Normalização e o ASIM (Modelo Avançado de Informações de Segurança)

O Microsoft Sentinel ingere dados de várias fontes. Trabalhar com vários tipos de dados e tabelas em conjunto exige que você entenda cada um deles e escreva e use conjuntos exclusivos de dados para regras de análise, pastas de trabalho e consultas de busca para cada tipo ou esquema.

Às vezes, você precisará de regras, pastas de trabalho e consultas separadas, mesmo quando tipos de dados compartilham elementos comuns, como dispositivos de firewall. Correlacionar entre diferentes tipos de dados durante uma investigação e busca proativa de ameaças também pode ser um desafio.

O Advanced Security Information Model (ASIM) é uma camada localizada entre essas diversas fontes e o usuário. O ASIM segue o princípio da robustez: "Seja rigoroso no que envia, seja flexível no que aceita". Usando o princípio da robustez como padrão de design, o ASIM transforma a telemetria da fonte proprietária coletada pelo Microsoft Sentinel em dados fáceis de usar para facilitar a troca e a integração.

Este artigo fornece uma visão geral do ASIM (Modelo Avançado de Informações de Segurança), seus casos de uso e principais componentes.

Dica

Assista também ao webinar da ASIM ou revise os slides do webinar.

Uso comum do ASIM

O ASIM fornece uma experiência perfeita para lidar com várias fontes em exibições uniformes e normalizadas, fornecendo a seguinte funcionalidade:

  • Detecção entre fontes. As regras de analytics normalizadas funcionam em todas as fontes, em ambientes locais e na nuvem, e detectam ataques como força bruta ou deslocamento impossível entre sistemas, incluindo Okta, AWS e Azure.

  • Conteúdo independente da fonte. A cobertura de conteúdo integrado e personalizado usando o ASIM se expande automaticamente para qualquer fonte que ofereça suporte ao ASIM, mesmo que a fonte tenha sido adicionada após a criação do conteúdo. Por exemplo, a análise de eventos de processo dá suporte a qualquer fonte que um cliente possa usar para trazer os dados, como o Microsoft Defender para Ponto de Extremidade, Eventos do Windows e Sysmon.

  • Suporte para suas fontes personalizadas, nas análises integradas

  • Facilidade de uso. Depois que um analista aprende ASIM, escrever consultas é muito mais simples, pois os nomes dos campos são sempre os mesmos.

ASIM e os metadados de eventos de segurança de código aberto

O ASIM se alinha ao OSSEM (Metadados de Eventos de Segurança de Código Aberto), modelo comum de informações, permitindo a correlação previsível de entidades entre tabelas normalizadas.

OSSEM é um projeto liderado pela comunidade que se concentra principalmente na documentação e padronização de logs de eventos de segurança de diversas fontes de dados e sistemas operacionais. O projeto também fornece um Modelo de Informação Comum (CIM) que pode ser usado por engenheiros de dados durante os procedimentos de normalização de dados para permitir que analistas de segurança consultem e analisem dados em diversas fontes de dados.

Para obter mais informações, consulte a documentação de referência do OSSEM.

Componentes ASIM

A imagem a seguir mostra como os dados não normalizados podem ser convertidos em conteúdo normalizado e usados no Microsoft Sentinel. Por exemplo, você pode começar com uma tabela personalizada, específica do produto, não normalizada, e usar um analisador e um esquema de normalização para converter essa tabela em dados normalizados. Use os seus dados normalizados em análises da Microsoft e personalizadas, regras, pastas de trabalho, consultas e muito mais.

Diagrama mostrando o fluxo de conversão de dados não normalizados em normalizados e o uso no Microsoft Sentinel.

O ASIM inclui os seguintes componentes:

Esquemas normalizados

Os esquemas normalizados abrangem conjuntos padrão de tipos de eventos previsíveis que você pode usar ao criar recursos unificados. Cada esquema define os campos que representam um evento, uma convenção de nomenclatura de coluna normalizada e um formato padrão para os valores de campo.

O ASIM atualmente define os seguintes esquemas:

O ASIM também define o esquema Asset Entity para normalizar inventários de ativos e feeds de mudanças.

Para obter mais informações, consulte Esquemas ASIM.

Analisadores em tempo de consulta

O ASIM usa analisadores de tempo de consulta para mapear dados existentes para os esquemas normalizados usando funções KQL. Muitos analisadores ASIM estão disponíveis prontos para uso com o Microsoft Sentinel. Mais analisadores e versões dos analisadores internos que podem ser modificados podem ser implantados a partir do repositório GitHub do Microsoft Sentinel.

Para obter mais informações, consulte Analisadores ASIM.

Normalização do tempo de ingestão

Os parsers em tempo de consulta têm muitas vantagens:

  • Eles não exigem que os dados sejam modificados, preservando assim o formato de origem.
  • Como eles não modificam os dados, mas apresentam uma visão dos dados, eles são fáceis de desenvolver. Desenvolver, testar e corrigir um analisador pode ser feito com base em dados existentes. Além disso, os analisadores podem ser corrigidos quando um problema é descoberto e a correção será aplicada aos dados existentes.

Por outro lado, embora os analisadores ASIM sejam otimizados, a análise em tempo de consulta pode tornar as consultas mais lentas, especialmente em grandes conjuntos de dados. Para resolver isso, o Microsoft Sentinel complementa a análise do tempo de consulta com a análise do tempo de ingestão. Usando a transformação de ingestão, os eventos são normalizados para a tabela normalizada, acelerando consultas que usam dados normalizados.

Atualmente, o ASIM oferece suporte às seguintes tabelas normalizadas nativas como destino para normalização do tempo de ingestão:

Para obter mais informações, consulte Normalização do tempo de ingestão.

Conteúdo de cada esquema normalizado

O conteúdo que usa o ASIM inclui soluções, regras de análise, workbooks, consultas de caça e muito mais. O conteúdo de cada esquema normalizado funciona em todos os dados normalizados sem a necessidade de criar conteúdo específico da origem.

Para obter mais informações, consulte Conteúdo ASIM.

Introdução ao ASIM

Para começar a usar o ASIM:

  • Implante uma solução de domínio baseada em ASIM, como a solução de domínio Network Threat Protection Essentials.

  • Ative modelos de regra de análise que usam ASIM. Para obter mais informações, consulte a lista de conteúdo ASIM.

  • Use as consultas de busca ASIM do repositório GitHub do Microsoft Sentinel ao consultar logs em KQL na página Logs do Microsoft Sentinel. Para obter mais informações, consulte a lista de conteúdo ASIM.

  • Escreva suas próprias regras de análise usando o ASIM ou converta as existentes.

  • Habilite seus dados personalizados para usar análise integrada escrevendo analisadores para suas fontes personalizadas e adicionando-os ao analisador independente de fonte relevante.

Conteúdo relacionado

  • Última atualização em