Gelişmiş Güvenlik Bilgi Modeli (ASIM) ayrıştırıcıları geliştirme

Gelişmiş Güvenlik Bilgileri Modeli (ASIM) kullanıcıları sorgularında tablo adları yerine birleştirici ayrıştırıcılar kullanır, verileri normalleştirilmiş biçimde görüntüler ve şemayla ilgili tüm verileri sorguya ekler. Birleştirici ayrıştırıcılar ise, her kaynağa özgü ayrıntıları işlemek için kaynağa özgü ayrıştırıcılar kullanır.

Microsoft Sentinel, birçok veri kaynağı için yerleşik, kaynağa özgü ayrıştırıcılar sağlar. Aşağıdaki durumlarda bu kaynağa özgü ayrıştırıcıları değiştirmek veya geliştirmek isteyebilirsiniz:

• Cihazınız bir ASIM şemasına uyan olaylar sağladığında, ancak cihazınız için kaynağa özgü ayrıştırıcı ve ilgili şema Microsoft Sentinel'da mevcut olmadığında.

• Cihazınız için ASIM kaynağına özgü ayrıştırıcılar kullanılabiliyorsa, ancak cihazınız olayları ASIM ayrıştırıcılarının beklediğinden farklı bir yöntemle veya biçimde gönderiyorsa. Örneğin:

  • Kaynak cihazınız olayları standart olmayan bir şekilde gönderecek şekilde yapılandırılabilir.

  • Cihazınız ASIM ayrıştırıcısı tarafından desteklenenden farklı bir sürüme sahip olabilir.

  • Olaylar bir aracı sistem tarafından toplanabilir, değiştirilebilir ve iletilebilir.

Ayrıştırıcıların ASIM mimarisine nasıl uygun olduğunu anlamak için ASIM mimari diyagramına bakın.

Özel ASIM ayrıştırıcı geliştirme süreci

Aşağıdaki iş akışı, kaynağa özgü özel bir ASIM ayrıştırıcısı geliştirmenin üst düzey adımlarını açıklar:

1. Örnek günlükleri toplayın.

2. Kaynaktan gönderilen olayların temsili şemaları veya şemaları tanımlayın. Daha fazla bilgi için bkz . Şemaya genel bakış.

3. Tanımlanan şema veya şemalar için kaynak olayları şemayla eşleyin.

4. Kaynağınız için ASIM ayrıştırıcıları geliştirin. Kaynakla ilgili her şema için bir filtreleme ayrıştırıcısı ve parametresiz ayrıştırıcı geliştirmeniz gerekir.

5. Ayrıştırıcınızı test edin.

6. Ayrıştırıcıları Microsoft Sentinel çalışma alanlarınıza dağıtın.

7. İlgili ASIM birleştirme ayrıştırıcısını, yeni özel ayrıştırıcıyı referans alacak şekilde güncelleyin. Daha fazla bilgi için bkz. ASIM ayrıştırıcılarını yönetme.

8. Ayrıştırıcılarınızla ASIM’in ana dağıtımına katkıda bulunmak da isteyebilirsiniz. Katkı olarak eklenen ayrıştırıcılar, tüm çalışma alanlarında yerleşik ayrıştırıcılar olarak da kullanılabilir.

Aşağıdaki bölümlerde özel ASIM kaynağına özgü ayrıştırıcıların nasıl geliştirilip test ve dağıtılacağı açıklanmaktadır.

Örnek günlükleri toplama

Etkili ASIM ayrıştırıcıları oluşturmak için, çoğu durumda kaynak sistemin ayarlanmasını ve Microsoft Sentinel bağlanmasını gerektiren temsili bir günlük kümesine ihtiyacınız vardır. Kaynak cihaz elinizde değilse, bulut tabanlı kullandıkça öde hizmetleri geliştirme ve test amaçlarıyla çok sayıda cihaz dağıtmanıza olanak tanır.

Ayrıca, günlükler için satıcı belgelerini ve örneklerini bulmak, geniş günlük biçimi kapsamı sağlayarak geliştirmeyi hızlandırmaya ve hataları azaltmaya yardımcı olabilir.

