Munkahely a Facebookról (az Azure Functions használatával) összekötő a Microsoft Sentinelhez
A Munkahelyi adatösszekötő lehetővé teszi, hogy a gyakori munkahelyi eseményeket webhookokon keresztül betöltse a Microsoft Sentinelbe. A webhookok lehetővé teszik az egyéni integrációs alkalmazások számára, hogy feliratkozzanak a Munkahelyi eseményekre, és valós időben fogadhassák a frissítéseket. Ha változás történik a Munkahelyen, a rendszer egy eseményadatokat tartalmazó HTTPS POST-kérelmet küld egy visszahívási adatösszekötő URL-címére. További információért tekintse meg a Webhooks dokumentációját . Az összekötő olyan események lekérését teszi lehetővé, amelyek segítenek a lehetséges biztonsági kockázatok vizsgálatában, a csapat együttműködésének elemzésében, a konfigurációs problémák diagnosztizálásában és egyebekben.
Ez automatikusan létrehozott tartalom. A módosításokért forduljon a megoldásszolgáltatóhoz.
Csatlakozás or attribútumok
| Csatlakozás or attribútum | Leírás |
|---|---|
| Log Analytics-tábla(ok) | Workplace_Facebook_CL |
| Adatgyűjtési szabályok támogatása | Jelenleg nem támogatott |
| Támogatja: | Microsoft Corporation |
Példák lekérdezésekre
Munkahelyi események – Minden tevékenység.
Workplace_Facebook_CL
| sort by TimeGenerated desc
Előfeltételek
Ha a Facebookról (az Azure Functions használatával) integrálható a Munkahelytel, győződjön meg arról, hogy a következőkkel rendelkezik:
- Microsoft.Web/sites engedélyek: Olvasási és írási engedélyek szükségesek az Azure Functionshez egy függvényalkalmazás létrehozásához. Az Azure Functionsről további információt a dokumentációban talál.
- Webhookok hitelesítő adatai/engedélyei: WorkplaceAppSecret, WorkplaceVerifyToken, Visszahívási URL-cím szükséges a működő webhookokhoz. A webhookok konfigurálásával és az engedélyek konfigurálásával kapcsolatos további információkért tekintse meg a dokumentációt.
Szállító telepítési útmutatója
Feljegyzés
Ez az adatösszekötő HTTP-triggeren alapuló Azure Functionst használ a naplókkal rendelkező POST-kérelmek várakozásához, hogy lekérje a naplóit a Microsoft Sentinelbe. Ez további adatbetöltési költségeket eredményezhet. A részletekért tekintse meg az Azure Functions díjszabási oldalát .
(Nem kötelező lépés) Biztonságosan tárolhatja a munkaterületet és az API engedélyezési kulcsát vagy jogkivonatát az Azure Key Vaultban. Az Azure Key Vault biztonságos mechanizmust biztosít a kulcsértékek tárolásához és lekéréséhez. Kövesse az alábbi utasításokat az Azure Key Vault Azure Functions-alkalmazással való használatához.
Feljegyzés
Ez az adatösszekötő egy Kusto-függvényen alapuló elemzőtől függ, amely a megoldás részeként üzembe helyezett elvárt módon működik. A Log Analytics függvénykódjának megtekintéséhez nyissa meg a Log Analytics/Microsoft Sentinel Naplók panelt, kattintson a Functions elemre, keresse meg az alias WorkplaceFacebookot, és töltse be a függvénykódot, vagy kattintson ide a lekérdezés második sorában, adja meg a Munkahelyi Facebook-eszköz(ek) állomásnevét és a naplóstream egyéb egyedi azonosítóit. A függvény aktiválása általában 10–15 percet vesz igénybe a megoldás telepítése/frissítése után.
1. LÉPÉS – A munkahely konfigurációs lépései
Kövesse az utasításokat a webhookok konfigurálásához.
- Jelentkezzen be a munkahelyre Rendszergazda felhasználói hitelesítő adatokkal.
- A Rendszergazda panelen kattintson az Integrációk elemre.
- A Minden integráció nézetben kattintson az Egyéni integráció létrehozása elemre
- Adja meg a nevet és a leírást, majd kattintson a Létrehozás gombra.
- Az Integráció részletei panelen az alkalmazás titkos kódja és másolása látható.
- Az Integrációs engedélyek lapon állítsa be az összes olvasási engedélyt. Részletekért tekintse meg az engedélyoldalt .
- Most folytassa a 2. lépéssel az Azure-függvény üzembe helyezéséhez (az 1. vagy 2. lehetőségben felsorolt) lépések végrehajtásához.
- Adja meg a kért paramétereket, és adjon meg egy tetszőleges jogkivonatot is. Másolja ki ezt a jogkivonatot / Jegyezze fel a közelgő lépéshez.
- Miután az Azure Functions üzembe helyezése sikeresen befejeződött, nyissa meg a Függvényalkalmazás lapot, válassza ki az alkalmazást, lépjen a Functions elemre, kattintson a Függvény URL-címének lekérése elemre, és másolja ezt a /Jegyezze fel a közelgő lépéshez.
- Térjen vissza a Munkahelyre a Facebookról. A Webhookok konfigurálása panelen az egyes tabulátorokban állítsa be a visszahívási URL-címet ugyanazzal az értékkel, amelyet a fenti 9. pontban másolt, és ellenőrizze a jogkivonatot ugyanazzal az értékkel, amelyet a fenti 8. pontban másolt, amelyet az Azure Functions üzembe helyezése 2. lépése során kapott.
- Kattintson a Mentés gombra.
2. LÉPÉS – Válasszon egyet az alábbi két üzembehelyezési lehetőség közül az összekötő és a kapcsolódó Azure Functions üzembe helyezéséhez
FONTOS: A Munkahelyi adatösszekötő üzembe helyezése előtt rendelkeznie kell a munkaterület azonosítójával és a munkaterület elsődleges kulcsával (az alábbiakból másolható).
Következő lépések
További információ: a kapcsolódó megoldás az Azure Marketplace-en.