إشعار
يتطلب الوصول إلى هذه الصفحة تخويلاً. يمكنك محاولة تسجيل الدخول أو تغيير الدلائل.
يتطلب الوصول إلى هذه الصفحة تخويلاً. يمكنك محاولة تغيير الدلائل.
تحليل وقت الاستعلام
كمناقشة في نظرة عامة على ASIM، يستخدم Microsoft Sentinel وقت الاستعلام واستيعاب تسوية الوقت للاستفادة من فوائد كل منها.
لاستخدام تسوية وقت الاستعلام، استخدم محللات توحيد وقت الاستعلام، كما هو الحال _Im_Dns في استعلاماتك. التسوية باستخدام تحليل وقت الاستعلام له العديد من المزايا:
- الحفاظ على التنسيق الأصلي: لا يتطلب تسوية وقت الاستعلام تعديل البيانات، وبالتالي الحفاظ على تنسيق البيانات الأصلي المرسل من قبل المصدر.
- تجنب التخزين المتكرر المحتمل: نظرا لأن البيانات التي تمت تسويتها ليست سوى طريقة عرض للبيانات الأصلية، ليست هناك حاجة لتخزين كل من البيانات الأصلية والبيانات التي تمت تسويتها.
- تطوير أسهل: نظرا لأن محللات وقت الاستعلام تقدم طريقة عرض للبيانات ولا تعدل البيانات، فمن السهل تطويرها. يمكن أن يتم تطوير المحلل واختباره وإصلاحه على البيانات الموجودة. علاوة على ذلك، يمكن إصلاح المحللات عند اكتشاف مشكلة، ويتم تطبيق الإصلاح على البيانات الموجودة.
استيعاب تحليل الوقت
بينما يتم تحسين محللات وقت استعلام ASIM، يمكن لتحليل وقت الاستعلام إبطاء الاستعلامات، خاصة على مجموعات البيانات الكبيرة.
يتيح تحليل الوقت تحويل الأحداث إلى مخطط تمت تسويتها أثناء استيعابها في Microsoft Sentinel وتخزينها بتنسيق تمت تسويتها. يعد استيعاب تحليل الوقت أقل مرونة ويصعب تطوير المحللات، ولكن نظرا لأنه يتم تخزين البيانات بتنسيق تمت تسويتها، يوفر أداء أفضل.
يمكن تخزين البيانات التي تمت تسويتها في جداول Microsoft Sentinel الأصلية التي تمت تسويتها، أو في جدول مخصص يستخدم مخطط ASIM. يوفر الجدول المخصص الذي يحتوي على مخطط قريب من مخطط ASIM، ولكنه غير متطابق، أيضا فوائد الأداء لاستيعاب تسوية الوقت.
حاليا، يدعم ASIM الجداول الأصلية التالية التي تمت تسويتها كوجهة لاستيعاب تسوية الوقت:
- ASimAuditEventLogs لمخطط حدث التدقيق .
- ASimAuthenticationEventLogs لمخطط المصادقة .
- ASimDhcpEventLogs لمخطط حدث DHCP .
- ASimDnsActivityLogs لمخطط DNS .
- ASimFileEventLogs لمخطط حدث الملف .
- ASimNetworkSessionLogs لمخطط جلسة الشبكة .
- ASimProcessEventLogs لمخطط حدث العملية .
- ASimRegistryEventLogs لمخطط حدث التسجيل .
- ASimUserManagementActivityLogs لمخطط إدارة المستخدم .
- ASimWebSessionLogs لمخطط جلسة ويب .
تتمثل ميزة الجداول الأصلية التي تمت تسويتها في تضمينها بشكل افتراضي في محللات ASIM الموحدة. يمكن تضمين الجداول المخصصة التي تمت تسويتها في المحللات الموحدة، كما تمت مناقشته في إدارة المحللات.
