Megosztás a következőn keresztül:


A betöltési idő normalizálása

Lekérdezési idő elemzése

Az ASIM áttekintése során a Microsoft Sentinel a lekérdezési időt és a betöltési idő normalizálását is használja az egyes előnyök kihasználásához.

A lekérdezési idő normalizálásához használja a lekérdezési idő egyesítő elemzőit, például _Im_Dns a lekérdezésekben. A lekérdezési idő elemzésének normalizálása számos előnnyel jár:

  • Az eredeti formátum megőrzése: A lekérdezési idő normalizálásához nincs szükség az adatok módosítására, így megőrizve a forrás által küldött eredeti adatformátumot.
  • A lehetséges duplikált tárolás elkerülése: Mivel a normalizált adatok csak az eredeti adatok nézetét jelenítik meg, nincs szükség az eredeti és a normalizált adatok tárolására.
  • Egyszerűbb fejlesztés: Mivel a lekérdezési időelemzők az adatok nézetét jelenítik meg, és nem módosítják az adatokat, könnyen fejleszthetők. Az elemzők fejlesztése, tesztelése és javítása mind elvégezhető a meglévő adatokon. Emellett az elemzők kijavíthatók egy probléma észlelésekor, és a javítás a meglévő adatokra lesz alkalmazva.

Betöltési idő elemzése

Bár az ASIM lekérdezési időelemzői optimalizálva vannak, a lekérdezések időelemzése lelassíthatja a lekérdezéseket, különösen nagy adathalmazok esetén.

Az időelemzés lehetővé teszi az események normalizált sémává alakítását a Microsoft Sentinelbe való betöltésükkor, és normalizált formátumban tárolva őket. A betöltési idő elemzése kevésbé rugalmas, és az elemzők fejlesztése nehezebb, de mivel az adatokat normalizált formátumban tárolják, jobb teljesítményt nyújt.

A normalizált adatok tárolhatók a Microsoft Sentinel natív normalizált tábláiban vagy egy ASIM-sémát használó egyéni táblában. Az ASIM-sémához közel álló, de nem azonos sémával rendelkező egyéni tábla a betöltési idő normalizálásának teljesítménybeli előnyeit is biztosítja.

Az ASIM jelenleg a következő natív normalizált táblákat támogatja célként a betöltési idő normalizálásához:

A natív normalizált táblák előnye, hogy alapértelmezés szerint bekerülnek az ASIM egyesítő elemzőibe. Az egyéni normalizált táblák belefoglalhatók az egyesítő elemzőkbe, ahogy az a Elemzések kezelése című témakörben is szerepel.

A lekérdezési idő és a betöltési idő normalizálásának kombinálása

A lekérdezéseknek mindig a lekérdezési idő egyesítő elemzőit kell használniuk, például _Im_Dns kihasználni a lekérdezési időt és a betöltési idő normalizálását. A natív normalizált táblák egy csonkelemző használatával szerepelnek a lekérdezett adatokban.

A csonkelemző egy lekérdezési időelemző, amely a normalizált tábla bemeneteként használja. Mivel a normalizált tábla nem igényel elemzést, a csonkelemző hatékony.

A csonkelemző egy nézetet jelenít meg az ASIM natív táblához hozzáadott hívó lekérdezéshez:

  • Aliasok – annak érdekében, hogy ne pazarolja a tárolót az ismétlődő értékekre, az aliasok nem tárolódnak natív ASIM-táblákban, és a csonkelemzők a lekérdezési időben hozzáadják őket.
  • Állandó értékek – Az aliasokhoz hasonlóan, és ugyanebből az okból az ASIM normalizált táblák szintén nem tárolnak állandó értékeket, például EventSchemát. A csonkelemző hozzáadja ezeket a mezőket. Az ASIM normalizált táblát számos forrás megosztja, és a betöltési időelemzők módosíthatják a kimeneti verziójukat. Ezért az olyan mezők, mint az EventProduct, az EventVendor és az EventSchemaVersion , nem állandók, és a csonkelemző nem ad hozzá.
  • Szűrés – a csonkelemző a szűrést is implementálja. Bár a natív ASIM-tábláknak nincs szükségük szűrőelemzőkre a jobb teljesítmény eléréséhez, szűrésre van szükség az egységesítő elemzőbe való felvétel támogatásához.
  • Frissítések és javítások – A csonk-elemzővel gyorsabban kijavíthatja a problémákat. Ha például az adatok betöltése helytelenül történt, előfordulhat, hogy az IP-cím nem lett kinyerve az üzenetmezőből a betöltés során. Az IP-címet a csonkelemző kinyerheti a lekérdezési időpontban.

Egyéni normalizált táblák használata esetén hozzon létre egy saját csonkelemzőt a funkció implementálásához, és adja hozzá az egyesítő elemzőkhöz az Elemzések kezelése szakaszban ismertetett módon. Kiindulási pontként használja a csonkelemzőt a natív táblához, például a DNS natív táblaelemzőjét és szűrési megfelelőjét. Ha a táblázat félig normalizált, a csonkelemző használatával végezze el a szükséges további elemzést és normalizálást.

További információ az elemzők írásáról az ASIM-elemzők fejlesztésében.

Betöltési idő normalizálásának megvalósítása

Az adatok betöltésekor történő normalizálásához egy adatgyűjtési szabályt (DCR) kell használnia. A DCR implementálásának eljárása az adatok betöltéséhez használt módszertől függ. További információ: Adatok átalakítása vagy testreszabása betöltési időpontban a Microsoft Sentinelben.

A KQL-átalakítási lekérdezés a DCR magja. A DCR-ekben használt KQL-verzió kissé eltér a Microsoft Sentinel máshol használt verziójától a folyamatesemény-feldolgozás követelményeinek kielégítéséhez. Ezért módosítania kell a lekérdezési idő elemzőt a DCR-ben való használatához. A különbségekkel és a lekérdezési idő elemzőjének betöltési idő elemzővé alakításával kapcsolatos további információkért olvassa el a DCR KQL korlátait.

Következő lépések

További információk: