Funzioni helper ASIM (Advanced Security Information Model) (anteprima pubblica)
Le funzioni helper ASIM (Advanced Security Information Model) estendono il linguaggio KQL fornendo funzionalità che consentono di interagire con i dati normalizzati e di scrivere parser.
Funzioni di ricerca di arricchimento
Le funzioni di ricerca di arricchimento offrono un metodo semplice per cercare valori noti, in base alla relativa rappresentazione numerica. Tali funzioni sono utili perché gli eventi spesso usano il codice numerico a forma breve, mentre gli utenti preferiscono la forma testuale. La maggior parte delle funzioni ha due forme:
La versione di ricerca è una funzione scalare che accetta come input il codice numerico e restituisce il formato testuale.
Usare il frammento di codice KQL seguente con la versione di ricerca :
| extend ProtocolName = _ASIM_LookupNetworkProtocol (ProtocolNumber)La versione resolve è una funzione tabulare che:
- Viene usato come operatore della pipeline KQL.
- Accetta come input il nome del campo che contiene il valore da cercare.
- Imposta i campi ASIM che in genere contengono sia il valore di input che il valore di ricerca risultante.
Usare il frammento di codice KQL seguente con la versione resolve:
| invoke _ASIM_ResolveNetworkProtocol (`ProtocolNumber`)La funzione popola automaticamente il campo ASIM con il risultato della ricerca.
La versione di risoluzione è preferibile per l'uso nei parser ASIM, mentre la versione di ricerca è utile nelle query per utilizzo generico. Quando una funzione di ricerca di arricchimento deve restituire più di un valore, userà sempre il formato di risoluzione .
Per altre informazioni sulle funzioni scalari e tabulari (rappresentate rispettivamente dalle versioni di ricerca e risoluzione), vedere Funzioni definite dall'utente nella documentazione di Kusto.
Funzioni del tipo di ricerca
| Funzione | Immissione* | Output | Descrizione |
|---|---|---|---|
| _ASIM_LookupDnsQueryType | Codice del tipo di query DNS numerico | Nome del tipo di query | Convertire un tipo di record di risorse DNS numerico (RR) nel nome, come definito da IANA |
| _ASIM_LookupDnsResponseCode | Codice di risposta DNS numerico | Nome del codice di risposta | Convertire un codice di risposta DNS numerico (RCODE) nel nome, come definito da IANA |
| _ASIM_LookupICMPType | Tipo ICMP numerico | Nome del tipo ICMP | Convertire un tipo ICMP numerico nel nome, come definito da IANA |
| _ASIM_LookupNetworkProtocol | Numero di protocollo IP | Nome del protocollo IP | Convertire un codice del protocollo IP numerico nel nome, come definito da IANA |
Risolvere le funzioni di tipo
Le funzioni di formato resolve eseguono la stessa azione della controparte di ricerca, ma accettano un nome di campo, fornito come costante stringa, come input e configurano campi predefiniti come output. Il valore di input viene assegnato anche a un campo predefinito.
| Funzione | Campi estesi |
|---|---|
| _ASIM_ResolveDnsQueryType | - DnsQueryType per il valore di input- DnsQueryTypeName per il valore di output |
| _ASIM_ResolveDnsResponseCode | - DnsResponseCode per il valore di input- DnsResponseCodeName per il valore di output |
| _ASIM_ResolveICMPType | - NetworkIcmpCode per il valore di input- NetworkIcmpType per il valore di ricerca |
| _ASIM_ResolveNetworkProtocol | - NetworkProtocolNumber per il valore di input- NetworkProtocol per il valore di ricerca |
Funzioni helper parser
Le funzioni seguenti eseguono attività comuni nei parser e utili per accelerare lo sviluppo del parser.
Funzioni di risoluzione dei dispositivi
Le funzioni di risoluzione del dispositivo analizzano un nome host e determinano se contengono informazioni sul dominio e il tipo di notazione del dominio. Le funzioni popolano quindi i campi ASIM pertinenti che rappresentano un dispositivo. Tutte le funzioni sono funzioni di tipo resolve e accettano il nome del campo contenente il nome host, rappresentato come stringa, come input.
| Funzione | Campi estesi | Descrizione |
|---|---|---|
| _ASIM_ResolveFQDN | - ExtractedHostname- Domain- DomainType - FQDN |
Analizza il valore nel campo specificato e imposta i campi di output di conseguenza. Per altre informazioni, vedere l'esempio nell'articolo sullo sviluppo di parser. |
| _ASIM_ResolveSrcFQDN | - SrcHostname- SrcDomain- SrcDomainType- SrcFQDN |
Simile a _ASIM_ResolveFQDN, ma imposta i Src campi |
| _ASIM_ResolveDstFQDN | - DstHostname- DstDomain- DstDomainType- SrcFQDN |
Simile a _ASIM_ResolveFQDN, ma imposta i Dst campi |
| _ASIM_ResolveDvcFQDN | - DvcHostname- DvcDomain- DvcDomainType- DvcFQDN |
Simile a _ASIM_ResolveFQDN, ma imposta i Dvc campi |
Funzioni di identificazione dell'origine
La funzione _ASIM_GetSourceBySourceType recupera l'elenco di origini associate a un tipo di origine fornito come input dall'elenco SourceBySourceType espressioni di controllo. La funzione è destinata all'uso da parte dei writer di parser. Per altre informazioni, vedere Applicazione di filtri in base al tipo di origine usando un watchlist.
Passaggi successivi
Questo articolo illustra le funzioni della Guida di Advanced Security Information Model (ASIM).
Per altre informazioni, vedi:
- Guardare il webinar di approfondimento sui parser di normalizzazione e i contenuti normalizzati di Microsoft Sentinel o esaminare le diapositive
- Panoramica di ASIM (Advanced Security Information Model)
- Schemi ASIM (Advanced Security Information Model)
- Parser ASIM (Advanced Security Information Model)
- Uso del modello ASIM (Advanced Security Information Model)
- Modifica del contenuto di Microsoft Sentinel per l'uso dei parser ASIM (Advanced Security Information Model)