Temsili bir günlük kümesi şunları içermelidir:

• Farklı olay sonuçlarına sahip olaylar.
• Farklı yanıt eylemlerine sahip olaylar.
• Kullanıcı adı, ana bilgisayar adı ve kimlikler ile değer normalleştirmesi gerektiren diğer alanlar için farklı biçimler.

Alan eşlemelerini planlayın

Ayrıştırıcı geliştirmeden önce, kaynak olay alanlarını kaynağınız için seçilen hedef ASIM şemasına veya şemalarına eşleyin:

• Tüm zorunlu alanları ve tercihen önerilen alanları eşleyin.
• Kaynaktan sağlanan tüm bilgileri normalleştirilmiş alanlarla eşlemeyi deneyin. Seçilen şemanın bir parçası olarak kullanılamıyorsa, diğer şemalarda bulunan alanlarla eşlemeyi göz önünde bulundurun.
• Kaynakta alanların değerlerini ASIM tarafından izin verilen normalleştirilmiş değerlerle eşleyin. Özgün değer, gibi EventOriginalResultDetailsayrı bir alanda depolanır.

Ayrıştırıcı geliştirme

Her ilgili şema için hem filtreleme hem de parametresiz ayrıştırıcı geliştirin.

Özel ayrıştırıcı, Microsoft Sentinel Günlükleri sayfasında geliştirilen bir KQL sorgusudur. Ayrıştırıcı sorgusunun üç bölümü vardır:

Filtrele>Ayrıştır>Alanları hazırla

İlgili kaynak kayıtları filtreleme

Filtreleme, ayrıştırıcınızın yalnızca hedef şemayla ilgili kaynak kayıtları seçmesini sağlar. Bu, ayrıştırıcı sorgu işlem hattının ilk adımıdır.

İlgili kayıtları filtreleme

Çoğu durumda, Microsoft Sentinel içindeki bir tablo birden çok olay türü içerir. Örneğin:

• Syslog tablosunda birden çok kaynaktan veriler bulunur.
• Özel tablolar, birden fazla olay türü sağlayan ve çeşitli şemalara sığabilen tek bir kaynaktan bilgiler içerebilir.

Bu nedenle, ayrıştırıcı öncelikle yalnızca hedef şemayla ilgili kayıtları filtrelemelidir.

KQL'de filtreleme, where işleci kullanılarak yapılır. Örneğin, Sysmon olay 1 işlem oluşturmayı raporlar ve bu nedenle ProcessEvent şemasına normalleştirilir. Sysmon olay 1 olayı tablonun bir parçasıdırEvent, bu nedenle aşağıdaki filtreyi kullanabilirsiniz:

Event | where Source == "Microsoft-Windows-Sysmon" and EventID == 1

İzleme Listesi kullanarak kaynak türüne göre filtreleme

Bazı durumlarda, olayın kendisi belirli kaynak türleri için filtrelemeye izin verecek bilgiler içermez.

Örneğin, Infoblox DNS olayları Syslog iletileri olarak gönderilir ve diğer kaynaklardan gönderilen Syslog iletilerinden ayırt etmek zordur. Bu gibi durumlarda ayrıştırıcı, ilgili olayları tanımlayan kaynakların listesine dayanır. Bu liste Sources_by_SourceType izleme listesinde tutulur.

Ayrıştırıcılarınızda ASimSourceType izleme listesini kullanmak için ayrıştırıcı filtreleme bölümündeki işlevini kullanın _ASIM_GetSourceBySourceType . Örneğin, Infoblox DNS ayrıştırıcısı filtreleme bölümünde aşağıdakileri içerir:

  | where Computer in (_ASIM_GetSourceBySourceType('InfobloxNIOS'))

Ayrıştırıcınızda bu örneği kullanmak için:

• Computer değerini, kaynağınıza ilişkin kaynak bilgilerini içeren alanın adıyla değiştirin. Syslog tabanlı herhangi bir ayrıştırıcı için bunu Computer olarak koruyabilirsiniz.

