Connecteur Google ApigeeX (avec Azure Functions) pour Microsoft Sentinel
Le connecteur de données Google ApigeeX permet d’ingérer les journaux d’audit ApigeeX dans Microsoft Sentinel à l’aide de l’API de journalisation GCP. Pour plus d’informations, consultez la documentation de l’API de journalisation GCP.
Ce contenu est généré automatiquement. Pour toute modification, contactez le fournisseur de la solution.
Attributs du connecteur
| Attribut du connecteur | Description |
|---|---|
| Code d’application de fonction Azure | https://aka.ms/sentinel-ApigeeXDataConnector-functionapp |
| Table(s) Log Analytics | ApigeeX_CL |
| Support des Règles de collecte de données | Non prise en charge pour le moment |
| Pris en charge par | Microsoft Corporation |
Exemples de requête
Tous les journaux ApigeeX
ApigeeX_CL
| sort by TimeGenerated desc
Prérequis
Pour intégrer Google ApigeeX (avec Azure Functions), vérifiez que vous disposez des éléments suivants :
- Autorisations Microsoft.Web/sites : des autorisations d’accès en lecture et en écriture à Azure Functions sont requises pour créer une application de fonction. Consultez la documentation pour en savoir plus sur Azure Functions.
- Compte de service GCP : le compte de service GCP disposant d’autorisations pour lire les journaux est requis pour l’API de journalisation GCP. Un fichier json avec une clé de compte de service est également requis. Consultez la documentation pour en savoir plus sur les autorisations requises, la création d’un compte de service et la création d’une clé de compte de service.
Instructions d’installation du fournisseur
Notes
Ce connecteur utilise Azure Functions pour se connecter à l’API GCP et ainsi extraire les journaux dans Microsoft Sentinel. Cela risque de générer des coûts supplémentaires d’ingestion des données. Si vous souhaitez en savoir plus, veuillez consulter la page des tarifs d’Azure Functions.
(Étape facultative) Stockez en toute sécurité les clés ou les jetons d’autorisation de l’espace de travail et de l’API dans Azure Key Vault. Azure Key Vault fournit un mécanisme sécurisé pour stocker et récupérer des valeurs de clés. Suivez ces instructions pour utiliser Azure Key Vault avec une application Azure Function.
Notes
Ce connecteur de données dépend d’un analyseur basé sur une fonction Kusto pour fonctionner comme prévu, ApigeeX, qui est déployé avec la solution Microsoft Sentinel.
ÉTAPE 1 - Configuration de GCP et obtention des informations d’identification
Assurez-vous que l’API de journalisation est activée.
Créez un compte de service avec les autorisations requises et obtenez le fichier json de clé de compte de service.
Préparez l’ID de projet GCP où se trouve ApigeeX.
ÉTAPE 2 - Choisissez UNE des deux options de déploiement suivantes pour déployer le connecteur et la fonction Azure associée
IMPORTANT : avant de déployer le connecteur de données, soyez en possession de l’ID d’espace de travail et de la clé primaire de l’espace de travail (qui peuvent être copiés depuis ce qui suit), ainsi que de la chaîne de connexion et du nom de conteneur du Stockage Blob Azure, déjà disponibles.
Option 1 – Modèle Azure Resource Manager (ARM)
Utilisez cette méthode pour le déploiement automatisé du connecteur de données à l’aide d’un modèle ARM.
Cliquez sur le bouton Déployer sur Azure ci-dessous.
Sélectionnez les valeurs de votre choix pour Abonnement, Groupe de ressources et Emplacement.
Entrez l’ID de projet Google Cloud Platform, le Contenu du fichier d’informations d’identification Google Cloud Platform, l’ID d’espace de travail Microsoft Sentinel et la Clé partagée Microsoft Sentinel
Cochez la case J’accepte les termes et conditions mentionnés ci-dessus.
Cliquez sur Acheter pour déployer.
Option 2 : déploiement manuel d’Azure Functions
Utilisez les instructions détaillées suivantes pour déployer manuellement le connecteur de données avec Azure Functions (déploiement via Visual Studio Code).
1. Déployer une application de fonction
REMARQUE : vous devrez préparer le code VS pour le développement d’une fonction Azure.
Téléchargez le fichier Application Azure Functions. Extrayez l’archive sur votre ordinateur de développement local.
Démarrez VS Code. Choisissez Fichier dans le menu principal, puis sélectionnez Ouvrir le dossier.
Sélectionnez le dossier de niveau supérieur depuis les fichiers extraits.
Choisissez l’icône Azure dans la barre Activité, puis dans la zone Azure : Fonctions, choisissez le bouton Déployer sur une application de fonction. Si vous n’êtes pas encore connecté, choisissez l’icône Azure dans la barre d’activité, puis dans la zone Azure : Fonctions, choisissez Se connecter à Azure. Si vous êtes déjà connecté, passez à l’étape suivante.
Quand vous y êtes invité, indiquez les informations suivantes :
a. Sélectionner le dossier : choisissez un dossier dans votre espace de travail ou accédez à un dossier qui contient votre application de fonction.
b. Sélectionnez l’abonnement : choisissez l’abonnement à utiliser.
c. Sélectionnez Créer une application de fonction dans Azure (ne choisissez pas l’option Avancé).
d. Entrer un nom global unique pour l’application de fonction : tapez un nom valide dans un chemin d’URL. Le système vérifie que le nom que vous tapez est unique dans Azure Functions.
e. Sélectionner un runtime : choisissez Python 3.11.
f. Sélectionnez un emplacement pour les nouvelles ressources. Pour de meilleures performances et des coûts plus réduits, choisissez la même région que celle où se trouve Microsoft Sentinel.
Le déploiement commence. Une notification s’affiche après que votre application de fonction a été créée et que le package de déploiement a été appliqué.
Accédez au Portail Azure pour la configuration de l’application de fonction.
2. Configurer l’application de fonction
- Dans l’application de fonction, sélectionnez le nom de l’application de fonction, puis sélectionnez Configuration.
- Sous l’onglet Paramètres d’application, sélectionnez + Nouveau paramètre d’application.
- Ajoutez chacun des paramètres d’application suivants individuellement, avec leurs valeurs de chaîne respectives (en respectant la casse) : RESOURCE_NAMES CREDENTIALS_FILE_CONTENT WORKSPACE_ID SHARED_KEY logAnalyticsUri (facultatif)
- Utilisez logAnalyticsUri pour remplacer le point de terminaison de l’API Log Analytics pour le cloud dédié. Par exemple, pour le cloud public, laissez la valeur vide. Pour l’environnement cloud Azure GovUS, spécifiez la valeur au format suivant :
https://WORKSPACE_ID.ods.opinsights.azure.us.
- Une fois tous les paramètres d’application entrés, cliquez sur Enregistrer.
Étapes suivantes
Pour plus d’informations, accédez à la solution associée dans la Place de marché Azure.