Zero Networks Segment Audit (Function)-Connector (über Azure Functions) für Microsoft Sentinel

  • Artikel

Der Zero Networks Segment Audit-Datenconnector bietet die Möglichkeit zur Erfassung von Audit-Ereignissen über die REST-API in Microsoft Sentinel. Weitere Informationen finden Sie im API-Leitfaden. Der Connector bietet die Möglichkeit zum Abrufen von Ereignissen, um potenzielle Sicherheitsrisiken zu untersuchen, die Nutzung der Zusammenarbeit durch Ihr Team zu analysieren, Konfigurationsprobleme zu diagnostizieren und mehr.

Connectorattribute

Connectorattribut BESCHREIBUNG
Anwendungseinstellungen APIToken
WorkspaceID
WorkspaceKey
logAnalyticsUri (optional)
uri
tableName
Azure-Funktions-App-Code Zero Networks Segmentüberprüfung (Funktion) (mit Azure Functions) Connector für Microsoft Sentinel
Log Analytics-Tabellen ZNSegmentAudit_CL
Unterstützung für Datensammlungsregeln Derzeit nicht unterstützt
Unterstützt von Zero Networks

Abfragebeispiele

Zero Networks Segment Audit – Alle Aktivitäten

ZNSegmentAudit_CL

| sort by TimeGenerated desc

Voraussetzungen

Stellen Sie für die Integration in Zero Networks Segment Audit (Function) (über Azure Functions) sicher, dass Folgendes vorhanden ist:

  • Microsoft.Web/sites-Berechtigungen: Lese- und Schreibberechtigungen für Azure Functions zum Erstellen einer Funktions-App sind erforderlich. Weitere Informationen zu Azure Functions finden Sie in der Dokumentation.
  • REST-API-Anmeldeinformationen: Zero Networks SegmentAPI-Token ist für die REST-API erforderlich. Informationen dazu finden Sie im API-Leitfaden.

Installationsanweisungen des Anbieters

Hinweis

Dieser Connector verbindet sich über Azure Functions mit der Zero Networks-REST-API, um deren Protokolle in Microsoft Sentinel zu pullen. Dies könnte zusätzliche Datenerfassungskosten verursachen. Ausführliche Informationen finden Sie auf der Seite mit der Preisübersicht von Azure Functions.

Optionaler Schritt Speichern Sie Arbeitsbereichs- und API-Autorisierungsschlüssel oder -token sicher in Azure Key Vault. Azure Key Vault bietet einen sicheren Mechanismus zum Speichern und Abrufen von Schlüsselwerten. Befolgen Sie diese Anweisungen, um Azure Key Vault mit einer Azure-Funktions-App zu verwenden.

SCHRITT 1: Konfigurationsschritte für die Zero Networks-API

Informationen zum Abrufen der Anmeldeinformationen finden Sie im API-Leitfaden.

SCHRITT 2: Wählen Sie EINE der beiden folgenden Bereitstellungsoptionen aus, um den Connector und die zugeordnete Azure-Funktion bereitzustellen.

WICHTIG: Halten Sie für die Bereitstellung des Arbeitsbereichsdatenconnectors die Arbeitsbereichs-ID und den Primärschlüssel des Arbeitsbereichs bereit (können im Anschluss kopiert werden).

Option 1: Azure Resource Manager (ARM)-Vorlage

Verwenden Sie diese Methode für die automatisierte Bereitstellung des Zero Networks Segment Audit-Datenconnectors mithilfe einer ARM-Vorlage.

  1. Klicken Sie unten auf die Schaltfläche In Azure bereitstellen.

    Deploy To Azure

  2. Wählen Sie die bevorzugten Werte für Abonnement, Ressourcengruppe und Standort aus.

HINWEIS: Innerhalb derselben Ressourcengruppe können Sie keine Windows- und Linux-Apps in der gleichen Region mischen. Wählen Sie eine vorhandene Ressourcengruppe aus, die keine Windows-Apps enthält, oder erstellen Sie eine neue Ressourcengruppe. 3. Geben Sie das APIToken ein, und stellen Sie es bereit. 4. Aktivieren Sie das Kontrollkästchen Ich stimme den oben genannten Geschäftsbedingungen zu. 5. Klicken Sie zum Bereitstellen auf Kaufen.

