Megosztás a következőn keresztül:

Google Workspace (G Suite) (Az Azure Functions használatával) összekötő a Microsoft Sentinelhez

  • Cikk

A Google Workspace adatösszekötője lehetővé teszi a Google Workspace-tevékenységesemények Betöltését a Microsoft Sentinelbe a REST API-n keresztül. Az összekötő olyan események beszerzését teszi lehetővé, amelyek segítenek a lehetséges biztonsági kockázatok vizsgálatában, a csapat együttműködésének elemzésében, a konfigurációs problémák diagnosztizálásában, a bejelentkezések és a bejelentkezések nyomon követésében, a rendszergazdai tevékenység elemzésében, a felhasználók tartalom létrehozásának és megosztásának megértésében, valamint a szervezet eseményeinek áttekintésében.

Ez automatikusan létrehozott tartalom. A módosításokért forduljon a megoldásszolgáltatóhoz.

Csatlakozás or attribútumok

Csatlakozás or attribútum Leírás
Azure-függvényalkalmazás kódja https://aka.ms/sentinel-GWorkspaceReportsAPI-functionapp
Log Analytics-tábla(ok) GWorkspace_ReportsAPI_admin_CL
GWorkspace_ReportsAPI_calendar_CL
GWorkspace_ReportsAPI_drive_CL
GWorkspace_ReportsAPI_login_CL
GWorkspace_ReportsAPI_mobile_CL
GWorkspace_ReportsAPI_token_CL
GWorkspace_ReportsAPI_user_accounts_CL
Adatgyűjtési szabályok támogatása Jelenleg nem támogatott
Támogatja: Microsoft Corporation

Példák lekérdezésekre

Google Workspace-események – Minden tevékenység

GWorkspaceActivityReports

| sort by TimeGenerated desc

Google Workspace-események – Rendszergazda tevékenység

GWorkspace_ReportsAPI_admin_CL

| sort by TimeGenerated desc

Google Workspace-események – Naptártevékenység

GWorkspace_ReportsAPI_calendar_CL

| sort by TimeGenerated desc

Google Workspace-események – Meghajtótevékenység

GWorkspace_ReportsAPI_drive_CL

| sort by TimeGenerated desc

Google Workspace-események – Bejelentkezési tevékenység

GWorkspace_ReportsAPI_login_CL

| sort by TimeGenerated desc

Google Workspace-események – Mobiltevékenység

GWorkspace_ReportsAPI_mobile_CL

| sort by TimeGenerated desc

Google Workspace-események – Jogkivonat-tevékenység

GWorkspace_ReportsAPI_token_CL

| sort by TimeGenerated desc

Google Workspace-események – Felhasználói fiókok tevékenységei

GWorkspace_ReportsAPI_user_accounts_CL

| sort by TimeGenerated desc

Előfeltételek

Ha a Google Workspace (G Suite) szolgáltatással (az Azure Functions használatával) szeretne integrálni, győződjön meg arról, hogy rendelkezik a következőkkel:

  • Microsoft.Web/sites engedélyek: Olvasási és írási engedélyek szükségesek az Azure Functionshez egy függvényalkalmazás létrehozásához. Az Azure Functionsről további információt a dokumentációban talál.
  • REST API hitelesítő adatok/engedélyek: A REST API-hoz a GooglePickleString szükséges. Az API-val kapcsolatos további információkért tekintse meg a dokumentációt. A hitelesítő adatok beszerzésére vonatkozó utasításokat az alábbi konfigurációs szakaszban találja. Az összes követelményt ellenőrizheti, és innen is követheti az utasításokat .

Szállító telepítési útmutatója

Feljegyzés

Ez az összekötő az Azure Functions használatával csatlakozik a Google Reports API-hoz, hogy lekérje a naplóit a Microsoft Sentinelbe. Ez további adatbetöltési költségeket eredményezhet. A részletekért tekintse meg az Azure Functions díjszabási oldalát .

(Nem kötelező lépés) Biztonságosan tárolhatja a munkaterületet és az API engedélyezési kulcsát vagy jogkivonatát az Azure Key Vaultban. Az Azure Key Vault biztonságos mechanizmust biztosít a kulcsértékek tárolásához és lekéréséhez. Kövesse az alábbi utasításokat az Azure Key Vault Azure-függvényalkalmazással való használatához.

