Asset Enrichment (Asset-ийн баяжуулалт) — 3-р хэсэг: Asset-ийн тохиргоо, Microsoft 365 синк, pipeline дүрэм

Bitdefender-ийн албан ёсны баримтаас орчуулавАнгли эх (EN) · Орчуулсан: 2026.11.10

Энэ хуудсыг AI-аар орчуулж, автоматаар шалгасан. Нарийн тохиргоо хийхээсээ өмнө англи эхтэй тулгаж болно.

Asset-ийн тохиргоог удирдах (Manage Asset Configurations)

Assets хуудсан дээрх Config цэс нь asset-ийн ач холбогдлын түвшин (priority) болон ангиллыг (category) удирдах боломж олгоно. Asset бүрт нэг priority, хэд хэдэн category оноож болно.

Asset-ийн priority удирдах

Priority нь машин болон хэрэглэгчийн asset-ийн ач холбогдлыг ангилахад хэрэглэгдэнэ. Жишээлбэл, энгийн эрхтэй хэрэглэгчийн asset нь сүлжээнд илүү өргөн эрхтэй админ хэрэглэгчийн asset-ээс бага priority-той байх нь элбэг. Үндсэн жагсаалтад Low, Medium, High, Critical гэсэн түвшин байх бөгөөд тэдгээрийг тухайн табаас өөрчилж болно.

Тэмдэглэл: Эндээс тохируулсан asset priority нь asset-ийн эрсдэлийн оноонд (risk score) шууд нөлөөлнө. Priority-г бага тавивал asset-ийн эрсдэлийн оноо бас бага гарна.

Asset-ийн category удирдах

Category нь asset-ийг бүлэглэх, ялгахад хэрэглэх шошго юм. Үндсэн category байхгүй. Category-г хоёр газраас нэмж болно:

Config таб: Config таб дотор category-г засах эсвэл шинээр үүсгэнэ.
New asset тохиргооны цонх: asset үүсгэх эсвэл засахдаа Categories талбарт шинэ category-г шууд бичнэ.

Category аль ч аргаар үүссэн бол дараа нь бусад asset-д оноохоор Category унадаг жагсаалтад гарч ирнэ. Нэг category-г олон asset-д оноохдоо:

Assets хуудсан дээр asset-үүдээ сонгоно.
Bulk Actions товчийг дарна.
Add Category-г дарна.
Хүссэн category-гаа сонгоно.
Confirm-г дарна.

Microsoft 365 asset эх сурвалжтай синк хийх (Microsoft 365 Asset Source Sync)

Microsoft 365-г asset-ийн эх сурвалж болгон ашиглахын тулд Microsoft 365 API болон Security Data Lake сервер хоорондын холболт шаардлагатай. Security Data Lake-ийн хэрэглэгчийн интерфейсийн Connection Configuration хуудсан дээр Microsoft 365-ийн шинэ asset эх сурвалж үүсгэхдээ дараахыг оруулна:

Tenant ID
Client ID
Client Secret

Хэрэв танд ажиллаж буй Microsoft 365 клиент апп байхгүй бол апп бүртгүүлж, дээрх мэдээллийг өгөх шаардлагатай. Microsoft identity platform дээр апп бүртгэх талаар Microsoft-ийн вэб сайтаас дэлгэрэнгүй үзнэ үү. Microsoft 365 болон Security Data Lake хоорондын холболтод шаардлагатай API эрхийн талаар доор тайлбарлав.

