Znane problemy z zaawansowanym modelem informacji o zabezpieczeniach (ASIM)

Poniżej przedstawiono znane problemy i ograniczenia dotyczące zaawansowanego modelu informacji o zabezpieczeniach (ASIM):

Usługa Data Lake usługi Sentinel

Analizatory czasu zapytania usługi ASIM nie są obsługiwane w przypadku zadań eksploratora usługi Lake Explorer i KQL.

Wyzwania związane z wydajnością

Zapytania oparte na usłudze ASIM w długim zakresie czasu, które nie używają parametrów filtrowania, mogą działać wolno. Analizowanie jest operacją intensywnie korzystającą z zasobów, a po zastosowaniu do dużego, niefiltrowanego zestawu danych oczekuje się, że będzie powolne.

Jeśli wystąpią problemy z wydajnością:

• W przypadku korzystania z zapytania interakcyjnego należy ustawić selektor czasu na wymagany zakres czasu.
• Użyj filtrów analizatora. Co najważniejsze, należy użyć parametrów filtru starttimeendtime i .

Funkcja ingest_time() nie jest obsługiwana

Funkcja ingest_time() zgłasza czas, w którym rekord został pozyskiwany do Microsoft Sentinel, co może różnić się od TimeGenerated. Te informacje są często używane w zapytaniach, które uwzględniają opóźnienia pozyskiwania. Element ingest_time() musi być używany w kontekście określonej tabeli i nie działa z funkcjami ASIM, które ujednolicają wiele różnych tabel.

Myląca wiadomość informacyjna

W niektórych przypadkach podczas korzystania z funkcji analizatora ASIM, zwykle w przypadku braku wyników zapytania, zostanie wyświetlony następujący komunikat informacyjny.

Chociaż komunikat jest alarmujący, jest tylko informacyjny, a system zachowywał się zgodnie z oczekiwaniami. Funkcje ASIM łączą dane z wielu źródeł, niezależnie od tego, czy są one dostępne w twoim środowisku, czy nie. Komunikat sugeruje, że niektóre źródła nie są dostępne w twoim środowisku.

Zawartość pokrewna

• Omówienie zaawansowanego modelu informacji o zabezpieczeniach (ASIM)
• Schematy zaawansowanego modelu informacji o zabezpieczeniach (ASIM)
• Analizatory zaawansowanego modelu informacji o zabezpieczeniach (ASIM)
• Korzystanie z zaawansowanego modelu informacji o zabezpieczeniach (ASIM)
• Modyfikowanie zawartości Microsoft Sentinel w celu używania analizatorów ASIM (Advanced Security Information Model)
• Deep Dive Webinar on Microsoft Sentinel Normalizing Parsers and Normalized Content (Seminarium internetowe znormalizowane w Microsoft Sentinel normalizowanie analizatorów i znormalizowana zawartość)