MEGJEGYZÉS: Ez az adatösszekötő egy Kusto-függvényen alapuló elemzőtől függ, amely a megoldás részeként üzembe helyezett elvárt módon működik. A Log Analytics függvénykódjának megtekintéséhez nyissa meg a Log Analytics/Microsoft Sentinel Logs panelt, kattintson a Functions elemre, keresse meg a GWorkspaceReports aliast, és töltse be a függvénykódot, a lekérdezés második sorában adja meg a GWorkspaceReports-eszköz(ek) állomásnevét és a naplóstream egyéb egyedi azonosítóit. A függvény aktiválása általában 10–15 percet vesz igénybe a megoldás telepítése/frissítése után.

1. LÉPÉS – Győződjön meg a Google Pickel-sztring beszerzésének előfeltételeiről

  1. A Python 3 vagy újabb verziója telepítve van.
  2. Elérhető a pipcsomag-kezelő eszköz .
  3. Egy Google Workspace-tartomány, amelyen engedélyezve van az API-hozzáférés.
  4. Egy Google-fiók a tartományban rendszergazdai jogosultságokkal.

2. LÉPÉS – A Google Reports API konfigurációs lépései

  1. Jelentkezzen be a Google felhőkonzoljára a Munkaterület Rendszergazda hitelesítő adataivalhttps://console.cloud.google.com.
  2. Az API-k és szolgáltatások keresése a keresési lehetőséggel (középen a felső sarokban érhető el)
  3. Az API-k > Szolgáltatások –>Engedélyezett API-k > szolgáltatásokban engedélyezze Rendszergazda SDK API-t ehhez a projekthez.
  4. Nyissa meg az API-k > Szolgáltatások –> OAuth Hozzájárulás képernyőt. Ha még nincs konfigurálva, hozzon létre egy OAuth-hozzájárulási képernyőt a következő lépésekkel:
    1. Adja meg az alkalmazás nevét és egyéb kötelező információkat.
    2. Engedélyezett tartományok hozzáadása engedélyezett API-hozzáféréssel.
    3. A Hatókörök szakaszban adja hozzá Rendszergazda SDK API-hatókört.
    4. A Felhasználók tesztelése szakaszban győződjön meg arról, hogy a tartományi rendszergazdai fiók hozzá van adva.
  5. Nyissa meg az API-k és szolgáltatások hitelesítő> adatait, és hozza létre az OAuth 2.0 ügyfélazonosítót
    1. Kattintson felül a Hitelesítő adatok létrehozása elemre, és válassza az Oauth-ügyfélazonosítót.
    2. Válassza ki a webalkalmazást az Alkalmazástípus legördülő listában.
    3. Adjon meg egy megfelelő nevet a webalkalmazásnak, és adja hozzá http://localhost:8081/ az engedélyezett átirányítási URI-k egyikéhez.
    4. Miután a Létrehozás gombra kattintott, töltse le a JSON-t a megjelenő előugró ablakból. Nevezze át ezt a fájlt "credentials.json" névre.
  6. A Google Pickel String lekéréséhez futtassa a Python-szkriptet abból a mappából, amelyben credentials.json mentve van.
    1. Bejelentkezéskor a tartományi rendszergazdai fiók hitelesítő adataival jelentkezzen be.

Megjegyzés: Ez a szkript csak Windows operációs rendszeren támogatott. 7. Az előző lépés kimenetéből másolja ki a Google Pickle Stringet (egyetlen idézőjelek között), és tartsa kéznél. A függvényalkalmazás üzembe helyezési lépéséhez szükség lesz rá.

3. LÉPÉS – Válasszon egyet az alábbi két üzembehelyezési lehetőség közül az összekötő és a társított Azure-függvény üzembe helyezéséhez

FONTOS: A munkaterület adatösszekötőjének üzembe helyezése előtt rendelkeznie kell a munkaterület azonosítójával és a munkaterület elsődleges kulcsával (az alábbiakból másolható), valamint a Munkaterület GooglePickleString szolgáltatásával.

1. lehetőség – Azure Resource Manager-sablon (ARM)

Ezzel a módszerrel automatikusan üzembe helyezhető a Google Workspace-adatösszekötő ARM-sablonnal.