• Belirteci InfobloxNIOS ayrıştırıcınız için seçtiğiniz bir değerle değiştirin. Ayrıştırıcı kullanıcılarına, seçtiğiniz değeri kullanarak ASimSourceType izleme listesini ve bu tür olaylar gönderen kaynakların listesini güncellemeleri gerektiğini bildirin.

Ayrıştırıcı parametrelerine göre filtreleme

Filtreleme ayrıştırıcıları geliştirirken, ayrıştırıcınızın ilgili şema için filtreleme parametrelerini kabul ettiğinden emin olun( bu şema için başvuru makalesinde belirtildiği gibi). Başlangıç noktası olarak mevcut ayrıştırıcının kullanılması, ayrıştırıcınızın doğru işlev imzasını içermesini sağlar. Çoğu durumda, gerçek filtreleme kodu aynı şema için ayrıştırıcıları filtrelemek için de benzerdir.

Filtreleme sırasında şunları yaptığınızdan emin olun:

• Fiziksel alanları kullanarak ayrıştırmadan önce filtreleyin. Filtrelenen sonuçlar yeterince doğru değilse, sonuçlarınıza ince ayar yapmak için ayrıştırdıktan sonra testi tekrarlayın. Daha fazla bilgi için bkz. Filtreleme performansını iyileştirme.
• Parametre tanımlanmamışsa ve hala varsayılan değere sahipse filtre uygulamayın.

Aşağıdaki örneklerde, varsayılan değerin genellikle '*' olduğu bir dize parametresi ve varsayılan değerin genellikle boş bir liste olduğu liste parametresi için filtrelemenin nasıl uygulanacağı gösterilir.

srcipaddr=='*' or ClientIP==srcipaddr
array_length(domain_has_any) == 0 or Name has_any (domain_has_any)

Kusto belgelerinde aşağıdaki öğeler hakkında daha fazla bilgi bulabilirsiniz:

• array_length işlevi
• has_any işleci

Filtreleme iyileştirmesi

Ayrıştırıcının performansını sağlamak için aşağıdaki filtreleme önerilerini not edin:

• Ayrıştırılmış alanlar yerine her zaman yerleşik alanları filtreleyin. Ayrıştırılmış alanları kullanarak filtrelemek bazen daha kolay olsa da performansı önemli ölçüde etkiler.
• İyileştirilmiş performans sağlayan işleçler kullanın. Özellikle, ==, hasve startswith. veya contains gibi matches regex işleçlerin kullanılması performansı önemli ölçüde etkiler.

Performans için filtreleme önerileri her zaman kolay takip edilmeyebilir. Örneğin, has kullanmak, contains kullanmaktan daha az doğrudur. Diğer durumlarda, örneğin SyslogMessage gibi yerleşik bir alanı eşleştirmek, örneğin DvcAction gibi ayıklanmış bir alanı karşılaştırmaktan daha az isabetlidir. Bu gibi durumlarda, yerleşik bir alan üzerinde performans iyileştirme işleci kullanarak yine de önceden filtrelemenizi ve ayrıştırma sonrasında daha doğru koşullar kullanarak filtreyi tekrarlamanızı öneririz.

Örnek için aşağıdaki Infoblox DNS ayrıştırıcısı parçacığına bakın. Ayrıştırıcı önce SyslogMessage alanını has sözcüğü client açısından denetler. Ancak, terim iletide farklı bir yerde kullanılabilir, bu nedenle alanı ayrıştırdıktan Log_Type sonra ayrıştırıcı sözcüğün client gerçekten alanın değeri olduğunu yeniden denetler.

Syslog | where ProcessName == "named" and SyslogMessage has "client"
…
      | extend Log_Type = tostring(Parser[1]),
      | where Log_Type == "client"

Kaynak verileri ASIM alanlarına ayrıştırma

Sorgu ilgili kayıtları seçtikten sonra bunları ayrıştırmak gerekebilir. Genellikle, tek bir metin alanında birden çok olay alanı iletilirse ayrıştırma gerekir.

