Problèmes connus liés au modèle ASIM (Advanced Security Information Model)

Voici les problèmes connus et limitations du modèle ASIM (Advanced Security Information Model) :

Lac de données Sentinel

Les analyseurs de temps de requête ASIM ne sont pas pris en charge pour les travaux Lake Explorer et KQL.

Défis en matière de performances

Les requêtes basées sur ASIM sur une longue période et qui n’utilisent pas de paramètres de filtrage peuvent être lentes. L’analyse est une opération gourmande en ressources et, lorsqu’elle est appliquée à un jeu de données volumineux et non filtré, elle devrait être lente.

Si vous rencontrez des problèmes de performances :

• Lorsque vous utilisez une requête interactive, veillez à définir le sélecteur de temps sur l’intervalle de temps nécessaire.
• Utilisez des filtres d’analyseur. Plus important encore, utilisez les paramètres de starttimeendtime filtre et .

La fonction ingest_time() n’est pas prise en charge

La ingest_time() fonction indique l’heure à laquelle un enregistrement a été ingéré dans Microsoft Sentinel, qui peut être différent de TimeGenerated. Ces informations sont couramment utilisées dans les requêtes qui prennent en compte les délais d’ingestion. Le ingest_time() doit être utilisé dans le contexte d’une table spécifique et ne fonctionne pas avec les fonctions ASIM, qui unifient de nombreuses tables différentes.

Message d’information trompeur

Dans certains cas, lorsque vous utilisez des fonctions d’analyseur ASIM, généralement lorsqu’il n’y a pas de résultats pour la requête, le message d’informations suivant s’affiche.

Bien que le message soit alarmant, il est uniquement informatif et le système s’est comporté comme prévu. Les fonctions ASIM combinent des données provenant de nombreuses sources, qu’elles soient disponibles ou non dans votre environnement. Le message suggère que certaines sources ne sont pas disponibles dans votre environnement.

Contenu connexe

• Vue d’ensemble du modèle ASIM (Advanced Security Information Model)
• Schémas ASIM (Advanced Security Information Model)
• Analyseurs ASIM (Advanced Security Information Model)
• Utilisation du modèle ASIM (Advanced Security Information Model)
• Modification Microsoft Sentinel contenu pour utiliser les analyseurs ASIM (Advanced Security Information Model)
• Webinaire approfondi sur Microsoft Sentinel normalisation des analyseurs et du contenu normalisé