Partager via

Connecteur CyberArk Audit (à l’aide d’Azure Functions) pour Microsoft Sentinel

  • Article

Le connecteur de données CyberArk Audit permet de récupérer les journaux des événements de sécurité du service CyberArkAudit et autres événements dans Microsoft Sentinel via l’API REST. Le connecteur permet d’obtenir les événements pour examiner les risques de sécurité potentiels, analyser la collaboration de votre équipe, diagnostiquer les problèmes de configuration, etc.

Ce contenu est généré automatiquement. Pour toute modification, contactez le fournisseur de la solution.

Attributs du connecteur

Attribut du connecteur Description
Paramètres d’application CyberArkAuditUsername
CyberArkAuditPassword
CyberArkAuditServerURL
WorkspaceID
WorkspaceKey
logAnalyticsUri (facultatif)
Code d’application de fonction Azure https://aka.ms/sentinel-CyberArkAudit-functionapp
Table(s) Log Analytics CyberArk_AuditEvents_CL
Support des Règles de collecte de données Non prise en charge pour le moment
Pris en charge par Prise en charge de CyberArk

Exemples de requête

Événements CyberArk Audit - Toutes les activités.

CyberArkAudit

| sort by TimeGenerated desc

Prérequis

Pour intégrer CyberArk Audit (à l’aide d’Azure Functions), vérifiez que vous disposez des éléments suivants :

  • Autorisations Microsoft.Web/sites : Autorisations d’accès en lecture et en écriture à Azure Functions pour créer une application de fonction requises. Veuillez consulter la documentation si vous souhaitez en savoir plus sur Azure Functions.
  • Les informations de connexion et d’identification de l’API Rest pour audit : connexions d’API REST : OauthUsername, OauthPassword, WebAppID, AuditApiKey , IdentityEndpoint et AuditApiBaseUrl sont nécessaires pour effectuer des appels d’API.

Instructions d’installation du fournisseur

Notes

Ce connecteur utilise Azure Functions pour se connecter à l’API Stockage Blob Azure afin d’extraire des journaux dans Microsoft Sentinel. Cela peut entraîner des coûts supplémentaires pour l’ingestion des données et le stockage des données dans Stockage Blob Azure. Pour plus de détails, consultez les pages Tarification d’Azure Functions et Tarification du Stockage Blob Azure.

Remarque

La (les) clé(s) ou le(s) jeton(s) d’autorisation d’API est (sont) stocké(s) en sécurité dans Azure Key Vault. Azure Key Vault fournit un mécanisme sécurisé pour stocker et récupérer des valeurs de clés.

ÉTAPE 1 - Étapes de configuration pour l’intégration de la gestion des informations et des événements de sécurité de CyberArk Audit

Suivez les instructions pour obtenir les informations d’identification et de connexion.

  1. Utilisez le nom d’utilisateur et le mot de passe pour votre compte CyberArk Audit.

ÉTAPE 2 - Choisissez UNE des deux options de déploiement suivantes pour déployer le connecteur et la fonction Azure associée

IMPORTANT : avant de déployer le connecteur de données CyberArk Audit, assurez-vous d’avoir le nom et l’emplacement de l’espace de travail (vous pouvez les copier depuis les informations qui suivent).

Nom de l’espace de travail

Emplacement de l’espace de travail

Option 1 : modèle Azure Resource Manager (ARM)

Utilisez cette méthode pour le déploiement automatisé du connecteur de données CyberArkAudit à l’aide d’un modèle ARM.

  1. Cliquez sur le bouton Déployer sur Azure ci-dessous.

    Déployer sur Azure

  2. Sélectionnez votre abonnement, votre groupe de ressources, puis votre emplacement préférés.

REMARQUE : au sein du même groupe de ressources, vous ne pouvez pas mélanger des applications Windows et Linux dans la même région. Sélectionnez un groupe de ressources existant sans applications Windows ou créez un groupe de ressources. 3. Saisissez le nom d’utilisateur CyberArk Audit, le mot de passe CyberArk Audit, l’URL du serveur CyberArk Audit et procédez au déploiement. 4. Cochez la case J’accepte les conditions générales mentionnées ci-dessus. 5. Cliquez sur Acheter pour effectuer le déploiement.

Option 2 – Déploiement manuel d’Azure Functions

Utilisez les instructions détaillées suivantes pour déployer manuellement le connecteur de données CyberArk Audit à l’aide d’Azure Functions (déploiement via Visual Studio Code).

1. Déployer une application de fonction

REMARQUE : vous devrez préparer le code VS pour le développement d’une fonction Azure.

  1. Téléchargez le fichier Application Azure Functions. Extrayez l’archive sur votre ordinateur de développement local.

  2. Démarrez VS Code. Choisissez Fichier dans le menu principal, puis sélectionnez Ouvrir le dossier.

  3. Sélectionnez le dossier de niveau supérieur depuis les fichiers extraits.

  4. Choisissez l’icône Azure dans la barre Activité, puis dans la zone Azure : Fonctions, choisissez le bouton Déployer sur une application de fonction. Si vous n’êtes pas encore connecté, choisissez l’icône Azure dans la barre d’activité, puis dans la zone Azure : Fonctions, choisissez Se connecter à Azure. Si vous êtes déjà connecté, passez à l’étape suivante.

  5. Quand vous y êtes invité, indiquez les informations suivantes :

    a. Sélectionner le dossier : choisissez un dossier dans votre espace de travail ou accédez à un dossier qui contient votre application de fonction.

    b. Sélectionnez l’abonnement : choisissez l’abonnement à utiliser.

    c. Sélectionnez Créer une application de fonction dans Azure (ne choisissez pas l’option Avancé).

    d. Entrer un nom global unique pour l’application de fonction : tapez un nom valide dans un chemin d’URL. Le système vérifie que le nom que vous tapez est unique dans Azure Functions. (par exemple, CyberArkXXXXX).

    e. Sélectionnez un runtime : choisissez Python 3.8.

    f. Sélectionnez un emplacement pour les nouvelles ressources. Pour de meilleures performances et des coûts plus réduits, choisissez la même région que celle où se trouve Microsoft Sentinel.

  6. Le déploiement commence. Une notification s’affiche après que votre application de fonction a été créée et que le package de déploiement a été appliqué.

  7. Accédez au Portail Azure pour la configuration de l’application de fonction.

2. Configurer l’application de fonction

  1. Dans l’application de fonction, sélectionnez le nom de l’application de fonction, puis sélectionnez Configuration.

  2. Sous l’onglet Paramètres d’application, sélectionnez ** Nouveau paramètre d’application**.

  3. Ajoutez chacun des paramètres d’application suivants individuellement, avec leurs valeurs de chaîne respectives (en respectant la casse) :

    • CyberArkAuditUsername
    • CyberArkAuditPassword
    • CyberArkAuditServerURL
    • WorkspaceID
    • WorkspaceKey
    • logAnalyticsUri (facultatif)

    Utilisez logAnalyticsUri pour remplacer le point de terminaison de l’API Log Analytics pour le cloud dédié. Par exemple, pour le cloud public, laissez la valeur vide. Pour l’environnement cloud Azure GovUS, spécifiez la valeur au format suivant : https://<CustomerId>.ods.opinsights.azure.us.

  4. Une fois tous les paramètres d’application entrés, cliquez sur Enregistrer.

Étapes suivantes

Pour plus d’informations, accédez à la solution associée dans la Place de marché Azure.