Share via

Konektor Luminar IOCs a nevracené přihlašovací údaje (pomocí Azure Functions) pro Microsoft Sentinel

  • Článek

Konektor Luminar IOCs a Leaked Credentials umožňuje integraci inteligentních dat IOC a záznamů souvisejících s zákazníky identifikovaných společností Luminar.

Jedná se o automaticky vygenerovaný obsah. Pokud potřebujete změny, obraťte se na poskytovatele řešení.

atributy Připojení oru

atribut Připojení or Popis
Kód aplikace funkcí Azure https://aka.ms/sentinel-CognyteLuminar-functionapp
Tabulky Log Analytics ThreatIntelligenceIndicator
Podpora pravidel shromažďování dat V současnosti není podporováno
Podporováno Cognyte Luminar

Ukázky dotazů

Cognyte Luminar Based Indicators Events - All Cognyte Luminar indicators in Microsoft Sentinel Threat Intelligence.

ThreatIntelligenceIndicator

| where SourceSystem contains 'Luminar'

| sort by TimeGenerated desc

Non-Cognyte Luminar Indikátory události - Všechny indikátory non-Cognyte Luminar v Microsoft Sentinel Threat Intelligence.

ThreatIntelligenceIndicator

| where SourceSystem !contains 'Luminar'

| sort by TimeGenerated desc

Požadavky

Pokud chcete provést integraci se vstupně-výstupními operacemi Luminar IoCs a uniklými přihlašovacími údaji (pomocí Azure Functions), ujistěte se, že máte:

  • Předplatné Azure: Předplatné Azure s rolí vlastníka se vyžaduje k registraci aplikace v Azure Active Directory() a přiřazení role přispěvatele k aplikaci ve skupině prostředků.
  • Oprávnění Microsoft.Web/sites: Vyžaduje se oprávnění ke čtení a zápisu do Azure Functions k vytvoření aplikace funkcí. Další informace o službě Azure Functions najdete v dokumentaci.
  • Přihlašovací údaje a oprávnění rozhraní REST API: Id klienta Luminar, tajný klíč klienta Luminar a ID účtu Luminar jsou povinné.

Pokyny k instalaci dodavatele

Poznámka:

Tento konektor používá Azure Functions k připojení k rozhraní Cognyte Luminar API k načtení vstupně-výstupních operací Luminar a úniku přihlašovacích údajů do Microsoft Sentinelu. To může vést k dalším nákladům na příjem dat a ukládání dat do služby Azure Blob Storage. Podrobnosti najdete na stránce s cenami služby Azure Functions a na stránce s cenami služby Azure Blob Storage.

(Volitelný krok) Bezpečně ukládejte pracovní prostor a autorizační klíče rozhraní API nebo tokeny ve službě Azure Key Vault. Azure Key Vault poskytuje zabezpečený mechanismus pro ukládání a načítání hodnot klíčů. Postupujte podle těchto pokynů k používání služby Azure Key Vault s aplikací funkcí Azure.

Možnost 1 – Šablona Azure Resource Manageru (ARM)

Tuto metodu použijte pro automatizované nasazení datového konektoru pomocí šablony ARM.

  1. Klikněte níže na tlačítko Nasadit do Azure .

    Nasadit do Azure

  2. Vyberte upřednostňované předplatné, skupinu prostředků a umístění.

  3. Zadejte ID aplikace, ID tenanta, tajný klíč klienta, ID klienta Luminar API, ID účtu rozhraní Luminar API, tajný klíč klienta Luminar API, limit, timeInterval a nasazení.

  4. Zaškrtněte políčko označené jako Souhlasím s podmínkami a ujednáními uvedenými výše.

  5. Kliknutím na Koupit nasadíte.

Možnost 2 – Ruční nasazení služby Azure Functions

Pomocí následujících podrobných pokynů nasaďte datový konektor Cognyte Luminar ručně se službou Azure Functions (nasazení přes Visual Studio Code).

1. Nasazení aplikace funkcí

POZNÁMKA:Budete muset připravit VS Code pro vývoj funkcí Azure.

  1. Stáhněte si soubor aplikace funkcí Azure. Extrahujte archiv do místního vývojového počítače.

  2. Spusťte VS Code. V hlavní nabídce zvolte Soubor a vyberte Otevřít složku.

  3. Vyberte složku nejvyšší úrovně z extrahovaných souborů.

  4. Na panelu aktivit zvolte ikonu Azure a pak v oblasti Azure: Functions zvolte tlačítko Nasadit do aplikace funkcí. Pokud ještě nejste přihlášení, zvolte ikonu Azure na panelu aktivit a pak v oblasti Azure: Functions zvolte Přihlásit se k Azure , pokud už jste přihlášení, přejděte k dalšímu kroku.

  5. Podle pokynů na obrazovce zadejte tyto informace:

    a. Vyberte složku: Zvolte složku z pracovního prostoru nebo přejděte do složky, která obsahuje vaši aplikaci funkcí.

    b. Vyberte Předplatné: Zvolte předplatné, které chcete použít.

    c. Vyberte Vytvořit novou aplikaci funkcí v Azure (nevybírejte možnost Upřesnit).

    d. Zadejte globálně jedinečný název aplikace funkcí: Zadejte název, který je platný v cestě URL. Název, který zadáte, se ověří, aby se zajistilo, že je jedinečný ve službě Azure Functions. (např. CognyteLuminarXXX).

    e. Vyberte modul runtime: Zvolte Python 3.8.

    f. Vyberte umístění pro nové prostředky. Pokud chcete dosáhnout lepšího výkonu a nižších nákladů, zvolte stejnou oblast , ve které se nachází Microsoft Sentinel.

  6. Zahájí se nasazení. Po vytvoření aplikace funkcí a použití balíčku nasazení se zobrazí oznámení.

  7. Přejděte na Web Azure Portal pro konfiguraci aplikace funkcí.

2. Konfigurace aplikace funkcí

  1. V aplikaci funkcí vyberte název aplikace funkcí a vyberte Konfigurace.
  2. Na kartě Nastavení aplikace vyberte + Nové nastavení aplikace.
  3. Přidejte každou z následujících nastavení aplikace jednotlivě s příslušnými řetězcovými hodnotami (rozlišují se malá a velká písmena): ID klienta ID klienta Id klienta Luminar API Luminar API ID účtu Luminar API Id klienta Luminar API Limit limitu tajného klíče klienta – pomocí logAnalyticsUri přepište koncový bod rozhraní API pro analýzu protokolů pro vyhrazený cloud. Například pro veřejný cloud ponechte hodnotu prázdnou; v cloudovém prostředí Azure GovUS zadejte hodnotu v následujícím formátu: https://<CustomerId>.ods.opinsights.azure.us
  4. Po zadání všech nastavení aplikace klikněte na Uložit.

Další kroky

Další informace najdete v souvisejícím řešení na Azure Marketplace.