Préparer les ressources Azure pour l’exportation vers Splunk et QRadar

Pour envoyer en streaming les alertes de sécurité de Microsoft Defender pour le cloud à IBM QRadar et Splunk, vous devez configurer des ressources dans Azure, comme Event Hubs et Microsoft Entra ID. Voici les instructions de configuration de ces ressources dans le portail Azure, mais vous pouvez aussi les configurer en utilisant un script PowerShell. Veillez à passer en revue Diffuser des alertes vers QRadar et Splunk avant de configurer les ressources Azure pour exporter les alertes vers QRadar et Splunk.

Pour configurer les ressources Azure pour QRadar et Splunk dans le portail Azure :

Étape 1 : Créer un espace de noms Event Hubs et un hub d’événements avec des autorisations d’envoi

1. Dans le service Event Hubs, créez un espace de noms Event Hubs :

   1. Sélectionnez Create (Créer).
   2. Entrez les détails de l’espace de noms, sélectionnez Vérifier + créer, puis sélectionnez Créer.

   

2. Créez un hub d’événements :

   1. Dans l’espace de noms que vous créez, sélectionnez + Hub d’événements.
   2. Entrez les détails du hub d’événements, puis sélectionnez Vérifier + créer, puis sélectionnez Créer.

3. Créez une stratégie d’accès partagé.

   1. Dans le menu du hub d’événements, sélectionnez l’espace de noms Event Hubs que vous avez créé.
   2. Dans le menu de l’espace de noms Hub d’événements, sélectionnez Event Hubs.
   3. Sélectionnez le hub d’événements que vous venez de créer.
   4. Dans le menu du hub d’événements, sélectionnez Stratégies d’accès partagé.
   5. Sélectionnez Ajouter, entrez un nom de stratégie unique, puis sélectionnez Envoyer.
   6. Sélectionnez Créer pour créer la stratégie.

Étape 2 : Pour diffuser vers le SIEM QRadar : Créer une stratégie d’écoute

1. Sélectionnez Ajouter, entrez un nom de stratégie unique, puis sélectionnez Écouter.

2. Sélectionnez Créer pour créer la stratégie.

3. Une fois la stratégie d’écoute créée, copiez la Clé principale de la chaîne de connexion et enregistrez-la pour l’utiliser plus tard.

   

Étape 3 : Créer un groupe de consommateurs, puis copiez et enregistrez le nom à utiliser dans la plateforme SIEM

1. Dans la section Entités du menu du hub d’événements Event Hubs, sélectionnez Event Hubs, puis sélectionnez le hub d’événements que vous avez créé.

   

2. Sélectionnez Groupe de consommateurs.

Étape 4 : Activer l’exportation continue pour l’étendue des alertes

1. Dans la zone de recherche Azure, recherchez « stratégie », puis accédez à la stratégie.

2. Dans le menu Stratégie, sélectionnez Définitions.

3. Recherchez « déployer l’exportation », puis sélectionnez la stratégie intégrée Déployer l’exportation vers Event Hub pour les données Microsoft Defender pour le cloud.

4. Sélectionnez Attribuer.

5. Définissez les options de stratégie de base :

   1. Dans Étendue, sélectionnez ... pour sélectionner l’étendue à laquelle appliquer la stratégie.
   2. Recherchez le groupe d’administration racine (pour l’étendue du locataire), le groupe d’administration, l’abonnement ou le groupe de ressources dans l’étendue, puis sélectionnez Sélectionner.
      • Pour sélectionner un niveau de groupe d’administration racine de locataire, vous devez disposer d’autorisations au niveau du locataire.
   3. (Facultatif) Dans Exclusions, vous pouvez définir des abonnements spécifiques à exclure de l’exportation.
   4. Entrez un nom d’affectation.
   5. Vérifiez que l’application de la stratégie est activée.

   

6. Dans les paramètres de la stratégie :

   1. Entrez le groupe de ressources où la ressource Automation est enregistrée.
   2. Sélectionnez l’emplacement du groupe de ressources.
   3. Sélectionnez ... en regard de Détails du hub d’événements, puis entrez les détails du hub d’événements, y compris :
      • Abonnement.
      • L’espace de noms Event Hubs que vous avez créé.
      • Hub d’événements que vous avez créé.
      • Dans authorizationrules, sélectionnez la stratégie d’accès partagé que vous avez créée pour envoyer les alertes.

   

7. Sélectionnez Vérifier et créer, puis Créer pour terminer le processus de définition de l’exportation continue vers Event Hubs.

   • Notez que quand vous activez la stratégie d’exportation continue sur le locataire (niveau du groupe d’administration racine), elle diffuse automatiquement vos alertes sur les nouveaux abonnements qui seront créés sous ce locataire.

Étape 5 : Pour diffuser les alertes vers le SIEM QRadar : Créer un compte de stockage

1. Accédez au portail Azure, sélectionnez Créer une ressource, puis sélectionnez Compte de stockage. Si cette option n’apparaît pas, recherchez « compte de stockage ».

2. Sélectionnez Create (Créer).

3. Entrez les détails du compte de stockage, sélectionnez Vérifier et créer, puis Créer.

   

4. Après avoir créé votre compte de stockage, accédez à la ressource puis, dans le menu, sélectionnez Clés d’accès.

5. Sélectionnez Afficher les clés pour afficher les clés, puis copiez la chaîne de connexion de Clé 1.

   

Étape 6 : Pour envoyer en streaming les alertes au SIEM Splunk : Créer une application Microsoft Entra

1. Dans la zone de recherche du menu, recherchez « Microsoft Entra ID » et accédez à Microsoft Entra ID.

2. Accédez au portail Azure, sélectionnez Créer une ressource, puis Microsoft Entra ID. Si cette option n’apparaît pas, recherchez « active directory ».

3. Dans le menu, sélectionnez Inscriptions d’applications.

4. Sélectionnez Nouvelle inscription.

5. Entrez un nom pour l’application, puis sélectionnez Inscrire.

   

6. Copiez dans le Presse-papiers et enregistrez l’ID d’application (client) et l’ID d’annuaire (locataire).

7. Créer la clé secrète du client pour l’application :

   1. Dans le menu, accédez à Certificats et secrets.
   2. Créez un mot de passe pour que l’application prouve son identité lors de la demande d’un jeton :
   3. Sélectionnez Nouveau secret client.
   4. Entrez une brève description, choisissez la date/heure d’expiration du secret, puis sélectionnez Ajouter.

   

8. Une fois le secret créé, copiez l’ID de secret et enregistrez-le pour une utilisation ultérieure avec l’ID d’application et l’ID d’annuaire (locataire).

Étape 7 : Pour envoyer en streaming les alertes au SIEM Splunk : Autorisez Microsoft Entra ID à lire depuis le hub d’événements

1. Accédez à l’espace de noms Event Hubs que vous avez créé.

2. Dans le menu, accédez à Contrôle d’accès.

3. Sélectionnez Ajouter, puis Ajouter une attribution de rôle.

4. Sélectionnez Ajouter une attribution de rôle.

   

5. Sous l’onglet Rôles, recherchez Récepteur de données Azure Event Hubs.

6. Sélectionnez Suivant.

7. Sélectionnez Sélectionner des membres.

8. Recherchez l’application Microsoft Entra que vous avez créée, puis sélectionnez-la.

9. Sélectionnez Fermer.

Pour continuer à configurer l’exportation d’alertes, installez les connecteurs intégrés pour le SIEM que vous utilisez.