资产信息增强

资产导入基本步骤如下：

下文将详细说明这些步骤。

导入资产前需新建资产源或配置现有源。若使用现有源，可点击源名称旁的省略号，在下拉菜单中选择 编辑 进行修改。

新建资产源操作：

配置选项因来源类型而异。LDAP和Active Directory的配置选项相同，而Microsoft 365的配置选项则不同。请根据您配置的来源类型跳转到下方相应章节。

设置资产连接后，您可以创建多个查询以导入特定的数据子集。例如，您可以导入“仅管理员用户”或“仅笔记本电脑”。通过定义一个或多个导入映射配置来实现此过滤，这些配置确定从父源导入哪些资产以及源中的条目如何映射到 安全数据湖 资产架构中的导入资产。

建立资产连接后，您可以访问所有现有的映射配置。然后，您可以继续使用配置向导来定义映射配置。

映射配置允许您定义要从源导入的特定资产。它还允许您确定应用的默认值。

例如，您可以有一个LDAP服务器，其中包含两个不同的映射。一个映射配置为仅选择管理员用户，并具有管理员类别和高优先级类别。当您通过此映射导入管理员用户时，所有资产都具有相同的优先级和类别。

您可以设置另一个映射来选择普通用户并使用中或低优先级。您可以为会计机器设置高优先级映射，为用户笔记本电脑设置低优先级映射。配置参数可以应用于机器资产和用户资产。

您还可以在映射配置页面上配置 资产源同步 间隔。

映射也可以在 源 页面上通过选择资产源来编辑或删除，以显示代表每个映射的轮播卡片。

当连接和映射配置都保存后，您可以启动资产导入。点击 操作 按钮，然后从下拉菜单中选择 导入 。此操作会从资产源提取目标条目，根据映射配置进行映射，并在 安全数据湖 中创建资产，这些资产可从 资产 页面查看。

在 数据源 页面点击某个源以查看或编辑其配置。

当您导入或同步资产时，其名称与源中保持一致。后续的导入或同步操作会通过名称匹配现有资产，并更新来自后端的所有详细信息。这样，资产保持恒定且搜索不受影响。

资产源同步功能执行与 资产导入 相同的操作。源中的更新会通过资产同步自动反映到 安全数据湖 中。这可能是源中的更新，也可能是一个或多个资产的移除。源中的所有更改都会反映到 安全数据湖 .

您可以通过定义时间间隔来安排资产导入。资产源同步适用于源下列出的所有映射。选择一个源以查看可用的映射。

启用资产源同步的步骤：

默认同步间隔以小时为单位，可修改。

安全数据湖 包含两个专门用于管理或处理资产的角色：

以下权限包含在上述角色中，是管理资产源和映射所必需的：

其中 资产查阅员 角色仅包含 asset:read 权限，而 资产管理员 包含所有这些权限。

您可以通过 安全数据湖 安全 用户界面手动创建新资产。操作步骤如下：

在 资产 页面上的 配置 菜单可管理资产优先级与类别。每个资产可分配优先级及多个类别。

该流水线规则通过GIM模式字段填充消息中的 associated_assets 和 associated_asset_categories 字段。 关联资产 字段将是一个数组，包含每条与消息字段匹配的同类型资产字段的ID。 associated_assets 字段将决定搜索页面上展开的日志消息中显示哪些资产。 associated_asset_categories 字段将是一个包含所有关联资产类别的数组。

此管道规则接受一个 查询类型 和值参数。 查询类型 可以是 名称 , IP地址 , MAC地址 或 主机名 。值字段是用于查找指定类型的值。该规则假设查询结果是唯一的，因此如果多个资产恰好匹配查询条件，则仅返回其中一个。若查询匹配成功，将返回具有以下结构的映射表：

{
  "id": "字符串"
  "name": "字符串",
  "priority": 数字,
  "category": ["字符串", "数组"],
  "details": {
    "type": "机器",
    "description": "字符串",
    "owner": "字符串",
    "ip_addresses": ["字符串", "数组"],
    "mac_addresses": ["字符串", "数组"],
    "hostnames": ["字符串", "数组"],
    "custom_fields": 映射表
  }
}

该 自定义字段 映射表结构取决于为给定资产定义的自定义字段。每个条目将包含一个字符串键和由 字符串 , 日期 或 数字 .

