Menemukan konektor data Microsoft Sentinel Anda

  • Berlaku untuk: Microsoft Sentinel in the Microsoft Defender portal, Microsoft Sentinel in the Azure portal

Artikel ini mencantumkan semua konektor data dan tautan yang didukung di luar kotak ke setiap langkah penyebaran konektor.

Penting

Konektor data tersedia sebagai bagian dari penawaran berikut:

  • Solusi: Banyak konektor data disebarkan sebagai bagian dari solusi Microsoft Sentinel bersama dengan konten terkait seperti aturan analitik, buku kerja, dan playbook. Untuk informasi selengkapnya, lihat katalog solusi Microsoft Sentinel.

  • Konektor komunitas: Lebih banyak konektor data disediakan oleh komunitas Microsoft Sentinel dan dapat ditemukan di Marketplace Azure. Dokumentasi untuk konektor data komunitas adalah tanggung jawab organisasi yang membuat konektor.

  • Konektor kustom: Jika Anda memiliki sumber data yang tidak tercantum atau saat ini didukung, Anda juga dapat membuat konektor kustom Anda sendiri. Untuk informasi selengkapnya, lihat Resources untuk membuat konektor kustom Microsoft Sentinel.

Note

Untuk informasi tentang ketersediaan fitur di cloud Pemerintah AS, lihat tabel Microsoft Sentinel di Ketersediaan fitur Cloud untuk pelanggan Pemerintah AS.

Prasyarat konektor data

Setiap konektor data memiliki serangkaian prasyaratnya sendiri. Prasyarat mungkin termasuk memiliki izin khusus di ruang kerja, langganan, atau kebijakan Azure Anda. Anda mungkin juga perlu memenuhi persyaratan lain untuk sumber data mitra yang Anda sambungkan.

Prasyarat untuk setiap konektor data tercantum dalam artikel ini dan pada halaman konektor data yang relevan di Microsoft Sentinel.

konektor data berbasis agen Azure Monitor (AMA) memerlukan koneksi internet dari sistem tempat agen diinstal. Aktifkan port 443 keluar untuk memungkinkan koneksi antara sistem tempat agen diinstal dan Microsoft Sentinel.

Konektor Syslog dan Common Event Format (CEF)

Pengumpulan log dari banyak appliance dan perangkat keamanan didukung oleh konektor data Syslog melalui AMA atau Common Event Format (CEF) melalui AMA di Microsoft Sentinel. Untuk meneruskan data ke ruang kerja Log Analytics Anda untuk Microsoft Sentinel, selesaikan langkah-langkah di Menyebarkan pesan syslog dan CEF ke Microsoft Sentinel dengan Agen Azure Monitor. Langkah-langkah ini termasuk menginstal solusi Microsoft Sentinel untuk appliance keamanan atau perangkat dari hub Content di Microsoft Sentinel. Kemudian, konfigurasikan Syslog melalui AMA atau Common Event Format (CEF) melalui AMA konektor data yang sesuai untuk solusi Microsoft Sentinel yang Anda instal. Selesaikan penyiapan dengan mengonfigurasi perangkat keamanan atau appliance. Temukan instruksi untuk mengonfigurasi perangkat keamanan atau appliance Anda di salah satu artikel berikut:

Hubungi penyedia solusi untuk informasi lebih lanjut atau jika informasi tentang peralatan atau perangkat tidak tersedia.

Log Kustom melalui konektor AMA

Memfilter dan menyerap log dalam format file teks dari jaringan atau aplikasi keamanan yang diinstal pada komputer Windows atau Linux dengan menggunakan log Kustom melalui konektor AMA di Microsoft Sentinel. Untuk informasi lebih lanjut, baca artikel berikut:

Konektor data Sentinel

Note

Tabel berikut mencantumkan konektor data yang tersedia di hub konten Microsoft Sentinel. Konektor didukung oleh vendor produk. Untuk dukungan, lihat tautan Didukung oleh .

Tip

Untuk daftar tabel yang diserap ke dalam Microsoft Sentinel dan konektor yang menyerapnya, lihat tabel Microsoft Sentinel dan konektor terkait.

1Kata Sandi

Didukung oleh:1Password

Solusi 1Password untuk Microsoft Sentinel memungkinkan Anda menyerap upaya masuk, penggunaan item, dan peristiwa audit dari akun 1Password Business Anda menggunakan 1Password Events Reporting API. Ini memungkinkan Anda untuk memantau dan menyelidiki peristiwa di 1Password di Microsoft Sentinel bersama dengan aplikasi dan layanan lain yang digunakan organisasi Anda.

Teknologi Microsoft yang mendasar yang digunakan:

Solusi ini tergantung pada teknologi berikut, dan beberapa di antaranya mungkin dalam status Pratinjau atau mungkin dikenakan biaya penyerapan atau operasional tambahan:

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
OnePasswordEventLogs_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Microsoft. Izin web/situs: Izin baca dan tulis ke Azure Functions untuk membuat Aplikasi Fungsi diperlukan. Untuk informasi selengkapnya, lihat Azure Functions.
  • 1 Token API PeristiwaPassword: Token API Peristiwa 1Password diperlukan. Untuk informasi selengkapnya, lihat API 1Password.

Catatan: Akun 1Password Business diperlukan

Instruksi Penyetelan:

CATATAN: Konektor ini menggunakan Azure Functions untuk menyambungkan ke 1Password untuk menarik log ke Microsoft Sentinel. Ini dapat mengakibatkan biaya penyerapan data tambahan dari Azure. Periksa halaman harga Azure Functions untuk detailnya.

(Langkah Opsional) Simpan ruang kerja dan kunci otorisasi API atau token dengan aman di Azure Key Vault. Azure Key Vault menyediakan mekanisme aman untuk menyimpan dan mengambil nilai kunci. Ikuti instruksi ini untuk menggunakan Azure Key Vault dengan Aplikasi Fungsi Azure.

LANGKAH 1 - Langkah konfigurasi untuk API Pelaporan Peristiwa 1Password

Ikuti instruksi ini yang disediakan oleh 1Password untuk mendapatkan Token API Pelaporan Peristiwa. Catatan: Akun 1Password Business diperlukan

LANGKAH 2 - Sebarkan functionApp menggunakan tombol DeployToAzure untuk membuat tabel, dcr, dan Fungsi Azure terkait

PENTING: Sebelum menyebarkan konektor 1Password, tabel kustom perlu dibuat.

Opsi 1 - Templat Azure Resource Manager (ARM)

Metode ini menyediakan penyebaran otomatis konektor 1Password menggunakan ARM Tempate.

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.ms

  2. Pilih Langganan, Grup Sumber Daya, dan Lokasi pilihan.

  3. Masukkan Nama Ruang Kerja, Nama Ruang Kerja, Kunci API Peristiwa 1Password, dan URI.

  • Interval Waktu default diatur ke lima (5) menit. Jika Anda ingin mengubah interval, Anda dapat menyesuaikan Pemicu Pengatur Waktu Aplikasi Fungsi yang sesuai (dalam file function.json, pasca penyebaran) untuk mencegah penyerapan data yang tumpang tindih.
  • Catatan: Jika menggunakan rahasia Azure Key Vault untuk salah satu nilai di atas, gunakan@Microsoft.KeyVault(SecretUri={Security Identifier})skema sebagai pengganti nilai string. Lihat dokumentasi referensi Key Vault untuk detail lebih lanjut.
  1. Tandai kotak centang berlabel Saya menyetujui syarat dan ketentuan yang dinyatakan di atas.
  2. Klik Beli untuk menyebarkan.



1Password (Tanpa Server)

Didukung oleh:1Password

Konektor CCF 1Password memungkinkan pengguna untuk menyerap Audit 1Password, Masuk & Peristiwa ItemPenggunaan ke dalam Microsoft Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
OnePasswordEventLogs_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • 1 Token APIPassword: Token API 1Password diperlukan. Lihat dokumentasi 1Password tentang cara membuat token API.

Instruksi Penyetelan:

LANGKAH 1 - Buat token API 1Password:

Ikuti dokumentasi 1Password untuk panduan tentang langkah ini.

LANGKAH 2 - Pilih URL dasar yang benar:

Ada beberapa server 1Password yang mungkin menghosting peristiwa Anda. Server yang benar bergantung pada lisensi dan wilayah Anda. Ikuti dokumentasi 1Password untuk memilih server yang benar. Masukkan URL dasar seperti yang ditampilkan oleh dokumentasi (termasuk 'https://' dan tanpa akhiran '/').

LANGKAH 3 - Masukkan Detail 1Password Anda:

Masukkan URL dasar 1Password & Token API di bawah ini:

  • Url Dasar: (Masukkan Url Dasar Anda)
  • Token API: (Masukkan Token API Anda)
  • Aktifkan/Nonaktifkan Koneksi



Perlindungan API 42Crunch (Push Connector melalui Kerangka Konektor Codeless)

Dukungan oleh:Microsoft Corporation

Menghubungkan perlindungan API 42Crunch ke Microsoft Sentinel melalui antarmuka Azure Monitor DCE/DCR REST API. Integrasi ini menggunakan kontainer Docker (API Firewall dan Log Forwarder) untuk meneruskan log lalu lintas API ke Microsoft Sentinel guna deteksi dan analisis ancaman.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
FortyTwoCrunchAPIProtectionV2 No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Microsoft. Insights/dataCollectionEndpoints: Data Collection Endpoint diperlukan agar konektor push modern dapat menerima data dari sistem keamanan eksternal.
  • Microsoft. Insights/dataCollectionRules: Aturan Pengumpulan Data diperlukan untuk mendefinisikan skema dan transformasi data yang masuk.
  • Microsoft. Otorisasi/penugasan peran: Penetapan peran diperlukan untuk memberikan izin aplikasi Entra agar dapat mengirim data ke Aturan Pengumpulan Data.
  • Persyaratan 42Crunch API Firewall: Kontainer Firewall API 42Crunch dan Log Forwarder Docker harus sudah dipasang dan berjalan. Dapatkan token API Firewall (42C_FIREWALL_TOKEN) dan URL platform (42C_PLATFORM_URL) Anda dari platform 42Crunch di https://platform.42crunch.com. Instruksi penerapan lengkap tersedia di https://github.com/42Crunch/azure-sentinel-integration.

Instruksi Penyetelan:

1. Buat Sumber Daya ARM dan Berikan Izin yang Diperlukan

Konektor ini menerima data dari sistem keamanan eksternal yang mengirimkan log ke Microsoft Sentinel. Sistem eksternal harus dikonfigurasi untuk mengirim data event mentah ke Microsoft Sentinel Ingestion API. Mengklik Deploy akan memicu pembuatan tabel Log Analytics dan Aturan Pengumpulan Data (DCR). Kemudian akan membuat aplikasi Entra, menautkan DCR ke aplikasi tersebut, dan mengatur rahasia yang dimasukkan dalam aplikasi. Penyiapan ini memungkinkan data dikirim dengan aman ke DCR menggunakan token Entra.

Pelajari lebih lanjut tentang proses pengaturan konektor

Azure Resource Deployment

Proses penerapan akan menciptakan sumber daya berikut:

  • Tabel kustom Log Analytics
  • Titik Akhir Pengumpulan Data (DCE)
  • Aturan Pengumpulan Data (DCR)
  • Pendaftaran Aplikasi Entra ID
  • Penetapan peran untuk pengambilan data

Nilai Konfigurasi

Setelah penerapan, salin nilai-nilai berikut untuk mengonfigurasi sistem keamanan eksternal Anda:

  • ID Penyewa (ID Direktori): <nilai variabel yang disediakan pada waktu penginstalan>
  • ID Aplikasi Pendaftaran Aplikasi Entra: <nilai variabel yang disediakan pada waktu penginstalan>
  • Rahasia Pendaftaran Aplikasi Entra: <nilai variabel yang disediakan pada waktu penginstalan>
  • URL Endpoint Pengumpulan Data: <nilai variabel yang disediakan saat instalasi>
  • ID Tidak Dapat Diubah Aturan Pengumpulan Data: <nilai variabel yang disediakan pada waktu penginstalan>
  • Nama Stream (FortyTwoCrunchAPIProtectionV2):< nilai variabel yang disediakan saat instalasi>

Catatan: Jaga nilai-nilai ini tetap aman. Anda akan membutuhkannya untuk mengonfigurasi sistem keamanan eksternal Anda.

2. Konfigurasikan sistem eksternal Anda untuk mendorong log

Gunakan parameter berikut untuk mengonfigurasi sistem keamanan eksternal Anda agar mengirim log ke workspace.

Langkah-langkah Konfigurasi

  1. Akses antarmuka konfigurasi sistem keamanan eksternal Anda.
  2. Navigasikan ke pengaturan penerusan data, integrasi, atau SIEM.
  3. Pilih Azure Monitor atau Microsoft Sentinel sebagai tujuan.
  4. Pilih Data Collection Endpoint sebagai metode autentikasi.
  5. Konfigurasikan bidang yang diperlukan menggunakan nilai dari langkah sebelumnya:
    • ID Penyewa: Salin dari atas
    • ID Aplikasi (Klien): Salin dari atas
    • Rahasia Klien: Salin dari atas
    • Titik Akhir Pengumpulan Data: Salin dari atas
    • Aturan Pengumpulan Data ID Tidak Berubah: Salin dari atas
    • Nama Aliran: Salin nama aliran yang sesuai dari atas
  6. Simpan konfigurasi dan aktifkan/mulai forwarder.

Validation

Catatan: Data akan muncul di tabel FortyTwoCrunchAPIProtectionV2 di ruang kerja Log Analytics Anda dalam beberapa menit.

Untuk memverifikasi data diterima, jalankan kueri berikut di ruang kerja Log Analytics Anda:

FortyTwoCrunchAPIProtectionV2
| where TimeGenerated > ago(1h)
| take 10

Troubleshooting

Jika data tidak muncul:

  • Verifikasi nilai konfigurasi sudah benar

  • Periksa apakah forwarder/integrasi aktif dan berjalan

  • Tinjau log di sistem keamanan eksternal Anda untuk mencari kesalahan

  • Pastikan konektivitas jaringan dari sistem Anda ke Azure

  • Verifikasi aplikasi Entra memiliki izin yang benar

    Setelah menerapkan sumber daya Azure, konfigurasikan kontainer 42Crunch Log Forwarder Docker untuk mengirim data ke endpoint DCE/DCR yang telah didistribusikan daripada ke API HTTP Data Collector yang sudah diterima.

Perbarui Variabel Lingkungan Docker Compose / Helm Chart

Catatan: Langkah ini berlaku jika Anda sudah memiliki deployment 42Crunch Log Forwarder yang sudah ada menggunakan API HTTP Data Collector yang sudah ada. Migrasi dengan mengganti variabel legacy WORKSPACE_ID dan WORKSPACE_KEY environment dengan konfigurasi DCE/DCR yang baru:

environment:
Legacy (remove these):
- WORKSPACE_ID=<workspace-id>
- WORKSPACE_KEY=<primary-key>

New CCF Push Connector configuration:
  - DCE_ENDPOINT=<data-collection-endpoint-url>
  - DCR_IMMUTABLE_ID=<data-collection-rule-immutable-id>
  - DCR_STREAM_NAME=Custom-FortyTwoCrunchAPIProtectionV2_CL

42Crunch platform credentials (unchanged):
  - 42C_FIREWALL_TOKEN=<your-firewall-token>
  - 42C_PLATFORM_URL=<your-platform-url>

Catatan: Jika Anda belum memiliki deployment Docker yang sudah ada atau membutuhkan contoh untuk diikuti, gunakan langkah-langkah di bawah ini.

  1. Unduh contoh penyebaran

Unduh sample-deployment folder dari repositori Azure-Sentinel. Aplikasi ini berisi docker-compose.yml, .env.example, dan pengirim log yang digunakan untuk mengirim data ke Microsoft Sentinel.

  1. Buat file Anda .env

Salin .env.example ke dan .env isi nilai Anda sebelum menjalankan docker compose up.

  • Secara default, sampel ini berjalan dalam mode online dan membutuhkan token platform 42Crunch.
  • Untuk menjalankan dalam mode offline (tanpa token diperlukan), atur PROTECTION_TOKEN=NOTUSED dan batalkan komentar PLATFORM_CONNECTIVITY=NONE di docker-compose.yml.

KEAMANAN: JANGAN masukkan CLIENT_SECRET.env ke dalam file. Teruskan sebagai variabel lingkungan shell sebagai gantinya. Docker Compose secara otomatis menggabungkan variabel lingkungan shell dengan .env file.

PowerShell
$env:CLIENT_SECRET = (Read-Host -Prompt "CLIENT_SECRET" -AsSecureString | ConvertFrom-SecureString -AsPlainText)
docker compose up --build

Bash/Linux
read -rs CLIENT_SECRET && export CLIENT_SECRET
docker compose up --build
  1. Dapatkan token perlindungan 42Crunch Anda

Dari platform 42Crunch (platform.42crunch.com):

  • Mode online: dapatkan token dari Protect > API Your API >> Firewall Instances > Add instance.

  • Mode offline (tanpa akun platform): atur PROTECTION_TOKEN=NOTUSED dan batalkan komentar PLATFORM_CONNECTIVITY=NONE di docker-compose.yml.

    URL endpoint DCE dan ID DCR yang tidak dapat diubah ditampilkan setelah penerapan sumber daya ARM pada Langkah 1. Untuk detail konfigurasi lengkap, lihat dokumentasi Integrasi 42Crunch Microsoft Sentinel.

    Untuk panduan migrasi lengkap, lihat Panduan Migrasi Perlindungan API 42Crunch.

Penting: Status Koneksi

Ini adalah konektor berbasis push - menerima data dari 42Crunch Log Forwarder dan tidak mempertahankan koneksi polling aktif. Konektor akan muncul sebagai Terhubung ketika data telah diterima dalam 7 hari terakhir.

Copot konektor

Ikuti langkah-langkah ini untuk memutuskan dan menghapus instance konektor.

Hapus Instansi Konektor

  1. Untuk memutuskan konektor dan mencabut aksesnya, pilih tombol Cabut akses .
  2. Kembali ke halaman konektor Data, pilih menu overflow konektor (tiga titik), dan pilih Hapus untuk menghapus instance konektor.
  3. Navigasikan ke Content hub, temukan solusi yang sesuai, dan hapus untuk menyelesaikan penghapusan.

Ini menghapus instance push connector. Data historis di ruang kerja Log Analytics Anda akan tetap dipertahankan.



Keamanan Abnormal (Push)

Didukung oleh:Keamanan Abnormal

Konektor Abnormal Security mendorong peristiwa keamanan waktu nyata (ancaman, kasus, log audit, laporan kotak surat penyalahgunaan, perubahan postur, kasus ATO, remediasi, dan kasus vendor) dari platform keamanan email cloud Abnormal ke Microsoft Sentinel menggunakan pola Push Codeless Connector Framework (CCF). Event diarahkan ke tabel tipe perevent yang sesuai dengan konvensi penamaan konektor lama, memungkinkan migrasi yang mulus.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
ABNORMAL_SECURITY_THREAT_LOG_CL Yes Yes
ABNORMAL_SECURITY_CASE_CL Yes Yes
ABNORMAL_SECURITY_AUDIT_LOG_CL Yes Yes
ABNORMAL_SECURITY_ABUSE_MAILBOX_CL Yes Yes
ABNORMAL_SECURITY_POSTURE_CHANGE_CL Yes Yes
ABNORMAL_SECURITY_ATO_CASE_CL Yes Yes
ABNORMAL_SECURITY_REMEDIATION_CL Yes Yes
ABNORMAL_SECURITY_VENDOR_CASE_CL Yes Yes
ABNORMAL_SECURITY_LOGS_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Microsoft Entra: Izin untuk membuat pendaftaran aplikasi di Microsoft Entra ID. Biasanya memerlukan peran Pengembang Aplikasi Entra ID atau yang lebih tinggi.
  • Microsoft Azure: Izin untuk menetapkan peran Publisher Metrik Pemantauan pada aturan pengumpulan data (DCR). Biasanya memerlukan peran Pemilik RBAC Azure atau Administrator Akses Pengguna.
  • Keamanan Abnormal: Langganan Keamanan Tidak Normal Aktif dengan akses ke pengaturan integrasi SIEM.

Instruksi Penyetelan:

1. Menyebarkan Sumber Daya Konektor

Konektor ini memungkinkan Abnormal Security untuk mengirim event keamanan real-time langsung ke Microsoft Sentinel melalui Azure Monitor Ingestion API.

Konfigurasi Otomatis Mengklik Deploy akan membuat:

  • 9 tabel log kustom untuk routing tipe per-event
  • Aturan Pengumpulan Data (DCR) dengan 9 aliran
  • Data Collection Endpoint (DCE) untuk dimasukkan
  • Aplikasi Microsoft Entra dengan kredensial OAuth
  • Penugasan peran IAM yang diperlukan (Monitoring Metrics Publisher)

Ini memungkinkan Abnormal Security untuk mendorong event secara aman menggunakan kredensial klien OAuth 2.0.

2. Konfigurasikan Keamanan Tidak Normal

Gunakan parameter berikut untuk mengonfigurasi integrasi Microsoft Sentinel di Abnormal Security Portal.

  • ID Penyewa (ID Direktori): <nilai variabel yang disediakan pada waktu penginstalan>
  • ID Aplikasi (Klien):< nilai variabel yang disediakan pada waktu penginstalan>
  • Rahasia Klien: <nilai variabel yang disediakan pada waktu penginstalan>
  • URI Titik Akhir Pengumpulan Data: <nilai variabel yang disediakan pada waktu penginstalan>
  • Aturan Pengumpulan Data ID Immutable: <nilai variabel disediakan saat instalasi Konfigurasi> di Abnormal Security Portal
  1. Masuk ke Portal Keamanan Abnormal
  2. Navigasikan ke Pengaturan > Integrasi > SIEM
  3. Pilih Microsoft Sentinel (Azure Monitor CCF)
  4. Masukkan semua 7 nilai dari atas
  5. Klik Verifikasi Kredensial untuk menguji koneksi
  6. Klik Simpan dan Aktifkan pengurutan multi-tabel integrasi: Peristiwa secara otomatis diarahkan ke tabel tipe per-peristiwa (misalnya, log ancaman →ABNORMAL_SECURITY_THREAT_LOG_CL, kasus, →). ABNORMAL_SECURITY_CASE_CL Tipe event yang tidak diketahui akan masuk ke tabel ABNORMAL_SECURITY_LOGS_CLfallback.

3. Verifikasi Penyerapan Data

Konfirmasi event mengalir dari Abnormal Security ke Sentinel.

Tunggu 5-10 menit setelah mengaktifkan integrasi, lalu jalankan kueri KQL ini:

ABNORMAL_SECURITY_THREAT_LOG_CL serikat ABNORMAL_SECURITY_CASE_CL, ABNORMAL_SECURITY_AUDIT_LOG_CL, ABNORMAL_SECURITY_ABUSE_MAILBOX_CL, ABNORMAL_SECURITY_POSTURE_CHANGE_CL, ABNORMAL_SECURITY_ATO_CASE_CL, ABNORMAL_SECURITY_REMEDIATION_CL, ABNORMAL_SECURITY_VENDOR_CASE_CL, ABNORMAL_SECURITY_LOGS_CL | di mana TimeGenerated > ago(1h) | extend event_type = tostring(abx_metadata.event_type) | ringkas count() dengan event_type | order berdasarkan desc count_

Jika tidak ada data yang muncul setelah 15 menit, verifikasi kredensial di Abnormal Security Portal dan periksa Azure Monitor untuk kesalahan penelipan.



AbnormalSecurity (menggunakan Azure Functions)

Didukung oleh:Keamanan Abnormal

Konektor data Abnormal Security menyediakan kemampuan untuk memasukkan log ancaman dan kasus ke Microsoft Sentinel menggunakan Abnormal Security Rest API.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
ABNORMAL_THREAT_MESSAGES_CL Yes Yes
ABNORMAL_CASES_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Microsoft. Izin web/situs: Izin baca dan tulis ke Azure Functions untuk membuat Aplikasi Fungsi diperlukan. Untuk informasi selengkapnya, lihat Azure Functions.
  • token Security API Abnormal: Token Security API Abnormal diperlukan. Untuk informasi selengkapnya, lihat Abnormal Security API. Catatan: Akun Keamanan Abnormal diperlukan

Instruksi Penyetelan:

CATATAN: Konektor ini menggunakan Azure Functions untuk terhubung ke REST API Keamanan Abnormal untuk menarik log ke Microsoft Sentinel. Ini dapat mengakibatkan biaya penyerapan data tambahan. Periksa halaman harga Azure Functions untuk detailnya.

LANGKAH 1 - Langkah konfigurasi untuk Security API Abnormal

Ikuti instruksi ini yang disediakan oleh Abnormal Security untuk mengonfigurasi integrasi REST API. Catatan: Akun Keamanan Abnormal diperlukan

LANGKAH 2 - Pilih ONE dari dua opsi penyebaran berikut untuk menyebarkan konektor dan Fungsi Azure terkait

PENTING: Sebelum menyebarkan konektor data Keamanan Abnormal, miliki ID Ruang Kerja dan Kunci Primer Ruang Kerja (dapat disalin dari yang berikut), serta Token Otorisasi Security API Abnormal, tersedia dengan mudah.

  • ID ruang kerja: <nilai variabel yang disediakan pada waktu penginstalan>
  • Kunci Primer: <nilai variabel yang disediakan pada waktu penginstalan>

Opsi 1 - Templat Azure Resource Manager (ARM)

Metode ini menyediakan penyebaran otomatis konektor Keamanan Abnormal menggunakan Templat ARM.

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.ms

  2. Pilih Langganan, Grup Sumber Daya, dan Lokasi pilihan.

  3. Masukkan ID Ruang Kerja Microsoft Sentinel, kunci bersama Microsoft Sentinel dan Kunci REST API Keamanan Abnormal.

  • Interval Waktu default diatur untuk menarik lima (5) menit terakhir data. Jika interval waktu perlu dimodifikasi, disarankan untuk mengubah Pemicu Pengatur Waktu Aplikasi Fungsi yang sesuai (dalam file function.json, pasca penyebaran) untuk mencegah penyerapan data yang tumpang tindih.
  1. Tandai kotak centang berlabel Saya menyetujui syarat dan ketentuan yang dinyatakan di atas.
  2. Klik Beli untuk menyebarkan.

Opsi 2 - Penyebaran manual Azure Functions

Gunakan instruksi langkah demi langkah berikut untuk menyebarkan konektor data Keamanan Abnormal secara manual dengan Azure Functions (Penyebaran melalui Visual Studio Code).

  1. Menyebarkan Aplikasi Fungsi

CATATAN: Anda harus menyiapkan kode VS untuk pengembangan fungsi Azure.

  1. Unduh file Aplikasi Fungsi Azure. Ekstrak arsip ke komputer pengembangan lokal Anda.

  2. Jalankan VS Code. Pilih File di menu utama dan pilih Buka Folder.

  3. Pilih folder tingkat atas dari file yang diekstrak.

  4. Pilih ikon Azure di bilah Aktivitas, lalu di area Azure: Fungsi, pilih tombol Sebarkan ke aplikasi fungsi. Jika Anda belum masuk, pilih ikon Azure di bilah Aktivitas, lalu di area Azure: Functions, pilih Masuk ke Azure Jika Anda sudah masuk, buka langkah berikutnya.

  5. Berikan informasi berikut pada permintaan:

    a. Pilih folder: Pilih folder dari ruang kerja Anda atau telusuri folder yang berisi aplikasi fungsi Anda.

    b. Pilih Langganan: Pilih langganan yang akan digunakan.

    c. Pilih Buat Aplikasi Fungsi baru di Azure (Jangan pilih opsi Tingkat Lanjut)

    d. Masukkan nama unik global untuk aplikasi fungsi: Ketik nama yang valid di jalur URL. Nama yang Anda ketik akan divalidasi untuk memastikan bahwa nama tersebut bersifat unik di Azure Functions. (misalnya AbnormalSecurityXX).

    e. Pilih runtime: Pilih Python 3.11.

    f. Pilih lokasi untuk sumber daya baru. Untuk performa yang lebih baik dan biaya yang lebih rendah, pilih wilayah yang sama tempat Microsoft Sentinel berada.

  6. Penyebaran akan dimulai. Notifikasi ditampilkan setelah aplikasi fungsi Anda dibuat dan paket penyebaran diterapkan.

  7. Buka portal Azure untuk konfigurasi Aplikasi Fungsi.

  8. Mengonfigurasi Aplikasi Fungsi

  9. Di Aplikasi Fungsi, pilih Nama Aplikasi Fungsi dan pilih Konfigurasi.

  10. Di tab Pengaturan aplikasi, pilih + Pengaturan aplikasi baru.

  11. Tambahkan masing-masing pengaturan aplikasi berikut satu per satu, dengan nilai string masing-masing (peka huruf besar/kecil): SENTINEL_WORKSPACE_ID SENTINEL_SHARED_KEY ABNORMAL_SECURITY_REST_API_TOKEN logAnalyticsUri (opsional) (tambahkan pengaturan lain yang diperlukan oleh Aplikasi Fungsi) Atur uri nilai ke: <add uri value>

Catatan: Jika menggunakan rahasia Azure Key Vault untuk salah satu nilai di atas, gunakan@Microsoft.KeyVault(SecretUri={Security Identifier})skema sebagai pengganti nilai string. Lihat dokumentasi referensi Azure Key Vault untuk detail lebih lanjut.

  • Gunakan logAnalyticsUri untuk mengambil alih titik akhir API analitik log untuk cloud khusus. Misalnya, untuk cloud publik, biarkan nilai kosong; untuk Azure lingkungan cloud GovUS, tentukan nilai dalam format berikut:https://<CustomerId>.ods.opinsights.azure.us.
  1. Setelah semua pengaturan aplikasi dimasukkan, klik Simpan.



Agen 365

Dukungan oleh:Microsoft Corporation

Konektor data Agen 365 memberikan wawasan yang lebih kaya tentang aktivitas agen AI dengan membawa telemetri agen AI dari Agen 365, AI Foundry, dan Copilot di data lake Microsoft Sentinel untuk menyelidiki perilaku agen, penggunaan alat, dan eksekusi dengan alur kerja berburu, grafik, dan MCP. Data dari konektor ini digunakan untuk menyelidiki perilaku agen AI, penggunaan alat, dan eksekusi dalam Microsoft Sentinel. Jika Anda telah mengaktifkan alur kerja ini, menonaktifkan konektor ini akan mencegah penyelidikan tersebut dilakukan.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Instruksi Penyetelan:



Airlock Digital (Polling - SaaS)

Didukung oleh:Airlock Digital

Konektor Airlock DigitalSaaS secara berkala menarik riwayat eksekusi dan log aktivitas server dari Airlock Digital SaaS API, mengautentikasi dengan kunci API pengguna bersama dengan direktori dan pengenal tenant Anda. Ini adalah konektor polling untuk penawaran SaaS yang dihosting Airlock Digital, dan tidak mengumpulkan log perubahan kebijakan. Untuk server self-hosted atau Airlock Digital SaaS yang menjalankan v7.0 atau lebih tinggi, konektor Airlock Digital (Push) mengirimkan event hampir secara real time dan juga mengumpulkan perubahan kebijakan. Untuk server self-hosted yang lebih tua dari v7.0, gunakan konektor Airlock Digital (Poll).

CATATAN: Gunakan satu konektor per server Digital Airlock. Jika server yang sama dikumpulkan oleh lebih dari satu konektor Airlock Digital, data duplikat akan diisi dalam tabel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
AirlockDigitalExecutionHistories_CL No No
AirlockDigitalServerActivities_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Kredensial API Airlock Digital SaaS: Kunci API pengguna, ID direktori, dan ID penyewa untuk instance Airlock Digital SaaS Anda.

Instruksi Penyetelan:

Konfigurasikan akses ke Airlock Digital SaaS API

Atur akses API di tenant SaaS Airlock Digital Anda sebelum terhubung.

URL server Anda berasal dari alamat portal Anda: ambil https://portal.au.YourDomain.com/tenant/XYZ/dashboard dan hapus portal. awalan serta semua yang terjadi setelah domain tingkat atas, keluar https://au.YourDomain.comdari .

Kunci API pengguna, ID direktori, dan ID tenant ada di Airlock Digital di bawah Menu > Pengguna Profil Saya.

Log diperiksa setiap lima menit.

Hubungkan instance Airlock Digital SaaS ke Microsoft Sentinel

Konektor ini mendukung beberapa koneksi secara bersamaan. Tambahkan satu koneksi per instance Airlock Digital SaaS; setiap koneksi menginput tipe data yang dipilih secara paralel. Gunakan grid di bawah ini untuk meninjau koneksi yang sudah ada atau menambahkan yang baru.

  • Data Connectors Grid (dikonfigurasi di portal)



Airlock Digital (Jajak Pendapat)

Didukung oleh:Airlock Digital

Konektor Airlock DigitalPoll secara berkala mengambil riwayat eksekusi dan log aktivitas server dari REST API pada server Airlock Digital yang di-host sendiri, dengan autentikasi menggunakan kunci API pengguna. Aplikasi ini ditujukan untuk server yang lebih tua dari v7.0 yang tidak mendukung pencatatan berbasis push, dan tidak mengumpulkan log perubahan kebijakan. Untuk server self-hosted atau Airlock Digital SaaS yang berjalan v7.0 atau lebih tinggi, konektor Airlock Digital (Push) mengirimkan acara hampir secara real time; untuk Airlock Digital SaaS, konektor Airlock Digital (Poll - SaaS) juga tersedia.

CATATAN: Gunakan satu konektor per server Digital Airlock. Jika server yang sama dikumpulkan oleh lebih dari satu konektor Airlock Digital, data duplikat akan diisi dalam tabel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
AirlockDigitalExecutionHistories_CL No No
AirlockDigitalServerActivities_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Kunci API Digital Airlock: Kunci API untuk server Digital Airlock Anda.

Instruksi Penyetelan:

Konfigurasikan akses ke Airlock Digital API

Atur akses API pada server Airlock Digital Anda sebelum terhubung.

Airlock Digital REST API secara default mendengarkan pada port 3129, jadi URL server Anda terlihat seperti https://airlock.company.com:3129. Server harus dapat diakses dari Azure.

Buat kunci API di Airlock Digital di bawah Menu > Pengguna Kunci API Profil > Saya.

Log diperiksa setiap lima menit.

Hubungkan server Airlock Digital ke Microsoft Sentinel

Konektor ini mendukung beberapa koneksi secara bersamaan. Tambahkan satu koneksi per server Digital Airlock; Setiap koneksi menginput tipe data yang dipilih secara paralel. Gunakan grid di bawah ini untuk meninjau koneksi yang sudah ada atau menambahkan yang baru.

  • Data Connectors Grid (dikonfigurasi di portal)



Airlock Digital (Push)

Didukung oleh:Airlock Digital

Konektor Airlock DigitalPush mengalirkan riwayat eksekusi, aktivitas server, dan log perubahan kebijakan ke Microsoft Sentinel hampir secara real time. Mendukung server self-hosted dan Airlock Digital SaaS yang berjalan versi 7.0 atau lebih tinggi. Event didorong oleh fitur pencatatan eksternal Airlock saat terjadi, sehingga tidak ada penundaan polling, dan autentikasi menggunakan aplikasi Microsoft Entra. Ini adalah konektor yang direkomendasikan untuk Airlock Digital v7.0 dan ke atas. Untuk server self-hosted yang lebih tua dari v7.0, gunakan konektor Airlock Digital (Poll).

CATATAN: Gunakan satu konektor per server Digital Airlock. Jika server yang sama dikumpulkan oleh lebih dari satu konektor Airlock Digital, data duplikat akan diisi dalam tabel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
AirlockDigitalExecutionHistories_CL No No
AirlockDigitalServerActivities_CL No No
AirlockDigitalPolicyChanges_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Microsoft Entra: Izin untuk membuat pendaftaran aplikasi di Microsoft Entra ID. Biasanya membutuhkan peran Pengembang Aplikasi atau lebih tinggi.
  • Microsoft Azure: Izin untuk menetapkan peran Monitoring Metrics Publisher pada aturan pengumpulan data. Biasanya memerlukan Administrator Akses Pemilik atau Pengguna.

Instruksi Penyetelan:

1. Sebarkan sumber daya push

Langkah ini menyediakan aturan pengumpulan data, tabel kustom, dan aplikasi Microsoft Entra yang digunakan Airlock untuk mengirim log ke Microsoft Sentinel.

Catatan: Rahasia Klien tidak pernah disimpan. Halaman ini hanya ditampilkan sekali, tepat setelah Anda memilih Deploy, dan halaman konektor mungkin menghapusnya dalam beberapa detik, jadi gunakan ikon salin di samping kolom untuk menyalinnya segera. Jika Anda melewatkannya, buka Microsoft Entra ID Pendaftaran aplikasi, pilih aplikasi bernama Airlock Digital Log Push OAuth, buka Certificates & secrets, buat client secret baru, dan salin nilainya. Di sana tetap terlihat sampai Anda meninggalkan halaman tersebut.

2. Konfigurasikan pencatatan eksternal Airlock

Di server Airlock Digital Anda, buka > Settings Logging > External Logging dan tambahkan penerima log Microsoft Sentinel CEF - HTTP(S) menggunakan nilai-nilai di bawah ini.

  • ID Penyewa: <nilai variabel yang disediakan pada waktu penginstalan>
  • ID Aplikasi (Klien):< nilai variabel yang disediakan pada waktu penginstalan>
  • Rahasia Klien: <nilai variabel yang disediakan pada waktu penginstalan>
  • URI Titik Akhir Pengumpulan Data: <nilai variabel yang disediakan pada waktu penginstalan>
  • ID DCR Immutable: <nilai variabel yang disediakan pada waktu penginstalan>
  • Nama Aliran: <nilai variabel yang disediakan pada waktu penginstalan>



Konektor Airlock Digital (melalui Codeless Connector Framework)

Dukungan oleh:Microsoft Corporation

Konektor Airlock Digital mengumpulkan kontrol aplikasi dan log eksekusi dari server Airlock Digital Anda, memberikan visibilitas ke dalam eksekusi file, aktivitas server, dan ringkasan peristiwa keamanan di Microsoft Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
AirlockDigitalServerActivities No No
AirlockDigitalExecutionHistories No No
AirlockDigitalFileActivitySummary No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Kunci API Digital Airlock: Kunci API dengan akses baca ke titik akhir pengelogan. Hasilkan dari Antarmuka Pengguna Web Digital Airlock: Kunci API Pengaturan > Menu > Pengguna.

Instruksi Penyetelan:

1. Mengonfigurasi Akses API Digital Airlock

Berikan detail koneksi API untuk Airlock Digital

Sebelum Anda mulai:

  • Akses ke server Airlock Digital Anda
  • Kunci API dari Airlock Digital (Kunci API Pengaturan > Menu > Pengguna)
  • Server harus dapat diakses dari Azure (pastikan firewall mengizinkan koneksi)

URL Dasar: Masukkan URL server Airlock Digital Anda. Port default adalah 3129 untuk REST API. Contoh: https://airlock.company.com:3129

Konektor mengumpulkan:

  • Aktivitas Server: Tindakan administratif, perubahan kebijakan, check-in agen, dan pembaruan repositori
  • Riwayat Eksekusi: Peristiwa eksekusi file termasuk eksekusi yang diblokir, diaudit, dan tepercaya dengan hash file, penerbit, dan detail pengguna
  • Ringkasan Aktivitas File: Statistik agregat pada aktivitas file, peristiwa keamanan, dan penyegaran data tren eksekusi: Log diambil setiap 5 menit. Data akan muncul dalam waktu 5-10 menit setelah koneksi.

2. Hubungkan server Airlock Digital ke Microsoft Sentinel

Konektor ini mendukung beberapa koneksi secara bersamaan. Tambahkan satu koneksi per server Digital Airlock; Setiap koneksi menginput tipe data yang dipilih secara paralel. Gunakan grid di bawah ini untuk meninjau koneksi yang sudah ada atau menambahkan yang baru.

  • Data Connectors Grid (dikonfigurasi di portal)



AIShield

Didukung oleh:AIShield

konektor AIShield memungkinkan pengguna untuk terhubung dengan log mekanisme pertahanan kustom AIShield dengan Microsoft Sentinel, memungkinkan pembuatan Dasbor dinamis, Buku Kerja, Notebook, dan Pemberitahuan yang disesuaikan untuk meningkatkan penyelidikan dan menggagalkan serangan pada sistem AI. Ini memberi pengguna lebih banyak wawasan tentang keamanan aset AI organisasi mereka posturing dan meningkatkan kemampuan operasi keamanan sistem AI mereka. AIShield.GuArdIan menganalisis konten yang dihasilkan LLM untuk mengidentifikasi dan mengurangi konten berbahaya, melindungi terhadap pelanggaran hukum, kebijakan, berbasis peran, dan penggunaan

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
AIShield_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Catatan: Pengguna seharusnya menggunakan penawaran AIShield SaaS untuk melakukan analisis kerentanan dan menyebarkan mekanisme pertahanan kustom yang dihasilkan bersama dengan aset AI mereka. Klik di sini untuk mengetahui lebih lanjut atau menghubungi.

Instruksi Penyetelan:

CATATAN: Konektor data ini tergantung pada pengurai berdasarkan Fungsi Kusto untuk bekerja seperti yang diharapkan AIShield yang disebarkan dengan Solusi Microsoft Sentinel.

PENTING: Sebelum menyebarkan Konektor AIShield, miliki ID Ruang Kerja dan Kunci Primer Ruang Kerja (dapat disalin dari yang berikut).

  • ID ruang kerja: <nilai variabel yang disediakan pada waktu penginstalan>
  • Kunci Primer: <nilai variabel yang disediakan pada waktu penginstalan>



Akamai Guardicore

Didukung oleh:Dukungan Akamai Guardicore

Konektor Akamai Guardicore menggunakan Codeless Connector Framework (CCF) untuk mengimpor Agen, Aset, Aplikasi, dan Aturan Kebijakan dari instance Guardicore Centra ke Microsoft Sentinel melalui ingestion Data Collection Rule (DCR). Connector melakukan polling setiap 10 menit melalui runtime CCF Microsoft Sentinel; tidak ada aplikasi Azure Function yang diterapkan.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
GuardicoreAssets_CL No No
GuardicoreAgents_CL No No
GuardicorePolicyRules_CL No No
GuardicoreApplications_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Instruksi Penyetelan:

Hubungkan Akamai Guardicore ke Microsoft Sentinel

Prasyarat

  1. Anda harus memiliki instance manajemen Akamai Guardicore Centra yang dapat dijangkau dengan akses API yang diaktifkan.
  2. Buat (atau dapatkan) pengguna API di Guardicore Centra dengan peran Hanya-Baca . Akun ini harus diizinkan untuk menghubungi /api/v3.0/authenticate, /api/v3.0/agents, /api/v3.0/assets, /api/v3.0/workflow/projects, dan /api/v3.0/visibility/policy/rules.
  3. Siapkan URL manajemen Guardicore (misalnya https://<tenant>.cloud.guardicore.com) serta nama pengguna dan kata sandi akun layanan.
  4. Konektor melakukan polling setiap 10 menit melalui runtime CCF Microsoft Sentinel. Tidak ada Azure Function App yang diterapkan.

Berikan detail akun layanan Guardicore Centra Anda dan klik Connect untuk mulai melakukan polling.

  • URL Manajemen Guardicore: (https://< tenant.cloud.guardicore.com>)
  • Nama pengguna Guardicore: (nama pengguna akun layanan)
  • Kata Sandi Guardicore: (kata sandi akun layanan)
  • Aktifkan/Nonaktifkan Koneksi



Akamai Security Events (melalui Codeless Connector Framework)

Dukungan oleh:Microsoft Corporation

Akamai SIEM Connector mengintegrasikan event keamanan web application firewall (WAF) dari Akamai SIEM Integration API ke Microsoft Sentinel. Konektor mengumpulkan data event keamanan yang rinci termasuk informasi serangan, konteks geografis, dan metadata permintaan/respons HTTP. Autentikasi menggunakan Akamai EdgeGrid - berikan tiga kredensial EdgeGrid Anda (client_token, access_token, client_secret) plus nama host API dari file .edgerc Anda. Runtime platform menghitung header Authorization baru yang ditandatangani HMAC-SHA-256 pada setiap permintaan polling sesuai spesifikasi EdgeGrid.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
AkamaiSIEMEvent No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Kredensial API Akamai EdgeGrid: Client Token, Access Token, dan Client Secret diperlukan untuk autentikasi EdgeGrid HMAC-SHA-256. Kredensial ini dihasilkan dari Akamai Control Center di bawah Identity & Access>API Clients.

Instruksi Penyetelan:

Langkah 1 - Aktifkan Pengumpulan Data untuk SIEM di Akamai Security Center

Aktifkan integrasi SIEM dalam konfigurasi keamanan Akamai Anda dan catat Web Security Configuration ID.

  1. Masuk ke Akamai Security Center.
  2. Pilih konfigurasi keamanan Anda dan buka bagian Integrasi SIEM .
  3. Atur pengumpulan data untuk SIEM ke On.
  4. Di bawah Aktifkan integrasi SIEM, pilih kebijakan keamanan yang akan dipantau (atau pilih Semua Kebijakan Keamanan).
  5. Pilih Versi Event SIEM (Versi SIEM 01 direkomendasikan).
  6. Salin Web Security Configuration ID yang ditampilkan di halaman - Anda akan membutuhkannya pada Langkah 3 di bawah ini.

Langkah 2 - Menyediakan kredensial API EdgeGrid

Buat klien API Akamai EdgeGrid dengan peran Kelola SIEM dan unduh file kredensial .edgerc.

  1. Di Akamai Control Center, buka Identity & Access > Users.
  2. Buat pengguna baru (atau pilih akun layanan yang sudah ada) dan tetapkan peran Kelola SIEM .
  3. Buka Identity & Access > API Clients dan klik Create API client > Quick.
  4. Pilih layanan SIEM API dan berikan akses READ .
  5. Klik Buat lalu Unduh untuk menyimpan .edgerc file.
  6. File berisi .edgerc empat nilai yang akan Anda masukkan pada Langkah 3:
[default]
client_secret = <your-client-secret>
host = <your-host>.luna.akamaiapis.net
access_token = akab-<your-access-token>
client_token = akab-<your-client-token>

Platform konektor menghitung header Authorization baru yang ditandatangani HMAC-SHA-256 pada setiap polling - Anda tidak perlu menandatangani apa pun secara manual.

Langkah 3 - Hubungkan Akamai SIEM ke Microsoft Sentinel

Dukungan multi-tenant: Konektor ini mendukung penghapusan event keamanan dari beberapa konfigurasi keamanan Akamai secara paralel. Klik Tambah Koneksi sekali per konfigurasi, dengan menyediakan kredensial EdgeGrid, hostname, dan ID Konfigurasi konfigurasi tersebut. Setiap koneksi dilacak dan dikelola secara independen di grid di bawahnya.

  • Data Connectors Grid (dikonfigurasi di portal)



Alibaba Cloud ActionTrail (melalui Kerangka Kerja Konektor Tanpa Kode)

Dukungan oleh:Microsoft Corporation

Konektor data Alibaba Cloud ActionTrail menyediakan kemampuan untuk mengambil peristiwa actiontrail yang disimpan ke Alibaba Cloud Simple Log Service dan menyimpannya ke Microsoft Sentinel melalui REST API SLS. Konektor memungkinkan pengambilan peristiwa untuk menilai potensi risiko keamanan, memantau kolaborasi, dan mendiagnosis dan memecahkan masalah konfigurasi.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
AliCloudActionTrailLogs_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Kredensial/izin SLS REST API: AliCloudAccessKeyId dan AliCloudAccessKeySecret diperlukan untuk melakukan panggilan API. Pernyataan kebijakan RAM dengan tindakan setidaknya log:GetLogStoreLogs atas sumber daya acs:log:{#regionId}:{#accountId}:project/{#ProjectName}/logstore/{#LogstoreName} diperlukan untuk memberi pengguna RAM izin untuk memanggil operasi ini.

Instruksi Penyetelan:

Mengonfigurasi akses ke ALICloud SLS API

Sebelum menggunakan API, Anda perlu menyiapkan akun identitas dan mengakses pasangan kunci untuk mengakses API secara efektif.

  1. Kami menyarankan agar Anda menggunakan pengguna Resource Access Management (RAM) untuk memanggil operasi API. Untuk informasi selengkapnya, lihat membuat pengguna RAM dan mengotorisasi pengguna RAM untuk mengakses Simple Log Service.
  2. Dapatkan pasangan kunci akses untuk pengguna RAM. Untuk detailnya, lihat mendapatkan pasangan Kunci Akses.

Perhatikan detail pasangan kunci akses untuk langkah berikutnya.

Menambahkan Logstore ActionTrail

Untuk mengaktifkan konektor Alibaba Cloud ActionTrail untuk Microsoft Sentinel, klik tambahkan ActionTrail Logstore, isi formulir dengan konfigurasi lingkungan Alibaba Cloud dan klik Sambungkan.

  • Data Connectors Grid (dikonfigurasi di portal)



Konektor Data Jaringan Alibaba Cloud (melalui Kerangka Kerja Konektor Tanpa Kode)

Dukungan oleh:Microsoft Corporation

Konektor data Alibaba Cloud Networking menyediakan kemampuan untuk menyerap data jaringan Alibaba Cloud ke dalam Microsoft Sentinel melalui REST API Simple Log Service (SLS). Lihat dokumentasi API untuk informasi selengkapnya. Konektor ini menyediakan kemampuan untuk mendapatkan Log Alur VPC, Log WAF, dan Log GATEWAY API dari Alibaba Cloud.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
AlibabaCloudVPCFlowLogs No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Akses ALIBABA Cloud SLS API: Akses Alibaba Cloud Simple Log Service diperlukan untuk API SLS.

Instruksi Penyetelan:

Mengonfigurasi akses ke ALICloud SLS API

Sebelum menggunakan API, Anda perlu menyiapkan akun identitas dan mengakses pasangan kunci untuk mengakses API secara efektif.

  1. Kami menyarankan agar Anda menggunakan pengguna Resource Access Management (RAM) untuk memanggil operasi API. Untuk informasi selengkapnya, lihat membuat pengguna RAM dan mengotorisasi pengguna RAM untuk mengakses Simple Log Service.
  2. Dapatkan pasangan kunci akses untuk pengguna RAM. Untuk detailnya, lihat mendapatkan pasangan Kunci Akses.

Perhatikan detail pasangan kunci akses untuk langkah berikutnya.

  • Data Connectors Grid (dikonfigurasi di portal)



AliCloud (menggunakan Azure Functions)

Dukungan oleh:Microsoft Corporation

Konektor data AliCloud menyediakan kemampuan untuk mengambil log dari aplikasi cloud menggunakan Cloud API dan menyimpan peristiwa ke Microsoft Azure Sentinel melalui REST API. Konektor memungkinkan pengambilan peristiwa untuk menilai potensi risiko keamanan, memantau kolaborasi, dan mendiagnosis dan memecahkan masalah konfigurasi.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
AliCloud_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Microsoft. Izin web/situs: Izin baca dan tulis ke Azure Functions untuk membuat Aplikasi Fungsi diperlukan. Untuk informasi selengkapnya, lihat Azure Functions.
  • Kredensial/izin REST API: AliCloudAccessKeyId dan AliCloudAccessKey diperlukan untuk melakukan panggilan API.

Instruksi Penyetelan:

CATATAN: Konektor ini menggunakan Azure Functions untuk terhubung ke API Azure Blob Storage untuk menarik log ke Microsoft Sentinel. Ini dapat mengakibatkan biaya tambahan untuk penyerapan data dan untuk menyimpan data dalam biaya Azure Blob Storage. Periksa halaman harga Azure Functions dan halaman harga Azure Blob Storage untuk detailnya.

(Langkah Opsional) Simpan ruang kerja dan kunci otorisasi API atau token dengan aman di Azure Key Vault. Azure Key Vault menyediakan mekanisme aman untuk menyimpan dan mengambil nilai kunci. Ikuti instruksi ini untuk menggunakan Azure Key Vault dengan Aplikasi Fungsi Azure.

CATATAN: Konektor data ini tergantung pada pengurai berdasarkan Fungsi Kusto untuk berfungsi seperti yang diharapkan AliCloud yang disebarkan dengan solusi Microsoft Sentinel.

LANGKAH 1 - Langkah konfigurasi untuk ALICloud API

Ikuti instruksi untuk mendapatkan kredensial.

  1. Dapatkan AliCloudAccessKeyId dan AliCloudAccessKey: masuk ke akun, klik AccessKey Management lalu klik Lihat Rahasia.
  2. Simpan kredensial untuk digunakan di konektor data.

LANGKAH 2 - Pilih ONE dari dua opsi penyebaran berikut untuk menyebarkan konektor dan Fungsi Azure terkait

PENTING: Sebelum menyebarkan konektor data AliCloud, miliki ID Ruang Kerja dan Kunci Primer Ruang Kerja (dapat disalin dari yang berikut).

  • ID ruang kerja: <nilai variabel yang disediakan pada waktu penginstalan>
  • Kunci Primer: <nilai variabel yang disediakan pada waktu penginstalan>

Opsi 1 - Templat Azure Resource Manager (ARM)

Gunakan metode ini untuk penyebaran otomatis konektor data AliCloud menggunakan Templat ARM.

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.ms

  2. Pilih Langganan, Grup Sumber Daya, dan Lokasi pilihan.

CATATAN: Dalam grup sumber daya yang sama, Anda tidak dapat mencampur aplikasi Windows dan Linux di wilayah yang sama. Pilih grup sumber daya yang ada tanpa Windows aplikasi di dalamnya atau buat grup sumber daya baru. 3. Masukkan WorkspaceID, WorkspaceKey, AliCloudAccessKeyId, AliCloudAccessKey, AliCloudProjects dan AppInsightsWorkspaceResourceID dan sebarkan . 4. Tandai kotak centang berlabel Saya menyetujui syarat dan ketentuan yang dinyatakan di atas. 5. Klik Beli untuk menyebarkan.

Opsi 2 - Penyebaran manual Azure Functions

Gunakan instruksi langkah demi langkah berikut untuk menyebarkan konektor data AliCloud secara manual dengan Azure Functions (Penyebaran melalui Visual Studio Code).

  1. Menyebarkan Aplikasi Fungsi

CATATAN: Anda harus menyiapkan kode VS untuk pengembangan fungsi Azure.

  1. Unduh file Aplikasi Fungsi Azure. Ekstrak arsip ke komputer pengembangan lokal Anda.

  2. Jalankan VS Code. Pilih File di menu utama dan pilih Buka Folder.

  3. Pilih folder tingkat atas dari file yang diekstrak.

  4. Pilih ikon Azure di bilah Aktivitas, lalu di area Azure: Fungsi, pilih tombol Sebarkan ke aplikasi fungsi. Jika Anda belum masuk, pilih ikon Azure di bilah Aktivitas, lalu di area Azure: Functions, pilih Masuk ke Azure Jika Anda sudah masuk, buka langkah berikutnya.

  5. Berikan informasi berikut pada permintaan:

    a. Pilih folder: Pilih folder dari ruang kerja Anda atau telusuri folder yang berisi aplikasi fungsi Anda.

    b. Pilih Langganan: Pilih langganan yang akan digunakan.

    c. Pilih Buat Aplikasi Fungsi baru di Azure (Jangan pilih opsi Tingkat Lanjut)

    d. Masukkan nama unik global untuk aplikasi fungsi: Ketik nama yang valid di jalur URL. Nama yang Anda ketik akan divalidasi untuk memastikan bahwa nama tersebut bersifat unik di Azure Functions. (misalnya AliCloudXXXXX).

    e. Pilih runtime: Pilih Python 3.11.

    f. Pilih lokasi untuk sumber daya baru. Untuk performa yang lebih baik dan biaya yang lebih rendah, pilih wilayah yang sama tempat Microsoft Sentinel berada.

  6. Penyebaran akan dimulai. Notifikasi ditampilkan setelah aplikasi fungsi Anda dibuat dan paket penyebaran diterapkan.

  7. Buka portal Azure untuk konfigurasi Aplikasi Fungsi.

  8. Mengonfigurasi Aplikasi Fungsi

  9. Di Aplikasi Fungsi, pilih Nama Aplikasi Fungsi dan pilih Konfigurasi.

  10. Di tab Pengaturan aplikasi, pilih Pengaturan aplikasi baru.

  11. Tambahkan masing-masing pengaturan aplikasi berikut satu per satu, dengan nilai string masing-masing (peka huruf besar/kecil): WorkspaceID WorkspaceKey AliCloudAccessKey AliCloudAccessKey AliCloudProjects AppInsightsWorkspaceResourceID

  • Gunakan logAnalyticsUri untuk mengambil alih titik akhir API analitik log untuk cloud khusus. Misalnya, untuk cloud publik, biarkan nilai kosong; untuk Azure lingkungan cloud GovUS, tentukan nilai dalam format berikut: https://<CustomerId>.ods.opinsights.azure.us.
  1. Setelah semua pengaturan aplikasi dimasukkan, klik Simpan.



Layanan Web Amazon

Dukungan oleh:Microsoft Corporation

Instruksi untuk terhubung ke AWS dan mengalirkan log CloudTrail Anda ke Microsoft Sentinel ditampilkan selama proses penginstalan. Untuk informasi selengkapnya, lihat dokumentasi Microsoft Azure Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
AWSCloudTrail Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Amazon Web Services CloudFront (melalui Codeless Connector Framework) (Pratinjau)

Dukungan oleh:Microsoft Corporation

Konektor data ini memungkinkan integrasi log AWS CloudFront dengan Microsoft Sentinel untuk mendukung deteksi ancaman tingkat lanjut, investigasi, dan pemantauan keamanan. Dengan menggunakan Amazon S3 untuk penyimpanan log dan Amazon SQS untuk antrean pesan, konektor dengan andal menyerap log akses CloudFront ke Microsoft Sentinel

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
AWSCloudFront_AccessLog_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Instruksi Penyetelan:

Menyerap log AWS CloudFront di Microsoft Sentinel

Daftar Sumber Daya yang Diperlukan:

  • Penyedia identitas web Open ID Connect (OIDC)
  • Peran IAM
  • Wadah Amazon S3
  • Amazon SQS
  • Konfigurasi AWS CloudFront
  1. Penyebaran AWS CloudFormation Untuk mengonfigurasi akses di AWS, dua templat telah dibuat untuk menyiapkan lingkungan AWS untuk mengirim log dari wadah S3 ke ruang kerja Log Analytics Anda.

Untuk setiap templat, buat Stack di AWS:

  1. Buka Tumpukan AWS CloudFormation.
  2. Pilih opsi 'Tentukan templat', lalu 'Unggah file templat' dengan mengklik 'Pilih file' dan pilih file templat CloudFormation yang sesuai yang disediakan di bawah ini. klik 'Pilih file' dan pilih templat yang diunduh.
  3. Klik 'Berikutnya' dan 'Buat tumpukan'.
  • Templat 1: Penyebaran autentikasi koneksi OpenID: <nilai variabel yang disediakan pada waktu penginstalan>
  • Templat 2: Penyebaran sumber daya AWSCloudFront: <nilai variabel yang disediakan pada waktu penginstalan>
  1. Sambungkan kolektor baru Untuk mengaktifkan AWS S3 for Microsoft Sentinel, klik tombol Tambahkan kolektor baru, isi informasi yang diperlukan di panel konteks dan klik Sambungkan.
  • Data Connectors Grid (dikonfigurasi di portal)



Amazon Web Services Elastic Load Balancing (melalui Codeless Connector Framework)

Dukungan oleh:Microsoft Corporation

Konektor AWS Elastic Load Balancing (ELB) untuk Microsoft Sentinel memungkinkan Anda menyerap log akses dan log alur dari AWS Application Load Balancer (ALB), Network Load Balancers (NLB), dan Gateway Load Balancers (GLB) ke dalam Microsoft Sentinel. Log ini memberikan informasi terperinci tentang permintaan yang diproses oleh load balancer dan arus lalu lintas VPC Anda, memungkinkan pemantauan keamanan, deteksi ancaman, dan analisis lalu lintas.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
AWSALBAccessLogsData No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • AWS IAM Role ARN dan SQS Queue: ARN Peran AWS IAM dengan akses lintas akun dan URL Antrean SQS yang dikonfigurasi untuk pemberitahuan peristiwa S3 diperlukan. Lihat dokumentasi konektor AWS ELB untuk instruksi penyiapan.

Instruksi Penyetelan:

  1. Penyebaran AWS CloudFormation Untuk mengonfigurasi akses di AWS, gunakan templat CloudFormation untuk menyiapkan lingkungan untuk mengirim log dari ALB, NLB, dan GLB ke ruang kerja Log Analytics Anda.

Langkah-langkah penyebaran:

  1. Buka Templat Formasi Cloud, unduh file templat JSON.
  2. Buka Tumpukan AWS CloudFormation.
  3. Pertama-tama sebarkan templat OIDCWebIdProvider.json (lewati jika Anda sudah memiliki penyedia OIDC untuk Microsoft Sentinel).
  4. Kemudian sebarkan templat AWSS3ELB.json dengan parameter Anda.
  5. Catat nilai berikut dari output tumpukan:
    • IAMRoleArn
    • ALBSQSQueueURL
    • NLBSQSQueueURL
    • NLBFlowLogsSQSQueueURL
    • GLBFlowLogsSQSQueueURL

Konfigurasi Pasca-penyebaran:

Setelah tumpukan CloudFormation berhasil disebarkan:

  • Buka tab Sumber Daya di tumpukan.
  • Temukan nama wadah S3 yang dibuat.
  • Di wadah S3, buat folder berikut secara manual:
    • ALBLogs
    • NLBAccessLogs
    • NLBFlowLogs
    • GLBFlowLogs

Mengirim Log:

Setelah pembuatan folder, konfigurasikan layanan AWS Anda untuk mengirim log ke folder yang sesuai:

  • Log akses ALB ->ALBLogs/
  • Log akses NLB ->NLBAccessLogs/
  • Log alur NLB ->NLBFlowLogs/
  • Log alur GLB ->GLBFlowLogs/

Log ini akan diserap ke dalam tabel yang sesuai di ruang kerja Log Analytics Anda.

Pemetaan Tabel:

  • Log akses ALB ->AWSALBAccessLogsData
  • Log akses NLB ->AWSNLBAccessLogsData
  • Log alur NLB dan GLB ->AWSELBFlowLogsData

Catatan:AWSELBFlowLogsData Dalam tabel, kolom bernama LogType akan menunjukkan apakah baris berasal dari log alur NLB atau log alur GLB.

  1. Sambungkan kolektor baru Untuk mengaktifkan konektor, klik Tambahkan kolektor baru, masukkan detail yang diperlukan, dan klik Sambungkan.
  • Data Connectors Grid (dikonfigurasi di portal)



Amazon Web Services NetworkFirewall (melalui Codeless Connector Framework)

Dukungan oleh:Microsoft Corporation

Konektor data ini memungkinkan Anda menyerap log AWS Network Firewall ke Microsoft Sentinel untuk deteksi ancaman tingkat lanjut dan pemantauan keamanan. Dengan memanfaatkan Amazon S3 dan Amazon SQS, konektor meneruskan log lalu lintas jaringan, pemberitahuan deteksi intrusi, dan peristiwa firewall ke Microsoft Sentinel, memungkinkan analisis dan korelasi real time dengan data keamanan lainnya

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
AWSNetworkFirewallFlow Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Instruksi Penyetelan:

Menyerap log AWS NetworkFirewall di Microsoft Sentinel

Daftar Sumber Daya yang Diperlukan:

  • Penyedia identitas web Open ID Connect (OIDC)
  • Peran IAM
  • Wadah Amazon S3
  • Amazon SQS
  • Konfigurasi AWSNetworkFirewall
  • Ikuti instruksi ini untuk konfigurasi konektor Data AWS NetworkFirewall
  1. Penyebaran AWS CloudFormation Untuk mengonfigurasi akses di AWS, dua templat telah dibuat untuk menyiapkan lingkungan AWS untuk mengirim log dari wadah S3 ke ruang kerja Log Analytics Anda.

Untuk setiap templat, buat Stack di AWS:

  1. Buka Tumpukan AWS CloudFormation.
  2. Pilih opsi 'Tentukan templat', lalu 'Unggah file templat' dengan mengklik 'Pilih file' dan pilih file templat CloudFormation yang sesuai yang disediakan di bawah ini. klik 'Pilih file' dan pilih templat yang diunduh.
  3. Klik 'Berikutnya' dan 'Buat tumpukan'.
  • Templat 1: Penyebaran autentikasi koneksi OpenID: <nilai variabel yang disediakan pada waktu penginstalan>
  • Templat 2: Penyebaran sumber daya AWSNetworkFirewall: <nilai variabel yang disediakan pada waktu penginstalan>
  1. Sambungkan kolektor baru Untuk mengaktifkan AWS S3 for Microsoft Sentinel, klik tombol Tambahkan kolektor baru, isi informasi yang diperlukan di panel konteks dan klik Sambungkan.
  • Data Connectors Grid (dikonfigurasi di portal)



Layanan Web Amazon S3

Dukungan oleh:Microsoft Corporation

Konektor ini memungkinkan Anda menyerap log layanan AWS, yang dikumpulkan dalam wadah AWS S3, untuk Microsoft Sentinel. Jenis data yang saat ini didukung adalah:

  • AWS CloudTrail
  • Log Alur VPC
  • AWS GuardDuty
  • AWS CloudWatch

Untuk informasi selengkapnya, lihat dokumentasi Microsoft Azure Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
AWSGuardDuty Yes Yes
AWSVPCFlow Yes Yes
AWSCloudTrail Yes Yes
AWSCloudWatch Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Lingkungan: Anda harus memiliki sumber daya AWS berikut yang ditentukan dan dikonfigurasi: S3, Simple Queue Service (SQS), peran dan kebijakan izin IAM, dan layanan AWS yang lognya ingin Anda kumpulkan.

Instruksi Penyetelan:

1. Siapkan lingkungan AWS Anda

Ada dua opsi untuk menyiapkan lingkungan AWS Anda untuk mengirim log dari wadah S3 ke ruang kerja Log Analytics Anda:

Penyetelan dengan skrip PowerShell (disarankan)

  • Jalankan skrip untuk menyiapkan lingkungan: <nilai variabel yang disediakan pada waktu penginstalan>
  • ID Eksternal (ID Ruang Kerja): <nilai variabel yang disediakan pada waktu penginstalan>

Penyetelan Manual

Ikuti instruksi di tautan berikut untuk menyiapkan lingkungan: Sambungkan AWS S3 ke Microsoft Sentinel

2. Tambahkan koneksi



Amazon Web Services S3 DNS Route53 (melalui Codeless Connector Framework)

Dukungan oleh:Microsoft Corporation

Konektor ini memungkinkan penyerapan log DNS AWS Route 53 ke Microsoft Sentinel untuk visibilitas dan deteksi ancaman yang ditingkatkan. Ini mendukung log kueri Pemecah Masalah DNS yang diserap langsung dari wadah AWS S3, sementara log kueri DNS Publik dan log audit Route 53 dapat diserap menggunakan konektor AWS CloudWatch dan CloudTrail Microsoft Sentinel. Instruksi komprehensif diberikan untuk memandu Anda melalui penyiapan setiap jenis log. Manfaatkan konektor ini untuk memantau aktivitas DNS, mendeteksi potensi ancaman, dan meningkatkan postur keamanan Anda di lingkungan cloud.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
AWSRoute53Resolver Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Instruksi Penyetelan:

AWS Route53

Konektor ini memungkinkan penyerapan log DNS AWS Route 53 ke dalam Microsoft Sentinel, memberikan visibilitas yang ditingkatkan ke dalam aktivitas DNS dan memperkuat kemampuan deteksi ancaman. Ini mendukung penyerapan langsung log kueri Pemecah DNS dari wadah AWS S3, sementara log kueri DNS Publik dan log audit Route 53 dapat diserap melalui konektor AWS CloudWatch dan CloudTrail Microsoft Sentinel. Instruksi penyiapan terperinci disediakan untuk setiap jenis log. Gunakan konektor ini untuk memantau lalu lintas DNS, mengidentifikasi potensi ancaman, dan meningkatkan postur keamanan cloud Anda.

Anda dapat menyerap jenis log berikut dari AWS Route 53 ke Microsoft Sentinel:

  1. Log kueri Pemecah Rute 53
  2. Merutekan log kueri zona yang Dihosting Publik 53 (melalui konektor CloudWatch Microsoft Sentinel)
  3. Merutekan log audit 53 (melalui konektor CloudTrail Microsoft Sentinel)

Menyerap log kueri Pemecah Masalah Route53 di Microsoft Sentinel

Daftar Sumber Daya yang Diperlukan:

  • Penyedia identitas web Open ID Connect (OIDC)
  • Peran IAM
  • Wadah Amazon S3
  • Amazon SQS
  • Konfigurasi pengelogan kueri Pemecah Rute 53
  • VPC untuk dikaitkan dengan konfigurasi log kueri Pemecah Route53
  1. Penyebaran AWS CloudFormation Untuk mengonfigurasi akses di AWS, dua templat telah dibuat untuk menyiapkan lingkungan AWS untuk mengirim log dari wadah S3 ke ruang kerja Log Analytics Anda.

Untuk setiap templat, buat Stack di AWS:

  1. Buka Tumpukan AWS CloudFormation.
  2. Pilih opsi 'Tentukan templat', lalu 'Unggah file templat' dengan mengklik 'Pilih file' dan pilih file templat CloudFormation yang sesuai yang disediakan di bawah ini. klik 'Pilih file' dan pilih templat yang diunduh.
  3. Klik 'Berikutnya' dan 'Buat tumpukan'.
  • Templat 1: Penyebaran autentikasi koneksi OpenID: <nilai variabel yang disediakan pada waktu penginstalan>
  • Templat 2: Penyebaran sumber daya AWS Route53: <nilai variabel yang disediakan pada waktu penginstalan>
  1. Sambungkan kolektor baru Untuk mengaktifkan Amazon Web Services S3 DNS Route53 untuk Microsoft Sentinel, klik tombol Tambahkan kolektor baru, isi informasi yang diperlukan di panel konteks dan klik Sambungkan.
  • Data Connectors Grid (dikonfigurasi di portal)

Menyerap log kueri Zona yang Dihosting Publik Route 53 (melalui konektor Microsoft Sentinel CloudWatch)

Log kueri zona yang dihosting publik diekspor ke layanan CloudWatch di AWS. Kita dapat menggunakan konektor 'Amazon Web Services S3' untuk menyerap log CloudWatch dari AWS ke Microsoft Sentinel.

Langkah 1: Mengonfigurasi pengelogan untuk kueri DNS Publik

  1. Masuk ke AWS Management Console dan buka konsol Route 53 di AWS Route 53.
  2. Navigasi ke Rute 53 > Zona yang dihosting.
  3. Pilih Zona yang dihosting Publik yang ingin Anda konfigurasikan pengelogan kuerinya.
  4. Di panel Detail zona yang dihosting, klik "Konfigurasikan pengelogan kueri".
  5. Pilih grup log yang sudah ada atau buat grup log baru.
  6. Pilih Buat.

Langkah 2: Mengonfigurasi konektor data Amazon Web Services S3 untuk AWS CloudWatch

Log AWS CloudWatch dapat diekspor ke wadah S3 menggunakan fungsi lambda. Untuk menyerap kueri DNS Publik dari AWS CloudWatch ke S3 wadah lalu ke Microsoft Sentinel, ikuti instruksi yang diberikan di konektor Amazon Web Services S3.

Menyerap log audit Route 53 (melalui konektor CloudTrail Microsoft Sentinel)

Log audit Rute 53 yaitu log yang terkait dengan tindakan yang diambil oleh pengguna, peran, atau layanan AWS di Rute 53 dapat diekspor ke wadah S3 melalui layanan AWS CloudTrail. Kita dapat menggunakan konektor 'Amazon Web Services S3' untuk menyerap log CloudTrail dari AWS ke Microsoft Sentinel.

Langkah 1: Mengonfigurasi pengelogan untuk log Audit AWS Route 53

  1. Masuk ke AWS Management Console dan buka konsol CloudTrail di AWS CloudTrail
  2. Jika Anda tidak memiliki jejak yang ada, klik 'Buat jejak'
  3. Masukkan nama untuk jejak Anda di bidang Nama jejak.
  4. Pilih Buat wadah S3 baru (Anda juga dapat memilih untuk menggunakan wadah S3 yang ada).
  5. Biarkan pengaturan lain sebagai default, dan klik Berikutnya.
  6. Pilih Jenis peristiwa, pastikan Peristiwa manajemen dipilih.
  7. Pilih aktivitas API, 'Baca' dan 'Tulis'
  8. Klik Berikutnya.
  9. Tinjau pengaturan dan klik 'Buat jejak'.

Langkah 2: Mengonfigurasi konektor data Amazon Web Services S3 untuk AWS CloudTrail

Untuk menyerap log audit dan manajemen dari AWS CloudTrail ke Microsoft Sentinel, ikuti instruksi yang diberikan di konektor Amazon Web Services S3



Amazon Web Services S3 WAF

Dukungan oleh:Microsoft Corporation

Konektor ini memungkinkan Anda untuk menyerap log AWS WAF, yang dikumpulkan dalam wadah AWS S3, untuk Microsoft Sentinel. Log AWS WAF adalah catatan terperinci tentang lalu lintas yang dianalisis daftar kontrol akses web (ACL), yang penting untuk menjaga keamanan dan performa aplikasi web. Log ini berisi informasi seperti waktu AWS WAF menerima permintaan, spesifikasi permintaan, dan tindakan yang diambil oleh aturan yang cocok dengan permintaan.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
AWSWAF Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Instruksi Penyetelan:

  1. Penyebaran AWS CloudFormation Untuk mengonfigurasi akses di AWS, dua templat telah dibuat untuk menyiapkan lingkungan AWS untuk mengirim log dari wadah S3 ke ruang kerja Log Analytics Anda.

Untuk setiap templat, buat Stack di AWS:

  1. Buka Tumpukan AWS CloudFormation.
  2. Pilih opsi 'Tentukan templat', lalu 'Unggah file templat' dengan mengklik 'Pilih file' dan pilih file templat CloudFormation yang sesuai yang disediakan di bawah ini. klik 'Pilih file' dan pilih templat yang diunduh.
  3. Klik 'Berikutnya' dan 'Buat tumpukan'.
  • Templat 1: Penyebaran autentikasi koneksi OpenID: <nilai variabel yang disediakan pada waktu penginstalan>
  • Templat 2: Penyebaran sumber daya AWS WAF: <nilai variabel yang disediakan pada waktu penginstalan>
  1. Sambungkan kolektor baru Untuk mengaktifkan AWS S3 for Microsoft Sentinel, klik tombol Tambahkan kolektor baru, isi informasi yang diperlukan di panel konteks dan klik Sambungkan.
  • Data Connectors Grid (dikonfigurasi di portal)



Anviris

Didukung oleh:Anvilogic

Konektor data Anvilogic memungkinkan Anda menarik peristiwa minat yang dihasilkan di kluster Anvilogic ADX ke dalam Microsoft Sentinel Anda

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
Anvilogic_Alerts_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • ID Klien Pendaftaran Aplikasi Anvilogic dan Rahasia Klien: Untuk mengakses ADX Anvilogic, kami memerlukan id klien dan rahasia klien dari pendaftaran aplikasi Anvilogic

Instruksi Penyetelan:

Sambungkan ke Anvilogic untuk mulai mengumpulkan peristiwa yang menarik di Microsoft Sentinel

Lengkapi formulir untuk menyerap Pemberitahuan Anvilogic ke dalam Microsoft Sentinel Anda

  • Titik Akhir Token: (https://login[.]microsoftonline[.]com/<tenant_id>/oauth2/v2.0/token)
  • Cakupan ADX Anvilogic: (<avl_adx_uri>/.default)
  • URI Permintaan ADX Anvilogic: (<avl_adx_uri>/v2/rest/query)



Perlindungan API

Dukungan oleh:Microsoft Corporation

Menghubungkan perlindungan API 42Crunch ke Azure Log Analytics melalui antarmuka REST API

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
apifirewall_log_1_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Instruksi Penyetelan:

Langkah 1 : Baca dokumentasi terperinci

Proses instalasi didokumentasikan secara rinci dalam integrasi Microsoft Sentinel repository GitHub. Pengguna harus memeriksa repositori ini lebih lanjut untuk memahami instalasi dan debug integrasi.

Langkah 2: Mengambil kredensial akses ruang kerja

Langkah penginstalan pertama adalah mengambil ID Ruang Kerja dan Kunci Primer Anda dari platform Microsoft Sentinel. Salin nilai yang ditunjukkan di bawah ini dan simpan untuk konfigurasi integrasi penerus log API.

  • ID ruang kerja: <nilai variabel yang disediakan pada waktu penginstalan>
  • Kunci Primer: <nilai variabel yang disediakan pada waktu penginstalan>

Langkah 3: Pasang perlindungan 42Crunch dan log forwarder

Langkah berikutnya adalah menginstal perlindungan 42Crunch dan log forwarder untuk melindungi API Anda. Kedua komponen tersedia sebagai kontainer dari repositori 42Crunch. Pemasangan yang tepat akan tergantung pada lingkungan Anda, konsultasikan dokumentasi perlindungan 42Crunch untuk detail lengkap. Dua skenario instalasi umum dijelaskan di bawah ini:

Instalasi melalui Docker Compose

Solusi ini dapat diinstal menggunakan file compose Docker.

Pemasangan melalui peta Helm

Solusi ini dapat dipasang menggunakan grafik Helm.

Langkah 4: Uji proses pengambilan data

Untuk menguji pengambilan data, pengguna harus menerapkan aplikasi httpbin contoh bersama dengan perlindungan 42Crunch dan pengalih log yang dijelaskan secara rinci di sini.

4.1 Pasang contoh

Aplikasi contoh dapat diinstal secara lokal menggunakan file komposisi Docker yang akan menginstal server API httpbin, perlindungan API 42Crunch, dan Microsoft Sentinel log forwarder. Atur variabel lingkungan sesuai kebutuhan menggunakan nilai yang disalin dari langkah 2.

4.2 Jalankan sampel

Verfify perlindungan API terhubung ke platform 42Crunch, lalu menjalankan API secara lokal pada localhost di port 8080 menggunakan Postman, curl, atau sejenisnya. Anda seharusnya melihat campuran panggilan API yang lewat dan gagal.

4.3 Verifikasi pengambilan data di Log Analytics

Setelah sekitar 20 menit, akses ruang kerja Log Analytics pada instalasi Microsoft Sentinel Anda, dan temukan bagian Custom Logs untuk memastikan bahwa tabel apifirewall_log_1_CL tersedia. Gunakan kueri sampel untuk memeriksa data.



Laporan Kerentanan Aplikasi untuk SAP BTP

Dukungan oleh:Microsoft Corporation

Konektor SAP Application Vulnerability Report Service menginput temuan kerentanan dalam aplikasi kustom yang diterapkan di SAP BTP ke Microsoft Sentinel. Temuan ini dapat dikorelasi dengan aktivitas audit SAP BTP untuk mengidentifikasi aplikasi berisiko dan menyelidiki peristiwa keamanan terkait.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
SAPBTPAVL_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Client Id dan Client Secret untuk Layanan Laporan Kerentanan Aplikasi: Aktifkan akses API di BTP.

Instruksi Penyetelan:

Langkah 1 - Langkah-langkah konfigurasi untuk Layanan Laporan Kerentanan SAP Application

Konfigurasikan SAP Application Vulnerability Report Service dan buat kunci layanan khusus untuk konektor ini , lihat Menemukan API Layanan Provider. Catat url (Finding Provider API URL), uaa.url (User Account and Authentication Server URL) dan uaa.clientid yang terkait.

CATATAN: Konektor ini menggunakan kredensial terpisah dan tidak berbagi kunci layanan yang digunakan oleh konektor log audit SAP BTP.

Hubungkan temuan SAP BTP AVL ke Microsoft Sentinel

Menyambungkan menggunakan kredensial klien OAuth

Koneksi

Setiap baris mewakili subaccount yang tersambung

  • Data Connectors Grid (dikonfigurasi di portal)



Keamanan Cloud ARGOS

Didukung oleh:ARGOS Cloud Security

Integrasi ARGOS Cloud Security untuk Microsoft Sentinel memungkinkan Anda memiliki semua peristiwa keamanan cloud penting Anda di satu tempat. Ini memungkinkan Anda untuk dengan mudah membuat dasbor, pemberitahuan, dan menghubungkan peristiwa di beberapa sistem. Secara keseluruhan ini akan meningkatkan postur keamanan organisasi Anda dan respons insiden keamanan.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
ARGOS_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Instruksi Penyetelan:

1. Berlangganan ARGOS

Pastikan Anda sudah memiliki Langganan ARGOS. Jika tidak, telusuri ARGOS Cloud Security dan daftar ke ARGOS.

Atau, Anda juga dapat membeli ARGOS melalui Marketplace Azure.

2. Mengonfigurasi integrasi Sentinel dari ARGOS

Konfigurasikan ARGOS untuk meneruskan deteksi baru ke ruang kerja Sentinel Anda dengan menyediakan ARGOS dengan ID Ruang Kerja dan Kunci Primer Anda.

Tidak perlu menyebarkan infrastruktur kustom apa pun.

Masukkan informasi ke halaman konfigurasi ARGOS Sentinel .

Deteksi baru akan diteruskan secara otomatis.

Pelajari selengkapnya tentang integrasi

  • ID ruang kerja: <nilai variabel yang disediakan pada waktu penginstalan>
  • Kunci Primer: <nilai variabel yang disediakan pada waktu penginstalan>



Aktivitas PemberitahuanArmis (menggunakan Azure Functions)

Didukung oleh:Armis Corporation

Konektor Aktivitas Peringatan Armis memberikan kemampuan untuk menyerap Peringatan dan Aktivitas Armis ke Microsoft Sentinel melalui ARMIS REST API. Lihat dokumentasi API: https://<YourArmisInstance>.armis.com/api/v1/docs untuk informasi selengkapnya. Konektor menyediakan kemampuan untuk mendapatkan informasi pemberitahuan dan aktivitas dari platform Armis dan untuk mengidentifikasi dan memprioritaskan ancaman di lingkungan Anda. Armis menggunakan infrastruktur yang ada untuk menemukan dan mengidentifikasi perangkat tanpa harus menyebarkan agen apa pun.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
Armis_Alerts_CL Yes Yes
Armis_Activities_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Microsoft. Izin web/situs: Izin baca dan tulis ke Azure Functions untuk membuat Aplikasi Fungsi diperlukan. Untuk informasi selengkapnya, lihat Azure Functions.
  • Kredensial/izin REST API: Kunci Rahasia Armis diperlukan. Lihat dokumentasi untuk mempelajari selengkapnya tentang API di https://<YourArmisInstance>.armis.com/api/v1/doc

Instruksi Penyetelan:

CATATAN: Konektor ini menggunakan Azure Functions untuk terhubung ke ARMIS API untuk menarik lognya ke Microsoft Sentinel. Ini dapat mengakibatkan biaya penyerapan data tambahan. Periksa halaman harga Azure Functions untuk detailnya.

(Langkah Opsional) Simpan ruang kerja dan kunci otorisasi API atau token dengan aman di Azure Key Vault. Azure Key Vault menyediakan mekanisme aman untuk menyimpan dan mengambil nilai kunci. Ikuti instruksi ini untuk menggunakan Azure Key Vault dengan Aplikasi Fungsi Azure.

CATATAN: Konektor data ini tergantung pada pengurai berdasarkan Fungsi Kusto untuk bekerja seperti yang diharapkan yang disebarkan sebagai bagian dari solusi. Untuk melihat kode fungsi di Log Analytics, buka bilah Log Log Analytics/Microsoft Sentinel, klik Fungsi dan cari alias ArmisActivities/ArmisAlerts dan muat kode fungsi. Fungsi ini biasanya membutuhkan waktu 10-15 menit untuk diaktifkan setelah penginstalan/pembaruan solusi.

LANGKAH 1 - Langkah konfigurasi untuk ARMIS API

Ikuti petunjuk ini untuk membuat kunci rahasia ARMIS API.

  1. Masuk ke instans Armis Anda
  2. Navigasi ke Pengaturan -> API Management
  3. Jika kunci rahasia belum dibuat, tekan tombol Buat untuk membuat kunci rahasia
  4. Untuk mengakses tombol rahasia, tekan tombol Perlihatkan
  5. Kunci rahasia sekarang dapat disalin dan digunakan selama konfigurasi konektor Aktivitas Peringatan Armis

LANGKAH 2 - Langkah-langkah Pendaftaran Aplikasi untuk Aplikasi di Microsoft Entra ID

Integrasi ini memerlukan pendaftaran Aplikasi di portal Azure. Ikuti langkah-langkah di bagian ini untuk membuat aplikasi baru di Microsoft Entra ID:

  1. Masuk ke portal Azure.
  2. Cari dan pilih Microsoft Entra ID.
  3. Di bawah Kelola, pilih Pendaftaran aplikasi > Pendaftaran baru.
  4. Masukkan Nama tampilan aplikasi Anda.
  5. Pilih Daftar untuk menyelesaikan pendaftaran aplikasi awal.
  6. Setelah pendaftaran selesai, portal Azure menampilkan panel Gambaran Umum pendaftaran aplikasi. Anda melihat ID Aplikasi (klien) dan ID Penyewa. ID klien dan ID Penyewa diperlukan sebagai parameter konfigurasi untuk eksekusi Konektor Data Aktivitas Pemberitahuan Armis.

Tautan referensi:/azure/active-directory/develop/quickstart-register-app

LANGKAH 3 - Tambahkan rahasia klien untuk aplikasi di Microsoft Entra ID

Terkadang disebut kata sandi aplikasi, rahasia klien adalah nilai string yang diperlukan untuk eksekusi Konektor Data Aktivitas Peringatan Armis. Ikuti langkah-langkah di bagian ini untuk membuat Rahasia Klien baru:

  1. Di portal Microsoft Azure, di Pendaftaran aplikasi, pilih aplikasi Anda.
  2. Pilih Sertifikat & rahasia > Rahasia > klien Rahasia klien baru.
  3. Tambahkan deskripsi untuk rahasia klien Anda.
  4. Pilih kedaluwarsa untuk rahasia atau tentukan masa pakai kustom. Batasnya adalah 24 bulan.
  5. Pilih Tambahkan.
  6. Catat nilai rahasia untuk digunakan dalam kode aplikasi klien Anda. Nilai rahasia ini tidak pernah ditampilkan lagi setelah Anda meninggalkan halaman ini. Nilai rahasia diperlukan sebagai parameter konfigurasi untuk eksekusi Konektor Data Aktivitas Pemberitahuan Armis.

Tautan referensi:/azure/active-directory/develop/quickstart-register-app#add-a-client-secret

LANGKAH 4 - Dapatkan ID Objek aplikasi Anda di Microsoft Entra ID

Setelah membuat pendaftaran aplikasi, ikuti langkah-langkah di bagian ini untuk mendapatkan ID Objek:

  1. Pergi ke Microsoft Entra ID.
  2. Pilih Aplikasi perusahaan dari menu sebelah kiri.
  3. Temukan aplikasi yang baru dibuat dalam daftar (Anda dapat mencari berdasarkan nama yang Anda berikan).
  4. Klik aplikasi.
  5. Pada halaman gambaran umum, salin ID Objek. Ini adalah AzureEntraObjectId yang diperlukan untuk penetapan peran templat ARM Anda.

LANGKAH 5 - Menetapkan peran Kontributor ke aplikasi di Microsoft Entra ID

Ikuti langkah-langkah di bagian ini untuk menetapkan peran:

  1. Di portal Azure, Buka Grup Sumber Daya dan pilih grup sumber daya Anda.
  2. Buka Kontrol akses (IAM) dari panel kiri.
  3. Klik Tambahkan, lalu pilih Tambahkan penetapan peran.
  4. Pilih Kontributor sebagai peran dan klik berikutnya.
  5. Di Tetapkan akses ke, pilih User, group, or service principal.
  6. Klik tambahkan anggota dan ketik nama aplikasi yang telah Anda buat dan pilih.
  7. Sekarang klik Tinjau + tetapkan lalu klik lagi Tinjau + tetapkan.

Tautan referensi:/azure/role-based-access-control/role-assignments-portal

LANGKAH 6 - Membuat Keyvault

Ikuti instruksi ini untuk membuat Keyvault baru.

  1. Di portal Azure, Buka Brankas kunci. Klik buat.
  2. Pilih Subsipsi, Grup Sumber Daya, dan berikan nama unik keyvault.

CATATAN: Buat brankas kunci terpisah untuk setiap kunci API dalam satu ruang kerja.

LANGKAH 7 - Membuat Kebijakan Akses di Keyvault

Ikuti instruksi ini untuk membuat kebijakan akses di Keyvault.

  1. Buka keyvault, pilih keyvault Anda, buka Kebijakan akses di panel sisi kiri. Klik buat.
  2. Pilih semua kunci & izin rahasia. Klik berikutnya.
  3. Di bagian utama, cari berdasarkan nama aplikasi yang dihasilkan di LANGKAH - 2. Klik berikutnya.

CATATAN: Pastikan model Izin dalam Konfigurasi Akses Key Vault diatur ke 'Kebijakan akses vault'

LANGKAH 8 - Pilih ONE dari dua opsi penyebaran berikut untuk menyebarkan konektor dan Fungsi Azure terkait

PENTING: Sebelum menerapkan konektor data Armis Device, siapkan Kunci Otorisasi API Armis dengan mudah.

Opsi 1 - Templat Azure Resource Manager (ARM)

Gunakan metode ini untuk penyebaran otomatis konektor Armis.

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.msaka.ms

  2. Pilih Langganan, Grup Sumber Daya, dan Lokasi pilihan.

  3. Masukkan informasi di bawah ini: Nama Fungsi Nama Workspace Nama
    Kunci Rahasia Armis URL Armis (https://< armis-instance.armis.com/api/v1/>) Nama Tabel Peringatan Armis Nama Tabel Aktivitas Armis Keparahan (Default: Rendah) Kunci Jadwal Armis Nama Vault Azure ID Klien Azure Rahasia Klien Azure Entra ObjectID
    Id Penyewa

  4. Tandai kotak centang berlabel Saya menyetujui syarat dan ketentuan yang dinyatakan di atas.

  5. Klik Beli untuk menyebarkan.

Opsi 2 - Penyebaran manual Azure Functions

Gunakan instruksi langkah demi langkah berikut untuk menyebarkan konektor data Aktivitas Peringatan Armis secara manual dengan Azure Functions (Penyebaran melalui Visual Studio Code).

  1. Menyebarkan Aplikasi Fungsi

CATATAN: Anda harus menyiapkan kode VS untuk pengembangan fungsi Azure.

  1. Unduh file Aplikasi Fungsi Azure. Ekstrak arsip ke komputer pengembangan lokal Anda.

  2. Jalankan VS Code. Pilih File di menu utama dan pilih Buka Folder.

  3. Pilih folder tingkat atas dari file yang diekstrak.

  4. Pilih ikon Azure di bilah Aktivitas, lalu di area Azure: Fungsi, pilih tombol Sebarkan ke aplikasi fungsi. Jika Anda belum masuk, pilih ikon Azure di bilah Aktivitas, lalu di area Azure: Functions, pilih Masuk ke Azure Jika Anda sudah masuk, buka langkah berikutnya.

  5. Berikan informasi berikut pada permintaan:

    a. Pilih folder: Pilih folder dari ruang kerja Anda atau telusuri folder yang berisi aplikasi fungsi Anda.

    b. Pilih Langganan: Pilih langganan yang akan digunakan.

    c. Pilih Buat Aplikasi Fungsi baru di Azure (Jangan pilih opsi Tingkat Lanjut)

    d. Masukkan nama unik global untuk aplikasi fungsi: Ketik nama yang valid di jalur URL. Nama yang Anda ketik akan divalidasi untuk memastikan bahwa nama tersebut bersifat unik di Azure Functions. (misalnya ARMISXXXXX).

    e. Pilih runtime: Pilih Python 3.12

    f. Pilih lokasi untuk sumber daya baru. Untuk performa yang lebih baik dan biaya yang lebih rendah, pilih wilayah yang sama tempat Microsoft Sentinel berada.

  6. Penyebaran akan dimulai. Notifikasi ditampilkan setelah aplikasi fungsi Anda dibuat dan paket penyebaran diterapkan.

  7. Buka portal Azure untuk konfigurasi Aplikasi Fungsi.

  8. Mengonfigurasi Aplikasi Fungsi

  9. Di Aplikasi Fungsi, pilih Nama Aplikasi Fungsi dan pilih Konfigurasi.

  10. Di tab Pengaturan aplikasi, pilih + Pengaturan aplikasi baru.

  11. Tambahkan setiap pengaturan aplikasi berikut secara individual, beserta nilainya masing-masing (sensitif huruf besar/kecil): Nama Workspace
    Kunci Rahasia Armis URL Armis (https://< armis-instance.armis.com/api/v1/>) Nama Tabel Peringatan Armis Nama Tabel Aktivitas Armis Keparahan (Default: Rendah) Kunci Jadwal Armis Nama Vault Azure ID Klien Azure Rahasia Klien Azure Entra ObjectID
    Tenant Id logAnalyticsUri (opsional)

  • Gunakan logAnalyticsUri untuk mengambil alih titik akhir API analitik log untuk cloud khusus. Misalnya, untuk cloud publik, biarkan nilai kosong; untuk Azure lingkungan cloud GovUS, tentukan nilai dalam format berikut: https://<CustomerId>.ods.opinsights.azure.us.
  1. Setelah semua pengaturan aplikasi dimasukkan, klik Simpan.



Menggunakan Perangkat (menggunakan Azure Functions)

Didukung oleh:Armis Corporation

Konektor Armis Device memberikan kemampuan untuk mengintegrasikan Armis Devices ke dalam Microsoft Sentinel melalui Armis REST API. Lihat dokumentasi API: https://<YourArmisInstance>.armis.com/api/v1/docs untuk informasi selengkapnya. Konektor menyediakan kemampuan untuk mendapatkan informasi perangkat dari platform Armis. Armis menggunakan infrastruktur yang ada untuk menemukan dan mengidentifikasi perangkat tanpa harus menyebarkan agen apa pun. Armis juga dapat berintegrasi dengan alat TI & manajemen keamanan yang ada untuk mengidentifikasi dan mengklasifikasikan setiap perangkat, dikelola atau tidak dikelola di lingkungan Anda.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
Armis_Devices_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Microsoft. Izin web/situs: Izin baca dan tulis ke Azure Functions untuk membuat Aplikasi Fungsi diperlukan. Untuk informasi selengkapnya, lihat Azure Functions.
  • Kredensial/izin REST API: Kunci Rahasia Armis diperlukan. Lihat dokumentasi untuk mempelajari selengkapnya tentang API di https://<YourArmisInstance>.armis.com/api/v1/doc

Instruksi Penyetelan:

CATATAN: Konektor ini menggunakan Azure Functions untuk terhubung ke ARMIS API untuk menarik lognya ke Microsoft Sentinel. Ini dapat mengakibatkan biaya penyerapan data tambahan. Periksa halaman harga Azure Functions untuk detailnya.

(Langkah Opsional) Simpan ruang kerja dan kunci otorisasi API atau token dengan aman di Azure Key Vault. Azure Key Vault menyediakan mekanisme aman untuk menyimpan dan mengambil nilai kunci. Ikuti instruksi ini untuk menggunakan Azure Key Vault dengan Aplikasi Fungsi Azure.

CATATAN: Konektor data ini bergantung pada pengurai berdasarkan Fungsi Kusto agar berfungsi seperti yang diharapkan. Ikuti langkah-langkah ini untuk membuat alias fungsi Kusto, ArmisDevice

LANGKAH 1 - Langkah konfigurasi untuk ARMIS API

Ikuti petunjuk ini untuk membuat kunci rahasia ARMIS API.

  1. Masuk ke instans Armis Anda
  2. Navigasi ke Pengaturan -> API Management
  3. Jika kunci rahasia belum dibuat, tekan tombol Buat untuk membuat kunci rahasia
  4. Untuk mengakses tombol rahasia, tekan tombol Perlihatkan
  5. Kunci rahasia sekarang dapat disalin dan digunakan selama konfigurasi konektor Perangkat Armis

LANGKAH 2 - Langkah-langkah Pendaftaran Aplikasi untuk Aplikasi di Microsoft Entra ID

Integrasi ini memerlukan pendaftaran Aplikasi di portal Azure. Ikuti langkah-langkah di bagian ini untuk membuat aplikasi baru di Microsoft Entra ID:

  1. Masuk ke portal Azure.
  2. Cari dan pilih Microsoft Entra ID.
  3. Di bawah Kelola, pilih Pendaftaran aplikasi > Pendaftaran baru.
  4. Masukkan Nama tampilan aplikasi Anda.
  5. Pilih Daftar untuk menyelesaikan pendaftaran aplikasi awal.
  6. Setelah pendaftaran selesai, portal Azure menampilkan panel Gambaran Umum pendaftaran aplikasi. Anda melihat ID Aplikasi (klien) dan ID Penyewa. ID klien dan ID Penyewa diperlukan sebagai parameter konfigurasi untuk eksekusi Konektor Data Perangkat Armis.

Tautan referensi:/azure/active-directory/develop/quickstart-register-app

LANGKAH 3 - Tambahkan rahasia klien untuk aplikasi di Microsoft Entra ID

Terkadang disebut kata sandi aplikasi, rahasia klien adalah nilai string yang diperlukan untuk eksekusi Konektor Data Perangkat Armis. Ikuti langkah-langkah di bagian ini untuk membuat Rahasia Klien baru:

  1. Di portal Microsoft Azure, di Pendaftaran aplikasi, pilih aplikasi Anda.
  2. Pilih Sertifikat & rahasia > Rahasia > klien Rahasia klien baru.
  3. Tambahkan deskripsi untuk rahasia klien Anda.
  4. Pilih kedaluwarsa untuk rahasia atau tentukan masa pakai kustom. Batasnya adalah 24 bulan.
  5. Pilih Tambahkan.
  6. Catat nilai rahasia untuk digunakan dalam kode aplikasi klien Anda. Nilai rahasia ini tidak pernah ditampilkan lagi setelah Anda meninggalkan halaman ini. Nilai rahasia diperlukan sebagai parameter konfigurasi untuk eksekusi Konektor Data Perangkat Armis.

Tautan referensi:/azure/active-directory/develop/quickstart-register-app#add-a-client-secret

LANGKAH 4 - Dapatkan ID Objek aplikasi Anda di Microsoft Entra ID

Setelah membuat pendaftaran aplikasi, ikuti langkah-langkah di bagian ini untuk mendapatkan ID Objek:

  1. Pergi ke Microsoft Entra ID.
  2. Pilih Aplikasi perusahaan dari menu sebelah kiri.
  3. Temukan aplikasi yang baru dibuat dalam daftar (Anda dapat mencari berdasarkan nama yang Anda berikan).
  4. Klik aplikasi.
  5. Pada halaman gambaran umum, salin ID Objek. Ini adalah AzureEntraObjectId yang diperlukan untuk penetapan peran templat ARM Anda.

LANGKAH 5 - Menetapkan peran Kontributor ke aplikasi di Microsoft Entra ID

Ikuti langkah-langkah di bagian ini untuk menetapkan peran:

  1. Di portal Azure, Buka Grup Sumber Daya dan pilih grup sumber daya Anda.
  2. Buka Kontrol akses (IAM) dari panel kiri.
  3. Klik Tambahkan, lalu pilih Tambahkan penetapan peran.
  4. Pilih Kontributor sebagai peran dan klik berikutnya.
  5. Di Tetapkan akses ke, pilih User, group, or service principal.
  6. Klik tambahkan anggota dan ketik nama aplikasi yang telah Anda buat dan pilih.
  7. Sekarang klik Tinjau + tetapkan lalu klik lagi Tinjau + tetapkan.

Tautan referensi:/azure/role-based-access-control/role-assignments-portal

LANGKAH 6 - Membuat Keyvault

Ikuti instruksi ini untuk membuat Keyvault baru.

  1. Di portal Azure, Buka Brankas kunci. Klik buat.
  2. Pilih Subsipsi, Grup Sumber Daya, dan berikan nama unik keyvault.

CATATAN: Buat brankas kunci terpisah untuk setiap kunci API dalam satu ruang kerja.

LANGKAH 7 - Membuat Kebijakan Akses di Keyvault

Ikuti instruksi ini untuk membuat kebijakan akses di Keyvault.

  1. Buka keyvault, pilih keyvault Anda, buka Kebijakan akses di panel sisi kiri. Klik buat.
  2. Pilih semua kunci & izin rahasia. Klik berikutnya.
  3. Di bagian utama, cari berdasarkan nama aplikasi yang dihasilkan di LANGKAH - 2. Klik berikutnya.

CATATAN: Pastikan model Izin dalam Konfigurasi Akses Key Vault diatur ke 'Kebijakan akses vault'

LANGKAH 8 - Pilih ONE dari dua opsi penyebaran berikut untuk menyebarkan konektor dan Fungsi Azure terkait

PENTING: Sebelum menerapkan konektor data Armis Device, siapkan Kunci Otorisasi API Armis dengan mudah.

Opsi 1 - Templat Azure Resource Manager (ARM)

Gunakan metode ini untuk penyebaran otomatis konektor Armis.

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.msaka.ms

  2. Pilih Langganan, Grup Sumber Daya, dan Lokasi pilihan.

  3. Masukkan informasi berikut: Nama Fungsi Lokasi Nama Workspace Armis Secret Key Armis URL (https://< armis-instance.armis.com/api/v1/>) Armis Device Table Name Armis Schedule KeyVault Nama Azure Client Id Azure Client Secret Azure Entra ObjectID Tenant Id

  4. Tandai kotak centang berlabel Saya menyetujui syarat dan ketentuan yang dinyatakan di atas.

  5. Klik Beli untuk menyebarkan.

Opsi 2 - Penyebaran manual Azure Functions

Gunakan instruksi langkah demi langkah berikut untuk menyebarkan konektor data Perangkat Armis secara manual dengan Azure Functions (Penyebaran melalui Visual Studio Code).

  1. Menyebarkan Aplikasi Fungsi

CATATAN: Anda harus menyiapkan kode VS untuk pengembangan fungsi Azure.

  1. Unduh file Aplikasi Fungsi Azure. Ekstrak arsip ke komputer pengembangan lokal Anda.

  2. Jalankan VS Code. Pilih File di menu utama dan pilih Buka Folder.

  3. Pilih folder tingkat atas dari file yang diekstrak.

  4. Pilih ikon Azure di bilah Aktivitas, lalu di area Azure: Fungsi, pilih tombol Sebarkan ke aplikasi fungsi. Jika Anda belum masuk, pilih ikon Azure di bilah Aktivitas, lalu di area Azure: Functions, pilih Masuk ke Azure Jika Anda sudah masuk, buka langkah berikutnya.

  5. Berikan informasi berikut pada permintaan:

    a. Pilih folder: Pilih folder dari ruang kerja Anda atau telusuri folder yang berisi aplikasi fungsi Anda.

    b. Pilih Langganan: Pilih langganan yang akan digunakan.

    c. Pilih Buat Aplikasi Fungsi baru di Azure (Jangan pilih opsi Tingkat Lanjut)

    d. Masukkan nama unik global untuk aplikasi fungsi: Ketik nama yang valid di jalur URL. Nama yang Anda ketik akan divalidasi untuk memastikan bahwa nama tersebut bersifat unik di Azure Functions. (misalnya ARMISXXXXX).

    e. Pilih runtime: Pilih Python 3.12

    f. Pilih lokasi untuk sumber daya baru. Untuk performa yang lebih baik dan biaya yang lebih rendah, pilih wilayah yang sama tempat Microsoft Sentinel berada.

  6. Penyebaran akan dimulai. Notifikasi ditampilkan setelah aplikasi fungsi Anda dibuat dan paket penyebaran diterapkan.

  7. Buka portal Azure untuk konfigurasi Aplikasi Fungsi.

  8. Mengonfigurasi Aplikasi Fungsi

  9. Di Aplikasi Fungsi, pilih Nama Aplikasi Fungsi dan pilih Konfigurasi.

  10. Di tab Pengaturan aplikasi, pilih + Pengaturan aplikasi baru.

  11. Tambahkan setiap pengaturan aplikasi berikut secara individual, dengan nilainya masing-masing (sensitif huruf kecil): Nama Workspace Lokasi Armis Secret Key Armis URL (https://< armis-instance.armis.com/api/v1/>) Armis Device Table Name Armis Schedule KeyVault Name Azure Client Id Azure Client Secret Azure Entra ObjectID Tenant Id logAnalyticsUri (opsional)

  • Gunakan logAnalyticsUri untuk mengambil alih titik akhir API analitik log untuk cloud khusus. Misalnya, untuk cloud publik, biarkan nilai kosong; untuk Azure lingkungan cloud GovUS, tentukan nilai dalam format berikut: https://<CustomerId>.ods.opinsights.azure.us.
  1. Setelah semua pengaturan aplikasi dimasukkan, klik Simpan.



Audit Confluence Atlassian (melalui Kerangka Kerja Konektor Tanpa Kode)

Dukungan oleh:Microsoft Corporation

Konektor data Atlassian Confluence Audit menyediakan kemampuan untuk menyerap peristiwa Confluence Audit Records ke dalam Microsoft Sentinel melalui REST API. Lihat dokumentasi API untuk informasi selengkapnya. Konektor memungkinkan pengambilan peristiwa untuk menilai potensi risiko keamanan, memantau kolaborasi, dan mendiagnosis dan memecahkan masalah konfigurasi.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
ConfluenceAuditLogs No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

Instruksi Penyetelan:

Hubungkan Atlassian Confluence ke Microsoft Sentinel

Tambahkan satu koneksi per situs Atlassian Confluence. Ikuti instruksi token API Atlassian untuk membuat token API.

  • Data Connectors Grid (dikonfigurasi di portal)



Audit JiraAtlassian (menggunakan Azure Functions)

Dukungan oleh:Microsoft Corporation

Konektor data Audit Atlassian Jira menyediakan kemampuan untuk menyerap peristiwa Jira Audit Records ke Microsoft Sentinel melalui REST API. Lihat dokumentasi API untuk informasi selengkapnya. Konektor memungkinkan pengambilan peristiwa untuk menilai potensi risiko keamanan, memantau kolaborasi, dan mendiagnosis dan memecahkan masalah konfigurasi.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
Jira_Audit_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Microsoft. Izin web/situs: Izin baca dan tulis ke Azure Functions untuk membuat Aplikasi Fungsi diperlukan. Untuk informasi selengkapnya, lihat Azure Functions.
  • Kredensial/izin REST API: JiraAccessToken, JiraUsername diperlukan untuk REST API. Untuk informasi selengkapnya, lihat API. Periksa semua persyaratan dan ikuti instruksi untuk mendapatkan kredensial.

Instruksi Penyetelan:

CATATAN: Konektor ini menggunakan Azure Functions untuk terhubung ke Jira REST API untuk menarik lognya ke Microsoft Sentinel. Ini dapat mengakibatkan biaya penyerapan data tambahan. Periksa halaman harga Azure Functions untuk detailnya.

(Langkah Opsional) Simpan ruang kerja dan kunci otorisasi API atau token dengan aman di Azure Key Vault. Azure Key Vault menyediakan mekanisme aman untuk menyimpan dan mengambil nilai kunci. Ikuti instruksi ini untuk menggunakan Azure Key Vault dengan Aplikasi Fungsi Azure.

CATATAN: Konektor data ini bergantung pada pengurai berdasarkan Fungsi Kusto agar berfungsi seperti yang diharapkan. Ikuti langkah-langkah ini untuk membuat alias fungsi Kusto, JiraAudit

LANGKAH 1 - Langkah konfigurasi untuk JIRA API

Ikuti instruksi untuk mendapatkan kredensial.

LANGKAH 2 - Pilih ONE dari dua opsi penyebaran berikut untuk menyebarkan konektor dan Fungsi Azure terkait

PENTING: Sebelum menyebarkan konektor data Ruang Kerja, miliki ID Ruang Kerja dan Kunci Utama Ruang Kerja (dapat disalin dari yang berikut).

  • ID ruang kerja: <nilai variabel yang disediakan pada waktu penginstalan>
  • Kunci Primer: <nilai variabel yang disediakan pada waktu penginstalan>

Opsi 1 - Templat Azure Resource Manager (ARM)

Gunakan metode ini untuk penyebaran otomatis konektor data Audit Jira menggunakan ARM Tempate.

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.msaka.ms

  2. Pilih Langganan, Grup Sumber Daya, dan Lokasi pilihan.

CATATAN: Dalam grup sumber daya yang sama, Anda tidak dapat mencampur aplikasi Windows dan Linux di wilayah yang sama. Pilih grup sumber daya yang ada tanpa Windows aplikasi di dalamnya atau buat grup sumber daya baru. 3. Masukkan JiraAccessToken, JiraUsername, JiraHomeSiteName (bagian nama situs pendek, sebagai contoh HOMESITENAME dari https://community.atlassian.com) dan sebarkan. 4. Tandai kotak centang berlabel Saya menyetujui syarat dan ketentuan yang dinyatakan di atas. 5. Klik Beli untuk menyebarkan.

Opsi 2 - Penyebaran manual Azure Functions

Gunakan instruksi langkah demi langkah berikut untuk menyebarkan konektor data Audit Jira secara manual dengan Azure Functions (Penyebaran melalui Visual Studio Code).

  1. Menyebarkan Aplikasi Fungsi

CATATAN: Anda harus menyiapkan kode VS untuk pengembangan fungsi Azure.

  1. Unduh file Aplikasi Fungsi Azure. Ekstrak arsip ke komputer pengembangan lokal Anda.

  2. Jalankan VS Code. Pilih File di menu utama dan pilih Buka Folder.

  3. Pilih folder tingkat atas dari file yang diekstrak.

  4. Pilih ikon Azure di bilah Aktivitas, lalu di area Azure: Fungsi, pilih tombol Sebarkan ke aplikasi fungsi. Jika Anda belum masuk, pilih ikon Azure di bilah Aktivitas, lalu di area Azure: Functions, pilih Masuk ke Azure Jika Anda sudah masuk, buka langkah berikutnya.

  5. Berikan informasi berikut pada permintaan:

    a. Pilih folder: Pilih folder dari ruang kerja Anda atau telusuri folder yang berisi aplikasi fungsi Anda.

    b. Pilih Langganan: Pilih langganan yang akan digunakan.

    c. Pilih Buat Aplikasi Fungsi baru di Azure (Jangan pilih opsi Tingkat Lanjut)

    d. Masukkan nama unik global untuk aplikasi fungsi: Ketik nama yang valid di jalur URL. Nama yang Anda ketik akan divalidasi untuk memastikan bahwa nama tersebut bersifat unik di Azure Functions. (misalnya JiraAuditXXXXXX).

    e. Pilih runtime: Pilih Python 3.11.

    f. Pilih lokasi untuk sumber daya baru. Untuk performa yang lebih baik dan biaya yang lebih rendah, pilih wilayah yang sama tempat Microsoft Sentinel berada.

  6. Penyebaran akan dimulai. Notifikasi ditampilkan setelah aplikasi fungsi Anda dibuat dan paket penyebaran diterapkan.

  7. Buka portal Azure untuk konfigurasi Aplikasi Fungsi.

  8. Mengonfigurasi Aplikasi Fungsi

  9. Di Aplikasi Fungsi, pilih Nama Aplikasi Fungsi dan pilih Konfigurasi.

  10. Di tab Pengaturan aplikasi, pilih Pengaturan aplikasi baru.

  11. Tambahkan masing-masing pengaturan aplikasi berikut satu per satu, dengan nilai string masing-masing (peka huruf besar/kecil): JiraUsername JiraAccessToken JiraHomeSiteName WorkspaceID WorkspaceID WorkspaceID logAnalyticsUri (opsional)

  • Gunakan logAnalyticsUri untuk mengambil alih titik akhir API analitik log untuk cloud khusus. Misalnya, untuk cloud publik, biarkan nilai kosong; untuk Azure lingkungan cloud GovUS, tentukan nilai dalam format berikut: https://<CustomerId>.ods.opinsights.azure.us.
  1. Setelah semua pengaturan aplikasi dimasukkan, klik Simpan.



Audit Atlassian Jira (melalui Kerangka Kerja Konektor Tanpa Kode)

Dukungan oleh:Microsoft Corporation

Konektor data Audit Atlassian Jira menyediakan kemampuan untuk menyerap peristiwa Jira Audit Records ke Microsoft Sentinel melalui REST API. Lihat dokumentasi API untuk informasi selengkapnya. Konektor memungkinkan pengambilan peristiwa untuk menilai potensi risiko keamanan, memantau kolaborasi, dan mendiagnosis dan memecahkan masalah konfigurasi.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
Jira_Audit_v2_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Akses API Atlassian Jira: Izin Administer Jira diperlukan untuk mendapatkan akses ke API log Audit Jira. Lihat dokumentasi Jira API untuk mempelajari selengkapnya tentang API audit.

Instruksi Penyetelan:

Untuk mengaktifkan konektor Atlassian Jira untuk Microsoft Sentinel, klik untuk menambahkan organisasi, isi formulir dengan info masuk lingkungan Jira dan klik Sambungkan. Ikuti langkah-langkah ini untuk membuat token API.

  • Data Connectors Grid (dikonfigurasi di portal)



Acara Audit Organisasi Atlassian (melalui Kerangka Konektor Codeless)

Dukungan oleh:Microsoft

Penghubung data Atlassian Organization Audit Events menyediakan kemampuan untuk mengingest event audit organisasi dari Atlassian Cloud ke Microsoft Sentinel melalui Polling API. Konektor ini memungkinkan pemantauan keamanan dan audit kepatuhan yang komprehensif di seluruh produk Atlassian Cloud termasuk Jira (Software/Service Desk/Core), Confluence, Bitbucket, Trello, Opsgenie, Statuspage, dan Loom. Konektor menginput peristiwa audit yang mencakup manajemen pengguna, aktivitas autentikasi, perubahan grup, modifikasi akses produk, tindakan administratif, dan perubahan kebijakan. Dengan 180 hari retensi data di Atlassian Cloud, konektor ini memberikan visibilitas terhadap akses pengguna yang diberikan/dicabut, kegagalan dan keberhasilan autentikasi, perubahan konfigurasi MFA, manajemen token API, perubahan keanggotaan grup, penugasan lisensi produk, pembaruan kebijakan organisasi, dan aktivitas verifikasi domain. Konektor menggunakan otentikasi API Key dengan cakupan OAuth hanya-baca (baca:events:admin) dan dioptimalkan untuk polling berkelanjutan dengan paginasi berbasis kursor. Konektor ini dibangun di atas Microsoft Sentinel Codeless Connector Framework dan mendukung transformasi waktu ingestion berbasis DCR untuk kinerja query yang optimal. Lihat dokumentasi API Acara Organisasi Atlassian untuk informasi lebih lanjut.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
AtlassianAuditEvents No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

Instruksi Penyetelan:

Prerequisites

Sebelum mengatur konektor ini, pastikan Anda memiliki hal-hal berikut:

  • Akses admin organisasi Atlassian untuk membuat kunci API dengan read:events:admin cakupan OAuth.
  • ID Organisasi Atlassian Anda (UUID).
  • Workspace Microsoft Sentinel dengan izin tulis untuk mengonfigurasi konektor data.

1. Buat API Key di Atlassian

Ikuti langkah-langkah berikut untuk membuat kunci API dengan izin yang diperlukan:

Membuat Kunci API

  1. Navigasikan ke Administrasi Atlassian
  2. Pilih organisasi Anda (jika Anda memiliki beberapa)
  3. Navigasikan ke Pengaturan, lalu pilih tombol API
  4. Klik Buat kunci API
  5. Konfigurasikan kunci API:
    • Nama: Microsoft Sentinel Integration (atau nama deskriptif)
    • Masa Berlaku: Atur tanggal kedaluwarsa (maksimum 1 tahun sejak pembuatan)
    • Scopes: Select read:events:admin (akses hanya-baca ke event audit)
  6. Klik Buat
  7. PENTING: Salin kunci API segera - tidak akan ditampilkan lagi

2. Dapatkan ID Organisasi Anda

ID Organisasi Anda diperlukan untuk terhubung ke API Atlassian:

Temukan ID Organisasi ID Organisasi Anda adalah UUID (misalnya, 00000000-0000-0000-0000-000000000000)

Opsi 1: Dari URL Administrasi Atlassian

  • Lihat URL di konsol Administrasi Atlassian Anda
  • Format: https://admin.atlassian.com/o/{orgId}/overview
  • Salin UUID antara /o/ dan /overview

Opsi 2: Saat Pembuatan API Key

  • ID Organisasi ditampilkan saat Anda membuat kunci API
  • Salin bersama dengan kunci API Anda

Contoh :00000000-0000-0000-0000-000000000000

3. Terhubung ke Microsoft Sentinel

Tambahkan satu koneksi per organisasi Atlassian (tenant). Setiap koneksi diidentifikasi oleh Alias Koneksi unik dan dapat menargetkan organisasi atau URL dasar API yang berbeda, sehingga Anda dapat menghisap peristiwa dari beberapa organisasi Atlassian secara berdampingan.

  • Data Connectors Grid (dikonfigurasi di portal)



Log Auth0 (melalui Kerangka Kerja Konektor Tanpa Kode)

Dukungan oleh:Microsoft Corporation

Konektor data Auth0 menginput peristiwa log penyewa dari API Manajemen Auth0 ke dalam Microsoft Sentinel. Dibangun di atas Codeless Connector Framework, sistem ini mendukung penghubungan beberapa host Auth0 dan tag setiap catatan dengan domain Auth0-nya.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
Auth0Logs_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Kredensial API Auth0: KredensialAPI Manajemen Auth0 diperlukan: Domain, Client ID, dan Client Secret dari aplikasi Machine-to-Machine yang diotorisasi untuk read:logs dan read:logs_users.

Instruksi Penyetelan:

Konfigurasikan aplikasi API Manajemen Auth0

Ikuti langkah-langkah berikut untuk memperoleh kredensial:

  1. Di Dashboard Auth0, buka Aplikasi Aplikasi>.
  2. Pilih (atau buat) aplikasi Machine-to-Machine yang diotorisasi menggunakan Auth0 Management API dengan setidaknya izin read:logs dan read:logs_users .
  3. Dari pengaturan aplikasi, salin Domain (harus dimulai dengan https://), Client ID, dan Client Secret.

Untuk mengumpulkan log dari beberapa host Auth0, tambahkan koneksi terpisah untuk setiap host. Setiap catatan diberi tag dengan Auth0Domain-nya sehingga Anda dapat membedakan host.

  • Data Connectors Grid (dikonfigurasi di portal)



Logic WebCTRL Otomatis

Dukungan oleh:Microsoft Corporation

Anda dapat mengalirkan log audit dari server WebCTRL SQL yang dihosting di komputer Windows yang tersambung ke Microsoft Sentinel Anda. Koneksi ini memungkinkan Anda melihat dasbor, membuat pemberitahuan kustom, dan meningkatkan penyelidikan. Ini memberikan wawasan tentang Sistem Kontrol Industri Anda yang dipantau atau dikendalikan oleh aplikasi WebCTRL BAS.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
Event Yes No

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Instruksi Penyetelan:

1. Pasang dan onboard agen Microsoft untuk Windows.

Pelajari tentang penyiapan agen dan onboarding peristiwa windows.

Anda dapat melewati langkah ini jika Anda telah menginstal agen Microsoft untuk Windows

2. Konfigurasikan tugas Windows untuk membaca data audit dan menulisnya ke peristiwa windows

Instal dan konfigurasikan Tugas Terjadwal Windows untuk membaca log audit di SQL dan menulisnya sebagai peristiwa Windows. Peristiwa Windows ini akan dikumpulkan oleh agen dan diteruskan ke Microsoft Sentinel.

Perhatikan bahwa data dari semua komputer akan disimpan di ruang kerja yang dipilih

2.1 Salin file penyiapan ke lokasi di server.

2.2 Memperbarui parameter skrip ALC-WebCTRL-AuditPull.ps1 (disalin di langkah di atas) seperti nama database target dan id peristiwa windows. Lihat komentar dalam skrip untuk detail selengkapnya.

2.3 Memperbarui pengaturan tugas windows dalam file ALC-WebCTRL-AuditPullTaskConfig.xml yang disalin di langkah di atas sesuai persyaratan. Lihat komentar dalam file untuk detail selengkapnya.

2.4 Menginstal tugas windows menggunakan konfigurasi yang diperbarui yang disalin pada langkah-langkah di atas

  • Jalankan perintah berikut di powershell dari direktori tempat file penyiapan disalin di langkah 2.1: <nilai variabel yang disediakan pada waktu penginstalan>

3. Memvalidasi koneksi

Ikuti instruksi untuk memvalidasi konektivitas Anda:

Buka Log Analytics untuk memeriksa apakah log diterima menggunakan skema Peristiwa.

Mungkin perlu waktu sekitar 20 menit hingga koneksi mengalirkan data ke ruang kerja Anda.

Jika log tidak diterima, validasi langkah-langkah di bawah ini untuk masalah run time apa pun:

  1. Pastikan bahwa tugas terjadwal dibuat dan dalam status berjalan di Windows Task Scheduler.

  2. Periksa kesalahan eksekusi tugas di tab riwayat di Windows Task Scheduler untuk tugas yang baru dibuat di langkah 2.4

  3. Pastikan bahwa tabel Audit SQL terdiri dari rekaman baru saat tugas windows terjadwal berjalan.



Konektor Data AWS EKS (melalui Codeless Connector Framework)

Dukungan oleh:Microsoft Corporation

Konektor data AWS EKS menyediakan kemampuan untuk menyerap log audit dari Amazon Elastic Kubernetes Service ke dalam Microsoft Sentinel. Konektor ini berfokus pada log audit EKS (format JSON) yang berisi informasi terperinci tentang permintaan server API, keputusan autentikasi, dan aktivitas kluster. Konektor menggunakan AWS SQS untuk menerima pemberitahuan ketika file log audit baru diekspor ke S3, memastikan pemantauan keamanan real time dan pelacakan kepatuhan untuk kluster Kubernetes Anda.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
AWSEKSLogs_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Instruksi Penyetelan:

1. Penyebaran AWS CloudFormation

Gunakan templat CloudFormation yang disediakan untuk mengonfigurasi lingkungan AWS untuk mengirim log dari AWS EKS ke ruang kerja Log Analytics Anda.

Sebarkan Templat CloudFormation di AWS:

  1. Navigasikan ke TUmpukan AWS CloudFormation.
  2. Klik Buat tumpukan dan pilih Dengan sumber daya baru.
  3. Pilih Unggah file templat, lalu klik Pilih file untuk mengunggah templat CloudFormation yang sesuai (Templat 1 dan 2 di bawah) disediakan.
  4. Ikuti perintah dan klik Berikutnya untuk menyelesaikan pembuatan tumpukan.
  5. Setelah tumpukan dibuat, navigasi ke bagian Output . Jalankan skrip di langkah 1 dan 2 dari bagian output, skrip mengalirkan log dari eks ke sqs.
  6. Di bagian output yang sama, Catat PERAN ARN dan URL Antrean SQS yang akan digunakan dalam konektor konektor.
  • Templat 1: Penyebaran penyedia autentikasi OpenID Connect: <nilai variabel yang disediakan pada waktu penginstalan>
  • Templat 2: Penyebaran Sumber Daya AWS EKS: <nilai variabel yang disediakan pada waktu penginstalan>

2. Sambungkan kolektor baru

Untuk mengaktifkan Konektor AWS Security Hub untuk Microsoft Sentinel, klik tombol Tambahkan pengumpul baru, isi informasi yang diperlukan di panel konteks dan klik Sambungkan.

3. Sambungkan

Aktifkan konektor AWS EKS.

  • Aktifkan/Nonaktifkan Koneksi



Aws S3 Server Access Logs (melalui Codeless Connector Framework)

Dukungan oleh:Microsoft Corporation

Konektor ini memungkinkan Anda untuk menyerap Log Akses AWS S3 Server ke dalam Microsoft Sentinel. Log ini berisi catatan terperinci untuk permintaan yang dibuat ke wadah S3, termasuk jenis permintaan, sumber daya yang diakses, informasi pemohon, dan detail respons. Log ini berguna untuk menganalisis pola akses, men-debug masalah, dan memastikan kepatuhan keamanan.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
AWSS3ServerAccess Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Lingkungan: Anda harus memiliki sumber daya AWS berikut yang ditentukan dan dikonfigurasi: S3 Bucket, Simple Queue Service (SQS), peran IAM, dan kebijakan izin.

Instruksi Penyetelan:

  1. Penyebaran AWS CloudFormation Untuk mengonfigurasi akses di AWS, dua templat telah dibuat untuk menyiapkan lingkungan AWS untuk mengirim log dari log Aws S3 Server Access ke ruang kerja Log Analytics Anda.

Sebarkan Templat CloudFormation di AWS:

  1. Navigasikan ke TUmpukan AWS CloudFormation.
  2. Klik Buat tumpukan dan pilih Dengan sumber daya baru.
  3. Pilih Unggah file templat, lalu klik Pilih file untuk mengunggah templat CloudFormation yang sesuai yang disediakan.
  4. Ikuti perintah dan klik Berikutnya untuk menyelesaikan pembuatan tumpukan.
  5. Setelah tumpukan dibuat, catat PERAN ARN dan URL Antrean SQS.
  • Templat 1: Penyebaran penyedia autentikasi OpenID Connect: <nilai variabel yang disediakan pada waktu penginstalan>
  • Templat 2: Penyebaran sumber daya AWS Server Access: <nilai variabel yang disediakan pada waktu penginstalan>
  1. Sambungkan kolektor baru Untuk mengaktifkan Konektor Log Akses Aws S3 Server untuk Microsoft Sentinel, klik tombol Tambahkan kolektor baru, isi informasi yang diperlukan di panel konteks dan klik Sambungkan.
  • Data Connectors Grid (dikonfigurasi di portal)



Temuan AWS Security Hub (melalui Codeless Connector Framework)

Dukungan oleh:Microsoft Corporation

Konektor ini memungkinkan penyerapan Temuan AWS Security Hub, yang dikumpulkan dalam wadah AWS S3, ke dalam Microsoft Sentinel. Ini membantu menyederhanakan proses pemantauan dan pengelolaan pemberitahuan keamanan dengan mengintegrasikan Temuan AWS Security Hub dengan kemampuan deteksi dan respons ancaman tingkat lanjut Microsoft Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
AWSSecurityHubFindings Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Lingkungan: Anda harus memiliki sumber daya AWS berikut yang ditentukan dan dikonfigurasi: AWS Security Hub, Amazon Data Firehose, Amazon EventBridge, S3 Bucket, Simple Queue Service (SQS), peran dan kebijakan izin IAM.

Instruksi Penyetelan:

  1. Penyebaran AWS CloudFormation Gunakan templat CloudFormation yang disediakan untuk mengonfigurasi lingkungan AWS untuk mengirim log dari AWS Security Hub ke ruang kerja Log Analytics Anda.

Sebarkan Templat CloudFormation di AWS:

  1. Navigasikan ke TUmpukan AWS CloudFormation.
  2. Klik Buat tumpukan dan pilih Dengan sumber daya baru.
  3. Pilih Unggah file templat, lalu klik Pilih file untuk mengunggah templat CloudFormation yang sesuai yang disediakan.
  4. Ikuti perintah dan klik Berikutnya untuk menyelesaikan pembuatan tumpukan.
  5. Setelah tumpukan dibuat, catat PERAN ARN dan URL Antrean SQS.
  • Templat 1: Penyebaran penyedia autentikasi OpenID Connect: <nilai variabel yang disediakan pada waktu penginstalan>
  • Templat 2: Penyebaran sumber daya AWS Security Hub: <nilai variabel yang disediakan pada waktu penginstalan>
  1. Sambungkan kolektor baru Untuk mengaktifkan Konektor AWS Security Hub untuk Microsoft Sentinel, klik tombol Tambahkan kolektor baru, isi informasi yang diperlukan di panel konteks dan klik Sambungkan.
  • Data Connectors Grid (dikonfigurasi di portal)



Aktivitas Azure

Dukungan oleh:Microsoft Corporation

Azure Log Aktivitas adalah log langganan yang memberikan wawasan tentang peristiwa tingkat langganan yang terjadi di Azure, termasuk peristiwa dari data operasional Azure Resource Manager, peristiwa kesehatan layanan, operasi tulis yang diambil pada sumber daya dalam langganan Anda, dan status aktivitas yang dilakukan di Azure. Untuk informasi selengkapnya, lihat dokumentasi Microsoft Sentinel .

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
AzureActivity No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Akun Azure Batch

Dukungan oleh:Microsoft Corporation

Azure Batch Account adalah entitas yang diidentifikasi secara unik dalam layanan Batch. Sebagian besar solusi Batch menggunakan Azure Storage untuk menyimpan file sumber daya dan file output, sehingga setiap akun Batch biasanya dikaitkan dengan akun penyimpanan yang sesuai. Konektor ini memungkinkan Anda mengalirkan log diagnostik akun Azure Batch ke Microsoft Sentinel, memungkinkan Anda untuk terus memantau aktivitas. Untuk informasi selengkapnya, lihat dokumentasi Microsoft Azure Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
AzureDiagnostics No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Kebijakan: Peran pemilik yang ditetapkan untuk setiap cakupan penetapan kebijakan

Instruksi Penyetelan:

Sambungkan log diagnostik Akun Azure Batch Anda ke Sentinel.

Konektor ini menggunakan Azure Policy untuk menerapkan satu konfigurasi streaming log akun Azure Batch ke kumpulan instans, yang didefinisikan sebagai cakupan. Ikuti instruksi di bawah ini untuk membuat dan menerapkan kebijakan ke semua instans saat ini dan yang akan datang. Perhatikan, Anda mungkin sudah memiliki kebijakan aktif untuk jenis sumber daya ini.

Mengalirkan log diagnostik dari Akun Azure Batch Anda dalam skala besar

**Luncurkan wizard penugasan Azure Policy dan ikuti langkah-langkahnya. **

  1. Di tab Dasar, klik tombol dengan tiga titik di bawah Cakupan untuk memilih langganan Anda.
  2. Di tab Parameter, pilih ruang kerja Microsoft Sentinel Anda dari daftar drop-down ruang kerja Log Analytics, dan biarkan ditandai sebagai "True" semua kategori log yang ingin Anda serap.
  3. Untuk menerapkan kebijakan pada sumber daya yang ada, tandai kotak centang Buat tugas remediasi di tab Remediasi .



Azure CloudNGFW Oleh Palo Alto Networks

Didukung oleh:Palo Alto Networks

Cloud Next-Generation Firewall oleh Palo Alto Networks - Layanan ISV Asli Azure - adalah Palo Alto Networks Next-Generation Firewall (NGFW) yang dikirimkan sebagai layanan cloud-native di Azure. Anda dapat menemukan Cloud NGFW di Marketplace Azure dan menggunakannya di Azure Virtual Networks (VNet) Anda. Dengan Cloud NGFW, Anda dapat mengakses kemampuan NGFW inti seperti App-ID, teknologi berbasis pemfilteran URL. Ini memberikan pencegahan dan deteksi ancaman melalui layanan keamanan berbasis cloud dan signature pencegahan ancaman. Konektor memungkinkan Anda untuk dengan mudah menghubungkan log Cloud NGFW Anda dengan Microsoft Sentinel, untuk melihat dasbor, membuat pemberitahuan kustom, dan meningkatkan penyelidikan. Hal ini memberikan lebih banyak wawasan tentang jaringan organisasi dan meningkatkan kemampuan operasi keamanan Anda. Untuk informasi selengkapnya, lihat dokumentasi Cloud NGFW untuk Azure.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
fluentbit_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Instruksi Penyetelan:

Menyambungkan Cloud NGFW oleh Palo Alto Networks ke Microsoft Sentinel

Aktifkan Pengaturan Log di Semua Cloud NGFW oleh Palo Alto Networks.

Di dalam sumber daya Cloud NGFW Anda:

  1. Navigasi ke Pengaturan Log dari beranda.
  2. Pastikan kotak centang Aktifkan Pengaturan Log dicentang.
  3. Dari menu drop-down Pengaturan Log, pilih ruang kerja Log Analytics yang diinginkan.
  4. Konfirmasikan pilihan dan konfigurasi Anda.
  5. Klik Simpan untuk menerapkan pengaturan.



Azure Cognitive Search

Dukungan oleh:Microsoft Corporation

Azure Cognitive Search adalah layanan pencarian cloud yang memberi pengembang infrastruktur, API, dan alat untuk membangun pengalaman pencarian yang kaya melalui konten privat, heterogen di aplikasi web, seluler, dan perusahaan. Konektor ini memungkinkan Anda mengalirkan log diagnostik Azure Cognitive Search ke Microsoft Sentinel, memungkinkan Anda untuk terus memantau aktivitas.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
AzureDiagnostics No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Kebijakan: Peran pemilik yang ditetapkan untuk setiap cakupan penetapan kebijakan

Instruksi Penyetelan:

Sambungkan log diagnostik Azure Cognitive Search Anda ke Sentinel.

Konektor ini menggunakan Azure Policy untuk menerapkan konfigurasi streaming log Azure Cognitive Search tunggal ke kumpulan instans, yang didefinisikan sebagai cakupan. Ikuti instruksi di bawah ini untuk membuat dan menerapkan kebijakan ke semua instans saat ini dan yang akan datang. Perhatikan, Anda mungkin sudah memiliki kebijakan aktif untuk jenis sumber daya ini.

Mengalirkan log diagnostik dari Azure Cognitive Search Anda dalam skala besar

**Luncurkan wizard penugasan Azure Policy dan ikuti langkah-langkahnya. **

  1. Di tab Dasar, klik tombol dengan tiga titik di bawah Cakupan untuk memilih langganan Anda.
  2. Di tab Parameter, pilih ruang kerja Microsoft Sentinel Anda dari daftar drop-down ruang kerja Log Analytics, dan biarkan ditandai sebagai "True" semua kategori log yang ingin Anda serap.
  3. Untuk menerapkan kebijakan pada sumber daya yang ada, tandai kotak centang Buat tugas remediasi di tab Remediasi .



Azure DDoS Protection

Dukungan oleh:Microsoft Corporation

Sambungkan ke Azure log Standar Perlindungan DDoS melalui Log Diagnostik Alamat IP Publik. Selain perlindungan DDoS inti dalam platform, Azure DDoS Protection Standard menyediakan kemampuan mitigasi DDoS tingkat lanjut terhadap serangan jaringan. Ini secara otomatis disetel untuk melindungi sumber daya Azure spesifik Anda. Perlindungan ini mudah diaktifkan selama pembuatan jaringan virtual baru. Ini juga dapat dilakukan setelah pembuatan dan tidak memerlukan perubahan aplikasi atau sumber daya. Untuk informasi selengkapnya, lihat dokumentasi Microsoft Azure Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
AzureDiagnostics No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Azure DevOps Log Audit (melalui Codeless Connector Framework)

Dukungan oleh:Microsoft Corporation

Konektor data Log Audit Azure DevOps memungkinkan Anda menyerap peristiwa audit dari Azure DevOps ke dalam Microsoft Sentinel. Konektor data ini dibangun menggunakan Microsoft Sentinel Codeless Connector Framework, memastikan integrasi yang mulus. Ini memanfaatkan AZURE DEVOPS Audit Logs API untuk mengambil peristiwa audit terperinci dan mendukung transformasi waktu ingestion berbasis DCR. Transformasi ini memungkinkan penguraian data audit yang diterima ke dalam tabel kustom selama penyerapan, meningkatkan performa kueri dengan menghilangkan kebutuhan penguraian tambahan. Dengan menggunakan konektor ini, Anda dapat memperoleh visibilitas yang ditingkatkan ke lingkungan Azure DevOps Anda dan menyederhanakan operasi keamanan Anda.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
ADOAuditLogs_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Azure DevOps Prasyarat: Pastikan hal berikut:
    1. Daftarkan Aplikasi Entra di Pusat Admin Microsoft Entra di bawah Pendaftaran Aplikasi.
    2. Di 'izin API' - tambahkan Izin ke 'Azure DevOps - vso.auditlog'.
    3. Dalam 'Sertifikat & rahasia' - hasilkan 'Rahasia klien'.
    4. Di 'Autentikasi' - tambahkan URI Pengalihan yang ditemukan di bawah ini di bidang yang sesuai.
    5. Dalam pengaturan Azure DevOps - aktifkan log audit dan atur Tampilkan log audit untuk pengguna. Azure DevOps Audit.
    6. Pastikan pengguna yang ditetapkan untuk menyambungkan konektor data memiliki izin Lihat log audit yang secara eksplisit diatur ke Izinkan setiap saat. Izin ini sangat penting untuk penyerapan log yang berhasil. Jika izin dicabut atau tidak diberikan, penyerapan data akan gagal atau terganggu.

