带有嵌套 JSON 参数的 Kusto 查询问题 Sentinel Log Analytics

Question

我正在尝试从日志分析中的嵌套 JSON 中提取一些信息。尽管它嵌套了好几层。我在第 3 层脱困了。

场景是查询在 Azure 中删除了哪些用户 ID 的权限。 ifnormation 是所有原始格式，但我想提取它以提高可读性。

数据布局为：

AzureActivity
             Properties_d
                         responseBody
                                     properties
                                               principalId

这是我想要的 principalID（稍后从 AAD 获取 UPN ;）

我的查询在一定程度上有效。但是 _propertieslevel3 出现空白（没有错误）。 _resonsebody 很好。它是一个动态 JSON，包含来自 Properties_d 的 responsebody 字段。

AzureActivity
| where  (OperationNameValue contains "ROLEASSIGNMENTS/DELETE" and ActivityStatusValue contains "SUCCESS")
| extend _responsebody = parse_json(Properties_d.responseBody)
| extend _propertieslevel3 = parse_json(_responsebody.properties)
| extend ModifiedUser = parse_json(_propertieslevel3.principalId)

随着 _propertieslevel3 返回空白，修改后的用户也是如此。我只能猜测嵌套这么深是有问题的。

有什么想法吗？

TIA。

Properties_d

的数据样本

{"eventCategory":"Administrative",
"eventDataId":"xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx",
"eventSubmissionTimestamp":"2022-03-09T16:53:26.4493278Z",
"resource":"xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx",
"resourceProviderValue":"MICROSOFT.AUTHORIZATION",
"subscriptionId":"xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx",
"activityStatusValue":"Success",
"entity":"/subscriptions/xxxxxxxxxxxxxxxxxxxxxxxxxxxx/providers/Microsoft.Authorization/roleAssignments/xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx",
"message":"Microsoft.Authorization/roleAssignments/delete",
"hierarchy":"xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx",
"caller":"xxxxxx@xxxxxxx",
"httpRequest":"{\"clientIpAddress\":\"3.3.3.3\"}",
"statusCode":"OK",
"serviceRequestId":"",
"activitySubstatusValue":"OK",
"responseBody":"{\"properties\":{\"roleDefinitionId\":\"/subscriptions/xxxxxxxxxxxxxxxxxxxxxxxx/providers/Microsoft.Authorization/roleDefinitions/xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx\",
\"principalId\":\"xxxxxxxxxxxxxxxxxxxxxxxxxxxx\",
\"principalType\":\"User\",
\"scope\":\"/subscriptions/xxxxxxxxxxxxxxxxxxxxxx\",
\"condition\":null,
\"conditionVersion\":null,
\"createdOn\":\"2022-03-09T11:28:48.4781104Z\",
\"updatedOn\":\"2022-03-09T11:28:48.4781104Z\",
\"createdBy\":\"xxxxxxxxxxxxxxxxxxxxxxxxx\",
\"updatedBy\":\"xxxxxxxxxxxxxxxxxxxxxxx\",
\"delegatedManagedIdentityResourceId\":null,
\"description\":null},
\"id\":\"/subscriptions/xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx/providers/Microsoft.Authorization/roleAssignments/xxxxxxxxxxxxxxxxxxxxxx\",
\"type\":\"Microsoft.Authorization/roleAssignments\",
\"name\":\"xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx\"}"}

Answer 1

很可能，您也需要在嵌套的属性包上应用 parse_json()。

参见：https://docs.microsoft.com/en-us/azure/data-explorer/kusto/query/parsejsonfunction

Answer 2

知道了:)

不确定为什么我需要使 _propertieslevel3 与响应主体相同，而不是能够提取 .properties

但它有效。

谢谢。

AzureActivity
| where (OperationNameValue contains "ROLEASSIGNMENTS/WRITE" and ActivityStatusValue contains "Start")
| extend _responsebody = parse_json(Properties_d.responseBody)
| extend _propertieslevel3 = parse_json(tostring(parse_json(_responsebody)))
| extend _level4 = parse_json(tostring(parse_json(_propertieslevel3.properties)))
| extend ModifiedUser = parse_json(tostring(parse_json(_level4.principalId)))

带有嵌套 JSON 参数的 Kusto 查询问题 Sentinel Log Analytics

Problem with Kusto Query with nested JSON parameters Sentinel Log Analytics

json

nested

kql

azure-data-explorer