Megosztás a következőn keresztül:

Armis-tevékenységek (az Azure Functions használatával) összekötő a Microsoft Sentinelhez

  • Cikk

Az Armis-tevékenységek összekötő lehetővé teszi az Armis-eszközök tevékenységeinek a Microsoft Sentinelbe való betöltését az Armis REST API-n keresztül. További információkért tekintse meg az API dokumentációját https://<YourArmisInstance>.armis.com/api/v1/doc . Az összekötő lehetővé teszi az eszköztevékenységek információinak lekérését az Armis-platformról. Az Armis a meglévő infrastruktúrát használja az eszközök felderítésére és azonosítására anélkül, hogy ügynököket kellene üzembe helyeznie. Az Armis észleli, hogy az összes eszköz mit végez a környezetben, és osztályozza ezeket a tevékenységeket, hogy teljes képet kapjon az eszköz viselkedéséről. Ezeket a tevékenységeket a rendszer elemzi a normál és rendellenes eszköz viselkedésének megértéséhez, és az eszköz- és hálózati kockázatok felmérésére szolgál.

Ez automatikusan létrehozott tartalom. A módosításokért forduljon a megoldásszolgáltatóhoz.

Összekötő attribútumai

Összekötő attribútum Leírás
Azure-függvényalkalmazás kódja https://aka.ms/sentinel-ArmisActivitiesAPI-functionapp
Log Analytics-tábla(ok) Armis_Activities_CL
Adatgyűjtési szabályok támogatása Jelenleg nem támogatott
Támogatja: Armis Corporation

Példák lekérdezésekre

Armis-tevékenységesemények – Minden tevékenységtevékenység.

Armis_Activities_CL

| sort by TimeGenerated desc

Előfeltételek

Az Armis-tevékenységekkel való integráláshoz (az Azure Functions használatával) győződjön meg arról, hogy rendelkezik a következőkkel:

  • Microsoft.Web/sites engedélyek: Olvasási és írási engedélyek szükségesek az Azure Functionshez egy függvényalkalmazás létrehozásához. Az Azure Functionsről további információt a dokumentációban talál.
  • REST API hitelesítő adatok/engedélyek: Armis titkos kulcs szükséges. Az API-val kapcsolatos további információkért tekintse meg a dokumentációt https://<YourArmisInstance>.armis.com/api/v1/doc

Szállító telepítési útmutatója

Feljegyzés

Ez az összekötő az Azure Functions használatával csatlakozik az Armis API-hoz, hogy lekérje a naplóit a Microsoft Sentinelbe. Ez további adatbetöltési költségeket eredményezhet. A részletekért tekintse meg az Azure Functions díjszabási oldalát .

(Nem kötelező lépés) Biztonságosan tárolhatja a munkaterületet és az API engedélyezési kulcsát vagy jogkivonatát az Azure Key Vaultban. Az Azure Key Vault biztonságos mechanizmust biztosít a kulcsértékek tárolásához és lekéréséhez. Kövesse az alábbi utasításokat az Azure Key Vault Azure-függvényalkalmazással való használatához.

MEGJEGYZÉS: Ez az adatösszekötő egy Kusto-függvényen alapuló elemzőtől függ, amely a megoldás részeként üzembe helyezett elvárt módon működik. A Log Analytics függvénykódjának megtekintéséhez nyissa meg a Log Analytics/Microsoft Sentinel Naplók panelt, kattintson a Functions elemre, és keresse meg az ArmisActivities aliast, és töltse be a függvénykódot, vagy kattintson ide. A függvény aktiválása általában 10–15 percet vesz igénybe a megoldás telepítése/frissítése után.

1. LÉPÉS – Az Armis API konfigurációs lépései

Kövesse az alábbi utasításokat egy Armis API titkos kulcs létrehozásához.

  1. Jelentkezzen be az Armis-példányba
  2. Navigálás a beállításokhoz –> API Management
  3. Ha a titkos kulcs még nem lett létrehozva, a Létrehozás gombra kattintva hozza létre a titkos kulcsot
  4. A titkos kulcs eléréséhez nyomja le a Megjelenítés gombot
  5. A titkos kulcs mostantól másolható és használható az Armis-tevékenységek összekötő konfigurációja során

2. LÉPÉS – Válasszon egyet az alábbi két üzembehelyezési lehetőség közül az összekötő és a társított Azure-függvény üzembe helyezéséhez

FONTOS: Az Armis-tevékenységek adatösszekötő üzembe helyezése előtt a munkaterület azonosítójával és a munkaterület elsődleges kulcsával (az alábbiakból másolható) könnyen elérhető legyen.., valamint az Armis API engedélyezési kulcs(ok)

1. lehetőség – Azure Resource Manager-sablon (ARM)

Ezzel a módszerrel automatikusan üzembe helyezhető az Armis-összekötő.

