Azure Sentinel中Exchange Security Insights On-Premise解析器故障排查指南

问题背景

在Azure Sentinel的Exchange Security Insights On-Premise解决方案中，用户报告了一个关于ExchangeAdminAuditLogs()解析器的功能异常。该解析器在执行时返回KQL函数参数错误，提示"union: must have at least one operand that can be evaluated successfully when running with 'Fuzzy' mode"。

技术分析

ExchangeAdminAuditLogs()解析器是Exchange Security Insights On-Premise解决方案的核心组件之一，主要用于解析Exchange服务器的管理审计日志。该解析器通过以下方式工作：

1. 从外部数据源获取Cmdlet监视列表
2. 检查VIP用户列表
3. 解析MSExchange Management事件日志中的特定事件ID(1和6)
4. 对Cmdlet操作进行敏感性和权限分析

故障现象

当用户直接从内容中心安装Exchange On-Prem内容包后，在Log Analytics中运行ExchangeAdminAuditLogs()解析器时，会遇到以下错误：

union: must have at least one operand that can be evaluated successfully when running with 'Fuzzy' mode

根本原因

经过技术团队分析，该问题主要由以下原因导致：

1. 缺少必要的数据连接器：Exchange Security Insights On-Premises Collector数据连接器未配置
2. 依赖表缺失：工作区中缺少ESIAPIExchange或ESIExchange系列表
3. 解析器依赖链不完整：ExchangeAdminAuditLogs()解析器依赖于ExchangeConfiguration解析器

解决方案

要解决此问题，需要执行以下步骤：

1. 配置数据连接器：

   • 确保已安装并配置Exchange Security Insights On-Premises Collector数据连接器
   • 验证数据连接器是否正常运行并收集数据

2. 验证数据表：

   • 检查工作区中是否存在ESIAPIExchange或ESIExchange系列表
   • 确认MSExchange Management表中有数据

3. 检查依赖解析器：

   • 确保ExchangeConfiguration解析器可用
   • 验证ExchangeConfiguration解析器能正确返回环境配置信息

4. 重新运行解析器：

   • 在确保上述组件都就位后，再次尝试运行ExchangeAdminAuditLogs()解析器

最佳实践建议

为避免类似问题，建议用户：

1. 在安装内容包前，仔细阅读解决方案的所有先决条件
2. 按照官方文档的完整部署指南进行操作
3. 部署后验证所有组件是否正常工作
4. 定期检查数据连接器的运行状态
5. 建立监控机制，及时发现解析器执行失败的情况

总结

Exchange Security Insights On-Premise解决方案提供了强大的Exchange服务器安全监控能力，但其组件间存在复杂的依赖关系。通过正确配置所有必要组件，特别是Exchange Security Insights On-Premises Collector数据连接器，可以确保ExchangeAdminAuditLogs()解析器正常工作，从而实现对Exchange管理活动的有效监控和分析。

对于遇到类似问题的用户，建议按照本文提供的解决方案逐步排查，确保所有依赖项都已正确配置和运行。