Урьдчилсан нөхцөл

Asset эх сурвалжийн синк болон эмзэг байдал (vulnerability) импортлох боломжийг бүрэн ашиглахын тулд Microsoft-ийн бүтээгдэхүүн болон Microsoft 365 API-д хандах эрх шаардлагатай. Дараах дөрвөн Microsoft захиалга хэрэгтэй:

1. Entra ID

Заавал хэрэгтэй: хэрэглэгчийн asset импортлоход

Заавал биш: машины asset импортлоход

Хэрэглэхгүй: vulnerability импортлоход

2. Intune

Заавал биш: машин эсвэл хэрэглэгчийн asset импортлоход

Хэрэглэхгүй: vulnerability импортлоход

3. Defender

Заавал хэрэгтэй: vulnerability импортлоход

Заавал биш: машины asset импортлоход

Хэрэглэхгүй: хэрэглэгчийн asset импортлоход

4. Defender Vulnerability Management Add-on

Заавал хэрэгтэй: vulnerability импортлоход

Заавал биш: машины asset импортлоход

Хэрэглэхгүй: хэрэглэгчийн asset импортлоход

API эрх (API Permissions)

Дээрх урьдчилсан нөхцөлийг хангасны дараа Security Data Lake-ийн instance-ийг холбож, Microsoft 365-аас asset болон vulnerability татахын тулд API хандалттай, зөв эрхтэй апп үүсгэх ёстой. Бүх дэмжигдсэн боломж ажиллахад шаардлагатай эрхүүд:

Microsoft Graph

Device.Read.All

DeviceManagementConfiguration.Read.All

DeviceManagementManagedDevices.Read.All

User.Read.All

User.ReadBasic.All

WindowsDefenderATP

Machine.Read.All

Vulnerability.Read.All

Шаардлагатай API эрхийг тохируулах

Microsoft Azure-д нэвтэрнэ.

Entra ID-г сонгоно.

App registration > New registration-г сонгоно.

Шинэ апп бүртгэнэ.

1. Аппдаа нэр өгнө (жишээ нь Security Data Lake Log Access).
2. Тохирох дансны төрлийг сонгоно.
3. Redirect URI нэмэхгүй.
4. Register товчийг дарна.

> Тэмдэглэл: Апп бүртгэгдсэний дараа Application (client) ID болон Directory (tenant) ID-г тэмдэглэж аваарай.

Add a certificate or secret-г дарна.

New client secret-г дарна.

Client Secret-ийн утгыг тэмдэглэж аваарай. Энэ хуудаснаас гармагц утга дахин харагдахгүй. Хэрэв алдвал хуучныг устгаад болон/эсвэл шинийг үүсгэнэ. Хуучин secret-ийг устгавал түүнийг ашиглаж байсан Security Data Lake-ийн бүх input-ийг шинэчлэх шаардлагатай.

Шинээр үүсгэсэн апп-ынхаа API permissions хэсэгт очно.

Add a permission-г дарна.

Microsoft Graph-г сонгоно.

Application Permissions-г сонгоно.

Шаардлагатай эрхүүдийг сонгоно (жишээ нь хэрэглэгчийн мэдээлэл унших шаардлагатай эрхүүд).

Microsoft Entra admin center рүү орж, дээр үүсгэсэн акаунтаараа нэвтэрнэ.

Applications > Enterprise Applications > All applications-д очно.

Өмнөх алхмуудад сонгосон аппынхаа нэрийг сонгоно.

Permissions > Grant admin consent for MSFT-г дарна.

Дараа нь акаунтаа дахин баталгаажуулж, хүссэн эрхүүдийг олгохыг шаардана.

Accept-г дарна.

Шинэ эрхүүд жагсаалтад харагдах бөгөөд та API-д хандах боломжтой болно.

Тэмдэглэл: Эрхүүд алхмуудын хооронд хэрэгжихэд хэсэг хугацаа шаардагдаж болно. Тиймээс түр хүлээх эсвэл хуудсаа дахин ачаалах хэрэгтэй байж магадгүй.

Asset-тэй pipeline дүрэм үүсгэх (Create Pipeline Rules with Assets)

Pipeline дүрмийн багцыг ашиглан мессеж дээрх associated assets талбарыг тохируулах, одоо байгаа asset-ийг шинэчлэх, мессежийг баяжуулахын тулд asset-ийн мэдээллийг авч болно. Asset-тэй холбоотой pipeline функцүүд нь боловсруулалтын pipeline-аар дамжуулан asset-тэй илүү их зүйл хийх боломж олгоно.

