Teilen über


Integrieren von ArcSight in Microsoft Defender für loT

In diesem Artikel wird beschrieben, wie Sie Microsoft Defender für IoT-Warnungen an ArcSight senden. Die Integration von Defender für IoT mit ArcSight bietet Einblick in die Sicherheit und Ausfallsicherheit von OT-Netzwerken und einen einheitlichen Ansatz für IT- und OT-Sicherheit.

Voraussetzungen

Bevor Sie beginnen, stellen Sie sicher, dass Sie die folgenden Voraussetzungen erfüllen:

Konfigurieren des ArcSight-Empfängertyps

So konfigurieren Sie Ihre ArcSight-Servereinstellungen so, dass Defender für IoT-Warnungsinformationen empfangen werden können:

  1. Melden Sie sich bei Ihrem ArcSight-Server an.
  2. Konfigurieren Sie den Empfängertyp als CEF UDP-Empfänger.

Weitere Informationen finden Sie in der ArcSight SmartConnectors-Dokumentation.

Erstellen einer Defender für IoT-Weiterleitungsregel

Dieses Verfahren beschreibt, wie Sie eine Weiterleitungsregel von Ihrem OT-Sensor erstellen, um Defender für IoT-Warnungen von diesem Sensor an ArcSight zu senden.

Weiterleitungswarnungsregeln werden nur für Warnungen ausgeführt, die nach dem Erstellen der Weiterleitungsregel ausgelöst werden. Alarme, die sich bereits im System befinden, bevor die Weiterleitungsregel erstellt wurde, sind von der Regel nicht betroffen.

Weitere Informationen finden Sie unter Alarminformationen weiterleiten.

  1. Melden Sie sich bei Ihrer OT-Sensorkonsole an und wählen Sie Weiterleitung aus.

  2. Wählen Sie + Neue Regel erstellen aus.

  3. Definieren Sie im Bereich Weiterleitungsregel hinzufügen die Regelparameter:

    Screenshot: Erstellen einer neuen Weiterleitungsregel.

    Parameter BESCHREIBUNG
    Regelname Geben Sie einen aussagekräftigen Namen für Ihre Regel ein.
    Minimale Warnungsstufe Der Mindestschweregrad für die Weiterleitung von Vorfällen. Wenn Sie beispielsweise „Geringfügig“ auswählen, werden Sie über alle geringfügigen, wichtigen und kritischen Vorfälle benachrichtigt.
    Beliebiges erkanntes Protokoll Deaktivieren Sie die Option, um die Protokolle auszuwählen, die Sie in die Regel aufnehmen möchten.
    Von einer beliebigen Engine erkannter Datenverkehr Deaktivieren Sie die Option, um den Datenverkehr auszuwählen, den Sie in die Regel einschließen möchten.
  4. Definieren Sie im Bereich Aktionen die folgenden Werte:

    Parameter BESCHREIBUNG
    Server Wählen Sie ArcSight aus.
    Host Die ArcSight-Serveradresse.
    Port Der ArcSight-Serverport.
    Zeitzone Geben Sie die Zeitzone des ArcSight-Servers ein.
  5. Wählen Sie Speichern aus, um Ihre Weiterleitungsregel zu speichern.

Nächste Schritte