Instruksi Penyetelan:

**Sambungkan ke Azure DevOps untuk mulai mengumpulkan log Audit di Microsoft Sentinel. **

  1. Masukkan Aplikasi yang telah Anda daftarkan.
  2. Di bagian 'Gambaran Umum', salin ID Aplikasi (klien).
  3. Pilih tombol 'Titik Akhir', dan salin nilai 'Titik akhir otorisasi OAuth 2.0 (v2)' dan nilai 'Titik akhir token OAuth 2.0 (v2)'.
  4. Di bagian 'Sertifikat & rahasia', salin 'Nilai Rahasia Klien', dan simpan dengan aman.
  5. Berikan informasi yang diperlukan di bawah ini dan klik 'Sambungkan'.



Azure Event Hub

Dukungan oleh:Microsoft Corporation

Azure Event Hubs adalah platform streaming big data dan layanan penyerapan peristiwa. Layanan ini dapat menerima dan memproses jutaan peristiwa per detik. Konektor ini memungkinkan Anda mengalirkan log diagnostik Azure Event Hub Azure ke Microsoft Sentinel, memungkinkan Anda untuk terus memantau aktivitas.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
AzureDiagnostics No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Kebijakan: Peran pemilik yang ditetapkan untuk setiap cakupan penetapan kebijakan

Instruksi Penyetelan:

Sambungkan log diagnostik Pusat Aktivitas Azure Anda ke Sentinel.

Konektor ini menggunakan Azure Policy untuk menerapkan satu konfigurasi streaming log Azure Event Hub ke kumpulan instans, yang didefinisikan sebagai cakupan. Ikuti instruksi di bawah ini untuk membuat dan menerapkan kebijakan ke semua instans saat ini dan yang akan datang. Perhatikan, Anda mungkin sudah memiliki kebijakan aktif untuk jenis sumber daya ini.

Mengalirkan log diagnostik dari Azure Event Hub Anda dalam skala besar

**Luncurkan wizard penugasan Azure Policy dan ikuti langkah-langkahnya. **

  1. Di tab Dasar, klik tombol dengan tiga titik di bawah Cakupan untuk memilih langganan Anda.
  2. Di tab Parameter, pilih ruang kerja Microsoft Sentinel Anda dari daftar drop-down ruang kerja Log Analytics, dan biarkan ditandai sebagai "True" semua kategori log yang ingin Anda serap.
  3. Untuk menerapkan kebijakan pada sumber daya yang ada, tandai kotak centang Buat tugas remediasi di tab Remediasi .



Azure Firewall

Dukungan oleh:Microsoft Corporation

Sambungkan ke Azure Firewall. Azure Firewall adalah layanan keamanan jaringan berbasis cloud terkelola yang melindungi sumber daya Microsoft Azure Virtual Network Anda. Ini adalah layanan firewall penuh fungsi yang dilengkapi dengan ketersediaan tinggi bawaan dan skalabilitas cloud tak terbatas. Untuk informasi selengkapnya, lihat dokumentasi Microsoft Azure Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
AzureDiagnostics No No
AZFWApplicationRule Yes Yes
AZFWFlowTrace Yes Yes
AZFWFatFlow Yes Yes
AZFWNatRule Yes Yes
AZFWDnsQuery Yes Yes
AZFWIdpsSignature Yes Yes
AZFWInternalFqdnResolutionFailure Yes Yes
AZFWNetworkRule Yes Yes
AZFWThreatIntel Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Azure Key Vault

Dukungan oleh:Microsoft Corporation

Azure Key Vault adalah layanan cloud untuk menyimpan dan mengakses rahasia dengan aman. Rahasia adalah segala sesuatu yang ingin Anda mengontrol aksesnya dengan ketat, seperti kunci API, kata sandi, sertifikat, atau kunci kriptografi. Konektor ini memungkinkan Anda mengalirkan log diagnostik Azure Key Vault ke Microsoft Sentinel, memungkinkan Anda untuk terus memantau aktivitas di semua instans Anda. Untuk informasi selengkapnya, lihat dokumentasi Microsoft Azure Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
AzureDiagnostics No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Azure Kubernetes Service (AKS)

Dukungan oleh:Microsoft Corporation

Azure Kubernetes Service (AKS) adalah layanan orkestrasi kontainer sumber terbuka yang dikelola sepenuhnya yang memungkinkan Anda menyebarkan, menskalakan, dan mengelola kontainer Docker dan aplikasi berbasis kontainer di lingkungan kluster. Konektor ini memungkinkan Anda mengalirkan log diagnostik Azure Kubernetes Service (AKS) ke Microsoft Sentinel, memungkinkan Anda untuk terus memantau aktivitas di semua instans Anda. Untuk informasi selengkapnya, lihat dokumentasi Microsoft Azure Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
AzureDiagnostics No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Azure Logic Apps

Dukungan oleh:Microsoft Corporation

Azure Logic Apps adalah platform berbasis cloud untuk membuat dan menjalankan alur kerja otomatis yang mengintegrasikan aplikasi, data, layanan, dan sistem Anda. Konektor ini memungkinkan Anda mengalirkan log diagnostik Azure Logic Apps ke Microsoft Sentinel, memungkinkan Anda untuk terus memantau aktivitas.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
AzureDiagnostics No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Kebijakan: Peran pemilik yang ditetapkan untuk setiap cakupan penetapan kebijakan

Instruksi Penyetelan:

Sambungkan log diagnostik Logic Apps Anda ke Sentinel.

Konektor ini menggunakan Azure Policy untuk menerapkan konfigurasi streaming log Azure Logic Apps tunggal ke kumpulan instans, yang didefinisikan sebagai cakupan. Ikuti instruksi di bawah ini untuk membuat dan menerapkan kebijakan ke semua instans saat ini dan yang akan datang. Perhatikan, Anda mungkin sudah memiliki kebijakan aktif untuk jenis sumber daya ini.

Mengalirkan log diagnostik dari Azure Logic Apps Anda dalam skala besar

**Luncurkan wizard penugasan Azure Policy dan ikuti langkah-langkahnya. **

  1. Di tab Dasar, klik tombol dengan tiga titik di bawah Cakupan untuk memilih langganan Anda.
  2. Di tab Parameter, pilih ruang kerja Microsoft Sentinel Anda dari daftar drop-down ruang kerja Log Analytics, dan biarkan ditandai sebagai "True" semua kategori log yang ingin Anda serap.
  3. Untuk menerapkan kebijakan pada sumber daya yang ada, tandai kotak centang Buat tugas remediasi di tab Remediasi .



Azure Resource Graph

Dukungan oleh:Microsoft Corporation

konektor Azure Resource Graph memberikan wawasan yang lebih kaya tentang peristiwa Azure dengan melengkapi detail tentang langganan Azure dan sumber daya Azure.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Policy: Izin peran pemilik pada langganan Azure

Instruksi Penyetelan:

Menyambungkan Azure Resource Graph ke Microsoft Sentinel



Azure Service Bus

Dukungan oleh:Microsoft Corporation

Azure Service Bus adalah broker pesan perusahaan yang dikelola sepenuhnya dengan antrean pesan dan topik terbitkan-berlangganan (di namespace). Konektor ini memungkinkan Anda mengalirkan log diagnostik Azure Service Bus ke Microsoft Sentinel, memungkinkan Anda untuk terus memantau aktivitas.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
AzureDiagnostics No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Kebijakan: Peran pemilik yang ditetapkan untuk setiap cakupan penetapan kebijakan

Instruksi Penyetelan:

Sambungkan log diagnostik Azure Service Bus Anda ke Sentinel.

Konektor ini menggunakan Azure Policy untuk menerapkan konfigurasi streaming log Azure Service Bus tunggal ke kumpulan instans, yang didefinisikan sebagai cakupan. Ikuti instruksi di bawah ini untuk membuat dan menerapkan kebijakan ke semua instans saat ini dan yang akan datang. Perhatikan, Anda mungkin sudah memiliki kebijakan aktif untuk jenis sumber daya ini.

Mengalirkan log diagnostik dari Azure Service Bus Anda dalam skala besar

**Luncurkan wizard penugasan Azure Policy dan ikuti langkah-langkahnya. **

  1. Di tab Dasar, klik tombol dengan tiga titik di bawah Cakupan untuk memilih langganan Anda.
  2. Di tab Parameter, pilih ruang kerja Microsoft Sentinel Anda dari daftar drop-down ruang kerja Log Analytics, dan biarkan ditandai sebagai "True" semua kategori log yang ingin Anda serap.
  3. Untuk menerapkan kebijakan pada sumber daya yang ada, tandai kotak centang Buat tugas remediasi di tab Remediasi .



Azure SQL Database

Dukungan oleh:Microsoft Corporation

Azure SQL adalah mesin database Platform-as-a-Service (PaaS) yang dikelola sepenuhnya yang menangani sebagian besar fungsi manajemen database, seperti peningkatan, patching, pencadangan, dan pemantauan, tanpa mengharuskan keterlibatan pengguna. Konektor ini memungkinkan Anda mengalirkan audit database Azure SQL dan log diagnostik ke Microsoft Sentinel, memungkinkan Anda untuk terus memantau aktivitas di semua instans Anda.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
AzureDiagnostics No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Akun Azure Storage

Dukungan oleh:Microsoft Corporation

akun Azure Storage adalah solusi cloud untuk skenario penyimpanan data modern. Akun ini berisi semua objek data: blob, file, antrean, tabel, dan disk. Konektor ini memungkinkan Anda melakukan streaming log diagnostik akun Azure Storage ke ruang kerja Microsoft Sentinel Anda, memungkinkan Anda untuk terus memantau aktivitas di semua instans Anda, dan mendeteksi aktivitas berbahaya di organisasi Anda. Untuk informasi selengkapnya, lihat dokumentasi Microsoft Azure Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
AzureMetrics No No
StorageBlobLogs Yes Yes
StorageQueueLogs Yes Yes
StorageTableLogs Yes Yes
StorageFileLogs Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Kebijakan: Peran pemilik yang ditetapkan untuk setiap cakupan penetapan kebijakan

Instruksi Penyetelan:

Sambungkan log diagnostik Akun Azure Storage Anda ke Sentinel.

Konektor ini menggunakan serangkaian Kebijakan Azure untuk menerapkan konfigurasi streaming log ke kumpulan instans, yang didefinisikan sebagai cakupan. Ikuti instruksi di bawah ini untuk membuat dan menerapkan kebijakan ke semua instans saat ini dan yang akan datang. Untuk mendapatkan hasil maksimal pengelogan Diagnostik Akun Penyimpanan dari Akun Azure Storage, kami sarankan Anda mengaktifkan Pengelogan diagnostik dari semua layanan dalam Akun Azure Storage - Blob, Antrean, Tabel, dan File. Perhatikan, Anda mungkin sudah memiliki kebijakan aktif untuk jenis sumber daya ini.

Mengalirkan log diagnostik dari Akun Azure Storage Anda dalam skala besar

**Luncurkan wizard penugasan Azure Policy dan ikuti langkah-langkahnya. **

  1. Di tab Dasar, klik tombol dengan tiga titik di bawah Cakupan untuk memilih langganan Anda.
  2. Di tab Parameter, pilih ruang kerja Microsoft Sentinel Anda dari daftar drop-down ruang kerja Log Analytics, dan biarkan ditandai sebagai "True" semua kategori log yang ingin Anda serap.
  3. Untuk menerapkan kebijakan pada sumber daya yang ada, tandai kotak centang Buat tugas remediasi di tab Remediasi .

Mengalirkan log diagnostik dari layanan Blob Azure Storage Anda dalam skala besar

**Luncurkan wizard penugasan Azure Policy dan ikuti langkah-langkahnya. **

  1. Di tab Dasar, klik tombol dengan tiga titik di bawah Cakupan untuk memilih langganan Anda.
  2. Di tab Parameter, pilih ruang kerja Microsoft Sentinel Anda dari daftar drop-down ruang kerja Log Analytics, dan biarkan ditandai sebagai "True" semua kategori log yang ingin Anda serap.
  3. Untuk menerapkan kebijakan pada sumber daya yang ada, tandai kotak centang Buat tugas remediasi di tab Remediasi .

Mengalirkan log diagnostik dari layanan antrean Azure Storage Anda dalam skala besar

**Luncurkan wizard penugasan Azure Policy dan ikuti langkah-langkahnya. **

  1. Di tab Dasar, klik tombol dengan tiga titik di bawah Cakupan untuk memilih langganan Anda.
  2. Di tab Parameter, pilih ruang kerja Microsoft Sentinel Anda dari daftar drop-down ruang kerja Log Analytics, dan biarkan ditandai sebagai "True" semua kategori log yang ingin Anda serap.
  3. Untuk menerapkan kebijakan pada sumber daya yang ada, tandai kotak centang Buat tugas remediasi di tab Remediasi .

Mengalirkan log diagnostik dari layanan tabel Azure Storage Anda dalam skala besar

**Luncurkan wizard penugasan Azure Policy dan ikuti langkah-langkahnya. **

  1. Di tab Dasar, klik tombol dengan tiga titik di bawah Cakupan untuk memilih langganan Anda.
  2. Di tab Parameter, pilih ruang kerja Microsoft Sentinel Anda dari daftar drop-down ruang kerja Log Analytics, dan biarkan ditandai sebagai "True" semua kategori log yang ingin Anda serap.
  3. Untuk menerapkan kebijakan pada sumber daya yang ada, tandai kotak centang Buat tugas remediasi di tab Remediasi .

Mengalirkan log diagnostik dari layanan file Azure Storage Anda dalam skala besar

**Luncurkan wizard penugasan Azure Policy dan ikuti langkah-langkahnya. **

  1. Di tab Dasar, klik tombol dengan tiga titik di bawah Cakupan untuk memilih langganan Anda.
  2. Di tab Parameter, pilih ruang kerja Microsoft Sentinel Anda dari daftar drop-down ruang kerja Log Analytics, dan biarkan ditandai sebagai "True" semua kategori log yang ingin Anda serap.
  3. Untuk menerapkan kebijakan pada sumber daya yang ada, tandai kotak centang Buat tugas remediasi di tab Remediasi .



Azure Stream Analytics

Dukungan oleh:Microsoft Corporation

Azure Stream Analytics adalah analitik real time dan mesin pemrosesan peristiwa kompleks yang dirancang untuk menganalisis dan memproses data streaming cepat dalam volume tinggi dari beberapa sumber secara bersamaan. Konektor ini memungkinkan Anda melakukan streaming log diagnostik hub Azure Stream Analytics ke Microsoft Sentinel, memungkinkan Anda untuk terus memantau aktivitas.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
AzureDiagnostics No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Kebijakan: Peran pemilik yang ditetapkan untuk setiap cakupan penetapan kebijakan

Instruksi Penyetelan:

Sambungkan log diagnostik Azure Stream Analytics Anda ke Sentinel.

Konektor ini menggunakan Azure Policy untuk menerapkan konfigurasi streaming log Azure Stream Analytics tunggal ke kumpulan instans, yang didefinisikan sebagai cakupan. Ikuti instruksi di bawah ini untuk membuat dan menerapkan kebijakan ke semua instans saat ini dan yang akan datang. Perhatikan, Anda mungkin sudah memiliki kebijakan aktif untuk jenis sumber daya ini.

Mengalirkan log diagnostik dari Azure Stream Analytics Anda dalam skala besar

**Luncurkan wizard penugasan Azure Policy dan ikuti langkah-langkahnya. **

  1. Di tab Dasar, klik tombol dengan tiga titik di bawah Cakupan untuk memilih langganan Anda.
  2. Di tab Parameter, pilih ruang kerja Microsoft Sentinel Anda dari daftar drop-down ruang kerja Log Analytics, dan biarkan ditandai sebagai "True" semua kategori log yang ingin Anda serap.
  3. Untuk menerapkan kebijakan pada sumber daya yang ada, tandai kotak centang Buat tugas remediasi di tab Remediasi .



Azure Web Application Firewall (WAF)

Dukungan oleh:Microsoft Corporation

Sambungkan ke Azure Web Application Firewall (WAF) untuk Application Gateway, Front Door, atau CDN. WAF ini melindungi aplikasi Anda dari kerentanan web umum seperti injeksi SQL dan pembuatan skrip lintas situs, dan memungkinkan Anda menyesuaikan aturan untuk mengurangi positif palsu. Instruksi untuk mengalirkan log firewall aplikasi Web Microsoft Anda ke Microsoft Sentinel ditampilkan selama proses penginstalan. Untuk informasi selengkapnya, lihat dokumentasi Microsoft Azure Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
AzureDiagnostics No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

BeyondTrust PM Cloud

Didukung oleh:BeyondTrust

Konektor data BeyondTrust Privilege Management Cloud menyediakan kemampuan untuk menyerap log audit aktivitas dan log peristiwa klien dari BeyondTrust PM Cloud ke dalam Microsoft Sentinel.

Konektor ini menggunakan Azure Functions untuk menarik data dari BeyondTrust PM Cloud API dan menyerapnya ke dalam tabel Log Analytics kustom.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
BeyondTrustPM_ActivityAudits_CL Yes Yes
BeyondTrustPM_ClientEvents_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Microsoft. Izin web/situs: Izin baca dan tulis ke Azure Functions untuk membuat Aplikasi Fungsi diperlukan. Untuk informasi selengkapnya, lihat Azure Functions.
  • Kredensial BeyondTrust PM Cloud API: BeyondTrust PM Cloud OAuth Client ID dan Client Secret diperlukan. Akun API memerlukan izin berikut: Audit - Baca Saja dan Pelaporan - Baca Saja

Instruksi Penyetelan:

CATATAN: Konektor ini menggunakan Azure Functions untuk terhubung ke BeyondTrust PM Cloud API untuk menarik log ke Microsoft Sentinel. Ini dapat mengakibatkan biaya penyerapan data tambahan. Periksa halaman harga Azure Functions untuk detailnya.

CATATAN: Konektor ini menggunakan alur kredensial klien OAuth 2.0 untuk mengautentikasi dengan BeyondTrust PM Cloud API.

LANGKAH 1 - Dapatkan kredensial BeyondTrust PM Cloud API

Buat Akun API di instans BeyondTrust PM Cloud Anda dengan kredensial OAuth API (ID Klien dan Rahasia Klien). Akun API memerlukan izin berikut:

  • Audit - Baca Saja
  • Pelaporan - Baca Saja

LANGKAH 2 - Menyebarkan konektor dan Fungsi Azure terkait

Gunakan metode ini untuk penyebaran otomatis konektor data BeyondTrust PM Cloud menggunakan Templat ARM.

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    portal.azure.com

  2. Pilih Langganan pilihan, Grup Sumber Daya (harus berisi ruang kerja Log Analytics Anda), dan Lokasi.

  3. Masukkan parameter yang diperlukan:

    • Nama Ruang Kerja: Nama ruang kerja Log Analytics Anda (misalnya, beyondtrust-pmcloud)
    • BeyondTrust PM Cloud Base URL: URL penyewa Anda (misalnya, https://yourcompany.beyondtrustcloud.com)
    • BEYONDTrust Client ID: ID Klien OAuth dari Langkah 1
    • Rahasia Klien BeyondTrust: Rahasia Klien OAuth dari Langkah 1
    • Interval Polling Audit Aktivitas: Seberapa sering mengumpulkan Audit Aktivitas (default: 15 menit)
    • Interval Polling Peristiwa Klien: Seberapa sering mengumpulkan Peristiwa Klien (default: 5 menit)
    • Tingkat Log: Tingkat pengelogan untuk pemecahan masalah (default: Informasi)
    • Jangka Waktu Data Historis: Seberapa jauh ke belakang untuk mengumpulkan data pada eksekusi pertama (default: 1 hari)

  4. Tinjau pengaturan tingkat lanjut (SKU Paket Hosting, Jenis Akun Penyimpanan) dan sesuaikan jika diperlukan.

  5. Tandai kotak centang berlabel Saya menyetujui syarat dan ketentuan yang dinyatakan di atas.

  6. Klik Beli untuk menyebarkan.

  7. Penyebaran membuat semua sumber daya yang diperlukan: Aplikasi Fungsi, Akun Penyimpanan, Titik Akhir Pengumpulan Data, Aturan Pengumpulan Data, dan tabel Log Analytics kustom.

  8. Data harus mulai mengalir dalam waktu 15-30 menit setelah penyebaran.



Konektor BigID DSPM

Didukung oleh:BigID

Konektor data BigID DSPM menyediakan kemampuan untuk menyerap kasus DSPM BigID dengan objek dan informasi sumber data yang terpengaruh ke dalam Microsoft Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
BigIDDSPMCatalog_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Akses BIGID DSPM API: Akses ke BIGID DSPM API melalui BigID Token diperlukan.

Instruksi Penyetelan:

Sambungkan ke BigID DSPM API untuk mulai mengumpulkan kasus DSPM BigID dan Objek yang terpengaruh di Microsoft Sentinel

Berikan nama domain BigID Anda seperti 'customer.bigid.cloud' dan token BigID Anda. Buat token di konsol BigID melalui Pengaturan -> Manajemen Akses -> Pengguna -> Pilih Pengguna dan buat token.

  • BigID FQDN: (BigID FQDN)
  • Token BigID: (Token BigID)
  • Aktifkan/Nonaktifkan Koneksi



Bitglass (menggunakan Azure Functions)

Dukungan oleh:Microsoft Corporation

Konektor data Bitglass menyediakan kemampuan untuk mengambil log peristiwa keamanan layanan Bitglass dan lebih banyak peristiwa ke Microsoft Sentinel melalui REST API. Konektor memungkinkan pengambilan peristiwa untuk menilai potensi risiko keamanan, memantau kolaborasi, dan mendiagnosis dan memecahkan masalah konfigurasi.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
BitglassLogs_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Microsoft. Izin web/situs: Izin baca dan tulis ke Azure Functions untuk membuat Aplikasi Fungsi diperlukan. Untuk informasi selengkapnya, lihat Azure Functions.
  • Kredensial/izin REST API: BitglassToken dan BitglassServiceURL diperlukan untuk melakukan panggilan API.

Instruksi Penyetelan:

CATATAN: Konektor ini menggunakan Azure Functions untuk terhubung ke API Azure Blob Storage untuk menarik log ke Microsoft Sentinel. Ini dapat mengakibatkan biaya tambahan untuk penyerapan data dan untuk menyimpan data dalam biaya Azure Blob Storage. Periksa halaman harga Azure Functions dan halaman harga Azure Blob Storage untuk detailnya.

(Langkah Opsional) Simpan ruang kerja dan kunci otorisasi API atau token dengan aman di Azure Key Vault. Azure Key Vault menyediakan mekanisme aman untuk menyimpan dan mengambil nilai kunci. Ikuti instruksi ini untuk menggunakan Azure Key Vault dengan Aplikasi Fungsi Azure.

CATATAN: Konektor data ini tergantung pada pengurai berdasarkan Fungsi Kusto untuk bekerja seperti bitglass yang diharapkan yang disebarkan dengan Solusi Microsoft Sentinel.

LANGKAH 1 - Langkah konfigurasi untuk API Pengambilan Log Bitglass

Ikuti instruksi untuk mendapatkan kredensial.

  1. Silakan hubungi dukungan Bitglass dan dapatkan bitglassToken dan BitglassServiceURL ntation].
  2. Simpan kredensial untuk digunakan di konektor data.

LANGKAH 2 - Pilih ONE dari dua opsi penyebaran berikut untuk menyebarkan konektor dan Fungsi Azure terkait

PENTING: Sebelum menyebarkan konektor data Bitglass, miliki ID Ruang Kerja dan Kunci Primer Ruang Kerja (dapat disalin dari yang berikut).

  • ID ruang kerja: <nilai variabel yang disediakan pada waktu penginstalan>
  • Kunci Primer: <nilai variabel yang disediakan pada waktu penginstalan>

Opsi 1 - Templat Azure Resource Manager (ARM)

Gunakan metode ini untuk penyebaran otomatis konektor data Bitglass menggunakan Templat ARM.

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.ms

  2. Pilih Langganan, Grup Sumber Daya, dan Lokasi pilihan.

CATATAN: Dalam grup sumber daya yang sama, Anda tidak dapat mencampur aplikasi Windows dan Linux di wilayah yang sama. Pilih grup sumber daya yang ada tanpa Windows aplikasi di dalamnya atau buat grup sumber daya baru. 3. Masukkan BitglassToken, BitglassServiceURL dan sebarkan. 4. Tandai kotak centang berlabel Saya menyetujui syarat dan ketentuan yang dinyatakan di atas. 5. Klik Beli untuk menyebarkan.

Opsi 2 - Penyebaran manual Azure Functions

Gunakan instruksi langkah demi langkah berikut untuk menyebarkan konektor data Bitglass secara manual dengan Azure Functions (Penyebaran melalui Visual Studio Code).

  1. Menyebarkan Aplikasi Fungsi

CATATAN: Anda harus menyiapkan kode VS untuk pengembangan fungsi Azure.

  1. Unduh file Aplikasi Fungsi Azure. Ekstrak arsip ke komputer pengembangan lokal Anda.

  2. Jalankan VS Code. Pilih File di menu utama dan pilih Buka Folder.

  3. Pilih folder tingkat atas dari file yang diekstrak.

  4. Pilih ikon Azure di bilah Aktivitas, lalu di area Azure: Fungsi, pilih tombol Sebarkan ke aplikasi fungsi. Jika Anda belum masuk, pilih ikon Azure di bilah Aktivitas, lalu di area Azure: Functions, pilih Masuk ke Azure Jika Anda sudah masuk, buka langkah berikutnya.

  5. Berikan informasi berikut pada permintaan:

    a. Pilih folder: Pilih folder dari ruang kerja Anda atau telusuri folder yang berisi aplikasi fungsi Anda.

    b. Pilih Langganan: Pilih langganan yang akan digunakan.

    c. Pilih Buat Aplikasi Fungsi baru di Azure (Jangan pilih opsi Tingkat Lanjut)

    d. Masukkan nama unik global untuk aplikasi fungsi: Ketik nama yang valid di jalur URL. Nama yang Anda ketik akan divalidasi untuk memastikan bahwa nama tersebut bersifat unik di Azure Functions. (misalnya BitglassXXXXX).

    e. Pilih runtime: Pilih Python 3.11.

    f. Pilih lokasi untuk sumber daya baru. Untuk performa yang lebih baik dan biaya yang lebih rendah, pilih wilayah yang sama tempat Microsoft Sentinel berada.

  6. Penyebaran akan dimulai. Notifikasi ditampilkan setelah aplikasi fungsi Anda dibuat dan paket penyebaran diterapkan.

  7. Buka portal Azure untuk konfigurasi Aplikasi Fungsi.

  8. Mengonfigurasi Aplikasi Fungsi

  9. Di Aplikasi Fungsi, pilih Nama Aplikasi Fungsi dan pilih Konfigurasi.

  10. Di tab Pengaturan aplikasi, pilih Pengaturan aplikasi baru.

  11. Tambahkan masing-masing pengaturan aplikasi berikut satu per satu, dengan nilai string masing-masing (peka huruf besar/kecil): BitglassToken BitglassServiceURL WorkspaceID WorkspaceID WorkspaceKey logAnalyticsUri (opsional)

  • Gunakan logAnalyticsUri untuk mengambil alih titik akhir API analitik log untuk cloud khusus. Misalnya, untuk cloud publik, biarkan nilai kosong; untuk Azure lingkungan cloud GovUS, tentukan nilai dalam format berikut: https://<CustomerId>.ods.opinsights.azure.us.
  1. Setelah semua pengaturan aplikasi dimasukkan, klik Simpan.



Log Peristiwa Bitwarden

Didukung oleh:Bitwarden Inc

Konektor ini memberikan wawasan tentang aktivitas organisasi Bitwarden Anda seperti aktivitas pengguna (masuk, kata sandi yang diubah, 2fa, dll.), aktivitas sandi (dibuat, diperbarui, dihapus, dibagikan, dll.), aktivitas pengumpulan, aktivitas organisasi, dan banyak lagi.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
BitwardenEventLogs No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Id Klien Bitwarden dan Rahasia Klien: Kunci API Anda dapat ditemukan di konsol admin organisasi Bitwarden. Silakan lihat dokumentasi Bitwarden untuk informasi selengkapnya.

Instruksi Penyetelan:

Menyambungkan Log Peristiwa Bitwarden ke Microsoft Sentinel

Kunci API Anda dapat ditemukan di konsol admin organisasi Bitwarden. Silakan lihat dokumentasi Bitwarden untuk informasi selengkapnya. Server Bitwarden yang dihost sendiri mungkin perlu mengonfigurasi ulang URL penginstalannya.



blacklens.io

Didukung oleh:blacklens.io Dukungan

Konektor data blacklens.io memungkinkan Anda menyerap pemberitahuan Attack Surface Management dari blacklens.io ke dalam Microsoft Sentinel menggunakan Logic App berbasis webhook dan API Penyerapan Log Azure Monitor.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
blacklens_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • langganan Azure: Izin Kontributor atau Pemilik pada grup sumber daya diperlukan untuk menyebarkan infrastruktur penyerapan data (Titik Akhir Pengumpulan Data, Aturan Pengumpulan Data, tabel kustom, dan Aplikasi Logika).
  • Akun blacklens.io: Akun blacklens.io dengan kemampuan integrasi webhook diperlukan.

Instruksi Penyetelan:

Langkah 1 - Menyebarkan infrastruktur penyerapan data

Langkah ini menyebarkan sumber daya Azure yang diperlukan: Titik Akhir Pengumpulan Data, Aturan Pengumpulan Data, tabel Log Analytics kustom (blacklens_CL), dan Aplikasi Logika yang dipicu webhook.

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    portal.azure.com

  2. Pilih Langganan, Grup Sumber Daya, dan Lokasi tempat ruang kerja Microsoft Sentinel Anda berada.

  3. Masukkan Nama Ruang Kerja ruang kerja Log Analytics Anda.

  4. Klik Tinjau + buat lalu Buat.

Langkah 2 - Salin URL webhook

  1. Setelah penyebaran berhasil, klik tab Output pada halaman penyebaran.
  2. Salin nilai webhookUrl .

Atau, navigasikan ke Gambaran Umum Logic Apps >la-blacklens-alert-log-ingestion> dan salin URL Alur Kerja.

Langkah 3 - Mengonfigurasi blacklens.io

  1. Masuk ke portal blacklens.io.
  2. Navigasikan ke pengaturan integrasi webhook.
  3. Tempelkan URL webhook yang disalin di Langkah 2.
  4. Simpan konfigurasi.
  5. Tautkan integrasi webhook ke setidaknya satu kebijakan pemberitahuan sehingga pemberitahuan dikirim ke webhook.

Setelah beberapa menit, insiden pengujian akan muncul di Microsoft Sentinel.



BloodHound Enterprise Data Connector (menggunakan Azure Functions)

Didukung oleh:SpecterOps

BloodHound Enterprise dari SpecterOps adalah platform Identity Attack Path Management : memetakan bagaimana penyerang dapat bergerak melalui hubungan identitas untuk mencapai aset penting sehingga tim dapat memprioritaskan dan memperbaiki jalur tersebut, tidak hanya mendeteksi. Ini memberikan kejelasan pada penyebaran identitas di Direktori Aktif, Azure, dan lainnya, termasuk perlindungan gaya Zona Privilege terkait hal-hal yang paling penting di lingkungan Anda.

Konektor Microsoft Sentinel ini menambahkan konteks jalur serangan BloodHound Enterprise ke dalam workspace Anda bersama log dan peringatan sehingga Anda dapat memperkaya investigasi, fokus pada temuan bernilai tinggi, serta melacak eksposur, aktivitas audit, dan aset Tier Zero di satu tempat.

Apa fungsi konektor ini

  • Terhubung ke BloodHound Enterprise REST API menggunakan kredensial yang telah dikonfigurasi Anda (lihat Bekerja dengan API) dan berjalan sesuai jadwal yang Anda tetapkan saat Fungsi Azure diterapkan. Data dikumpulkan melalui Azure Functions dan disimpan dalam tabel Log Analytics kustom dengan Aturan Pengumpulan Data (DCR) khusus dan Titik Akhir Pengumpulan Data (DCE).

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
BHEAttackPathsData_CL No No
BHEAttackPathsTimelineData_CL No No
BHEAuditLogsData_CL No No
BHEFindingTrendsData_CL No No
BHEPostureHistoryData_CL No No
BHETierZeroAssetsData_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Microsoft. Izin web/situs: Izin baca dan tulis ke Azure Functions untuk membuat Aplikasi Fungsi diperlukan. Untuk informasi selengkapnya, lihat Azure Functions.
  • Akses API BloodHound Enterprise: ID Token, kunci token, dan URL basis tenant Anda diperlukan untuk mengautentikasi ke BloodHound Enterprise REST API (permintaan ditandatangani sesuai model API SpecterOps lihat Bekerja dengan API).

Instruksi Penyetelan:

Langkah 1. Buat kredensial API BloodHound Enterprise

Di tenant BloodHound Enterprise Anda, buat kredensial API (ID Token dan kunci Token) yang digunakan untuk menandatangani permintaan ke REST API. Ikuti Bekerja dengan API untuk membuat kredensial API lalu simpan nilai-nilai tersebut dengan aman.

Langkah 2. Membuat aplikasi Microsoft Entra

Buat aplikasi Microsoft Entra ID (Azure AD) yang digunakan untuk ingestion ke Log Analytics (misalnya akses terkait DCE/DCR). Ikuti Buat aplikasi Microsoft Entra untuk membuat aplikasi Microsoft Entra & kredensialnya lalu simpan ID Aplikasi (klien), nilai rahasia klien, dan ID lain yang dibutuhkan administrator Anda. Simpan rahasia klien dengan aman.

Langkah 3. Deploy Function App

CATATAN: Konektor ini menggunakan Azure Functions untuk menarik data dari BloodHound Enterprise ke Microsoft Sentinel. Ini dapat mengakibatkan biaya penyerapan data tambahan. Periksa halaman harga Azure Functions untuk detailnya.

PENTING: Sebelum menerapkan konektor BloodHound Enterprise, siapkan nama Workspace (lihat di bawah), URL tenant BloodHound Enterprise, ID Token dan kunci Token, ID dan rahasia klien Microsoft Entra Application, serta lingkungan yang Anda inginkan dan filter tipe pencarian (atau gunakan default template seperti Semua).

  • Nama Ruang Kerja: <nilai variabel yang disediakan pada waktu penginstalan>

Terapkan semua sumber daya yang terkait dengan konektor data

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.ms

  2. Pilih Langganan, Grup Sumber Daya, dan Lokasi pilihan.

  3. Masukkan nama Function App, nama workspace Log Analytics (Microsoft Sentinel workspace), domain tenant BloodHound Enterprise (URL), ID Token BloodHound dan kunci Token (parameter aman), ID Microsoft Entra Application (klien), dan rahasia klien aplikasi Microsoft Entra.

  4. Opsional: atur hari pencarian (tinjauan historis), lingkungan Bloodhound terpilih (dipisahkan koma atau Semua), dan tipe pencarian terpilih (atau Semua) seperti yang dijelaskan dalam template.

  5. Klik Tinjau + buat, lalu Buat untuk disebarkan.



Box Events (melalui Codeless Connector Framework)

Dukungan oleh:Microsoft Corporation

Konektor data Box menyediakan kemampuan untuk menyerap peristiwa perusahaan Box ke dalam Microsoft Sentinel menggunakan Box REST API. Lihat dokumentasi Box untuk informasi selengkapnya.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
BoxEventsV2_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Kredensial Box API: Box API memerlukan ID klien Box App dan rahasia klien untuk mengautentikasi. Untuk informasi selengkapnya, lihat Pemberian Kredensial Klien
  • BOX Enterprise ID: ID Box Enterprise diperlukan untuk membuat koneksi. Lihat dokumentasi untuk menemukan ID Perusahaan

Instruksi Penyetelan:

CATATAN: Konektor ini menggunakan Codeless Connecor Platform (CCF) untuk terhubung ke Box REST API untuk menarik log ke Microsoft Sentinel.

CATATAN: Konektor ini tergantung pada pengurai berdasarkan Fungsi Kusto untuk bekerja seperti BoxEvents yang diharapkan yang disebarkan dengan Solusi Microsoft Sentinel.

LANGKAH 1 - Buat Aplikasi Kustom Kotak

Lihat dokumentasi untuk menyiapkan autentikasi kredensial klien

LANGKAH 2 - Nilai ID Klien Grab dan Rahasia Klien

Anda mungkin perlu mengatur 2FA untuk mengambil rahasia.

LANGKAH 3 - Grab Box Enterprise ID dari Konsol Admin Kotak

Lihat dokumentasi untuk menemukan ID Perusahaan

Sambungkan ke Box untuk mulai mengumpulkan log peristiwa ke Microsoft Sentinel

Berikan nilai yang diperlukan di bawah ini:

  • ID Box Enterprise: (123456)



BV-ClaudeCompliance (melalui Codeless Connector Framework)

Didukung oleh:BlueVoyant

BV-ClaudeCompliance (melalui Codeless Connector Framework)

Konektor ini menginput data API ClaudeCompliance ke dalam Microsoft Sentinel menggunakan RestApiPoller.

Pengumpulan Data

  • URL API dasar: https://api.anthropic.com/
  • Autentikasi: APIKey
  • Jumlah titik akhir: 1

Tables

  • ComplianceActivities ->BV_ClaudeCompliance_ComplianceActivities_CL

Sampel Kueri

BV_ClaudeCompliance_ComplianceActivities_CL
| take 10

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
BV_ClaudeCompliance_ComplianceActivities_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Instruksi Penyetelan:

Hubungkan BV-ClaudeCompliance (melalui Codeless Connector Framework) ke Microsoft Sentinel

Untuk mendapatkan kunci API Claude Compliance, ikuti petunjuk yang ditemukan di sini: Akses Compliance API.

Kunci API yang dibuat harus mencakup read:compliance_activities ruang lingkup untuk pengambilan data yang tepat.

Tempel tombol di bawah ini dan pilih Hubungkan.

  • Kunci API: (Masukkan kunci API)
  • Aktifkan/Nonaktifkan Koneksi



Acara Cato Networks (Push)

Didukung oleh:Cato Networks

Konektor Cato Networks mendorong telemetri keamanan dan jaringan dari Aplikasi Manajemen Cato ke Microsoft Sentinel hampir secara real time, menggunakan pola Push dari Codeless Connector Framework (CCF). Data masuk ke tabel Log Analytics khusus, siap untuk diburu, dianalitik, dan divisualisasikan. Lihat Skema Peristiwa Cato untuk field yang dibawa pada setiap record.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
CatoNetworksEvents_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Microsoft Entra: Izin untuk membuat pendaftaran aplikasi di Microsoft Entra ID. Biasanya memerlukan peran Pengembang Aplikasi Entra ID atau yang lebih tinggi.
  • Microsoft Azure: Izin untuk menetapkan peran Publisher Metrik Pemantauan pada aturan pengumpulan data (DCR). Biasanya memerlukan peran Pemilik RBAC Azure atau Administrator Akses Pengguna.
  • Aplikasi Manajemen Cato: Akun administrator di Aplikasi Manajemen Cato dengan izin untuk membuat konektor data-out Microsoft Sentinel.

Instruksi Penyetelan:

1. Buat Sumber Daya ARM dan Berikan Izin yang Diperlukan

Konektor ini memungkinkan Cato Cloud untuk mengirim event langsung ke Microsoft Sentinel melalui Azure Monitor Logs Ingestion API.

Konfigurasi Otomatis dan Pengambilan Data Aman dengan Entra Application Klik "Deploy" akan memicu pembuatan tabel Log Analytics dan Aturan Pengumpulan Data (DCR). Kemudian akan membuat aplikasi Entra, menautkan DCR ke aplikasi tersebut, dan mengatur rahasia yang dimasukkan dalam aplikasi. Penyiapan ini memungkinkan data dikirim dengan aman ke DCR menggunakan token Entra.

Satu konektor per workspace

Aturan Pengumpulan Data dan CatoNetworksEvents_CL tabel dinamai dari workspace ini, sehingga menerapkan konektor lagi di workspace Log Analytics yang sama akan menggunakannya kembali, bukan membuat set kedua. Sebuah workspace menampung satu konektor Cato.

Peristiwa dari lebih dari satu akun Cato dapat dikirim ke konektor yang sama; mereka berbagi tabel dan dibedakan oleh account_id dan account_name. Untuk menjaga feed tetap dalam tabel terpisah, dengan kontrol retensi atau akses sendiri, gunakan workspace Log Analytics terpisah untuk masing-masing.

2. Konfigurasikan konektor di Aplikasi Manajemen Cato

Di Aplikasi Manajemen Cato, buka Integrasi > Sumber Daya > yang Dikonfigurasi Integrasi, klik Baru, pilih Microsoft Sentinel, dan masukkan nilai di bawah ini. Untuk instruksi pengaturan lengkap, lihat Integrasi Cato Events dengan Microsoft Sentinel.

  • ID Penyewa (ID Direktori): <nilai variabel yang disediakan pada waktu penginstalan>
  • ID Aplikasi Pendaftaran Aplikasi Entra: <nilai variabel yang disediakan pada waktu penginstalan>
  • Rahasia Pendaftaran Aplikasi Entra: <nilai variabel yang disediakan pada waktu penginstalan>
  • Uri Titik Akhir Pengumpulan Data: <nilai variabel yang disediakan pada waktu penginstalan>
  • ID Tidak Dapat Diubah Aturan Pengumpulan Data: <nilai variabel yang disediakan pada waktu penginstalan>
  • Nama Aliran Event: <nilai variabel yang diberikan saat instalasi>

3. Menjaga skema tetap mutakhir

Cato secara berkala menambahkan field ke skema event-nya. Karena peningkatan solusi ini membuat tabel kustom dan Aturan Pengumpulan Data konektor Anda tetap tidak berubah, bidang baru harus diterapkan secara terpisah menggunakan template pembaruan skema khusus.

Terapkan skema saat ini

Terapkan pembaruan skema

Pilih langganan dan grup sumber daya yang memegang workspace ini, lalu masukkan nama workspace. Itu satu-satunya nilai yang Anda berikan.

URL intake, aplikasi Entra, dan client secret Anda tidak berubah, dan tidak perlu dimasukkan ulang ke dalam Aplikasi Manajemen Cato. Konsumsi terus berlanjut sepanjang waktu.

Berikan waktu hingga 30 menit agar lapangan baru mulai tiba. Event masih diterima selama jendela tersebut dan field baru hanya kosong, jadi konfirmasi dengan query daripada mengasumsikan kegagalan.



Peringatan Ancaman Cayosoft Guardian

Didukung oleh:Dukungan Cayosoft

Konektor data Cayosoft Guardian secara otomatis menginput peringatan ancaman dari Cayosoft Guardian ke Microsoft Sentinel. Cayosoft Guardian menulis peringatan ancaman ke Windows Event Log sebagai Event ID 2. Azure Monitor Agent (AMA) mengumpulkan event-event ini menggunakan Data Collection Rules (DCR) dan mengirimkan data yang telah diurai ke tabel Log Analytics khusus bernama CayosoftThreatAlerts_CL. Setelah data dimasukkan, Microsoft Sentinel dapat menggunakannya untuk pemantauan, analitik, pembuatan insiden, investigasi, dan respons otomatis di seluruh lingkungan identitas hibrida Anda.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
CayosoftThreatAlerts_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Cayosoft Guardian Server: Harus terhubung ke Azure Arc atau dijalankan sebagai mesin virtual Azure, dengan Azure Monitor Agent terpasang.
  • Aturan Pengumpulan Data: Izin baca dan tulis untuk Aturan Pengumpulan Data diperlukan untuk mengaitkan Aturan Pengumpulan Data dengan server yang mendukung Azure Arc atau mesin virtual Azure yang menjalankan Cayosoft Guardian.

Instruksi Penyetelan:

1. Prasyarat dan Pengaturan Infrastruktur

Sebelum mengonfigurasi integrasi, pastikan persyaratan berikut terpenuhi:

  • Anda memiliki ruang kerja Microsoft Azure Sentinel.
  • Windows Server yang menjadi host Cayosoft Guardian terhubung ke Azure Arc atau berjalan sebagai mesin virtual Azure.
  • Azure Monitor Agent (AMA) terpasang di server Cayosoft Guardian.

2. Terapkan Aturan Pengumpulan Data (DCR)

Cayosoft Guardian mengalirkan peringatan ancaman melalui Azure Monitor Agent, yang memerlukan Data Collection Rule (DCR) yang terhubung ke server yang mendukung Arc atau Azure VM Anda. Ini adalah penerapan satu kali, terpisah dari instalasi solusi.

  1. Klik tombol di bawah ini.

    portal.azure.com

  2. Pilih Langganan, Grup Sumber Daya, dan Wilayah Anda.

  3. Masukkan Nama Workspace Anda (workspace Log Analytics yang mendukung Microsoft Sentinel) dan Nama Mesin Arc (nama persis server yang mendukung Arc atau VM Azure yang menjalankan Cayosoft Guardian).

  4. Klik Tinjau + Buat, lalu Buat.

3. Konfigurasikan Pencatatan Cayosoft Guardian

Aktifkan pembuatan log event di dalam produk:

  1. Buka Cayosoft Guardian.
  2. Navigasikan ke Pengaturan > Layanan Pengaturan > Pengaturan Log Acara Windows Pengaturan Log.
  3. Pastikan Windows Event Log for Alerts diaktifkan. Cayosoft Guardian menulis peringatan ancaman ke Log Peristiwa > Windows Aplikasi dan Layanan Log > Peringatan Cayosoft Guardian

4. Instal Workbook

Solusi Cayosoft Guardian mencakup buku kerja bawaan yang memvisualisasikan peringatan dan insiden ancaman, termasuk distribusi tingkat keparahan, peringatan berdasarkan jenis sistem, tren peringatan dari waktu ke waktu, serta insiden dan peringatan terbaru.

  1. Di Microsoft Sentinel, kunjungi Content hub.
  2. Cari Cayosoft Guardian dan pastikan solusi sudah terpasang. Jika belum terpasang, installah.
  3. Buka Buku Kerja dan pilih tab Template .
  4. Pilih Cayosoft Guardian - Incidents Dashboard, klik Save, pilih region Azure tempat Anda ingin menyimpan workbook, lalu klik View saved workbook.
  5. Buku kerja tersedia di bawah Buku kerja saya. Opsional, pin ke dashboard Azure untuk akses cepat.

5. Aktifkan Aturan Analitik

Solusi Cayosoft Guardian juga mencakup template aturan analitik terjadwal yang mengubah peringatan ancaman Cayosoft Guardian menjadi insiden Microsoft Sentinel.

  1. Di Microsoft Sentinel, buka Analytics.
  2. Pilih tab Templat aturan .
  3. Temukan template aturan analitik Cayosoft Guardian, misalnya:
    • Cayosoft Guardian - Ancaman Keamanan Aplikasi Cloud
    • Cayosoft Guardian - Ancaman Identitas Inti dan Infrastruktur
  4. Klik Buat aturan, tinjau pengaturan jadwal, pemetaan entitas, dan insiden, lalu klik Tinjau + Buat.
  5. Verifikasi bahwa aturan muncul sebagai Diaktifkan pada tab Aturan Aktif. Aturan analitik menghasilkan catatan yang SecurityIncident digunakan oleh tabel Insiden & peringatan terbaru di workbook .

6. Verifikasi Integrasi

Setelah mengonfigurasi konektor, pastikan Microsoft Sentinel menerima data peringatan ancaman Cayosoft Guardian:

  1. Di Microsoft Sentinel, buka ruang kerja Log Analytics yang terhubung ke instance Microsoft Sentinel Anda.
  2. Buka Log.
  3. Jalankan kueri berikut:CayosoftThreatAlerts_CL | sort by TimeGenerated desc | take 50
  4. Konfirmasi bahwa baris baru tersedia di tabel. Untuk informasi rinci, panduan langkah demi langkah, dan masalah yang diketahui, silakan lihat dokumentasi resmi.



Check Point CloudGuard CNAPP Connector untuk Microsoft Sentinel

Didukung oleh:Check Point

Konektor data CloudGuard memungkinkan penyerapan peristiwa keamanan dari CloudGuard API ke Microsoft Sentinel ™, menggunakan Codeless Connector Framework Microsoft Sentinel. Konektor mendukung transformasi waktu penyerapan berbasis DCR yang mengurai data peristiwa keamanan masuk ke dalam kolom kustom. Proses pra-penguraian ini menghilangkan kebutuhan penguraian waktu kueri, yang mengakibatkan peningkatan performa untuk kueri data.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
CloudGuard_SecurityEvents_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Kunci API CloudGuard: Lihat instruksi yang disediakan di sini untuk menghasilkan kunci API.

Instruksi Penyetelan:

Menyambungkan Peristiwa Keamanan CloudGuard ke Microsoft Sentinel

Untuk mengaktifkan konektor CloudGuard untuk Microsoft Sentinel, masukkan informasi yang diperlukan di bawah ini dan pilih Sambungkan.

  • ID Kunci API: (api_key)
  • Rahasia Kunci API: (api_secret)
  • URL Titik Akhir CloudGuard: (misalnya https://api.dome9.com)
  • Filter: (Tempel filter dari CloudGuard)
  • Aktifkan/Nonaktifkan Koneksi



Check Point Cyberint Alerts Connector (melalui Codeless Connector Framework)

Didukung oleh:Check Point

Cyberint, perusahaan Check Point, menyediakan integrasi Microsoft Sentinel untuk menyederhanakan Pemberitahuan penting dan menghadirkan inteligensi ancaman yang diperkaya dari solusi Manajemen Risiko Eksternal Infinity ke dalam Microsoft Sentinel. Ini menyederhanakan proses pelacakan status tiket dengan pembaruan sinkronisasi otomatis di seluruh sistem. Menggunakan integrasi baru ini untuk Microsoft Sentinel, pelanggan Cyberint dan Microsoft Sentinel yang ada dapat dengan mudah menarik log berdasarkan temuan Cyberint ke platform Microsoft Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
argsentdc_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Kunci API Check Point Cyberint, URL Argos, Nama Pelanggan: Kunci API konektor, URL Argos, dan Nama Pelanggan diperlukan. Sertakan Lampiran CSV karena JSON bersifat opsional.

Instruksi Penyetelan:

Menyambungkan Pemberitahuan Cyberint Titik Pemeriksaan ke Microsoft Sentinel

Untuk mengaktifkan konektor, berikan informasi yang diperlukan di bawah ini dan klik Sambungkan.

URL Argos — URL API Cyberint untuk tenant Anda (misalnya) https://your_tenant.cyberint.ioToken API — Token akses API Cyberint Nama Pelanggan — Nama perusahaan (klien) yang terkait dengan instance Cyberint Anda Keparahan — Daftar tingkat keparahan yang dipisahkan koma untuk diambil (rendah, sedang, tinggi, very_high). Jika kosong, semua tingkat keparahan akan diambil. Lingkungan — Daftar lingkungan yang dipisahkan koma untuk diambil (misalnya Produksi, Staging). Jika kosong, semua lingkungan akan diambil. Interval Polling — Seberapa sering melakukan polling untuk peringatan baru, dalam menit (default: 5) Sertakan Lampiran CSV sebagai JSON — Apakah akan menyertakan lampiran CSV sebagai konten JSON dalam peringatan (default: false)

  • URL Argos: (https://your_tenant.cyberint.io)
  • Token API: (Token akses Cyberint API)
  • Nama Pelanggan: (Nama perusahaan (klien) yang terkait dengan instans Cyberint Anda)
  • Tingkat keparahan: (Daftar yang dipisahkan koma (misalnya rendah, sedang, tinggi, very_high))
  • Lingkungan: (daftar dipisahkan koma)
  • Interval Polling (Menit): (Frekuensi polling dalam menit)
  • Sertakan Lampiran CSV sebagai JSON: (benar atau salah)
  • Aktifkan/Nonaktifkan Koneksi



Konektor Check Point Cyberint IOC

Didukung oleh:Check Point

Cyberint, perusahaan Check Point, menyediakan integrasi Microsoft Sentinel untuk menyerap Indikator Kompromi (IOC) dari solusi Manajemen Risiko Eksternal Infinity ke dalam Microsoft Sentinel. Konektor ini secara otomatis menarik umpan IOC harian — termasuk IP berbahaya, domain, URL, dan hash file — diperkaya dengan konteks ancaman seperti tingkat keparahan, keyakinan, dan aktivitas yang terdeteksi.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
iocsent_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Kunci API Check Point Cyberint, URL Argos, dan Nama Pelanggan: Kunci API konektor, URL Argos, dan Nama Pelanggan diperlukan

Instruksi Penyetelan:

Menyambungkan Check Point Cyberint IOC Feed ke Microsoft Sentinel

Untuk mengaktifkan konektor, berikan informasi yang diperlukan di bawah ini dan klik Sambungkan.

URL Argos — URL API Cyberint untuk penyewa Anda (misalnya https://your_tenant.cyberint.io) Token API — Token akses API Cyberint Nama Pelanggan — Nama perusahaan (klien) yang terkait dengan instans Cyberint Anda

  • URL Argos: (https://your-company.cyberint.io)
  • Token API: (Token API)
  • Nama Pelanggan: (Nama perusahaan (klien) yang terkait dengan instans Cyberint Anda)
  • Aktifkan/Nonaktifkan Koneksi



Kontak Feed Intelijen EM Check Point

Didukung oleh:Check Point

Check Point menyediakan integrasi Microsoft Sentinel untuk menginput Indikator Kompromi (IoC) berkualitas tinggi dari solusi Manajemen Risiko Eksternal Infinity ke Microsoft Sentinel. Konektor ini secara bertahap menarik feed IOC premium — termasuk IP berbahaya, domain, URL, dan hash file — yang diperkaya dengan kepercayaan, tingkat keparahan, klasifikasi berbahaya, tahap kill chain, flag pemblokiran dan keunikan, jenis malware, serta asosiasi CVE/kampanye.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
emiocintel_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Kunci API Check Point Cyberint, URL Argos, dan Nama Pelanggan: Kunci API konektor, URL Argos, dan Nama Pelanggan diperlukan

Instruksi Penyetelan:

Hubungkan Check Point EM ThreatCloud Intelligence Feed ke Microsoft Sentinel

Untuk mengaktifkan konektor, berikan informasi yang diperlukan di bawah ini dan klik Sambungkan.

URL Argos — URL API Cyberint untuk penyewa Anda (misalnya https://your_tenant.cyberint.io) Token API — Token akses API Cyberint Nama Pelanggan — Nama perusahaan (klien) yang terkait dengan instans Cyberint Anda

  • URL Argos: (https://your-company.cyberint.io)
  • Token API: (Token API)
  • Nama Pelanggan: (Nama perusahaan (klien) yang terkait dengan instans Cyberint Anda)
  • Aktifkan/Nonaktifkan Koneksi



Keamanan Email Check Point (melalui Codeless Connector Framework)

Dukungan oleh:Microsoft Corporation

Konektor data Check Point Email Security (Harmony Email Collaboration) menyediakan kemampuan untuk menginput peristiwa keamanan dan log audit dari platform Email Security Check Point ke Microsoft Sentinel melalui REST API. Konektor ini memberikan visibilitas terhadap ancaman email tingkat lanjut termasuk ancaman zero-day, phishing, pengambilalihan akun, kebocoran data, dan penemuan shadow IT. Aplikasi ini mengintegrasikan event keamanan, pengecualian anti-phishing, pengecualian spam, dan log audit ke Microsoft Sentinel, membantu organisasi menjaga visibilitas keamanan dan kepatuhan.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
CheckPointEmailSecurityEvents_CL Yes Yes
CheckPointEmailSecAntiPhishingExceptions_CL Yes Yes
CheckPointEmailSecuritySpamExceptions_CL Yes Yes
CheckPointEmailSecurityAuditLogs_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Kredensial Check Point Email Security API: Dua kunci API Check Point Infinity Portal yang terpisah diperlukan. Kunci API Harmony Email & Collaboration (Client ID + Client Secret) digunakan untuk event keamanan dan pengecualian. Kunci API Logs as a Service terpisah (Audit Client ID + ,Audit Client Secret) diperlukan untuk log audit. Buat keduanya dari Check Point Infinity Portal Anda di bawah > Global Settings API Keys.

Instruksi Penyetelan:

Hubungkan Keamanan Email Check Point ke Microsoft Sentinel

Untuk mengumpulkan data dari Check Point Email Security, Anda perlu memberikan kredensial berikut:

1. API Base URL - URL dasar untuk tenant Check Point Email Security Anda (spesifik wilayah).

2. Client ID - Client ID dari kunci API Harmony Email & Collaboration (digunakan untuk event keamanan dan pengecualian).

3. Client Secret - Rahasia (kunci akses) dari kunci API Harmony Email & Collaboration.

4. Audit Client ID - Client ID dari kunci API Logs as a Service terpisah (digunakan untuk log audit).

5. Audit Client Secret - Rahasia (kunci akses) dari kunci API Logs as a Service.

Untuk mendapatkan kredensial ini, masuk ke Check Point Infinity Portal Anda dan navigasikan ke bagian API Keys di bawah Pengaturan Global. Buat satu kunci API dengan layanan Harmony Email & Collaboration untuk Client ID/Secret, dan satu kunci API kedua dengan layanan Logs as a Service untuk Audit Client ID/Secret.

Dukungan multi-tenant: Konektor ini mendukung penghapusan data dari beberapa tenant Check Point Email Security secara paralel. Klik Tambah Koneksi sekali per tenant, dengan memberikan URL dasar API dan kredensial tenant tersebut - setiap koneksi dilacak dan dikelola secara independen di grid di bawah ini.

  • Data Connectors Grid (dikonfigurasi di portal)



Cisco ASA/FTD melalui AMA

Dukungan oleh:Microsoft Corporation

Konektor firewall Cisco ASA memungkinkan Anda untuk dengan mudah menghubungkan log Cisco ASA Anda dengan Microsoft Sentinel, untuk melihat dasbor, membuat pemberitahuan kustom, dan meningkatkan penyelidikan. Hal ini memberikan lebih banyak wawasan tentang jaringan organisasi dan meningkatkan kemampuan operasi keamanan Anda.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
CommonSecurityLog Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Untuk mengumpulkan data dari VM non-Azure, mereka harus menginstal dan mengaktifkan Azure Arc. Pelajari lebih lanjut

Instruksi Penyetelan:

Mengaktifkan aturan pengumpulan data

Log peristiwa Cisco ASA/FTD hanya dikumpulkan dari agen Linux .

  • Pasang Agen: <nilai variabel yang disediakan pada waktu penginstalan>

Jalankan perintah berikut untuk menginstal dan menerapkan pengumpul Cisco ASA/FTD:

  • Nilai: <nilai variabel yang disediakan pada waktu penginstalan>



Cisco Cloud Security (menggunakan Azure Functions)

Dukungan oleh:Microsoft Corporation

Solusi Cisco Cloud Security untuk Microsoft Sentinel memungkinkan Anda menyerap Cisco Secure Access dan Cisco Umbrellalog disimpan di Amazon S3 ke dalam Microsoft Sentinel menggunakan AMAZON S3 REST API. Lihat dokumentasi manajemen log Cisco Cloud Security untuk informasi selengkapnya.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
Cisco_Umbrella_dns_CL Yes Yes
Cisco_Umbrella_proxy_CL Yes Yes
Cisco_Umbrella_ip_CL Yes Yes
Cisco_Umbrella_cloudfirewall_CL Yes Yes
Cisco_Umbrella_firewall_CL Yes Yes
Cisco_Umbrella_dlp_CL No No
Cisco_Umbrella_ravpnlogs_CL No No
Cisco_Umbrella_audit_CL No No
Cisco_Umbrella_ztna_CL No No
Cisco_Umbrella_intrusion_CL No No
Cisco_Umbrella_ztaflow_CL No No
Cisco_Umbrella_fileevent_CL No No

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Microsoft. Izin web/situs: Izin baca dan tulis ke Azure Functions untuk membuat Aplikasi Fungsi diperlukan. Untuk informasi selengkapnya, lihat Azure Functions.
  • Kredensial/izin AMAZON S3 REST API: ID Kunci Akses AWS, Kunci Akses Rahasia AWS, Nama Bucket AWS S3 diperlukan untuk Amazon S3 REST API.

Instruksi Penyetelan:

CATATAN: Konektor ini menggunakan Azure Functions untuk terhubung ke Amazon S3 REST API untuk menarik log ke Microsoft Sentinel. Ini dapat mengakibatkan biaya penyerapan data tambahan. Periksa halaman harga Azure Functions untuk detailnya.

CATATAN: Konektor ini telah diperbarui untuk mendukung skema log Cisco Cloud Security versi 14.

(Langkah Opsional) Simpan ruang kerja dan kunci otorisasi API atau token dengan aman di Azure Key Vault. Azure Key Vault menyediakan mekanisme aman untuk menyimpan dan mengambil nilai kunci. Ikuti petunjuk berikut untuk menggunakan Azure Key Vault dengan Aplikasi Azure Functions.

CATATAN: Konektor ini menggunakan pengurai berdasarkan Fungsi Kusto untuk menormalkan bidang. Ikuti langkah-langkah ini untuk membuat alias fungsi Kusto Cisco_Umbrella.

LANGKAH 1 - Konfigurasi kumpulan log Cisco Cloud Security

Lihat dokumentasi dan ikuti instruksi untuk menyiapkan pengelogan dan mendapatkan kredensial.

LANGKAH 2 - Pilih ONE dari dua opsi penyebaran berikut untuk menyebarkan konektor dan Azure Functions terkait

PENTING: Sebelum menyebarkan konektor data Cisco Cloud Security, miliki ID Ruang Kerja dan Kunci Primer Ruang Kerja (dapat disalin dari yang berikut), serta kredensial Otorisasi AMAZON S3 REST API, tersedia dengan mudah.

  • ID ruang kerja: <nilai variabel yang disediakan pada waktu penginstalan>
  • Kunci Primer: <nilai variabel yang disediakan pada waktu penginstalan>

Opsi 1 - Templat Azure Resource Manager (ARM)

Gunakan metode ini untuk penyebaran otomatis konektor data Cisco Cloud Security menggunakan ARM Tempate.

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.msaka.ms

  2. Pilih Langganan, Grup Sumber Daya, dan Lokasi pilihan.

  3. Masukkan ID Ruang Kerja, Kunci Ruang Kerja, S3Bucket, AWSAccessKeyId, AWSSecretAccessKey Note: Untuk S3Bucket, gunakan nilai yang disebut Cisco sebagai Jalur Data Bucket S3 dan tambahkan / (garis miring ke akhir nilai

  4. Tandai kotak centang berlabel Saya menyetujui syarat dan ketentuan yang dinyatakan di atas.

  5. Klik Beli untuk menyebarkan.

Opsi 2 - Penyebaran manual Azure Functions

Gunakan instruksi langkah demi langkah berikut untuk menyebarkan konektor data Cisco Cloud Security secara manual dengan Azure Functions (Penyebaran melalui Visual Studio Code).

Langkah 1 - Menyebarkan Aplikasi Fungsi

CATATAN: Anda harus menyiapkan kode VS untuk pengembangan Azure Functions.

  1. Unduh file Aplikasi Azure Functions. Ekstrak arsip ke komputer pengembangan lokal Anda.
  2. Ikuti instruksi penyebaran manual aplikasi fungsi untuk menyebarkan aplikasi Azure Functions menggunakan VSCode.
  3. Setelah penyebaran aplikasi fungsi berhasil, ikuti langkah berikutnya untuk mengonfigurasinya.

Langkah 2 - Mengonfigurasi Aplikasi Fungsi

  1. Di Aplikasi Fungsi, pilih Nama Aplikasi Fungsi dan pilih Konfigurasi.
  2. Di tab Pengaturan aplikasi, pilih + Pengaturan aplikasi baru.
  3. Tambahkan masing-masing pengaturan aplikasi berikut satu per satu, dengan nilai string masing-masing (peka huruf besar/kecil): WorkspaceID WorkspaceID S3Bucket AWSAccessKeyId AWSSecretAccessKey logAnalyticsUri (opsional)
  • Gunakan logAnalyticsUri untuk mengambil alih titik akhir API analitik log untuk cloud khusus. Misalnya, untuk cloud publik, biarkan nilai kosong; untuk Azure lingkungan cloud GovUS, tentukan nilai dalam format berikut: https://<CustomerId>.ods.opinsights.azure.us.
  1. Setelah semua pengaturan aplikasi dimasukkan, klik Simpan.



Cisco Cloud Security (menggunakan paket premium elastis) (menggunakan Azure Functions)

Dukungan oleh:Microsoft Corporation

Konektor data Cisco Umbrella menyediakan kemampuan untuk menyerap peristiwa Cisco Umbrella yang disimpan di Amazon S3 ke dalam Microsoft Sentinel menggunakan AMAZON S3 REST API. Lihat dokumentasi manajemen log Cisco Umbrella untuk informasi selengkapnya.

NOTE: Konektor data ini menggunakan Azure Functions Premium Plan untuk memungkinkan kemampuan penyerapan yang aman dan akan dikenakan biaya tambahan. Detail harga lebih lanjut ada di sini.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
Cisco_Umbrella_dns_CL Yes Yes
Cisco_Umbrella_proxy_CL Yes Yes
Cisco_Umbrella_ip_CL Yes Yes
Cisco_Umbrella_cloudfirewall_CL Yes Yes
Cisco_Umbrella_firewall_CL Yes Yes
Cisco_Umbrella_dlp_CL No No
Cisco_Umbrella_ravpnlogs_CL No No
Cisco_Umbrella_audit_CL No No
Cisco_Umbrella_ztna_CL No No
Cisco_Umbrella_intrusion_CL No No
Cisco_Umbrella_ztaflow_CL No No
Cisco_Umbrella_fileevent_CL No No

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Microsoft. Izin web/situs: Izin baca dan tulis ke Azure Functions untuk membuat Aplikasi Fungsi diperlukan. Untuk informasi selengkapnya, lihat Azure Functions.
  • Kredensial/izin AMAZON S3 REST API: ID Kunci Akses AWS, Kunci Akses Rahasia AWS, Nama Bucket AWS S3 diperlukan untuk Amazon S3 REST API.
  • izin Virtual Network (untuk akses privat): Untuk akses akun penyimpanan privat, Kontributor Jaringan izin diperlukan pada Virtual Network dan subnet. Subnet harus didelegasikan ke Microsoft. Web/serverFarms untuk integrasi Function App VNet.

Instruksi Penyetelan:

CATATAN: Konektor ini menggunakan Azure Functions untuk terhubung ke Amazon S3 REST API untuk menarik log ke Microsoft Sentinel. Ini dapat mengakibatkan biaya penyerapan data tambahan. Periksa halaman harga Azure Functions untuk detailnya.

CATATAN: Konektor ini telah diperbarui untuk mendukung skema log payung cisco versi 14.

(Langkah Opsional) Simpan ruang kerja dan kunci otorisasi API atau token dengan aman di Azure Key Vault. Azure Key Vault menyediakan mekanisme aman untuk menyimpan dan mengambil nilai kunci. Ikuti petunjuk berikut untuk menggunakan Azure Key Vault dengan Aplikasi Azure Functions.

CATATAN: Konektor ini menggunakan pengurai berdasarkan Fungsi Kusto untuk menormalkan bidang. Ikuti langkah-langkah ini untuk membuat alias fungsi Kusto Cisco_Umbrella.

LANGKAH 1 - Prasyarat Jaringan untuk Akses Privat

PENTING: Saat menyebarkan dengan akses akun penyimpanan privat, pastikan prasyarat jaringan berikut terpenuhi:

  • Virtual Network: Virtual Network (VNet) yang ada harus tersedia
  • Subnet: Subnet khusus dalam VNet harus didelegasikan untuk Microsoft. Integrasi VNet Web/serverFarms for Function App
  • Delegasi Subnet: Konfigurasikan delegasi subnet menggunakan portal Azure, templat ARM, atau Azure CLI:
    • portal Azure: Buka Jaringan virtual → Pilih Subnet → VNet Anda → Pilih subnet → Delegasikan subnet ke layanan → Pilih Microsoft. Web/serverFarms
    • Azure CLI:az network vnet subnet update --resource-group <rg-name> --vnet-name <vnet-name> --name <subnet-name> --delegations Microsoft.Web/serverFarms
  • Titik Akhir Privat: Penyebaran akan membuat titik akhir privat untuk layanan akun penyimpanan (blob, file, antrean, tabel) dalam subnet yang sama

LANGKAH 2 - Konfigurasi koleksi log Cisco Umbrella

Lihat dokumentasi dan ikuti instruksi untuk menyiapkan pengelogan dan mendapatkan kredensial.

LANGKAH 3 - Pilih SATU dari dua opsi penyebaran berikut untuk menyebarkan konektor dan Azure Functions terkait

PENTING: Sebelum menyebarkan konektor data Cisco Umbrella, miliki ID Ruang Kerja dan Kunci Primer Ruang Kerja (dapat disalin dari yang berikut), serta kredensial Otorisasi AMAZON S3 REST API, tersedia dengan mudah.

  • ID ruang kerja: <nilai variabel yang disediakan pada waktu penginstalan>
  • Kunci Primer: <nilai variabel yang disediakan pada waktu penginstalan>

Opsi 1 - Templat Azure Resource Manager (ARM)

Gunakan metode ini untuk penyebaran otomatis konektor data Cisco Umbrella menggunakan ARM Tempate.

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.msaka.ms

  2. Pilih Langganan, Grup Sumber Daya, dan Lokasi pilihan.

  3. Masukkan ID Ruang Kerja, Kunci Ruang Kerja, S3Bucket, AWSAccessKeyId, AWSSecretAccessKey

  4. Untuk Penyebaran Akses Privat: Masukkan jugaVnetName yang ada, VnetResourceGroupName yang ada, dan existingSubnetName (pastikan subnet didelegasikan ke Microsoft. Catatan Web/serverFarms) : Untuk S3Bucket gunakan nilai yang disebut Cisco sebagai Jalur Data Bucket S3 dan tambahkan / (garis miring) ke akhir nilai

  5. Tandai kotak centang berlabel Saya menyetujui syarat dan ketentuan yang dinyatakan di atas.

  6. Klik Beli untuk menyebarkan.

Opsi 2 - Penyebaran manual Azure Functions

Gunakan instruksi langkah demi langkah berikut untuk menyebarkan konektor data Cisco Umbrella secara manual dengan Azure Functions (Penyebaran melalui Visual Studio Code).

Langkah 1 - Menyebarkan Aplikasi Fungsi

CATATAN: Anda harus menyiapkan kode VS untuk pengembangan Azure Functions.

  1. Unduh file Aplikasi Azure Functions. Ekstrak arsip ke komputer pengembangan lokal Anda.
  2. Ikuti instruksi penyebaran manual aplikasi fungsi untuk menyebarkan aplikasi Azure Functions menggunakan VSCode.
  3. Setelah penyebaran aplikasi fungsi berhasil, ikuti langkah berikutnya untuk mengonfigurasinya.

Langkah 2 - Mengonfigurasi Aplikasi Fungsi

  1. Di Aplikasi Fungsi, pilih Nama Aplikasi Fungsi dan pilih Konfigurasi.
  2. Di tab Pengaturan aplikasi, pilih + Pengaturan aplikasi baru.
  3. Tambahkan masing-masing pengaturan aplikasi berikut satu per satu, dengan nilai string masing-masing (peka huruf besar/kecil): WorkspaceID WorkspaceID S3Bucket AWSAccessKeyId AWSSecretAccessKey logAnalyticsUri (opsional)
  • Gunakan logAnalyticsUri untuk mengambil alih titik akhir API analitik log untuk cloud khusus. Misalnya, untuk cloud publik, biarkan nilai kosong; untuk Azure lingkungan cloud GovUS, tentukan nilai dalam format berikut: https://<CustomerId>.ods.opinsights.azure.us.
  1. Setelah semua pengaturan aplikasi dimasukkan, klik Simpan.



Log Aktivitas Cisco Duo

Didukung oleh:Cisco Systems

Konektor Cisco Duo Activity Logs menginput data log aktivitas admin dan pengguna dari Cisco Duo Admin API ke Microsoft Sentinel.

Log aktivitas menangkap tindakan panel admin seperti pembuatan, modifikasi, penghapusan, login admin, dan perubahan konfigurasi.

Mendukung autentikasi API Key berbasis HMAC (Integration Key dan Secret Key).

Untuk informasi lebih lanjut, kunjungi Dokumen API Admin Cisco Duo.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
DuoActivity_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Kunci API Cisco Duo: Kunci Integrasi Cisco Duo dan Kunci Rahasia diperlukan. Izin ini diperoleh dengan membuat aplikasi API Admin di Panel Admin Duo dengan izin 'Grant read log'. Lihat dokumentasi.

Instruksi Penyetelan:

Hubungkan Log Aktivitas Cisco Duo ke Microsoft Sentinel

Untuk mengaktifkan konektor Cisco Duo Activity Logs, sertakan kredensial API Duo Admin Anda di bawah ini.

  1. Masuk ke Panel Admin Duo.
  2. Navigasikan ke Aplikasi > Lindungi Aplikasi.
  3. Cari Admin API dan klik Protect.
  4. Pastikan aplikasi mengaktifkan izin Grant read log .
  5. Salin Integration Key, Secret Key, dan API Hostname lalu masukkan di bawah ini.



Autentikasi Cisco Duo

Didukung oleh:Cisco Systems

Konektor Cisco Duo menginput data log autentikasi dari Cisco Duo Admin API ke Microsoft Sentinel.

Mendukung autentikasi API Key berbasis HMAC (Integration Key dan Secret Key).

Untuk informasi lebih lanjut, kunjungi Dokumen API Admin Cisco Duo.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
DuoAuthentication_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Kunci API Cisco Duo: Kunci Integrasi Cisco Duo dan Kunci Rahasia diperlukan. Fitur ini diperoleh dengan membuat aplikasi API Admin di Panel Admin Duo. Lihat dokumentasi.

Instruksi Penyetelan:

Langkah 1 - Dapatkan kredensial Cisco Duo Admin API

  1. Masuk ke Panel Admin Cisco Duo.
  2. Navigasikan ke Aplikasi dan klik Lindungi Aplikasi.
  3. Cari Admin API dan klik Protect.
  4. Salin nama host API, kunci integrasi, dan kunci rahasia.
  5. Pastikan aplikasi mengaktifkan izin Grant read log .

Langkah 2 - Hubungkan Cisco Duo ke Microsoft Sentinel

Masukkan kredensial Cisco Duo Admin API Anda di bawah ini untuk mulai mengolah log otentikasi.

  • URL Dasar API: (https://api-XXXXXXXX.duosecurity.com)
  • Kunci Integrasi (Nama Pengguna): (Masukkan Kunci Integrasi Duo Anda)
  • Secret Key (Password): (Masukkan Duo Secret Key Anda)
  • Aktifkan/Nonaktifkan Koneksi



Log Telepon Cisco Duo

Didukung oleh:Cisco Systems

Konektor Cisco Duo Telephony Logs menginput data kejadian otentikasi SMS dan panggilan telepon dari Cisco Duo Admin API ke Microsoft Sentinel.

Log telepon merekam setiap kejadian di mana Duo mengirim kode sandi SMS atau melakukan panggilan balik telepon selama alur kerja autentikasi, pendaftaran, atau pengelompokan administrator. Setiap acara mencakup nomor telepon, saluran yang digunakan (sms atau telepon), konteks, dan jumlah kredit telepon yang dikonsumsi.

Mendukung autentikasi API Key berbasis HMAC (Integration Key dan Secret Key).

Untuk informasi lebih lanjut, kunjungi Dokumen API Admin Cisco Duo.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
DuoTelephony_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Kunci API Cisco Duo: Kunci Integrasi Cisco Duo dan Kunci Rahasia diperlukan. Izin ini diperoleh dengan membuat aplikasi API Admin di Panel Admin Duo dengan izin 'Grant read log'. Lihat dokumentasi.

Instruksi Penyetelan:

Hubungkan Log Telepon Cisco Duo ke Microsoft Sentinel

Untuk mengaktifkan konektor Cisco Duo Telephony Logs, sertakan kredensial API Duo Admin Anda di bawah ini.

  1. Masuk ke Panel Admin Duo.
  2. Navigasikan ke Aplikasi > Lindungi Aplikasi.
  3. Cari Admin API dan klik Protect.
  4. Pastikan aplikasi mengaktifkan izin Grant read log .
  5. Salin Integration Key, Secret Key, dan API Hostname lalu masukkan di bawah ini.



Cisco Pertahanan Ancaman Email (ETD)

Didukung oleh:N/A

Konektor data Cisco Email Threat Defense (ETD) menyediakan kemampuan untuk menginget peristiwa pesan dari Cisco ETD ke Microsoft Sentinel menggunakan Log Export API.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
CiscoETDv2_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

Instruksi Penyetelan:

Terhubung ke Cisco ETD API

Berikan endpoint API Cisco ETD Anda, Client ID, Client Secret, dan API Key Anda. Kredensial ini dapat diperoleh dari administrator Cisco ETD Anda atau melalui konsol manajemen Cisco ETD.

  • URL Endpoint Dasar: (https://api.us.etd.cisco.com)
  • Client ID: (Masukkan OAuth2 Client ID)
  • Rahasia Klien: (Masukkan Rahasia Klien OAuth2)
  • Kunci API: (Masukkan Kunci API Cisco ETD)
  • Aktifkan/Nonaktifkan Koneksi



Cisco ETD

Didukung oleh:N/A

Konektor mengambil data dari API ETD untuk analisis ancaman

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
CiscoETD_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Microsoft. Izin web/situs: Izin baca dan tulis ke Azure Functions untuk membuat Aplikasi Fungsi diperlukan. Untuk informasi selengkapnya, lihat Azure Functions.
  • EMAIL Threat Defense API, kunci API, ID Klien, dan Rahasia: Pastikan Anda memiliki kunci API, ID Klien, dan kunci Rahasia.

Instruksi Penyetelan:

CATATAN: Konektor ini menggunakan Azure Functions untuk terhubung ke API ETD untuk menarik lognya ke Microsoft Sentinel.

Ikuti langkah-langkah penyebaran untuk menyebarkan konektor dan Fungsi Azure terkait

PENTING: Sebelum menyebarkan konektor data ETD, miliki ID Ruang Kerja dan Kunci Primer Ruang Kerja (dapat disalin dari yang berikut).

  • ID ruang kerja: <nilai variabel yang disediakan pada waktu penginstalan>
  • Kunci Primer: <nilai variabel yang disediakan pada waktu penginstalan>

Templat Azure Resource Manager (ARM)

Gunakan metode ini untuk penyebaran otomatis konektor data Cisco ETD menggunakan Templat ARM.

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.ms

  2. Pilih Langganan, Grup Sumber Daya, dan Wilayah pilihan.

  3. Masukkan WorkspaceID, SharedKey, ClientID, ClientSecret, ApiKey, Putusan, Wilayah ETD

  4. Klik Buat untuk menyebarkan.



Cisco Meraki Events (menggunakan REST API) (melalui Codeless Connector Framework)

Dukungan oleh:Microsoft Corporation

Konektor Cisco Meraki memungkinkan Anda dengan mudah menghubungkan event organisasi Cisco Meraki Anda (event keamanan, Perubahan Konfigurasi, Permintaan API, dan deteksi File Scand) ke Microsoft Sentinel. Konektor data menggunakan Cisco Meraki REST API untuk mengambil log dan mendukung transformasi waktu estion berbasis DCR yang mengurai data yang diterima dan menyerap ke asim dan tabel kustom di ruang kerja Log Analytics Anda. Konektor data ini mendapat manfaat dari kemampuan seperti pemfilteran waktu penyerapan berbasis DCR, normalisasi data.

Selain event yang dinormalisasi ASIM, konektor ini juga menginput inventaris Cisco Meraki Dashboard dan data keamanan nirkabel ke dalam tabel khusus - Organisasi, Klien Jaringan, Jaringan Organisasi, event Air Marshal nirkabel (titik akses liar), dan event File Scand.

Skema ASIM yang didukung:

  1. Sesi Jaringan
  2. Sesi Web
  3. Kejadian Audit

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
CiscoMerakiOrganizations_CL Yes Yes
CiscoMerakiNetworkClients_CL Yes Yes
CiscoMerakiOrganizationNetworks_CL Yes Yes
CiscoMerakiAirMarshalEvents_CL Yes Yes
ASimWebSessionLogs Yes Yes
ASimAuditEventLogs Yes Yes
ASimNetworkSessionLogs Yes Yes
CiscoMerakiFileScannedEvents_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Instruksi Penyetelan:

Langkah-langkah konfigurasi untuk Cisco Meraki Dashboard API

Ikuti instruksi di bawah ini untuk memperoleh kredensial API Cisco Meraki Anda.

  1. Masuk ke Meraki Dashboard Navigasikan ke Cisco Meraki Dashboard dan masuk dengan akun administrator Anda.

  2. Buat Kunci API

  3. Navigasikan ke API Organisasi > & Webhooks dari menu navigasi kiri

  4. Pilih kunci API dan akses dari tab atas

  5. Klik Generate new API key atau gunakan yang sudah ada

  6. Salin kunci API dan simpan dengan aman (hanya akan ditampilkan sekali)

  7. Ambil ID Organisasi

  8. Saat masuk ke Dashboard Meraki, lihat URL di browser Anda

  9. ID Organisasi muncul di jalur URL dashboard sebagai dashboard.meraki.com/o/<organizationId>/...

  10. Salin ID Organisasi untuk digunakan di bawah ini

  11. Persyaratan Akses API

  • Kunci API harus memiliki akses baca ke:
    • Pengaturan organisasi
    • Pengaturan jaringan
    • Pengaturan nirkabel
  • Batas tarif: 10 permintaan per detik per organisasi
  • Periode maksimum melihat kembali: 31 hari

Hubungkan organisasi Cisco Meraki ke Microsoft Sentinel

Konektor ini mendukung pengambilan multi-tenant. Tambahkan satu koneksi per organisasi Cisco Meraki; Setiap koneksi menginput peristiwa untuk organisasi tersebut secara paralel. Gunakan grid di bawah ini untuk meninjau koneksi yang sudah ada atau menambahkan yang baru.

  • Data Connectors Grid (dikonfigurasi di portal)



Cisco Secure Endpoint (melalui Codeless Connector Framework)

Dukungan oleh:Microsoft Corporation

Konektor data Cisco Secure Endpoint (sebelumnya AMP untuk Endpoint) menyediakan kemampuan untuk mengambil log audit dan peristiwa dari Cisco Secure Endpoint ke dalam Microsoft Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
CiscoSecureEndpointAuditLogsV2_CL Yes Yes
CiscoSecureEndpointEventsV2_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Kredensial/Wilayah API Titik Akhir Aman Cisco: Untuk membuat Kredensial API dan untuk memahami wilayah, ikuti tautan dokumen yang disediakan di sini. Click di sini.

Instruksi Penyetelan:

Menyambungkan Titik Akhir Aman Cisco ke Microsoft Sentinel

Untuk menyerap data dari Titik Akhir Aman Cisco ke Microsoft Sentinel, Anda harus mengklik tombol Tambahkan Akun di bawah ini, lalu Anda mendapatkan pop up untuk mengisi detail seperti Email, Organisasi, ID Klien, Kunci DAN Wilayah API, berikan informasi yang diperlukan dan klik Sambungkan. Anda dapat melihat organisasi/email yang terhubung di kisi di bawah ini.

  • Data Connectors Grid (dikonfigurasi di portal)



WAN yang Ditentukan Perangkat Lunak Cisco

Didukung oleh:Cisco Systems

Konektor data Cisco Software Defined WAN(SD-WAN) menyediakan kemampuan untuk menyerap data Cisco SD-WAN Syslog dan Netflow ke dalam Microsoft Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
Syslog Yes Yes
CiscoSDWANNetflow_CL No No

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Instruksi Penyetelan:

Untuk menyerap data Cisco SD-WAN Syslog dan Netflow ke dalam Microsoft Sentinel ikuti langkah-langkah di bawah ini.

1. Langkah-langkah untuk menyerap data Syslog ke Microsoft sentinel

Azure Monitor Agent akan digunakan untuk mengumpulkan data syslog ke dalam sentinel Microsoft. Untuk itu pertama-tama perlu membuat server azure arc untuk VM tempat data syslog akan dikirim.

1.1 Langkah-langkah untuk Menambahkan Server Azure Arc

  1. Di portal Azure, buka Server - Azure Arc dan klik Tambahkan.
  2. Pilih Hasilkan Skrip di bawah Tambahkan satu bagian server. Pengguna juga dapat menghasilkan skrip untuk Beberapa Server juga.
  3. Tinjau informasi di halaman Prasyarat, lalu pilih Berikutnya.
  4. Pada halaman Detail sumber daya, berikan grup langganan dan sumber daya metode Microsoft Sentinel, Wilayah, Sistem operasi, dan Konektivitas. Kemudian pilih Berikutnya.
  5. Pada halaman Tag, tinjau tag Lokasi fisik default yang disarankan dan masukkan nilai, atau tentukan satu atau beberapa tag Kustom untuk mendukung standar Anda. Lalu pilih Berikutnya
  6. Pilih Unduh untuk menyimpan file skrip.
  7. Sekarang setelah Anda membuat skrip, langkah selanjutnya adalah menjalankannya di server yang ingin Anda onboarding ke Azure Arc.
  8. Jika Anda memiliki Azure VM, ikuti langkah-langkah yang disebutkan dalam tautan sebelum menjalankan skrip.
  9. Jalankan skrip dengan perintah berikut: ./<ScriptName>.sh
  10. Setelah Anda menginstal agen dan mengonfigurasinya untuk terhubung ke server yang diaktifkan Azure Arc, buka portal Azure untuk memverifikasi bahwa server telah berhasil terhubung. Lihat komputer Anda di portal Azure. Tautan referensi:/azure/azure-arc/servers/learn/quick-enable-hybrid-vm

1.2 Langkah untuk Membuat Aturan Pengumpulan Data (DCR)

  1. Di portal Azure cari Monitor. Di bawah Pengaturan, pilih Aturan Pengumpulan Data dan Pilih Buat.
  2. Pada panel Dasar, masukkan Nama Aturan, Langganan, Grup sumber daya, Wilayah, dan Jenis Platform.
  3. Pilih Berikutnya: Sumber Daya.
  4. Pilih Tambahkan sumber daya. Gunakan filter untuk menemukan komputer virtual yang akan Anda gunakan untuk mengumpulkan log.
  5. Pilih komputer virtual. Pilih Terapkan.
  6. Pilih Berikutnya: Kumpulkan dan kirim.
  7. Pilih Tambahkan sumber data. Untuk Jenis sumber data, pilih syslog Linux.
  8. Untuk Tingkat log minimum, biarkan nilai default LOG_DEBUG.
  9. Pilih Berikutnya: Tujuan.
  10. Pilih Tambahkan tujuan dan tambahkan Jenis tujuan, Langganan dan Akun atau namespace layanan.
  11. Pilih Tambahkan sumber data. Pilih Berikutnya: Tinjau + buat.
  12. Pilih Buat. Tunggu selama 20 menit. Di Microsoft Sentinel atau Azure Monitor, verifikasi bahwa agen Azure Monitor berjalan di VM Anda. Tautan referensi:/azure/sentinel/forward-syslog-monitor-agent

2. Langkah-langkah untuk menyerap data Netflow ke Microsoft sentinel

Untuk menyerap data Netflow ke Microsoft sentinel, Filebeat dan Logstash perlu diinstal dan dikonfigurasi pada VM. Setelah konfigurasi, vm akan dapat menerima data netflow pada port yang dikonfigurasi dan data tersebut akan diserap ke ruang kerja Microsoft sentinel.

2.1 Menginstal filebeat dan logstash

  1. Untuk penginstalan filebeat dan logstash menggunakan apt lihat dokumen ini:
  2. Filebeat: https://www.elastic.co/guide/en/beats/filebeat/current/setup-repositories.html.
  3. Logstash: https://www.elastic.co/guide/en/logstash/current/installing-logstash.html.
  4. Untuk penginstalan filebeat dan logstash untuk langkah-langkah Linux (yum) berbasis RedHat adalah sebagai berikut:
  5. Filebeat: https://www.elastic.co/guide/en/beats/filebeat/current/setup-repositories.html#_yum.
  6. Logstash: https://www.elastic.co/guide/en/logstash/current/installing-logstash.html#_yum

2.2 Mengonfigurasi Filebeat untuk mengirim peristiwa ke Logstash

  1. Edit file filebeat.yml: vi /etc/filebeat/filebeat.yml
  2. Komentari bagian Output Elasticsearch.
  3. Bagian Uncomment Logstash Output (Batalkan komentar hanya dua baris ini)- host output.logstash: ["localhost:5044"]
  4. Di bagian Output Logstash, jika Anda ingin mengirim data selain port default yaitu port 5044, maka ganti nomor port di bidang host. (Catatan: Port ini harus ditambahkan dalam file conf, saat mengonfigurasi logstash.)
  5. Di bagian 'filebeat.inputs' komentari konfigurasi yang ada dan tambahkan konfigurasi berikut: - ketik: netflow max_message_size: 10KiB host: "0.0.0.0:2055" protokol: [ v5, v9, ipfix ] expiration_timeout: 30m queue_size: 8192 custom_definitions:
  • /etc/filebeat/custom.yml detect_sequence_reset: true diaktifkan: true
  1. Di bagian Input filebeat, jika Anda ingin menerima data selain port default yaitu port 2055, maka ganti nomor port di bidang host.
  2. Tambahkan file custom.yml yang disediakan di dalam direktori /etc/filebeat/.
  3. Buka port input dan output filebeat di firewall.
  4. Jalankan perintah: firewall-cmd --zone=public --permanent --add-port=2055/udp
  5. Jalankan perintah: firewall-cmd --zone=public --permanent --add-port=5044/udp

Catatan: jika port kustom ditambahkan untuk input/output filebeat, buka port tersebut di firewall.

2.3 Mengonfigurasi Logstash untuk mengirim peristiwa ke Microsoft Sentinel

  1. Instal plugin Azure Log Analytics:
  2. Jalankan Perintah: sudo /usr/share/logstash/bin/logstash-plugin install microsoft-logstash-output-azure-loganalytics
  3. Simpan kunci ruang kerja Log Analytics di penyimpanan kunci Logstash. Kunci ruang kerja dapat ditemukan di portal Azure di bawah Ruang > kerja analitik log Pilih ruang > kerja Di bawah Pengaturan pilih Agen > Log Analytics instruksi agen.
  4. Salin Kunci primer dan jalankan perintah berikut:
  5. sudo /usr/share/logstash/bin/logstash-keystore --path.settings /etc/logstash create LogAnalyticsKey
  6. sudo /usr/share/logstash/bin/logstash-keystore --path.settings /etc/logstash add LogAnalyticsKey
  7. Buat file konfigurasi /etc/logstash/cisco-netflow-to-sentinel.conf: input { beats { port =><port_number> #(Masukkan nomor port output yang telah dikonfigurasi selama konfigurasi filebeat yaitu. filebeat.yml file .) } } output { microsoft-logstash-output-azure-loganalytics { workspace_id => "<workspace_id>" workspace_key => "${LogAnalyticsKey}" custom_log_table_name => "CiscoSDWANNetflow" } } }

Catatan: Jika tabel tidak ada di Microsoft sentinel, maka tabel tersebut akan membuat tabel baru di sentinel.

2.4 Jalankan Filebeat:

  1. Buka terminal dan jalankan perintah: systemctl start filebeat
  2. Perintah ini akan mulai menjalankan filebeat di latar belakang. Untuk melihat log menghentikan filebeat (systemctl stop filebeat) lalu jalankan perintah berikut: filebeat run -e

2.5 Jalankan Logstash:

  1. Di terminal lain, jalankan perintah : /usr/share/logstash/bin/logstash --path.settings /etc/logstash -f /etc/logstash/cisco-netflow-to-sentinel.conf &
  2. Perintah ini akan mulai menjalankan logstash di latar belakang. Untuk melihat log logstash, matikan proses di atas dan jalankan perintah berikut : /usr/share/logstash/bin/logstash --path.settings /etc/logstash -f /etc/logstash/cisco-netflow-to-sentinel.conf



Cisco Umbrella (melalui Codeless Connector Framework)

Dukungan oleh:Microsoft Corporation

Solusi Cisco Cloud Security untuk Microsoft Sentinel memungkinkan Anda menyerap log Cisco Secure Access dan Cisco Umbrella yang disimpan di Amazon S3 Bucket yang dikelola Cisco ke dalam Microsoft Sentinel menggunakan Amazon S3 REST API. Lihat dokumentasi manajemen log Cisco Cloud Security untuk informasi selengkapnya.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
CiscoUmbrellaAdminAudit_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Kredensial/izin AMAZON S3 REST API: Kunci Akses AWS, Kunci Akses Rahasia AWS, Nama Bucket AWS S3 diperlukan untuk AMAZON S3 REST API.

Instruksi Penyetelan:

1. Konfigurasi Koleksi Log Keamanan Cloud Cisco

CATATAN: Konektor ini telah diperbarui untuk mendukung skema log Cisco Cloud Security versi 16.

CATATAN: Anda harus mengaktifkan header opsional di dashboard Cisco agar konektor ini dapat berfungsi.

CATATAN: Konektor ini mendukung bucket Amazon S3 yang dikelola Cisco dan yang dikelola pelanggan.

CATATAN: Untuk jalur yang dikelola pelanggan, Anda dapat membiarkan Prefix Bucket S3 kosong jika ingin menggunakan root bucket. Jika Anda menentukan awalan, jangan sertakan garis miring di depan, dan pastikan untuk menyertakan garis miring di belakang.

Lihat dokumentasi dan ikuti instruksi untuk menyiapkan pengelogan dan mendapatkan kredensial dan informasi yang diperlukan.

Setelah Menyiapkan Bucket S3 yang dikelola Cisco, Anda akan diberi tiga informasi: Jalur Data, Kunci Akses, dan Kunci Rahasia.

PERINGATAN: Untuk wadah S3 yang dikelola Cisco, Kunci Rahasia kedaluwarsa setiap 90 hari. Anda bertanggung jawab untuk memutar Kunci Rahasia di dasbor Cisco dan menyambungkan kembali konektor ini dengan kunci baru sebelum kedaluwarsa.

Untuk Kunci Akses dan Kunci Rahasia, Anda dapat menempelkannya ke dalam input berikut. Untuk bidang lain yang diperlukan, Anda akan mengambilnya dari Jalur Data.

Misalnya, Jalur Data yang disediakan oleh Cisco adalah cisco-managed-us-west-1/2003477-12345. Untuk Nama Wadah AWS S3, Nama Wadah S3 input akan menjadi cisco-managed-us-west-1. Wilayah Bucket S3 akan menjadi us-west-1. Awalan Bucket S3 adalah 2003477-12345/.

Untuk mengaktifkan koleksi berbasis stream, klik Tambahkan kolektor baru, pilih Jenis data, dan berikan detail AWS.

  • Data Connectors Grid (dikonfigurasi di portal)



Citrix Analytics (melalui Codeless Connector Framework)

Didukung oleh:Citrix Systems, Inc.

Integrasi Citrix Analytics dengan Microsoft Sentinel membantu Anda mengekspor data yang dianalisis untuk event (SPA, Keamanan) dari Citrix Analytics ke lingkungan Microsoft Sentinel. Anda dapat membuat dasbor kustom, menganalisis data dari sumber lain bersama dengan data dari Citrix Analytics, dan membuat alur kerja khusus menggunakan Logic Apps untuk memantau dan mengurangi kejadian.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
CitrixAnalytics_SPA_Events_V1_CL Yes Yes
CitrixAnalytics_indicatorSummary_V1_CL Yes Yes
CitrixAnalytics_indicatorEventDetails_V1_CL Yes Yes
CitrixAnalytics_riskScoreChange_V1_CL Yes Yes
CitrixAnalytics_userProfile_V1_CL Yes Yes
CitrixAnalytics_CVAD_Events_V1_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Microsoft Entra: Izin untuk membuat pendaftaran aplikasi di Microsoft Entra ID. Biasanya memerlukan peran Pengembang Aplikasi Entra ID atau yang lebih tinggi.
  • Microsoft Azure: Izin untuk menetapkan peran Publisher Metrik Pemantauan pada aturan pengumpulan data. Biasanya memerlukan peran Pemilik RBAC Azure atau Administrator Akses Pengguna.
  • Lisensi: Hak atas Citrix Analytics di Citrix Cloud. Silakan tinjau Perjanjian Lisensi Citrix Tool.

Instruksi Penyetelan:

1. Buat Sumber Daya ARM dan Sediakan Izin yang Diperlukan

Klik Deploy untuk menyediakan sumber daya Azure yang diperlukan (tabel Log Analytics, Data Collection Rule, dan pendaftaran aplikasi Entra) serta aktifkan Citrix Analytics untuk mengirim data secara aman ke Microsoft Sentinel melalui Azure Monitor Logs Ingestion API.

Konfigurasi Otomatis dan Penyerapan Data Aman dengan Aplikasi Entra Mengklik "Sebarkan" akan memicu pembuatan tabel Log Analytics dan Aturan Pengumpulan Data (DCR). Kemudian akan membuat aplikasi Entra, menautkan DCR ke aplikasi tersebut, dan mengatur rahasia yang dimasukkan dalam aplikasi. Penyiapan ini memungkinkan data dikirim dengan aman ke DCR menggunakan token Entra.

2. Konfigurasikan integrasi Anda di Platform Citrix Analytics

Gunakan parameter berikut untuk mengonfigurasi integrasi Anda di Platform Citrix Analytics.

  • ID Direktori (ID Penyewa): <nilai variabel yang disediakan pada waktu penginstalan>
  • ID Aplikasi Pendaftaran Aplikasi Entra (ID Klien): <nilai variabel yang disediakan pada waktu penginstalan>
  • Rahasia Pendaftaran Aplikasi Entra (Rahasia Kredensial) (RAHASIA INI TIDAK AKAN TERLIHAT SETELAH MENINGGALKAN HALAMAN INI): <nilai variabel yang disediakan pada waktu penginstalan>
  • Titik Akhir Pengumpulan Data (URL): <nilai variabel yang disediakan pada waktu penginstalan>
  • Data Collection Rule Immutable ID (Rule ID):< nilai variabel yang disediakan saat instalasi>



Citrix DaaS Audit & Sesi (melalui Codeless Connector Framework)

Dukungan oleh:Microsoft Corporation

Masukkan log audit konfigurasi dan aktivitas sesi dari Citrix DaaS (layanan Citrix Virtual Apps and Desktops). Menyediakan jejak audit untuk investigasi keamanan, pemantauan kepatuhan, dan pemecahan masalah operasional.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
CitrixDaaSConfigOps_CL Yes Yes
CitrixDaaSSessions_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Akses API Citrix Cloud: Izin yang diperlukan: Kredensial klien Citrix Cloud API dengan akses baca ke API Manage CVAD

Instruksi Penyetelan:

Konfigurasikan Akses API Citrix Cloud

Ikuti langkah-langkah berikut untuk mengaktifkan akses API:

  1. Masuk ke konsol Citrix Cloud
  2. Navigasikan ke Akses API Manajemen > Identitas dan Akses
  3. Klik Buat Klien (Secure Client)
  4. Salin ID Klien dan Rahasia Klien
  5. Catat ID Pelanggan dan ID Situs Anda (ID Instansi)

Untuk mengumpulkan log dari beberapa tenant Citrix, tambahkan koneksi terpisah untuk setiap tenant. Setiap catatan diberi tag dengan CitrixCustomerId sehingga Anda dapat membedakan penyewa.

  • Data Connectors Grid (dikonfigurasi di portal)



Claroty xDome

Didukung oleh:xDome Customer Support

Claroty xDome memberikan kemampuan manajemen keamanan dan pemberitahuan yang komprehensif untuk lingkungan layanan kesehatan dan jaringan industri. Ini dirancang untuk memetakan beberapa jenis sumber, mengidentifikasi data yang dikumpulkan, dan mengintegrasikannya ke dalam model data Microsoft Sentinel. Hal ini menghasilkan kemampuan untuk memantau semua potensi ancaman di lingkungan kesehatan dan industri Anda di satu lokasi, yang mengarah ke pemantauan keamanan yang lebih efektif dan postur keamanan yang lebih kuat.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
CommonSecurityLog Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Instruksi Penyetelan:

1. Konfigurasi agen Linux Syslog

Instal dan konfigurasikan agen Linux untuk mengumpulkan pesan Syslog Common Event Format (CEF) Anda dan teruskan ke Microsoft Sentinel.

Perhatikan bahwa data dari semua wilayah akan disimpan di ruang kerja yang dipilih

1.1 Memilih atau membuat komputer Linux

Pilih atau buat komputer Linux yang Microsoft Sentinel akan gunakan sebagai proksi antara solusi keamanan Anda dan Microsoft Sentinel komputer ini dapat berada di lingkungan lokal Anda, Azure atau cloud lainnya.

1.2 Instal kolektor CEF di komputer Linux

Instal Microsoft Monitoring Agent di komputer Linux Anda dan konfigurasikan komputer untuk mendengarkan port yang diperlukan dan meneruskan pesan ke ruang kerja Microsoft Sentinel Anda. Kolektor CEF mengumpulkan pesan CEF pada port 514 TCP.

  1. Pastikan Anda memiliki Python di komputer Anda menggunakan perintah berikut: python --version.

  2. Anda harus memiliki izin yang lebih tinggi (sudo) pada mesin Anda.

  • Jalankan perintah berikut untuk menginstal dan menerapkan pengumpul CEF:: <nilai variabel yang disediakan pada waktu penginstalan>

2. Meneruskan log Common Event Format (CEF) ke agen Syslog

Konfigurasikan integrasi Claroty xDome - Microsoft Sentinel untuk mengumpulkan pesan Common Event Format (CEF) Syslog Anda dan teruskan ke Microsoft Sentinel.

3. Memvalidasi koneksi

Ikuti instruksi untuk memvalidasi konektivitas Anda:

Buka Log Analytics untuk memeriksa apakah log diterima menggunakan skema CommonSecurityLog.

Mungkin perlu waktu sekitar 20 menit hingga koneksi mengalirkan data ke ruang kerja Anda.

Jika log tidak diterima, jalankan skrip validasi konektivitas berikut:

  1. Pastikan Anda memiliki Python di komputer Anda menggunakan perintah berikut: python --version

  2. Anda harus memiliki izin yang ditingkatkan (sudo) pada komputer Anda

  • Jalankan perintah berikut untuk memvalidasi konektivitas Anda:: <nilai variabel yang disediakan pada waktu penginstalan>

**4. Amankan komputer Anda **

Pastikan untuk mengonfigurasi keamanan komputer sesuai dengan kebijakan keamanan organisasi Anda

Pelajari selengkapnya>



Cloudflare (Pratinjau) (menggunakan Azure Functions)

Didukung oleh:Cloudflare

Konektor data Cloudflare menyediakan kemampuan untuk menyerap log Cloudflare ke Microsoft Azure Sentinel menggunakan Cloudflare Logpush dan Azure Blob Storage. Lihat dokumentasi Cloudflare untuk informasi selengkapnya.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
Cloudflare_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Microsoft. Izin web/situs: Izin baca dan tulis ke Azure Functions untuk membuat Aplikasi Fungsi diperlukan. Untuk informasi selengkapnya, lihat Azure Functions.
  • Azure Blob Storage string koneksi dan nama kontainer: Azure Blob Storage string koneksi dan nama kontainer tempat log didorong oleh Cloudflare Logpush. Untuk informasi selengkapnya, lihat buat Azure Blob Storage container.

Instruksi Penyetelan:

CATATAN: Konektor ini menggunakan Azure Functions untuk terhubung ke API Azure Blob Storage untuk menarik log ke Microsoft Sentinel. Ini dapat mengakibatkan biaya tambahan untuk penyerapan data dan untuk menyimpan data dalam biaya Azure Blob Storage. Periksa halaman harga Azure Functions dan halaman harga Azure Blob Storage untuk detailnya.

(Langkah Opsional) Simpan ruang kerja dan kunci otorisasi API atau token dengan aman di Azure Key Vault. Azure Key Vault menyediakan mekanisme aman untuk menyimpan dan mengambil nilai kunci. Ikuti instruksi ini untuk menggunakan Azure Key Vault dengan Aplikasi Fungsi Azure.

CATATAN: Konektor data ini tergantung pada pengurai berdasarkan Fungsi Kusto untuk bekerja seperti yang diharapkan Cloudflare yang disebarkan dengan Solusi Microsoft Sentinel.

LANGKAH 1 - Konfigurasi Cloudflare Logpush

Lihat dokumentasi untuk menyiapkan Cloudflare Logpush ke Microsoft Azure

LANGKAH 2 - Pilih ONE dari dua opsi penyebaran berikut untuk menyebarkan konektor dan Fungsi Azure terkait

PENTING: Sebelum menyebarkan konektor data Cloudflare, miliki ID Ruang Kerja dan Kunci Primer Ruang Kerja (dapat disalin dari yang berikut), serta Azure Blob Storage string koneksi dan nama kontainer, tersedia dengan mudah.

  • ID ruang kerja: <nilai variabel yang disediakan pada waktu penginstalan>
  • Kunci Primer: <nilai variabel yang disediakan pada waktu penginstalan>

Opsi 1 - Templat Azure Resource Manager (ARM)

Gunakan metode ini untuk penyebaran otomatis konektor data Cloudflare menggunakan Templat ARM.

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.ms

  2. Pilih Langganan, Grup Sumber Daya, dan Lokasi pilihan.

  3. Masukkan Nama Kontainer Azure Blob Storage, String Koneksi Azure Blob Storage, Id Ruang Kerja Microsoft Sentinel, Microsoft Sentinel Kunci Bersama

  4. Tandai kotak centang berlabel Saya menyetujui syarat dan ketentuan yang dinyatakan di atas.

  5. Klik Beli untuk menyebarkan.

Opsi 2 - Penyebaran manual Azure Functions

Gunakan instruksi langkah demi langkah berikut untuk menyebarkan konektor data Cloudflare secara manual dengan Azure Functions (Penyebaran melalui Visual Studio Code).

  1. Menyebarkan Aplikasi Fungsi

CATATAN: Anda harus menyiapkan kode VS untuk pengembangan fungsi Azure.

  1. Unduh file Aplikasi Fungsi Azure. Ekstrak arsip ke komputer pengembangan lokal Anda.

  2. Jalankan VS Code. Pilih File di menu utama dan pilih Buka Folder.

  3. Pilih folder tingkat atas dari file yang diekstrak.

  4. Pilih ikon Azure di bilah Aktivitas, lalu di area Azure: Fungsi, pilih tombol Sebarkan ke aplikasi fungsi. Jika Anda belum masuk, pilih ikon Azure di bilah Aktivitas, lalu di area Azure: Functions, pilih Masuk ke Azure Jika Anda sudah masuk, buka langkah berikutnya.

  5. Berikan informasi berikut pada permintaan:

    a. Pilih folder: Pilih folder dari ruang kerja Anda atau telusuri folder yang berisi aplikasi fungsi Anda.

    b. Pilih Langganan: Pilih langganan yang akan digunakan.

    c. Pilih Buat Aplikasi Fungsi baru di Azure (Jangan pilih opsi Tingkat Lanjut)

    d. Masukkan nama unik global untuk aplikasi fungsi: Ketik nama yang valid di jalur URL. Nama yang Anda ketik akan divalidasi untuk memastikan bahwa nama tersebut bersifat unik di Azure Functions. (misalnya CloudflareXX).

    e. Pilih runtime: Pilih Python 3.8.

    f. Pilih lokasi untuk sumber daya baru. Untuk performa yang lebih baik dan biaya yang lebih rendah, pilih wilayah yang sama tempat Microsoft Sentinel berada.

  6. Penyebaran akan dimulai. Notifikasi ditampilkan setelah aplikasi fungsi Anda dibuat dan paket penyebaran diterapkan.

  7. Buka portal Azure untuk konfigurasi Aplikasi Fungsi.

  8. Mengonfigurasi Aplikasi Fungsi

  9. Di Aplikasi Fungsi, pilih Nama Aplikasi Fungsi dan pilih Konfigurasi.

  10. Di tab Pengaturan aplikasi, pilih + Pengaturan aplikasi baru.

  11. Tambahkan masing-masing pengaturan aplikasi berikut satu per satu, dengan nilai string masing-masing (peka huruf besar/kecil): CONTAINER_NAME AZURE_STORAGE_CONNECTION_STRING WORKSPACE_ID SHARED_KEY logAnalyticsUri (Opsional)

  • Gunakan logAnalyticsUri untuk mengambil alih titik akhir API analitik log untuk cloud khusus. Misalnya, untuk cloud publik, biarkan nilai kosong; untuk Azure lingkungan cloud GovUS, tentukan nilai dalam format berikut: https://WORKSPACE_ID.ods.opinsights.azure.us.
  1. Setelah semua pengaturan aplikasi dimasukkan, klik Simpan.



Cloudflare (Menggunakan Kontainer Blob) (melalui Kerangka Kerja Konektor Tanpa Kode)

Didukung oleh:Cloudflare

Konektor data Cloudflare menyediakan kemampuan untuk menyerap log Cloudflare ke dalam Microsoft Sentinel menggunakan Cloudflare Logpush dan Azure Blob Storage. Lihat dokumentasi Cloudflare untuk informasi selengkapnya.

CATATAN: Konektor data Cloudflare (Menggunakan Kontainer Blob) (melalui Kerangka Kerja Konektor Tanpa Kode) yang tersedia dalam solusi mengharuskan akun Azure Blob Storage dan ruang kerja Microsoft Sentinel berada dalam langganan Azure yang sama dan Grup Sumber Daya yang sama. Penyebaran di berbagai langganan atau grup sumber daya dapat mengakibatkan kesalahan seperti CreateDataFlowResources yang tidak ditentukan selama konfigurasi konektor.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
CloudflareV2_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Buat akun penyimpanan dan kontainer: Sebelum menyiapkan logpush di Cloudflare, pertama-tama buat akun penyimpanan dan kontainer di Microsoft Azure. Gunakan panduan ini untuk mengetahui lebih lanjut tentang Container dan Blob. Ikuti langkah-langkah dalam dokumentasi untuk membuat akun Azure Storage.
  • Membuat URL SAS Blob: Izin Buat dan Tulis diperlukan. Lihat dokumentasi untuk mengetahui lebih lanjut tentang token dan url Blob SAS.
  • Mengumpulkan log dari Cloudflare ke kontainer Blob Anda: Ikuti langkah-langkah dalam dokumentasi untuk mengumpulkan log dari Cloudflare ke kontainer Blob Anda.

Instruksi Penyetelan:

Menyambungkan Log Cloudflare ke Microsoft Sentinel

Untuk mengaktifkan log Cloudflare untuk Microsoft Sentinel, berikan informasi yang diperlukan di bawah ini dan klik Sambungkan.

  • URL kontainer Blob yang ingin Anda kumpulkan datanya:
  • Nama grup sumber daya akun penyimpanan kontainer Blob:
  • Lokasi akun penyimpanan kontainer Blob:
  • Id langganan akun penyimpanan kontainer Blob:
  • Nama topik event grid dari akun penyimpanan kontainer blob jika ada. lainnya tetap kosong.:
  • Aktifkan/Nonaktifkan Koneksi



Perusahaan

Didukung oleh:Cognni

Konektor Cognni menawarkan integrasi cepat dan sederhana dengan Microsoft Sentinel. Anda dapat menggunakan Cognni untuk secara otonom memetakan informasi penting Anda yang sebelumnya tidak diklasifikasikan dan mendeteksi insiden terkait. Ini memungkinkan Anda mengenali risiko pada informasi penting Anda, memahami tingkat keparahan insiden, dan menyelidiki detail yang Anda butuhkan untuk memulihkan, cukup cepat untuk membuat perbedaan.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
CognniIncidents_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Instruksi Penyetelan:

Menyambungkan ke Cognni

  1. Buka halaman integrasi Cognni
  2. Klik 'Sambungkan' pada kotak 'Microsoft Sentinel'
  3. Salin dan tempel 'workspaceId' dan 'sharedKey' (dari bawah) ke bidang terkait di layar integrasi Cognni
  4. Klik botton 'Sambungkan' untuk menyelesaikan konfigurasi.
    Segera, semua insiden yang terdeteksi Cognni Anda akan diteruskan di sini (ke dalam Microsoft Sentinel)

Bukan pengguna Cognni? Bergabunglah dengan kami

  • ID ruang kerja: <nilai variabel yang disediakan pada waktu penginstalan>
  • Kunci Bersama: <nilai variabel yang disediakan pada waktu penginstalan>



Cohesity (menggunakan Azure Functions)

Didukung oleh:Cohesity

Aplikasi fungsi Cohesity menyediakan kemampuan untuk menyerap pemberitahuan ransomware Cohesity Datahawk ke dalam Microsoft Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
Cohesity_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Microsoft. Izin web/situs: Izin baca dan tulis ke Azure Functions untuk membuat Aplikasi Fungsi diperlukan. Untuk informasi selengkapnya, lihat Azure Functions.
  • Azure Blob Storage string koneksi dan nama kontainer: Azure Blob Storage string koneksi dan nama kontainer

Instruksi Penyetelan:

CATATAN: Konektor ini menggunakan Azure Functions yang tersambung ke Azure Blob Storage dan KeyVault. Ini dapat mengakibatkan biaya tambahan. Periksa halaman harga Azure Functions, halaman harga Azure Blob Storage, dan halaman harga Azure KeyVault untuk detailnya.

(Langkah Opsional) Simpan ruang kerja dan kunci otorisasi API atau token dengan aman di Azure Key Vault. Azure Key Vault menyediakan mekanisme aman untuk menyimpan dan mengambil nilai kunci. Ikuti instruksi ini untuk menggunakan Azure Key Vault dengan Aplikasi Fungsi Azure.

LANGKAH 1 - Dapatkan kunci API Cohesity DataHawk (lihat instruksi pemecahan masalah 1)

LANGKAH 2 - Daftarkan aplikasi Azure (tautan) dan simpan ID Aplikasi (klien), ID Direktori (penyewa), dan Nilai Rahasia (instruksi). Berikan izin Azure Storage (user_impersonation). Selain itu, tetapkan peran 'Microsoft Sentinel Contributor' ke aplikasi dalam langganan yang sesuai.

LANGKAH 3 - Sebarkan konektor dan Azure Functions terkait.

Templat Azure Resource Manager (ARM)

Gunakan metode ini untuk penyebaran otomatis konektor data Kohesitas menggunakan Templat ARM.

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.ms

  2. Pilih Langganan, Grup Sumber Daya, dan Lokasi pilihan.

  3. Masukkan parameter yang Anda buat di langkah-langkah sebelumnya

  4. Tandai kotak centang berlabel Saya menyetujui syarat dan ketentuan yang dinyatakan di atas.

  5. Klik Beli untuk menyebarkan.



Commvault Security IQ (melalui Codeless Connector Framework)

Didukung oleh:Commvault

Konektor data Commvault Security IQ menginput peristiwa deteksi anomali dari lingkungan Commvault ke Microsoft Sentinel, memungkinkan deteksi dan respons terhadap ancaman yang menargetkan infrastruktur cadangan seperti ransomware dan operasi file mencurigakan. Event disimpan dalam CommvaultAlertsCCF_CL tabel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
CommvaultAlertsCCF_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Kredensial API Commvault: URL dasar lingkungan Commvault dan token API yang valid diperlukan untuk mengotorisasi permintaan API.

Instruksi Penyetelan:

1. Manajemen Konektor

Kelola instance konektor Commvault Security IQ Anda. Setiap instance terhubung ke satu lingkungan Commvault.

Instansi Konektor Keamanan Commvault IQ

Konektor ini melakukan polling kepada Commvault setiap 30 menit dan memasukkan peristiwa anomali ancaman ke dalam CommvaultAlertsCCF_CL tabel.

  • Data Connectors Grid (dikonfigurasi di portal)



CommvaultSecurityIQ

Didukung oleh:Commvault

Fungsi Azure ini memungkinkan pengguna Commvault untuk menyerap pemberitahuan/peristiwa ke dalam instans Microsoft Sentinel mereka. Dengan Aturan Analitik, Microsoft Sentinel dapat secara otomatis membuat insiden Microsoft Sentinel dari peristiwa dan log masuk.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
CommvaultAlerts_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Microsoft. Izin web/situs: Izin baca dan tulis ke Azure Functions untuk membuat Aplikasi Fungsi diperlukan. Untuk informasi selengkapnya, lihat Azure Functions.
  • URL Titik Akhir Lingkungan Commvault: Pastikan untuk mengikuti dokumentasi dan mengatur nilai rahasia di KeyVault
  • Commvault QSDK Token: Pastikan untuk mengikuti dokumentasi dan mengatur nilai rahasia di KeyVault

Instruksi Penyetelan:

CATATAN: Konektor ini menggunakan Azure Functions untuk terhubung ke Instans Commvault untuk menarik lognya ke Microsoft Sentinel. Ini dapat mengakibatkan biaya penyerapan data tambahan. Periksa halaman harga Azure Functions untuk detailnya.

Simpan ruang kerja dan kunci otorisasi API atau token dengan aman di Azure Key Vault. Azure Key Vault menyediakan mekanisme aman untuk menyimpan dan mengambil nilai kunci. Ikuti instruksi ini untuk menggunakan Azure Key Vault dengan Aplikasi Fungsi Azure.

LANGKAH 1 - Langkah konfigurasi untuk Token Commvalut QSDK

Ikuti petunjuk ini untuk membuat Token API.

LANGKAH 2 - Menyebarkan konektor dan Fungsi Azure terkait

PENTING: Sebelum menyebarkan konektor data CommvaultSecurityIQ, miliki ID Ruang Kerja dan Kunci Utama Ruang Kerja (dapat disalin dari yang berikut), serta URL Titik Akhir Commvault dan Token QSDK, tersedia dengan mudah.

  • ID ruang kerja: <nilai variabel yang disediakan pada waktu penginstalan>
  • Kunci Primer: <nilai variabel yang disediakan pada waktu penginstalan>

Templat Azure Resource Manager (ARM)

Gunakan metode ini untuk penyebaran otomatis konektor data Commvault Security IQ.

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.ms

  2. Pilih Langganan, Grup Sumber Daya, dan Wilayah pilihan.

  3. Masukkan ID Ruang Kerja, Kunci Ruang Kerja 'dan/atau Bidang lain yang diperlukan' dan klik Berikutnya.

  4. Klik Buat untuk menyebarkan.



Acara ContraForce

Didukung oleh:ContraForce

Konektor ContraForce Events menginput peristiwa pengiriman layanan keamanan dari workspace ContraForce Anda ke Microsoft Sentinel: deteksi insiden dari setiap platform keamanan yang terhubung, perubahan akses administratif (perubahan peran dan anggota), aktivitas kredensial mesin, dan tindakan workspace yang merusak. Gunakan ini untuk memantau operasi keamanan yang dilakukan ContraForce di workspace ini dari dalam Sentinel Anda sendiri.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
ContraForceEvents_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Kredensial akun layanan ContraForce: Kredensial akun layanan ContraForce dengan cakupan 'Audit: Export', dibuat di portal ContraForce di bawah Settings > Developers. Akun layanan harus memiliki peran di workspace yang Anda hubungkan.

Instruksi Penyetelan:

1. Buat kredensial ekspor ContraForce

Di portal ContraForce, buka > Settings Developers, pilih (atau buat) akun layanan yang memiliki peran di workspace yang ingin Anda hubungkan, dan tambahkan kredensial dengan cakupan Audit: Export. Salin ID klien dan rahasia klien sekali pakai.

Event mengikuti akun yang terjadi di bawahnya: hubungkan setiap workspace pelanggan untuk event-nya, dan akun organisasi Anda sendiri untuk event tingkat organisasi seperti aktivitas akun layanan dan kredensial.

2. Hubungkan ruang kerja ContraForce Anda

Masukkan URL portal ContraForce Anda (ubah hanya jika Anda menggunakan portal regional, misalnya platform Inggris), ID workspace ContraForce Anda (ditampilkan pada URL portal ContraForce dan pengaturan workspace), serta kredensial dari langkah 1, lalu pilih Hubungkan.

  • URL portal ContraForce: (https://portal.contraforce.com)
  • ID ruang kerja ContraForce: (0000000-0000-0000-0000-000000000000)
  • ID Klien: (ID Klien)
  • Rahasia klien: (Rahasia klien)
  • Aktifkan/Nonaktifkan Koneksi



Konektor Dorong ADR Kontras

Didukung oleh:Contrast Security

Konektor Contrast Security menyediakan kemampuan untuk menyerap peristiwa serangan dan insiden dari Contrast Application Detection and Response (ADR) ke dalam Microsoft Sentinel. Konektor ini menerima data melalui mekanisme pendorongan webhook menggunakan autentikasi OAuth.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
ContrastADRAttackEvents_CL Yes Yes
ContrastADRIncidents_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Microsoft Entra: Izin untuk membuat pendaftaran aplikasi di Microsoft Entra ID (jika menggunakan aplikasi yang dibuat otomatis). Biasanya memerlukan peran Pengembang Aplikasi atau yang lebih tinggi.
  • Microsoft Azure: Izin untuk membuat dan mengonfigurasi sumber daya Azure (DCE, DCR, Tabel) dan menetapkan peran RBAC. Biasanya memerlukan peran Kontributor dan Administrator Akses Pengguna.
  • Akses Webhook ADR Kontras: Akses ke platform Contrast ADR untuk mengonfigurasi webhook dengan pengaturan autentikasi OAuth.

Instruksi Penyetelan:

1. Menyebarkan Sumber Daya Konektor

Sebarkan sumber daya Azure yang diperlukan untuk penyerapan data Contrast ADR.

Pilih Opsi Penyebaran Anda

Pilih salah satu opsi penyebaran berikut berdasarkan persyaratan:

Mengklik Sebarkan Konektor ADR CCF Kontras akan secara otomatis membuat:

  • Titik Akhir Pengumpulan Data (DCE)
  • Aturan Pengumpulan Data (DCR) dengan aliran untuk peristiwa dan insiden serangan
  • tabel Log Analytics (ContrastADRAttackEvents_CL dan ContrastADRIncidents_CL)
  • Aplikasi Microsoft Entra dengan kredensial OAuth
  • Penetapan peran (Publisher Metrik Pemantauan) pada DCR

Setelah penyebaran: Semua nilai konfigurasi (ID Penyewa, ID Klien, Rahasia Klien, URI DCE, ID Tidak Dapat Diubah DCR) akan diisi secara otomatis di bawah ini untuk mudah disalin-tempel ke platform Kontras.

Opsi B: Gunakan Aplikasi Microsoft Entra yang Sudah Ada Sebelumnya (BYOA)

Mengklik Sebarkan Konektor ADR CCF Kontras akan membuat:

  • Titik Akhir Pengumpulan Data (DCE)
  • Aturan Pengumpulan Data (DCR) dengan aliran untuk peristiwa dan insiden serangan
  • tabel Log Analytics (ContrastADRAttackEvents_CL dan ContrastADRIncidents_CL)
  • Aplikasi Microsoft Entra (Anda dapat mengabaikan ini)

Kapan harus digunakan: Jika Anda memiliki Aplikasi Entra yang sudah ada yang ingin Anda gunakan kembali karena alasan keamanan atau kepatuhan. Langkah tambahan diperlukan:

  1. Setelah penyebaran, tetapkan Perwakilan Layanan Aplikasi Entra yang sudah ada sebelumnya dengan peran Publisher Metrik Pemantauan pada DCR yang dibuat
  2. Gunakan ID Klien dan Rahasia Klien Aplikasi Entra Anda sendiri (abaikan yang dibuat secara otomatis di bawah)
  3. Gunakan DCE URI dan DCR Immutable ID dari bawah dalam konfigurasi webhook Contrast Anda

Klik Sebarkan untuk memulai:

2. Mengonfigurasi Contrast ADR Webhook

Salin nilai berikut untuk mengonfigurasi integrasi Microsoft Sentinel di platform Contrast ADR.

Untuk Opsi A (Aplikasi Entra yang Dibuat Otomatis): Gunakan semua nilai yang diisi secara otomatis di bawah ini. Untuk Opsi B (Aplikasi Entra yang Sudah Ada Sebelumnya): Gunakan DCE URI, DCR Immutable ID, dan Stream Names dari bawah, tetapi gunakan ID Penyewa, ID Klien, dan Rahasia Klien Aplikasi Entra Anda sendiri.

Nilai Konfigurasi Azure:

  • ID Penyewa: <nilai variabel yang disediakan pada waktu penginstalan>
  • ID Aplikasi (Klien):< nilai variabel yang disediakan pada waktu penginstalan>
  • Rahasia Klien: <nilai variabel yang disediakan pada waktu penginstalan>
  • URI Titik Akhir Pengumpulan Data (DCE):< nilai variabel yang disediakan pada waktu penginstalan>
  • ID Tidak Dapat Diubah Aturan Pengumpulan Data (DCR):< nilai variabel yang disediakan pada waktu penginstalan>
  • Nama Stream Peristiwa Serangan: <nilai variabel yang disediakan pada waktu penginstalan>
  • Nama Aliran Insiden: <nilai variabel yang disediakan pada waktu penginstalan>

Mengonfigurasi di Contrast ADR Platform

  1. Masuk ke platform Contrast ADR Anda
  2. Menavigasi ke Integrasi > Administrasi > Microsoft Sentinel
  3. Salin dan tempel semua nilai konfigurasi dari atas:
    • ID Penyewa
    • ID Aplikasi (Klien)
    • Rahasia Klien
    • URI Titik Akhir Pengumpulan Data (DCE)
    • ID Aturan Pengumpulan Data (DCR) Tidak Dapat Diubah
    • Nama Aliran Peristiwa Serangan
    • Nama Aliran Insiden
  4. Klik Simpan untuk menyelesaikan integrasi

Platform Contrast akan secara otomatis mengonfigurasi autentikasi OAuth dan titik akhir data menggunakan nilai-nilai ini.

3. Verifikasi Penyerapan Data

Verifikasi bahwa data mengalir dari Contrast ADR ke Microsoft Sentinel.

Langkah-langkah Verifikasi

  1. Memicu peristiwa serangan pengujian di Contrast ADR
  2. Tunggu 5-10 menit agar data muncul di Microsoft Sentinel
  3. Jalankan kueri berikut untuk memverifikasi peristiwa serangan:
ContrastADRAttackEvents_CL
| take 10
  1. Memverifikasi data insiden:
ContrastADRIncidents_CL
| take 10
  1. Periksa konektivitas:
ContrastADRAttackEvents_CL
| summarize LastLogReceived = max(TimeGenerated)
| project IsConnected = LastLogReceived > ago(7d)

Jika data muncul dan IsConnected mengembalikan true, konektor Anda dikonfigurasi dengan benar!



Pengekspor Konektor Corelight

Didukung oleh:Corelight

Konektor data Corelight memungkinkan responden insiden dan pemburu ancaman yang menggunakan Microsoft Azure Sentinel untuk bekerja lebih cepat dan lebih efektif. Konektor data memungkinkan penghapusan event dari Zeek dan Suricata melalui Corelight Sensors ke Microsoft Sentinel menggunakan Azure Monitor Logs Ingestion API. Peristiwa dikirim oleh Sensor Corelight ke Data Collection Endpoint (DCE) dan diarahkan ke tabel khusus Corelight_v3_*_CL melalui Aturan Pengumpulan Data (DCR) per jenis log.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
Corelight No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Aplikasi Microsoft Entra ID: Izin untuk mendaftarkan aplikasi di Microsoft Entra ID dan membuat client secret. Biasanya membutuhkan peran Pengembang Aplikasi atau lebih tinggi.
  • Penugasan peran Azure: Izin untuk menetapkan peran Monitoring Metrics Publisher pada Aturan Pengumpulan Data yang telah diterapkan. Biasanya memerlukan peran Administrator Akses Pemilik atau Pengguna pada kelompok sumber daya target.
  • Akses Sensor Corelight: Akses administratif ke Sensor Corelight (atau Fleet Manager) untuk mengonfigurasi ekspor Microsoft Sentinel.

Instruksi Penyetelan:

CATATAN: Konektor data ini tergantung pada pengurai berdasarkan Fungsi Kusto untuk bekerja seperti Corelight yang diharapkan yang disebarkan dengan Solusi Microsoft Sentinel.

1. Terapkan sumber daya pengumpulan data Corelight

Sebarkan template ARM yang membuat Data Collection Endpoint (DCE), Corelight_v3_*_CL tabel, dan satu Data Collection Rule (DCR) per tipe log Corelight di workspace Anda.

Gunakan tombol di bawah ini untuk menyebarkan sumber daya konektor ke dalam langganan dan grup sumber daya yang sama dengan ruang kerja Microsoft Sentinel Anda.

aka.ms

Jika diminta, berikan:

Parameter Value
workspace Nama workspace Log Analytics Anda (bukan ID)
workspace-location Wilayah Azure dari workspace
resourceId ID sumber daya lengkap dari workspace

Penerapan membuat:

  • Satu Data Collection Endpoint bernama dce-corelight-<workspace> (nama workspace dipotong menjadi 17 karakter)
  • Satu tabel kustom per tipe log Corelight, bernama Corelight_v3_<log_type>_CL
  • Satu Aturan Pengumpulan Data per tipe log, bernama dcr-corelight-<workspace>-<log_type>, masing-masing diberi tag dengan corelight-log-type

CATATAN: Azure membatasi nama sumber daya hingga 64 karakter dan tipe log Corelight terpanjang adalah 32 karakter, sehingga template hanya menggunakan 17 karakter pertama dari nama workspace saat membangun nama endpoint dan aturan. Jika nama workspace Anda lebih panjang dari 17 karakter, sumber daya yang disebarkan dinamai berdasarkan awalan yang dipotong tersebut, misalnya dcr-corelight-<first-17-chars>-<log_type>.

CATATAN: Penerapan dapat memakan waktu beberapa menit untuk diselesaikan karena banyak tabel dan aturan yang dibuat. Tunggu sampai selesai sebelum melanjutkan.

2. Daftarkan aplikasi Microsoft Entra ID

Sensor Corelight mengautentikasi ke API Logs Ingestion dengan aplikasi Microsoft Entra ID. Buat aplikasi dan client secret, lalu catat nilainya.

Buat aplikasi

  1. Di portal Azure, buka Microsoft Entra ID > Pendaftaran aplikasi > Pendaftaran baru.
  2. Masukkan nama, misalnya Corelight Sentinel Connector.
  3. Di bawah Tipe akun yang didukung, pilih Akun hanya di direktori organisasi ini.
  4. Biarkan URI Pengalihan kosong dan pilih Daftar.
  5. Di halaman Ikhtisar aplikasi, salin ID Aplikasi (klien) dan ID Direktori (tenant).

Membuat rahasia klien

  1. Di halaman aplikasi, buka Sertifikat & rahasia > Rahasia > klien Rahasia klien baru.
  2. Masukkan deskripsi, pilih masa berlaku, lalu pilih Tambah.
  3. Salin Nilai rahasia segera. Kartu ini hanya ditampilkan sekali dan tidak dapat diambil kembali nanti.

Sekarang Anda memiliki Tenant ID, Client ID, dan Client Secret yang diperlukan oleh Sensor Corelight.

Untuk informasi lebih lanjut, lihat Daftarkan aplikasi dengan Microsoft Entra ID.

3. Berikan aplikasi akses ke DCR

Aplikasi membutuhkan dua peran Azure pada DCR:

  • Monitoring Metrics Publisher — untuk menulis data log ke DCR.
  • Reader — sehingga eksportir dapat melakukan query pada DCR dan mencocokkan setiap jenis log dengan DCR-nya melalui corelight-log-type tag saat startup.

Tetapkan keduanya pada lingkup grup sumber daya agar berlaku untuk semua Aturan Pengumpulan Data Corelight yang dibuat pada langkah 1.

  1. Pergi ke grup sumber daya yang berisi DCE dan DCR yang telah dideploy.
  2. Pilih Kontrol Akses (IAM) > Tambahkan > penugasan peran.
  3. Pada tab Peran, cari dan pilih Monitoring Metrics Publisher.
  4. Pada tab Anggota, pilih Pengguna, grup, atau prinsipal layanan, lalu pilih aplikasi yang Anda daftarkan pada langkah 2.
  5. Pilih Tinjau + beri tugas.
  6. Ulangi penugasan peran untuk peran Pembaca .

CATATAN: Penetapan peran bisa memakan waktu beberapa menit untuk mulai berlaku. Jika sensor melaporkan kesalahan otorisasi segera setelah penugasan, tunggu dan coba lagi.

Berikan izin Microsoft Graph

Eksportir juga membutuhkan izin Microsoft Graph yang digunakan untuk mencari ID DCR dari tag-mereka.

  1. Di pendaftaran aplikasi, buka izin API.
  2. Pastikan Microsoft Graph User.Read (Delegated) tercantum. Pendaftaran aplikasi baru secara default menyertakan izin ini, jadi biasanya tidak diperlukan tindakan.
  3. Jika tidak ada, pilih Tambah izin > Microsoft Graph > Delegated permissions, cari User.Read, pilih, dan pilih Add permissions.

4. Mengumpulkan nilai yang dibutuhkan oleh eksportir Corelight

Eksportir Corelight menemukan Aturan Pengumpulan Data berdasarkan tag. Kumpulkan URI Data Collection Endpoint, ID langganan, dan konfirmasi tag DCR serta pola nama stream.

URI Titik Akhir Pengumpulan Data

  1. Buka Monitor Pengaturan >> Data Endpoint.
  2. Pilih dce-corelight-<workspace>.
  3. Di halaman Ikhtisar, salin URI ingestion Logs . URL ini memiliki format https://dce-corelight-<workspace>-<suffix>.<region>.ingest.monitor.azure.com.

ID Langganan

Salin ID langganan yang berisi Endpoint Pengumpulan Data dan Aturan Pengumpulan Data yang telah disebarkan.

  1. Di portal Azure, cari dan buka Langganan.
  2. Pilih langganan yang berisi sumber daya yang telah didistribusikakan.
  3. Di halaman Ikhtisar, salin ID Langganan.

Tag tipe log Aturan Pengumpulan Data

Penerapan akan menandai setiap Aturan Pengumpulan Data Corelight dengan jenis log yang diterimanya. Eksportir menggunakan tag ini untuk memilih DCR yang benar untuk setiap log, sehingga tidak perlu dimasukkan secara manual ID yang tidak dapat diubah.

Tag Value
corelight-log-type Tipe log Corelight, misalnya conn, dns, http
solution Corelight

Untuk meninjau aturan yang telah diterapkan dan tipe lognya di portal, buka Monitor Pengaturan >> Aturan Pengumpulan Data dan cari aturan bernama dcr-corelight-<workspace>-<log_type>.

