TheHive Project – TheHive (az Azure Functions használatával) összekötő a Microsoft Sentinelhez
A TheHive adatösszekötő lehetővé teszi a TheHive gyakori eseményeinek a Microsoft Sentinelbe való betöltését Webhookokon keresztül. A TheHive valós időben értesítheti a külső rendszert a módosítási eseményekről (esetlétrehozás, riasztásfrissítés, feladat-hozzárendelés). Ha változás történik a TheHive-ben, a rendszer egy eseményadatokat tartalmazó HTTPS POST-kérést küld egy visszahívási adatösszekötő URL-címére. További információért tekintse meg a Webhooks dokumentációját . Az összekötő olyan események lekérését teszi lehetővé, amelyek segítenek a lehetséges biztonsági kockázatok vizsgálatában, a csapat együttműködésének elemzésében, a konfigurációs problémák diagnosztizálásában és egyebekben.
Ez automatikusan létrehozott tartalom. A módosításokért forduljon a megoldásszolgáltatóhoz.
Csatlakozás or attribútumok
Csatlakozás or attribútum | Leírás |
---|---|
Log Analytics-tábla(ok) | TheHive_CL |
Adatgyűjtési szabályok támogatása | Jelenleg nem támogatott |
Támogatja: | Microsoft Corporation |
Példák lekérdezésekre
TheHive events - Minden tevékenység.
TheHive_CL
| sort by TimeGenerated desc
Előfeltételek
A TheHive Project – TheHive (az Azure Functions használatával) integrálásához győződjön meg arról, hogy rendelkezik a következőkkel:
- Microsoft.Web/sites engedélyek: Olvasási és írási engedélyek szükségesek az Azure Functionshez egy függvényalkalmazás létrehozásához. Az Azure Functionsről további információt a dokumentációban talál.
- Webhookok hitelesítő adatai/engedélyei: A működő webhookokhoz a TheHiveBearerToken, a visszahívási URL-cím szükséges. A webhookok konfigurálásával kapcsolatos további információkért tekintse meg a dokumentációt.
Szállító telepítési útmutatója
Feljegyzés
Ez az adatösszekötő HTTP-triggeren alapuló Azure Functionst használ a naplókkal rendelkező POST-kérelmek várakozásához, hogy lekérje a naplóit a Microsoft Sentinelbe. Ez további adatbetöltési költségeket eredményezhet. A részletekért tekintse meg az Azure Functions díjszabási oldalát .
(Nem kötelező lépés) Biztonságosan tárolhatja a munkaterületet és az API engedélyezési kulcsát vagy jogkivonatát az Azure Key Vaultban. Az Azure Key Vault biztonságos mechanizmust biztosít a kulcsértékek tárolásához és lekéréséhez. Kövesse az alábbi utasításokat az Azure Key Vault Azure-függvényalkalmazással való használatához.
Feljegyzés
Ez az adatösszekötő egy Kusto-függvényen alapuló elemzőtől függ, amely az elvárt módon működik a Microsoft Sentinel-megoldással üzembe helyezett TheHive függvénytől.
1. LÉPÉS – A TheHive konfigurációs lépései
Kövesse az utasításokat a webhookok konfigurálásához.
- A hitelesítési módszer a Beared Auth.
- Hozza létre a TheHiveBearerTokent a jelszóházirendnek megfelelően.
- Webhook-értesítések beállítása az application.conf fájlban, beleértve a TheHiveBearerToken paramétert.
2. LÉPÉS – Válasszon egyet az alábbi két üzembehelyezési lehetőség közül az összekötő és a társított Azure-függvény üzembe helyezéséhez
FONTOS: A TheHive adatösszekötő üzembe helyezése előtt rendelkeznie kell a munkaterület azonosítójával és a munkaterület elsődleges kulcsával (az alábbiakból másolható).
Következő lépések
További információ: a kapcsolódó megoldás az Azure Marketplace-en.