parsers die zijn geïmplementeerd in de ASIM-werkruimte (Advanced Security Information Model)

In de werkruimte geïmplementeerdE ASIM-parsers (Advanced Security Information Model) worden gebruikt ter ondersteuning van het ontwikkelen en wijzigen van ASIM-parsers.

Werkruimteparsers uitrollen

ASIM ondersteunt ook het implementeren van parsers naar specifieke werkruimten vanuit GitHub, met behulp van een ARM-sjabloon. Parsers die in de werkruimte zijn geïmplementeerd, worden gebruikt voor ASIM-parserontwikkeling en -beheer. Door werkruimte geïmplementeerde parsers zijn functioneel gelijkwaardig, maar hebben enigszins verschillende naamconventies, waardoor beide parsersets naast ingebouwde parsers in dezelfde Microsoft Sentinel werkruimte kunnen bestaan.

Het wordt aanbevolen om ingebouwde parsers te gebruiken bij het ontwikkelen van ASIM-inhoud. In de werkruimte geïmplementeerde parsers worden meestal gebruikt tijdens het ontwikkelproces van de parser of om aangepaste versies van ingebouwde parsers beschikbaar te stellen, zoals beschreven in parsers beheren

Werkruimteparser gebruiken

Wanneer u werkruimteparser gebruikt in uw query's, is im<schema>de naam van de samenvoegende parser , waarbij <schema> staat voor het specifieke schema dat wordt gebruikt.

In de volgende tabel worden de beschikbare unificerende parsers weergegeven:

In de werkruimte geïmplementeerde unificerende parsers beheren

Een aangepaste parser toevoegen aan een door een werkruimte geïmplementeerde unifying-parser

Als u een aangepaste parser wilt toevoegen, voegt u een regel toe aan de union instructie in de door de werkruimte geïmplementeerde samenvoegingsparser die verwijst naar de nieuwe aangepaste parser.

Zorg ervoor dat u zowel een aangepaste parser voor filtering als een aangepaste parser zonder parameters toevoegt. De syntaxis van de toe te voegen regel verschilt voor elk schema:

Wanneer u een extra parser toevoegt aan een samenvoegingsparseer, moet u ervoor zorgen dat u een komma toevoegt aan het einde van de vorige regel.

Het volgende voorbeeld toont bijvoorbeeld de parser voor het uniformeren van DNS-filtering, nadat u de aangepaste added_parser hebt toegevoegd:

  let Generic=(starttime:datetime=datetime(null), endtime:datetime=datetime(null) , srcipaddr:string='*' , domain_has_any:dynamic=dynamic([]) , responsecodename:string='*', response_has_ipv4:string='*' , response_has_any_prefix:dynamic=dynamic([]) , eventtype:string='lookup' ){
  let DisabledParsers=materialize(_GetWatchlist('ASimDisabledParsers') | where SearchKey in ('Any', 'imDns') | extend SourceSpecificParser=column_ifexists('SourceSpecificParser','') | distinct SourceSpecificParser);
  let imDnsBuiltInDisabled=toscalar('imDnsBuiltIn' in (DisabledParsers) or 'Any' in (DisabledParsers)); 
  union isfuzzy=true
      vimDnsEmpty
    , vimDnsCiscoUmbrella  ( starttime, endtime, srcipaddr, domain_has_any, responsecodename, response_has_ipv4, response_has_any_prefix, eventtype, (imDnsBuiltInDisabled or('vimDnsCiscoUmbrella'   in (DisabledParsers) )))
    , vimDnsInfobloxNIOS   ( starttime, endtime, srcipaddr, domain_has_any, responsecodename, response_has_ipv4, response_has_any_prefix, eventtype, (imDnsBuiltInDisabled or('vimDnsInfobloxNIOS'    in (DisabledParsers) )))
    ...
    , vimDnsAzureFirewall  ( starttime, endtime, srcipaddr, domain_has_any, responsecodename, response_has_ipv4, response_has_any_prefix, eventtype, (imDnsBuiltInDisabled or('vimDnsAzureFirewall'   in (DisabledParsers) )))
    , vimDnsMicrosoftNXlog ( starttime, endtime, srcipaddr, domain_has_any, responsecodename, response_has_ipv4, response_has_any_prefix, eventtype, (imDnsBuiltInDisabled or('vimDnsMicrosoftNXlog'  in (DisabledParsers) ))),
    added_parser ( starttime, endtime, srcipaddr, domain_has_any, responsecodename, response_has_ipv4, response_has_any_prefix, eventtype)
     };
  Generic( starttime, endtime, srcipaddr, domain_has_any, responsecodename, response_has_ipv4, response_has_any_prefix, eventtype)

Een aangepaste versie van een door een werkruimte geïmplementeerde parser gebruiken

Microsoft Sentinel-gebruikers kunnen in de werkruimte geïmplementeerde parsers rechtstreeks wijzigen. Maak een parser op basis van het origineel, maak een commentaar op het origineel en voeg vervolgens de gewijzigde versie toe aan de door de werkruimte geïmplementeerde unifying parser.

De volgende code toont bijvoorbeeld een uniforme parser voor DNS-filtering, waarbij de vimDnsAzureFirewall parser is vervangen door een aangepaste versie:

  let Generic=(starttime:datetime=datetime(null), endtime:datetime=datetime(null) , srcipaddr:string='*' , domain_has_any:dynamic=dynamic([]) , responsecodename:string='*', response_has_ipv4:string='*' , response_has_any_prefix:dynamic=dynamic([]) , eventtype:string='lookup' ){
  let DisabledParsers=materialize(_GetWatchlist('ASimDisabledParsers') | where SearchKey in ('Any', 'imDns') | extend SourceSpecificParser=column_ifexists('SourceSpecificParser','') | distinct SourceSpecificParser);
  let imDnsBuiltInDisabled=toscalar('imDnsBuiltIn' in (DisabledParsers) or 'Any' in (DisabledParsers)); 
  union isfuzzy=true
      vimDnsEmpty
    , vimDnsCiscoUmbrella  ( starttime, endtime, srcipaddr, domain_has_any, responsecodename, response_has_ipv4, response_has_any_prefix, eventtype, (imDnsBuiltInDisabled or('vimDnsCiscoUmbrella'   in (DisabledParsers) )))
    , vimDnsInfobloxNIOS   ( starttime, endtime, srcipaddr, domain_has_any, responsecodename, response_has_ipv4, response_has_any_prefix, eventtype, (imDnsBuiltInDisabled or('vimDnsInfobloxNIOS'    in (DisabledParsers) )))
    ...
    // , vimDnsAzureFirewall  ( starttime, endtime, srcipaddr, domain_has_any, responsecodename, response_has_ipv4, response_has_any_prefix, eventtype, (imDnsBuiltInDisabled or('vimDnsAzureFirewall'   in (DisabledParsers) )))
    , vimDnsMicrosoftNXlog ( starttime, endtime, srcipaddr, domain_has_any, responsecodename, response_has_ipv4, response_has_any_prefix, eventtype, (imDnsBuiltInDisabled or('vimDnsMicrosoftNXlog'  in (DisabledParsers) ))),
    modified_vimDnsAzureFirewall ( starttime, endtime, srcipaddr, domain_has_any, responsecodename, response_has_ipv4, response_has_any_prefix, eventtype)
     };
  Generic( starttime, endtime, srcipaddr, domain_has_any, responsecodename, response_has_ipv4, response_has_any_prefix, eventtype)

Verwante onderwerpen

• Overzicht van ASIM-parsers
• ASIM-parsers beheren
• Aangepaste ASIM-parsers ontwikkelen