`set_associated_assets`

Энэ pipeline дүрэм нь GIM схемийн талбаруудыг ашиглан мессеж дээрх associated_assets болон associated_asset_categories талбаруудыг бөглөнө. associated assets талбар нь мессежийн талбарыг ижил төрлийн asset талбартай тааруулсан asset бүрийн ID-тай массив байна. associated_assets талбар нь хайлтын хуудсан дээрх дэлгэсэн лог мессежид аль asset-ийг харуулахыг тодорхойлно. associated_asset_categories талбар нь холбогдох бүх asset category-г агуулсан массив байна.

Машин asset-ийн мессежийн талбарууд

Машин asset-ийг холбоход дараах талбарууд хэрэглэгдэнэ:

IP хаягийн талбарууд — source_ip, source_ipv6, source_nat_ip, destination_ip, destination_nat_ip, host_ip, vendor_private_ip, vendor_private_ipv6, vendor_public_ip, vendor_public_ipv6, event_observer_ip
MAC хаягийн талбарууд — source_mac, destination_mac
Hostname-ийн талбарууд — source_hostname, destination_hostname, host_hostname

Хэрэглэгч asset-ийн мессежийн талбарууд

Хэрэглэгч asset-ийг холбоход дараах талбарууд хэрэглэгдэнэ:

Хэрэглэгчийн нэрийн талбарууд — user_name, target_user_name, user_name_mapped
Хэрэглэгчийн ID-ийн талбарууд — user_id, target_user_id
И-мэйлийн талбарууд — user_email, target_user_email

Анхааруулга: Энэ функц нь мессежтэй asset-ийг холбоход шаардлагатай өгөгдлийн сангийн дуудлагын тоог багасгахын тулд санах ойн кэш (in-memory cache) ашигладаг.

`machine_asset_lookup`

Энэ pipeline дүрэм нь lookup_type болон value параметр авна. lookup_type нь name, ip, mac, эсвэл hostname байж болно. Value талбар нь заасан төрлөөр хайх утга юм. Дүрэм нь хайлтын үр дүн давтагдахгүй гэж үздэг тул хэд хэдэн asset таарвал зөвхөн нэгийг буцаана. Хайлт таарвал дараах бүтэцтэй map буцаана:

{
  "id": "string"
  "name": "string",
  "priority": number,
  "category": ["string", "array"],
  "details": {
    "type": "machine",
    "description": "string",
    "owner": "string",
    "ip_addresses": ["string", "array"],
    "mac_addresses": ["string", "array"],
    "hostnames": ["string", "array"],
    "custom_fields": Map
  }
}

custom_fields map-ийн бүтэц нь тухайн asset-д тодорхойлсон custom талбаруудаас хамаарна. Оруулга бүр нь string түлхүүртэй, string, date, эсвэл number утгуудын массивтай байна.

Эдгээр талбарыг ашиглан set_associated_assets дүрмээс илүү чиглэсэн байдлаар мессежийг баяжуулж болно. Жишээлбэл, source_ip талбараар asset хайж, буцсан asset-ийн дагуу мессежийн талбаруудыг тохируулбал дараах төстэй болно:

rule "machine_asset_lookup"
when
    has_field("source_ip")
then
    let asset = machine_asset_lookup(lookup_type:"ip", value:to_string($message.source_ip));
    let details = asset.details;
    set_field("asset_id", asset.id);
    set_field("asset_name", asset.name);
    set_field("asset_description", details.description);
    set_field("asset_ips", details.ip_addresses);
    set_field("asset_macs", details.mac_addresses);
    set_field("asset_hostnames", details.hostnames);
end

