Configuración de conectores de datos en Microsoft Sentinel
Después de integrar Microsoft Sentinel en su área de trabajo, utilice conectores de datos para empezar a introducir sus datos en Microsoft Sentinel. Microsoft Sentinel viene con muchos conectores listos para usar para los servicios de Microsoft, que se integran en tiempo real. Por ejemplo, el conector Microsoft 365 Defender es un conector de servicio a servicio que integra datos de Office 365, Microsoft Entra ID, Microsoft Defender for Identity y Microsoft Defender for Cloud Apps.
Los conectores incorporados permiten la conexión con el ecosistema de seguridad más amplio para productos ajenos a Microsoft. Por ejemplo, utilice Syslog, Common Event Format (CEF) o REST APIs para conectar sus orígenes de datos con Microsoft Sentinel.
La página Conectores de datos de Microsoft Sentinel muestra la lista completa de conectores y su estado para su área de trabajo. Próximamente, esta página solo mostrará la lista de conectores de datos en uso.
Nota:
Para agregar más conectores de datos, instale la solución asociada al conector de datos desde el Centro de contenido.
Habilitación de un conector de datos
En la página Conectores de datos, seleccione el conector activo o personalizado que desea conectar y, a continuación, seleccione Abrir página del conector. Si no ve el conector de datos que desea, instale la solución asociada a él desde el Centro de contenido.
Una vez que cumpla todos los requisitos previos enumerados en la pestaña Instrucciones, la página del conector describe cómo ingerir los datos en Microsoft Sentinel. Los datos pueden tardar algún tiempo en empezar a llegar.
Después de conectarse, verá un resumen de los datos en el gráfico Datos recibidos, y el estado de conectividad de los tipos de datos.
Integración de la API REST para conectores de datos
Muchas tecnologías de seguridad proporcionan un conjunto de API para recuperar archivos de registro, y algunos orígenes de datos pueden usar esas API para conectarse a Microsoft Sentinel.
Los conectores de datos que usan API se integran desde el lado del proveedor o se integran mediante Azure Functions, como se describe en las secciones siguientes.
Integración de la API de REST en el lado del proveedor
Una integración de la API creada por el proveedor se conecta con los orígenes de datos del proveedor e inserta los datos en las tablas de registro personalizadas de Microsoft Sentinel mediante la API de recopilador de datos de Azure Monitor.
Integración de la API de REST mediante Azure Functions
Las integraciones que usan Azure Functions para conectarse con una API de proveedor dan formato primero a los datos y, a continuación, los envían a las tablas de registro personalizadas de Microsoft Sentinel mediante la API de recopilador de datos de Azure Monitor.
Integración basada en agentes para conectores de datos
Microsoft Sentinel puede usar el protocolo Syslog para conectar un agente a cualquier origen de datos que pueda realizar el streaming de registros en tiempo real. Por ejemplo, la mayoría de los orígenes de datos locales se conectan a través de la integración basada en agente.
En las secciones siguientes se describen los distintos tipos de conectores de datos basados en agente de Microsoft Sentinel. Siga los pasos descritos en cada página del conector de datos de Microsoft Sentinel para configurar las conexiones mediante mecanismos basados en agente.
syslog
Puede transmitir eventos desde dispositivos compatibles con Syslog basados en Linux a Microsoft Sentinel mediante el Agente de Azure Monitor (AMA). Dependiendo del tipo de dispositivo, el agente se instala directamente en el dispositivo o en un reenviador de registros basado en Linux. El agente de Azure Monitor recibe eventos del demonio de Syslog a través de UDP. El demonio de Syslog reenvía los eventos al agente internamente, comunicándose a través de UDS (sockets de dominio UNIX). A continuación, el agente de Azure Monitor transmite estos eventos al área de trabajo de Microsoft Sentinel.
Este es un flujo sencillo que muestra cómo Microsoft Sentinel transmite los datos de Syslog.
- El demonio de Syslog integrado del dispositivo recopila los eventos locales de los tipos especificados y los reenvía localmente al agente.
- El agente transmite los eventos al área de trabajo de Log Analytics.
- Después de una configuración correcta, los datos aparecen en la tabla Syslog de Log Analytics.
Formato de evento común (CEF)
Los formatos de registro varían, pero muchos orígenes admiten el formato basado en CEF. El agente de Microsoft Sentinel, que es realmente el agente de Log Analytics, convierte los registros con formato CEF en un formato que Log Analytics puede ingerir.
En el caso de los orígenes de datos que emiten datos en CEF, configure el agente de Syslog y, a continuación, configure el flujo de datos CEF. Después de una configuración correcta, los datos aparecen en la tabla CommonSecurityLog.
Registros personalizados
Para algunos orígenes de datos, puede recopilar registros como archivos en equipos Windows o Linux mediante el agente de recopilación de registros personalizado de Log Analytics.
Siga los pasos descritos en cada página del conector de datos de Microsoft Sentinel para conectarse mediante el agente de recopilación de registros personalizados de Log Analytics. Después de una configuración correcta, los datos aparecen en tablas personalizadas.
Integración entre servicios para conectores de datos
Microsoft Sentinel usa la base de Azure para proporcionar compatibilidad integrada de servicio a servicio de serie con los servicios de Microsoft y Amazon Web Services.
Implemente conectores de datos como parte de una solución
Las soluciones de Microsoft Sentinel proporcionan paquetes de contenido de seguridad, incluidos conectores de datos, libros, reglas de análisis, cuadernos de estrategias, etc. Al implementar una solución con un conector de datos, se obtiene el conector de datos junto con el contenido relacionado en la misma implementación.
Soporte técnico de los conectores de datos
Tanto Microsoft como otras organizaciones crean conectores de datos de Microsoft Sentinel. Cada conector de datos tiene uno de los siguientes tipos de soporte técnico:
| Tipo de soporte técnico | Descripción |
|---|---|
| Admitido por Microsoft | Se aplica a los conectores de datos para orígenes de datos en los que Microsoft sea el proveedor de datos y el autor. Algunos conectores de datos creados por Microsoft para orígenes de datos que no son de Microsoft. Microsoft admite y mantiene los conectores de datos en esta categoría de acuerdo con Planes de soporte técnico de Microsoft Azure. Los asociados o los conectores de datos de soporte técnico de la comunidad creados por cualquier entidad distinta de Microsoft. |
| Asociado admitido | Se aplica a los conectores de datos creados por entidades distintas de Microsoft. La empresa asociada proporciona soporte técnico o mantenimiento para estos conectores de datos. La empresa asociada puede ser un fabricante de software independiente, un proveedor de servicios administrados, un integrador de sistemas o cualquier organización cuya información de contacto se proporcione en la página de Microsoft Sentinel para ese conector de datos. Para cualquier incidencia con un conector de datos compatible con un asociado, póngase en contacto con el contacto de soporte técnico del conector de datos especificado. |
| Comunidad admitida | Se aplica a los conectores de datos creados por Microsoft o desarrolladores asociados que no incluyen contactos para el soporte técnico y el mantenimiento de los conectores de datos en la página del conector de datos especificada de Microsoft Sentinel. |