Ayrıştırma gerçekleştiren KQL işleçleri, performans iyileştirmelerine göre sıralanmış olarak aşağıda listelenmiştir. İlki en iyi duruma getirilmiş performansı sağlarken, sonuncusu en az iyileştirilmiş performansı sağlar.

Alanları ASIM şemasına normalleştirme

Normalleştirme, kaynak alan adlarını, değerlerini ve biçimlerini standart ASIM şema gösterimine dönüştürerek veri kaynakları arasında tutarlılık sağlar.

Alan isimlerini eşleştirme

Normalleştirmenin en basit biçimi, özgün bir alanı normalleştirilmiş adına yeniden adlandırmaktır. Bunun için işlecini project-rename kullanın. Proje yeniden adlandırmanın kullanılması, alanın hala fiziksel bir alan olarak yönetilmesini ve alanın işlenmesinin daha yüksek performanslı olmasını sağlar. Örneğin:

 | project-rename
    ActorUserId = InitiatingProcessAccountSid,
    ActorUserAadId = InitiatingProcessAccountObjectId,
    ActorUserUpn = InitiatingProcessAccountUpn,

Alan biçimini ve türünü normalleştirme

Çoğu durumda, ayıklanan özgün değerin normalleştirilmesi gerekir. Örneğin, ASIM'de bir MAC adresi ayırıcı olarak iki nokta üst üste kullanırken, kaynak kısa çizgiyle ayrılmış bir MAC adresi gönderebilir. Değerleri dönüştürmek için kullanılan birincil işleç, geniş bir KQL dize, sayısal ve tarih işlevleri kümesiyle birlikte extend öğesidir.

Ayrıca ayrıştırıcı çıkış alanlarının şemada tanımlanan türle eşleştiğinden emin olmak, ayrıştırıcıların çalışması için kritik önem taşır. Örneğin, tarih ve saati temsil eden bir dizeyi tarih saat alanına dönüştürmeniz gerekebilir. todatetime ve tohex gibi işlevler bu durumlarda yardımcıdır.

Örneğin, özgün benzersiz olay kimliği tamsayı olarak gönderilebilir, ancak ASIM veri kaynakları arasında geniş uyumluluk sağlamak için değerin dize olmasını gerektirir. Bu nedenle, kaynak alanını atarken project-rename yerine extend ve tostring kullanın:

  | extend EventOriginalUid = tostring(ReportId),

Türetilmiş alanlar ve değerler

Kaynak alanın değeri, çıkarıldıktan sonra, hedef şema alanı için belirtilen değerler kümesine eşlenmek zorunda kalabilir. , iffve case işlevlerilookup, kullanılabilir verileri hedef değerlerle eşlemek için yararlı olabilir.

Örneğin, Microsoft DNS ayrıştırıcısı, aşağıdaki gibi, Olay Kimliği ve Yanıt Koduna göre iff deyimi kullanarak EventResult alanını atar:

   extend EventResult = iff(EventId==257 and ResponseCode==0 ,'Success','Failure')

Birden çok değeri eşlemek için eşlemeyi datatable işleciyle tanımlayın ve eşlemeyi gerçekleştirmek için lookup kullanın. Örneğin, bazı kaynaklar sayısal DNS yanıt kodlarını ve ağ protokollerini bildirirken, şema her ikisi için de daha yaygın metin etiketleri gösterimini zorunlu hale getirir. Aşağıdaki örnekte ve datatablekullanarak lookup gerekli değerlerin nasıl türetilmiş olduğu gösterilmektedir:

   let NetworkProtocolLookup = datatable(Proto:real, NetworkProtocol:string)[
        6, 'TCP',
        17, 'UDP'
   ];
    let DnsResponseCodeLookup=datatable(DnsResponseCode:int,DnsResponseCodeName:string)[
      0,'NOERROR',
      1,'FORMERR',
      2,'SERVFAIL',
      3,'NXDOMAIN',
      ...
   ];
   ...
   | lookup DnsResponseCodeLookup on DnsResponseCode
   | lookup NetworkProtocolLookup on Proto

Eşlemenin yalnızca iki olası değeri olduğunda da aramanın yararlı ve verimli olduğuna dikkat edin.

