Средства синтаксического анализа расширенной информационной модели безопасности (ASIM)

В Microsoft Sentinel синтаксический анализ и нормализация выполняются во время запроса. Средства синтаксического анализа создаются как определяемые пользователем функции KQL , которые преобразуют данные из существующих таблиц, таких как CommonSecurityLog, пользовательские таблицы журналов или syslog, в нормализованную схему.

Пользователи используют средства синтаксического анализа расширенной информационной модели безопасности (ASIM) вместо имен таблиц в своих запросах, чтобы просматривать данные в нормализованном формате и включать в запрос все данные, относящиеся к схеме.

Чтобы понять, как средства синтаксического анализа вписываются в архитектуру ASIM, см. схему архитектуры ASIM.

Встроенные средства синтаксического анализа ASIM и средства синтаксического анализа, развернутые в рабочей области

Средства синтаксического анализа ASIM встроены и доступны готовы в каждой рабочей области Microsoft Sentinel.

ASIM также поддерживает развертывание средств синтаксического анализа в определенных рабочих областях из GitHub с помощью шаблона ARM. Средства синтаксического анализа, развернутые в рабочей области, используются для разработки и управления средствами синтаксического анализа ASIM. Развернутые средства синтаксического анализа рабочей области функционально эквивалентны, но имеют несколько разные соглашения об именовании, что позволяет обоим наборам синтаксического анализа сосуществовать со встроенными средствами синтаксического анализа в одной Microsoft Sentinel рабочей области. Ознакомьтесь с дополнительными сведениями о развернутых средствах синтаксического анализа рабочей области для их развертывания, использования и управления ими.

При разработке содержимого ASIM рекомендуется использовать встроенные средства синтаксического анализа. Развернутые средства синтаксического анализа рабочей области обычно используются в процессе разработки средства синтаксического анализа или для предоставления измененных версий встроенных средств синтаксического анализа, как описано в разделе Управление средствами синтаксического анализа.

Иерархия и именование средства синтаксического анализа

ASIM включает два уровня средств синтаксического анализа: унифицированный синтаксический анализатор и средства синтаксического анализа для конкретного источника . Пользователь обычно использует унифицированный синтаксический анализатор для соответствующей схемы, гарантируя, что все данные, относящиеся к схеме, запрашиваются. Объединяющий синтаксический анализатор, в свою очередь, вызывает средства синтаксического анализа для конкретного источника для выполнения фактического синтаксического анализа и нормализации, характерных для каждого источника.

Объединяющее имя средства синтаксического анализа — это _Im_<schema> место, где <schema> обозначает конкретную схему, которая она обслуживает. Средства синтаксического анализа, зависящие от источника, также можно использовать независимо. Их соглашение об именовании имеет значение _Im_<schema>_<source>V<version>. Список средств синтаксического анализа, зависящих от источника, можно найти в списке средств синтаксического анализа ASIM.

Примечание.

Соответствующий набор средств синтаксического анализа, использующих _ASim_<schema>. Эти средства синтаксического анализа не поддерживают параметры фильтрации и обеспечивают обратную совместимость.

Совет

Иерархия средства синтаксического анализа добавляет слой для поддержки настройки. Дополнительные сведения см. в разделе Управление средствами синтаксического анализа ASIM.

Связанные материалы

Дополнительные сведения о средствах синтаксического анализа ASIM:

Дополнительные сведения об ASIM в целом см. в разделе:

  • Last updated on