Средства синтаксического анализа расширенной информационной модели безопасности (ASIM)

В Microsoft Sentinel синтаксический анализ и нормализация выполняются во время запроса. Средства синтаксического анализа создаются как определяемые пользователем функции KQL , которые преобразуют данные из существующих таблиц, таких как CommonSecurityLog, пользовательские таблицы журналов или syslog, в нормализованную схему.

Пользователи используют средства синтаксического анализа расширенной информационной модели безопасности (ASIM) вместо имен таблиц в своих запросах, чтобы просматривать данные в нормализованном формате и включать в запрос все данные, относящиеся к схеме.

Чтобы понять, как средства синтаксического анализа вписываются в архитектуру ASIM, см. схему архитектуры ASIM.

Встроенные парсеры ASIM и парсеры, развернутые в рабочей области

Анализаторы ASIM встроены и доступны по умолчанию в каждой рабочей области Microsoft Sentinel.

ASIM также поддерживает развертывание средств синтаксического анализа в определенных рабочих областях из GitHub с помощью шаблона ARM. Средства синтаксического анализа, развернутые в рабочей области, используются для разработки и управления средствами синтаксического анализа ASIM. Парсеры, развернутые в рабочей области, функционально эквивалентны, но используют несколько иные соглашения об именовании, что позволяет обоим наборам парсеров сосуществовать со встроенными парсерами в одной и той же рабочей области Microsoft Sentinel. Подробнее о парсерах, развернутых в рабочей области: как их развертывать, использовать и администрировать.

При разработке содержимого ASIM рекомендуется использовать встроенные средства синтаксического анализа. Развернутые средства синтаксического анализа рабочей области обычно используются в процессе разработки средства синтаксического анализа или для предоставления измененных версий встроенных средств синтаксического анализа, как описано в разделе Управление средствами синтаксического анализа.

Иерархия парсеров и наименования

ASIM включает два уровня средств синтаксического анализа: унифицированный синтаксический анализатор и средства синтаксического анализа для конкретного источника . Пользователь обычно использует унифицированный синтаксический анализатор для соответствующей схемы, гарантируя, что все данные, относящиеся к схеме, запрашиваются. Объединяющий синтаксический анализатор, в свою очередь, вызывает средства синтаксического анализа для конкретного источника для выполнения фактического синтаксического анализа и нормализации, характерных для каждого источника.

Унифицированное имя парсера — _Im_<schema>, где <schema> обозначает конкретную схему, которую он обслуживает. Средства синтаксического анализа, зависящие от источника, также можно использовать независимо. Их схема именования — _Im_<schema>_<source>V<version>. Список средств синтаксического анализа, зависящих от источника, можно найти в списке средств синтаксического анализа ASIM.

Связанные материалы

Дополнительные сведения о средствах синтаксического анализа ASIM:

• Использование средства синтаксического анализа ASIM
• Разработка пользовательских анализаторов ASIM
• Управление средствами синтаксического анализа ASIM
• Список синтаксических анализаторов ASIM

Дополнительные сведения об ASIM в целом см. в разделе:

• Обзор расширенной информационной модели безопасности (ASIM)
• Схемы расширенной информационной модели безопасности (ASIM)
• Содержимое расширенной информационной модели безопасности (ASIM)
• Подробный вебинар о нормализующих парсерах и нормализованном контенте Microsoft Sentinel