Eşleme koşulları daha karmaşıksa, iff, case ve lookup öğelerini birleştirin. Aşağıdaki örnekte ve lookup'nin nasıl birleştirildiği case gösterilmektedir. Yukarıdaki lookup örnek, arama değeri bulunamazsa alanda DnsResponseCodeName boş bir değer döndürür. Aşağıdaki case örneği, varsa lookup işleminin sonucunu kullanarak, aksi takdirde ise ek koşullar belirterek onu genişletir.

   | extend DnsResponseCodeName = 
      case (
        DnsResponseCodeName != "", DnsResponseCodeName,
        DnsResponseCode between (3841 .. 4095), 'Reserved for Private Use',
        'Unassigned'
      )

Microsoft Sentinel, ortak arama değerleri için kullanışlı işlevler sağlar. Örneğin, DnsResponseCodeName yukarıdaki arama aşağıdaki işlevlerden biri kullanılarak uygulanabilir:

| extend DnsResponseCodeName = _ASIM_LookupDnsResponseCode(DnsResponseCode)

| invoke _ASIM_ResolveDnsResponseCode('DnsResponseCode')

_ASIM_LookupDnsResponseCode parametre olarak aramak için değeri kabul eder ve çıkış alanını seçmenize olanak sağlayarak genel arama işlevi olarak yararlı olmasını sağlar. _ASIM_ResolveDnsResponseCode, daha çok ayrıştırıcılara yöneliktir: giriş olarak kaynak alanın adını alır ve gerekli ASIM alanını, bu durumda DnsResponseCodeName alanını, günceller.

ASIM yardım işlevlerinin tam listesi için bkz. ASIM işlevleri

Zenginleştirme alanları

Kaynaktan sağlanan alanlara ek olarak, sonuçta elde edilen ASIM olayı ayrıştırıcının oluşturması gereken zenginleştirme alanlarını içerir. Çoğu durumda ayrıştırıcılar alanlara sabit bir değer atayabilir, örneğin:

  | extend                  
     EventCount = int(1),
     EventProduct = 'M365 Defender for Endpoint',
     EventVendor = 'Microsoft',
     EventSchemaVersion = '0.1.0',
     EventSchema = 'ProcessEvent'

Ayrıştırıcılarınızın ayarlaması gereken başka bir zenginleştirme alanı türü, ilgili alanda depolanan değerin türünü belirleyen tür alanlarıdır. Örneğin, SrcUsernameType alanı, SrcUsername alanında depolanan değerin türünü belirtir. Varlık açıklamasında tür alanları hakkında daha fazla bilgi bulabilirsiniz.

Çoğu durumda, türlere sabit bir değer de atanır. Ancak, bazı durumlarda türün gerçek değere göre belirlenmesi gerekir, örneğin:

   DomainType = iif (array_length(SplitHostname) > 1, 'FQDN', '')

Microsoft Sentinel zenginleştirmeyi işlemek için yararlı işlevler sağlar. Örneğin, , ve SrcHostname alanlarını SrcDomainSrcDomainTypeSrcFQDNalanındaki Computerdeğere göre otomatik olarak atamak için aşağıdaki işlevi kullanın.

  | invoke _ASIM_ResolveSrcFQDN('Computer')

Bu işlev alanları aşağıdaki gibi ayarlar:

İşlevler _ASIM_ResolveDstFQDN ve _ASIM_ResolveDvcFQDN ilgili Dst ve Dvc alanları dolduran benzer bir görev gerçekleştirir. ASIM yardım işlevlerinin tam listesi için bkz. ASIM işlevleri

Sonuç kümesindeki alanları seçme

Ayrıştırıcı isteğe bağlı olarak sonuç kümesindeki alanları seçebilir. Gereksiz alanların kaldırılması, normalleştirilmiş alanlarla kalan kaynak alanlar arasındaki kafa karıştırıcılığı önleyerek performansı geliştirebilir ve netlik sağlayabilir.

