Bekannte Probleme im Erweiterten Sicherheitsinformationsmodell (Advanced Security Information Model, ASIM)

Im Folgenden sind die bekannten Probleme und Einschränkungen des Advanced Security Information Model (ASIM) aufgeführt:

Sentinel Data Lake

ASIM-Abfragezeitparser werden für Lake Explorer- und KQL-Aufträge nicht unterstützt.

Leistungsprobleme

ASIM-basierte Abfragen über einen langen Zeitraum, die keine Filterparameter verwenden, sind möglicherweise langsam. Die Analyse ist ein ressourcenintensiver Vorgang, und wenn er auf ein großes, ungefiltertes Dataset angewendet wird, wird erwartet, dass er langsam ist.

Wenn Leistungsprobleme auftreten:

• Wenn Sie eine interaktive Abfrage verwenden, stellen Sie sicher, dass Sie die Zeitauswahl auf den erforderlichen Zeitbereich festlegen.
• Verwenden Sie Parserfilter. Verwenden Sie am wichtigsten die starttime Filterparameter und endtime .

Die funktion ingest_time() wird nicht unterstützt

Die ingest_time() Funktion meldet den Zeitpunkt, zu dem ein Datensatz in Microsoft Sentinel erfasst wurde, der sich von unterscheiden TimeGeneratedkann. Diese Informationen werden häufig in Abfragen verwendet, die Erfassungsverzögerungen berücksichtigen. muss ingest_time() im Kontext einer bestimmten Tabelle verwendet werden und funktioniert nicht mit ASIM-Funktionen, die viele verschiedene Tabellen vereinheitlichen.

Irreführende Informationsmeldung

In einigen Fällen wird bei Verwendung von ASIM-Parserfunktionen ( in der Regel, wenn keine Ergebnisse für die Abfrage vorliegen) die folgende Informationsmeldung angezeigt.

Während die Nachricht alarmierend ist, handelt es sich nur um Informationen, und das System hat sich wie erwartet verhalten. ASIM-Funktionen kombinieren Daten aus vielen Quellen, unabhängig davon, ob sie in Ihrer Umgebung verfügbar sind oder nicht. Die Meldung deutet darauf hin, dass einige der Quellen in Ihrer Umgebung nicht verfügbar sind.

Verwandte Inhalte

• Übersicht über das erweiterte Sicherheitsinformationsmodell (Advanced Security Information Model, ASIM)
• Advanced Security Information Model (ASIM)-Schemas
• ASIM-Parser (Advanced Security Information Model)
• Verwenden des advanced Security Information Model (ASIM)
• Ändern Microsoft Sentinel Inhaltes zur Verwendung der ASIM-Parser (Advanced Security Information Model)
• Ausführliches Webinar zu Microsoft Sentinel Normalisierung von Parsern und normalisierten Inhalten