Armis Activities-Connector (mithilfe von Azure Functions) für Microsoft Sentinel
Der Armis Activities-Connector bietet die Möglichkeit, Armis-Geräteaktivitäten über die Armis-REST-API in Microsoft Sentinel aufzunehmen. Weitere Informationen hierzu finden Sie in der Dokumentation zur API: https://<YourArmisInstance>.armis.com/api/v1/doc. Der Connector bietet die Möglichkeit, Geräteaktivitätsinformationen von der Armis-Plattform abzurufen. Armis verwendet Ihre vorhandene Infrastruktur, um Geräte zu ermitteln und zu identifizieren, ohne Agents bereitstellen zu müssen. Armis erkennt, was alle Geräte in Ihrer Umgebung tun, und klassifiziert diese Aktivitäten, um ein vollständiges Bild des Geräteverhaltens zu erhalten. Diese Aktivitäten werden analysiert, um das normale und ungewöhnliche Geräteverhalten zu verstehen und verwendet, um Geräte- und Netzwerkrisikos zu bewerten.
Dieser Inhalt wurde automatisch generiert. Wenden Sie sich im Zusammenhang mit Änderungen an den Lösungsanbieter.
Connectorattribute
| Connectorattribut | BESCHREIBUNG |
|---|---|
| Azure-Funktions-App-Code | https://aka.ms/sentinel-ArmisActivitiesAPI-functionapp |
| Log Analytics-Tabellen | Armis_Activities_CL |
| Unterstützung für Datensammlungsregeln | Derzeit nicht unterstützt |
| Unterstützt von | Armis Corporation |
Abfragebeispiele
Armis Activity Events – Alle Activities-Aktivitäten.
Armis_Activities_CL
| sort by TimeGenerated desc
Voraussetzungen
Um die Integration mit Armis Activities (mithilfe von Azure Functions) zu ermöglichen, müssen Sie Folgendes haben:
- Microsoft.Web/sites-Berechtigungen: Lese- und Schreibberechtigungen für Azure Functions zum Erstellen einer Funktions-App sind erforderlich. Weitere Informationen zu Azure Functions finden Sie in der Dokumentation.
- REST-API-Anmeldeinformationen/Berechtigungen: Geheimer Armis-Schlüssel ist erforderlich. Weitere Informationen finden Sie in der Dokumentation zur API „
https://<YourArmisInstance>.armis.com/api/v1/doc“.
Installationsanweisungen des Anbieters
Hinweis
Dieser Connector verbindet sich über Azure Functions mit der Armis-API, um deren Protokolle in Microsoft Sentinel zu pullen. Dies kann zusätzliche Datenerfassungskosten verursachen. Ausführliche Informationen finden Sie auf der Seite mit der Preisübersicht von Azure Functions.
Optionaler Schritt Speichern Sie Arbeitsbereichs- und API-Autorisierungsschlüssel oder -token sicher in Azure Key Vault. Azure Key Vault bietet einen sicheren Mechanismus zum Speichern und Abrufen von Schlüsselwerten. Befolgen Sie diese Anweisungen, um Azure Key Vault mit einer Azure-Funktions-App zu verwenden.
HINWEIS: Damit dieser Datenconnector wie erwartet funktioniert, ist er von einem Parser abhängig, der auf einer Kusto-Funktion basiert, die als Teil der Lösung bereitgestellt wird. Um den Funktionscode in Log Analytics anzuzeigen, öffnen Sie das Blatt „Log Analytics-/Microsoft Sentinel-Protokolle“, klicken Sie auf „Funktionen“, suchen Sie nach dem Alias „ArmisActivities“, und laden Sie den Funktionscode, oder klicken Sie hier. Die Aktivierung der Funktion dauert in der Regel 10 bis 15 Minuten nach der Installation/Aktualisierung der Lösung.
SCHRITT 1: Konfigurationsschritte für die Armis-API
Befolgen Sie diese Anweisungen, um einen geheimen Armis-API-Schlüssel zu erstellen.
- Melden Sie sich bei Ihrer Armis-Instanz an.
- Navigieren sie zu „Einstellungen“ –>-API-Verwaltung.
- Wenn der geheime Schlüssel noch nicht erstellt wurde, drücken Sie die Schaltfläche „Erstellen“, um ihn zu erstellen.
- Um auf den geheimen Schlüssel zuzugreifen, drücken Sie die Schaltfläche „Anzeigen“.
- Der geheime Schlüssel kann jetzt kopiert und während der Konfiguration des Armis Activities-Connectors verwendet werden.
SCHRITT 2: Wählen Sie EINE der folgenden beiden Bereitstellungsoptionen aus, um den Connector und die zugehörige Azure-Funktion bereitzustellen
WICHTIG: Für die Bereitstellung des Armis Activities-Datenconnectors müssen Sie die Arbeitsbereichs-ID und den Primärschlüssel des Arbeitsbereichs (die entsprechenden Informationen können wie folgt kopiert werden) sowie die Schlüssel zur Autorisierung für die Armis-API zur Hand haben
Option 1: Azure Resource Manager-Vorlage (ARM)
Verwenden Sie diese Methode für die automatisierte Bereitstellung des Armis-Connectors.
