Parser di Advanced Security Information Model (ASIM)

In Microsoft Sentinel, l'analisi e la normalizzazione vengono eseguite in fase di query. I parser vengono compilati come funzioni definite dall'utente KQL che trasformano i dati nelle tabelle esistenti, ad esempio CommonSecurityLog, tabelle di log personalizzate o Syslog, nello schema normalizzato.

Gli utenti usano parser ASIM (Advanced Security Information Model) anziché nomi di tabella nelle query per visualizzare i dati in un formato normalizzato e includere tutti i dati rilevanti per lo schema nella query.

Per informazioni sull'adattamento dei parser all'interno dell'architettura ASIM, vedere il diagramma dell'architettura ASIM.

Parser ASIM integrati e parser distribuiti nell'area di lavoro

I parser ASIM sono integrati e disponibili fin da subito in ogni area di lavoro di Microsoft Sentinel.

ASIM consente anche di distribuire parser in aree di lavoro specifiche da GitHub, usando un modello ARM. I parser distribuiti nell'area di lavoro vengono usati per lo sviluppo e la gestione del parser ASIM. I parser distribuiti nell'area di lavoro sono funzionalmente equivalenti, ma hanno convenzioni di denominazione leggermente diverse, consentendo a entrambi i set di parser di coesistere con i parser predefiniti nella stessa area di lavoro Microsoft Sentinel. Scopri di più sui parser distribuiti nell'area di lavoro per distribuirli, utilizzarli e gestirli.

È consigliabile usare parser predefiniti durante lo sviluppo di contenuto ASIM. I parser distribuiti nell'area di lavoro vengono in genere usati durante il processo di sviluppo del parser o per fornire versioni modificate dei parser predefiniti, come descritto nella gestione dei parser

Gerarchia e denominazione del parser

ASIM include due livelli di parser: parser unificatore e parser specifici dell'origine. L'utente usa in genere il parser unificante per lo schema pertinente, assicurando che venga eseguita una query su tutti i dati rilevanti per lo schema. Il parser unificante a sua volta chiama i parser specifici dell'origine per eseguire l'analisi e la normalizzazione effettive, specifiche per ogni origine.

Il nome unificato del parser è _Im_<schema>, dove <schema> indica lo schema specifico che gestisce. I parser specifici dell'origine possono anche essere usati in modo indipendente. La convenzione di denominazione è _Im_<schema>_<source>V<version>. È possibile trovare un elenco di parser specifici della sorgente nell'elenco dei parser ASIM.

Contenuto correlato

Altre informazioni sui parser ASIM:

• Usare i parser ASIM
• Sviluppare parser ASIM personalizzati
• Gestire i parser ASIM
• Elenco dei parser ASIM

Per altre informazioni su ASIM, in generale, vedere:

• Panoramica di Advanced Security Information Model (ASIM)
• Schemi ASIM (Advanced Security Information Model)
• Contenuto ASIM (Advanced Security Information Model)
• Webinar di approfondimento sui parser di normalizzazione e sul contenuto normalizzato di Microsoft Sentinel