资产信息增强

基础导入步骤如下：

下文将详细说明这些步骤。

导入资产前需新建资产源或配置现有源。编辑现有源时，点击源右侧省略号并选择 编辑 从下拉菜单中选择。

创建新资产源：

配置选项因源类型而异。LDAP和Active Directory的配置选项相同，而Microsoft 365的配置选项则不同。请根据您配置的源类型跳转到以下相应部分。

建立资产连接后，您可以创建多个查询来导入特定数据子集。例如，可导入"仅管理员用户"或"仅笔记本电脑"。通过定义一个或多个导入映射配置来实现筛选，这些配置决定了从父数据源导入哪些资产，以及如何将源中的条目映射到 安全数据湖 资产架构中。

建立资产连接后，您可访问所有现有映射配置。随后可继续使用配置向导定义映射配置。

映射配置允许您定义要从数据源导入的特定资产，还可设置应用的默认值。

例如，您可配置一个LDAP服务器包含两种不同映射：一个映射仅选择管理员用户，并设置管理员类别和高优先级类别；通过此映射导入管理员用户时，所有资产将具有相同优先级和类别。

您可设置另一个映射来选择普通用户并采用中/低优先级。可为会计机器设置高优先级映射，为用户笔记本设置低优先级映射。这些配置参数可同时应用于机器资产和用户资产。

您还可在 资产源同步 映射配置页面设置同步间隔。

映射关系也可在 数据源 页面通过选择资产源后显示的轮播卡片进行编辑或删除。

当连接与映射配置均保存后，即可启动资产导入。点击 操作 按钮，从下拉菜单中选择 导入 。该操作将从资产源提取目标条目，根据映射配置进行转换，并在 安全数据湖 中创建资产，这些资产可通过 资产 页面查看。

点击 数据源 页面上的某个源以查看或编辑其配置。

导入或同步资产时，其名称与源中保持一致。后续导入或同步操作会通过名称匹配现有资产，并从后端更新所有详细信息。由此确保资产保持恒定且搜索不受影响。

资产源同步功能执行与 资产导入 相同的操作。源中的更新会通过资产同步自动反映至 安全数据湖 ，包括源中的更新或单个/多个资产的移除。源中的所有变更都会体现在 安全数据湖 .

您可通过定义间隔时间来安排资产导入。资产源同步适用于源下列出的所有映射，选择源即可查看可用映射。

启用资产源同步的步骤：

默认同步间隔以小时为单位且可修改。

安全数据湖 包含两个专门用于管理或处理资产的角色：

上述角色包含以下权限，用于管理资产源和映射：

该 资产读取者 角色仅包含 asset:read 权限，而 资产管理者 则拥有所有这些权限。

您可以通过 安全数据湖 安全 用户界面手动创建新资产。操作步骤如下：

在 配置 菜单中，位于 资产 页面，您可以管理资产优先级和类别。每个资产可分配一个优先级和多个类别。

该流水线规则通过GIM模式字段填充消息中的 associated_assets 和 associated_asset_categories 字段。其中 关联资产 字段将是一个数组，包含每条与消息字段匹配的同类型资产字段的ID。 associated_assets 字段将决定在搜索页面的展开日志消息中显示哪些资产。 associated_asset_categories 字段是一个包含所有关联资产类别的数组。

该流水线规则接收一个 查询类型 和值参数。 查询类型 可以是 名称 , IP地址 , MAC地址 或 主机名 。值字段是用于查询指定类型的值。该规则假设查询结果唯一，因此若多个资产匹配查询条件，仅返回其中一个。若查询匹配成功，将返回以下结构的映射表：

{
  "id": "字符串"
  "name": "字符串",
  "priority": 数字,
  "category": ["字符串", "数组"],
  "details": {
    "type": "机器",
    "description": "字符串",
    "owner": "字符串",
    "ip_addresses": ["字符串", "数组"],
    "mac_addresses": ["字符串", "数组"],
    "hostnames": ["字符串", "数组"],
    "custom_fields": 映射表
  }
}

该 自定义字段 映射表结构取决于为特定资产定义的自定义字段。每个条目包含字符串键和值数组，值可以是 字符串 , 日期 、或 数字 .