Klicken Sie unten auf die Schaltfläche In Azure bereitstellen.
Wählen Sie die bevorzugten Werte für Abonnement, Ressourcengruppe und Speicherort aus.
Fügen Sie die folgenden Informationen hinzu:
- Funktionsname
- Arbeitsbereichs-ID
- Arbeitsbereichsschlüssel
- Geheimer Armis-Schlüssel
- Armis-URL
https://<armis-instance>.armis.com/api/v1/ - Armis Activities-Tabellenname
- Armis-Zeitplan
- Duplikate vermeiden (Standard: falsch)
Aktivieren Sie das Kontrollkästchen Ich stimme den oben genannten Geschäftsbedingungen zu.
Klicken Sie zum Bereitstellen auf Kaufen.
Option 2: Manuelle Bereitstellung von Azure Functions
Verwenden Sie die folgende Schrittanleitung, um den Armis Activities-Datenconnector manuell mit Azure Functions bereitzustellen (Bereitstellung über Visual Studio Code).
1. Bereitstellen einer Funktions-App
HINWEIS: Für die Azure-Funktionsentwicklung müssen Sie VS Code vorbereiten.
Laden Sie die Azure-Funktions-App-Datei herunter. Extrahieren Sie das Archiv auf Ihren lokalen Entwicklungscomputer.
Starten Sie Visual Studio Code. Wählen Sie im Hauptmenü „Datei“ und dann „Ordner öffnen“ aus.
Wählen Sie den Ordner der obersten Ebene aus den extrahierten Dateien aus.
Wählen Sie in der Aktivitätsleiste das Azure-Symbol und dann im Bereich Azure: Funktionen die Schaltfläche In Funktions-App bereitstellen aus. Wenn Sie noch nicht angemeldet sind, wählen Sie in der Aktivitätsleiste das Azure-Symbol und dann im Bereich Azure: Funktionen die Option Bei Azure anmelden aus. Wenn Sie bereits angemeldet sind, gehen Sie zum nächsten Schritt.
Geben Sie nach entsprechender Aufforderung Folgendes ein:
a. Ordner auswählen: Wählen Sie einen Ordner in Ihrem Arbeitsbereich aus, oder navigieren Sie zu einem Ordner, in dem Ihre Funktions-App gespeichert ist.
b. Abonnement auswählen: Wählen Sie das zu verwendende Abonnement aus.
c. Wählen Sie Neue Funktions-App in Azure erstellen aus (wählen Sie nicht die Option „Erweitert“ aus).
d. Global eindeutigen Namen für die Funktions-App eingeben: Geben Sie einen Namen ein, der in einem URL-Pfad gültig ist. Der eingegebene Name wird überprüft, um sicherzustellen, dass er in Azure Functions eindeutig ist. (z. B. ARMISXXXXX).
e. Runtime auswählen: Wählen Sie mindestens „Python 3.8“ aus.
f. Wählen Sie einen Standort für neue Ressourcen aus. Wählen Sie zur Leistungsverbesserung und Kostensenkung dieselbe Region aus, in der sich Microsoft Sentinel befindet.
Die Bereitstellung beginnt. Nach der Erstellung der Funktions-App wird eine Benachrichtigung angezeigt, und das Bereitstellungspaket wird angewendet.
Wechseln Sie zum Azure-Portal, um die Konfiguration der Funktions-App anzuzeigen.
2. Konfigurieren der Funktions-App
- Wählen Sie im Bereich „Funktions-App“ den Namen der Funktions-App und dann Konfiguration aus.
- Wählen Sie auf der Registerkarte Anwendungseinstellungen die Option + Neue Anwendungseinstellung aus.
- Fügen Sie jede der folgenden Anwendungseinstellungen einzeln mit ihren jeweiligen Zeichenfolgenwerten hinzu (Groß-/Kleinschreibung beachten):
- Arbeitsbereichs-ID
- Arbeitsbereichsschlüssel
- Geheimer Armis-Schlüssel
- Armis-URL
https://<armis-instance>.armis.com/api/v1/ - Armis Activities-Tabellenname
- Armis-Zeitplan
- Duplikate vermeiden (Standard: falsch)
- logAnalyticsUri (optional)
- Verwenden Sie „logAnalyticsUri“, um den Log Analytics-API-Endpunkt für die dedizierte Cloud zu überschreiben. Lassen Sie beispielsweise den Wert für die öffentliche Cloud leer. Geben Sie für die Azure-Cloudumgebung „GovUS“ den Wert im folgenden Format an:
https://<CustomerId>.ods.opinsights.azure.us.
- Nachdem Sie alle Anwendungseinstellungen eingegeben haben, klicken Sie auf Speichern.
Nächste Schritte
Weitere Informationen finden Sie in der entsprechenden Lösung im Azure Marketplace.