Compartir a través de


Funciones de asistente de modelo de información de seguridad avanzada (ASIM) (versión preliminar)

Las funciones de asistente del modelo de información de seguridad avanzada (ASIM) amplían el lenguaje de KQL y proporcionan funcionalidades que ayudan a interactuar con datos normalizados y a escribir analizadores.

Funciones de búsqueda de enriquecimiento

Las funciones de búsqueda de enriquecimiento proporcionan un método sencillo de buscar valores conocidos, en función de su representación numérica. Estas funciones son útiles, ya que los eventos suelen usar el código numérico de formato corto, mientras que los usuarios prefieren el formulario textual. La mayoría de las funciones tienen dos formas:

La versión de búsqueda es una función escalar que acepta como entrada el código numérico y devuelve el formulario textual. Use el siguiente fragmento de código de KQL con la versión de búsqueda:

| extend ProtocolName = _ASIM_LookupNetworkProtocol (ProtocolNumber)

La versión de resolución es una función tabular que:

  • Se usa un operador de canalización KQL.
  • Acepta como entrada el nombre del campo que contiene el valor que se va a buscar.
  • Establece los campos de ASIM que normalmente contienen el valor de entrada y el valor de búsqueda resultante.

Use el siguiente fragmento de código de KQL con la versión de resolución:

| invoke _ASIM_ResolveNetworkProtocol (`ProtocolNumber`)

Que rellenará automáticamente el campo NetworkProtocol con el resultado de la búsqueda.

La versión de resolución es preferible para su uso en analizadores de ASIM, mientras que la versión de búsqueda es útil en las consultas de uso general. Cuando una función de búsqueda de enriquecimiento tiene que devolver más de un valor, siempre usará el formato de resolución.

Funciones de tipo de búsqueda

Función Entrada* Output Descripción
_ASIM_LookupDnsQueryType Código de tipo de consulta DNS numérico Nombre del tipo de consulta Traducción de un tipo de registro de recursos DNS numérico (RR) a su nombre, tal y como se define en IANA
_ASIM_LookupDnsResponseCode Código de respuesta DNS numérico Nombre del código de respuesta Traducción de un código de respuesta DNS numérico (RCODE) a su nombre, según lo definido por IANA
_ASIM_LookupICMPType Tipo ICMP numérico Nombre del tipo ICMP Traducción de un tipo ICMP numérico a su nombre, tal y como se define en IANA
_ASIM_LookupNetworkProtocol Números de protocolo IP Nombre del protocolo IP Traducción de un código numérico de protocolo IP a su nombre, tal como se define en IANA

Resolución de funciones de tipo

Las funciones de formato de resolución realizan la misma acción que su homólogo de búsqueda, pero aceptan un nombre de campo, proporcionado como una constante de cadena, como entrada y configuración de campos predefinidos como salida. El valor de entrada también se asigna a un campo predefinido.

Función Campos extendidos
_ASIM_ResolveDnsQueryType - DnsQueryType para el valor de entrada
- DnsQueryTypeName para el valor de salida
_ASIM_ResolveDnsResponseCode - DnsResponseCode para el valor de entrada
- DnsResponseCodeName para el valor de salida
_ASIM_ResolveICMPType - NetworkIcmpCode para el valor de entrada
- NetworkIcmpType para el valor de búsqueda
_ASIM_ResolveNetworkProtocol - NetworkProtocolNumber para el valor de entrada
- NetworkProtocol para el valor de búsqueda

Funciones auxiliares del analizador

Las siguientes funciones realizan tareas comunes en analizadores y útiles para acelerar el desarrollo del analizador.

Funciones de resolución de dispositivos

Las funciones de resolución de dispositivos analizan un nombre de host y determinan si tiene información de dominio y el tipo de notación de dominio. A continuación, las funciones rellenan los campos ASIM pertinentes que representan un dispositivo. Todas las funciones son funciones de tipo de resolución y aceptan el nombre del campo que contiene el nombre de host, representado como una cadena, como entrada.

Función Campos extendidos Descripción
_ASIM_ResolveFQDN - ExtractedHostname
- Domain
- DomainType
- FQDN
Analiza el valor del campo especificado y establece los campos de salida en consecuencia. Para obtener más información, vea el ejemplo del artículo sobre el desarrollo de analizadores.
_ASIM_ResolveSrcFQDN - SrcHostname
- SrcDomain
- SrcDomainType
- SrcFQDN
Similar a _ASIM_ResolveFQDN, pero establece los campos Src
_ASIM_ResolveDstFQDN - DstHostname
- DstDomain
- DstDomainType
- SrcFQDN
Similar a _ASIM_ResolveFQDN, pero establece los campos Dst
_ASIM_ResolveDvcFQDN - DvcHostname
- DvcDomain
- DvcDomainType
- DvcFQDN
Similar a _ASIM_ResolveFQDN, pero establece los campos Dvc

Funciones de identificación de origen

La función _ASIM_GetSourceBySourceType recupera la lista de orígenes asociados a un tipo de origen proporcionado como entrada de la lista de reproducción SourceBySourceType. La función está pensada para escritores analizadores. Para obtener más información, consulte Filtrado por tipo de origen mediante una lista de reproducción.

Pasos siguientes

En este artículo se abordan las funciones de ayuda del modelo de información de seguridad avanzado (ASIM).

Para más información, consulte: