Hjälpfunktioner för Advanced Security Information Model (ASIM) (allmänt tillgänglig förhandsversion)
Asim-hjälpfunktioner (Advanced Security Information Model) utökar KQL-språket med funktioner som hjälper dig att interagera med normaliserade data och skriva parser.
Funktioner för berikande sökning
Uppslagsfunktioner för berikning är en enkel metod för att söka efter kända värden baserat på deras numeriska representation. Sådana funktioner är användbara eftersom händelser ofta använder kortformens numeriska kod, medan användarna föredrar textformuläret. De flesta funktioner har två former:
Uppslagsversionen är en skalär funktion som accepterar den numeriska koden som indata och returnerar textformuläret. Använd följande KQL-kodfragment med uppslagsversionen :
| extend ProtocolName = _ASIM_LookupNetworkProtocol (ProtocolNumber)
Lösningens version är en tabellfunktion som:
- Används som KQL-pipelineoperator.
- Accepterar som indata namnet på fältet som innehåller det värde som ska slås upp.
- Anger de ASIM-fält som vanligtvis innehåller både indatavärdet och det resulterande uppslagsvärdet.
Använd följande KQL-kodfragment med lösningens version:
| invoke _ASIM_ResolveNetworkProtocol (`ProtocolNumber`)
Vilket automatiskt fyller i fältet NetworkProtocol med resultatet av sökningen.
Lös version är att föredra för användning i ASIM-parser, medan uppslagsversionen är användbar i allmänna frågor. När en funktion för berikande sökning måste returnera fler än ett värde använder den alltid matchningsformatet .
Funktioner för uppslagstyp
| Funktion | Input* | Utdata | Beskrivning |
|---|---|---|---|
| _ASIM_LookupDnsQueryType | Numerisk DNS-frågetypkod | Namn på frågetyp | Översätt en numerisk RR-typ (DNS-resurspost) till dess namn, enligt definitionen i IANA |
| _ASIM_LookupDnsResponseCode | Numerisk DNS-svarskod | Namn på svarskod | Översätt en numerisk DNS-svarskod (RCODE) till dess namn, enligt definitionen i IANA |
| _ASIM_LookupICMPType | Numerisk ICMP-typ | ICMP-typnamn | Översätt en numerisk ICMP-typ till dess namn, enligt definitionen i IANA |
| _ASIM_LookupNetworkProtocol | IP-protokollnumret | IP-protokollnamn | Översätta en numerisk IP-protokollkod till dess namn, enligt definitionen i IANA |
Lösa typfunktioner
Funktionerna för matchningsformat utför samma åtgärd som deras uppslagsmotsvarighet, men accepterar ett fältnamn som anges som en strängkonstant som indata och konfigurerar fördefinierade fält som utdata. Indatavärdet tilldelas också till ett fördefinierat fält.
| Funktion | Utökade fält |
|---|---|
| _ASIM_ResolveDnsQueryType | - DnsQueryType för indatavärdet- DnsQueryTypeName för utdatavärdet |
| _ASIM_ResolveDnsResponseCode | - DnsResponseCode för indatavärdet- DnsResponseCodeName för utdatavärdet |
| _ASIM_ResolveICMPType | - NetworkIcmpCode för indatavärdet- NetworkIcmpType för uppslagsvärdet |
| _ASIM_ResolveNetworkProtocol | - NetworkProtocolNumber för indatavärdet- NetworkProtocol för uppslagsvärdet |
Hjälpfunktioner för parser
Följande funktioner utför uppgifter som är vanliga i parsrar och som är användbara för att påskynda parsningsutvecklingen.
Funktioner för enhetsupplösning
Enhetsmatchningsfunktionerna analyserar ett värdnamn och avgör om det finns domäninformation och typen av domännotation. Funktionerna fyller sedan i de relevanta ASIM-fälten som representerar en enhet. Alla funktioner är lös typfunktioner och accepterar namnet på fältet som innehåller värdnamnet, som representeras som en sträng, som indata.
| Funktion | Utökade fält | Beskrivning |
|---|---|---|
| _ASIM_ResolveFQDN | - ExtractedHostname- Domain- DomainType - FQDN |
Analyserar värdet i det angivna fältet och anger utdatafälten därefter. Mer information finns i exemplet i artikeln om att utveckla parsers. |
| _ASIM_ResolveSrcFQDN | - SrcHostname- SrcDomain- SrcDomainType- SrcFQDN |
_ASIM_ResolveFQDNLiknar , men anger fälten Src |
| _ASIM_ResolveDstFQDN | - DstHostname- DstDomain- DstDomainType- SrcFQDN |
_ASIM_ResolveFQDNLiknar , men anger fälten Dst |
| _ASIM_ResolveDvcFQDN | - DvcHostname- DvcDomain- DvcDomainType- DvcFQDN |
_ASIM_ResolveFQDNLiknar , men anger fälten Dvc |
Funktioner för källidentifiering
Funktionen _ASIM_GetSourceBySourceType hämtar listan över källor som är associerade med en källtyp som tillhandahålls som indata från visningslistan SourceBySourceType . Funktionen är avsedd att användas av parsers-skrivare. Mer information finns i Filtrera efter källtyp med hjälp av en visningslista.
Nästa steg
I den här artikeln beskrivs hjälpfunktionerna för Advanced Security Information Model (ASIM).
Mer information finns i:
- Titta på webbseminariet för djupdykning i Microsoft Sentinel, normalisera parser och normaliserat innehåll eller granska bilderna
- Översikt över Advanced Security Information Model (ASIM)
- ASIM-scheman (Advanced Security Information Model)
- Parser för Advanced Security Information Model (ASIM)
- Använda Advanced Security Information Model (ASIM)
- Ändra Microsoft Sentinel-innehåll till att använda ASIM-parser (Advanced Security Information Model)