Anda juga dapat mencantumkannya dengan Azure CLI. Jalankan perintah dari Azure Cloud Shell di portal, seperti yang dijelaskan pada bagian di bawah.

az monitor data-collection rule list \
  --resource-group <resource-group> \
  --query "[?tags.solution=='Corelight'].{logType:tags.\"corelight-log-type\", name:name}" \
  --output table

Menjalankan perintah Azure CLI dari portal Azure

Perintah Azure CLI dalam konektor ini dapat dijalankan langsung di portal menggunakan Azure Cloud Shell, tanpa perlu instalasi lokal.

  1. Di portal Azure, pilih ikon Cloud Shell (>_) di toolbar atas, atau buka .https://shell.azure.com

  2. Saat diminta memilih lingkungan, pilih Bash. Perintah di bawah ini ditulis untuk Bash.

  3. Jika ini pertama kalinya Anda menggunakan Cloud Shell, ikuti prompt untuk membuat atau memilih akun penyimpanan.

  4. Pastikan Anda berada di langganan yang benar, dan beralih jika diperlukan:

    az account show --output table
az account set --subscription "<subscription-name-or-id>"

  5. Tambahkan perintah Aturan Pengumpulan Data, yang dikirim dalam ekstensi CLI:

    az extension add --name monitor-control-service

  6. Tempel perintah yang ingin Anda jalankan, mengganti <resource-group>, <workspace>, dan <log_type> dengan nilai Anda sendiri.

CATATAN: Perintah memerlukan az monitor data-collection rulemonitor-control-service ekstensi. Jika Anda menjalankannya tanpa fitur tersebut, Cloud Shell menawarkan untuk menginstal ekstensi secara otomatis pada percobaan pertama.

Nama aliran

Setiap DCR mendeklarasikan satu aliran tunggal, dinamai sesuai dengan tabel tujuannya:

Custom-<table_name>

Untuk sebagian besar tipe log, nama tabel mengikuti pola Corelight_v3_<log_type>_CL. Misalnya, tipe conn log menggunakan aliran Custom-Corelight_v3_conn_CL dan mendarat di tabel Corelight_v3_conn_CL. Inilah sebabnya template Nama Stream eksportir diatur ke Custom-Corelight_v3_$LOG_CL pada langkah berikutnya.

PENTING: Sejumlah kecil tipe log dengan nama panjang memiliki nama tabel yang dipersingkat, karena Log Analytics membatasi panjang nama tabel. Untuk tipe log tersebut, nama stream tidak Custom-Corelight_v3_<log_type>_CL, dan $LOG template tidak berhasil diselesaikan ke aliran yang benar. Lihat daftar di langkah 5.

Untuk membaca nama aliran langsung dari sebuah aturan, gunakan portal di bawah Aturan Pengumpulan > Data Pengaturan Monitor >>, pilih aturan > JSON View, atau jalankan:

az monitor data-collection rule show \
  --resource-group <resource-group> \
  --name dcr-corelight-<workspace>-<log_type> \
  --query "keys(streamDeclarations)" \
  --output tsv

Aturan Pengumpulan Data ID yang tidak dapat diubah (hanya referensi)

Eksportir menyelesaikan aturan melalui corelight-log-type tag, sehingga ID yang tidak dapat diubah tidak diperlukan untuk konfigurasi. Jika Anda membutuhkannya untuk pemecahan masalah atau untuk panggilan API Ingestion Logs langsung, baca di portal di bawah Monitor Pengaturan >> Aturan Pengumpulan > Data, pilih aturan > JSON View>immutableId, atau jalankan:

az monitor data-collection rule show \
  --resource-group <resource-group> \
  --name dcr-corelight-<workspace>-conn \
  --query immutableId \
  --output tsv

5. Konfigurasikan eksportir Microsoft Sentinel pada Sensor Corelight

Buat eksportir Microsoft Sentinel di Sensor Corelight atau di Fleet Manager, menggunakan nilai yang dikumpulkan pada langkah sebelumnya. Eksportir dikonfigurasi di platform Corelight dan didokumentasikan oleh Corelight.

Konfigurasikan eksportir di platform Corelight

Dokumentasi Corelight

Eksportir dibuat dan dikelola di platform Corelight, menggunakan antarmuka web sensor atau Fleet Manager. Ikuti dokumentasi Corelight sendiri untuk langkah-langkah pembuatan eksportir, sensor yang didukung, dan versi Fleet Manager, mengaktifkan opsi eksportir dinamis, dan mengunggah paket CA pribadi jika deployment Anda membutuhkannya:

Dokumentasi Corelight: Microsoft Sentinel eksportir dinamis

Sebelum Anda mulai

  • Langkah 1 sampai 4 dari konektor ini telah selesai, dan Anda memiliki URI Data Collection Endpoint, ID langganan, dan kredensial aplikasi.
  • Sensor atau Fleet Manager dapat mencapai Data Collection Endpoint melalui HTTPS keluar pada port 443. Jika lalu lintas keluar harus melewati proxy, siapkan URL proxy.
  • Sensor Anda menjalankan versi yang mendukung eksportir dinamis Microsoft Sentinel, dan opsi eksportir dinamis diaktifkan. Dokumentasi Corelight mencantumkan versi yang diperlukan dan pengaturan yang harus diaktifkan.

Nilai yang akan dimasukkan ke eksportir

Masukkan nilai-nilai ini saat membuat eksportir Microsoft Sentinel. Biarkan pengaturan yang tidak tercantum di sini tetap pada default Corelight kecuali Corelight menyarankan lain.

Pengaturan eksportir Corelight Nilai yang akan digunakan
ID Penyewa Langkah 2, ID Direktori (tenant) aplikasi
ID Pelanggan Langkah 2, ID Aplikasi (klien) aplikasi
Rahasia Klien Langkah 2, nilai rahasia klien
ID Langganan Langkah 4, langganan yang berisi DCE dan DCR
Titik Akhir Pengumpulan Data Langkah 4, URI Ingestion Log
Tag Tipe Log DCR corelight-log-type
Nama Aliran Custom-Corelight_v3_$LOG_CL

PENTING: Eksportir mengirim dengan template Custom-Corelight_v2_$LOG_CLnama stream default. Solusi ini membuat v3 tabel, jadi template harus diubah menjadi Custom-Corelight_v3_$LOG_CL. Membiarkan default tetap ada akan mengirim event ke stream yang tidak ada dan data akan ditolak.

Gunakan filter tipe log eksportir untuk mengontrol log Zeek mana yang diekspor. Aktifkan hanya jenis log yang ingin Anda konsumsi.

CATATAN: Mengonsumsi sejumlah besar jenis log meningkatkan biaya pengambilan data Microsoft Sentinel. Tinjau halaman harga Microsoft Sentinel sebelum mengaktifkan set lengkap.

Jenis log yang tidak tercakup oleh template nama stream

26 jenis log memiliki nama tabel yang dipersingkat karena batas panjang nama tabel Log Analytics, sehingga Custom-Corelight_v3_$LOG_CL tidak diselesaikan ke alirannya. Untuk mengingest salah satu dari ini, atur nama aliran secara eksplisit dari nilai di bawah ini daripada mengandalkan template.

Jenis log Nama aliran
modbus_read_device_identification Custom-Corelight_v3_modbus_read_device_identificatio_CL
modbus_read_write_multiple_registers Custom-Corelight_v3_modbus_read_write_multiple_regis_CL
opcua_binary_activate_session_client_software_cert Custom-Corelight_v3_opcua_binary_activate_session_cl_CL
opcua_binary_activate_session_locale_id Custom-Corelight_v3_opcua_binary_activate_session_lo_CL
opcua_binary_browse_request_continuation_point Custom-Corelight_v3_opcua_binary_browse_request_cont_CL
opcua_binary_browse_response_references Custom-Corelight_v3_opcua_binary_browse_response_ref_CL
opcua_binary_create_monitored_items Custom-Corelight_v3_opcua_binary_cm_items_CL
opcua_binary_create_monitored_items_create_item Custom-Corelight_v3_opcua_binary_cm_create_item_CL
opcua_binary_create_session_discovery Custom-Corelight_v3_opcua_binary_create_session_disc_CL
opcua_binary_create_session_endpoints Custom-Corelight_v3_opcua_binary_create_session_endp_CL
opcua_binary_create_session_user_token Custom-Corelight_v3_opcua_binary_create_session_user_CL
opcua_binary_event_filter_attribute_operand Custom-Corelight_v3_opcua_binary_event_filter_attrib_CL
opcua_binary_event_filter_attribute_operand_browse_paths Custom-Corelight_v3_opcua_bef_attr_operand_bpaths_CL
opcua_binary_event_filter_element_operand Custom-Corelight_v3_opcua_binary_event_filter_elemen_CL
opcua_binary_event_filter_literal_operand Custom-Corelight_v3_opcua_binary_event_filter_litera_CL
opcua_binary_event_filter_select_clause Custom-Corelight_v3_opcua_binary_event_filter_select_CL
opcua_binary_event_filter_simple_attribute_operand Custom-Corelight_v3_opcua_binary_event_filter_simple_CL
opcua_binary_event_filter_simple_attribute_operand_browse_paths Custom-Corelight_v3_opcua_bef_smpl_attr_bpaths_CL
opcua_binary_event_filter_where_clause Custom-Corelight_v3_opcua_bef_where_clause_CL
opcua_binary_event_filter_where_clause_elements Custom-Corelight_v3_opcua_bef_where_clause_elements_CL
opcua_binary_get_endpoints_description Custom-Corelight_v3_opcua_binary_get_endpoints_descr_CL
opcua_binary_get_endpoints_discovery Custom-Corelight_v3_opcua_binary_get_endpoints_disco_CL
opcua_binary_get_endpoints_locale_id Custom-Corelight_v3_opcua_binary_get_endpoints_local_CL
opcua_binary_get_endpoints_profile_uri Custom-Corelight_v3_opcua_binary_get_endpoints_profi_CL
opcua_binary_get_endpoints_user_token Custom-Corelight_v3_opcua_binary_get_endpoints_user_CL
opcua_binary_variant_extension_object Custom-Corelight_v3_opcua_binary_variant_extension_o_CL

Mendapatkan bantuan

  • Untuk pertanyaan tentang eksportir itu sendiri, konfigurasi sensor atau Fleet Manager, versi yang didukung, bundel CA, atau kesalahan eksportir yang dilaporkan oleh sensor, hubungi dukungan Corelight TAM atau SE Anda, atau dukungan Corelight di info@corelight.com.
  • Jika eksportir melaporkan keberhasilan tetapi tidak ada data yang sampai ke workspace, biasanya masalahnya ada di sisi Azure. Konfirmasi penugasan peran dari langkah 3, URI Data Collection Endpoint, dan nama stream, lalu lanjutkan ke langkah 6.

6. Verifikasi pengambilan data

Konfirmasi bahwa event dari Sensor Corelight sedang tiba di workspace Anda.

Berikan waktu 5 hingga 15 menit setelah mengonfigurasi eksportir agar event pertama muncul, lalu jalankan kueri berikut di Logs.

Periksa tabel Corelight mana yang menerima data:

union withsource=TableName Corelight_v3_*_CL
| summarize EventCount = count(), LastReceived = max(TimeGenerated) by TableName
| sort by LastReceived desc

Periksa event koneksi secara spesifik:

Corelight_v3_conn_CL
| take 10

Periksa konektivitas:

Corelight_v3_conn_CL
| summarize LastLogReceived = max(TimeGenerated)
| project IsConnected = LastLogReceived > ago(30m)

Jika tidak ada data yang muncul, periksa hal berikut di sisi Azure:

  • Penetapan peran Monitoring Metrics Publisher dari langkah 3 ada pada lingkup grup sumber daya dan telah berlaku. Penetapan peran dapat memerlukan waktu beberapa menit hingga diterapkan di seluruh sistem.
  • Nilai Data Collection Endpoint di eksportir sesuai dengan URI ingestion Logs dari langkah 4.
  • Template Nama Stream eksportir adalah Custom-Corelight_v3_$LOG_CL dan bukan defaultv2, dan setiap jenis log yang tercantum pada langkah 5 dengan nama stream yang dipersingkat dikonfigurasi dengan nama stream eksplisitnya.
  • Tag Tipe Log DCR adalah corelight-log-type, dan aturan untuk tipe log yang Anda aktifkan ada di grup sumber daya.

Jika nilai di atas benar dan sensor masih melaporkan kesalahan ekspor, hubungi dukungan Corelight seperti yang dijelaskan pada langkah 5.



Cortex XDR - Insiden

Didukung oleh:DEFEND Ltd.

Konektor Data Kustom dari DEFEND untuk menggunakan Api Cortex untuk menyerap insiden dari platform Cortex XDR ke dalam Microsoft Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
CortexXDR_Incidents_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Kredensial Cortex API: Token API Cortex diperlukan untuk REST API. Untuk informasi selengkapnya, lihat API. Periksa semua persyaratan dan ikuti instruksi untuk mendapatkan kredensial.

Instruksi Penyetelan:

Aktifkan Cortex XDR API

Sambungkan Cortex XDR ke Microsoft Sentinel melalui Cortex API untuk memproses Insiden Cortex.



Tempat tidur bayi

Didukung oleh:Cribl

Konektor Cribl memungkinkan Anda untuk dengan mudah menghubungkan log Cribl (Cribl Enterprise Edition - Standalone) Anda dengan Microsoft Sentinel. Ini memberi Anda lebih banyak wawasan keamanan tentang alur data organisasi Anda.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
CriblInternal_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Instruksi Penyetelan:

Instruksi penginstalan dan penyiapan untuk Cribl Stream untuk Microsoft Sentinel

Gunakan dokumentasi dari repositori Github ini dan konfigurasikan Cribl Stream menggunakan

https://docs.cribl.io/stream/usecase-azure-workspace/



Konektor Data API CrowdStrike (melalui Kerangka Kerja Konektor Tanpa Kode)

Dukungan oleh:Microsoft Corporation

Konektor Data CrowdStrike memungkinkan penyerapan log dari CROWDStrike API ke dalam Microsoft Sentinel. Konektor ini menyediakan kemampuan untuk menyerap CrowdStrike Alerts, Detections, Hosts, Cases, dan Vulnerabilities ke Microsoft Sentinel. Konektor ini dibangun di Microsoft Sentinel Codeless Connector Framework dan menggunakan CrowdStrike API untuk mengambil log. Ini mendukung transformasi waktu penyerapan berbasis DCR sehingga kueri dapat berjalan lebih efisien. Lihat dokumentasi CrowdStrike API untuk informasi selengkapnya.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
CrowdStrikeAlertsV2_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Crowdstrike OAuth2 API Client and Scopes: #### Lingkup API yang Diperlukan Di konsol CrowdStrike Falcon Anda, buka Support and resources > API clients and keys, pilih API client Anda, dan aktifkan scope berikut dengan akses Baca: Alerts, Cases, Detections, Hosts, Spotlight Vulnerabilities. Untuk informasi selengkapnya, lihat API.

Instruksi Penyetelan:

Sambungkan CrowdStrike ke Microsoft Sentinel

Ambil URL API dan Kredensial Klien Masuk ke Konsol CrowdStrike Anda dan navigasikan ke bagian API untuk menyalin URL API dasar Anda. Dapatkan Client ID dan Client Secret Anda dari bagian kredensial API di akun CrowdStrike Anda.

Untuk petunjuk rinci tentang cara mengambil URL API Dasar, Client ID, dan Client Secret, silakan lihat Tutorial Konektor.

Versi solusi 3.4.0 dan yang lebih baru menggunakan tabel CrowdStrike V2. Silakan gunakan parser yang telah diperbarui untuk setiap kueri yang sudah ada. Lihat catatan rilis solusi di sini

Kelola Koneksi CrowdStrike

Menambah, melihat, dan mengelola koneksi API CrowdStrike

  • Data Connectors Grid (dikonfigurasi di portal)

Deteksi Kueri (setelah koneksi berhasil)

Setelah log diserap, tabel CrowdStrikeDetections berisi rekaman pemberitahuan individual yang dikelompokkan menurut aggregate_id. Untuk melihat perilaku tingkat deteksi benar, gunakan kueri KQL berikut untuk mengagregasi pemberitahuan oleh grup deteksi mereka:

CrowdStrikeDetections
| summarize
  AlertCount = count(),
  FirstSeen = min(CreatedTimestamp),
  LastSeen = max(CreatedTimestamp),
  MaxSeverity = max(Severity)
by AggregateId



CrowdStrike Falcon Adversary Intelligence (menggunakan Azure Functions)

Dukungan oleh:Microsoft Corporation

Konektor CrowdStrike Falcon Compromise mengambil Indikator Kompromi dari Falcon Intel API dan mengunggahnya Microsoft Sentinel Intel Ancaman.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
ThreatIntelIndicators Yes No

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Microsoft. Izin web/situs: Izin baca dan tulis ke Azure Functions untuk membuat Aplikasi Fungsi diperlukan. Untuk informasi selengkapnya, lihat Azure Functions.
  • ID Klien CrowdStrike API dan Rahasia Klien: CROWDSTRIKE_CLIENT_ID, CROWDSTRIKE_CLIENT_SECRET, CROWDSTRIKE_BASE_URL. Kredensial CrowdStrike harus memiliki cakupan baca Indikator (Falcon Intelligence).

Instruksi Penyetelan:

LANGKAH 1 - Hasilkan kredensial CROWDStrike API.

Pastikan cakupan 'Indikator (Kecerdasan Falcon)' telah 'dibaca' dipilih

LANGKAH 2 - Daftarkan Aplikasi Entra dengan rahasia klien.

Berikan penetapan peran 'kontributor Microsoft Sentinel' kepada perwakilan Aplikasi Entra di ruang kerja analitik log masing-masing. Cara menetapkan peran pada Azure.

LANGKAH 3 - Pilih ONE dari dua opsi penyebaran berikut untuk menyebarkan konektor dan Fungsi Azure terkait

PENTING: Sebelum menyebarkan CrowdStrike Falcon Indicator of Compromise connector, miliki ID Ruang Kerja (dapat disalin dari yang berikut).

  • ID ruang kerja: <nilai variabel yang disediakan pada waktu penginstalan>

Opsi 1 - Templat Azure Resource Manager (ARM)

Gunakan metode ini untuk penyebaran otomatis konektor CrowdStrike Falcon Adversary Intelligence menggunakan ARM Tempate.

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.ms

  2. Berikan parameter berikut: CrowdStrikeClientId, CrowdStrikeClientSecret, CrowdStrikeBaseUrl, WorkspaceId, TenantId, Indicators, AadClientId, AadClientSecret, LookBackDays

Opsi 2 - Penyebaran manual Azure Functions

Gunakan instruksi langkah demi langkah berikut untuk menyebarkan konektor CrowdStrike Falcon Adversary Intelligence secara manual dengan Azure Functions (Penyebaran melalui Visual Studio Code).

  1. Menyebarkan Aplikasi Fungsi

CATATAN: Anda harus menyiapkan kode VS untuk pengembangan fungsi Azure.

  1. Unduh file Aplikasi Fungsi Azure. Ekstrak arsip ke komputer pengembangan lokal Anda.

  2. Jalankan VS Code. Pilih File di menu utama dan pilih Buka Folder.

  3. Pilih folder tingkat atas dari file yang diekstrak.

  4. Pilih ikon Azure di bilah Aktivitas, lalu di area Azure: Fungsi, pilih tombol Sebarkan ke aplikasi fungsi. Jika Anda belum masuk, pilih ikon Azure di bilah Aktivitas, lalu di area Azure: Functions, pilih Masuk ke Azure Jika Anda sudah masuk, buka langkah berikutnya.

  5. Berikan informasi berikut pada permintaan:

    a. Pilih folder: Pilih folder dari ruang kerja Anda atau telusuri folder yang berisi aplikasi fungsi Anda.

    b. Pilih Langganan: Pilih langganan yang akan digunakan.

    c. Pilih Buat Aplikasi Fungsi baru di Azure (Jangan pilih opsi Tingkat Lanjut)

    d. Masukkan nama unik global untuk aplikasi fungsi: Ketik nama yang valid di jalur URL. Nama yang Anda ketik akan divalidasi untuk memastikan bahwa nama tersebut bersifat unik di Azure Functions. (misalnya CrowdStrikeFalconIOCXXXXXX).

    e. Pilih runtime: Pilih Python 3.12.

    f. Pilih lokasi untuk sumber daya baru. Untuk performa yang lebih baik dan biaya yang lebih rendah, pilih wilayah yang sama tempat Microsoft Sentinel berada.

  6. Penyebaran akan dimulai. Notifikasi ditampilkan setelah aplikasi fungsi Anda dibuat dan paket penyebaran diterapkan.

  7. Buka portal Azure untuk konfigurasi Aplikasi Fungsi.

  8. Mengonfigurasi Aplikasi Fungsi

  9. Di Aplikasi Fungsi, pilih Nama Aplikasi Fungsi dan pilih Konfigurasi.

  10. Di tab Pengaturan aplikasi, pilih Pengaturan aplikasi baru.

  11. Tambahkan masing-masing pengaturan aplikasi berikut satu per satu, dengan nilai string masing-masing (peka huruf besar/kecil): CROWDSTRIKE_CLIENT_ID CROWDSTRIKE_CLIENT_SECRET CROWDSTRIKE_BASE_URL TENANT_ID INDICATORS WorkspaceKey AAD_CLIENT_ID AAD_CLIENT_SECRET LOOK_BACK_DAYS WORKSPACE_ID

  12. Setelah semua pengaturan aplikasi dimasukkan, klik Simpan.



CrowdStrike Falcon Data Replicator (CrowdStrike Managed AWS-S3) (menggunakan Azure Functions)

Dukungan oleh:Microsoft Corporation

Konektor ini memungkinkan penyerapan data FDR ke dalam Microsoft Sentinel menggunakan Azure Functions untuk mendukung penilaian potensi risiko keamanan, analisis aktivitas kolaborasi, identifikasi masalah konfigurasi, dan wawasan operasional lainnya.

CATATAN:

1. Lisensi CrowdStrike FDR harus tersedia & diaktifkan.

2. Konektor menggunakan autentikasi berbasis Kunci & Rahasia dan cocok untuk wadah CrowdStrike Managed.

3. Untuk lingkungan yang menggunakan wadah AWS S3 milik penuh, Microsoft merekomendasikan penggunaan konektor CrowdStrike Falcon Data Replicator (AWS S3).

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
CrowdStrikeReplicatorV2 No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Microsoft. Izin web/situs: Izin baca dan tulis ke Azure Functions untuk membuat Aplikasi Fungsi diperlukan. Untuk informasi selengkapnya, lihat Azure Functions.
  • Kredensial/izin akun SQS dan AWS S3: AWS_SECRET, AWS_REGION_NAME, AWS_KEY, QUEUE_URL diperlukan. Untuk informasi selengkapnya, lihat penarikan data. Untuk memulai, hubungi dukungan CrowdStrike. Atas permintaan Anda, mereka akan membuat wadah Amazon Web Services (AWS) S3 terkelola CrowdStrike untuk tujuan penyimpanan jangka pendek serta akun SQS (layanan antrean sederhana) untuk memantau perubahan pada wadah S3.

Instruksi Penyetelan:

CATATAN: Konektor ini menggunakan Azure Functions untuk terhubung ke AWS SQS / S3 untuk menarik log ke Microsoft Sentinel. Ini dapat mengakibatkan biaya penyerapan data tambahan. Periksa halaman harga Azure Functions untuk detailnya.

(Langkah Opsional) Simpan kunci otorisasi API atau token dengan aman di Azure Key Vault. Azure Key Vault menyediakan mekanisme aman untuk menyimpan dan mengambil nilai kunci. Ikuti instruksi ini untuk menggunakan Azure Key Vault dengan Aplikasi Fungsi Azure.

Prerequisites

  1. Konfigurasikan FDR di CrowdStrike - Anda harus menghubungi tim dukungan CrowdStrike untuk mengaktifkan CrowdStrike FDR.
    • Setelah CrowdStrike FDR diaktifkan, dari konsol CrowdStrike, navigasikan ke Dukungan --> Klien api dan Kunci.
    • Anda perlu Membuat kredensial baru untuk menyalin ID Kunci Akses AWS, Kunci Akses Rahasia AWS, URL Antrean SQS, dan Wilayah AWS.
  2. Daftarkan aplikasi AAD - Agar DCR memahami untuk menyerap data ke dalam analitik log, Anda harus menggunakan aplikasi AAD.
    • Ikuti instruksi di sini (langkah 1-5) untuk mendapatkan Id Penyewa AAD, Id Klien AAD, dan Rahasia Klien AAD.
    • Untuk Id Utama AAD aplikasi ini, akses Aplikasi AAD melalui Portal AAD dan ambil Id Objek dari halaman gambaran umum aplikasi.

Opsi Penyebaran

Pilih ONE dari dua opsi penyebaran berikut untuk menyebarkan konektor dan Fungsi Azure terkait

Opsi 1 - Templat Azure Resource Manager (ARM)

Gunakan metode ini untuk penyebaran otomatis konektor Crowdstrike Falcon Data Replicator V2 menggunakan ARM Tempate.

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.msaka.ms

  2. Berikan detail yang diperlukan seperti Microsoft Sentinel Workspace, crowdStrike AWS credentials, Azure AD Application details dan konfigurasi penyerapan

CATATAN: Dalam grup sumber daya yang sama, Anda tidak dapat mencampur aplikasi Windows dan Linux di wilayah yang sama. Pilih grup sumber daya yang ada tanpa Windows aplikasi di dalamnya atau buat grup sumber daya baru. Disarankan untuk membuat Grup Sumber Daya baru untuk penyebaran aplikasi fungsi dan sumber daya terkait. 3. Tandai kotak centang berlabel Saya menyetujui syarat dan ketentuan yang dinyatakan di atas. 4. Klik Beli untuk menyebarkan.

Opsi 2 - Penyebaran manual Azure Functions

Gunakan instruksi langkah demi langkah berikut untuk menyebarkan konektor Crowdstrike Falcon Data Replicator secara manual dengan Azure Functions (Penyebaran melalui Visual Studio Code).

  1. Menyebarkan DCE, DCR, dan Tabel Kustom untuk penyerapan data

  2. Menyebarkan DCE, DCR, dan Tabel Kustom yang diperlukan dengan menggunakan templat ARM Sumber Daya Pengumpulan Data

  3. Setelah penyebaran DCE dan DCR berhasil, dapatkan informasi di bawah ini dan tetap berguna (diperlukan selama penyebaran aplikasi Azure Functions).

  4. Menyebarkan Aplikasi Fungsi

  5. Unduh file Aplikasi Fungsi Azure. Ekstrak arsip ke komputer pengembangan lokal Anda.

  6. Ikuti instruksi penyebaran manual aplikasi fungsi untuk menyebarkan aplikasi Azure Functions menggunakan VSCode.

  7. Setelah penyebaran aplikasi fungsi berhasil, ikuti langkah berikutnya untuk mengonfigurasinya.

  8. Mengonfigurasi Aplikasi Fungsi

  9. Buka portal Azure untuk konfigurasi Aplikasi Fungsi.

  10. Di Aplikasi Fungsi, pilih Nama Aplikasi Fungsi dan pilih Konfigurasi.

  11. Di tab Pengaturan aplikasi, pilih Pengaturan aplikasi baru.

  12. Tambahkan masing-masing pengaturan aplikasi berikut satu per satu, dengan nilai string masing-masing (peka huruf besar/kecil): AWS_KEY AWS_SECRET AWS_REGION_NAME QUEUE_URL USER_SELECTION_REQUIRE_RAW //True jika data mentah diperlukan USER_SELECTION_REQUIRE_SECONDARY //True jika data sekunder diperlukan MAX_QUEUE_MESSAGES_MAIN_QUEUE // 100 untuk konsumsi dan 150 untuk Premium MAX_SCRIPT_EXEC_TIME_MINUTES // tambahkan nilai 10 di sini AZURE_TENANT_ID AZURE_CLIENT_ID AZURE_CLIENT_SECRET DCE_INGESTION_ENDPOINT NORMALIZED_DCR_ID RAW_DATA_DCR_ID EVENT_TO_TABLE_MAPPING_LINK // File ada di github. Tambahkan apakah file dapat diakses menggunakan internet REQUIRED_FIELDS_SCHEMA_LINK //File ada di github. Tambahkan jika file dapat diakses menggunakan Jadwal internet //Tambahkan nilai sebagai '0 */1 * * * *' untuk memastikan fungsi berjalan setiap menit.

  13. Setelah semua pengaturan aplikasi dimasukkan, klik Simpan.



CrowdStrike Falcon Data Replicator (AWS-S3yang dikelola pengguna) (melalui Codeless Connector Framework)

Dukungan oleh:Microsoft Corporation

Konektor Crowdstrike Falcon Data Replicator (S3) menyediakan kemampuan untuk menyerap data peristiwa FDR ke Microsoft Sentinel dari wadah AWS S3 tempat log FDR telah dialirkan. Konektor ini menyediakan kemampuan untuk mendapatkan peristiwa dari Agen Falcon yang membantu memeriksa potensi risiko keamanan, menganalisis penggunaan kolaborasi tim Anda, mendiagnosis masalah konfigurasi, dan banyak lagi.

CATATAN:

1. Lisensi CrowdStrike FDR harus tersedia & diaktifkan.

2. Konektor memerlukan peran IAM untuk dikonfigurasi di AWS untuk mengizinkan akses ke wadah AWS S3 dan mungkin tidak cocok untuk lingkungan yang memanfaatkan CrowdStrike - wadah terkelola.

3. Untuk lingkungan yang memanfaatkan wadah yang dikelola CrowdStrike, konfigurasikan konektor CrowdStrike Falcon Data Replicator (CrowdStrike-Managed AWS S3).

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
CrowdStrike_Additional_Events_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Instruksi Penyetelan:

Persyaratan: Untuk menggunakan fitur Falcon Data Replicator, diperlukan hal berikut:

  1. Langganan: 1.1. Replikator Data Falcon. 1.2. Falcon Insight XDR.

  2. Peran: 2.1. Administrator Falcon.

  3. Siapkan lingkungan CrowdStrike & AWS Anda Untuk mengonfigurasi akses di AWS, gunakan dua templat berikut yang disediakan untuk menyiapkan lingkungan AWS. Ini akan memungkinkan pengiriman log dari wadah S3 ke ruang kerja Log Analytics Anda.

Untuk setiap templat, buat Stack di AWS:

  1. Buka Tumpukan AWS CloudFormation.
  2. Pilih opsi 'Tentukan templat', lalu 'Unggah file templat' dengan mengklik 'Pilih file' dan pilih file templat CloudFormation yang sesuai yang disediakan di bawah ini. klik 'Pilih file' dan pilih templat yang diunduh.
  3. Klik 'Berikutnya' dan 'Buat tumpukan'.

Pastikan wadah Anda akan dibuat di wilayah AWS yang sama dengan Falcon CID Tempat umpan FDR disediakan. | Wilayah CrowdStrike | Wilayah AWS | |-----------------|-----------| | US-1 | us-west-1 | | US-2 | us-west-2 | | UE-1 | eu-central-1

  • Templat 1: Penyebaran autentikasi koneksi OpenID: <nilai variabel yang disediakan pada waktu penginstalan>
  • Templat 2: Penyebaran sumber daya AWS CrowdStrike: <nilai variabel yang disediakan pada waktu> penginstalan Menggunakan Bucket S3 Anda sendiri Untuk menggunakan wadah S3 Anda sendiri, Anda dapat merujuk panduan berikut Menggunakan wadah S3 Anda sendiri atau ikuti langkah-langkah ini:
  1. Buat kasus dukungan dengan Nama berikut: Menggunakan wadah S3 Mandiri untuk FDR
  2. Tambahkan informasi berikut: 2.1. Falcon CID tempat umpan FDR Anda disediakan 2.2. Tunjukkan jenis peristiwa mana yang ingin Anda sediakan di umpan FDR baru ini. 2.3. Tunjukkan jenis peristiwa mana yang ingin Anda sediakan di umpan FDR baru ini. 2.4. Jangan gunakan partisi apa pun.
Jenis peristiwa Awalan S3
Peristiwa Utama data/
Peristiwa Sekunder fdrv2/
  1. Sambungkan kolektor baru Untuk mengaktifkan AWS S3 for Microsoft Sentinel, klik tombol Tambahkan kolektor baru, isi informasi yang diperlukan di panel konteks dan klik Sambungkan.
  • Data Connectors Grid (dikonfigurasi di portal)



Sislog CTERA

Didukung oleh:CTERA

Konektor Data CTERA untuk Microsoft Sentinel menawarkan kemampuan pemantauan dan deteksi ancaman untuk solusi CTERA Anda. Ini termasuk buku kerja yang memvisualisasikan jumlah semua operasi per jenis, penghapusan, dan operasi akses yang ditolak. Ini juga menyediakan aturan analitik yang mendeteksi insiden ransomware dan memberi tahu Anda ketika pengguna diblokir karena aktivitas ransomware yang mencurigakan. Selain itu, ini membantu Anda mengidentifikasi pola penting seperti peristiwa yang ditolak akses massal, penghapusan massal, dan perubahan izin massal, memungkinkan manajemen dan respons ancaman proaktif.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
Syslog Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Instruksi Penyetelan:

Langkah 1: Sambungkan Platform CTERA ke Syslog

Menyiapkan koneksi syslog portal CTERA dan konektor Syslog Edge-Filer

Langkah 2: Instal Azure Monitor Agent (AMA) di Syslog Server

Instal Azure Monitor Agent (AMA) di server syslog Anda untuk mengaktifkan pengumpulan data.



CTM360 CyberBlindSpot (Tanpa Server)

Didukung oleh:Cyber Threat Management 360

Konektor CTM360 Cyber Blind Spot (CBS) menyediakan integrasi dengan platform CBS CTM360 untuk menyerap data keamanan di 6 jenis modul: insiden, log malware, kredensial yang dilanggar, kartu yang disusupi, pelanggaran domain, dan pelanggaran subdomain. Konektor ini menggunakan Codeless Connector Framework (CCF) untuk pengumpulan data tanpa server.

Tipe Data:

  • CBSLog_AzureV2_CL
  • CBS_MalwareLogs_AzureV2_CL
  • CBS_BreachedCredentials_AzureV2_CL
  • CBS_CompromisedCards_AzureV2_CL
  • CBS_DomainInfringement_AzureV2_CL
  • CBS_SubdomainInfringement_AzureV2_CL

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
CBSLog_AzureV2_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Kunci API CBS CTM360: Kunci CTM360 Cyber Blind Spot API yang valid diperlukan untuk terhubung ke titik akhir API CBS.

Instruksi Penyetelan:

Menyambungkan CTM360 Cyber Blind Spot ke Microsoft Sentinel

Konektor ini menggunakan Codeless Connector Framework (CCF) untuk menyerap data dari CTM360 CBS ke dalam Microsoft Sentinel. Data dikumpulkan setiap 5 menit di 6 jenis modul yang berbeda.

Catatan: Konektor ini membuat 6 tabel terpisah untuk berbagai jenis modul CBS: Insiden, Log Malware, Kredensial yang Dilanggar, Kartu yang Disusupi, Pelanggaran Domain, dan Pelanggaran Subdomain.

Langkah 1: Dapatkan Kunci API CTM360

Untuk menyiapkan integrasi ini, Anda memerlukan Kunci API CBS. Anda bisa mendapatkan kunci ini menggunakan tautan berikut:

Kunci API CBS ditemukan dari tautan ini: https://platform.ctm360.com/start/integrations setelah pengelogan dengan akun Anda

Langkah 2: Mengonfigurasi Koneksi

Masukkan kunci API CBS CTM360 Anda dan sambungkan untuk memulai penyerapan data.

  • Kunci API CBS CTM360: (Masukkan Kunci API CBS CTM360 Anda)
  • Aktifkan/Nonaktifkan Koneksi

Langkah 3: Verifikasi Penyerapan Data

Setelah menyambungkan, data harus mulai mengalir dalam waktu 5-10 menit. Gunakan kueri sampel di atas untuk memverifikasi penyerapan data untuk setiap jenis modul.

Catatan: Catatan: Penyerapan data awal mungkin memakan waktu hingga 30 menit. Konektor melakukan polling setiap 5 menit dengan jendela bergulir 5 menit.



CTM360 HackerView (Tanpa Server)

Didukung oleh:Cyber Threat Management 360

Konektor CTM360 HackerView memungkinkan Anda menyerap masalah keamanan dan kerentanan dari platform HackerView External Attack Surface Management Anda ke Microsoft Sentinel. Konektor tanpa server ini menggunakan REST API untuk secara otomatis menarik data masalah untuk analisis dan korelasi dengan peristiwa keamanan lainnya.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
HackerViewLog_AzureV2_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Kunci API HackerView: Kunci API HackerView yang valid dengan izin untuk mengakses data masalah diperlukan.

Instruksi Penyetelan:

Menyambungkan Hacker CTM360View ke Microsoft Sentinel

Konektor ini menggunakan HACKERView REST API untuk secara otomatis menyerap masalah keamanan ke dalam Microsoft Sentinel.

Catatan: Ini adalah konektor tanpa server yang menggunakan Codeless Connector Framework (CCF) Azure. Penyebaran Fungsi Azure tidak diperlukan.

Langkah 1: Dapatkan Kunci API CTM360

Untuk menyiapkan integrasi ini, Anda memerlukan Kunci API HackerView. Anda bisa mendapatkan kunci ini menggunakan tautan berikut:

HackerView API Key ditemukan dari tautan ini: https://platform.ctm360.com/start/integrations setelah pengelogan dengan akun Anda

Langkah 2: Mengonfigurasi Konektor

Masukkan kunci HackerView API Anda dan klik Sambungkan untuk memulai penyerapan data.

  • Kunci API: (Masukkan Kunci API HackerView Anda)
  • Aktifkan/Nonaktifkan Koneksi

Langkah 3: Verifikasi Penyerapan Data

Setelah menyambungkan, data harus mulai mengalir dalam waktu 5-10 menit. Jalankan kueri berikut untuk memverifikasi:

Catatan: HackerViewLog_AzureV2_CL | ambil 10



Log kustom melalui AMA

Dukungan oleh:Microsoft Corporation

Banyak aplikasi mencatat informasi ke file teks atau JSON alih-alih layanan pengelogan standar, seperti log peristiwa Windows, Syslog atau CEF. Konektor data Log Kustom memungkinkan Anda mengumpulkan peristiwa dari file di komputer Windows dan Linux dan mengalirkannya ke tabel log kustom yang Anda buat. Saat mengalirkan data, Anda dapat mengurai dan mengubah konten menggunakan DCR. Setelah mengumpulkan data, Anda dapat menerapkan aturan analitik, perburuan, pencarian, inteligensi ancaman, pengayaan, dan banyak lagi.

CATATAN: Gunakan konektor ini untuk perangkat berikut: Cisco Meraki, Zscaler Private Access (ZPA), VMware vCenter, server HTTP Apache, Apache Tomcat, platform aplikasi Jboss Enterprise, JUNIPER IDP, MarkLogic Audit, Audit MongoDB, server HTTP Nginx, server Oracle Weblogic, Peristiwa PostgreSQL, Proksi Squid, Ubiquiti UniFi, Deteksi Ancaman SecurityBridge SAP dan AI vectra stream.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
JBossEvent_CL No No
JuniperIDP_CL Yes Yes
ApacheHTTPServer_CL Yes Yes
Tomcat_CL Yes Yes
meraki_CL Yes Yes
VectraStream_CL No No
MarkLogicAudit_CL No No
MongoDBAudit_CL Yes Yes
NGINX_CL Yes Yes
OracleWebLogicServer_CL Yes Yes
PostgreSQL_CL Yes Yes
SquidProxy_CL Yes Yes
Ubiquiti_CL Yes Yes
vcenter_CL Yes Yes
ZPA_CL Yes Yes
SecurityBridgeLogs_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Permissions: Untuk mengumpulkan data dari VM yang tidak Azure, mereka harus menginstal dan mengaktifkan Azure Arc. Pelajari lebih lanjut

Instruksi Penyetelan:

Mengaktifkan aturan pengumpulan data

Log kustom dikumpulkan dari agen Windows dan Linux.

  • Pasang Agen: <nilai variabel yang disediakan pada waktu penginstalan>



CyberArk EPM

Didukung oleh:CyberArk Support

Konektor data CyberArk Endpoint Privilege Manager memungkinkan Microsoft Sentinel untuk menyerap log peristiwa keamanan dan peristiwa lain dari CyberArk EPM melalui REST API.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
CyberArk_EPMEvents_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Platform EPM CyberArk: Akses untuk melakukan konfigurasi yang diperlukan di platform EPM CyberArk

Instruksi Penyetelan:

Sambungkan ke CyberArk EPM API untuk mulai mengumpulkan log peristiwa di Microsoft Sentinel

Ikuti langkah-langkah konfigurasi di sini untuk mengintegrasikan Microsoft Sentinel dengan CyberArk EPM dan mengaktifkan pemantauan terpusat peristiwa titik akhir dalam Microsoft Sentinel.

  • ID Aplikasi Web: (ApplicationID aplikasi web server OAuth2)
  • URL Penyewa berbasis wilayah: (misalnya api-na.epm.cyberark.cloud)
  • Atur ID: (Daftar ID Set EPM yang dipisahkan koma ke peristiwa polling dari)
  • Titik Akhir Identitas: (misalnya kln9281.id.cyberark.cloud)



CyberArkEPM (menggunakan Azure Functions)

Didukung oleh:CyberArk Support

Konektor data CyberArk Endpoint Privilege Manager menyediakan kemampuan untuk mengambil log peristiwa keamanan layanan EPM CyberArk dan lebih banyak peristiwa ke Microsoft Sentinel melalui REST API. Konektor memungkinkan pengambilan peristiwa untuk menilai potensi risiko keamanan, memantau kolaborasi, dan mendiagnosis dan memecahkan masalah konfigurasi.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
CyberArkEPM_Events_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Microsoft. Izin web/situs: Izin baca dan tulis ke Azure Functions untuk membuat Aplikasi Fungsi diperlukan. Untuk informasi selengkapnya, lihat Azure Functions.
  • Kredensial/izin REST API: OauthUsername, OauthPassword, IdentityEndpoint, EPMRegionHost , dan WebAppID diperlukan untuk melakukan panggilan API.

Instruksi Penyetelan:

CATATAN: Konektor ini menggunakan Azure Functions untuk terhubung ke CyberArk EPM API untuk menarik log ke Microsoft Sentinel. Ini dapat mengakibatkan biaya tambahan untuk penyerapan data dan untuk menyimpan data dalam biaya Azure Blob Storage. Periksa halaman harga Azure Functions dan halaman harga Azure Blob Storage untuk detailnya.

CATATAN: Kunci otorisasi API atau token disimpan dengan aman di Azure Key Vault. Azure Key Vault menyediakan mekanisme aman untuk menyimpan dan mengambil nilai kunci.

CATATAN: Konektor data ini tergantung pada pengurai berdasarkan Fungsi Kusto untuk bekerja seperti yang diharapkan CyberArkEPM yang disebarkan dengan solusi Microsoft Sentinel.

LANGKAH 1 - Langkah konfigurasi untuk API EPM CyberArk

Ikuti instruksi untuk mendapatkan kredensial OAuth2.

  1. Dapatkan OauthUsername, OauthPassword, WebAppID, IdentityEndpoint dan EPMRegionHost untuk akun EPM CyberArk Anda.

LANGKAH 2 - Pilih ONE dari dua opsi penyebaran berikut untuk menyebarkan konektor dan Fungsi Azure terkait

PENTING: Sebelum menyebarkan konektor data EPM CyberArk, miliki Nama Ruang Kerja dan Lokasi Ruang Kerja (dapat disalin dari yang berikut).

  • Nama Ruang Kerja: <nilai variabel yang disediakan pada waktu penginstalan>
  • Lokasi Ruang Kerja: <nilai variabel yang disediakan pada waktu penginstalan>

Opsi 1 - Templat Azure Resource Manager (ARM)

Gunakan metode ini untuk penyebaran otomatis konektor data EPM CyberArk menggunakan Templat ARM.

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.ms

  2. Pilih Langganan, Grup Sumber Daya, dan Lokasi pilihan.

CATATAN: Dalam grup sumber daya yang sama, Anda tidak dapat mencampur aplikasi Windows dan Linux di wilayah yang sama. Pilih grup sumber daya yang ada tanpa Windows aplikasi di dalamnya atau buat grup sumber daya baru. 3. Masukkan OauthUsername, OauthPassword, IdentityEndpoint, EPMRegionHost dan WebAppID dan sebarkan . 4. Tandai kotak centang berlabel Saya menyetujui syarat dan ketentuan yang dinyatakan di atas. 5. Klik Beli untuk menyebarkan.

Opsi 2 - Penyebaran manual Azure Functions

Gunakan instruksi langkah demi langkah berikut untuk menyebarkan konektor data EPM CyberArk secara manual dengan Azure Functions (Penyebaran melalui Visual Studio Code).

  1. Menyebarkan Aplikasi Fungsi

CATATAN: Anda harus menyiapkan kode VS untuk pengembangan fungsi Azure.

  1. Unduh file Aplikasi Fungsi Azure. Ekstrak arsip ke komputer pengembangan lokal Anda.

  2. Jalankan VS Code. Pilih File di menu utama dan pilih Buka Folder.

  3. Pilih folder tingkat atas dari file yang diekstrak.

  4. Pilih ikon Azure di bilah Aktivitas, lalu di area Azure: Fungsi, pilih tombol Sebarkan ke aplikasi fungsi. Jika Anda belum masuk, pilih ikon Azure di bilah Aktivitas, lalu di area Azure: Functions, pilih Masuk ke Azure Jika Anda sudah masuk, buka langkah berikutnya.

  5. Berikan informasi berikut pada permintaan:

    a. Pilih folder: Pilih folder dari ruang kerja Anda atau telusuri folder yang berisi aplikasi fungsi Anda.

    b. Pilih Langganan: Pilih langganan yang akan digunakan.

    c. Pilih Buat Aplikasi Fungsi baru di Azure (Jangan pilih opsi Tingkat Lanjut)

    d. Masukkan nama unik global untuk aplikasi fungsi: Ketik nama yang valid di jalur URL. Nama yang Anda ketik akan divalidasi untuk memastikan bahwa nama tersebut bersifat unik di Azure Functions. (misalnya CyberArkXXXXXX).

    e. Pilih runtime: Pilih Python 3.12.

    f. Pilih lokasi untuk sumber daya baru. Untuk performa yang lebih baik dan biaya yang lebih rendah, pilih wilayah yang sama tempat Microsoft Sentinel berada.

  6. Penyebaran akan dimulai. Notifikasi ditampilkan setelah aplikasi fungsi Anda dibuat dan paket penyebaran diterapkan.

  7. Buka portal Azure untuk konfigurasi Aplikasi Fungsi.

  8. Mengonfigurasi Aplikasi Fungsi

  9. Di Aplikasi Fungsi, pilih Nama Aplikasi Fungsi dan pilih Konfigurasi.

  10. Di tab Pengaturan aplikasi, pilih Pengaturan aplikasi baru.

  11. Tambahkan masing-masing pengaturan aplikasi berikut satu per satu, dengan nilai string masing-masing (peka huruf besar/kecil): OAuthUsername OAuthPassword IdentityEndpoint EPMRegionHost WebAppID

  12. Setelah semua pengaturan aplikasi dimasukkan, klik Simpan.



Cybersixgill Actionable Alerts (menggunakan Azure Functions)

Didukung oleh:Cybersixgill

Pemberitahuan yang dapat ditindak lanjuti menyediakan pemberitahuan yang disesuaikan berdasarkan aset yang dikonfigurasi

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
CyberSixgill_Alerts_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Microsoft. Izin web/situs: Izin baca dan tulis ke Azure Functions untuk membuat Aplikasi Fungsi diperlukan. Untuk informasi selengkapnya, lihat Azure Functions.
  • Kredensial/izin REST API: Client_ID dan Client_Secret diperlukan untuk melakukan panggilan API.

Instruksi Penyetelan:

CATATAN: Konektor ini menggunakan Azure Functions untuk terhubung ke API Cybersixgill untuk menarik Pemberitahuan ke Microsoft Sentinel. Ini dapat mengakibatkan biaya tambahan untuk penyerapan data dan untuk menyimpan data dalam biaya Azure Blob Storage. Periksa halaman harga Azure Functions dan halaman harga Azure Blob Storage untuk detailnya.

(Langkah Opsional) Simpan ruang kerja dan kunci otorisasi API atau token dengan aman di Azure Key Vault. Azure Key Vault menyediakan mekanisme aman untuk menyimpan dan mengambil nilai kunci. Ikuti instruksi ini untuk menggunakan Azure Key Vault dengan Aplikasi Fungsi Azure.

  • ID ruang kerja: <nilai variabel yang disediakan pada waktu penginstalan>
  • Kunci Primer: <nilai variabel yang disediakan pada waktu penginstalan>

Opsi 1 - Templat Azure Resource Manager (ARM)

Gunakan metode ini untuk penyebaran otomatis konektor data Cybersixgill Actionable Alerts menggunakan ARM Tempate.

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.ms

  2. Pilih Langganan, Grup Sumber Daya, dan Lokasi pilihan.

  3. Masukkan ID Ruang Kerja, Kunci Ruang Kerja, ID Klien, Rahasia Klien, TimeInterval, dan sebarkan.

  4. Tandai kotak centang berlabel Saya menyetujui syarat dan ketentuan yang dinyatakan di atas.

  5. Klik Beli untuk menyebarkan.

Opsi 2 - Penyebaran manual Azure Functions

Gunakan instruksi langkah demi langkah berikut untuk menyebarkan konektor data Cybersixgill Actionable Alerts secara manual dengan Azure Functions (Penyebaran melalui Visual Studio Code).

  1. Menyebarkan Aplikasi Fungsi

CATATAN: Anda harus menyiapkan kode VS untuk pengembangan fungsi Azure.

  1. Unduh file Aplikasi Fungsi Azure. Ekstrak arsip ke komputer pengembangan lokal Anda.

  2. Jalankan VS Code. Pilih File di menu utama dan pilih Buka Folder.

  3. Pilih folder tingkat atas dari file yang diekstrak.

  4. Pilih ikon Azure di bilah Aktivitas, lalu di area Azure: Fungsi, pilih tombol Sebarkan ke aplikasi fungsi. Jika Anda belum masuk, pilih ikon Azure di bilah Aktivitas, lalu di area Azure: Functions, pilih Masuk ke Azure Jika Anda sudah masuk, buka langkah berikutnya.

  5. Berikan informasi berikut pada permintaan:

    a. Pilih folder: Pilih folder dari ruang kerja Anda atau telusuri folder yang berisi aplikasi fungsi Anda.

    b. Pilih Langganan: Pilih langganan yang akan digunakan.

    c. Pilih Buat Aplikasi Fungsi baru di Azure (Jangan pilih opsi Tingkat Lanjut)

    d. Masukkan nama unik global untuk aplikasi fungsi: Ketik nama yang valid di jalur URL. Nama yang Anda ketik akan divalidasi untuk memastikan bahwa nama tersebut bersifat unik di Azure Functions. (misalnya CybersixgillAlertsXXX).

    e. Pilih runtime: Pilih Python 3.11.

    f. Pilih lokasi untuk sumber daya baru. Untuk performa yang lebih baik dan biaya yang lebih rendah, pilih wilayah yang sama tempat sentinel Microsoft berada.

  6. Penyebaran akan dimulai. Notifikasi ditampilkan setelah aplikasi fungsi Anda dibuat dan paket penyebaran diterapkan.

  7. Buka portal Azure untuk konfigurasi Aplikasi Fungsi.

  8. Mengonfigurasi Aplikasi Fungsi

  9. Di Aplikasi Fungsi, pilih Nama Aplikasi Fungsi dan pilih Konfigurasi.

  10. Di tab Pengaturan aplikasi, pilih + Pengaturan aplikasi baru.

  11. Tambahkan masing-masing pengaturan aplikasi berikut satu per satu, dengan nilai string masing-masing (peka huruf besar/kecil): ClientID ClientSecret Polling WorkspaceID WorkspaceID WorkspaceID logAnalyticsUri (opsional)

  • Gunakan logAnalyticsUri untuk mengambil alih titik akhir API analitik log untuk cloud khusus. Misalnya, untuk cloud publik, biarkan nilai kosong; untuk Azure lingkungan cloud GovUS, tentukan nilai dalam format berikut:https://<CustomerId>.ods.opinsights.azure.us
  1. Setelah semua pengaturan aplikasi dimasukkan, klik Simpan.



Pemberitahuan Cyble Vision

Didukung oleh:Cyble Support

Cyble Vision Alerts CCF Data Connector memungkinkan Penyerapan Peringatan Ancaman dari Cyble Vision ke Microsoft Sentinel menggunakan Konektor Kerangka Kerja Konektor Tanpa Kode. Ini mengumpulkan data pemberitahuan melalui API, menormalkannya, dan menyimpannya dalam tabel kustom untuk deteksi, korelasi, dan respons tingkat lanjut.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
CybleVisionAlerts_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Token Cyble Vision API: Token API dari Platform Cyble Vision diperlukan.

Instruksi Penyetelan:

Langkah 1 - Menghasilkan Token API dari Platform Cyble

Navigasi ke Cyble Platform dan masuk menggunakan kredensial Cyble Vision Anda.

Setelah masuk, buka panel sebelah kiri dan gulir ke bawah ke Utilitas. Klik Api Akses. Di sudut kanan atas halaman, klik ikon + (Tambahkan) untuk menghasilkan kunci API baru. Berikan alias (nama yang mudah diingat untuk kunci Anda) dan klik Buat. Salin token API yang dihasilkan dan simpan dengan aman.

LANGKAH 2 - Mengonfigurasi Konektor Data

Kembali ke Microsoft Sentinel dan buka halaman konfigurasi konektor data Pemberitahuan Cyble Vision. Tempelkan Token Cyble API Anda ke bidang Token API di bawah 'Detail API'.

  • Token API: (Masukkan Token API Anda)
  • Interval Kueri (dalam menit): (Masukkan Waktu dalam Menit (misalnya, 10))
  • Aktifkan/Nonaktifkan Koneksi



Paket Perburuan HUNTER Keamanan Cyborg

Didukung oleh:Cyborg Security

Cyborg Security adalah penyedia solusi perburuan ancaman canggih terkemuka, dengan misi untuk memberdayakan organisasi dengan teknologi mutakhir dan alat kolaboratif untuk secara proaktif mendeteksi dan merespons ancaman cyber. Penawaran unggulan Cyborg Security, PLATFORM HUNTER, menggabungkan analitik yang kuat, konten perburuan ancaman yang dikumpulkan, dan kemampuan manajemen perburuan komprehensif untuk menciptakan ekosistem dinamis untuk operasi perburuan ancaman yang efektif.

Ikuti langkah-langkah untuk mendapatkan akses ke Komunitas Keamanan Cyborg dan siapkan kemampuan 'Buka di Alat' di Platform HUNTER.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
SecurityEvent Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Instruksi Penyetelan:

Catatan: Gunakan tautan berikut untuk menemukan ID Tenda Azure Anda Cara menemukan ID penyewa Azure Active Directory Anda

  • ResourceGroupName & WorkspaceName: <nilai variabel yang disediakan pada waktu penginstalan>
  • WorkspaceID: <nilai variabel yang disediakan pada waktu penginstalan>

1. Daftar untuk Akun Komunitas HUNTER Cyborg Security

Cyborg Security menawarkan akses Community Memebers ke subset Koleksi Ancaman yang Muncul dan paket berburu.

Buat Akun Komuinitas Gratis untuk mendapatkan akses ke Paket Berburu Cyborg Security: Daftar Sekarang!

2. Mengonfigurasi Fitur Buka di Alat

  1. Navigasi ke bagian Lingkungan platform HUNTER.

  2. Isi te URI Akar lingkungan Anda di bagian berlabel Microsoft Sentinel. <Ganti item> tebal dengan ID dan Nama Langganan, Grup Sumber Daya, dan Ruang Kerja Anda.

    https[]()://portal.azure.com#@**AzureTenantID**/blade/Microsoft_OperationsManagementSuite_Workspace/Logs.ReactView/resourceId/%2Fsubscriptions%2F**AzureSubscriptionID**%2Fresourcegroups%2F**ResourceGroupName**%2Fproviders%2Fmicrosoft.operationalinsights%2Fworkspaces%2F<**WorkspaceName**>/

  3. Kliklah Simpan.

3. Jalankan pacakge berburu HUNTER di Microsoft Sentinel

Identifikasi paket berburu Cyborg Security HUNTER untuk menyebarkan dan menggunakan tombol Buka Di Alat untuk membuka Microsoft Sentinel dengan cepat dan tahap konten berburu.



Cyera DSPM Microsoft Sentinel Konektor Data

Didukung oleh:Cyera Inc

Konektor data Cyera DSPM memungkinkan Anda untuk terhubung ke penyewa DSPM Cyera Anda dan menyerap Klasifikasi, Aset, Masalah, dan Sumber Daya/Definisi Identitas ke dalam Microsoft Sentinel. Konektor data dibangun di atas Codeless Connector Framework Microsoft Sentinel dan menggunakan API Cyera untuk mengambil DSPM Telemetry setelah diterima dapat berkorelasi dengan peristiwa keamanan yang membuat kolom kustom sehingga kueri tidak perlu mengurainya lagi, sehingga menghasilkan performa yang lebih baik.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
CyeraClassifications_CL No No
CyeraAssets_CL No No
CyeraAssets_MS_CL No No
CyeraIssues_CL No No
CyeraIdentities_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Instruksi Penyetelan:

Autentikasi DSPM Cyera

Menyambungkan ke penyewa DSPM Cyera Anda melalui Token Akses Pribadi

  • ID Klien Token Akses Pribadi Cyera: (client_id)
  • Kunci Rahasia Token Akses Pribadi Cyera: (secret_key)
  • Aktifkan/Nonaktifkan Koneksi



Surface Serangan CYFIRMA

Didukung oleh:CYFIRMA

N/A

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
CyfirmaASCertificatesAlerts_CL Yes Yes
CyfirmaASConfigurationAlerts_CL Yes Yes
CyfirmaASDomainIPReputationAlerts_CL Yes Yes
CyfirmaASOpenPortsAlerts_CL Yes Yes
CyfirmaASCloudWeaknessAlerts_CL Yes Yes
CyfirmaASDomainIPVulnerabilityAlerts_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Instruksi Penyetelan:

Surface Serangan CYFIRMA

Sambungkan ke Surface Serangan CYFIRMA untuk menyerap pemberitahuan ke dalam Microsoft Sentinel. Konektor ini menggunakan DECYFIR/DeTCT API untuk mengambil log dan mendukung transformasi waktu penyerapan berbasis DCR, mengurai data keamanan ke dalam tabel kustom selama penyerapan. Ini menghilangkan kebutuhan penguraian waktu kueri, meningkatkan performa dan efisiensi.

  • URL API CYFIRMA: (https://decyfir.cyfirma.com)
  • Kunci API CYFIRMA: (Kunci API CYFIRMA)
  • API Delta: (API Delta)
  • Aktifkan/Nonaktifkan Koneksi



Kecerdasan Merek CYFIRMA

Didukung oleh:CYFIRMA

N/A

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
CyfirmaBIDomainITAssetAlerts_CL Yes Yes
CyfirmaBIExecutivePeopleAlerts_CL Yes Yes
CyfirmaBIProductSolutionAlerts_CL Yes Yes
CyfirmaBISocialHandlersAlerts_CL Yes Yes
CyfirmaBIMaliciousMobileAppsAlerts_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Instruksi Penyetelan:

Kecerdasan Merek CYFIRMA

Sambungkan ke Kecerdasan Merek CYFIRMA untuk menyerap data pemberitahuan ke dalam Microsoft Sentinel. Konektor ini menggunakan DECYFIR/DeTCT Alerts API untuk mengambil log dan mendukung transformasi waktu penyerapan berbasis DCR, mengurai data keamanan ke dalam tabel kustom selama penyerapan. Ini meningkatkan performa dan efisiensi dengan menghilangkan kebutuhan penguraian waktu kueri.

  • URL API CYFIRMA: (https://decyfir.cyfirma.com)
  • Kunci API CYFIRMA: (Kunci API CYFIRMA)
  • API Delta: (API Delta)
  • Aktifkan/Nonaktifkan Koneksi



Akun Yang Disusupi CYFIRMA

Didukung oleh:CYFIRMA

Konektor data Akun yang Disusupi CYFIRMA memungkinkan penyerapan log yang lancar dari API DeCYFIR/DeTCT ke dalam Microsoft Sentinel. Dibangun di Microsoft Sentinel Codeless Connector Framework, ini memanfaatkan API DeCYFIR/DeTCT untuk mengambil log. Selain itu, ini mendukung transformasi waktu penyerapan berbasis DCR, yang mengurai data keamanan ke dalam tabel kustom selama penyerapan. Ini menghilangkan kebutuhan penguraian waktu kueri, meningkatkan performa dan efisiensi.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
CyfirmaCompromisedAccounts_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Instruksi Penyetelan:

Akun Yang Disusupi CYFIRMA

Konektor Data Akun yang Disusupi CYFIRMA memungkinkan penyerapan log yang mulus dari API DeCYFIR/DeTCT ke dalam Microsoft Sentinel. Dibangun di Microsoft Sentinel Codeless Connector Framework, ini memanfaatkan API DeCYFIR/DeTCT untuk mengambil log. Selain itu, ini mendukung transformasi waktu penyerapan berbasis DCR, yang mengurai data keamanan ke dalam tabel kustom selama penyerapan. Ini menghilangkan kebutuhan penguraian waktu kueri, meningkatkan performa dan efisiensi.

  • URL API CYFIRMA: (https://decyfir.cyfirma.com)
  • Kunci API CYFIRMA: (Kunci API CYFIRMA)
  • API Delta: (API Delta)
  • Aktifkan/Nonaktifkan Koneksi



Kecerdasan Cyber CYFIRMA

Didukung oleh:CYFIRMA

Konektor data CYFIRMA Cyber Intelligence memungkinkan penyerapan log yang lancar dari API DeCYFIR ke dalam Microsoft Sentinel. Dibangun di Microsoft Sentinel Codeless Connector Framework, ini memanfaatkan DECYFIR Alerts API untuk mengambil log. Selain itu, ini mendukung transformasi waktu penyerapan berbasis DCR, yang mengurai data keamanan ke dalam tabel kustom selama penyerapan. Ini menghilangkan kebutuhan penguraian waktu kueri, meningkatkan performa dan efisiensi.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
CyfirmaIndicators_CL Yes Yes
CyfirmaThreatActors_CL Yes Yes
CyfirmaCampaigns_CL Yes Yes
CyfirmaMalware_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Instruksi Penyetelan:

Kecerdasan Cyber CYFIRMA

Konektor ini menyediakan log Indikator, Pelaku ancaman, Malware, dan Kampanye dari CYFIRMA Cyber Intelligence. Konektor menggunakan API DeCYFIR untuk mengambil log dan mendukung transformasi waktu penyerapan berbasis DCR, mengurai data keamanan ke dalam tabel kustom selama penyerapan. Ini menghilangkan kebutuhan penguraian waktu kueri, meningkatkan performa dan efisiensi.

  • URL API CYFIRMA: (https://decyfir.cyfirma.com)
  • Kunci API CYFIRMA: (Kunci API CYFIRMA)
  • Tarik semua IoC IoC Atau Disesuaikan: (Semua IoC atau IoC Disesuaikan)
  • API Delta: (API Delta)
  • Tindakan yang Direkomendasikan: (Tindakan yang Direkomendasikan dapat berupa salah satu dari:Semua/Monitor/Blokir)
  • Threat Actor Associated: (Apakah ada Pelaku Ancaman yang Terkait dengan IoC)
  • Aktifkan/Nonaktifkan Koneksi



Risiko Digital CYFIRMA

Didukung oleh:CYFIRMA

Konektor data Pemberitahuan Risiko Digital CYFIRMA memungkinkan penyerapan log yang lancar dari API DeCYFIR/DeTCT ke Microsoft Sentinel. Dibangun di Microsoft Sentinel Codeless Connector Framework, ini memanfaatkan DECYFIR Alerts API untuk mengambil log. Selain itu, ini mendukung transformasi waktu penyerapan berbasis DCR, yang mengurai data keamanan ke dalam tabel kustom selama penyerapan. Ini menghilangkan kebutuhan penguraian waktu kueri, meningkatkan performa dan efisiensi.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
CyfirmaDBWMPhishingAlerts_CL Yes Yes
CyfirmaDBWMRansomwareAlerts_CL Yes Yes
CyfirmaDBWMDarkWebAlerts_CL Yes Yes
CyfirmaSPESourceCodeAlerts_CL Yes Yes
CyfirmaSPEConfidentialFilesAlerts_CL Yes Yes
CyfirmaSPEPIIAndCIIAlerts_CL Yes Yes
CyfirmaSPESocialThreatAlerts_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Instruksi Penyetelan:

Risiko Digital CYFIRMA

Sambungkan ke Pemberitahuan Risiko Digital CYFIRMA untuk menyerap log ke dalam Microsoft Sentinel. Konektor ini menggunakan DECYFIR/DeTCT API untuk mengambil pemberitahuan dan mendukung transformasi waktu penyerapan berbasis DCR untuk penguraian log yang efisien.

  • URL API CYFIRMA: (https://decyfir.cyfirma.com)
  • Kunci API CYFIRMA: (Kunci API CYFIRMA)
  • API Delta: (API Delta)
  • Aktifkan/Nonaktifkan Koneksi



Kecerdasan Kerentanan CYFIRMA

Didukung oleh:CYFIRMA

Konektor data Inteligensi Kerentanan CYFIRMA memungkinkan penyerapan log yang mulus dari API DeCYFIR ke dalam Microsoft Sentinel. Dibangun di Microsoft Sentinel Codeless Connector Framework, ini memanfaatkan API CYFIRMA untuk mengambil log. Selain itu, ini mendukung transformasi waktu penyerapan berbasis DCR, yang mengurai data keamanan ke dalam tabel kustom selama penyerapan. Ini menghilangkan kebutuhan penguraian waktu kueri, meningkatkan performa dan efisiensi.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
CyfirmaVulnerabilities_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Instruksi Penyetelan:

Kecerdasan Kerentanan CYFIRMA

Konektor ini menyediakan log Kerentanan dari Kecerdasan Kerentanan CYFIRMA. Konektor menggunakan API DeCYFIR untuk mengambil log dan mendukung transformasi waktu penyerapan berbasis DCR, mengurai data keamanan ke dalam tabel kustom selama penyerapan. Ini menghilangkan kebutuhan penguraian waktu kueri, meningkatkan performa dan efisiensi.

  • URL API CYFIRMA: (https://decyfir.cyfirma.com)
  • Kunci API CYFIRMA: (Kunci API CYFIRMA)
  • API Delta: (API Delta)
  • Kerentanan Terkait Vendor:
  • kerentananProduct-Associated:
  • Produk dengan kerentanan Version-Associated:
  • Aktifkan/Nonaktifkan Koneksi



Cyjax Threat Intelligence IOC Connector (menggunakan Azure Functions)

Didukung oleh:Cyjax

Konektor data IOC Cyjax Threat Intelligence menyediakan kemampuan untuk menginput Indikator Kompromi (IOC) dari Cyjax API v2 ke dalam Microsoft Sentinel sebagai indikator STIX 2.1 Threat Intelligence. Konektor ini mengambil IOC termasuk IP, domain, URL, hash file, email, dan hostname, memperkayanya dengan data GeoIP, ASN, dan sighting, serta mengunggahnya ke platform Microsoft Sentinel Threat Intelligence melalui Upload Indicator API.

Konektor mendukung:

  • Pengumpulan IOC otomatis dengan jadwal yang dapat dikonfigurasi
  • Pengayaan IOC dengan data GeoIP, ASN, dan penglihatan
  • Pemetaan indikator STIX 2.1 dengan penandaan TLP
  • Pengambilan bertahap dengan manajemen checkpoint

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
ThreatIntelIndicators Yes No

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Langganan Azure: Langganan Azure dengan peran pemilik diperlukan untuk mendaftarkan aplikasi di Microsoft Entra ID dan menetapkan peran kontributor ke aplikasi dalam grup sumber daya.
  • Microsoft. Izin web/situs: Izin baca dan tulis ke Azure Functions untuk membuat Aplikasi Fungsi diperlukan. Untuk informasi selengkapnya, lihat Azure Functions.
  • Kredensial API Cyjax: Token akses Cyjax API v2 (Bearer Token) diperlukan. Hubungi Cyjax untuk mendapatkan kredensial API.

Instruksi Penyetelan:

Grup Sumber Daya

Anda harus membuat grup sumber daya dengan langganan yang akan Anda gunakan.

Aplikasi Functions

Anda perlu memiliki Azure App yang terdaftar untuk konektor ini agar dapat digunakan:

  1. ID Aplikasi (Klien)
  2. ID Penyewa
  3. Rahasia Klien

CATATAN: Konektor ini menggunakan Azure Functions untuk terhubung ke Cyjax API v2 guna menarik indikator IOC ke Microsoft Sentinel. Ini dapat mengakibatkan biaya penyerapan data tambahan. Periksa halaman harga Azure Functions untuk detailnya.

LANGKAH 1 - Langkah-langkah Pendaftaran Aplikasi untuk Aplikasi di Microsoft Entra ID

Integrasi ini memerlukan pendaftaran Aplikasi di portal Azure. Ikuti langkah-langkah di bagian ini untuk membuat aplikasi baru di Microsoft Entra ID:

  1. Masuk ke portal Azure.
  2. Cari dan pilih Microsoft Entra ID.
  3. Di bawah Kelola, pilih Pendaftaran aplikasi > Pendaftaran baru.
  4. Masukkan Nama tampilan aplikasi Anda.
  5. Pilih Daftar untuk menyelesaikan pendaftaran aplikasi awal.
  6. Setelah pendaftaran selesai, portal Azure menampilkan panel Gambaran Umum pendaftaran aplikasi. Anda melihat ID Aplikasi (klien) dan ID Penyewa. ID klien dan ID Tenant diperlukan sebagai parameter konfigurasi untuk eksekusi Cyjax IOC Data Connector.

Tautan referensi:/azure/active-directory/develop/quickstart-register-app

LANGKAH 2 - Menambahkan rahasia klien untuk aplikasi di Microsoft Entra ID

Kadang-kadang disebut kata sandi aplikasi, client secret adalah nilai string yang diperlukan untuk eksekusi Cyjax IOC Data Connector. Ikuti langkah-langkah di bagian ini untuk membuat Rahasia Klien baru:

  1. Di portal Microsoft Azure, di Pendaftaran aplikasi, pilih aplikasi Anda.
  2. Pilih Sertifikat & rahasia > Rahasia > klien Rahasia klien baru.
  3. Tambahkan deskripsi untuk rahasia klien Anda.
  4. Pilih kedaluwarsa untuk rahasia atau tentukan masa pakai kustom. Batasnya adalah 24 bulan.
  5. Pilih Tambahkan.
  6. Catat nilai rahasia untuk digunakan dalam kode aplikasi klien Anda. Nilai rahasia ini tidak pernah ditampilkan lagi setelah Anda meninggalkan halaman ini. Nilai rahasia diperlukan sebagai parameter konfigurasi untuk eksekusi Cyjax IOC Data Connector.

Tautan referensi:/azure/active-directory/develop/quickstart-register-app#add-a-client-secret

LANGKAH 3 - Tetapkan Peran Kontributor Microsoft Sentinel

Tetapkan peran Microsoft Sentinel Contributor ke App Registration agar dapat mengunggah indikator intelijen ancaman:

  1. Pergi ke ruang kerja Log Analytics yang terkait dengan instance Microsoft Sentinel Anda.
  2. Pilih Kontrol akses (IAM) dari menu sebelah kiri.
  3. Klik Tambah > Tambah penugasan peran.
  4. Cari Microsoft Sentinel Contributor dan pilih itu.
  5. Di bawah Anggota, pilih User, group, atau service principal dan cari nama Registrasi Aplikasi Anda.
  6. Pilih aplikasi dan klik Tinjau + tugaskan.

LANGKAH 4 - Dapatkan Kredensial API Cyjax

Hubungi Cyjax untuk mendapatkan token akses API v2 Anda (Bearer Token). Token ini digunakan untuk mengautentikasi permintaan ke endpoint IOC dan pengayaan Cyjax.

LANGKAH 5 - Terapkan Konektor IOC Cyjax

PENTING: Sebelum menerapkan konektor IOC Cyjax, pastikan token akses API Cyjax, kredensial Registrasi Azure App (Client ID, Client Secret, Tenant ID), dan Workspace ID tersedia.

  • ID ruang kerja: <nilai variabel yang disediakan pada waktu penginstalan>

Opsi 1 - Templat Azure Resource Manager (ARM)

Gunakan metode ini untuk penerapan otomatis Cyjax IOC Data Connector.

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.msaka.ms

  2. Pilih Langganan, Grup Sumber Daya, dan Wilayah pilihan.

  3. Masukkan informasi di bawah ini:

    a. FunctionName - Masukkan nama aplikasi Function unik (maksimal 11 karakter)

    b. Lokasi - Lokasi untuk aturan pengumpulan data dan penerapan endpoint

    c. WorkspaceID - Masukkan ID Workspace Log Analytics

    d. AzureClientID - Masukkan Azure Client ID dari Pendaftaran Aplikasi Anda

    e. AzureClientSecret - Masukkan Azure Client Secret dari Pendaftaran Aplikasi Anda

    f. AzureTenantID - Masukkan Azure Tenant ID

    g. CyjaxBaseURL - Masukkan URL Dasar Cyjax API v2 (default: https://api.cymon.co/v2)

    Halo. CyjaxAccessToken - Masukkan Token Pembawa API Cyjax

    i. LookbackDays - Jumlah hari untuk melihat kembali pada run pertama (default: 1)

    j. EnableEnrichment - Diatur ke true untuk memperkaya IOC dengan data GeoIP, ASN, dan sighting. Atur ke false untuk melewati pengayaan dan mengurangi pemanggilan API serta waktu eksekusi (default: true)

    k. IOCQuery - Kueri pencarian teks bebas opsional untuk memfilter IOC dari API Cyjax (misalnya kata kunci, aktor ancaman, atau nama kampanye). Biarkan kosong untuk mengambil semua IOC yang tersedia

    l. IndicatorType - Filter IOC berdasarkan jenis. Masukkan nilai yang dipisahkan koma (misalnya, URL, Domain, IPv4). Jenis yang didukung: URL, Domain, IPv4, IPv6, Hostname, Email, FileHash-SHA1, FileHash-SHA256, FileHash-MD5, FileHash-SSDEEP. Biarkan kosong untuk mengambil semua jenis

    m. Jadwal - Masukkan Cron-Expression Quartz yang valid (default: setiap 10 menit)

    n. LogLevel - Atur level log (default: Info)

    o. AppInsightsWorkspaceResourceID - Masukkan ID Sumber Daya Application Insights Workspace

  4. Tandai kotak centang berlabel Saya menyetujui syarat dan ketentuan yang dinyatakan di atas.

  5. Klik Beli untuk menyebarkan.

Opsi 2 - Penyebaran manual Azure Functions

Gunakan instruksi langkah demi langkah berikut untuk menyebarkan konektor data Cyjax IOC secara manual dengan Azure Functions (Deployment via Visual Studio Code).

  1. Menyebarkan Aplikasi Fungsi

CATATAN: Anda harus menyiapkan kode VS untuk pengembangan fungsi Azure.

  1. Unduh file Aplikasi Fungsi Azure. Ekstrak arsip ke komputer pengembangan lokal Anda.

  2. Jalankan VS Code. Pilih File di menu utama dan pilih Buka Folder.

  3. Pilih folder tingkat atas dari file yang diekstrak.

  4. Pilih ikon Azure di bilah Aktivitas, lalu di area Azure: Fungsi, pilih tombol Sebarkan ke aplikasi fungsi. Jika Anda belum masuk, pilih ikon Azure di bilah Aktivitas, lalu di area Azure: Functions, pilih Masuk ke Azure Jika Anda sudah masuk, buka langkah berikutnya.

  5. Berikan informasi berikut pada permintaan:

    a. Pilih folder: Pilih folder dari ruang kerja Anda atau telusuri folder yang berisi aplikasi fungsi Anda.

    b. Pilih Langganan: Pilih langganan yang akan digunakan.

    c. Pilih Buat Aplikasi Fungsi baru di Azure (Jangan pilih opsi Tingkat Lanjut)

    d. Masukkan nama unik global untuk aplikasi fungsi: Ketik nama yang valid di jalur URL. Nama yang Anda ketik akan divalidasi untuk memastikan bahwa nama tersebut bersifat unik di Azure Functions. (misalnya CYJAXXXXXX).

    e. Pilih runtime: Pilih Python 3.12

    f. Pilih lokasi untuk sumber daya baru. Untuk performa yang lebih baik dan biaya yang lebih rendah, pilih wilayah yang sama tempat Microsoft Sentinel berada.

  6. Penyebaran akan dimulai. Notifikasi ditampilkan setelah aplikasi fungsi Anda dibuat dan paket penyebaran diterapkan.

  7. Buka portal Azure untuk konfigurasi Aplikasi Fungsi.

  8. Mengonfigurasi Aplikasi Fungsi

  9. Di Aplikasi Fungsi, pilih Nama Aplikasi Fungsi dan pilih Konfigurasi.

  10. Di tab Pengaturan aplikasi, pilih + Pengaturan aplikasi baru.

  11. Tambahkan setiap pengaturan aplikasi berikut secara individual, beserta nilainya masing-masing (sensitif huruf besar):

    • WorkspaceID - ID Workspace Log Analytics Anda

    • AzureClientID - Azure Client ID dari Pendaftaran Aplikasi Anda

    • AzureClientSecret - Azure Client Secret dari Pendaftaran Aplikasi Anda

    • AzureTenantID - ID Tenant Azure Anda

    • CyjaxBaseURL - URL Dasar Cyjax API v2 (default: https://api.cymon.co/v2)

    • CyjaxAccessToken - Token Pembawa API Cyjax Anda

    • LookbackDays - Jumlah hari untuk melihat kembali pada run pertama (default: 1)

    • EnableEnrichment - Diatur ke true untuk memperkaya IOC dengan data GeoIP, ASN, dan sighting. Atur ke false untuk melewati pengayaan dan mengurangi pemanggilan API serta waktu eksekusi (default: true)

    • IOCQuery - Kueri pencarian teks bebas opsional untuk memfilter IOC dari API Cyjax (misalnya kata kunci, aktor ancaman, atau nama kampanye). Biarkan kosong untuk mengambil semua IOC yang tersedia (opsional)

    • IndicatorType - Filter IOC berdasarkan jenis. Masukkan nilai yang dipisahkan koma (misalnya, URL, Domain, IPv4). Jenis yang didukung: URL, Domain, IPv4, IPv6, Hostname, Email, FileHash-SHA1, FileHash-SHA256, FileHash-MD5, FileHash-SSDEEP. Biarkan kosong untuk mengambil semua jenis (opsional)

    • Jadwal - Quartz Cron-Expression (default: setiap 10 menit)

    • LogLevel - Tingkat log (default: Info)

    • AppInsightsWorkspaceResourceID - Application Insights Workspace Resource ID (opsional)

    • logAnalyticsUri (opsional) - Gunakan logAnalyticsUri untuk menimpa endpoint API analitik log untuk cloud khusus. Misalnya, untuk cloud publik, biarkan nilai kosong; untuk Azure lingkungan cloud GovUS, tentukan nilai dalam format berikut: https://<CustomerId>.ods.opinsights.azure.us.

  12. Setelah semua pengaturan aplikasi dimasukkan, klik Simpan.



Peristiwa Keamanan Cynerio

Didukung oleh:Cynerio

Konektor Cynerio memungkinkan Anda untuk dengan mudah menghubungkan Peristiwa Keamanan Cynerio Anda dengan Microsoft Sentinel, untuk melihat Peristiwa IDS. Ini memberi Anda lebih banyak wawasan tentang postur keamanan jaringan organisasi Anda dan meningkatkan kemampuan operasi keamanan Anda.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
CynerioEvent_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Instruksi Penyetelan:

Mengonfigurasi dan menyambungkan Cynerio

Cynerio dapat berintegrasi dengan dan mengekspor peristiwa langsung ke Microsoft Sentinel melalui Azure Server. Ikuti langkah-langkah berikut untuk membuat integrasi:

  1. Di konsol Cynerio, buka tab Integrasi Pengaturan > (default), dan klik tombol +Tambahkan Integrasi di kanan atas.

  2. Gulir ke bawah ke bagian SIEM .

  3. Pada kartu Microsoft Sentinel, klik tombol Sambungkan.

  4. Jendela Detail Integrasi terbuka. Gunakan parameter di bawah ini untuk mengisi formulir dan menyiapkan koneksi.

  • ID ruang kerja: <nilai variabel yang disediakan pada waktu penginstalan>
  • Kunci Primer: <nilai variabel yang disediakan pada waktu penginstalan>



Inteligensi Ancaman Cyren

Didukung oleh:Data443 Risk Mitigation, Inc.

Serap reputasi IP dan indikator URL malware dari Cyren menggunakan Common Connector Framework (CCF).

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
Cyren_Indicators_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Cyren JWT Token: Token JWT disimpan dalam Azure Key Vault atau disediakan pada waktu penyebaran.

Instruksi Penyetelan:

Menyambungkan Inteligensi Ancaman Cyren

Untuk mengaktifkan konektor Inteligensi Ancaman Cyren, berikan token JWT Anda di bawah ini dan klik Sambungkan.

Catatan: Anda dapat menggunakan umpan atau keduanya tergantung pada langganan Anda. Biarkan bidang token kosong untuk umpan apa pun yang belum Anda beli — hanya konektor untuk token yang disediakan yang akan disebarkan.

Untuk keamanan yang ditingkatkan, Anda dapat mengaktifkan integrasi Key Vault untuk menyimpan dan mengambil token JWT.

  • Token JWT Reputasi IP (Opsional): (Biarkan kosong jika tidak dibeli)
  • Token JWT URL Malware (Opsional): (Biarkan kosong jika tidak dibeli)
  • Aktifkan/Nonaktifkan Koneksi



Insiden D3 Smart SOAR

Didukung oleh:D3 Security

Konektor data D3 Smart SOAR menarik insiden dari D3 Smart SOAR ke Microsoft Sentinel menggunakan titik akhir perintah REST API tanpa kode D3.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
D3SOARIncidents_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Instruksi Penyetelan:

Menyambungkan D3 Smart SOAR ke Microsoft Sentinel

Prasyarat: Di D3 Smart SOAR, buka Manajemen Organisasi → Situs, pilih situs yang Anda sambungkan, dan atur Zona Waktunya ke (UTC+00.00) Waktu Universal Terkoordinasi. Ini memastikan tanda waktu insiden diselaraskan dengan benar dengan Microsoft Sentinel.

Masukkan detail koneksi D3 Smart SOAR Anda di bawah ini. Insiden akan dijajaki setiap 5 menit dan ditulis ke tabel D3SOARIncidents_CL. URL Server — URL dasar penyebaran D3 Smart SOAR Anda, hingga dan termasuk jalur situs. Jangan sertakan jalur API. Nama pengguna — Nama pengguna akun D3 Smart SOAR Anda (sama dengan login portal Anda). Situs — Nama situs D3 Smart SOAR milik akun Anda (misalnya Security Operations). D3 JWT — JSON Web Token yang dikeluarkan oleh D3 Smart SOAR untuk autentikasi API.



Konektor Platform Keamanan Darktrace ActiveAI

Didukung oleh:Darktrace

Konektor Darktrace ActiveAI Security Platform Connector menyediakan kemampuan untuk membaca data event mentah dari Darktrace di Microsoft Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
DarktraceASM_CL Yes Yes
DarktraceEMAIL_CL Yes Yes
DarktraceIncidents_CL Yes Yes
DarktraceModelAlerts_CL Yes Yes
DarktraceResponseActions_CL Yes Yes
DarktraceSystemStatusAlerts_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Microsoft Entra: Izin untuk membuat pendaftaran aplikasi di Microsoft Entra ID. Biasanya memerlukan peran Pengembang Aplikasi Entra ID atau yang lebih tinggi.
  • Microsoft Azure: Izin untuk menetapkan peran Publisher Metrik Pemantauan pada aturan pengumpulan data (DCR). Biasanya memerlukan peran Pemilik RBAC Azure atau Administrator Akses Pengguna

Instruksi Penyetelan:

1. Buat Sumber Daya ARM dan Berikan Izin yang Diperlukan

Konektor ini membaca data dari tabel yang digunakan Darktrace di Microsoft Analytics Workspace, jika konfigurasi Microsoft Sentinel Log Ingestion diaktifkan di Darktrace maka data event mentah dikirim ke Microsoft Sentinel Ingestion API.

Konfigurasi Otomatis dan Penyerapan Data Aman dengan Aplikasi Entra Mengklik "Sebarkan" akan memicu pembuatan tabel Log Analytics dan Aturan Pengumpulan Data (DCR). Kemudian akan membuat aplikasi Entra, menautkan DCR ke aplikasi tersebut, dan mengatur rahasia yang dimasukkan dalam aplikasi. Penyiapan ini memungkinkan data dikirim dengan aman ke DCR menggunakan token Entra.

2. Dorong log Anda ke ruang kerja

Gunakan parameter berikut untuk mengonfigurasi komputer Anda untuk mengirim log ke ruang kerja.

  • ID Penyewa (ID Direktori): <nilai variabel yang disediakan pada waktu penginstalan>
  • ID Aplikasi Pendaftaran Aplikasi Entra: <nilai variabel yang disediakan pada waktu penginstalan>
  • Rahasia Pendaftaran Aplikasi Entra: <nilai variabel yang disediakan pada waktu penginstalan>
  • Uri Titik Akhir Pengumpulan Data: <nilai variabel yang disediakan pada waktu penginstalan>
  • ID Tidak Dapat Diubah Aturan Pengumpulan Data: <nilai variabel yang disediakan pada waktu penginstalan>
  • Nama Attack Surface Management Stream: <nilai variabel yang diberikan saat instalasi>
  • Nama Aliran EMAIL: <nilai variabel yang diberikan saat instalasi>
  • Nama Aliran Insiden AI Analyst: <nilai variabel yang diberikan saat instalasi>
  • Nama Aliran Peringatan Model: <nilai variabel disediakan saat instalasi>
  • Nama Aliran Respons Otonom: <nilai variabel yang diberikan saat instalasi>
  • Nama Stream Peringatan Status Sistem: <nilai variabel disediakan saat instalasi>



DataBahn

Didukung oleh:Databahn

Konektor DataBahn menyediakan kemampuan untuk mendorong telemetri platform real time dari lingkungan DataBahn Anda langsung ke Microsoft Sentinel menggunakan pola Push Codeless Connector Framework (CCF). Konektor ini menyerap log audit, pemberitahuan operasional, dan inventarisasi perangkat ke dalam tabel Log Analytics kustom untuk analisis, peringatan, dan visualisasi.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
databahn_audit_logs_CL No No
databahn_alerts_CL No No
databahn_device_inventory_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Microsoft Entra: Izin untuk membuat pendaftaran aplikasi di Microsoft Entra ID. Biasanya memerlukan peran Pengembang Aplikasi Entra ID atau yang lebih tinggi.
  • Microsoft Azure: Izin untuk menetapkan peran Publisher Metrik Pemantauan pada aturan pengumpulan data (DCR). Biasanya memerlukan peran Pemilik RBAC Azure atau Administrator Akses Pengguna.

Instruksi Penyetelan:

1. Buat Sumber Daya ARM dan Berikan Izin yang Diperlukan

Konektor ini memungkinkan platform DataBahn Anda untuk mendorong log audit, pemberitahuan, dan inventori perangkat langsung ke Microsoft Sentinel melalui API penyerapan Azure Monitor.

Konfigurasi Otomatis dan Penyerapan Data Aman dengan Aplikasi Entra Mengklik "Sebarkan" akan memicu pembuatan tabel Log Analytics dan Aturan Pengumpulan Data (DCR). Kemudian akan membuat aplikasi Entra, menautkan DCR ke aplikasi tersebut, dan mengatur rahasia yang dimasukkan dalam aplikasi. Penyiapan ini memungkinkan data dikirim dengan aman ke DCR menggunakan token Entra.

2. Konfigurasikan Platform DataBahn Anda

Gunakan parameter berikut untuk mengonfigurasi tujuan DataBahn Highway Anda untuk mendorong data ke ruang kerja.

  • ID Penyewa (ID Direktori): <nilai variabel yang disediakan pada waktu penginstalan>
  • ID Aplikasi Pendaftaran Aplikasi Entra: <nilai variabel yang disediakan pada waktu penginstalan>
  • Rahasia Pendaftaran Aplikasi Entra: <nilai variabel yang disediakan pada waktu penginstalan>
  • Uri Titik Akhir Pengumpulan Data: <nilai variabel yang disediakan pada waktu penginstalan>
  • ID Tidak Dapat Diubah Aturan Pengumpulan Data: <nilai variabel yang disediakan pada waktu penginstalan>
  • Nama Aliran Log Audit: <nilai variabel yang disediakan pada waktu penginstalan>
  • Nama Aliran Pemberitahuan: <nilai variabel yang disediakan pada waktu penginstalan>
  • Nama Aliran Inventori Perangkat: <nilai variabel yang disediakan pada waktu penginstalan>



Datalake2Sentinel

Didukung oleh:Orange Cyberdefense

Solusi ini menginstal konektor Datalake2Sentinel yang dibangun menggunakan Codeless Connector Framework dan memungkinkan Anda untuk secara otomatis menyerap indikator inteligensi ancaman dari Platform CTI Oranye Oranye Cyberdefense ke dalam Microsoft Sentinel melalui Rest API Indikator Unggah. Setelah menginstal solusi, konfigurasikan dan aktifkan konektor data ini dengan mengikuti panduan dalam Mengelola tampilan solusi.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
ThreatIntelligenceIndicator Yes No

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Instruksi Penyetelan:

Instruksi penginstalan dan penyiapan

Gunakan dokumentasi dari repositori Github ini untuk menginstal dan mengonfigurasi Datalake ke konektor Microsoft Sentinel.

https://github.com/cert-orangecyberdefense/datalake2sentinel



Konektor Data Pemberitahuan PulseDataminr (menggunakan Azure Functions)

Didukung oleh:Dukungan Dataminr

Konektor Data Dataminr Pulse Alerts menghadirkan kecerdasan real time yang didukung AI ke Microsoft Azure Sentinel untuk deteksi dan respons ancaman yang lebih cepat.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
DataminrPulse_Alerts_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Langganan Azure: Langganan Azure dengan peran pemilik diperlukan untuk mendaftarkan aplikasi di Microsoft Entra ID dan menetapkan peran kontributor ke aplikasi dalam grup sumber daya.
  • Microsoft. Izin web/situs: Izin baca dan tulis ke Azure Functions untuk membuat Aplikasi Fungsi diperlukan. Untuk informasi selengkapnya, lihat Azure Functions.
  • Kredensial/izin Dataminr yang diperlukan:

a. Pengguna harus memiliki ID klien Dataminr Pulse API yang valid dan rahasia untuk menggunakan konektor data ini.

b. Satu atau beberapa Daftar Pengawasan Dataminr Pulse harus dikonfigurasi di situs web Dataminr Pulse.

Instruksi Penyetelan:

CATATAN: Konektor ini menggunakan Azure Functions untuk menyambungkan ke DataminrPulse tempat log didorong melalui Dataminr RTAP dan akan menyerap log ke Microsoft Sentinel. Selain itu, konektor akan mengambil data yang diserap dari tabel log kustom dan membuat Indikator Inteligensi Ancaman ke Microsoft Sentinel Inteligensi Ancaman. Ini dapat mengakibatkan biaya penyerapan data tambahan. Periksa halaman harga Azure Functions untuk detailnya.

(Langkah Opsional) Simpan ruang kerja dan kunci otorisasi API atau token dengan aman di Azure Key Vault. Azure Key Vault menyediakan mekanisme aman untuk menyimpan dan mengambil nilai kunci. Ikuti instruksi ini untuk menggunakan Azure Key Vault dengan Aplikasi Fungsi Azure.

LANGKAH 1- Kredensial untuk ID Klien Dataminr Pulse dan Rahasia Klien

  • Dapatkan ID/kata sandi pengguna Dataminr Pulse dan ID/rahasia klien API dari Dataminr Customer Success Manager (CSM).

LANGKAH 2- Konfigurasikan Daftar Pengawasan di portal Dataminr Pulse.

Ikuti langkah-langkah di bagian ini untuk mengonfigurasi daftar pengawasan di portal:

  1. Masuk ke situs web Dataminr Pulse.

  2. Klik ikon gigi pengaturan, dan pilih Kelola Daftar.

  3. Pilih jenis Daftar Pengawasan yang ingin Anda buat (Cyber, Topic, Company, dll.) dan klik tombol Daftar Baru .

  4. Berikan nama untuk Daftar Pengawasan baru Anda, dan pilih warna sorotan untuknya, atau pertahankan warna default.

  5. Setelah selesai mengonfigurasi Daftar Pengawasan, klik Simpan untuk menyimpannya.

LANGKAH 3 - Langkah-langkah Pendaftaran Aplikasi untuk Aplikasi di Microsoft Entra ID

Integrasi ini memerlukan pendaftaran Aplikasi di portal Azure. Ikuti langkah-langkah di bagian ini untuk membuat aplikasi baru di Microsoft Entra ID:

  1. Masuk ke portal Azure.
  2. Cari dan pilih Microsoft Entra ID.
  3. Di bawah Kelola, pilih Pendaftaran aplikasi > Pendaftaran baru.
  4. Masukkan Nama tampilan aplikasi Anda.
  5. Pilih Daftar untuk menyelesaikan pendaftaran aplikasi awal.
  6. Setelah pendaftaran selesai, portal Azure menampilkan panel Gambaran Umum pendaftaran aplikasi. Anda melihat ID Aplikasi (klien) dan ID Penyewa. ID klien dan ID Penyewa diperlukan sebagai parameter konfigurasi untuk eksekusi DataminrPulse Data Connector.

Tautan referensi:/azure/active-directory/develop/quickstart-register-app

LANGKAH 4 - Tambahkan rahasia klien untuk aplikasi di Microsoft Entra ID

Terkadang disebut kata sandi aplikasi, rahasia klien adalah nilai string yang diperlukan untuk eksekusi DataminrPulse Data Connector. Ikuti langkah-langkah di bagian ini untuk membuat Rahasia Klien baru:

  1. Di portal Microsoft Azure, di Pendaftaran aplikasi, pilih aplikasi Anda.
  2. Pilih Sertifikat & rahasia > Rahasia > klien Rahasia klien baru.
  3. Tambahkan deskripsi untuk rahasia klien Anda.
  4. Pilih kedaluwarsa untuk rahasia atau tentukan masa pakai kustom. Batasnya adalah 24 bulan.
  5. Pilih Tambahkan.
  6. Catat nilai rahasia untuk digunakan dalam kode aplikasi klien Anda. Nilai rahasia ini tidak pernah ditampilkan lagi setelah Anda meninggalkan halaman ini. Nilai rahasia diperlukan sebagai parameter konfigurasi untuk eksekusi Konektor DataminrPulse Data.

Tautan referensi:/azure/active-directory/develop/quickstart-register-app#add-a-client-secret

LANGKAH 5 - Menetapkan peran Kontributor ke aplikasi di Microsoft Entra ID

Ikuti langkah-langkah di bagian ini untuk menetapkan peran:

  1. Di portal Azure, Buka Grup Sumber Daya dan pilih grup sumber daya Anda.
  2. Buka Kontrol akses (IAM) dari panel kiri.
  3. Klik Tambahkan, lalu pilih Tambahkan penetapan peran.
  4. Pilih Kontributor sebagai peran dan klik berikutnya.
  5. Di Tetapkan akses ke, pilih User, group, or service principal.
  6. Klik tambahkan anggota dan ketik nama aplikasi yang telah Anda buat dan pilih.
  7. Sekarang klik Tinjau + tetapkan lalu klik lagi Tinjau + tetapkan.

Tautan referensi:/azure/role-based-access-control/role-assignments-portal

LANGKAH 6 - Pilih ONE dari dua opsi penyebaran berikut untuk menyebarkan konektor dan Fungsi Azure terkait

PENTING: Sebelum menyebarkan konektor data Dataminr Pulse Microsoft Sentinel, miliki ID Ruang Kerja dan Kunci Primer Ruang Kerja (dapat disalin dari yang berikut) yang tersedia dengan mudah.

  • ID ruang kerja: <nilai variabel yang disediakan pada waktu penginstalan>
  • Kunci Primer: <nilai variabel yang disediakan pada waktu penginstalan>

Opsi 1 - Templat Azure Resource Manager (ARM)

Gunakan metode ini untuk penyebaran otomatis konektor DataminrPulse.

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.msaka.ms

  2. Pilih Langganan, Grup Sumber Daya, dan Lokasi pilihan.

  3. Masukkan informasi di bawah ini: Nama Fungsi Workspace ID Workspace Key AlertsTableName BaseURL ClientId ClientSecret AzureClientId AzureClientSecret AzureTenantId AzureResourceGroupName AzureWorkspaceName AzureSubscriptionId Schedule LogLevel

  4. Tandai kotak centang berlabel Saya menyetujui syarat dan ketentuan yang dinyatakan di atas.

  5. Klik Beli untuk menyebarkan.

Opsi 2 - Penyebaran manual Azure Functions

Gunakan instruksi langkah demi langkah berikut untuk menyebarkan konektor data Dataminr Pulse Microsoft Sentinel secara manual dengan Azure Functions (Penyebaran melalui Visual Studio Code).

1) Menyebarkan Aplikasi Fungsi

CATATAN: Anda harus menyiapkan kode VS untuk pengembangan fungsi Azure.

  1. Unduh file Aplikasi Fungsi Azure. Ekstrak arsip ke komputer pengembangan lokal Anda.

  2. Jalankan VS Code. Pilih File di menu utama dan pilih Buka Folder.

  3. Pilih folder tingkat atas dari file yang diekstrak.

  4. Pilih ikon Azure di bilah Aktivitas, lalu di area Azure: Fungsi, pilih tombol Sebarkan ke aplikasi fungsi. Jika Anda belum masuk, pilih ikon Azure di bilah Aktivitas, lalu di area Azure: Functions, pilih Masuk ke Azure Jika Anda sudah masuk, buka langkah berikutnya.

  5. Berikan informasi berikut pada permintaan:

    a. Pilih folder: Pilih folder dari ruang kerja Anda atau telusuri folder yang berisi aplikasi fungsi Anda.

    b. Pilih Langganan: Pilih langganan yang akan digunakan.

    c. Pilih Buat Aplikasi Fungsi baru di Azure (Jangan pilih opsi Tingkat Lanjut)

    d. Masukkan nama unik global untuk aplikasi fungsi: Ketik nama yang valid di jalur URL. Nama yang Anda ketik akan divalidasi untuk memastikan bahwa nama tersebut bersifat unik di Azure Functions. (misalnya DmPulseXXXXXX).

    e. Pilih runtime: Pilih Python 3.8 atau lebih tinggi.

    f. Pilih lokasi untuk sumber daya baru. Untuk performa yang lebih baik dan biaya yang lebih rendah, pilih wilayah yang sama tempat Microsoft Sentinel berada.

  6. Penyebaran akan dimulai. Notifikasi ditampilkan setelah aplikasi fungsi Anda dibuat dan paket penyebaran diterapkan.

  7. Buka portal Azure untuk konfigurasi Aplikasi Fungsi.

2) Mengonfigurasi Aplikasi Fungsi

  1. Di Aplikasi Fungsi, pilih Nama Aplikasi Fungsi dan pilih Konfigurasi.
  2. Di tab Pengaturan aplikasi, pilih + Pengaturan aplikasi baru.
  3. Tambahkan masing-masing pengaturan aplikasi berikut satu per satu, dengan nilai masing-masing (peka huruf besar/kecil): Nama Fungsi ID Ruang Kerja Ruang Kerja Key AlertsTableName BaseURL ClientId ClientSecret AzureClientId AzureClientSecret AzureTenantId AzureResourceGroupName AzureWorkspaceName AzureSubscriptionId Schedule LogLevel logAnalyticsUri (opsional)
  • Gunakan logAnalyticsUri untuk mengambil alih titik akhir API analitik log untuk cloud khusus. Misalnya, untuk cloud publik, biarkan nilai kosong; untuk Azure lingkungan cloud GovUS, tentukan nilai dalam format berikut: https://<CustomerId>.ods.opinsights.azure.us.
  1. Setelah semua pengaturan aplikasi dimasukkan, klik Simpan.

LANGKAH 7 - Langkah-langkah Pasca Penyebaran

1) Dapatkan titik akhir aplikasi Fungsi

  1. Buka halaman Ringkasan fungsi Azure dan Klik "Fungsi" di bilah kiri.
  2. Klik fungsi yang disebut "DataminrPulseAlertsHttpStarter".
  3. Buka "GetFunctionurl" dan salin url fungsi.
  4. Ganti {functionname} dengan "DataminrPulseAlertsSentinelOrchestrator" di url fungsi yang disalin.

2) Untuk menambahkan pengaturan integrasi di Dataminr RTAP menggunakan URL fungsi

  1. Buka alat permintaan API apa pun seperti Postman.
  2. Klik '+' untuk membuat permintaan baru.
  3. Pilih metode permintaan HTTP sebagai 'POST'.
  4. Masukkan url prepapred di titik 1), di bagian URL permintaan.
  5. Di Isi, pilih JSON mentah dan berikan isi permintaan seperti di bawah ini (peka huruf besar/kecil): { "integration-settings": "ADD", "url": "(URL part from copied Function-url)", "token": "(value of code parameter from copied Function-url)" }
  6. Setelah memberikan semua detail yang diperlukan, klik Kirim.
  7. Anda akan menerima ID pengaturan integrasi dalam respons HTTP dengan kode status 200.
  8. Simpan ID Integrasi untuk referensi di masa mendatang.

Sekarang kita selesai dengan menambahkan pengaturan integrasi untuk Dataminr RTAP. Setelah Dataminr RTAP mengirim data pemberitahuan, aplikasi Fungsi dipicu dan Anda akan dapat melihat data Pemberitahuan dari Dataminr Pulse ke tabel ruang kerja LogAnalytics yang disebut "DataminrPulse_Alerts_CL".



Datawiza DAP

Didukung oleh:Datawiza Technology Inc.

Menyambungkan log DAP Datawiza ke Azure Log Analytics melalui antarmuka REST API

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
datawizaserveraccess_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Instruksi Penyetelan:

Langkah 1 : Baca dokumentasi terperinci

Proses penginstalan didokumenkan dengan sangat rinci dalam situs dokumentasi Microsoft Sentinel integrasi. Pengguna harus berkonsultasi dengan dukungan kami (support@datawiza.com) lebih lanjut untuk memahami penginstalan dan debug integrasi.

Langkah 2: Instal Konektor Sentinel Datawiza

Langkah selanjutnya adalah menginstal penerus log Datawiza untuk mengirim log ke Microsoft Sentinel. Penginstalan yang tepat akan bergantung pada lingkungan Anda, lihat integrasi Microsoft Sentinel untuk detail lengkapnya.

Langkah 3: Menguji penyerapan data

Setelah sekitar 20 menit, akses ruang kerja Log Analytics pada penginstalan Microsoft Sentinel Anda, dan temukan bagian Log Kustom verifikasi bahwa tabel datawizaserveraccess_CL ada. Gunakan kueri sampel untuk memeriksa data.



Tanda Tangan Derdack4

Didukung oleh:Derdack

Ketika sistem penting gagal atau insiden keamanan terjadi, SIGNL4 menjelajah 'mil terakhir' ke staf, insinyur, admin TI, dan pekerja Anda di lapangan. Ini menambahkan pemberitahuan seluler real-time ke layanan, sistem, dan proses Anda dalam waktu singkat. SIGNL4 memberi tahu melalui push seluler persisten, teks SMS, dan panggilan suara dengan pengakuan, pelacakan, dan eskalasi. Penjadwalan tugas dan pergeseran terintegrasi memastikan orang yang tepat diberi tahu pada waktu yang tepat.

Pelajari selengkapnya>

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
SecurityIncident Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Instruksi Penyetelan:

CATATAN: Konektor data warisan ini mencakup template playbook dasar Azure Logic Apps untuk Microsoft Sentinel. Buku panduan berjalan ketika insiden Microsoft Sentinel baru dibuat. Anda dapat memperluas alur kerja dengan menambahkan aksi SIGNL4 di Azure Logic Apps untuk membuat peringatan baru di SIGNL4.

Konektor SIGNL4: Cara yang direkomendasikan untuk mengintegrasikan SIGNL4 dengan Microsoft Sentinel adalah dengan menggunakan aplikasi konektor Microsoft Sentinel di SIGNL4. Untuk instruksi pengaturan lengkap, lihat Integrasi SIGNL4 dengan Microsoft Sentinel.



Lampu Sorot Bayangan Digital

Didukung oleh:Digital Shadows

Konektor data Digital Shadows menyediakan penyerapan insiden dan pemberitahuan dari Digital Shadows Searchlight ke dalam Microsoft Sentinel menggunakan REST API. Konektor akan memberikan informasi insiden dan pemberitahuan sehingga membantu memeriksa, mendiagnosis, dan menganalisis potensi risiko dan ancaman keamanan.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
DigitalShadows_V2_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Microsoft. Izin web/situs: Izin baca dan tulis ke Azure Functions untuk membuat Aplikasi Fungsi diperlukan. Untuk informasi selengkapnya, lihat Azure Functions.
  • Penetapan Peran pada Aturan Pengumpulan Data: Izin untuk menetapkan peran Monitoring Metrics Publisher pada Aturan Pengumpulan Data ke identitas terkelola yang ditetapkan sistem setiap Aplikasi Fungsi diperlukan saat deployment (misalnya Owner atau User Access Administrator pada cakupan deployment).
  • Kredensial/izin REST API: ID akun Digital Shadows, rahasia, dan kunci diperlukan. Lihat dokumentasi untuk mempelajari selengkapnya tentang API di https://portal-digitalshadows.com/learn/searchlight-api/overview/description.

Instruksi Penyetelan:

CATATAN: Konektor ini menggunakan Azure Functions untuk menyambungkan ke 'Digital Shadows Searchlight' untuk menarik lognya ke Microsoft Sentinel. Ini dapat mengakibatkan biaya penyerapan data tambahan. Periksa halaman harga Azure Functions untuk detailnya.

(Langkah Opsional) Simpan dengan aman kunci otorisasi API 'Digital Shadows Searchlight' atau token di Azure Key Vault. Azure Key Vault menyediakan mekanisme aman untuk menyimpan dan mengambil nilai kunci. Ikuti instruksi ini untuk menggunakan Azure Key Vault dengan Aplikasi Fungsi Azure.

LANGKAH 1 - Langkah konfigurasi untuk API 'Digital Shadows Searchlight'

Penyedia harus menyediakan atau menautkan ke langkah-langkah terperinci untuk mengonfigurasi titik akhir API 'Digital Shadows Searchlight' sehingga Fungsi Azure dapat mengautentikasinya dengan sukses, mendapatkan kunci atau token otorisasinya, dan menarik log appliance ke Microsoft Sentinel.

LANGKAH 2 - Pilih ONE dari dua opsi penyebaran berikut untuk menyebarkan konektor dan Fungsi Azure terkait

PENTING: Sebelum menerapkan konektor 'Digital Shadows Searchlight', siapkan ID sumber daya dari workspace Log Analytics tempat DigitalShadows_V2_CL tabel akan berada, serta kunci otorisasi API 'Digital Shadows Searchlight' atau Token. Konektor mengautentikasi ke Azure Monitor menggunakan identitas terkelola yang ditetapkan oleh sistem; tidak diperlukan kunci workspace bersama.

Opsi 1 - Templat Azure Resource Manager (ARM)

Gunakan metode ini untuk penyebaran otomatis konektor 'Digital Shadows Searchlight'.

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.ms

  2. Pilih Langganan, Grup Sumber Daya, dan Lokasi pilihan.

  3. Masukkan DcrWorkspaceResourceId (ID sumber daya lengkap dari workspace Log Analytics Anda, dalam bentuk /subscriptions/<sub>/resourceGroups/<rg>/providers/Microsoft.OperationalInsights/workspaces/<workspace>), Nama Pengguna API, Kata Sandi API, 'dan/atau bidang wajib lainnya'.

Catatan: Jika menggunakan rahasia Azure Key Vault untuk salah satu nilai di atas, gunakan@Microsoft.KeyVault(SecretUri={Security Identifier})skema sebagai pengganti nilai string. Lihat dokumentasi referensi Key Vault untuk detail lebih lanjut. 4. Tandai kotak centang berlabel Saya menyetujui syarat dan ketentuan yang dinyatakan di atas. 5. Klik Beli untuk menyebarkan. Template menyediakan Data Collection Endpoint, Data Collection Rule, DigitalShadows_V2_CL tabel, dan memberikan peran Monitoring Metrics Publisher pada Data Collection Rule kepada identitas yang dikelola Function Apps.

Opsi 2 - Penyebaran manual Azure Functions

Gunakan instruksi langkah demi langkah berikut untuk menyebarkan konektor 'Digital Shadows Searchlight' secara manual dengan Azure Functions.

1. Buat Aplikasi Fungsi

  1. Dari portal Azure, navigasikan ke Aplikasi Fungsi.
  2. Klik + Buat di bagian atas.
  3. Di tab Basics, pastikan Runtime stack diatur ke python 3.11.
  4. Di tab Hosting, pastikan Jenis paket diatur ke 'Konsumsi (Tanpa Server)'. 5.select Akun penyimpanan
  5. 'Tambahkan konfigurasi lain yang diperlukan'.
  6. 'Buat perubahan konfigurasi lain yang lebih disukai', jika diperlukan, lalu klik Buat.

2. Aktifkan identitas terkelola yang diberikan sistem dan berikan izin untuk mempublikasikan metrik

  1. Di layar Aplikasi Fungsi, buka Identitas di bawah Pengaturan.
  2. Pada tab System assigned, atur Status ke On dan klik Save. Perhatikan ID Objek (principal) yang ditampilkan — Anda membutuhkannya untuk memberikan peran tersebut.
  3. Navigasikan ke Data Collection Rule (DCR) yang memiliki Custom-DigitalShadows_V2_CL stream dan buka blade Access control (IAM).
  4. Klik + Tambah penugasan peran, pilih peran Monitoring Metrics Publisher, pilih Managed identity sebagai tipe anggota, dan tetapkan identitas yang ditetapkan sistem pada Function App. Simpan.
  5. Ulangi langkah 1-4 untuk aplikasi fungsi kedua (exclude) jika Anda menjalankan keduanya.

3. Impor Kode Aplikasi Fungsi (Zip deployment)

  1. Menginstal Azure CLI
  2. Dari jenis terminal az functionapp deployment source config-zip -g <ResourceGroup> -n <FunctionApp> --src <Zip File> dan tekan enter. Atur nilai ke ResourceGroup : nama grup sumber daya Anda. Atur nilai ke FunctionApp : nama aplikasi fungsi yang baru dibuat. Atur nilai ke Zip File : digitalshadowsConnector.zip(jalur ke file zip Anda). Catatan:- Unduh file zip dari tautan - Kode Aplikasi Fungsi

4. Konfigurasikan Aplikasi Fungsi

  1. Di layar Aplikasi Fungsi, klik nama Aplikasi Fungsi dan pilih Konfigurasi.
  2. Di tab Pengaturan aplikasi, pilih + Pengaturan aplikasi baru.
  3. Tambahkan setiap pengaturan aplikasi berikut secara individual, di bawah Name, dengan nilai string masing-masing (sensitif huruf kecil) di bawah Value: DigitalShadowsAccountID DigitalShadowsKey DigitalShadowsSecretDigitalShadowsURL HistoricalDays DCE_URL DCR_IMMUTABLE_ID STREAM_NAME ClassificationFilterOperation HighVariabilityClassifications FUNCTION_NAME (tambahkan pengaturan lain yang diperlukan oleh Aplikasi Fungsi) Atur nilainya DigitalShadowsURL menjadi: https://api.searchlight.app/v1 Atur HighVariabilityClassifications nilai menjadi: exposed-credential,marked-document Atur nilainya ClassificationFilterOperation menjadi: exclude untuk aplikasi fungsi kecualikan atau include aplikasi fungsi include Atur DCE_URL nilai ke URI ingestion log Endpoint Pengumpulan Data Anda (misalnya https://<dce-name>.<region>-1.ingest.monitor.azure.com). Atur DCR_IMMUTABLE_ID nilai ke ID yang tidak dapat diubah dari Aturan Pengumpulan Data (terlihat di blade overview DCR sebagai Immutable ID). Atur nilai ke STREAM_NAME : Custom-DigitalShadows_V2_CL

Catatan: Jika menggunakan rahasia Azure Key Vault untuk salah satu nilai di atas, gunakan@Microsoft.KeyVault(SecretUri={Security Identifier})skema sebagai pengganti nilai string. Lihat dokumentasi referensi Azure Key Vault untuk detail lebih lanjut. 4. Setelah semua pengaturan aplikasi dimasukkan, klik Simpan.



DNS

Dukungan oleh:Microsoft Corporation

Konektor log DNS memungkinkan Anda untuk dengan mudah menghubungkan log analitik dan audit DNS Anda dengan Microsoft Sentinel, dan data terkait lainnya, untuk meningkatkan penyelidikan.

Saat mengaktifkan kumpulan log DNS, Anda dapat:

  • Identifikasi klien yang mencoba mengatasi nama domain berbahaya.
  • Identifikasi rekaman sumber daya kedaluarsa.
  • Identifikasi nama domain yang sering dikueri dan klien DNS yang banyak dibicarakan.
  • Lihat beban permintaan di server DNS.
  • Lihat kegagalan pendaftaran DNS dinamis.

Untuk informasi selengkapnya, lihat dokumentasi Microsoft Azure Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
DnsEvents Yes Yes
DnsInventory Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Domain Feed Intelijen Ancaman DomainTools

Didukung oleh:DomainTools

DomainTools CCF Domain Data Connector mengambil data domain kecerdasan ancaman dari berbagai API DomainTools—termasuk Domain Baru yang Diamati (NOD), Domain Baru Aktif (NAD), Nama Host Baru yang Diamati (NOH), dan Penemuan Domain—dan menganggurnya ke dalam Microsoft Sentinel untuk analisis dan deteksi

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
DomainToolsThreatIntelDomains_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Kunci API DomainTools Diperlukan: Untuk mengakses API Feed DomainTools Secara Waktu Kita membutuhkan Kunci API DomainTools

Instruksi Penyetelan:

Konfigurasikan API DomainTools

Masukkan kunci API DomainTools Anda, pilih feed, dan berikan ID sesi serta jendela polling. Atasan itu opsional.

  • Kunci API: (Masukkan Kunci API DomainTools Anda)
  • ID Sesi: (mySOC)
  • Jendela Kueri dalam Menit: (10)
  • Atas (opsional): (100)
  • Aktifkan/Nonaktifkan Koneksi



Konektor Data Doppel

Didukung oleh:Doppel

Konektor data dibangun di Microsoft Sentinel untuk peristiwa dan pemberitahuan Doppel dan mendukung transformasi waktu ingestion berbasis DCR yang mengurai data peristiwa keamanan yang diterima ke dalam kolom kustom sehingga kueri tidak perlu mengurainya lagi, sehingga menghasilkan performa yang lebih baik.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
DoppelTable_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Microsoft Entra ID Penyewa, ID Klien, dan Rahasia Klien: Microsoft Entra ID memerlukan ID Klien dan Rahasia Klien untuk mengautentikasi aplikasi Anda. Selain itu, akses tingkat Admin Global/Pemilik diperlukan untuk menetapkan aplikasi terdaftar Entra peran Penerbit Metrik Pemantauan Grup Sumber Daya.
  • Requires Workspace ID, DCE-URI, DCR-ID: Anda harus mendapatkan ID Ruang Kerja Log Analytics, URI Penyerapan Log DCE, dan ID DCR Immutable untuk konfigurasi.

Instruksi Penyetelan:

Mengonfigurasi Doppel Webhook

Konfigurasikan Webhook di Doppel dan Titik Akhir dengan izin di Microsoft Sentinel untuk mengirim data.

Daftarkan Aplikasi di Microsoft Entra ID

  1. Buka halaman Microsoft Entra ID:

    • Klik tautan yang disediakan untuk membuka halaman pendaftaran Microsoft Entra ID di tab baru.
    • Pastikan Anda masuk dengan akun yang memiliki izin tingkat Admin .

  2. Buat Aplikasi Baru:

    • Di portal Microsoft Entra ID, pilih Pendaftaran aplikasi yang disebutkan di tab sisi kiri.
    • Klik + Pendaftaran baru.
    • Isi bidang berikut ini:
  • Nama: Masukkan nama untuk aplikasi (misalnya, "Aplikasi Doppel").
  • Jenis akun yang didukung: Pilih Akun hanya di direktori organisasi ini (Hanya Direktori Default - Penyewa tunggal).
  • URI Pengalihan: Biarkan kosong ini kecuali diperlukan sebaliknya.
    • Klik Daftar untuk membuat aplikasi.

  1. Salin ID Aplikasi dan Penyewa:

    • Setelah aplikasi terdaftar, perhatikan ID Aplikasi (klien) dan ID Direktori (penyewa) dari halaman Gambaran Umum . Anda akan membutuhkannya untuk integrasi.

  2. Buat Rahasia Klien:

    • Di bagian Sertifikat & rahasia, klik + Rahasia klien baru.
    • Tambahkan deskripsi (misalnya, 'Rahasia Doppel') dan tetapkan kedaluwarsa (misalnya, 1 tahun).
    • Klik Tambahkan.
    • Salin nilai rahasia klien segera, karena tidak akan ditampilkan lagi.

Tetapkan Peran "Publisher Metrik Pemantauan" ke Aplikasi

  1. Buka Grup Sumber Daya di portal Azure:

    • Navigasi ke Grup Sumber Daya yang berisi Log Analytics Ruang Kerja dan Aturan Pengumpulan Data (DCR) tempat Anda ingin aplikasi mendorong data.

  2. Tetapkan Peran:

    • Di menu Grup Sumber Daya, klik Kontrol akses (IAM) yang disebutkan di tab sisi kiri ..
    • Klik + Tambahkan dan pilih Tambahkan penetapan peran.
    • Di menu dropdown Peran, cari dan pilih peran Publisher Metrik Pemantauan.
    • Di bawah Tetapkan akses ke, pilih Azure pengguna AD, grup, atau perwakilan layanan.
    • Di bidang Pilih, cari aplikasi terdaftar Anda berdasarkan nama atau ID klien.
    • Klik Simpan untuk menetapkan peran ke aplikasi.

Menyebarkan Templat ARM

  1. Ambil ID Ruang Kerja:

    • Setelah menetapkan peran, Anda akan memerlukan ID Ruang Kerja.
    • Navigasi ke ruang kerja Log Analytics dalam Grup Sumber Daya.
    • Di bagian Gambaran Umum, temukan bidang ID Ruang Kerja di bawah Detail ruang kerja.
    • Salin ID Ruang Kerja dan pertahankan untuk langkah berikutnya.

  2. Klik Tombol Sebarkan ke Azure:

    • portal.azure.com.
    • Ini akan membawa Anda langsung ke portal Azure untuk memulai penyebaran.

  3. Tinjau dan Sesuaikan Parameter:

    • Pada halaman penyebaran kustom, pastikan Anda menyebarkan ke langganan dan grup sumber daya yang benar.
    • Isi parameter seperti nama ruang kerja, ID ruang kerja, dan lokasi ruang kerja.

  4. Klik Tinjau + Buat lalu Buat untuk menyebarkan sumber daya.

Verifikasi Penyiapan Tabel DCE, DCR, dan Log Analytics

  1. Periksa Titik Akhir Pengumpulan Data (DCE):

    • Setelah menyebarkan, buka portal Azure > Titik Akhir Pengumpulan Data.
    • Verifikasi bahwa titik akhir DoppelDCE telah berhasil dibuat.
    • Salin URI Penyerapan Log DCE, karena Anda akan memerlukan ini untuk menghasilkan URL webhook.

  2. Konfirmasi Penyiapan Aturan Pengumpulan Data (DCR):

    • Buka portal Azure > Aturan Pengumpulan Data.
    • Pastikan aturan DoppelDCR ada.
    • Salin ID DCR yang Tidak Dapat Diubah dari halaman Gambaran Umum, karena Anda akan membutuhkannya untuk URL webhook.

  3. Validasi Tabel Log Analytics:

    • Navigasi ke Ruang Kerja Log Analytics Anda (ditautkan ke Microsoft Sentinel).
    • Di bawah bagian Tabel, verifikasi bahwa tabel DoppelTable_CL telah berhasil dibuat dan siap untuk menerima data.

Mengintegrasikan Pemberitahuan Doppel dengan Microsoft Sentinel

  1. Kumpulkan Informasi yang Diperlukan:
    • Kumpulkan detail berikut yang diperlukan untuk integrasi:
  • ID Titik Akhir Pengumpulan Data (DCE-ID)
  • ID Aturan Pengumpulan Data (DCR-ID)
  • kredensial Microsoft Entra: ID Penyewa, ID Klien, dan Rahasia Klien.

  1. Berkoordinasi dengan Dukungan Doppel:

    • Bagikan kredensial DCE-ID, DCR-ID, dan Microsoft Entra yang dikumpulkan dengan dukungan Doppel.
    • Minta bantuan untuk mengonfigurasi detail ini di penyewa Doppel untuk mengaktifkan penyiapan webhook.

  2. Penyiapan Webhook oleh Doppel:

    • Doppel akan menggunakan ID sumber daya dan kredensial yang disediakan untuk mengonfigurasi webhook.
    • Webhook ini akan memfasilitasi penerusan pemberitahuan dari Doppel ke Microsoft Sentinel.

  3. Verifikasi Pengiriman Pemberitahuan di Microsoft Sentinel:

    • Periksa apakah pemberitahuan dari Doppel berhasil diteruskan ke Microsoft Sentinel.
    • Validasi bahwa Buku Kerja di Microsoft Sentinel diperbarui dengan statistik pemberitahuan, memastikan integrasi data yang mulus.



Dragon Copilot

Dukungan oleh:Microsoft

Microsoft Dragon Copilot adalah asisten klinis bertenaga AI yang menangkap dan memproses interaksi klinisi untuk menghasilkan dokumentasi klinis terstruktur dan catatan aktivitas. AI ini memanfaatkan AI percakapan, ambient, dan generatif untuk menyederhanakan alur kerja klinis, meningkatkan efisiensi dokumentasi, dan menampilkan wawasan yang dapat ditindaklanjuti bagi tenaga kesehatan—termasuk klinisi, perawat, dan radiolog. Log aktivitas Dragon Copilot mewakili peristiwa administratif dan tingkat pengguna (misalnya, interaksi, output yang dihasilkan, dan tindakan sistem), menjadikan konektor ini titik ingestion pusat untuk log admin, audit, dan operasional untuk beban kerja Dragon Copilot. Dalam konteks integrasi Microsoft Sentinel, Dragon Copilot memancarkan sinyal audit dan aktivitas yang mewakili interaksi pengguna dan output yang dihasilkan sistem. Sinyal-sinyal ini memungkinkan pemantauan keamanan, audit kepatuhan, dan visibilitas operasional di seluruh alur kerja layanan kesehatan.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
DragonCopilot Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Izin Penyewa: 'Administrator Keamanan' atau 'Administrator Global' pada penyewa ruang kerja.

Instruksi Penyetelan:

Hubungkan log audit Dragon Copilot ke Microsoft Sentinel

Konektor ini menggunakan Office Management API untuk mendapatkan log audit Dragon Copilot Anda. Log akan disimpan dan diproses di ruang kerja Microsoft Sentinel yang ada. Anda dapat menemukan data tersebut di tabel DragonCopilot .

  • Aktifkan/Nonaktifkan Koneksi



Pemberitahuan Dragos melalui Cloud Sitestore

Didukung oleh:Dragos Inc

Platform Dragos adalah platform Industrial Cyber Security terkemuka yang menawarkan deteksi ancaman cyber Operational Technology (OT) yang komprehensif yang dibangun oleh keahlian keamanan cyber industri yang tidak tertandingi. Solusi ini memungkinkan data pemberitahuan Platform Dragos untuk dilihat dalam Microsoft Sentinel sehingga analis keamanan dapat melakukan triase potensi peristiwa keamanan cyber yang terjadi di lingkungan industri mereka.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
DragosAlerts_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Akses API Dragos Sitestore: Akun pengguna Sitestore yang memiliki notification:read izin. Akun ini juga harus memiliki kunci API yang dapat disediakan untuk Sentinel.

Instruksi Penyetelan:

Harap berikan informasi berikut untuk mengizinkan Microsoft Sentinel tersambung ke Dragos Sitestore Anda.

  • Nama Host Dragos Sitestore: (dragossitestore.example.com)
  • ID Kunci API Dragos Sitestore: (Masukkan ID kunci API.)
  • Rahasia Kunci API Dragos Sitestore: (Masukkan rahasia kunci API)
  • Tingkat Keparahan Pemberitahuan Minimum. Nilai yang valid adalah 0-5 inklusif. Pastikan kurang dari atau sama dengan tingkat keparahan maksimum.: (Masukkan tingkat keparahan min (merekomendasikan 0 untuk semua pemberitahuan))
  • Tingkat Keparahan Pemberitahuan Maksimum. Nilai yang valid adalah 0-5 inklusif. Pastikan lebih besar dari atau sama dengan tingkat keparahan minimum.: (Masukkan tingkat keparahan maksimum (rekomendasikan 5 untuk semua pemberitahuan))
  • Aktifkan/Nonaktifkan Koneksi



Konektor Peristiwa Druva

Didukung oleh:Druva Inc

Menyediakan kemampuan untuk menyerap peristiwa Druva dari API Druva

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
DruvaSecurityEvents_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Druva API Access: Druva API memerlukan id klien dan rahasia klien untuk mengautentikasi

Instruksi Penyetelan:

Catatan: Konfigurasi untuk menyambungkan ke Druva Rest API

Langkah 1: Buat kredensial dari konsol Druva. Lihat dokumen ini untuk langkah-langkah:- https://help.druva.com/en/articles/8580838-create-and-manage-api-credentials

Langkah 2: Masukkan nama host. Untuk cloud publik, apis.druva.com

Langkah 3: Masukkan id klien dan kunci rahasia klien

Sambungkan ke Druva API untuk mulai mengumpulkan log di Microsoft Sentinel

Berikan nilai yang diperlukan:

  • Nama host: (Contoh: apis.druva.com)



Dynamics 365 Finance dan Operasi

Dukungan oleh:Microsoft Corporation

Dynamics 365 untuk Keuangan dan Operasi adalah solusi Enterprise Resource Planning (ERP) komprehensif yang menggabungkan kemampuan keuangan dan operasional untuk membantu bisnis mengelola operasi sehari-hari mereka. Ini menawarkan berbagai fitur yang memungkinkan bisnis merampingkan alur kerja, mengotomatiskan tugas, dan mendapatkan wawasan tentang performa operasional.

Konektor data Dynamics 365 Finance dan Operasi menyerap aktivitas admin Dynamics 365 Finance dan Operasi dan log audit serta proses bisnis pengguna dan log aktivitas aplikasi ke dalam Microsoft Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
FinanceOperationsActivity_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Microsoft Entra pendaftaran aplikasi: ID klien aplikasi dan rahasia yang digunakan untuk mengakses Dynamics 365 Finance dan Operasi.

Instruksi Penyetelan:

Konektivitas ke Keuangan dan Operasi memerlukan pendaftaran aplikasi Microsoft Entra (ID klien dan rahasia). Anda juga memerlukan ID penyewa Microsoft Entra dan URL Organisasi Operasi Keuangan.

Untuk mengaktifkan pengumpulan data, buat peran di Dynamics 365 Finance dan Operasi dengan izin untuk melihat entitas Log Database. Tetapkan peran ini ke pengguna Keuangan dan Operasi khusus, yang dipetakan ke ID klien pendaftaran aplikasi Microsoft Entra. Ikuti langkah-langkah berikut untuk menyelesaikan proses:

Langkah 1 - pendaftaran aplikasi Microsoft Entra

  1. Navigasi ke portal Microsoft Entra.
  2. Di bawah Aplikasi, klik Pendaftaran Aplikasi dan buat pendaftaran aplikasi baru (biarkan semua default).
  3. Buka pendaftaran aplikasi baru dan buat rahasia baru.
  4. Pertahankan ID Penyewa, ID Aplikasi (klien), dan Rahasia klien untuk digunakan nanti.

Langkah 2 - Membuat peran untuk pengumpulan data di Keuangan dan Operasi

  1. Di portal Keuangan dan Operasi, navigasikan ke administrasi Sistem Ruang > Kerja dan klik Konfigurasi Keamanan
  2. Di bawah Peran klik Buat baru dan beri nama peran baru misalnya Penampil Log Database.
  3. Pilih peran baru dalam daftar peran dan klik Hak Istimewa dan daripada Tambahkan referensi.
  4. Pilih Tampilan Entitas log database dari daftar hak istimewa.
  5. Klik Objek yang Tidak Diterbitkan lalu Terbitkan semua untuk menerbitkan peran.

Langkah 3 - Membuat pengguna untuk pengumpulan data di Keuangan dan Operasi

  1. Di portal Keuangan dan Operasi, navigasikan ke administrasi Sistem Modul > dan klik Pengguna
  2. Buat pengguna baru dan tetapkan peran yang dibuat pada langkah sebelumnya kepada pengguna.

Langkah 4 - Daftarkan aplikasi Microsoft Entra di Keuangan dan Operasi

  1. Dalam F& Portal O, buka Penyiapan administrasi sistem Microsoft Entra aplikasi (aplikasi Azure Active Directory)
  2. Buat entri baru dalam tabel. Di bidang Id Klien , masukkan ID aplikasi aplikasi yang terdaftar di Langkah 1.
  3. Di bidang Nama , masukkan nama untuk aplikasi.
  4. Di bidang ID Pengguna , pilih ID pengguna yang dibuat di langkah sebelumnya.

Menyambungkan peristiwa dari Dyanmics 365 Finance and Operations ke Microsoft Sentinel

Menyambungkan menggunakan kredensial klien

Organisasi

Setiap baris mewakili koneksi Keuangan dan Operasi

  • Data Connectors Grid (dikonfigurasi di portal)



Dinamika365

Dukungan oleh:Microsoft Corporation

Konektor aktivitas Dynamics 365 Common Data Service (CDS) memberikan wawasan tentang aktivitas admin, pengguna, dan dukungan, serta Microsoft peristiwa pengelogan Keterlibatan Sosial. Dengan menyambungkan Dynamics 365 log CRM ke Microsoft Sentinel, Anda bisa menampilkan data ini dalam buku kerja, menggunakannya untuk membuat pemberitahuan kustom, dan meningkatkan proses investigasi Anda.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
Dynamics365Activity Yes No

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Serangan Dynatrace V2

Didukung oleh:Dynatrace

Konektor ini menggunakan Dynatrace Attacks REST API untuk menyerap serangan yang terdeteksi ke dalam Microsoft Sentinel Log Analytics

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
DynatraceAttacksV2_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Penyewa Dynatrace (misalnya xyz.dynatrace.com): Anda memerlukan penyewa Dynatrace yang valid dengan Application Security diaktifkan, pelajari selengkapnya tentang platform Dynatrace.
  • Token Akses Dynatrace: Anda memerlukan Token Akses Dynatrace, token harus memiliki cakupan Serangan baca (attacks.read).

Instruksi Penyetelan:

Peristiwa Serangan Dynatrace ke Microsoft Sentinel

Konfigurasikan dan Aktifkan Dynatrace Application Security. Ikuti instruksi ini untuk menghasilkan token akses.

  • Penyewa Dynatrace (misalnya xyz.dynatrace.com): ({{dynatraceEnvironmentUrl}})
  • Token Akses Dynatrace: ({dynatraceAccessToken}})
  • Aktifkan/Nonaktifkan Koneksi



Serangan Dynatrace V3

Didukung oleh:Dynatrace

Konektor ini menggunakan Dynatrace DQL Storage Query API untuk menginput serangan keamanan aplikasi yang terdeteksi ke dalam Microsoft Sentinel Log Analytics.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
DynatraceAttacksV3_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Lingkungan SaaS Dynatrace (contoh: xyz.apps.dynatrace.com): Anda membutuhkan lingkungan SaaS Dynatrace (xxx.apps.dynatrace.com) dengan Keamanan Aplikasi diaktifkan. Lingkungan Dynatrace klasik (xxx.live.dynatrace.com) tidak didukung.
  • Token Platform Dynatrace: Anda membutuhkan token platform Dynatrace dengan cakupan storage:buckets:read dan storage:security.events:read . Lihat token platform Dynatrace untuk instruksi.

Instruksi Penyetelan:

Peristiwa Serangan Dynatrace ke Microsoft Sentinel

Konfigurasikan dan Aktifkan Dynatrace Application Security.

  1. Buat token platform dengan cakupan storage:buckets:read dan storage:security.events:read mengikuti instruksi berikut.
  2. Gunakan URL lingkungan SaaS Dynatrace Anda dalam format xyz.apps.dynatrace.com.
  • Lingkungan Dynatrace (ex. xyz.apps.dynatrace.com): ({{dynatraceEnvironmentUrl}})
  • Token Platform Dynatrace: ({{dynatracePlatformToken}})
  • Aktifkan/Nonaktifkan Koneksi



Log Audit Dynatrace V2

Didukung oleh:Dynatrace

Konektor ini menggunakan Dynatrace Audit Logs REST API untuk menyerap log audit penyewa ke dalam Microsoft Sentinel Log Analytics

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
DynatraceAuditLogsV2_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Penyewa Dynatrace (misalnya xyz.dynatrace.com): Anda memerlukan Penyewa Dynatrace yang valid, untuk mempelajari lebih lanjut tentang platform Dynatrace Mulai uji coba gratis Anda.
  • Token Akses Dynatrace: Anda memerlukan Token Akses Dynatrace, token harus memiliki cakupan Baca log audit (auditLogs.read).

Instruksi Penyetelan:

Peristiwa Log Audit Dynatrace ke Microsoft Sentinel

Aktifkan Pengelogan Audit Dynatrace. Ikuti instruksi ini untuk menghasilkan token akses.

  • Penyewa Dynatrace (misalnya xyz.dynatrace.com): ({{dynatraceEnvironmentUrl}})
  • Token Akses Dynatrace: ({dynatraceAccessToken}})
  • Aktifkan/Nonaktifkan Koneksi



Dynatrace Audit Logs V3

Didukung oleh:Dynatrace

Konektor ini menggunakan API Kueri Penyimpanan Dynatrace DQL untuk menginput peristiwa log audit tenant ke dalam Microsoft Sentinel Log Analytics.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
DynatraceAuditLogsV3_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Lingkungan SaaS Dynatrace (contoh: xyz.apps.dynatrace.com): Anda membutuhkan lingkungan SaaS Dynatrace (xxx.apps.dynatrace.com). Lingkungan Dynatrace klasik (xxx.live.dynatrace.com) tidak didukung.
  • Token Platform Dynatrace: Anda membutuhkan token platform Dynatrace dengan cakupan storage:buckets:read dan storage:system:read. Lihat token platform Dynatrace untuk instruksi.

Instruksi Penyetelan:

Peristiwa Log Audit Dynatrace ke Microsoft Sentinel

Aktifkan Pengelogan Audit Dynatrace.