Aşağıdaki KQL işleçleri, sonuç kümenizdeki alanları seçmek için kullanılır:

Örneğin, özel bir günlük tablosunu ayrıştırırken, hala bir tür tanımlayıcısı olan kalan özgün alanları kaldırmak için aşağıdakileri kullanın:

    | project-away
        *_d, *_s, *_b, *_g

Ayrıştırma varyantlarını işleme

Çoğu durumda, bir olay akışındaki olaylar farklı ayrıştırma mantığı gerektiren değişkenler içerir. Tek bir ayrıştırıcıda farklı varyantları ayrıştırmak için, iff ve case gibi koşullu ifadeler kullanın ya da bir birleşim yapısı kullanın.

Birden çok değişkeni işlemek üzere kullanmak union için her değişken için ayrı bir işlev oluşturun ve birleşim deyimini kullanarak sonuçları birleştirin:

let AzureFirewallNetworkRuleLogs = AzureDiagnostics
    | where Category == "AzureFirewallNetworkRule"
    | where isnotempty(msg_s);
let parseLogs = AzureFirewallNetworkRuleLogs
    | where msg_s has_any("TCP", "UDP")
    | parse-where
        msg_s with           networkProtocol:string 
        " request from "     srcIpAddr:string
        ":"                  srcPortNumber:int
    …
    | project-away msg_s;
let parseLogsWithUrls = AzureFirewallNetworkRuleLogs
    | where msg_s has_all ("Url:","ThreatIntel:")
    | parse-where
        msg_s with           networkProtocol:string 
        " request from "     srcIpAddr:string
        " to "               dstIpAddr:string
    ...
union parseLogs,  parseLogsWithUrls…

Yinelenen olayları ve aşırı işlemeyi önlemek için, her işlevin yalnızca ayrıştırmak üzere tasarlandığı olayları filtreleyerek, yerel alanları kullanarak başladığından emin olun. Ayrıca gerekirse birleşimden önce her dalda proje dışı özelliğini kullanın.

Ayrıştırıcıları dağıt

Ayrıştırıcıları Azure İzleyici Günlüğü sayfasına kopyalayıp sorguyu işlev olarak kaydederek el ile dağıtın. Bu yöntem test için yararlıdır. Daha fazla bilgi için bkz. İşlev oluşturma.

Çok sayıda ayrıştırıcı dağıtmak için ayrıştırıcı ARM şablonlarını aşağıdaki gibi kullanmanızı öneririz:

1. Her şema için ilgili şablonu temel alan bir YAML dosyası oluşturun ve sorgunuzu buna ekleyin. Şemanız ve ayrıştırıcı türünüz için uygun, filtrelemeli veya parametresiz YAML şablonuyla başlayın.

2. YAML dosyanızı ARM şablonuna dönüştürmek için ASIM YAML to ARM şablon dönüştürücüsünüzü kullanın.

3. Güncelleştirme dağıtıyorsanız portalı veya işlev silme PowerShell aracını kullanarak işlevlerin eski sürümlerini silin.

4. Azure portal veya PowerShell kullanarak şablonunuzu dağıtın.

Ayrıca bağlantılı şablonları kullanarak birden çok şablonu tek bir dağıtım işlemiyle birleştirebilirsiniz

Ayrıştırıcıları test et

Bu bölümde ASIM'in ayrıştırıcılarınızı test etmenizi sağlayan test araçları açıklanmaktadır. Bununla birlikte, ayrıştırıcılar da birer koddur, bazen karmaşık olabilirler ve otomatik testlere ek olarak kod gözden geçirmeleri gibi standart kalite güvence uygulamalarının kullanılması önerilir.

ASIM test araçlarını yükleme

ASIM'i test etmek için ASIM test aracını aşağıdaki durumlarda Microsoft Sentinel bir çalışma alanına dağıtın:

• Ayrıştırıcınız dağıtıma alındı.
• Ayrıştırıcı tarafından kullanılan kaynak tablo kullanılabilir.
• Ayrıştırıcı tarafından kullanılan kaynak tablo, çeşitli ilgili olaylar koleksiyonuyla doldurulur.

