高度なセキュリティ情報モデル (ASIM) ワークスペースでデプロイされたパーサー

ワークスペースにデプロイされた高度なセキュリティ情報モデル (ASIM) パーサーは、ASIM パーサーの開発と変更をサポートするために使用されます。

ワークスペース パーサーをデプロイする

また、ASIM では、ARM テンプレートを使用して GitHub から特定のワークスペースにパーサーをデプロイすることもできます。 ワークスペースにデプロイされたパーサーは、ASIM パーサーの開発と管理に使用されます。 ワークスペースでデプロイされたパーサーは機能的には同等ですが、名前付け規則が若干異なります。これにより、両方のパーサー セットが同じMicrosoft Sentinel ワークスペース内の組み込みパーサーと共存できます。

ASIM コンテンツを開発するときは、組み込みのパーサーを使用することをお勧めします。 ワークスペースにデプロイされたパーサーは、通常、パーサー開発プロセス中に使用されるか、「パーサーの管理」で説明されているように、組み込みパーサーの変更されたバージョンを提供するために使用されます。

ワークスペース パーサーを使用する

クエリでワークスペース パーサーを使用する場合、統一パーサー名は im<schema>されます。ここで、 <schema> は、それが提供する特定のスキーマを表します。

次の表に、使用可能な統合パーサーの一覧を示します。

ワークスペースでデプロイされた統合パーサーを管理する

ワークスペースでデプロイされた統合パーサーにカスタム パーサーを追加する

カスタム パーサーを追加するには、新しいカスタム パーサーを参照するワークスペースでデプロイされた統合パーサーの union ステートメントに行を挿入します。

フィルター処理カスタム パーサーとパラメーターのないカスタム パーサーの両方を必ず追加してください。 追加する行の構文は、スキーマごとに異なります。

統合パーサーに追加のパーサーを追加する場合は、前の行の末尾にコンマを追加してください。

たとえば、次の例では、カスタム added_parserを追加した後の DNS フィルタリング統合パーサーを示します。

  let Generic=(starttime:datetime=datetime(null), endtime:datetime=datetime(null) , srcipaddr:string='*' , domain_has_any:dynamic=dynamic([]) , responsecodename:string='*', response_has_ipv4:string='*' , response_has_any_prefix:dynamic=dynamic([]) , eventtype:string='lookup' ){
  let DisabledParsers=materialize(_GetWatchlist('ASimDisabledParsers') | where SearchKey in ('Any', 'imDns') | extend SourceSpecificParser=column_ifexists('SourceSpecificParser','') | distinct SourceSpecificParser);
  let imDnsBuiltInDisabled=toscalar('imDnsBuiltIn' in (DisabledParsers) or 'Any' in (DisabledParsers)); 
  union isfuzzy=true
      vimDnsEmpty
    , vimDnsCiscoUmbrella  ( starttime, endtime, srcipaddr, domain_has_any, responsecodename, response_has_ipv4, response_has_any_prefix, eventtype, (imDnsBuiltInDisabled or('vimDnsCiscoUmbrella'   in (DisabledParsers) )))
    , vimDnsInfobloxNIOS   ( starttime, endtime, srcipaddr, domain_has_any, responsecodename, response_has_ipv4, response_has_any_prefix, eventtype, (imDnsBuiltInDisabled or('vimDnsInfobloxNIOS'    in (DisabledParsers) )))
    ...
    , vimDnsAzureFirewall  ( starttime, endtime, srcipaddr, domain_has_any, responsecodename, response_has_ipv4, response_has_any_prefix, eventtype, (imDnsBuiltInDisabled or('vimDnsAzureFirewall'   in (DisabledParsers) )))
    , vimDnsMicrosoftNXlog ( starttime, endtime, srcipaddr, domain_has_any, responsecodename, response_has_ipv4, response_has_any_prefix, eventtype, (imDnsBuiltInDisabled or('vimDnsMicrosoftNXlog'  in (DisabledParsers) ))),
    added_parser ( starttime, endtime, srcipaddr, domain_has_any, responsecodename, response_has_ipv4, response_has_any_prefix, eventtype)
     };
  Generic( starttime, endtime, srcipaddr, domain_has_any, responsecodename, response_has_ipv4, response_has_any_prefix, eventtype)

ワークスペースにデプロイされたパーサーの変更されたバージョンを使用する

Microsoft Sentinelユーザーは、ワークスペースにデプロイされたパーサーを直接変更できます。 元のに基づいてパーサーを作成し、元のをコメントアウトしてから、変更したバージョンをワークスペースでデプロイされた統合パーサーに追加します。

たとえば、次のコードは、 vimDnsAzureFirewall パーサーを変更されたバージョンに置き換えた、DNS フィルタリング統合パーサーを示しています。

  let Generic=(starttime:datetime=datetime(null), endtime:datetime=datetime(null) , srcipaddr:string='*' , domain_has_any:dynamic=dynamic([]) , responsecodename:string='*', response_has_ipv4:string='*' , response_has_any_prefix:dynamic=dynamic([]) , eventtype:string='lookup' ){
  let DisabledParsers=materialize(_GetWatchlist('ASimDisabledParsers') | where SearchKey in ('Any', 'imDns') | extend SourceSpecificParser=column_ifexists('SourceSpecificParser','') | distinct SourceSpecificParser);
  let imDnsBuiltInDisabled=toscalar('imDnsBuiltIn' in (DisabledParsers) or 'Any' in (DisabledParsers)); 
  union isfuzzy=true
      vimDnsEmpty
    , vimDnsCiscoUmbrella  ( starttime, endtime, srcipaddr, domain_has_any, responsecodename, response_has_ipv4, response_has_any_prefix, eventtype, (imDnsBuiltInDisabled or('vimDnsCiscoUmbrella'   in (DisabledParsers) )))
    , vimDnsInfobloxNIOS   ( starttime, endtime, srcipaddr, domain_has_any, responsecodename, response_has_ipv4, response_has_any_prefix, eventtype, (imDnsBuiltInDisabled or('vimDnsInfobloxNIOS'    in (DisabledParsers) )))
    ...
    // , vimDnsAzureFirewall  ( starttime, endtime, srcipaddr, domain_has_any, responsecodename, response_has_ipv4, response_has_any_prefix, eventtype, (imDnsBuiltInDisabled or('vimDnsAzureFirewall'   in (DisabledParsers) )))
    , vimDnsMicrosoftNXlog ( starttime, endtime, srcipaddr, domain_has_any, responsecodename, response_has_ipv4, response_has_any_prefix, eventtype, (imDnsBuiltInDisabled or('vimDnsMicrosoftNXlog'  in (DisabledParsers) ))),
    modified_vimDnsAzureFirewall ( starttime, endtime, srcipaddr, domain_has_any, responsecodename, response_has_ipv4, response_has_any_prefix, eventtype)
     };
  Generic( starttime, endtime, srcipaddr, domain_has_any, responsecodename, response_has_ipv4, response_has_any_prefix, eventtype)

関連コンテンツ

• ASIM パーサーの概要
• ASIM パーサーを管理する
• カスタム ASIM パーサーを開発する