  1. Buat token platform dengan cakupan storage:buckets:read dan storage:system:read mengikuti instruksi berikut.
  2. Gunakan URL lingkungan SaaS Dynatrace Anda dalam format xyz.apps.dynatrace.com. Lingkungan Dynatrace klasik (xxx.live.dynatrace.com) tidak didukung.
  • Lingkungan Dynatrace (ex. xyz.apps.dynatrace.com): ({{dynatraceEnvironmentUrl}})
  • Token Platform Dynatrace: ({{dynatracePlatformToken}})
  • Aktifkan/Nonaktifkan Koneksi



Masalah Dynatrace V2

Didukung oleh:Dynatrace

Konektor ini menggunakan Dynatrace Problem REST API untuk menyerap peristiwa masalah ke dalam Microsoft Sentinel Log Analytics

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
DynatraceProblemsV2_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Penyewa Dynatrace (misalnya xyz.dynatrace.com): Anda memerlukan Penyewa Dynatrace yang valid, untuk mempelajari lebih lanjut tentang platform Dynatrace Mulai uji coba gratis Anda.
  • Token Akses Dynatrace: Anda memerlukan Token Akses Dynatrace, token harus memiliki cakupan Masalah baca (problem.read).

Instruksi Penyetelan:

Peristiwa Masalah Dynatrace ke Microsoft Sentinel

Ikuti instruksi ini untuk menghasilkan token akses.

  • Penyewa Dynatrace (misalnya xyz.dynatrace.com): ({{dynatraceEnvironmentUrl}})
  • Token Akses Dynatrace: ({dynatraceAccessToken}})
  • Aktifkan/Nonaktifkan Koneksi



Masalah Dynatrace V3

Didukung oleh:Dynatrace

Konektor ini menggunakan Dynatrace DQL Storage Query API untuk menginput kejadian masalah AI Davis ke dalam Microsoft Sentinel Log Analytics.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
DynatraceProblemsV3_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Lingkungan SaaS Dynatrace (contoh: xyz.apps.dynatrace.com): Anda membutuhkan lingkungan SaaS Dynatrace (xxx.apps.dynatrace.com). Lingkungan Dynatrace klasik (xxx.live.dynatrace.com) tidak didukung.
  • Token Platform Dynatrace: Anda membutuhkan token platform Dynatrace dengan cakupan storage:buckets:read dan storage:events:read. Lihat token platform Dynatrace untuk instruksi.

Instruksi Penyetelan:

Peristiwa Masalah Dynatrace ke Microsoft Sentinel

  1. Buat token platform dengan cakupan storage:buckets:read dan storage:events:read mengikuti instruksi berikut.
  2. Gunakan URL lingkungan SaaS Dynatrace Anda dalam format xyz.apps.dynatrace.com. Lingkungan Dynatrace klasik (xxx.live.dynatrace.com) tidak didukung.
  • Lingkungan Dynatrace (ex. xyz.apps.dynatrace.com): ({{dynatraceEnvironmentUrl}})
  • Token Platform Dynatrace: ({{dynatracePlatformToken}})
  • Aktifkan/Nonaktifkan Koneksi



Kerentanan Runtime Dynatrace V2

Didukung oleh:Dynatrace

Konektor ini menggunakan Dynatrace Security Problem REST API untuk menyerap kerentanan runtime yang terdeteksi ke dalam Microsoft Sentinel Log Analytics.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
DynatraceSecurityProblemsV2_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Penyewa Dynatrace (misalnya xyz.dynatrace.com): Anda memerlukan penyewa Dynatrace yang valid dengan Application Security diaktifkan, pelajari selengkapnya tentang platform Dynatrace.
  • Token Akses Dynatrace: Anda memerlukan Token Akses Dynatrace, token harus memiliki cakupan Baca masalah keamanan (securityProblems.read).

Instruksi Penyetelan:

Peristiwa Kerentanan Dynatrace untuk Microsoft Sentinel

Konfigurasikan dan Aktifkan Dynatrace Application Security. Ikuti instruksi ini untuk menghasilkan token akses.

  • Penyewa Dynatrace (misalnya xyz.dynatrace.com): ({{dynatraceEnvironmentUrl}})
  • Token Akses Dynatrace: ({dynatraceAccessToken}})
  • Aktifkan/Nonaktifkan Koneksi



Kerentanan Runtime Dynatrace V3

Didukung oleh:Dynatrace

Konektor ini menggunakan Dynatrace DQL Storage Query API untuk menginput kerentanan runtime yang terdeteksi ke dalam Microsoft Sentinel Log Analytics.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
DynatraceSecurityProblemsV3_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Lingkungan SaaS Dynatrace (contoh: xyz.apps.dynatrace.com): Anda membutuhkan lingkungan SaaS Dynatrace (xxx.apps.dynatrace.com) dengan Keamanan Aplikasi diaktifkan. Lingkungan Dynatrace klasik (xxx.live.dynatrace.com) tidak didukung.
  • Token Platform Dynatrace: Anda membutuhkan token platform Dynatrace dengan cakupan storage:buckets:read dan storage:security.events:read . Lihat token platform Dynatrace untuk instruksi.

Instruksi Penyetelan:

Peristiwa Kerentanan Dynatrace untuk Microsoft Sentinel

Konfigurasikan dan Aktifkan Dynatrace Application Security.

  1. Buat token platform dengan cakupan storage:buckets:read dan storage:security.events:read mengikuti instruksi berikut.
  2. Gunakan URL lingkungan SaaS Dynatrace Anda dalam format xyz.apps.dynatrace.com.
  3. Di Microsoft Sentinel → Content Hub, temukan solusi Dynatrace dan aktifkan aturan ringkasan Konsolidasi Kerentanan Runtime Dynatrace. Ini diperlukan untuk mengkonsolidasikan kejadian kerentanan mentah ke dalam tabel yang digunakan oleh aturan analitik dan parser.
  • Lingkungan Dynatrace (ex. xyz.apps.dynatrace.com): ({{dynatraceEnvironmentUrl}})
  • Token Platform Dynatrace: ({{dynatracePlatformToken}})
  • Aktifkan/Nonaktifkan Koneksi



Pertahanan Keluar

Didukung oleh:egress1589289169584

Konektor audit Egress Defend menyediakan kemampuan untuk menginput Data Egress Defend ke dalam Microsoft Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
EgressDefend_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Token API Egress: Token API Egress diperlukan untuk memasukkan catatan audit ke Microsoft Sentinel.

Instruksi Penyetelan:

Hubungkan Egress Defend dengan Microsoft Sentinel

Masukkan URL API Egress Defend, Domain Egress, dan token API Anda.



Egress Defend v2

Didukung oleh:egress1589289169584

Konektor audit Egress Defend menginput data audit Egress Defend ke dalam Microsoft Sentinel melalui API Logs Ingestion (berbasis DCR). Ia mengambil dari API Egress Defend V1/events dan mendaratkan event di EgressDefend_v4_CL tabel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
EgressDefend_v4_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Akses API Egress Defend: URL API Egress Defend, domain pelanggan, dan kunci API diperlukan untuk menginput catatan audit ke Microsoft Sentinel.

Instruksi Penyetelan:

Hubungkan Egress Defend ke Microsoft Sentinel

Masukkan URL API Egress Defend, domain Egress, dan kunci API Anda, lalu klik Connect.

  • URL API:
  • Nama domain:
  • Kunci API:
  • Aktifkan/Nonaktifkan Koneksi



Agen Elastis

Dukungan oleh:Microsoft Corporation

Konektor data Elastic Agent menyediakan kemampuan untuk menyerap log, metrik, dan data keamanan Agen Elastis ke dalam Microsoft Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
ElasticAgentEvent No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Sertakan prasyarat kustom jika konektivitas memerlukan - lain hapus kustom: Deskripsi untuk prasyarat kustom apa pun

Instruksi Penyetelan:

CATATAN: Konektor data ini tergantung pada pengurai berdasarkan Fungsi Kusto untuk bekerja seperti yang diharapkan ElasticAgentEvent yang disebarkan dengan solusi Microsoft Sentinel.

CATATAN: Konektor data ini telah dikembangkan menggunakan Elastic Agent 7.14.

1. Pasang dan onboard agen untuk Linux atau Windows

Instal agen di Server tempat log Agen Elastis diteruskan.

Log dari Agen Elastis yang disebarkan di Linux atau server Windows dikumpulkan oleh Linux atau agen Windows.

Pilih tempat untuk menginstal agen Linux:

Menginstal agen di komputer virtual Linux Azure

Pilih komputer untuk menginstal agen, lalu klik Sambungkan.

  • Pasang Agen: <nilai variabel yang disediakan pada waktu penginstalan>

Menginstal agen pada Komputer Linux non-Azure

Unduh agen di komputer yang relevan dan ikuti instruksinya.

  • Pasang Agen: <nilai variabel yang disediakan pada waktu penginstalan>

Pilih tempat untuk menginstal agen Windows:

Menginstal agen di komputer virtual Azure Windows

Pilih komputer untuk menginstal agen, lalu klik Sambungkan.

  • Pasang Agen: <nilai variabel yang disediakan pada waktu penginstalan>

Menginstal agen pada Komputer non-Azure Windows

Unduh agen di komputer yang relevan dan ikuti instruksinya.

  • Pasang Agen: <nilai variabel yang disediakan pada waktu penginstalan>

2. Mengonfigurasi Agen Elastis (Mandiri)

Ikuti instruksi untuk mengonfigurasi Agen Elastis untuk output ke Logstash

3. Konfigurasikan Logstash untuk menggunakan Plugin Output Logstash Microsoft

Ikuti langkah-langkah untuk mengonfigurasi Logstash untuk menggunakan plugin microsoft-logstash-output-azure-loganalytics:

3.1) Periksa apakah plugin sudah diinstal: ./logstash-plugin list | grep 'azure-loganalytics' (jika plugin diinstal, buka langkah 3.3)

3.2) Instal plugin: ./logstash-plugin install microsoft-logstash-output-azure-loganalytics

3.3) Mengonfigurasi Logstash untuk menggunakan plugin

4. Memvalidasi penyerapan log

Ikuti instruksi untuk memvalidasi konektivitas Anda:

Buka Log Analytics untuk memeriksa apakah log diterima menggunakan tabel kustom yang ditentukan di langkah 3.3 (misalnya ElasticAgentLogs_CL).

Mungkin perlu waktu sekitar 30 menit hingga koneksi mengalirkan data ke ruang kerja Anda.



Agen Elastis (melalui Kerangka Kerja Konektor Tanpa Kode)

Dukungan oleh:Microsoft Corporation

Konektor data Agen Elastis memungkinkan Anda menyerap metrik sistem, log, dan data telemetri yang dikumpulkan oleh Agen Elastis dari Elasticsearch ke dalam Microsoft Sentinel. Konektor ini menggunakan Api Pencarian Elasticsearch dengan autentikasi kunci API untuk mengkueri beberapa aliran data (CPU, memori, proses, sistem file, jaringan, beban, waktu aktif, metrik agen, dan log). Ini mendukung transformasi waktu penyerapan berbasis DCR untuk eksekusi kueri yang efisien. Untuk informasi selengkapnya, lihat dokumentasi API: https://www.elastic.co/docs/api/doc/elasticsearch/operation/operation-search

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
ElasticAgentLogsV2_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Instruksi Penyetelan:

1. Prasyarat

Pastikan Anda memiliki akses dan konfigurasi yang diperlukan.

Prasyarat

  • Penyebaran Elasticsearch (dikelola sendiri atau Elastic Cloud)
  • Agen Elastis yang disebarkan dengan integrasi Sistem diaktifkan
  • Pemantauan agen diaktifkan untuk log dan metrik
  • Kunci API Elasticsearch dengan izin baca pada semua indeks
  • Konektivitas jaringan dari Microsoft Sentinel ke titik akhir Elasticsearch Anda

Indeks yang Diperlukan

Konektor mengkueri indeks Elasticsearch berikut:

Metrik:

  • metrics-system.cpu-* - Metrik CPU
  • metrics-system.memory-* - Metrik memori
  • metrics-system.process-* - Metrik proses
  • metrics-system.filesystem-* - Metrik sistem file
  • metrics-system.network-* - Metrik jaringan
  • metrics-system.load-* - Beban sistem (hanya Linux)
  • metrics-system.uptime-* - Waktu aktif sistem
  • metrics-elastic_agent.* - Telemetri agen

Log:

  • logs-elastic_agent-* - Log agen

2. Mengonfigurasi Koneksi Elasticsearch

Tambahkan satu atau beberapa koneksi Elasticsearch untuk mengumpulkan data.

Koneksi Elasticsearch

Anda dapat menambahkan beberapa koneksi untuk mengumpulkan data dari penyebaran Elasticsearch yang berbeda. Setiap koneksi memerlukan URL Elasticsearch dan kunci API sendiri.

Membuat Kunci API

  1. Di Kibana, buka Kunci API Stack Management >
  2. Klik Buat kunci API
  3. Atur nama dan konfigurasikan izin:
    • Akses baca ke metrics-system.*
    • Akses baca ke metrics-elastic_agent.*
    • Akses baca ke logs-elastic_agent-*
  4. Salin nilai kunci API yang dikodekan Base64
  • Data Connectors Grid (dikonfigurasi di portal)



Peristiwa Keamanan Browser Ermes

Didukung oleh:Ermes Cyber Security S.p.A.

Peristiwa Keamanan Browser Ermes

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
ErmesBrowserSecurityEvents_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Id Klien Ermes dan Rahasia Klien: Aktifkan akses API di Ermes. Silakan hubungi dukungan Ermes Cyber Security untuk informasi lebih lanjut.

Instruksi Penyetelan:

Menyambungkan Peristiwa Keamanan Browser Ermes ke Microsoft Sentinel

Menyambungkan menggunakan kredensial OAuth2



ESET Protect Platform (menggunakan Azure Functions)

Didukung oleh:Integrasi Perusahaan ESET

Konektor data ESET Protect Platform memungkinkan pengguna untuk menyuntikkan data deteksi dari ESET Protect Platform menggunakan Integration REST API yang disediakan. Rest API integrasi berjalan sebagai Aplikasi Fungsi Azure terjadwal.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
IntegrationTable_CL Yes Yes
IntegrationTableIncidents_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Microsoft. Izin web/situs: Izin baca dan tulis ke Azure Functions untuk membuat Aplikasi Fungsi diperlukan. Untuk informasi selengkapnya, lihat Azure Functions.
  • Permission untuk mendaftarkan aplikasi di Microsoft Entra ID: Diperlukan izin yang memadai untuk mendaftarkan aplikasi dengan penyewa Microsoft Entra Anda.
  • Permission untuk menetapkan peran ke aplikasi terdaftar: Izin untuk menetapkan peran Publisher Metrik Pemantauan ke aplikasi terdaftar di Microsoft Entra ID diperlukan.

Instruksi Penyetelan:

CATATAN: Konektor data ESET Protect Platform menggunakan Azure Functions untuk terhubung ke ESET Protect Platform melalui Eset Connect API untuk menarik log deteksi ke Microsoft Sentinel. Proses ini dapat mengakibatkan biaya penyerapan data tambahan. Lihat detail di halaman harga Azure Functions.

CATATAN: Versi terbaru platform ESET PROTECT dan integrasi Microsoft Sentinel tidak hanya menarik log deteksi tetapi juga insiden yang baru dibuat. Jika integrasi Anda disiapkan sebelum 20.06.2025, ikuti langkah-langkah ini untuk memperbaruinya.

Langkah 1 - Membuat pengguna API

Gunakan instruksi ini untuk membuat akun Pengguna API ESET Connect dengan Login dan Kata Sandi.

Langkah 2 - Membuat aplikasi terdaftar

Buat aplikasi terdaftar Microsoft Entra ID dengan mengikuti langkah-langkah dalam instruksi Daftarkan aplikasi baru.

Langkah 3 - Sebarkan konektor data ESET Protect Platform menggunakan templat Azure Resource Manager (ARM)

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.ms

  2. Pilih nama ruang kerja Log Analytics yang terkait dengan Microsoft Sentinel Anda. Pilih Grup Sumber Daya yang sama dengan Grup Sumber Daya ruang kerja Log Analytics.

  3. Ketik parameter aplikasi terdaftar di Microsoft Entra ID: AZURE ID Klien, Azure Rahasia Klien, ID Penyewa Azure, ID Objek. Anda dapat menemukan ID Objek di portal Azure dengan mengikuti jalur ini Microsoft Entra ID -> Kelola (di menu sisi kiri) - Aplikasi perusahaan ->> kolom ID Objek (nilai di samping nama aplikasi terdaftar Anda).

  4. Berikan Login dan Kata Sandi akun pengguna ESET Connect API yang diperoleh di Langkah 1.

  5. Pilih satu atau beberapa produk ESET (ESET PROTECT, ESET Inspect, ESET Cloud Office Security) tempat deteksi diambil.



Exchange Security Insights On-Premises Collector

Dukungan oleh:Komunitas

Konektor yang digunakan untuk mendorong konfigurasi Keamanan Lokal Exchange untuk Analisis Microsoft Sentinel

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
ESIExchangeConfig_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Akun Layanan dengan peran Manajemen Organisasi: Akun layanan yang meluncurkan skrip sebagai tugas terjadwal harus Manajemen Organisasi untuk dapat mengambil semua Informasi keamanan yang diperlukan.
  • Dokumentasi terperinci: >CATATAN: Dokumentasi terperinci tentang Prosedur penginstalan dan penggunaan dapat ditemukan di sini

Instruksi Penyetelan:

1. Instal Skrip Pengumpul ESI di server dengan konsol PowerShell Admin Exchange

Ini adalah skrip yang akan mengumpulkan Informasi Exchange untuk mendorong konten dalam Microsoft Sentinel.

Penyebaran Skrip

Unduh versi terbaru ESI Collector

Versi terbaru dapat ditemukan di sini: https://aka.ms/ESI-ExchangeCollector-Script. File yang akan diunduh CollectExchSecIns.zip

Menyalin folder skrip

Unzip konten dan salin folder skrip di server tempat cmdlet PowerShell Exchange ada.

Membuka blokir Skrip PS1

Klik kanan pada setiap Skrip PS1 dan buka tab Properti. Jika skrip ditandai sebagai diblokir, buka blokirnya. Anda juga dapat menggunakan Cmdlet 'Unblock-File . di folder yang tidak di-zip menggunakan PowerShell.

**Mengonfigurasi Akses Jaringan **

Pastikan skrip dapat menghubungi Azure Analytics (*.ods.opinsights.azure. com).

2. Mengonfigurasi Skrip Pengumpul ESI

Pastikan untuk menjadi administrator lokal server. Dalam mode 'Jalankan sebagai Administrator', luncurkan skrip 'setup.ps1' untuk mengonfigurasi kolektor. Isi informasi Ruang Kerja Log Analytics (Microsoft Sentinel). Isi Nama lingkungan atau biarkan kosong. Secara default, pilih 'Def' sebagai Analisis default. Pilihan lainnya adalah untuk penggunaan tertentu.

  • ID ruang kerja: <nilai variabel yang disediakan pada waktu penginstalan>
  • Kunci Primer: <nilai variabel yang disediakan pada waktu penginstalan>

3. Jadwalkan Skrip Pengumpul ESI (Jika tidak dilakukan oleh Skrip Penginstalan karena kurangnya izin atau diabaikan selama penginstalan)

Skrip perlu dijadwalkan untuk mengirim konfigurasi Exchange ke Microsoft Sentinel. Sebaiknya jadwalkan skrip sekali sehari. Akun yang digunakan untuk meluncurkan Skrip harus menjadi anggota grup Manajemen Organisasi

CATATAN: Konektor data ini tergantung pada pengurai berdasarkan Fungsi Kusto agar berfungsi seperti yang diharapkan. Parser secara otomatis disebarkan dengan solusi. Ikuti langkah-langkah untuk membuat alias Fungsi Kusto : ExchangeAdminAuditLogs

Parser secara otomatis disebarkan selama penyebaran Solusi. Jika Anda ingin menyebarkan secara manual, ikuti langkah-langkah di bawah ini

Penyebaran Pengurai Manual

1. Unduh file Parser

Versi terbaru file ExchangeAdminAuditLogs

2. Buat fungsi Parser ExchangeAdminAuditLogs

Di penjelajah 'Log' analitik log Microsoft Sentinel Anda, salin konten file ke Penjelajah log

3. Simpan fungsi Parser ExchangeAdminAuditLogs

Klik tombol simpan. Tidak ada parameter yang diperlukan untuk pengurai ini. Klik simpan lagi.



Exchange Security Insights Online Collector (menggunakan Azure Functions)

Dukungan oleh:Komunitas

Konektor yang digunakan untuk mendorong konfigurasi Keamanan Exchange Online untuk Analisis Microsoft Sentinel

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
ESIExchangeOnlineConfig_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Microsoft. Izin web/situs: Izin baca dan tulis ke Azure Functions untuk membuat Aplikasi Fungsi diperlukan. Untuk informasi selengkapnya, lihat Azure Functions.
  • izin microsoft.automation/automationaccounts: Izin baca dan tulis untuk membuat Azure Automation dengan Runbook diperlukan. Untuk informasi selengkapnya, lihat Akun Automation.
  • Microsoft. Izin grafik: Izin Groups.Read, Users.Read, dan Auditing.Read diperlukan untuk mengambil informasi pengguna/grup yang ditautkan ke penugasan Exchange Online. Lihat dokumentasi untuk mempelajari selengkapnya.
  • izin Exchange Online: Exchange. Izin ManageAsApp dan Global Reader atau Security Reader Peran diperlukan untuk mengambil Exchange Online Security Configuration.Lihat dokumentasi untuk mempelajari lebih lanjut.
  • (Opsional) Izin Penyimpanan Log: Kontributor Data Blob Penyimpanan ke akun penyimpanan yang ditautkan ke identitas Terkelola Akun Automation atau ID Aplikasi wajib untuk menyimpan log. Lihat dokumentasi untuk mempelajari selengkapnya.

Instruksi Penyetelan:

CATATAN - PERBARUI

Catatan:

CATATAN - PERBARUI:

Sebaiknya Perbarui Kolektor ke Versi 7.6.0.0 atau yang lebih tinggi. Prosedur Pembaruan Skrip Kolektor dapat ditemukan di sini: Pembaruan Pengumpul Online ESI

CATATAN: Konektor data ini tergantung pada pengurai berdasarkan Fungsi Kusto agar berfungsi seperti yang diharapkan. Ikuti langkah-langkah untuk setiap Parser untuk membuat alias Fungsi Kusto : ExchangeConfiguration dan **ExchangeEnvironmentList LANGKAH 1 - Penyebaran pengurai**

Penyebaran pengurai (Saat menggunakan Solusi Keamanan Microsoft Exchange, Parser secara otomatis disebarkan)

1. Unduh file Parser

Versi terbaru dari 2 file ExchangeConfiguration.yaml dan ExchangeEnvironmentList.yaml

2. Buat fungsi Parser ExchangeConfiguration

Di penjelajah 'Log' analitik log Microsoft Sentinel Anda, salin konten file ke Penjelajah log

3. Simpan fungsi Parser ExchangeConfiguration

Klik tombol simpan. Tentukan parameter seperti yang diminta pada header file parser. Klik simpan lagi.

4. Mereproduksi langkah yang sama untuk Parser ExchangeEnvironmentList

Mereproduksi langkah 2 dan 3 dengan konten file 'ExchangeEnvironmentList.yaml'

CATATAN: Konektor ini menggunakan Azure Automation untuk menyambungkan ke 'Exchange Online' untuk menarik analisis Keamanannya ke dalam Microsoft Sentinel. Ini dapat mengakibatkan biaya penyerapan data tambahan. Periksa halaman harga Azure Automation untuk detailnya.

LANGKAH 2 - Pilih ONE dari dua opsi penyebaran berikut untuk menyebarkan konektor dan Azure Automation terkait

PENTING: Sebelum menyebarkan konektor 'Konfigurasi Keamanan Exchange Online ESI', miliki ID Ruang Kerja dan Kunci Utama Ruang Kerja (dapat disalin dari yang berikut), serta nama penyewa Exchange Online (contoso.onmicrosoft.com), tersedia dengan mudah.

  • ID ruang kerja: <nilai variabel yang disediakan pada waktu penginstalan>
  • Kunci Primer: <nilai variabel yang disediakan pada waktu penginstalan>

Opsi 1 - Templat Azure Resource Manager (ARM)

Gunakan metode ini untuk penyebaran otomatis konektor 'Konfigurasi Keamanan Exchange Online ESI'.

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.ms

  2. Pilih Langganan, Grup Sumber Daya, dan Lokasi pilihan.

  3. Masukkan ID Ruang Kerja, Kunci Ruang Kerja, Nama Penyewa, 'dan/atau Bidang lain yang diperlukan'.

  4. Tandai kotak centang berlabel Saya menyetujui syarat dan ketentuan yang dinyatakan di atas.

  5. Klik Beli untuk menyebarkan.

Opsi 2 - Penyebaran manual Azure Automation

Gunakan instruksi langkah demi langkah berikut untuk menyebarkan konektor 'Konfigurasi Keamanan Exchange Online ESI' secara manual dengan Azure Automation.

A. Membuat Akun Azure Automation

  1. Dari portal Azure, navigasikan ke Akun Azure Automation.
  2. Klik + Tambahkan di bagian atas.
  3. Di tab Dasar, isi bidang yang diperlukan dan beri nama ke Azure Automation.
  4. Di Tab Tingkat Lanjut dan Jaringan dan Tag , biarkan bidang sebagai default jika Anda tidak perlu menyesuaikannya.
  5. 'Buat perubahan konfigurasi lain yang lebih disukai', jika diperlukan, lalu klik Buat.

B. Menambahkan Modul Manajemen Exchange Online, modul Microsoft Graph (Autentikasi, Pengguna, dan Grup)

  1. Pada halaman Akun Automation, pilih Modul.
  2. Klik Telusuri galeri dan cari modul ExchangeOnlineManagement .
  3. Pilih dan klik Pilih.
  4. Pilih Versi 5.1 di bidang Versi runtime dan klik tombol Impor. Ulangi langkah untuk modul berikut: 'Microsoft. Graph.Authentication', 'Microsoft. Graph.Users' dan 'Microsoft. Graph.Groups. Perhatian, kau harus menunggu Microsoft. Penginstalan Graph.Authentication sebelum memproses modul berikutnya

C. Mengunduh Konten Runbook

  1. Unduh versi terbaru ESI Collector. Versi terbaru dapat ditemukan di sini : https://aka.ms/ESI-ExchangeCollector-Script
  2. Unzip file untuk menemukan file JSON dan file PS1 untuk langkah berikutnya.

D. Buat runbook

  1. Pada halaman Akun Automation, pilih tombol Runbook .
  2. Klik Buat runbook dan beri nama seperti 'ESI-Collector' dengan jenis runbook PowerShell, Runtime Versi 5.1 dan klik 'Buat'.
  3. Impor konten file PS1 langkah sebelumnya di jendela Runbook.
  4. Klik Terbitkan

E. Membuat Variabel GlobalConfiguration

  1. Pada halaman Akun Automation, pilih tombol Variabel .
  2. Klik Tambahkan Variabel dan beri nama exaclty 'GlobalConfiguration' dengan jenis String.
  3. Pada bidang 'Nilai', salin konten file JSON langkah sebelumnya.
  4. Di dalam konten, ganti nilai WorkspaceID dan WorkspaceKey.
  5. Klik tombol 'Buat'.

F. Membuat Variabel TenantName

  1. Pada halaman Akun Automation, pilih tombol Variabel .
  2. Klik Tambahkan Variabel dan beri nama exaclty 'TenantName' dengan string jenis.
  3. Pada bidang 'Nilai', tulis nama penyewa Exchange Online Anda.
  4. Klik tombol 'Buat'.

G. Membuat Variabel LastDateTracking

  1. Pada halaman Akun Automation, pilih tombol Variabel .
  2. Klik Tambahkan Variabel dan beri nama exaclty 'LastDateTracking' dengan string jenis.
  3. Pada bidang 'Value', tulis 'Never'.
  4. Klik tombol 'Buat'.

H. Membuat Jadwal Runbook

  1. Pada halaman Akun Automation, pilih tombol Runbook dan klik runbook yang Anda buat.
  2. Klik tombol Jadwal dan Tambahkan jadwal .
  3. Klik Jadwal, Tambahkan Jadwal dan beri nama. Pilih Nilai berulang dengan keakuratan setiap 1 hari, klik 'Buat'.
  4. Klik 'Konfigurasikan parameter dan jalankan pengaturan'. Biarkan semua kosong dan klik OK dan OK lagi.

LANGKAH 3 - Tetapkan Izin Microsoft Graph dan Izin Exchange Online ke Akun Identitas Terkelola

Agar dapat mengumpulkan informasi Exchange Online dan dapat mengambil informasi Pengguna dan daftar anggota grup admin, akun otomatisasi memerlukan beberapa izin.

Tetapkan Izin menurut Skrip

A. Unduh Skrip Izin

Skrip Pembaruan Izin

B. Ambil GUID identitas terkelola Azure Automation dan masukkan ke dalam skrip yang diunduh

  1. Buka Akun Automation Anda, di Bagian Identitas . Anda dapat menemukan Guid Identitas Terkelola Anda.
  2. Ganti GUID di $MI_ID = "XXXXXXXXXXXX" dengan GUID Identitas Terkelola Anda.

C. Luncurkan skrip dengan akun Global-Administrator

Perhatian skrip ini memerlukan Modul MSGraph dan Persetujuan Admin untuk mengakses penyewa Anda dengan Microsoft Graph. Skrip akan menambahkan 3 izin ke Identitas terkelola: 1. Exchange Online izin ManageAsApp 2. User.Read.All di Microsoft Graph API 3. Group.Read.All di Microsoft Graph API

D. Penetapan Peran Exchange Online

  1. Sebagai Administrator Global, buka Peran dan Administrator.
  2. Pilih Peran Pembaca Global atau Pembaca Keamanan dan klik 'Tambahkan penugasan'.
  3. Klik 'Tidak ada anggota yang dipilih' dan cari Nama akun Identitas Terkelola Anda yang dimulai dengan nama akun otomatisasi Anda seperti 'ESI-Collector'. Pilih dan klik 'Pilih'.
  4. Klik Berikutnya dan validasi penugasan dengan mengklik Tetapkan.



Konektor Data Deteksi ExtraHop

Didukung oleh:Dukungan ExtraHop

Konektor Data Deteksi ExtraHop memungkinkan Anda mengimpor data deteksi dari ExtraHop RevealX ke Microsoft Sentinel melalui payload webhook. Data diserap menggunakan API Penyerapan Log Azure Monitor melalui Aturan Pengumpulan Data (DCR).

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
ExtraHop_Detections_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Langganan Azure: Langganan Azure dengan peran pemilik diperlukan untuk mendaftarkan aplikasi di Microsoft Entra ID, membuat Titik Akhir Pengumpulan Data, Aturan Pengumpulan Data, dan menetapkan peran yang diperlukan.
  • Microsoft Entra Pendaftaran Aplikasi: Pendaftaran Aplikasi Microsoft Entra ID (Perwakilan Layanan) dengan Rahasia Klien diperlukan. ID Objek aplikasi harus disediakan sehingga penyebaran dapat menetapkan peran yang diperlukan untuk menerbitkan log melalui API Penyerapan Log.
  • Microsoft. Izin web/situs: Izin baca dan tulis ke Azure Functions untuk membuat Aplikasi Fungsi diperlukan. Untuk informasi selengkapnya, lihat Azure Functions.
  • Izin ExtraHop RevealX: Berikut ini diperlukan pada sistem ExtraHop RevealX Anda:
  1. Sistem RevealX Anda harus menjalankan firmware versi 9.9.2 atau yang lebih baru.
  2. Sistem RevealX Anda harus terhubung ke ExtraHop Cloud Services.
  3. Akun pengguna Anda harus memiliki hak istimewa Administrasi Sistem pada RevealX 360 atau hak istimewa Penulisan Penuh di RevealX Enterprise.

Instruksi Penyetelan:

CATATAN: Konektor ini menggunakan Azure Functions untuk menerima payload webhook ExtraHop dan menyerapnya ke dalam Microsoft Sentinel menggunakan API Penyerapan Log Azure Monitor (penyerapan berbasis DCR). Ini menggantikan API Pengumpul Data HTTP Log Analytics warisan. Ini dapat mengakibatkan biaya penyerapan data tambahan. Periksa halaman harga Azure Functions untuk detailnya.

(Langkah Opsional) Simpan kredensial API dengan aman di Azure Key Vault. Azure Key Vault menyediakan mekanisme aman untuk menyimpan dan mengambil nilai kunci. Ikuti instruksi ini untuk menggunakan Azure Key Vault dengan Aplikasi Fungsi Azure.

CATATAN: Konektor data ini tergantung pada pengurai berdasarkan Fungsi Kusto untuk bekerja seperti yang diharapkan yang disebarkan sebagai bagian dari solusi. Untuk melihat kode fungsi di Log Analytics, buka bilah Log Log Analytics/Microsoft Sentinel, klik Fungsi dan cari alias ExtraHopDetections dan muat kode fungsi atau klik di sini. Fungsi ini biasanya membutuhkan waktu 10-15 menit untuk diaktifkan setelah penginstalan/pembaruan solusi.

Configuration:

LANGKAH 1 - Langkah-langkah Pendaftaran Aplikasi untuk Aplikasi di Microsoft Entra ID

Integrasi ini memerlukan pendaftaran Aplikasi di portal Azure. Ikuti langkah-langkah di bagian ini untuk membuat aplikasi baru di Microsoft Entra ID:

  1. Masuk ke portal Azure.
  2. Cari dan pilih Microsoft Entra ID.
  3. Di bawah Kelola, pilih Pendaftaran aplikasi > Pendaftaran baru.
  4. Masukkan Nama tampilan untuk aplikasi Anda (misalnya, ExtraHopSentinelConnector).
  5. Pilih Daftar untuk menyelesaikan pendaftaran aplikasi awal.
  6. Setelah pendaftaran selesai, portal Azure menampilkan panel Gambaran Umum pendaftaran aplikasi. Anda melihat ID Aplikasi (klien) dan ID Penyewa. ID klien dan ID Penyewa diperlukan sebagai parameter konfigurasi untuk eksekusi Konektor Data ExtraHop.

Tautan referensi:/azure/active-directory/develop/quickstart-register-app

LANGKAH 2 - Menambahkan rahasia klien untuk aplikasi di Microsoft Entra ID

Terkadang disebut kata sandi aplikasi, rahasia klien adalah nilai string yang diperlukan untuk eksekusi Konektor Data ExtraHop. Ikuti langkah-langkah di bagian ini untuk membuat Rahasia Klien baru:

  1. Di portal Microsoft Azure, di Pendaftaran aplikasi, pilih aplikasi Anda.
  2. Pilih Sertifikat & rahasia > Rahasia > klien Rahasia klien baru.
  3. Tambahkan deskripsi untuk rahasia klien Anda.
  4. Pilih kedaluwarsa untuk rahasia atau tentukan masa pakai kustom. Batasnya adalah 24 bulan.
  5. Pilih Tambahkan.
  6. Catat nilai rahasia untuk digunakan dalam kode aplikasi klien Anda. Nilai rahasia ini tidak pernah ditampilkan lagi setelah Anda meninggalkan halaman ini. Nilai rahasia diperlukan sebagai parameter konfigurasi untuk eksekusi Konektor Data ExtraHop.

Tautan referensi:/azure/active-directory/develop/quickstart-register-app#add-a-client-secret

LANGKAH 3 - Dapatkan ID Objek aplikasi Anda di Microsoft Entra ID

Setelah membuat pendaftaran aplikasi, ikuti langkah-langkah di bagian ini untuk mendapatkan ID Objek:

  1. Pergi ke Microsoft Entra ID.
  2. Pilih Aplikasi perusahaan dari menu sebelah kiri.
  3. Temukan aplikasi yang baru dibuat dalam daftar (Anda dapat mencari berdasarkan nama yang Anda berikan).
  4. Klik aplikasi.
  5. Pada halaman gambaran umum, salin ID Objek. Ini adalah AzureEntraObjectID yang diperlukan untuk penetapan peran templat ARM Anda.

LANGKAH 4 - Menyebarkan Konektor Data ExtraHop

PENTING: Sebelum menyebarkan konektor Data ExtraHop, miliki detail Pendaftaran Aplikasi Microsoft Entra ID (ID Klien, Rahasia Klien, ID Penyewa, dan ID Objek) yang tersedia dengan mudah.

Sebarkan Konektor Data Deteksi ExtraHop:

Gunakan metode ini untuk penyebaran otomatis konektor Data Deteksi EkstraHop.

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.ms

  2. Pilih Langganan, Grup Sumber Daya, dan Wilayah pilihan.

  3. Masukkan informasi di bawah ini :

    a. FunctionName - Masukkan nama Aplikasi Fungsi (digunakan untuk memberi nama semua sumber daya terkait). Harus 1-11 karakter. Standar: ExtraHop

    b. Lokasi - Lokasi tempat aturan pengumpulan data dan titik akhir pengumpulan data harus disebarkan

    c. WorkspaceName - Masukkan Nama Ruang Kerja Microsoft Sentinel ruang kerja Log Analytics

    d. AzureClientId - Masukkan ID Klien Azure yang telah Anda buat selama pendaftaran aplikasi

    e. AzureClientSecret - Masukkan Rahasia Klien Azure yang telah Anda buat selama membuat rahasia klien

    f. AzureEntraObjectID - Masukkan Id objek aplikasi Microsoft Entra Anda

    g. TenantId - Masukkan ID Penyewa Microsoft Entra ID Anda

    Halo. DetectionsTableName - Masukkan nama tabel yang digunakan untuk menyimpan log Deteksi ExtraHop. Defaultnya adalah 'ExtraHop_Detections'

    i. LogLevel - Pilih tingkat log atau nilai tingkat keparahan log dari Debug, Info, Kesalahan, Peringatan. Secara default diatur ke Info

    j. AppInsightsWorkspaceResourceID - Memigrasikan Application Insights Klasik ke Ruang Kerja Analitik Log yang dihentikan pada 29 Febraury 2024. Gunakan bilah 'Ruang Kerja Analitik Log-->Properti' yang memiliki nilai properti 'ID Sumber Daya'. Ini adalah resourceId yang sepenuhnya memenuhi syarat yang dalam format '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft. OperationalInsights/workspaces/{workspaceName}'

  4. Tandai kotak centang berlabel Saya menyetujui syarat dan ketentuan yang dinyatakan di atas.

  5. Klik Beli untuk menyebarkan.

LANGKAH 5 - Pasca Penyebaran

Setelah penyebaran berhasil, konfigurasikan koneksi webhook dari ExtraHop RevealX ke Microsoft Sentinel.

1) Dapatkan titik akhir Aplikasi Fungsi

  1. Buka halaman ringkasan fungsi Azure dan klik tab Fungsi.
  2. Klik fungsi yang disebut ExtraHopHttpStarter.
  3. Buka Dapatkan URL Fungsi dan salin URL fungsi yang tersedia di bawah default (Kunci fungsi).
  4. Ganti {functionname} dengan ExtraHopDetectionsOrchestrator di URL fungsi yang disalin.

2) Konfigurasikan koneksi ke Microsoft Sentinel dan tentukan kriteria payload webhook dari RevealX

Dari sistem ExtraHop Anda, konfigurasikan integrasi Microsoft Sentinel untuk membuat koneksi antara Microsoft Sentinel dan ExtraHop RevealX dan untuk membuat aturan pemberitahuan deteksi yang akan mengirim data webhook ke Microsoft Sentinel. Untuk petunjuk terperinci, lihat Mengintegrasikan ExtraHop RevealX dengan Microsoft Sentinel SIEM.

Setelah aturan pemberitahuan dikonfigurasi dan Microsoft Sentinel menerima data webhook, Aplikasi Fungsi dipicu dan Anda dapat melihat deteksi ExtraHop dari tabel kustom ruang kerja Log Analytics. Gunakan fungsi pengurai ExtraHopDetections untuk tampilan data yang dinormalisasi.



F5 BESAR IP

Didukung oleh:F5 Networks

Konektor firewall F5 memungkinkan Anda untuk dengan mudah menghubungkan log F5 Anda dengan Microsoft Sentinel, untuk melihat dasbor, membuat pemberitahuan kustom, dan meningkatkan penyelidikan. Hal ini memberikan lebih banyak wawasan tentang jaringan organisasi dan meningkatkan kemampuan operasi keamanan Anda.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
F5Telemetry_LTM_CL Yes Yes
F5Telemetry_system_CL Yes Yes
F5Telemetry_ASM_CL No No

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Instruksi Penyetelan:

Mengonfigurasi dan menyambungkan F5 BIGIP

Untuk menghubungkan F5 BIGIP, Anda harus memposting deklarasi JSON ke titik akhir API sistem. Untuk petunjuk tentang cara melakukannya, lihat Mengintegrasikan F5 BGIP dengan Microsoft Sentinel.

  • ID ruang kerja: <nilai variabel yang disediakan pada waktu penginstalan>
  • Kunci Primer: <nilai variabel yang disediakan pada waktu penginstalan>



Feedly IoC

Didukung oleh:Feedly Inc

Konektor data Feedly IoC memasukkan Indikator Kompromi dari API Feedly ke dalam tabel ThreatIntelIndicators asli di Microsoft Sentinel. Indikator diberi tag SourceSystem == "Feedly" sehingga mereka berpartisipasi dalam pencocokan, analitik, dan pencarian intelijen ancaman Microsoft Sentinel dengan cara yang sama seperti integrasi TIP lainnya (misalnya Recorded Future melalui API Upload Indicators).

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
ThreatIntelIndicators Yes No

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Akses API Feedly: Akses ke API Feedly diperlukan. Anda memerlukan token API Feedly dengan akses ke aliran IoC yang ingin Anda serap. Hasilkan token API Anda di https://feedly.com/i/team/api

Instruksi Penyetelan:

Sambungkan ke Feedly untuk mulai mengumpulkan IoC di Microsoft Sentinel

  1. https://feedly.com/i/team/api Buka dan buat token API baru untuk konektor.
  2. Di Microsoft Sentinel, berikan Feedly API Key dan Stream ID Anda, lalu klik Connect.
  3. Indikator ditulis ke tabel ThreatIntelIndicators native dengan SourceSystem Feedly. Query mereka dengan: ThreatIntelIndicators | di mana SourceSystem == "Feedly"
  • Kunci API Feedly: (Masukkan token API Feedly Anda)
  • ID Aliran Feedly: (streamId1,streamId2,streamId3)
  • Aktifkan/Nonaktifkan Koneksi



Filewall untuk Microsoft 365

Didukung oleh:Filewall

Masukkan event dari Filewall ke Microsoft Sentinel (Exchange, SharePoint, OneDrive, dan Teams).

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
FilewallExchange_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Akses API Filewall: Kunci API Filewall diperlukan.

Instruksi Penyetelan:

Klik Tambah koneksi, tempel kunci API Filewall Anda, lalu klik Hubungkan. Ini akan membuat 4 koneksi polling (Exchange, SharePoint, OneDrive, Teams).

  • Data Connectors Grid (dikonfigurasi di portal)



Risiko FireCompass

Didukung oleh:FireCompass

Konektor data FireCompass memungkinkan memasukkan data risiko dan kerentanan dari API FireCompass ke Microsoft Sentinel. Data connector dibangun di atas Microsoft Sentinel Codeless Connector Framework.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
FCRisks_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Instruksi Penyetelan:

Langkah-langkah konfigurasi untuk API FireCompass Buat Token API Anda dari platform FireCompass dan tempel di bawah untuk mengautentikasi konektor.

  • URL Manajemen FIRECOMPASS: (https://example.FIRECOMPASSTEST.net/)
  • Jalur endpoint API: (/internal_risks/v1/risk)
  • Token API FireCompass: (Masukkan Token API)
  • Aktifkan/Nonaktifkan Koneksi



Konektor Dorong Suar

Didukung oleh:Flare

Konektor Flare menyediakan kemampuan untuk menyerap data inteligensi ancaman dan paparan dari Flare ke dalam Microsoft Sentinel. Flare mengidentifikasi aset digital perusahaan Anda yang tersedia untuk umum karena kesalahan manusia atau serangan berbahaya, termasuk kredensial bocor, wadah cloud yang terekspos, penyebutan darkweb, dan banyak lagi.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
FireworkV2_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Microsoft Entra: Izin untuk membuat pendaftaran aplikasi di Microsoft Entra ID.
  • Microsoft Azure: Izin untuk menetapkan peran Publisher Metrik Pemantauan pada aturan pengumpulan data (DCR).
  • Flare: Izin untuk mengonfigurasi integrasi Microsoft Sentinel di Flare.

Instruksi Penyetelan:

1. Buat Sumber Daya ARM dan Berikan Izin yang Diperlukan

Konektor ini memungkinkan Flare mengirim data paparan ancaman ke Microsoft Sentinel. Saat penerusan data diaktifkan di Flare, data peristiwa mentah dikirim dengan aman ke API penyerapan Microsoft Sentinel.

Konfigurasi Otomatis dan Penyerapan Data Aman dengan Aplikasi Entra Mengklik "Sebarkan" akan membuat tabel Log Analytics dan Aturan Pengumpulan Data (DCR). Kemudian akan membuat aplikasi Entra, menautkan DCR ke aplikasi tersebut, dan mengatur rahasia yang dimasukkan dalam aplikasi. Penyiapan ini memungkinkan data dikirim dengan aman ke DCR menggunakan token Entra.

2. Konfigurasikan Flare untuk Mengirim Log ke Microsoft Sentinel

Gunakan parameter berikut untuk mengonfigurasi Flare untuk mengirim log ke ruang kerja Anda.

  • ID < nilai variabel yang disediakan pada waktu penginstalan>
  • ID Direktori Entra (Penyewa):< nilai variabel yang disediakan pada waktu penginstalan>
  • Rahasia Pendaftaran Aplikasi Entra: <nilai variabel yang disediakan pada waktu penginstalan>
  • URL Penyerapan Log: <nilai variabel yang disediakan pada waktu penginstalan>

3. Mengonfigurasi Saluran Pemberitahuan di Flare

Sebagai administrator organisasi, Anda dapat mengonfigurasi Saluran Pemberitahuan di Flare untuk mengirim data ke Sentinel.

  1. Mengautentikasi pada Flare
  2. Akses halaman pemberitahuan untuk membuat saluran pemberitahuan baru.
  3. Pilih 'Microsoft Sentinel' dan salin bidang di atas dalam formulir.

Untuk detail selengkapnya, lihat dokumentasi Flare.



DLP Titik Paksa

Dukungan oleh:Komunitas

Konektor Forcepoint DLP (Pencegahan Kehilangan Data) memungkinkan Anda untuk secara otomatis mengekspor data insiden DLP dari Forcepoint DLP ke Microsoft Sentinel secara real time. Ini memperkaya visibilitas ke dalam aktivitas pengguna dan insiden kehilangan data, memungkinkan korelasi lebih lanjut dengan data dari beban kerja Azure dan umpan lainnya, dan meningkatkan kemampuan pemantauan dengan Buku Kerja di dalam Microsoft Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
ForcepointDLPEvents_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Instruksi Penyetelan:

Ikuti instruksi langkah demi langkah dalam dokumentasi Forcepoint DLP untuk Microsoft Sentinel mengonfigurasi konektor ini.

  • ID ruang kerja: <nilai variabel yang disediakan pada waktu penginstalan>
  • Kunci Primer: <nilai variabel yang disediakan pada waktu penginstalan>



Pengintai

Dukungan oleh:Microsoft Corporation

Konektor data Forescout menyediakan kemampuan untuk menyerap peristiwa Forescout ke Microsoft Sentinel. Lihat dokumentasi Forescout untuk informasi selengkapnya.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
ForescoutEvent No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Instruksi Penyetelan:

CATATAN: Konektor data ini tergantung pada pengurai berdasarkan Fungsi Kusto untuk bekerja seperti yang diharapkan ForescoutEvent yang disebarkan dengan Solusi Microsoft Sentinel.

CATATAN: Konektor data ini telah dikembangkan menggunakan versi Plugin Forescout Syslog: v3.6

1. Pasang dan onboard agen untuk Linux atau Windows

Instal agen di Server tempat log Forescout diteruskan.

Log dari Forescout Server yang disebarkan di Linux atau server Windows dikumpulkan oleh Linux atau agen Windows.

Pilih tempat untuk menginstal agen Linux:

Menginstal agen di komputer virtual Linux Azure

Pilih komputer untuk menginstal agen, lalu klik Sambungkan.

  • Pasang Agen: <nilai variabel yang disediakan pada waktu penginstalan>

Menginstal agen pada Komputer Linux non-Azure

Unduh agen di komputer yang relevan dan ikuti instruksinya.

  • Pasang Agen: <nilai variabel yang disediakan pada waktu penginstalan>

Pilih tempat untuk menginstal agen Windows:

Menginstal agen di komputer virtual Azure Windows

Pilih komputer untuk menginstal agen, lalu klik Sambungkan.

  • Pasang Agen: <nilai variabel yang disediakan pada waktu penginstalan>

Menginstal agen pada Komputer non-Azure Windows

Unduh agen di komputer yang relevan dan ikuti instruksinya.

  • Pasang Agen: <nilai variabel yang disediakan pada waktu penginstalan>

2. Konfigurasikan log yang akan dikumpulkan

Konfigurasikan fasilitas yang ingin Anda kumpulkan dan tingkat keparahannya.

  1. Di bawah Konfigurasi pengaturan tingkat lanjut ruang kerja , pilih Data lalu Syslog.
  2. Pilih Terapkan konfigurasi di bawah ini ke komputer saya dan pilih fasilitas dan tingkat keparahan.
  3. Kliklah Simpan.
  • Pasang Agen: <nilai variabel yang disediakan pada waktu penginstalan>

3. Mengonfigurasi penerusan peristiwa Forescout

Ikuti langkah-langkah konfigurasi di bawah ini untuk mendapatkan log Forescout ke Microsoft Sentinel.

  1. Pilih Appliance untuk Dikonfigurasi.
  2. Ikuti instruksi ini untuk meneruskan pemberitahuan dari platform Forescout ke server syslog.
  3. Konfigurasikan pengaturan di tab Pemicu Syslog.



Fortinet FortiNDR Cloud

Didukung oleh:Fortinet

Konektor data Fortinet FortiNDR Cloud menyediakan kemampuan untuk menyerap data Fortinet FortiNDR Cloud ke dalam Microsoft Sentinel menggunakan FortiNDR Cloud API

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
FortinetFortiNdrCloudRaw_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Microsoft. Izin web/situs: Izin baca dan tulis ke Azure Functions untuk membuat Aplikasi Fungsi diperlukan. Untuk informasi selengkapnya, lihat Azure Functions.
  • Kredensial MetaStream: ID Kunci Akses AWS, Kunci Akses Rahasia AWS, Kode Akun Cloud FortiNDR diperlukan untuk mengambil data peristiwa.
  • Kredensial API: Token API Cloud FortiNDR, UUID Akun Cloud FortiNDR diperlukan untuk mengambil data deteksi.

Instruksi Penyetelan:

CATATAN: Konektor ini menggunakan model integrasi aplikasi perusahaan melalui Azure Functions untuk menarik log dari FortiNDR Cloud API ke Microsoft Sentinel secara aman. Penerapan ini dapat menimbulkan biaya penghapusan data dan komputasi. Periksa halaman harga Azure Functions untuk detailnya.

(Langkah Opsional) Simpan kunci otorisasi API atau token secara aman di Azure Key Vault. Azure Key Vault menyediakan mekanisme aman untuk menyimpan dan mengambil nilai kunci. Ikuti instruksi ini untuk menggunakan Azure Key Vault dengan Aplikasi Fungsi Azure.

CATATAN: Konektor ini menggunakan pengurai berdasarkan Fungsi Kusto untuk menormalkan bidang. Ikuti langkah-langkah ini untuk membuat alias fungsi Kusto Fortinet_FortiNDR_Cloud.

LANGKAH 1 - Terapkan konektor dan Fungsi Azure terkait

PENTING: Sebelum menerapkan konektor Fortinet FortiNDR Cloud, siapkan nilai di bawah ini dengan mudah didapat.

  • ID ruang kerja: <nilai variabel yang disediakan pada waktu penginstalan>

LANGKAH 2 - Template Azure Resource Manager (ARM)

Gunakan metode ini untuk penyebaran otomatis konektor Fortinet FortiNDR Cloud.

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.ms

  2. Pilih Langganan, Grup Sumber Daya, dan Lokasi pilihan.

  3. Klik Buat untuk menyebarkan.



Konektor Data Fortra Agari (melalui Codeless Connector Framework)

Dukungan oleh:Microsoft Corporation

Fortra Agari Data Connector memungkinkan memasukkan log dari API Fortra Agari Brand Protection (BP) dan Phishing Defense (APD) ke dalam Microsoft Sentinel. Ini mendukung transformasi waktu penyerapan berbasis DCR untuk eksekusi kueri yang efisien. Lihat dokumentasi Agari API untuk informasi selengkapnya.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
AgariBPAlertsLog_CL No No
AgariAPDPolicyLog_CL No No
AgariAPDTCLog_CL No No
AgariBPThreatFeedSubs_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Instruksi Penyetelan:

Koneksi API Agari

Tambahkan dan kelola koneksi penyewa Agari independen.

  • Data Connectors Grid (dikonfigurasi di portal)



Isu Kebijakan Keamanan Gambit (Push)

Didukung oleh:Keamanan Gambit

Konektor Keamanan Gambit menyediakan kemampuan untuk mendorong isu kebijakan Keamanan Gambit, yang diperkaya dengan sumber daya, sistem terpengaruh, dan konteks kebijakan ke dalam Microsoft Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
GambitPoliciesIssues_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Microsoft Entra: Izin untuk membuat pendaftaran aplikasi di Microsoft Entra ID. Biasanya memerlukan peran Pengembang Aplikasi Entra ID atau yang lebih tinggi.
  • Microsoft Azure: Izin untuk menetapkan peran Publisher Metrik Pemantauan pada aturan pengumpulan data (DCR). Biasanya memerlukan peran Pemilik RBAC Azure atau Administrator Akses Pengguna

Instruksi Penyetelan:

1. Buat Sumber Daya ARM dan Berikan Izin yang Diperlukan

Konektor ini menyediakan tabel Log Analytics dan Aturan Pengumpulan Data (DCR) yang didorong oleh Gambit Security melalui API Microsoft Sentinel Ingestion.

Konfigurasi Otomatis dan Penyerapan Data Aman dengan Aplikasi Entra Mengklik "Sebarkan" akan memicu pembuatan tabel Log Analytics dan Aturan Pengumpulan Data (DCR). Kemudian akan membuat aplikasi Entra, menautkan DCR ke aplikasi tersebut, dan mengatur rahasia yang dimasukkan dalam aplikasi. Penyiapan ini memungkinkan data dikirim dengan aman ke DCR menggunakan token Entra.

2. Dorong log Anda ke ruang kerja

Gunakan parameter berikut untuk mengonfigurasi Keamanan Gambit agar mengirim isu kebijakan ke workspace.

  • ID Penyewa (ID Direktori): <nilai variabel yang disediakan pada waktu penginstalan>
  • ID Aplikasi Pendaftaran Aplikasi Entra: <nilai variabel yang disediakan pada waktu penginstalan>
  • Rahasia Pendaftaran Aplikasi Entra: <nilai variabel yang disediakan pada waktu penginstalan>
  • Uri Titik Akhir Pengumpulan Data: <nilai variabel yang disediakan pada waktu penginstalan>
  • ID Tidak Dapat Diubah Aturan Pengumpulan Data: <nilai variabel yang disediakan pada waktu penginstalan>
  • Nama Aliran Masalah Kebijakan: <nilai variabel disediakan saat instalasi>



Garrison ULTRA Remote Logs (menggunakan Azure Functions)

Didukung oleh:Garrison

Konektor Garrison ULTRA Remote Logs memungkinkan Anda untuk mengimpor Garrison ULTRA Remote Logs ke Microsoft Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
Garrison_ULTRARemoteLogs_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Garrison ULTRA: Untuk menggunakan konektor data ini, Anda harus memiliki lisensi Garrison ULTRA aktif.

Instruksi Penyetelan:

Penyebaran - Templat Azure Resource Manager (ARM)

Langkah-langkah ini menguraikan penyebaran otomatis konektor data Garrison ULTRA Remote Logs menggunakan ARM Tempate.

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    portal.azure.com

  2. Berikan detail yang diperlukan seperti Grup Sumber Daya, Microsoft Sentinel Ruang Kerja, dan konfigurasi penyerapan

CATATAN: Disarankan untuk membuat Grup Sumber Daya baru untuk penyebaran sumber daya ini. 3. Tandai kotak centang berlabel Saya menyetujui syarat dan ketentuan yang dinyatakan di atas. 4. Klik Beli untuk menyebarkan.



GCP Cloud Run (melalui Codeless Connector Framework)

Dukungan oleh:Microsoft Corporation

Konektor data GCP Cloud Run menyediakan kemampuan untuk menyerap log permintaan Cloud Run ke Microsoft Azure Sentinel menggunakan Pub/Sub. Lihat Cloud Run Overview untuk informasi lebih lanjut.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
GCPCloudRun Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Instruksi Penyetelan:

**Sambungkan GCP Cloud Run ke Microsoft Sentinel **

  • ID Penyewa: Pengidentifikasi unik yang digunakan sebagai input dalam konfigurasi Terraform dalam lingkungan GCP.: <nilai variabel yang disediakan pada waktu penginstalan>
  1. Aktifkan log Cloud Run Di Google Cloud Console, aktifkan pengelogan cloud jika tidak diaktifkan sebelumnya, dan simpan perubahan. Sebarkan atau perbarui layanan Cloud Run Anda dengan pengelogan diaktifkan.

Tautan Referensi: Tautkan ke dokumentasi

  1. Sambungkan kolektor baru Untuk mengaktifkan Log Permintaan Eksekusi Cloud GCP untuk Microsoft Sentinel, klik tombol Tambahkan kolektor baru, berikan informasi yang diperlukan di pop up dan klik Sambungkan.



GCP Cloud SQL (melalui Codeless Connector Framework)

Dukungan oleh:Microsoft Corporation

Konektor data GCP Cloud SQL menyediakan kemampuan untuk menyerap log Audit ke Microsoft Azure Sentinel menggunakan GCP Cloud SQL API. Lihat dokumentasi GCP Cloud SQL Audit Logs untuk informasi lebih lanjut.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
GCPCloudSQL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Instruksi Penyetelan:

Menyambungkan GCP Cloud SQL ke Microsoft Sentinel

  • ID Penyewa: Pengidentifikasi unik yang digunakan sebagai input dalam konfigurasi terraform dalam lingkungan GCP.: <nilai variabel yang disediakan pada waktu penginstalan>

  1. Di Google Cloud Console, aktifkan Cloud SQL API, jika tidak diaktifkan sebelumnya, dan simpan perubahan.

  2. Sambungkan kolektor baru Untuk mengaktifkan Log SQL Cloud GCP untuk Microsoft Sentinel, klik tombol Tambahkan kolektor baru, isi informasi yang diperlukan di panel konteks dan klik Sambungkan.



Log Audit GCP Pub/Sub

Dukungan oleh:Microsoft Corporation

Log audit Google Cloud Platform (GCP), yang diserap dari konektor Microsoft Sentinel, memungkinkan Anda mengambil tiga jenis log audit: log aktivitas admin, log akses data, dan log transparansi akses. Log audit cloud Google merekam jejak yang dapat digunakan praktisi untuk memantau akses dan mendeteksi potensi ancaman di seluruh sumber daya Google Cloud Platform (GCP).

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
GCPAuditLogs Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Instruksi Penyetelan:

  • ID Penyewa: Pengidentifikasi unik yang digunakan sebagai input dalam konfigurasi Terraform dalam lingkungan GCP.: <nilai variabel yang disediakan pada waktu penginstalan>
  1. Sambungkan kolektor baru Untuk mengaktifkan Log Audit GCP untuk Microsoft Sentinel, klik tombol Tambahkan kolektor baru, isi informasi yang diperlukan di panel konteks dan klik Sambungkan.



GCP Pub/Sub log Load Balancer (melalui Codeless Connector Framework).

Dukungan oleh:Microsoft Corporation

Log Load Balancer Google Cloud Platform (GCP) memberikan wawasan terperinci tentang lalu lintas jaringan, menangkap aktivitas masuk dan keluar. Log ini digunakan untuk memantau pola akses dan mengidentifikasi potensi ancaman keamanan di seluruh sumber daya GCP. Selain itu, log ini juga mencakup log GCP Web Application Firewall (WAF), meningkatkan kemampuan untuk mendeteksi dan mengurangi risiko secara efektif.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
GCPLoadBalancerLogs_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Instruksi Penyetelan:

  • ID Penyewa: Pengidentifikasi unik yang digunakan sebagai input dalam konfigurasi Terraform dalam lingkungan GCP.: <nilai variabel yang disediakan pada waktu penginstalan>
  1. Aktifkan log Load Balancer Di akun GCP Anda, navigasikan ke bagian Load Balancer. Di sini Anda dapat meniadakan ke [Layanan Backend] -> [Edit], setelah Anda berada di [Layanan Backend] di bagian [Pengelogan] aktifkan kotak centang [Aktifkan Log]. Setelah Anda membuka aturan, alihkan tombol alihkan di bawah bagian Log ke Aktif, dan simpan perubahan.

Untuk informasi selengkapnya: Menautkan ke dokumentasi

  1. Sambungkan kolektor baru Untuk mengaktifkan GCP Load Balancer Log untuk Microsoft Sentinel, klik tombol Tambahkan kolektor baru, isi informasi yang diperlukan di panel konteks dan klik Sambungkan.



Log Alur VPC GCP Pub/Sub (melalui Codeless Connector Framework)

Dukungan oleh:Microsoft Corporation

Log Alur VPC Google Cloud Platform (GCP) memungkinkan Anda menangkap aktivitas lalu lintas jaringan di tingkat VPC, memungkinkan Anda memantau pola akses, menganalisis performa jaringan, dan mendeteksi potensi ancaman di seluruh sumber daya GCP.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
GCPVPCFlow Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Instruksi Penyetelan:

  • ID Penyewa: Pengidentifikasi unik yang digunakan sebagai input dalam konfigurasi Terraform dalam lingkungan GCP.: <nilai variabel yang disediakan pada waktu penginstalan>
  1. Aktifkan Log Alur VPC Di akun GCP Anda, navigasikan ke bagian jaringan VPC. Pilih subnet yang ingin Anda pantau dan aktifkan Log Alur di bawah bagian Pengelogan.

Untuk informasi selengkapnya: Dokumentasi Google Cloud

  1. Sambungkan kolektor baru Untuk mengaktifkan Log Alur VPC GCP untuk Microsoft Sentinel, klik tombol Tambahkan kolektor baru, isi informasi yang diperlukan di panel konteks, dan klik Sambungkan.



Konektor AMX Gigamon

Didukung oleh:Gigamon

Konektor Gigamon menyediakan kemampuan untuk membaca data peristiwa mentah dari Gigamon di Microsoft Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
GigamonV2_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Microsoft Entra: Izin untuk membuat pendaftaran aplikasi di Microsoft Entra ID. Biasanya memerlukan peran Pengembang Aplikasi Entra ID atau yang lebih tinggi.
  • Microsoft Azure: Izin untuk menetapkan peran Publisher Metrik Pemantauan pada aturan pengumpulan data (DCR). Biasanya memerlukan peran Pemilik RBAC Azure atau Administrator Akses Pengguna

Instruksi Penyetelan:

1. Buat Sumber Daya ARM dan Berikan Izin yang Diperlukan

Konektor ini membaca data dari tabel yang digunakan Gigamon CCF di ruang kerja analitik Microsoft, jika opsi penerusan data diaktifkan di Gigamon CCF, maka data peristiwa mentah dikirim ke API penyerapan Microsoft Sentinel.

Konfigurasi Otomatis dan Penyerapan Data Aman dengan Aplikasi Entra Mengklik "Sebarkan" akan memicu pembuatan tabel Log Analytics dan Aturan Pengumpulan Data (DCR). Kemudian akan membuat aplikasi Entra, menautkan DCR ke aplikasi tersebut, dan mengatur rahasia yang dimasukkan dalam aplikasi. Penyiapan ini memungkinkan data dikirim dengan aman ke DCR menggunakan token Entra.

2. Dorong log Anda ke ruang kerja

Gunakan parameter berikut untuk mengonfigurasi komputer Anda untuk mengirim log ke ruang kerja.

  • ID Penyewa (ID Direktori): <nilai variabel yang disediakan pada waktu penginstalan>
  • ID Aplikasi Pendaftaran Aplikasi Entra: <nilai variabel yang disediakan pada waktu penginstalan>
  • Rahasia Pendaftaran Aplikasi Entra: <nilai variabel yang disediakan pada waktu penginstalan>
  • Uri Titik Akhir Pengumpulan Data: <nilai variabel yang disediakan pada waktu penginstalan>
  • ID Tidak Dapat Diubah Aturan Pengumpulan Data: <nilai variabel yang disediakan pada waktu penginstalan>
  • Nama Aliran Aktivitas: <nilai variabel yang disediakan pada waktu penginstalan>
  • Nama Aliran Ancaman: <nilai variabel yang disediakan pada waktu penginstalan>



GitHub (menggunakan Webhooks)

Dukungan oleh:Microsoft Corporation

Konektor data webhook GitHub menyediakan kemampuan untuk menyerap peristiwa berlangganan GitHub ke dalam Microsoft Sentinel menggunakan peristiwa webhook GitHub. Konektor menyediakan kemampuan untuk memasukkan peristiwa ke Microsoft Sentinel yang membantu memeriksa potensi risiko keamanan, menganalisis penggunaan kolaborasi tim Anda, mendiagnosis masalah konfigurasi, dan banyak lagi.

Note: Jika Anda ingin menyerap log Audit Github, lihat galeri GitHub Konektor Log Audit Perusahaan dari galeri "Data Connectors".

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
githubscanaudit_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Microsoft. Izin web/situs: Izin baca dan tulis ke Azure Functions untuk membuat Aplikasi Fungsi diperlukan. Untuk informasi selengkapnya, lihat Azure Functions.

Instruksi Penyetelan:

CATATAN: Konektor ini telah dibangun di atas fungsi Azure berbasis pemicu http. Dan menyediakan titik akhir di mana github akan terhubung melalui kemampuan webhook dan memposting peristiwa berlangganan ke dalam Microsoft Sentinel. Ini dapat mengakibatkan biaya penyerapan data tambahan. Periksa halaman harga Azure Functions untuk detailnya.

(Langkah Opsional) Simpan ruang kerja dan kunci otorisasi API atau token dengan aman di Azure Key Vault. Azure Key Vault menyediakan mekanisme aman untuk menyimpan dan mengambil nilai kunci. Ikuti instruksi ini untuk menggunakan Azure Key Vault dengan Aplikasi Fungsi Azure.

Pilih ONE dari dua opsi penyebaran berikut untuk menyebarkan konektor dan Fungsi Azure terkait

PENTING: Sebelum menyebarkan konektor Webhook Github, miliki ID Ruang Kerja dan Kunci Primer Ruang Kerja (dapat disalin dari yang berikut).

  • ID ruang kerja: <nilai variabel yang disediakan pada waktu penginstalan>
  • Kunci Primer: <nilai variabel yang disediakan pada waktu penginstalan>

Opsi 1 - Templat Azure Resource Manager (ARM)

Gunakan metode ini untuk penyebaran otomatis konektor data GitHub menggunakan ARM Tempate.

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.ms

  2. Pilih Langganan, Grup Sumber Daya, dan Lokasi pilihan.

CATATAN: Dalam grup sumber daya yang sama, Anda tidak dapat mencampur aplikasi Windows dan Linux di wilayah yang sama dan menyebarkan. 3. Tandai kotak centang berlabel Saya menyetujui syarat dan ketentuan yang dinyatakan di atas. 5. Klik Beli untuk menyebarkan.

Opsi 2 - Penyebaran manual Azure Functions

Gunakan instruksi langkah demi langkah berikut untuk menyebarkan konektor data webhook GitHub secara manual dengan Azure Functions (Penyebaran melalui Visual Studio Code).

Langkah 1 - Menyebarkan Aplikasi Fungsi

  1. Unduh file Aplikasi Fungsi Azure. Ekstrak arsip ke komputer pengembangan lokal Anda.
  2. Ikuti instruksi penyebaran manual aplikasi fungsi untuk menyebarkan aplikasi Azure Functions menggunakan VSCode.
  3. Setelah penyebaran aplikasi fungsi berhasil, ikuti langkah berikutnya untuk mengonfigurasinya.

Langkah 2 - Mengonfigurasi Aplikasi Fungsi

  1. Buka portal Azure untuk konfigurasi Aplikasi Fungsi.
  2. Di Aplikasi Fungsi, pilih Nama Aplikasi Fungsi dan pilih Konfigurasi.
  3. Di tab Pengaturan aplikasi, pilih Pengaturan aplikasi baru.
  4. Tambahkan masing-masing pengaturan aplikasi berikut satu per satu, dengan nilai string masing-masing (peka huruf besar/kecil): WorkspaceID WorkspaceID LogAnalyticsUri (opsional) - Gunakan logAnalyticsUri untuk mengambil alih titik akhir API analitik log untuk cloud khusus. Misalnya, untuk cloud publik, biarkan nilai kosong; untuk Azure lingkungan cloud GovUS, tentukan nilai dalam format berikut: https://<CustomerId>.ods.opinsights.azure.us.
  5. Setelah semua pengaturan aplikasi dimasukkan, klik Simpan.

Langkah-langkah Pasca Penyebaran

LANGKAH 1 - Untuk mendapatkan url Fungsi Azure

  1. Buka halaman Ringkasan fungsi Azure dan Klik "Fungsi" di bilah kiri.
  2. Klik fungsi yang disebut "GithubwebhookConnector".
  3. Buka "GetFunctionurl" dan salin url fungsi.

LANGKAH 2 - Mengonfigurasi Webhook ke Organisasi Github

  1. Buka GitHub dan buka akun Anda dan klik "Organisasi Anda."
  2. Klik Pengaturan.
  3. Klik "Webhooks" dan masukkan url aplikasi fungsi yang disalin dari atas LANGKAH 1 di bawah kotak teks URL payload.
  4. Pilih jenis konten sebagai "application/json".
  5. Berlangganan peristiwa dan Klik "Tambahkan Webhook"

Sekarang kita selesai dengan konfigurasi Webhook github. Setelah peristiwa github dipicu dan setelah penundaan 20 hingga 30 menit (Karena akan ada kesepakatan bagi LogAnalytics untuk memutar sumber daya untuk pertama kalinya), Anda harus dapat melihat semua peristiwa transaksi dari Github ke tabel ruang kerja LogAnalytics yang disebut "githubscanaudit_CL".

Untuk detail selengkapnya, Klik di sini



GitHub (menggunakan Webhook) V2

Dukungan oleh:Microsoft Corporation

Konektor data webhook GitHub (V2) menyediakan kemampuan untuk menyerap peristiwa berlangganan GitHub ke dalam Microsoft Sentinel menggunakan peristiwa webhook GitHub. Konektor ini menggunakan AZURE MONITOR Logs Ingestion API (CLv2) dengan autentikasi Identitas Terkelola dan merupakan penerus yang ditunjuk untuk konektor GitHub asli (menggunakan Webhook), yang menggunakan CLv1 HTTP Data Collector API (titik akhir ODS) yang Microsoft menggantikan dengan CLv2.

Peristiwa ditulis ke GitHubAdvancedSecurityAlerts_CL tabel. Fungsi githubscanaudit pengurai menyediakan tampilan terpadu di seluruh tabel warisan githubscanaudit_CL dan tabel baru GitHubAdvancedSecurityAlerts_CL , sehingga semua buku kerja, aturan analitik, dan kueri perburuan yang ada terus berfungsi tanpa modifikasi.

Catatan: Jika saat ini Anda menggunakan konektor GitHub asli (menggunakan Webhooks), kedua konektor dapat berjalan berdampingan. Untuk menghindari penyerapan data duplikat, hentikan Aplikasi Fungsi V1 asli setelah Anda mengonfirmasi V2 berfungsi dengan benar. Lihat instruksi migrasi di bagian bawah halaman konektor ini.

Catatan: Jika Anda ingin menyerap log Audit GitHub, lihat Konektor Log Audit Perusahaan GitHub dari galeri "Konektor Data".

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
GitHubAdvancedSecurityAlerts_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Microsoft. Izin web/situs: Izin baca dan tulis ke Azure Functions untuk membuat Aplikasi Fungsi diperlukan. Untuk informasi selengkapnya, lihat Azure Functions.
  • Microsoft. Izin Otorisasi/roleAssignments: Izin untuk membuat penetapan peran diperlukan di cakupan grup sumber daya. Ini diperlukan untuk memberikan peran Publisher Metrik Pemantauan aplikasi Fungsi pada Aturan Pengumpulan Data.

Instruksi Penyetelan:

CATATAN: Konektor ini dibangun di atas Azure Function berbasis pemicu HTTP menggunakan API Penyerapan Log (CLv2) dengan autentikasi Identitas Terkelola. Tidak perlu mengonfigurasi Kunci Ruang Kerja — autentikasi ditangani secara otomatis oleh identitas terkelola yang ditetapkan sistem Aplikasi Fungsi. Ini dapat mengakibatkan biaya penyerapan data tambahan. Periksa halaman harga Azure Functions untuk detailnya.

(Langkah Opsional) Simpan Rahasia Webhook GitHub dengan aman di Azure Key Vault. Ikuti instruksi ini untuk menggunakan Azure Key Vault dengan Aplikasi Fungsi Azure.

Pilih ONE dari dua opsi penyebaran berikut untuk menyebarkan konektor dan Fungsi Azure terkait

PENTING: Sebelum menyebarkan konektor Github Webhook V2, siapkan Nama Ruang Kerja Log Analytics. Sumber daya konektor (Aplikasi Fungsi, DCE, DCR, tabel) harus disebarkan ke grup sumber daya yang sama sebagai ruang kerja Log Analytics.

  • Nama Ruang Kerja: <nilai variabel yang disediakan pada waktu penginstalan>

Opsi 1 - Templat Azure Resource Manager (ARM)

Gunakan metode ini untuk penyebaran otomatis konektor data GitHub V2 menggunakan Templat ARM.

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    portal.azure.com

  2. Pilih Langganan dan Grup Sumber Daya — sebarkan ke grup sumber daya yang sama dengan ruang kerja Log Analytics Anda.

CATATAN: Anda tidak dapat mencampur aplikasi Windows dan Linux di wilayah dan grup sumber daya yang sama. 3. Masukkan WorkspaceName — nama ruang kerja Log Analytics Anda (bukan ID sumber daya lengkap). 4. Secara opsional masukkan GithubWebhookSecret untuk mengaktifkan validasi tanda tangan payload. 5. Tandai kotak centang berlabel Saya menyetujui syarat dan ketentuan yang dinyatakan di atas. 6. Klik Beli untuk menyebarkan.

Opsi 2 - Penyebaran manual Azure Functions

Gunakan instruksi langkah demi langkah berikut untuk menyebarkan konektor data webhook GitHub V2 secara manual dengan Azure Functions.

Langkah 1 - Menyebarkan Aplikasi Fungsi

  1. Unduh file Aplikasi Fungsi Azure. Ekstrak arsip ke komputer pengembangan lokal Anda.
  2. Ikuti instruksi penyebaran manual aplikasi fungsi untuk menyebarkan aplikasi Azure Functions menggunakan VSCode.
  3. Setelah penyebaran aplikasi fungsi berhasil, ikuti langkah berikutnya untuk mengonfigurasinya.

Langkah 2 - Mengonfigurasi Aplikasi Fungsi

  1. Buka portal Azure untuk konfigurasi Aplikasi Fungsi.
  2. Di Aplikasi Fungsi, pilih Nama Aplikasi Fungsi dan pilih Konfigurasi.
  3. Di tab Pengaturan aplikasi, pilih Pengaturan aplikasi baru.
  4. Tambahkan masing-masing pengaturan aplikasi berikut secara individual, dengan nilai string masing-masing (peka huruf besar/kecil): DCE_ENDPOINT - Titik akhir penyerapan log titik akhir Pengumpulan Data Anda DCR_RULE_ID - ImmutableId dari Aturan Pengumpulan Data Anda DCR_STREAM_NAME - Custom-GitHubAdvancedSecurityAlerts_CL GithubWebhookSecret (opsional) - Rahasia webhook GitHub Anda untuk validasi payload
  5. Setelah semua pengaturan aplikasi dimasukkan, klik Simpan.
  6. Pastikan Aplikasi Fungsi mengaktifkan Identitas Terkelola yang Ditetapkan Sistem .
  7. Berikan peran Publisher Metrik Pemantauan pada Identitas Terkelola pada Aturan Pengumpulan Data Anda.

Langkah-langkah Pasca Penyebaran

LANGKAH 1 - Untuk mendapatkan url Fungsi Azure

  1. Buka halaman Ringkasan fungsi Azure dan Klik "Fungsi" di bilah kiri.
  2. Klik fungsi yang disebut "GithubWebhookConnectorV2".
  3. Buka "GetFunctionurl" dan salin url fungsi.

LANGKAH 2 - Mengonfigurasi Webhook ke Organisasi Github

  1. Buka GitHub dan buka akun Anda dan klik "Organisasi Anda."
  2. Klik Pengaturan.
  3. Klik "Webhooks" dan masukkan url aplikasi fungsi yang disalin dari atas LANGKAH 1 di bawah kotak teks URL payload.
  4. Pilih jenis konten sebagai "application/json".
  5. Berlangganan peristiwa dan Klik "Tambahkan Webhook"

Sekarang kita selesai dengan konfigurasi webhook V2 GitHub. Setelah peristiwa GitHub dipicu, setelah penundaan 5 hingga 10 menit, Anda harus dapat melihat semua peristiwa transaksi dari GitHub di tabel ruang kerja LogAnalytics yang disebut GitHubAdvancedSecurityAlerts_CL. githubscanaudit Gunakan fungsi pengurai untuk tampilan terpadu yang menyertakan data dari tabel warisan githubscanaudit_CL dan baruGitHubAdvancedSecurityAlerts_CL.

⚠️ PENTING: Bermigrasi dari GitHub Webhook V1 ke V2

Jika saat ini Anda menggunakan konektorgithubscanaudit_CL GitHub asli (menggunakan Webhooks), ikuti langkah-langkah ini untuk bermigrasi ke V2 tanpa mengganggu data yang ada atau melanggar buku kerja dan aturan analitik. Sebelum Memulai: Kedua konektor dapat berjalan berdampingan. Data V1 mendarat di githubscanaudit_CL dan data V2 mendarat di GitHubAdvancedSecurityAlerts_CL. Fungsi pengurai menyatukan githubscanaudit() kedua tabel sehingga semua buku kerja, aturan analitik, dan kueri perburuan terus berfungsi tidak berubah selama dan setelah migrasi. Langkah-langkah Migrasi:

  1. Sebarkan V2 bersama V1. Selesaikan semua langkah di atas untuk menyebarkan GitHub Webhook V2 Function App. Jangan hapus V1.

  2. Verifikasi V2 menerima peristiwa. Perbarui URL payload webhook GitHub di pengaturan Organisasi GitHub Anda (Pengaturan → Webhook) untuk mengarahkan ke URL Aplikasi Fungsi V2 baru. Picu beberapa peristiwa GitHub dan konfirmasi data muncul dalam GitHubAdvancedSecurityAlerts_CL waktu 5–10 menit.

  3. Validasi pengurai terpadu. Jalankan githubscanaudit() | sort by TimeGenerated desc | take 50 di Log Analytics untuk mengonfirmasi data V1 dan V2 muncul di bawah skema yang sama.

  4. Nonaktifkan Aplikasi Fungsi V1. Setelah V2 dikonfirmasi berfungsi, hentikan Aplikasi Fungsi V1 asli untuk mencegah penyerapan peristiwa duplikat:

    • Di portal Azure, navigasikan ke Aplikasi Fungsi GitHub Webhook V1 asli Anda.
    • Di bawah Gambaran Umum, klik Hentikan untuk menghentikan eksekusi.
    • Secara opsional, perbarui URL payload webhook GitHub untuk mengarahkan secara eksklusif ke titik akhir V2.

  5. Pertahankan data V1. Data githubscanaudit_CL tabel tunduk pada kebijakan penyimpanan ruang kerja Log Analytics Anda. Tidak ada tindakan yang diperlukan — data V1 historis terus dapat dikueri melalui githubscanaudit() hingga kehabisan usia sesuai pengaturan retensi Anda.

⚠️ Peringatan: Jangan hapus sumber daya Aplikasi Fungsi V1 sampai Anda telah memverifikasi V2 beroperasi penuh dan Anda tidak perlu lagi menggulung balik. Menjalankan keduanya secara bersamaan tidak menyebabkan penyerapan duplikat selama hanya satu URL webhook yang aktif di GitHub sekaligus.



GitHub Log Audit Enterprise (melalui Azure Storage)

Dukungan oleh:Microsoft Corporation

Konektor log audit GitHub menyerap log audit perusahaan GitHub ke dalam Microsoft Sentinel dari Azure Blob Storage dengan latensi hampir real-time. GitHub mengalirkan log audit ke Blob Storage mendekati real time, dan konektor melakukan polling antrean Azure Storage untuk pemberitahuan baru yang dibuat blob setiap 5 menit (interval polling default). Dengan menyambungkan log audit GitHub ke Microsoft Sentinel, Anda bisa menampilkan data ini dalam buku kerja, membuat pemberitahuan kustom, dan meningkatkan proses investigasi Anda.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
GitHubAuditLogsV3_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Microsoft Entra ID - Persetujuan Admin (satu kali per penyewa): Konektor menggunakan aplikasi perusahaan ScubaSentinelToStorageProd Microsoft untuk mengakses akun penyimpanan Anda. Jika aplikasi ini sebelumnya belum disetujui di penyewa Anda, pengguna dengan salah satu peran berikut harus mengklik 'Berikan persetujuan admin seluruh penyewa' di halaman konektor sebelum melanjutkan:
  • Administrator Aplikasi Cloud(peran minimum yang diperlukan)
  • Administrator Aplikasi
  • Administrator Global

Catatan: Ini adalah tindakan satu kali per penyewa. Jika perwakilan layanan sudah ada (yaitu, konektor lain yang menggunakan ScubaSentinelToStorageProd sebelumnya dikonfigurasi dalam penyewa ini), ID perwakilan layanan akan diisi secara otomatis dan tidak ada tindakan yang diperlukan.

  • Izin langganan: Anda memerlukan izin berikut untuk menyebarkan sumber daya aliran data konektor:
  • Peran kontributor pada grup langganan atau sumber daya - untuk menyebarkan Event Grid, antrean penyimpanan, DCR, dan sumber daya konektor terkait.
  • Peran Administrator Akses Pemilik atau Pengguna pada Akun Penyimpanan - untuk menetapkan peran RBAC ke prinsipal layanan Microsoft Sentinel dan, saat Buat dipilih, identitas terkelola topik sistem Event Grid.
  • Peran Owner atau Event Grid Contributor pada Akun Storage - untuk membuat atau memperbarui topik sistem Event Grid, mengaktifkan identitas yang ditetapkan sistem, dan membuat atau memperbarui langganan event.

Catatan: Penyedia Microsoft.EventGrid sumber daya harus terdaftar dalam langganan yang berisi akun penyimpanan.

  • Persyaratan Akun Penyimpanan: Akun Azure Blob Storage harus memenuhi persyaratan berikut:
  • Azure Data Lake Storage Gen2 (namespace hierarki diaktifkan) - akun penyimpanan standar tidak didukung.
  • Kontainer blob sudah dikonfigurasi untuk menerima GitHub streaming log audit Enterprise.
  • Konfigurasi Jaringan Akun Penyimpanan: Aturan jaringan berbasis IP (jaringan yang dipilih/CIDR IPv4) tidak didukung untuk konektor ini karena pembatasan dan batasan firewall Azure Storage:
  • Aturan jaringan IP tidak berpengaruh pada permintaan yang berasal dari wilayah Azure yang sama dengan akun penyimpanan.
  • Aturan jaringan IP tidak dapat membatasi akses ke layanan Azure yang disebarkan di wilayah yang sama, karena layanan ini menggunakan alamat IP Azure privat untuk komunikasi.
  • Aturan titik akhir layanan jaringan virtual tidak berlaku untuk klien di wilayah yang dipasangkan.

Opsi:

  • Tidak ada batasan jaringan yang diperlukan? Atur bilah Jaringan akun penyimpanan ke Diaktifkan dari semua jaringan.
  • Perlu membatasi akses? Gunakan Network Security Perimeter (NSP) untuk memasukkan alamat Scuba IPv4 ke daftar putih. Catatan: hanya alamat IPv4 yang saat ini didukung untuk aturan masuk NSP; IPv6 tidak didukung. Ada upaya berkelanjutan dengan tim NSP untuk mendukung tag layanan, yang akan menghilangkan kebutuhan akan manajemen IP manual di masa mendatang.

Penting:Jangan mengonfigurasi aturan jaringan berdasarkan rentang IP GitHub. GitHub tidak menyediakan rentang IP yang stabil karena sumber streaming log audit, dan IP tersebut dapat berubah tanpa pemberitahuan.

  • Identitas pengiriman Event Grid: Konektor memungkinkan identitas terkelola yang ditetapkan sistem pada topik sistem Event Grid yang baru atau yang sudah tersedia. Ketika nama topik diberikan, konektor membaca topik sebelum memperbaruinya, mempertahankan tag, identitas yang ditetapkan pengguna, dan prinsipal yang sudah diaktifkan oleh sistem. Konektor selalu membuat atau memperbarui langganan event yang dihasilkan menggunakan identitas yang ditetapkan oleh sistem topik; konfigurasi pengiriman dan filter langganan tetap dikelola oleh konektor.

Pilih Create untuk memberikan identitas Storage Queue Data Message Sender pada akun penyimpanan tujuan, atau Gunakan existing untuk melewati pembuatan pemberian pengirim ketika identitas tersebut sudah memiliki izin tersebut, sesuai dengan persyaratan pengiriman Event Grid Storage Queue. Gunakan Create untuk topik baru atau identitas yang baru diaktifkan oleh sistem. Akses pengirim yang dijangkau akun memungkinkan menambahkan pesan ke antrean di akun tersebut, bukan membaca atau menghapus pesan atau mengakses blob. Identitas ini terpisah dari aplikasi kolektor ScubaSentinelToStorageProd yang sudah ada, yang tetap tidak berubah dan terus membaca blob serta mengonsumsi pesan antrean. Topik yang sudah ada harus menjadi bagian dari akun penyimpanan yang dipilih.

Menggunakan Network Security Perimeter (NSP) bersifat opsional. Jika akun penyimpanan Anda berada di NSP yang ditegakkan, izinkan lalu lintas masuk dari langganan topik Event Grid dan rentang IPv4 layanan Scuba , seperti yang dijelaskan dalam Aktifkan keamanan jaringan. Konektor tidak mengaktifkan NSP atau mengubah aturan, asosiasi, atau mode aksesnya.

Identitas yang diberikan sistem tidak dikenakan biaya tambahan dan tidak memerlukan skrip deployment, instance kontainer, atau akun penyimpanan sementara. Biaya normal Event Grid, Storage, dan Microsoft Sentinel masih berlaku.

  • Storage Account Role Assignments: Peran RBAC Azure berikut harus ditetapkan ke perwakilan layanan aplikasi perusahaan Microsoft Sentinel (ditampilkan di bawah) pada Akun Storage yang berisi kontainer blob Anda:
  • Pembaca Data Blob Penyimpanan - diperlukan untuk membaca data blob dari kontainer.
  • Kontributor Data Antrean Penyimpanan - diperlukan untuk mengelola pemberitahuan dan pesan antrean surat mati.

Untuk menetapkan peran ini: navigasikan ke Akun Penyimpanan ->Access Control (IAM) ->Tambahkan penetapan peran, cari ID perwakilan layanan yang ditunjukkan di bawah ini, dan tetapkan kedua peran.

  • Mengumpulkan log audit GitHub ke kontainer blob Anda: Ikuti langkah-langkah dalam dokumentasi GitHub untuk mengonfigurasi streaming log audit ke kontainer Azure Blob Storage Anda.

  • Saat mengikuti panduan untuk menghasilkan token SAS, dua metode penandatanganan didukung: kunci akun dan kunci delegasi pengguna.

Untuk metode Account key , kami sarankan membuat Kebijakan Akses Tersimpan terlebih dahulu lalu menghasilkan SAS yang terkait dengan kebijakan tersebut.

Mengikat SAS pada kebijakan memungkinkan Anda mengubah masa kedaluwarsa dan izinnya, atau mencabutnya, di sisi server. Ini memungkinkan rotasi mulus dengan memperbarui kebijakan daripada menerbitkan ulang token.

Instruksi Penyetelan:

Menyambungkan Log Audit GitHub ke Microsoft Sentinel

Gunakan grid koneksi untuk menambah dan mengelola koneksi blob Audit Log GitHub.

  • Data Connectors Grid (dikonfigurasi di portal)

Kebijakan Siklus Hidup Blob (Disarankan)

Untuk mencegah pertumbuhan penyimpanan yang tidak terbatas, konfigurasikan kebijakan manajemen siklus hidup di akun penyimpanan Anda untuk menghapus blob secara otomatis setelah periode retensi (misalnya, 7 hari). Setelah konektor menyerap log audit ke Microsoft Sentinel, blob sumber tidak lagi diperlukan.

Untuk membuat aturan siklus hidup yang dilingkupkan ke kontainer Anda:

  1. Buka Akun Penyimpanan -> Manajemen data -> Manajemen siklus hidup.
  2. Klik Tambahkan aturan dan konfigurasikan:
    • Nama aturan: misalnya, github-audit-cleanup
    • Cakupan aturan: Pilih Batasi blob dengan filter dan atur Prefiks yang cocok dengan nama kontainer Anda (misalnya, my-container/). Ini memastikan aturan hanya berlaku untuk blob dalam kontainer tersebut.
    • Jenis blob: Blob blok.
    • Blob dasar: Hapus blob yang terakhir diubah lebih dari 7 hari yang lalu (sesuaikan sesuai kebutuhan).
  3. Simpan aturan.

Catatan: Setiap akun penyimpanan memiliki satu kebijakan manajemen yang dapat berisi beberapa aturan. Setiap aturan dapat menargetkan kontainer tertentu melalui filter awalan. Jika Anda sudah memiliki kebijakan siklus hidup, tambahkan aturan baru ke kebijakan yang ada daripada membuat yang baru.

Referensi

Untuk instruksi terperinci tentang menyiapkan konektor Azure Storage untuk mengalirkan log ke Microsoft Sentinel, lihat Menyiapkan konektor Azure Storage.

Troubleshooting

Jika Anda mengalami masalah dengan penyerapan data:

  • Kesalahan Otorisasi Identitas Terkelola - Konfirmasi bahwa prinsipal sistem yang ditetapkan pada topik sistem Event Grid saat ini memiliki Storage Queue Data Message Sender pada cakupan akun penyimpanan tujuan, bukan hanya pada antrean notifikasi. Gunakan skip yang sudah ada untuk membuat hibah tersebut; itu tidak menemukan atau memperbaiki izin. Ini bukan prinsipal layanan Microsoft Sentinel yang ditampilkan dalam formulir koneksi. Propagasi RBAC: Jika Koneksi gagal dengan Kesalahan Otorisasi Identitas Terkelola, tunggu sekitar lima menit dan coba ulang dengan nilai yang sama. Perbanyakan dapat memakan waktu hingga sepuluh menit.

  • Pertahankan topik dan identitas yang sama saat mencoba lagi. Membuat ulang topik atau mengubah identitasnya menciptakan prinsip yang berbeda dan membutuhkan hibah baru. Jika kesalahan tetap terjadi dengan grant yang dijangkau akun yang benar, pertahankan ID permintaan operasi yang gagal dan timestamp UTC untuk dukungan.

  • Pembuatan langganan Event Grid gagal dengan kesalahan internal atau hilang setelah muncul - Periksa operasi penyebaran yang gagal dan NSP yang dipaksakan pada akun penyimpanan. Event Grid harus menggunakan pengiriman identitas terkelola yang ditetapkan sistem dengan akses Storage Queue Data Message Sender pada akun penyimpanan dan aturan langganan masuk NSP. Langganan dapat muncul saat provisioning dan dikembalikan jika provisioning gagal; ini tidak selalu berarti ada sumber daya duplikat. Tinjau log diagnostik NSP dan simpan ID permintaan Event Grid serta timestamp UTC untuk dukungan jika kegagalan tetap terjadi.

  • Aktifkan fitur kesehatan - Jika fitur kesehatan konektor tidak diaktifkan, aktifkan untuk memantau status konektor dan mendeteksi masalah lebih awal.

  • Aktifkan log diagnostik - Pertimbangkan untuk mengaktifkan log diagnostik untuk sumber daya Akun Penyimpanan dan Event Grid untuk membantu mengidentifikasi dan memecahkan masalah kesehatan.

  • Untuk detail selengkapnya, lihat Memecahkan masalah konektor Blob Azure Storage.



GitHub Log Audit Perusahaan (melalui Codeless Connector Framework)

Dukungan oleh:Microsoft Corporation

Konektor log audit GitHub menyediakan kemampuan untuk menyerap log GitHub ke dalam Microsoft Sentinel. Dengan menyambungkan log audit GitHub ke Microsoft Sentinel, Anda bisa menampilkan data ini dalam buku kerja, menggunakannya untuk membuat pemberitahuan kustom, dan meningkatkan proses investigasi Anda.

Note: Jika Anda ingin menyerap peristiwa berlangganan GitHub ke dalam Microsoft Sentinel, silakan lihat GitHub (menggunakan Webhooks) Connector dari galeri "Data Connectors".

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
GitHubAuditLogsV2_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • GitHub token akses pribadi API: Untuk mengaktifkan polling untuk log audit Enterprise, pastikan pengguna yang diautentikasi adalah admin Enterprise dan memiliki token akses pribadi GitHub (klasik) dengan cakupan read:audit_log.
  • GitHub jenis Enterprise: Konektor ini hanya akan berfungsi dengan GitHub Enterprise Cloud; konektor ini tidak akan mendukung GitHub Enterprise Server.

Instruksi Penyetelan:

Menyambungkan Log Audit tingkat Perusahaan GitHub ke Microsoft Sentinel

Aktifkan log audit GitHub. Ikuti panduan ini untuk membuat atau menemukan token akses pribadi Anda.

  • Data Connectors Grid (dikonfigurasi di portal)



Google ApigeeX (melalui Codeless Connector Framework)

Dukungan oleh:Microsoft Corporation

Konektor data Google ApigeeX menyediakan kemampuan untuk menyerap log Audit ke Microsoft Azure Sentinel menggunakan Google Apigee API. Lihat dokumentasi Google Apigee API untuk informasi selengkapnya.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
GCPApigee Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Instruksi Penyetelan:

**Sambungkan Google ApigeeX ke Microsoft Sentinel **

  • ID Penyewa: Pengidentifikasi unik yang digunakan sebagai input dalam konfigurasi Terraform dalam lingkungan GCP.: <nilai variabel yang disediakan pada waktu penginstalan>

  1. Aktifkan log ApigeeX Di Google Cloud Console, aktifkan API Apigee, jika tidak diaktifkan sebelumnya, dan simpan perubahan.

  2. Sambungkan kolektor baru Untuk mengaktifkan Log ApigeeX untuk Microsoft Sentinel, klik tombol Tambahkan kolektor baru, berikan informasi yang diperlukan di pop up dan klik Sambungkan.



Google Cloud Platform CDN (melalui Codeless Connector Framework)

Dukungan oleh:Microsoft Corporation

Konektor data CDN Google Cloud Platform menyediakan kemampuan untuk menyerap log Audit CDN Cloud dan log Lalu Lintas CDN Cloud ke Microsoft Azure Sentinel menggunakan API Mesin Komputasi. Lihat dokumen Gambaran umum produk untuk detail selengkapnya.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
GCPCDN Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Instruksi Penyetelan:

**Sambungkan CDN GCP ke Microsoft Sentinel **

  • ID Penyewa: Pengidentifikasi unik yang digunakan sebagai input dalam konfigurasi Terraform dalam lingkungan GCP.: <nilai variabel yang disediakan pada waktu penginstalan>
  1. Aktifkan log CDN Di Google Cloud Console, aktifkan pengelogan cloud jika tidak diaktifkan sebelumnya, dan simpan perubahan. Navigasi ke bagian Cloud CDN dan klik Tambahkan asal untuk membuat backend sesuai tautan yang disediakan di bawah ini.

Tautan Referensi: Tautkan ke dokumentasi

  1. Sambungkan kolektor baru Untuk mengaktifkan Log CDN Cloud GCP untuk Microsoft Sentinel, klik tombol Tambahkan pengumpul baru, berikan informasi yang diperlukan di pop-up dan klik Sambungkan.



ID Cloud Google Cloud Platform (melalui Codeless Connector Framework)

Dukungan oleh:Microsoft Corporation

Konektor data IDS Google Cloud Platform menyediakan kemampuan untuk menyerap log Lalu Lintas IDS Cloud, log Ancaman, dan log Audit ke Microsoft Sentinel menggunakan Google Cloud IDS API. Lihat dokumentasi CLOUD IDS API untuk informasi selengkapnya.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
GCPIDS Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Instruksi Penyetelan:

**Sambungkan ID Cloud GCP ke Microsoft Sentinel **

  • ID Penyewa: Pengidentifikasi unik yang digunakan sebagai input dalam konfigurasi Terraform dalam lingkungan GCP.: <nilai variabel yang disediakan pada waktu penginstalan>
  1. Aktifkan log IDS Di Google Cloud Console, aktifkan Cloud IDS API, jika sebelumnya tidak diaktifkan. Buat Titik Akhir IDS dan simpan perubahan.

Untuk informasi selengkapnya tentang cara membuat dan mengonfigurasi titik akhir IDS: Tautkan ke dokumentasi

  1. Sambungkan kolektor baru Untuk mengaktifkan Log IDS GCP untuk Microsoft Sentinel, klik tombol Tambahkan pengumpul baru, berikan informasi yang diperlukan di pop up dan klik Sambungkan.



Google Cloud Platform Cloud Monitoring (melalui Codeless Connector Framework)

Dukungan oleh:Microsoft Corporation

Konektor data Google Cloud Platform Cloud Monitoring menyerap log Pemantauan dari Google Cloud ke Microsoft Azure Sentinel menggunakan Google Cloud Monitoring API. Lihat dokumentasi CLOUD Monitoring API untuk detail selengkapnya.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
GCPMonitoring Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Instruksi Penyetelan:

Menyambungkan Google Cloud Platform Cloud Monitoring ke Microsoft Sentinel

  1. Menyiapkan Integrasi Pemantauan GCP Untuk mengambil log dari Pemantauan Cloud GCP ke SENTINEL Project ID cloud Google diperlukan.

  2. Pilih Jenis Metrik Untuk mengumpulkan log dari Google Cloud Monitoring menyediakan jenis Metrik yang diperlukan.

Untuk detail selengkapnya, lihat Google Cloud Metrics.

  1. Kredensial OAuth Untuk Mengambil id klien Oauth dan rahasia klien lihat dokumentasi ini.

  2. Sambungkan ke Sentinel Klik Sambungkan untuk mulai menarik log pemantauan dari Google Cloud ke Microsoft Sentinel.

  • ID Project GCP:
  • Jenis Metrik:
  • Data Connectors Grid (dikonfigurasi di portal)



Google Cloud Platform Compute Engine (melalui Codeless Connector Framework)

Dukungan oleh:Microsoft Corporation

Konektor data Google Cloud Platform Compute Engine menyediakan kemampuan untuk menyerap log Audit Compute Engine ke Microsoft Sentinel menggunakan Google Cloud Compute Engine API. Lihat dokumentasi CLOUD Compute Engine API untuk informasi selengkapnya.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
GCPComputeEngine Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Instruksi Penyetelan:

**Sambungkan Mesin Komputasi GCP ke Microsoft Sentinel **

  • ID Penyewa: Pengidentifikasi unik yang digunakan sebagai input dalam konfigurasi Terraform dalam lingkungan GCP.: <nilai variabel yang disediakan pada waktu penginstalan>

  1. Aktifkan log Mesin Komputasi Di Google Cloud Console, aktifkan API Mesin Komputasi, jika tidak diaktifkan sebelumnya, dan simpan perubahan.

  2. Sambungkan kolektor baru Untuk mengaktifkan Log Mesin Komputasi untuk Microsoft Sentinel, klik tombol Tambahkan pengumpul baru, berikan informasi yang diperlukan di pop up dan klik Sambungkan.



Google Cloud Platform DNS (melalui Codeless Connector Framework)

Dukungan oleh:Microsoft Corporation

Konektor data DNS Google Cloud Platform menyediakan kemampuan untuk menyerap log Kueri DNS Cloud dan log Audit DNS Cloud ke Microsoft Sentinel menggunakan Google Cloud DNS API. Lihat dokumentasi CLOUD DNS API untuk informasi selengkapnya.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
GCPDNS Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Instruksi Penyetelan:

**Sambungkan DNS GCP ke Microsoft Sentinel **

CATATAN: Jika konektor Azure Function dan CCF berjalan secara bersamaan, data duplikat diisi dalam tabel.

  • ID Penyewa: Pengidentifikasi unik yang digunakan sebagai input dalam konfigurasi Terraform dalam lingkungan GCP.: <nilai variabel yang disediakan pada waktu penginstalan>
  1. Aktifkan log DNS Di Google Cloud Console, navigasikan ke Bagian DNS Cloud. Aktifkan pengelogan cloud jika tidak diaktifkan sebelumnya, dan simpan perubahan. Di sini, Anda dapat mengelola zona yang ada, atau membuat zona baru dan membuat kebijakan untuk zona yang ingin Anda pantau.

Untuk informasi selengkapnya: Menautkan ke dokumentasi

  1. Sambungkan kolektor baru Untuk mengaktifkan Log DNS GCP untuk Microsoft Sentinel, klik tombol Tambahkan pengumpul baru, berikan informasi yang diperlukan di pop-up dan klik Sambungkan.



Google Cloud Platform IAM (melalui Codeless Connector Framework)

Dukungan oleh:Microsoft Corporation

Konektor data IAM Google Cloud Platform menyediakan kemampuan untuk menyerap log Audit yang berkaitan dengan aktivitas Manajemen Identitas dan Akses (IAM) dalam Google Cloud ke dalam Microsoft Sentinel menggunakan Google IAM API. Lihat dokumentasi API IAM GCP untuk informasi selengkapnya.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
GCPIAM Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Instruksi Penyetelan:

Menyambungkan GCP IAM ke Microsoft Sentinel

CATATAN: Jika konektor Azure Function dan CCF berjalan secara paralel, data duplikat diisi dalam tabel.

  • ID Penyewa: Pengidentifikasi unik yang digunakan sebagai input dalam konfigurasi Terraform dalam lingkungan GCP.: <nilai variabel yang disediakan pada waktu penginstalan>
  1. Untuk mengaktifkan log IAM Di akun GCP Anda, navigasikan ke bagian IAM. Dari sana, Anda dapat membuat pengguna baru atau mengubah peran pengguna yang sudah ada yang ingin Anda pantau. Pastikan untuk menyimpan perubahan Anda..

Untuk informasi selengkapnya: Menautkan ke dokumentasi

  1. Sambungkan kolektor baru Untuk mengaktifkan Log GCPIAM untuk Microsoft Sentinel, klik tombol Tambahkan kolektor baru, isi informasi yang diperlukan di panel konteks dan klik Sambungkan.



Google Cloud Platform NAT (melalui Codeless Connector Framework)

Dukungan oleh:Microsoft Corporation

Konektor data NAT Google Cloud Platform menyediakan kemampuan untuk menyerap log Audit Cloud NAT dan log Lalu Lintas NAT Cloud ke Microsoft Sentinel menggunakan Compute Engine API. Lihat dokumen Gambaran umum produk untuk detail selengkapnya.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
GCPNATAudit Yes Yes
GCPNAT Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Instruksi Penyetelan:

**Sambungkan GCP NAT ke Microsoft Sentinel **

  • ID Penyewa: Pengidentifikasi unik yang digunakan sebagai input dalam konfigurasi Terraform dalam lingkungan GCP.: <nilai variabel yang disediakan pada waktu penginstalan>
  1. Aktifkan log NAT Di Google Cloud Console, aktifkan pengelogan cloud jika tidak diaktifkan sebelumnya, dan simpan perubahan. Navigasi ke bagian Cloud NAT dan klik Tambahkan asal untuk membuat backend sesuai tautan yang disediakan di bawah ini.

Tautan Referensi: Tautkan ke dokumentasi

  1. Sambungkan kolektor baru Untuk mengaktifkan Log NAT Cloud GCP untuk Microsoft Sentinel, klik tombol Tambahkan pengumpul baru, berikan informasi yang diperlukan di pop up dan klik Sambungkan.



Google Cloud Platform Resource Manager (melalui Codeless Connector Framework)

Dukungan oleh:Microsoft Corporation

Konektor data Resource Manager Google Cloud Platform menyediakan kemampuan untuk menginjeksi log Aktivitas Admin Resource Manager dan Audit Akses Data ke dalam Microsoft Sentinel menggunakan API Cloud Resource Manager. Lihat dokumen Gambaran umum produk untuk detail selengkapnya.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
GCPResourceManager Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Instruksi Penyetelan:

**Sambungkan Resource Manager GCP ke Microsoft Sentinel **

  • ID Penyewa: Pengidentifikasi unik yang digunakan sebagai input dalam konfigurasi Terraform dalam lingkungan GCP.: <nilai variabel yang disediakan pada waktu penginstalan>

  1. Aktifkan log Resource Manager Di Google Cloud Console, aktifkan CLOUD resource manager API jika sebelumnya tidak diaktifkan, dan simpan perubahan. Pastikan untuk memiliki izin IAM tingkat organisasi untuk akun Anda untuk melihat semua log dalam hierarki sumber daya. Anda dapat merujuk tautan dokumen untuk izin IAM yang berbeda untuk kontrol akses dengan IAM di setiap tingkat yang disediakan dalam tautan ini

  2. Sambungkan kolektor baru Untuk mengaktifkan GCP Resource Manager Log untuk Microsoft Sentinel, klik tombol Tambahkan pengumpul baru, berikan informasi yang diperlukan di pop up dan klik Sambungkan.



Google Kubernetes Engine (melalui Codeless Connector Framework)

Dukungan oleh:Microsoft Corporation

Log Google Kubernetes Engine (GKE) memungkinkan Anda menangkap aktivitas kluster, perilaku beban kerja, dan peristiwa keamanan, memungkinkan Anda memantau beban kerja Kubernetes, menganalisis performa, dan mendeteksi potensi ancaman di seluruh kluster GKE.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
GKEAudit Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Instruksi Penyetelan:

  • ID Penyewa: Pengidentifikasi unik yang digunakan sebagai input dalam konfigurasi Terraform dalam lingkungan GCP.: <nilai variabel yang disediakan pada waktu penginstalan>

  1. Aktifkan Pengelogan Mesin Kubernetes Di akun GCP Anda, navigasikan ke bagian Kubernetes Engine. Aktifkan Cloud Logging untuk kluster Anda. Dalam Cloud Logging, pastikan bahwa log tertentu yang ingin Anda serap—seperti server API, penjadwal, manajer pengontrol, keputusan HPA, dan log aplikasi—diaktifkan untuk pemantauan dan analisis keamanan yang efektif.

  2. Sambungkan kolektor baru Untuk mengaktifkan Log GKE untuk Microsoft Sentinel, klik tombol Tambahkan kolektor baru, isi informasi yang diperlukan di panel konteks, dan klik Sambungkan.



Pusat Perintah Keamanan Google

Dukungan oleh:Microsoft Corporation

Security Command Center Google Cloud Platform (GCP) adalah platform manajemen keamanan dan risiko yang komprehensif untuk Google Cloud, yang diserap dari konektor Sentinel. Ini menawarkan fitur seperti inventarisasi dan penemuan aset, kerentanan dan deteksi ancaman, serta mitigasi dan remediasi risiko untuk membantu Anda mendapatkan wawasan tentang keamanan organisasi dan permukaan serangan data Anda. Integrasi ini memungkinkan Anda melakukan tugas yang terkait dengan temuan dan aset secara lebih efektif.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
GoogleCloudSCC Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Instruksi Penyetelan:

  1. Siapkan lingkungan GCP Anda Anda harus memiliki sumber daya GCP berikut yang ditentukan dan dikonfigurasi: topik, langganan untuk topik, kumpulan identitas beban kerja, penyedia identitas beban kerja, dan akun layanan dengan izin untuk mendapatkan dan menggunakan dari langganan. Terraform menyediakan API untuk IAM yang membuat sumber daya. Tautkan ke skrip Terraform.
  • ID Penyewa: Pengidentifikasi unik yang digunakan sebagai input dalam konfigurasi Terraform dalam lingkungan GCP.: <nilai variabel yang disediakan pada waktu penginstalan>
  1. Sambungkan kolektor baru Untuk mengaktifkan GCP SCC untuk Microsoft Sentinel, klik tombol Tambahkan kolektor baru, isi informasi yang diperlukan di panel konteks dan klik Sambungkan.



Peringatan Sistem Relevansi Google Threat Intelligence

Didukung oleh:Google

Konektor data Google Threat Intelligence (virustotal) menginput Peringatan Sistem Relevansi GTI ke dalam Microsoft Sentinel. Konektor melakukan polling pada API GTI Relevance System Alerts dengan jadwal yang dapat dikonfigurasi dan menyimpan data Relevance System Alerts dalam tabel kustom RelevanceSystemAlerts_CL, memungkinkan analis keamanan menyelidiki ancaman, mengkorelasikan insiden, dan merespons peringatan berbasis intelijen di dalam ruang kerja Microsoft Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
RelevanceSystemAlerts_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Azure Subscription: Langganan Azure dengan peran pemilik diperlukan untuk mendaftarkan aplikasi di Microsoft Entra ID dan menetapkan peran kontributor ke aplikasi dalam grup sumber daya.
  • Microsoft. Izin web/situs: Izin baca dan tulis ke Azure Functions untuk membuat Aplikasi Fungsi diperlukan. Untuk informasi selengkapnya, lihat Azure Functions.
  • Kunci API Google Threat Intelligence: Kunci API Google Threat Intelligence dan ID proyek diperlukan. Lihat dokumentasi GTI untuk mempelajari cara mendapatkan kunci API.

Instruksi Penyetelan:

CATATAN: Konektor ini menggunakan Aplikasi Fungsi Azure (Timer Trigger, Python 3.12) untuk melakukan polling pada API Google Threat Intelligence Alerts dengan jadwal yang dapat dikonfigurasi dan memasukkan Peringatan Sistem Relevansi GTI ke dalam tabel kustom RelevanceSystemAlerts_CL di Microsoft Sentinel. Ini dapat mengakibatkan biaya penyerapan data tambahan. Periksa halaman harga Azure Functions untuk detailnya.

LANGKAH 1 - Dapatkan Kredensial API Google Threat Intelligence

  1. Masuk ke portal Google Threat Intelligence (virustotal).
  2. Navigasikan ke pengaturan project GTI Anda dan salin Project ID.
  3. Buat API Key untuk proyek Anda dan salinnya dengan aman.

LANGKAH 2 - Langkah-langkah Pendaftaran Aplikasi untuk Aplikasi di Microsoft Entra ID

Integrasi ini memerlukan pendaftaran Aplikasi di portal Azure. Ikuti langkah-langkah di bagian ini untuk membuat aplikasi baru di Microsoft Entra ID:

  1. Masuk ke portal Azure.
  2. Cari dan pilih Microsoft Entra ID.
  3. Di bawah Kelola, pilih Pendaftaran aplikasi > Pendaftaran baru.
  4. Masukkan Nama tampilan untuk aplikasi Anda (misalnya RelevanceSystemAlertsSentinelConnector).
  5. Pilih Daftar untuk menyelesaikan pendaftaran aplikasi awal.
  6. Setelah pendaftaran selesai, portal Azure menampilkan panel Gambaran Umum pendaftaran aplikasi. Salin ID Aplikasi (klien) dan ID Direktori (Tenant) — ini diperlukan sebagai parameter konfigurasi.

Tautan referensi:/azure/active-directory/develop/quickstart-register-app

LANGKAH 3 - Tambahkan client secret untuk aplikasi di Microsoft Entra ID

Kadang disebut kata sandi aplikasi, client secret adalah nilai string yang diperlukan untuk konektor. Ikuti langkah-langkah di bagian ini untuk membuat Rahasia Klien baru:

  1. Di portal Microsoft Azure, di Pendaftaran aplikasi, pilih aplikasi Anda.
  2. Pilih Sertifikat & rahasia > Rahasia > klien Rahasia klien baru.
  3. Tambahkan deskripsi untuk rahasia klien Anda.
  4. Pilih kedaluwarsa untuk rahasia atau tentukan masa pakai kustom. Batasnya adalah 24 bulan.
  5. Pilih Tambahkan.
  6. Catat nilai rahasia untuk digunakan sebagai parameter AzureClientSecret. Nilai rahasia ini tidak pernah ditampilkan lagi setelah Anda meninggalkan halaman ini.

Tautan referensi:/azure/active-directory/develop/quickstart-register-app#add-a-client-secret

LANGKAH 4 - Dapatkan ID Objek aplikasi Anda dalam Microsoft Entra ID

Setelah membuat pendaftaran aplikasi Anda, ikuti langkah-langkah di bagian ini untuk mendapatkan ID Objek:

  1. Pergi ke Microsoft Entra ID.
  2. Pilih Aplikasi perusahaan dari menu sebelah kiri.
  3. Temukan aplikasi baru yang Anda buat di daftar (cari dengan nama yang Anda berikan).
  4. Klik aplikasi.
  5. Di halaman ikhtisar, salin ID Objek. Ini adalah AzureEntraObjectID yang dibutuhkan untuk penugasan peran template ARM.

LANGKAH 5 - Terapkan konektor dan aplikasi Azure Function yang terkait

Templat Azure Resource Manager (ARM)

Gunakan metode ini untuk penerapan otomatis konektor GTI Relevance System Alerts menggunakan Template ARM.

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.msaka.ms

  2. Pilih Langganan, Grup Sumber Daya, dan Lokasi pilihan.

  3. Masukkan informasi di bawah ini:

    a. FunctionName - Masukkan nama unik untuk Azure Function App (maksimum 11 karakter). Contoh: GTIRSAlerts

    b. Lokasi - Wilayah Azure untuk Aplikasi Fungsi dan sumber daya pendukung. Diatur ke lokasi grup sumber daya. Contoh: eastus

    c. WorkspaceName - Masukkan nama workspace Microsoft Sentinel Log Analytics. Contoh: MyWorkspace

    d. AppInsightsWorkspaceResourceID - Masukkan ID sumber daya yang sepenuhnya memenuhi syarat dari workspace Log Analytics untuk Application Insights. Format: /subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}

    e. AzureTenantID - Masukkan ID Azure Tenant (Direktori) yang diperoleh pada LANGKAH 2. Contoh: xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx

    f. AzureClientID - Masukkan ID Aplikasi (Klien) yang diperoleh pada LANGKAH 2. Contoh: xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx

    g. AzureClientSecret - Masukkan nilai client secret yang diperoleh pada LANGKAH 3.

    Halo. AzureEntraObjectID - Masukkan ID Objek aplikasi Microsoft Entra Anda yang diperoleh pada LANGKAH 4. Contoh: xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx

    i. GTIProjectId - Masukkan ID proyek Google Threat Intelligence yang diperoleh pada LANGKAH 1. Contoh: my-gti-project-id. Lihat dokumentasi GTI untuk mengetahui cara memulai.

    j. GTIApiKey - Masukkan kunci Google Threat Intelligence API yang diperoleh pada LANGKAH 1.

    k. GTIRelevanceSystemAlertsTableName - Masukkan nama tabel khusus untuk GTI Relevance System Alerts. Akhiran tersebut _CL ditambahkan secara otomatis. Maksimum 52 karakter (akhiran dihitung _CL dalam batas nama tabel 57 karakter Log Analytics). Standar: RelevanceSystemAlerts

    l. StartDate - (Opsional) Masukkan tanggal mulai waktu dalam yyyy-mm-ddTHH:MM:SS[.fff]Z format. Contoh: 2026-05-20T15:43:51Z. Pasti sudah lewat tanggal. Jika tidak diberikan, data dari 7 hari terakhir akan diambil.

    m. GTIFilterExpression - (Opsional) Masukkan ekspresi filter API GTI untuk mempersempit peringatan mana yang dimasukkan. Contoh: state = "NEW". Setiap audit.update_time kondisi akan dihapus secara otomatis — konektor mengelola filter tersebut secara internal. Ekspresi Anda digabungkan dengan filter checkpoint menggunakan AND.

    n. Jadwal - Masukkan ekspresi Quartz Cron yang valid untuk jadwal pemicu timer. Default: 0 */10 * * * * (setiap 10 menit).

    o. LogLevel - Atur level log untuk Aplikasi Fungsi. Nilai yang diizinkan: Debug, Info, Warning, Error. Standar: Info.

    p. KeyVaultName - Masukkan nama keyvault tempat token akan disimpan.

  4. Tandai kotak centang berlabel Saya menyetujui syarat dan ketentuan yang dinyatakan di atas.

  5. Klik Beli untuk menyebarkan.

LANGKAH 6 - Membuat Keyvault

Ikuti instruksi ini untuk membuat Keyvault baru.

  1. Di portal Azure, Buka Brankas kunci dan klik Buat.
  2. Pilih Langganan, Grup Sumber Daya dan berikan nama unik keyvault.

LANGKAH 7 - Membuat Kebijakan Akses di Keyvault

Ikuti instruksi ini untuk membuat kebijakan akses di Keyvault.

  1. Buka keyvault, pilih keyvault Anda, buka Kebijakan akses di panel sisi kiri, klik buat.
  2. Pilih semua kunci & izin rahasia. Klik berikutnya.
  3. Di bagian utama, cari nama aplikasi fungsi yang telah diterapkan pada LANGKAH - 5. Klik berikutnya.

Catatan: Pastikan model Izin dalam Konfigurasi Akses Key Vault diatur ke 'Kebijakan akses Vault'

LANGKAH 8 - Verifikasi Pengambilan Data

Setelah penerapan, pastikan data sedang dimasukkan ke Microsoft Sentinel:

  1. Navigasikan ke Microsoft Sentinel → Logs.
  2. Jalankan kueri berikut:
RelevanceSystemAlerts_CL
| sort by TimeGenerated desc
| limit 10
  1. Data harus muncul dalam waktu 5–10 menit setelah eksekusi fungsi pertama.
  2. Status konektor di halaman konektor Data menunjukkan Terhubung setelah data diterima dalam 30 hari terakhir.

Konektor Pemecahan Masalah menunjukkan Terputus

  • Pastikan Aplikasi Fungsi berjalan: portal Azure → Ikhtisar → Aplikasi Fungsi → Status harus Berjalan.
  • Konfirmasi data telah diterima dalam 30 hari terakhir.
  • Tinjau log Application Insights untuk kesalahan.

Kesalahan autentikasi (401 / 403)

  • Verifikasi AzureClientID, AzureClientSecret, dan AzureTenantID sudah benar di pengaturan Konfigurasi Function App → → Aplikasi.
  • Pastikan rahasia klien belum kedaluwarsa.
  • Konfirmasi Aplikasi Registrasi memiliki izin yang cukup.

Tidak ada data di tabel RelevanceSystemAlerts_CL

  • Periksa Aplikasi Fungsi → Fungsi → RelevanceSystemAlerts → Monitor untuk kesalahan eksekusi.
  • Verifikasi kunci API GTI dan ID proyek valid.
  • Pastikan API sumber dapat diakses dari Azure.
  • Tinjau jejak Application Insights:
traces
| where timestamp > ago(1h)
| order by timestamp desc
| take 50

Kesalahan batas laju (429)

  • Konektor secara otomatis mencoba kembali dengan penundaan bertahap eksponensial. Jika kesalahan tetap ada, kurangi frekuensi polling dengan meningkatkan interval cron Schedule .



Kerentanan Google Threat Intelligence (CCF)

Didukung oleh:Google

Data connector Google Threat Intelligence (GTI) Vulnerabilities menginput objek pengumpulan Kerentanan dari API Google Threat Intelligence (VirusTotal) Collections ke Microsoft Sentinel menggunakan Codeless Connector Framework (CCF) — tanpa fungsi Azure atau agen yang dapat diterapkan.

Konektor mengautentikasi dengan kunci API GTI Anda (dikirim di x-apikey header), selalu mengatur cakupan kueri ke collection_type:vulnerability, mengurutkan berdasarkan tanggal modifikasi terakhir yang naik (objek yang dimodifikasi terlebih dahulu), dan melakukan polling pada jendela waktu rolling sehingga setiap siklus hanya mengambil kerentanan yang dimodifikasi sejak polling sebelumnya. Filter bentuk bebas opsional dapat disediakan untuk menyempurnakan pencarian (misalnya risk_rating:Critical, cvss_3x_base_score:4+).

Data yang dimasukkan masuk ke tabel GTI_Vulnerabilities_CL dan mendukung transformasi waktu konsumsi berbasis DCR sehingga field yang diperkaya (peringkat risiko, skor CVSS, status eksploitasi) tersedia untuk kueri cepat.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
GTI_Vulnerabilities_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Akun Google Threat Intelligence / VirusTotal: Akun Google Threat Intelligence (VirusTotal) yang aktif diperlukan. Feed kerentanan merupakan bagian dari API Koleksi GTI dan memerlukan langganan/hak istimewa yang mencakup koleksi kerentanan.
  • Google Threat Intelligence API Key: Kunci API GTI / VirusTotal yang valid dengan akses ke API Koleksi. Kunci dikirim dalam header permintaan 'x-apikey'. Anggap sebagai rahasia — disimpan sebagai securestring dan tidak pernah ditampilkan setelah entri.

Instruksi Penyetelan:

Prerequisites

Sebelum Anda terhubung, pastikan hal-hal berikut sudah tersedia.

Sebelum Anda mulai

  1. Izin pada workspace ini — Anda memerlukan izin baca dan tulis di workspace Microsoft Sentinel untuk membuat koneksi data.
  2. Akun Google Threat Intelligence (VirusTotal) dengan akses ke API Collections dan koleksi kerentanan . Jika Anda tidak melihat data kerentanan, konfirmasi langganan/hak istimewa Anda dengan administrator GTI Anda.
  3. Kunci API GTI — lihat langkah berikutnya untuk menghasilkannya. Kunci dikirim di x-apikey header pada setiap permintaan.

1. Hasilkan kunci API Google Threat Intelligence Anda

Dapatkan kunci API yang digunakan konektor untuk autentikasi.

Dapatkan kunci API Anda

  1. Masuk ke akun Anda di https://www.virustotal.com (atau portal Google Threat Intelligence Anda).
  2. Klik avatar Anda di pojok kanan atas dan pilih kunci API, atau langsung ke halaman kunci API.
  3. Salin kunci API yang ditampilkan di halaman tersebut. Nilai tunggal ini adalah semua kebutuhan konektor.

Kunci yang sama didokumentasikan dalam referensi GTI di bawah List vulnerabilities.

Catatan: Rahasiakan kunci API Anda. Siapa pun yang punya kunci bisa menanyakan API GTI seperti Anda dan menggunakan kuota Anda. Jika sebuah kunci terekspos, regenerasi dari halaman kunci API dan perbarui konektornya. Konektor menyimpan kunci sebagai securestring — kunci tidak ditampilkan lagi setelah Anda terhubung.

Catatan: Batas kuota & tarif API: GTI/VirusTotal menegakkan kuota permintaan per menit dan harian yang terkait dengan tingkat langganan Anda. Konektor meminta hingga 40 objek per halaman dan membatasi dirinya sendiri (~4 permintaan/detik). Jika Anda menemukan kesalahan HTTP 429 (batas laju), pilih interval Polling yang lebih panjang di bawah dan/atau persempit set hasil dengan filter Kerentanan.

2. Hubungkan Kerentanan Google Threat Intelligence ke Microsoft Sentinel

Berikan nilai-nilai di bawah ini dan pilih Hubungkan. Konektor selalu mengatur cakupan kueri dan collection_type:vulnerability mengurutkan berdasarkan tanggal modifikasi terakhir yang naik (objek yang dimodifikasi terlebih dahulu).

Pengaturan koneksi

  • Kunci API GTI: (Tempel kunci API Google Threat Intelligence Anda (dikirim di header x-apikey))

Catatan: Wajib. Kunci API disalin dari halaman kunci API GTI / VirusTotal. Permintaan dikirim dalam header 'x-apikey' pada setiap permintaan.

  • Filter kerentanan (opsional): (misalnya risk_rating:Kritis cvss_3x_base_score:4+)

Catatan: Opsional. Ekspresi pencarian GTI ditambahkan pada filter wajib 'collection_type:vulnerability' untuk mempersempit peneliman. Contoh: 'risk_rating:Critical', 'cvss_3x_base_score:4+', 'exploitation_state:Confirmed'. Biarkan kosong untuk menginget semua objek kerentanan. Pisahkan beberapa kondisi dengan spasi.

Catatan: Wajib. Seberapa sering Sentinel menanyakan API GTI. Setiap polling menggunakan jendela waktu bergulir yang sama dengan interval ini, sehingga tidak ada kerentanan yang dilewati atau dihitung ganda. Pilih interval yang lebih lama jika Anda memiliki batas tarif atau hanya membutuhkan pembaruan berkala.

  • Aktifkan/Nonaktifkan Koneksi

3. Verifikasi data mengalir

Setelah terhubung, pastikan kerentanan sedang dimasukkan.

Memeriksa validitas koneksi

Data dapat memakan waktu hingga ~30 menit untuk muncul setelah polling pertama yang berhasil. Setelah itu terjadi:

  1. Di halaman ini, tipe data GTI_Vulnerabilities_CL menampilkan timestamp data terakhir yang diterima dan statusnya berubah menjadi hijau.

  2. Jalankan kueri ini di Log untuk memastikan baris tiba:

    GTI_Vulnerabilities_CL | summarize Count = count(), Latest = max(TimeGenerated)

  3. Periksa sampel ladang yang diperkaya:

    GTI_Vulnerabilities_CL | project TimeGenerated, Name, RiskRating, ExploitationState, Cvss3xBaseScore | sort by TimeGenerated desc | take 20

Opsional — kesehatan konektor: aktifkan Microsoft Sentinel → Pengaturan → Kesehatan dan Audit untuk mencatat status per-polling. Kemudian jalankan layar perintah berikut:

SentinelHealth | where TimeGenerated > ago(24h) | where SentinelResourceType == "Data connector" | project TimeGenerated, SentinelResourceName, Status, Description, Reason | order by TimeGenerated desc

Catatan: Tidak ada data setelah 30+ menit? Periksa bahwa: (1) kunci API valid dan tidak terbatas dengan kecepatan (HTTP 401/429), (2) akun Anda memiliki akses ke koleksi kerentanan, dan (3) filter Kerentanan yang Anda masukkan tidak terlalu sempit sehingga tidak cocok dengan objek manapun. Putuskan sambungan dan sambungkan kembali untuk mencoba ulang setelah memperbaiki nilai.



Aktivitas Ruang Kerja Google (melalui Kerangka Kerja Konektor Tanpa Kode)

Dukungan oleh:Microsoft Corporation

Konektor data Aktivitas Google Workspace menyediakan kemampuan untuk menginput Event Aktivitas, termasuk event audit Gmail, dari API Google Workspace ke Microsoft Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
GoogleWorkspaceReports Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Akses API Google Workspace: Akses ke API aktivitas Google Workspace melalui OAuth diperlukan.

Instruksi Penyetelan:

Terhubung ke Google Workspace

Tambahkan dan kelola koneksi penyewa Google Workspace yang independen.

Langkah-langkah konfigurasi untuk GOOGLE Reports API

  1. Di Google Cloud Console, aktifkan Admin SDK API.
  2. Konfigurasikan layar persetujuan OAuth.
  3. Buat ID Klien OAuth 2.0 untuk aplikasi web.
  4. Tambahkan URI pengalihan yang ditampilkan oleh formulir koneksi.
  5. Tambahkan ruang lingkup audit hanya-baca Admin SDK.

Catatan: Buat alias koneksi terpisah untuk setiap tenant Google Workspace.

  • Data Connectors Grid (dikonfigurasi di portal)



Konektor Data GravityZone

Didukung oleh:Bitdefender SRL

Konektor ini memungkinkan integrasi antara Bitdefender GravityZone dan Microsoft Sentinel melalui EVENT Push Service API. Setelah dikonfigurasi, ini mengalirkan semua jenis peristiwa GravityZone langsung ke ruang kerja Microsoft Sentinel Anda, di mana mereka disimpan sebagai log dalam GzSecurityEvents_CL tabel.

Kategori peristiwa utama seperti EDR, XDR, mitigasi ransomware, sandboxing jaringan, dan peristiwa malware Exchange dapat secara otomatis berkorelasi dan menghasilkan insiden melalui aturan analitik Pemberitahuan Insiden NRT GravityZone.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
GzSecurityEvents_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Pendaftaran Azure App: Microsoft Entra Pendaftaran Aplikasi dengan detail ID Direktori (Penyewa) yang dipertahankan berikut, ID Aplikasi (Klien), ID Objek Utama Layanan Terkelola (dari entri Aplikasi Perusahaan aplikasi), Rahasia Klien (dihasilkan di bawah Sertifikat & rahasia).
  • Akun Cloud GravityZone: Akun GravityZone Cloud dengan kunci API yang dihasilkan untuk titik akhir Event Push Service.
  • Baca panduan kami: Ikuti artikel langkah demi langkah ini untuk menyiapkan integrasi. Pelanggan | Mitra

Instruksi Penyetelan:

  1. Klik tombol Sebarkan ke Azure di bawah ini dan isi parameter yang diperlukan.

aka.ms

  1. Mengumpulkan URL Penyerapan Log dari gz-sentinel-dceTitik Akhir Pengumpulan Data

  2. Mengumpulkan ID yang Tidak Dapat Diubah dari gz-sentinel-dcrAturan Pengumpulan Data

  3. Buka akun GravityZone Cloud Anda dan navigasikan ke Akun Saya. Buat kunci API dengan izin Event Push Service .

  4. Konfigurasikan pengaturan Layanan Push Peristiwa Anda menggunakan artikel ini. PelangganMitra. Harap dicatat bahwa setelah penyebaran Konektor Data berhasil & keberhasilan penyiapan Layanan Dorong Peristiwa GravityZone, sistem akan menerima data Log Aktivitas mendekati real-time. Penundaan singkat dapat terjadi antara transmisi data dan kemunculannya di bagian log Microsoft Sentinel.



Inteligensi Ancaman GreyNoise

Didukung oleh:GreyNoise

Konektor Data ini menginstal aplikasi Fungsi Azure untuk mengunduh indikator GreyNoise sekali per hari dan menyisipkannya ke dalam tabel ThreatIntelIndicators di Microsoft Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
ThreatIntelIndicators Yes No

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Microsoft. Izin web/situs: Izin baca dan tulis ke Azure Functions untuk membuat Aplikasi Fungsi diperlukan. Untuk informasi selengkapnya, lihat Azure Functions.
  • Kunci API GreyNoise: Ambil Kunci API GreyNoise Anda di sini.

Instruksi Penyetelan:

**Anda dapat menyambungkan Inteligensi Ancaman GreyNoise ke Microsoft Sentinel dengan mengikuti langkah-langkah di bawah ini: **

Langkah-langkah berikut membuat aplikasi AAD Azure, mengambil kunci GREYNoise API, dan menyimpan nilai dalam Azure Function App Configuration.

1. Ambil Kunci API Anda dari GreyNoise Visualizer.

Membuat kunci API dari GreyNoise Visualizer https://docs.greynoise.io/docs/using-the-greynoise-api

2. Di penyewa Azure AD Anda, buat aplikasi Azure Active Directory (AAD) dan dapatkan ID Penyewa dan ID Klien. Selain itu, dapatkan ID Ruang Kerja Log Analytics yang terkait dengan instans Microsoft Sentinel Anda (harus ditampilkan di bawah).

Ikuti instruksi di sini untuk membuat aplikasi AAD Azure Anda dan menyimpan ID Klien dan ID Penyewa Anda: /azure/sentinel/connect-threat-intelligence-upload-api#instructions NOTE: Tunggu hingga langkah 5 untuk menghasilkan rahasia klien Anda.

  • ID ruang kerja: <nilai variabel yang disediakan pada waktu penginstalan>

3. Tetapkan aplikasi AAD peran kontributor Microsoft Sentinel.

Ikuti instruksi di sini untuk menambahkan Peran Kontributor Microsoft Sentinel: /azure/sentinel/connect-threat-intelligence-upload-api#assign-a-role-to-the-application

4. Tentukan izin AAD untuk mengaktifkan akses Graph API MS ke API indikator unggahan.

Ikuti bagian ini di sini untuk menambahkan izin 'ThreatIndicators.ReadWrite.OwnedBy' ke Aplikasi AAD: /azure/sentinel/connect-threat-intelligence-tip#specify-the-permissions-required-by-the-application. Kembali ke Aplikasi AAD Anda, pastikan Anda memberikan persetujuan admin untuk izin yang baru saja Anda tambahkan. Terakhir, di bagian 'Token dan API', buat rahasia klien dan simpan. Anda akan membutuhkannya di Langkah 6.

5. Sebarkan Solusi Inteligensi Ancaman (Baru), (v3.0.14 atau yang lebih baru) yang mencakup API Indikator Pengunggahan Inteligensi Ancaman (Pratinjau)

Lihat Microsoft Sentinel Content Hub untuk Solusi ini, dan instal di instans Microsoft Sentinel. Perhatikan bahwa Anda tidak perlu melakukan konfigurasi apa pun dalam langkah ini.

6. Sebarkan Fungsi Azure

Klik tombol Sebarkan ke Azure.

aka.ms

Isi nilai yang sesuai untuk setiap parameter. Ketahuilah bahwa satu-satunya nilai yang valid untuk parameter GREYNOISE_CLASSIFICATIONS jinak, berbahaya, dan/atau tidak diketahui, yang harus dipisahkan koma.

7. Kirim indikator ke Sentinel

Aplikasi fungsi yang diinstal di Langkah 6 meminta GreyNoise GNQL API sekali per hari, dan mengirimkan setiap indikator yang ditemukan dalam format STIX 2.1 ke MICROSOFT Unggah API Indikator Inteligensi Ancaman. Setiap indikator kedaluwarsa dalam ~24 jam dari pembuatan kecuali ditemukan pada kueri hari berikutnya. Dalam hal ini Indikator TI Valid Sampai waktu diperpanjang selama 24 jam lagi, yang membuatnya tetap aktif dalam Microsoft Sentinel.

Untuk informasi selengkapnya tentang GreyNoise API dan GreyNoise Query Language (GNQL), klik di sini.



Konektor Halcyon (v2)

Didukung oleh:Halcyon

Konektor Halcyon menyediakan kemampuan untuk mengirim data dari Halcyon ke Microsoft Sentinel. Konektor v2 ini menginput Halcyon Events ke dalam HalcyonEventsV2_CL dan Alert Update ke HalcyonAlertUpdatesV2_CL.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
HalcyonEventsV2_CL Yes Yes
HalcyonAlertUpdatesV2_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Microsoft Entra Buat Izin: Izin untuk membuat pendaftaran aplikasi di Microsoft Entra ID. Biasanya memerlukan peran Pengembang Aplikasi Entra ID atau yang lebih tinggi.
  • Kebijakan Tugas: Izin tulis yang diperlukan untuk menetapkan peran Publisher Metrik Pemantauan ke aturan pengumpulan data (DCR). Biasanya memerlukan peran Pemilik atau Administrator Akses Pengguna di tingkat grup sumber daya.

Instruksi Penyetelan:

1. Buat Sumber Daya ARM dan Sediakan Izin yang Diperlukan

Mengklik "Deploy" akan membuat tabel Log Analytics (HalcyonEventsV2_CL dan HalcyonAlertUpdatesV2_CL) serta Aturan Pengumpulan Data (DCR), lalu membuat aplikasi Entra yang terhubung ke DCR dan menyediakan izin yang diperlukan. Setelah dikonfigurasi, Halcyon mendorong Event dan Alert Update ke endpoint DCR, mengintegrasikannya ke tabel HalcyonEventsV2_CL dan HalcyonAlertUpdatesV2_CL.

