Problemas conocidos del modelo de información de seguridad avanzada (ASIM)

A continuación se muestran los problemas y limitaciones conocidos del modelo de información de seguridad avanzada (ASIM):

Sentinel lago de datos

Los analizadores de tiempo de consulta de ASIM no se admiten para los trabajos de Explorador de lago y KQL.

Desafíos de rendimiento

Las consultas basadas en ASIM durante un largo intervalo de tiempo, y que no usan parámetros de filtrado, pueden ser lentas. El análisis es una operación que consume muchos recursos y, cuando se aplica a un conjunto de datos grande, sin filtrar, se espera que sea lento.

Si tiene problemas de rendimiento:

  • Al usar una consulta interactiva, asegúrese de establecer el selector de tiempo en el intervalo de tiempo necesario.
  • Use filtros de analizador. Lo más importante es usar los starttimeendtime parámetros de filtro y .

No se admite la función ingest_time().

La ingest_time() función notifica la hora a la que se ingerió un registro en Microsoft Sentinel, que puede ser diferente de TimeGenerated. Esta información se usa normalmente en consultas que tienen en cuenta los retrasos en la ingesta. debe ingest_time() usarse en el contexto de una tabla específica y no funciona con funciones de ASIM, que unifican muchas tablas diferentes.

Mensaje informativo engañoso

En algunos casos cuando se usan funciones de analizador de ASIM, normalmente cuando no hay resultados en la consulta, se muestra el siguiente mensaje de información.

Captura de pantalla del mensaje informativo engañoso relacionado con ASIM.

Aunque el mensaje es alarmante, solo es informativo y el sistema se comportó según lo esperado. Las funciones de ASIM combinan datos de muchos orígenes, independientemente de si están disponibles en su entorno o no. El mensaje sugiere que algunos de los orígenes no están disponibles en su entorno.

Contenido relacionado

  • Se actualizó por última vez el