高度なセキュリティ情報モデル (ASIM) の既知の問題と制限事項を次に示します。
data lake のSentinel
ASIM クエリ時間パーサーは、レイク エクスプローラーと KQL ジョブではサポートされていません。
パフォーマンスの課題
ASIM ベースのクエリは、長い時間範囲にわたって、フィルター 処理パラメーターを使用しない場合は、低速になる可能性があります。 解析はリソースを集中的に消費する操作であり、フィルター処理されていない大規模なデータセットに適用すると、低速であることが予想されます。
パフォーマンスの問題が発生した場合:
- 対話型クエリを使用する場合は、時間ピッカーを必要な時間範囲に設定してください。
- パーサー フィルターを使用します。 最も重要なのは、
starttimeとendtimeフィルター パラメーターを使用することです。
ingest_time() 関数はサポートされていません
ingest_time()関数は、レコードがMicrosoft Sentinelに取り込まれた時刻を報告します。これは、TimeGeneratedとは異なる場合があります。 この情報は、インジェストの遅延を考慮したクエリでよく使用されます。
ingest_time()は、特定のテーブルのコンテキストで使用する必要があり、多くの異なるテーブルを統合する ASIM 関数では機能しません。
誤解を招く情報メッセージ
ASIM パーサー関数を使用する場合、通常、クエリに結果がない場合は、次の情報メッセージが表示される場合があります。
メッセージは警告的ですが、情報のみであり、システムは期待どおりに動作します。 ASIM 関数は、環境内で使用できるかどうかに関係なく、多くのソースのデータを結合します。 このメッセージは、一部のソースが環境内で使用できないことを示しています。