相比 set_associated_assets 规则。例如，要通过 source_ip 字段查找资产，然后根据返回的资产在消息上设置字段，其示例如下：

规则 "machine_asset_lookup"
当
    有字段("source_ip")
则
    令 asset = machine_asset_lookup(查找类型:"ip", 值:转字符串($消息.source_ip));
    令 details = asset.详情;
    设置字段("asset_id", asset.id);
    设置字段("asset_name", asset.名称);
    设置字段("asset_description", details.描述);
    设置字段("asset_ips", details.ip地址列表);
    设置字段("asset_macs", details.mac地址列表);
    设置字段("asset_hostnames", details.主机名列表);
结束

该规则将更新现有机器资产的IP地址和主机名。参数包括：

规则 "machine_asset_update"
当
    真
则
    machine_asset_update(查找类型:"mac", 查找值:"AA:BB", ip地址列表:"10.0.0.0");
结束

例如，在DHCP日志上使用此规则可以根据传入的日志保持现有资产的最新状态。

规则 "machine_asset_update"
当
    真
则
    machine_asset_update(查找类型:"mac", 查找值:$消息.mac, ip地址列表:转字符串($消息.new_ip));
结束

该流水线规则用于查找用户资产并用用户资产数据丰富日志消息。该规则接受一个 lookup_type 和值参数。 lookup_type 可以是 name , username , user_id 或 email 。value字段用于指定查询时使用的具体值。该规则假设查询结果具有唯一性，因此若多个资产匹配查询条件，仅返回其中一个。若查询命中，将返回如下结构的映射表：

{
  "id": "字符串"
  "name": "字符串",
  "priority": 数字,
  "category": ["字符串", "数组"],
  "details": {
    "type": "user",
    "description": "字符串",
    "username": "字符串",
    "user_ids": ["字符串", "数组"],
    "email_addresses": ["字符串", "数组"],
    "first_name": "字符串",
    "last_name": "字符串"
  }
}

相比 set_associated_assets 规则，这些字段可用于更精准地增强消息内容。例如，通过username字段查询资产后，根据返回的资产信息设置消息字段的示例如下：

rule "user_asset_lookup"
when
    has_field(“username”)
then
    let asset = user_asset_lookup(lookup_type:"username", value:"username");
    let details = asset.details;
    set_field("asset_id", asset.id);
    set_field("asset_name", asset.name);
    set_field("asset_type", details.type);
    set_field("asset_username", details.username);
    set_field("asset_user_ids", details.user_ids);
    set_field("asset_emails", details.email_addresses);
end

当启用Illuminate功能包时， Security Data Lake 会自动为所有消息运行 set_associated_assets 流水线规则。

但您也可以选择仅对部分日志应用 set_associated_assets 流水线规则。此时不应启用Illuminate资产处理包，而是通过将 set_associated_assets 函数置入流水线规则，添加到流水线中，设置过滤器并分配给指定流来实现。 set_associated_assets 该功能具有可定制性：既可通过启用Illuminate处理包应用于所有日志，也可通过手动配置规则应用于日志子集。具体操作请参阅关于

流水线 流水线 了解更多关于创建流水线规则的信息。

当消息被 关联资产 字段丰富后，这些字段可以在单条消息的展开日志视图中显示。每个关联资产的详细信息也可以进一步展开查看。

除了在搜索结果中查看资产外，您还可以将资产添加到搜索查询中，并跳转至与该资产相关的任何日志消息。

此功能允许您在搜索结果中查看资产，并进一步探索与该特定资产相关的其他日志以进行深入调查。例如，如果某条日志消息将财务部门的计算机识别为资产，您可以跳转并访问与该机器关联的所有日志，从而深入了解其活动。

要跳转至资产搜索，请点击 添加到查询 按钮以查看特定资产的所有日志消息。注意，资产ID随后会被添加到 关联资产 字段的搜索查询中。

在 资产 页面，您可以搜索资产。此功能允许您基于资产信息创建搜索查询。您可以单独或批量搜索资产。

要搜索单个资产，请点击所选资产的省略号并选择 搜索资产 选项。

要进行批量搜索，请选择要搜索的资产，然后点击 批量操作 按钮并搜索所选资产。

应用于机器资产的漏洞扫描数据有助于更全面地了解环境中的潜在威胁。漏洞数据在以下领域可能非常有用：

具体集成示例请参阅 风险评分应用场景 .

在将漏洞扫描数据纳入 安全数据湖 之前，需先完成第三方扫描器的配置并与 安全数据湖 . 安全数据湖 本身不执行扫描，而是从您配置的扫描器导入扫描数据。

可与 安全数据湖 :

您可以为每种类型添加多个扫描器，以便获取针对网络不同区域或扫描类型的专项扫描数据。详见各扫描器类型的设置说明。

资产 漏洞扫描器 页面中的 选项卡 会列出您为环境定义的所有漏洞扫描器。点击扫描器可查看其详情页，其中显示扫描器设置和连接信息。

在详情页面点击 导入扫描 可手动导入选定扫描器的新扫描数据。要更新扫描器设置，请点击 编辑连接 .

若勾选一个或多个扫描器的复选框， 批量操作 菜单将提供以下功能：