Problemi noti di Advanced Security Information Model (ASIM)

Di seguito sono riportati i problemi e le limitazioni noti di Advanced Security Information Model (ASIM):

Data Lake di Sentinel

I parser del tempo di query ASIM non sono supportati per i processi Lake Explorer e KQL.

Problemi di prestazioni

Le query basate su ASIM su un intervallo di tempo lungo e che non usano parametri di filtro possono essere lente. L'analisi è un'operazione a elevato utilizzo di risorse e, se applicata a un set di dati di grandi dimensioni e non filtrato, si prevede che sia lenta.

Se si verificano problemi di prestazioni:

• Quando si usa una query interattiva, assicurarsi di impostare la selezione ora sull'intervallo di tempo necessario.
• Usare i filtri del parser. Soprattutto, usare i starttime parametri di filtro e endtime .

La funzione ingest_time() non è supportata

La ingest_time() funzione indica l'ora in cui un record è stato inserito in Microsoft Sentinel, che può essere diverso da TimeGenerated. Queste informazioni vengono comunemente usate nelle query che tengono conto dei ritardi di inserimento. Deve ingest_time() essere usato nel contesto di una tabella specifica e non funziona con le funzioni ASIM, che unificano molte tabelle diverse.

Messaggio informativo fuorviante

In alcuni casi quando si usano funzioni del parser ASIM, in genere quando non sono presenti risultati nella query, viene visualizzato il messaggio informativo seguente.

Anche se il messaggio è allarmante, è solo informativo e il sistema si è comportato come previsto. Le funzioni ASIM combinano i dati di molte origini, indipendentemente dal fatto che siano disponibili o meno nell'ambiente. Il messaggio suggerisce che alcune origini non sono disponibili nell'ambiente.

Contenuto correlato

• Panoramica di Advanced Security Information Model (ASIM)
• Schemi ASIM (Advanced Security Information Model)
• Parser ASIM (Advanced Security Information Model)
• Uso del modello ASIM (Advanced Security Information Model)
• Modifica del contenuto Microsoft Sentinel per l'uso dei parser ASIM (Advanced Security Information Model)
• Webinar di approfondimento su Microsoft Sentinel normalizzazione dei parser e del contenuto normalizzato