这些字段可用于以比 set_associated_assets 规则更具针对性的方式丰富消息。例如，要通过 source_ip 字段查找资产，然后根据返回的资产在消息上设置字段，其代码类似于：

规则 "machine_asset_lookup"
当
    有字段("source_ip")
则
    设资产 = machine_asset_lookup(查找类型:"ip", 值:转字符串($消息.source_ip));
    设详情 = 资产.详情;
    设字段("asset_id", 资产.id);
    设字段("asset_name", 资产.name);
    设字段("asset_description", 详情.description);
    设字段("asset_ips", 详情.ip_addresses);
    设字段("asset_macs", 详情.mac_addresses);
    设字段("asset_hostnames", 详情.hostnames);
结束

该规则将更新现有机器资产的IP地址和主机名。参数包括：

规则 "machine_asset_update"
当
    真
则
    machine_asset_update(查找类型:"mac", 查找值:"AA:BB", ip地址:"10.0.0.0");
结束

例如，在DHCP日志上使用此规则可以根据传入的日志保持现有资产的最新状态。

规则 "machine_asset_update"
当
    真
则
    machine_asset_update(查找类型:"mac", 查找值:$message.mac, ip地址:转字符串($message.new_ip));
结束

该流水线规则用于查找用户资产并用用户资产数据丰富日志消息。规则接收一个 lookup_type 和值参数。 lookup_type 可以是 name , username , user_id 或 email 。值字段是用于查找指定类型的值。规则假设查找是唯一的，因此如果多个资产匹配查找条件，仅返回一个。如果查找有匹配项，将返回以下结构的映射：

{
  "id": "字符串"
  "name": "字符串",
  "priority": 数字,
  "category": ["字符串", "数组"],
  "details": {
    "type": "user",
    "description": "字符串",
    "username": "字符串",
    "user_ids": ["字符串", "数组"],
    "email_addresses": ["字符串", "数组"],
    "first_name": "字符串",
    "last_name": "字符串"
  }
}

这些字段可用于比 set_associated_assets 规则更有针对性地丰富消息。例如，通过username字段查找资产，然后根据返回的资产设置消息字段，类似如下：

规则 "user_asset_lookup"
当
    有字段(“username”)
则
    let asset = user_asset_lookup(查找类型:"username", 值:"username");
    let details = asset.details;
    设置字段("asset_id", asset.id);
    设置字段("asset_name", asset.name);
    设置字段("asset_type", details.type);
    设置字段("asset_username", details.username);
    设置字段("asset_user_ids", details.user_ids);
    设置字段("asset_emails", details.email_addresses);
结束

当Illuminate包激活时， Security Data Lake 会自动为所有消息运行 set_associated_assets 流水线规则。

但您可以选择专门为一部分日志应用 set_associated_assets 流水线规则。这种情况下，您不会启用Illuminate资产处理包，而是会实现 set_associated_assets 管道函数，具体方法是将 set_associated_assets 放入管道规则中，添加到管道，设置过滤器，并分配给选定的流。

此功能可自定义，您可以通过启用Illuminate处理包将其应用于所有日志，或通过手动配置和应用规则将其应用于日志子集。有关创建管道规则的更多信息，请参阅我们的 管道 文档。

一旦消息被 associated_assets 字段丰富，这些字段可以在单个消息的展开日志视图中显示。每个关联资产的详细信息也可以进一步展开。

除了在搜索结果中查看资产外，您还可以将资产添加到搜索查询中，并跳转到与该资产关联的任何日志消息。

此功能允许您在搜索结果中查看资产，并过渡到探索与该特定资产相关的其他日志以进行进一步调查。例如，如果日志消息将财务部门的计算机识别为资产，您可以跳转并访问与该机器关联的所有日志，从而更深入地了解其活动。

要跳转到资产搜索，请点击特定资产的 添加到查询 按钮以查看该资产的所有日志消息。请注意，资产ID随后会添加到 associated_assets 字段的搜索查询中。

在 资产 页面上，您可以搜索资产。此功能允许您根据资产信息创建搜索查询。您可以单独或批量搜索资产。

要搜索单个资产，请点击所选资产的省略号并选择 搜索资产 选项。

要进行批量搜索，请先选择目标资产，然后点击 批量操作 按钮对所选资产进行搜索。

应用于机器资产的漏洞扫描数据有助于更全面地了解环境中的潜在威胁。漏洞数据可在以下领域发挥作用：

具体集成示例请参阅 风险评分应用场景 .

在将漏洞扫描数据纳入 安全数据湖 之前，需确保已配置并连接第三方扫描器至 安全数据湖 . 安全数据湖 本身不执行扫描，而是从您配置的一个或多个扫描器导入扫描数据。

您可以将以下类型的漏洞扫描器与 安全数据湖 :

您可以为每种类型添加多个扫描器，从而获取针对网络不同区域或扫描类型的专项数据。详见各扫描器类型的设置说明。

资产 漏洞扫描器 页面中的 选项卡 会列出您为环境定义的所有漏洞扫描器。点击扫描器可查看其详细信息页面，其中显示扫描器设置和连接信息。

在详情页面点击 导入扫描 可手动导入选定扫描器的新扫描数据。点击 编辑连接 .

若勾选一个或多个扫描器复选框， 批量操作 菜单将提供以下功能：