Partage via

[Déconseillé] Forcepoint CASB via le connecteur de l’ancien agent pour Microsoft Sentinel

  • Article

Important

La collecte de journaux dans un grand nombre d’appliances et d’appareils est désormais prise en charge par le CEF (Common Event Format) via AMA, Syslog via AMA ou les journaux personnalisés via le connecteur de données AMA dans Microsoft Sentinel. Pour plus d’informations, consultez Rechercher votre connecteur de données Microsoft Sentinel.

Le connecteur Forcepoint CASB (broker de sécurité d’accès au cloud) vous permet d’exporter automatiquement les journaux et les événements CASB dans Microsoft Sentinel en temps réel. Cette fonctionnalité enrichit la visibilité des activités des utilisateurs dans les emplacements et les applications cloud, rend possible une corrélation supplémentaire avec les données des charges de travail Azure et d’autres flux, et améliore la fonctionnalité de supervision avec les classeurs dans Microsoft Sentinel.

Attributs du connecteur

Attribut du connecteur Description
Table(s) Log Analytics CommonSecurityLog (ForcepointCASB)
Prise en charge des règles de collecte de données Règles de collecte de données pour la transformation de l’espace de travail
Pris en charge par Communauté

Exemples de requête

Cinq principaux utilisateurs avec le plus grand nombre de journaux

CommonSecurityLog 

| summarize Count = count() by DestinationUserName

| top 5 by DestinationUserName

| render barchart

** Cinq principaux utilisateurs par nombre de tentatives ayant échoué **

CommonSecurityLog 

| extend outcome = coalesce(column_ifexists("EventOutcome", ""), tostring(split(split(AdditionalExtensions, ";", 2)[0], "=", 1)[0]), "")

| extend reason = coalesce(column_ifexists("Reason", ""), tostring(split(split(AdditionalExtensions, ";", 3)[0], "=", 1)[0]), "")

| where outcome =="Failure"

| summarize Count= count() by DestinationUserName

| render barchart

Instructions d’installation du fournisseur

  1. Configuration de l’agent Syslog Linux

Installez et configurez l’agent Linux pour collecter vos messages Syslog au format CEF (Common Event Format) et les transférer à Microsoft Sentinel.

Notez que les données de toutes les régions seront stockées dans l’espace de travail sélectionné

1.1 Sélectionner ou créer une machine Linux

Sélectionnez ou créez une machine Linux que Microsoft Sentinel utilisera comme proxy entre votre solution de sécurité et Microsoft Sentinel. Cette machine peut être sur votre environnement local, sur Azure ou dans d’autres clouds.

1.2 Installer le collecteur CEF sur la machine Linux

Installez Microsoft Monitoring Agent sur votre ordinateur Linux et configurez l’ordinateur pour écouter sur le port nécessaire et transférer les messages vers votre espace de travail Microsoft Sentinel. Le collecteur CEF collecte les messages CEF sur le port 514 TCP.

  1. Vérifiez que vous disposez de Python sur votre ordinateur à l’aide de la commande suivante : python -version.
  1. Vous devez disposer d’autorisations élevées (sudo) sur votre machine.

Exécutez la commande suivante pour installer et appliquer le collecteur CEF :

sudo wget -O cef_installer.py https://raw.githubusercontent.com/Azure/Azure-Sentinel/master/DataConnectors/CEF/cef_installer.py&&sudo python cef_installer.py {0} {1}

  1. Transférer les journaux d’activité au format CEF vers l'agent Syslog

Configurez votre solution de sécurité de façon à pouvoir envoyer des messages Syslog au format CEF à la machine proxy. Veillez à envoyer les journaux au port TCP 514 à l’adresse IP de la machine.

  1. Valider la connexion

Suivez les instructions pour valider votre connectivité :

Ouvrez Log Analytics pour vous assurer que les journaux sont reçus à l’aide du schéma CommonSecurityLog.

Il faut environ 20 minutes pour que la connexion diffuse des données dans votre espace de travail.

Si les journaux ne sont pas reçus, exécutez le script de validation de connectivité suivant :

  1. Vérifiez que vous disposez de Python sur votre ordinateur à l’aide de la commande suivante : python -version
  1. Vous devez disposer d’autorisations élevées (sudo) sur votre machine

Exécutez la commande suivante pour valider votre connectivité :

sudo wget -O cef_troubleshoot.py https://raw.githubusercontent.com/Azure/Azure-Sentinel/master/DataConnectors/CEF/cef_troubleshoot.py&&sudo python cef_troubleshoot.py {0}

  1. Sécuriser votre machine

Veillez à configurer la sécurité de la machine en fonction de la stratégie de sécurité de votre organisation

En savoir plus >

  1. Guide d’installation de l’intégration Forcepoint

Pour finaliser l’installation de cette intégration de produit Forcepoint, suivez le guide disponible au lien ci-dessous.

Guide d’installation >

Étapes suivantes

Pour plus d’informations, accédez à la solution associée dans la Place de marché Azure.