Koneksi platform inteligensi ancaman Anda ke Microsoft Azure Sentinel dengan API indikator unggahan
Banyak organisasi menggunakan solusi platform inteligensi ancaman (TIP) untuk menggabungkan umpan indikator ancaman dari berbagai sumber. Dari umpan agregat, data dikumpulkan untuk diterapkan ke solusi keamanan seperti perangkat jaringan, solusi EDR/XDR, atau SIEM seperti Microsoft Sentinel. Konektor data THREAT Intelligence Upload Indicators API memungkinkan Anda menggunakan solusi ini untuk mengimpor indikator ancaman ke Microsoft Azure Sentinel. Konektor data ini menggunakan API indikator unggahan Sentinel untuk menyerap indikator inteligensi ancaman ke Microsoft Sentinel. Untuk informasi selengkapnya, lihat Inteligensi Ancaman.
Penting
API indikator unggahan Microsoft Azure Sentinel dan konektor data API Indikator Unggahan Inteligensi Ancaman berada dalam PRATINJAU. Lihat Ketentuan Penggunaan Tambahan untuk Pratinjau Microsoft Azure untuk ketentuan hukum tambahan yang berlaku untuk fitur Azure dalam versi beta, pratinjau, atau belum dirilis ke ketersediaan umum.
Microsoft Azure Sentinel tersedia sebagai bagian dari platform operasi keamanan terpadu di portal Pertahanan Microsoft. Microsoft Sentinel di portal Defender sekarang didukung untuk penggunaan produksi. Untuk informasi selengkapnya, lihat Microsoft Azure Sentinel di portal Pertahanan Microsoft.
Catatan
Untuk informasi tentang ketersediaan fitur di cloud Pemerintah AS, lihat tabel Microsoft Azure Sentinel di ketersediaan fitur Cloud untuk pelanggan Pemerintah AS.
Lihat juga: Menyambungkan Microsoft Azure Sentinel ke umpan inteligensi ancaman STIX/TAXII
Prasyarat
- Untuk menginstal, memperbarui, dan menghapus konten atau solusi mandiri di hub konten, Anda memerlukan peran Kontributor Microsoft Azure Sentinel di tingkat grup sumber daya.
- Anda harus memiliki izin membaca dan menulis ke ruang kerja Microsoft Azure Sentinel untuk menyimpan indikator ancaman Anda.
- Anda harus dapat mendaftarkan aplikasi Microsoft Entra.
- Aplikasi Microsoft Entra harus diberikan peran kontributor Microsoft Azure Sentinel di tingkat ruang kerja.
Petunjuk
Ikuti langkah-langkah ini untuk mengimpor indikator ancaman ke Microsoft Azure Sentinel dari TIP terintegrasi atau solusi inteligensi ancaman kustom Anda:
- Daftarkan aplikasi Microsoft Entra dan rekam ID aplikasinya.
- Buat dan rekam rahasia klien untuk aplikasi Microsoft Entra Anda.
- Tetapkan aplikasi Microsoft Entra Anda peran kontributor Microsoft Sentinel atau yang setara.
- Aktifkan konektor data API unggah Inteligensi Ancaman di Microsoft Azure Sentinel.
- Konfigurasikan solusi TIP atau aplikasi kustom Anda.
Mendaftarkan aplikasi Microsoft Entra
Izin peran pengguna default memungkinkan pengguna membuat pendaftaran aplikasi. Jika pengaturan ini telah dialihkan ke Tidak, Anda memerlukan izin untuk mengelola aplikasi di ID Microsoft Entra. Salah satu peran Microsoft Entra berikut ini menyertakan izin yang diperlukan:
- Administrator aplikasi
- Pengembang aplikasi
- Administrator aplikasi cloud
Untuk informasi selengkapnya tentang mendaftarkan aplikasi Microsoft Entra Anda, lihat Mendaftarkan aplikasi.
Setelah Mendaftarkan aplikasi, rekam ID Aplikasi (klien) dari tab Gambaran Umum aplikasi.
