Elenco dei parser di Microsoft Sentinel Advanced Security Information Model (ASIM) (anteprima pubblica)

Questo documento fornisce un elenco di parser ASIM (Advanced Security Information Model). Per una panoramica dei parser ASIM, vedere la panoramica dei parser. Per comprendere in che modo i parser rientrano nell'architettura ASIM, vedere il diagramma dell'architettura di ASIM.

Controllare i parser di eventi

Per usare i parser di eventi di controllo ASIM, distribuire i parser dal repository GitHub di Microsoft Sentinel. Microsoft Sentinel fornisce i parser seguenti nei pacchetti distribuiti da GitHub:

Parser di autenticazione

Per usare i parser di autenticazione ASIM, distribuire i parser dal repository GitHub di Microsoft Sentinel. Microsoft Sentinel fornisce i parser seguenti nei pacchetti distribuiti da GitHub:

• Accessi di Windows
  • Raccolto tramite l'agente di Log Analytics o l'agente di Monitoraggio di Azure.
  • Raccolto usando i connettori eventi di sicurezza per la tabella SecurityEvent o il connettore WEF alla tabella WindowsEvent.
  • Segnalato come eventi di sicurezza (4624, 4625, 4634 e 4647).
  • segnalato da Microsoft Defender XDR per endpoint, raccolto tramite il connettore Microsoft Defender XDR.
• Accessi in Linux
  • segnalato da Microsoft Defender XDR per endpoint, raccolto tramite il connettore Microsoft Defender XDR.
  • suAttività , sudue sshd segnalate tramite Syslog.
  • segnalato da Microsoft Defender all'endpoint IoT.
• Accessi a Microsoft Entra, raccolti tramite il connettore Microsoft Entra. I parser separati vengono forniti per gli accessi regolari, non interattivi, identità gestite e principi del servizio.
• Accessi AWS, raccolti usando il connettore AWS CloudTrail.
• Autenticazione okta, raccolta tramite il connettore Okta.
• Log di accesso di PostgreSQL .

Parser DNS

I parser DNS ASIM sono disponibili in ogni area di lavoro. Microsoft Sentinel offre i parser predefiniti seguenti:

Distribuire la versione dei parser distribuiti nell'area di lavoro dal repository GitHub di Microsoft Sentinel.

Parser attività file

Per usare i parser di attività file ASIM, distribuire i parser dal repository GitHub di Microsoft Sentinel. Microsoft Sentinel fornisce i parser seguenti nei pacchetti distribuiti da GitHub:

• Attività file di Windows
  • Segnalato da Windows (evento 4663):
    • Raccolto usando il connettore Eventi di sicurezza basati su Agente di Log Analytics alla tabella SecurityEvent.
    • Raccolto usando il connettore Eventi di sicurezza basati su Agente di Monitoraggio di Azure alla tabella SecurityEvent.
    • Raccolto usando il connettore WEF (Windows Event Forwarding) basato sull'agente di Monitoraggio di Azure alla tabella WindowsEvent.
  • Segnalato tramite eventi di attività file Sysmon (eventi 11, 23 e 26):
    • Raccolta tramite l'agente di Log Analytics nella tabella Eventi.
    • Raccolto usando il connettore WEF (Windows Event Forwarding) basato sull'agente di Monitoraggio di Azure alla tabella WindowsEvent.
  • Segnalato da Microsoft Defender XDR per endpoint, raccolto tramite il connettore Microsoft Defender XDR.
• Eventi di Microsoft Office 365 SharePoint e OneDrive raccolti tramite il connettore attività di Office.
• Archiviazione di Azure, tra cui BLOB, file, coda e archiviazione tabelle.

Parser di sessione di rete

I parser di sessione di rete ASIM sono disponibili in ogni area di lavoro. Microsoft Sentinel offre i parser predefiniti seguenti:

Distribuire la versione dei parser distribuiti nell'area di lavoro dal repository GitHub di Microsoft Sentinel.

Elabora parser di eventi

Per usare i parser di eventi del processo ASIM, distribuire i parser dal repository GitHub di Microsoft Sentinel. Microsoft Sentinel fornisce i parser seguenti nei pacchetti distribuiti da GitHub:

• Creazione del processo degli eventi di sicurezza (evento 4688) raccolti usando l'agente di Log Analytics o l'agente di Monitoraggio di Azure
• Terminazione del processo degli eventi di sicurezza (evento 4689) raccolta tramite l'agente di Log Analytics o l'agente di Monitoraggio di Azure
• Creazione del processo Sysmon (evento 1) raccolta tramite l'agente di Log Analytics o l'agente di Monitoraggio di Azure
• Terminazione del processo Sysmon (evento 5) raccolta tramite l'agente di Log Analytics o l'agente di Monitoraggio di Azure
• Creazione del processo di Microsoft Defender XDR per endpoint

Parser di eventi del Registro di sistema

Per usare i parser di eventi del Registro ASIM, distribuire i parser dal repository GitHub di Microsoft Sentinel. Microsoft Sentinel fornisce i parser seguenti nei pacchetti distribuiti da GitHub:

• Aggiornamento del Registro di sistema degli eventi di sicurezza (eventi 4657 e 4663), raccolti tramite l'agente di Log Analytics o l'agente di Monitoraggio di Azure
• Eventi di monitoraggio del Registro di sistema Sysmon (eventi 12, 13 e 14) raccolti tramite l'agente di Log Analytics o l'agente di Monitoraggio di Azure
• Eventi del Registro di sistema di Microsoft Defender XDR per endpoint

Parser di sessione Web

I parser di sessione Web ASIM sono disponibili in ogni area di lavoro. Microsoft Sentinel offre i parser predefiniti seguenti:

Distribuire la versione dei parser distribuiti nell'area di lavoro dal repository GitHub di Microsoft Sentinel.

Passaggi successivi

Altre informazioni sui parser ASIM:

• Usare i parser ASIM
• Sviluppare parser ASIM personalizzati
• Gestire i parser ASIM

Altre informazioni su ASIM:

• Guardare il webinar di approfondimento su Microsoft Sentinel Normalizzazione dei parser e del contenuto normalizzato o esaminare le diapositive
• Panoramica di Advanced Security Information Model (ASIM)
• Schemi ASIM (Advanced Security Information Model)
• Contenuto di Advanced Security Information Model (ASIM)