Connecteur Cisco Umbrella (avec Azure Functions) pour Microsoft Sentinel
Le connecteur de données Cisco Umbrella offre la possibilité d’ingérer des événements Cisco Umbrella stockés dans Amazon S3 dans Microsoft Sentinel à l’aide de l’API REST Amazon S3. Pour plus d’informations, consultez la documentation sur la gestion des journaux Cisco Umbrella.
Ce contenu est généré automatiquement. Pour toute modification, contactez le fournisseur de la solution.
Attributs du connecteur
| Attribut du connecteur | Description |
|---|---|
| Alias de fonction Kusto | Cisco_Umbrella |
| URL de fonction Kusto | https://aka.ms/sentinel-ciscoumbrella-function |
| Table(s) Log Analytics | Cisco_Umbrella_dns_CL Cisco_Umbrella_proxy_CL Cisco_Umbrella_ip_CL Cisco_Umbrella_cloudfirewall_CL |
| Support des Règles de collecte de données | Non prise en charge pour le moment |
| Pris en charge par | Microsoft Corporation |
Exemples de requête
Tous les journaux Cisco Umbrella
Cisco_Umbrella
| sort by TimeGenerated desc
Journaux DNS Cisco Umbrella
Cisco_Umbrella
| where EventType == 'dnslogs'
| sort by TimeGenerated desc
Journaux de proxy Cisco Umbrella
Cisco_Umbrella
| where EventType == 'proxylogs'
| sort by TimeGenerated desc
Journaux IP Cisco Umbrella
Cisco_Umbrella
| where EventType == 'iplogs'
| sort by TimeGenerated desc
Journaux de pare-feu cloud Cisco Umbrella
Cisco_Umbrella
| where EventType == 'cloudfirewalllogs'
| sort by TimeGenerated desc
Prérequis
Pour intégrer Cisco Umbrella (avec Azure Functions), vérifiez que vous disposez des éléments suivants :
- Autorisations Microsoft.Web/sites : Autorisations d’accès en lecture et en écriture à Azure Functions pour créer une application de fonction requises. Consultez la documentation pour en savoir plus sur Azure Functions.
- Autorisations/informations d’identification de l’API REST Amazon S3 : l’ID de clé d’accès AWS, la Clé d’accès secrète AWS et le Nom du compartiment AWS S3 sont requis pour l’API REST Amazon S3.
Instructions d’installation du fournisseur
Notes
Ce connecteur utilise Azure Functions pour se connecter à l’API REST Amazon S3 et ainsi extraire les journaux dans Microsoft Sentinel. Il peut en résulter des coûts supplémentaires d’ingestion des données. Si vous souhaitez en savoir plus, veuillez consulter la page des tarifs d’Azure Functions.
Notes
Ce connecteur a été mis à jour pour prendre en charge cisco umbrella version 5 et version 6.
(Étape facultative) Stockez en toute sécurité la ou les clés ou jetons d’autorisation de l’espace de travail et de l’API dans Azure Key Vault. Azure Key Vault fournit un mécanisme sécurisé pour stocker et récupérer des valeurs de clés. Suivez ces instructions pour utiliser Azure Key Vault avec une application Azure Functions.
Remarque
Ce connecteur utilise un analyseur basé sur une fonction Kusto pour normaliser les champs. Procédez comme suit pour créer l’alias de la fonction Kusto Cisco_Umbrella.
ÉTAPE 1 - Configuration de la collection de journaux Cisco Umbrella
Consultez la documentation et suivez les instructions pour configurer la journalisation et obtenir des informations d’identification.
ÉTAPE 2 – choisir UNE des deux options de déploiement suivantes pour déployer le connecteur et le Azure Functions associé
IMPORTANT : avant le déploiement du connecteur de données Cisco Umbrella, récupérez l’ID d’espace de travail et la clé principale de l’espace de travail (peuvent être copiés à partir des éléments suivants), ainsi que les informations d’identification de l’autorisation d’API REST Amazon S3, déjà disponibles.
Étapes suivantes
Pour plus d’informations, accédez à la solution associée dans la Place de marché Azure.