Enfoque: esquemas y analizadores ASIM, KQL parametrizado, analizadores personalizados y transformaciones de DCR.
0/8
01 / 08Introducción
La normalización asigna esquemas específicos de proveedores a un modelo semántico común para que una detección, búsqueda o libro funcione entre distintas fuentes.
ASIM define esquemas, campos, valores, alias y analizadores para dominios como autenticación, red, DNS, procesos, archivos y actividad web. Los analizadores específicos traducen tablas nativas y los analizadores unificadores combinan las fuentes habilitadas.
Llamá un analizador unificador ASIM como una función KQL y aplicá pronto los parámetros admitidos. Filtrar dentro del analizador suele ser más eficiente que hacerlo después de unir todas las fuentes.
_Im_Authentication(starttime=ago(1d)) | where EventResult == "Failure" | summarize Attempts=count() by TargetUsername, SrcIpAddr
04 / 08Comprender las funciones KQL parametrizadas
Las funciones almacenadas aceptan parámetros con tipo y devuelven datos tabulares. Usá parámetros para filtros de tiempo, origen, usuario, IP o gravedad. La lógica centralizada mejora la reutilización, pero los cambios afectan todas las reglas, libros y consultas dependientes.
06 / 08Configurar reglas de recopilación de datos de Azure Monitor
Las transformaciones de DCR usan KQL durante la ingesta para filtrar, remodelar, enriquecer o enrutar registros. La consulta comienza con source y debe devolver columnas compatibles con el destino. Filtrar puede reducir costos, pero los datos descartados no se recuperan.
Revisá esquemas, analizadores de origen y unificadores, campos normalizados, funciones parametrizadas, creación de analizadores, transformaciones de DCR y filtrado permanente durante la ingesta.
ASIM vuelve portátil el contenido; los analizadores parametrizados mejoran el rendimiento y las transformaciones de DCR controlan los datos antes de almacenarlos en el área de trabajo.