  1. Kattintson az alábbi Üzembe helyezés az Azure-ban gombra.

    Üzembe helyezés az Azure-ban

  2. Válassza ki az előnyben részesített előfizetést, erőforráscsoportot és helyet.

  3. Adja meg a munkaterület azonosítóját, a munkaterületkulcsot, a GooglePickleStringet és az üzembe helyezést.

  4. Jelölje be a megjelölt jelölőnégyzetet , és elfogadom a fent leírt feltételeket.

  5. Kattintson a Vásárlás gombra az üzembe helyezéshez.

2. lehetőség – Az Azure Functions manuális üzembe helyezése

Az alábbi lépésenkénti utasítások segítségével manuálisan helyezheti üzembe a Google Workspace adatösszekötőt az Azure Functionsben (üzembe helyezés a Visual Studio Code-on keresztül).

1. Függvényalkalmazás üzembe helyezése

MEGJEGYZÉS: VS-kódot kell előkészítenie az Azure-függvények fejlesztéséhez.

  1. Töltse le az Azure-függvényalkalmazás fájlját. Archívum kinyerése a helyi fejlesztőszámítógépre.

  2. Indítsa el a VS Code-ot. Válassza a Fájl lehetőséget a főmenüben, és válassza a Mappa megnyitása lehetőséget.

  3. Válassza ki a legfelső szintű mappát a kibontott fájlokból.

  4. Válassza az Azure ikont a Tevékenységsávon, majd az Azure: Függvények területen válassza az Üzembe helyezés függvényalkalmazáshoz gombot. Ha még nincs bejelentkezve, válassza az Azure ikont a Tevékenységsávon, majd az Azure: Functions területen válassza a Bejelentkezés az Azure-ba , ha már bejelentkezett, lépjen a következő lépésre.

  5. Amikor a rendszer kéri, adja meg az alábbi információkat:

    a. Mappa kiválasztása: Válasszon ki egy mappát a munkaterületről, vagy keresse meg a függvényalkalmazást tartalmazó mappát.

    b. Előfizetés kiválasztása: Válassza ki a használni kívánt előfizetést.

    c. Válassza az Új függvényalkalmazás létrehozása az Azure-ban (Ne válassza a Speciális lehetőséget)

    d. Adjon meg egy globálisan egyedi nevet a függvényalkalmazásnak: Írjon be egy URL-elérési úton érvényes nevet. A beírt név ellenőrzése ellenőrzi, hogy egyedi-e az Azure Functionsben. (pl. GWorkspaceXXXXX).

    e. Válasszon ki egy futtatókörnyezetet: Válassza a Python 3.8-at.

    f. Válasszon egy helyet az új erőforrásokhoz. A jobb teljesítmény és az alacsonyabb költségek érdekében válassza azt a régiót, ahol a Microsoft Sentinel található.

  6. Az üzembe helyezés megkezdődik. A függvényalkalmazás létrehozása és a telepítőcsomag alkalmazása után megjelenik egy értesítés.

  7. Nyissa meg az Azure Portalt a függvényalkalmazás konfigurációjához.

2. A függvényalkalmazás konfigurálása

  1. A függvényalkalmazásban válassza ki a függvényalkalmazás nevét, majd válassza a Konfiguráció lehetőséget.

  2. Az Alkalmazásbeállítások lapon válassza az ** Új alkalmazásbeállítás** lehetőséget.

  3. Adja hozzá egyenként az alábbi alkalmazásbeállításokat a megfelelő sztringértékekkel (kis- és nagybetűk megkülönböztetésével): GooglePickleString WorkspaceID WorkspaceKey logAnalyticsUri (nem kötelező)

  4. (Nem kötelező) Szükség esetén módosítsa az alapértelmezett késéseket.

    MEGJEGYZÉS: A Google-dokumentáció alapján a Google Workspace különböző naplóihoz a betöltési késések alábbi alapértelmezett értékei lettek hozzáadva. Ezek a környezeti követelmények alapján módosíthatók. Késés beolvasása – 10 perc naptárlehívás késleltetése – 6 óra csevegési beolvasás késleltetése – 1 nap Felhasználói fiókok beolvasása – 3 óra Bejelentkezési beolvasás késleltetése – 6 óra

  5. A logAnalyticsUri használatával felülbírálhatja a log Analytics API-végpontot a dedikált felhőhöz. Nyilvános felhő esetén például hagyja üresen az értéket; Azure GovUS felhőkörnyezet esetén adja meg az értéket a következő formátumban: https://<CustomerId>.ods.opinsights.azure.us.

  6. Miután megadta az összes alkalmazásbeállítást, kattintson a Mentés gombra.

Következő lépések

További információ: a kapcsolódó megoldás az Azure Marketplace-en.