Usando o Modelo Avançado de Informações de Segurança (ASIM)

Use os analisadores do ASIM (Modelo de Informações de Segurança Avançado), em vez de nomes de tabela nas consultas do Microsoft Sentinel, para exibir dados em um formato normalizado e incluir todos os dados relevantes para o esquema na consulta. Consulte a tabela abaixo para encontrar o parser relevante para cada schema.

Unificando analisadores

Ao usar o ASIM nas consultas, use parsers unificados para combinar todas as fontes, normalizadas para o mesmo esquema, e consulte-as por meio de campos normalizados. O nome unificador do analisador é _Im_<schema>, onde <schema> representa o schema específico que ele serve.

Por exemplo, a consulta a seguir usa o analisador DNS unificador interno para consultar eventos DNS usando os ResponseCodeNamecampos , SrcIpAddr, e TimeGenerated normalizados:

_Im_Dns(starttime=ago(1d), responsecodename='NXDOMAIN')
  | summarize count() by SrcIpAddr, bin(TimeGenerated,15m)

O exemplo usa parâmetros de filtragem que melhoram o desempenho do ASIM. O mesmo exemplo sem parâmetros de filtragem seria assim:

_Im_Dns
  | where TimeGenerated > ago(1d)
  | where ResponseCodeName =~ "NXDOMAIN"
  | summarize count() by SrcIpAddr, bin(TimeGenerated,15m)

A tabela a seguir lista os analisadores unificadores disponíveis:

Otimizando a análise usando parâmetros

O uso de analisadores pode afetar o desempenho da consulta, principalmente ao filtrar os resultados após a análise. Por esse motivo, muitos analisadores têm parâmetros de filtragem opcionais, que permitem filtrar antes de analisar e melhorar o desempenho da consulta. Com otimização de consulta e esforços de pré-filtragem, os analisadores ASIM geralmente fornecem melhor desempenho quando comparados a não usar normalização.

Ao invocar o analisador, sempre use os parâmetros de filtragem disponíveis adicionando um ou mais parâmetros nomeados para garantir o desempenho ideal dos analisadores ASIM.

Cada esquema tem um conjunto padrão de parâmetros de filtragem documentados na documentação relevante do esquema. Os parâmetros de filtragem são totalmente opcionais.

Para obter um exemplo de uso de parsers de filtragem, consulte Unificando parsers.

O parâmetro pack

Para garantir a eficiência, os analisadores mantêm apenas campos normalizados. Campos que não são normalizados têm menos valor quando combinados com outras fontes. Alguns analisadores dão suporte ao parâmetro pack. Quando o parâmetro pack for definido como true, o analisador empacotará dados extras no campo dinâmico AdditionalFields.

O artigo sobre a lista de analisadores indica os analisadores que oferecem suporte ao parâmetro pack.

Conteúdo relacionado

• Visão geral dos analisadores ASIM
• Gerenciar analisadores ASIM
• Desenvolver analisadores ASIM personalizados