Analisadores implementados na área de trabalho do Modelo de Informação de Segurança Avançada (ASIM)

Os analisadores do Modelo de Informação de Segurança Avançada (ASIM) implementados na área de trabalho são utilizados para suportar o desenvolvimento e a modificação de analisadores ASIM.

Implementar analisadores de áreas de trabalho

O ASIM também suporta a implementação de analisadores em áreas de trabalho específicas a partir do GitHub, através de um modelo do ARM. Os parsers implementados na área de trabalho são utilizados para o desenvolvimento e gestão do analisador ASIM. Os parsers implementados na área de trabalho são funcionalmente equivalentes, mas têm convenções de nomenclatura ligeiramente diferentes, permitindo que ambos os conjuntos de analisador coexistam com analisadores incorporados na mesma área de trabalho Microsoft Sentinel.

Recomenda-se a utilização de analisadores incorporados ao desenvolver conteúdo ASIM. Os parsers implementados na área de trabalho são normalmente utilizados durante o processo de desenvolvimento do analisador ou para fornecer versões modificadas de analisadores incorporados, conforme descrito na gestão de parsers

Utilizar analisadores de áreas de trabalho

Ao utilizar analisadores de áreas de trabalho nas consultas, o nome unificador do analisador é im<schema>, onde <schema> significa o esquema específico que serve.

A tabela seguinte lista os analisadores unificadores unificadores disponíveis:

Gerir analisadores unificadores unificadores implementados na área de trabalho

Adicionar um analisador personalizado a um analisador unificador implementado na área de trabalho

Para adicionar um analisador personalizado, insira uma linha na union instrução no analisador unificador implementado na área de trabalho que referencia o novo analisador personalizado.

Certifique-se de que adiciona um analisador personalizado de filtragem e um analisador personalizado sem parâmetros. A sintaxe da linha a adicionar é diferente para cada esquema:

Ao adicionar um analisador adicional a um analisador unificador, certifique-se de que adiciona uma vírgula no final da linha anterior.

Por exemplo, o exemplo seguinte mostra o analisador unificador da filtragem de DNS depois de ter adicionado o :added_parser

  let Generic=(starttime:datetime=datetime(null), endtime:datetime=datetime(null) , srcipaddr:string='*' , domain_has_any:dynamic=dynamic([]) , responsecodename:string='*', response_has_ipv4:string='*' , response_has_any_prefix:dynamic=dynamic([]) , eventtype:string='lookup' ){
  let DisabledParsers=materialize(_GetWatchlist('ASimDisabledParsers') | where SearchKey in ('Any', 'imDns') | extend SourceSpecificParser=column_ifexists('SourceSpecificParser','') | distinct SourceSpecificParser);
  let imDnsBuiltInDisabled=toscalar('imDnsBuiltIn' in (DisabledParsers) or 'Any' in (DisabledParsers)); 
  union isfuzzy=true
      vimDnsEmpty
    , vimDnsCiscoUmbrella  ( starttime, endtime, srcipaddr, domain_has_any, responsecodename, response_has_ipv4, response_has_any_prefix, eventtype, (imDnsBuiltInDisabled or('vimDnsCiscoUmbrella'   in (DisabledParsers) )))
    , vimDnsInfobloxNIOS   ( starttime, endtime, srcipaddr, domain_has_any, responsecodename, response_has_ipv4, response_has_any_prefix, eventtype, (imDnsBuiltInDisabled or('vimDnsInfobloxNIOS'    in (DisabledParsers) )))
    ...
    , vimDnsAzureFirewall  ( starttime, endtime, srcipaddr, domain_has_any, responsecodename, response_has_ipv4, response_has_any_prefix, eventtype, (imDnsBuiltInDisabled or('vimDnsAzureFirewall'   in (DisabledParsers) )))
    , vimDnsMicrosoftNXlog ( starttime, endtime, srcipaddr, domain_has_any, responsecodename, response_has_ipv4, response_has_any_prefix, eventtype, (imDnsBuiltInDisabled or('vimDnsMicrosoftNXlog'  in (DisabledParsers) ))),
    added_parser ( starttime, endtime, srcipaddr, domain_has_any, responsecodename, response_has_ipv4, response_has_any_prefix, eventtype)
     };
  Generic( starttime, endtime, srcipaddr, domain_has_any, responsecodename, response_has_ipv4, response_has_any_prefix, eventtype)

Utilizar uma versão modificada de um analisador implementado na área de trabalho

Microsoft Sentinel utilizadores podem modificar diretamente os analisadores implementados na área de trabalho. Crie um analisador com base no original, comente o original e, em seguida, adicione a sua versão modificada ao analisador unificador implementado na área de trabalho.

Por exemplo, o código seguinte mostra um analisador unificador unificador de filtragem DNS, tendo substituído o vimDnsAzureFirewall analisador por uma versão modificada:

  let Generic=(starttime:datetime=datetime(null), endtime:datetime=datetime(null) , srcipaddr:string='*' , domain_has_any:dynamic=dynamic([]) , responsecodename:string='*', response_has_ipv4:string='*' , response_has_any_prefix:dynamic=dynamic([]) , eventtype:string='lookup' ){
  let DisabledParsers=materialize(_GetWatchlist('ASimDisabledParsers') | where SearchKey in ('Any', 'imDns') | extend SourceSpecificParser=column_ifexists('SourceSpecificParser','') | distinct SourceSpecificParser);
  let imDnsBuiltInDisabled=toscalar('imDnsBuiltIn' in (DisabledParsers) or 'Any' in (DisabledParsers)); 
  union isfuzzy=true
      vimDnsEmpty
    , vimDnsCiscoUmbrella  ( starttime, endtime, srcipaddr, domain_has_any, responsecodename, response_has_ipv4, response_has_any_prefix, eventtype, (imDnsBuiltInDisabled or('vimDnsCiscoUmbrella'   in (DisabledParsers) )))
    , vimDnsInfobloxNIOS   ( starttime, endtime, srcipaddr, domain_has_any, responsecodename, response_has_ipv4, response_has_any_prefix, eventtype, (imDnsBuiltInDisabled or('vimDnsInfobloxNIOS'    in (DisabledParsers) )))
    ...
    // , vimDnsAzureFirewall  ( starttime, endtime, srcipaddr, domain_has_any, responsecodename, response_has_ipv4, response_has_any_prefix, eventtype, (imDnsBuiltInDisabled or('vimDnsAzureFirewall'   in (DisabledParsers) )))
    , vimDnsMicrosoftNXlog ( starttime, endtime, srcipaddr, domain_has_any, responsecodename, response_has_ipv4, response_has_any_prefix, eventtype, (imDnsBuiltInDisabled or('vimDnsMicrosoftNXlog'  in (DisabledParsers) ))),
    modified_vimDnsAzureFirewall ( starttime, endtime, srcipaddr, domain_has_any, responsecodename, response_has_ipv4, response_has_any_prefix, eventtype)
     };
  Generic( starttime, endtime, srcipaddr, domain_has_any, responsecodename, response_has_ipv4, response_has_any_prefix, eventtype)

Conteúdos relacionados

Para mais informações, consulte:

• Descrição geral dos analisadores do ASIM
• Gerir analisadores asim
• Desenvolver analisadores ASIM personalizados