Konfigurasi Otomatis dan Penyerapan Data Aman dengan Aplikasi Entra Mengklik "Sebarkan" akan memicu pembuatan tabel Log Analytics dan Aturan Pengumpulan Data (DCR). Kemudian akan membuat aplikasi Entra, menautkan DCR ke aplikasi tersebut, dan mengatur rahasia yang dimasukkan dalam aplikasi. Penyiapan ini memungkinkan data dikirim dengan aman ke DCR menggunakan token Entra.

2. Konfigurasikan integrasi Anda di Platform Halcyon

Gunakan parameter berikut untuk mengonfigurasi integrasi Anda di Platform Halcyon.

  • ID Direktori (ID Penyewa): <nilai variabel yang disediakan pada waktu penginstalan>
  • ID Aplikasi Pendaftaran Aplikasi Entra (ID Klien): <nilai variabel yang disediakan pada waktu penginstalan>
  • Rahasia Pendaftaran Aplikasi Entra (Rahasia Kredensial) (RAHASIA INI TIDAK AKAN TERLIHAT SETELAH MENINGGALKAN HALAMAN INI): <nilai variabel yang disediakan pada waktu penginstalan>
  • Titik Akhir Pengumpulan Data (URL): <nilai variabel yang disediakan pada waktu penginstalan>
  • ID Aturan Pengumpulan Data (ID Aturan): <nilai variabel yang disediakan pada waktu penginstalan>



Konektor Data Keamanan Holm

Didukung oleh:Holm Security

Konektor data Holm Security menyediakan kemampuan untuk menginput data aset Holm Security ke dalam Microsoft Sentinel melalui REST API. Konektor ini memberikan kemampuan untuk mendapatkan data aset web dan jaringan dari Holm Security.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
web_assets_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

Instruksi Penyetelan:

1. Konfigurasi

Dapatkan token Anda dari profil pengguna Holm Security Anda. Untuk detailnya, kunjungi https://se-api.holmsecurity.com/docs/v2/#section/Authentication

2. Sambungkan

Aktifkan konektor Holm Security.

  • Aktifkan/Nonaktifkan Koneksi



Idira Audit

Didukung oleh:Dukungan Idira

Konektor data Idira Audit memungkinkan Microsoft Sentinel untuk menginput log kejadian keamanan dan kejadian lain dari layanan Idira Audit melalui REST API. Integrasi ini membantu Anda mendeteksi potensi risiko keamanan, memantau aktivitas pengguna, menganalisis pola kolaborasi, memecahkan masalah konfigurasi, dan mendapatkan wawasan yang lebih mendalam tentang lingkungan Anda.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
CyberArk_AuditEvents_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Platform Layanan Audit Idira: Akses untuk melakukan konfigurasi yang diperlukan di platform Audit Idira

Instruksi Penyetelan:

Terhubung ke Idira Audit API untuk mulai mengumpulkan log peristiwa di Microsoft Sentinel

Ikuti langkah-langkah di bawah ini untuk mengintegrasikan Microsoft Sentinel dengan Idira Audit dan memungkinkan pemantauan terpusat terhadap aktivitas sistem dan pengguna di dalam Microsoft Sentinel. Anda juga dapat merujuk pada dokumentasi Audit Idira dan mengikuti hingga Langkah 5.

Langkah 1: Buat integrasi SIEM baru

  1. Di portal Idira, pergi ke Administration.
  2. Pilih My environment>Integrations>Export to SIEM.
  3. Di halaman integrasi SIEM, pilih Create>Create SIEM integration
  4. Create a SIEM integration Di halaman, pilih Identity Administration tautan untuk membuat web server OAuth di Administrasi Identitas. Langkah 2: Membuat aplikasi web server OAuth2 di Administrasi Identitas
  5. Pada Identity Administration halaman, dari menu sebelah kiri pilih Apps & Widgets>Web Apps
  6. Pilih Add Web Apps dan buat OAuth2 server jenis aplikasi web dari Custom tab.
  7. Masukkan IdiraAuditforMicrosoftSentinel di ApplicationID bidang dan Name .
  8. Di tab Tokens , pastikan bahwa nilai di Token Type bidang adalah jwtR256 dan hanya Client Creds metode otorisasi yang dipilih.
  9. Klik Add di tab Scope dan masukkan isp.audit.events:read.
  10. Di tab Advanced , salin dan tempel skrip berikut lalu klik Simpan.
		setClaim('tenant_id', TenantData.Get("CybrTenantID"));
		setClaim('aud', 'cyberark.isp.audit');
  1. Klik Save. Langkah 3: Membuat pengguna layanan di Administrasi Identitas
  2. Core Services > UsersBuka , pilih Add User.
  3. Di bagian Account , masukkan Login name dan Display name sebagai MicrosoftSentinel. Tambahkan kata sandi baru atau buat kata sandi secara otomatis.
  4. Pilih OAuth confidential client.
  5. Di tab Application Settings , klik Add.
  6. IdiraAuditforMicrosoftSentinel Pilih aplikasi. Ini adalah nama yang Anda buat di layanan web. Langkah 4: Memberikan izin aplikasi web kepada pengguna layanan
  7. Buka aplikasi web yang IdiraAuditforMicrosoftSentinel Anda buat.
  8. Di tab Permissions , klik Add untuk menemukan pengguna MicrosoftSentinel Anda lalu klik Add.
  9. Atur izin berikut untuk pengguna:
    • Grant
    • Tampilkan
    • Run
    • Menyebarkan Langkah 5 secara otomatis: Tentukan deskripsi integrasi
  10. Pergi ke Administration.
  11. Pilih My environment>Integrations>Export to SIEM.
  12. Pilih Create>Create SIEM integration.
  13. Masukkan nama sebagai Microsoft Sentinel Integration dan secara opsional tambahkan deskripsi.
  14. Klik Apply. Langkah 6: Hubungkan Idira Audit Service dengan Microsoft Sentinel Data Connector

Catatan: Salin semua detail yang Anda catat pada langkah sebelumnya dan hubungkan dengan layanan Idira Audit.

  • Nama Aplikasi Server OAuth2: (misalnya AuditforMicrosoftSentinel)
  • Kunci API Audit: (Kunci API dapat diambil dari layanan Audit)
  • Titik Akhir Identitas: (misalnya kln9281.id.cyberark.cloud)
  • URL Dasar API Audit: (misalnya org-test.audit.cyberark.cloud)
  • Tindakan Filter Kueri Audit (Opsional): (misalnya {"op":"include","params":["cloud.core.login","cloud.core.mfasummary"]})
  • Kode Aplikasi Filter Kueri Audit (Opsional): (misalnya {"op":"include","params":["IDP","CMS"]})
  • Tipe Audit Filter Kueri Audit (Opsional): (misalnya {"op":"include","params":["Failure"]})



Server Microsoft Exchange

Dukungan oleh:Komunitas

[Opsi 5] - Menggunakan Agen Azure Monitor - Anda dapat melakukan streaming semua Log IIS dari komputer Windows yang terhubung ke ruang kerja Microsoft Sentinel Anda menggunakan agen Windows. Koneksi ini memungkinkan Anda membuat pemberitahuan kustom, dan meningkatkan penyelidikan.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
W3CIISLog Yes No

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Azure Log Analytics tidak digunakan lagi, untuk mengumpulkan data dari VM non-Azure, Azure Arc disarankan. Pelajari lebih lanjut
  • Dokumentasi terperinci: >CATATAN: Dokumentasi terperinci tentang Prosedur penginstalan dan penggunaan dapat ditemukan di sini

Instruksi Penyetelan:

CATATAN: Solusi ini didasarkan pada opsi. Ini memungkinkan Anda untuk memilih data mana yang akan diserap karena beberapa opsi dapat menghasilkan volume data yang sangat tinggi. Bergantung pada apa yang ingin Anda kumpulkan, lacak di Buku Kerja, Aturan Analitik, Kemampuan berburu, Anda akan memilih opsi yang akan Anda sebarkan. Setiap opsi independen untuk satu dari yang lain. Untuk mempelajari lebih lanjut tentang setiap opsi: wiki 'Microsoft Exchange Security'

Konektor Data ini adalah opsi 5 dari wiki.

1. Unduh dan instal agen yang diperlukan untuk mengumpulkan log untuk Microsoft Sentinel

Jenis server (Exchange Server, Pengendali Domain yang ditautkan ke Server Exchange atau semua Pengendali Domain) bergantung pada opsi yang ingin Anda sebarkan.

Menyebarkan Agen Monitor

Langkah ini diperlukan hanya jika ini pertama kalinya Anda melakukan onboarding Exchange Server/Pengendali Domain Menyebarkan Agen Azure Arc Pelajari selengkapnya

[Opsi 5] Log IIS server Exchange

Pilih cara mengalirkan log IIS dari server Exchange

Mengaktifkan aturan pengumpulan data

Log IIS dikumpulkan hanya dari agen Windows.

Opsi 1 - Templat Azure Resource Manager (ARM) (Metode Pilihan)

Gunakan metode ini untuk penyebaran otomatis DCE dan DCR.

A. Membuat DCE (Jika belum dibuat untuk Server Exchange)

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.ms

  2. Pilih Langganan, Grup Sumber Daya, dan Lokasi pilihan.

  3. Anda dapat mengubah nama DCE yang diusulkan.

  4. Klik Buat untuk menyebarkan.

B. Menyebarkan Aturan Koneksi Data

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.ms

  2. Pilih Langganan, Grup Sumber Daya, dan Lokasi pilihan.

  3. Masukkan ID Ruang Kerja 'dan/atau Bidang lain yang diperlukan'.

  4. Tandai kotak centang berlabel Saya menyetujui syarat dan ketentuan yang dinyatakan di atas.

  5. Klik Beli untuk menyebarkan.

Opsi 2 - Penyebaran manual Azure Automation

Gunakan instruksi langkah demi langkah berikut untuk menyebarkan Aturan Pengumpulan Data secara manual.

A. Membuat DCE (Jika belum dibuat untuk Server Exchange)

  1. Dari portal Azure, navigasikan ke Titik Akhir pengumpulan data Azure.
  2. Klik + Buat di bagian atas.
  3. Di tab Dasar , isi bidang yang diperlukan dan beri nama ke DCE.
  4. 'Buat perubahan konfigurasi lain yang lebih disukai', jika diperlukan, lalu klik Buat.

B. Membuat DCR, Ketik log IIS

  1. Dari portal Azure, navigasikan ke aturan pengumpulan data Azure.
  2. Klik + Buat di bagian atas.
  3. Di tab Dasar, isi bidang yang diperlukan, Pilih Windows sebagai jenis platform dan beri nama ke DCR. Pilih DCE yang dibuat.
  4. Di tab Sumber Daya, masukkan Anda Exchange Server.
  5. Di 'Kumpulkan dan kirim', tambahkan jenis Sumber Data 'log IIS' (Jangan masukkan jalur jika jalur Log IIS dikonfigurasi secara default). Klik 'Tambahkan sumber data'
  6. 'Buat perubahan konfigurasi lain yang lebih disukai', jika diperlukan, lalu klik Buat.

Menetapkan DCR ke semua Server Exchange

Menambahkan semua Server Exchange Anda ke DCR



Wawasan Illumio

Didukung oleh:Illumio

Illumio Insights Connector mengirimkan data beban kerja dan grafik keamanan dari Illumio Insights ke Azure Microsoft Sentinel Data Lake, menyediakan konteks mendalam untuk deteksi ancaman, analisis pergerakan lateral, dan investigasi waktu nyata.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
IllumioInsights_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Instruksi Penyetelan:

Langkah-langkah konfigurasi untuk Konektor Illumio Insights

Prasyarat

  • Daftar dan Masuk ke Illumio Console dengan kredensial yang valid
  • Beli Illumio Insights atau Mulai Uji Coba Gratis untuk Illumio Insights

Langkah 1: Daftarkan Akun Layanan

  1. Buka Illumio Console → Access → Service Accounts
  2. Membuat akun layanan untuk penyewa
  3. Setelah membuat akun layanan, Anda akan menerima kredensial klien
  4. Salin auth_username (kunci API Illumio Insights) dan rahasia (rahasia API) Langkah 2: Tambahkan kredensial klien ke akun Sentinel
  • Menambahkan kunci API dan rahasia ke Akun Sentinel untuk autentikasi penyewa
  • Kredensial ini akan digunakan untuk mengautentikasi panggilan ke ILlumio SaaS API

Harap isi bidang yang diperlukan di bawah ini dengan kredensial yang diperoleh dari Illumio Console:

  • Kunci Api Illumio Insights: (api_XXXXXX)
  • Rahasia Api: (Rahasia API)
  • Id: Tenant Illumio: ({IllumioTenantId - Opsional})
  • Aktifkan/Nonaktifkan Koneksi



Grafik Illumio Insights

Didukung oleh:Illumio

Konektor Illumio Insights Graph menerbitkan laporan penemuan ancaman dan anomali berbasis AI yang dihasilkan oleh Agen Illumio Insights. Memanfaatkan MITRE ATT& Kerangka kerja CK, laporan-laporan ini menampilkan wawasan berkualitas tinggi tentang ancaman baru dan perilaku berisiko yang muncul, langsung ke dalam Data Lake.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
IllumioInsightsGraph No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Instruksi Penyetelan:

1. Konfigurasi

Konfigurasikan konektor Illumio Insights Graph.

Konektor data ini mungkin membutuhkan waktu 24 jam untuk laporan terbaru setelah onboarding

Langkah-langkah konfigurasi untuk Illumio Insights Graph Connector

Prasyarat

  • Daftar dan Masuk ke Illumio Console dengan kredensial yang valid
  • Beli Illumio Insights atau Mulai Uji Coba Gratis untuk Illumio Insights
  • Aktifkan Agen Illumio Insights

Langkah 1: Daftarkan Akun Layanan

  1. Buka Illumio Console → Access → Service Accounts
  2. Membuat akun layanan untuk penyewa
  3. Setelah membuat akun layanan, Anda akan menerima kredensial klien
  4. Salin auth_username (kunci API Illumio Insights) dan rahasia (rahasia API) Langkah 2: Tambahkan kredensial klien ke akun Sentinel
  • Menambahkan kunci API dan rahasia ke Akun Sentinel untuk autentikasi penyewa
  • Kredensial ini akan digunakan untuk mengautentikasi panggilan ke ILlumio SaaS API

Harap isi bidang yang diperlukan di bawah ini dengan kredensial yang diperoleh dari Illumio Console:

  • Kunci Api Illumio Insights: (api_XXXXXX)
  • Rahasia Api: (Rahasia API)
  • ID Penyewa Illumio: ({IllumioTenantId - Opsional})

2. Sambungkan

Aktifkan konektor Illumio Insights Graph.

  • Aktifkan/Nonaktifkan Koneksi



Ringkasan Illumio Insights

Didukung oleh:Illumio

Konektor Ringkasan Illumio Insights Menerbitkan laporan penemuan ancaman dan anomali berbasis AI yang dihasilkan oleh Agen Illumio Insights. Memanfaatkan MITRE ATT& Kerangka kerja CK, laporan-laporan ini menampilkan wawasan berkualitas tinggi tentang ancaman baru dan perilaku berisiko yang muncul, langsung ke dalam Data Lake.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
IllumioInsightsSummary_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Instruksi Penyetelan:

1. Konfigurasi

Konfigurasikan konektor Ringkasan Illumio Insights.

Konektor data ini mungkin membutuhkan waktu 24 jam untuk laporan terbaru setelah onboarding

Langkah-langkah konfigurasi untuk Illumio Insights Summary Connector

Prasyarat

  • Daftar dan Masuk ke Illumio Console dengan kredensial yang valid
  • Beli Illumio Insights atau Mulai Uji Coba Gratis untuk Illumio Insights
  • Aktifkan Agen Illumio Insights

Langkah 1: Daftarkan Akun Layanan

  1. Buka Illumio Console → Access → Service Accounts
  2. Membuat akun layanan untuk penyewa
  3. Setelah membuat akun layanan, Anda akan menerima kredensial klien
  4. Salin auth_username (kunci API Illumio Insights) dan rahasia (rahasia API) Langkah 2: Tambahkan kredensial klien ke akun Sentinel
  • Menambahkan kunci API dan rahasia ke Akun Sentinel untuk autentikasi penyewa
  • Kredensial ini akan digunakan untuk mengautentikasi panggilan ke ILlumio SaaS API

Harap isi bidang yang diperlukan di bawah ini dengan kredensial yang diperoleh dari Illumio Console:

  • Kunci Api Illumio Insights: (api_XXXXXX)
  • Rahasia Api: (Rahasia API)
  • ID Penyewa Illumio: ({IllumioTenantId - Opsional})

2. Sambungkan

Aktifkan konektor Ringkasan Illumio Insights.

  • Aktifkan/Nonaktifkan Koneksi



Illumio SaaS (menggunakan Azure Functions)

Didukung oleh:Illumio

konektor Illumio menyediakan kemampuan untuk menyerap peristiwa ke dalam Microsoft Sentinel. Konektor menyediakan kemampuan untuk menyerap peristiwa yang dapat diaudit dan mengalir dari wadah AWS S3.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
Illumio_Auditable_Events_CL Yes Yes
Illumio_Flow_Events_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Microsoft. Izin web/situs: Izin baca dan tulis ke Azure Functions untuk membuat Aplikasi Fungsi diperlukan. Untuk informasi selengkapnya, lihat Azure Functions.
  • Kredensial/izin akun SQS dan AWS S3: AWS_SECRET, AWS_REGION_NAME, AWS_KEY, QUEUE_URL diperlukan. Jika Anda menggunakan wadah s3 yang disediakan oleh Illumio, hubungi dukungan Illumio. Atas permintaan Anda, mereka akan memberi Anda nama wadah AWS S3, url AWS SQS, dan kredensial AWS untuk mengaksesnya.
  • Kunci dan rahasia Illumio API: ILLUMIO_API_KEY, ILLUMIO_API_SECRET diperlukan agar buku kerja membuat koneksi ke SaaS PCE dan mengambil respons API.

Instruksi Penyetelan:

CATATAN: Konektor ini menggunakan Azure Functions untuk terhubung ke AWS SQS / S3 untuk menarik log ke Microsoft Sentinel. Ini dapat mengakibatkan biaya penyerapan data tambahan. Periksa halaman harga Azure Functions untuk detailnya.

(Langkah Opsional) Simpan kunci otorisasi API atau token dengan aman di Azure Key Vault. Azure Key Vault menyediakan mekanisme aman untuk menyimpan dan mengambil nilai kunci. Ikuti instruksi ini untuk menggunakan Azure Key Vault dengan Aplikasi Fungsi Azure.

Prerequisites

  1. Pastikan AWS SQS dikonfigurasi untuk wadah s3 tempat alur dan log peristiwa yang dapat diaudit akan ditarik. Jika, Illumio menyediakan wadah, silakan hubungi dukungan Illumio untuk url sqs, nama wadah s3, dan kredensial aws.
  2. Daftarkan aplikasi AAD - Untuk DCR (Aturan pengumpulan data) untuk memahami untuk menyerap data ke dalam analitik log, Anda harus menggunakan aplikasi Entra. 1. Ikuti instruksi di sini (langkah 1-5) untuk mendapatkan Id Penyewa AAD, Id Klien AAD, dan Rahasia Klien AAD.
  3. Pastikan Anda telah membuat ruang kerja analitik log. Harap perhatikan nama dan wilayah tempat nama dan wilayah tersebut disebarkan.

Deployment

Pilih salah satu pendekatan dari opsi di bawah ini. Gunakan templat ARM di bawah ini untuk menyebarkan sumber daya azure atau menyebarkan aplikasi fungsi secara manual.

1. Templat Azure Resource Manager (ARM)

Gunakan metode ini untuk penyebaran otomatis sumber daya Azure menggunakan ARM Tempate.

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.ms

  2. Berikan detail yang diperlukan seperti Microsoft Sentinel Workspace, kredensial AWS, detail aplikasi Azure AD, dan konfigurasi penyerapan

CATATAN: Disarankan untuk membuat Grup Sumber Daya baru untuk penyebaran aplikasi fungsi dan sumber daya terkait. 3. Tandai kotak centang berlabel Saya menyetujui syarat dan ketentuan yang dinyatakan di atas. 4. Klik Beli untuk menyebarkan.

2. Sebarkan aplikasi fungsi tambahan untuk menangani skala

Gunakan metode ini untuk penyebaran otomatis aplikasi fungsi tambahan menggunakan ARM Tempate.

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.ms

3. Penyebaran manual Azure Functions

Penyebaran melalui Visual Studio Code.

  1. Menyebarkan Aplikasi Fungsi

  2. Unduh file Aplikasi Fungsi Azure. Ekstrak arsip ke komputer pengembangan lokal Anda.

  3. Ikuti instruksi penyebaran manual aplikasi fungsi untuk menyebarkan aplikasi Azure Functions menggunakan VSCode.

  4. Setelah penyebaran aplikasi fungsi berhasil, ikuti langkah berikutnya untuk mengonfigurasinya.

  5. Mengonfigurasi Aplikasi Fungsi

  6. Ikuti tautan< sisipkan dokumentasi >untuk menyiapkan semua variabel lingkungan yang diperlukan dan klik Simpan. Pastikan Anda memulai ulang aplikasi fungsi setelah pengaturan disimpan.



Imperva Cloud WAF (menggunakan Azure Functions)

Dukungan oleh:Microsoft Corporation

Konektor data WAF Imperva Cloud menyediakan kemampuan untuk mengintegrasikan dan menyerap peristiwa Web Application Firewall ke Microsoft Sentinel melalui REST API. Lihat dokumentasi integrasi log untuk informasi selengkapnya. Konektor memungkinkan pengambilan peristiwa untuk menilai potensi risiko keamanan, memantau kolaborasi, dan mendiagnosis dan memecahkan masalah konfigurasi.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
ImpervaWAFCloud_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Microsoft. Izin web/situs: Izin baca dan tulis ke Azure Functions untuk membuat Aplikasi Fungsi diperlukan. Untuk informasi selengkapnya, lihat Azure Functions.
  • Kredensial/izin REST API: ImpervaAPIID, ImpervaAPIKey, ImpervaLogServerURI diperlukan untuk API. Untuk informasi selengkapnya, lihat Menyiapkan proses Integrasi Log. Periksa semua persyaratan dan ikuti instruksi untuk mendapatkan kredensial. Harap dicatat bahwa konektor ini menggunakan format peristiwa log CEF. Informasi selengkapnya tentang format log.

Instruksi Penyetelan:

CATATAN: Konektor ini menggunakan Azure Functions untuk terhubung ke Imperva Cloud API untuk menarik lognya ke Microsoft Sentinel. Ini dapat mengakibatkan biaya penyerapan data tambahan. Periksa halaman harga Azure Functions untuk detailnya.

(Langkah Opsional) Simpan ruang kerja dan kunci otorisasi API atau token dengan aman di Azure Key Vault. Azure Key Vault menyediakan mekanisme aman untuk menyimpan dan mengambil nilai kunci. Ikuti petunjuk berikut untuk menggunakan Azure Key Vault dengan Aplikasi Azure Functions.

**CATATAN:**Konektor data ini bergantung pada pengurai berdasarkan Fungsi Kusto untuk bekerja seperti yang diharapkan ImpervaWAFCloud yang disebarkan dengan solusi Microsoft Sentinel.

LANGKAH 1 - Langkah konfigurasi untuk Integrasi Log

Ikuti instruksi untuk mendapatkan kredensial.

LANGKAH 2 - Pilih ONE dari dua opsi penyebaran berikut untuk menyebarkan konektor dan Azure Functions terkait

PENTING: Sebelum menyebarkan konektor data Ruang Kerja, miliki ID Ruang Kerja dan Kunci Utama Ruang Kerja (dapat disalin dari yang berikut).

  • ID ruang kerja: <nilai variabel yang disediakan pada waktu penginstalan>
  • Kunci Primer: <nilai variabel yang disediakan pada waktu penginstalan>

Opsi 1 - Templat Azure Resource Manager (ARM)

Gunakan metode ini untuk penyebaran otomatis konektor data IMPERVA Cloud WAF menggunakan Templat ARM.

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.ms

  2. Pilih Langganan, Grup Sumber Daya, dan Lokasi pilihan.

CATATAN: Dalam grup sumber daya yang sama, Anda tidak dapat mencampur aplikasi Windows dan Linux di wilayah yang sama. Pilih grup sumber daya yang ada tanpa Windows aplikasi di dalamnya atau buat grup sumber daya baru. 3. Masukkan ImpervaAPIID, ImpervaAPIKey, ImpervaLogServerURI dan sebarkan. 4. Tandai kotak centang berlabel Saya menyetujui syarat dan ketentuan yang dinyatakan di atas. 5. Klik Beli untuk menyebarkan.

Opsi 2 - Penyebaran manual Azure Functions

Gunakan instruksi langkah demi langkah berikut untuk menyebarkan konektor data Imperva Cloud WAF secara manual dengan Azure Functions (Penyebaran melalui Visual Studio Code).

  1. Menyebarkan Aplikasi Fungsi

CATATAN: Anda harus menyiapkan kode VS untuk pengembangan fungsi Azure.

  1. Unduh file Aplikasi Azure Functions. Ekstrak arsip ke komputer pengembangan lokal Anda.

  2. Jalankan VS Code. Pilih File di menu utama dan pilih Buka Folder.

  3. Pilih folder tingkat atas dari file yang diekstrak.

  4. Pilih ikon Azure di bilah Aktivitas, lalu di area Azure: Fungsi, pilih tombol Sebarkan ke aplikasi fungsi. Jika Anda belum masuk, pilih ikon Azure di bilah Aktivitas, lalu di area Azure: Functions, pilih Masuk ke Azure Jika Anda sudah masuk, buka langkah berikutnya.

  5. Berikan informasi berikut pada permintaan:

    a. Pilih folder: Pilih folder dari ruang kerja Anda atau telusuri folder yang berisi aplikasi fungsi Anda.

    b. Pilih Langganan: Pilih langganan yang akan digunakan.

    c. Pilih Buat Aplikasi Fungsi baru di Azure (Jangan pilih opsi Tingkat Lanjut)

    d. Masukkan nama unik global untuk aplikasi fungsi: Ketik nama yang valid di jalur URL. Nama yang Anda ketik akan divalidasi untuk memastikan bahwa nama tersebut bersifat unik di Azure Functions. (misalnya ImpervaCloudXXXXXX).

    e. Pilih runtime: Pilih Python 3.11.

    f. Pilih lokasi untuk sumber daya baru. Untuk performa yang lebih baik dan biaya yang lebih rendah, pilih wilayah yang sama tempat Microsoft Sentinel berada.

  6. Penyebaran akan dimulai. Notifikasi ditampilkan setelah aplikasi fungsi Anda dibuat dan paket penyebaran diterapkan.

  7. Buka portal Azure untuk konfigurasi Aplikasi Fungsi.

  8. Mengonfigurasi Aplikasi Fungsi

  9. Di Aplikasi Fungsi, pilih Nama Aplikasi Fungsi dan pilih Konfigurasi.

  10. Di tab Pengaturan aplikasi, pilih Pengaturan aplikasi baru.

  11. Tambahkan masing-masing pengaturan aplikasi berikut satu per satu, dengan nilai string masing-masing (peka huruf besar/kecil): ImpervaAPIID ImpervaAPIKey ImpervaLogServerURI WorkspaceID WorkspaceID LogAnalyticsUri (opsional)

  • Gunakan logAnalyticsUri untuk mengambil alih titik akhir API analitik log untuk cloud khusus. Misalnya, untuk cloud publik, biarkan nilai kosong; untuk Azure lingkungan cloud GovUS, tentukan nilai dalam format berikut: https://<CustomerId>.ods.opinsights.azure.us.
  1. Setelah semua pengaturan aplikasi dimasukkan, klik Simpan.



Imperva Cloud WAF (melalui Kerangka Kerja Konektor Tanpa Kode)

Dukungan oleh:Microsoft Corporation

Konektor data Imperva WAF Cloud menyediakan kemampuan untuk menyerap log ke dalam Microsoft Sentinel menggunakan Integrasi Log Imperva melalui AWS S3 dengan pemberitahuan SQS. Konektor mengurai peristiwa WAF berformat CEF termasuk log akses dan pemberitahuan keamanan untuk deteksi dan penyelidikan ancaman. Lihat Integrasi Log Cloud Imperva WAF untuk informasi selengkapnya.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
ImpervaWAFCloud No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Peran AWS IAM: Peran AWS IAM dengan kebijakan kepercayaan lintas akun diperlukan.

Instruksi Penyetelan:

**Sambungkan Imperva WAF Cloud ke Microsoft Sentinel

**

CATATAN: Konektor ini mengambil log Imperva Cloud WAF dari wadah AWS S3

Untuk mengumpulkan data dari Imperva, Anda perlu mengonfigurasi sumber daya berikut

  1. AWS Role ARN Untuk mengumpulkan data dari Imperva, Anda memerlukan AWS Role ARN.

  2. URL Antrean AWS SQS Untuk mengumpulkan data dari Imperva, Anda memerlukan URL Antrean AWS SQS.

Untuk langkah-langkah terperinci untuk mengambil AWS Role ARN, URL Antrean SQS, dan mengonfigurasi penerusan log Imperva ke wadah Amazon S3, lihat Panduan Penyiapan Konektor.

  • Data Connectors Grid (dikonfigurasi di portal)



Konektor Data Cloud Infoblox melalui AMA

Didukung oleh:Infoblox

Konektor Data Cloud Infoblox memungkinkan Anda untuk dengan mudah menghubungkan data Infoblox Anda dengan Microsoft Sentinel. Dengan menghubungkan log Anda ke Microsoft Sentinel, Anda dapat memanfaatkan pencarian & korelasi, peringatan, dan pengayaan inteligensi ancaman untuk setiap log.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
CommonSecurityLog Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Instruksi Penyetelan:

PENTING: Konektor data Microsoft Sentinel ini mengasumsikan host Konektor Data Infoblox telah dibuat dan dikonfigurasi di Portal Layanan Cloud Infoblox (CSP). Karena Konektor Data Infoblox adalah fitur Pertahanan Ancaman, akses ke langganan Pertahanan Ancaman yang sesuai diperlukan. Lihat panduan mulai cepat ini untuk informasi selengkapnya dan persyaratan lisensi.

1. Konfigurasi agen Linux Syslog

Instal dan konfigurasikan agen Linux untuk mengumpulkan pesan Syslog Common Event Format (CEF) Anda dan teruskan ke Microsoft Sentinel.

Perhatikan bahwa data dari semua wilayah akan disimpan di ruang kerja yang dipilih

1.1 Memilih atau membuat komputer Linux

Pilih atau buat komputer Linux yang Microsoft Sentinel akan gunakan sebagai proksi antara solusi keamanan Anda dan Microsoft Sentinel komputer ini dapat berada di lingkungan lokal Anda, Azure atau cloud lainnya.

1.2 Instal kolektor CEF di komputer Linux

Instal Microsoft Monitoring Agent di komputer Linux Anda dan konfigurasikan komputer untuk mendengarkan port yang diperlukan dan meneruskan pesan ke ruang kerja Microsoft Sentinel Anda. Kolektor CEF mengumpulkan pesan CEF pada port 514 TCP.

  1. Pastikan Anda memiliki Python di komputer Anda menggunakan perintah berikut: python -version.

  2. Anda harus memiliki izin yang lebih tinggi (sudo) pada mesin Anda.

  • Jalankan perintah berikut untuk menginstal dan menerapkan pengumpul CEF:: <nilai variabel yang disediakan pada waktu penginstalan>

2. Konfigurasikan Infoblox untuk mengirim data Syslog ke Konektor Data Cloud Infoblox untuk diteruskan ke agen Syslog

Ikuti langkah-langkah di bawah ini untuk mengonfigurasi Infoblox CDC untuk mengirim data ke Microsoft Sentinel melalui agen Linux Syslog.

  1. Navigasikan ke Integration > Data Connectors.
  2. Klik tab Konfigurasi Tujuan di bagian atas.
  3. Klik Buat > Syslog.
  • Nama: Beri Tujuan baru nama yang bermakna, seperti Microsoft-Sentinel-Destination.
  • Deskripsi: Secara opsional berikan deskripsi yang bermakna.
  • Status: Atur status ke Diaktifkan.
  • Format: Atur format ke CEF.
  • FQDN/IP: Masukkan alamat IP perangkat Linux tempat agen Linux diinstal.
  • Port: Biarkan nomor port di 514.
  • Protokol: Pilih protokol yang diinginkan dan sertifikat CA jika berlaku.
  • Klik Simpan & Tutup.
  1. Klik tab Konfigurasi Arus Lalu Lintas di bagian atas.
  2. Klik Buat.
  • Nama: Beri nama Arus Lalu Lintas baru yang bermakna, seperti Microsoft-Sentinel-Flow.
  • Deskripsi: Secara opsional berikan deskripsi yang bermakna.
  • Status: Atur status ke Diaktifkan.
  • Perluas bagian Instans Layanan .
  • Instans Layanan: Pilih Instans Layanan yang Anda inginkan tempat layanan Konektor Data diaktifkan.
  • Perluas bagian Konfigurasi Sumber .
  • Sumber: Pilih Infoblox Cloud Source.
  • Pilih semua jenis log yang diinginkan yang ingin Anda kumpulkan. Jenis log yang saat ini didukung adalah:
  • Kueri Pertahanan Ancaman/Log Respons
  • Log Hit Umpan Ancaman Ancaman Pertahanan Ancaman
  • Log Kueri/Respons DDI
  • Log Sewa DDI DHCP
  • Perluas bagian Konfigurasi Tujuan .
  • Pilih Tujuan yang baru saja Anda buat.
  • Klik Simpan & Tutup.
  1. Izinkan konfigurasi beberapa saat untuk mengaktifkan.

3. Memvalidasi koneksi

Ikuti instruksi untuk memvalidasi konektivitas Anda:

Buka Log Analytics untuk memeriksa apakah log diterima menggunakan skema CommonSecurityLog.

Mungkin perlu waktu sekitar 20 menit hingga koneksi mengalirkan data ke ruang kerja Anda.

Jika log tidak diterima, jalankan skrip validasi konektivitas berikut:

  1. Pastikan Anda memiliki Python di komputer Anda menggunakan perintah berikut: python -version

  2. Anda harus memiliki izin yang ditingkatkan (sudo) pada komputer Anda

  • Jalankan perintah berikut untuk memvalidasi konektivitas Anda:: <nilai variabel yang disediakan pada waktu penginstalan>

**4. Amankan komputer Anda **

Pastikan untuk mengonfigurasi keamanan komputer sesuai dengan kebijakan keamanan organisasi Anda

Pelajari selengkapnya>



Konektor Data Infoblox melalui REST API

Didukung oleh:Infoblox

Konektor Data Infoblox memungkinkan Anda untuk dengan mudah menghubungkan data Infoblox TIDE dan data Dossier Anda dengan Microsoft Sentinel. Dengan menghubungkan data Anda ke Microsoft Sentinel, Anda dapat memanfaatkan pencarian & korelasi, peringatan, dan pengayaan inteligensi ancaman untuk setiap log.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
dossier_whois_CL No No
dossier_whitelist_CL No No
dossier_tld_risk_CL No No
dossier_threat_actor_CL No No
dossier_rpz_feeds_records_CL No No
dossier_rpz_feeds_CL No No
dossier_nameserver_matches_CL No No
dossier_nameserver_CL No No
dossier_malware_analysis_v3_CL No No
dossier_inforank_CL No No
dossier_infoblox_web_cat_CL No No
dossier_geo_CL No No
dossier_dns_CL No No
dossier_atp_threat_CL No No
dossier_atp_CL No No
dossier_ptr_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Langganan Azure: Langganan Azure dengan peran pemilik diperlukan untuk mendaftarkan aplikasi di Microsoft Entra ID dan menetapkan peran kontributor ke aplikasi dalam grup sumber daya.
  • Microsoft. Izin web/situs: Izin baca dan tulis ke Azure Functions untuk membuat Aplikasi Fungsi diperlukan. Untuk informasi selengkapnya, lihat Azure Functions.
  • Kredensial/izin REST API: Kunci API Infoblox diperlukan. Lihat dokumentasi untuk mempelajari selengkapnya tentang API pada referensi Rest API

Instruksi Penyetelan:

CATATAN: Konektor ini menggunakan Azure Functions untuk terhubung ke API Infoblox untuk membuat Indikator Ancaman untuk TIDE dan menarik data Dossier ke Microsoft Sentinel. Ini dapat mengakibatkan biaya penyerapan data tambahan. Periksa halaman harga Azure Functions untuk detailnya.

(Langkah Opsional) Simpan ruang kerja dan kunci otorisasi API atau token dengan aman di Azure Key Vault. Azure Key Vault menyediakan mekanisme aman untuk menyimpan dan mengambil nilai kunci. Ikuti instruksi ini untuk menggunakan Azure Key Vault dengan Aplikasi Fungsi Azure.

LANGKAH 1 - Langkah-langkah Pendaftaran Aplikasi untuk Aplikasi di Microsoft Entra ID

Integrasi ini memerlukan pendaftaran Aplikasi di portal Azure. Ikuti langkah-langkah di bagian ini untuk membuat aplikasi baru di Microsoft Entra ID:

  1. Masuk ke portal Azure.
  2. Cari dan pilih Microsoft Entra ID.
  3. Di bawah Kelola, pilih Pendaftaran aplikasi > Pendaftaran baru.
  4. Masukkan Nama tampilan aplikasi Anda.
  5. Pilih Daftar untuk menyelesaikan pendaftaran aplikasi awal.
  6. Setelah pendaftaran selesai, portal Azure menampilkan panel Gambaran Umum pendaftaran aplikasi. Anda melihat ID Aplikasi (klien) dan ID Tenant. ID klien dan ID Penyewa diperlukan sebagai parameter konfigurasi AzureClientId dan AzureTenantId, yang digunakan oleh Aplikasi Fungsi konektor untuk mengautentikasi ke API Log Ingestion (untuk data Dossier) dan ke API Microsoft Sentinel Threat Intelligence Indicators (untuk data TIDE).

Tautan referensi:/azure/active-directory/develop/quickstart-register-app

LANGKAH 2 - Menambahkan rahasia klien untuk aplikasi di Microsoft Entra ID

Kadang disebut kata sandi aplikasi, client secret adalah nilai string yang diperlukan oleh konektor untuk mengautentikasi ke Log Ingestion API dan Microsoft Sentinel Threat Intelligence Indicators API. Ikuti langkah-langkah di bagian ini untuk membuat Rahasia Klien baru:

  1. Di portal Microsoft Azure, di Pendaftaran aplikasi, pilih aplikasi Anda.
  2. Pilih Sertifikat & rahasia > Rahasia > klien Rahasia klien baru.
  3. Tambahkan deskripsi untuk rahasia klien Anda.
  4. Pilih kedaluwarsa untuk rahasia atau tentukan masa pakai kustom. Batasnya adalah 24 bulan.
  5. Pilih Tambahkan.
  6. Catat nilai rahasia untuk digunakan dalam kode aplikasi klien Anda. Nilai rahasia ini tidak pernah ditampilkan lagi setelah Anda meninggalkan halaman ini. Nilai rahasia diperlukan sebagai parameter konfigurasi AzureClientSecret .

Tautan referensi:/azure/active-directory/develop/quickstart-register-app#add-a-client-secret

LANGKAH 3 - Menetapkan peran Kontributor ke aplikasi di Microsoft Entra ID

Peran ini diperlukan agar Function Apps konektor dapat membuat Indikator Intelijen Ancaman dari data TIDE melalui API Microsoft Sentinel Threat Intelligence Indicators. Ikuti langkah-langkah di bagian ini untuk menetapkan peran:

  1. Di portal Azure, Buka Grup Sumber Daya dan pilih grup sumber daya Anda.
  2. Buka Kontrol akses (IAM) dari panel kiri.
  3. Klik Tambahkan, lalu pilih Tambahkan penetapan peran.
  4. Pilih Kontributor sebagai peran dan klik berikutnya.
  5. Di Tetapkan akses ke, pilih User, group, or service principal.
  6. Klik tambahkan anggota dan ketik nama aplikasi yang telah Anda buat dan pilih.
  7. Sekarang klik Tinjau + tetapkan lalu klik lagi Tinjau + tetapkan.

Tautan referensi:/azure/role-based-access-control/role-assignments-portal

LANGKAH 4 - Temukan ID Objek pendaftaran aplikasi

Konektor ini menginput data Dossier dan TIDE ke dalam Sentinel melalui API Log Ingestion, yang memerlukan pendaftaran aplikasi (sama seperti yang dibuat pada Langkah 1) untuk memiliki peran Monitoring Metrics Publisher pada setiap Aturan Pengumpulan Data yang dibuat konektor. Penetapan peran ini diberikan secara otomatis oleh template ARM saat deployment - Anda tidak perlu menetapkannya secara manual - tetapi template membutuhkan Object ID aplikasi (Enterprise Application / Service Principal object ID, bukan Application/Client ID) sebagai parameter deployment untuk melakukannya.

  1. Di portal Azure, cari dan pilih Microsoft Entra ID.
  2. Di bawah Kelola, pilih Aplikasi Enterprise.
  3. Cari pendaftaran aplikasi yang Anda buat di Langkah 1 dan pilih aplikasi tersebut.
  4. Salin ID Objek yang ditampilkan di panel Overview - ini adalah nilai yang akan dimasukkan sebagai AzureEntraObjectID selama deployment.

Catatan: Jika nilai ini hilang atau salah saat deployment, penugasan peran secara diam-diam gagal memberikan akses dan data Dossier/TIDE tidak akan muncul di workspace, meskipun Function Apps berjalan tanpa error.

LANGKAH 5 - Langkah-langkah untuk menghasilkan Kredensial API Infoblox

Ikuti petunjuk ini untuk menghasilkan Kunci API Infoblox. Di Portal Infoblox Cloud Services, buat Kunci API dan salin di tempat yang aman untuk digunakan pada langkah berikutnya. Anda dapat menemukan instruksi tentang cara membuat kunci API di sini.

Templat Azure Resource Manager (ARM)

Gunakan metode ini untuk penyebaran otomatis konektor Data Infoblox.

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.ms

  2. Pilih Langganan, Grup Sumber Daya, dan Lokasi pilihan.

  3. Masukkan informasi berikut: Workspace ID Workspace (Nama sumber daya workspace Log Analytics) Data Collection Endpoint/Rule Location (Default: Lokasi Resource Group, harus sesuai dengan area workspace) Azure Tenant Id Azure Client Id Azure Client Secret Azure Entra Object ID (mulai Langkah 4) Infoblox API Token Infoblox Base URL Infoblox Data Historis Data Cutoff Tingkat Log (Default: Info) Kepercayaan (Default: 80) Tingkat Ancaman (Default: 80) App Insights Workspace Resource ID

  4. Tandai kotak centang berlabel Saya menyetujui syarat dan ketentuan yang dinyatakan di atas.

  5. Klik Beli untuk menyebarkan.

Catatan: Aturan Data Collection Endpoint/Data Collection dan penugasan peran Monitoring Metrics Publisher pada aturan tersebut dibuat dan dihubungkan secara otomatis oleh template ini - tidak diperlukan langkah manual DCR atau penugasan peran setelah deployment.



Infoblox IQ untuk Threat Defense Insight Data Connector melalui AMA

Didukung oleh:Infoblox

Konektor Data Infoblox IQ untuk Threat Defense Insight memungkinkan Anda dengan mudah menghubungkan data Infoblox IQ untuk Threat Defense Insight dengan Microsoft Sentinel. Dengan menghubungkan log Anda ke Microsoft Sentinel, Anda dapat memanfaatkan pencarian & korelasi, peringatan, dan pengayaan inteligensi ancaman untuk setiap log.

Konektor data ini mengintegrasikan Infoblox IQ untuk Threat Defense Insight CDC masuk ke Log Analytics Workspace Anda menggunakan Azure Monitor Agent yang baru. Pelajari selengkapnya tentang menyerap menggunakan agen Azure Monitor baru here. Microsoft merekomendasikan penggunaan Konektor Data ini.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
CommonSecurityLog Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Untuk mengumpulkan data dari VM non-Azure, mereka harus menginstal dan mengaktifkan Azure Arc. Pelajari lebih lanjut
  • Common Event Format (CEF) melalui AMA dan Syslog melalui konektor data AMA harus diinstal. Pelajari lebih lanjut

Instruksi Penyetelan:

Kunci Ruang Kerja

Untuk menggunakan playbook sebagai bagian dari solusi ini, temukan ID Ruang Kerja dan Kunci Primer Ruang Kerja Anda di bawah ini untuk kenyamanan Anda.

  • ID ruang kerja: <nilai variabel yang disediakan pada waktu penginstalan>

Parser

Konektor data ini tergantung pada pengurai berdasarkan Fungsi Kusto untuk bekerja seperti yang diharapkan yang disebut InfobloxCDC_SOCInsights yang disebarkan dengan Solusi Microsoft Sentinel.

Infoblox IQ untuk Pertahanan Ancaman

Konektor data ini mengasumsikan Anda memiliki akses ke Infoblox IQ untuk Threat Defense. Anda dapat menemukan informasi lebih lanjut tentang hal ini di sini.

Konektor Data Cloud Infoblox

Konektor data ini mengasumsikan host Konektor Data Infoblox telah dibuat dan dikonfigurasi di Portal Layanan Cloud (CSP) Infoblox. Karena Infoblox Data Connector adalah fitur dari Infoblox Threat Defense, akses ke langganan Infoblox Threat Defense yang sesuai diperlukan. Lihat panduan mulai cepat ini untuk informasi selengkapnya dan persyaratan lisensi.

Ikuti langkah-langkah di bawah ini untuk mengonfigurasi konektor data ini

A. Mengonfigurasi Common Event Format (CEF) melalui konektor data AMA

Catatan: Log CEF hanya dikumpulkan dari Agen Linux

  1. Navigasikan ke bilah Konektor data ruang > kerja Microsoft Sentinel Anda.

  2. Cari Common Event Format (CEF) melalui konektor data AMA dan buka.

  3. Pastikan tidak ada DCR yang dikonfigurasi untuk mengumpulkan fasilitas log yang diperlukan karena dapat menyebabkan duplikasi log. Buat DCR baru (Aturan Pengumpulan Data).

    Catatan: Disarankan untuk menginstal agen AMA v1.27 minimal. Pelajari lebih lanjut dan pastikan tidak ada DCR duplikat karena dapat menyebabkan duplikasi log.

  4. Jalankan perintah yang disediakan dalam halaman Common Event Format (CEF) melalui konektor data AMA untuk mengonfigurasi pengumpul CEF pada komputer.

B. Di dalam Portal Infoblox Cloud Services, konfigurasikan Infoblox untuk mengirim data CEF Syslog ke Infoblox Cloud Data Connector untuk diteruskan ke agen Syslog

Ikuti langkah-langkah di bawah ini untuk mengonfigurasi Infoblox CDC untuk mengirim data ke Microsoft Sentinel melalui agen Linux Syslog.

  1. Navigasikan ke Integration > Data Connectors.
  2. Klik tab Konfigurasi Tujuan di bagian atas.
  3. Klik Buat > Syslog.
  • Nama: Beri Tujuan baru nama yang bermakna, seperti Microsoft-Sentinel-Destination.
  • Deskripsi: Secara opsional berikan deskripsi yang bermakna.
  • Status: Atur status ke Diaktifkan.
  • Format: Atur format ke CEF.
  • FQDN/IP: Masukkan alamat IP perangkat Linux tempat agen Linux diinstal.
  • Port: Biarkan nomor port di 514.
  • Protokol: Pilih protokol yang diinginkan dan sertifikat CA jika berlaku.
  • Klik Simpan & Tutup.
  1. Klik tab Konfigurasi Arus Lalu Lintas di bagian atas.
  2. Klik Buat.
  • Nama: Beri nama Arus Lalu Lintas baru yang bermakna, seperti Microsoft-Sentinel-Flow.
  • Deskripsi: Secara opsional berikan deskripsi yang bermakna.
  • Status: Atur status ke Diaktifkan.
  • Perluas bagian Instans Layanan .
  • Instans Layanan: Pilih Instans Layanan yang Anda inginkan tempat layanan Konektor Data diaktifkan.
  • Perluas bagian Konfigurasi Sumber .
  • Sumber: Pilih Infoblox Cloud Source.
  • Pilih IQ untuk Tipe Log Pertahanan Ancaman .
  • Perluas bagian Konfigurasi Tujuan .
  • Pilih Tujuan yang baru saja Anda buat.
  • Klik Simpan & Tutup.
  1. Izinkan konfigurasi beberapa saat untuk mengaktifkan.

C. Memvalidasi koneksi

Ikuti instruksi untuk memvalidasi konektivitas Anda:

Buka Log Analytics untuk memeriksa apakah log diterima menggunakan skema CommonSecurityLog.

Mungkin perlu waktu sekitar 20 menit hingga koneksi mengalirkan data ke ruang kerja Anda.

Jika log tidak diterima, jalankan skrip validasi konektivitas berikut:

  1. Pastikan Anda memiliki Python di komputer Anda menggunakan perintah berikut: python -version

  2. Anda harus memiliki izin yang ditingkatkan (sudo) pada komputer Anda

  • Jalankan perintah berikut untuk memvalidasi konektivitas Anda:: <nilai variabel yang disediakan pada waktu penginstalan>

**2. Amankan komputer Anda **

Pastikan untuk mengonfigurasi keamanan komputer sesuai dengan kebijakan keamanan organisasi Anda

Pelajari selengkapnya>



Infoblox IQ untuk Threat Defense Insight Data Connector melalui REST API

Didukung oleh:Infoblox

Konektor Data Infoblox IQ untuk Threat Defense Insight memungkinkan Anda dengan mudah menghubungkan data Infoblox IQ untuk Threat Defense Insight dengan Microsoft Sentinel. Dengan menghubungkan log Anda ke Microsoft Sentinel, Anda dapat memanfaatkan pencarian & korelasi, peringatan, dan pengayaan inteligensi ancaman untuk setiap log.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
InfobloxInsight_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Instruksi Penyetelan:

Parser

Konektor data ini tergantung pada pengurai berdasarkan Fungsi Kusto untuk bekerja seperti yang diharapkan yang disebut InfobloxInsight yang disebarkan dengan solusi Microsoft Sentinel.

Infoblox IQ untuk Pertahanan Ancaman

Konektor data ini mengasumsikan Anda memiliki akses ke Infoblox IQ untuk Threat Defense. Anda dapat menemukan informasi lebih lanjut tentang hal ini di sini.

Ikuti langkah-langkah di bawah ini untuk mengonfigurasi konektor data ini

1. Buat Kunci API Infoblox dan salin di tempat yang aman

Di Portal Infoblox Cloud Services, buat Kunci API dan salin di tempat yang aman untuk digunakan pada langkah berikutnya. Anda dapat menemukan instruksi tentang cara membuat kunci API di sini.

2. Konfigurasikan playbook Infoblox-IQ-for-TD-Get-Insights-API

Buat dan konfigurasikan playbook Infoblox-IQ-for-TD-Get-Insights-API yang diterapkan bersama solusi ini. Masukkan kunci API Infoblox Anda dan Nama Workspace Log Analytics pada parameter yang sesuai saat diminta.



Konektor Data InfoSecglobal

Didukung oleh:InfoSecGlobal

Gunakan konektor data ini untuk berintegrasi dengan InfoSec Crypto Analytics dan dapatkan data yang dikirim langsung ke Microsoft Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
InfoSecAnalytics_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Instruksi Penyetelan:

Konektor Data InfoSecGlobal Crypto Analytics

  1. Data dikirim ke Microsoft Sentinel melalui Logstash
  2. Konfigurasi Logstash yang diperlukan disertakan dengan penginstalan Crypto Analytics
  3. Dokumentasi yang disediakan dengan penginstalan Crypto Analytics menjelaskan cara mengaktifkan pengiriman data ke Microsoft Sentinel
  • ID ruang kerja: <nilai variabel yang disediakan pada waktu penginstalan>
  • Kunci Primer: <nilai variabel yang disediakan pada waktu penginstalan>



Log Keamanan IONIX (melalui Kerangka Kerja Konektor Tanpa Kode)

Didukung oleh:IONIX

Konektor IONIX memungkinkan Anda untuk menyerap item tindakan dari platform IONIX Attack Surface Management anda ke dalam Microsoft Sentinel menggunakan Codeless Connector Framework (CCF). Item tindakan mewakili temuan dan kerentanan keamanan yang memerlukan remediasi.

Konektor ini secara otomatis melakukan polling API IONIX dan menulis data ke tabel CyberpionActionItems_CL.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
CyberpionActionItems_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Token API IONIX: Token API dari Portal IONIX diperlukan. Buat di Api Pengaturan > di Portal IONIX Anda.

Instruksi Penyetelan:

Sambungkan IONIX ke Microsoft Sentinel

Konektor ini menggunakan API IONIX untuk secara otomatis melakukan polling item tindakan dan menyerapnya ke dalam Microsoft Sentinel. Anda memerlukan token API dari Portal IONIX Anda.

  • Token API IONIX: (Masukkan token API JWT Anda dari API Pengaturan > IONIX)
  • Nama Akun IONIX: (cyberpion)
  • Aktifkan/Nonaktifkan Koneksi



Konektor Data Penyalahgunaan IPinfo

Didukung oleh:IPinfo

Konektor data IPinfo ini menginstal aplikasi Fungsi Azure untuk mengunduh himpunan data standard_abuse dan menyisipkannya ke dalam tabel log kustom di Microsoft Sentinel

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
Ipinfo_Abuse_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Microsoft. Izin web/situs: Izin baca dan tulis ke Azure Functions untuk membuat Aplikasi Fungsi diperlukan. Untuk informasi selengkapnya, lihat Azure Functions.
  • Token API IPinfo: Ambil Token API IPinfo Anda di sini.

Instruksi Penyetelan:

1. Ambil Token API

Ambil Token API IPinfo Anda di sini.

2. Di penyewa Azure AD Anda, buat aplikasi Azure Active Directory (AAD)

Di penyewa Azure AD Anda, buat aplikasi Azure Active Directory (AAD) dan dapatkan ID Penyewa, ID Klien, dan Rahasia Klien: Gunakan Tautan ini.

3. Tetapkan aplikasi AAD peran kontributor Microsoft Sentinel.

Tetapkan aplikasi AAD yang baru saja Anda buat ke Kontributor (Peran administrator istimewa) dan Metrik Pemantauan Publisher(Peran fungsi pekerjaan) di "Grup Sumber Daya" yang sama dengan yang Anda gunakan untuk "Ruang Kerja Analitik Log" tempat "Microsoft Sentinel" ditambahkan: Gunakan Tautan ini.

4. Dapatkan ID Sumber Daya Ruang Kerja

Gunakan bilah Ruang Kerja Analitik Log -> Properti yang memiliki nilai properti 'ID Sumber Daya'. Ini adalah resourceId yang sepenuhnya memenuhi syarat yang dalam format '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft. OperationalInsights/workspaces/{workspaceName}'

5. Sebarkan Fungsi Azure

Gunakan ini untuk penyebaran otomatis konektor data IPinfo menggunakan ARM Tempate.

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.ms

  2. Pilih Langganan, Grup Sumber Daya, dan Lokasi pilihan.

  3. Masukkan RESOURCE_ID, IPINFO_TOKEN, TENANT_ID, CLIENT_ID, CLIENT_SECRET.

Penyebaran manual Azure Functions

Gunakan instruksi langkah demi langkah berikut untuk menyebarkan konektor data IPinfo secara manual dengan Azure Functions (Penyebaran melalui Visual Studio Code).

Langkah 1 - Menyebarkan Aplikasi Fungsi

  1. Unduh file Aplikasi Fungsi Azure. Ekstrak arsip ke komputer pengembangan lokal Anda Azure Aplikasi Fungsi.
  2. Buat Aplikasi Fungsi menggunakan paket layanan Hosting Functions Premium atau App menggunakan opsi tingkat lanjut menggunakan VSCode.
  3. Ikuti instruksi penyebaran manual aplikasi fungsi untuk menyebarkan aplikasi Azure Functions menggunakan VSCode.
  4. Setelah penyebaran aplikasi fungsi berhasil, ikuti langkah-langkah berikutnya untuk mengonfigurasinya.

Langkah 2 - Mengonfigurasi Aplikasi Fungsi

  1. Buka portal Azure untuk konfigurasi Aplikasi Fungsi.
  2. Di Aplikasi Fungsi, pilih Nama Aplikasi Fungsi dan pilih Pengaturan -> Konfigurasi atau Variabel lingkungan.
  3. Di tab Pengaturan aplikasi, pilih + Pengaturan aplikasi baru.
  4. Tambahkan masing-masing pengaturan aplikasi berikut satu per satu, dengan nilai string masing-masing (peka huruf besar/kecil): RESOURCE_ID IPINFO_TOKEN TENANT_ID CLIENT_ID CLIENT_SECRET RETENTION_IN_DAYS TOTAL_RETENTION_IN_DAYS SCHEDULE LOCATION
  5. Setelah semua pengaturan aplikasi dimasukkan, klik Simpan.



Konektor Data ASN IPinfo

Didukung oleh:IPinfo

Konektor data IPinfo ini menginstal aplikasi Fungsi Azure untuk mengunduh himpunan data standard_ASN dan menyisipkannya ke dalam tabel log kustom di Microsoft Sentinel

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
Ipinfo_ASN_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Microsoft. Izin web/situs: Izin baca dan tulis ke Azure Functions untuk membuat Aplikasi Fungsi diperlukan. Untuk informasi selengkapnya, lihat Azure Functions.
  • Token API IPinfo: Ambil Token API IPinfo Anda di sini.

Instruksi Penyetelan:

1. Ambil Token API

Ambil Token API IPinfo Anda di sini.

2. Di penyewa Azure AD Anda, buat aplikasi Azure Active Directory (AAD)

Di penyewa Azure AD Anda, buat aplikasi Azure Active Directory (AAD) dan dapatkan ID Penyewa, ID Klien, dan Rahasia Klien: Gunakan Tautan ini.

3. Tetapkan aplikasi AAD peran kontributor Microsoft Sentinel.

Tetapkan aplikasi AAD yang baru saja Anda buat ke Kontributor (Peran administrator istimewa) dan Metrik Pemantauan Publisher(Peran fungsi pekerjaan) di "Grup Sumber Daya" yang sama dengan yang Anda gunakan untuk "Ruang Kerja Analitik Log" tempat "Microsoft Sentinel" ditambahkan: Gunakan Tautan ini.

4. Dapatkan ID Sumber Daya Ruang Kerja

Gunakan bilah Ruang Kerja Analitik Log -> Properti yang memiliki nilai properti 'ID Sumber Daya'. Ini adalah resourceId yang sepenuhnya memenuhi syarat yang dalam format '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft. OperationalInsights/workspaces/{workspaceName}'

5. Sebarkan Fungsi Azure

Gunakan ini untuk penyebaran otomatis konektor data IPinfo menggunakan ARM Tempate.

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.ms

  2. Pilih Langganan, Grup Sumber Daya, dan Lokasi pilihan.

  3. Masukkan RESOURCE_ID, IPINFO_TOKEN, TENANT_ID, CLIENT_ID, CLIENT_SECRET.

Penyebaran manual Azure Functions

Gunakan instruksi langkah demi langkah berikut untuk menyebarkan konektor data IPinfo secara manual dengan Azure Functions (Penyebaran melalui Visual Studio Code).

Langkah 1 - Menyebarkan Aplikasi Fungsi

  1. Unduh file Aplikasi Fungsi Azure. Ekstrak arsip ke komputer pengembangan lokal Anda Azure Aplikasi Fungsi.
  2. Buat Aplikasi Fungsi menggunakan paket layanan Hosting Functions Premium atau App menggunakan opsi tingkat lanjut menggunakan VSCode.
  3. Ikuti instruksi penyebaran manual aplikasi fungsi untuk menyebarkan aplikasi Azure Functions menggunakan VSCode.
  4. Setelah penyebaran aplikasi fungsi berhasil, ikuti langkah-langkah berikutnya untuk mengonfigurasinya.

Langkah 2 - Mengonfigurasi Aplikasi Fungsi

  1. Buka portal Azure untuk konfigurasi Aplikasi Fungsi.
  2. Di Aplikasi Fungsi, pilih Nama Aplikasi Fungsi dan pilih Pengaturan -> Konfigurasi atau Variabel lingkungan.
  3. Di tab Pengaturan aplikasi, pilih + Pengaturan aplikasi baru.
  4. Tambahkan masing-masing pengaturan aplikasi berikut satu per satu, dengan nilai string masing-masing (peka huruf besar/kecil): RESOURCE_ID IPINFO_TOKEN TENANT_ID CLIENT_ID CLIENT_SECRET RETENTION_IN_DAYS TOTAL_RETENTION_IN_DAYS SCHEDULE LOCATION
  5. Setelah semua pengaturan aplikasi dimasukkan, klik Simpan.



Konektor Data Operator IPinfo

Didukung oleh:IPinfo

Konektor data IPinfo ini menginstal aplikasi Fungsi Azure untuk mengunduh himpunan data standard_carrier dan menyisipkannya ke dalam tabel log kustom di Microsoft Sentinel

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
Ipinfo_Carrier_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Microsoft. Izin web/situs: Izin baca dan tulis ke Azure Functions untuk membuat Aplikasi Fungsi diperlukan. Untuk informasi selengkapnya, lihat Azure Functions.
  • Token API IPinfo: Ambil Token API IPinfo Anda di sini.

Instruksi Penyetelan:

1. Ambil Token API

Ambil Token API IPinfo Anda di sini.

2. Di penyewa Azure AD Anda, buat aplikasi Azure Active Directory (AAD)

Di penyewa Azure AD Anda, buat aplikasi Azure Active Directory (AAD) dan dapatkan ID Penyewa, ID Klien, dan Rahasia Klien: Gunakan Tautan ini.

3. Tetapkan aplikasi AAD peran kontributor Microsoft Sentinel.

Tetapkan aplikasi AAD yang baru saja Anda buat ke Kontributor (Peran administrator istimewa) dan Metrik Pemantauan Publisher(Peran fungsi pekerjaan) di "Grup Sumber Daya" yang sama dengan yang Anda gunakan untuk "Ruang Kerja Analitik Log" tempat "Microsoft Sentinel" ditambahkan: Gunakan Tautan ini.

4. Dapatkan ID Sumber Daya Ruang Kerja

Gunakan bilah Ruang Kerja Analitik Log -> Properti yang memiliki nilai properti 'ID Sumber Daya'. Ini adalah resourceId yang sepenuhnya memenuhi syarat yang dalam format '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft. OperationalInsights/workspaces/{workspaceName}'

5. Sebarkan Fungsi Azure

Gunakan ini untuk penyebaran otomatis konektor data IPinfo menggunakan ARM Tempate.

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.ms

  2. Pilih Langganan, Grup Sumber Daya, dan Lokasi pilihan.

  3. Masukkan RESOURCE_ID, IPINFO_TOKEN, TENANT_ID, CLIENT_ID, CLIENT_SECRET.

Penyebaran manual Azure Functions

Gunakan instruksi langkah demi langkah berikut untuk menyebarkan konektor data IPinfo secara manual dengan Azure Functions (Penyebaran melalui Visual Studio Code).

Langkah 1 - Menyebarkan Aplikasi Fungsi

  1. Unduh file Aplikasi Fungsi Azure. Ekstrak arsip ke komputer pengembangan lokal Anda Azure Aplikasi Fungsi.
  2. Buat Aplikasi Fungsi menggunakan paket layanan Hosting Functions Premium atau App menggunakan opsi tingkat lanjut menggunakan VSCode.
  3. Ikuti instruksi penyebaran manual aplikasi fungsi untuk menyebarkan aplikasi Azure Functions menggunakan VSCode.
  4. Setelah penyebaran aplikasi fungsi berhasil, ikuti langkah-langkah berikutnya untuk mengonfigurasinya.

Langkah 2 - Mengonfigurasi Aplikasi Fungsi

  1. Buka portal Azure untuk konfigurasi Aplikasi Fungsi.
  2. Di Aplikasi Fungsi, pilih Nama Aplikasi Fungsi dan pilih Pengaturan -> Konfigurasi atau Variabel lingkungan.
  3. Di tab Pengaturan aplikasi, pilih + Pengaturan aplikasi baru.
  4. Tambahkan masing-masing pengaturan aplikasi berikut satu per satu, dengan nilai string masing-masing (peka huruf besar/kecil): RESOURCE_ID IPINFO_TOKEN TENANT_ID CLIENT_ID CLIENT_SECRET RETENTION_IN_DAYS TOTAL_RETENTION_IN_DAYS SCHEDULE LOCATION
  5. Setelah semua pengaturan aplikasi dimasukkan, klik Simpan.



Konektor Data Perusahaan IPinfo

Didukung oleh:IPinfo

Konektor data IPinfo ini menginstal aplikasi Fungsi Azure untuk mengunduh himpunan data standard_company dan menyisipkannya ke dalam tabel log kustom di Microsoft Sentinel

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
Ipinfo_Company_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Microsoft. Izin web/situs: Izin baca dan tulis ke Azure Functions untuk membuat Aplikasi Fungsi diperlukan. Untuk informasi selengkapnya, lihat Azure Functions.
  • Token API IPinfo: Ambil Token API IPinfo Anda di sini.

Instruksi Penyetelan:

1. Ambil Token API

Ambil Token API IPinfo Anda di sini.

2. Di penyewa Azure AD Anda, buat aplikasi Azure Active Directory (AAD)

Di penyewa Azure AD Anda, buat aplikasi Azure Active Directory (AAD) dan dapatkan ID Penyewa, ID Klien, dan Rahasia Klien: Gunakan Tautan ini.

3. Tetapkan aplikasi AAD peran kontributor Microsoft Sentinel.

Tetapkan aplikasi AAD yang baru saja Anda buat ke Kontributor (Peran administrator istimewa) dan Metrik Pemantauan Publisher(Peran fungsi pekerjaan) di "Grup Sumber Daya" yang sama dengan yang Anda gunakan untuk "Ruang Kerja Analitik Log" tempat "Microsoft Sentinel" ditambahkan: Gunakan Tautan ini.

4. Dapatkan ID Sumber Daya Ruang Kerja

Gunakan bilah Ruang Kerja Analitik Log -> Properti yang memiliki nilai properti 'ID Sumber Daya'. Ini adalah resourceId yang sepenuhnya memenuhi syarat yang dalam format '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft. OperationalInsights/workspaces/{workspaceName}'

5. Sebarkan Fungsi Azure

Gunakan ini untuk penyebaran otomatis konektor data IPinfo menggunakan ARM Tempate.

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.ms

  2. Pilih Langganan, Grup Sumber Daya, dan Lokasi pilihan.

  3. Masukkan RESOURCE_ID, IPINFO_TOKEN, TENANT_ID, CLIENT_ID, CLIENT_SECRET.

Penyebaran manual Azure Functions

Gunakan instruksi langkah demi langkah berikut untuk menyebarkan konektor data IPinfo secara manual dengan Azure Functions (Penyebaran melalui Visual Studio Code).

Langkah 1 - Menyebarkan Aplikasi Fungsi

  1. Unduh file Aplikasi Fungsi Azure. Ekstrak arsip ke komputer pengembangan lokal Anda Azure Aplikasi Fungsi.
  2. Buat Aplikasi Fungsi menggunakan paket layanan Hosting Functions Premium atau App menggunakan opsi tingkat lanjut menggunakan VSCode.
  3. Ikuti instruksi penyebaran manual aplikasi fungsi untuk menyebarkan aplikasi Azure Functions menggunakan VSCode.
  4. Setelah penyebaran aplikasi fungsi berhasil, ikuti langkah-langkah berikutnya untuk mengonfigurasinya.

Langkah 2 - Mengonfigurasi Aplikasi Fungsi

  1. Buka portal Azure untuk konfigurasi Aplikasi Fungsi.
  2. Di Aplikasi Fungsi, pilih Nama Aplikasi Fungsi dan pilih Pengaturan -> Konfigurasi atau Variabel lingkungan.
  3. Di tab Pengaturan aplikasi, pilih + Pengaturan aplikasi baru.
  4. Tambahkan masing-masing pengaturan aplikasi berikut satu per satu, dengan nilai string masing-masing (peka huruf besar/kecil): RESOURCE_ID IPINFO_TOKEN TENANT_ID CLIENT_ID CLIENT_SECRET RETENTION_IN_DAYS TOTAL_RETENTION_IN_DAYS SCHEDULE LOCATION
  5. Setelah semua pengaturan aplikasi dimasukkan, klik Simpan.



Konektor Data Inti IPinfo

Didukung oleh:IPinfo

Konektor data IPinfo ini menginstal aplikasi Fungsi Azure untuk mengunduh himpunan data Core dan menyisipkannya ke dalam tabel log kustom di Microsoft Sentinel

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
Ipinfo_CORE_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Microsoft. Izin web/situs: Izin baca dan tulis ke Azure Functions untuk membuat Aplikasi Fungsi diperlukan. Untuk informasi selengkapnya, lihat Azure Functions.
  • Token API IPinfo: Ambil Token API IPinfo Anda di sini.

Instruksi Penyetelan:

1. Ambil Token API

Ambil Token API IPinfo Anda di sini.

2. Di penyewa Azure AD Anda, buat aplikasi Azure Active Directory (AAD)

Di penyewa Azure AD Anda, buat aplikasi Azure Active Directory (AAD) dan dapatkan ID Penyewa, ID Klien, dan Rahasia Klien: Gunakan Tautan ini.

3. Tetapkan aplikasi AAD peran kontributor Microsoft Sentinel.

Tetapkan aplikasi AAD yang baru saja Anda buat ke Kontributor (Peran administrator istimewa) dan Metrik Pemantauan Publisher(Peran fungsi pekerjaan) di "Grup Sumber Daya" yang sama dengan yang Anda gunakan untuk "Ruang Kerja Analitik Log" tempat "Microsoft Sentinel" ditambahkan: Gunakan Tautan ini.

4. Dapatkan ID Sumber Daya Ruang Kerja

Gunakan bilah Ruang Kerja Analitik Log -> Properti yang memiliki nilai properti 'ID Sumber Daya'. Ini adalah resourceId yang sepenuhnya memenuhi syarat yang dalam format '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft. OperationalInsights/workspaces/{workspaceName}'

5. Sebarkan Fungsi Azure

Gunakan ini untuk penyebaran otomatis konektor data IPinfo menggunakan ARM Tempate.

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.ms

  2. Pilih Langganan, Grup Sumber Daya, dan Lokasi pilihan.

  3. Masukkan RESOURCE_ID, IPINFO_TOKEN, TENANT_ID, CLIENT_ID, CLIENT_SECRET.

Penyebaran manual Azure Functions

Gunakan instruksi langkah demi langkah berikut untuk menyebarkan konektor data IPinfo secara manual dengan Azure Functions (Penyebaran melalui Visual Studio Code).

Langkah 1 - Menyebarkan Aplikasi Fungsi

  1. Unduh file Aplikasi Fungsi Azure. Ekstrak arsip ke komputer pengembangan lokal Anda Azure Aplikasi Fungsi.
  2. Buat Aplikasi Fungsi menggunakan paket layanan Hosting Functions Premium atau App menggunakan opsi tingkat lanjut menggunakan VSCode.
  3. Ikuti instruksi penyebaran manual aplikasi fungsi untuk menyebarkan aplikasi Azure Functions menggunakan VSCode.
  4. Setelah penyebaran aplikasi fungsi berhasil, ikuti langkah-langkah berikutnya untuk mengonfigurasinya.

Langkah 2 - Mengonfigurasi Aplikasi Fungsi

  1. Buka portal Azure untuk konfigurasi Aplikasi Fungsi.
  2. Di Aplikasi Fungsi, pilih Nama Aplikasi Fungsi dan pilih Pengaturan -> Konfigurasi atau Variabel lingkungan.
  3. Di tab Pengaturan aplikasi, pilih + Pengaturan aplikasi baru.
  4. Tambahkan masing-masing pengaturan aplikasi berikut satu per satu, dengan nilai string masing-masing (peka huruf besar/kecil): RESOURCE_ID IPINFO_TOKEN TENANT_ID CLIENT_ID CLIENT_SECRET RETENTION_IN_DAYS TOTAL_RETENTION_IN_DAYS SCHEDULE LOCATION
  5. Setelah semua pengaturan aplikasi dimasukkan, klik Simpan.



Konektor Data ASN Negara IPinfo

Didukung oleh:IPinfo

Konektor data IPinfo ini menginstal aplikasi Fungsi Azure untuk mengunduh himpunan data country_asn dan menyisipkannya ke dalam tabel log kustom di Microsoft Sentinel

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
Ipinfo_Country_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Microsoft. Izin web/situs: Izin baca dan tulis ke Azure Functions untuk membuat Aplikasi Fungsi diperlukan. Untuk informasi selengkapnya, lihat Azure Functions.
  • Token API IPinfo: Ambil Token API IPinfo Anda di sini.

Instruksi Penyetelan:

1. Ambil Token API

Ambil Token API IPinfo Anda di sini.

2. Di penyewa Azure AD Anda, buat aplikasi Azure Active Directory (AAD)

Di penyewa Azure AD Anda, buat aplikasi Azure Active Directory (AAD) dan dapatkan ID Penyewa, ID Klien, dan Rahasia Klien: Gunakan Tautan ini.

3. Tetapkan aplikasi AAD peran kontributor Microsoft Sentinel.

Tetapkan aplikasi AAD yang baru saja Anda buat ke Kontributor (Peran administrator istimewa) dan Metrik Pemantauan Publisher(Peran fungsi pekerjaan) di "Grup Sumber Daya" yang sama dengan yang Anda gunakan untuk "Ruang Kerja Analitik Log" tempat "Microsoft Sentinel" ditambahkan: Gunakan Tautan ini.

4. Dapatkan ID Sumber Daya Ruang Kerja

Gunakan bilah Ruang Kerja Analitik Log -> Properti yang memiliki nilai properti 'ID Sumber Daya'. Ini adalah resourceId yang sepenuhnya memenuhi syarat yang dalam format '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft. OperationalInsights/workspaces/{workspaceName}'

5. Sebarkan Fungsi Azure

Gunakan ini untuk penyebaran otomatis konektor data IPinfo menggunakan ARM Tempate.

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.ms

  2. Pilih Langganan, Grup Sumber Daya, dan Lokasi pilihan.

  3. Masukkan RESOURCE_ID, IPINFO_TOKEN, TENANT_ID, CLIENT_ID, CLIENT_SECRET.

Penyebaran manual Azure Functions

Gunakan instruksi langkah demi langkah berikut untuk menyebarkan konektor data IPinfo secara manual dengan Azure Functions (Penyebaran melalui Visual Studio Code).

Langkah 1 - Menyebarkan Aplikasi Fungsi

  1. Unduh file Aplikasi Fungsi Azure. Ekstrak arsip ke komputer pengembangan lokal Anda Azure Aplikasi Fungsi.
  2. Buat Aplikasi Fungsi menggunakan paket layanan Hosting Functions Premium atau App menggunakan opsi tingkat lanjut menggunakan VSCode.
  3. Ikuti instruksi penyebaran manual aplikasi fungsi untuk menyebarkan aplikasi Azure Functions menggunakan VSCode.
  4. Setelah penyebaran aplikasi fungsi berhasil, ikuti langkah-langkah berikutnya untuk mengonfigurasinya.

Langkah 2 - Mengonfigurasi Aplikasi Fungsi

  1. Buka portal Azure untuk konfigurasi Aplikasi Fungsi.
  2. Di Aplikasi Fungsi, pilih Nama Aplikasi Fungsi dan pilih Pengaturan -> Konfigurasi atau Variabel lingkungan.
  3. Di tab Pengaturan aplikasi, pilih + Pengaturan aplikasi baru.
  4. Tambahkan masing-masing pengaturan aplikasi berikut satu per satu, dengan nilai string masing-masing (peka huruf besar/kecil): RESOURCE_ID IPINFO_TOKEN TENANT_ID CLIENT_ID CLIENT_SECRET RETENTION_IN_DAYS TOTAL_RETENTION_IN_DAYS SCHEDULE LOCATION
  5. Setelah semua pengaturan aplikasi dimasukkan, klik Simpan.



Konektor Data Domain IPinfo

Didukung oleh:IPinfo

Konektor data IPinfo ini menginstal aplikasi Fungsi Azure untuk mengunduh himpunan data standard_domain dan menyisipkannya ke dalam tabel log kustom di Microsoft Sentinel

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
Ipinfo_Domain_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Microsoft. Izin web/situs: Izin baca dan tulis ke Azure Functions untuk membuat Aplikasi Fungsi diperlukan. Untuk informasi selengkapnya, lihat Azure Functions.
  • Token API IPinfo: Ambil Token API IPinfo Anda di sini.

Instruksi Penyetelan:

1. Ambil Token API

Ambil Token API IPinfo Anda di sini.

2. Di penyewa Azure AD Anda, buat aplikasi Azure Active Directory (AAD)

Di penyewa Azure AD Anda, buat aplikasi Azure Active Directory (AAD) dan dapatkan ID Penyewa, ID Klien, dan Rahasia Klien: Gunakan Tautan ini.

3. Tetapkan aplikasi AAD peran kontributor Microsoft Sentinel.

Tetapkan aplikasi AAD yang baru saja Anda buat ke Kontributor (Peran administrator istimewa) dan Metrik Pemantauan Publisher(Peran fungsi pekerjaan) di "Grup Sumber Daya" yang sama dengan yang Anda gunakan untuk "Ruang Kerja Analitik Log" tempat "Microsoft Sentinel" ditambahkan: Gunakan Tautan ini.

4. Dapatkan ID Sumber Daya Ruang Kerja

Gunakan bilah Ruang Kerja Analitik Log -> Properti yang memiliki nilai properti 'ID Sumber Daya'. Ini adalah resourceId yang sepenuhnya memenuhi syarat yang dalam format '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft. OperationalInsights/workspaces/{workspaceName}'

5. Sebarkan Fungsi Azure

Gunakan ini untuk penyebaran otomatis konektor data IPinfo menggunakan ARM Tempate.

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.ms

  2. Pilih Langganan, Grup Sumber Daya, dan Lokasi pilihan.

  3. Masukkan RESOURCE_ID, IPINFO_TOKEN, TENANT_ID, CLIENT_ID, CLIENT_SECRET.

Penyebaran manual Azure Functions

Gunakan instruksi langkah demi langkah berikut untuk menyebarkan konektor data IPinfo secara manual dengan Azure Functions (Penyebaran melalui Visual Studio Code).

Langkah 1 - Menyebarkan Aplikasi Fungsi

  1. Unduh file Aplikasi Fungsi Azure. Ekstrak arsip ke komputer pengembangan lokal Anda Azure Aplikasi Fungsi.
  2. Buat Aplikasi Fungsi menggunakan paket layanan Hosting Functions Premium atau App menggunakan opsi tingkat lanjut menggunakan VSCode.
  3. Ikuti instruksi penyebaran manual aplikasi fungsi untuk menyebarkan aplikasi Azure Functions menggunakan VSCode.
  4. Setelah penyebaran aplikasi fungsi berhasil, ikuti langkah-langkah berikutnya untuk mengonfigurasinya.

Langkah 2 - Mengonfigurasi Aplikasi Fungsi

  1. Buka portal Azure untuk konfigurasi Aplikasi Fungsi.
  2. Di Aplikasi Fungsi, pilih Nama Aplikasi Fungsi dan pilih Pengaturan -> Konfigurasi atau Variabel lingkungan.
  3. Di tab Pengaturan aplikasi, pilih + Pengaturan aplikasi baru.
  4. Tambahkan masing-masing pengaturan aplikasi berikut satu per satu, dengan nilai string masing-masing (peka huruf besar/kecil): RESOURCE_ID IPINFO_TOKEN TENANT_ID CLIENT_ID CLIENT_SECRET RETENTION_IN_DAYS TOTAL_RETENTION_IN_DAYS SCHEDULE LOCATION
  5. Setelah semua pengaturan aplikasi dimasukkan, klik Simpan.



Konektor Data Iplokasi IPinfo

Didukung oleh:IPinfo

Konektor data IPinfo ini menginstal aplikasi Azure Function untuk mengunduh himpunan data standard_location dan menyisipkannya ke dalam tabel log kustom di Microsoft Sentinel

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
Ipinfo_Location_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Microsoft. Izin web/situs: Izin baca dan tulis ke Azure Functions untuk membuat Aplikasi Fungsi diperlukan. Untuk informasi selengkapnya, lihat Azure Functions.
  • Token API IPinfo: Ambil Token API IPinfo Anda di sini.

Instruksi Penyetelan:

1. Ambil Token API

Ambil Token API IPinfo Anda di sini.

2. Di penyewa Azure AD Anda, buat aplikasi Azure Active Directory (AAD)

Di penyewa Azure AD Anda, buat aplikasi Azure Active Directory (AAD) dan dapatkan ID Penyewa, ID Klien, dan Rahasia Klien: Gunakan Tautan ini.

3. Tetapkan aplikasi AAD peran kontributor Microsoft Sentinel.

Tetapkan aplikasi AAD yang baru saja Anda buat ke Kontributor (Peran administrator istimewa) dan Metrik Pemantauan Publisher(Peran fungsi pekerjaan) di "Grup Sumber Daya" yang sama dengan yang Anda gunakan untuk "Ruang Kerja Analitik Log" tempat "Microsoft Sentinel" ditambahkan: Gunakan Tautan ini.

4. Dapatkan ID Sumber Daya Ruang Kerja

Gunakan bilah Ruang Kerja Analitik Log -> Properti yang memiliki nilai properti 'ID Sumber Daya'. Ini adalah resourceId yang sepenuhnya memenuhi syarat yang dalam format '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft. OperationalInsights/workspaces/{workspaceName}'

5. Sebarkan Fungsi Azure

Gunakan ini untuk penyebaran otomatis konektor data IPinfo menggunakan ARM Tempate.

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.ms

  2. Pilih Langganan, Grup Sumber Daya, dan Lokasi pilihan.

  3. Masukkan RESOURCE_ID, IPINFO_TOKEN, TENANT_ID, CLIENT_ID, CLIENT_SECRET.

Penyebaran manual Azure Functions

Gunakan instruksi langkah demi langkah berikut untuk menyebarkan konektor data IPinfo secara manual dengan Azure Functions (Penyebaran melalui Visual Studio Code).

Langkah 1 - Menyebarkan Aplikasi Fungsi

  1. Unduh file Aplikasi Fungsi Azure. Ekstrak arsip ke komputer pengembangan lokal Anda Azure Aplikasi Fungsi.
  2. Buat Aplikasi Fungsi menggunakan paket layanan Hosting Functions Premium atau App menggunakan opsi tingkat lanjut menggunakan VSCode.
  3. Ikuti instruksi penyebaran manual aplikasi fungsi untuk menyebarkan aplikasi Azure Functions menggunakan VSCode.
  4. Setelah penyebaran aplikasi fungsi berhasil, ikuti langkah-langkah berikutnya untuk mengonfigurasinya.

Langkah 2 - Mengonfigurasi Aplikasi Fungsi

  1. Buka portal Azure untuk konfigurasi Aplikasi Fungsi.
  2. Di Aplikasi Fungsi, pilih Nama Aplikasi Fungsi dan pilih Pengaturan -> Konfigurasi atau Variabel lingkungan.
  3. Di tab Pengaturan aplikasi, pilih + Pengaturan aplikasi baru.
  4. Tambahkan masing-masing pengaturan aplikasi berikut satu per satu, dengan nilai string masing-masing (peka huruf besar/kecil): RESOURCE_ID IPINFO_TOKEN TENANT_ID CLIENT_ID CLIENT_SECRET RETENTION_IN_DAYS TOTAL_RETENTION_IN_DAYS SCHEDULE LOCATION
  5. Setelah semua pengaturan aplikasi dimasukkan, klik Simpan.



IPinfo Iplocation Extended Data Connector

Didukung oleh:IPinfo

Konektor data IPinfo ini menginstal aplikasi Fungsi Azure untuk mengunduh himpunan data standard_location_extended dan menyisipkannya ke dalam tabel log kustom di Microsoft Sentinel

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
Ipinfo_Location_extended_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Microsoft. Izin web/situs: Izin baca dan tulis ke Azure Functions untuk membuat Aplikasi Fungsi diperlukan. Untuk informasi selengkapnya, lihat Azure Functions.
  • Token API IPinfo: Ambil Token API IPinfo Anda di sini.

Instruksi Penyetelan:

1. Ambil Token API

Ambil Token API IPinfo Anda di sini.

2. Di penyewa Azure AD Anda, buat aplikasi Azure Active Directory (AAD)

Di penyewa Azure AD Anda, buat aplikasi Azure Active Directory (AAD) dan dapatkan ID Penyewa, ID Klien, dan Rahasia Klien: Gunakan Tautan ini.

3. Tetapkan aplikasi AAD peran kontributor Microsoft Sentinel.

Tetapkan aplikasi AAD yang baru saja Anda buat ke Kontributor (Peran administrator istimewa) dan Metrik Pemantauan Publisher(Peran fungsi pekerjaan) di "Grup Sumber Daya" yang sama dengan yang Anda gunakan untuk "Ruang Kerja Analitik Log" tempat "Microsoft Sentinel" ditambahkan: Gunakan Tautan ini.

4. Dapatkan ID Sumber Daya Ruang Kerja

Gunakan bilah Ruang Kerja Analitik Log -> Properti yang memiliki nilai properti 'ID Sumber Daya'. Ini adalah resourceId yang sepenuhnya memenuhi syarat yang dalam format '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft. OperationalInsights/workspaces/{workspaceName}'

5. Sebarkan Fungsi Azure

Gunakan ini untuk penyebaran otomatis konektor data IPinfo menggunakan ARM Tempate.

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.ms

  2. Pilih Langganan, Grup Sumber Daya, dan Lokasi pilihan.

  3. Masukkan RESOURCE_ID, IPINFO_TOKEN, TENANT_ID, CLIENT_ID, CLIENT_SECRET.

Penyebaran manual Azure Functions

Gunakan instruksi langkah demi langkah berikut untuk menyebarkan konektor data IPinfo secara manual dengan Azure Functions (Penyebaran melalui Visual Studio Code).

Langkah 1 - Menyebarkan Aplikasi Fungsi

  1. Unduh file Aplikasi Fungsi Azure. Ekstrak arsip ke komputer pengembangan lokal Anda Azure Aplikasi Fungsi.
  2. Buat Aplikasi Fungsi menggunakan paket layanan Hosting Functions Premium atau App menggunakan opsi tingkat lanjut menggunakan VSCode.
  3. Ikuti instruksi penyebaran manual aplikasi fungsi untuk menyebarkan aplikasi Azure Functions menggunakan VSCode.
  4. Setelah penyebaran aplikasi fungsi berhasil, ikuti langkah-langkah berikutnya untuk mengonfigurasinya.

Langkah 2 - Mengonfigurasi Aplikasi Fungsi

  1. Buka portal Azure untuk konfigurasi Aplikasi Fungsi.
  2. Di Aplikasi Fungsi, pilih Nama Aplikasi Fungsi dan pilih Pengaturan -> Konfigurasi atau Variabel lingkungan.
  3. Di tab Pengaturan aplikasi, pilih + Pengaturan aplikasi baru.
  4. Tambahkan masing-masing pengaturan aplikasi berikut satu per satu, dengan nilai string masing-masing (peka huruf besar/kecil): RESOURCE_ID IPINFO_TOKEN TENANT_ID CLIENT_ID CLIENT_SECRET RETENTION_IN_DAYS TOTAL_RETENTION_IN_DAYS SCHEDULE LOCATION
  5. Setelah semua pengaturan aplikasi dimasukkan, klik Simpan.



Konektor Data IPinfo Plus

Didukung oleh:IPinfo

Konektor data IPinfo ini menginstal aplikasi Fungsi Azure untuk mengunduh himpunan data Plus dan menyisipkannya ke dalam tabel log kustom di Microsoft Sentinel

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
Ipinfo_PLUS_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Microsoft. Izin web/situs: Izin baca dan tulis ke Azure Functions untuk membuat Aplikasi Fungsi diperlukan. Untuk informasi selengkapnya, lihat Azure Functions.
  • Token API IPinfo: Ambil Token API IPinfo Anda di sini.

Instruksi Penyetelan:

1. Ambil Token API

Ambil Token API IPinfo Anda di sini.

2. Di penyewa Azure AD Anda, buat aplikasi Azure Active Directory (AAD)

Di penyewa Azure AD Anda, buat aplikasi Azure Active Directory (AAD) dan dapatkan ID Penyewa, ID Klien, dan Rahasia Klien: Gunakan Tautan ini.

3. Tetapkan aplikasi AAD peran kontributor Microsoft Sentinel.

Tetapkan aplikasi AAD yang baru saja Anda buat ke Kontributor (Peran administrator istimewa) dan Metrik Pemantauan Publisher(Peran fungsi pekerjaan) di "Grup Sumber Daya" yang sama dengan yang Anda gunakan untuk "Ruang Kerja Analitik Log" tempat "Microsoft Sentinel" ditambahkan: Gunakan Tautan ini.

4. Dapatkan ID Sumber Daya Ruang Kerja

Gunakan bilah Ruang Kerja Analitik Log -> Properti yang memiliki nilai properti 'ID Sumber Daya'. Ini adalah resourceId yang sepenuhnya memenuhi syarat yang dalam format '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft. OperationalInsights/workspaces/{workspaceName}'

5. Sebarkan Fungsi Azure

Gunakan ini untuk penyebaran otomatis konektor data IPinfo menggunakan ARM Tempate.

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.ms

  2. Pilih Langganan, Grup Sumber Daya, dan Lokasi pilihan.

  3. Masukkan RESOURCE_ID, IPINFO_TOKEN, TENANT_ID, CLIENT_ID, CLIENT_SECRET.

Penyebaran manual Azure Functions

Gunakan instruksi langkah demi langkah berikut untuk menyebarkan konektor data IPinfo secara manual dengan Azure Functions (Penyebaran melalui Visual Studio Code).

Langkah 1 - Menyebarkan Aplikasi Fungsi

  1. Unduh file Aplikasi Fungsi Azure. Ekstrak arsip ke komputer pengembangan lokal Anda Azure Aplikasi Fungsi.
  2. Buat Aplikasi Fungsi menggunakan paket layanan Hosting Functions Premium atau App menggunakan opsi tingkat lanjut menggunakan VSCode.
  3. Ikuti instruksi penyebaran manual aplikasi fungsi untuk menyebarkan aplikasi Azure Functions menggunakan VSCode.
  4. Setelah penyebaran aplikasi fungsi berhasil, ikuti langkah-langkah berikutnya untuk mengonfigurasinya.

Langkah 2 - Mengonfigurasi Aplikasi Fungsi

  1. Buka portal Azure untuk konfigurasi Aplikasi Fungsi.
  2. Di Aplikasi Fungsi, pilih Nama Aplikasi Fungsi dan pilih Pengaturan -> Konfigurasi atau Variabel lingkungan.
  3. Di tab Pengaturan aplikasi, pilih + Pengaturan aplikasi baru.
  4. Tambahkan masing-masing pengaturan aplikasi berikut satu per satu, dengan nilai string masing-masing (peka huruf besar/kecil): RESOURCE_ID IPINFO_TOKEN TENANT_ID CLIENT_ID CLIENT_SECRET RETENTION_IN_DAYS TOTAL_RETENTION_IN_DAYS SCHEDULE LOCATION
  5. Setelah semua pengaturan aplikasi dimasukkan, klik Simpan.



Konektor Data Privasi IPinfo

Didukung oleh:IPinfo

Konektor data IPinfo ini menginstal aplikasi Fungsi Azure untuk mengunduh himpunan data standard_privacy dan menyisipkannya ke dalam tabel log kustom di Microsoft Sentinel

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
Ipinfo_Privacy_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Microsoft. Izin web/situs: Izin baca dan tulis ke Azure Functions untuk membuat Aplikasi Fungsi diperlukan. Untuk informasi selengkapnya, lihat Azure Functions.
  • Token API IPinfo: Ambil Token API IPinfo Anda di sini.

Instruksi Penyetelan:

1. Ambil Token API

Ambil Token API IPinfo Anda di sini.

2. Di penyewa Azure AD Anda, buat aplikasi Azure Active Directory (AAD)

Di penyewa Azure AD Anda, buat aplikasi Azure Active Directory (AAD) dan dapatkan ID Penyewa, ID Klien, dan Rahasia Klien: Gunakan Tautan ini.

3. Tetapkan aplikasi AAD peran kontributor Microsoft Sentinel.

Tetapkan aplikasi AAD yang baru saja Anda buat ke Kontributor (Peran administrator istimewa) dan Metrik Pemantauan Publisher(Peran fungsi pekerjaan) di "Grup Sumber Daya" yang sama dengan yang Anda gunakan untuk "Ruang Kerja Analitik Log" tempat "Microsoft Sentinel" ditambahkan: Gunakan Tautan ini.

4. Dapatkan ID Sumber Daya Ruang Kerja

Gunakan bilah Ruang Kerja Analitik Log -> Properti yang memiliki nilai properti 'ID Sumber Daya'. Ini adalah resourceId yang sepenuhnya memenuhi syarat yang dalam format '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft. OperationalInsights/workspaces/{workspaceName}'

5. Sebarkan Fungsi Azure

Gunakan ini untuk penyebaran otomatis konektor data IPinfo menggunakan ARM Tempate.

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.ms

  2. Pilih Langganan, Grup Sumber Daya, dan Lokasi pilihan.

  3. Masukkan RESOURCE_ID, IPINFO_TOKEN, TENANT_ID, CLIENT_ID, CLIENT_SECRET.

Penyebaran manual Azure Functions

Gunakan instruksi langkah demi langkah berikut untuk menyebarkan konektor data IPinfo secara manual dengan Azure Functions (Penyebaran melalui Visual Studio Code).

Langkah 1 - Menyebarkan Aplikasi Fungsi

  1. Unduh file Aplikasi Fungsi Azure. Ekstrak arsip ke komputer pengembangan lokal Anda Azure Aplikasi Fungsi.
  2. Buat Aplikasi Fungsi menggunakan paket layanan Hosting Functions Premium atau App menggunakan opsi tingkat lanjut menggunakan VSCode.
  3. Ikuti instruksi penyebaran manual aplikasi fungsi untuk menyebarkan aplikasi Azure Functions menggunakan VSCode.
  4. Setelah penyebaran aplikasi fungsi berhasil, ikuti langkah-langkah berikutnya untuk mengonfigurasinya.

Langkah 2 - Mengonfigurasi Aplikasi Fungsi

  1. Buka portal Azure untuk konfigurasi Aplikasi Fungsi.
  2. Di Aplikasi Fungsi, pilih Nama Aplikasi Fungsi dan pilih Pengaturan -> Konfigurasi atau Variabel lingkungan.
  3. Di tab Pengaturan aplikasi, pilih + Pengaturan aplikasi baru.
  4. Tambahkan masing-masing pengaturan aplikasi berikut satu per satu, dengan nilai string masing-masing (peka huruf besar/kecil): RESOURCE_ID IPINFO_TOKEN TENANT_ID CLIENT_ID CLIENT_SECRET RETENTION_IN_DAYS TOTAL_RETENTION_IN_DAYS SCHEDULE LOCATION
  5. Setelah semua pengaturan aplikasi dimasukkan, klik Simpan.



Konektor Data IPinfo Privacy Extended

Didukung oleh:IPinfo

Konektor data IPinfo ini menginstal aplikasi Fungsi Azure untuk mengunduh himpunan data standard_privacy dan menyisipkannya ke dalam tabel log kustom di Microsoft Sentinel

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
Ipinfo_Privacy_extended_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Microsoft. Izin web/situs: Izin baca dan tulis ke Azure Functions untuk membuat Aplikasi Fungsi diperlukan. Untuk informasi selengkapnya, lihat Azure Functions.
  • Token API IPinfo: Ambil Token API IPinfo Anda di sini.

Instruksi Penyetelan:

1. Ambil Token API

Ambil Token API IPinfo Anda di sini.

2. Di penyewa Azure AD Anda, buat aplikasi Azure Active Directory (AAD)

Di penyewa Azure AD Anda, buat aplikasi Azure Active Directory (AAD) dan dapatkan ID Penyewa, ID Klien, dan Rahasia Klien: Gunakan Tautan ini.

3. Tetapkan aplikasi AAD peran kontributor Microsoft Sentinel.

Tetapkan aplikasi AAD yang baru saja Anda buat ke Kontributor (Peran administrator istimewa) dan Metrik Pemantauan Publisher(Peran fungsi pekerjaan) di "Grup Sumber Daya" yang sama dengan yang Anda gunakan untuk "Ruang Kerja Analitik Log" tempat "Microsoft Sentinel" ditambahkan: Gunakan Tautan ini.

4. Dapatkan ID Sumber Daya Ruang Kerja

Gunakan bilah Ruang Kerja Analitik Log -> Properti yang memiliki nilai properti 'ID Sumber Daya'. Ini adalah resourceId yang sepenuhnya memenuhi syarat yang dalam format '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft. OperationalInsights/workspaces/{workspaceName}'

5. Sebarkan Fungsi Azure

Gunakan ini untuk penyebaran otomatis konektor data IPinfo menggunakan ARM Tempate.

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.ms

  2. Pilih Langganan, Grup Sumber Daya, dan Lokasi pilihan.

  3. Masukkan RESOURCE_ID, IPINFO_TOKEN, TENANT_ID, CLIENT_ID, CLIENT_SECRET.

Penyebaran manual Azure Functions

Gunakan instruksi langkah demi langkah berikut untuk menyebarkan konektor data IPinfo secara manual dengan Azure Functions (Penyebaran melalui Visual Studio Code).

Langkah 1 - Menyebarkan Aplikasi Fungsi

  1. Unduh file Aplikasi Fungsi Azure. Ekstrak arsip ke komputer pengembangan lokal Anda Azure Aplikasi Fungsi.
  2. Buat Aplikasi Fungsi menggunakan paket layanan Hosting Functions Premium atau App menggunakan opsi tingkat lanjut menggunakan VSCode.
  3. Ikuti instruksi penyebaran manual aplikasi fungsi untuk menyebarkan aplikasi Azure Functions menggunakan VSCode.
  4. Setelah penyebaran aplikasi fungsi berhasil, ikuti langkah-langkah berikutnya untuk mengonfigurasinya.

Langkah 2 - Mengonfigurasi Aplikasi Fungsi

  1. Buka portal Azure untuk konfigurasi Aplikasi Fungsi.
  2. Di Aplikasi Fungsi, pilih Nama Aplikasi Fungsi dan pilih Pengaturan -> Konfigurasi atau Variabel lingkungan.
  3. Di tab Pengaturan aplikasi, pilih + Pengaturan aplikasi baru.
  4. Tambahkan masing-masing pengaturan aplikasi berikut satu per satu, dengan nilai string masing-masing (peka huruf besar/kecil): RESOURCE_ID IPINFO_TOKEN TENANT_ID CLIENT_ID CLIENT_SECRET RETENTION_IN_DAYS TOTAL_RETENTION_IN_DAYS SCHEDULE LOCATION
  5. Setelah semua pengaturan aplikasi dimasukkan, klik Simpan.



Konektor Data IPinfo ResProxy

Didukung oleh:IPinfo

Konektor data IPinfo ini menginstal aplikasi Fungsi Azure untuk mengunduh himpunan data ResProxy dan menyisipkannya ke dalam tabel log kustom di Microsoft Sentinel

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
Ipinfo_RESIDENTIAL_PROXY_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Microsoft. Izin web/situs: Izin baca dan tulis ke Azure Functions untuk membuat Aplikasi Fungsi diperlukan. Untuk informasi selengkapnya, lihat Azure Functions.
  • Token API IPinfo: Ambil Token API IPinfo Anda di sini.

Instruksi Penyetelan:

1. Ambil Token API

Ambil Token API IPinfo Anda di sini.

2. Di penyewa Azure AD Anda, buat aplikasi Azure Active Directory (AAD)

Di penyewa Azure AD Anda, buat aplikasi Azure Active Directory (AAD) dan dapatkan ID Penyewa, ID Klien, dan Rahasia Klien: Gunakan Tautan ini.

3. Tetapkan aplikasi AAD peran kontributor Microsoft Sentinel.

Tetapkan aplikasi AAD yang baru saja Anda buat ke Kontributor (Peran administrator istimewa) dan Metrik Pemantauan Publisher(Peran fungsi pekerjaan) di "Grup Sumber Daya" yang sama dengan yang Anda gunakan untuk "Ruang Kerja Analitik Log" tempat "Microsoft Sentinel" ditambahkan: Gunakan Tautan ini.

4. Dapatkan ID Sumber Daya Ruang Kerja

Gunakan bilah Ruang Kerja Analitik Log -> Properti yang memiliki nilai properti 'ID Sumber Daya'. Ini adalah resourceId yang sepenuhnya memenuhi syarat yang dalam format '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft. OperationalInsights/workspaces/{workspaceName}'

5. Sebarkan Fungsi Azure

Gunakan ini untuk penyebaran otomatis konektor data IPinfo menggunakan ARM Tempate.

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.ms

  2. Pilih Langganan, Grup Sumber Daya, dan Lokasi pilihan.

  3. Masukkan RESOURCE_ID, IPINFO_TOKEN, TENANT_ID, CLIENT_ID, CLIENT_SECRET.

Penyebaran manual Azure Functions

Gunakan instruksi langkah demi langkah berikut untuk menyebarkan konektor data IPinfo secara manual dengan Azure Functions (Penyebaran melalui Visual Studio Code).

Langkah 1 - Menyebarkan Aplikasi Fungsi

  1. Unduh file Aplikasi Fungsi Azure. Ekstrak arsip ke komputer pengembangan lokal Anda Azure Aplikasi Fungsi.
  2. Buat Aplikasi Fungsi menggunakan paket layanan Hosting Functions Premium atau App menggunakan opsi tingkat lanjut menggunakan VSCode.
  3. Ikuti instruksi penyebaran manual aplikasi fungsi untuk menyebarkan aplikasi Azure Functions menggunakan VSCode.
  4. Setelah penyebaran aplikasi fungsi berhasil, ikuti langkah-langkah berikutnya untuk mengonfigurasinya.

Langkah 2 - Mengonfigurasi Aplikasi Fungsi

  1. Buka portal Azure untuk konfigurasi Aplikasi Fungsi.
  2. Di Aplikasi Fungsi, pilih Nama Aplikasi Fungsi dan pilih Pengaturan -> Konfigurasi atau Variabel lingkungan.
  3. Di tab Pengaturan aplikasi, pilih + Pengaturan aplikasi baru.
  4. Tambahkan masing-masing pengaturan aplikasi berikut satu per satu, dengan nilai string masing-masing (peka huruf besar/kecil): RESOURCE_ID IPINFO_TOKEN TENANT_ID CLIENT_ID CLIENT_SECRET RETENTION_IN_DAYS TOTAL_RETENTION_IN_DAYS SCHEDULE LOCATION
  5. Setelah semua pengaturan aplikasi dimasukkan, klik Simpan.



Konektor Data IPinfo RIRWHOIS

Didukung oleh:IPinfo

Konektor data IPinfo ini menginstal aplikasi Fungsi Azure untuk mengunduh himpunan data RIRWHOIS dan menyisipkannya ke dalam tabel log kustom di Microsoft Sentinel

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
Ipinfo_RIRWHOIS_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Microsoft. Izin web/situs: Izin baca dan tulis ke Azure Functions untuk membuat Aplikasi Fungsi diperlukan. Untuk informasi selengkapnya, lihat Azure Functions.
  • Token API IPinfo: Ambil Token API IPinfo Anda di sini.

Instruksi Penyetelan:

1. Ambil Token API

Ambil Token API IPinfo Anda di sini.

2. Di penyewa Azure AD Anda, buat aplikasi Azure Active Directory (AAD)

Di penyewa Azure AD Anda, buat aplikasi Azure Active Directory (AAD) dan dapatkan ID Penyewa, ID Klien, dan Rahasia Klien: Gunakan Tautan ini.

3. Tetapkan aplikasi AAD peran kontributor Microsoft Sentinel.

Tetapkan aplikasi AAD yang baru saja Anda buat ke Kontributor (Peran administrator istimewa) dan Metrik Pemantauan Publisher(Peran fungsi pekerjaan) di "Grup Sumber Daya" yang sama dengan yang Anda gunakan untuk "Ruang Kerja Analitik Log" tempat "Microsoft Sentinel" ditambahkan: Gunakan Tautan ini.

4. Dapatkan ID Sumber Daya Ruang Kerja

Gunakan bilah Ruang Kerja Analitik Log -> Properti yang memiliki nilai properti 'ID Sumber Daya'. Ini adalah resourceId yang sepenuhnya memenuhi syarat yang dalam format '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft. OperationalInsights/workspaces/{workspaceName}'

5. Sebarkan Fungsi Azure

Gunakan ini untuk penyebaran otomatis konektor data IPinfo menggunakan ARM Tempate.

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.ms

  2. Pilih Langganan, Grup Sumber Daya, dan Lokasi pilihan.

  3. Masukkan RESOURCE_ID, IPINFO_TOKEN, TENANT_ID, CLIENT_ID, CLIENT_SECRET.

Penyebaran manual Azure Functions

Gunakan instruksi langkah demi langkah berikut untuk menyebarkan konektor data IPinfo secara manual dengan Azure Functions (Penyebaran melalui Visual Studio Code).

Langkah 1 - Menyebarkan Aplikasi Fungsi

  1. Unduh file Aplikasi Fungsi Azure. Ekstrak arsip ke komputer pengembangan lokal Anda Azure Aplikasi Fungsi.
  2. Buat Aplikasi Fungsi menggunakan paket layanan Hosting Functions Premium atau App menggunakan opsi tingkat lanjut menggunakan VSCode.
  3. Ikuti instruksi penyebaran manual aplikasi fungsi untuk menyebarkan aplikasi Azure Functions menggunakan VSCode.
  4. Setelah penyebaran aplikasi fungsi berhasil, ikuti langkah-langkah berikutnya untuk mengonfigurasinya.

Langkah 2 - Mengonfigurasi Aplikasi Fungsi

  1. Buka portal Azure untuk konfigurasi Aplikasi Fungsi.
  2. Di Aplikasi Fungsi, pilih Nama Aplikasi Fungsi dan pilih Pengaturan -> Konfigurasi atau Variabel lingkungan.
  3. Di tab Pengaturan aplikasi, pilih + Pengaturan aplikasi baru.
  4. Tambahkan masing-masing pengaturan aplikasi berikut satu per satu, dengan nilai string masing-masing (peka huruf besar/kecil): RESOURCE_ID IPINFO_TOKEN TENANT_ID CLIENT_ID CLIENT_SECRET RETENTION_IN_DAYS TOTAL_RETENTION_IN_DAYS SCHEDULE LOCATION
  5. Setelah semua pengaturan aplikasi dimasukkan, klik Simpan.



Konektor Data IPinfo RWHOIS

Didukung oleh:IPinfo

Konektor data IPinfo ini menginstal aplikasi Fungsi Azure untuk mengunduh himpunan data RWHOIS dan menyisipkannya ke dalam tabel log kustom di Microsoft Sentinel

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
Ipinfo_RWHOIS_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Microsoft. Izin web/situs: Izin baca dan tulis ke Azure Functions untuk membuat Aplikasi Fungsi diperlukan. Untuk informasi selengkapnya, lihat Azure Functions.
  • Token API IPinfo: Ambil Token API IPinfo Anda di sini.

Instruksi Penyetelan:

1. Ambil Token API

Ambil Token API IPinfo Anda di sini.

2. Di penyewa Azure AD Anda, buat aplikasi Azure Active Directory (AAD)

Di penyewa Azure AD Anda, buat aplikasi Azure Active Directory (AAD) dan dapatkan ID Penyewa, ID Klien, dan Rahasia Klien: Gunakan Tautan ini.

3. Tetapkan aplikasi AAD peran kontributor Microsoft Sentinel.

Tetapkan aplikasi AAD yang baru saja Anda buat ke Kontributor (Peran administrator istimewa) dan Metrik Pemantauan Publisher(Peran fungsi pekerjaan) di "Grup Sumber Daya" yang sama dengan yang Anda gunakan untuk "Ruang Kerja Analitik Log" tempat "Microsoft Sentinel" ditambahkan: Gunakan Tautan ini.

4. Dapatkan ID Sumber Daya Ruang Kerja

Gunakan bilah Ruang Kerja Analitik Log -> Properti yang memiliki nilai properti 'ID Sumber Daya'. Ini adalah resourceId yang sepenuhnya memenuhi syarat yang dalam format '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft. OperationalInsights/workspaces/{workspaceName}'

5. Sebarkan Fungsi Azure

Gunakan ini untuk penyebaran otomatis konektor data IPinfo menggunakan ARM Tempate.

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.ms

  2. Pilih Langganan, Grup Sumber Daya, dan Lokasi pilihan.

  3. Masukkan RESOURCE_ID, IPINFO_TOKEN, TENANT_ID, CLIENT_ID, CLIENT_SECRET.

Penyebaran manual Azure Functions

Gunakan instruksi langkah demi langkah berikut untuk menyebarkan konektor data IPinfo secara manual dengan Azure Functions (Penyebaran melalui Visual Studio Code).

Langkah 1 - Menyebarkan Aplikasi Fungsi

  1. Unduh file Aplikasi Fungsi Azure. Ekstrak arsip ke komputer pengembangan lokal Anda Azure Aplikasi Fungsi.
  2. Buat Aplikasi Fungsi menggunakan paket layanan Hosting Functions Premium atau App menggunakan opsi tingkat lanjut menggunakan VSCode.
  3. Ikuti instruksi penyebaran manual aplikasi fungsi untuk menyebarkan aplikasi Azure Functions menggunakan VSCode.
  4. Setelah penyebaran aplikasi fungsi berhasil, ikuti langkah-langkah berikutnya untuk mengonfigurasinya.

Langkah 2 - Mengonfigurasi Aplikasi Fungsi

  1. Buka portal Azure untuk konfigurasi Aplikasi Fungsi.
  2. Di Aplikasi Fungsi, pilih Nama Aplikasi Fungsi dan pilih Pengaturan -> Konfigurasi atau Variabel lingkungan.
  3. Di tab Pengaturan aplikasi, pilih + Pengaturan aplikasi baru.
  4. Tambahkan masing-masing pengaturan aplikasi berikut satu per satu, dengan nilai string masing-masing (peka huruf besar/kecil): RESOURCE_ID IPINFO_TOKEN TENANT_ID CLIENT_ID CLIENT_SECRET RETENTION_IN_DAYS TOTAL_RETENTION_IN_DAYS SCHEDULE LOCATION
  5. Setelah semua pengaturan aplikasi dimasukkan, klik Simpan.



Konektor Data ASN IPinfo WHOIS

Didukung oleh:IPinfo

Konektor data IPinfo ini menginstal aplikasi Fungsi Azure untuk mengunduh himpunan data WHOIS_ASN dan menyisipkannya ke dalam tabel log kustom di Microsoft Sentinel

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
Ipinfo_WHOIS_ASN_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Microsoft. Izin web/situs: Izin baca dan tulis ke Azure Functions untuk membuat Aplikasi Fungsi diperlukan. Untuk informasi selengkapnya, lihat Azure Functions.
  • Token API IPinfo: Ambil Token API IPinfo Anda di sini.

Instruksi Penyetelan:

1. Ambil Token API

Ambil Token API IPinfo Anda di sini.

2. Di penyewa Azure AD Anda, buat aplikasi Azure Active Directory (AAD)

Di penyewa Azure AD Anda, buat aplikasi Azure Active Directory (AAD) dan dapatkan ID Penyewa, ID Klien, dan Rahasia Klien: Gunakan Tautan ini.

3. Tetapkan aplikasi AAD peran kontributor Microsoft Sentinel.

Tetapkan aplikasi AAD yang baru saja Anda buat ke Kontributor (Peran administrator istimewa) dan Metrik Pemantauan Publisher(Peran fungsi pekerjaan) di "Grup Sumber Daya" yang sama dengan yang Anda gunakan untuk "Ruang Kerja Analitik Log" tempat "Microsoft Sentinel" ditambahkan: Gunakan Tautan ini.

4. Dapatkan ID Sumber Daya Ruang Kerja

Gunakan bilah Ruang Kerja Analitik Log -> Properti yang memiliki nilai properti 'ID Sumber Daya'. Ini adalah resourceId yang sepenuhnya memenuhi syarat yang dalam format '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft. OperationalInsights/workspaces/{workspaceName}'

5. Sebarkan Fungsi Azure

Gunakan ini untuk penyebaran otomatis konektor data IPinfo menggunakan ARM Tempate.

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.ms

  2. Pilih Langganan, Grup Sumber Daya, dan Lokasi pilihan.

  3. Masukkan RESOURCE_ID, IPINFO_TOKEN, TENANT_ID, CLIENT_ID, CLIENT_SECRET.

Penyebaran manual Azure Functions

Gunakan instruksi langkah demi langkah berikut untuk menyebarkan konektor data IPinfo secara manual dengan Azure Functions (Penyebaran melalui Visual Studio Code).

Langkah 1 - Menyebarkan Aplikasi Fungsi

  1. Unduh file Aplikasi Fungsi Azure. Ekstrak arsip ke komputer pengembangan lokal Anda Azure Aplikasi Fungsi.
  2. Buat Aplikasi Fungsi menggunakan paket layanan Hosting Functions Premium atau App menggunakan opsi tingkat lanjut menggunakan VSCode.
  3. Ikuti instruksi penyebaran manual aplikasi fungsi untuk menyebarkan aplikasi Azure Functions menggunakan VSCode.
  4. Setelah penyebaran aplikasi fungsi berhasil, ikuti langkah-langkah berikutnya untuk mengonfigurasinya.

Langkah 2 - Mengonfigurasi Aplikasi Fungsi

  1. Buka portal Azure untuk konfigurasi Aplikasi Fungsi.
  2. Di Aplikasi Fungsi, pilih Nama Aplikasi Fungsi dan pilih Pengaturan -> Konfigurasi atau Variabel lingkungan.
  3. Di tab Pengaturan aplikasi, pilih + Pengaturan aplikasi baru.
  4. Tambahkan masing-masing pengaturan aplikasi berikut satu per satu, dengan nilai string masing-masing (peka huruf besar/kecil): RESOURCE_ID IPINFO_TOKEN TENANT_ID CLIENT_ID CLIENT_SECRET RETENTION_IN_DAYS TOTAL_RETENTION_IN_DAYS SCHEDULE LOCATION
  5. Setelah semua pengaturan aplikasi dimasukkan, klik Simpan.



Konektor Data IPinfo WHOIS MNT

Didukung oleh:IPinfo

Konektor data IPinfo ini menginstal aplikasi Fungsi Azure untuk mengunduh himpunan data WHOIS_MNT dan menyisipkannya ke dalam tabel log kustom di Microsoft Sentinel

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
Ipinfo_WHOIS_MNT_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Microsoft. Izin web/situs: Izin baca dan tulis ke Azure Functions untuk membuat Aplikasi Fungsi diperlukan. Untuk informasi selengkapnya, lihat Azure Functions.
  • Token API IPinfo: Ambil Token API IPinfo Anda di sini.

Instruksi Penyetelan:

1. Ambil Token API

Ambil Token API IPinfo Anda di sini.

2. Di penyewa Azure AD Anda, buat aplikasi Azure Active Directory (AAD)

Di penyewa Azure AD Anda, buat aplikasi Azure Active Directory (AAD) dan dapatkan ID Penyewa, ID Klien, dan Rahasia Klien: Gunakan Tautan ini.

3. Tetapkan aplikasi AAD peran kontributor Microsoft Sentinel.

Tetapkan aplikasi AAD yang baru saja Anda buat ke Kontributor (Peran administrator istimewa) dan Metrik Pemantauan Publisher(Peran fungsi pekerjaan) di "Grup Sumber Daya" yang sama dengan yang Anda gunakan untuk "Ruang Kerja Analitik Log" tempat "Microsoft Sentinel" ditambahkan: Gunakan Tautan ini.

4. Dapatkan ID Sumber Daya Ruang Kerja

Gunakan bilah Ruang Kerja Analitik Log -> Properti yang memiliki nilai properti 'ID Sumber Daya'. Ini adalah resourceId yang sepenuhnya memenuhi syarat yang dalam format '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft. OperationalInsights/workspaces/{workspaceName}'

5. Sebarkan Fungsi Azure

Gunakan ini untuk penyebaran otomatis konektor data IPinfo menggunakan ARM Tempate.

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.ms

  2. Pilih Langganan, Grup Sumber Daya, dan Lokasi pilihan.

  3. Masukkan RESOURCE_ID, IPINFO_TOKEN, TENANT_ID, CLIENT_ID, CLIENT_SECRET.

Penyebaran manual Azure Functions

Gunakan instruksi langkah demi langkah berikut untuk menyebarkan konektor data IPinfo secara manual dengan Azure Functions (Penyebaran melalui Visual Studio Code).

Langkah 1 - Menyebarkan Aplikasi Fungsi

  1. Unduh file Aplikasi Fungsi Azure. Ekstrak arsip ke komputer pengembangan lokal Anda Azure Aplikasi Fungsi.
  2. Buat Aplikasi Fungsi menggunakan paket layanan Hosting Functions Premium atau App menggunakan opsi tingkat lanjut menggunakan VSCode.
  3. Ikuti instruksi penyebaran manual aplikasi fungsi untuk menyebarkan aplikasi Azure Functions menggunakan VSCode.
  4. Setelah penyebaran aplikasi fungsi berhasil, ikuti langkah-langkah berikutnya untuk mengonfigurasinya.

Langkah 2 - Mengonfigurasi Aplikasi Fungsi

  1. Buka portal Azure untuk konfigurasi Aplikasi Fungsi.
  2. Di Aplikasi Fungsi, pilih Nama Aplikasi Fungsi dan pilih Pengaturan -> Konfigurasi atau Variabel lingkungan.
  3. Di tab Pengaturan aplikasi, pilih + Pengaturan aplikasi baru.
  4. Tambahkan masing-masing pengaturan aplikasi berikut satu per satu, dengan nilai string masing-masing (peka huruf besar/kecil): RESOURCE_ID IPINFO_TOKEN TENANT_ID CLIENT_ID CLIENT_SECRET RETENTION_IN_DAYS TOTAL_RETENTION_IN_DAYS SCHEDULE LOCATION
  5. Setelah semua pengaturan aplikasi dimasukkan, klik Simpan.



Konektor Data NET IPinfo WHOIS

Didukung oleh:IPinfo

Konektor data IPinfo ini menginstal aplikasi Fungsi Azure untuk mengunduh himpunan data WHOIS_NET dan menyisipkannya ke dalam tabel log kustom di Microsoft Sentinel

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
Ipinfo_WHOIS_NET_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Microsoft. Izin web/situs: Izin baca dan tulis ke Azure Functions untuk membuat Aplikasi Fungsi diperlukan. Untuk informasi selengkapnya, lihat Azure Functions.
  • Token API IPinfo: Ambil Token API IPinfo Anda di sini.

Instruksi Penyetelan:

1. Ambil Token API

Ambil Token API IPinfo Anda di sini.

2. Di penyewa Azure AD Anda, buat aplikasi Azure Active Directory (AAD)

Di penyewa Azure AD Anda, buat aplikasi Azure Active Directory (AAD) dan dapatkan ID Penyewa, ID Klien, dan Rahasia Klien: Gunakan Tautan ini.

3. Tetapkan aplikasi AAD peran kontributor Microsoft Sentinel.

Tetapkan aplikasi AAD yang baru saja Anda buat ke Kontributor (Peran administrator istimewa) dan Metrik Pemantauan Publisher(Peran fungsi pekerjaan) di "Grup Sumber Daya" yang sama dengan yang Anda gunakan untuk "Ruang Kerja Analitik Log" tempat "Microsoft Sentinel" ditambahkan: Gunakan Tautan ini.

4. Dapatkan ID Sumber Daya Ruang Kerja

Gunakan bilah Ruang Kerja Analitik Log -> Properti yang memiliki nilai properti 'ID Sumber Daya'. Ini adalah resourceId yang sepenuhnya memenuhi syarat yang dalam format '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft. OperationalInsights/workspaces/{workspaceName}'

5. Sebarkan Fungsi Azure

Gunakan ini untuk penyebaran otomatis konektor data IPinfo menggunakan ARM Tempate.

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.ms

  2. Pilih Langganan, Grup Sumber Daya, dan Lokasi pilihan.

  3. Masukkan RESOURCE_ID, IPINFO_TOKEN, TENANT_ID, CLIENT_ID, CLIENT_SECRET.

Penyebaran manual Azure Functions

Gunakan instruksi langkah demi langkah berikut untuk menyebarkan konektor data IPinfo secara manual dengan Azure Functions (Penyebaran melalui Visual Studio Code).

Langkah 1 - Menyebarkan Aplikasi Fungsi

  1. Unduh file Aplikasi Fungsi Azure. Ekstrak arsip ke komputer pengembangan lokal Anda Azure Aplikasi Fungsi.
  2. Buat Aplikasi Fungsi menggunakan paket layanan Hosting Functions Premium atau App menggunakan opsi tingkat lanjut menggunakan VSCode.
  3. Ikuti instruksi penyebaran manual aplikasi fungsi untuk menyebarkan aplikasi Azure Functions menggunakan VSCode.
  4. Setelah penyebaran aplikasi fungsi berhasil, ikuti langkah-langkah berikutnya untuk mengonfigurasinya.

Langkah 2 - Mengonfigurasi Aplikasi Fungsi

  1. Buka portal Azure untuk konfigurasi Aplikasi Fungsi.
  2. Di Aplikasi Fungsi, pilih Nama Aplikasi Fungsi dan pilih Pengaturan -> Konfigurasi atau Variabel lingkungan.
  3. Di tab Pengaturan aplikasi, pilih + Pengaturan aplikasi baru.
  4. Tambahkan masing-masing pengaturan aplikasi berikut satu per satu, dengan nilai string masing-masing (peka huruf besar/kecil): RESOURCE_ID IPINFO_TOKEN TENANT_ID CLIENT_ID CLIENT_SECRET RETENTION_IN_DAYS TOTAL_RETENTION_IN_DAYS SCHEDULE LOCATION
  5. Setelah semua pengaturan aplikasi dimasukkan, klik Simpan.



Konektor Data ORG IPinfo WHOIS

Didukung oleh:IPinfo

Konektor data IPinfo ini menginstal aplikasi Fungsi Azure untuk mengunduh himpunan data WHOIS_ORG dan menyisipkannya ke dalam tabel log kustom di Microsoft Sentinel

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
Ipinfo_WHOIS_ORG_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Microsoft. Izin web/situs: Izin baca dan tulis ke Azure Functions untuk membuat Aplikasi Fungsi diperlukan. Untuk informasi selengkapnya, lihat Azure Functions.
  • Token API IPinfo: Ambil Token API IPinfo Anda di sini.

Instruksi Penyetelan:

1. Ambil Token API

Ambil Token API IPinfo Anda di sini.

2. Di penyewa Azure AD Anda, buat aplikasi Azure Active Directory (AAD)

Di penyewa Azure AD Anda, buat aplikasi Azure Active Directory (AAD) dan dapatkan ID Penyewa, ID Klien, dan Rahasia Klien: Gunakan Tautan ini.

3. Tetapkan aplikasi AAD peran kontributor Microsoft Sentinel.

Tetapkan aplikasi AAD yang baru saja Anda buat ke Kontributor (Peran administrator istimewa) dan Metrik Pemantauan Publisher(Peran fungsi pekerjaan) di "Grup Sumber Daya" yang sama dengan yang Anda gunakan untuk "Ruang Kerja Analitik Log" tempat "Microsoft Sentinel" ditambahkan: Gunakan Tautan ini.

4. Dapatkan ID Sumber Daya Ruang Kerja

Gunakan bilah Ruang Kerja Analitik Log -> Properti yang memiliki nilai properti 'ID Sumber Daya'. Ini adalah resourceId yang sepenuhnya memenuhi syarat yang dalam format '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft. OperationalInsights/workspaces/{workspaceName}'

5. Sebarkan Fungsi Azure

Gunakan ini untuk penyebaran otomatis konektor data IPinfo menggunakan ARM Tempate.

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.ms

  2. Pilih Langganan, Grup Sumber Daya, dan Lokasi pilihan.

  3. Masukkan RESOURCE_ID, IPINFO_TOKEN, TENANT_ID, CLIENT_ID, CLIENT_SECRET.

Penyebaran manual Azure Functions

Gunakan instruksi langkah demi langkah berikut untuk menyebarkan konektor data IPinfo secara manual dengan Azure Functions (Penyebaran melalui Visual Studio Code).

Langkah 1 - Menyebarkan Aplikasi Fungsi

  1. Unduh file Aplikasi Fungsi Azure. Ekstrak arsip ke komputer pengembangan lokal Anda Azure Aplikasi Fungsi.
  2. Buat Aplikasi Fungsi menggunakan paket layanan Hosting Functions Premium atau App menggunakan opsi tingkat lanjut menggunakan VSCode.
  3. Ikuti instruksi penyebaran manual aplikasi fungsi untuk menyebarkan aplikasi Azure Functions menggunakan VSCode.
  4. Setelah penyebaran aplikasi fungsi berhasil, ikuti langkah-langkah berikutnya untuk mengonfigurasinya.

Langkah 2 - Mengonfigurasi Aplikasi Fungsi

  1. Buka portal Azure untuk konfigurasi Aplikasi Fungsi.
  2. Di Aplikasi Fungsi, pilih Nama Aplikasi Fungsi dan pilih Pengaturan -> Konfigurasi atau Variabel lingkungan.
  3. Di tab Pengaturan aplikasi, pilih + Pengaturan aplikasi baru.
  4. Tambahkan masing-masing pengaturan aplikasi berikut satu per satu, dengan nilai string masing-masing (peka huruf besar/kecil): RESOURCE_ID IPINFO_TOKEN TENANT_ID CLIENT_ID CLIENT_SECRET RETENTION_IN_DAYS TOTAL_RETENTION_IN_DAYS SCHEDULE LOCATION
  5. Setelah semua pengaturan aplikasi dimasukkan, klik Simpan.



Konektor Data POC IPinfo WHOIS

Didukung oleh:IPinfo

Konektor data IPinfo ini menginstal aplikasi Fungsi Azure untuk mengunduh himpunan data WHOIS_POC dan menyisipkannya ke dalam tabel log kustom di Microsoft Sentinel

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
Ipinfo_WHOIS_POC_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Microsoft. Izin web/situs: Izin baca dan tulis ke Azure Functions untuk membuat Aplikasi Fungsi diperlukan. Untuk informasi selengkapnya, lihat Azure Functions.
  • Token API IPinfo: Ambil Token API IPinfo Anda di sini.

Instruksi Penyetelan:

1. Ambil Token API

Ambil Token API IPinfo Anda di sini.

2. Di penyewa Azure AD Anda, buat aplikasi Azure Active Directory (AAD)

Di penyewa Azure AD Anda, buat aplikasi Azure Active Directory (AAD) dan dapatkan ID Penyewa, ID Klien, dan Rahasia Klien: Gunakan Tautan ini.

3. Tetapkan aplikasi AAD peran kontributor Microsoft Sentinel.

Tetapkan aplikasi AAD yang baru saja Anda buat ke Kontributor (Peran administrator istimewa) dan Metrik Pemantauan Publisher(Peran fungsi pekerjaan) di "Grup Sumber Daya" yang sama dengan yang Anda gunakan untuk "Ruang Kerja Analitik Log" tempat "Microsoft Sentinel" ditambahkan: Gunakan Tautan ini.

4. Dapatkan ID Sumber Daya Ruang Kerja

Gunakan bilah Ruang Kerja Analitik Log -> Properti yang memiliki nilai properti 'ID Sumber Daya'. Ini adalah resourceId yang sepenuhnya memenuhi syarat yang dalam format '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft. OperationalInsights/workspaces/{workspaceName}'

5. Sebarkan Fungsi Azure

Gunakan ini untuk penyebaran otomatis konektor data IPinfo menggunakan ARM Tempate.

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.ms

  2. Pilih Langganan, Grup Sumber Daya, dan Lokasi pilihan.

  3. Masukkan RESOURCE_ID, IPINFO_TOKEN, TENANT_ID, CLIENT_ID, CLIENT_SECRET.

Penyebaran manual Azure Functions

Gunakan instruksi langkah demi langkah berikut untuk menyebarkan konektor data IPinfo secara manual dengan Azure Functions (Penyebaran melalui Visual Studio Code).

Langkah 1 - Menyebarkan Aplikasi Fungsi

  1. Unduh file Aplikasi Fungsi Azure. Ekstrak arsip ke komputer pengembangan lokal Anda Azure Aplikasi Fungsi.
  2. Buat Aplikasi Fungsi menggunakan paket layanan Hosting Functions Premium atau App menggunakan opsi tingkat lanjut menggunakan VSCode.
  3. Ikuti instruksi penyebaran manual aplikasi fungsi untuk menyebarkan aplikasi Azure Functions menggunakan VSCode.
  4. Setelah penyebaran aplikasi fungsi berhasil, ikuti langkah-langkah berikutnya untuk mengonfigurasinya.

Langkah 2 - Mengonfigurasi Aplikasi Fungsi

  1. Buka portal Azure untuk konfigurasi Aplikasi Fungsi.
  2. Di Aplikasi Fungsi, pilih Nama Aplikasi Fungsi dan pilih Pengaturan -> Konfigurasi atau Variabel lingkungan.
  3. Di tab Pengaturan aplikasi, pilih + Pengaturan aplikasi baru.
  4. Tambahkan masing-masing pengaturan aplikasi berikut satu per satu, dengan nilai string masing-masing (peka huruf besar/kecil): RESOURCE_ID IPINFO_TOKEN TENANT_ID CLIENT_ID CLIENT_SECRET RETENTION_IN_DAYS TOTAL_RETENTION_IN_DAYS SCHEDULE LOCATION
  5. Setelah semua pengaturan aplikasi dimasukkan, klik Simpan.



Island Enterprise Browser V2

Didukung oleh:Island

Island Enterprise Browser V2 Data Connector memungkinkan Anda menyerap peristiwa pengguna, peristiwa admin, dan peristiwa sistem, semuanya dalam satu konektor.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
Island_UserEvents_V2_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Kunci API Pulau: Kunci API Pulau diperlukan. Buat Kunci API melalui Konsol Manajemen Pulau. Untuk petunjuk lebih lanjut, lihat dokumentasi resmi Pulau.

Instruksi Penyetelan:

Sambungkan Island ke Microsoft Sentinel

URL API dan Kunci API tersedia melalui Island Management Console. Untuk petunjuk lebih lanjut, lihat dokumentasi resmi Pulau.

  • URL API: (URL API)
  • Kunci API: (Kunci)
  • Aktifkan/Nonaktifkan Koneksi



Jamf Lindungi Konektor Dorong

Didukung oleh:Jamf Software, LLC

Konektor Jamf Protect menyediakan kemampuan untuk membaca data peristiwa mentah dari Jamf Protect di Microsoft Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
jamfprotecttelemetryv2_CL Yes Yes
jamfprotectunifiedlogs_CL Yes Yes
jamfprotectalerts_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Microsoft Entra: Izin untuk membuat pendaftaran aplikasi di Microsoft Entra ID. Biasanya memerlukan peran Pengembang Aplikasi Entra ID atau yang lebih tinggi.
  • Microsoft Azure: Izin untuk menetapkan peran Publisher Metrik Pemantauan pada aturan pengumpulan data (DCR). Biasanya memerlukan peran Pemilik RBAC Azure atau Administrator Akses Pengguna

Instruksi Penyetelan:

1. Buat Sumber Daya ARM dan Berikan Izin yang Diperlukan

Konektor ini membaca data dari tabel yang digunakan Jamf Protect di Ruang Kerja analitik Microsoft, jika opsi penerusan data diaktifkan di Jamf Protect, maka data peristiwa mentah dikirim ke API penyerapan Microsoft Sentinel.

Konfigurasi Otomatis dan Penyerapan Data Aman dengan Aplikasi Entra Mengklik "Sebarkan" akan memicu pembuatan tabel Log Analytics dan Aturan Pengumpulan Data (DCR). Kemudian akan membuat aplikasi Entra, menautkan DCR ke aplikasi tersebut, dan mengatur rahasia yang dimasukkan dalam aplikasi. Penyiapan ini memungkinkan data dikirim dengan aman ke DCR menggunakan token Entra.

2. Dorong log Anda ke ruang kerja

Gunakan parameter berikut untuk mengonfigurasi komputer Anda untuk mengirim log ke ruang kerja.

  • ID Penyewa (ID Direktori): <nilai variabel yang disediakan pada waktu penginstalan>
  • ID Aplikasi Pendaftaran Aplikasi Entra: <nilai variabel yang disediakan pada waktu penginstalan>
  • Rahasia Pendaftaran Aplikasi Entra: <nilai variabel yang disediakan pada waktu penginstalan>
  • Uri Titik Akhir Pengumpulan Data: <nilai variabel yang disediakan pada waktu penginstalan>
  • ID Tidak Dapat Diubah Aturan Pengumpulan Data: <nilai variabel yang disediakan pada waktu penginstalan>
  • Nama Aliran Log Terpadu: <nilai variabel yang disediakan pada waktu penginstalan>
  • Nama Aliran Telemetri: <nilai variabel yang disediakan pada waktu penginstalan>
  • Nama Aliran Pemberitahuan: <nilai variabel yang disediakan pada waktu penginstalan>



JoeSandboxThreatIntelligence (menggunakan Azure Functions)

Didukung oleh:Stefan Bühlmann

Konektor JoeSandboxThreatIntelligence secara otomatis menghasilkan dan memberi umpan inteligensi ancaman untuk semua pengiriman ke JoeSandbox, meningkatkan deteksi ancaman dan respons insiden di Sentinel. Integrasi tanpa batas ini memberdayakan tim untuk secara proaktif mengatasi ancaman yang muncul.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
ThreatIntelIndicators Yes No

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Langganan Azure: Langganan Azure dengan peran pemilik diperlukan untuk mendaftarkan aplikasi di direktori aktif azure() dan menetapkan peran kontributor ke aplikasi dalam grup sumber daya.
  • Microsoft. Izin web/situs: Izin baca dan tulis ke Azure Functions untuk membuat Aplikasi Fungsi diperlukan. Untuk informasi selengkapnya, lihat Azure Functions.
  • Kredensial/izin REST API: Kunci API JoeSandbox diperlukan.

Instruksi Penyetelan:

CATATAN: Konektor ini menggunakan Azure Functions untuk terhubung ke API JoeSandbox untuk menarik IOC Ancaman JoeSandbox ke Microsoft Sentinel. Ini dapat mengakibatkan biaya tambahan untuk penyerapan data dan untuk menyimpan data dalam biaya Azure Blob Storage. Periksa halaman harga Azure Functions dan halaman harga Azure Blob Storage untuk detailnya.

(Langkah Opsional) Simpan ruang kerja dan kunci otorisasi API atau token dengan aman di Azure Key Vault. Azure Key Vault menyediakan mekanisme aman untuk menyimpan dan mengambil nilai kunci. Ikuti instruksi ini untuk menggunakan Azure Key Vault dengan Aplikasi Fungsi Azure.

  • ID ruang kerja: <nilai variabel yang disediakan pada waktu penginstalan>
  • Kunci Primer: <nilai variabel yang disediakan pada waktu penginstalan>

Opsi 1 - Templat Azure Resource Manager (ARM) untuk Paket Konsumsi Flex

Gunakan metode ini untuk penyebaran otomatis konektor data menggunakan Templat ARM.

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.ms

  2. Pilih Langganan, Grup Sumber Daya, dan Lokasi pilihan.

  3. Masukkan ID Aplikasi, ID Penyewa, Rahasia Klien, Kunci API JoeSandbox, Tanggal Pengambilan Awal JoeSandbox, TimeInterval, dan sebarkan.

