Lookout Cloud Security (az Azure Functions használatával) összekötő a Microsoft Sentinelhez
Ez az összekötő Agari REST API-kapcsolattal küld adatokat a Microsoft Sentinel Log Analyticsbe.
Csatlakozás or attribútumok
Csatlakozás or attribútum | Leírás |
---|---|
Azure Functions-alkalmazáskód | https://aka.ms/sentinel-Lookout-functionapp |
Log Analytics-tábla(ok) | LookoutCloudSecurity_CL |
Adatgyűjtési szabályok támogatása | Jelenleg nem támogatott |
Támogatja: | Kilátás |
Példák lekérdezésekre
Minden Lookout Cloud Security-napló
LookoutCloudSecurity_CL
| sort by TimeGenerated desc
Előfeltételek
A Microsoft Sentinel Lookout Cloud Security szolgáltatással való integrálásához (az Azure Functions használatával) győződjön meg arról, hogy rendelkezik a következőkkel:
- Microsoft.Web/sites engedélyek: Olvasási és írási engedélyek szükségesek az Azure Functionshez egy függvényalkalmazás létrehozásához. Az Azure Functionsről további információt a dokumentációban talál.
Szállító telepítési útmutatója
Megjegyzés:
Ez az összekötő az Azure Functions használatával csatlakozik az Agari REST API-hoz a naplók Microsoft Sentinelbe való lekéréséhez. Ez további adatbetöltési költségeket eredményezhet. A részletekért tekintse meg az Azure Functions díjszabási oldalát .
(Nem kötelező lépés) Biztonságosan tárolhatja a munkaterületet és az API engedélyezési kulcsát vagy jogkivonatát az Azure Key Vaultban. Az Azure Key Vault biztonságos mechanizmust biztosít a kulcsértékek tárolásához és lekéréséhez. Kövesse az alábbi utasításokat az Azure Key Vault Azure-függvényalkalmazással való használatához.
Részletes utasítások
Az integráció előfeltételeként először konfigurálnia kell egy API-ügyfelet a Lookout felügyeleti konzolján. A felügyeleti konzolon hozzáadhat egy vagy több ügyfelet, és konfigurálhatja a megfelelő engedélyeket és műveleteket mindegyikhez.
Név – Az ügyfélnek adott név.
Ügyfélazonosító – az ügyfélhez megadott egyedi azonosító.
Engedélyek – Az ügyfél számára engedélyezett engedélyek. Az ön által ellenőrizendő engedélyek azok, amelyekhez az ügyfél hozzáférhet. A felsorolt lehetőségek: Tevékenység, Szabálysértés, Anomália, Elemzések és Profil
Szolgáltatás URL-címe – Az ügyfél eléréséhez használt URL-cím. Először https://
Engedélyezett IP-címek – Az ügyfélre vonatkozó érvényes IP-cím vagy címek.
Műveletek – Az ügyfélen végrehajtható műveletek. Kattintson a végrehajtani kívánt művelet ikonra. Ügyféladatok szerkesztése, az ügyfél titkos kódjának megjelenítése vagy az ügyfél törlése.
Új API-ügyfél hozzáadása:
Nyissa meg a Rendszergazda istration > Enterprise Integration > API-ügyfeleket, és kattintson az Új gombra.
Adjon meg egy nevet (kötelező) és egy leírást (nem kötelező).
Adja meg a megadott ügyfélazonosítót.
Válasszon ki egy vagy több engedélyt a legördülő listából.
Adjon meg egy vagy több engedélyezett IP-címet ehhez az ügyfélhez. Különítse el az egyes címeket vesszővel.
Kattintson a Mentés gombra.
Amikor a rendszer kéri, másolja ki az ügyfél titkos kódjának sztringjét. Az API-átjárón való hitelesítéshez szüksége lesz ezekre az adatokra (az ügyfélazonosítóval együtt).
2. LÉPÉS – Válasszon egyet az alábbi két üzembehelyezési lehetőség közül az összekötő és a társított Azure-függvény üzembe helyezéséhez
FONTOS: Az adatösszekötő üzembe helyezése előtt rendelkeznie kell a munkaterület azonosítójával és a munkaterület elsődleges kulcsával (az alábbiakból másolható), valamint az Azure Blob Storage kapcsolati sztring és a tároló nevével, amely könnyen elérhető.