Çıkış şemasını doğrulama

Ayrıştırıcınızın geçerli bir şema ürettiğinden emin olmak için, Microsoft Sentinel Günlükleri sayfasında aşağıdaki sorguyu çalıştırarak ASIM şema test aracını kullanın:

<parser name> | getschema | invoke ASimSchemaTester('<schema>')

Sonuçları aşağıdaki gibi işleyin:

Çıkış değerlerini doğrulama

Ayrıştırıcınızın geçerli değerler ürettiğinden emin olmak için, Microsoft Sentinel Günlükleri sayfasında aşağıdaki sorguyu çalıştırarak ASIM veri test aracını kullanın:

<parser name> | limit <X> | invoke ASimDataTester ('<schema>')

Şema belirtmek isteğe bağlıdır. Bir şema belirtilmezse alan, EventSchema olayın uyması gereken şemayı tanımlamak için kullanılır. Bir olay bir EventSchema alan içermiyorsa, yalnızca ortak alanlar doğrulanır. Bir şema parametre olarak belirtilirse, bu şema tüm kayıtları test etmek için kullanılır. Bu, EventSchema alanını ayarlamayan eski ayrıştırıcılar için kullanışlıdır.

Bu test yoğun kaynak kullanır ve veri kümenizin tamaminde çalışmayabilir. X değerini, sorgunun zaman aşımına almayacak en büyük sayıya ayarlayın veya zaman aralığı seçicisini kullanarak sorgunun zaman aralığını ayarlayın.

Sonuçları aşağıdaki gibi işleyin:

İletilerin çoğu, iletiyi oluşturan kayıt sayısını ve toplam örneğin yüzdesini de bildirir. Bu yüzde, sorunun öneminin iyi bir göstergesidir. Örneğin, önerilen bir alan için:

• %90 boş değer genel ayrıştırma sorununa işaret edebilir.
• %25 boş değer, doğru ayrıştırılmayan bir olay değişkeni gösterebilir.
• Birkaç boş değer göz ardı edilebilir bir sorun olabilir.

Ayrıştırıcılara katkıda bulunun

Ayrıştırıcıyı ana ASIM dağıtımına eklemek isteyebilirsiniz. Kabul edilirse, ayrıştırıcılar tüm müşterilerin kullanımına ASIM’in yerleşik ayrıştırıcıları olarak sunulacaktır.

Ayrıştırıcılarınıza katkıda bulunmak için:

• Hem filtreleme ayrıştırıcısı hem de parametresiz ayrıştırıcı geliştirin.
• Ayrıştırıcıları Dağıtma bölümünde açıklandığı gibi, ayrıştırıcı için bir YAML dosyası oluşturun.
• Ayrıştırıcılarınızın hata olmadan tüm ayrıştırıcı testlerini geçtiğine emin olun. Herhangi bir uyarı bırakılırsa, ayrıştırıcı YAML dosyasındaki kabul edilen uyarıları belgeleyin .
• Microsoft Sentinel GitHub deposuna aşağıdakiler dahil olmak üzere bir çekme isteği oluşturun:
  • ASIM ayrıştırıcı klasörlerindeki ayrıştırıcılarınızın YAML dosyaları (/Parsers/ASim<schema>/Parsers)
  • Örnek gönderme yönergelerine göre temsili örnek veriler.
  • test sonuçları gönderme yönergelerine göre test sonuçları.

Kabul edilen uyarıları belgeleme

ASIM test araçları tarafından listelenen uyarılar ayrıştırıcı için geçerli kabul edilirse, aşağıdaki örnekte gösterildiği gibi Özel Durumlar bölümünü kullanarak ayrıştırıcı YAML dosyasındaki kabul edilen uyarıları belgeleyin.

Exceptions:
- Field: DnsQuery 
  Warning: Invalid value
  Exception: May have values such as "1164-ms-7.1440-9fdc2aab.3b2bd806-978e-11ec-8bb3-aad815b5cd42" which are not valid domains names. Those are related to TKEY RR requests.
- Field: DnsQuery
  Warning: Empty value in mandatory field
  Exception: May be empty for requests for root servers and for requests for RR type DNSKEY

YAML dosyasında belirtilen uyarı, uyarı iletisinin benzersiz olarak tanımlayan kısa bir biçimi olmalıdır. Bu değer, otomatik testler sırasında uyarı mesajlarını eşleştirmek ve yok saymak için kullanılır.