  1. Kattintson az alábbi Üzembe helyezés az Azure-ban gombra.

    Üzembe helyezés az Azure-ban Üzembe helyezés az Azure Governmentben

  2. Válassza ki az előnyben részesített előfizetést, erőforráscsoportot és helyet.

  3. Adja meg az alábbi adatokat:

    • Függvénynév
    • Munkaterület azonosítója
    • Munkaterületkulcs
    • Armis titkos kulcs
    • Armis URL-címe https://<armis-instance>.armis.com/api/v1/
    • Armis-tevékenységtábla neve
    • Armis-ütemezés
    • Ismétlődések elkerülése (alapértelmezett: hamis)

  4. Jelölje be a megjelölt jelölőnégyzetet , és elfogadom a fent leírt feltételeket.

  5. Kattintson a Vásárlás gombra az üzembe helyezéshez.

2. lehetőség – Az Azure Functions manuális üzembe helyezése

Az armis-tevékenység adatösszekötő manuális üzembe helyezéséhez kövesse az alábbi lépésenkénti utasításokat az Azure Functionsben (üzembe helyezés a Visual Studio Code-on keresztül).

1. Függvényalkalmazás üzembe helyezése

MEGJEGYZÉS: VS-kódot kell előkészítenie az Azure-függvények fejlesztéséhez.

  1. Töltse le az Azure-függvényalkalmazás fájlját. Archívum kinyerése a helyi fejlesztőszámítógépre.

  2. Indítsa el a VS Code-ot. Válassza a Fájl lehetőséget a főmenüben, és válassza a Mappa megnyitása lehetőséget.

  3. Válassza ki a legfelső szintű mappát a kibontott fájlokból.

  4. Válassza az Azure ikont a Tevékenységsávon, majd az Azure: Függvények területen válassza az Üzembe helyezés függvényalkalmazáshoz gombot. Ha még nincs bejelentkezve, válassza az Azure ikont a Tevékenységsávon, majd az Azure: Functions területen válassza a Bejelentkezés az Azure-ba , ha már bejelentkezett, lépjen a következő lépésre.

  5. Amikor a rendszer kéri, adja meg az alábbi információkat:

    a. Mappa kiválasztása: Válasszon ki egy mappát a munkaterületről, vagy keresse meg a függvényalkalmazást tartalmazó mappát.

    b. Előfizetés kiválasztása: Válassza ki a használni kívánt előfizetést.

    c. Válassza az Új függvényalkalmazás létrehozása az Azure-ban (Ne válassza a Speciális lehetőséget)

    d. Adjon meg egy globálisan egyedi nevet a függvényalkalmazásnak: Írjon be egy URL-elérési úton érvényes nevet. A beírt név ellenőrzése ellenőrzi, hogy egyedi-e az Azure Functionsben. (pl. ARMISXXXXX).

    e. Válasszon futtatókörnyezetet: Válassza a Python 3.8 vagy újabb verzióját.

    f. Válasszon egy helyet az új erőforrásokhoz. A jobb teljesítmény és az alacsonyabb költségek érdekében válassza azt a régiót, ahol a Microsoft Sentinel található.

  6. Az üzembe helyezés megkezdődik. A függvényalkalmazás létrehozása és a telepítőcsomag alkalmazása után megjelenik egy értesítés.

  7. Nyissa meg az Azure Portalt a függvényalkalmazás konfigurációjához.

2. A függvényalkalmazás konfigurálása

  1. A függvényalkalmazásban válassza ki a függvényalkalmazás nevét, majd válassza a Konfiguráció lehetőséget.
  2. Az Alkalmazásbeállítások lapon válassza az + Új alkalmazásbeállítás lehetőséget.
  3. Adja hozzá egyenként az alábbi alkalmazásbeállításokat a megfelelő értékekkel (kis- és nagybetűk megkülönböztetése):
    • Munkaterület azonosítója
    • Munkaterületkulcs
    • Armis titkos kulcs
    • Armis URL-címe https://<armis-instance>.armis.com/api/v1/
    • Armis-tevékenységtábla neve
    • Armis-ütemezés
    • Ismétlődések elkerülése (alapértelmezett: hamis)
    • logAnalyticsUri (nem kötelező)
  • A logAnalyticsUri használatával felülbírálhatja a log Analytics API-végpontot a dedikált felhőhöz. Nyilvános felhő esetén például hagyja üresen az értéket; Azure GovUS felhőkörnyezet esetén adja meg az értéket a következő formátumban: https://<CustomerId>.ods.opinsights.azure.us.
  1. Miután megadta az összes alkalmazásbeállítást, kattintson a Mentés gombra.

Következő lépések

További információ: a kapcsolódó megoldás az Azure Marketplace-en.