Управление средствами синтаксического анализа расширенной информационной модели безопасности (ASIM)

Пользователи расширенной информационной модели безопасности (ASIM) используют унифицированные средства синтаксического анализа вместо имен таблиц в своих запросах для просмотра данных в нормализованном формате и получения всех данных, относящихся к схеме, в одном запросе. Каждое унифицирующее средство синтаксического анализа использует несколько анализаторов, зависящих от источника, которые обрабатывают конкретные сведения о каждом источнике.

Чтобы понять, как средства синтаксического анализа вписываются в архитектуру ASIM, см. схему архитектуры ASIM.

Вам может потребоваться управлять средствами синтаксического анализа для конкретного источника, используемыми каждым унифицированным анализатором, чтобы:

  • Добавьте пользовательское средство синтаксического анализа для конкретного источника в унифицированный синтаксический анализатор.

  • Замените встроенное средство синтаксического анализа, зависящее от источника , которое используется объединяющим анализатором, пользовательским анализатором, зависящим от источника. Замените встроенные средства синтаксического анализа, если вы хотите:

    • Используйте версию встроенного средства синтаксического анализа, отличающуюся от версии, используемой по умолчанию в унифицированном средстве синтаксического анализа.

    • Предотвращение автоматических обновлений путем сохранения версии средства синтаксического анализа для конкретного источника, используемого унифицирующим анализатором.

    • Используйте измененную версию встроенного средства синтаксического анализа.

  • Настройте средство синтаксического анализа, зависящее от источника, например для определения источников, которые отправляют сведения, относящиеся к синтаксическому анализатору.

В этой статье описано, как управлять средствами синтаксического анализа.

Предварительные условия

В процедурах, описанных в этой статье, предполагается, что все средства синтаксического анализа для конкретного источника уже развернуты в рабочей области Microsoft Sentinel.

Дополнительные сведения см. в разделе Разработка средства синтаксического анализа ASIM.

Управление встроенными средствами унифицированного синтаксического анализа

Настройка рабочей области

Microsoft Sentinel пользователи не могут изменять встроенные средства унифицированного синтаксического анализа. Вместо этого используйте следующие механизмы для изменения поведения встроенных средств унифицированного синтаксического анализа:

  • Для поддержки добавления анализаторов, зависящих от источника, ASIM использует унифицированные пользовательские средства синтаксического анализа. Эти пользовательские средства синтаксического анализа развертываются в рабочей области и, следовательно, могут изменяться. Встроенные объединяющие средства синтаксического анализа автоматически выбирают эти пользовательские средства синтаксического анализа, если они существуют.

    Вы можете развернуть начальные, пустые, объединяющие пользовательские средства синтаксического анализа в рабочей области Microsoft Sentinel для всех поддерживаемых схем или по отдельности для конкретных схем. Дополнительные сведения см. в статье Развертывание начальных пользовательских унифицированных анализаторов ASIM в репозитории Microsoft Sentinel GitHub.

  • Чтобы исключить встроенные средства синтаксического анализа, зависящие от источника, ASIM использует список отслеживания. Разверните список отслеживания в рабочей области Microsoft Sentinel из репозитория GitHub Microsoft Sentinel.

  • Чтобы определить тип источника для встроенных и настраиваемых анализаторов, ASIM использует список отслеживания. Разверните список отслеживания в рабочей области Microsoft Sentinel из репозитория GitHub Microsoft Sentinel.

Добавление пользовательского средства синтаксического анализа во встроенный унифицированный синтаксический анализатор

Чтобы добавить пользовательское средство синтаксического анализа, вставьте строку в пользовательский унифицированный синтаксический анализатор, чтобы сослаться на новое настраиваемое средство синтаксического анализа.

Обязательно добавьте пользовательский анализатор фильтрации и пользовательский синтаксический анализатор без параметров. Дополнительные сведения об изменении средства синтаксического анализа см. в документе Функции в Azure Мониторинг запросов журналов.

Синтаксис добавляемой строки отличается для каждой схемы:

Схема Анализатора Добавляемая строка
AlertEvent Im_AlertEventCustom _parser_name_ (starttime, endtime, ipaddr_has_any_prefix, hostname_has_any, username_has_any, attacktactics_has_any, attacktechniques_has_any, threatcategory_has_any, alertverdict_has_any, eventseverity_has_any)
AuditEvent Im_AuditEventCustom _parser_name_ (starttime, endtime, srcipaddr_has_any_prefix, eventtype_in, eventresult, actorusername_has_any, operation_has_any, object_has_any, newvalue_has_any)
Проверка подлинности Im_AuthenticationCustom _parser_name_ (starttime, endtime, targetusername_has_any, actorusername_has_any, srcipaddr_has_any_prefix, srchostname_has_any, targetipaddr_has_any_prefix, dvcipaddr_has_any_prefix, dvchostname_has_any, eventtype_in, eventresultdetails_in, eventresult)
DhcpEvent Im_DhcpEventCustom _parser_name_ (starttime, endtime, srcipaddr_has_any_prefix, srchostname_has_any, srcusername_has_any, eventresult)
Dns Im_DnsCustom _parser_name_ (starttime, endtime, srcipaddr, domain_has_any, responsecodename, response_has_ipv4, response_has_any_prefix, eventtype)
FileEvent Im_FileEventCustom _parser_name_ (starttime, endtime, eventtype_in, srcipaddr_has_any_prefix, actorusername_has_any, targetfilepath_has_any, srcfilepath_has_any, hashes_has_any, dvchostname_has_any)
NetworkSession Im_NetworkSessionCustom _parser_name_ (starttime, endtime, srcipaddr_has_any_prefix, dstipaddr_has_any_prefix, ipaddr_has_any_prefix, dstportnumber, hostname_has_any, dvcaction, eventresult)
ProcessEvent Im_ProcessEventCustom _parser_name_ (starttime, endtime, commandline_has_any, commandline_has_all, commandline_has_any_ip_prefix, actingprocess_has_any, targetprocess_has_any, parentprocess_has_any, targetusername_has, actorusername_has, dvcipaddr_has_any_prefix, dvchostname_has_any, eventtype)
RegistryEvent Im_RegistryEventCustom _parser_name_ (starttime, endtime, eventtype_in, actorusername_has_any, registrykey_has_any, registryvalue_has_any, registryvaluedata_has_any, dvchostname_has_any)
Управление пользователем Im_UserManagementCustom _parser_name_ (starttime, endtime, srcipaddr_has_any_prefix, targetusername_has_any, actorusername_has_any, eventtype_in)
WebSession Im_WebSessionCustom _parser_name_ (starttime, endtime, srcipaddr_has_any_prefix, ipaddr_has_any_prefix, url_has_any, httpuseragent_has_any, eventresultdetails_in, eventresult)

При добавлении дополнительного средства синтаксического анализа в унифицированное пользовательское средство синтаксического анализа, которое уже ссылается на средства синтаксического анализа, обязательно добавьте запятую в конце предыдущей строки.

Например, в следующем коде показан пользовательский унифицированный синтаксический анализатор после добавления added_parser:

union isfuzzy=true
existing_parser(starttime, endtime, srcipaddr, domain_has_any, responsecodename, response_has_ipv4, response_has_any_prefix, eventtype),
added_parser(starttime, endtime, srcipaddr, domain_has_any, responsecodename, response_has_ipv4, response_has_any_prefix, eventtype)

Использование измененной версии встроенного средства синтаксического анализа

Чтобы изменить существующее встроенное средство синтаксического анализа для конкретного источника, выполните указанные действия.

  1. Создайте пользовательское средство синтаксического анализа на основе исходного средства синтаксического анализа и добавьте его во встроенный анализатор. В качестве отправной точки можно использовать развернутую версию средства синтаксического анализа в рабочей области.

  2. Добавьте запись в список отслеживания ASim Disabled Parsers .

  3. Определите CallerContext значение как Exclude<parser name>, где <parser name> — это имя объединяющих средств синтаксического анализа, из которых нужно исключить средство синтаксического анализа.

  4. Определите SourceSpecificParser значение Exclude<parser name>, где <parser name>— это имя средства синтаксического анализа, который требуется исключить, без описатель версии.

Например, чтобы исключить средство синтаксического анализа БРАНДМАУЭР AZURE DNS, добавьте в список отслеживания следующую запись:

CallerContext SourceSpecificParser
Exclude_Im_Dns Exclude_Im_Dns_AzureFirewall

Предотвращение автоматического обновления встроенного средства синтаксического анализа

Чтобы предотвратить автоматическое обновление встроенных анализаторов, зависящих от источника, используйте следующий процесс:

  1. Добавьте встроенную версию средства синтаксического анализа, которую вы хотите использовать, например _Im_Dns_AzureFirewallV02, в пользовательское средство унифицированного синтаксического анализа. Дополнительные сведения см. в разделе Добавление пользовательского средства синтаксического анализа во встроенный унифицированный синтаксический анализатор.

  2. Добавьте исключение для встроенного средства синтаксического анализа. Например, если вы хотите полностью отказаться от автоматических обновлений и, следовательно, исключить большое количество встроенных средств синтаксического анализа, добавьте:

  • Запись с Any полем SourceSpecificParser , чтобы исключить все средства синтаксического анализа для CallerContext.
  • Запись для Any в CallerContext и полях SourceSpecificParser , исключаемых всеми встроенными средствами синтаксического анализа.

Дополнительные сведения см. в разделе Использование измененной версии встроенного средства синтаксического анализа.

Настройка источников, относящихся к анализатору для конкретного источника

Некоторые средства синтаксического анализа требуют обновления списка источников, относящихся к средству синтаксического анализа. Например, средство синтаксического анализа, использующее данные системного журнала, может не определить, какие события syslog относятся к синтаксическому анализатору. Такое средство синтаксического анализа может использовать Sources_by_SourceType список отслеживания, чтобы определить, какие источники отправляют сведения, относящиеся к синтаксическому анализатору. Для таких синтаксического анализа добавьте запись для каждого соответствующего источника в список отслеживания:

  • Задайте для SourceType поля конкретное значение средства синтаксического анализа, указанное в документации по синтаксическому анализатору.
  • Задайте для Source поля идентификатор источника, используемого в событиях. Для определения правильного значения может потребоваться запросить исходную таблицу, например Syslog.

Если в вашей системе Sources_by_SourceType не развернут список отслеживания, разверните список отслеживания в рабочей области Microsoft Sentinel из репозитория Microsoft Sentinel GitHub.

Связанные материалы

Дополнительные сведения о средствах синтаксического анализа ASIM:

Дополнительные сведения о ASIM в целом:

  • Last updated on