Problemas conhecidos do Modelo de Informação de Segurança Avançada (ASIM)

Seguem-se as limitações e problemas conhecidos do Modelo de Informações de Segurança Avançada (ASIM):

Data lake do Sentinel

Os analisadores de tempo de consulta ASIM não são suportados para tarefas do Lake Explorer e KQL.

Desafios de desempenho

As consultas baseadas em ASIM num intervalo de tempo longo e que não utilizam parâmetros de filtragem podem ser lentas. A análise é uma operação intensiva em termos de recursos e, quando aplicada a um conjunto de dados grande, não filtrado, espera-se que seja lento.

Se encontrar problemas de desempenho:

  • Ao utilizar uma consulta interativa, certifique-se de que define o seletor de tempo para o intervalo de tempo necessário.
  • Utilize filtros de analisador. O mais importante é utilizar os starttime parâmetros e do endtime filtro.

A função ingest_time() não é suportada

A ingest_time() função comunica o momento em que um registo foi ingerido em Microsoft Sentinel, o que pode ser diferente de TimeGenerated. Estas informações são frequentemente utilizadas em consultas que têm em conta os atrasos de ingestão. O ingest_time() tem de ser utilizado no contexto de uma tabela específica e não funciona com funções ASIM, que unificam muitas tabelas diferentes.

Mensagem informativa enganosa

Em alguns casos, ao utilizar funções de analisador ASIM, normalmente quando não existem resultados para a consulta, é apresentada a seguinte mensagem de informação.

Captura de ecrã a mostrar uma mensagem informativa enganosa relacionada com o ASIM.

Embora a mensagem seja alarmante, é apenas informativa e o sistema comportou-se como esperado. As funções ASIM combinam dados de muitas origens, independentemente de estarem ou não disponíveis no seu ambiente. A mensagem sugere que algumas das origens não estão disponíveis no seu ambiente.

Conteúdo relacionado

  • Last updated on