1. lehetőség – Azure Resource Manager-sablon (ARM)
Ezzel a módszerrel automatikusan üzembe helyezhető az adatösszekötő egy ARM Tempate használatával.
Kattintson az alábbi Üzembe helyezés az Azure-ban gombra.
Válassza ki az előnyben részesített előfizetést, erőforráscsoportot és helyet.
Adja meg a Lookout-ügyfélazonosítót, a Lookout-ügyfél titkos kódját, a Lookout Base URL-címét, a Microsoft Sentinel-munkaterület azonosítóját, a Microsoft Sentinel megosztott kulcsát
Jelölje be a megjelölt jelölőnégyzetet , és elfogadom a fent leírt feltételeket.
Kattintson a Vásárlás gombra az üzembe helyezéshez.
2. lehetőség – Az Azure Functions manuális üzembe helyezése
Az alábbi lépésenkénti utasítások segítségével manuálisan helyezheti üzembe az adatösszekötőt az Azure Functionsben (Üzembe helyezés a Visual Studio Code-on keresztül).
1. Függvényalkalmazás üzembe helyezése
MEGJEGYZÉS: VS-kódot kell előkészítenie az Azure-függvények fejlesztéséhez.
Töltse le az Azure-függvényalkalmazás fájlját. Archívum kinyerése a helyi fejlesztőszámítógépre.
Indítsa el a VS Code-ot. Válassza a Fájl lehetőséget a főmenüben, és válassza a Mappa megnyitása lehetőséget.
Válassza ki a legfelső szintű mappát a kibontott fájlokból.
Válassza az Azure ikont a Tevékenységsávon, majd az Azure: Függvények területen válassza az Üzembe helyezés függvényalkalmazáshoz gombot. Ha még nincs bejelentkezve, válassza az Azure ikont a Tevékenységsávon, majd az Azure: Functions területen válassza a Bejelentkezés az Azure-ba , ha már bejelentkezett, lépjen a következő lépésre.
Amikor a rendszer kéri, adja meg az alábbi információkat:
a. Mappa kiválasztása: Válasszon ki egy mappát a munkaterületről, vagy keresse meg a függvényalkalmazást tartalmazó mappát.
b. Előfizetés kiválasztása: Válassza ki a használni kívánt előfizetést.
c. Válassza az Új függvényalkalmazás létrehozása az Azure-ban (Ne válassza a Speciális lehetőséget)
d. Adjon meg egy globálisan egyedi nevet a függvényalkalmazásnak: Írjon be egy URL-elérési úton érvényes nevet. A beírt név ellenőrzése ellenőrzi, hogy egyedi-e az Azure Functionsben.
e. Válasszon ki egy futtatókörnyezetet: Válassza a Python 3.8-at.
f. Válasszon egy helyet az új erőforrásokhoz. A jobb teljesítmény és az alacsonyabb költségek érdekében válassza azt a régiót, ahol a Microsoft Sentinel található.
Az üzembe helyezés megkezdődik. A függvényalkalmazás létrehozása és a telepítőcsomag alkalmazása után megjelenik egy értesítés.
Nyissa meg az Azure Portalt a függvényalkalmazás konfigurációjához.
2. A függvényalkalmazás konfigurálása
- A függvényalkalmazásban válassza ki a függvényalkalmazás nevét, majd válassza a Konfiguráció lehetőséget.
- Az Alkalmazásbeállítások lapon válassza az + Új alkalmazásbeállítás lehetőséget.
- Adja hozzá egyenként az alábbi alkalmazásbeállításokat a megfelelő sztringértékekkel (kis- és nagybetűk megkülönböztetésével): LookoutClientId LookoutApiSecret Baseurl WorkspaceID WorkspaceKey logAnalyticsUri (nem kötelező)
- A logAnalyticsUri használatával felülbírálhatja a log Analytics API-végpontot a dedikált felhőhöz. Nyilvános felhő esetén például hagyja üresen az értéket; Azure GovUS felhőkörnyezet esetén adja meg az értéket a következő formátumban:
https://WORKSPACE_ID.ods.opinsights.azure.us
.
- Miután megadta az összes alkalmazásbeállítást, kattintson a Mentés gombra.
További lépések
További információ: a kapcsolódó megoldás az Azure Marketplace-en.