`machine_asset_update`

Энэ дүрэм одоо байгаа машин asset-ийн IP хаяг болон hostname-ийг шинэчилнэ. Параметрүүд:

lookup_type: name, ip, mac, эсвэл hostname.
lookup_value: lookup_type-д харгалзах утга.
ip_addresses: asset-ийг шинэчлэх IP хаягийн string эсвэл массив [заавал биш].
hostnames: asset-ийг шинэчлэх hostname-ийн string эсвэл массив [заавал биш].

rule "machine_asset_update"
when
    true
then
    machine_asset_update(lookup_type:"mac", lookup_value:"AA:BB", ip_addresses:"10.0.0.0");
end

Жишээлбэл, энэ дүрмийг DHCP лог дээр ашигласнаар орж ирж буй логийн дагуу одоо байгаа asset-үүдийг шинэчилж байлгах боломжтой.

rule "machine_asset_update"
when
    true
then
    machine_asset_update(lookup_type:"mac", lookup_value:$message.mac, ip_addresses:to_string($message.new_ip));
end

`user_asset_lookup`

Энэ pipeline дүрэм нь хэрэглэгч asset-ийг хайж, лог мессежийг хэрэглэгч asset-ийн өгөгдлөөр баяжуулахад хэрэглэгдэнэ. Дүрэм lookup_type болон value параметр авна. lookup_type нь name, username, user_id, эсвэл email байж болно. Value талбар нь заасан төрлөөр хайх утга юм. Дүрэм нь хайлтын үр дүн давтагдахгүй гэж үздэг тул хэд хэдэн asset таарвал зөвхөн нэгийг буцаана. Хайлт таарвал дараах бүтэцтэй map буцаана:

{
  "id": "string"
  "name": "string",
  "priority": number,
  "category": ["string", "array"],
  "details": {
    "type": "user",
    "description": "string",
    "username": "string",
    "user_ids": ["string", "array"],
    "email_addresses": ["string", "array"],
    "first_name": "string",
    "last_name": "string"
  }
}

Эдгээр талбарыг ашиглан set_associated_assets дүрмээс илүү чиглэсэн байдлаар мессежийг баяжуулж болно. Жишээлбэл, username талбараар asset хайж, буцсан asset-ийн дагуу мессежийн талбаруудыг тохируулбал дараах төстэй болно:

rule "user_asset_lookup"
when
    has_field(“username”)
then
    let asset = user_asset_lookup(lookup_type:"username", value:"username");
    let details = asset.details;
    set_field("asset_id", asset.id);
    set_field("asset_name", asset.name);
    set_field("asset_type", details.type);
    set_field("asset_username", details.username);
    set_field("asset_user_ids", details.user_ids);
    set_field("asset_emails", details.email_addresses);
end

Asset баяжуулалтаар хайлтыг сайжруулах (Enhance Search with Asset Enrichment)

Хайлтын үр дүнд asset холбох (Associate Assets in Search Results)

Illuminate pack идэвхжсэн үед Security Data Lake бүх мессежид set_associated_assets pipeline дүрмийг автоматаар ажиллуулна.

Харин set_associated_assets дүрмийг зөвхөн тодорхой логуудад хэрэглэх боломж бий. Энэ тохиолдолд Illuminate assets processing pack-ийг идэвхжүүлэхгүй, харин set_associated_assets-ийг pipeline дүрэмд оруулж, pipeline-д нэмээд, шүүлтүүр тохируулж, сонгосон stream-үүдэд оноож хэрэгжүүлнэ.

Иймээс Illuminate processing pack-ийг идэвхжүүлж бүх логид хэрэглэх, эсвэл дүрмийг гараар тохируулж зарим логид хэрэглэх гэсэн аль ч сонголтыг хийж болно. Pipeline дүрэм үүсгэх талаар pipeline-ийн баримт-аас дэлгэрэнгүй үзнэ үү.

Мессеж associated_assets талбаруудаар баяжигдсаны дараа тэдгээр талбарыг тухайн мессежийн дэлгэсэн лог харагдац дээр харуулж болно. Холбогдсон asset бүрийн дэлгэрэнгүйг мөн дэлгэж харна.

