Parser distribuiti dell'area di lavoro Advanced Security Information Model (ASIM)

I parser ASIM (Advanced Security Information Model) distribuiti dall'area di lavoro vengono usati per supportare lo sviluppo e la modifica di parser ASIM.

Distribuire i parser dell'area di lavoro

ASIM consente anche di distribuire parser in aree di lavoro specifiche da GitHub, usando un modello ARM. I parser distribuiti nell'area di lavoro vengono usati per lo sviluppo e la gestione del parser ASIM. I parser distribuiti nell'area di lavoro sono funzionalmente equivalenti, ma hanno convenzioni di denominazione leggermente diverse, consentendo a entrambi i set di parser di coesistere con i parser predefiniti nella stessa area di lavoro Microsoft Sentinel.

È consigliabile usare parser predefiniti durante lo sviluppo di contenuto ASIM. I parser distribuiti nell'area di lavoro vengono in genere usati durante il processo di sviluppo del parser o per fornire versioni modificate dei parser predefiniti, come descritto nella gestione dei parser

Usare i parser dell'area di lavoro

Quando si usano i parser dell'area di lavoro nelle query, il nome del parser unificante è im<schema>, dove <schema> rappresenta lo schema specifico usato.

Nella tabella seguente sono elencati i parser unificanti disponibili:

Gestire i parser di unificazione distribuiti nell'area di lavoro

Aggiungere un parser personalizzato a un parser unificante distribuito dall'area di lavoro

Per aggiungere un parser personalizzato, inserire una riga nell'istruzione union nel parser unificante distribuito dall'area di lavoro che fa riferimento al nuovo parser personalizzato.

Assicurarsi di aggiungere sia un parser personalizzato di filtro che un parser personalizzato senza parametri. La sintassi della riga da aggiungere è diversa per ogni schema:

Quando si aggiunge un parser aggiuntivo a un parser unificante, assicurarsi di aggiungere una virgola alla fine della riga precedente.

Ad esempio, l'esempio seguente mostra il parser unificatore del filtro DNS, una volta aggiunto il tag personalizzato added_parser:

  let Generic=(starttime:datetime=datetime(null), endtime:datetime=datetime(null) , srcipaddr:string='*' , domain_has_any:dynamic=dynamic([]) , responsecodename:string='*', response_has_ipv4:string='*' , response_has_any_prefix:dynamic=dynamic([]) , eventtype:string='lookup' ){
  let DisabledParsers=materialize(_GetWatchlist('ASimDisabledParsers') | where SearchKey in ('Any', 'imDns') | extend SourceSpecificParser=column_ifexists('SourceSpecificParser','') | distinct SourceSpecificParser);
  let imDnsBuiltInDisabled=toscalar('imDnsBuiltIn' in (DisabledParsers) or 'Any' in (DisabledParsers)); 
  union isfuzzy=true
      vimDnsEmpty
    , vimDnsCiscoUmbrella  ( starttime, endtime, srcipaddr, domain_has_any, responsecodename, response_has_ipv4, response_has_any_prefix, eventtype, (imDnsBuiltInDisabled or('vimDnsCiscoUmbrella'   in (DisabledParsers) )))
    , vimDnsInfobloxNIOS   ( starttime, endtime, srcipaddr, domain_has_any, responsecodename, response_has_ipv4, response_has_any_prefix, eventtype, (imDnsBuiltInDisabled or('vimDnsInfobloxNIOS'    in (DisabledParsers) )))
    ...
    , vimDnsAzureFirewall  ( starttime, endtime, srcipaddr, domain_has_any, responsecodename, response_has_ipv4, response_has_any_prefix, eventtype, (imDnsBuiltInDisabled or('vimDnsAzureFirewall'   in (DisabledParsers) )))
    , vimDnsMicrosoftNXlog ( starttime, endtime, srcipaddr, domain_has_any, responsecodename, response_has_ipv4, response_has_any_prefix, eventtype, (imDnsBuiltInDisabled or('vimDnsMicrosoftNXlog'  in (DisabledParsers) ))),
    added_parser ( starttime, endtime, srcipaddr, domain_has_any, responsecodename, response_has_ipv4, response_has_any_prefix, eventtype)
     };
  Generic( starttime, endtime, srcipaddr, domain_has_any, responsecodename, response_has_ipv4, response_has_any_prefix, eventtype)

Usare una versione modificata di un parser distribuito dall'area di lavoro

Microsoft Sentinel gli utenti possono modificare direttamente i parser distribuiti nell'area di lavoro. Crea un parser basato sull'originale, commenta l'originale e quindi aggiungi la versione modificata al parser unificato distribuito nell'area di lavoro.

Ad esempio, il codice seguente mostra un parser di unificazione del filtro DNS, dopo aver sostituito il vimDnsAzureFirewall parser con una versione modificata:

  let Generic=(starttime:datetime=datetime(null), endtime:datetime=datetime(null) , srcipaddr:string='*' , domain_has_any:dynamic=dynamic([]) , responsecodename:string='*', response_has_ipv4:string='*' , response_has_any_prefix:dynamic=dynamic([]) , eventtype:string='lookup' ){
  let DisabledParsers=materialize(_GetWatchlist('ASimDisabledParsers') | where SearchKey in ('Any', 'imDns') | extend SourceSpecificParser=column_ifexists('SourceSpecificParser','') | distinct SourceSpecificParser);
  let imDnsBuiltInDisabled=toscalar('imDnsBuiltIn' in (DisabledParsers) or 'Any' in (DisabledParsers)); 
  union isfuzzy=true
      vimDnsEmpty
    , vimDnsCiscoUmbrella  ( starttime, endtime, srcipaddr, domain_has_any, responsecodename, response_has_ipv4, response_has_any_prefix, eventtype, (imDnsBuiltInDisabled or('vimDnsCiscoUmbrella'   in (DisabledParsers) )))
    , vimDnsInfobloxNIOS   ( starttime, endtime, srcipaddr, domain_has_any, responsecodename, response_has_ipv4, response_has_any_prefix, eventtype, (imDnsBuiltInDisabled or('vimDnsInfobloxNIOS'    in (DisabledParsers) )))
    ...
    // , vimDnsAzureFirewall  ( starttime, endtime, srcipaddr, domain_has_any, responsecodename, response_has_ipv4, response_has_any_prefix, eventtype, (imDnsBuiltInDisabled or('vimDnsAzureFirewall'   in (DisabledParsers) )))
    , vimDnsMicrosoftNXlog ( starttime, endtime, srcipaddr, domain_has_any, responsecodename, response_has_ipv4, response_has_any_prefix, eventtype, (imDnsBuiltInDisabled or('vimDnsMicrosoftNXlog'  in (DisabledParsers) ))),
    modified_vimDnsAzureFirewall ( starttime, endtime, srcipaddr, domain_has_any, responsecodename, response_has_ipv4, response_has_any_prefix, eventtype)
     };
  Generic( starttime, endtime, srcipaddr, domain_has_any, responsecodename, response_has_ipv4, response_has_any_prefix, eventtype)

Contenuto correlato

• Panoramica dei parser ASIM
• Gestire i parser ASIM
• Sviluppare parser ASIM personalizzati