الجمع بين استيعاب الوقت وتسوية وقت الاستعلام
يجب أن تستخدم الاستعلامات دائما تحليلات توحيد وقت الاستعلام، مثل _Im_Dns الاستفادة من وقت الاستعلام واستيعاب تسوية الوقت. يتم تضمين الجداول الأصلية التي تمت تسويتها في البيانات التي تم الاستعلام عن طريق استخدام محلل كعب الروتين.
محلل كعب الروتين هو محلل وقت استعلام يستخدم كإدخل الجدول الذي تمت تسويته. نظرا لأن الجدول الذي تمت تسويته لا يتطلب التحليل، فإن محلل كعب الروتين فعال.
يقدم محلل كعب الروتين طريقة عرض لاستعلام الاستدعاء الذي يضيف إلى جدول ASIM الأصلي:
- الأسماء المستعارة - من أجل عدم إهدار التخزين على القيم المتكررة، لا يتم تخزين الأسماء المستعارة في جداول ASIM الأصلية وتتم إضافتها في وقت الاستعلام بواسطة محللات كعب الروتين.
- القيم الثابتة - مثل الأسماء المستعارة، وللسبب نفسه، لا تخزن الجداول التي تمت تسويتها ASIM أيضا القيم الثابتة مثل EventSchema. يضيف محلل كعب الروتين هذه الحقول. تتم مشاركة جدول ASIM الذي تمت تسويته بواسطة العديد من المصادر، ويمكن لموزعي الوقت استيعاب تغيير إصدار الإخراج الخاص بهم. لذلك، حقول مثل EventProduct و EventVendor و EventSchemaVersion ليست ثابتة ولا تتم إضافتها بواسطة محلل كعب الروتين.
- التصفية - يقوم محلل الكعب أيضا بتنفيذ التصفية. في حين أن جداول ASIM الأصلية لا تحتاج إلى محللات تصفية لتحقيق أداء أفضل، فإن التصفية مطلوبة لدعم التضمين في المحلل الموحد.
- التحديثات والإصلاحات - يتيح استخدام محلل كعب الروتين إصلاح المشكلات بشكل أسرع. على سبيل المثال، إذا تم استيعاب البيانات بشكل غير صحيح، فربما لم يتم استخراج عنوان IP من حقل الرسالة أثناء الاستيعاب. يمكن استخراج عنوان IP بواسطة محلل كعب الروتين في وقت الاستعلام.
عند استخدام جداول مخصصة تمت تسويتها، قم بإنشاء محلل كعب الروتين الخاص بك لتنفيذ هذه الوظيفة، وإضافته إلى المحللات الموحدة كما تمت مناقشته في إدارة المحللات. استخدم محلل كعب الروتين للجدول الأصلي، مثل محلل كعب جدول DNS الأصليونظير التصفية الخاص به، كنقطة بداية. إذا كان الجدول شبه عادي، فاستخدم محلل كعب الروتين لتنفيذ التحليل الإضافي والتسوية المطلوبة.
تعرف على المزيد حول كتابة المحللات في تطوير محللات ASIM.
تنفيذ استيعاب تسوية الوقت
لتطبيع البيانات عند استيعابها، تحتاج إلى استخدام قاعدة تجميع البيانات (DCR). يعتمد إجراء تنفيذ DCR على الطريقة المستخدمة لاستيعاب البيانات. لمزيد من المعلومات، راجع المقالة تحويل البيانات أو تخصيصها في وقت الاستيعاب في Microsoft Sentinel.
استعلام تحويل KQL هو جوهر DCR. يختلف إصدار KQL المستخدم في DCRs قليلا عن الإصدار المستخدم في مكان آخر في Microsoft Sentinel لاستيعاب متطلبات معالجة حدث المسار. لذلك، تحتاج إلى تعديل أي محلل وقت استعلام لاستخدامه في DCR. لمزيد من المعلومات حول الاختلافات، وكيفية تحويل محلل وقت الاستعلام إلى محلل وقت الاستيعاب، اقرأ عن قيود DCR KQL.