Menyiapkan sumber daya Azure untuk mengekspor ke Splunk dan QRadar

Untuk mengalirkan pemberitahuan keamanan Microsoft Defender untuk Cloud ke IBM QRadar dan Splunk, Anda harus menyiapkan sumber daya di Azure, seperti Event Hubs dan ID Microsoft Entra. Berikut adalah instruksi untuk mengonfigurasi sumber daya ini di portal Azure, tetapi Anda juga dapat mengonfigurasinya menggunakan skrip PowerShell. Pastikan Anda meninjau Mengalirkan pemberitahuan ke QRadar dan Splunk sebelum mengonfigurasi sumber daya Azure untuk mengekspor pemberitahuan ke QRadar dan Splunk.

Langkah untuk mengonfigurasi sumber daya Azure untuk QRadar dan Splunk di portal Azure:

Langkah 1: Membuat namespace layanan Event Hubs dan pusat aktivitas dengan izin kirim

1. Di layanan Azure Event Hubs, buat namespace layanan Azure Event Hubs:

   1. Pilih Buat.
   2. Masukkan detail namespace layanan, pilih Tinjau + buat, dan pilih Buat.

   

2. Membuat pusat aktivitas:

   1. Di namespace layanan yang Anda buat, pilih + Pusat Aktivitas.
   2. Masukkan detail pusat aktivitas, dan pilih Tinjau + buat, dan pilih Buat.

3. Buat kebijakan akses bersama.

   1. Di menu Pusat Aktivitas, pilih namespace layanan Azure Event Hubs yang Anda buat.
   2. Di menu namespace layanan Pusat Aktivitas, pilih Azure Event Hubs.
   3. Pilih pusat aktivitas yang baru saja Anda buat.
   4. Di menu pusat peristiwa, pilih Kebijakan akses bersama.
   5. Pilih Tambahkan, masukkan nama kebijakan yang unik, dan pilih Kirim.
   6. Pilih Buat untuk membuat kebijakan.

Langkah 2: Untuk streaming ke QRadar SIEM - Buat kebijakan Dengar

1. Pilih Tambahkan, masukkan nama kebijakan yang unik, dan pilih Dengar.

2. Pilih Buat untuk membuat kebijakan.

3. Setelah kebijakan dengar dibuat, salin Kunci primer string koneksi dan simpan untuk digunakan nanti.

   

Langkah 3: Buat grup konsumen, lalu salin dan simpan nama yang akan digunakan di platform SIEM

1. Di bagian Entitas dari menu pusat aktivitas Azure Event Hubs, pilih Azure Event Hubs dan pilih pusat aktivitas yang Anda buat.

   

2. Pilih Grup konsumen.

Langkah 4: Aktifkan ekspor berkelanjutan untuk cakupan pemberitahuan

1. Dalam kotak pencarian Azure, cari "policy" dan buka Policy.

2. Di menu Policy, pilih Definisi.

3. Cari "sebarkan ekspor" dan pilih sebarkan ekspor ke Azure Event Hub untuk kebijakan bawaan data Microsoft Defender untuk Cloud.

4. Pilih Tetapkan.

5. Tentukan opsi kebijakan dasar:

   1. Di Cakupan, pilih ... untuk memilih cakupan yang akan diterapkan kebijakan.
   2. Temukan grup manajemen akar (untuk cakupan penyewa), grup manajemen, langganan, atau grup sumber daya dalam cakupan dan pilih Pilih.
      • Untuk memilih tingkat grup manajemen akar penyewa, Anda harus memiliki izin pada tingkat penyewa.
   3. (Opsional) Di Pengecualian, Anda dapat menentukan langganan tertentu untuk dikecualikan dari ekspor.
   4. Masukkan nama penugasan.
   5. Pastikan penegakan kebijakan diaktifkan.

   

6. Di parameter kebijakan:

   1. Masukkan grup sumber daya tempat sumber daya otomatisasi disimpan.
   2. Pilih lokasi grup sumber daya.
   3. Pilih ... di samping detail Pusat Aktivitas dan masukkan detail untuk hub peristiwa, termasuk:
      • Langganan.
      • Namespace layanan Azure Event Hubs yang Anda buat.
      • Pusat aktivitas yang Anda buat.
      • Di authorizationrules, pilih kebijakan akses bersama yang Anda buat untuk mengirim pemberitahuan.

   

7. Pilih Tinjau dan Buat dan Buat untuk menyelesaikan proses penentuan ekspor berkelanjutan ke Azure Event Hubs.

   • Perhatikan bahwa ketika Anda mengaktifkan kebijakan ekspor berkelanjutan pada penyewa (tingkat grup manajemen akar), kebijakan tersebut secara otomatis mengalirkan pemberitahuan Anda pada semua langganan baru yang akan dibuat di bawah penyewa ini.

Langkah 5: Untuk pemberitahuan streaming ke QRadar SIEM - Buat akun penyimpanan

1. Buka portal Azure, pilih Buat sumber daya, dan pilih Akun penyimpanan. Jika opsi tersebut tidak ditampilkan, cari "akun penyimpanan".

2. Pilih Buat.

3. Masukkan detail untuk akun penyimpanan, pilih Tinjau dan Buat, lalu Buat.

   

4. Setelah Anda membuat akun penyimpanan dan masuk ke sumber daya, pilih Kunci Akses di menu.

5. Pilih Tampilkan kunci untuk melihat kunci, dan salin string koneksi Kunci 1.

   

Langkah 6: Untuk pemberitahuan streaming ke Splunk SIEM - Buat aplikasi Microsoft Entra

1. Di kotak pencarian menu, cari "ID Microsoft Entra" dan buka ID Microsoft Entra.

2. Buka portal Azure, pilih Buat sumber daya, dan pilih ID Microsoft Entra. Jika opsi tersebut tidak ditampilkan, cari "active directory".

3. Di menu, pilih Pendaftaran aplikasi.

4. Pilih Pendaftaran baru.

5. Masukkan nama unik untuk aplikasi dan pilih Daftar.

   

6. Salin ke Clipboard dan simpan ID Aplikasi (klien) dan ID Direktori (penyewa).

7. Membuat rahasia klien untuk aplikasi tersebut:

   1. Di menu, buka Sertifikat & rahasia.
   2. Buat kata sandi untuk aplikasi guna membuktikan identitasnya saat meminta token:
   3. Pilih Rahasia klien baru.
   4. Masukkan deskripsi singkat, pilih waktu kedaluwarsa rahasia, dan pilih Tambahkan.

   

8. Setelah rahasia dibuat, salin ID Rahasia dan simpan untuk digunakan nanti bersama dengan ID Aplikasi dan ID Direktori (penyewa).

Langkah 7: Untuk pemberitahuan streaming ke Splunk SIEM - Izinkan ID Microsoft Entra dibaca dari hub peristiwa

1. Buka namespace layanan Azure Event Hubs yang Anda buat.

2. Di menu, buka Kontrol akses.

3. Pilih Tambahkan dan pilih Tambahkan penetapan peran.

4. Pilih Tambahkan penetapan peran.

   

5. Di tab Peran, cari Penerima Data Azure Event Hubs.

6. Pilih Selanjutnya.

7. Pilih Pilih anggota.

8. Cari aplikasi Microsoft Entra yang Anda buat sebelumnya dan pilih aplikasi tersebut.

9. Pilih Tutup.

Untuk terus menyiapkan ekspor pemberitahuan, pasang konektor bawaan untuk SIEM yang Anda gunakan.