  4. Tandai kotak centang berlabel Saya menyetujui syarat dan ketentuan yang dinyatakan di atas.

  5. Klik Beli untuk menyebarkan.

Opsi 2 - Templat Azure Resource Manager (ARM) untuk Paket Premium

Gunakan metode ini untuk penyebaran otomatis konektor data menggunakan Templat ARM.

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.ms

  2. Pilih Langganan, Grup Sumber Daya, dan Lokasi pilihan.

  3. Masukkan ID Aplikasi, ID Penyewa, Rahasia Klien, Kunci API JoeSandbox, Tanggal Pengambilan Awal JoeSandbox, TimeInterval, dan sebarkan.

  4. Tandai kotak centang berlabel Saya menyetujui syarat dan ketentuan yang dinyatakan di atas.

  5. Klik Beli untuk menyebarkan.



Konektor Pendorongan Keamanan Keeper

Didukung oleh:Keeper Security

Konektor Keeper Security menyediakan kemampuan untuk membaca data peristiwa mentah dari Keeper Security di Microsoft Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
KeeperSecurityEventNewLogs_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Microsoft Entra: Izin untuk membuat pendaftaran aplikasi di Microsoft Entra ID. Biasanya memerlukan peran Pengembang Aplikasi Entra ID atau yang lebih tinggi.
  • Microsoft Azure: Izin untuk menetapkan peran Publisher Metrik Pemantauan pada aturan pengumpulan data (DCR). Biasanya memerlukan peran Pemilik RBAC Azure atau Administrator Akses Pengguna

Instruksi Penyetelan:

1. Buat Sumber Daya ARM dan Berikan Izin yang Diperlukan

Konektor ini membaca data dari tabel yang digunakan Keeper Security di Microsoft Analytics Workspace, jika opsi penerusan data diaktifkan di Keeper Security, maka data peristiwa mentah dikirim ke MICROSOFT SENTINEL Ingestion API.

Konfigurasi Otomatis dan Penyerapan Data Aman dengan Aplikasi Entra Mengklik "Sebarkan" akan memicu pembuatan tabel Log Analytics dan Aturan Pengumpulan Data (DCR). Kemudian akan membuat aplikasi Entra, menautkan DCR ke aplikasi tersebut, dan mengatur rahasia yang dimasukkan dalam aplikasi. Penyiapan ini memungkinkan data dikirim dengan aman ke DCR menggunakan token Entra.

2. Dorong log Anda ke ruang kerja

Gunakan parameter berikut untuk mengonfigurasi komputer Anda untuk mengirim log ke ruang kerja.

  • ID Penyewa (ID Direktori): <nilai variabel yang disediakan pada waktu penginstalan>
  • ID Aplikasi Pendaftaran Aplikasi Entra: <nilai variabel yang disediakan pada waktu penginstalan>
  • Rahasia Pendaftaran Aplikasi Entra: <nilai variabel yang disediakan pada waktu penginstalan>
  • Uri Titik Akhir Pengumpulan Data: <nilai variabel yang disediakan pada waktu penginstalan>
  • ID Tidak Dapat Diubah Aturan Pengumpulan Data: <nilai variabel yang disediakan pada waktu penginstalan>
  • Nama Aliran Log Peristiwa: <nilai variabel yang disediakan pada waktu penginstalan>

3. Perbarui Konsol Admin Keeper

Konfigurasikan Konsol Admin Keeper dengan detail koneksi Azure untuk mengaktifkan penerusan data ke Microsoft Sentinel.

Mengonfigurasi Log Azure Monitor di Keeper Admin Console

Di Konsol Admin Keeper, masuk sebagai Administrator Keeper. Kemudian buka Pelaporan & Pemberitahuan dan pilih Log Azure Monitor.

Berikan informasi berikut dari Langkah 2 di atas ke Konsol Admin:

  • ID Penyewa Azure: Anda dapat menemukannya dari area "Langganan" Azure.
  • ID aplikasi (klien): Ini terletak di layar ringkasan Pendaftaran aplikasi (KeeperLogging)
  • Nilai Rahasia Klien: Ini adalah Nilai Rahasia Klien dari rahasia pendaftaran aplikasi.
  • URL Titik Akhir: Ini adalah URL yang dibuat dalam format spesifik berikut: https://<collection_url>/dataCollectionRules/<dcr_id>/streams/<table>?api-version=2023-01-01

Untuk merakit URL Titik Akhir:

  • <URL> Koleksi Ini berasal dari Langkah 2 di atas
  • < >DCR_ID Dari Aturan Pengumpul Data, salin nilai "Id Tidak Dapat Diubah", misalnya.dcr-xxxxxxx
  • Ini adalah nama tabel yang dibuat oleh Azure, misalnya.Custom-KeeperSecurityEventNewLogs

    Contoh: https://<Collection_URL>/dataCollectionRules/<DCR_ID>/streams/Custom-KeeperSecurityEventNewLogs?api-version=2023-01-01



    LastPass Enterprise - Pelaporan (Polling CCF)

    Didukung oleh:Konsultasi Kolektif

    Konektor LastPass Enterprise menyediakan kemampuan untuk log pelaporan LastPass (audit) ke Microsoft Sentinel. Konektor memberikan visibilitas ke dalam login dan aktivitas dalam LastPass (seperti membaca dan menghapus kata sandi).

    tabel Log Analytics:

    Meja Dukungan DCR Penyerapan khusus lake
    LastPassNativePoller_CL Yes Yes

    Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

    Prasyarat:

    • Kunci API LastPass dan CID: Kunci API LastPass dan CID diperlukan. Untuk informasi selengkapnya, lihat LASTPass API.

    Instruksi Penyetelan:

    Sambungkan LastPass Enterprise ke Microsoft Sentinel

    Berikan Kunci API Provisi LastPass.



Konektor Deteksi Ancaman Seluler Lookout (melalui Kerangka Kerja Konektor Tanpa Kode) (Pratinjau)

Didukung oleh:Lookout

Konektor data Lookout Mobile Threat Detection menyediakan kemampuan untuk menyerap peristiwa yang terkait dengan risiko keamanan seluler ke dalam Microsoft Sentinel melalui MOBILE Risk API. Lihat dokumentasi API untuk informasi selengkapnya. Konektor ini membantu Anda memeriksa potensi risiko keamanan yang terdeteksi di perangkat seluler.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
LookoutMtdV2_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Instruksi Penyetelan:

Menyambungkan konektor Lookout Mobile Threat Defence ke Microsoft Sentinel

Sebelum menyambungkan ke Lookout, pastikan prasyarat berikut selesai.

  1. ApiKey diperlukan untuk API Deteksi Ancaman Seluler. Lihat dokumentasi untuk mempelajari selengkapnya tentang API. Periksa semua persyaratan dan ikuti instruksi untuk mendapatkan kredensial.
  • Kunci API: (Masukkan kunci API Anda )
  • Aktifkan/Nonaktifkan Koneksi



KLuminar dan Kredensial Bocor (menggunakan Azure Functions)

Didukung oleh:Cognyte Luminar

Konektor Luminar IOCs dan Leaked Credentials memungkinkan integrasi data IOC berbasis kecerdasan dan catatan bocor terkait pelanggan yang diidentifikasi oleh Luminar.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
ThreatIntelligenceIndicator Yes No

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Langganan Azure: Langganan Azure dengan peran pemilik diperlukan untuk mendaftarkan aplikasi di direktori aktif azure() dan menetapkan peran kontributor ke aplikasi dalam grup sumber daya.
  • Microsoft. Izin web/situs: Izin baca dan tulis ke Azure Functions untuk membuat Aplikasi Fungsi diperlukan. Untuk informasi selengkapnya, lihat Azure Functions.
  • Kredensial/izin REST API: ID Klien Luminar, Rahasia Klien Luminar , dan ID Akun Luminar diperlukan.

Instruksi Penyetelan:

CATATAN: Konektor ini menggunakan Azure Functions untuk terhubung ke API Cognyte Luminar untuk menarik IOC Luminar dan Kredensial Bocor ke Microsoft Sentinel. Ini dapat mengakibatkan biaya tambahan untuk penyerapan data dan untuk menyimpan data dalam biaya Azure Blob Storage. Periksa halaman harga Azure Functions dan halaman harga Azure Blob Storage untuk detailnya.

(Langkah Opsional) Simpan ruang kerja dan kunci otorisasi API atau token dengan aman di Azure Key Vault. Azure Key Vault menyediakan mekanisme aman untuk menyimpan dan mengambil nilai kunci. Ikuti instruksi ini untuk menggunakan Azure Key Vault dengan Aplikasi Fungsi Azure.

  • ID ruang kerja: <nilai variabel yang disediakan pada waktu penginstalan>
  • Kunci Primer: <nilai variabel yang disediakan pada waktu penginstalan>

Opsi 1 - Templat Azure Resource Manager (ARM)

Gunakan metode ini untuk penyebaran otomatis konektor data menggunakan Templat ARM.

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.ms

  2. Pilih Langganan, Grup Sumber Daya, dan Lokasi pilihan.

  3. Masukkan ID Aplikasi, ID Penyewa, Rahasia Klien, ID Klien API Luminar, ID Akun API Luminar, Rahasia Klien API Luminar, Batas, TimeInterval, dan sebarkan.

  4. Tandai kotak centang berlabel Saya menyetujui syarat dan ketentuan yang dinyatakan di atas.

  5. Klik Beli untuk menyebarkan.

Opsi 2 - Penyebaran manual Azure Functions

Gunakan instruksi langkah demi langkah berikut untuk menyebarkan konektor data Cognyte Luminar secara manual dengan Azure Functions (Penyebaran melalui Visual Studio Code).

  1. Menyebarkan Aplikasi Fungsi

CATATAN: Anda harus menyiapkan kode VS untuk pengembangan fungsi Azure.

  1. Unduh file Aplikasi Fungsi Azure. Ekstrak arsip ke komputer pengembangan lokal Anda.

  2. Jalankan VS Code. Pilih File di menu utama dan pilih Buka Folder.

  3. Pilih folder tingkat atas dari file yang diekstrak.

  4. Pilih ikon Azure di bilah Aktivitas, lalu di area Azure: Fungsi, pilih tombol Sebarkan ke aplikasi fungsi. Jika Anda belum masuk, pilih ikon Azure di bilah Aktivitas, lalu di area Azure: Functions, pilih Masuk ke Azure Jika Anda sudah masuk, buka langkah berikutnya.

  5. Berikan informasi berikut pada permintaan:

    a. Pilih folder: Pilih folder dari ruang kerja Anda atau telusuri folder yang berisi aplikasi fungsi Anda.

    b. Pilih Langganan: Pilih langganan yang akan digunakan.

    c. Pilih Buat Aplikasi Fungsi baru di Azure (Jangan pilih opsi Tingkat Lanjut)

    d. Masukkan nama unik global untuk aplikasi fungsi: Ketik nama yang valid di jalur URL. Nama yang Anda ketik akan divalidasi untuk memastikan bahwa nama tersebut bersifat unik di Azure Functions. (misalnya CognyteLuminarXXX).

    e. Pilih runtime: Pilih Python 3.11.

    f. Pilih lokasi untuk sumber daya baru. Untuk performa yang lebih baik dan biaya yang lebih rendah, pilih wilayah yang sama tempat sentinel Microsoft berada.

  6. Penyebaran akan dimulai. Notifikasi ditampilkan setelah aplikasi fungsi Anda dibuat dan paket penyebaran diterapkan.

  7. Buka portal Azure untuk konfigurasi Aplikasi Fungsi.

  8. Mengonfigurasi Aplikasi Fungsi

  9. Di Aplikasi Fungsi, pilih Nama Aplikasi Fungsi dan pilih Konfigurasi.

  10. Di tab Pengaturan aplikasi, pilih + Pengaturan aplikasi baru.

  11. Tambahkan masing-masing pengaturan aplikasi berikut satu per satu, dengan nilai string masing-masing (peka huruf besar/kecil): ID Penyewa ID Klien Luminar API Klien ID Klien LUMINAR API ID Akun Luminar API Client Secret Limit TimeInterval - Gunakan logAnalyticsUri untuk mengganti titik akhir API analitik log untuk cloud khusus. Misalnya, untuk cloud publik, biarkan nilai kosong; untuk Azure lingkungan cloud GovUS, tentukan nilai dalam format berikut:https://<CustomerId>.ods.opinsights.azure.us

  12. Setelah semua pengaturan aplikasi dimasukkan, klik Simpan.



Penjaga Surat 365

Didukung oleh:MailGuard 365

Keamanan Email yang Ditingkatkan MailGuard 365 untuk Microsoft 365. Eksklusif untuk marketplace Microsoft, MailGuard 365 terintegrasi dengan keamanan Microsoft 365 (termasuk Defender) untuk meningkatkan perlindungan terhadap ancaman email tingkat lanjut seperti phishing, ransomware, dan serangan BEC canggih.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
MailGuard365_Threats_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Instruksi Penyetelan:

Mengonfigurasi dan menyambungkan MailGuard 365

  1. Di Konsol MailGuard 365, klik Pengaturan pada bilah navigasi.
  2. Klik tab Integrasi.
  3. Klik aktifkan Microsoft Sentinel.
  4. Masukkan id ruang kerja dan kunci utama Anda dari bidang di bawah ini, klik Selesai.
  5. Untuk petunjuk tambahan, silakan hubungi dukungan MailGuard 365.
  • ID ruang kerja: <nilai variabel yang disediakan pada waktu penginstalan>
  • Kunci Primer: <nilai variabel yang disediakan pada waktu penginstalan>



MailRisk dengan Praktik Aman

Didukung oleh:Praktik Aman

Konektor MailRisk by Secure Practice memungkinkan Anda menyerap data inteligensi ancaman email dari MAILRisk API ke dalam Microsoft Sentinel. Konektor ini memberikan visibilitas ke dalam email yang dilaporkan, penilaian risiko, dan peristiwa keamanan yang terkait dengan ancaman email.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
MailRiskEventEmails_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Kredensial API: Pasangan kunci API Praktik Aman Anda juga diperlukan, yang dibuat dalam pengaturan di portal admin. Buat pasangan kunci baru dengan deskripsi Microsoft Sentinel.

Instruksi Penyetelan:

1. Dapatkan Kredensial API Praktik Aman

Masuk ke akun Praktik Aman Anda dan buat Kunci API dan Rahasia API jika Anda belum melakukannya.

2. Sambungkan ke MailRisk API

Masukkan kredensial SECURE Practice API Anda di bawah ini. Kredensial akan disimpan dengan aman dan digunakan untuk mengautentikasi permintaan API.

  • Kunci API: (Masukkan Kunci API Praktik Aman Anda)
  • Rahasia API: (Masukkan Rahasia API Praktik Aman Anda)
  • Aktifkan/Nonaktifkan Koneksi



Log Peristiwa meshStack

Didukung oleh:meshcloud GmbH

Konektor Log Peristiwa meshStack menyediakan kemampuan untuk menyerap peristiwa platform meshStack ke dalam Microsoft Sentinel. Dengan menyambungkan log peristiwa meshStack ke Microsoft Sentinel, Anda dapat menampilkan data ini dalam buku kerja, menggunakannya untuk membuat pemberitahuan kustom, dan meningkatkan proses investigasi Anda untuk tata kelola platform cloud, audit, dan pemantauan kepatuhan.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
meshStackEventLogs_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • MeshStack OAuth2 API Key: MeshStack API Key yang valid dengan izin 'Admin: List Event Logs in any Workspace' diperlukan. Buat Kunci API di Panel Admin meshStack di bawah Kunci API Access Control>. Kunci API menyediakan kredensial OAuth2 (ID Kunci sebagai client_id dan Rahasia Kunci sebagai client_secret) untuk autentikasi. Catatan: Kunci API terikat ke ruang kerja tetapi dapat mengakses peristiwa dari semua ruang kerja.
  • instans meshStack: Akses ke instans meshStack dengan API Peristiwa diaktifkan.

Instruksi Penyetelan:

Menyambungkan log peristiwa meshStack ke Microsoft Sentinel

Masukkan URL API instans meshStack dan info masuk OAuth2 Anda dari Kunci API. Format URL API harus: https://your-meshstack-instance.io. Buat Kunci API di meshStack (Panel > Admin Access Control > Kunci API) dengan izin 'Admin: Daftar Log Peristiwa di Ruang Kerja apa pun'. Kunci API menyediakan ID Kunci (client_id) dan Rahasia Kunci (client_secret) untuk autentikasi OAuth2.

  • URL API meshStack: (https://your-meshstack-instance.io)
  • ID Klien (ID Kunci): (Masukkan ID Kunci dari Kunci API)
  • Rahasia Klien (Rahasia Kunci): (Masukkan Rahasia Kunci dari Kunci API)
  • Aktifkan/Nonaktifkan Koneksi



Microsoft 365 (sebelumnya, Office 365)

Dukungan oleh:Microsoft Corporation

Konektor log aktivitas Microsoft 365 (sebelumnya, Office 365) memberikan wawasan tentang aktivitas pengguna yang sedang berlangsung. Anda akan mendapatkan detail operasi seperti unduhan file, permintaan akses yang dikirim, perubahan pada peristiwa grup, set-mailbox, dan detail pengguna yang melakukan tindakan. Dengan menyambungkan log Microsoft 365 ke Microsoft Sentinel Anda dapat menggunakan data ini untuk melihat dasbor, membuat pemberitahuan kustom, dan meningkatkan proses investigasi Anda. Untuk informasi selengkapnya, lihat dokumentasi Microsoft Azure Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
OfficeActivity Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Microsoft 365 Manajemen Risiko Insider

Dukungan oleh:Microsoft Corporation

Microsoft 365 Insider Risk Management adalah solusi kepatuhan dalam Microsoft 365 yang membantu meminimalkan risiko internal dengan memungkinkan Anda mendeteksi, menyelidiki, dan bertindak pada aktivitas berbahaya dan tidak disengaja di organisasi Anda. Analis risiko di organisasi Anda dapat dengan cepat mengambil tindakan yang sesuai untuk memastikan pengguna mematuhi standar kepatuhan organisasi Anda.

Kebijakan risiko insider memungkinkan Anda untuk:

  • tentukan jenis risiko yang ingin Anda identifikasi dan deteksi di organisasi Anda.
  • memutuskan tindakan apa yang harus diambil sebagai respons, termasuk meningkatkan kasus ke Microsoft Advanced eDiscovery jika diperlukan.

Solusi ini menghasilkan pemberitahuan yang dapat dilihat oleh pelanggan Office dalam solusi Insider Risk Management di pusat kepatuhan Microsoft 365. Pelajari Selengkapnya tentang Manajemen Risiko Insider.

Pemberitahuan ini dapat diimpor ke Microsoft Sentinel dengan konektor ini, memungkinkan Anda untuk melihat, menyelidiki, dan menanggapinya dalam konteks ancaman organisasi yang lebih luas. Untuk informasi selengkapnya, lihat dokumentasi Microsoft Azure Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
SecurityAlert Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Microsoft Active-Directory Log Peristiwa Keamanan Pengendali Domain

Dukungan oleh:Komunitas

[Opsi 3 & 4] - Menggunakan -You Agen Azure Monitor dapat mengalirkan sebagian atau semua log Peristiwa Keamanan Pengendali Domain dari komputer Windows yang terhubung ke ruang kerja Microsoft Sentinel Anda menggunakan agen Windows. Koneksi ini memungkinkan Anda membuat pemberitahuan kustom, dan meningkatkan penyelidikan.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
SecurityEvent Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Azure Log Analytics tidak digunakan lagi, untuk mengumpulkan data dari VM non-Azure, Azure Arc disarankan. Pelajari lebih lanjut
  • Dokumentasi terperinci: >CATATAN: Dokumentasi terperinci tentang Prosedur penginstalan dan penggunaan dapat ditemukan di sini

Instruksi Penyetelan:

CATATAN: Solusi ini didasarkan pada opsi. Ini memungkinkan Anda untuk memilih data mana yang akan diserap karena beberapa opsi dapat menghasilkan volume data yang sangat tinggi. Bergantung pada apa yang ingin Anda kumpulkan, lacak di Buku Kerja, Aturan Analitik, Kemampuan berburu, Anda akan memilih opsi yang akan Anda sebarkan. Setiap opsi independen untuk satu dari yang lain. Untuk mempelajari lebih lanjut tentang setiap opsi: wiki 'Microsoft Exchange Security'

Konektor Data ini adalah opsi 3 dan 4 dari wiki.

1. Unduh dan instal agen yang diperlukan untuk mengumpulkan log untuk Microsoft Sentinel

Jenis server (Exchange Server, Pengendali Domain yang ditautkan ke Server Exchange atau semua Pengendali Domain) bergantung pada opsi yang ingin Anda sebarkan.

Menyebarkan Agen Monitor

Langkah ini diperlukan hanya jika ini pertama kalinya Anda melakukan onboarding Exchange Server/Pengendali Domain Menyebarkan Agen Azure Arc Pelajari selengkapnya

Log keamanan Pengendali Domain

Pilih cara mengalirkan log Keamanan Pengendali Domain. Jika Anda ingin menerapkan Opsi 3, Anda hanya perlu memilih DC di situs yang sama dengan server Exchange. Jika Anda ingin menerapkan Opsi 4, Anda dapat memilih semua DC forest Anda.

[Opsi 3] Hanya mencantumkan Pengendali Domain di situs yang sama dengan server Exchange untuk langkah berikutnya

Ini membatasi kuantitas data yang diinjeksi tetapi beberapa insiden tidak dapat dideteksi.

[Opsi 4] Mencantumkan semua Pengendali Domain forest Active-Directory Anda untuk langkah berikutnya

Ini memungkinkan pengumpulan semua peristiwa keamanan

Kumpulan log Peristiwa Keamanan

Aturan Pengumpulan Data - Log Peristiwa Keamanan

Aktifkan aturan pengumpulan data untuk log Peristiwa Keamanan Log Keamanan dikumpulkan hanya dari agen Windows.

  1. Tambahkan DC yang dipilih pada tab Sumber Daya .
  2. Pilih Tingkat log keamanan

Tingkat umum adalah minimum yang diperlukan. Pilih 'Umum' atau 'Semua Peristiwa Keamanan' pada definisi DCR.

  • Pasang Agen: <nilai variabel yang disediakan pada waktu penginstalan>



Identitas Agen Microsoft

Dukungan oleh:Microsoft Corporation

Konektor Microsoft Agent Identities menyediakan tampilan pusat identitas cetak biru agen dan agen. Ini menyerap dan melacak identitas agen dan data aset yang membantu Anda memahami kepemilikan, menganalisis hubungan, dan menghubungkan aset identitas dengan sinyal aktivitas dan risiko. Hal ini mengarah pada penyelidikan yang diperkaya, peningkatan tata kelola, penilaian risiko, dan postur keamanan melalui grafik.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Instruksi Penyetelan:



Microsoft Copilot

Dukungan oleh:Microsoft

Konektor log Microsoft Copilot di Microsoft Sentinel memungkinkan penyerapan log aktivitas yang dihasilkan Copilot dari Copilot M365 dan Security Copilot ke Microsoft Sentinel untuk deteksi ancaman tingkat lanjut, investigasi, dan respons. Ini mengumpulkan telemetri dari layanan Microsoft Copilot seperti data penggunaan dan respons sistem dan menyerap ke dalam Microsoft Sentinel, memungkinkan tim keamanan memantau penyalahgunaan, mendeteksi anomali, dan menjaga kepatuhan terhadap kebijakan organisasi.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
CopilotActivity No Yes

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Izin Penyewa: 'Administrator Keamanan' atau 'Administrator Global' pada penyewa ruang kerja.

Instruksi Penyetelan:

Menyambungkan log audit Microsoft Copilot ke Microsoft Sentinel

Konektor ini menggunakan Office Management API untuk mendapatkan log audit Microsoft Copilot Anda. Log akan disimpan dan diproses di ruang kerja Microsoft Sentinel yang ada. Anda dapat menemukan data dalam tabel CopilotActivity .

  • Aktifkan/Nonaktifkan Koneksi



Microsoft Dataverse

Dukungan oleh:Microsoft Corporation

Microsoft Dataverse adalah platform data yang dapat diskalakan dan aman yang memungkinkan organisasi untuk menyimpan dan mengelola data yang digunakan oleh aplikasi bisnis. Konektor data Microsoft Dataverse menyediakan kemampuan untuk menyerap log aktivitas Dataverse dan Dynamics 365 CRM dari log Microsoft Purview Audit ke Microsoft Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
DataverseActivity Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Izin Penyewa: 'Administrator Keamanan' atau 'Administrator Global' pada penyewa ruang kerja.
  • Micorosft Purview Audit: Microsoft Purview Audit (Standar atau Premium) harus diaktifkan.
  • Dataverse Produksi: Pengelogan aktivitas hanya tersedia untuk lingkungan Produksi. Jenis lain, seperti kotak pasir, tidak mendukung pengelogan aktivitas.
  • Pengaturan Audit Dataverse: Pengaturan audit harus dikonfigurasi baik secara global maupun di tingkat entitas/tabel. Untuk informasi selengkapnya, lihat Pengaturan audit Dataverse.

Instruksi Penyetelan:

Menyambungkan log audit Microsoft Dataverse ke Microsoft Sentinel

Konektor ini menggunakan Office Management API untuk mendapatkan log audit Dataverse Anda. Log akan disimpan dan diproses di ruang kerja Microsoft Sentinel yang ada. Anda dapat menemukan data dalam tabel DataverseActivity .

  • Aktifkan/Nonaktifkan Koneksi



Microsoft Defender for Cloud Apps

Dukungan oleh:Microsoft Corporation

Dengan terhubung dengan Microsoft Defender for Cloud Apps Anda akan mendapatkan visibilitas ke dalam aplikasi cloud Anda, mendapatkan analitik canggih untuk mengidentifikasi dan memerangi ancaman cyber, dan mengontrol cara data Anda bepergian.

  • Identifikasi aplikasi cloud IT bayangan di jaringan Anda.
  • Mengontrol dan membatasi akses berdasarkan kondisi dan konteks sesi.
  • Gunakan kebijakan bawaan atau kustom untuk berbagi data dan pencegahan kehilangan data.
  • Identifikasi penggunaan berisiko tinggi dan dapatkan pemberitahuan untuk aktivitas pengguna yang tidak biasa dengan analitik perilaku Microsoft dan kemampuan deteksi anomali, termasuk aktivitas ransomware, perjalanan tidak mungkin, aturan penerusan email yang mencurigakan, dan unduhan file secara massal.
  • Unduhan file secara massal

Sebarkan sekarang >

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
SecurityAlert​ No No
McasShadowItReporting​ No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Microsoft Defender untuk Titik Akhir

Dukungan oleh:Microsoft Corporation

Microsoft Defender untuk Titik Akhir adalah platform keamanan yang dirancang untuk mencegah, mendeteksi, menyelidiki, dan menanggapi ancaman tingkat lanjut. Platform ini membuat pemberitahuan ketika kejadian keamanan yang mencurigakan terlihat dalam sebuah organisasi. Ambil pemberitahuan yang dihasilkan dalam Microsoft Defender untuk Titik Akhir ke Microsoft Sentinel sehingga Anda dapat menganalisis peristiwa keamanan secara efektif. Anda dapat membuat aturan, membuat dasbor, dan membuat playbook untuk tanggapan segera. Untuk informasi selengkapnya, lihat dokumentasi Microsoft Sentinel >.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
SecurityAlert Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Microsoft Defender untuk Identitas

Dukungan oleh:Microsoft Corporation

Sambungkan Microsoft Defender untuk Identitas untuk mendapatkan visibilitas ke dalam peristiwa dan analitik pengguna. Microsoft Defender untuk Identitas mengidentifikasi, mendeteksi, dan membantu Anda menyelidiki ancaman lanjutan, identitas yang disusupi, dan tindakan orang dalam berbahaya yang diarahkan ke organisasi Anda. Microsoft Defender untuk Identitas memungkinkan analis SecOp dan profesional keamanan berjuang mendeteksi serangan tingkat lanjut di lingkungan hibrid untuk:

  • Memantau pengguna, perilaku entitas, dan aktivitas dengan analitik berbasis pembelajaran
  • Melindungi identitas dan kredensial pengguna yang disimpan di Direktori Aktif
  • Mengidentifikasi dan menyelidiki aktivitas pengguna yang mencurigakan serta serangan lanjutan sepanjang "kill chain" (rantai pembunuhan)
  • Berikan informasi insiden yang jelas pada garis waktu sederhana untuk triase cepat

Coba sekarang >

Sebarkan sekarang >

Untuk informasi selengkapnya, lihat dokumentasi Microsoft Sentinel >.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
SecurityAlert Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Microsoft Defender for IoT

Dukungan oleh:Microsoft Corporation

Dapatkan wawasan tentang keamanan IoT Anda dengan menyambungkan pemberitahuan Microsoft Defender for IoT ke Microsoft Sentinel. Anda bisa mendapatkan metrik dan data peringatan siap pakai, termasuk tren peringatan, peringatan teratas, dan uraian peringatan berdasarkan keparahan. Anda juga bisa mendapatkan informasi tentang rekomendasi yang diberikan untuk IoT hub Anda termasuk rekomendasi teratas dan rekomendasi berdasarkan keparahan. Untuk informasi selengkapnya, lihat dokumentasi Microsoft Azure Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
SecurityAlert Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Microsoft Defender untuk Office 365 (Pratinjau)

Dukungan oleh:Microsoft Corporation

Microsoft Defender untuk Office 365 melindungi organisasi Anda dari ancaman berbahaya yang ditimbulkan oleh pesan email, tautan (URL) dan alat kolaborasi. Dengan menyerap pemberitahuan Microsoft Defender untuk Office 365 ke dalam Microsoft Sentinel, Anda dapat menggabungkan informasi tentang ancaman berbasis email dan URL ke dalam analisis risiko yang lebih luas dan membangun skenario respons yang sesuai.

Jenis peringatan berikut akan diimpor:

  • Klik URL yang berpotensi berbahaya terdeteksi
  • Pesan email yang berisi malware dihapus setelah pengiriman
  • Pesan email yang berisi URL phish dihapus setelah pengiriman
  • Email yang dilaporkan pengguna sebagai malware atau phishing
  • Pola pengiriman email mencurigakan terdeteksi
  • Pengguna dibatasi untuk mengirim email

Pemberitahuan ini dapat dilihat oleh pelanggan Office di ** Pusat Keamanan dan Kepatuhan Office**.

Untuk informasi selengkapnya, lihat dokumentasi Microsoft Azure Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
SecurityAlert Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Inteligensi Ancaman Microsoft Defender

Dukungan oleh:Microsoft Corporation

Microsoft Sentinel memberi Anda kemampuan untuk mengimpor inteligensi ancaman yang dihasilkan oleh Microsoft untuk mengaktifkan pemantauan, peringatan, dan perburuan. Gunakan konektor data ini untuk mengimpor Indikator Kompromi (IOC) dari Inteligensi Ancaman Microsoft Defender (MDTI) ke dalam Microsoft Sentinel. Indikator ancaman dapat mencakup alamat IP, domain, URL, dan hash file, dll.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
ThreatIntelligenceIndicator Yes No

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Microsoft Defender XDR

Dukungan oleh:Microsoft Corporation

Microsoft Defender XDR adalah rangkaian pertahanan perusahaan terpadu, terintegrasi secara asli, pra-dan pasca-pelanggaran yang melindungi titik akhir, identitas, email, dan aplikasi dan membantu Anda mendeteksi, mencegah, menyelidiki, dan secara otomatis merespons ancaman canggih.

suite Microsoft Defender XDR meliputi:

  • Microsoft Defender untuk Endpoint
  • Microsoft Defender untuk Identitas
  • Microsoft Defender untuk Office 365
  • Manajemen Ancaman & Kerentanan
  • Microsoft Defender untuk Aplikasi Cloud

Untuk informasi selengkapnya, lihat dokumentasi Microsoft Azure Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
SecurityIncident Yes Yes
SecurityAlert Yes Yes
DeviceEvents Yes Yes
EmailEvents Yes Yes
IdentityLogonEvents Yes Yes
CloudAppEvents Yes Yes
AlertEvidence Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Microsoft Entra ID

Dukungan oleh:Microsoft Corporation

Dapatkan wawasan tentang Microsoft Entra ID dengan menghubungkan log Audit dan Masuk ke Microsoft Sentinel untuk mengumpulkan wawasan sekeliling skenario Microsoft Entra ID. Anda dapat mempelajari tentang penggunaan aplikasi, kebijakan akses bersyarat, detail terkait autentikasi lama menggunakan log Masuk kami. Anda bisa mendapatkan informasi tentang penggunaan Pengaturan Ulang Kata Sandi Mandiri (SSPR), Microsoft Entra ID aktivitas Manajemen seperti pengguna, grup, peran, manajemen aplikasi menggunakan tabel Log audit kami. Untuk informasi selengkapnya, lihat dokumentasi Microsoft Azure Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
SigninLogs Yes Yes
AuditLogs Yes Yes
AADNonInteractiveUserSignInLogs Yes Yes
AADServicePrincipalSignInLogs Yes Yes
AADManagedIdentitySignInLogs Yes Yes
AADProvisioningLogs Yes Yes
ADFSSignInLogs Yes Yes
AADUserRiskEvents Yes Yes
AADRiskyUsers Yes Yes
NetworkAccessTraffic Yes Yes
AADRiskyServicePrincipals Yes Yes
AADServicePrincipalRiskEvents Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Microsoft Entra ID Aset

Dukungan oleh:Microsoft Corporation

Entra ID konektor data aset memberikan wawasan yang lebih kaya tentang data aktivitas dengan melengkapi detail dengan informasi aset. Data dari konektor ini digunakan untuk membangun grafik risiko data di Purview. Jika Anda telah mengaktifkan grafik tersebut, menonaktifkan Konektor ini akan mencegah grafik dibuat. Pelajari tentang grafik risiko data.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Instruksi Penyetelan:



Perlindungan Microsoft Entra ID

Dukungan oleh:Microsoft Corporation

Perlindungan Microsoft Entra ID memberikan tampilan terkonsolidasi pada pengguna risiko, peristiwa risiko, dan kerentanan, dengan kemampuan untuk segera memulihkan risiko, dan menetapkan kebijakan untuk memulihkan peristiwa di masa mendatang secara otomatis. Layanan ini dibangun berdasarkan pengalaman Microsoft melindungi identitas konsumen dan mendapatkan akurasi yang luar biasa dari sinyal dari lebih dari 13 miliar login sehari. Integrasikan pemberitahuan Microsoft Perlindungan Microsoft Entra ID dengan Microsoft Sentinel untuk melihat dasbor, membuat pemberitahuan kustom, dan meningkatkan penyelidikan. Untuk informasi selengkapnya, lihat dokumentasi Microsoft Sentinel .

Dapatkan Microsoft Entra ID Premium P1/P2

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
SecurityAlert Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Microsoft Exchange Log Audit Admin menurut Log Peristiwa

Dukungan oleh:Komunitas

[Opsi 1] - Menggunakan Agen Azure Monitor - Anda dapat melakukan streaming semua peristiwa audit Exchange dari komputer Windows yang terhubung ke ruang kerja Microsoft Sentinel Anda menggunakan agen Windows. Koneksi ini memungkinkan Anda melihat dasbor, membuat pemberitahuan kustom, dan meningkatkan penyelidikan. Ini digunakan oleh Microsoft Exchange Buku Kerja Keamanan untuk memberikan wawasan keamanan lingkungan Exchange Lokal Anda

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
Event Yes No

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Azure Log Analytics tidak digunakan lagi, untuk mengumpulkan data dari VM non-Azure, Azure Arc disarankan. Pelajari lebih lanjut
  • Dokumentasi terperinci: >CATATAN: Dokumentasi terperinci tentang Prosedur penginstalan dan penggunaan dapat ditemukan di sini

Instruksi Penyetelan:

CATATAN: Solusi ini didasarkan pada opsi. Ini memungkinkan Anda untuk memilih data mana yang akan diserap karena beberapa opsi dapat menghasilkan volume data yang sangat tinggi. Bergantung pada apa yang ingin Anda kumpulkan, lacak di Buku Kerja, Aturan Analitik, Kemampuan berburu, Anda akan memilih opsi yang akan Anda sebarkan. Setiap opsi independen untuk satu dari yang lain. Untuk mempelajari lebih lanjut tentang setiap opsi: wiki 'Microsoft Exchange Security'

Konektor Data ini adalah opsi 1 dari wiki.

1. Unduh dan instal agen yang diperlukan untuk mengumpulkan log untuk Microsoft Sentinel

Jenis server (Exchange Server, Pengendali Domain yang ditautkan ke Server Exchange atau semua Pengendali Domain) bergantung pada opsi yang ingin Anda sebarkan.

Menyebarkan Agen Monitor

Langkah ini diperlukan hanya jika ini pertama kalinya Anda melakukan onboarding Exchange Server/Pengendali Domain Menyebarkan Agen Azure Arc Pelajari selengkapnya

2. [Opsi 1] Pengumpulan Log Manajemen Exchange MS - Log peristiwa Audit Admin MS Exchange menurut Aturan Pengumpulan Data

Log peristiwa Audit Admin Exchange MS dikumpulkan menggunakan Aturan Pengumpulan Data (DCR) dan memungkinkan untuk menyimpan semua Cmdlet Administratif yang dijalankan di lingkungan Exchange.

DCR

Penyebaran Aturan Pengumpulan Data

Aktifkan aturan pengumpulan data Microsoft Exchange log Peristiwa Audit Admin dikumpulkan hanya dari agen Windows.

Opsi 1 - Templat Azure Resource Manager (ARM) (Lebih Disukai)

Gunakan metode ini untuk penyebaran otomatis DCR.

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.ms

  2. Pilih Langganan, Grup Sumber Daya, dan Lokasi pilihan.

  3. Masukkan Nama Ruang Kerja 'dan/atau Bidang lain yang diperlukan'.

  4. Tandai kotak centang berlabel Saya menyetujui syarat dan ketentuan yang dinyatakan di atas.

  5. Klik Beli untuk menyebarkan.

Opsi 2 - Penyebaran manual Azure Automation

Gunakan instruksi langkah demi langkah berikut untuk menyebarkan Aturan Pengumpulan Data secara manual.

A. Membuat DCR, Ketik Log peristiwa

  1. Dari portal Azure, navigasikan ke aturan pengumpulan data Azure.
  2. Klik + Buat di bagian atas.
  3. Di tab Dasar, isi bidang yang diperlukan, Pilih Windows sebagai jenis platform dan beri nama ke DCR.
  4. Di tab Sumber Daya, masukkan Anda Exchange Server.
  5. Di 'Kumpulkan dan kirim', tambahkan jenis Sumber Data 'Windows Log peristiwa' dan pilih opsi 'Kustom', masukkan 'MSExchange Management' sebagai ekspresi dan Tambahkan.
  6. 'Buat perubahan konfigurasi lain yang lebih disukai', jika diperlukan, lalu klik Buat.

Menetapkan DCR ke semua Server Exchange

Menambahkan semua Server Exchange Anda ke DCR

CATATAN: Konektor data ini tergantung pada pengurai berdasarkan Fungsi Kusto agar berfungsi seperti yang diharapkan. Parser secara otomatis disebarkan dengan solusi. Ikuti langkah-langkah untuk membuat alias Fungsi Kusto : ExchangeAdminAuditLogs

Parser secara otomatis disebarkan selama penyebaran Solusi. Jika Anda ingin menyebarkan secara manual, ikuti langkah-langkah di bawah ini

Penyebaran Pengurai Manual

1. Unduh file Parser

Versi terbaru file ExchangeAdminAuditLogs

2. Buat fungsi Parser ExchangeAdminAuditLogs

Di penjelajah 'Log' analitik log Microsoft Sentinel Anda, salin konten file ke Penjelajah log

3. Simpan fungsi Parser ExchangeAdminAuditLogs

Klik tombol simpan. Tidak ada parameter yang diperlukan untuk pengurai ini. Klik simpan lagi.



Microsoft Exchange Log Proksi HTTP

Dukungan oleh:Komunitas

[Opsi 7] - Menggunakan Agen Azure Monitor - Anda dapat melakukan streaming log Proksi HTTP dan log Peristiwa Keamanan dari komputer Windows yang terhubung ke ruang kerja Microsoft Sentinel Anda menggunakan agen Windows. Koneksi ini memungkinkan Anda membuat pemberitahuan kustom, dan meningkatkan penyelidikan. Pelajari lebih lanjut

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
ExchangeHttpProxy_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Azure Log Analytics tidak digunakan lagi: Azure Log Analytics tidak akan digunakan lagi, untuk mengumpulkan data dari VM yang tidak Azure, Azure Arc disarankan. Pelajari lebih lanjut
  • Dokumentasi terperinci: >CATATAN: Dokumentasi terperinci tentang Prosedur penginstalan dan penggunaan dapat ditemukan di sini

Instruksi Penyetelan:

CATATAN: Solusi ini didasarkan pada opsi. Ini memungkinkan Anda untuk memilih data mana yang akan diserap karena beberapa opsi dapat menghasilkan volume data yang sangat tinggi. Bergantung pada apa yang ingin Anda kumpulkan, lacak di Buku Kerja, Aturan Analitik, Kemampuan berburu, Anda akan memilih opsi yang akan Anda sebarkan. Setiap opsi independen untuk satu dari yang lain. Untuk mempelajari lebih lanjut tentang setiap opsi: wiki 'Microsoft Exchange Security'

Konektor Data ini adalah opsi 7 dari wiki.

1. Unduh dan instal agen yang diperlukan untuk mengumpulkan log untuk Microsoft Sentinel

Jenis server (Exchange Server, Pengendali Domain yang ditautkan ke Server Exchange atau semua Pengendali Domain) bergantung pada opsi yang ingin Anda sebarkan.

Menyebarkan Agen Monitor

Langkah ini diperlukan hanya jika ini pertama kalinya Anda melakukan onboarding Exchange Server/Pengendali Domain Menyebarkan Agen Azure Arc Pelajari selengkapnya

2. [Opsi 7] Proksi HTTP server Exchange

Pilih cara melakukan streaming Proksi HTTP server Exchange

Aturan Pengumpulan Data - Saat Agen Azure Monitor digunakan

Aktifkan aturan pengumpulan data Pelacakan Pesan dikumpulkan hanya dari agen Windows.

Opsi 1 - Templat Azure Resource Manager (ARM) (Metode Pilihan)

Gunakan metode ini untuk penyebaran otomatis DCE dan DCR.

A. Membuat DCE (Jika belum dibuat untuk Server Exchange)

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.ms

  2. Pilih Langganan, Grup Sumber Daya, dan Lokasi pilihan.

  3. Anda dapat mengubah nama DCE yang diusulkan.

  4. Klik Buat untuk menyebarkan.

B. Menyebarkan Aturan Koneksi Data

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.ms

  2. Pilih Langganan, Grup Sumber Daya, dan Lokasi pilihan.

  3. Masukkan ID Ruang Kerja 'dan/atau Bidang lain yang diperlukan'.

  4. Tandai kotak centang berlabel Saya menyetujui syarat dan ketentuan yang dinyatakan di atas.

  5. Klik Beli untuk menyebarkan.

Opsi 2 - Penyebaran manual Azure Automation

Gunakan instruksi langkah demi langkah berikut untuk menyebarkan Aturan Pengumpulan Data secara manual.

Buat Tabel Kustom - Penjelasan

Tabel Kustom tidak dapat dibuat menggunakan portal Azure. Anda perlu menggunakan templat ARM, Skrip PowerShell, atau metode lain yang dijelaskan di sini.

Membuat Tabel Kustom menggunakan Templat ARM

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.ms

  2. Pilih Langganan, Grup Sumber Daya, Lokasi, dan Nama Ruang Kerja Analitik pilihan.

  3. Klik Buat untuk menyebarkan.

Membuat Tabel Kustom menggunakan PowerShell di Cloud Shell

  1. Dari portal Azure, buka Cloud Shell.
  2. Salin dan tempel dan Jalankan skrip berikut di Cloud Shell untuk membuat tabel. $tableParams = @' { "properties": { "schema": { "name": "ExchangeHttpProxy_CL", "columns": [ { "name": "AccountForestLatencyBreakup", "type": "string" }, { "name": "ActivityContextLifeTime", "type": "string" }, { "name": "ADLatency", "type": "string" }, { "name": "AnchorMailbox", "type": "string" }, { "name": "AuthenticatedUser", "type": "string" }, { "name": "AuthenticationType", "type": "string" }, { "name": "AuthModulePerfContext", "type": "string" }, { "name": "BackEndCookie", "type": "string" }, { "name": "BackEndGenericInfo", "type": "string" }, { "name": "BackendProcessingLatency", "type": "string" }, { "name": "BackendReqInitLatency", "type": "string" }, { "name": "BackendReqStreamLatency", "type": "string" }, { "name": "BackendRespInitLatency", "type": "string" }, { "name": "BackendRespStreamLatency", "type": "string" }, { "name": "BackEndStatus", "type": "string" }, { "name": "BuildVersion", "type": "string" }, { "name": "CalculateTargetBackEndLatency", "type": "string" }, { "name": "ClientIpAddress", "type": "string" }, { "name": "ClientReqStreamLatency", "type": "string" }, { "name": "ClientRequestId", "type": "string" }, { "name": "ClientRespStreamLatency", "type": "string" }, { "name": "CoreLatency", "type": "string" }, { "name": "DatabaseGuid", "type": "string" }, { "name": "EdgeTraceId", "type": "string" }, { "name": "ErrorCode", "type": "string" }, { "name": "GenericErrors", "type": "string" }, { "name": "GenericInfo", "type": "string" }, { "name": "GlsLatencyBreakup", "type": "string" }, { "name": "HandlerCompletionLatency", "type": "string" }, { "name": "HandlerToModuleSwitchingLatency", "type": "string" }, { "name": "HttpPipelineLatency", "type": "string" }, { "name": "HttpProxyOverhead", "type": "string" }, { "name": "HttpStatus", "type": "string" }, { "name": "IsAuthenticated", "type": "string" }, { "name": "KerberosAuthHeaderLatency", "type": "string" }, { "name": "MajorVersion", "type": "string" }, { "name": "Method", "type": "string" }, { "name": "MinorVersion", "type": "string" }, { "name": "ModuleToHandlerSwitchingLatency", "type": "string" }, { "name": "Organization", "type": "string" }, { "name": "PartitionEndpointLookupLatency", "type": "string" }, { "name": "Protocol", "type": "string" }, { "name": "ProtocolAction", "type": "string" }, { "name": "ProxyAction", "type": "string" }, { "name": "ProxyTime", "type": "string" }, { "name": "RequestBytes", "type": "string" }, { "name": "RequestHandlerLatency", "type": "string" }, { "name": "RequestId", "type": "string" }, { "name": "ResourceForestLatencyBreakup", "type": "string" }, { "name": "ResponseBytes", "type": "string" }, { "name": "RevisionVersion", "type": "string" }, { "name": "RouteRefresherLatency", "type": "string" }, { "name": "RoutingHint", "type": "string" }, { "name": "RoutingLatency", "type": "string" }, { "name": "RoutingStatus", "type": "string" }, { "name": "RoutingType", "type": "string" }, { "name": "ServerHostName", "type": "string" }, { "name": "ServerLocatorHost", "type": "string" }, { "name": "ServerLocatorLatency", "type": "string" }, { "name": "SharedCacheLatencyBreakup", "type": "string" }, { "name": "TargetOutstandingRequests", "type": "string" }, { "name": "TargetServer", "type": "string" }, { "name": "TargetServerVersion", "type": "string" }, { "name": "TotalAccountForestLatency", "type": "string" }, { "name": "TotalGlsLatency", "type": "string" }, { "name": "TotalRequestTime", "type": "string" }, { "name": "TotalResourceForestLatency", "type": "string" }, { "name": "TotalSharedCacheLatency", "type": "string" }, { "name": "UrlHost", "type": "string" }, { "name": "UrlQuery", "type": "string" }, { "name": "UrlStem", "type": "string" }, { "name": "UserADObjectGuid", "type": "string" }, { "name": "UserAgent", "type": "string" }, { "name": "TimeGenerated", "type": "datetime" }, { "name": "FilePath", "type": "string" } ] } } ' @
  3. Salin, Ganti, Tempel dan jalankan parameter berikut dengan nilai Anda sendiri: $SubscriptionID = 'YourGUID' $ResourceGroupName = 'YourResourceGroupName' $WorkspaceName = 'YourWorkspaceName'
  4. Jalankan Cmdlet Berikut untuk membuat tabel: Invoke-AzRestMethod -Path "/subscriptions/$SubscriptionID/resourcegroups/$ResourceGroupName/providers/microsoft.operationalinsights/workspaces/$WorkspaceName/tables/ExchangeHttpProxy_CL?api-version=2021-12-01-preview" -Method PUT -payload $tableParams

A. Membuat DCE (Jika belum dibuat untuk Server Exchange)

  1. Dari portal Azure, navigasikan ke Titik Akhir pengumpulan data Azure.
  2. Klik + Buat di bagian atas.
  3. Di tab Dasar , isi bidang yang diperlukan dan beri nama ke DCE.
  4. 'Buat perubahan konfigurasi lain yang lebih disukai', jika diperlukan, lalu klik Buat.

B. Membuat DCR, Ketik log Kustom

  1. Dari portal Azure, navigasikan ke aturan pengumpulan data Azure.
  2. Klik tombol 'Buat'.
  3. Pada tab 'Dasar', isi Nama aturan seperti DCR-Option7-HTTPProxyLogs, pilih 'Titik Akhir Pengumpulan Data' dengan titik akhir yang dibuat sebelumnya dan isi parameter lain.
  4. Di tab Sumber Daya, tambahkan Server Exchange Anda.
  5. Di Kumpulkan dan Kirim, tambahkan tipe Sumber Data 'Log Teks Kustom' dan masukkan pola file berikut: 'C:\Program Files\Microsoft\Server Exchange\V15\Logging\HttpProxy\Autodiscover*.log','C:\Program Files\Microsoft\Server Exchange\V15\Logging\HttpProxy\Eas*.log','C:\ Program Files\Microsoft\Server Exchange\V15\Logging\HttpProxy\Ecp*.log','C:\Program Files\Microsoft\Server Exchange\V15\Logging\HttpProxy\Ews*.log','C:\Program Files\Microsoft\Server Exchange\V15\Logging\HttpProxy\Mapi*.log','C:\Program Files\Microsoft\Server Exchange\V15\Logging\HttpProxy\Oab*.log','C:\Program Files\Microsoft\Server Exchange\V15\Logging\HttpProxy\Owa*.log','C:\Program Files\Microsoft\Server Exchange\V15\Logging\HttpProxy\OwaCalendar*.log','C:\Program Files\Microsoft\Server Exchange\V15\Logging\HttpProxy\PowerShell*.log','C:\Program Files\Microsoft\Server Exchange\V15\Logging\HttpProxy\RpcHttp*.log'
  6. Masukkan 'ExchangeHttpProxy_CL' di Nama Tabel.
  7. di bidang Transformasi, masukkan permintaan KQL berikut : sumber | extend d = split(RawData,',') | extend DateTime=todatetime(d[0]),RequestId=tostring(d[1]) ,MajorVersion=tostring(d[2]) ,MinorVersion=tostring(d[d[3]) ,BuildVersion=tostring(d[4]) ,RevisionVersion=tostring(d[5]) ,ClientRequestId=tostring(d[6]) ,Protocol=tostring(d[7]) ,UrlHost=tostring(d[8]) ,UrlStem=tostring(d[9]) ,ProtocolAction=tostring(d[10]) ,AuthenticationType=tostring(d[11]) ,IsAuthenticated=tostring(d[12]) ,AuthenticatedUser=tostring(d[13]) , Organization=tostring(d[14]) ,AnchorMailbox=tostring(d[15]) ,UserAgent=tostring(d[16]) ,ClientIpAddress=tostring(d[17]) ,ServerHostName=tostring(d[18]) ,HttpStatus=tostring(d[19]) ,BackEndStatus=tostring(d[20]) ,ErrorCode=tostring(d[21]) ,Method=tostring(d[22]) ,ProxyAction=tostring(d[23]) ,TargetServer=tostring(d[24]) ,TargetServerVersion=tostring(d[25]) ,RoutingType=tostring(d[26]) ,RoutingHint=tostring(d[27]) , BackEndCookie=tostring(d[28]) ,ServerLocatorHost=tostring(d[29]) ,ServerLocatorLatency=tostring(d[30]) ,RequestBytes=tostring(d[31]) ,ResponseBytes=tostring(d[32]) ,TargetOutstandingRequests=tostring(d[33]) ,AuthModulePerfConfContext=tostring(d[34]) ,HttpPipelineLatency=tostring(d[35]) ,CalculateTargetBackEndLatency=tostring(d[36]) ,GlsLatencyBreakup=tostring(d[37]) ,TotalGlsLatency=tostring(d[38]) ,AccountForestLatencyBreakup=tostring(d[39]) , TotalAccountForestLatency=tostring(d[40]) ,ResourceForestLatencyBreakup=tostring(d[41]) ,TotalResourceForestLatency=tostring(d[d 42]) ,ADLatency=tostring(d[43]) ,SharedCacheLatencyBreakup=tostring(d[44]) ,TotalSharedCacheLatency=tostring(tostring(d[44]) d[45]) ,ActivityContextLifeTime=tostring(d[46]) ,ModuleToHandlerSwitchingLatency=tostring(d[47]) ,ClientReqStreamLatency=tostring(d[48]) ,BackendReqInitLatency=tostring(d[49]) ,BackendReqStreamLatency=tostring(d[50]) , BackendProcessingLatency=tostring(d[51]) ,BackendRespInitLatency=tostring(d[52]) ,BackendRespStreamLatency=tostring(d[53]) ,ClientRespStreamLatency=tostring(d[54]) ,KerberosAuthHeaderLatency=tostring(d[55]) ,HandlerCompletionLatency=tostring(d[d 56]) ,RequestHandlerLatency=tostring(d[57]) ,HandlerToModuleSwitchingLatency=tostring(d[58]) ,ProxyTime=tostring(d[59]) ,CoreLatency=tostring(d[60]) ,RoutingLatency=tostring(d[61]) ,HttpProxyOverhead=tostring(d[62]) , TotalRequestTime=tostring(d[63]) ,RouteRefresherLatency=tostring(d[64]) ,UrlQuery=tostring(d[65]) ,BackEndGenericInfo=tostring(d[66]) ,GenericInfo=tostring(d[67]) ,GenericErrors=tostring(d[66]) d[68]) ,EdgeTraceId=tostring(d[69]) ,DatabaseGuid=tostring(d[70]) ,UserADObjectGuid=tostring(d[71]) ,PartitionEndpointLookupLatency=tostring(d[72]) ,RoutingStatus=tostring(d[73]) | extend TimeGenerated = DateTime | project-away d,RawData,DateTime | project-away d,RawData,DateTime dan klik 'Destination'.
  8. Di 'Tujuan', tambahkan tujuan dan pilih Ruang Kerja tempat Anda sebelumnya membuat Tabel Kustom
  9. Klik 'Tambahkan sumber data'.
  10. Isi parameter dan tag lain yang diperlukan dan buat DCR

Menetapkan DCR ke semua Server Exchange

Menambahkan semua Server Exchange Anda ke DCR



Microsoft Exchange Log dan Peristiwa

Dukungan oleh:Komunitas

[Opsi 2] - Menggunakan Agen Azure Monitor - Anda dapat melakukan streaming semua Exchange Keamanan & Log Peristiwa Aplikasi dari komputer Windows yang terhubung ke ruang kerja Microsoft Sentinel Anda menggunakan agen Windows. Koneksi ini memungkinkan Anda membuat pemberitahuan kustom, dan meningkatkan penyelidikan.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
Event Yes No

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Azure Log Analytics tidak digunakan lagi: Azure Log Analytics tidak akan digunakan lagi, untuk mengumpulkan data dari VM yang tidak Azure, Azure Arc disarankan. Pelajari lebih lanjut
  • Dokumentasi terperinci: >CATATAN: Dokumentasi terperinci tentang Prosedur penginstalan dan penggunaan dapat ditemukan di sini

Instruksi Penyetelan:

CATATAN: Solusi ini didasarkan pada opsi. Ini memungkinkan Anda untuk memilih data mana yang akan diserap karena beberapa opsi dapat menghasilkan volume data yang sangat tinggi. Bergantung pada apa yang ingin Anda kumpulkan, lacak di Buku Kerja, Aturan Analitik, Kemampuan berburu, Anda akan memilih opsi yang akan Anda sebarkan. Setiap opsi independen untuk satu dari yang lain. Untuk mempelajari lebih lanjut tentang setiap opsi: wiki 'Microsoft Exchange Security'

Konektor Data ini adalah opsi 2 dari wiki.

1. Unduh dan instal agen yang diperlukan untuk mengumpulkan log untuk Microsoft Sentinel

Jenis server (Exchange Server, Pengendali Domain yang ditautkan ke Server Exchange atau semua Pengendali Domain) bergantung pada opsi yang ingin Anda sebarkan.

Menyebarkan Agen Monitor

Langkah ini diperlukan hanya jika ini pertama kalinya Anda melakukan onboarding Exchange Server/Pengendali Domain Menyebarkan Agen Azure Arc Pelajari selengkapnya

2. [Opsi 2] Log Keamanan/Aplikasi/Sistem server Exchange

Log Keamanan/Aplikasi/Sistem server Exchange dikumpulkan menggunakan Aturan Pengumpulan Data (DCR).

Kumpulan log Peristiwa Keamanan

Aturan Pengumpulan Data - Log Peristiwa Keamanan

Aktifkan aturan pengumpulan data untuk log Peristiwa Keamanan Log Keamanan dikumpulkan hanya dari agen Windows.

  1. Tambahkan server Exchange pada tab Sumber Daya.
  2. Pilih Tingkat log keamanan

Tingkat umum adalah minimum yang diperlukan. Pilih 'Umum' atau 'Semua Peristiwa Keamanan' pada definisi DCR.

  • Pasang Agen: <nilai variabel yang disediakan pada waktu penginstalan>

Pengumpulan log Peristiwa Aplikasi dan Sistem

Mengaktifkan aturan pengumpulan data

Log Peristiwa Aplikasi dan Sistem dikumpulkan hanya dari agen Windows.

Opsi 1 - Templat Azure Resource Manager (ARM) (Metode pilihan)

Gunakan metode ini untuk penyebaran otomatis DCR.

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.ms

  2. Pilih Langganan, Grup Sumber Daya, dan Lokasi pilihan.

  3. Masukkan Nama Ruang Kerja 'dan/atau Bidang lain yang diperlukan'.

  4. Tandai kotak centang berlabel Saya menyetujui syarat dan ketentuan yang dinyatakan di atas.

  5. Klik Beli untuk menyebarkan.

Opsi 2 - Penyebaran manual Azure Automation

Gunakan instruksi langkah demi langkah berikut untuk menyebarkan Aturan Pengumpulan Data secara manual.

A. Membuat DCR, Ketik Log peristiwa

  1. Dari portal Azure, navigasikan ke aturan pengumpulan data Azure.
  2. Klik + Buat di bagian atas.
  3. Di tab Dasar, isi bidang yang diperlukan, Pilih Windows sebagai jenis platform dan beri nama ke DCR.
  4. Di tab Sumber Daya, masukkan Anda Exchange Server.
  5. Di 'Kumpulkan dan kirim', tambahkan jenis Sumber Data 'Windows Log peristiwa' dan pilih opsi 'Dasar'.
  6. Untuk Aplikasi, pilih 'Kritis', 'Kesalahan' dan 'Peringatan'. Untuk Sistem, pilih Kritis/Kesalahan/Peringatan/Informasi.
  7. 'Buat perubahan konfigurasi lain yang lebih disukai', jika diperlukan, lalu klik Buat.

Menetapkan DCR ke semua Server Exchange

Menambahkan semua Server Exchange Anda ke DCR



Microsoft Exchange Log Pelacakan Pesan

Dukungan oleh:Komunitas

[Opsi 6] - Menggunakan Azure Monitor Agent - Anda dapat melakukan streaming semua Exchange Message Tracking dari komputer Windows yang terhubung ke ruang kerja Microsoft Sentinel Anda menggunakan agen Windows. Log tersebut dapat digunakan untuk melacak alur pesan di lingkungan Exchange Anda. Konektor data ini didasarkan pada opsi 6 wiki keamanan Microsoft Exchange.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
MessageTrackingLog_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Azure Log Analytics tidak digunakan lagi: Azure Log Analytics tidak akan digunakan lagi, untuk mengumpulkan data dari VM yang tidak Azure, Azure Arc disarankan. Pelajari lebih lanjut
  • Dokumentasi terperinci: >CATATAN: Dokumentasi terperinci tentang Prosedur penginstalan dan penggunaan dapat ditemukan di sini

Instruksi Penyetelan:

CATATAN: Solusi ini didasarkan pada opsi. Ini memungkinkan Anda untuk memilih data mana yang akan diserap karena beberapa opsi dapat menghasilkan volume data yang sangat tinggi. Bergantung pada apa yang ingin Anda kumpulkan, lacak di Buku Kerja, Aturan Analitik, Kemampuan berburu, Anda akan memilih opsi yang akan Anda sebarkan. Setiap opsi independen untuk satu dari yang lain. Untuk mempelajari lebih lanjut tentang setiap opsi: wiki 'Microsoft Exchange Security'

Konektor Data ini adalah opsi 6 dari wiki.

1. Unduh dan instal agen yang diperlukan untuk mengumpulkan log untuk Microsoft Sentinel

Jenis server (Exchange Server, Pengendali Domain yang ditautkan ke Server Exchange atau semua Pengendali Domain) bergantung pada opsi yang ingin Anda sebarkan.

Menyebarkan Agen Monitor

Langkah ini diperlukan hanya jika ini pertama kalinya Anda melakukan onboarding Exchange Server/Pengendali Domain Menyebarkan Agen Azure Arc Pelajari selengkapnya

2. Pelacakan Pesan Server Exchange

Pilih cara melakukan streaming Pelacakan Pesan Exchange Server

Aturan Pengumpulan Data - Saat Agen Azure Monitor digunakan

Aktifkan aturan pengumpulan data Pelacakan Pesan dikumpulkan hanya dari agen Windows.

Opsi 1 - Templat Azure Resource Manager (ARM)

Gunakan metode ini untuk penyebaran otomatis DCE dan DCR.

A. Membuat DCE (Jika belum dibuat untuk Server Exchange)

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.ms

  2. Pilih Langganan, Grup Sumber Daya, dan Lokasi pilihan.

  3. Anda dapat mengubah nama DCE yang diusulkan.

  4. Klik Buat untuk menyebarkan.

B. Menyebarkan Aturan Koneksi Data dan Tabel Kustom

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.ms

  2. Pilih Langganan, Grup Sumber Daya, dan Lokasi pilihan.

  3. Masukkan ID Ruang Kerja 'dan/atau Bidang lain yang diperlukan'.

  4. Tandai kotak centang berlabel Saya menyetujui syarat dan ketentuan yang dinyatakan di atas.

  5. Klik Beli untuk menyebarkan.

Opsi 2 - Penyebaran manual Azure Automation

Gunakan instruksi langkah demi langkah berikut untuk menyebarkan Aturan Pengumpulan Data secara manual.

Buat Tabel Kustom - Penjelasan

Tabel Kustom tidak dapat dibuat menggunakan portal Azure. Anda perlu menggunakan templat ARM, Skrip PowerShell, atau metode lain yang dijelaskan di sini.

Membuat Tabel Kustom menggunakan Templat ARM

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.ms

  2. Pilih Langganan, Grup Sumber Daya, Lokasi, dan Nama Ruang Kerja Analitik pilihan.

  3. Klik Buat untuk menyebarkan.

Membuat Tabel Kustom menggunakan PowerShell di Cloud Shell

  1. Dari portal Azure, buka Cloud Shell.
  2. Salin dan tempel dan Jalankan skrip berikut di Cloud Shell untuk membuat tabel. $tableParams = @' { "properties": { "schema": { "name": "MessageTrackingLog_CL", "columns": [ { "name": "directionality", "type": "string" }, { "name": "reference", "type": "string" }, { "name": "source", "type": "string" }, { "name": "TimeGenerated", "type": "datetime" }, { "name": "clientHostname", "type": "string" }, { "name": "clientIP", "type": "string" }, { "name": "connectorId", "type": "string" }, { "name": "customData", "type": "string" }, { "name": "eventId", "type": "string" }, { "name": "internalMessageId", "type": "string" }, { "name": "logId", "type": "string" }, { "name": "messageId", "type": "string" }, { "name": "messageInfo", "type": "string" }, { "name": "messageSubject", "type": "string" }, { "name": "networkMessageId", "type": "string" }, { "name": "originalClientIp", "type": "string" }, { "name": "originalServerIp", "type": "string" }, { "name": "recipientAddress", "type": "string" }, { "name": "recipientCount", "type": "string" }, { "name": "recipientStatus", "type": "string" }, { "name": "relatedRecipientAddress", "type": "string" }, { "name": "returnPath", "type": "string" }, { "name": "senderAddress", "type": "string" }, { "name": "senderHostname", "type": "string" }, { "name": "serverIp", "type": "string" }, { "name": "sourceContext", "type": "string" }, { "name": "schemaVersion", "type": "string" }, { "name": "messageTrackingTenantId", "type": "string" }, { "name": "totalBytes", "type": "string" }, { "name": "transportTrafficType", "type": "string" }, { "name": "FilePath", "type": "string" } ] } } ' @
  3. Salin, Ganti, Tempel dan jalankan parameter berikut dengan nilai Anda sendiri: $SubscriptionID = 'YourGUID' $ResourceGroupName = 'YourResourceGroupName' $WorkspaceName = 'YourWorkspaceName'
  4. Jalankan Cmdlet Berikut untuk membuat tabel: Invoke-AzRestMethod -Path "/subscriptions/$SubscriptionID/resourcegroups/$ResourceGroupName/providers/microsoft.operationalinsights/workspaces/$WorkspaceName/tables/MessageTrackingLog_CL?api-version=2021-12-01-preview" -Method PUT -payload $tableParams

A. Membuat DCE (Jika belum dibuat untuk Server Exchange)

  1. Dari portal Azure, navigasikan ke Titik Akhir pengumpulan data Azure.
  2. Klik + Buat di bagian atas.
  3. Di tab Dasar , isi bidang yang diperlukan dan beri nama ke DCE, seperti ESI-ExchangeServers.
  4. 'Buat perubahan konfigurasi lain yang lebih disukai', jika diperlukan, lalu klik Buat.

B. Membuat DCR, Ketik log Kustom

  1. Dari portal Azure, navigasikan ke aturan pengumpulan data Azure.
  2. Klik tombol 'Buat'.
  3. Pada tab 'Dasar', isi Nama aturan seperti DCR-Option6-MessageTrackingLogs, pilih 'Titik Akhir Pengumpulan Data' dengan titik akhir yang dibuat sebelumnya dan isi parameter lain.
  4. Di tab Sumber Daya, tambahkan Server Exchange Anda.
  5. Di Kumpulkan dan Kirim, tambahkan tipe Sumber Data 'Log Teks Kustom' dan masukkan 'C:\Program Files\Microsoft\Server Exchange\V15\TransportRoles\Logs\MessageTracking*.log' dalam pola file, 'MessageTrackingLog_CL' di Nama Tabel. 6.in Transformasi bidang, masukkan permintaan KQL berikut : sumber | extend d = split(RawData,',') | extend TimeGenerated =todatetime(d[0]) ,clientIP =tostring(d[1]) ,clientHostname =tostring(d[2]) ,serverIp=tostring(d[d[3]) ,senderHostname=tostring(d[4]) ,sourceContext=tostring(d[5]) ,connectorId =tostring(d[6]) ,source=tostring(d[7]) ,eventId =tostring(d[8]) ,internalMessageId =tostring(d[9]) ,messageId =tostring(d[10]) ,networkMessageId =tostring(d[11]) ,recipientAddress=tostring(d[12]) ,recipientStatus=tostring(d[13]) , totalBytes=tostring(d[14]) ,recipientCount=tostring(d[15]) ,relatedRecipientAddress=tostring(d[16]) ,reference=tostring(d[d 17]) ,messageSubject =tostring(d[18]) ,senderAddress=tostring(d[19]) ,returnPath=tostring(d[20]) ,messageInfo =tostring(d[21]) ,directionality=tostring(d[22]) ,messageTrackingTenantId =tostring(d[23]) ,originalClientIp =tostring(d[d 24]) ,originalServerIp =tostring(d[25]) ,customData=tostring(d[26]) ,transportTrafficType =tostring(d[27]) , logId =tostring(d[28]) ,schemaVersion=tostring(d[29]) | project-away d,RawData dan klik 'Destination'.
  6. Di 'Tujuan', tambahkan tujuan dan pilih Ruang Kerja tempat Anda sebelumnya membuat Tabel Kustom
  7. Klik 'Tambahkan sumber data'.
  8. Isi parameter dan tag lain yang diperlukan dan buat DCR

Menetapkan DCR ke semua Server Exchange

Menambahkan semua Server Exchange Anda ke DCR



Microsoft Power Automate

Dukungan oleh:Microsoft Corporation

Power Automate adalah layanan Microsoft yang membantu pengguna membuat alur kerja otomatis antara aplikasi dan layanan untuk menyinkronkan file, mendapatkan pemberitahuan, mengumpulkan data, dan banyak lagi. Ini menyederhanakan otomatisasi tugas, meningkatkan efisiensi dengan mengurangi tugas manual, berulang, dan meningkatkan produktivitas. Konektor data Power Automate menyediakan kemampuan untuk menyerap log aktivitas Power Automate dari log Microsoft Purview Audit ke Microsoft Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
PowerAutomateActivity Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Izin Penyewa: 'Administrator Keamanan' atau 'Administrator Global' pada penyewa ruang kerja.
  • Micorosft Purview Audit: Microsoft Purview Audit (Standar atau Premium) harus diaktifkan.

Instruksi Penyetelan:

Menyambungkan log audit Microsoft Power Automate ke Microsoft Sentinel

Konektor ini menggunakan Office Management API untuk mendapatkan log audit Power Automate Anda. Log akan disimpan dan diproses di ruang kerja Microsoft Sentinel yang ada. Anda dapat menemukan data dalam tabel PowerAutomateActivity .

  • Aktifkan/Nonaktifkan Koneksi



Microsoft Power Platform Aktivitas Admin

Dukungan oleh:Microsoft Corporation

Microsoft Power Platform adalah rangkaian kode rendah/tanpa kode yang memberdayakan pengembang warga negara dan pro untuk merampingkan proses bisnis dengan memungkinkan pembuatan aplikasi kustom, otomatisasi alur kerja, dan analisis data dengan pengodean minimal. Konektor data Admin Power Platform menyediakan kemampuan untuk menyerap log aktivitas administrator Power Platform dari Microsoft Purview Audit masuk ke Microsoft Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
PowerPlatformAdminActivity Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Izin Penyewa: 'Administrator Keamanan' atau 'Administrator Global' pada penyewa ruang kerja.
  • Micorosft Purview Audit: Microsoft Purview Audit (Standar atau Premium) harus diaktifkan.

Instruksi Penyetelan:

Menyambungkan log audit Aktivitas Admin Microsoft Power Platform ke Microsoft Sentinel

Konektor ini menggunakan Office Management API untuk mendapatkan log audit administrator Power Platform Anda. Log akan disimpan dan diproses di ruang kerja Microsoft Sentinel yang ada. Anda dapat menemukan data dalam tabel PowerPlatformAdminActivity .

  • Aktifkan/Nonaktifkan Koneksi



Microsoft PowerBI

Dukungan oleh:Microsoft Corporation

Microsoft PowerBI adalah kumpulan layanan perangkat lunak, aplikasi, dan konektor yang bekerja sama untuk mengubah sumber data Anda yang tidak terkait menjadi wawasan yang koheren, imersif secara visual, dan interaktif. Data Anda mungkin merupakan spreadsheet Excel, kumpulan gudang data hibrid berbasis cloud dan lokal, atau penyimpanan data dari beberapa jenis lainnya. Konektor ini memungkinkan Anda mengalirkan log audit PowerBI ke Microsoft Sentinel, memungkinkan Anda melacak aktivitas pengguna di lingkungan PowerBI Anda. Anda juga dapat memfilter data aktivitas berdasarkan rentang tanggal, pengguna, dan jenis aktivitas.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
PowerBIActivity Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Microsoft Project

Dukungan oleh:Microsoft

Microsoft Project (MSP) adalah solusi perangkat lunak manajemen proyek. Bergantung pada paket Anda, Microsoft Project memungkinkan Anda merencanakan proyek, menetapkan tugas, mengelola sumber daya, membuat laporan, dan banyak lagi. Konektor ini memungkinkan Anda mengalirkan log audit Azure Project ke Microsoft Sentinel untuk melacak aktivitas project Anda.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
ProjectActivity Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Microsoft Purview

Dukungan oleh:Microsoft Corporation

Sambungkan ke Microsoft Purview untuk mengaktifkan pengayaan sensitivitas data Microsoft Sentinel. Log label klasifikasi dan sensitivitas data dari pemindaian Microsoft Purview dapat diserap dan divisualisasikan melalui buku kerja, aturan analitik, dan banyak lagi. Untuk informasi selengkapnya, lihat dokumentasi Microsoft Azure Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
PurviewDataSensitivityLogs Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Instruksi Penyetelan:

Menyambungkan Microsoft Purview ke Microsoft Sentinel

Dalam portal Azure, navigasikan ke sumber daya Purview Anda:

  1. Di bilah pencarian, cari akun Purview.
  2. Pilih akun tertentu yang ingin Anda siapkan dengan Sentinel.

Di dalam sumber daya Microsoft Purview Anda: 3. Pilih Pengaturan Diagnostik. 4. Pilih + Tambahkan pengaturan diagnostik. 5. Di bilah Pengaturan diagnostik:

  • Pilih Kategori Log sebagai DataSensitivityLogEvent.
  • Pilih Kirim ke Log Analytics.
  • Pilih ruang kerja tujuan log. Ini harus menjadi ruang kerja yang sama yang digunakan oleh Microsoft Sentinel.
  • Kliklah Simpan.



Perlindungan Informasi Microsoft Purview

Dukungan oleh:Microsoft Corporation

Perlindungan Informasi Microsoft Purview membantu Anda menemukan, mengklasifikasikan, melindungi, dan mengatur informasi sensitif di mana pun informasi tersebut berada atau bepergian. Menggunakan kemampuan ini memungkinkan Anda mengetahui data Anda, mengidentifikasi item yang sensitif dan mendapatkan visibilitas tentang bagaimana mereka digunakan untuk melindungi data Anda dengan lebih baik. Label sensitivitas adalah kemampuan dasar yang menyediakan tindakan perlindungan, menerapkan enkripsi, pembatasan akses, dan penandaan visual. Integrasikan log Perlindungan Informasi Microsoft Purview dengan Microsoft Sentinel untuk melihat dasbor, membuat pemberitahuan kustom, dan meningkatkan penyelidikan. Untuk informasi selengkapnya, lihat dokumentasi Microsoft Azure Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
MicrosoftPurviewInformationProtection Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Mimecast Audit

Didukung oleh:Mimecast

Konektor data untuk Mimecast Audit memberi pelanggan visibilitas ke dalam peristiwa keamanan yang terkait dengan peristiwa audit dan autentikasi dalam Microsoft Azure Sentinel. Konektor data menyediakan dasbor yang telah dibuat sebelumnya untuk memungkinkan analis melihat wawasan tentang aktivitas pengguna, membantu korelasi insiden dan mengurangi waktu respons investigasi yang digabungkan dengan kemampuan pemberitahuan kustom.
Produk Mimecast yang disertakan dalam konektor adalah: Audit

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
Audit_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Langganan Azure: Langganan Azure dengan peran pemilik diperlukan untuk mendaftarkan aplikasi di Microsoft Entra ID dan menetapkan peran kontributor ke aplikasi dalam grup sumber daya.
  • Microsoft. Izin web/situs: Izin baca dan tulis ke Azure Functions untuk membuat Aplikasi Fungsi diperlukan. Untuk informasi selengkapnya, lihat Azure Functions.
  • Kredensial/izin REST API: Lihat dokumentasi untuk mempelajari selengkapnya tentang API pada referensi Rest API

Instruksi Penyetelan:

CATATAN: Konektor ini menggunakan Azure Functions untuk terhubung ke Mimecast API untuk menarik lognya ke Microsoft Sentinel. Ini dapat mengakibatkan biaya penyerapan data tambahan. Periksa halaman harga Azure Functions untuk detailnya.

(Langkah Opsional) Simpan ruang kerja dan kunci otorisasi API atau token dengan aman di Azure Key Vault. Azure Key Vault menyediakan mekanisme aman untuk menyimpan dan mengambil nilai kunci. Ikuti instruksi ini untuk menggunakan Azure Key Vault dengan Aplikasi Fungsi Azure.

Configuration:

LANGKAH 1 - Langkah-langkah konfigurasi untuk MIMECAST API

Buka portal Azure --- Pendaftaran aplikasi --- [your_app] --- Sertifikat & rahasia --- Rahasia klien baru dan buat rahasia baru (simpan Nilai di tempat yang aman segera karena Anda tidak akan dapat mempratinjaunya nanti)

LANGKAH 2 - Menyebarkan Konektor MIMECAST API

PENTING: Sebelum menyebarkan konektor Mimecast API, miliki kunci otorisasi Mimecast API atau Token, tersedia dengan mudah.

LANGKAH 3 - Langkah-langkah Pendaftaran Aplikasi untuk Aplikasi di Microsoft Entra ID

Integrasi ini memerlukan pendaftaran Aplikasi di portal Azure. Ikuti langkah-langkah di bagian ini untuk membuat aplikasi baru di Microsoft Entra ID:

  1. Masuk ke portal Azure.
  2. Cari dan pilih Microsoft Entra ID.
  3. Di bawah Kelola, pilih Pendaftaran aplikasi > Pendaftaran baru.
  4. Masukkan Nama tampilan aplikasi Anda.
  5. Pilih Daftar untuk menyelesaikan pendaftaran aplikasi awal.
  6. Setelah pendaftaran selesai, portal Azure menampilkan panel Gambaran Umum pendaftaran aplikasi. Anda melihat ID Aplikasi (klien) dan ID Penyewa. ID klien dan ID Penyewa diperlukan sebagai parameter konfigurasi untuk eksekusi Konektor Data TenableVM.

Tautan referensi:/azure/active-directory/develop/quickstart-register-app

LANGKAH 4 - Tambahkan rahasia klien untuk aplikasi di Microsoft Entra ID

Terkadang disebut kata sandi aplikasi, rahasia klien adalah nilai string yang diperlukan untuk eksekusi Konektor Data TenableVM. Ikuti langkah-langkah di bagian ini untuk membuat Rahasia Klien baru:

  1. Di portal Microsoft Azure, di Pendaftaran aplikasi, pilih aplikasi Anda.
  2. Pilih Sertifikat & rahasia > Rahasia > klien Rahasia klien baru.
  3. Tambahkan deskripsi untuk rahasia klien Anda.
  4. Pilih kedaluwarsa untuk rahasia atau tentukan masa pakai kustom. Batasnya adalah 24 bulan.
  5. Pilih Tambahkan.
  6. Catat nilai rahasia untuk digunakan dalam kode aplikasi klien Anda. Nilai rahasia ini tidak pernah ditampilkan lagi setelah Anda meninggalkan halaman ini. Nilai rahasia diperlukan sebagai parameter konfigurasi untuk eksekusi Konektor Data TenableVM.

Tautan referensi:/azure/active-directory/develop/quickstart-register-app#add-a-client-secret

LANGKAH 5 - Dapatkan ID Objek aplikasi Anda di Microsoft Entra ID

Setelah membuat pendaftaran aplikasi, ikuti langkah-langkah di bagian ini untuk mendapatkan ID Objek:

  1. Pergi ke Microsoft Entra ID.
  2. Pilih Aplikasi perusahaan dari menu sebelah kiri.
  3. Temukan aplikasi yang baru dibuat dalam daftar (Anda dapat mencari berdasarkan nama yang Anda berikan).
  4. Klik aplikasi.
  5. Pada halaman gambaran umum, salin ID Objek. Ini adalah AzureEntraObjectId yang diperlukan untuk penetapan peran templat ARM Anda.

Sebarkan Konektor Data Audit Mimecast:

Gunakan metode ini untuk penyebaran otomatis konektor Data Audit Mimecast.

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.msaka.ms

  2. Pilih Langganan, Grup Sumber Daya, dan Wilayah pilihan.

  3. Masukkan informasi di bawah ini :

    a. Lokasi - Lokasi tempat aturan pengumpulan data dan titik akhir pengumpulan data harus disebarkan

    b. WorkspaceName - Masukkan Nama Ruang Kerja Microsoft Sentinel ruang kerja Log Analytics

    c. AzureClientID - Masukkan ID Klien Azure yang telah Anda buat selama pendaftaran aplikasi

    d. AzureClientSecret - Masukkan Rahasia Klien Azure yang telah Anda buat selama membuat rahasia klien

    e. AzureTenantID - Masukkan ID Penyewa Azure Azure Active Directory Anda

    f. AzureEntraObjectID - Masukkan Id objek aplikasi Microsoft Entra Anda

    g. MimecastBaseURL - Masukkan URL Dasar Mimecast API 2.0 (misalnya https://api.services.mimecast.com)

    Halo. MimecastClientID - Masukkan ID Klien Mimecast untuk autentikasi

    i. MimecastClientSecret - Masukkan Rahasia Klien Mimecast untuk autentikasi

    j. MimecastAuditTableName - Masukkan nama tabel yang digunakan untuk menyimpan data Audit. Defaultnya adalah 'Audit'

    k. StartDate - Masukkan tanggal mulai dalam format 'yyyy-mm-dd'. Jika Anda tidak memberikan tanggal, data dari 60 hari terakhir akan diambil secara otomatis. Pastikan bahwa tanggal berada di masa lalu dan diformat dengan benar

    l. Jadwal - Masukkan quartz cron-expression yang valid. (Contoh: 0 0 */1 * * *) Jangan biarkan nilai kosong, nilai minimum adalah 10 menit

    m. LogLevel - Harap tambahkan tingkat log atau nilai tingkat keparahan log. Secara default diatur ke INFO

    n. AppInsightsWorkspaceResourceId - Memigrasikan Application Insights Klasik ke Ruang Kerja Analitik Log yang dihentikan pada 29 Febraury 2024. Gunakan bilah 'Ruang Kerja Analitik Log-->Properti' yang memiliki nilai properti 'ID Sumber Daya'. Ini adalah resourceId yang sepenuhnya memenuhi syarat yang dalam format '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft. OperationalInsights/workspaces/{workspaceName}'

  4. Tandai kotak centang berlabel Saya menyetujui syarat dan ketentuan yang dinyatakan di atas.

  5. Klik Beli untuk menyebarkan.



Mimecast Audit & Autentikasi (menggunakan Azure Functions)

Didukung oleh:Mimecast

Konektor data untuk Mimecast Audit & Authentication memberi pelanggan visibilitas ke peristiwa keamanan yang terkait dengan peristiwa audit dan autentikasi dalam Microsoft Azure Sentinel. Konektor data menyediakan dasbor yang telah dibuat sebelumnya untuk memungkinkan analis melihat wawasan tentang aktivitas pengguna, membantu korelasi insiden dan mengurangi waktu respons investigasi yang digabungkan dengan kemampuan pemberitahuan kustom.
Produk Mimecast yang disertakan dalam konektor adalah: Audit & Autentikasi

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
MimecastAudit_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Microsoft. Izin web/situs: Izin baca dan tulis ke Azure Functions untuk membuat Aplikasi Fungsi diperlukan. Untuk informasi selengkapnya, lihat Azure Functions.
  • Kredensial MIMECAST API: Anda harus memiliki informasi berikut untuk mengonfigurasi integrasi:
  • mimecastEmail: Alamat email pengguna admin Mimecast khusus
  • mimecastPassword: Kata sandi untuk pengguna admin Mimecast khusus
  • mimecastAppId: ID Aplikasi API dari aplikasi Mimecast Microsoft Sentinel yang terdaftar di Mimecast
  • mimecastAppKey: Kunci Aplikasi API dari aplikasi Mimecast Microsoft Sentinel yang terdaftar di Mimecast
  • mimecastAccessKey: Kunci Akses untuk pengguna admin Mimecast khusus
  • mimecastSecretKey: Kunci Rahasia untuk pengguna admin Mimecast khusus
  • mimecastBaseURL: URL Dasar API Regional Mimecast

Id Aplikasi Mimecast, Kunci Aplikasi, bersama dengan Kunci Akses dan Kunci Rahasia untuk pengguna admin Mimecast khusus dapat diperoleh melalui Mimecast Administration Console: Administrasi | Layanan | Integrasi API dan Platform.

URL Dasar API Mimecast untuk setiap wilayah didokumenkan di sini: https://integrations.mimecast.com/documentation/api-overview/global-base-urls/

  • Grup sumber daya: Anda harus membuat grup sumber daya dengan langganan yang akan Anda gunakan.
  • aplikasi Functions: Anda harus memiliki Azure App yang terdaftar untuk digunakan konektor ini
  1. ID Aplikasi
  2. Id Penyewa
  3. Id Klien
  4. Rahasia Klien

Instruksi Penyetelan:

CATATAN: Konektor ini menggunakan Azure Functions untuk terhubung ke Mimecast API untuk menarik lognya ke Microsoft Sentinel. Ini dapat mengakibatkan biaya penyerapan data tambahan. Periksa halaman harga Azure Functions untuk detailnya.

(Langkah Opsional) Simpan ruang kerja dan kunci otorisasi API atau token dengan aman di Azure Key Vault. Azure Key Vault menyediakan mekanisme aman untuk menyimpan dan mengambil nilai kunci. Ikuti instruksi ini untuk menggunakan Azure Key Vault dengan Aplikasi Fungsi Azure.

Configuration:

LANGKAH 1 - Langkah-langkah konfigurasi untuk MIMECAST API

Buka portal Azure --- Pendaftaran aplikasi --- [your_app] --- Sertifikat & rahasia --- Rahasia klien baru dan buat rahasia baru (simpan Nilai di tempat yang aman segera karena Anda tidak akan dapat mempratinjaunya nanti)

LANGKAH 2 - Menyebarkan Konektor MIMECAST API

PENTING: Sebelum menyebarkan konektor Mimecast API, miliki ID Ruang Kerja dan Kunci Primer Ruang Kerja (dapat disalin dari yang berikut), serta kunci otorisasi Mimecast API atau Token, tersedia dengan mudah.

  • ID ruang kerja: <nilai variabel yang disediakan pada waktu penginstalan>
  • Kunci Primer: <nilai variabel yang disediakan pada waktu penginstalan>

Sebarkan Konektor Data Audit &Autentikasi Mimecast:

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.ms

  2. Pilih Langganan, Grup Sumber Daya, dan Lokasi pilihan.

  3. Masukkan bidang berikut:

  • appName: String unik yang akan digunakan sebagai id untuk aplikasi di platform Azure
  • objectId: portal Azure ---> Azure Active Directory ---> info selengkapnya ---> ID Objek ----- Profil ----->
  • appInsightsLocation(default): westeurope
  • mimecastEmail: Alamat email pengguna khusus untuk integrasi ini
  • mimecastPassword: Kata sandi untuk pengguna khusus
  • mimecastAppId: Id Aplikasi dari aplikasi Microsoft Sentinel yang terdaftar di Mimecast
  • mimecastAppKey: Kunci Aplikasi dari aplikasi Microsoft Sentinel yang terdaftar di Mimecast
  • mimecastAccessKey: Kunci Akses untuk pengguna Mimecast khusus
  • mimecastSecretKey: Kunci Rahasia untuk pengguna Mimecast khusus
  • mimecastBaseURL: URL Dasar API Mimecast Regional
  • activeDirectoryAppId: portal Azure ---> Pendaftaran aplikasi ---> [your_app] ID Aplikasi --->
  • activeDirectoryAppSecret: portal Azure --- Pendaftaran aplikasi --- [your_app] --- Sertifikat & rahasia --- [your_app_secret]
  • workspaceId: portal Azure ---> Log Analytics Workspaces ---> [Your workspace] ---> Agents ---> Workspace ID (atau Anda dapat menyalin workspaceId dari atas)
  • workspaceKey: portal Azure ---> Log Analytics Ruang Kerja ---> [Ruang kerja Anda] ---> Agen ---> Kunci Utama (atau Anda dapat menyalin workspaceKey dari atas)
  • AppInsightsWorkspaceResourceID : portal Azure ---> Log Analytics Ruang Kerja ---> [Ruang kerja Anda] ---> Properti ---> ID Sumber Daya

Catatan: Jika menggunakan rahasia Azure Key Vault untuk salah satu nilai di atas, gunakan@Microsoft.KeyVault(SecretUri={Security Identifier})skema sebagai pengganti nilai string. Lihat dokumentasi referensi Key Vault untuk detail lebih lanjut.

  1. Tandai kotak centang berlabel Saya menyetujui syarat dan ketentuan yang dinyatakan di atas.

  2. Klik Beli untuk menyebarkan.

  3. Buka portal Azure ---> Grup sumber daya ---> [your_resource_group] ---> [appName](type: Storage account) ---> Storage Explorer ---> KONTAINER BLOB --- Titik pemeriksaan audit --->> Mengunggah dan membuat file kosong pada komputer Anda bernama checkpoint.txt dan memilihnya untuk diunggah (ini dilakukan sehingga date_range untuk log SIEM disimpan dalam keadaan konsisten)



Pelatihan Kesadaran Mimecast

Didukung oleh:Mimecast

Konektor data untuk Mimecast Awareness Training memberi pelanggan visibilitas ke peristiwa keamanan yang terkait dengan teknologi inspeksi Perlindungan Ancaman Yang Ditargetkan dalam Microsoft Sentinel. Konektor data menyediakan dasbor yang telah dibuat sebelumnya untuk memungkinkan analis melihat wawasan tentang ancaman berbasis email, membantu korelasi insiden dan mengurangi waktu respons investigasi yang digabungkan dengan kemampuan pemberitahuan kustom.
Produk Mimecast yang disertakan dalam konektor adalah:

  • Detail Performa
  • Detail Skor Aman
  • Data Pengguna
  • Detail Daftar Tonton

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
Awareness_Performance_Details_CL Yes Yes
Awareness_SafeScore_Details_CL Yes Yes
Awareness_User_Data_CL Yes Yes
Awareness_Watchlist_Details_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Langganan Azure: Langganan Azure dengan peran pemilik diperlukan untuk mendaftarkan aplikasi di Microsoft Entra ID dan menetapkan peran kontributor ke aplikasi dalam grup sumber daya.
  • Microsoft. Izin web/situs: Izin baca dan tulis ke Azure Functions untuk membuat Aplikasi Fungsi diperlukan. Untuk informasi selengkapnya, lihat Azure Functions.
  • Kredensial/izin REST API: Lihat dokumentasi untuk mempelajari selengkapnya tentang API pada referensi Rest API

Instruksi Penyetelan:

grup Sumber Daya

Anda harus membuat grup sumber daya dengan langganan yang akan Anda gunakan.

Aplikasi Functions

Anda harus memiliki Azure App yang terdaftar untuk digunakan konektor ini

  1. ID Aplikasi
  2. Id Penyewa
  3. Id Klien
  4. Rahasia Klien
  5. ID Objek Entra

CATATAN: Konektor ini menggunakan Azure Functions untuk terhubung ke Mimecast API untuk menarik lognya ke Microsoft Sentinel. Ini dapat mengakibatkan biaya penyerapan data tambahan. Periksa halaman harga Azure Functions untuk detailnya.

(Langkah Opsional) Simpan ruang kerja dan kunci otorisasi API atau token dengan aman di Azure Key Vault. Azure Key Vault menyediakan mekanisme aman untuk menyimpan dan mengambil nilai kunci. Ikuti instruksi ini untuk menggunakan Azure Key Vault dengan Aplikasi Fungsi Azure.

LANGKAH 1 - Langkah-langkah Pendaftaran Aplikasi untuk Aplikasi di Microsoft Entra ID

Integrasi ini memerlukan pendaftaran Aplikasi di portal Azure. Ikuti langkah-langkah di bagian ini untuk membuat aplikasi baru di Microsoft Entra ID:

  1. Masuk ke portal Azure.
  2. Cari dan pilih Microsoft Entra ID.
  3. Di bawah Kelola, pilih Pendaftaran aplikasi > Pendaftaran baru.
  4. Masukkan Nama tampilan aplikasi Anda.
  5. Pilih Daftar untuk menyelesaikan pendaftaran aplikasi awal.
  6. Setelah pendaftaran selesai, portal Azure menampilkan panel Gambaran Umum pendaftaran aplikasi. Anda melihat ID Aplikasi (klien) dan ID Penyewa. ID klien dan ID Penyewa diperlukan sebagai parameter konfigurasi untuk eksekusi Konektor Data Mimecast.

Tautan referensi:/azure/active-directory/develop/quickstart-register-app

LANGKAH 2 - Menambahkan rahasia klien untuk aplikasi di Microsoft Entra ID

Terkadang disebut kata sandi aplikasi, rahasia klien adalah nilai string yang diperlukan untuk eksekusi Konektor Data Mimecast. Ikuti langkah-langkah di bagian ini untuk membuat Rahasia Klien baru:

  1. Di portal Microsoft Azure, di Pendaftaran aplikasi, pilih aplikasi Anda.
  2. Pilih Sertifikat & rahasia > Rahasia > klien Rahasia klien baru.
  3. Tambahkan deskripsi untuk rahasia klien Anda.
  4. Pilih kedaluwarsa untuk rahasia atau tentukan masa pakai kustom. Batasnya adalah 24 bulan.
  5. Pilih Tambahkan.
  6. Catat nilai rahasia untuk digunakan dalam kode aplikasi klien Anda. Nilai rahasia ini tidak pernah ditampilkan lagi setelah Anda meninggalkan halaman ini. Nilai rahasia diperlukan sebagai parameter konfigurasi untuk eksekusi Konektor Data Mimecast.

Tautan referensi:/azure/active-directory/develop/quickstart-register-app#add-a-client-secret

LANGKAH 3 - Dapatkan ID Objek aplikasi Anda di Microsoft Entra ID

Setelah membuat pendaftaran aplikasi, ikuti langkah-langkah di bagian ini untuk mendapatkan ID Objek:

  1. Pergi ke Microsoft Entra ID.
  2. Pilih Aplikasi perusahaan dari menu sebelah kiri.
  3. Temukan aplikasi yang baru dibuat dalam daftar (Anda dapat mencari berdasarkan nama yang Anda berikan).
  4. Klik aplikasi.
  5. Pada halaman gambaran umum, salin ID Objek. Ini adalah AzureEntraObjectId yang diperlukan untuk penetapan peran templat ARM Anda.

LANGKAH 4 - Menyebarkan Konektor MIMECAST API

PENTING: Sebelum menyebarkan konektor Mimecast API, miliki kunci otorisasi Mimecast API atau Token, tersedia dengan mudah.

Templat Azure Resource Manager (ARM)

Gunakan metode ini untuk penyebaran otomatis konektor Mimecast Awareness Training Data.

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.msaka.ms

  2. Pilih Langganan, Grup Sumber Daya, dan Wilayah pilihan.

  3. Masukkan informasi di bawah ini :

    a. Lokasi - Lokasi tempat aturan pengumpulan data dan titik akhir pengumpulan data harus disebarkan

    b. WorkspaceName - Masukkan Nama Ruang Kerja Microsoft Sentinel ruang kerja Log Analytics

    c. AzureClientID - Masukkan ID Klien Azure yang telah Anda buat selama pendaftaran aplikasi

    d. AzureClientSecret - Masukkan Rahasia Klien Azure yang telah Anda buat selama membuat rahasia klien

    e. AzureTenantID - Masukkan ID Penyewa Azure Azure Active Directory Anda

    f. AzureEntraObjectID - Masukkan Id objek aplikasi Microsoft Entra Anda

    g. MimecastBaseURL - Masukkan URL Dasar Mimecast API 2.0 (misalnya https://api.services.mimecast.com)

    Halo. MimecastClientID - Masukkan ID Klien Mimecast untuk autentikasi

    i. MimecastClientSecret - Masukkan Rahasia Klien Mimecast untuk autentikasi

    j. MimecastAwarenessPerformanceDetailsTableName - Masukkan nama tabel yang digunakan untuk menyimpan data Detail Performa Kesadaran. Defaultnya adalah 'Awareness_Performance_Details'

    k. MimecastAwarenessUserDataTableName - Masukkan nama tabel yang digunakan untuk menyimpan data Data Pengguna Kesadaran. Defaultnya adalah 'Awareness_User_Data'

    l. MimecastAwarenessWatchlistDetailsTableName - Masukkan nama tabel yang digunakan untuk menyimpan data Detail Daftar Pengawasan Kesadaran. Defaultnya adalah 'Awareness_Watchlist_Details'

    m. MimecastAwarenessSafeScoreDetailsTableName - Masukkan nama tabel yang digunakan untuk menyimpan data Detail SafeScore Kesadaran. Defaultnya adalah 'Awareness_SafeScore_Details'

    n. StartDate - Masukkan tanggal mulai dalam format 'yyyy-mm-dd'. Jika Anda tidak memberikan tanggal, data dari 60 hari terakhir akan diambil secara otomatis. Pastikan bahwa tanggal berada di masa lalu dan diformat dengan benar

    o. Jadwal - Masukkan quartz cron-expression yang valid. (Contoh: 0 0 */1 * * *) Jangan biarkan nilai kosong, nilai minimum adalah 10 menit

    p. LogLevel - Harap tambahkan tingkat log atau nilai tingkat keparahan log. Secara default diatur ke INFO

    q. AppInsightsWorkspaceResourceId - Memigrasikan Application Insights Klasik ke Ruang Kerja Analitik Log yang dihentikan pada 29 Febraury 2024. Gunakan bilah 'Ruang Kerja Analitik Log-->Properti' yang memiliki nilai properti 'ID Sumber Daya'. Ini adalah resourceId yang sepenuhnya memenuhi syarat yang dalam format '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft. OperationalInsights/workspaces/{workspaceName}'

  4. Tandai kotak centang berlabel Saya menyetujui syarat dan ketentuan yang dinyatakan di atas.

  5. Klik Beli untuk menyebarkan.



Mimecast Cloud Terintegrasi

Didukung oleh:Mimecast

Konektor data untuk Mimecast Cloud Integrated memberikan pelanggan visibilitas terhadap peristiwa keamanan yang terkait dengan teknologi inspeksi Cloud Integrated dalam Microsoft Sentinel. Konektor data menyediakan dasbor yang telah dibuat sebelumnya untuk memungkinkan analis melihat wawasan tentang ancaman berbasis email, membantu korelasi insiden dan mengurangi waktu respons investigasi yang digabungkan dengan kemampuan pemberitahuan kustom.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
Cloud_Integrated_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Langganan Azure: Langganan Azure dengan peran pemilik diperlukan untuk mendaftarkan aplikasi di Microsoft Entra ID dan menetapkan peran kontributor ke aplikasi dalam grup sumber daya.
  • Microsoft. Izin web/situs: Izin baca dan tulis ke Azure Functions untuk membuat Aplikasi Fungsi diperlukan. Untuk informasi selengkapnya, lihat Azure Functions.
  • Kredensial/izin REST API: Lihat dokumentasi untuk mempelajari selengkapnya tentang API pada referensi Rest API

Instruksi Penyetelan:

grup Sumber Daya

Anda harus membuat grup sumber daya dengan langganan yang akan Anda gunakan.

Aplikasi Functions

Anda harus memiliki Azure App yang terdaftar untuk digunakan konektor ini

  1. ID Aplikasi
  2. Id Penyewa
  3. Id Klien
  4. Rahasia Klien

CATATAN: Konektor ini menggunakan Azure Functions untuk terhubung ke Mimecast API untuk menarik lognya ke Microsoft Sentinel. Ini dapat mengakibatkan biaya penyerapan data tambahan. Periksa halaman harga Azure Functions untuk detailnya.

(Langkah Opsional) Simpan ruang kerja dan kunci otorisasi API atau token dengan aman di Azure Key Vault. Azure Key Vault menyediakan mekanisme aman untuk menyimpan dan mengambil nilai kunci. Ikuti instruksi ini untuk menggunakan Azure Key Vault dengan Aplikasi Fungsi Azure.

Configuration:

LANGKAH 1 - Langkah-langkah konfigurasi untuk MIMECAST API

Buka portal Azure --- Pendaftaran aplikasi --- [your_app] --- Sertifikat & rahasia --- Rahasia klien baru dan buat rahasia baru (simpan Nilai di tempat yang aman segera karena Anda tidak akan dapat mempratinjaunya nanti)

LANGKAH 2 - Menyebarkan Konektor MIMECAST API

PENTING: Sebelum menyebarkan konektor Mimecast API, miliki kunci otorisasi Mimecast API atau Token, tersedia dengan mudah.

LANGKAH 3 - Langkah-langkah Pendaftaran Aplikasi untuk Aplikasi di Microsoft Entra ID

Integrasi ini memerlukan pendaftaran Aplikasi di portal Azure. Ikuti langkah-langkah di bagian ini untuk membuat aplikasi baru di Microsoft Entra ID:

  1. Masuk ke portal Azure.
  2. Cari dan pilih Microsoft Entra ID.
  3. Di bawah Kelola, pilih Pendaftaran aplikasi > Pendaftaran baru.
  4. Masukkan Nama tampilan aplikasi Anda.
  5. Pilih Daftar untuk menyelesaikan pendaftaran aplikasi awal.
  6. Setelah pendaftaran selesai, portal Azure menampilkan panel Gambaran Umum pendaftaran aplikasi. Anda melihat ID Aplikasi (klien) dan ID Penyewa. ID klien dan ID Penyewa diperlukan sebagai parameter konfigurasi untuk eksekusi Konektor Data TenableVM.

Tautan referensi:/azure/active-directory/develop/quickstart-register-app

LANGKAH 4 - Tambahkan rahasia klien untuk aplikasi di Microsoft Entra ID

Terkadang disebut kata sandi aplikasi, rahasia klien adalah nilai string yang diperlukan untuk eksekusi Konektor Data TenableVM. Ikuti langkah-langkah di bagian ini untuk membuat Rahasia Klien baru:

  1. Di portal Microsoft Azure, di Pendaftaran aplikasi, pilih aplikasi Anda.
  2. Pilih Sertifikat & rahasia > Rahasia > klien Rahasia klien baru.
  3. Tambahkan deskripsi untuk rahasia klien Anda.
  4. Pilih kedaluwarsa untuk rahasia atau tentukan masa pakai kustom. Batasnya adalah 24 bulan.
  5. Pilih Tambahkan.
  6. Catat nilai rahasia untuk digunakan dalam kode aplikasi klien Anda. Nilai rahasia ini tidak pernah ditampilkan lagi setelah Anda meninggalkan halaman ini. Nilai rahasia diperlukan sebagai parameter konfigurasi untuk eksekusi Konektor Data TenableVM.

Tautan referensi:/azure/active-directory/develop/quickstart-register-app#add-a-client-secret

LANGKAH 5 - Dapatkan ID Objek aplikasi Anda di Microsoft Entra ID

Setelah membuat pendaftaran aplikasi, ikuti langkah-langkah di bagian ini untuk mendapatkan ID Objek:

  1. Pergi ke Microsoft Entra ID.
  2. Pilih Aplikasi perusahaan dari menu sebelah kiri.
  3. Temukan aplikasi yang baru dibuat dalam daftar (Anda dapat mencari berdasarkan nama yang Anda berikan).
  4. Klik aplikasi.
  5. Pada halaman gambaran umum, salin ID Objek. Ini adalah AzureEntraObjectId yang diperlukan untuk penetapan peran templat ARM Anda.

Templat Azure Resource Manager (ARM)

Gunakan metode ini untuk penyebaran otomatis konektor Mimecast Cloud Integrated Data.

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.msaka.ms

  2. Pilih Langganan, Grup Sumber Daya, dan Wilayah pilihan.

  3. Masukkan informasi di bawah ini :

    a. Lokasi - Lokasi tempat aturan pengumpulan data dan titik akhir pengumpulan data harus disebarkan

    b. WorkspaceName - Masukkan Nama Ruang Kerja Microsoft Sentinel ruang kerja Log Analytics

    c. AzureClientID - Masukkan ID Klien Azure yang telah Anda buat selama pendaftaran aplikasi

    d. AzureClientSecret - Masukkan Rahasia Klien Azure yang telah Anda buat selama membuat rahasia klien

    e. AzureTenantID - Masukkan ID Penyewa Azure Azure Active Directory Anda

    f. AzureEntraObjectID - Masukkan Id objek aplikasi Microsoft Entra Anda

    g. MimecastBaseURL - Masukkan URL Dasar Mimecast API 2.0 (misalnya https://api.services.mimecast.com)

    Halo. MimecastClientID - Masukkan ID Klien Mimecast untuk autentikasi

    i. MimecastClientSecret - Masukkan Rahasia Klien Mimecast untuk autentikasi

    j. MimecastCITableName - Masukkan nama tabel yang digunakan untuk menyimpan data Cloud Integrated. Defaultnya adalah 'Cloud_Integrated'

    k. StartDate - Masukkan tanggal mulai dalam format 'yyyy-mm-dd'. Jika Anda tidak memberikan tanggal, data dari 60 hari terakhir akan diambil secara otomatis. Pastikan bahwa tanggal berada di masa lalu dan diformat dengan benar

    l. Jadwal - Masukkan quartz cron-expression yang valid. (Contoh: 0 0 */1 * * *) Jangan biarkan nilai kosong, nilai minimum adalah 10 menit

    m. LogLevel - Harap tambahkan tingkat log atau nilai tingkat keparahan log. Secara default diatur ke INFO

    n. AppInsightsWorkspaceResourceId - Memigrasikan Application Insights Klasik ke Ruang Kerja Analitik Log yang dihentikan pada 29 Febraury 2024. Gunakan bilah 'Ruang Kerja Analitik Log-->Properti' yang memiliki nilai properti 'ID Sumber Daya'. Ini adalah resourceId yang sepenuhnya memenuhi syarat yang dalam format '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft. OperationalInsights/workspaces/{workspaceName}'

  4. Tandai kotak centang berlabel Saya menyetujui syarat dan ketentuan yang dinyatakan di atas.

  5. Klik Beli untuk menyebarkan.



Mimecast Intelligence for Microsoft - Microsoft Sentinel (menggunakan Azure Functions)

Didukung oleh:Mimecast

Konektor data untuk Mimecast Intelligence for Microsoft menyediakan inteligensi ancaman regional yang dikumpulkan dari teknologi inspeksi email Mimecast dengan dasbor yang telah dibuat sebelumnya untuk memungkinkan analis melihat wawasan tentang ancaman berbasis email, membantu korelasi insiden dan mengurangi waktu respons investigasi.
Produk dan fitur Mimecast diperlukan:

  • Gateway Email Aman Mimecast
  • Inteligensi Ancaman Mimecast

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
ThreatIntelligenceIndicator Yes No

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Microsoft. Izin web/situs: Izin baca dan tulis ke Azure Functions untuk membuat Aplikasi Fungsi diperlukan. Untuk informasi selengkapnya, lihat Azure Functions.
  • Kredensial MIMECAST API: Anda harus memiliki informasi berikut untuk mengonfigurasi integrasi:
  • mimecastEmail: Alamat email pengguna admin Mimecast khusus
  • mimecastPassword: Kata sandi untuk pengguna admin Mimecast khusus
  • mimecastAppId: ID Aplikasi API dari aplikasi Mimecast Microsoft Sentinel yang terdaftar di Mimecast
  • mimecastAppKey: Kunci Aplikasi API dari aplikasi Mimecast Microsoft Sentinel yang terdaftar di Mimecast
  • mimecastAccessKey: Kunci Akses untuk pengguna admin Mimecast khusus
  • mimecastSecretKey: Kunci Rahasia untuk pengguna admin Mimecast khusus
  • mimecastBaseURL: URL Dasar API Regional Mimecast

Id Aplikasi Mimecast, Kunci Aplikasi, bersama dengan Kunci Akses dan Kunci Rahasia untuk pengguna admin Mimecast khusus dapat diperoleh melalui Mimecast Administration Console: Administrasi | Layanan | Integrasi API dan Platform.

URL Dasar API Mimecast untuk setiap wilayah didokumenkan di sini: https://integrations.mimecast.com/documentation/api-overview/global-base-urls/

  • Grup sumber daya: Anda harus membuat grup sumber daya dengan langganan yang akan Anda gunakan.
  • aplikasi Functions: Anda harus memiliki Azure App yang terdaftar untuk digunakan konektor ini
  1. ID Aplikasi
  2. Id Penyewa
  3. Id Klien
  4. Rahasia Klien

Instruksi Penyetelan:

CATATAN: Konektor ini menggunakan Azure Functions untuk terhubung ke Mimecast API untuk menarik lognya ke Microsoft Sentinel. Ini dapat mengakibatkan biaya penyerapan data tambahan. Periksa halaman harga Azure Functions untuk detailnya.

(Langkah Opsional) Simpan ruang kerja dan kunci otorisasi API atau token dengan aman di Azure Key Vault. Azure Key Vault menyediakan mekanisme aman untuk menyimpan dan mengambil nilai kunci. Ikuti instruksi ini untuk menggunakan Azure Key Vault dengan Aplikasi Fungsi Azure.

Configuration:

LANGKAH 1 - Langkah-langkah konfigurasi untuk MIMECAST API

Buka portal Azure --- Pendaftaran aplikasi --- [your_app] --- Sertifikat & rahasia --- Rahasia klien baru dan buat rahasia baru (simpan Nilai di tempat yang aman segera karena Anda tidak akan dapat mempratinjaunya nanti)

LANGKAH 2 - Menyebarkan Konektor MIMECAST API

PENTING: Sebelum menyebarkan konektor Mimecast API, miliki ID Ruang Kerja dan Kunci Primer Ruang Kerja (dapat disalin dari yang berikut), serta kunci otorisasi Mimecast API atau Token, tersedia dengan mudah.

  • ID ruang kerja: <nilai variabel yang disediakan pada waktu penginstalan>
  • Kunci Primer: <nilai variabel yang disediakan pada waktu penginstalan>

Aktifkan Mimecast Intelligence untuk Microsoft - Konektor Microsoft Sentinel:

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.ms

  2. Pilih Langganan, Grup Sumber Daya, dan Lokasi pilihan.

  3. Masukkan bidang berikut:

  • appName: String unik yang akan digunakan sebagai id untuk aplikasi di platform Azure
  • objectId: portal Azure ---> Azure Active Directory ---> info selengkapnya ---> ID Objek ----- Profil ----->
  • appInsightsLocation(default): westeurope
  • mimecastEmail: Alamat email pengguna khusus untuk integrasi ini
  • mimecastPassword: Kata sandi untuk pengguna khusus
  • mimecastAppId: Id Aplikasi dari aplikasi Microsoft Sentinel yang terdaftar di Mimecast
  • mimecastAppKey: Kunci Aplikasi dari aplikasi Microsoft Sentinel yang terdaftar di Mimecast
  • mimecastAccessKey: Kunci Akses untuk pengguna Mimecast khusus
  • mimecastSecretKey: Kunci Rahasia untuk pengguna Mimecast khusus
  • mimecastBaseURL: URL Dasar API Mimecast Regional
  • activeDirectoryAppId: portal Azure ---> Pendaftaran aplikasi ---> [your_app] ID Aplikasi --->
  • activeDirectoryAppSecret: portal Azure --- Pendaftaran aplikasi --- [your_app] --- Sertifikat & rahasia --- [your_app_secret]
  • workspaceId: portal Azure ---> Log Analytics Workspaces ---> [Your workspace] ---> Agents ---> Workspace ID (atau Anda dapat menyalin workspaceId dari atas)
  • workspaceKey: portal Azure ---> Log Analytics Ruang Kerja ---> [Ruang kerja Anda] ---> Agen ---> Kunci Utama (atau Anda dapat menyalin workspaceKey dari atas)
  • AppInsightsWorkspaceResourceID : portal Azure ---> Log Analytics Ruang Kerja ---> [Ruang kerja Anda] ---> Properti ---> ID Sumber Daya

Catatan: Jika menggunakan rahasia Azure Key Vault untuk salah satu nilai di atas, gunakan@Microsoft.KeyVault(SecretUri={Security Identifier})skema sebagai pengganti nilai string. Lihat dokumentasi referensi Key Vault untuk detail lebih lanjut.

  1. Tandai kotak centang berlabel Saya menyetujui syarat dan ketentuan yang dinyatakan di atas.

  2. Klik Beli untuk menyebarkan.

  3. Buka portal Azure ---> Grup sumber daya ---> [your_resource_group] ---> [appName](type: Storage account) ---> Storage Explorer ---> KONTAINER BLOB ---> titik pemeriksaan TIR ---> Unggah dan buat file kosong di komputer Anda bernama checkpoint.txt dan pilih untuk diunggah (ini dilakukan agar date_range untuk log TIR disimpan dalam keadaan konsisten)

Konfigurasi tambahan:

Menyambungkan ke Konektor Data Platform Inteligensi Ancaman . Ikuti instruksi di halaman konektor lalu klik tombol sambungkan.



Gateway Email Aman Mimecast

Didukung oleh:Mimecast

Konektor data untuk Mimecast Secure Email Gateway memungkinkan pengumpulan log yang mudah dari Gateway Email Aman untuk menampilkan wawasan email dan aktivitas pengguna dalam Microsoft Azure Sentinel. Konektor data menyediakan dasbor yang telah dibuat sebelumnya untuk memungkinkan analis melihat wawasan tentang ancaman berbasis email, membantu korelasi insiden dan mengurangi waktu respons investigasi yang digabungkan dengan kemampuan pemberitahuan kustom. Produk dan fitur Mimecast diperlukan:

  • Mimecast Cloud Gateway
  • Pencegahan Kebocoran Data Mimecast

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
Seg_Cg_CL Yes Yes
Seg_Dlp_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Langganan Azure: Langganan Azure dengan peran pemilik diperlukan untuk mendaftarkan aplikasi di Microsoft Entra ID dan menetapkan peran kontributor ke aplikasi dalam grup sumber daya.
  • Microsoft. Izin web/situs: Izin baca dan tulis ke Azure Functions untuk membuat Aplikasi Fungsi diperlukan. Untuk informasi selengkapnya, lihat Azure Functions.
  • Kredensial/izin REST API: Lihat dokumentasi untuk mempelajari selengkapnya tentang API pada referensi Rest API

Instruksi Penyetelan:

CATATAN: Konektor ini menggunakan Azure Functions untuk terhubung ke Mimecast API untuk menarik lognya ke Microsoft Sentinel. Ini dapat mengakibatkan biaya penyerapan data tambahan. Periksa halaman harga Azure Functions untuk detailnya.

(Langkah Opsional) Simpan ruang kerja dan kunci otorisasi API atau token dengan aman di Azure Key Vault. Azure Key Vault menyediakan mekanisme aman untuk menyimpan dan mengambil nilai kunci. Ikuti instruksi ini untuk menggunakan Azure Key Vault dengan Aplikasi Fungsi Azure.

Configuration:

LANGKAH 1 - Langkah-langkah konfigurasi untuk MIMECAST API

Buka portal Azure --- Pendaftaran aplikasi --- [your_app] --- Sertifikat & rahasia --- Rahasia klien baru dan buat rahasia baru (simpan Nilai di tempat yang aman segera karena Anda tidak akan dapat mempratinjaunya nanti)

**LANGKAH 2 - Menyebarkan Konektor MIMECAST API

PENTING: Sebelum menyebarkan konektor Mimecast API, miliki kunci otorisasi Mimecast API atau Token, tersedia dengan mudah.

LANGKAH 3 - Langkah-langkah Pendaftaran Aplikasi untuk Aplikasi di Microsoft Entra ID

Integrasi ini memerlukan pendaftaran Aplikasi di portal Azure. Ikuti langkah-langkah di bagian ini untuk membuat aplikasi baru di Microsoft Entra ID:

  1. Masuk ke portal Azure.
  2. Cari dan pilih Microsoft Entra ID.
  3. Di bawah Kelola, pilih Pendaftaran aplikasi > Pendaftaran baru.
  4. Masukkan Nama tampilan aplikasi Anda.
  5. Pilih Daftar untuk menyelesaikan pendaftaran aplikasi awal.
  6. Setelah pendaftaran selesai, portal Azure menampilkan panel Gambaran Umum pendaftaran aplikasi. Anda melihat ID Aplikasi (klien) dan ID Penyewa. ID klien dan ID Penyewa diperlukan sebagai parameter konfigurasi untuk eksekusi Konektor Data TenableVM.

Tautan referensi:/azure/active-directory/develop/quickstart-register-app

LANGKAH 4 - Tambahkan rahasia klien untuk aplikasi di Microsoft Entra ID

Terkadang disebut kata sandi aplikasi, rahasia klien adalah nilai string yang diperlukan untuk eksekusi Konektor Data TenableVM. Ikuti langkah-langkah di bagian ini untuk membuat Rahasia Klien baru:

  1. Di portal Microsoft Azure, di Pendaftaran aplikasi, pilih aplikasi Anda.
  2. Pilih Sertifikat & rahasia > Rahasia > klien Rahasia klien baru.
  3. Tambahkan deskripsi untuk rahasia klien Anda.
  4. Pilih kedaluwarsa untuk rahasia atau tentukan masa pakai kustom. Batasnya adalah 24 bulan.
  5. Pilih Tambahkan.
  6. Catat nilai rahasia untuk digunakan dalam kode aplikasi klien Anda. Nilai rahasia ini tidak pernah ditampilkan lagi setelah Anda meninggalkan halaman ini. Nilai rahasia diperlukan sebagai parameter konfigurasi untuk eksekusi Konektor Data TenableVM.

Tautan referensi:/azure/active-directory/develop/quickstart-register-app#add-a-client-secret

LANGKAH 5 - Dapatkan ID Objek aplikasi Anda di Microsoft Entra ID

Setelah membuat pendaftaran aplikasi, ikuti langkah-langkah di bagian ini untuk mendapatkan ID Objek:

  1. Pergi ke Microsoft Entra ID.
  2. Pilih Aplikasi perusahaan dari menu sebelah kiri.
  3. Temukan aplikasi yang baru dibuat dalam daftar (Anda dapat mencari berdasarkan nama yang Anda berikan).
  4. Klik aplikasi.
  5. Pada halaman gambaran umum, salin ID Objek. Ini adalah AzureEntraObjectId yang diperlukan untuk penetapan peran templat ARM Anda.

Sebarkan Konektor Data Gateway Email Aman Mimecast:

Gunakan metode ini untuk penyebaran otomatis konektor Data Gateway Email Aman Mimecast.

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.msaka.ms

  2. Pilih Langganan, Grup Sumber Daya, dan Wilayah pilihan.

  3. Masukkan informasi di bawah ini :

    a. Lokasi - Lokasi tempat aturan pengumpulan data dan titik akhir pengumpulan data harus disebarkan

    b. WorkspaceName - Masukkan Nama Ruang Kerja Microsoft Sentinel ruang kerja Log Analytics

    c. AzureClientID - Masukkan ID Klien Azure yang telah Anda buat selama pendaftaran aplikasi

    d. AzureClientSecret - Masukkan Rahasia Klien Azure yang telah Anda buat selama membuat rahasia klien

    e. AzureTenantID - Masukkan ID Penyewa Azure Azure Active Directory Anda

    f. AzureEntraObjectID - Masukkan Id objek aplikasi Microsoft Entra Anda

    g. MimecastBaseURL - Masukkan URL Dasar Mimecast API 2.0 (misalnya https://api.services.mimecast.com)

    Halo. MimecastClientID - Masukkan ID Klien Mimecast untuk autentikasi

    i. MimecastClientSecret - Masukkan Rahasia Klien Mimecast untuk autentikasi

    j. MimecastCGTableName - Masukkan nama tabel yang digunakan untuk menyimpan data CG. Defaultnya adalah 'Seg_Cg'

    k. MimecastDLPTableName - Masukkan nama tabel yang digunakan untuk menyimpan data DLP. Defaultnya adalah 'Seg_Dlp'

    l. StartDate - Masukkan tanggal mulai dalam format 'yyyy-mm-dd'. Jika Anda tidak memberikan tanggal, data dari 60 hari terakhir akan diambil secara otomatis. Pastikan bahwa tanggal berada di masa lalu dan diformat dengan benar

    m. Jadwal - Masukkan quartz cron-expression yang valid. (Contoh: 0 0 */1 * * *) Jangan biarkan nilai kosong, nilai minimum adalah 10 menit

    n. LogLevel - Harap tambahkan tingkat log atau nilai tingkat keparahan log. Secara default diatur ke INFO

    o. AppInsightsWorkspaceResourceId - Memigrasikan Application Insights Klasik ke Ruang Kerja Analitik Log yang dihentikan pada 29 Febraury 2024. Gunakan bilah 'Ruang Kerja Analitik Log-->Properti' yang memiliki nilai properti 'ID Sumber Daya'. Ini adalah resourceId yang sepenuhnya memenuhi syarat yang dalam format '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft. OperationalInsights/workspaces/{workspaceName}'

  4. Tandai kotak centang berlabel Saya menyetujui syarat dan ketentuan yang dinyatakan di atas.

  5. Klik Beli untuk menyebarkan.



Mimecast Secure Email Gateway (menggunakan Azure Functions)

Didukung oleh:Mimecast

Konektor data untuk Mimecast Secure Email Gateway memungkinkan pengumpulan log yang mudah dari Gateway Email Aman untuk menampilkan wawasan email dan aktivitas pengguna dalam Microsoft Azure Sentinel. Konektor data menyediakan dasbor yang telah dibuat sebelumnya untuk memungkinkan analis melihat wawasan tentang ancaman berbasis email, membantu korelasi insiden dan mengurangi waktu respons investigasi yang digabungkan dengan kemampuan pemberitahuan kustom. Produk dan fitur Mimecast diperlukan:

  • Gateway Email Aman Mimecast
  • Pencegahan Kebocoran Data Mimecast

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
MimecastSIEM_CL No No
MimecastDLP_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Microsoft. Izin web/situs: Izin baca dan tulis ke Azure Functions untuk membuat Aplikasi Fungsi diperlukan. Untuk informasi selengkapnya, lihat Azure Functions.
  • Kredensial MIMECAST API: Anda harus memiliki informasi berikut untuk mengonfigurasi integrasi:
  • mimecastEmail: Alamat email pengguna admin Mimecast khusus
  • mimecastPassword: Kata sandi untuk pengguna admin Mimecast khusus
  • mimecastAppId: ID Aplikasi API dari aplikasi Mimecast Microsoft Sentinel yang terdaftar di Mimecast
  • mimecastAppKey: Kunci Aplikasi API dari aplikasi Mimecast Microsoft Sentinel yang terdaftar di Mimecast
  • mimecastAccessKey: Kunci Akses untuk pengguna admin Mimecast khusus
  • mimecastSecretKey: Kunci Rahasia untuk pengguna admin Mimecast khusus
  • mimecastBaseURL: URL Dasar API Regional Mimecast

Id Aplikasi Mimecast, Kunci Aplikasi, bersama dengan Kunci Akses dan Kunci Rahasia untuk pengguna admin Mimecast khusus dapat diperoleh melalui Mimecast Administration Console: Administrasi | Layanan | Integrasi API dan Platform.

URL Dasar API Mimecast untuk setiap wilayah didokumenkan di sini: https://integrations.mimecast.com/documentation/api-overview/global-base-urls/

  • Grup sumber daya: Anda harus membuat grup sumber daya dengan langganan yang akan Anda gunakan.
  • aplikasi Functions: Anda harus memiliki Azure App yang terdaftar untuk digunakan konektor ini
  1. ID Aplikasi
  2. Id Penyewa
  3. Id Klien
  4. Rahasia Klien

Instruksi Penyetelan:

CATATAN: Konektor ini menggunakan Azure Functions untuk terhubung ke Mimecast API untuk menarik lognya ke Microsoft Sentinel. Ini dapat mengakibatkan biaya penyerapan data tambahan. Periksa halaman harga Azure Functions untuk detailnya.

(Langkah Opsional) Simpan ruang kerja dan kunci otorisasi API atau token dengan aman di Azure Key Vault. Azure Key Vault menyediakan mekanisme aman untuk menyimpan dan mengambil nilai kunci. Ikuti instruksi ini untuk menggunakan Azure Key Vault dengan Aplikasi Fungsi Azure.

Configuration:

LANGKAH 1 - Langkah-langkah konfigurasi untuk MIMECAST API

Buka portal Azure --- Pendaftaran aplikasi --- [your_app] --- Sertifikat & rahasia --- Rahasia klien baru dan buat rahasia baru (simpan Nilai di tempat yang aman segera karena Anda tidak akan dapat mempratinjaunya nanti)

LANGKAH 2 - Menyebarkan Konektor MIMECAST API

PENTING: Sebelum menyebarkan konektor Mimecast API, miliki ID Ruang Kerja dan Kunci Primer Ruang Kerja (dapat disalin dari yang berikut), serta kunci otorisasi Mimecast API atau Token, tersedia dengan mudah.

  • ID ruang kerja: <nilai variabel yang disediakan pada waktu penginstalan>
  • Kunci Primer: <nilai variabel yang disediakan pada waktu penginstalan>

Sebarkan Konektor Data Gateway Email Aman Mimecast:

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.ms

  2. Pilih Langganan, Grup Sumber Daya, dan Lokasi pilihan.

  3. Masukkan bidang berikut:

  • appName: String unik yang akan digunakan sebagai id untuk aplikasi di platform Azure
  • objectId: portal Azure ---> Azure Active Directory ---> info selengkapnya ---> ID Objek ----- Profil ----->
  • appInsightsLocation(default): westeurope
  • mimecastEmail: Alamat email pengguna khusus untuk integrasi ini
  • mimecastPassword: Kata sandi untuk pengguna khusus
  • mimecastAppId: Id Aplikasi dari aplikasi Microsoft Sentinel yang terdaftar di Mimecast
  • mimecastAppKey: Kunci Aplikasi dari aplikasi Microsoft Sentinel yang terdaftar di Mimecast
  • mimecastAccessKey: Kunci Akses untuk pengguna Mimecast khusus
  • mimecastSecretKey: Kunci Rahasia untuk pengguna Mimecast khusus
  • mimecastBaseURL: URL Dasar API Mimecast Regional
  • activeDirectoryAppId: portal Azure ---> Pendaftaran aplikasi ---> [your_app] ID Aplikasi --->
  • activeDirectoryAppSecret: portal Azure --- Pendaftaran aplikasi --- [your_app] --- Sertifikat & rahasia --- [your_app_secret]
  • workspaceId: portal Azure ---> Log Analytics Workspaces ---> [Your workspace] ---> Agents ---> Workspace ID (atau Anda dapat menyalin workspaceId dari atas)
  • workspaceKey: portal Azure ---> Log Analytics Ruang Kerja ---> [Ruang kerja Anda] ---> Agen ---> Kunci Utama (atau Anda dapat menyalin workspaceKey dari atas)
  • AppInsightsWorkspaceResourceID : portal Azure ---> Log Analytics Ruang Kerja ---> [Ruang kerja Anda] ---> Properti ---> ID Sumber Daya

Catatan: Jika menggunakan rahasia Azure Key Vault untuk salah satu nilai di atas, gunakan@Microsoft.KeyVault(SecretUri={Security Identifier})skema sebagai pengganti nilai string. Lihat dokumentasi referensi Key Vault untuk detail lebih lanjut.

  1. Tandai kotak centang berlabel Saya menyetujui syarat dan ketentuan yang dinyatakan di atas.

  2. Klik Beli untuk menyebarkan.

  3. Buka portal Azure ---> Grup sumber daya ---> [your_resource_group] ---> [appName](jenis: Akun penyimpanan) ---> Storage Explorer ---> KONTAINER BLOB ---> titik pemeriksaan SIEM ---> Unggah dan buat file kosong di komputer Anda bernama checkpoint.txt, dlp-checkpoint.txt dan pilih untuk diunggah (ini dilakukan sehingga date_range untuk log SIEM disimpan dalam keadaan konsisten)



Perlindungan Ancaman Yang Ditargetkan Mimecast

Didukung oleh:Mimecast

Konektor data untuk Mimecast Targeted Threat Protection memberikan pelanggan visibilitas terhadap peristiwa keamanan yang terkait dengan teknologi inspeksi Targeted Threat Protection di dalam Microsoft Sentinel. Konektor data menyediakan dasbor yang telah dibuat sebelumnya untuk memungkinkan analis melihat wawasan tentang ancaman berbasis email, membantu korelasi insiden dan mengurangi waktu respons investigasi yang digabungkan dengan kemampuan pemberitahuan kustom.
Produk Mimecast yang disertakan dalam konektor adalah:

  • Perlindungan URL
  • Perlindungan Peniruan
  • Pelindung Lampiran

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
Ttp_Url_CL Yes Yes
Ttp_Attachment_CL Yes Yes
Ttp_Impersonation_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Langganan Azure: Langganan Azure dengan peran pemilik diperlukan untuk mendaftarkan aplikasi di Microsoft Entra ID dan menetapkan peran kontributor ke aplikasi dalam grup sumber daya.
  • Microsoft. Izin web/situs: Izin baca dan tulis ke Azure Functions untuk membuat Aplikasi Fungsi diperlukan. Untuk informasi selengkapnya, lihat Azure Functions.
  • Kredensial/izin REST API: Lihat dokumentasi untuk mempelajari selengkapnya tentang API pada referensi Rest API

Instruksi Penyetelan:

grup Sumber Daya

Anda harus membuat grup sumber daya dengan langganan yang akan Anda gunakan.

Aplikasi Functions

Anda harus memiliki Azure App yang terdaftar untuk digunakan konektor ini

  1. ID Aplikasi
  2. Id Penyewa
  3. Id Klien
  4. Rahasia Klien

CATATAN: Konektor ini menggunakan Azure Functions untuk terhubung ke Mimecast API untuk menarik lognya ke Microsoft Sentinel. Ini dapat mengakibatkan biaya penyerapan data tambahan. Periksa halaman harga Azure Functions untuk detailnya.

(Langkah Opsional) Simpan ruang kerja dan kunci otorisasi API atau token dengan aman di Azure Key Vault. Azure Key Vault menyediakan mekanisme aman untuk menyimpan dan mengambil nilai kunci. Ikuti instruksi ini untuk menggunakan Azure Key Vault dengan Aplikasi Fungsi Azure.

LANGKAH 1 - Langkah-langkah Pendaftaran Aplikasi untuk Aplikasi di Microsoft Entra ID

Integrasi ini memerlukan pendaftaran Aplikasi di portal Azure. Ikuti langkah-langkah di bagian ini untuk membuat aplikasi baru di Microsoft Entra ID:

  1. Masuk ke portal Azure.
  2. Cari dan pilih Microsoft Entra ID.
  3. Di bawah Kelola, pilih Pendaftaran aplikasi > Pendaftaran baru.
  4. Masukkan Nama tampilan aplikasi Anda.
  5. Pilih Daftar untuk menyelesaikan pendaftaran aplikasi awal.
  6. Setelah pendaftaran selesai, portal Azure menampilkan panel Gambaran Umum pendaftaran aplikasi. Anda melihat ID Aplikasi (klien) dan ID Penyewa. ID klien dan ID Penyewa diperlukan sebagai parameter konfigurasi untuk eksekusi Konektor Data Mimecast.

Tautan referensi:/azure/active-directory/develop/quickstart-register-app

LANGKAH 2 - Menambahkan rahasia klien untuk aplikasi di Microsoft Entra ID

Terkadang disebut kata sandi aplikasi, rahasia klien adalah nilai string yang diperlukan untuk eksekusi Konektor Data Mimecast. Ikuti langkah-langkah di bagian ini untuk membuat Rahasia Klien baru:

  1. Di portal Microsoft Azure, di Pendaftaran aplikasi, pilih aplikasi Anda.
  2. Pilih Sertifikat & rahasia > Rahasia > klien Rahasia klien baru.
  3. Tambahkan deskripsi untuk rahasia klien Anda.
  4. Pilih kedaluwarsa untuk rahasia atau tentukan masa pakai kustom. Batasnya adalah 24 bulan.
  5. Pilih Tambahkan.
  6. Catat nilai rahasia untuk digunakan dalam kode aplikasi klien Anda. Nilai rahasia ini tidak pernah ditampilkan lagi setelah Anda meninggalkan halaman ini. Nilai rahasia diperlukan sebagai parameter konfigurasi untuk eksekusi Konektor Data Mimecast.

Tautan referensi:/azure/active-directory/develop/quickstart-register-app#add-a-client-secret

LANGKAH 3 - Dapatkan ID Objek aplikasi Anda di Microsoft Entra ID

Setelah membuat pendaftaran aplikasi, ikuti langkah-langkah di bagian ini untuk mendapatkan ID Objek:

  1. Pergi ke Microsoft Entra ID.
  2. Pilih Aplikasi perusahaan dari menu sebelah kiri.
  3. Temukan aplikasi yang baru dibuat dalam daftar (Anda dapat mencari berdasarkan nama yang Anda berikan).
  4. Klik aplikasi.
  5. Pada halaman gambaran umum, salin ID Objek. Ini adalah AzureEntraObjectId yang diperlukan untuk penetapan peran templat ARM Anda.

LANGKAH 4 - Menyebarkan Konektor MIMECAST API

PENTING: Sebelum menyebarkan konektor Mimecast API, miliki kunci otorisasi Mimecast API atau Token, tersedia dengan mudah.

Templat Azure Resource Manager (ARM)

Gunakan metode ini untuk penyebaran otomatis konektor Mimecast Targeted Threat Protection Data.