Membuat dan merekam rahasia klien
Sekarang setelah aplikasi Anda didaftarkan, hasilkan, dan rekam rahasia klien.
Untuk informasi selengkapnya tentang membuat rahasia klien, lihat Menambahkan rahasia klien.
Menetapkan peran ke aplikasi
API indikator unggahan menyerap indikator ancaman di tingkat ruang kerja dan memungkinkan peran hak istimewa paling sedikit dari kontributor Microsoft Azure Sentinel.
Dari portal Azure, buka ruang kerja Analitik Log.
Pilih Kontrol Akses (IAM) .
Pilih Tambahkan Tambahkan>penetapan peran.
Di tab Peran, pilih peran> Kontributor Microsoft Sentinel Berikutnya.
Pada tab Anggota , pilih Tetapkan akses ke>Pengguna, grup, atau perwakilan layanan.
Pilih anggota. Secara default, aplikasi Microsoft Entra tidak ditampilkan dalam opsi yang tersedia. Untuk menemukan aplikasi Anda, cari berdasarkan nama.
Pilih>Tinjau + tetapkan.
Untuk informasi selengkapnya tentang menetapkan peran ke aplikasi, lihat Menetapkan peran ke aplikasi.
Mengaktifkan konektor data API indikator unggahan Inteligensi Ancaman di Microsoft Azure Sentinel
Aktifkan konektor data API Indikator Unggahan Inteligensi Ancaman untuk memungkinkan Microsoft Sentinel menerima indikator ancaman yang dikirim dari TIP atau solusi kustom Anda. Indikator ini tersedia untuk ruang kerja Microsoft Azure Sentinel yang Anda konfigurasi.
Untuk Microsoft Azure Sentinel di portal Azure, di bawah Manajemen konten, pilih Hub konten.
Untuk Microsoft Azure Sentinel di portal Defender, pilih hub Konten manajemen>Konten Microsoft Sentinel>.Temukan dan pilih solusi Inteligensi Ancaman.
Pilih tombol
Instal/Perbarui .
Untuk informasi selengkapnya tentang cara mengelola komponen solusi, lihat Menemukan dan menyebarkan konten di luar kotak.
Konektor data sekarang terlihat di Koneksi or Data Konfigurasi>. Buka halaman konektor data untuk menemukan informasi selengkapnya tentang mengonfigurasi aplikasi Anda dengan API ini.
Mengonfigurasi solusi TIP atau aplikasi kustom Anda
Informasi konfigurasi berikut yang diperlukan oleh API indikator unggahan:
- Aplikasi (ID klien)
- Rahasia Klien
- ID ruang kerja Microsoft Azure Sentinel
Masukkan nilai ini dalam konfigurasi TIP terintegrasi atau solusi kustom jika diperlukan.
Kirim indikator ke API unggahan Microsoft Azure Sentinel. Untuk mempelajari selengkapnya tentang API indikator unggahan, lihat dokumen referensi API indikator unggahan Microsoft Azure Sentinel.
Dalam beberapa menit, indikator ancaman harus mulai mengalir ke ruang kerja Microsoft Azure Sentinel Anda. Temukan indikator baru di bilah Inteligensi ancaman, yang dapat diakses dari menu navigasi Microsoft Azure Sentinel.
Status konektor data mencerminkan status yang Koneksi dan grafik Data yang diterima diperbarui setelah indikator berhasil dikirimkan.
Konten terkait
Dalam dokumen ini, Anda belajar cara menghubungkan platform inteligensi ancaman Anda ke Microsoft Azure Sentinel. Untuk mempelajari selengkapnya tentang menggunakan indikator ancaman di Microsoft Azure Sentinel, lihat artikel berikut ini.
- Memahami inteligensi ancaman.
- Bekerja dengan indikator ancaman sepanjang pengalaman Microsoft Sentinel.
- Mulai mendeteksi ancaman dengan aturan analitik bawaan atau kustom di Microsoft Azure Sentinel.