Örnek gönderme yönergeleri

Ayrıştırıcı sorunlarını giderirken ve ayrıştırıcıda gelecekteki güncelleştirmelerin eski örneklere uygun olduğundan emin olmak için örnek veriler gereklidir. Gönderdiğiniz örnekler ayrıştırıcının desteklediği herhangi bir olay değişkenini içermelidir. Örnek olayların tüm olası olay türlerini, olay biçimlerini ve başarılı ve başarısız etkinliği temsil eden olaylar gibi varyasyonları içerdiğinden emin olun. Ayrıca, değer biçimlerindeki varyasyonların temsil edildiklerinden emin olun. Örneğin, bir konak adı FQDN veya basit bir konak adı olarak gösterilebilirse, örnek olaylar her iki biçimi de içermelidir.

Olay örneklerini göndermek için aşağıdaki adımları kullanın:

• Logs Ekranda, kaynak tablodan yalnızca ayrıştırıcı tarafından seçilen olayları ayıklayacak bir sorgu çalıştırın. Örneğin, Infoblox DNS ayrıştırıcısı için aşağıdaki sorguyu kullanın:

    Syslog
    | where ProcessName == "named"

• Sonuçları CSV'ye Aktar seçeneğini kullanarak <EventVendor>_<EventProduct>_<EventSchema>_IngestedLogs.csv adlı bir dosyaya aktarın. Burada EventProduct, EventProduct ve EventSchema, ayrıştırıcının bu alanlara atadığı değerlerdir.

• Logs Ekranda, şemayı veya ayrıştırıcı giriş tablosunun çıkışını alacak bir sorgu çalıştırın. Örneğin, aynı Infoblox DNS ayrıştırıcısı için sorgu şu şekildedir:

    Syslog
    | getschema

• CSV'ye Aktar seçeneğini kullanarak sonuçları adlı <TableName>_schema.csvbir dosyaya aktarın; burada TableName ayrıştırıcının kullandığı kaynak tablonun adıdır.

• Her iki dosyayı da PR'nizdeki /Sample Data/ASIM klasörüne ekleyin. Dosya zaten varsa, GitHub kullanıcı adınızı adına ekleyin, örneğin: <EventVendor>_<EventProduct>_<EventSchema>_SchemaTest_<GitHubHandle>.csv

Test sonuçları gönderme yönergeleri

Ayrıştırıcının doğruluğunu doğrulamak ve bildirilen özel durumları anlamak için test sonuçları önemlidir.

Test sonuçlarınızı göndermek için aşağıdaki adımları kullanın:

• Ayrıştırıcı testlerini ve testings bölümünde açıklanan testleri çalıştırın.

• ve CSV'ye Aktar seçeneğini kullanarak test sonuçlarını sırasıyla ve <EventVendor>_<EventProduct>_<EventSchema>_SchemaTest.csv adlı <EventVendor>_<EventProduct>_<EventSchema>_DataTest.csv dosyalara aktarın.

• Her iki dosyayı da PR'nizdeki /Parsers/ASim<schema>/Tests klasörüne ekleyin.

İlgili içerik

ASIM ayrıştırıcıları hakkında daha fazla bilgi edinin:

• ASIM ayrıştırıcılarına genel bakış
• ASIM ayrıştırıcılarını kullanma
• ASIM ayrıştırıcılarını yönetme
• ASIM ayrıştırıcıları listesi

ASIM hakkında genel olarak daha fazla bilgi edinin:

• Gelişmiş Güvenlik Bilgileri Modeline (ASIM) genel bakış
• Gelişmiş Güvenlik Bilgileri Modeli (ASIM) şemaları
• Gelişmiş Güvenlik Bilgileri Modeli (ASIM) içeriği
• Ayrıştırıcıları ve Normalleştirilmiş İçeriği Normalleştirme Microsoft Sentinel Hakkında Ayrıntılı Bakış Web Semineri