Microsoft Sentinel informazioni di riferimento sullo schema di normalizzazione degli eventi dell'agente ASIM

Lo schema di normalizzazione degli eventi dell'agente di Microsoft Sentinel rappresenta gli eventi associati alle attività e ai dati di telemetria degli agenti di intelligenza artificiale che operano in tutti gli ambienti aziendali. Questi eventi acquisiscono l'intero spettro delle interazioni degli agenti, incluse le chiamate del modello, l'utilizzo degli strumenti, il consumo di token, i processi di pensiero e la comunicazione tra gli agenti di origine e di destinazione. Queste attività vengono generate da un'ampia gamma di piattaforme e framework di agenti di intelligenza artificiale, ognuno dei quali produce dati di telemetria nel proprio formato.

Ogni piattaforma dell'agente di intelligenza artificiale registra gli eventi dell'agente come parte dei dati di telemetria operativi. La normalizzazione di questi eventi usando lo schema ASIM consente agli analisti della sicurezza di correlare i comportamenti degli agenti tra piattaforme, rilevare modelli anomali e analizzare gli eventi imprevisti senza dover apprendere il formato proprietario di ogni origine.

Per altre informazioni sulla normalizzazione in Microsoft Sentinel, vedere Normalization and the Advanced Security Information Model (ASIM).

Parser

Distribuzione e uso di parser di eventi dell'agente

Distribuire i parser di eventi dell'agente ASIM dal repository GitHub Microsoft Sentinel. Per eseguire query su tutte le origini eventi dell'agente, usare il parser _Im_AgentEvent unificante come nome di tabella nella query.

Per altre informazioni sull'uso dei parser ASIM, vedere panoramica dei parser ASIM.

Aggiungere i propri parser normalizzati

Quando si implementano parser personalizzati per il modello di informazioni sugli eventi dell'agente, assegnare un nome alle funzioni KQL usando la sintassi seguente:

• ASimAgentEvent<vendor><Product> per i parser regolari
• vimAgentEvent<vendor><Product> per i parser con parametri

Per aggiungere parser personalizzati al parser di unificazione degli eventi dell'agente, vedere Gestione dei parser ASIM.

Filtro dei parametri del parser

I parser degli eventi dell'agente supportano i parametri di filtro. Anche se questi parametri sono facoltativi, possono migliorare le prestazioni delle query.

Sono disponibili i parametri di filtro seguenti:

Alcuni parametri possono accettare sia l'elenco di valori di tipo dynamic che un singolo valore stringa. Per passare un elenco di valori letterali a parametri che prevedono un valore dinamico, usare in modo esplicito un valore letterale dinamico. Ad esempio: dynamic(['192.168.','10.'])

Ad esempio, per filtrare solo gli eventi dell'agente con i nomi M365Planner degli agenti dell'ultimo giorno, usare:

_Im_AgentEvent (agentname_has_any=dynamic(['M365Planner']), starttime = ago(1d), endtime=now())

Dettagli dello schema

Campi ASIM comuni

Campi comuni con linee guida specifiche

Nell'elenco seguente vengono indicati i campi con linee guida specifiche per gli eventi dell'agente:

Tutti i campi comuni

I campi in questa tabella sono comuni a tutti gli schemi ASIM. Le linee guida specificate in questo documento sostituiscono le linee guida generali per ogni campo. Ad esempio, un campo può essere facoltativo in generale, ma obbligatorio per uno schema specifico. Per altre informazioni su ogni campo, vedere l'articolo Campi comuni di ASIM .

Informazioni sull'agente di origine

Campi dell'agente di destinazione

Campi dell'agente di destinazione della piattaforma

Campi dell'attore

Campi del modello

Campi token

Campi degli strumenti

Campi specifici dell'evento

Contenuto correlato

• Panoramica di Advanced Security Information Model (ASIM)
• Schemi ASIM (Advanced Security Information Model)
• Parser ASIM (Advanced Security Information Model)
• Contenuto ASIM (Advanced Security Information Model)
• Webinar ASIM - Introduzione ad ASIM e allo schema di normalizzazione