Option 2: Manuelle Bereitstellung von Azure Functions

Verwenden Sie die folgenden schrittweisen Anleitungen zum manuellen Bereitstellen des Zero Networks Segment Audit-Datenconnectors mit Azure Functions (Bereitstellung über Visual Studio Code).

1. Bereitstellen einer Funktions-App

HINWEIS: Für die Azure-Funktionsentwicklung müssen Sie VS Code vorbereiten.

  1. Laden Sie die Azure-Funktions-App-Datei herunter. Extrahieren Sie das Archiv auf Ihren lokalen Entwicklungscomputer.

  2. Starten Sie Visual Studio Code. Wählen Sie im Hauptmenü „Datei“ und dann „Ordner öffnen“ aus.

  3. Wählen Sie den Ordner der obersten Ebene aus den extrahierten Dateien aus.

  4. Wählen Sie in der Aktivitätsleiste das Azure-Symbol und dann im Bereich Azure: Funktionen die Schaltfläche In Funktions-App bereitstellen aus. Wenn Sie noch nicht angemeldet sind, wählen Sie in der Aktivitätsleiste das Azure-Symbol und dann im Bereich Azure: Funktionen die Option Bei Azure anmelden aus. Wenn Sie bereits angemeldet sind, gehen Sie zum nächsten Schritt.

  5. Geben Sie nach entsprechender Aufforderung Folgendes ein:

    a. Ordner auswählen: Wählen Sie einen Ordner in Ihrem Arbeitsbereich aus, oder navigieren Sie zu einem Ordner, in dem Ihre Funktions-App gespeichert ist.

    b. Abonnement auswählen: Wählen Sie das zu verwendende Abonnement aus.

    c. Wählen Sie Neue Funktions-App in Azure erstellen aus (wählen Sie nicht die Option „Erweitert“ aus).

    d. Global eindeutigen Namen für die Funktions-App eingeben: Geben Sie einen Namen ein, der in einem URL-Pfad gültig ist. Der eingegebene Name wird überprüft, um sicherzustellen, dass er in Azure Functions eindeutig ist. (Beispiel: ZNSegmentAuditXXXXX).

    e. Runtime auswählen: Wählen Sie „PowerShell“ aus.

    f. Wählen Sie einen Standort für neue Ressourcen aus. Wählen Sie zur Leistungsverbesserung und Kostensenkung dieselbe Region aus, in der sich Microsoft Sentinel befindet.

  6. Die Bereitstellung beginnt. Nach der Erstellung der Funktions-App wird eine Benachrichtigung angezeigt, und das Bereitstellungspaket wird angewendet.

  7. Wechseln Sie zum Azure-Portal, um die Konfiguration der Funktions-App anzuzeigen.

2. Konfigurieren der Funktions-App

  1. Wählen Sie im Bereich „Funktions-App“ den Namen der Funktions-App und dann Konfiguration aus.
  2. Wählen Sie auf der Registerkarte Anwendungseinstellungen die Option **Neue Anwendungseinstellung** aus.
  3. Fügen Sie jede der folgenden Anwendungseinstellungen einzeln mit ihren jeweiligen Zeichenfolgenwerten hinzu (Groß-/Kleinschreibung beachten): „APIToken“ „WorkspaceID“ „WorkspaceKey“ „logAnalyticsUri“ (optional) „uri tableName“
  • Verwenden Sie „logAnalyticsUri“ zum Überschreiben des Log Analytics-API-Endpunkts für die dedizierte Cloud. Lassen Sie beispielsweise den Wert für die öffentliche Cloud leer. Geben Sie für die Azure-Cloudumgebung „GovUS“ den Wert im folgenden Format an: https://<CustomerId>.ods.opinsights.azure.us. 3. Nachdem Sie alle Anwendungseinstellungen eingegeben haben, klicken Sie auf Speichern.

Nächste Schritte

Weitere Informationen finden Sie in der entsprechenden Lösung im Azure Marketplace.