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.msaka.ms

  2. Pilih Langganan, Grup Sumber Daya, dan Wilayah pilihan.

  3. Masukkan informasi di bawah ini :

    a. Lokasi - Lokasi tempat aturan pengumpulan data dan titik akhir pengumpulan data harus disebarkan

    b. WorkspaceName - Masukkan Nama Ruang Kerja Microsoft Sentinel ruang kerja Log Analytics

    c. AzureClientID - Masukkan ID Klien Azure yang telah Anda buat selama pendaftaran aplikasi

    d. AzureClientSecret - Masukkan Rahasia Klien Azure yang telah Anda buat selama membuat rahasia klien

    e. AzureTenantID - Masukkan ID Penyewa Azure Azure Active Directory Anda

    f. AzureEntraObjectID - Masukkan Id objek aplikasi Microsoft Entra Anda

    g. MimecastBaseURL - Masukkan URL Dasar Mimecast API 2.0 (misalnya https://api.services.mimecast.com)

    Halo. MimecastClientID - Masukkan ID Klien Mimecast untuk autentikasi

    i. MimecastClientSecret - Masukkan Rahasia Klien Mimecast untuk autentikasi

    j. StartDate - Masukkan tanggal mulai dalam format 'yyyy-mm-dd'. Jika Anda tidak memberikan tanggal, data dari 60 hari terakhir akan diambil secara otomatis. Pastikan bahwa tanggal berada di masa lalu dan diformat dengan benar

    k. MimecastTTPAttachmentTableName - Masukkan nama tabel yang digunakan untuk menyimpan data Lampiran TTP. Defaultnya adalah 'Ttp_Attachment'

    l. MimecastTTPImpersonationTableName - Masukkan nama tabel yang digunakan untuk menyimpan data Peniruan Identitas TTP. Defaultnya adalah 'Ttp_Impersonation'

    m. MimecastTTPUrlTableName - Masukkan nama tabel yang digunakan untuk menyimpan data Lampiran TTP. Defaultnya adalah 'Ttp_Url'

    n. Jadwal - Masukkan quartz cron-expression yang valid. (Contoh: 0 0 */1 * * *) Jangan biarkan nilai kosong, nilai minimum adalah 10 menit

    l. LogLevel - Harap tambahkan tingkat log atau nilai tingkat keparahan log. Secara default diatur ke INFO

    o. AppInsightsWorkspaceResourceId - Memigrasikan Application Insights Klasik ke Ruang Kerja Analitik Log yang dihentikan pada 29 Febraury 2024. Gunakan bilah 'Ruang Kerja Analitik Log-->Properti' yang memiliki nilai properti 'ID Sumber Daya'. Ini adalah resourceId yang sepenuhnya memenuhi syarat yang dalam format '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft. OperationalInsights/workspaces/{workspaceName}'

  4. Tandai kotak centang berlabel Saya menyetujui syarat dan ketentuan yang dinyatakan di atas.

  5. Klik Beli untuk menyebarkan.



Mimecast Targeted Threat Protection (menggunakan Azure Functions)

Didukung oleh:Mimecast

Konektor data untuk Mimecast Targeted Threat Protection memberikan pelanggan visibilitas terhadap peristiwa keamanan yang terkait dengan teknologi inspeksi Targeted Threat Protection di dalam Microsoft Sentinel. Konektor data menyediakan dasbor yang telah dibuat sebelumnya untuk memungkinkan analis melihat wawasan tentang ancaman berbasis email, membantu korelasi insiden dan mengurangi waktu respons investigasi yang digabungkan dengan kemampuan pemberitahuan kustom.
Produk Mimecast yang disertakan dalam konektor adalah:

  • Perlindungan URL
  • Perlindungan Peniruan
  • Pelindung Lampiran

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
MimecastTTPUrl_CL No No
MimecastTTPAttachment_CL No No
MimecastTTPImpersonation_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Microsoft. Izin web/situs: Izin baca dan tulis ke Azure Functions untuk membuat Aplikasi Fungsi diperlukan. Untuk informasi selengkapnya, lihat Azure Functions.
  • Kredensial/izin REST API: Anda harus memiliki informasi berikut untuk mengonfigurasi integrasi:
  • mimecastEmail: Alamat email pengguna admin Mimecast khusus
  • mimecastPassword: Kata sandi untuk pengguna admin Mimecast khusus
  • mimecastAppId: ID Aplikasi API dari aplikasi Mimecast Microsoft Sentinel yang terdaftar di Mimecast
  • mimecastAppKey: Kunci Aplikasi API dari aplikasi Mimecast Microsoft Sentinel yang terdaftar di Mimecast
  • mimecastAccessKey: Kunci Akses untuk pengguna admin Mimecast khusus
  • mimecastSecretKey: Kunci Rahasia untuk pengguna admin Mimecast khusus
  • mimecastBaseURL: URL Dasar API Regional Mimecast

Id Aplikasi Mimecast, Kunci Aplikasi, bersama dengan Kunci Akses dan Kunci Rahasia untuk pengguna admin Mimecast khusus dapat diperoleh melalui Mimecast Administration Console: Administrasi | Layanan | Integrasi API dan Platform.

URL Dasar API Mimecast untuk setiap wilayah didokumenkan di sini: https://integrations.mimecast.com/documentation/api-overview/global-base-urls/

Instruksi Penyetelan:

grup Sumber Daya

Anda harus membuat grup sumber daya dengan langganan yang akan Anda gunakan.

Aplikasi Functions

Anda harus memiliki Azure App yang terdaftar untuk digunakan konektor ini

  1. ID Aplikasi
  2. Id Penyewa
  3. Id Klien
  4. Rahasia Klien

CATATAN: Konektor ini menggunakan Azure Functions untuk terhubung ke Mimecast API untuk menarik lognya ke Microsoft Sentinel. Ini dapat mengakibatkan biaya penyerapan data tambahan. Periksa halaman harga Azure Functions untuk detailnya.

(Langkah Opsional) Simpan ruang kerja dan kunci otorisasi API atau token dengan aman di Azure Key Vault. Azure Key Vault menyediakan mekanisme aman untuk menyimpan dan mengambil nilai kunci. Ikuti instruksi ini untuk menggunakan Azure Key Vault dengan Aplikasi Fungsi Azure.

Configuration:

LANGKAH 1 - Langkah-langkah konfigurasi untuk MIMECAST API

Buka portal Azure --- Pendaftaran aplikasi --- [your_app] --- Sertifikat & rahasia --- Rahasia klien baru dan buat rahasia baru (simpan Nilai di tempat yang aman segera karena Anda tidak akan dapat mempratinjaunya nanti)

LANGKAH 2 - Menyebarkan Konektor MIMECAST API

PENTING: Sebelum menyebarkan konektor Mimecast API, miliki ID Ruang Kerja dan Kunci Primer Ruang Kerja (dapat disalin dari yang berikut), serta kunci otorisasi Mimecast API atau Token, tersedia dengan mudah.

  • ID ruang kerja: <nilai variabel yang disediakan pada waktu penginstalan>
  • Kunci Primer: <nilai variabel yang disediakan pada waktu penginstalan>

Sebarkan Konektor Data Perlindungan Ancaman Yang Ditargetkan Mimecast:

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.ms

  2. Pilih Langganan, Grup Sumber Daya, dan Lokasi pilihan.

  3. Masukkan bidang berikut:

  • appName: String unik yang akan digunakan sebagai id untuk aplikasi di platform Azure
  • objectId: portal Azure ---> Azure Active Directory ---> info selengkapnya ---> ID Objek ----- Profil ----->
  • appInsightsLocation(default): westeurope
  • mimecastEmail: Alamat email pengguna khusus untuk integrasi ini
  • mimecastPassword: Kata sandi untuk pengguna khusus
  • mimecastAppId: Id Aplikasi dari aplikasi Microsoft Sentinel yang terdaftar di Mimecast
  • mimecastAppKey: Kunci Aplikasi dari aplikasi Microsoft Sentinel yang terdaftar di Mimecast
  • mimecastAccessKey: Kunci Akses untuk pengguna Mimecast khusus
  • mimecastSecretKey: Kunci Rahasia untuk pengguna Mimecast khusus
  • mimecastBaseURL: URL Dasar API Mimecast Regional
  • activeDirectoryAppId: portal Azure ---> Pendaftaran aplikasi ---> [your_app] ID Aplikasi --->
  • activeDirectoryAppSecret: portal Azure --- Pendaftaran aplikasi --- [your_app] --- Sertifikat & rahasia --- [your_app_secret]
  • workspaceId: portal Azure ---> Log Analytics Workspaces ---> [Your workspace] ---> Agents ---> Workspace ID (atau Anda dapat menyalin workspaceId dari atas)
  • workspaceKey: portal Azure ---> Log Analytics Ruang Kerja ---> [Ruang kerja Anda] ---> Agen ---> Kunci Utama (atau Anda dapat menyalin workspaceKey dari atas)
  • AppInsightsWorkspaceResourceID : portal Azure ---> Log Analytics Ruang Kerja ---> [Ruang kerja Anda] ---> Properti ---> ID Sumber Daya

Catatan: Jika menggunakan rahasia Azure Key Vault untuk salah satu nilai di atas, gunakan@Microsoft.KeyVault(SecretUri={Security Identifier})skema sebagai pengganti nilai string. Lihat dokumentasi referensi Key Vault untuk detail lebih lanjut.

  1. Tandai kotak centang berlabel Saya menyetujui syarat dan ketentuan yang dinyatakan di atas.

  2. Klik Beli untuk menyebarkan.

  3. Buka portal Azure ---> Grup sumber daya ---> [your_resource_group] ---> [appName](type: Storage account) ---> Storage Explorer ---> KONTAINER BLOB ---> titik pemeriksaan TTP ---> Mengunggah dan membuat file kosong di komputer Anda bernama attachment-checkpoint.txt, impersonation-checkpoint.txt, url-checkpoint.txt dan memilihnya untuk diunggah (ini dilakukan sehingga date_range untuk log TTP disimpan dalam keadaan konsisten)



MISP2Penjaga

Dukungan oleh:Komunitas

Solusi ini menginstal konektor MISP2Sentinel yang memungkinkan Anda secara otomatis mendorong indikator ancaman dari MISP ke Microsoft Sentinel melalui REST API Indikator Unggah. Setelah menginstal solusi, konfigurasikan dan aktifkan konektor data ini dengan mengikuti panduan dalam Mengelola tampilan solusi.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
ThreatIntelligenceIndicator Yes No

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Instruksi Penyetelan:

Instruksi penginstalan dan penyiapan

Gunakan dokumentasi dari repositori GitHub ini untuk menginstal dan mengonfigurasi MISP untuk Microsoft Sentinel konektor:

https://github.com/cudeso/misp2sentinel



Log MongoDB Atlas

Didukung oleh:MongoDB

Konektor log MongoDBAtlas memberikan kemampuan untuk mengunggah log database MongoDB Atlas ke Microsoft Sentinel melalui API Administrasi MongoDB Atlas. Lihat dokumentasi API untuk informasi selengkapnya. Konektor menyediakan kemampuan untuk mendapatkan rentang pesan log database untuk host yang ditentukan dan proyek yang ditentukan.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
MDBALogTable_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Microsoft. Izin web/situs: Izin baca dan tulis ke Azure Functions untuk membuat Aplikasi Fungsi diperlukan. Untuk informasi selengkapnya, lihat Azure Functions.
  • Kredensial/izin REST API: ID Klien akun layanan MongoDB Atlas dan Rahasia Klien diperlukan. Untuk informasi selengkapnya, lihat membuat akun layanan

Instruksi Penyetelan:

CATATAN: Konektor ini menggunakan Azure Functions untuk terhubung ke 'MongoDB Atlas' untuk menarik lognya ke Microsoft Sentinel. Ini dapat mengakibatkan biaya penyerapan data tambahan. Periksa halaman harga Azure Functions untuk detailnya.

(Langkah Opsional) Simpan ruang kerja dan kunci otorisasi API atau token dengan aman di Azure Key Vault. Azure Key Vault menyediakan mekanisme aman untuk menyimpan dan mengambil nilai kunci. Ikuti instruksi ini untuk menggunakan Azure Key Vault dengan Aplikasi Fungsi Azure.

Pastikan ruang kerja ditambahkan ke Microsoft Sentinel sebelum menyebarkan konektor.

LANGKAH 1 - Langkah konfigurasi untuk 'API Administrasi MongoDB Atlas'

  1. Ikuti petunjuk berikut untuk membuat akun layanan MongoDB Atlas.
  2. Salin ID Klien dan Rahasia Klien yang Anda buat, juga ID Grup (Project) dan setiap ID Kluster (Nama Host) yang diperlukan untuk langkah-langkah selanjutnya.
  3. Lihat dokumentasi API MongoDB Atlas untuk detail selengkapnya.
  4. Rahasia klien dapat diteruskan ke konektor melalui brankas kunci Azure atau langsung ke konektor.
  5. Jika Anda ingin menggunakan opsi brankas kunci, buat brankas kunci, menggunakan Kebijakan Akses Vault, dengan rahasia bernama mongodb-client-secret dan rahasia klien Anda disimpan sebagai nilai rahasia.

LANGKAH 2 - Sebarkan konektor 'Log Atlas MongoDB' dan Fungsi Azure terkait

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    portal.azure.com

LANGKAH 3 - Atur parameter konektor

  1. Pilih Langganan pilihan dan Grup Sumber Daya yang sudah ada.
  2. Masukkan ID Sumber Daya ruang kerja Log Analytics yang sudah ada milik grup sumber daya.
  3. Klik Berikutnya
  4. Masukkan ID Grup MongoDB, daftar hingga 10 ID Kluster MongoDB, masing-masing pada baris terpisah, dan ID Klien MongoDB.
  5. Pilih untuk Metode Autentikasi baik Rahasia Klien dan salin nilai rahasia klien Anda atau Key Vault dan salin atas nama key vault Anda. Klik Berikutnya
  6. Tinjau filter MongoDB. Pilih log dari setidaknya satu kategori. Klik Berikutnya
  7. Tinjau jadwal. Klik Berikutnya
  8. Tinjau pengaturan lalu klik Buat.



MuleSoft Cloudhub

Dukungan oleh:Microsoft Corporation

Konektor data MuleSoft Cloudhub menyediakan kemampuan untuk mengambil log dari aplikasi Cloudhub menggunakan API Cloudhub dan untuk menambahkan lebih banyak peristiwa ke Microsoft Sentinel melalui REST API. Konektor memungkinkan pengambilan peristiwa untuk menilai potensi risiko keamanan, memantau kolaborasi, dan mendiagnosis dan memecahkan masalah konfigurasi.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
MuleSoft_Cloudhub_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Microsoft. Izin web/situs: Izin baca dan tulis ke Azure Functions untuk membuat Aplikasi Fungsi diperlukan. Untuk informasi selengkapnya, lihat Azure Functions.
  • Kredensial/izin REST API: MuleSoftEnvId, MuleSoftAppName, MuleSoftUsername , dan MuleSoftPassword diperlukan untuk melakukan panggilan API.

Instruksi Penyetelan:

CATATAN: Konektor ini menggunakan Azure Functions untuk terhubung ke API Azure Blob Storage untuk menarik log ke Microsoft Sentinel. Ini dapat mengakibatkan biaya tambahan untuk penyerapan data dan untuk menyimpan data dalam biaya Azure Blob Storage. Periksa halaman harga Azure Functions dan halaman harga Azure Blob Storage untuk detailnya.

(Langkah Opsional) Simpan ruang kerja dan kunci otorisasi API atau token dengan aman di Azure Key Vault. Azure Key Vault menyediakan mekanisme aman untuk menyimpan dan mengambil nilai kunci. Ikuti instruksi ini untuk menggunakan Azure Key Vault dengan Aplikasi Fungsi Azure.

CATATAN: Konektor data ini bergantung pada pengurai berdasarkan Fungsi Kusto untuk berfungsi seperti yang diharapkan MuleSoftCloudhub yang disebarkan dengan solusi Microsoft Sentinel.

Catatan: Konektor data ini hanya mengambil log aplikasi CloudHub menggunakan API Platform dan bukan aplikasi CloudHub 2.0

LANGKAH 1 - Langkah konfigurasi untuk API MuleSoft Cloudhub

Ikuti instruksi untuk mendapatkan kredensial.

  1. Dapatkan MuleSoftEnvId, MuleSoftAppName, MuleSoftUsername dan MuleSoftPassword menggunakan dokumentasi.
  2. Simpan kredensial untuk digunakan di konektor data.

LANGKAH 2 - Pilih ONE dari dua opsi penyebaran berikut untuk menyebarkan konektor dan Fungsi Azure terkait

PENTING: Sebelum menyebarkan konektor data MuleSoft Cloudhub, miliki ID Ruang Kerja dan Kunci Primer Ruang Kerja (dapat disalin dari yang berikut).

  • ID ruang kerja: <nilai variabel yang disediakan pada waktu penginstalan>
  • Kunci Primer: <nilai variabel yang disediakan pada waktu penginstalan>

Opsi 1 - Templat Azure Resource Manager (ARM)

Gunakan metode ini untuk penyebaran otomatis konektor data MuleSoft Cloudhub menggunakan ARM Tempate.

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.ms

  2. Pilih Langganan, Grup Sumber Daya, dan Lokasi pilihan.

CATATAN: Dalam grup sumber daya yang sama, Anda tidak dapat mencampur aplikasi Windows dan Linux di wilayah yang sama. Pilih grup sumber daya yang ada tanpa Windows aplikasi di dalamnya atau buat grup sumber daya baru. 3. Masukkan MuleSoftEnvId, MuleSoftAppName, MuleSoftUsername dan MuleSoftPassword dan sebarkan. 4. Tandai kotak centang berlabel Saya menyetujui syarat dan ketentuan yang dinyatakan di atas. 5. Klik Beli untuk menyebarkan.

Opsi 2 - Penyebaran manual Azure Functions

Gunakan instruksi langkah demi langkah berikut untuk menyebarkan konektor data MuleSoft Cloudhub secara manual dengan Azure Functions (Penyebaran melalui Visual Studio Code).

  1. Menyebarkan Aplikasi Fungsi

CATATAN: Anda harus menyiapkan kode VS untuk pengembangan fungsi Azure.

  1. Unduh file Aplikasi Fungsi Azure. Ekstrak arsip ke komputer pengembangan lokal Anda.

  2. Jalankan VS Code. Pilih File di menu utama dan pilih Buka Folder.

  3. Pilih folder tingkat atas dari file yang diekstrak.

  4. Pilih ikon Azure di bilah Aktivitas, lalu di area Azure: Fungsi, pilih tombol Sebarkan ke aplikasi fungsi. Jika Anda belum masuk, pilih ikon Azure di bilah Aktivitas, lalu di area Azure: Functions, pilih Masuk ke Azure Jika Anda sudah masuk, buka langkah berikutnya.

  5. Berikan informasi berikut pada permintaan:

    a. Pilih folder: Pilih folder dari ruang kerja Anda atau telusuri folder yang berisi aplikasi fungsi Anda.

    b. Pilih Langganan: Pilih langganan yang akan digunakan.

    c. Pilih Buat Aplikasi Fungsi baru di Azure (Jangan pilih opsi Tingkat Lanjut)

    d. Masukkan nama unik global untuk aplikasi fungsi: Ketik nama yang valid di jalur URL. Nama yang Anda ketik akan divalidasi untuk memastikan bahwa nama tersebut bersifat unik di Azure Functions. (misalnya MuleSoftXXXXXX).

    e. Pilih runtime: Pilih Python 3.11.

    f. Pilih lokasi untuk sumber daya baru. Untuk performa yang lebih baik dan biaya yang lebih rendah, pilih wilayah yang sama tempat Microsoft Sentinel berada.

  6. Penyebaran akan dimulai. Notifikasi ditampilkan setelah aplikasi fungsi Anda dibuat dan paket penyebaran diterapkan.

  7. Buka portal Azure untuk konfigurasi Aplikasi Fungsi.

  8. Mengonfigurasi Aplikasi Fungsi

  9. Di Aplikasi Fungsi, pilih Nama Aplikasi Fungsi dan pilih Konfigurasi.

  10. Di tab Pengaturan aplikasi, pilih Pengaturan aplikasi baru.

  11. Tambahkan masing-masing pengaturan aplikasi berikut satu per satu, dengan nilai string masing-masing (peka huruf besar/kecil): MuleSoftEnvId MuleSoftAppName MuleSoftUsername MuleSoftPassword WorkspaceID WorkspaceID logAnalyticsUri (opsional)

  • Gunakan logAnalyticsUri untuk mengambil alih titik akhir API analitik log untuk cloud khusus. Misalnya, untuk cloud publik, biarkan nilai kosong; untuk Azure lingkungan cloud GovUS, tentukan nilai dalam format berikut: https://<CustomerId>.ods.opinsights.azure.us.
  1. Setelah semua pengaturan aplikasi dimasukkan, klik Simpan.



Mulesoft CloudHub Alerts Connector (melalui Codeless Connector Framework)

Dukungan oleh:Microsoft Corporation

Konektor data Mulesoft CloudHub memungkinkan Anda menginput peringatan dari Mulesoft CloudHub ke Microsoft Sentinel melalui CloudHub REST API v2. Konektor ini mendukung endpoint yang dapat dikonfigurasi untuk mengakomodasi berbagai wilayah Mulesoft dan lingkungan deployment termasuk US Commercial Cloud, EU Cloud, Government Cloud, dan deployment on-premises. Aplikasi ini menggunakan dukungan multi-stream sehingga Anda dapat terhubung ke beberapa lingkungan Mulesoft secara bersamaan. Konfigurasikan konektor dengan kredensial Platform Anypoint, ID lingkungan, dan filter nama aplikasi opsional untuk mulai mengumpulkan data. Gunakan MuleSoftCloudhub parser untuk melakukan query pada peringatan yang dimasukkan. Lihat dokumentasi API Mulesoft CloudHub untuk informasi lebih lanjut tentang API CloudHub.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
MulesoftCloudhubAlerts_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Akses API Mulesoft CloudHub: Akses API Mulesoft CloudHub dengan izin baca diperlukan.

Instruksi Penyetelan:

1. Koneksi Mulesoft CloudHub

Kelola koneksi ke lingkungan Mulesoft CloudHub Anda

Prasyarat

Sebelum mengonfigurasi konektor ini, pastikan Anda memiliki:

  1. Akun Platform Mulesoft Anypoint dengan izin yang sesuai
  2. Akses Lingkungan ke lingkungan CloudHub yang ingin Anda pantau
  3. Kredensial Akses API (nama pengguna dan kata sandi)
  4. ID Lingkungan dari konsol Mulesoft CloudHub Anda

Menemukan ID Lingkungan Anda

  1. Masuk ke Platform Anypoint
  2. Navigasikan ke Lingkungan Manajemen > Akses
  3. Pilih lingkungan target Anda
  4. Salin ID Lingkungan dari URL atau detail lingkungan

Catatan: Konektor ini memerlukan akses baca ke API CloudHub. Hubungi administrator Mulesoft Anda jika Anda tidak memiliki izin yang diperlukan.

  • Data Connectors Grid (dikonfigurasi di portal)

2. Pantau dan Validasi

Pantau pengambilan data dan validasi konektivitas

Langkah-langkah Setelah Koneksi

  1. Pantau Status Koneksi: Periksa status konektor di halaman konektor Data
  2. Validasi Data Flow: Gunakan contoh kueri yang disediakan untuk memverifikasi data sedang dikumpulkan
  3. Tinjau Log: Periksa log Azure Monitor untuk masalah koneksi atau otentikasi

Jadwal Pengumpulan Data

  • Peringatan: Disurvei setiap 5 menit dari /v2/alerts endpoint

Garis Waktu yang Diharapkan

  • Data Awal: Tunggu 10-15 menit agar data awal muncul
  • Data Peringatan: Tersedia dalam MuleSoftCloudhub tabel

Troubleshooting

  • Kesalahan otentikasi: Verifikasi kredensial dan akses lingkungan

  • Tidak ada data: Pastikan peringatan ada di lingkungan yang ditentukan

  • Data sebagian: Periksa pengaturan ID lingkungan dan filter aplikasi

    Catatan: Contoh Kueri: MuleSoftCloudhub | where TimeGenerated > ago(24h) | summarize count() by EventSeverity



Log MuleSoft CloudHub (Push Connector melalui Codeless Connector Framework)

Dukungan oleh:Microsoft Corporation

Konektor berbasis push MuleSoft CloudHub Log4j untuk menerima log aplikasi langsung dari MuleSoft CloudHub melalui Log4j HTTP appender. Konektor ini memungkinkan pelanggan untuk melakukan streaming log secara real-time sesuai rekomendasi MuleSoft, menghindari pembatasan kecepatan API dan masalah data duplikat. Konfigurasikan aplikasi MuleSoft Anda dengan konfigurasi Log4j HTTP appender yang disediakan untuk mengalirkan log ke Microsoft Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
MuleSoftCloudhubLogs No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Microsoft. Insights/dataCollectionEndpoints: Data Collection Endpoint diperlukan agar konektor push modern dapat menerima data dari sistem keamanan eksternal.
  • Microsoft. Insights/dataCollectionRules: Aturan Pengumpulan Data diperlukan untuk mendefinisikan skema dan transformasi data yang masuk.
  • Microsoft. Otorisasi/penugasan peran: Penetapan peran diperlukan untuk memberikan izin aplikasi Entra agar dapat mengirim data ke Aturan Pengumpulan Data.

Instruksi Penyetelan:

1. Buat Sumber Daya ARM dan Berikan Izin yang Diperlukan

Konektor ini menerima data dari sistem keamanan eksternal yang mengirimkan log ke Microsoft Sentinel. Sistem eksternal harus dikonfigurasi untuk mengirim data event mentah ke Microsoft Sentinel Ingestion API. Mengklik Deploy akan memicu pembuatan tabel Log Analytics dan Aturan Pengumpulan Data (DCR). Kemudian akan membuat aplikasi Entra, menautkan DCR ke aplikasi tersebut, dan mengatur rahasia yang dimasukkan dalam aplikasi. Penyiapan ini memungkinkan data dikirim dengan aman ke DCR menggunakan token Entra.

Pelajari lebih lanjut tentang proses pengaturan konektor

Azure Resource Deployment

Proses penerapan akan menciptakan sumber daya berikut:

  • Tabel kustom Log Analytics
  • Titik Akhir Pengumpulan Data (DCE)
  • Aturan Pengumpulan Data (DCR)
  • Pendaftaran Aplikasi Entra ID
  • Penetapan peran untuk pengambilan data

Nilai Konfigurasi

Setelah penerapan, salin nilai-nilai berikut untuk mengonfigurasi sistem keamanan eksternal Anda:

  • ID Penyewa (ID Direktori): <nilai variabel yang disediakan pada waktu penginstalan>
  • ID Aplikasi Pendaftaran Aplikasi Entra: <nilai variabel yang disediakan pada waktu penginstalan>
  • Rahasia Pendaftaran Aplikasi Entra: <nilai variabel yang disediakan pada waktu penginstalan>
  • URL Endpoint Pengumpulan Data: <nilai variabel yang disediakan saat instalasi>
  • ID Tidak Dapat Diubah Aturan Pengumpulan Data: <nilai variabel yang disediakan pada waktu penginstalan>
  • Nama Stream (MuleSoftCloudhubLogs):< nilai variabel yang diberikan saat instalasi>

Catatan: Jaga nilai-nilai ini tetap aman. Anda akan membutuhkannya untuk mengonfigurasi sistem keamanan eksternal Anda.

2. Konfigurasikan sistem eksternal Anda untuk mendorong log

Gunakan parameter berikut untuk mengonfigurasi sistem keamanan eksternal Anda agar mengirim log ke workspace.

Langkah-langkah Konfigurasi

  1. Akses antarmuka konfigurasi sistem keamanan eksternal Anda.
  2. Navigasikan ke pengaturan penerusan data, integrasi, atau SIEM.
  3. Pilih Azure Monitor atau Microsoft Sentinel sebagai tujuan.
  4. Pilih Data Collection Endpoint sebagai metode autentikasi.
  5. Konfigurasikan bidang yang diperlukan menggunakan nilai dari langkah sebelumnya:
    • ID Penyewa: Salin dari atas
    • ID Aplikasi (Klien): Salin dari atas
    • Rahasia Klien: Salin dari atas
    • Titik Akhir Pengumpulan Data: Salin dari atas
    • Aturan Pengumpulan Data ID Tidak Berubah: Salin dari atas
    • Nama Aliran: Salin nama aliran yang sesuai dari atas
  6. Simpan konfigurasi dan aktifkan/mulai forwarder.

Validation

Catatan: Data akan muncul di tabel MuleSoftCloudhubLogs di ruang kerja Log Analytics Anda dalam beberapa menit.

Untuk memverifikasi data diterima, jalankan kueri berikut di ruang kerja Log Analytics Anda:

MuleSoftCloudhubLogs
| where TimeGenerated > ago(1h)
| take 10

Troubleshooting

Jika data tidak muncul:

  • Verifikasi nilai konfigurasi sudah benar
  • Periksa apakah forwarder/integrasi aktif dan berjalan
  • Tinjau log di sistem keamanan eksternal Anda untuk mencari kesalahan
  • Pastikan konektivitas jaringan dari sistem Anda ke Azure
  • Verifikasi aplikasi Entra memiliki izin yang benar



Lindungi NC

Didukung oleh:archTIS

NC Protect Data Connector (archtis.com) menyediakan kemampuan untuk menyerap log aktivitas pengguna dan peristiwa ke dalam Microsoft Sentinel. Konektor memberikan visibilitas ke dalam log dan peristiwa aktivitas pengguna NC Protect di Microsoft Sentinel untuk meningkatkan kemampuan pemantauan dan investigasi

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
NCProtectUAL_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • NC Protect: Anda harus memiliki instans NC Protect yang sedang berjalan untuk O365. Silakan hubungi kami.

Instruksi Penyetelan:

  1. Instal NC Protect ke penyewaan Azure Anda
  2. Masuk ke situs Administrasi NC Protect
  3. Dari menu navigasi sebelah kiri, pilih Umum -> Pemantauan Aktivitas Pengguna
  4. Centang kotak centang untuk Mengaktifkan SIEM dan klik tombol Konfigurasi
  5. Pilih Microsoft Sentinel sebagai Aplikasi dan selesaikan konfigurasi menggunakan informasi di bawah ini
  6. Klik Simpan untuk mengaktifkan koneksi
  • ID ruang kerja: <nilai variabel yang disediakan pada waktu penginstalan>
  • Kunci Primer: <nilai variabel yang disediakan pada waktu penginstalan>



Netskope AI SecOps

Didukung oleh:Netskope

Konektor Netskope AI SecOps mendorong event penilaian kasus dan risiko AI SecOps (siklus hidup kasus, pengayaan investigasi, dan perubahan skor risiko entitas) langsung ke Microsoft Sentinel menggunakan pola Push Codeless Connector Framework (CCF) dan Azure Monitor Logs Ingestion API. Event ditulis ke NetskopeAISecOps_CL tabel; mengurai Data kolom pada waktu query dengan NetskopeAISecOpsEvents fungsi.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
NetskopeAISecOps_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Microsoft Entra: Izin untuk membuat pendaftaran aplikasi di Microsoft Entra ID. Biasanya memerlukan peran Pengembang Aplikasi Entra ID atau yang lebih tinggi.
  • Microsoft Azure: Izin untuk menetapkan peran Monitoring Metrics Publisher pada aturan pengumpulan data (DCR). Biasanya memerlukan peran Pemilik RBAC Azure atau Administrator Akses Pengguna.
  • Konsol admin Netskope AI SecOps: Izin untuk mengonfigurasi tujuan event keluar di pengaturan AI SecOps milik penyewa Netskope.

Instruksi Penyetelan:

1. Buat Sumber Daya ARM dan Berikan Izin yang Diperlukan

Konektor ini memungkinkan modul AI SecOps milik penyewa Netskope Anda untuk mengirim kejadian kasus dan penilaian risiko langsung ke Microsoft Sentinel melalui API Ingestion Log Azure Monitor.

Konfigurasi otomatis dan pengambilan data yang aman dengan aplikasi Entra Mengklik "Deploy push connector resources" akan memicu pembuatan NetskopeAISecOps_CL tabel Log Analytics serta aturan pengumpulan data (DCR) dan titik akhir pengumpulan data (DCE). Kemudian aplikasi akan dibuat registrasi aplikasi Microsoft Entra, menghubungkan DCR ke aplikasi tersebut, dan mengatur rahasia yang dimasukkan di aplikasi. Pengaturan ini memungkinkan Netskope mengirim event AI SecOps secara aman ke DCR menggunakan token Entra.

2. Konfigurasikan tujuan acara di konsol admin Netskope AI SecOps

Salin nilai-nilai di bawah ini ke webhook Outbound untuk tujuan Microsoft Sentinel di konsol admin Netskope AI SecOps (Tipe Auth: kredensial klien OAuth2). Bidang-bidang tersebut tercantum dalam urutan yang sama seperti formulir webhook. Lihat panduan Komunitas Netskope untuk langkah-langkah konsol.

CATATAN: URL Token dihasilkan untuk otoritas Microsoft Entra dari cloud Azure tempat workspace ini digunakan (komersial atau pemerintah), jadi salin persis seperti yang ditampilkan.

  • URL Tujuan (Data Collection Endpoint): <nilai variabel yang disediakan saat instalasi>
  • URL Token: <nilai variabel yang disediakan saat instalasi>
  • Client ID (Entra Application ID):< nilai variabel yang diberikan saat instalasi>
  • Client secret (Entra application secret value):< nilai variabel yang disediakan saat instalasi>
  • Lingkup: <nilai variabel yang diberikan saat instalasi>
  • ID Penyewa (ID Direktori): <nilai variabel yang disediakan pada waktu penginstalan>
  • ID Tidak Dapat Diubah Aturan Pengumpulan Data: <nilai variabel yang disediakan pada waktu penginstalan>
  • Nama Aliran: <nilai variabel yang disediakan pada waktu penginstalan>



Pemberitahuan dan Peristiwa Netskope

Didukung oleh:Netskope

Pemberitahuan dan Peristiwa Keamanan Netskope

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
NetskopeAlerts_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Url organisasi Netskope: Konektor data Netskope mengharuskan Anda untuk menyediakan url organisasi Anda. Anda dapat menemukan url organisasi Anda dengan masuk ke portal Netskope.
  • Kunci NETSKOPE API: Konektor data Netskope mengharuskan Anda untuk menyediakan kunci API yang valid. Anda dapat membuatnya dengan mengikuti dokumentasi Netskope.

Instruksi Penyetelan:

LANGKAH 1 - Buat kunci NETSKOPE API.

Ikuti dokumentasi Netskope untuk panduan tentang langkah ini.

LANGKAH 2 - Masukkan Detail produk Netskope Anda

Masukkan url organisasi Netskope & Token API Anda di bawah ini:

  • Url Organisasi: (Masukkan url organisasi Anda)
  • Kunci API: (Masukkan Kunci API Anda)

OPSIONAL: Tentukan Indeks yang digunakan API.

Mengonfigurasi indeks bersifat opsional dan hanya diperlukan dalam skenario tingkat lanjut. Netskope menggunakan indeks untuk mengambil peristiwa. Dalam beberapa kasus lanjutan (mengonsumsi peristiwa di beberapa ruang kerja Microsoft Sentinel, atau melakukan pra-fatiguing indeks untuk hanya mengambil data terbaru), pelanggan mungkin ingin memiliki kontrol langsung atas indeks.

  • Indeks: (NetskopeCCF)

LANGKAH 3 - Klik Sambungkan

Pastikan semua bidang di atas diisi dengan benar. Tekan Sambungkan untuk menyambungkan Netskope ke Microsoft Sentinel.

  • Aktifkan/Nonaktifkan Koneksi



Status Klien Netskope

Didukung oleh:Netskope

Netskope Client Status connector menginput catatan status perangkat klien Netskope (instalasi, konektivitas, kesehatan, dan kejadian postur terakhir) ke dalam Microsoft Sentinel melalui poller REST API Codeless Connector Framework (CCF). Data disajikan oleh Netskope API dalam bentuk CSV dan disimpan dalam NetskopeClientStatus_CL tabel. Kode enumerasi disimpan dalam kolom aslinya dan diterjemahkan saat dikonsumsi ke kolom yang dapat *_name dibaca manusia di sekitarnya.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
NetskopeClientStatus_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Url organisasi Netskope: Konektor data Netskope mengharuskan Anda untuk menyediakan url organisasi Anda. Anda dapat menemukan url organisasi Anda dengan masuk ke portal Netskope.
  • Kunci NETSKOPE API: Konektor data Netskope mengharuskan Anda untuk menyediakan kunci API yang valid. Anda dapat membuatnya dengan mengikuti dokumentasi Netskope.
  • Iterator Status Klien Netskope: Berbeda dengan tipe data Netskope Alerts dan Events lainnya, Status Klien hanya diekspos melalui endpoint iterator REST API v2 vManagement-API 2 Netskope. Tidak ada indeks default atau otomatis untuk tipe data ini — Anda harus membuat iterator sendiri sebelum terhubung; lihat dokumentasi endpoint iterator Netskope.

Instruksi Penyetelan:

LANGKAH 1 - Buat kunci NETSKOPE API.

Ikuti dokumentasi Netskope untuk panduan tentang langkah ini.

LANGKAH 2 - Buat iterator Status Klien

Client Status tidak mendukung konvensi bersama index= yang digunakan oleh tipe event Netskope lainnya — Anda harus membuat iterator khusus untuk tipe data ini sebelum Microsoft Sentinel dapat melakukan polling. Dengan menggunakan endpoint iterator Netskope REST API v2, panggil Create Iterator API sekali (misalnya POST https://<your-org>/api/v2/dataexport/iterator/<a-name-you-choose>?eventtype=clientstatus dengan token API Anda) dan catat nama/ID iterator yang Anda gunakan — Anda akan memasukkannya di bawah ini. Konfirmasi bentuk permintaan yang tepat terhadap dokumentasi Netskope yang tertaut, karena manajemen iterator adalah permukaan API terpisah dari event yang Anda polling.

LANGKAH 3 - Masukkan Detail produk Netskope Anda

Masukkan URL organisasi Netskope Anda, Token API, dan ID iterator Status Klien yang Anda buat pada Langkah 2:

  • Url Organisasi: (Masukkan url organisasi Anda)
  • Kunci API: (Masukkan Kunci API Anda)
  • ID Iterator Status Klien: (Masukkan nama/ID iterator yang Anda buat pada Langkah 2)

LANGKAH 4 - Klik Hubungkan

Pastikan semua bidang di atas diisi dengan benar. Tekan Sambungkan untuk menyambungkan Netskope ke Microsoft Sentinel.

  • Aktifkan/Nonaktifkan Koneksi



Konektor Data Netskope

Didukung oleh:Netskope

Konektor data Netskope menyediakan kemampuan berikut:

  1. NetskopeToAzureStorage :
  • Dapatkan data Pemberitahuan dan Peristiwa Netskope dari Netskope dan serap ke penyimpanan Azure. 2. StorageToSentinel :
  • Dapatkan data Pemberitahuan dan Peristiwa Netskope dari penyimpanan Azure dan serap ke tabel log kustom di ruang kerja analitik log. 3. WebTxMetrics :
  • Dapatkan data WebTxMetrics dari Netskope dan serap ke tabel log kustom di ruang kerja analitik log.

Untuk detail selengkapnya tentang REST API, lihat dokumentasi di bawah ini:

  1. Dokumentasi Netskope API:

https://docs.netskope.com/en/netskope-help/admin-console/rest-api/rest-api-v2-overview-312207/ 2. Azure dokumentasi penyimpanan: /azure/storage/common/storage-introduction 3. Microsoft dokumentasi analitik log: /azure/azure-monitor/logs/log-analytics-overview

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
alertscompromisedcredentialdata_CL No No
alertsctepdata_CL No No
alertsdlpdata_CL No No
alertsmalsitedata_CL No No
alertsmalwaredata_CL No No
alertspolicydata_CL No No
alertsquarantinedata_CL No No
alertsremediationdata_CL No No
alertssecurityassessmentdata_CL No No
alertsubadata_CL No No
eventsapplicationdata_CL No No
eventsauditdata_CL No No
eventsconnectiondata_CL No No
eventsincidentdata_CL No No
eventsnetworkdata_CL No No
eventspagedata_CL No No
Netskope_WebTx_metrics_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Langganan Azure: Langganan Azure dengan peran pemilik diperlukan untuk mendaftarkan aplikasi di direktori aktif azure() dan menetapkan peran kontributor ke aplikasi dalam grup sumber daya.
  • Microsoft. Izin web/situs: Izin baca dan tulis ke Azure Functions untuk membuat Aplikasi Fungsi diperlukan. Untuk informasi selengkapnya, lihat Azure Functions.
  • Kredensial/izin REST API: Penyewa Netskope dan Token API Netskope diperlukan. Lihat dokumentasi untuk mempelajari selengkapnya tentang API pada referensi Rest API

Instruksi Penyetelan:

CATATAN: Konektor ini menggunakan Azure Functions untuk menyambungkan ke API Netskope untuk menarik data Pemberitahuan dan Peristiwanya ke dalam tabel log kustom. Periksa halaman harga Azure Functions untuk detailnya.

(Langkah Opsional) Simpan ruang kerja dan kunci otorisasi API atau token dengan aman di Azure Key Vault. Azure Key Vault menyediakan mekanisme aman untuk menyimpan dan mengambil nilai kunci. Ikuti instruksi ini untuk menggunakan Azure Key Vault dengan Aplikasi Fungsi Azure.

LANGKAH 1 - Langkah-langkah Pendaftaran Aplikasi untuk Aplikasi di Microsoft Entra ID

Integrasi ini memerlukan pendaftaran Aplikasi di portal Azure. Ikuti langkah-langkah di bagian ini untuk membuat aplikasi baru di Microsoft Entra ID:

  1. Masuk ke portal Azure.
  2. Cari dan pilih Microsoft Entra ID.
  3. Di bawah Kelola, pilih Pendaftaran aplikasi > Pendaftaran baru.
  4. Masukkan Nama tampilan aplikasi Anda.
  5. Pilih Daftar untuk menyelesaikan pendaftaran aplikasi awal.
  6. Setelah pendaftaran selesai, portal Azure menampilkan panel Gambaran Umum pendaftaran aplikasi. Anda melihat ID Aplikasi (klien) dan ID Penyewa. ID klien dan ID Penyewa diperlukan sebagai parameter konfigurasi untuk eksekusi playbook TriggersSync.

Tautan referensi:/azure/active-directory/develop/quickstart-register-app

LANGKAH 2 - Menambahkan rahasia klien untuk aplikasi di Microsoft Entra ID

Terkadang disebut kata sandi aplikasi, rahasia klien adalah nilai string yang diperlukan untuk eksekusi playbook TriggersSync. Ikuti langkah-langkah di bagian ini untuk membuat Rahasia Klien baru:

  1. Di portal Microsoft Azure, di Pendaftaran aplikasi, pilih aplikasi Anda.
  2. Pilih Sertifikat & rahasia > Rahasia > klien Rahasia klien baru.
  3. Tambahkan deskripsi untuk rahasia klien Anda.
  4. Pilih kedaluwarsa untuk rahasia atau tentukan masa pakai kustom. Batasnya adalah 24 bulan.
  5. Pilih Tambahkan.
  6. Catat nilai rahasia untuk digunakan dalam kode aplikasi klien Anda. Nilai rahasia ini tidak pernah ditampilkan lagi setelah Anda meninggalkan halaman ini. Nilai rahasia diperlukan sebagai parameter konfigurasi untuk eksekusi playbook TriggersSync.

Tautan referensi:/azure/active-directory/develop/quickstart-register-app#add-a-client-secret

LANGKAH 3 - Menetapkan peran Kontributor ke aplikasi di Microsoft Entra ID

Ikuti langkah-langkah di bagian ini untuk menetapkan peran:

  1. Di portal Azure, Buka Grup Sumber Daya dan pilih grup sumber daya Anda.
  2. Buka Kontrol akses (IAM) dari panel kiri.
  3. Klik Tambahkan, lalu pilih Tambahkan penetapan peran.
  4. Pilih Kontributor sebagai peran dan klik berikutnya.
  5. Di Tetapkan akses ke, pilih User, group, or service principal.
  6. Klik tambahkan anggota dan ketik nama aplikasi yang telah Anda buat dan pilih.
  7. Sekarang klik Tinjau + tetapkan lalu klik lagi Tinjau + tetapkan.

Tautan referensi:/azure/role-based-access-control/role-assignments-portal

LANGKAH 4 - Langkah-langkah untuk membuat/mendapatkan Kredensial untuk akun Netskope

Ikuti langkah-langkah di bagian ini untuk membuat/mendapatkan Nama Host Netskope dan Token API Netskope:

  1. Masuk ke Penyewa Netskope Anda dan buka menu Pengaturan di bilah navigasi kiri.
  2. Klik Alat lalu REST API v2
  3. Sekarang, klik tombol token baru. Kemudian akan meminta nama token, durasi kedaluwarsa, dan titik akhir yang ingin Anda ambil datanya.
  4. Setelah selesai klik tombol simpan, token akan dihasilkan. Salin token dan simpan di tempat yang aman untuk penggunaan lebih lanjut.

LANGKAH 5 - Langkah-langkah untuk membuat fungsi azure untuk Pemberitahuan Netskope dan Pengumpulan Data Peristiwa

PENTING: Sebelum menyebarkan konektor data Netskope, miliki ID Ruang Kerja dan Kunci Primer Ruang Kerja (dapat disalin dari yang berikut) yang tersedia dengan mudah.., serta Kunci Otorisasi NETSKOPE API.

  • ID ruang kerja: <nilai variabel yang disediakan pada waktu penginstalan>
  • Kunci Primer: <nilai variabel yang disediakan pada waktu penginstalan>

Menggunakan templat ARM menyebarkan aplikasi fungsi untuk penyerapan peristiwa Netskope dan memperingatkan data ke Sentinel.

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.ms

  2. Pilih Langganan, Grup Sumber Daya, dan Lokasi pilihan.

  3. Masukkan informasi di bawah ini: Token Netskope HostName Netskope API Pilih Ya di dropdown Jenis Pemberitahuan dan Peristiwa untuk titik akhir tersebut yang ingin Anda ambil Pemberitahuan dan Kunci Ruang Kerja ID Ruang Kerja Tingkat Log Peristiwa

  4. Klik Tinjau+Buat.

  5. Kemudian setelah validasi klik Buat untuk menyebarkan.



Netskope Web Transactions (melalui Blob Storage)

Didukung oleh:Netskope

Penghubung data Netskope Web Transactions memungkinkan penghapusan log transaksi web dari Netskope ke Microsoft Sentinel menggunakan kemampuan Netskope Log Streaming (NLS). Log transaksi web memberikan visibilitas rinci terhadap semua lalu lintas web yang diproses oleh Netskope, termasuk aktivitas pengguna, penggunaan aplikasi, kategori URL, tindakan kebijakan, dan metadata jaringan.

Konektor ini menggunakan Azure Blob Storage dan Event Grid untuk menginput log yang disiarkan Netskope ke akun penyimpanan Anda.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
NetskopeWebTransactions_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Izin langganan: Anda memerlukan izin untuk membuat sumber daya aliran data:
  • Antrian penyimpanan (antrian notifikasi dan antrean huruf mati)
  • Topik Event Grid dan langganan (untuk mengirim notifikasi 'event yang dibuat blob')
  • Penetapan peran (untuk memberikan akses aplikasi Microsoft Sentinel ke antrean kontainer dan penyimpanan blob)
  • Konfigurasi Netskope Log Streaming: Konfigurasikan Netskope Log Streaming (NLS) untuk mengirim log Transaksi Web ke kontainer Azure Blob Storage Anda. Ikuti dokumentasi Netskope NLS untuk instruksi pengaturan.

Instruksi Penyetelan:

Hubungkan Log Transaksi Web Netskope ke Microsoft Sentinel

Untuk mengaktifkan Netskope Web Transactions Logs untuk Microsoft Sentinel, berikan informasi yang diperlukan di bawah ini dan klik Connect.

Prerequisites:

  1. Konfigurasikan Netskope NLS untuk mengirim log Transaksi Web ke kontainer Azure Blob Storage
  2. Pastikan Anda memiliki izin yang diperlukan pada akun penyimpanan
  • URL Kontainer Blob:
  • Nama Folder Blob (Opsional): (Biarkan kosong jika log berada di root kontainer)
  • Lokasi Akun Penyimpanan: (misalnya, eastus)
  • Nama Grup Sumber Daya Akun Penyimpanan:
  • ID Langganan Akun Penyimpanan:
  • Nama Topik Event Grid (jika ada): (Biarkan kosong untuk membuat topik baru)
  • Aktifkan/Nonaktifkan Koneksi



Kelompok Keamanan Jaringan

Dukungan oleh:Microsoft Corporation

Azure kelompok keamanan jaringan (NSG) memungkinkan Anda memfilter lalu lintas jaringan ke dan dari sumber daya Azure dalam jaringan virtual Azure. Grup keamanan jaringan mencakup aturan yang mengizinkan atau menolak lalu lintas ke subnet jaringan virtual, antarmuka jaringan, atau keduanya.

Saat mengaktifkan pengelogan untuk NSG, Anda dapat mengumpulkan jenis informasi log sumber daya berikut:

  • Acara: Entri dicatat di mana aturan NSG diterapkan ke VM, berdasarkan alamat MAC.
  • Penghitung aturan: Berisi entri untuk berapa kali setiap aturan NSG diterapkan untuk menolak atau mengizinkan lalu lintas. Status untuk aturan ini dikumpulkan setiap 300 detik.

Konektor ini memungkinkan Anda mengalirkan log diagnostik NSG ke Microsoft Sentinel, memungkinkan Anda untuk terus memantau aktivitas di semua instans Anda. Untuk informasi selengkapnya, lihat dokumentasi Microsoft Azure Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
AzureDiagnostics No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

NordPass

Didukung oleh:NordPass

Mengintegrasikan NordPass dengan siem Microsoft Sentinel melalui API akan memungkinkan Anda mentransfer data Log Aktivitas secara otomatis dari NordPass ke Microsoft Sentinel dan mendapatkan wawasan real-time, seperti aktivitas item, semua upaya masuk, dan pemberitahuan keamanan.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
NordPassEventLogs_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Pastikan bahwa grup resource dan ruang kerja Log Analytics dibuat dan terletak di wilayah yang sama sehingga Anda dapat menyebarkan Azure Functions.
  • Tambahkan Microsoft Sentinel ke ruang kerja Log Analytics yang dibuat.
  • Buat URL dan token API Microsoft Sentinel di Panel Admin NordPass untuk menyelesaikan integrasi Azure Functions. Harap dicatat bahwa Anda memerlukan akun NordPass Enterprise untuk itu.
  • Important: Konektor ini menggunakan Azure Functions untuk mengambil Log Aktivitas dari NordPass ke Microsoft Sentinel. Ini dapat mengakibatkan biaya penyerapan data tambahan. Untuk informasi selengkapnya, lihat halaman harga Azure Functions.

Instruksi Penyetelan:

Untuk melanjutkan penyiapan Microsoft Sentinel

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.ms

  2. Harap dicatat bahwa setelah penyebaran berhasil, sistem menarik data Log Aktivitas setiap 1 menit secara default.



NordStellar (Dorong)

Didukung oleh:NordStellar

Konektor NordStellar mendorong kecerdasan ancaman real time dan peristiwa paparan dari platform NordStellar ke Microsoft Sentinel menggunakan pola Push Codeless Connector Framework (CCF). Semua tipe peristiwa diarahkan ke satu tabel terpadu NordStellar_CL dengan kolom umum (EventTime, EventId, EventType, Module, AssetTypeRiskLevelAssetValue) Tagsyang diekstrak oleh transformasi KQL DCR, sementara payload spesifik tipe dipertahankan dalam kolom dinamisDetails.

Jenis peristiwa yang didukung:

  • Data Bocor (module: LEAKED_DATA): DATA_BREACH, , COMBO_LISTMALWARE_INFECTION,CONSUMER_CREDENTIAL
  • Pemantauan Web Gelap (module: DARK_WEB_MONITORING): DARK_WEB_FORUM_POST, , DARK_WEB_TELEGRAM_POSTDARK_WEB_RANSOMWARE_POST,DARK_WEB_MARKETPLACE_POST
  • Domain Squatting (module: DOMAIN_SQUATTING): DOMAIN_PERMUTATION
  • Surface serangan (module: ATTACK_SURFACE): ATTACK_SURFACE_WEB_APPLICATION_VULNERABILITY, , ATTACK_SURFACE_NETWORK_SERVICE_VULNERABILITYATTACK_SURFACE_DNS_VULNERABILITY

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
NordStellar_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Microsoft Entra: Izin untuk membuat pendaftaran aplikasi di Microsoft Entra ID. Biasanya memerlukan peran Pengembang Aplikasi Entra ID atau yang lebih tinggi.
  • Microsoft Azure: Izin untuk menetapkan peran Publisher Metrik Pemantauan pada aturan pengumpulan data (DCR). Biasanya memerlukan peran Pemilik RBAC Azure atau Administrator Akses Pengguna.
  • NordStellar: Penyewa NordStellar Aktif dengan izin untuk mengonfigurasi webhook keluar untuk integrasi.

Instruksi Penyetelan:

1. Menyebarkan sumber daya konektor

Konektor ini memungkinkan NordStellar untuk mendorong inteligensi ancaman real time dan peristiwa paparan langsung ke Microsoft Sentinel melalui API penyerapan Azure Monitor.

Konfigurasi otomatis Mengklik Sebarkan akan membuat:

  • Tabel Log Analytics kustomNordStellar_CL
  • Aturan Pengumpulan Data (DCR) dengan satu aliran Custom-NordStellar dan transformasi KQL yang mempromosikan bidang umum dan mempertahankan payload khusus jenis di Details
  • Titik Akhir Pengumpulan Data (DCE) yang digunakan untuk penyerapan
  • Aplikasi Microsoft Entra dengan kredensial klien OAuth 2.0
  • Penetapan peran yang diperlukan Monitoring Metrics Publisher pada DCR

Kredensial yang dikembalikan di bawah ini kemudian dikonfigurasi di portal NordStellar sehingga peristiwa dapat didorong dengan aman.

2. Mengonfigurasi NordStellar

Gunakan parameter berikut untuk mengonfigurasi integrasi Microsoft Sentinel di portal NordStellar.

  • ID Penyewa (ID Direktori): <nilai variabel yang disediakan pada waktu penginstalan>
  • ID Aplikasi (Klien):< nilai variabel yang disediakan pada waktu penginstalan>
  • Rahasia Klien: <nilai variabel yang disediakan pada waktu penginstalan>
  • URI Titik Akhir Pengumpulan Data: <nilai variabel yang disediakan pada waktu penginstalan>
  • ID Tidak Dapat Diubah Aturan Pengumpulan Data: <nilai variabel yang disediakan pada waktu penginstalan>
  • Nama Aliran: <nilai variabel yang disediakan pada waktu> penginstalan Pada amplop On-the-wire NordStellar harus MEMPOSTING array JSON ke {DCE URI}/dataCollectionRules/{DCR Immutable ID}/streams/Custom-NordStellar?api-version=2023-01-01 dengan token pembawa OAuth untuk cakupan https://monitor.azure.com//.default.

Setiap elemen membungkus peristiwa webhook asli dalam amplop tipis:

[
  {
    "time": "2026-04-27T10:30:00Z",
    "event": {
      "id": "...",
      "type": "DATA_BREACH",
      "module": "LEAKED_DATA",
      "risk_level": "HIGH",
      "date_added": "...",
      "tags": ["NAME"],
      "asset": { "type": "EMAIL", "value": "user@company.com" }
    }
  }
]

Transformasi KQL DCR mempromosikan id, type, module, risk_level, asset.typeasset.valuesource_type//asset_valuedan tags ke dalam kolom yang diketik. TimeGenerated diatur ke waktu konsumsi sehingga event historis tidak pernah dihapus oleh retention check, sementara timestamp event asli (detected_at untuk attack-surface/domain-permutasi, date_added jika tidak) dipertahankan di EventTime. Segala sesuatu yang lain dipertahankan di kolom dinamis Details .

3. Verifikasi penyerapan data

Konfirmasi peristiwa mengalir dari NordStellar ke Sentinel.

Tunggu 5-10 menit setelah mengaktifkan integrasi, lalu jalankan kueri KQL ini di ruang kerja Microsoft Sentinel Anda:

NordStellar_CL
| where TimeGenerated > ago(1h)
| summarize count() by EventType, Module
| order by count_ desc

Jika tidak ada data yang muncul setelah 15 menit, verifikasi kredensial di portal NordStellar dan periksa Azure Monitor untuk kesalahan penyerapan pada DCR.



Konektor Berbagi Data Obsidian

Didukung oleh:Obsidian Security

Konektor Obsidian Datasharing menyediakan kemampuan untuk membaca data peristiwa mentah dari Obsidian Datasharing di Microsoft Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
ObsidianActivity_CL No No
ObsidianThreat_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Microsoft Entra: Izin untuk membuat pendaftaran aplikasi di Microsoft Entra ID. Biasanya memerlukan peran Pengembang Aplikasi Entra ID atau yang lebih tinggi.
  • Microsoft Azure: Izin untuk menetapkan peran Publisher Metrik Pemantauan pada aturan pengumpulan data (DCR). Biasanya memerlukan peran Pemilik RBAC Azure atau Administrator Akses Pengguna

Instruksi Penyetelan:

1. Buat Sumber Daya ARM dan Berikan Izin yang Diperlukan

Konektor ini membaca data dari tabel yang digunakan Obsidian Datasharing di ruang kerja analitik Microsoft, jika opsi penerusan data diaktifkan di Obsidian Datasharing, maka data peristiwa mentah dikirim ke API penyerapan Microsoft Sentinel.

Konfigurasi Otomatis dan Penyerapan Data Aman dengan Aplikasi Entra Mengklik "Sebarkan" akan memicu pembuatan tabel Log Analytics dan Aturan Pengumpulan Data (DCR). Kemudian akan membuat aplikasi Entra, menautkan DCR ke aplikasi tersebut, dan mengatur rahasia yang dimasukkan dalam aplikasi. Penyiapan ini memungkinkan data dikirim dengan aman ke DCR menggunakan token Entra.

2. Dorong log Anda ke ruang kerja

Gunakan parameter berikut untuk mengonfigurasi komputer Anda untuk mengirim log ke ruang kerja.

  • ID Penyewa (ID Direktori): <nilai variabel yang disediakan pada waktu penginstalan>
  • ID Aplikasi Pendaftaran Aplikasi Entra: <nilai variabel yang disediakan pada waktu penginstalan>
  • Rahasia Pendaftaran Aplikasi Entra: <nilai variabel yang disediakan pada waktu penginstalan>
  • Uri Titik Akhir Pengumpulan Data: <nilai variabel yang disediakan pada waktu penginstalan>
  • ID Tidak Dapat Diubah Aturan Pengumpulan Data: <nilai variabel yang disediakan pada waktu penginstalan>
  • Nama Aliran Aktivitas: <nilai variabel yang disediakan pada waktu penginstalan>
  • Nama Aliran Ancaman: <nilai variabel yang disediakan pada waktu penginstalan>



Okta Single Sign-On (melalui Codeless Connector Framework)

Dukungan oleh:Microsoft Corporation

Konektor data Sign-On < Okta menyediakan kemampuan untuk menyerap log audit dan peristiwa dari OKTA Sysem Log API ke dalam Microsoft Sentinel. Konektor data dibangun di Microsoft Sentinel Codeless Connector Framework dan menggunakan API Log Sistem Okta untuk mengambil peristiwa. Konektor mendukung transformasi waktu penyerapan berbasis DCR yang mengurai data peristiwa keamanan yang diterima menjadi kolom kustom sehingga kueri tidak perlu mengurainya lagi, sehingga menghasilkan performa yang lebih baik.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
OktaSSO No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Token API Okta: Token API Okta. Ikuti petunjuk berikut untuk membuat Lihat dokumentasi untuk mempelajari selengkapnya tentang API Log Sistem Okta.

Instruksi Penyetelan:

Untuk mengaktifkan Sign-On Tunggal Okta untuk Microsoft Sentinel, berikan informasi yang diperlukan di bawah ini dan klik Sambungkan.

  • Data Connectors Grid (dikonfigurasi di portal)



Onapsis Defend: Mengintegrasikan Deteksi Ancaman SAP yang Tidak Cocok & Intel dengan Microsoft Sentinel

Didukung oleh:Onapsis

Memberdayakan tim keamanan dengan visibilitas mendalam ke dalam aktivitas aktor eksploitasi unik, nol hari, dan ancaman; perilaku pengguna atau orang dalam yang mencurigakan; unduhan data sensitif; pelanggaran kontrol keamanan; dan banyak lagi - semua diperkaya oleh para ahli SAP di Onapsis.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
Onapsis_Defend_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Microsoft Entra: Izin untuk membuat pendaftaran aplikasi di Microsoft Entra ID. Biasanya memerlukan peran Pengembang Aplikasi Entra ID atau yang lebih tinggi.
  • Microsoft Azure: Izin untuk menetapkan peran Publisher Metrik Pemantauan pada aturan pengumpulan data. Biasanya memerlukan peran Pemilik RBAC Azure atau Administrator Akses Pengguna.

Instruksi Penyetelan:

1. Buat Sumber Daya ARM dan Berikan Izin yang Diperlukan

Kami akan membuat sumber daya aturan pengumpulan data (DCR) dan titik akhir pengumpulan data (DCE). Kami juga akan membuat pendaftaran aplikasi Microsoft Entra dan menetapkan izin yang diperlukan untuk pendaftaran aplikasi tersebut.

Penyebaran otomatis sumber daya Azure Mengklik "Sebarkan sumber daya konektor push" akan memicu pembuatan sumber daya DCR dan DCE. Kemudian akan membuat pendaftaran aplikasi Microsoft Entra dengan rahasia klien dan memberikan izin pada DCR. Penyiapan ini memungkinkan data dikirim dengan aman ke DCR menggunakan kredensial klien OAuth v2.

2. Pertahankan detail titik akhir pengumpulan data dan info autentikasi di Integrasi Pertahanan Onapsis

Bagikan URL titik akhir pengumpulan data dan info autentikasi dengan administrator Integrasi Pertahanan Onapsis untuk mengonfigurasi Integrasi Pertahanan Onapsis untuk mengirim data ke titik akhir pengumpulan data.

  • ID Penyewa | Gunakan nilai ini untuk mengonfigurasi sebagai ID Penyewa: <nilai variabel yang disediakan pada waktu penginstalan>
  • ID Aplikasi Entra | Gunakan nilai ini untuk ID Klien: <nilai variabel yang disediakan pada waktu penginstalan>
  • Rahasia Aplikasi Entra | Gunakan nilai ini untuk Token: <nilai variabel yang disediakan pada waktu penginstalan>
  • LogIngestionURL | Gunakan nilai ini untuk parameter URL: <nilai variabel yang disediakan pada waktu penginstalan>
  • ID DCR Tidak Dapat Diubah | Gunakan nilai ini untuk parameter DCR_ID: <nilai variabel yang disediakan pada waktu penginstalan>



OneLogin IAM Platform (melalui Codeless Connector Framework)

Dukungan oleh:Microsoft Corporation

Konektor data OneLogin menyediakan kemampuan untuk menyerap peristiwa Platform IAM OneLogin umum ke dalam Microsoft Sentinel melalui REST API dengan menggunakan OneLogin Events API dan OneLogin Users API. Konektor memungkinkan pengambilan peristiwa untuk menilai potensi risiko keamanan, memantau kolaborasi, dan mendiagnosis dan memecahkan masalah konfigurasi.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
OneLoginEventsV2_CL Yes Yes
OneLoginUsersV2_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Kredensial ONELogin IAM API: Untuk membuat Kredensial API, ikuti tautan dokumen yang disediakan di sini, Klik Di Sini. Pastikan untuk memiliki jenis akun pemilik akun atau administrator untuk membuat kredensial API. Setelah membuat Kredensial API, Anda mendapatkan ID Klien dan Rahasia Klien.

Instruksi Penyetelan:

Menyambungkan Platform IAM OneLogin ke Microsoft Sentinel

Untuk menyerap data dari OneLogin IAM ke Microsoft Sentinel, Anda harus mengklik tombol Tambahkan Domain di bawah ini kemudian Anda mendapatkan pop up untuk mengisi detail, memberikan informasi yang diperlukan dan klik Sambungkan. Anda dapat melihat titik akhir domain yang tersambung di kisi.

  • Data Connectors Grid (dikonfigurasi di portal)



OneTrust

Didukung oleh:OneTrust, LLC

Konektor OneTrust untuk Microsoft Sentinel menyediakan kemampuan untuk memiliki visibilitas hampir real time ke tempat data sensitif telah ditemukan atau diperbaiki di seluruh Google Cloud dan sumber data lain yang didukung OneTrust.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
OneTrustMetadataV3_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Microsoft Entra: Izin untuk membuat pendaftaran aplikasi di Microsoft Entra ID. Biasanya memerlukan peran Pengembang Aplikasi Entra ID atau yang lebih tinggi.
  • Microsoft Azure: Izin untuk menetapkan peran Publisher Metrik Pemantauan pada aturan pengumpulan data (DCR). Biasanya memerlukan peran Pemilik RBAC Azure atau Administrator Akses Pengguna

Instruksi Penyetelan:

1. Buat Sumber Daya ARM dan Berikan Izin yang Diperlukan

Konektor ini membaca data dari tabel yang digunakan OneTrust di ruang kerja analitik Microsoft. Jika opsi penerusan data OneTrust diaktifkan, data peristiwa mentah dapat dikirim ke API penyerapan Microsoft Sentinel.

Konfigurasi Otomatis dan Penyerapan Data Aman dengan Aplikasi Entra Mengklik "Sebarkan" akan memicu pembuatan tabel Log Analytics dan Aturan Pengumpulan Data (DCR). Kemudian akan membuat aplikasi Entra, menautkan DCR ke aplikasi tersebut, dan mengatur rahasia yang dimasukkan dalam aplikasi. Penyiapan ini memungkinkan data dikirim dengan aman ke DCR menggunakan token Entra.

2. Dorong log Anda ke ruang kerja

Gunakan parameter berikut untuk mengonfigurasi komputer Anda untuk mengirim log ke ruang kerja.

  • ID Penyewa (ID Direktori): <nilai variabel yang disediakan pada waktu penginstalan>
  • ID Aplikasi Pendaftaran Aplikasi Entra: <nilai variabel yang disediakan pada waktu penginstalan>
  • Rahasia Pendaftaran Aplikasi Entra: <nilai variabel yang disediakan pada waktu penginstalan>
  • Uri Titik Akhir Pengumpulan Data: <nilai variabel yang disediakan pada waktu penginstalan>
  • ID Tidak Dapat Diubah Aturan Pengumpulan Data: <nilai variabel yang disediakan pada waktu penginstalan>
  • Nama Aliran Metadata OneTrust: <nilai variabel yang disediakan pada waktu penginstalan>



OpenAI (melalui Codeless Connector Framework)

Dukungan oleh:Microsoft Corporation

Konektor data OpenAI memungkinkan Anda menyerap log audit, data penyelesaian obrolan, atau keduanya dari organisasi OpenAI Anda ke Microsoft Sentinel melalui OPENAI API. Setiap jenis data menggunakan poller REST API terpisah dan memerlukan jenis kunci API yang berbeda: log audit (tindakan pengguna, manajemen kunci API, perubahan organisasi, peristiwa keamanan) memerlukan kunci API admin tingkat organisasi, sementara penyelesaian obrolan (penggunaan model, konsumsi token, metrik performa) memerlukan kunci API tingkat proyek. Anda dapat mengonfigurasi satu atau kedua jenis data secara independen. Log audit dikumpulkan ke dalam tabel OpenAIAuditLogs_CL kustom (dinamai oleh pengurai OpenAIAuditLogs). Penyelesaian obrolan dinormalisasi ke dalam tabel ASIM standar ASimAgentEventLogs (dinamai oleh pengurai OpenAIChatCompletions) untuk pemantauan keamanan, analisis kepatuhan, dan pemantauan penggunaan. Lihat dokumentasi OpenAI API untuk informasi selengkapnya.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
OpenAIAuditLogs No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Akses OPENAI API: Setiap jenis data memerlukan jenis kunci API yang berbeda. Kunci API admin tingkat organisasi diperlukan untuk log audit - ini dapat dibuat di pengaturan organisasi OpenAI Anda. Kunci API tingkat proyek diperlukan untuk penyelesaian obrolan - ini dapat dibuat di bawah proyek tertentu di dasbor OpenAI. Anda dapat mengonfigurasi log audit, penyelesaian obrolan, atau keduanya secara independen.

Instruksi Penyetelan:

Informasi Koneksi

Detail tentang koneksi yang digunakan untuk mengumpulkan data dari API OpenAI.

  • Log Audit (OpenAIAuditLogs):
  • Gunakan kunci API admin tingkat organisasi.
  • Pengelogan audit harus diaktifkan di pengaturan organisasi OpenAI Anda. Pemilik organisasi dapat membuka OpenAI Organization settings - ->Data controls>Data retention untuk mengaktifkan pengelogan audit.
  • Setelah pengelogan audit OpenAI diaktifkan, pengelogan tidak dapat dinonaktifkan tanpa menghubungi dukungan OpenAI.
  • Penyelesaian Obrolan (ASimAgentEventLogs):
  • Gunakan kunci API tingkat proyek.
  • Hanya penyelesaian obrolan yang dibuat dengan parameter yang store diatur ke true yang akan dikumpulkan.
  • Penyelesaian obrolan dinormalisasi ke dalam tabel standar ASimAgentEventLogs ASIM.
  • Menghapus penyelesaian obrolan tersimpan saat konektor ini aktif mungkin mengharuskan Anda untuk memutuskan sambungan dan menyambungkan kembali untuk mengatur ulang status pengumpulan data.

Menambahkan Koneksi Log Audit OpenAI

Masukkan kredensial OpenAI API Anda untuk mengumpulkan data log audit dari OpenAI API.

Menambahkan Koneksi Penyelesaian Obrolan OpenAI

Masukkan kredensial OpenAI API Anda untuk mengumpulkan data penyelesaian obrolan dari OpenAI API.

  • Data Connectors Grid (dikonfigurasi di portal)



Oracle Cloud Infrastructure (melalui Codeless Connector Framework)

Dukungan oleh:Microsoft Corporation

Konektor data Oracle Cloud Infrastructure (OCI) menyediakan kemampuan untuk menyerap Log OCI dari OCI Stream ke dalam Microsoft Sentinel menggunakan OCI Streaming REST API.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
OCI_LogsV2_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Akses API Streaming OCI: Akses ke API Streaming OCI melalui Kunci Penandatanganan API diperlukan.
  • Kebijakan OCI IAM: Pengguna OCI yang terkait dengan kunci penandatanganan API harus memiliki izin IAM yang cukup untuk mengonsumsi data dari Aliran OCI. Kunci API hanya menyediakan autentikasi; kebijakan IAM diperlukan untuk otorisasi. Setidaknya, konfigurasikan: Izinkan <nama> grup menggunakan nama kompartemen stream-pull di kompartemen<>.

Instruksi Penyetelan:

Menyambungkan ke API Streaming OCI untuk mulai mengumpulkan log Peristiwa di Microsoft Sentinel

  1. Masuk ke konsol OCI dan akses menu navigasi.
  2. Di menu navigasi, buka "Analitik & AI" -> "Streaming".
  3. Klik "Buat Aliran".
  4. Pilih "Kumpulan Aliran" yang sudah ada atau buat yang baru.
  5. Masukkan detail berikut:
    • "Nama Aliran"
    • "Retensi"
    • "Jumlah Partisi"
    • "Total Laju Tulis"
    • "Total Tingkat Baca" (berdasarkan volume data Anda)
  6. Di menu navigasi, buka "Pengelogan" -> "Konektor Layanan".
  7. Klik "Buat Konektor Layanan".
  8. Masukkan detail berikut:
    • "Nama Konektor"
    • "Deskripsi"
    • "Kompartemen Sumber Daya"
  9. Pilih "Sumber": "Pengelogan".
  10. Pilih "Target": "Streaming".
  11. (Opsional) Konfigurasikan "Grup Log", "Filter", atau gunakan "kueri pencarian kustom" untuk mengalirkan hanya log yang diperlukan.
  12. Konfigurasikan "Target" dengan memilih aliran yang dibuat sebelumnya.
  13. Klik "Buat".
  14. Ikuti dokumentasi untuk membuat Kunci Privat dan File Konfigurasi Kunci API. Simpan File Pem, frasa pass (Opsional, itu tidak diatur saat menggunakan konsol OCI untuk menghasilkan pasangan kunci penandatanganan API) dan sidik jari di tempat yang aman untuk digunakan saat terhubung.
  • Data Connectors Grid (dikonfigurasi di portal)



Pemberitahuan Keamanan Orca

Didukung oleh:Orca Security

Konektor Pemberitahuan Keamanan Orca memungkinkan Anda mengekspor log Pemberitahuan dengan mudah ke Microsoft Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
OrcaAlerts_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Instruksi Penyetelan:

Ikuti panduan untuk mengintegrasikan log Pemberitahuan Keamanan Orca dengan Microsoft Sentinel.

  • ID ruang kerja: <nilai variabel yang disediakan pada waktu penginstalan>
  • Kunci Primer: <nilai variabel yang disediakan pada waktu penginstalan>



Peringatan Keamanan Orca (melalui Microsoft Entra ID)

Didukung oleh:Orca Security

Konektor Orca Security Alerts memungkinkan Anda melakukan streaming peringatan keamanan cloud Orca ke Microsoft Sentinel. Orca mengirim peringatan ke API Logs Ingestion dari Data Collection Endpoint menggunakan aplikasi Microsoft Entra ID, menggantikan autentikasi Log Analytics Shared Key lama.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
OrcaAlerts_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Microsoft Entra ID: Izin untuk membuat pendaftaran aplikasi di Microsoft Entra ID (jika menggunakan aplikasi yang dibuat otomatis). Biasanya membutuhkan peran Pengembang Aplikasi atau lebih tinggi.
  • Microsoft Azure: Izin untuk membuat dan mengonfigurasi sumber daya Azure (DCE, DCR, tabel) dan menetapkan peran RBAC. Biasanya memerlukan peran Kontributor dan Administrator Akses Pengguna.
  • Orca Security: Akses ke platform Orca Security untuk mengonfigurasi integrasi Microsoft Sentinel.

Instruksi Penyetelan:

1. Menyebarkan sumber daya konektor

Terapkan sumber daya Azure yang diperlukan untuk mengolah peringatan Orca Security melalui API Logs Ingestion menggunakan autentikasi Microsoft Entra ID.

Pilih opsi penyebaran Anda

Mengklik Deploy Orca Security Alerts Connector secara otomatis membuat:

  • Titik akhir Pengumpulan Data (DCE)
  • Aturan Pengumpulan Data (DCR) dengan aliran peringatan Orca
  • Tabel Log Analytics (OrcaAlerts_CL)
  • Aplikasi Microsoft Entra dengan client secret
  • Penetapan peran (Monitoring Metrics Publisher) pada DCR

Setelah deployment: Tenant ID, Client ID, Client Secret, DCE URI, dan DCR Immutable ID akan otomatis diisi di bawah untuk disalin-tempel ke platform Orca.

Opsi B: Gunakan aplikasi Microsoft Entra (BYOA) yang sudah ada sebelumnya

Mengklik Deploy Orca Security Alerts Connector akan membuat DCE, DCR, dan tabel, serta aplikasi Entra yang dapat Anda abaikan. Langkah tambahan yang diperlukan:

  1. Tetapkan peran Monitoring Metrics Publisher pada DCR yang dibuat.
  2. Gunakan Client ID dan Client Secret aplikasi Anda sendiri (abaikan yang dihasilkan otomatis di bawah).
  3. Gunakan DCE URI, DCR Immutable ID, dan Nama Stream dari bawah.

Klik Sebarkan untuk memulai:

2. Konfigurasikan integrasi Orca Security

Salin nilai-nilai berikut ke dalam pengaturan integrasi Microsoft Sentinel di platform Orca Security.

Untuk Opsi A (aplikasi yang dibuat otomatis): gunakan semua nilai yang diisi otomatis di bawah ini. Untuk Opsi B (aplikasi yang sudah ada): gunakan DCE URI, DCR Immutable ID, dan Nama Stream di bawah ini, tetapi gunakan Tenant ID, Client ID, dan Client Secret aplikasi Anda sendiri.

Nilai konfigurasi Azure:

  • ID Penyewa: <nilai variabel yang disediakan pada waktu penginstalan>
  • ID Aplikasi (Klien):< nilai variabel yang disediakan pada waktu penginstalan>
  • Rahasia Klien: <nilai variabel yang disediakan pada waktu penginstalan>
  • URI Titik Akhir Pengumpulan Data (DCE):< nilai variabel yang disediakan pada waktu penginstalan>
  • ID Tidak Dapat Diubah Aturan Pengumpulan Data (DCR):< nilai variabel yang disediakan pada waktu penginstalan>
  • Nama Aliran: <nilai variabel yang disediakan pada waktu penginstalan>

Konfigurasikan di platform Keamanan Orca

  1. Masuk ke konsol Keamanan Orca Anda.
  2. Navigasikan ke Pengaturan > Integrasi > Microsoft Sentinel.
  3. Tempel nilai konfigurasi dari atas (ID Tenant, ID Aplikasi (Klien), Rahasia Klien, DCE URI, DCR Immutable ID, dan Nama Aliran).
  4. Klik Simpan untuk menyelesaikan integrasi.

3. Verifikasi penyerapan data

Konfirmasi bahwa peringatan mengalir dari Orca Security ke Microsoft Sentinel.

Langkah verifikasi

  1. Picu atau tunggu peringatan di Orca Security.
  2. Tunggu 5-10 menit agar data muncul di Microsoft Sentinel.
  3. Jalankan kueri berikut untuk memverifikasi peringatan:
OrcaAlerts_CL
| take 10
  1. Cek Konektivitas:
OrcaAlerts_CL
| summarize LastLogReceived = max(TimeGenerated)
| project IsConnected = LastLogReceived > ago(30d)

Jika data muncul dan IsConnected mengembalikan true, konektor telah dikonfigurasi dengan benar.



Palo Alto Cortex XDR

Dukungan oleh:Microsoft Corporation

Konektor data Palo Alto Cortex XDR memungkinkan penyerapan log dari API Palo Alto Cortex XDR ke dalam Microsoft Sentinel. Konektor data dibangun di Microsoft Sentinel Codeless Connector Framework. Ini menggunakan API Palo Alto Cortex XDR untuk mengambil log dan mendukung transformasi waktu penyerapan berbasis DCR yang mengurai data keamanan yang diterima ke dalam tabel kustom sehingga kueri tidak perlu mengurainya lagi, sehingga menghasilkan performa yang lebih baik.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
PaloAltoCortexXDR_Incidents_CL Yes Yes
PaloAltoCortexXDR_Endpoints_CL Yes Yes
PaloAltoCortexXDR_Audit_Management_CL Yes Yes
PaloAltoCortexXDR_Audit_Agent_CL Yes Yes
PaloAltoCortexXDR_Alerts_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Instruksi Penyetelan:

Langkah-langkah konfigurasi untuk API Palo Alto Cortex XDR Ikuti instruksi untuk mendapatkan kredensial. Anda juga dapat mengikuti panduan ini untuk menghasilkan kunci API.

  1. Ambil URL API 1.1. Masuk ke Palo Alto Cortex XDR [Management Console] dengan info masuk pengguna Admin 1.2. Di [Konsol Manajemen], klik [Pengaturan] -> [Konfigurasi] 1.3. Di bawah [Integrasi] klik [Kunci API]. 1.4. Di Halaman [Pengaturan] klik [Salin URL API] di sudut kanan atas.

  2. Ambil Token API 2.1. Masuk ke Palo Alto Cortex XDR [Management Console] dengan info masuk pengguna Admin 2.2. Di [Konsol Manajemen], klik [Pengaturan] -> [Konfigurasi] 2.3. Di bawah [Integrasi] klik [Kunci API]. 2.4. Di Halaman [Pengaturan] klik [Kunci Baru] di sudut kanan atas. 2.5. Pilih tingkat keamanan, peran, pilih Standar dan klik [Hasilkan] 2.6. Salin Token API, setelah menghasilkan [ID Token API] dapat ditemukan di bawah kolom ID

  • URL API Dasar: (https://api-example.xdr.au.paloaltonetworks.com)
  • ID Kunci API: (ID API)
  • Token API: (Token API)
  • Aktifkan/Nonaktifkan Koneksi



Palo Alto Cortex Xpanse (melalui Codeless Connector Framework)

Dukungan oleh:Microsoft Corporation

Konektor data Palo Alto Cortex Xpanse menyerap data pemberitahuan ke dalam Microsoft Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
CortexXpanseAlerts_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Instruksi Penyetelan:

Sambungkan Palo Alto Xpanse ke Microsoft Sentinel

Untuk menyerap data dari Palo Alto Cortex Xpanse ke Microsoft Sentinel, klik Tambahkan Domain. Isi detail yang diperlukan di pop-up dan klik Sambungkan. Anda akan melihat titik akhir domain yang terhubung di kisi di bawah ini. Untuk mendapatkan ID Autentikasi dan Kunci API, buka Pengaturan → Konfigurasi → Integrasi → Kunci API di portal Cortex Xpanse dan buat kredensial baru.

  • Data Connectors Grid (dikonfigurasi di portal)



Palo Alto Prisma Cloud CSPM (melalui Codeless Connector Framework)

Dukungan oleh:Microsoft Corporation

Konektor data CSPM Cloud Palo Alto Prisma memungkinkan Anda terhubung ke instans CSPM Cloud Palo Alto Prisma dan menyerap Pemberitahuan () & Log Audit() ke dalam Microsoft Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
PaloAltoPrismaCloudAlertV2_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Instruksi Penyetelan:

Menyambungkan Peristiwa CSPM Cloud Palo Alto Prisma ke Microsoft Sentinel

Untuk mendapatkan informasi selengkapnya tentang cara mendapatkan Kunci Akses Cloud Prisma, Kunci Rahasia, dan URL Dasar, silakan lihattutorial konektor, berikan informasi yang diperlukan di bawah ini dan klik Sambungkan.

  • Kunci Akses Cloud Prisma: (Masukkan Kunci Akses)
  • Kunci Rahasia Prisma Cloud: (Masukkan Kunci Rahasia)
  • URL Dasar Prisma Cloud: (https://api2.eu.prismacloud.io)
  • Aktifkan/Nonaktifkan Koneksi
  • Data Connectors Grid (dikonfigurasi di portal)



Palo Alto Prisma Cloud CWPP (menggunakan REST API)

Dukungan oleh:Microsoft Corporation

Konektor data Palo Alto Prisma Cloud CWPP memungkinkan Anda terhubung ke instans CWPP Cloud Palo Alto Prisma dan menyerap pemberitahuan ke Microsoft Sentinel. Konektor data dibangun di atas Codeless Connector Framework Microsoft Sentinel dan menggunakan Prisma Cloud API untuk mengambil peristiwa keamanan dan mendukung transformasi waktu ingestion berbasis DCR yang mengurai data peristiwa keamanan yang diterima ke dalam kolom kustom sehingga kueri tidak perlu mengurainya lagi, sehingga menghasilkan performa yang lebih baik.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
PrismaCloudCompute_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Kunci API PrismaCloudCompute: Nama pengguna dan kata sandi API Monitor CWPP Cloud Palo Alto Prisma diperlukan. Untuk informasi selengkapnya, lihat PrismaCloudCompute SIEM API.

Instruksi Penyetelan:

Menyambungkan Peristiwa Keamanan CWPP Cloud Palo Alto Prisma ke Microsoft Sentinel

Untuk mengaktifkan Peristiwa Keamanan CWPP Cloud Palo Alto Prisma untuk Microsoft Sentinel, berikan informasi yang diperlukan di bawah ini dan klik Sambungkan.

  • Jalur ke konsol: (europe-west3.cloud.twistlock.com/{sasid})
  • Kunci Akses Prisma (API): (Kunci Akses Prisma (API))
  • Rahasia: (Rahasia)
  • Aktifkan/Nonaktifkan Koneksi



Panorays

Didukung oleh:Panorays

Panorays data connector memungkinkan pengambilan temuan perusahaan dari API Panorays ke dalam Microsoft Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
PanoraysCompanyFindingPOC_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Instruksi Penyetelan:

Langkah-langkah konfigurasi untuk API Panorays



Pathlock Inc.: Deteksi dan Respons Ancaman untuk SAP

Didukung oleh:Pathlock Inc.

Deteksi dan Respons Ancaman Pathlock (TD& Integrasi R) dengan Microsoft Sentinel Solution for SAP memberikan visibilitas real-time terpadu ke dalam peristiwa keamanan SAP, memungkinkan organisasi mendeteksi dan menindak ancaman di semua lanskap SAP. Integrasi out-of-the-box ini memungkinkan Pusat Operasi Keamanan (SOC) untuk menghubungkan pemberitahuan khusus SAP dengan telemetri di seluruh perusahaan, menciptakan kecerdasan yang dapat ditindaklanjuti yang menghubungkan keamanan TI dengan proses bisnis.

Konektor Pathlock dibuat khusus untuk SAP dan hanya meneruskan peristiwa yang relevan dengan keamanan secara default, meminimalkan volume data dan kebisingan sambil mempertahankan fleksibilitas untuk meneruskan semua sumber log saat diperlukan. Setiap peristiwa diperkaya dengan konteks proses business, memungkinkan solusi Microsoft Sentinel untuk analitik SAP membedakan pola operasional dari ancaman nyata dan untuk memprioritaskan apa yang sebenarnya penting.

Pendekatan berbasis presisi ini membantu tim keamanan secara drastis mengurangi positif palsu, memfokuskan investigasi, dan mempercepat waktu rata-rata untuk mendeteksi (MTTD) dan waktu rata-rata untuk merespons (MTTR). Pustaka Pathlock terdiri dari lebih dari 1.500 tanda tangan deteksi khusus SAP di 70+ sumber log, solusinya mengungkap perilaku serangan yang kompleks, kelemahan konfigurasi, dan anomali akses.

Dengan menggabungkan kecerdasan konteks bisnis dengan analitik tingkat lanjut, Pathlock memungkinkan perusahaan untuk memperkuat akurasi deteksi, merampingkan tindakan respons, dan mempertahankan kontrol berkelanjutan di seluruh lingkungan SAP mereka—tanpa menambahkan kerumitan atau lapisan pemantauan yang berlebihan.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
ABAPAuditLog Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Microsoft Entra: Izin untuk membuat pendaftaran aplikasi di Microsoft Entra ID. Biasanya memerlukan peran Pengembang Aplikasi Entra ID atau yang lebih tinggi.
  • Microsoft Azure: Izin untuk menetapkan peran Publisher Metrik Pemantauan pada aturan pengumpulan data. Biasanya memerlukan peran Pemilik RBAC Azure atau Administrator Akses Pengguna.

Instruksi Penyetelan:

1. Buat Sumber Daya ARM dan Berikan Izin yang Diperlukan

Kami akan membuat sumber daya aturan pengumpulan data (DCR) dan titik akhir pengumpulan data (DCE). Kami juga akan membuat pendaftaran aplikasi Microsoft Entra dan menetapkan izin yang diperlukan untuk pendaftaran aplikasi tersebut.

Penyebaran otomatis sumber daya Azure Mengklik "Sebarkan sumber daya konektor push" akan memicu pembuatan sumber daya DCR dan DCE. Kemudian akan membuat pendaftaran aplikasi Microsoft Entra dengan rahasia klien dan memberikan izin pada DCR. Penyiapan ini memungkinkan data dikirim dengan aman ke DCR menggunakan kredensial klien OAuth v2.

2. Pertahankan detail titik akhir pengumpulan data dan info autentikasi dalam instans pusat Kontrol Aplikasi Keamanan Cyber Pathlock Anda: Deteksi dan Respons Ancaman

Bagikan URL titik akhir pengumpulan data dan info autentikasi dengan administrator Pathlock untuk mengonfigurasi penerusan plug and play di Deteksi dan Respons Ancaman untuk mengirim data ke titik akhir pengumpulan data. Jangan ragu untuk menghubungi Pathlock jika dukungan diperlukan.

  • Gunakan nilai ini untuk mengonfigurasi sebagai ID Penyewa dalam kredensial LogIngestionAPI.: <nilai variabel yang disediakan pada waktu penginstalan>
  • ID Aplikasi Entra: <nilai variabel yang disediakan pada waktu penginstalan>
  • Rahasia Aplikasi Entra: <nilai variabel yang disediakan pada waktu penginstalan>
  • Gunakan nilai ini untuk mengonfigurasi parameter LogsIngestionURL saat menyebarkan nilai variabel IFlow.: <yang disediakan pada waktu penginstalan>
  • ID DCR Immutable: <nilai variabel yang disediakan pada waktu penginstalan>



Log Aktivitas Perimeter 81

Didukung oleh:Perimeter 81

Konektor Log Aktivitas Perimeter 81 memungkinkan Anda untuk dengan mudah menghubungkan log aktivitas Perimeter 81 Anda dengan Microsoft Sentinel, untuk melihat dasbor, membuat pemberitahuan kustom, dan meningkatkan penyelidikan.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
Perimeter81_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Instruksi Penyetelan:

Harap perhatikan nilai di bawah ini dan ikuti instruksi di sini untuk menghubungkan log aktivitas Perimeter 81 Anda dengan Microsoft Sentinel.

  • ID ruang kerja: <nilai variabel yang disediakan pada waktu penginstalan>
  • Kunci Primer: <nilai variabel yang disediakan pada waktu penginstalan>



Perangkat Fosfor

Didukung oleh:Phosphorus Inc.

Konektor Perangkat Fosfor menyediakan kemampuan untuk Fosfor untuk menyerap log data perangkat ke Microsoft Sentinel melalui PHOSPHORUS REST API. Konektor memberikan visibilitas ke dalam perangkat yang terdaftar di Fosfor. Konektor Data ini menarik informasi perangkat bersama dengan pemberitahuan yang sesuai.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
Phosphorus_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Kredensial/izin REST API: Kunci API Fosfor diperlukan. Pastikan bahwa Kunci API yang terkait dengan Pengguna mengaktifkan izin Kelola Pengaturan.

Ikuti instruksi ini untuk mengaktifkan izin Kelola Pengaturan.

  1. Masuk ke Aplikasi Fosfor
  2. Buka 'Pengaturan' -> 'Grup'
  3. Pilih Grup pengguna Integrasi adalah bagian dari
  4. Navigasi ke 'Tindakan Produk' -> alihkan izin 'Kelola Pengaturan'.

Instruksi Penyetelan:

LANGKAH 1 - Langkah konfigurasi untuk API Fosfor

Ikuti instruksi ini untuk membuat kunci API Fosfor.

  1. Masuk ke instans Fosfor Anda
  2. Navigasi ke Pengaturan -> API
  3. Jika kunci API belum dibuat, tekan tombol Tambahkan untuk membuat kunci API
  4. Kunci API sekarang dapat disalin dan digunakan selama konfigurasi konektor Perangkat Fosfor

Menyambungkan Aplikasi Fosfor dengan Microsoft Sentinel

LANGKAH 2 - Isi detail di bawah ini

PENTING: Sebelum menyebarkan konektor data Perangkat Fosfor, sediakan Nama Domain Instans Fosfor serta Kunci API Fosfor



Ping One (melalui Kerangka Kerja Konektor Tanpa Kode)

Dukungan oleh:Microsoft Corporation

Konektor ini menyerap log aktivitas audit dari platform Identitas PingOne ke dalam Microsoft Sentinel menggunakan Kerangka Kerja Konektor Tanpa Kode.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
PingOne_AuditActivitiesV2_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Instruksi Penyetelan:

Menyambungkan konektor Ping One ke Microsoft Sentinel

Sebelum menyambungkan ke PingOne, pastikan prasyarat berikut selesai. Lihat dokumen untuk instruksi penyiapan terperinci, termasuk cara mendapatkan kredensial klien dan ID lingkungan.

  1. Kredensial Klien Anda memerlukan kredensial klien, termasuk id klien dan rahasia klien Anda.

  2. Id Lingkungan
    Untuk menghasilkan token dan mengumpulkan log dari titik akhir aktivitas audit

  • Data Connectors Grid (dikonfigurasi di portal)



Konektor Data Prancer

Didukung oleh:Prancer PenSuiteAI Integration

Konektor Data Prancer telah menyediakan kemampuan untuk menyerap data Prancer (CSPM)[https://docs.prancer.io/web/CSPM/] dan PAC untuk diproses melalui Microsoft Sentinel. Lihat Dokumentasi Prancer untuk informasi selengkapnya.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
prancer_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Sertakan prasyarat kustom jika konektivitas memerlukan - lain hapus kustom: Deskripsi untuk prasyarat kustom apa pun

Instruksi Penyetelan:

CATATAN: Konektor ini menggunakan Azure Functions untuk terhubung ke Prancer REST API untuk menarik log ke Microsoft sentinel. Ini dapat mengakibatkan biaya penyerapan data tambahan. Periksa halaman harga Azure Functions untuk detailnya.

LANGKAH 1: Ikuti dokumentasi di Situs Dokumentasi Prancer untuk menyiapkan pemindaian dengan konektor cloud azure.

LANGKAH 2: Setelah pemindaian dibuat, buka menu 'Integrasi Bagian Ketiga' untuk pemindaian dan pilih Sentinel.

LANGKAH 3: Buat ikuti wizard konfigurasi untuk memilih tempat di Azure hasil harus dikirim.

LANGKAH 4: Data harus mulai dimasukkan ke Microsoft Sentinel untuk diproses.



Inteligensi Ancaman Microsoft Defender premium

Dukungan oleh:Microsoft Corporation

Microsoft Sentinel memberi Anda kemampuan untuk mengimpor inteligensi ancaman yang dihasilkan oleh Microsoft untuk mengaktifkan pemantauan, peringatan, dan perburuan. Gunakan konektor data ini untuk mengimpor Indikator Kompromi (IOC) dari Premium Inteligensi Ancaman Microsoft Defender (MDTI) ke Microsoft Sentinel. Indikator ancaman dapat mencakup alamat IP, domain, URL, dan hash file, dll. Catatan: Ini adalah konektor berbayar. Untuk menggunakan dan menyerap data darinya, silakan beli SKU "Akses API MDTI" dari Pusat Mitra.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
ThreatIntelligenceIndicator Yes No

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

PRODAFT USTA - Pencegahan Pengambilalihan Akun (melalui Kerangka Konektor Tanpa Kode)

Didukung oleh:PRODAFT

Konektor data PRODAFT USTA Account Takeover Prevention menginput tiket kredensial yang telah dikompromikan dari platform PRODAFT USTA ke Microsoft Sentinel. Nilai sensitif disensor saat penelihan: kata sandi teks asli tidak pernah disimpan — hanya sinyal kekuatan kata sandi (skor dan panjang) yang disimpan untuk triase.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
PRODAFTUstaCompromisedCredentials_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Kunci API PRODAFT USTA: Kunci API PRODAFT USTA yang bertahan lama dengan akses ke endpoint Account Takeover Prevention diperlukan.

Instruksi Penyetelan:

Hubungkan Pencegahan Pengambilalihan Akun PRODAFT USTA ke Microsoft Sentinel

Masukkan URL dasar USTA Anda dan kunci API yang bertahan lama, lalu pilih Connect. Konektor mengautentikasi ke USTA dengan Authorization: Bearer <api-key> header dan melakukan polling setiap menit. Untuk memuat riwayat sebelum waktu koneksi, terapkan playbook PRODAFTUstaATP-Backfill yang disertakan dengan solusi ini.



PRODAFT USTA - Intelijen Ancaman IoC

Didukung oleh:PRODAFT

Konektor PRODAFT USTA IoC Threat Intelligence menginput indikator kompromi (URL berbahaya, hash malware, dan situs phishing) dari platform PRODAFT USTA ke dalam Threat Intelligence Microsoft Sentinel sebagai indikator STIX melalui Upload STIX Objects API. Pengambilan dilakukan oleh buku pedoman impor yang dikirimkan dengan solusi ini (satu per feed IoC); jika sebuah catatan membawa terselesaikan ip_addresses, alamat-alamat tersebut ditambahkan ke pola indikator yang sama seperti/ipv6-addripv4-addrobservable; indikator muncul di blade Threat Intelligence dan di ThreatIntelIndicators tabel di bawah per-feed SourceSystem — PRODAFT USTA - Malicious URLs, PRODAFT USTA - Malware Hashes dan PRODAFT USTA - Phishing Sites — sehingga SourceSystem startswith 'PRODAFT USTA' memilih setiap indikator USTA. Setelah menginstal solusi, sebarkan dan otorisasi playbook impor dengan mengikuti panduan di tampilan Kelola solusi.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
ThreatIntelIndicators Yes No

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Penetapan peran workspace untuk playbook: Setiap playbook impor dan backfill menggunakan identitas terkelola yang ditetapkan oleh sistem, yang membutuhkan peran Microsoft Sentinel Contributor di workspace untuk memanggil Upload STIX Objects API. Ketiga playbook impor juga membaca watermark penghapusan mereka dari ThreatIntelIndicators tabel dan oleh karena itu juga membutuhkan Log Analytics Reader di workspace — Microsoft Sentinel Contributor tidak mencakup tindakan yang Microsoft.OperationalInsights/workspaces/read dilakukan pembacaan.
  • Kunci API PRODAFT USTA: Kunci API PRODAFT USTA yang bertahan lama dengan akses ke endpoint Security Intelligence IoC diperlukan.

Instruksi Penyetelan:

1. Instal solusi inti Threat Intelligence

Konektor ini mendaratkan indikator di ThreatIntelIndicators tabel dan blade Threat Intelligence. Instal solusi Microsoft Threat Intelligence dari Content hub terlebih dahulu, sehingga blade dan aturan analitik TI-map yang tidak bergantung sumber tersedia.

2. Terapkan playbook impor PRODAFT USTA

Solusi ini mengirimkan tiga buku panduan impor setiap jam — PRODAFTUstaIoC-ImportMaliciousUrls, PRODAFTUstaIoC-ImportMalwareHashes, dan PRODAFTUstaIoC-ImportPhishingSites — plus buku panduan backfill sesuai permintaan per feed (PRODAFTUstaIoC-BackfillMaliciousUrls, -BackfillMalwareHashes, -BackfillPhishingSites) untuk riwayat pemuatan. Sebarkan dari tampilan Manage solution (atau blade Automation), dengan menyediakan URL dasar USTA Anda, kunci API USTA, dan nama workspace Microsoft Sentinel Anda.

3. Mengesahkan identitas yang dikelola playbook

Setiap playbook menggunakan identitas terkelola yang ditetapkan oleh sistem. Pada ruang kerja Log Analytics → Access Control (IAM) → Tambahkan penugasan peran — buka IAM di workspace, bukan di Logic App, atau penugasan disesuaikan dengan playbook dan tidak memberikan akses ke workspace — berikan identitas tersebut Microsoft Sentinel Contributor (dibutuhkan oleh setiap playbook, untuk panggilan Upload STIX Objects) dan, untuk tiga playbook impor, juga Log Analytics Reader (diperlukan untuk kueri watermark — tanpa itu run gagal dengan AuthorizationFailed pada ). Microsoft.OperationalInsights/workspaces/readSetelah diberikan, playbook melakukan polling USTA setiap jam dan mendorong indikator baru; konektor menampilkan Terhubung setelah indikator pertama tiba.



PRODAFT USTA - Intelijen Penipuan Kartu Pembayaran (melalui Kerangka Konektor Tanpa Kode)

Didukung oleh:PRODAFT

Konektor data PRODAFT USTA Payment Card Fraud Intelligence menginput tiket kartu pembayaran yang telah dikompromikan dari platform PRODAFT USTA ke Microsoft Sentinel. Nilai sensitif disensor saat konsumsi: nomor kartu lengkap (PAN) tidak pernah disimpan — hanya BIN (6 pertama), 4 digit terakhir, merek kartu, dan panjangnya yang dipertahankan untuk triase.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
PRODAFTUstaCompromisedCards_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Kunci API PRODAFT USTA: Kunci API PRODAFT USTA yang bertahan lama dengan akses ke endpoint Payment Card Fraud Intelligence diperlukan.

Instruksi Penyetelan:

Hubungkan Intelijen Penipuan Kartu Pembayaran PRODAFT USTA ke Microsoft Sentinel

Masukkan URL dasar USTA Anda dan kunci API yang bertahan lama, lalu pilih Connect. Konektor mengautentikasi ke USTA dengan Authorization: Bearer <api-key> header dan melakukan polling setiap menit. Untuk memuat riwayat sebelum waktu koneksi, terapkan playbook PRODAFTUstaPCFI-Backfill yang disertakan dengan solusi ini.



Proofpoint On Demand Email Security (melalui Codeless Connector Framework)

Didukung oleh:Proofpoint, Inc.

Konektor data Proofpoint On Demand Email Security menyediakan kemampuan untuk mendapatkan data Proofpoint on Demand Email Protection, memungkinkan pengguna untuk memeriksa keterlacakan pesan, memantau aktivitas email, ancaman, dan penyelundupan data oleh penyerang dan orang dalam berbahaya. Konektor menyediakan kemampuan untuk meninjau peristiwa di organisasi Anda dengan cepat, mendapatkan file log peristiwa setiap jam untuk aktivitas terbaru.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
ProofpointPODMailLog_CL Yes Yes
ProofpointPODMessage_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Kredensial/izin API Websocket: ProofpointClusterID, dan ProofpointToken diperlukan. Untuk informasi selengkapnya, lihat API.

Instruksi Penyetelan:

Langkah-langkah konfigurasi untuk PROOFPOINT POD Websocket API

API Log PoD tidak mengizinkan penggunaan token yang sama untuk lebih dari satu sesi secara bersamaan, jadi pastikan token Anda tidak digunakan di mana pun.

Layanan PROOFPOINT Websocket API memerlukan lisensi Penerusan Syslog Jarak Jauh. Silakan lihat dokumentasi tentang cara mengaktifkan dan memeriksa API Log PoD. Anda harus memberikan id kluster dan token keamanan Anda.

  1. Ambil id kluster 1.1. Masuk ke proofpoint [Management Console] dengan info masuk pengguna Admin

    1.2. Di Konsol Manajemen, id kluster ditampilkan di sudut kanan atas.

  2. Ambil token API 2.1. Masuk ke proofpoint [Management Console] dengan info masuk pengguna Admin

2.2. Di Konsol Manajemen, klik Pengaturan -> API Key Management

2.3. Di bawah API Key Management klik tab Pengelogan PoD .

2.4. Dapatkan atau buat kunci API baru.

  • Id Kluster: (cluster_id)
  • Kunci API: (Kunci API)
  • Aktifkan/Nonaktifkan Koneksi



Proofpoint On Demand Email Security (melalui Codeless Connector Framework)

Dukungan oleh:Microsoft Corporation

Konektor data Proofpoint On Demand Email Security menyediakan kemampuan untuk mendapatkan data Proofpoint on Demand Email Protection, memungkinkan pengguna untuk memeriksa keterlacakan pesan, memantau aktivitas email, ancaman, dan penyelundupan data oleh penyerang dan orang dalam berbahaya. Konektor menyediakan kemampuan untuk meninjau peristiwa di organisasi Anda dengan cepat, mendapatkan file log peristiwa setiap jam untuk aktivitas terbaru.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
ProofpointPODMailLog_CL Yes Yes
ProofpointPODMessage_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Kredensial/izin API Websocket: ProofpointClusterID, dan ProofpointToken diperlukan. Untuk informasi selengkapnya, lihat API.

Instruksi Penyetelan:

Langkah-langkah konfigurasi untuk PROOFPOINT POD Websocket API

API Log PoD tidak mengizinkan penggunaan token yang sama untuk lebih dari satu sesi secara bersamaan, jadi pastikan token Anda tidak digunakan di mana pun.

Layanan PROOFPOINT Websocket API memerlukan lisensi Penerusan Syslog Jarak Jauh. Silakan lihat dokumentasi tentang cara mengaktifkan dan memeriksa API Log PoD. Anda harus memberikan id kluster dan token keamanan Anda.

  1. Ambil id kluster 1.1. Masuk ke proofpoint [Management Console] dengan info masuk pengguna Admin

    1.2. Di Konsol Manajemen, id kluster ditampilkan di sudut kanan atas.

  2. Ambil token API 2.1. Masuk ke proofpoint [Management Console] dengan info masuk pengguna Admin

2.2. Di Konsol Manajemen, klik Pengaturan -> API Key Management

2.3. Di bawah API Key Management klik tab Pengelogan PoD .

2.4. Dapatkan atau buat kunci API baru.

  • Id Kluster: (cluster_id)
  • Kunci API: (Kunci API)
  • Aktifkan/Nonaktifkan Koneksi



Proofpoint TAP (melalui Codeless Connector Framework)

Dukungan oleh:Microsoft Corporation

Konektor Proofpoint Targeted Attack Protection (TAP) menyediakan kemampuan untuk menyerap log dan peristiwa Proofpoint TAP ke dalam Microsoft Sentinel. Konektor memberikan visibilitas ke peristiwa Pesan dan Klik di Microsoft Sentinel untuk melihat dasbor, membuat pemberitahuan kustom, dan untuk meningkatkan kemampuan pemantauan dan investigasi.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
ProofPointTAPMessagesDeliveredV2_CL Yes Yes
ProofPointTAPMessagesBlockedV2_CL Yes Yes
ProofPointTAPClicksPermittedV2_CL Yes Yes
ProofPointTAPClicksBlockedV2_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Proofpoint TAP API Key: Perwakilan layanan Proofpoint TAP API dan rahasia diperlukan untuk mengakses API SIEM Proofpoint. Untuk informasi selengkapnya, lihat Proofpoint SIEM API.

Instruksi Penyetelan:

Langkah-langkah konfigurasi untuk Proofpoint TAP API

  1. Masuk ke dasbor Proofpoint TAP
  2. Navigasi ke Pengaturan dan masuk ke tab Aplikasi Tersambung
  3. Klik Buat Kredensial Baru
  4. Berikan nama dan klik Hasilkan
  5. Salin nilai Perwakilan Layanan dan Rahasia

CATATAN: Konektor ini tergantung pada pengurai berdasarkan Fungsi Kusto untuk berfungsi seperti yang diharapkan ProofpointTAPEvent yang disebarkan dengan solusi Microsoft Sentinel.

  • Perwakilan Layanan: (123456)
  • Rahasia: (123456)
  • Aktifkan/Nonaktifkan Koneksi



Proofpoint TAP (melalui Codeless Connector Framework)

Didukung oleh:Proofpoint, Inc.

Konektor Proofpoint Targeted Attack Protection (TAP) menyediakan kemampuan untuk menyerap log dan peristiwa Proofpoint TAP ke dalam Microsoft Sentinel. Konektor memberikan visibilitas ke peristiwa Pesan dan Klik di Microsoft Sentinel untuk melihat dasbor, membuat pemberitahuan kustom, dan untuk meningkatkan kemampuan pemantauan dan investigasi.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
ProofPointTAPMessagesDeliveredV2_CL Yes Yes
ProofPointTAPMessagesBlockedV2_CL Yes Yes
ProofPointTAPClicksPermittedV2_CL Yes Yes
ProofPointTAPClicksBlockedV2_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Proofpoint TAP API Key: Perwakilan layanan Proofpoint TAP API dan rahasia diperlukan untuk mengakses API SIEM Proofpoint. Untuk informasi selengkapnya, lihat Proofpoint SIEM API.

Instruksi Penyetelan:

Langkah-langkah konfigurasi untuk Proofpoint TAP API

  1. Masuk ke dasbor Proofpoint TAP
  2. Navigasi ke Pengaturan dan masuk ke tab Aplikasi Tersambung
  3. Klik Buat Kredensial Baru
  4. Berikan nama dan klik Hasilkan
  5. Salin nilai Perwakilan Layanan dan Rahasia

CATATAN: Konektor ini tergantung pada pengurai berdasarkan Fungsi Kusto untuk berfungsi seperti yang diharapkan ProofpointTAPEvent yang disebarkan dengan solusi Microsoft Sentinel.

  • Perwakilan Layanan: (123456)
  • Rahasia: (123456)
  • Aktifkan/Nonaktifkan Koneksi



QscoutAppEventsConnector (melalui Codeless Connector Framework)

Didukung oleh:Quokka

Menyerap peristiwa aplikasi Qscout ke dalam Microsoft Sentinel

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
QscoutAppEvents_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • ID Organisasi Qscout: API memerlukan ID organisasi Anda di Qscout.
  • Kunci API Organisasi Qscout: API memerlukan kunci API organisasi Anda di Qscout.

Instruksi Penyetelan:

CATATAN: Konektor ini menggunakan Codeless Connector Framework (CCF) untuk menyambungkan ke umpan peristiwa aplikasi Qscout dan menyerap data ke dalam Microsoft Sentinel

Berikan nilai yang diperlukan di bawah ini:

  • ID Organisasi Qscout: (123456)
  • Kunci API Organisasi Qscout: (abcdxyz)
  • Aktifkan/Nonaktifkan Koneksi



Pangkalan Pengetahuan Qualys (melalui Kerangka Kerja Konektor Tanpa Kode)

Dukungan oleh:Microsoft Corporation

Serap Data Kerentanan Pangkalan Pengetahuan Qualys ke dalam Microsoft Sentinel menggunakan api Qualys versi 4.0.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
QualysKnowledgeBase Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Akses API Qualys: Memerlukan Akun Pengguna Qualys dengan akses baca ke titik akhir Pangkalan Pengetahuan.

Instruksi Penyetelan:

Langkah 1: Atur Kredensial Berikan kredensial API Qualys Anda untuk mengaktifkan penyerapan data dari Pangkalan Pengetahuan Qualys.

Untuk mengumpulkan data dari Qualys VM, Anda perlu menyediakan sumber daya berikut:

  • Kredensial API: nama pengguna dan kata sandi untuk akun dengan akses baca ke API Pangkalan Pengetahuan. Anda dapat menemukan izin yang tepat yang diperlukan dalam dokumentasi API Qualys.

  • URL SERVER API: URL server API Qualys khusus untuk wilayah Anda. Anda dapat menemukan URL server API yang tepat untuk wilayah Anda di sini

  • URL SERVER API: (Masukkan URL API Server)

  • Nama pengguna: (Masukkan nama pengguna Qualys)

  • Kata sandi: (Masukkan kata sandi atau token Qualys Anda) Langkah 2: Atur Filter Opsional Apa Pun

Konfigurasikan filter opsional untuk menyesuaikan kerentanan mana yang diserap. Pelajari selengkapnya tentang filter yang tersedia dalam dokumentasi Qualys API.

2a. Filter menurut Status Patch Pilih untuk hanya menampilkan kerentanan yang dapat ditambal atau tidak dapat ditambal.

2b. Filter menurut Metode Penemuan dan Jenis Autentikasi Pilih untuk hanya menerima kerentanan yang diberi metode penemuan tertentu atau memiliki jenis autentikasi tertentu.

  • Jenis Autentikasi Penemuan: (misalnya, Windows, Oracle, Unix, SNMP (dipisahkan koma)) Langkah 3: Tinjau dan Aktifkan Tinjau pengaturan konfigurasi Anda dan aktifkan konektor untuk mulai menyerap data Pangkalan Pengetahuan Qualys ke dalam Microsoft Sentinel.

  • Aktifkan/Nonaktifkan Koneksi



Qualys VM KnowledgeBase (menggunakan Azure Functions)

Dukungan oleh:Microsoft Corporation

Konektor Qualys VUlnerability Management (VM) KnowledgeBase (KB) menyediakan kemampuan untuk menyerap data kerentanan terbaru dari Qualys KB ke dalam Microsoft Sentinel.

Data ini dapat digunakan untuk menghubungkan dan memperkaya deteksi kerentanan yang ditemukan oleh konektor data Qualys Vulnerability Management (VM ).

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
QualysKB_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Microsoft. Izin web/situs: Izin baca dan tulis ke Azure Functions untuk membuat Aplikasi Fungsi diperlukan. Untuk informasi selengkapnya, lihat Azure Functions.
  • Kunci API Qualys: Nama pengguna dan kata sandi API Qualys VM diperlukan. Untuk informasi selengkapnya, lihat Qualys VM API.

Instruksi Penyetelan:

CATATAN: Konektor data ini tergantung pada pengurai berdasarkan Fungsi Kusto untuk bekerja seperti yang diharapkan yang disebarkan sebagai bagian dari solusi. Untuk melihat kode fungsi di Log Analytics, buka bilah Log Log Analytics/Microsoft Sentinel, klik Fungsi dan cari alias QualysVM Knowledgebase dan muat kode fungsi atau klik di sini, pada baris kedua kueri, masukkan nama host perangkat QualysVM Knowledgebase Anda dan pengidentifikasi unik lainnya untuk logstream. Fungsi ini biasanya membutuhkan waktu 10-15 menit untuk diaktifkan setelah penginstalan/pembaruan solusi.

Konektor data ini tergantung pada pengurai berdasarkan Fungsi Kusto agar berfungsi seperti yang diharapkan. Ikuti langkah-langkah untuk menggunakan alias fungsi Kusto, QualysKB

(Langkah Opsional) Simpan ruang kerja dan kunci otorisasi API atau token dengan aman di Azure Key Vault. Azure Key Vault menyediakan mekanisme aman untuk menyimpan dan mengambil nilai kunci. Ikuti instruksi ini untuk menggunakan Azure Key Vault dengan Aplikasi Fungsi Azure.

LANGKAH 1 - Langkah konfigurasi untuk API Qualys

  1. Masuk ke konsol Manajemen Kerentanan Qualys dengan akun administrator, pilih tab Pengguna dan subtab Pengguna.
  2. Klik menu drop-down Baru dan pilih Pengguna.
  3. Buat nama pengguna dan kata sandi untuk akun API.
  4. Di tab Peran Pengguna, pastikan peran akun diatur ke Manajer dan akses diizinkan ke GUI dan API
  5. Keluar dari akun administrator dan masuk ke konsol dengan kredensial API baru untuk validasi, lalu keluar dari akun API.
  6. Masuk kembali ke konsol menggunakan akun administrator dan ubah Peran Pengguna akun API, menghapus akses ke GUI.
  7. Simpan semua perubahan.

LANGKAH 2 - Pilih ONE dari dua opsi penyebaran berikut untuk menyebarkan konektor dan Fungsi Azure terkait

PENTING: Sebelum menyebarkan konektor Qualys KB, miliki ID Ruang Kerja dan Kunci Primer Ruang Kerja (dapat disalin dari yang berikut), serta nama pengguna dan kata sandi Qualys API, tersedia dengan mudah.

  • ID ruang kerja: <nilai variabel yang disediakan pada waktu penginstalan>
  • Kunci Primer: <nilai variabel yang disediakan pada waktu penginstalan>

Opsi 1 - Templat Azure Resource Manager (ARM)

Gunakan metode ini untuk penyebaran otomatis konektor Qualys KB menggunakan ARM Tempate.

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.msaka.ms

  2. Pilih Langganan, Grup Sumber Daya, dan Lokasi pilihan.

  3. Masukkan ID Ruang Kerja, Kunci Ruang Kerja, Nama Pengguna API, Kata Sandi API, perbarui URI, dan Parameter Filter URI tambahan (Nilai ini harus menyertakan simbol "&" antara setiap parameter dan tidak boleh menyertakan spasi apa pun)

  • Masukkan URI yang sesuai dengan wilayah Anda. Daftar lengkap URL API Server dapat ditemukan di sini
  • Catatan: Jika menggunakan rahasia Azure Key Vault untuk salah satu nilai di atas, gunakan@Microsoft.KeyVault(SecretUri={Security Identifier})skema sebagai pengganti nilai string. Lihat dokumentasi referensi Key Vault untuk detail lebih lanjut.
  1. Tandai kotak centang berlabel Saya menyetujui syarat dan ketentuan yang dinyatakan di atas.
  2. Klik Beli untuk menyebarkan.
  • Catatan: Jika penyebaran gagal karena nama akun penyimpanan diambil, ubah Nama Fungsi menjadi nilai unik dan sebarkan ulang.

Opsi 2 - Penyebaran manual Azure Functions

Metode ini menyediakan instruksi langkah demi langkah untuk menyebarkan konektor Qualys KB secara manual dengan Azure Function.

Langkah 1 - Menyebarkan Aplikasi Fungsi

  1. Unduh file Aplikasi Fungsi Azure. Ekstrak arsip ke komputer pengembangan lokal Anda.
  2. Ikuti instruksi penyebaran manual aplikasi fungsi untuk menyebarkan aplikasi Azure Functions menggunakan VSCode.
  3. Setelah penyebaran aplikasi fungsi berhasil, ikuti langkah berikutnya untuk mengonfigurasinya.

Langkah 2 - Mengonfigurasi Aplikasi Fungsi

  1. Buka portal Azure untuk konfigurasi Aplikasi Fungsi.
  2. Di Aplikasi Fungsi, pilih Nama Aplikasi Fungsi dan pilih Konfigurasi.
  3. Di tab Pengaturan aplikasi, pilih + Pengaturan aplikasi baru.
  4. Tambahkan masing-masing dari tujuh (7) pengaturan aplikasi berikut satu per satu, dengan nilai string masing-masing (peka huruf besar/kecil): apiUsername apiPassword workspaceID workspaceID filter uriKey logAnalyticsUri (opsional)
  • Masukkan URI yang sesuai dengan wilayah Anda. Daftar lengkap URL API Server dapat ditemukan di sini. Nilai uri harus mengikuti skema berikut: https://<API Server>/api/2.0
  • Tambahkan parameter filter tambahan apa pun, untuk filterParameters variabel , yang perlu ditambahkan ke URI. Nilai filterParameter harus menyertakan simbol "&" antara setiap parameter dan tidak boleh menyertakan spasi apa pun.
  • Catatan: Jika menggunakan Azure Key Vault, gunakan@Microsoft.KeyVault(SecretUri={Security Identifier})skema sebagai pengganti nilai string. Lihat dokumentasi referensi Key Vault untuk detail lebih lanjut.
  • Gunakan logAnalyticsUri untuk mengambil alih titik akhir API analitik log untuk cloud yang didelegasikan. Misalnya, untuk cloud publik, biarkan nilai kosong; untuk Azure lingkungan cloud GovUS, tentukan nilai dalam format berikut: https://<CustomerId>.ods.opinsights.azure.us.
  1. Setelah semua pengaturan aplikasi dimasukkan, klik Simpan.



Manajemen Kerentanan Qualys (melalui Kerangka Kerja Konektor Tanpa Kode)

Dukungan oleh:Microsoft Corporation

Konektor data Qualys Vulnerability Management (VM) menyediakan kemampuan untuk menyerap data deteksi host kerentanan ke dalam Microsoft Sentinel melalui API Qualys. Konektor memberikan visibilitas ke dalam data deteksi host dari pemindaian kerentanan.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
QualysHostDetectionV3_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Akses dan peran API: Pastikan pengguna Qualys VM memiliki peran Pembaca atau yang lebih tinggi. Jika perannya adalah Pembaca, pastikan bahwa akses API diaktifkan untuk akun tersebut. Peran auditor tidak didukung untuk mengakses API. Untuk detail selengkapnya, lihat dokumen Qualys VM Host Detection API dan Perbandingan peran Pengguna .

Instruksi Penyetelan:

Menyambungkan Manajemen Kerentanan Qualys ke Microsoft Sentinel

CATATAN: QualysHostDetectionV3_CL menyimpan snapshot host mentah dan dapat berisi deteksi berulang yang tidak berubah. Gunakan parser QualysHostDetection untuk catatan tingkat deteksi. Parser memperluas DetectionList, menghapus versi yang berulang tanpa perubahan, dan mempertahankan status, timestamp, serta perubahan konten yang relevan.

Untuk mengumpulkan data dari Qualys VM, Anda perlu menyediakan sumber daya berikut

  1. Kredensial API Untuk mengumpulkan data dari Qualys VM, Anda memerlukan kredensial API Qualys, termasuk Nama Pengguna dan Kata Sandi Anda.

  2. URL Api Server Untuk mengumpulkan data dari Qualys VM, Anda memerlukan URL server API Qualys khusus untuk wilayah Anda. Anda dapat menemukan URL server API yang tepat untuk wilayah Anda di sini

  1. Batas Truncasi Konfigurasikan jumlah maksimum catatan deteksi host yang akan diambil per panggilan API. Direkomendasikan: 1000 (default Qualys). Nilai yang lebih rendah mengurangi ukuran respons dan lebih aman untuk lingkungan besar atau server API yang lambat, namun membutuhkan panggilan yang lebih banyak dipaginasi. Nilai yang lebih tinggi meningkatkan ukuran respons dan berisiko timeout API, terutama pada lingkungan besar. Nilai di bawah 500 dapat menyebabkan paginasi berlebihan yang melebihi batas pemrosesan pada penerapan besar.

Batas waktu habis: Batas waktu maksimum API yang diizinkan adalah 5 menit (300 detik). Ini adalah maksimum platform dan tidak dapat dinaikkan. Untuk lingkungan besar, turunkan Batas Pembatasan untuk menjaga setiap respons API tetap dalam batas ini.

  • Aktifkan/Nonaktifkan Koneksi



Radiflow iSID melalui AMA

Didukung oleh:Radiflow

iSID memungkinkan pemantauan jaringan ICS terdistribusi yang tidak mengganggu untuk perubahan topologi dan perilaku, menggunakan beberapa paket keamanan, masing-masing menawarkan kemampuan unik yang berkaitan dengan jenis aktivitas jaringan tertentu

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
RadiflowEvent No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Instruksi Penyetelan:

CATATAN: Konektor data ini tergantung pada pengurai berdasarkan Fungsi Kusto untuk bekerja seperti yang diharapkan [RadiflowEvent] yang disebarkan dengan solusi Microsoft Sentinel.

1. Silakan ikuti langkah-langkah untuk mengonfigurasi konektor data

Langkah A. Konfigurasikan Common Event Format (CEF) melalui konektor data AMA

Catatan:- Log CEF hanya dikumpulkan dari Agen Linux

  1. Navigasi ke Microsoft Sentinel ruang kerja ---> konfigurasi ---> Bilah konektor data.

  2. Cari konektor data 'Common Event Format (CEF) melalui AMA' dan buka.

  3. Periksa Apakah tidak ada DCR yang dikonfigurasi untuk mengumpulkan fasilitas log yang diperlukan, Buat DCR (Aturan Pengumpulan Data) baru.

    Catatan:- Disarankan untuk menginstal versi minimum 1.27 agen AMA Pelajari lebih lanjut dan pastikan tidak ada DCR duplikat karena dapat menyebabkan duplikasi log.

  4. Jalankan perintah yang disediakan di CEF melalui halaman konektor data AMA untuk mengonfigurasi pengumpul CEF pada komputer.

Langkah B. Konfigurasikan iSID untuk mengirim log menggunakan CEF

Konfigurasikan penerusan log menggunakan CEF:

  1. Navigasikan ke bagian Pemberitahuan Sistem dari menu Konfigurasi.

  2. Di bawah Syslog, pilih +Tambahkan.

  3. Dalam dialog Server Syslog Baru, tentukan nama, IP server jarak jauh, Port, Transportasi, dan pilih Format - CEF.

  4. Tekan Terapkan untuk keluar dari dialog Tambahkan Syslog.

Langkah C. Validasi koneksi

Ikuti instruksi untuk memvalidasi konektivitas Anda:

Buka Log Analytics untuk memeriksa apakah log diterima menggunakan skema CommonSecurityLog.

Mungkin perlu waktu sekitar 20 menit hingga koneksi mengalirkan data ke ruang kerja Anda.

Jika log tidak diterima, jalankan skrip validasi konektivitas berikut:

  1. Pastikan Anda memiliki Python di komputer Anda menggunakan perintah berikut: python --version

  2. Anda harus memiliki izin yang ditingkatkan (sudo) pada komputer Anda

  • Jalankan perintah berikut untuk memvalidasi konektivitas Anda:: <nilai variabel yang disediakan pada waktu penginstalan>

**2. Amankan komputer Anda **

Pastikan untuk mengonfigurasi keamanan komputer sesuai dengan kebijakan keamanan organisasi Anda

Pelajari selengkapnya>



Rapid7 Insight Platform Vulnerability Management Reports (menggunakan Azure Functions)

Dukungan oleh:Microsoft Corporation

Konektor data Rapid7 Insight VM Report menyediakan kemampuan untuk menyerap laporan Pemindaian dan data kerentanan ke dalam Microsoft Sentinel melalui REST API dari platform Rapid7 Insight (Dikelola di cloud). Lihat dokumentasi API untuk informasi selengkapnya. Konektor memungkinkan pengambilan peristiwa untuk menilai potensi risiko keamanan, memantau kolaborasi, dan mendiagnosis dan memecahkan masalah konfigurasi.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
NexposeInsightVMCloud_assets_CL Yes Yes
NexposeInsightVMCloud_vulnerabilities_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Microsoft. Izin web/situs: Izin baca dan tulis ke Azure Functions untuk membuat Aplikasi Fungsi diperlukan. Untuk informasi selengkapnya, lihat Azure Functions.
  • Kredensial REST API: InsightVMAPIKey diperlukan untuk REST API. Untuk informasi selengkapnya, lihat API. Periksa semua persyaratan dan ikuti instruksi untuk mendapatkan kredensial

Instruksi Penyetelan:

CATATAN: Konektor ini menggunakan Azure Functions untuk terhubung ke INSIGHT VM API untuk menarik lognya ke Microsoft Sentinel. Ini dapat mengakibatkan biaya penyerapan data tambahan. Periksa halaman harga Azure Functions untuk detailnya.

(Langkah Opsional) Simpan ruang kerja dan kunci otorisasi API atau token dengan aman di Azure Key Vault. Azure Key Vault menyediakan mekanisme aman untuk menyimpan dan mengambil nilai kunci. Ikuti instruksi ini untuk menggunakan Azure Key Vault dengan Aplikasi Fungsi Azure.

CATATAN: Konektor data ini tergantung pada pengurai berdasarkan Fungsi Kusto untuk bekerja seperti yang diharapkan InsightVMAssets dan InsightVMVulnerabilities yang disebarkan dengan Solusi Microsoft Sentinel.

LANGKAH 1 - Langkah konfigurasi untuk Insight VM Cloud

Ikuti instruksi untuk mendapatkan kredensial.

LANGKAH 2 - Pilih ONE dari dua opsi penyebaran berikut untuk menyebarkan konektor dan Fungsi Azure terkait

PENTING: Sebelum menyebarkan konektor data Ruang Kerja, miliki ID Ruang Kerja dan Kunci Utama Ruang Kerja (dapat disalin dari yang berikut).

  • ID ruang kerja: <nilai variabel yang disediakan pada waktu penginstalan>
  • Kunci Primer: <nilai variabel yang disediakan pada waktu penginstalan>

Opsi 1 - Templat Azure Resource Manager (ARM)

Gunakan metode ini untuk penyebaran otomatis konektor data Laporan Manajemen Kerentanan Wawasan Rapid7 menggunakan ARM Tempate.

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.ms

  2. Pilih Langganan, Grup Sumber Daya, dan Lokasi pilihan.

CATATAN: Dalam grup sumber daya yang sama, Anda tidak dapat mencampur aplikasi Windows dan Linux di wilayah yang sama. Pilih grup sumber daya yang ada tanpa Windows aplikasi di dalamnya atau buat grup sumber daya baru. 3. Masukkan InsightVMAPIKey, pilih InsightVMCloudRegion dan sebarkan. 4. Tandai kotak centang berlabel Saya menyetujui syarat dan ketentuan yang dinyatakan di atas. 5. Klik Beli untuk menyebarkan.

Opsi 2 - Penyebaran manual Azure Functions

Gunakan instruksi langkah demi langkah berikut untuk menyebarkan konektor data Laporan Manajemen Kerentanan Wawasan Rapid7 secara manual dengan Azure Functions (Penyebaran melalui Visual Studio Code).

Langkah 1 - Menyebarkan Aplikasi Fungsi

  1. Unduh file Aplikasi Fungsi Azure. Ekstrak arsip ke komputer pengembangan lokal Anda.
  2. Ikuti instruksi penyebaran manual aplikasi fungsi untuk menyebarkan aplikasi Azure Functions menggunakan VSCode.
  3. Setelah penyebaran aplikasi fungsi berhasil, ikuti langkah berikutnya untuk mengonfigurasinya.

Langkah 2 - Mengonfigurasi Aplikasi Fungsi

  1. Buka portal Azure untuk konfigurasi Aplikasi Fungsi.
  2. Di Aplikasi Fungsi, pilih Nama Aplikasi Fungsi dan pilih Konfigurasi.
  3. Di tab Pengaturan aplikasi, pilih Pengaturan aplikasi baru.
  4. Tambahkan masing-masing pengaturan aplikasi berikut satu per satu, dengan nilai string masing-masing (peka huruf besar/kecil):
    InsightVMAPIKey InsightVMCloudRegion WorkspaceID WorkspaceID logAnalyticsUri (opsional)
  • Gunakan logAnalyticsUri untuk mengambil alih titik akhir API analitik log untuk cloud khusus. Misalnya, untuk cloud publik, biarkan nilai kosong; untuk Azure lingkungan cloud GovUS, tentukan nilai dalam format berikut: https://<CustomerId>.ods.opinsights.azure.us.
  1. Setelah semua pengaturan aplikasi dimasukkan, klik Simpan.



Laporan Manajemen Kerentanan Platform Insight Rapid7 (melalui Kerangka Kerja Konektor Tanpa Kode)

Dukungan oleh:Microsoft Corporation

Konektor data Rapid7 Insight VM Report menyediakan kemampuan untuk menyerap laporan Pemindaian dan data kerentanan ke dalam Microsoft Sentinel melalui REST API dari platform Rapid7 Insight (Dikelola di cloud). Lihat dokumentasi API untuk informasi selengkapnya. Konektor memungkinkan pengambilan peristiwa untuk menilai potensi risiko keamanan, memantau kolaborasi, dan mendiagnosis dan memecahkan masalah konfigurasi.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
Rapid7InsightVMCloudAssets Yes Yes
Rapid7InsightVMCloudVulnerabilities Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Kredensial REST API: InsightVMAPIKey diperlukan untuk REST API. Untuk informasi selengkapnya, lihat API. Periksa semua persyaratan dan ikuti instruksi untuk mendapatkan kredensial

Instruksi Penyetelan:

Ikuti instruksi untuk mengonfigurasi konektor Rapid7 InsightVM.

Catatan: Catatan: Konektor data ini bergantung pada pengurai berdasarkan Fungsi Kusto untuk berfungsi seperti yang diharapkan InsightVMAssets dan InsightVMVulnerabilities yang disebarkan dengan Solusi Microsoft Sentinel.

1. Langkah konfigurasi untuk cloud VM Rapid7 Insight

Ikuti instruksi untuk mendapatkan kredensial.

  1. Di Rapid7 InsightVM, buat Kunci API.
  2. Perhatikan Wilayah dan Kunci API Anda.
  • Wilayah: (kami, Uni Eropa, dll.)
  • Kunci API: (Kunci API) Penting: Endpoint API Rapid7 v4 mungkin tidak secara konsisten mengembalikan semua log yang diharapkan. Untuk meningkatkan hasil, atur jendela kueri dengan buffer yang sesuai di luar interval pemindaian Anda. Misalnya, jika pemindaian dijalankan setiap 60 menit, atur jendela kueri ke 75 menit. Buffer optimal tergantung pada lingkungan Anda dan harus disesuaikan sesuai kebutuhan. Kami secara aktif bekerja sama dengan tim dukungan Rapid7 untuk mengatasi masalah keandalan API ini.

2. Sambungkan

Aktifkan konektor VM Rapid7 Insight.

  • Aktifkan/Nonaktifkan Koneksi



Masa Depan Tercatat - Pengambilan Log

Didukung oleh:Tim Dukungan Masa Depan yang Direkam

Mengimpor data Tercatat di Masa Depan ke Microsoft Sentinel melalui API Log Ingestion. Menulis peringatan playbook ke RecordedFuturePlaybookAlerts_V2_CL, peringatan klasik ke RecordedFutureClassicAlerts_V2_CL, memetakan data ancaman ke RecordedFutureThreatMap_V2_CL dan RecordedFutureThreatMapMalware_V2_CL, dan hasil sandbox ke RecordedFutureSandboxResults_V2_CL.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
RecordedFuturePlaybookAlerts_V2_CL Yes Yes
RecordedFutureClassicAlerts_V2_CL Yes Yes
RecordedFutureThreatMap_V2_CL Yes Yes
RecordedFutureThreatMapMalware_V2_CL Yes Yes
RecordedFutureSandboxResults_V2_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Azure Subscription: Memantau izin Contributor dan Log Analytics Contributor yang diperlukan untuk menerapkan infrastruktur Data Connectors. Administrator Owner atau Role Based Access Control diwajibkan untuk menerapkan playbook dengan penugasan peran otomatis.
  • Recorded Future API Token: Token Recorded Future API diperlukan untuk mengotorisasi Recorded Future Custom Connector yang digunakan oleh playbook.

Instruksi Penyetelan:

Langkah 1 — Terapkan infrastruktur Data Connectors

Menerapkan shared Data Collection Endpoint (DCE), Data Collection Rules (DCR), tabel Log Analytics, dan tile definisi konektor ini. Sebarkan ini ke grup sumber daya yang sama dengan Log Analytics Workspace Anda.

aka.ms

Langkah 2 — Sebarkan Custom Connector Masa Depan yang Tercatat

Konektor kustom menangani autentikasi menuju API Recorded Future. Terapkan sekali — ini dibagikan oleh buku pedoman.

aka.ms

Langkah 3 — Terapkan playbook

Terapkan satu atau lebih playbook tergantung pada kasus penggunaan Anda. Tidak diperlukan konfigurasi manual — setiap playbook terhubung ke infrastruktur Data Connectors yang diterapkan pada Langkah 1 secara otomatis.



Identitas Masa Depan yang Tercatat - Playbook Alert Importer

Didukung oleh:Tim Dukungan Masa Depan yang Direkam

Mengimpor Peringatan Identitas Masa Depan yang Tercatat ke Microsoft Sentinel. Mengaktifkan pembuatan insiden melalui Aturan Analitik di RFI_PlaybookAlertResults_V2_CL meja. Untuk detail instalasi lengkap, lihat readme.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
RFI_PlaybookAlertResults_V2_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Azure Subscription: Langkah 1 (infrastruktur Data Connectors) memerlukan Monitoring Contributor dan Log Analytics Contributor pada grup sumber daya. Langkah 3 (playbook) memerlukan Owner atau Role Based Access Control Administrator saat menerapkan dengan penugasan peran otomatis (create_role_assignment=true), jika tidak, Contributor sudah cukup.
  • Token API Masa Depan yang Tercatat: Token API Identitas Masa Depan yang Tercatat diperlukan untuk mengotorisasi RFI Custom Connector yang digunakan oleh buku pemain.

Instruksi Penyetelan:

Langkah 1 — Terapkan infrastruktur Data Connectors

Menerapkan shared Data Collection Endpoint (DCE), Data Collection Rule (DCR), tabel Log Analytics (RFI_PlaybookAlertResults_V2_CL), dan tile definisi konektor ini.

portal.azure.com

Langkah 2 — Sebarkan RFI-CustomConnector

Konektor kustom menangani autentikasi menuju API Recorded Future. Terapkan sekali — ini dibagikan oleh buku pedoman.

portal.azure.com

Langkah 3 — Terapkan RFI-Playbook-Alert-Importer-LAW

Menerapkan Logic App yang mengimpor Peringatan Playbook Identitas Masa Depan yang Tercatat dan menulisnya ke tabel Log Analytics menggunakan Managed Identity. Atur create_role_assignment=false apakah organisasi Anda memerlukan penugasan peran secara manual (lihat izin di atas). Setelah penerapan, otorisasi konektor dan aktifkan Logic App.

portal.azure.com

Langkah 4 — Menerapkan Aturan Analitik

Membuat insiden Microsoft Sentinel dari RFI_PlaybookAlertResults_V2_CL tabel. Aturan ini juga tersedia di bawah Microsoft Sentinel → Konfigurasi → Analitik → Template Aturan.

portal.azure.com



Deteksi Ancaman Red Canary (melalui Codeless Connector Framework)

Didukung oleh:Red Canary

Konektor data Red Canary memungkinkan Red Canary mempublikasikan deteksi ke Microsoft Sentinel menggunakan pola dorong Codeless Connector Framework dan API Ingestion Log Azure Monitor.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
RedCanaryDetections_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Microsoft Entra: Izin untuk membuat pendaftaran aplikasi di Microsoft Entra ID. Biasanya membutuhkan peran Pengembang Aplikasi atau lebih tinggi.
  • Microsoft Azure: Izin untuk menetapkan peran Monitoring Metrics Publisher pada aturan pengumpulan data. Biasanya memerlukan Azure RBAC Owner atau User Access Administrator.
  • Red Canary: Akses untuk mengonfigurasi aksi respons Microsoft Sentinel di Red Canary.

Instruksi Penyetelan:

1. Buat sumber daya konektor

Terapkan sumber daya CCF push yang diperlukan untuk deteksi Red Canary.

Konfigurasi otomatis dan pengambilan data yang aman Klik Deploy membuat tabel Log Analytics, Data Collection Rule (DCR), Data Collection Endpoint (DCE), aplikasi Microsoft Entra, rahasia aplikasi, dan penugasan peran yang diperlukan untuk mengingat deteksi Red Canary melalui Azure Monitor Logs Ingestion API.

2. Konfigurasikan Red Canary

Gunakan nilai yang dihasilkan untuk mengonfigurasi Red Canary agar mengirim deteksi ke ruang kerja Microsoft Sentinel ini.