Хайлтын үр дүнд asset-ийг харахаас гадна asset-ийг хайлтын асуулгад нэмж, тухайн asset-тэй холбоотой дурын лог мессеж рүү шилжих (pivot) боломжтой.

Тэмдэглэл: Illuminate-ийн хамгийн сүүлийн хувилбарт шинэчлэх талаар Security Data Lake-ийн холбогдох нийтлэлийг үзнэ үү.

Asset хайлт руу шилжих (Pivot to an Asset Search)

Энэ боломж нь хайлтын үр дүнд asset-ийг харж, тухайн asset-тэй холбоотой бусад логийг цааш судлахад шилжих боломж олгоно. Жишээлбэл, лог мессеж санхүүгийн хэлтсийн компьютерийг asset гэж тодорхойлсон бол pivot хийж тэр машинтай холбоотой бүх логийг нээж, үйл ажиллагааг нь илүү гүнзгий судалж болно.

Asset хайлт руу шилжихийн тулд тухайн asset-ийн Add to query товчийг дарж, тэр asset-ийн бүх лог мессежийг харна. Ингэхэд asset-ийн ID нь хайлтын асуулгад associated_assets талбарт нэмэгдэнэ.

Asset хайх (Search for Assets)

Assets хуудсан дээр asset хайж болно. Энэ боломжоор asset-ийн мэдээлэлд суурилсан хайлтын асуулга үүсгэнэ. Asset-ийг ганцаарчлан эсвэл бөөнөөр нь хайж болно.

Нэг asset хайхын тулд сонгосон asset-ийн ellipsis (гурван цэг)-ийг дарж Search for asset сонголтыг сонгоно.

Бөөнөөр хайхын тулд хайх asset-үүдээ сонгоод Bulk Actions товчийг дарж, сонгосон asset-үүдийг хайна.

Asset удирдлагын хэрэглээний жишээ (Asset Management Use Cases)

Жишээ 1: Хэрэглэгч/машин хайх

Нэг хэрэглэгч хоёр өөр хэрэглэгчийн акаунттай (bill.murray болон bmurray), мөн хоёр өөр и-мэйлтэй (bmurray@gmail.com болон big.ern@kingpin.com) гэе. Тухайн хэрэглэгчийн бүх логоос хайхыг хүсвэл:

Security/Assets цэсний гарчгаар очиж User Assets табыг дарна. Дараа нь сонгосон хэрэглэгч asset-ийн хажууд байх ellipsis-ийг сонгоно.
Цэснээс Search for Asset-ийг сонгоно.
Хэрэглэгчийн нэр эсвэл и-мэйл хаягийн аль нэгийг агуулсан бүх мессеж үр дүнд гарна.

Олон IP хаяг, hostname гэх мэттэй машин asset-д ч мөн адил хамаарна.

Жишээ 2: Сэжигтэй үйл ажиллагаа анзаарсны дараа машины бусад логийг хайх

Security Data Lake-ийн логийг үзэж байхдаа ер бусын мессеж олж, тэр машин эсвэл хэрэглэгчийн бусад логийг үзэхийг хүссэн гэе. Жишээлбэл, доорх дэлгэцийн зураг дээр тодорхой машин руу чиглэсэн амжилтгүй нэвтрэлтүүд харагдаж байгаа бөгөөд тэр машины бусад мессежийг үзэх хэрэгтэй. Ингэхийн тулд зүүн талаас asset-ийг сонгоод Add to Query-г дарна.

Ингэснээр asset асуулгад нэмэгдэх тул одоо зөвхөн тэр asset-ийн нэвтрэлтүүдийг харна.

Асуулт байна уу?AI туслах GravityZone-ийн монгол баримтаас хайна. Нарийн асуудлыг таны гэрээт борлуулагч, Bitdefender Mongolia-ийн инженер шийднэ.