imDns
| where isnotempty(ResponseCodeName)
| where ResponseCodeName =~ "NXDOMAIN"
| summarize count() by SrcIpAddr, bin(TimeGenerated,15m)
| where count_ > threshold
| join kind=inner (imDns
| where isnotempty(ResponseCodeName)
| where ResponseCodeName =~ "NXDOMAIN"
) on SrcIpAddr
| extend timestamp = TimeGenerated, IPCustomEntity = SrcIpAddr
如需上述範例中使用的下列專案詳細資訊，請參閱 Kusto 檔：
如需 KQL 的詳細資訊，請參閱 Kusto 查詢語言 （KQL） 概觀。
其他資源：
下一步
本文討論進階安全性資訊模型 (ASIM) 內容。
如需詳細資訊，請參閱