Parser distribuerade i ASIM-arbetsytan (Advanced Security Information Model)

Arbetsytans distribuerade ASIM-parsare (Advanced Security Information Model) används för att utveckla och ändra ASIM-parsers.

Driftsätt parser för arbetsytor

ASIM stöder även distribution av parsers till specifika arbetsytor från GitHub med hjälp av en ARM-mall. Arbetsytedistribuerade parsers används för utveckling och hantering av ASIM-parser. Parser som distribueras till arbetsytan är funktionellt likvärdiga, men har något olika namngivningskonventioner, vilket gör att båda parseruppsättningarna kan finnas sida vid sida med inbyggda parser i samma Microsoft Sentinel-arbetsyta.

Vi rekommenderar att du använder inbyggda parsers när du utvecklar ASIM-innehåll. Parser som distribuerats till arbetsytan används vanligtvis under parserutvecklingsprocessen eller för att tillhandahålla modifierade versioner av inbyggda parser, så som beskrivs i hantera parser

Använda arbetsyteparsrar

När du använder arbetsyteparsrar i dina frågor är im<schema>det enande parsernamnet , där <schema> står för det specifika schema som används.

Följande tabell listar de tillgängliga enhetliga tolkarna:

Hantera unifierande parser som distribuerats i arbetsytan

Lägg till en anpassad parser till en enhetlig parser som distribuerats till en arbetsyta

Om du vill lägga till en anpassad tolk infogar du en rad i satsen union i den enhetliga tolk som har distribuerats i arbetsytan och som refererar till den nya anpassade tolken.

Se till att lägga till både en anpassad parser för filtrering och en parameterlös anpassad parser. Syntaxen för raden som ska läggas till är olika för varje schema:

När du lägger till ytterligare en parser i en enande parser, se till att du lägger till ett kommatecken i slutet av föregående rad.

I följande exempel visas till exempel DNS-filtreringens enande parser när du har lagt till den anpassade added_parser:

  let Generic=(starttime:datetime=datetime(null), endtime:datetime=datetime(null) , srcipaddr:string='*' , domain_has_any:dynamic=dynamic([]) , responsecodename:string='*', response_has_ipv4:string='*' , response_has_any_prefix:dynamic=dynamic([]) , eventtype:string='lookup' ){
  let DisabledParsers=materialize(_GetWatchlist('ASimDisabledParsers') | where SearchKey in ('Any', 'imDns') | extend SourceSpecificParser=column_ifexists('SourceSpecificParser','') | distinct SourceSpecificParser);
  let imDnsBuiltInDisabled=toscalar('imDnsBuiltIn' in (DisabledParsers) or 'Any' in (DisabledParsers)); 
  union isfuzzy=true
      vimDnsEmpty
    , vimDnsCiscoUmbrella  ( starttime, endtime, srcipaddr, domain_has_any, responsecodename, response_has_ipv4, response_has_any_prefix, eventtype, (imDnsBuiltInDisabled or('vimDnsCiscoUmbrella'   in (DisabledParsers) )))
    , vimDnsInfobloxNIOS   ( starttime, endtime, srcipaddr, domain_has_any, responsecodename, response_has_ipv4, response_has_any_prefix, eventtype, (imDnsBuiltInDisabled or('vimDnsInfobloxNIOS'    in (DisabledParsers) )))
    ...
    , vimDnsAzureFirewall  ( starttime, endtime, srcipaddr, domain_has_any, responsecodename, response_has_ipv4, response_has_any_prefix, eventtype, (imDnsBuiltInDisabled or('vimDnsAzureFirewall'   in (DisabledParsers) )))
    , vimDnsMicrosoftNXlog ( starttime, endtime, srcipaddr, domain_has_any, responsecodename, response_has_ipv4, response_has_any_prefix, eventtype, (imDnsBuiltInDisabled or('vimDnsMicrosoftNXlog'  in (DisabledParsers) ))),
    added_parser ( starttime, endtime, srcipaddr, domain_has_any, responsecodename, response_has_ipv4, response_has_any_prefix, eventtype)
     };
  Generic( starttime, endtime, srcipaddr, domain_has_any, responsecodename, response_has_ipv4, response_has_any_prefix, eventtype)

Använda en ändrad version av en arbetsytedistribuerad parser

Microsoft Sentinel användare kan direkt ändra arbetsytedistribuerade parsers. Skapa en parser baserat på originalet, kommentera ut originalet och lägg sedan till den ändrade versionen i den arbetsytedistribuerade enande parsern.

Till exempel visar följande kod en enhetlig parser för DNS-filtrering, där vimDnsAzureFirewall parsern har ersatts med en modifierad version:

  let Generic=(starttime:datetime=datetime(null), endtime:datetime=datetime(null) , srcipaddr:string='*' , domain_has_any:dynamic=dynamic([]) , responsecodename:string='*', response_has_ipv4:string='*' , response_has_any_prefix:dynamic=dynamic([]) , eventtype:string='lookup' ){
  let DisabledParsers=materialize(_GetWatchlist('ASimDisabledParsers') | where SearchKey in ('Any', 'imDns') | extend SourceSpecificParser=column_ifexists('SourceSpecificParser','') | distinct SourceSpecificParser);
  let imDnsBuiltInDisabled=toscalar('imDnsBuiltIn' in (DisabledParsers) or 'Any' in (DisabledParsers)); 
  union isfuzzy=true
      vimDnsEmpty
    , vimDnsCiscoUmbrella  ( starttime, endtime, srcipaddr, domain_has_any, responsecodename, response_has_ipv4, response_has_any_prefix, eventtype, (imDnsBuiltInDisabled or('vimDnsCiscoUmbrella'   in (DisabledParsers) )))
    , vimDnsInfobloxNIOS   ( starttime, endtime, srcipaddr, domain_has_any, responsecodename, response_has_ipv4, response_has_any_prefix, eventtype, (imDnsBuiltInDisabled or('vimDnsInfobloxNIOS'    in (DisabledParsers) )))
    ...
    // , vimDnsAzureFirewall  ( starttime, endtime, srcipaddr, domain_has_any, responsecodename, response_has_ipv4, response_has_any_prefix, eventtype, (imDnsBuiltInDisabled or('vimDnsAzureFirewall'   in (DisabledParsers) )))
    , vimDnsMicrosoftNXlog ( starttime, endtime, srcipaddr, domain_has_any, responsecodename, response_has_ipv4, response_has_any_prefix, eventtype, (imDnsBuiltInDisabled or('vimDnsMicrosoftNXlog'  in (DisabledParsers) ))),
    modified_vimDnsAzureFirewall ( starttime, endtime, srcipaddr, domain_has_any, responsecodename, response_has_ipv4, response_has_any_prefix, eventtype)
     };
  Generic( starttime, endtime, srcipaddr, domain_has_any, responsecodename, response_has_ipv4, response_has_any_prefix, eventtype)

Relaterat innehåll

• Översikt över ASIM-parsers
• Hantera ASIM-tolkar
• Utveckla anpassade ASIM-parsers