  • ID Penyewa (ID Direktori): <nilai variabel yang disediakan pada waktu penginstalan>
  • ID Aplikasi Pendaftaran Aplikasi Entra: <nilai variabel yang disediakan pada waktu penginstalan>
  • Rahasia Pendaftaran Aplikasi Entra: <nilai variabel yang disediakan pada waktu penginstalan>
  • URI Titik Akhir Pengumpulan Data: <nilai variabel yang disediakan pada waktu penginstalan>
  • ID Tidak Dapat Diubah Aturan Pengumpulan Data: <nilai variabel yang disediakan pada waktu penginstalan>
  • Nama Aliran Deteksi: <nilai variabel yang disediakan saat instalasi> Konfigurasikan aksi respons Red Canary Microsoft Sentinel dengan nilai-nilai di atas. Red Canary seharusnya memposting catatan deteksi ke endpoint API Logs Ingestion menggunakan nama Custom-RedCanaryDetectionsstream.



Acara Red Sift (CCF Push)

Didukung oleh:Red Sift

Konektor Red Sift menyediakan kemampuan untuk menyerap autentikasi Red Sift dan mengirim email peristiwa forensik ke dalam Microsoft Sentinel menggunakan model pendorongan CCF dengan DCE + DCR.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
RedSiftAuth_CL No No
RedSiftEmailForensics_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Microsoft Entra: Izin untuk membuat pendaftaran aplikasi di Microsoft Entra ID. Biasanya memerlukan peran Pengembang Aplikasi Entra ID atau yang lebih tinggi.
  • Microsoft Azure: Izin untuk menetapkan peran Publisher Metrik Pemantauan pada aturan pengumpulan data (DCR). Biasanya memerlukan peran Pemilik RBAC Azure atau Administrator Akses Pengguna.

Instruksi Penyetelan:

1. Buat Sumber Daya ARM dan Berikan Izin yang Diperlukan

Sebarkan DCE, DCR, tabel kustom, dan pendaftaran aplikasi Entra yang digunakan untuk kredensial klien OAuth.

Konfigurasi Otomatis dan Penyerapan Data Aman dengan Aplikasi Entra Mengklik "Sebarkan" akan memicu pembuatan tabel Log Analytics dan Aturan Pengumpulan Data (DCR). Kemudian akan membuat aplikasi Entra, menautkan DCR ke aplikasi tersebut, dan mengatur rahasia yang dimasukkan dalam aplikasi. Penyiapan ini memungkinkan data dikirim dengan aman ke DCR menggunakan token Entra.

2. Mengonfigurasi webhook Sift Merah

Gunakan parameter berikut untuk mengonfigurasi Red Sift untuk mengirim peristiwa ke Microsoft Sentinel. Gunakan nama aliran yang sesuai untuk setiap jenis peristiwa.

  • ID Penyewa (ID Direktori): <nilai variabel yang disediakan pada waktu penginstalan>
  • ID Aplikasi Pendaftaran Aplikasi Entra: <nilai variabel yang disediakan pada waktu penginstalan>
  • Rahasia Pendaftaran Aplikasi Entra: <nilai variabel yang disediakan pada waktu penginstalan>
  • Uri Titik Akhir Pengumpulan Data: <nilai variabel yang disediakan pada waktu penginstalan>
  • ID Tidak Dapat Diubah Aturan Pengumpulan Data: <nilai variabel yang disediakan pada waktu penginstalan>
  • Nama Aliran Peristiwa Autentikasi: <nilai variabel yang disediakan pada waktu penginstalan>
  • Nama Aliran Peristiwa Forensik Email: <nilai variabel yang disediakan pada waktu penginstalan>



Konektor Log Admin RSA ID Plus

Didukung oleh:Tim Dukungan RSA

Konektor RSA ID Plus AdminLogs menyediakan kemampuan untuk menyerap Cloud Admin Console Audit Events ke dalam Microsoft Sentinel menggunakan API Admin Cloud.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
RSAIDPlus_AdminLogs_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Autentikasi API RSA ID Plus: Untuk mengakses API Admin, diperlukan token JWT yang dikodekan Base64URL yang valid, yang ditandatangani dengan kunci API Administrasi Warisan klien.

Instruksi Penyetelan:

CATATAN: Konektor ini menggunakan Codeless Connector Framework (CCF) untuk menyambungkan ke API RSA ID Plus Cloud Admin untuk menarik log ke Microsoft Sentinel.

LANGKAH 1 - Buat Klien API Admin Warisan di Cloud Admin Console.

Ikuti langkah-langkah yang disebutkan di halaman ini.

LANGKAH 2 - Hasilkan Token JWT yang dikodekan Base64URL.

Ikuti langkah-langkah yang disebutkan di halaman ini di bawah header 'API Administrasi Warisan'.

LANGKAH 3 - Konfigurasikan CLOUD Admin API untuk mulai menyerap log peristiwa Admin ke Microsoft Sentinel.

Berikan nilai yang diperlukan di bawah ini:

  • URL API Admin: (https://< tenantName.access.securid.com/AdminInterface/restapi/v1/adminlog/exportLogs>)
  • Token JWT: (Masukkan Token JWT Anda)

LANGKAH 4 - Klik Sambungkan

Pastikan semua bidang di atas diisi dengan benar. Tekan Sambungkan untuk memulai konektor.

  • Aktifkan/Nonaktifkan Koneksi



Rubrik Security Cloud konektor data (menggunakan Azure Functions)

Didukung oleh:Rubrik

Konektor data Rubrik Security Cloud memungkinkan tim operasi keamanan untuk mengintegrasikan wawasan dari layanan Observabilitas Data Rubrik ke Microsoft Azure Sentinel. Wawasan tersebut termasuk identifikasi perilaku sistem file anomali yang terkait dengan ransomware dan penghapusan massal, menilai radius ledakan serangan ransomware, dan operator data sensitif untuk memprioritaskan dan menyelidiki potensi insiden dengan lebih cepat.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
Rubrik_Anomaly_Data_CL Yes Yes
Rubrik_Ransomware_Data_CL Yes Yes
Rubrik_ThreatHunt_Data_CL Yes Yes
Rubrik_Events_Data_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Microsoft. Izin web/situs: Izin baca dan tulis ke Azure Functions untuk membuat Aplikasi Fungsi diperlukan. Untuk informasi selengkapnya, lihat Azure Functions.

Instruksi Penyetelan:

CATATAN: Konektor ini menggunakan Azure Functions untuk terhubung ke webhook Rubrik yang mendorong lognya ke Microsoft Sentinel. Ini dapat mengakibatkan biaya penyerapan data tambahan. Periksa halaman harga Azure Functions untuk detailnya.

(Langkah Opsional) Simpan ruang kerja dan kunci otorisasi API atau token dengan aman di Azure Key Vault. Azure Key Vault menyediakan mekanisme aman untuk menyimpan dan mengambil nilai kunci. Ikuti instruksi ini untuk menggunakan Azure Key Vault dengan Aplikasi Fungsi Azure.

LANGKAH 1 - Pilih ONE dari dua opsi penyebaran berikut untuk menyebarkan konektor dan Fungsi Azure terkait

PENTING: Sebelum menyebarkan konektor data Rubrik Microsoft Sentinel, miliki ID Ruang Kerja dan Kunci Primer Ruang Kerja (dapat disalin dari yang berikut) yang tersedia dengan mudah..

  • ID ruang kerja: <nilai variabel yang disediakan pada waktu penginstalan>
  • Kunci Primer: <nilai variabel yang disediakan pada waktu penginstalan>

Opsi 1 - Templat Azure Resource Manager (ARM)

Gunakan metode ini untuk penyebaran otomatis konektor Rubrik.

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.ms

  2. Pilih Langganan, Grup Sumber Daya, dan Lokasi pilihan.

  3. Masukkan informasi di bawah ini: Nama Fungsi Id Ruang Kerja Ruang Kerja Kunci AnomaliTableName RansomwareAnalysisTableName ThreatHuntsTableName EventsTableName LogLevel

  4. Tandai kotak centang berlabel Saya menyetujui syarat dan ketentuan yang dinyatakan di atas.

  5. Klik Beli untuk menyebarkan.

Opsi 2 - Penyebaran manual Azure Functions

Gunakan instruksi langkah demi langkah berikut untuk menyebarkan konektor data Rubrik Microsoft Sentinel secara manual dengan Azure Functions (Penyebaran melalui Visual Studio Code).

  1. Menyebarkan Aplikasi Fungsi

CATATAN: Anda harus menyiapkan kode VS untuk pengembangan fungsi Azure.

  1. Unduh file Aplikasi Fungsi Azure. Ekstrak arsip ke komputer pengembangan lokal Anda.

  2. Jalankan VS Code. Pilih File di menu utama dan pilih Buka Folder.

  3. Pilih folder tingkat atas dari file yang diekstrak.

  4. Pilih ikon Azure di bilah Aktivitas, lalu di area Azure: Fungsi, pilih tombol Sebarkan ke aplikasi fungsi. Jika Anda belum masuk, pilih ikon Azure di bilah Aktivitas, lalu di area Azure: Functions, pilih Masuk ke Azure Jika Anda sudah masuk, buka langkah berikutnya.

  5. Berikan informasi berikut pada permintaan:

    a. Pilih folder: Pilih folder dari ruang kerja Anda atau telusuri folder yang berisi aplikasi fungsi Anda.

    b. Pilih Langganan: Pilih langganan yang akan digunakan.

    c. Pilih Buat Aplikasi Fungsi baru di Azure (Jangan pilih opsi Tingkat Lanjut)

    d. Masukkan nama unik global untuk aplikasi fungsi: Ketik nama yang valid di jalur URL. Nama yang Anda ketik akan divalidasi untuk memastikan bahwa nama tersebut bersifat unik di Azure Functions. (misalnya RubrikXXXXXX).

    e. Pilih runtime: Pilih Python 3.8 atau lebih tinggi.

    f. Pilih lokasi untuk sumber daya baru. Untuk performa yang lebih baik dan biaya yang lebih rendah, pilih wilayah yang sama tempat Microsoft Sentinel berada.

  6. Penyebaran akan dimulai. Notifikasi ditampilkan setelah aplikasi fungsi Anda dibuat dan paket penyebaran diterapkan.

  7. Buka portal Azure untuk konfigurasi Aplikasi Fungsi.

  8. Mengonfigurasi Aplikasi Fungsi

  9. Di Aplikasi Fungsi, pilih Nama Aplikasi Fungsi dan pilih Konfigurasi.

  10. Di tab Pengaturan aplikasi, pilih + Pengaturan aplikasi baru.

  11. Tambahkan masing-masing pengaturan aplikasi berikut satu per satu, dengan nilai masing-masing (peka huruf besar/kecil): WorkspaceID WorkspaceID AnomaliesTableName RansomwareAnalysisTableName ThreatHuntsTableName EventsTableName LogAnalyticsUri (opsional)

  • Gunakan logAnalyticsUri untuk mengambil alih titik akhir API analitik log untuk cloud khusus. Misalnya, untuk cloud publik, biarkan nilai kosong; untuk Azure lingkungan cloud GovUS, tentukan nilai dalam format berikut: https://< CustomerId>.ods.opinsights.azure. Kita.
  1. Setelah semua pengaturan aplikasi dimasukkan, klik Simpan.

Langkah-langkah Pasca Penyebaran

1) Dapatkan titik akhir aplikasi Fungsi

  1. Buka halaman Ringkasan fungsi Azure dan Klik tab "Fungsi".
  2. Klik fungsi yang disebut "RubrikHttpStarter".
  3. Buka "GetFunctionurl" dan salin url fungsi.

2) Tambahkan webhook di RubrikSecurityCloud untuk mengirim data ke Microsoft Sentinel.

Ikuti petunjuk Panduan Pengguna Rubrik untuk Menambahkan Webhook untuk mulai menerima informasi peristiwa

  1. Pilih Microsoft Sentinel sebagai Penyedia webhook
  2. Masukkan nama Webhook yang diinginkan
  3. Masukkan bagian URL dari Function-url yang disalin sebagai titik akhir URL webhook dan ganti {functionname} dengan "RubrikAnomalyOrchestrator", untuk Rubrik Microsoft Sentinel Solution
  4. Pilih EventType sebagai Anomali
  5. Pilih tingkat keparahan berikut: Kritis, Peringatan, Informasi
  6. Pilih beberapa jenis log, jika diinginkan, saat menjalankan "RubrikEventsOrchestrator"
  7. Ulangi langkah yang sama untuk menambahkan webhook untuk Analisis Deteksi Anomali, Perburuan Ancaman, dan Peristiwa Lainnya.

CATATAN: saat menambahkan webhook untuk Analisis Deteksi Anomali, Perburuan Ancaman dan Peristiwa Lainnya, ganti {functionname} dengan "RubrikRansomwareOrchestrator", "RubrikThreatHuntOrchestrator" dan "RubrikEventsOrchestrator" masing-masing dalam url fungsi yang disalin.

Sekarang kita selesai dengan konfigurasi Rubrik Webhook. Setelah peristiwa webhook dipicu , Anda harus dapat melihat anomali, Analisis Deteksi Anomali, peristiwa Perburuan Ancaman, dan Peristiwa Lain dari Rubrik ke dalam tabel ruang kerja LogAnalytics masing-masing yang disebut "Rubrik_Anomaly_Data_CL", "Rubrik_Ransomware_Data_CL", "Rubrik_ThreatHunt_Data_CL", dan "Rubrik_Events_Data_CL".



Status Perlindungan Cloud Rubrik Security (menggunakan Codeless Connector Framework)

Didukung oleh:Rubrik

Konektor data Rubrik Security Cloud Protection Status memungkinkan Anda menginput informasi status perlindungan dan kepatuhan dari RSC ke Microsoft Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
RubrikProtectionStatus_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Instruksi Penyetelan:

1. Masukkan Kredensial Rubrik Security Cloud

Berikan kredensial API RSC Anda untuk mengaktifkan pengumpulan data.

Langkah Konfigurasi:

  1. URL RSC - URL RSC organisasi Anda (misalnya, https://your-org.my.rubrik.com)
  2. Client ID - Client ID akun layanan dari RSC (format: client|xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx)
  3. Client Secret - Rahasia klien akun layanan dari RSC Untuk membuat akun layanan di RSC:

  • Buka Pengaturan RSC → → Manajemen Akses → Akun Layanan

  • Buat akun layanan baru dengan izin API yang sesuai

  • Catat ID Klien dan Rahasia Klien

2. Terhubung ke Rubrik Security Cloud

Klik Hubungkan untuk memulai pengambilan data.

  • Aktifkan/Nonaktifkan Koneksi



Acara Keamanan Rubrik Security Cloud (Push)

Didukung oleh:Rubrik

Konektor Rubrik Security Cloud Security Events (Push) menginput peristiwa keamanan dari Rubrik Security Cloud ke Microsoft Sentinel secara real time menggunakan pola Push Codeless Connector Framework (CCF). Webhook Rubrik Security Cloud mengautentikasi dengan OAuth 2.0 dan memposting peristiwa langsung ke Azure Monitor Logs Ingestion API, tanpa komputasi perantara untuk dideploy atau dioperasikan. Peristiwa diarahkan ke tabel per kategori untuk anomali, analisis ransomware, perburuan ancaman, dan semua peristiwa lainnya.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
Rubrik_Anomaly_Data_CL Yes Yes
Rubrik_Ransomware_Data_CL Yes Yes
Rubrik_ThreatHunt_Data_CL Yes Yes
Rubrik_Events_Data_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Microsoft Entra: Izin untuk membuat pendaftaran aplikasi di Microsoft Entra ID. Biasanya memerlukan peran Pengembang Aplikasi Entra ID atau yang lebih tinggi.
  • Microsoft Azure: Izin untuk menetapkan peran Publisher Metrik Pemantauan pada aturan pengumpulan data (DCR). Biasanya memerlukan peran Pemilik RBAC Azure atau Administrator Akses Pengguna.
  • Rubrik Security Cloud: Akun dengan izin untuk membuat dan mengelola webhook di Rubrik Security Cloud.

Instruksi Penyetelan:

1. Terapkan sumber daya konsumsi

Konektor ini memungkinkan Rubrik Security Cloud mengirim event keamanan langsung ke Microsoft Sentinel melalui Azure Monitor Logs Ingestion API.

Konfigurasi otomatis Memilih Deploy membuat tabel Log Analytics dan Data Collection Rule (DCR), mendaftarkan aplikasi Microsoft Entra, menghubungkan DCR ke aplikasi tersebut, dan menetapkan peran yang diperlukan. Rubrik Security Cloud kemudian menggunakan kredensial yang dihasilkan untuk mengirim event secara aman ke DCR.

2. Kumpulkan detail koneksi

Setelah deployment selesai, salin nilai-nilai ini. Anda akan memasukkannya saat membuat webhook di Rubrik Security Cloud.

  • ID Penyewa (ID Direktori): <nilai variabel yang disediakan pada waktu penginstalan>
  • ID Aplikasi Pendaftaran Aplikasi Entra: <nilai variabel yang disediakan pada waktu penginstalan>
  • Rahasia Pendaftaran Aplikasi Entra: <nilai variabel yang disediakan pada waktu penginstalan>
  • Uri Titik Akhir Pengumpulan Data: <nilai variabel yang disediakan pada waktu penginstalan>
  • ID Tidak Dapat Diubah Aturan Pengumpulan Data: <nilai variabel yang disediakan pada waktu penginstalan>

3. Buat webhook di Rubrik Security Cloud

Buat satu webhook per kategori event. Setiap webhook memposting ke Data Collection Endpoint yang sama tetapi menargetkan aliran yang berbeda, yang menentukan tabel tujuan.

Autentikasi Webhook Di Rubrik Security Cloud, buat setiap webhook dengan penyedia Microsoft Sentinel dan atur tipe autentikasi ke OAuth 2.0 menggunakan nilai-nilai berikut:

Setting Value
Jenis pemberian client_credentials
URL token <Microsoft Entra ID Token Endpoint>/<Tenant ID>/oauth2/v2.0/token
ID Pelanggan <Application ID>
Rahasia klien <Application Secret>
Scope https://monitor.azure.com//.default

Ganti <Microsoft Entra ID Token Endpoint> dengan endpoint autentikasi Microsoft Entra ID untuk cloud Azure Anda, dan <Tenant ID>, <Application ID> serta <Application Secret> dengan nilai untuk pendaftaran aplikasi yang dibuat di atas.

URL Webhook

Gunakan URL berikut untuk setiap webhook, menggantikan <Data Collection Endpoint Uri> dan <Data Collection Rule Immutable ID> dengan nilai yang disalin di atas, serta <Stream Name> dengan aliran untuk kategori event tersebut:

<Data Collection Endpoint Uri>/dataCollectionRules/<Data Collection Rule Immutable ID>/streams/<Stream Name>?api-version=2023-01-01

Kategori kejadian Nama aliran Tabel tujuan
Anomali Custom-Rubrik_Anomaly_Data Rubrik_Anomaly_Data_CL
Analisis ransomware Custom-Rubrik_Ransomware_Data Rubrik_Ransomware_Data_CL
Perburuan ancaman Custom-Rubrik_ThreatHunt_Data Rubrik_ThreatHunt_Data_CL
Semua acara lainnya Custom-Rubrik_Events_Data Rubrik_Events_Data_CL

Lingkup tipe event dan filter tingkat keparahan setiap webhook ke kategori yang sesuai sehingga event diarahkan ke tabel yang benar.



Keamanan SaaS

Didukung oleh:Valence Security

Menghubungkan platform keamanan Valence SaaS Azure Log Analytics melalui antarmuka REST API

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
ValenceAlert_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Instruksi Penyetelan:

Langkah 1 : Baca dokumentasi terperinci

Proses penginstalan didokumentasikan dengan sangat rinci dalam pangkalan pengetahuan Valence Security. Pengguna harus berkonsultasi lebih lanjut dokumentasi ini untuk memahami penginstalan dan debug integrasi.

Langkah 2: Mengambil kredensial akses ruang kerja

Langkah penginstalan pertama adalah mengambil ID Ruang Kerja dan Kunci Primer Anda dari platform Microsoft Sentinel. Salin nilai yang ditunjukkan di bawah ini dan simpan untuk konfigurasi integrasi penerus log API.

  • ID ruang kerja: <nilai variabel yang disediakan pada waktu penginstalan>
  • Kunci Primer: <nilai variabel yang disediakan pada waktu penginstalan>

Langkah 3: Mengonfigurasi integrasi Sentinel pada Platform Keamanan Valence

Sebagai admin Platform Keamanan Valence, buka layar konfigurasi, klik Sambungkan di kartu Integrasi SIEM, dan pilih Microsoft Sentinel. Tempelkan nilai dari langkah sebelumnya dan klik Sambungkan. Valence akan menguji koneksi sehingga ketika keberhasilan dilaporkan, koneksi berfungsi.



SailPoint Identity Security Cloud (melalui Codeless Connector Framework)

Didukung oleh:SailPoint

Konektor data SailPoint Identity Security Cloud menyediakan kemampuan untuk menghisap peristiwa pencarian ke Microsoft Sentinel melalui REST API. Konektor ini memberikan pelanggan kemampuan untuk mengekstrak informasi audit dari tenant Identity Security Cloud mereka. Aplikasi ini mendukung penghubungan beberapa tenant SailPoint Identity Security Cloud secara bersamaan - masing-masing diidentifikasi dengan Tenant ID dan domain uniknya - sehingga memudahkan pemantauan berbagai lingkungan (produksi, demo, mitra) dari satu workspace Microsoft Sentinel. Lihat Dokumentasi Pengembang SailPoint untuk detail autentikasi API.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
SailPointISC_Events_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Kredensial Klien SailPoint Identity Security Cloud OAuth2: Diperlukan ID Klien OAuth2 dan Client Secret dengan cakupan tersebut sp:search:read . Buat Personal Access Token (PAT) di SailPoint Tenant Anda. Silakan merujuk dokumentasi di Komunitas Kompas kami untuk petunjuk langkah demi langkah.

Instruksi Penyetelan:

Prerequisites

  1. Temukan ID dan Domain Penyewa Anda ID Penyewa Anda adalah subdomain dari URL SailPoint Anda.
Environment URL Anda ID Penyewa Domain
Production https://acme.identitynow.com acme identitynow
Demo/Mitra https://ta-partner19947.identitynow-demo.com ta-partner19947 identitynow-demo

Konektor akan memanggil: https://{Tenant ID}.api.{Domain}.com/v2025/search/events

  1. Buat Personal Access Token (PAT).
  2. Masuk ke tenant Identity Security Cloud Anda. Klik nama profil Anda di pojok kanan atas dan pilih Preferensi dari menu dropdown.
  3. Di panel navigasi sebelah kiri, pilih Personal Access Tokens.
  4. Klik tombol New Token .
  5. Di kolom What is this token for?, masukkan deskripsi yang jelas dan bermakna tentang bagaimana token ini akan digunakan.
  6. Pilih tanggal kedaluwarsa.
  7. Dari menu dropdown Vendor Integration, pilih Microsoft Microsoft Sentinel untuk SailPoint IdentityNow.
  8. Pilih sp:search:read cakupan untuk mengquery Search API.
  9. Klik Buat Token. Segera salin dan simpan dengan aman baik ID Klien maupun Rahasia. Penting: Rahasia hanya ditampilkan sekali dan tidak dapat diambil kembali setelah Anda menutup jendela.

Koneksi SailPoint Identity Security Cloud

Tambahkan dan kelola koneksi ke tenant SailPoint Identity Security Cloud Anda. Anda dapat menghubungkan beberapa tenant secara bersamaan.

  • Data Connectors Grid (dikonfigurasi di portal)



Log Audit Salesforce (melalui Kerangka Kerja Konektor Tanpa Kode)

Dukungan oleh:Microsoft Corporation

Konektor data Log Audit Salesforce menyediakan kemampuan untuk menyerap perubahan administratif dan modifikasi konfigurasi dari organisasi Salesforce Anda ke Microsoft Sentinel melalui REST API. Konektor ini menyediakan kemampuan untuk menyerap peristiwa Jejak Audit Penyiapan dan Riwayat Masuk ke dalam Microsoft Sentinel yang melacak perubahan yang dilakukan pada konfigurasi organisasi Anda, membantu Anda mempertahankan visibilitas keamanan dan kepatuhan.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
SalesforceAuditTrailV2_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Akses SALESFORCE Service Cloud API: Akses ke Salesforce Service Cloud API melalui Aplikasi Terhubung diperlukan.

Instruksi Penyetelan:

Menyambungkan Salesforce ke Microsoft Sentinel

Ikuti Membuat Aplikasi Terhubung di Salesforce untuk OAuth dan Mengonfigurasi Aplikasi Terhubung untuk Alur Kredensial Klien OAuth 2.0 untuk membuat Aplikasi Terhubung dengan akses ke SALESFORCE Service Cloud API. Melalui instruksi tersebut, Anda harus mendapatkan Kunci Konsumen dan Rahasia Konsumen. Untuk Nama domain Salesforce, Buka Penyetelan, ketik Domain Saya di kotak Temukan Cepat, dan pilih Domain Saya untuk melihat detail domain Anda. Pastikan untuk memasukkan nama domain tanpa garis miring berikutnya (misalnya, https://your-domain.my.salesforce.com). Isi formulir di bawah ini dengan informasi tersebut.

Versi solusi 3.6.0 dan versi lebih baru menggunakan tabel Salesforce Audit logs V2. Silakan gunakan parser yang telah diperbarui untuk setiap kueri yang sudah ada. Lihat catatan rilis solusi di sini

Kelola Koneksi Salesforce

Tambah, lihat, dan hapus koneksi Salesforce

  • Data Connectors Grid (dikonfigurasi di portal)



Salesforce Marketing Cloud (melalui Codeless Connector Framework)

Dukungan oleh:Microsoft Corporation

Mengumpulkan peristiwa audit dan kejadian keamanan dari Salesforce Marketing Cloud Audit Trail API. Memberikan visibilitas terhadap aktivitas pengguna, perubahan sistem, dan peristiwa login.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
SalesforceMarketingCloudAuditEvents No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Akses API Salesforce Marketing Cloud: Akses ke Salesforce Marketing Cloud API melalui Paket Terpasang diperlukan.

Instruksi Penyetelan:

Hubungkan Salesforce Marketing Cloud ke Microsoft Sentinel

Ikuti dokumentasi Salesforce Marketing Cloud untuk membuat Paket Terpasang dengan Data | Peristiwa Pelacakan | Ruang lingkup izin baca . Catat API REST spesifik penyewa dan URL dasar Auth Anda dari bagian Paket Terpasang di Setup.

Kelola Koneksi Salesforce

Tambah, lihat, dan hapus koneksi Salesforce

  • Data Connectors Grid (dikonfigurasi di portal)



SalesForce Real-Time Konektor Pemantauan Peristiwa (melalui Kerangka Kerja Konektor Tanpa Kode)

Dukungan oleh:Microsoft Corporation

Konektor Salesforce Real-Time Event Monitoring (RTEM) menyediakan kemampuan untuk menyerap informasi tentang peristiwa real time Salesforce Anda menggunakan Object for Event Storage ke dalam Microsoft Sentinel melalui REST API. Konektor menyediakan kemampuan untuk meninjau peristiwa di organisasi Anda secara dipercepat, mendapatkan data peristiwa real time untuk aktivitas terbaru.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
SalesForceRealTimeEventMonitoring_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Akses API Pemantauan Peristiwa Salesforce: Akses ke API Pemantauan Peristiwa Salesforce melalui Aplikasi Terhubung diperlukan.

Instruksi Penyetelan:

Sambungkan ke Salesforce Event Monitoring untuk mulai mengumpulkan log pemantauan peristiwa real time di Microsoft Sentinel

Ikuti Membuat Aplikasi Terhubung di Salesforce untuk OAuth dan Mengonfigurasi Aplikasi Terhubung untuk Alur Kredensial Klien OAuth 2.0 untuk membuat Aplikasi Terhubung dengan akses ke API Pemantauan Peristiwa Salesforce. Melalui instruksi tersebut, Anda harus mendapatkan Kunci Konsumen dan Rahasia Konsumen. Untuk Nama domain Salesforce, Buka Penyetelan, ketik Domain Saya di kotak Temukan Cepat, dan pilih Domain Saya untuk melihat detail domain Anda. Pastikan untuk memasukkan nama domain tanpa garis miring berikutnya (misalnya, https://your-domain.my.salesforce.com). Isi formulir di bawah ini dengan informasi tersebut.

Langganan Add-on yang diperlukan: Akun Salesforce Anda harus mencakup langganan tambahan Salesforce Shield atau Salesforce Event Monitoring agar konektor ini dapat berfungsi.

Kelola Koneksi Salesforce

Tambah, lihat, dan hapus koneksi Salesforce

  • Data Connectors Grid (dikonfigurasi di portal)



Salesforce Service Cloud (melalui Codeless Connector Framework)

Dukungan oleh:Microsoft Corporation

Konektor data Salesforce Service Cloud menyediakan kemampuan untuk menyerap informasi tentang peristiwa operasional Salesforce Anda ke dalam Microsoft Sentinel melalui REST API. Konektor menyediakan kemampuan untuk meninjau peristiwa di organisasi Anda secara dipercepat, mendapatkan file log peristiwa dalam kenaikan per jam untuk aktivitas terbaru.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
SalesforceServiceCloudV3_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Akses SALESFORCE Service Cloud API: Akses ke Salesforce Service Cloud API melalui Aplikasi Terhubung diperlukan.

Instruksi Penyetelan:

Sambungkan ke Salesforce Service Cloud API untuk mulai mengumpulkan log peristiwa di Microsoft Sentinel

Ikuti Membuat Aplikasi Terhubung di Salesforce untuk OAuth dan Mengonfigurasi Aplikasi Terhubung untuk Alur Kredensial Klien OAuth 2.0 untuk membuat Aplikasi Terhubung dengan akses ke SALESFORCE Service Cloud API. Melalui instruksi tersebut, Anda harus mendapatkan Kunci Konsumen dan Rahasia Konsumen. Untuk Nama domain Salesforce, Buka Penyetelan, ketik Domain Saya di kotak Temukan Cepat, dan pilih Domain Saya untuk melihat detail domain Anda. Pastikan untuk memasukkan nama domain tanpa garis miring berikutnya (misalnya, https://your-domain.my.salesforce.com). Isi formulir di bawah ini dengan informasi tersebut.

Perhatian: Versi solusi 3.2.0 dan versi berikutnya menggunakan tabel SalesforceServiceCloudV3_CL. Silakan gunakan parser yang telah diperbarui untuk setiap kueri yang sudah ada. Lihat catatan rilis solusi di sini

Kelola Koneksi Salesforce

Tambah, lihat, dan hapus koneksi Salesforce

  • Data Connectors Grid (dikonfigurasi di portal)



Kecerdasan Aset Samsung Knox

Didukung oleh:Samsung Electronics Co., Ltd.

Samsung Knox Asset Intelligence Data Connector memungkinkan Anda mempusatkan peristiwa dan log keamanan seluler untuk melihat wawasan yang dikustomisasi menggunakan templat Buku Kerja, dan mengidentifikasi insiden berdasarkan templat Aturan Analitik.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
Samsung_Knox_Audit_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

Instruksi Penyetelan:

Konektor Data ini menggunakan API Penyerapan Log Microsoft untuk mendorong peristiwa keamanan ke Microsoft Sentinel dari solusi Samsung Knox Asset Intelligence (KAI).

LANGKAH 1 - Membuat dan mendaftarkan Aplikasi Entra

Catatan: Konektor Data ini dapat mendukung autentikasi berbasis Sertifikat atau Rahasia Klien. Untuk autentikasi berbasis sertifikat, Anda dapat mengunduh sertifikat yang ditandatangani CA Samsung (kunci umum) dari portal dokumentasi KAI. Untuk autentikasi berbasis Rahasia Klien, Anda dapat membuat rahasia selama pendaftaran aplikasi Entra. Pastikan Anda menyalin nilai Rahasia Klien segera setelah dibuat.

PENTING: Simpan nilai untuk ID Penyewa (Direktori) dan ID Klien (Aplikasi). Jika autentikasi berbasis Rahasia Klien diaktifkan, simpan Rahasia Klien (Nilai Rahasia) yang terkait dengan aplikasi Entra.

LANGKAH 2 - Mengotomatiskan penyebaran Konektor Data ini menggunakan templat Azure Resource Manager (ARM) di bawah ini

PENTING: Sebelum menyebarkan Konektor Data, salin nama Ruang Kerja di bawah ini yang terkait dengan instans Microsoft Sentinel (juga Log Analytics Anda).

  • Nama Ruang Kerja: <nilai variabel yang disediakan pada waktu penginstalan>

  1. Klik tombol di bawah ini untuk menginstal Samsung Knox Intelligence Solution.

    aka.ms\n2. Berikan bidang yang diperlukan berikut: Nama Ruang Kerja Log Analytics, Lokasi Ruang Kerja Log Analytics, Langganan Ruang Kerja (ID) Log Analytics, dan Grup Sumber Daya Ruang Kerja Log Analytics.

LANGKAH 3 - Dapatkan detail Pengumpulan Data Microsoft Sentinel

Setelah templat ARM disebarkan, navigasikan ke Aturan https://portal.azure.com/#browse/microsoft.insights%2FdatacollectionrulesPengumpulan Data ? dan simpan nilai yang terkait dengan ID Tidak Dapat Diubah (DCR) dan Titik Akhir Pengumpulan Data (DCE).

PENTING: Untuk mengaktifkan integrasi end-to-end, informasi yang terkait dengan Microsoft Sentinel DCE dan DCR diperlukan untuk konfigurasi di portal Samsung Knox Asset Intelligence (LANGKAH 4).

Pastikan Aplikasi Entra yang dibuat di LANGKAH 1 memiliki izin untuk menggunakan DCR yang dibuat untuk mengirim data ke DCE. Silakan lihat /azure/azure-monitor/logs/tutorial-logs-ingestion-portal#assign-permissions-to-the-dcr untuk menetapkan izin yang sesuai.

LANGKAH 4 - Sambungkan ke solusi Samsung Knox Asset Intelligence untuk mengonfigurasi Microsoft Sentinel untuk mendorong pilih Peristiwa Keamanan Knox sebagai Pemberitahuan

  1. Masuk ke portal administrasi Knox Asset Intelligence dan navigasikan ke Pengaturan Dasbor; ini tersedia di sudut kanan atas Portal.

Catatan: Pastikan pengguna masuk memiliki akses ke izin 'Keamanan' dan 'Kelola tampilan dasbor dan pengumpulan data'.

  1. Klik tab Keamanan untuk melihat pengaturan untuk Microsoft Sentinel Log Keamanan Microsoft Sentinel dan Knox.

  2. Di halaman Integrasi Operasi Keamanan, alihkan 'Aktifkan integrasi Microsoft Sentinel' dan masukkan nilai yang sesuai di bidang yang diperlukan.

a. Berdasarkan metode autentikasi yang digunakan, lihat informasi yang disimpan dari LANGKAH 1 saat mendaftarkan aplikasi Entra.

b. Untuk Microsoft Sentinel DCE dan DCR, lihat informasi yang disimpan dari LANGKAH 3.

  1. Klik 'Uji Koneksi' dan pastikan koneksi berhasil.

  2. Sebelum Anda dapat Menyimpan, konfigurasikan Knox Security Logs dengan memilih konfigurasi Esensial atau Tingkat Lanjut (default: Penting).

  3. Untuk menyelesaikan integrasi Microsoft Sentinel, klik 'Simpan'.



SAP BTP

Dukungan oleh:Microsoft Corporation

SAP Business Technology Platform (SAP BTP) menyatukan manajemen data, analitik, kecerdasan buatan, pengembangan aplikasi, otomatisasi, dan integrasi dalam satu lingkungan terpadu.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
SAPBTPAuditLog_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • ID Klien dan Rahasia Klien untuk API Pengambilan Audit: Aktifkan akses API di BTP.

Instruksi Penyetelan:

Langkah 1 - Langkah konfigurasi untuk API Pengambilan Audit SAP BTP

Ikuti langkah-langkah yang disediakan oleh SAP lihat API Pengambilan Log Audit untuk Akun Global di Lingkungan Cloud Foundry. Catat url (URL API Pengambilan Audit), uaa.url (Akun Pengguna dan url Server Autentikasi) dan uaa.clientid terkait.

CATATAN: Anda dapat melakukan onboarding massal subaccount BTP dengan menggunakan alat yang disediakan.

Menyambungkan peristiwa dari SAP BTP ke Microsoft Sentinel

Menyambungkan menggunakan kredensial klien OAuth

Sub-akun

Setiap baris mewakili subaccount yang tersambung

  • Data Connectors Grid (dikonfigurasi di portal)



Deteksi Ancaman Perusahaan SAP, edisi cloud

Didukung oleh:SAP

Konektor data SAP Enterprise Threat Detection, edisi cloud (ETD) memungkinkan penyerapan pemberitahuan keamanan dari ETD ke Microsoft Sentinel, mendukung korelasi silang, pemberitahuan, dan perburuan ancaman.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
SAPETDAlerts_CL Yes Yes
SAPETDInvestigations_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Id Klien dan Rahasia Klien untuk API Pengambilan ETD: Aktifkan akses API di ETD.

Instruksi Penyetelan:

Langkah 1 - Langkah konfigurasi untuk API Pengambilan Audit SAP ETD

Ikuti langkah-langkah yang disediakan oleh SAP lihat dokumen ETD. Catat url (URL API Pengambilan Audit), uaa.url (Akun Pengguna dan url Server Autentikasi) dan uaa.clientid terkait.

CATATAN: Anda dapat melakukan onboarding satu atau beberapa subaccount ETD dengan mengikuti langkah-langkah yang disediakan oleh SAP lihat dokumen ETD. Tambahkan koneksi untuk setiap subaccount.

TIPS: Gunakan seri blog bersama untuk info tambahan.

Menyambungkan peristiwa dari SAP ETD ke Microsoft Sentinel

Menyambungkan menggunakan kredensial klien OAuth

Akun ETD

Setiap baris mewakili akun ETD yang tersambung

  • Data Connectors Grid (dikonfigurasi di portal)



SAP LogServ (RISE), S/4HANA Cloud edisi privat

Didukung oleh:SAP

SAP LogServ adalah layanan SAP Enterprise Cloud Services (ECS) yang mengumpulkan, menyimpan, dan meneruskan log dari semua sistem, aplikasi, dan layanan ECS SAP yang digunakan oleh pelanggan terdaftar. Konektor ini mengalirkan log tersebut ke Microsoft Sentinel hampir secara real time, melengkapi deteksi lapisan aplikasi SAP dengan log infrastruktur seperti database HANA, SAP Web Dispatcher, OS, DNS, dan alur jaringan Azure.

Format log standar secara otomatis diarahkan oleh aturan pengumpulan data ke tabel Microsoft Sentinel yang sesuai — Syslog, WindowsEvent / SecurityEvent, dan tabel yang dinormalisasi ASimDnsActivityLogs, ASimWebSessionLogs, dan ASimNetworkSessionLogs — sementara log khusus SAP tetap berada di tabel kustom SAPLogServ_CL. Karena log ini berada di tabel yang ternormalisasi dan tidak bergantung pada sumber, log tersebut sudah tercakup oleh aturan analitik dan kueri pencarian siap pakai yang disediakan Microsoft untuk skema ASIM dan tabel standar yang sesuai. Untuk menghindari peringatan duplikat, deteksi tersebut sengaja tidak dikemas ulang dalam solusi ini; hanya aturan analitik HANA DB — yang memerlukan parsing khusus LogServ untuk payload Syslog — yang dikirim ke sini. Pelajari bagaimana data yang dinormalisasi menggunakan kembali konten bawaan ini dalam konten normalisasi Advanced Security Information Model (ASIM).

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
SAPLogServ_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Microsoft Entra: Izin untuk membuat pendaftaran aplikasi di Microsoft Entra ID. Biasanya memerlukan peran Pengembang Aplikasi Entra ID atau yang lebih tinggi.
  • Microsoft Azure: Izin untuk menetapkan peran Publisher Metrik Pemantauan pada aturan pengumpulan data. Biasanya memerlukan peran Pemilik RBAC Azure atau Administrator Akses Pengguna.
  • Microsoft Sentinel untuk SAP konektor data tanpa agen dan paket konten (60+ aturan analitik, workbook, parser, dan lainnya): Sebarkan dari Microsoft Sentinel content hub. Lihat detailnya di sini

Instruksi Penyetelan:

1. Terapkan konektor data dan konten agentless Microsoft Sentinel untuk SAP

LogServ menambahkan log infrastruktur ke Microsoft Sentinel. Menerapkan konektor data dan konten agentless Microsoft Sentinel untuk SAP akan memberikan Anda 60+ deteksi dan visualisasi siap pakai untuk seluruh lingkungan SAP Anda. Mulailah dari sini.

Pelajari selengkapnya dari artikel ini.

2. Buat Sumber Daya ARM dan Berikan Izin yang Diperlukan

Kami akan membuat sumber daya aturan pengumpulan data (DCR) dan titik akhir pengumpulan data (DCE). Kami juga akan membuat pendaftaran aplikasi Microsoft Entra dan menetapkan izin yang diperlukan untuk pendaftaran aplikasi tersebut.

Penyebaran otomatis sumber daya Azure Mengklik "Sebarkan sumber daya konektor push" akan memicu pembuatan sumber daya DCR dan DCE. Kemudian akan membuat pendaftaran aplikasi Microsoft Entra dengan rahasia klien dan memberikan izin pada DCR. Penyiapan ini memungkinkan data dikirim dengan aman ke DCR menggunakan kredensial klien OAuth v2.

3. Menjaga detail titik akhir pengumpulan data dan info autentikasi di SAP LogServ

Bagikan URL titik akhir pengumpulan data dan info autentikasi dengan administrator SAP LogServ untuk mengonfigurasi SAP LogServ untuk mengirim data ke titik akhir pengumpulan data.

Pelajari lebih lanjut dari seri blog ini.

  • Gunakan nilai ini untuk mengonfigurasi sebagai ID Penyewa dalam kredensial LogIngestionAPI.: <nilai variabel yang disediakan pada waktu penginstalan>
  • ID Aplikasi Entra: <nilai variabel yang disediakan pada waktu penginstalan>
  • Rahasia Aplikasi Entra: <nilai variabel yang disediakan pada waktu penginstalan>
  • Gunakan nilai ini untuk mengonfigurasi parameter LogsIngestionURL saat menyebarkan nilai variabel IFlow.: <yang disediakan pada waktu penginstalan>
  • ID DCR Immutable: <nilai variabel yang disediakan pada waktu penginstalan>



Edisi Publik Cloud SAP S/4HANA

Didukung oleh:SAP

Konektor data SAP S/4HANA Cloud Public Edition (GROW with SAP) memungkinkan penyerapan log audit keamanan SAP ke Microsoft Sentinel Solution untuk SAP, mendukung korelasi silang, peringatan, dan perburuan ancaman. Mencari mekanisme autentikasi alternatif? Lihat here.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
ABAPAuditLog Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • ID Klien dan Rahasia Klien untuk API Pengambilan Audit: Aktifkan akses API di BTP.
  • Microsoft Sentinel untuk paket konten SAP (60+ aturan analitik, buku kerja, pengurai, dan lainnya): Sebarkan dari hub konten Microsoft Sentinel.

Instruksi Penyetelan:

Langkah 1 - Langkah konfigurasi untuk SAP S/4HANA Cloud Public Edition

Untuk terhubung ke SAP S/4HANA Cloud Public Edition, Anda akan memerlukan:

  1. Mengonfigurasi pengaturan komunikasi untuk skenario komunikasi SAP_COM_0750

  2. URL API penyewa Edisi Publik Cloud SAP S/4HANA

  3. Pengguna komunikasi yang valid (nama pengguna dan kata sandi) untuk sistem Cloud SAP S/4HANA Anda

  4. Otorisasi yang sesuai untuk mengakses data log audit melalui layanan OData

CATATAN: Konektor ini mendukung autentikasi Dasar. Mencari mekanisme autentikasi alternatif? Lihat di sini

Menyambungkan peristiwa dari SAP S/4HANA Cloud Public Edition ke solusi Microsoft Sentinel untuk SAP

Menyambungkan menggunakan autentikasi Dasar

Koneksi S/4HANA Cloud Public Edition

Setiap baris mewakili sistem S/4HANA Cloud Public Edition yang terhubung

  • Data Connectors Grid (dikonfigurasi di portal)



Solusi SecurityBridge untuk SAP

Didukung oleh:SecurityBridge

SecurityBridge meningkatkan keamanan SAP dengan mengintegrasikan dengan lancar dengan Microsoft Sentinel, memungkinkan pemantauan real time dan deteksi ancaman di seluruh lingkungan SAP. Integrasi ini memungkinkan Security Operations Centers (SOC) untuk mengonsolidasikan peristiwa keamanan SAP dengan data organisasi lainnya, memberikan tampilan terpadu tentang lanskap ancaman . Memanfaatkan analitik yang didukung AI dan Security Copilot Microsoft, SecurityBridge mengidentifikasi pola dan kerentanan serangan canggih dalam aplikasi SAP, termasuk pemindaian kode ABAP dan penilaian konfigurasi . Solusi ini mendukung penyebaran yang dapat diskalakan di seluruh lanskap SAP yang kompleks, baik lokal, di cloud, atau lingkungan hibrid . Dengan menjelajah kesenjangan antara tim keamanan IT dan SAP, SecurityBridge memberdayakan organisasi untuk secara proaktif mendeteksi, menyelidiki, dan menanggapi ancaman, meningkatkan postur keamanan secara keseluruhan.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
ABAPAuditLog Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Microsoft Entra: Izin untuk membuat pendaftaran aplikasi di Microsoft Entra ID. Biasanya memerlukan peran Pengembang Aplikasi Entra ID atau yang lebih tinggi.
  • Microsoft Azure: Izin untuk menetapkan peran Publisher Metrik Pemantauan pada aturan pengumpulan data. Biasanya memerlukan peran Pemilik RBAC Azure atau Administrator Akses Pengguna.

Instruksi Penyetelan:

1. Buat Sumber Daya ARM dan Berikan Izin yang Diperlukan

Kami akan membuat sumber daya aturan pengumpulan data (DCR) dan titik akhir pengumpulan data (DCE). Kami juga akan membuat pendaftaran aplikasi Microsoft Entra dan menetapkan izin yang diperlukan untuk pendaftaran aplikasi tersebut.

Penyebaran otomatis sumber daya Azure Mengklik "Sebarkan sumber daya konektor push" akan memicu pembuatan sumber daya DCR dan DCE. Kemudian akan membuat pendaftaran aplikasi Microsoft Entra dengan rahasia klien dan memberikan izin pada DCR. Penyiapan ini memungkinkan data dikirim dengan aman ke DCR menggunakan kredensial klien OAuth v2.

2. Pertahankan detail titik akhir pengumpulan data dan info autentikasi di SecurityBridge

Bagikan URL titik akhir pengumpulan data dan info autentikasi dengan administrator SecurityBridge untuk mengonfigurasi Securitybridge untuk mengirim data ke titik akhir pengumpulan data.

Pelajari lebih lanjut dari Halaman KB kami https://abap-experts.atlassian.net/wiki/spaces/SB/pages/4099309579/REST+Push+Interface

  • Gunakan nilai ini untuk mengonfigurasi sebagai ID Penyewa dalam kredensial LogIngestionAPI.: <nilai variabel yang disediakan pada waktu penginstalan>
  • ID Aplikasi Entra: <nilai variabel yang disediakan pada waktu penginstalan>
  • Rahasia Aplikasi Entra: <nilai variabel yang disediakan pada waktu penginstalan>
  • Gunakan nilai ini untuk mengonfigurasi parameter LogsIngestionURL saat menyebarkan nilai variabel IFlow.: <yang disediakan pada waktu penginstalan>
  • ID DCR Immutable: <nilai variabel yang disediakan pada waktu penginstalan>
  • Sentinel untuk ID Aliran SAP: <nilai variabel yang disediakan pada waktu penginstalan>
  • SecurityBridge_CL STREAM ID: <nilai variabel yang disediakan pada waktu penginstalan>



Semperis Lightning (melalui Codeless Connector Framework)

Didukung oleh:Semperis

Konektor Semperis Lightning menggunakan Codeless Connector Framework untuk menginput data keamanan identitas Semperis Lightning ke dalam Microsoft Sentinel. Satu instance yang dikonfigurasi mewakili satu pasangan zona/API Semperis dan menerapkan satu RestApiPoller per stream yang didukung ke dalam tabel khusus*V2_CL, sehingga dapat berjalan bersama konektor Azure Functions.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
LightningTier0NodesV2_CL No No
LightningAttackPathsV2_CL No No
LightningAttackPathLinksV2_CL No No
LightningTier0AttackersV2_CL No No
LightningIndicatorExecutionsV2_CL No No
LightningIOEsMetadataV2_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Kunci API Semperis Lightning: Kunci API yang valid dan zona Semperis yang sesuai diperlukan. Kunci dikumpulkan sebagai kolom kata sandi dan tidak disimpan di repositori ini.

Instruksi Penyetelan:

Kelola koneksi Semperis Lightning

Tambahkan satu instance untuk setiap pasangan tenant/zone/API-key Semperis.

Kandidat ini menggunakan pola grid/context-pane multi-instance CCF. Setiap instance muncul sebagai enam baris poller di grid. Hasil eksekusi IOE tidak aktif karena konektor publik melakukan permintaan dinamis kedua per eksekusi, yang tidak dapat diwakili oleh RestApiPolmer.

  • Data Connectors Grid (dikonfigurasi di portal)



Log Kilat Semperis

Didukung oleh:Semperis

Konektor Semperis Lightning menggunakan Azure Functions untuk menyerap data keamanan identitas Petir Semperis ke dalam Microsoft Sentinel. Konektor menyebarkan Fungsi Azure dan mengumpulkan data ke dalam tabel Log Analytics kustom untuk penyelidikan dan perburuan ancaman.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
LightningTier0Nodes_CL No No
LightningAttackPaths_CL No No
LightningIOEResults_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Microsoft. Izin web/situs: Izin baca dan tulis ke Azure Functions untuk membuat Aplikasi Fungsi diperlukan. Untuk informasi selengkapnya, lihat Azure Functions.
  • Kredensial Api Petir Semperis: Kunci API Lightning Semperis dan Zona yang dipilih (na atau Uni Eropa) diperlukan untuk mengautentikasi konektor ke Petir Semperis.

Instruksi Penyetelan:

CATATAN: Konektor ini menggunakan Azure Functions untuk terhubung ke Semperis Lightning dan menarik data ke Microsoft Sentinel. Ini dapat mengakibatkan biaya penyerapan data tambahan. Periksa halaman harga Azure Functions untuk detailnya.

(Langkah Opsional) Simpan ruang kerja dan kunci otorisasi API dengan aman di Azure Key Vault. Azure Key Vault menyediakan mekanisme aman untuk menyimpan dan mengambil nilai kunci. Ikuti instruksi ini untuk menggunakan Azure Key Vault dengan Aplikasi Fungsi Azure.

Pastikan ruang kerja ditambahkan ke Microsoft Sentinel sebelum menyebarkan konektor.

LANGKAH 1 - Mengonfigurasi akses untuk Petir Semperis

  1. Masuk ke penyewa Semperis Lightning Anda.
  2. Membuat atau mengambil Kunci API Semperis yang valid untuk akses konektor.
  3. Konfirmasikan nilai Zona Semperis Anda (na untuk Amerika Utara atau Eropa untuk Eropa) untuk digunakan selama penyebaran.

LANGKAH 2 - Sebarkan konektor 'Log Petir Semperis' dan Fungsi Azure terkait

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.ms

LANGKAH 3 - Atur parameter konektor

  1. Pilih Langganan pilihan dan Grup Sumber Daya yang sudah ada.
  2. Masukkan ID Sumber Daya ruang kerja Log Analytics yang sudah ada milik grup sumber daya.
  3. Klik Berikutnya.
  4. Masukkan Kunci API Semperis Anda dan pilih Zona Semperis.
  5. Secara opsional sesuaikan Jadwal Konektor (default: setiap 1 jam).
  6. Tinjau pengaturan dan klik Buat.



SentinelOne (melalui Codeless Connector Framework)

Dukungan oleh:Microsoft Corporation

Konektor data SentinelOne memungkinkan penyerapan log dari API SentinelOne ke dalam Microsoft Sentinel. Konektor data dibangun di Microsoft Sentinel Codeless Connector Framework. Ini menggunakan API SentinelOne untuk mengambil log dan mendukung transformasi waktu penyerapan berbasis DCR yang mengurai data keamanan yang diterima ke dalam tabel kustom sehingga kueri tidak perlu mengurainya lagi, sehingga menghasilkan performa yang lebih baik.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
SentinelOneActivities_CL Yes Yes
SentinelOneAgents_CL Yes Yes
SentinelOneGroups_CL Yes Yes
SentinelOneThreats_CL Yes Yes
SentinelOneAlerts_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Instruksi Penyetelan:

Langkah-langkah konfigurasi untuk API SentinelOne Ikuti instruksi untuk mendapatkan kredensial. Anda juga dapat mengikuti panduan untuk menghasilkan kunci API.

  1. Ambil URL Manajemen SentinelOne 1.1. Masuk ke SentinelOne [Konsol Manajemen] dengan info masuk pengguna Admin 1.2. Di [Konsol Manajemen] salin tautan URL di atas tanpa jalur URL.

  2. Ambil Token API 2.1. Masuk ke SentinelOne [Konsol Manajemen] dengan info masuk pengguna Admin 2.2. Di [Konsol Manajemen], klik [Pengaturan] 2.3. Di tampilan [Pengaturan] klik [PENGGUNA]. 2.4. Di Halaman [PENGGUNA] klik [Pengguna Layanan] -> [Tindakan] -> [Buat pengguna layanan baru]. 2.5. Pilih [Tanggal kedaluwarsa] dan [cakupan] (menurut situs) dan klik [Buat Pengguna]. 2.6. Setelah [Pengguna Layanan] dibuat, salin [Token API] dari halaman dan tekan [Simpan]

  3. Hubungkan instance baru Untuk mengaktifkan konektor SentinelOne untuk Microsoft Sentinel, klik tombol Add new instance, isi informasi yang diperlukan di panel konteks dan klik Connect.

  • Data Connectors Grid (dikonfigurasi di portal)



SentinelOne V2 (melalui Codeless Connector Framework)

Dukungan oleh:Microsoft Corporation

Konektor data SentinelOne V2 menginput log Aktivitas, Agen, Grup, dan Ancaman dari API REST SentinelOne, serta peringatan keamanan dari API GraphQL Manajemen Peringatan Terpadu SentinelOne (UAM), ke dalam Microsoft Sentinel. Perangkat ini dibangun di atas Microsoft Sentinel Codeless Connector Framework dan menggunakan transformasi waktu ingestion berbasis DCR. Lihat: SentinelOne UAM GraphQL API

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
SentinelOneActivities_CL Yes Yes
SentinelOneAgents_CL Yes Yes
SentinelOneGroups_CL Yes Yes
SentinelOneThreats_CL Yes Yes
SentinelOneAlertsV2_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Instruksi Penyetelan:

Hubungkan SentinelOne ke Microsoft Sentinel

Konfigurasikan koneksi API SentinelOne Anda. Setiap instance sesuai dengan satu URL Manajemen SentinelOne + API Token.

Langkah-langkah konfigurasi untuk API SentinelOne Ikuti instruksi di bawah ini untuk memperoleh kredensial. Peringatan dikumpulkan melalui API SentinelOne Unified Alert Management GraphQL.

  1. Ambil URL Manajemen SentinelOne 1.1. Masuk ke Konsol Manajemen SentinelOne dengan kredensial pengguna Admin. 1.2. Di Management Console , salin tautan URL tanpa jalur URL.

  2. Ambil Token API 2.1. Masuk ke Konsol Manajemen SentinelOne dengan kredensial pengguna Admin. 2.2. Di Management Console, klik Pengaturan. 2.3. Di tampilan Pengaturan, klik USERS. 2.4. Di halaman USERS klik Service Users -> Actions -> Create new service user. 2.5. Pilih Tanggal kedaluwarsa dan cakupan (berdasarkan situs) lalu klik Buat Pengguna. 2.6. Setelah Pengguna Layanan dibuat, salin API Token dari halaman dan tekan Simpan.

  3. Hubungkan instance baru Untuk mengaktifkan konektor SentinelOne untuk Microsoft Sentinel, klik tombol Add new instance, isi informasi yang diperlukan di panel konteks dan klik Connect.

  • Data Connectors Grid (dikonfigurasi di portal)



Keamanan Web Seraphic

Didukung oleh:Seraphic Security

Konektor data Seraphic Web Security menyediakan kemampuan untuk menyerap Seraphic Web Security peristiwa dan pemberitahuan ke dalam Microsoft Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
SeraphicWebSecurity_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • kunci API Seraphic: Kunci API untuk Microsoft Sentinel tersambung ke penyewa Seraphic Web Security Anda. Untuk mendapatkan kunci API ini untuk penyewa Anda - kunjungi halaman Integrasi di Konsol Seraphic Anda.

Instruksi Penyetelan:

Menyambungkan Seraphic Web Security

Masukkan nama integrasi, URL integrasi Seraphic, dan nama ruang kerja Anda untuk Microsoft Sentinel:



ServiceNow CMDB (melalui Codeless Connector Framework)

Dukungan oleh:Microsoft Corporation

ServiceNow CMDB Data Connector memungkinkan memasukkan catatan Configuration Management Database (CMDB) dan Asset Management dari ServiceNow ke Microsoft Sentinel. Konektor ini mengambil beberapa catatan dari API Tabel ServiceNow untuk tabel tertentu termasuk Asset Management (alm_asset), Configuration Items (cmdb_ci), Computer CIs (cmdb_ci_computer), dan Server CIs (cmdb_ci_server). Konektor ini dibangun di atas Microsoft Sentinel Codeless Connector Framework dan mendukung transformasi waktu ingestion berbasis DCR untuk eksekusi kueri yang efisien. Lihat dokumentasi ServiceNow Table API untuk informasi lebih lanjut.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
ServiceNowCmdbCi No No
ServiceNowAlmAsset No No
ServiceNowCmdbCiServer No No
ServiceNowCmdbCiComputer No No
ServiceNowCmdbRelCi No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Instruksi Penyetelan:

1. Konfigurasi ServiceNow

Konfigurasikan koneksi instance ServiceNow Anda dan pilih tabel CMDB untuk dikumpulkan.

  • Data Connectors Grid (dikonfigurasi di portal)



Konsol Admin Silverfort

Didukung oleh:Silverfort

Solusi konektor Silverfort Konsol Admin ITDR memungkinkan penyerapan peristiwa Silverfort dan masuk ke Microsoft Sentinel. Silverfort menyediakan peristiwa berbasis syslog dan pengelogan menggunakan Common Event Format (CEF). Dengan meneruskan data CEF Silverfort ITDR Admin Console Anda ke Microsoft Sentinel, Anda dapat memanfaatkan pencarian & korelasi, peringatan, dan pengayaan inteligensi ancaman Sentinels pada data Silverfort. Silakan hubungi Silverfort atau lihat dokumentasi Silverfort untuk informasi lebih lanjut.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
CommonSecurityLog Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Instruksi Penyetelan:

1. Konfigurasi agen Linux Syslog

Instal dan konfigurasikan agen Linux untuk mengumpulkan pesan Syslog Common Event Format (CEF) Anda dan teruskan ke Microsoft Sentinel.

Perhatikan bahwa data dari semua wilayah akan disimpan di ruang kerja yang dipilih

1.1 Memilih atau membuat komputer Linux

Pilih atau buat komputer Linux yang Microsoft Sentinel akan gunakan sebagai proksi antara solusi keamanan Anda dan Microsoft Sentinel komputer ini dapat berada di lingkungan lokal Anda, Azure atau cloud lainnya.

1.2 Instal kolektor CEF di komputer Linux

Instal Azure Monitoring Agent (AMA) di komputer Linux Anda dan konfigurasikan mesin untuk mendengarkan port yang diperlukan dan meneruskan pesan ke ruang kerja Microsoft Azure Sentinel Anda. Kolektor CEF mengumpulkan pesan CEF pada port 514 TCP.

  1. Pastikan Anda memiliki Python di komputer Anda menggunakan perintah berikut: python --version.

  2. Anda harus memiliki izin yang lebih tinggi (sudo) pada mesin Anda.

  • Jalankan perintah berikut untuk menginstal dan menerapkan pengumpul CEF:: <nilai variabel yang disediakan pada waktu penginstalan>

2. Meneruskan log Common Event Format (CEF) ke agen Syslog

Atur solusi keamanan Anda untuk mengirim pesan Syslog dalam format CEF ke komputer proksi. Pastikan Anda mengirim log ke port 514 TCP pada alamat IP komputer.

3. Memvalidasi koneksi

Ikuti instruksi untuk memvalidasi konektivitas Anda:

Buka Log Analytics untuk memeriksa apakah log diterima menggunakan skema CommonSecurityLog.

Mungkin perlu waktu sekitar 20 menit hingga koneksi mengalirkan data ke ruang kerja Anda.

Jika log tidak diterima, jalankan skrip validasi konektivitas berikut:

  1. Pastikan Anda memiliki Python di komputer Anda menggunakan perintah berikut: python -version

  2. Anda harus memiliki izin yang ditingkatkan (sudo) pada komputer Anda

  • Jalankan perintah berikut untuk memvalidasi konektivitas Anda:: <nilai variabel yang disediakan pada waktu penginstalan>

**4. Amankan komputer Anda **

Pastikan untuk mengonfigurasi keamanan komputer sesuai dengan kebijakan keamanan organisasi Anda

Pelajari selengkapnya>



SlackAudit (melalui Codeless Connector Framework)

Dukungan oleh:Microsoft Corporation

Konektor data SlackAudit menyediakan kemampuan untuk menyerap log Audit Slack ke dalam Microsoft Sentinel melalui REST API. Lihat dokumentasi API untuk informasi selengkapnya.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
SlackAuditV2_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • UserName, Kunci API SlackAudit & Jenis Tindakan: Untuk Menghasilkan Token Akses, buat aplikasi baru di Slack, lalu tambahkan cakupan yang diperlukan dan konfigurasikan URL pengalihan. Untuk petunjuk terperinci tentang menghasilkan token akses, nama pengguna, dan batas nama tindakan, lihat tautan .

Instruksi Penyetelan:

**Sambungkan SlackAudit ke Microsoft Sentinel

**

Untuk menyerap data dari SlackAudit ke Microsoft Sentinel, Anda harus mengklik tombol Tambahkan Domain di bawah ini kemudian Anda mendapatkan pop up untuk mengisi detail, memberikan informasi yang diperlukan dan klik Sambungkan. Anda dapat melihat nama pengguna, tindakan yang tersambung di kisi.

  • Data Connectors Grid (dikonfigurasi di portal)



Snowflake (melalui Codeless Connector Framework)

Dukungan oleh:Microsoft Corporation

Konektor data Snowflake menyediakan kemampuan untuk menyerap Snowflake Login History Logs, Query History Logs, Log User-Grant, log Role-Grant, Muat Log Riwayat, Materialisasi Lihat Log Riwayat Refresh, log Roles, Log Tables, Table Storage Metrics Logs, Perangkat ke dalam Microsoft Sentinel menggunakan Snowflake SQL API. Lihat dokumentasi Snowflake SQL API untuk informasi selengkapnya.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
SnowflakeLoginV3_CL No No
SnowflakeQueryV3_CL No No
SnowflakeUserGrantV3_CL No No
SnowflakeRoleGrantV3_CL No No
SnowflakeLoadV3_CL No No
SnowflakeMaterializedViewV3_CL No No
SnowflakeRolesV3_CL No No
SnowflakeTablesV3_CL No No
SnowflakeTableStorageMetricsV3_CL No No
SnowflakeUsersV3_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Instruksi Penyetelan:

Sambungkan Snowflake ke Microsoft Sentinel

Catatan: Peringatan: Versi solusi 3.2.0 dan versi lebih baru menggunakan tabel SnowflakeV3 (misalnya, SnowflakeQueryV3_CL, SnowflakeLoginV3_CL). Parser telah diperbarui sesuai kebutuhan.

CATATAN: Untuk memastikan data disajikan dalam kolom terpisah untuk setiap bidang, jalankan pengurai menggunakan fungsi Snowflake()

Untuk mengumpulkan data dari Snowflake, Anda perlu menyediakan sumber daya berikut

  1. Pengidentifikasi Akun Untuk mengumpulkan data dari Snowflake, Anda memerlukan Pengidentifikasi Akun Snowflake.

  2. Token Akses Terprogram Untuk mengumpulkan data dari Snowflake, Anda memerlukan Token Akses Terprogram Snowflake

Untuk instruksi terperinci tentang mengambil Pengidentifikasi Akun dan Token Akses Terprogram, lihat Tutorial Konektor.

  • Data Connectors Grid (dikonfigurasi di portal)



Konektor Data Log Audit Platform Utama SOC

Didukung oleh:SOC Prime

Konektor data SOC Prime Audit memungkinkan penyerapan log dari SOC Prime Platform API ke Microsoft Sentinel. Konektor data dibangun di Microsoft Sentinel Codeless Connector Framework. Ini menggunakan SOC Prime Platform API untuk mengambil log audit platform SOC Prime dan mendukung transformasi waktu penyerapan berbasis DCR yang mengurai data keamanan yang diterima ke dalam tabel kustom, sehingga menghasilkan performa yang lebih baik.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
SOCPrimeAuditLogs_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Instruksi Penyetelan:

Langkah-langkah konfigurasi untuk SOC Prime Platform API Ikuti instruksi untuk mendapatkan kredensial. Anda juga dapat mengikuti panduan ini untuk menghasilkan kunci API pribadi.

Mengambil Kunci API

  1. Masuk ke SOC Prime Platform
  2. Klik ikon [Akun] -> [Pengaturan Platform] -> [API]
  3. Klik [Tambahkan Kunci Baru]
  4. Dalam modal yang muncul memberi kunci Anda nama yang bermakna, atur tanggal kedaluwarsa dan API produk kunci menyediakan akses ke
  5. Klik [Hasilkan]
  6. Salin kunci dan simpan di tempat yang aman. Anda tidak akan dapat melihatnya lagi setelah Anda menutup modal ini
  • Kunci API Utama SOC: (Kunci API)
  • Aktifkan/Nonaktifkan Koneksi



Konektor Data Sonrai

Didukung oleh:N/A

Gunakan konektor data ini untuk berintegrasi dengan Sonrai Security dan dapatkan tiket Sonrai yang dikirim langsung ke Microsoft Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
Sonrai_Tickets_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Instruksi Penyetelan:

Konektor Data Keamanan Sonrai

  1. Navigasi ke dasbor Sonrai Security.
  2. Di panel kiri bawah, klik integrasi.
  3. Pilih Microsoft Sentinel dari daftar Integrasi yang tersedia.
  4. Isi formulir menggunakan informasi yang disediakan di bawah ini.
  • ID ruang kerja: <nilai variabel yang disediakan pada waktu penginstalan>
  • Kunci Primer: <nilai variabel yang disediakan pada waktu penginstalan>



Sophos Endpoint Protection (melalui Codeless Connector Framework)

Dukungan oleh:Microsoft Corporation

Konektor data Sophos Endpoint Protection menyediakan kemampuan untuk menyerap peristiwa Sophos dan pemberitahuan Sophos ke Microsoft Sentinel. Lihat dokumentasi Admin Pusat Sophos untuk informasi selengkapnya.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
SophosEPEvents_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Akses API Perlindungan Titik Akhir Sophos: Akses ke API Perlindungan Titik Akhir Sophos melalui perwakilan layanan diperlukan.

Instruksi Penyetelan:

Sambungkan ke Sophos Endpoint Protection API untuk mulai mengumpulkan log peristiwa dan pemberitahuan di Microsoft Sentinel

Ikuti instruksi Sophos untuk membuat perwakilan layanan dengan akses ke SOPHOS API. Ini akan membutuhkan peran ReadOnly Perwakilan Layanan. Melalui instruksi tersebut, Anda harus mendapatkan ID Klien, Rahasia Klien, ID Penyewa, dan wilayah data. Isi formulir dengan informasi tersebut.

  • ID Penyewa Sophos: (ID Penyewa Sophos)
  • Wilayah Data Penyewa Sophos: (eu01, eu02, us01, us02 atau us03)
  • Data Connectors Grid (dikonfigurasi di portal)



Autentikasi Anomali StealthTalk

Didukung oleh:Dukungan StealthTalk

Konektor StealthTalk Anomalous Authentication menginput empat kelas event autentikasi pengguna anomali dari messenger StealthTalk Enterprise ke dalam tabel Log Analytics khusus melalui API Logs Ingestion.

Peristiwa:

  • OffHoursLogin - masuk di luar jam kerja yang dikonfigurasi pengguna.
  • NewDeviceLogin - login dari perangkat yang sebelumnya belum pernah terlihat.
  • GeoAnomalyLogin - login dari negara/kota yang tidak sesuai dengan zona geo yang ditetapkan oleh pengguna.
  • MultiFailLogin - beberapa upaya autentikasi gagal berturut-turut.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
StealthTalkAnomalousAuth_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Instansi StealthTalk Enterprise: Tenant StealthTalk Enterprise yang telah dideploy dengan akses admin untuk mengonfigurasi webhook keluar ke workspace Log Analytics.
  • Microsoft Entra App Registration: Prinsipal layanan yang digunakan StealthTalk untuk mengautentikasi ke API Ingestion Logs. Harus memiliki peran Monitoring Metrics Publisher pada Aturan Pengumpulan Data yang diterapkan.

Instruksi Penyetelan:

LANGKAH 1 - Infrastruktur ingestion yang diterapkan secara otomatis (hanya tinjauan)

Ketika Solusi diinstal melalui Microsoft Sentinel Content Hub, sumber daya berikut akan secara otomatis didistribusikan ke dalam grup sumber daya workspace:

  1. Tabel StealthTalkAnomalousAuth_CL (aliran 21 lapangan).
  2. Titik Akhir StealthTalk-Sentinel-DCE.
  3. Aturan PengumpulanStealthTalk-Sentinel-DCR Data dengan Custom-StealthTalkAnomalousAuth_CL deklarasi aliran dan transformasi satu-ke-satu.
  4. ASIM Authentication 0.1.3 parser sebagai fungsi pencarian tersimpan di workspace: vimAuthenticationStealthTalk (penyaringan) dan ASimAuthenticationStealthTalk (tanpa penyaringan).
  5. imAuthentication parser ekstensi yang mendaftarkan sumber StealthTalk di union ASIM Authentication workspace (menimpa pencarian tersimpan Microsoft imAuthentication untuk menyertakan parser vim StealthTalk).
  6. ASimDisabledParsers watchlist + status onboarding Microsoft Sentinel (idempotent).

Tidak diperlukan tindakan pengguna pada tahap ini selain menginstal Solusi. Langkah-langkah yang tersisa mengonfigurasi StealthTalk untuk mendorong event ke DCR yang telah dideploy. Prasyarat: Paket parser Autentikasi ASIM Microsoft FullDeploymentAuthentication.json harus diterapkan di workspace sebelum Solusi ini diinstal.

LANGKAH 2 - Tangkap endpoint DCE dan ID DCR Immutable

Di portal Azure, buka sumber daya Data Collection Endpoint dan Data Collection Rule yang diterapkan pada Langkah 1:

  • Dari properti Data Collection Endpoint, salin URI endpoint Logs Ingestion (terlihat seperti https://stealthtalk-sentinel-dce-<suffix>.<region>.ingest.monitor.azure.com).
  • Dari Ikhtisar Aturan Pengumpulan Data, salin ID Immutable (terlihat seperti dcr-<guid>).

Anda akan menempelkan kedua nilai tersebut ke konsol admin StealthTalk pada Langkah 5.

LANGKAH 3 - Buat Pendaftaran Aplikasi Microsoft Entra untuk StealthTalk

Buat Pendaftaran Aplikasi baru di tenant Microsoft Entra Anda. Buat client secret (atau gunakan sertifikat). Perhatikan ID Tenant, ID Aplikasi (klien), dan rahasia klien. StealthTalk menggunakan prinsipal layanan ini untuk mengautentikasi ke API Ingestion Log melalui OAuth.

LANGKAH 4 - Berikan Registrasi Aplikasi peran Monitoring Metrics Publisher pada DCR

Buka Aturan Pengumpulan Data yang diterapkan pada Langkah 1 ->Kontrol Akses (IAM) -> + Tambahkan penugasan peran.

  • Peran: Memantau Metrik Publisher
  • Tetapkan akses ke: Pengguna, grup, atau prinsipal layanan
  • Pilih Pendaftaran Aplikasi dari Langkah 3

Penetapan peran RBAC tidak dapat dilakukan oleh template instalasi Solusi, jadi langkah ini bersifat manual.

LANGKAH 5 - Konfigurasikan StealthTalk untuk mengirim event

Di konsol admin StealthTalk, konfigurasikan integrasi Microsoft Sentinel/Log Analytics dengan nilai-nilai yang ditangkap pada Langkah 2 dan 3:

  • Endpoint DCE - URI endpoint Logs Ingestion dari Langkah 2
  • ID Tak Dapat Diubah DCR - mulai dari Langkah 2
  • Nama aliran - Custom-StealthTalkAnomalousAuth_CL
  • ID Tenant, ID Aplikasi (klien), Rahasia klien - mulai dari Langkah 3

Simpan dan aktifkan event pengujian. Konsol StealthTalk melaporkan keberhasilan/kegagalan handshake OAuth dan pengiriman event pertama.

LANGKAH 6 - Verifikasi pengambilan dan normalisasi ASIM

Jalankan kueri Contoh di atas di Log. Semua harus mengembalikan baris dalam beberapa menit setelah acara pengujian:

  • Meja mentah StealthTalkAnomalousAuth_CL penuh.
  • Tampilan union ASIM melalui mengembalikan imAuthentication() | where EventVendor == 'StealthTalk' event yang sama yang dinormalisasi ke skema Autentikasi ASIM.

Jika tabel mentah kosong: verifikasi konsol StealthTalk melaporkan pengiriman OAuth dan event yang berhasil, serta konfirmasi App Registration memiliki peran Monitoring Metrics Publisher pada DCR (Langkah 4). Jika tabel mentah memiliki baris tetapi ASIM union kosong: periksa ulang apakah paket parser Microsoft FullDeploymentAuthentication.json sudah diterapkan.

LANGKAH 7 - Aktifkan aturan analitik, pencarian kueri, workbook, dan playbook

Di hub Microsoft Sentinel Content, buka Solusi Autentikasi Anomali StealthTalk dan klik Kelola. Aktifkan empat template Aturan Analitik, tiga template Hunting Query, Workbook, dan Microsoft Teams Playbook. Untuk Playbook, setelah penerapan, berikan identitas terkelola yang ditugaskan sistem peran Microsoft Sentinel Responder di workspace, dan berikan peran Microsoft Sentinel Automation Contributor pada grup sumber daya playbook kepada Azure Security Insights service principal. Kemudian buat Aturan Otomasi di Microsoft Sentinel yang menjalankan buku pedoman insiden dari empat aturan analitik StealthTalk.



Exchange Pertahanan Cyber Terintegrasi Symantec

Dukungan oleh:Microsoft Corporation

Konektor Symantec ICDx memungkinkan Anda untuk dengan mudah menghubungkan log solusi keamanan Symantec Anda dengan Microsoft Sentinel, untuk melihat dasbor, membuat pemberitahuan kustom, dan meningkatkan penyelidikan. Hal ini memberi Anda lebih banyak wawasan tentang jaringan organisasi dan meningkatkan kemampuan operasi keamanan Anda.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
SymantecICDx_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Instruksi Penyetelan:

Mengonfigurasi dan menyambungkan Symantec ICDx

  1. Pada bilah navigasi ICDx, klik Konfigurasi.
  2. Di bagian atas layar Konfigurasi, klik Penerus, dan di samping Microsoft Sentinel (Log Analytics), klik Tambahkan.
  3. Di jendela Microsoft Sentinel (Log Analytics) yang terbuka, klik Perlihatkan Tingkat Lanjut. Lihat dokumentasi untuk mengatur fitur tingkat lanjut.
  4. Pastikan Anda mengatur nama untuk penerus dan di bawah Tujuan Azure, atur bidang yang diperlukan ini:
  • ID Ruang Kerja: Tempelkan ID Ruang Kerja dari halaman konektor portal Microsoft Sentinel.
  • Kunci Primer: Tempelkan Kunci Primer dari halaman konektor portal Microsoft Sentinel.
  • Nama Log Kustom: Ketik nama log kustom di ruang kerja portal Microsoft Azure Log Analytics tempat Anda akan meneruskan peristiwa. Defaultnya adalah SymantecICDx.
  1. Klik Simpan dan untuk memulai penerus, buka Opsi > Lainnya dan klik Mulai.
  • ID ruang kerja: <nilai variabel yang disediakan pada waktu penginstalan>
  • Kunci Primer: <nilai variabel yang disediakan pada waktu penginstalan>



Konektor Integrasi Synqly

Didukung oleh:Synqly

Konektor Synqly menyediakan kemampuan untuk mendorong event keamanan dan entitas aset dari integrasi Synqly ke Microsoft Sentinel menggunakan Azure Logs Ingestion API. Catatan secara otomatis dinormalisasi menjadi tabel ASIM (Advanced Security Information Model) untuk digunakan dengan analitik Microsoft Sentinel, buku kerja, dan kueri berburu.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
union ASimAgentEventLogs, ASimAlertEventLogs, ASimAssetEntityLogs, ASimAuditEventLogs, ASimAuthenticationEventLogs, ASimDhcpEventLogs, ASimDnsActivityLogs, ASimFileEventLogs, ASimNetworkSessionLogs, ASimProcessEventLogs, ASimRegistryEventLogs, ASimUserManagementActivityLogs, ASimWebSessionLogs No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Microsoft Entra ID: Peran Pengembang Aplikasi (atau lebih tinggi) untuk membuat pendaftaran aplikasi.
  • Microsoft Azure: Peran Pemilik atau Administrator Akses Pengguna pada grup sumber daya untuk menyebarkan DCR dan menetapkan peran Publisher Metrik Pemantauan.

Instruksi Penyetelan:

1. Buat Sumber Daya ARM dan Berikan Izin yang Diperlukan

Konektor ini memungkinkan pemasukan berbasis push terhadap event keamanan dan entitas aset dari integrasi Synqly ke Microsoft Sentinel. Catatan secara otomatis dinormalisasi ke tabel ASIM (Advanced Security Information Model).

Menyebarkan Sumber Daya Konektor Mengklik "Sebarkan" membuat aplikasi Aturan Pengumpulan Data (DCR), Titik Akhir Pengumpulan Data (DCE), dan Entra dengan izin yang diperlukan untuk mengirim data dengan aman ke Microsoft Sentinel.

2. Berikan Izin Tambahan (Berdasarkan Kasus Penggunaan)

Peran tambahan mungkin diperlukan tergantung pada bagaimana Anda berencana untuk menggunakan Synqly dengan Microsoft Sentinel.

Konektor Sink (Write-Only): Tidak ada izin tambahan yang diperlukan. Konektor SIEM (Baca/Tulis): Tetapkan Kontributor Microsoft Sentinel peran ke aplikasi Entra melalui UI Azure di ruang kerja Log Analytics Anda.

Lihat Dokumentasi Synqly untuk panduan penyiapan terperinci.

3. Dorong log Anda ke ruang kerja

Berikan parameter ini ke integrasi Synqly Anda. Format Synqly setiap catatan untuk salah satu dari 13 tipe skema ASIM yang didukung: 12 skema event (AgentEvent, AlertEvent, AuditEvent, Authentication, DhcpEvent, Dns, FileEvent, NetworkSession, ProcessEvent, RegistryEvent, UserManagement, dan WebSession) serta skema entitas Asset (EntitySchema=Asset).

Penting: Catatan dengan tipe skema yang tidak didukung diam-diam dihapus oleh Azure. Jika data yang diharapkan tidak muncul, verifikasi dengan penyedia integrasi Synqly Anda bahwa catatan menggunakan salah satu tipe skema yang didukung yang tercantum di atas.

  • ID Penyewa (ID Direktori): <nilai variabel yang disediakan pada waktu penginstalan>
  • ID Aplikasi Pendaftaran Aplikasi Entra: <nilai variabel yang disediakan pada waktu penginstalan>
  • Rahasia Pendaftaran Aplikasi Entra: <nilai variabel yang disediakan pada waktu penginstalan>
  • Uri Titik Akhir Pengumpulan Data: <nilai variabel yang disediakan pada waktu penginstalan>
  • ID Tidak Dapat Diubah Aturan Pengumpulan Data: <nilai variabel yang disediakan pada waktu penginstalan>
  • Nama Aliran: <nilai variabel yang disediakan pada waktu penginstalan>

4. Promosikan Event Peringatan ke peringatan Microsoft Sentinel (Opsional)

Solusi ini mencakup template aturan analitik Event Synqly Alert. Event Peringatan tetap menjadi log sampai Anda membuat dan mengaktifkan aturan darinya.

Buka template Aturan Microsoft Sentinel Analytics>, temukan Synqly > Alert Event, dan pilih Buat aturan. Gunakan pengaturan default atau sesuaikan aturan untuk lingkungan Anda. Pelajari lebih lanjut.



Syslog melalui AMA

Dukungan oleh:Microsoft Corporation

Syslog adalah protokol pengelogan acara yang umum untuk Linux. Aplikasi akan mengirim pesan yang mungkin disimpan di komputer lokal atau dikirim ke kolektor Syslog. Ketika Agen untuk Linux diinstal, daemon Syslog lokal dikonfigurasi untuk meneruskan pesan ke agen. Agen kemudian mengirim pesan ke ruang kerja.

Pelajari selengkapnya>

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
Syslog Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Kredensial yang Disusupi TacitRed

Didukung oleh:Data443 Risk Mitigation, Inc.

Menyerap temuan kredensial yang disusupi dari TacitRed menggunakan Common Connector Framework (CCF).

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
TacitRed_Findings_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • TacitRed API Key: Kunci API disimpan di Azure Key Vault atau disediakan pada waktu penyebaran.

Instruksi Penyetelan:

Sambungkan Kredensial yang Disusupi TacitRed

Untuk mengaktifkan konektor TacitRed, berikan kunci API Anda di bawah ini dan klik Sambungkan.

Untuk keamanan yang ditingkatkan, Anda dapat mengaktifkan integrasi Key Vault untuk menyimpan dan mengambil kunci API.

  • Kunci API TacitRed: (Masukkan kunci API TacitRed Anda)
  • Aktifkan/Nonaktifkan Koneksi



Wawasan Talon

Didukung oleh:Talon Security

Konektor Log Keamanan Talon memungkinkan Anda untuk dengan mudah menghubungkan peristiwa Talon dan log audit Anda dengan Microsoft Sentinel, untuk melihat dasbor, membuat pemberitahuan kustom, dan meningkatkan penyelidikan.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
Talon_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Instruksi Penyetelan:

Harap perhatikan nilai di bawah ini dan ikuti instruksi di sini untuk menghubungkan peristiwa Keamanan Talon dan log audit Anda dengan Microsoft Sentinel.

  • ID ruang kerja: <nilai variabel yang disediakan pada waktu penginstalan>
  • Kunci Primer: <nilai variabel yang disediakan pada waktu penginstalan>



Konektor Pendorongan CCF Tanium

Didukung oleh:Tanium Inc.

Data ini memberi umpan Microsoft Sentinel buku kerja dan playbook sehingga analis dapat memperkaya insiden, memvisualisasikan risiko dan kesehatan titik akhir, dan mengotomatiskan alur kerja investigasi dan respons. Untuk detail selengkapnya tentang Tanium, buka https://www.tanium.com/contact-us/

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
TaniumComplyCompliance_CL Yes Yes
TaniumComplyVulnerabilities_CL Yes Yes
TaniumDefenderHealth_CL Yes Yes
TaniumDiscoverUnmanagedAssets_CL Yes Yes
TaniumHighUptime_CL Yes Yes
TaniumPatchCoverageStatus_CL Yes Yes
TaniumPatchListApplicability_CL Yes Yes
TaniumPatchListCompliance_CL Yes Yes
TaniumSCCMClientHealth_CL Yes Yes
TaniumThreatResponse_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Microsoft Entra: Izin untuk membuat pendaftaran aplikasi di Microsoft Entra ID.
  • Microsoft Azure: Izin untuk menetapkan peran Publisher Metrik Pemantauan pada aturan pengumpulan data (DCR).

Instruksi Penyetelan:

1. Buat Sumber Daya ARM dan Berikan Izin yang Diperlukan

Konektor ini memungkinkan Tanium Server Anda untuk mendorong data Inventori Dasar langsung ke Microsoft Sentinel melalui API penyerapan Azure Monitor.

Konfigurasi Otomatis dan Penyerapan Data Aman dengan Aplikasi Entra Mengklik "Sebarkan" akan memicu pembuatan tabel Log Analytics dan Aturan Pengumpulan Data (DCR). Kemudian akan membuat aplikasi Entra, menautkan DCR ke aplikasi tersebut, dan mengatur rahasia yang dimasukkan dalam aplikasi. Penyiapan ini memungkinkan data Tanium dikirim dengan aman ke DCR menggunakan token Entra.

2. Mengonfigurasi Koneksi Tanium

Gunakan parameter berikut untuk mengonfigurasi Koneksi Tanium Anda untuk mendorong data ke ruang kerja.

  • ID Penyewa (ID Direktori): <nilai variabel yang disediakan pada waktu penginstalan>
  • ID Aplikasi Pendaftaran Aplikasi Entra: <nilai variabel yang disediakan pada waktu penginstalan>
  • Rahasia Pendaftaran Aplikasi Entra: <nilai variabel yang disediakan pada waktu penginstalan>
  • Uri Titik Akhir Pengumpulan Data: <nilai variabel yang disediakan pada waktu penginstalan>
  • ID Tidak Dapat Diubah Aturan Pengumpulan Data: <nilai variabel yang disediakan pada waktu penginstalan>
  • Nama Aliran Log Temuan Kepatuhan: <nilai variabel yang disediakan pada waktu penginstalan>
  • Nama Aliran Log Kerentanan Kepatuhan: <nilai variabel yang disediakan pada waktu penginstalan>
  • Defender Nama Aliran Log Kesehatan: <nilai variabel yang disediakan pada waktu penginstalan>
  • Temukan Nama Aliran Log Kesehatan Aset Tidak Terkelola: <nilai variabel yang disediakan pada waktu penginstalan>
  • Nama Aliran Log Uptime Tinggi: <nilai variabel yang disediakan pada waktu penginstalan>
  • Nama Aliran Log Status Cakupan Patch: <nilai variabel yang disediakan pada waktu penginstalan>
  • Patch List Applicability Logs Stream Name: <nilai variabel yang disediakan pada waktu penginstalan>
  • Nama Aliran Log Kepatuhan Daftar Patch: <nilai variabel yang disediakan pada waktu penginstalan>
  • Nama Aliran Log Kesehatan Klien SCCM: <nilai variabel yang disediakan pada waktu penginstalan>
  • Nama Aliran Log Peringatan Respons Ancaman: <nilai variabel yang disediakan pada waktu penginstalan>

3. Buat Koneksi di Tanium

Setelah Anda berhasil menyebarkan konektor data di Azure, buat koneksi yang diperlukan di server Tanium Anda di Modul Sambungkan. Untuk informasi selengkapnya mengenai modul Connect, lihat Bantuan Tanium

  1. Unduh file impor koneksi.
  2. Ganti tempat penampung dengan parameter yang ditampilkan di atas.
  3. Di Server Tanium Anda, buka Modul Sambungkan.
  4. Gunakan fungsi impor untuk mengimpor koneksi baru Anda.



Team Cymru Scout Data Connector (menggunakan Azure Functions)

Didukung oleh:Team Cymru

Konektor Data TeamCymruScout memungkinkan pengguna untuk membawa IP Team Cymru Scout, domain, dan data penggunaan akun dalam Microsoft Sentinel untuk pengayaan.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
Cymru_Scout_Domain_Data_CL No No
Cymru_Scout_IP_Data_Foundation_CL No No
Cymru_Scout_IP_Data_Details_CL No No
Cymru_Scout_IP_Data_Communications_CL No No
Cymru_Scout_IP_Data_PDNS_CL No No
Cymru_Scout_IP_Data_Fingerprints_CL No No
Cymru_Scout_IP_Data_OpenPorts_CL No No
Cymru_Scout_IP_Data_x509_CL No No
Cymru_Scout_IP_Data_Summary_Details_CL No No
Cymru_Scout_IP_Data_Summary_PDNS_CL No No
Cymru_Scout_IP_Data_Summary_OpenPorts_CL No No
Cymru_Scout_IP_Data_Summary_Certs_CL No No
Cymru_Scout_IP_Data_Summary_Fingerprints_CL No No
Cymru_Scout_Account_Usage_Data_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Microsoft. Izin web/situs: Izin baca dan tulis ke Azure Functions untuk membuat Aplikasi Fungsi diperlukan. Untuk informasi selengkapnya, lihat Azure Functions.
  • Permission untuk menetapkan peran ke aplikasi terdaftar: Izin untuk menetapkan peran ke aplikasi terdaftar di Microsoft Entra ID diperlukan.
  • Kredensial/izin Team Cymru Scout: Kredensial akun Team Cymru Scout (Nama Pengguna, Kata Sandi) diperlukan.

Instruksi Penyetelan:

CATATAN: Konektor ini menggunakan Azure Functions untuk terhubung ke Team Cymru Scout API untuk menarik lognya ke Microsoft Sentinel. Ini dapat mengakibatkan biaya penyerapan data tambahan. Periksa halaman harga Azure Functions untuk detailnya.

(Langkah Opsional) Simpan ruang kerja dan kunci otorisasi API atau token dengan aman di Azure Key Vault. Azure Key Vault menyediakan mekanisme aman untuk menyimpan dan mengambil nilai kunci. Ikuti instruksi ini untuk menggunakan Azure Key Vault dengan Aplikasi Fungsi Azure.

LANGKAH 1 - Langkah-langkah untuk Membuat Kunci API Scout Team Cymru

Ikuti instruksi ini untuk membuat Kunci API Scout Team Cymru.

  1. Lihat dokumen Kunci API untuk menghasilkan kunci API yang akan digunakan sebagai bentuk otorisasi alternatif.

LANGKAH 2 - Langkah-langkah Pendaftaran Aplikasi untuk Aplikasi di Microsoft Entra ID

Integrasi ini memerlukan pendaftaran Aplikasi di portal Azure. Ikuti langkah-langkah di bagian ini untuk membuat aplikasi baru di Microsoft Entra ID:

  1. Masuk ke portal Azure.
  2. Cari dan pilih Microsoft Entra ID.
  3. Di bawah Kelola, pilih Pendaftaran aplikasi > Pendaftaran baru.
  4. Masukkan Nama tampilan aplikasi Anda.
  5. Pilih Daftar untuk menyelesaikan pendaftaran aplikasi awal.
  6. Setelah pendaftaran selesai, portal Azure menampilkan panel Gambaran Umum pendaftaran aplikasi. Anda melihat ID Aplikasi (klien) dan ID Penyewa. ID klien dan ID Penyewa diperlukan sebagai parameter konfigurasi untuk eksekusi Konektor Data TeamCymruScout.

Tautan referensi:/azure/active-directory/develop/quickstart-register-app

LANGKAH 3 - Tambahkan rahasia klien untuk aplikasi di Microsoft Entra ID

Terkadang disebut kata sandi aplikasi, rahasia klien adalah nilai string yang diperlukan untuk eksekusi Konektor Data TeamCymruScout. Ikuti langkah-langkah di bagian ini untuk membuat Rahasia Klien baru:

  1. Di portal Microsoft Azure, di Pendaftaran aplikasi, pilih aplikasi Anda.
  2. Pilih Sertifikat & rahasia > Rahasia > klien Rahasia klien baru.
  3. Tambahkan deskripsi untuk rahasia klien Anda.
  4. Pilih kedaluwarsa untuk rahasia atau tentukan masa pakai kustom. Batasnya adalah 24 bulan.
  5. Pilih Tambahkan.
  6. Catat nilai rahasia untuk digunakan dalam kode aplikasi klien Anda. Nilai rahasia ini tidak pernah ditampilkan lagi setelah Anda meninggalkan halaman ini. Nilai rahasia diperlukan sebagai parameter konfigurasi untuk eksekusi Konektor Data TeamCymruScout.

Tautan referensi:/azure/active-directory/develop/quickstart-register-app#add-a-client-secret

LANGKAH 4 - Dapatkan ID Objek aplikasi Anda di Microsoft Entra ID

Setelah membuat pendaftaran aplikasi, ikuti langkah-langkah di bagian ini untuk mendapatkan ID Objek:

  1. Pergi ke Microsoft Entra ID.
  2. Pilih Aplikasi perusahaan dari menu sebelah kiri.
  3. Temukan aplikasi yang baru dibuat dalam daftar (Anda dapat mencari berdasarkan nama yang Anda berikan).
  4. Klik aplikasi.
  5. Pada halaman gambaran umum, salin ID Objek. Ini adalah AzureEntraObjectId yang diperlukan untuk penetapan peran templat ARM Anda.

LANGKAH 5 - Menetapkan peran Kontributor ke aplikasi di Microsoft Entra ID

Ikuti langkah-langkah di bagian ini untuk menetapkan peran:

  1. Di portal Azure, Buka Grup Sumber Daya dan pilih grup sumber daya Anda.
  2. Buka Kontrol akses (IAM) dari panel kiri.
  3. Klik Tambahkan, lalu pilih Tambahkan penetapan peran.
  4. Pilih Kontributor sebagai peran dan klik berikutnya.
  5. Di Tetapkan akses ke, pilih User, group, or service principal.
  6. Klik tambahkan anggota dan ketik nama aplikasi yang telah Anda buat dan pilih.
  7. Sekarang klik Tinjau + tetapkan lalu klik lagi Tinjau + tetapkan.

Tautan referensi:/azure/role-based-access-control/role-assignments-portal

LANGKAH 6 - Unggah csv dengan indikator di Daftar Tonton

Ikuti langkah-langkah di bagian ini untuk mengunggah csv yang berisi indikator dalam daftar pengawasan:

  1. Di portal Azure, Buka Microsoft Sentinel dan pilih ruang kerja Anda.
  2. Buka Daftar Pengawasan di bagian Konfigurasi dari panel kiri.
  3. Klik TeamCymruScoutDomainData, lalu pilih Pembaruan massal dari Perbarui daftar tonton.
  4. Unggah file csv Anda dengan indikator domain di Unggah input file dan klik Berikutnya: Review+Create.
  5. Setelah validasi berhasil, klik Perbarui.
  6. Ikuti langkah-langkah yang sama untuk memperbarui daftar tonton TeamCymruScoutIPData untuk indikator ip.

Tautan referensi:Memperbarui daftar tonton secara massal

LANGKAH 7 - Pilih ONE dari dua opsi penyebaran berikut untuk menyebarkan konektor dan Fungsi Azure terkait

PENTING: Sebelum menyebarkan konektor data TeamCymruScout, miliki ID Ruang Kerja dan Kunci Primer Ruang Kerja (dapat disalin dari yang berikut) yang tersedia dengan mudah.., serta Kredensial TeamCymruScout.

Opsi 1 - Templat Azure Resource Manager (ARM)

Gunakan metode ini untuk penyebaran otomatis konektor data TeamCymruScout.

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.ms

  2. Pilih Langganan, Grup Sumber Daya, dan Lokasi pilihan.

  3. Masukkan informasi di bawah ini: Nama Fungsi Location WorkspaceName TeamCymruScoutBaseURL AuthenticationType Username Password APIKey IPValues DomainValues APIType AzureClientId AzureClientSecret TenantId AzureEntraObjectId IPTableName DomainTableName AccountUsageTableName Schedule AccountUsageSchedule LogLevel

  4. Tandai kotak centang berlabel Saya menyetujui syarat dan ketentuan yang dinyatakan di atas.

  5. Klik Beli untuk menyebarkan.

Opsi 2 - Penyebaran manual Azure Functions

Gunakan instruksi langkah demi langkah berikut untuk menyebarkan konektor data TeamCymruScout secara manual dengan Azure Functions (Penyebaran melalui Visual Studio Code).

  1. Menyebarkan Aplikasi Fungsi

CATATAN: Anda harus menyiapkan kode VS untuk pengembangan fungsi Azure.

  1. Unduh file Aplikasi Fungsi Azure. Ekstrak arsip ke komputer pengembangan lokal Anda.

  2. Jalankan VS Code. Pilih File di menu utama dan pilih Buka Folder.

  3. Pilih folder tingkat atas dari file yang diekstrak.

  4. Pilih ikon Azure di bilah Aktivitas, lalu di area Azure: Fungsi, pilih tombol Sebarkan ke aplikasi fungsi. Jika Anda belum masuk, pilih ikon Azure di bilah Aktivitas, lalu di area Azure: Functions, pilih Masuk ke Azure Jika Anda sudah masuk, buka langkah berikutnya.

  5. Berikan informasi berikut pada permintaan:

    a. Pilih folder: Pilih folder dari ruang kerja Anda atau telusuri folder yang berisi aplikasi fungsi Anda.

    b. Pilih Langganan: Pilih langganan yang akan digunakan.

    c. Pilih Buat Aplikasi Fungsi baru di Azure (Jangan pilih opsi Tingkat Lanjut)

    d. Masukkan nama unik global untuk aplikasi fungsi: Ketik nama yang valid di jalur URL. Nama yang Anda ketik akan divalidasi untuk memastikan bahwa nama tersebut bersifat unik di Azure Functions. (misalnya CymruScoutXXXXX).

    e. Pilih runtime: Pilih Python 3.12 atau lebih tinggi.

    f. Pilih lokasi untuk sumber daya baru. Untuk performa yang lebih baik dan biaya yang lebih rendah, pilih wilayah yang sama tempat Microsoft Sentinel berada.

  6. Penyebaran akan dimulai. Notifikasi ditampilkan setelah aplikasi fungsi Anda dibuat dan paket penyebaran diterapkan.

  7. Buka portal Azure untuk konfigurasi Aplikasi Fungsi.

  8. Mengonfigurasi Aplikasi Fungsi

  9. Di Aplikasi Fungsi, pilih Nama Aplikasi Fungsi dan pilih Konfigurasi.

  10. Di tab Pengaturan aplikasi, pilih + Pengaturan aplikasi baru.

  11. Tambahkan masing-masing pengaturan aplikasi berikut satu per satu, dengan nilai masing-masing (peka huruf besar/kecil): CymruScoutBaseURL AuthenticationType TeamCymruScoutUsername TeamCymruScoutPassword APIKey IPValues DomainValues APIType AZURE_CLIENT_ID AZURE_CLIENT_SECRET AZURE_TENANT_ID IPTableName DomainTableName AccountUsageTableName Schedule AccountUsageSchedule LogLevel AZURE_DATA_COLLECTION_ENDPOINT AZURE_DATA_COLLECTION_RULE_ID_MAIN_TABLES AZURE_DATA_COLLECTION_RULE_ID_SUB_TABLES

  12. Setelah semua pengaturan aplikasi dimasukkan, klik Simpan.



Paparan Identitas yang Dapat Disewa

Didukung oleh:Tenable

Konektor Eksposur Identitas yang Dapat Disewa memungkinkan Indikator Paparan, Indikator Serangan, dan log alur jejak untuk diserap ke dalam Microsoft Sentinel. Berbagai buku kerja dan pengurai data memungkinkan Anda untuk lebih mudah memanipulasi log dan memantau lingkungan Direktori Aktif Anda. Templat analitik memungkinkan Anda mengotomatiskan respons mengenai berbagai peristiwa, paparan, dan serangan.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
Tenable_IE_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Akses ke Konfigurasi TenableIE: Izin untuk mengonfigurasi mesin peringatan syslog

Instruksi Penyetelan:

Konektor data ini bergantung pada afad_parser berdasarkan Fungsi Kusto untuk bekerja seperti yang diharapkan yang disebarkan dengan Solusi Microsoft Sentinel.

1. Mengonfigurasi server Syslog

Anda akan terlebih dahulu memerlukan server Syslog linux yang akan dikirimi log TenableIE. Biasanya Anda dapat menjalankan rsyslog di Ubuntu. Anda kemudian dapat mengonfigurasi server ini sesuai keinginan Anda, tetapi disarankan untuk dapat menghasilkan log TenableIE dalam file terpisah.

Konfigurasikan rsyslog untuk menerima log dari alamat IP TenableIE Anda. Pilih salah satu opsi berikut:

Opsi 1: Menggunakan direktif AllowedSender

Konfigurasi ini membatasi host mana yang dapat mengirim log ke server syslog Anda di tingkat jaringan. Ini lebih aman karena menolak koneksi yang tidak sah sebelum memprosesnya.

  1. Unduh file konfigurasi: 80-tenable-allowedsender.conf
  2. Jalankan dalam mode sudo: sudo -i
  3. Atur alamat IP TenableIE Anda: export TENABLE_IE_IP={Enter your IP address}
  4. Jalankan perintah dari file konfigurasi yang diunduh
  5. Mulai ulang rsyslog: systemctl restart rsyslog

Opsi 2: Memfilter log menurut IP sumber (Untuk lingkungan dengan beberapa sumber syslog)

Konfigurasi ini menerima semua log masuk tetapi hanya memprosesnya dari alamat IP TenableIE yang ditentukan. Ini sangat berguna ketika Anda memiliki beberapa server syslog atau aplikasi yang mengirim log ke server syslog yang sama, dan Anda ingin secara selektif hanya memproses log TenableIE.

  1. Unduh file konfigurasi: 80-tenable-filter.conf
  2. Jalankan dalam mode sudo: sudo -i
  3. Atur alamat IP TenableIE Anda: export TENABLE_IE_IP={Enter your IP address}
  4. Jalankan perintah dari file konfigurasi yang diunduh
  5. Mulai ulang rsyslog: systemctl restart rsyslog

2. Instal dan onboard agen Microsoft untuk Linux

Agen OMS akan menerima peristiwa syslog TenableIE dan menerbitkannya di Microsoft Sentinel :

Pilih tempat untuk menginstal agen:

Menginstal agen di komputer virtual Linux Azure

Pilih komputer untuk menginstal agen, lalu klik Sambungkan.

  • Pasang Agen: <nilai variabel yang disediakan pada waktu penginstalan>

Menginstal agen pada Komputer Linux non-Azure

Unduh agen di komputer yang relevan dan ikuti instruksinya.

  • Pasang Agen: <nilai variabel yang disediakan pada waktu penginstalan>

3. Periksa log agen di server Syslog

tail -f /var/opt/microsoft/omsagent/log/omsagent.log

4. Konfigurasikan TenableIE untuk mengirim log ke server Syslog Anda

Di portal TenableIE Anda, buka Sistem, Konfigurasi lalu Syslog. Dari sana Anda dapat membuat pemberitahuan Syslog baru ke server Syslog Anda.

Setelah ini selesai, periksa apakah log dikumpulkan dengan benar di server Anda dalam file terpisah (untuk melakukan ini, Anda dapat menggunakan tombol Uji konfigurasi di konfigurasi pemberitahuan Syslog di TenableIE). Jika Anda menggunakan templat Mulai Cepat, server Syslog secara default akan mendengarkan port 514 di UDP dan 1514 di TCP, tanpa TLS.

Catatan: Kedua opsi konfigurasi dari Langkah 1 mengonfigurasi server syslog untuk mendengarkan di port 514 untuk koneksi UDP dan TCP.

5. Mengonfigurasi log kustom

Konfigurasikan agen untuk mengumpulkan log.

  1. Di Microsoft Sentinel, buka Konfigurasi -> Pengaturan -> Pengaturan ruang kerja -> Log kustom.
  2. Klik Tambahkan log kustom.
  3. Unggah sampel TenableIE.log file Syslog dari komputer Linux yang menjalankan server Syslog dan klik Berikutnya
  4. Atur pemisah catatan ke Baris Baru jika belum terjadi dan klik Berikutnya.
  5. Pilih Linux dan masukkan jalur file ke file Syslog, klik + lalu Berikutnya. Lokasi default file adalah /var/log/TenableIE.log jika Anda memiliki Tenable versi <3.1.0, Anda juga harus menambahkan lokasi /var/log/AlsidForAD.logfile linux ini .
  6. Atur Nama ke Tenable_IE_CL (Azure secara otomatis menambahkan _CL di akhir nama, hanya boleh ada satu, pastikan nama tidak Tenable_IE_CL_CL).
  7. Klik Berikutnya, Anda akan melihat resume, lalu klik Buat

6. Nikmati!

Anda sekarang dapat menerima log dalam tabel Tenable_IE_CL , data log dapat diurai menggunakan fungsi afad_parser(), yang digunakan oleh semua sampel kueri, buku kerja, dan templat analitik.



Tenable Vulnerability Management (menggunakan Azure Functions)

Didukung oleh:Tenable

Konektor data TVM menyediakan kemampuan untuk menyerap Aset, Kerentanan, Kepatuhan, aset WAS, dan data kerentanan WAS ke dalam Microsoft Sentinel menggunakan API REST TVM. Lihat dokumentasi API untuk informasi selengkapnya. Konektor menyediakan kemampuan untuk mendapatkan data yang membantu memeriksa potensi risiko keamanan, mendapatkan wawasan tentang aset komputasi Anda, mendiagnosis masalah konfigurasi, dan banyak lagi

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
Tenable_VM_Asset_CL Yes Yes
Tenable_VM_Vuln_CL Yes Yes
Tenable_VM_Compliance_CL Yes Yes
Tenable_WAS_Asset_CL Yes Yes
Tenable_WAS_Vuln_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Microsoft. Izin web/situs: Izin baca dan tulis ke Azure Functions untuk membuat Aplikasi Fungsi diperlukan. Untuk informasi selengkapnya, lihat Azure Functions.
  • Kredensial/izin REST API: TenableAccessKey dan TenableSecretKey diperlukan untuk mengakses REST API yang Dapat Disewa. Untuk informasi selengkapnya, lihat API. Periksa semua persyaratan dan ikuti instruksi untuk mendapatkan kredensial.

Instruksi Penyetelan:

CATATAN: Konektor ini menggunakan Azure Durable Functions untuk terhubung ke API TenableVM untuk menarik aset, kerentanan, dan kepatuhan (jika dipilih) secara berkala ke dalam Microsoft Sentinel. Ini dapat mengakibatkan biaya penyerapan data tambahan. Periksa halaman harga Azure Functions untuk detailnya.

(Langkah Opsional) Simpan ruang kerja dan kunci otorisasi API atau token dengan aman di Azure Key Vault. Azure Key Vault menyediakan mekanisme aman untuk menyimpan dan mengambil nilai kunci. Ikuti instruksi ini untuk menggunakan Azure Key Vault dengan Aplikasi Fungsi Azure.

CATATAN: Konektor data ini tergantung pada pengurai TenableVM untuk kerentanan dan pengurai TenableVM untuk aset berdasarkan Fungsi Kusto agar berfungsi seperti yang diharapkan yang disebarkan dengan Solusi Microsoft Sentinel.

LANGKAH 1 - Langkah konfigurasi untuk TenableVM

Ikuti instruksi untuk mendapatkan kredensial API yang diperlukan.

LANGKAH 2 - Langkah-langkah Pendaftaran Aplikasi untuk Aplikasi di Microsoft Entra ID

Integrasi ini memerlukan pendaftaran Aplikasi di portal Azure. Ikuti langkah-langkah di bagian ini untuk membuat aplikasi baru di Microsoft Entra ID:

  1. Masuk ke portal Azure.
  2. Cari dan pilih Microsoft Entra ID.
  3. Di bawah Kelola, pilih Pendaftaran aplikasi > Pendaftaran baru.
  4. Masukkan Nama tampilan aplikasi Anda.
  5. Pilih Daftar untuk menyelesaikan pendaftaran aplikasi awal.
  6. Setelah pendaftaran selesai, portal Azure menampilkan panel Gambaran Umum pendaftaran aplikasi. Anda melihat ID Aplikasi (klien) dan ID Penyewa. ID klien dan ID Penyewa diperlukan sebagai parameter konfigurasi untuk eksekusi Konektor Data TenableVM.

Tautan referensi:/azure/active-directory/develop/quickstart-register-app

LANGKAH 3 - Tambahkan rahasia klien untuk aplikasi di Microsoft Entra ID

Terkadang disebut kata sandi aplikasi, rahasia klien adalah nilai string yang diperlukan untuk eksekusi Konektor Data TenableVM. Ikuti langkah-langkah di bagian ini untuk membuat Rahasia Klien baru:

  1. Di portal Microsoft Azure, di Pendaftaran aplikasi, pilih aplikasi Anda.
  2. Pilih Sertifikat & rahasia > Rahasia > klien Rahasia klien baru.
  3. Tambahkan deskripsi untuk rahasia klien Anda.
  4. Pilih kedaluwarsa untuk rahasia atau tentukan masa pakai kustom. Batasnya adalah 24 bulan.
  5. Pilih Tambahkan.
  6. Catat nilai rahasia untuk digunakan dalam kode aplikasi klien Anda. Nilai rahasia ini tidak pernah ditampilkan lagi setelah Anda meninggalkan halaman ini. Nilai rahasia diperlukan sebagai parameter konfigurasi untuk eksekusi Konektor Data TenableVM.

Tautan referensi:/azure/active-directory/develop/quickstart-register-app#add-a-client-secret

LANGKAH 4 - Dapatkan ID Objek aplikasi Anda di Microsoft Entra ID

Setelah membuat pendaftaran aplikasi, ikuti langkah-langkah di bagian ini untuk mendapatkan ID Objek:

  1. Pergi ke Microsoft Entra ID.
  2. Pilih Aplikasi perusahaan dari menu sebelah kiri.
  3. Temukan aplikasi yang baru dibuat dalam daftar (Anda dapat mencari berdasarkan nama yang Anda berikan).
  4. Klik aplikasi.
  5. Pada halaman gambaran umum, salin ID Objek. Ini adalah AzureEntraObjectId yang diperlukan untuk penetapan peran templat ARM Anda.

LANGKAH 5 - Pilih ONE dari dua opsi penyebaran berikut untuk menyebarkan konektor dan aplikasi fungsi Azure terkait

Opsi 1 - Templat Azure Resource Manager (ARM)

Gunakan metode ini untuk penyebaran otomatis konektor data Laporan Manajemen Kerentanan TenableVM menggunakan Templat ARM.

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.msaka.ms

  2. Pilih Langganan, Grup Sumber Daya, Nama Aplikasi Fungsi, dan Lokasi pilihan.

  3. Masukkan informasi di bawah ini :

    a. WorkspaceName - Masukkan Nama Ruang Kerja Ruang Kerja analitik log.

    b. TenableAccessKey - Masukkan kunci Akses untuk menggunakan API Tenable.

    c. TenableSecretKey - Masukkan Kunci Rahasia yang Dapat Disewa untuk Autentikasi.

    d. AzureClientID - Masukkan ID Klien Azure.

    e. AzureClientSecret - Masukkan Rahasia Klien Azure.

    f. TenantID - Masukkan ID Penyewa dari langkah-langkah di atas.

    g. AzureEntraObjectId - Masukkan ID Objek Azure yang didapatkan dari langkah-langkah di atas.

    Halo. LowestSeveritytoStore - Tingkat keparahan kerentanan terendah untuk disimpan. Nilai yang Diizinkan: Info, Rendah, Sedang, Tinggi, Kritis. Defaultnya adalah Info.

    i. ComplianceDataIngestion - Pilih true jika Anda ingin mengaktifkan penyerapan data Kepatuhan dari VM yang Dapat Disewa. Secara default adalah false.

    j. WASAssetDataIngestion - Pilih true jika Anda ingin mengaktifkan penyerapan data Aset WAS dari VM yang Dapat Disewa. Secara default adalah false.

    k. WASVulnerabilityDataIngestion - Pilih true jika Anda ingin mengaktifkan penyerapan data KERENTANAN WAS dari VM yang Dapat Disewa. Secara default adalah false.

    l. LowestSeveritytoStoreWAS - Tingkat keparahan Kerentanan Terendah untuk disimpan untuk WAS. Nilai yang Diizinkan: Info, Rendah, Sedang, Tinggi, Kritis. Defaultnya adalah Info.

    m. TenableExportScheduleInMinutes - Jadwal dalam hitungan menit untuk membuat pekerjaan ekspor baru dari Tenable VM. Defaultnya adalah 1440.

    n. AssetTableName - Masukkan nama tabel yang digunakan untuk menyimpan log Data Aset.

    o. VulnTableName - Masukkan nama tabel yang digunakan untuk menyimpan log Data Kerentanan.

    p. ComplianceTableName - Masukkan nama tabel yang digunakan untuk menyimpan log Data Kepatuhan.

    q. WASAssetTableName - Masukkan nama tabel yang digunakan untuk menyimpan log Data Aset WAS.

    r. WASVulnTableName - Masukkan nama tabel yang digunakan untuk menyimpan log Data Kerentanan WAS.

  4. Tandai kotak centang berlabel Saya menyetujui syarat dan ketentuan yang dinyatakan di atas.

  5. Klik Beli untuk menyebarkan.

Opsi 2 - Penyebaran manual Azure Functions

Gunakan instruksi langkah demi langkah berikut untuk menyebarkan konektor data Laporan Manajemen Kerentanan TenableVM secara manual dengan Azure Functions (Penyebaran melalui Visual Studio Code).

  1. Menyebarkan Aplikasi Fungsi

CATATAN: Anda harus menyiapkan kode VS untuk pengembangan fungsi Azure.

  1. Unduh file Aplikasi Fungsi Azure. Ekstrak arsip ke komputer pengembangan lokal Anda.

  2. Jalankan VS Code. Pilih File di menu utama dan pilih Buka Folder.

  3. Pilih folder tingkat atas dari file yang diekstrak.

  4. Pilih ikon Azure di bilah Aktivitas, lalu di area Azure: Fungsi, pilih tombol Sebarkan ke aplikasi fungsi. Jika Anda belum masuk, pilih ikon Azure di bilah Aktivitas, lalu di area Azure: Functions, pilih Masuk ke Azure Jika Anda sudah masuk, buka langkah berikutnya.

  5. Berikan informasi berikut pada permintaan:

    a. Pilih folder: Pilih folder dari ruang kerja Anda atau telusuri folder yang berisi aplikasi fungsi Anda.

    b. Pilih Langganan: Pilih langganan yang akan digunakan.

    c. Pilih Buat Aplikasi Fungsi baru di Azure (Jangan pilih opsi Tingkat Lanjut)

    d. Masukkan nama unik global untuk aplikasi fungsi: Ketik nama yang valid di jalur URL. Nama yang Anda ketik akan divalidasi untuk memastikan bahwa nama tersebut bersifat unik di Azure Functions. (misalnya TenableVMXXXXXX).

    e. Pilih runtime: Pilih Python 3.12.

    f. Pilih lokasi untuk sumber daya baru. Untuk performa yang lebih baik dan biaya yang lebih rendah, pilih wilayah yang sama tempat Microsoft Sentinel berada.

  6. Penyebaran akan dimulai. Notifikasi ditampilkan setelah aplikasi fungsi Anda dibuat dan paket penyebaran diterapkan.

  7. Buka portal Azure untuk konfigurasi Aplikasi Fungsi.

  8. Mengonfigurasi Aplikasi Fungsi

  9. Di Aplikasi Fungsi, pilih Nama Aplikasi Fungsi dan pilih Konfigurasi.

  10. Di tab Pengaturan aplikasi, pilih Pengaturan aplikasi baru.

  11. Tambahkan masing-masing pengaturan aplikasi berikut satu per satu, dengan nilai string masing-masing (peka huruf besar/kecil):

    a. WorkspaceName - Masukkan Nama Ruang Kerja Ruang Kerja analitik log.

    b. TenableAccessKey - Masukkan kunci Akses untuk menggunakan API Tenable.

    c. TenableSecretKey - Masukkan Kunci Rahasia yang Dapat Disewa untuk Autentikasi.

    d. AzureClientID - Masukkan ID Klien Azure.

    e. AzureClientSecret - Masukkan Rahasia Klien Azure.

    f. TenantID - Masukkan ID Penyewa dari langkah-langkah di atas.

    g. AzureEntraObjectId - Masukkan ID Objek Azure yang didapatkan dari langkah-langkah di atas.

    Halo. LowestSeveritytoStore - Tingkat keparahan kerentanan terendah untuk disimpan. Nilai yang Diizinkan: Info, Rendah, Sedang, Tinggi, Kritis. Defaultnya adalah Info.

    i. ComplianceDataIngestion - Pilih true jika Anda ingin mengaktifkan penyerapan data Kepatuhan dari VM yang Dapat Disewa. Secara default adalah false.

    j. WASAssetDataIngestion - Pilih true jika Anda ingin mengaktifkan penyerapan data Aset WAS dari VM yang Dapat Disewa. Secara default adalah false.

    k. WASVulnerabilityDataIngestion - Pilih true jika Anda ingin mengaktifkan penyerapan data KERENTANAN WAS dari VM yang Dapat Disewa. Secara default adalah false.

    l. LowestSeveritytoStoreWAS - Tingkat keparahan Kerentanan Terendah untuk disimpan untuk WAS. Nilai yang Diizinkan: Info, Rendah, Sedang, Tinggi, Kritis. Defaultnya adalah Info.

    m. TenableExportScheduleInMinutes - Jadwal dalam hitungan menit untuk membuat pekerjaan ekspor baru dari Tenable VM. Defaultnya adalah 1440.

    n. AssetTableName - Masukkan nama tabel yang digunakan untuk menyimpan log Data Aset.

    o. VulnTableName - Masukkan nama tabel yang digunakan untuk menyimpan log Data Kerentanan.

    p. ComplianceTableName - Masukkan nama tabel yang digunakan untuk menyimpan log Data Kepatuhan.

    q. WASAssetTableName - Masukkan nama tabel yang digunakan untuk menyimpan log Data Aset WAS.

    r. WASVulnTableName - Masukkan nama tabel yang digunakan untuk menyimpan log Data Kerentanan WAS.

    S. PyTenableUAVendor - Nilai harus diatur ke Microsoft.

    t. PyTenableUAProduct - Nilai harus diatur ke Microsoft Sentinel.

    U. PyTenableUABuild - Nilai harus diatur ke 3.1.0.

  12. Setelah semua pengaturan aplikasi dimasukkan, klik Simpan.



Tenant berbasis Microsoft Defender untuk Cloud

Dukungan oleh:Microsoft Corporation

Microsoft Defender untuk Cloud adalah alat manajemen keamanan yang memungkinkan Anda mendeteksi dan merespons ancaman dengan cepat di seluruh beban kerja Azure, hibrid, dan multi-cloud. Konektor ini memungkinkan Anda mengalirkan pemberitahuan keamanan MDC dari Microsoft 365 Defender ke Microsoft Sentinel, sehingga Anda dapat memanfaatkan keuntungan korelasi XDR yang menghubungkan titik di seluruh sumber daya cloud, perangkat, dan identitas Anda dan melihat data dalam buku kerja, kueri, dan menyelidiki dan menanggapi insiden. Untuk informasi selengkapnya, lihat dokumentasi Microsoft Azure Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
SecurityAlert Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Instruksi Penyetelan:

Menyambungkan Microsoft Defender untuk Cloud berbasis Penyewa ke Microsoft Sentinel

Setelah menyambungkan konektor ini, semua pemberitahuan langganan Microsoft Defender untuk Cloud Anda akan dikirim ke ruang kerja Microsoft Sentinel ini.

Pemberitahuan Microsoft Defender untuk Cloud Anda terhubung ke streaming melalui Microsoft 365 Defender. Untuk mendapatkan manfaat dari pengelompokan otomatis pemberitahuan ke dalam insiden, sambungkan konektor insiden Microsoft 365 Defender. Insiden dapat dilihat dalam antrean insiden.



TheHive (melalui Codeless Connector Framework)

Dukungan oleh:Microsoft Corporation

Konektor data TheHive menyediakan kemampuan untuk menyerap TheHive data platform respons insiden keamanan ke dalam Microsoft Sentinel melalui REST API. Lihat dokumentasi API untuk informasi selengkapnya. Konektor menyediakan kemampuan untuk mendapatkan kasus, tugas, dan pemberitahuan dari TheHive dan memvisualisasikannya dalam Microsoft Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
TheHiveData No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Akses API TheHive: Akses API TheHive Versi 4 ke atas diperlukan untuk API TheHive.

Instruksi Penyetelan:

1. Konfigurasi

Ikuti instruksi untuk mengonfigurasi konektor TheHive.

  • URL Dasar TheHive: (URL dasar instans TheHive (misalnya, https://thehive.example.com)) Dapatkan Kunci API dari pengaturan profil pengguna TheHive Anda. (atau pengguna khusus yang dibuat untuk tujuan ini)

  • Kunci Api: (kunci API untuk API TheHive)

2. Sambungkan

Aktifkan konektor TheHive.

  • Aktifkan/Nonaktifkan Koneksi



Thinkst Canary

Didukung oleh:Thinkst Riset Terapan

Konektor Thinkst Canary memungkinkan Anda menghisap insiden keamanan dari jaringan honeypot Thinkst Canary Anda ke Microsoft Sentinel. Perangkat Canary mendeteksi upaya akses tidak sah termasuk login SSH, sesi RDP, permintaan HTTP, kueri basis data, akses berbagi file, dan pemicu Canarytoken. Konektor ini secara otomatis menarik semua data insiden untuk analisis dan peringatan.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
ThinkstCanaryIncidents_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Kunci API Thinkst Canary: Token otentikasi API Thinkst Canary diperlukan. Lihat dokumentasi untuk mempelajari cara menghasilkan kunci API.

Instruksi Penyetelan:

Hubungkan Thinkst Canary ke Microsoft Sentinel

Berikan domain Thinkst Canary Console Anda (misalnya 'yourhash' dari yourhash.canary.tools) dan token otentikasi API.

  • Domain Konsol Canary: (yourhash)
  • Token Otentikasi API: (Masukkan token API Canary Anda)
  • Aktifkan/Nonaktifkan Koneksi



Inteligensi ancaman - TAXII

Dukungan oleh:Microsoft Corporation

Microsoft Sentinel terintegrasi dengan sumber data TAXII 2.0 dan 2.1 untuk memungkinkan pemantauan, peringatan, dan perburuan menggunakan inteligensi ancaman Anda. Gunakan konektor ini untuk mengirim jenis objek STIX yang didukung dari server TAXII ke Microsoft Sentinel. Indikator ancaman dapat mencakup alamat IP, domain, URL, dan hash file. Untuk informasi selengkapnya, lihat dokumentasi Microsoft Sentinel >.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
ThreatIntelligenceIndicator Yes No

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Platform Inteligensi Ancaman

Dukungan oleh:Microsoft Corporation

Microsoft Sentinel terintegrasi dengan sumber data Microsoft Graph Security API untuk mengaktifkan pemantauan, peringatan, dan perburuan menggunakan inteligensi ancaman Anda. Gunakan konektor ini untuk mengirim indikator ancaman ke Microsoft Sentinel dari Platform Inteligensi Ancaman (TIP) Anda, seperti Threat Connect, Palo Alto Networks MindMeld, MISP, atau aplikasi terintegrasi lainnya. Indikator ancaman dapat mencakup alamat IP, domain, URL, dan hash file. Untuk informasi selengkapnya, lihat dokumentasi Microsoft Sentinel >.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
ThreatIntelligenceIndicator Yes No

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

API Pengunggah Inteligensi Ancaman (Pratinjau)

Dukungan oleh:Microsoft Corporation

Microsoft Sentinel menawarkan API sarana data untuk menghadirkan inteligensi ancaman dari Platform Inteligensi Ancaman (TIP) Anda, seperti Threat Connect, Palo Alto Networks MineMeld, MISP, atau aplikasi terintegrasi lainnya. Indikator ancaman dapat mencakup alamat IP, domain, URL, hash file, dan alamat email. Untuk informasi selengkapnya, lihat dokumentasi Microsoft Azure Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
ThreatIntelligenceIndicator Yes No

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Instruksi Penyetelan:

**Anda dapat menyambungkan sumber data inteligensi ancaman Anda ke Microsoft Sentinel dengan: **

Menggunakan Platform Inteligensi Ancaman (TIP) terintegrasi, seperti Threat Connect, Palo Alto Networks MineMeld, MISP, dan lainnya.

Memanggil API sarana data Microsoft Sentinel langsung dari aplikasi lain.

  • Catatan: 'Status' konektor tidak akan muncul sebagai 'Tersambung' di sini, karena data diserap dengan melakukan panggilan API.

**Ikuti Langkah-langkah Ini untuk Menyambungkan ke Inteligensi Ancaman Anda: **

1. Dapatkan Token Akses Microsoft Entra ID

Untuk mengirim permintaan ke API, Anda perlu memperoleh token akses Microsoft Entra ID. Anda dapat mengikuti instruksi di halaman ini: /azure/databricks/dev-tools/api/latest/aad/app-aad-token#get-an-azure-ad-access-token

  • Pemberitahuan: Silakan minta token akses Microsoft Entra ID dengan nilai cakupan: [variabel('managementUri')]

2. Kirim objek STIX ke Sentinel

Anda dapat mengirim jenis objek STIX yang didukung dengan memanggil API Unggah kami. Untuk informasi selengkapnya tentang API, klik di sini.

Metode HTTP: POST

Titik akhir: https://api.ti.sentinel.azure.com/workspaces/[WorkspaceID]/threatintelligence-stix-objects:upload?api-version=2024-02-01-preview

WorkspaceID: ruang kerja tempat objek STIX diunggah.

Nilai Header 1: "Otorisasi" = "Pembawa [Microsoft Entra ID Token Akses dari langkah 1]"

Nilai Header 2: "Content-Type" = "application/json"

Isi: Isinya adalah objek JSON yang berisi array objek STIX.



Kirim Security Data Connector (melalui Codeless Connector Framework)

Didukung oleh:Mentransmisikan Keamanan

Transmit Security data connector menyediakan kemampuan untuk menginput event aktivitas Transmit Security ke dalam Microsoft Sentinel melalui REST API. Lihat dokumentasi API untuk informasi selengkapnya. Konektor ini menyediakan kemampuan untuk mendapatkan event dari platform Transmit Security.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
TransmitSecurityActivity_V2_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Akses Transmit Security API: Kredensial Transmit Security API diperlukan: Client ID, Client Secret, Token Endpoint, dan Pull Endpoint.

Instruksi Penyetelan:

Konfigurasikan akses Transmit Security API

Sebelum menggunakan API, Anda perlu memperoleh kredensial API dari platform Transmit Security.

  1. Masuk ke konsol admin Transmit Security Anda.
  2. Navigasikan ke bagian kredensial API.
  3. Buat klien API baru atau gunakan kredensial yang sudah ada.
  4. Catat hal-hal berikut:
    • ID Pelanggan
    • Rahasia Klien
    • Token Endpoint URL
    • Pull Endpoint URL (endpoint event API)

Kredensial ini akan diperlukan pada langkah berikutnya.

  • Data Connectors Grid (dikonfigurasi di portal)



Keamanan Titik Akhir Trellix (melalui Kerangka Kerja Konektor Tanpa Kode)

Dukungan oleh:Microsoft Corporation

Konektor data Trellix Endpoint Security memungkinkan Anda menyerap peristiwa keamanan dari Trellix ePO (ePolicy Orchestrator) ke dalam Microsoft Sentinel. Konektor ini menggunakan autentikasi kredensial klien OAuth2 dan secara otomatis menangani penomoran halaman untuk mengumpulkan data keamanan titik akhir yang komprehensif termasuk deteksi ancaman, informasi penganalisis, detail sistem sumber dan target, dan tindakan respons ancaman.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
TrellixEvents No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Instruksi Penyetelan:

1. Konfigurasi API

Konfigurasikan koneksi Trellix ePO API Anda.

Berikan kunci API Anda untuk autentikasi. Ini akan dikirim di header x-api-key.

  • Kunci API: (Masukkan kunci API Anda)

Catatan: Kunci API akan disimpan dengan aman dan digunakan untuk autentikasi dengan Trellix ePO API.

2. Konfigurasi Autentikasi

Mengonfigurasi kredensial autentikasi OAuth2.

Catatan: Autentikasi OAuth2 menyediakan akses aman ke titik akhir API Anda.

3. Aktifkan Konektor

Mengaktifkan konektor Trellix Endpoint Security

Aktivasi Konektor

Tinjau konfigurasi Anda dan aktifkan konektor untuk mulai mengumpulkan peristiwa keamanan.

  • Aktifkan/Nonaktifkan Koneksi Pasca-Koneksi

Setelah menyambungkan, pantau status konektor di halaman Konektor data . Data akan mulai muncul dalam waktu 5-10 menit.



Trend Micro Cloud App Security (menggunakan Azure Functions)

Dukungan oleh:Microsoft Corporation

Konektor data Trend Micro Cloud App Security menyediakan kemampuan untuk mengambil log kejadian keamanan dari layanan yang dilindungi Cloud App Security dan lebih banyak peristiwa ke Microsoft Sentinel melalui Log Retrieval API. Lihat dokumentasi API untuk informasi lebih lanjut. Konektor memungkinkan pengambilan peristiwa untuk menilai potensi risiko keamanan, memantau kolaborasi, dan mendiagnosis dan memecahkan masalah konfigurasi.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
TrendMicroCAS_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Microsoft. Izin web/situs: Izin baca dan tulis ke Azure Functions untuk membuat Aplikasi Fungsi diperlukan. Untuk informasi selengkapnya, lihat Azure Functions.
  • Kredensial/izin REST API: TrendMicroCASToken dan TrendMicroCASServiceURL diperlukan untuk melakukan panggilan API. Lihat dokumentasi untuk mempelajari selengkapnya tentang API.

Instruksi Penyetelan:

CATATAN: Konektor ini menggunakan Azure Functions untuk terhubung ke API Azure Blob Storage untuk menarik log ke Microsoft Sentinel. Ini dapat mengakibatkan biaya tambahan untuk penyerapan data dan untuk menyimpan data dalam biaya Azure Blob Storage. Periksa halaman harga Azure Functions dan halaman harga Azure Blob Storage untuk detailnya.

(Langkah Opsional) Simpan ruang kerja dan kunci otorisasi API atau token dengan aman di Azure Key Vault. Azure Key Vault menyediakan mekanisme aman untuk menyimpan dan mengambil nilai kunci. Ikuti instruksi ini untuk menggunakan Azure Key Vault dengan Aplikasi Fungsi Azure.

CATATAN: Konektor data ini bergantung pada parser berbasis Fungsi Kusto agar bekerja sesuai TrendMicroCAS yang diharapkan dan diterapkan bersama Solusi Microsoft Sentinel.

LANGKAH 1 - Langkah konfigurasi untuk Trend Micro Log Retrieval API

Ikuti instruksi untuk mendapatkan kredensial.

  1. Dapatkan TrendMicroCASToken menggunakan dokumentasi.
  2. Simpan kredensial untuk digunakan di konektor data.

LANGKAH 2 - Pilih ONE dari dua opsi penyebaran berikut untuk menyebarkan konektor dan Fungsi Azure terkait

PENTING: Sebelum menerapkan konektor data Trend Micro Cloud App Security, miliki ID Workspace dan Kunci Utama Workspace (dapat disalin dari berikut ini).

  • ID ruang kerja: <nilai variabel yang disediakan pada waktu penginstalan>
  • Kunci Primer: <nilai variabel yang disediakan pada waktu penginstalan>

Opsi 1 - Templat Azure Resource Manager (ARM)

Gunakan metode ini untuk penerapan otomatis konektor data Trend Micro Cloud App Security menggunakan ARM Tempate.

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.ms

  2. Pilih Langganan, Grup Sumber Daya, dan Lokasi pilihan.

CATATAN: Dalam grup sumber daya yang sama, Anda tidak dapat mencampur aplikasi Windows dan Linux di wilayah yang sama. Pilih grup sumber daya yang ada tanpa Windows aplikasi di dalamnya atau buat grup sumber daya baru. 3. Masukkan TrendMicroCASToken, TrendMicroCASServiceURL dan terapkan. 4. Tandai kotak centang berlabel Saya menyetujui syarat dan ketentuan yang dinyatakan di atas. 5. Klik Beli untuk menyebarkan.

Opsi 2 - Penyebaran manual Azure Functions

Gunakan instruksi langkah demi langkah berikut untuk menerapkan konektor data Trend Micro Cloud App Security secara manual dengan Azure Functions (Deployment via Visual Studio Code).

  1. Menyebarkan Aplikasi Fungsi

CATATAN: Anda harus menyiapkan kode VS untuk pengembangan fungsi Azure.

  1. Unduh file Aplikasi Fungsi Azure. Ekstrak arsip ke komputer pengembangan lokal Anda.

  2. Jalankan VS Code. Pilih File di menu utama dan pilih Buka Folder.

  3. Pilih folder tingkat atas dari file yang diekstrak.

  4. Pilih ikon Azure di bilah Aktivitas, lalu di area Azure: Fungsi, pilih tombol Sebarkan ke aplikasi fungsi. Jika Anda belum masuk, pilih ikon Azure di bilah Aktivitas, lalu di area Azure: Functions, pilih Masuk ke Azure Jika Anda sudah masuk, buka langkah berikutnya.

  5. Berikan informasi berikut pada permintaan:

    a. Pilih folder: Pilih folder dari ruang kerja Anda atau telusuri folder yang berisi aplikasi fungsi Anda.

    b. Pilih Langganan: Pilih langganan yang akan digunakan.

    c. Pilih Buat Aplikasi Fungsi baru di Azure (Jangan pilih opsi Tingkat Lanjut)

    d. Masukkan nama unik global untuk aplikasi fungsi: Ketik nama yang valid di jalur URL. Nama yang Anda ketik akan divalidasi untuk memastikan bahwa nama tersebut bersifat unik di Azure Functions. (misalnya TMCASXXXXX).

    e. Pilih runtime: Pilih Python 3.11.

    f. Pilih lokasi untuk sumber daya baru. Untuk performa yang lebih baik dan biaya yang lebih rendah, pilih wilayah yang sama tempat Microsoft Sentinel berada.

  6. Penyebaran akan dimulai. Notifikasi ditampilkan setelah aplikasi fungsi Anda dibuat dan paket penyebaran diterapkan.

  7. Buka portal Azure untuk konfigurasi Aplikasi Fungsi.

  8. Mengonfigurasi Aplikasi Fungsi

  9. Di Aplikasi Fungsi, pilih Nama Aplikasi Fungsi dan pilih Konfigurasi.

  10. Di tab Pengaturan aplikasi, pilih Pengaturan aplikasi baru.

  11. Tambahkan setiap pengaturan aplikasi berikut secara individual, beserta nilai string masing-masing (sensitif huruf kecil): TrendMicroCASToken TrendMicroCASServiceURL WorkspaceID WorkspaceKey logAnalyticsUri (opsional)

  • Gunakan logAnalyticsUri untuk mengambil alih titik akhir API analitik log untuk cloud khusus. Misalnya, untuk cloud publik, biarkan nilai kosong; untuk Azure lingkungan cloud GovUS, tentukan nilai dalam format berikut: https://<CustomerId>.ods.opinsights.azure.us.
  1. Setelah semua pengaturan aplikasi dimasukkan, klik Simpan.



Keamanan Aplikasi Trend Micro Cloud (melalui Codeless Connector Framework)

Dukungan oleh:Microsoft Corporation

Konektor data Trend Micro Cloud App Security menyediakan kemampuan untuk mengambil log kejadian keamanan dari layanan yang dilindungi Cloud App Security ke dalam Microsoft Sentinel melalui SIEM API. Konektor ini memberikan kemampuan untuk mendapatkan event yang membantu memeriksa potensi risiko keamanan, menganalisis penggunaan kolaborasi tim Anda, mendiagnosis masalah konfigurasi, dan lainnya. Aplikasi ini mendukung transformasi waktu ingestion berbasis DCR yang memproses data event keamanan yang diterima ke dalam kolom khusus sehingga query tidak perlu mengurainya lagi, sehingga menghasilkan performa yang lebih baik.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
TrendMicroCASV2_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Token API Trend Micro CAS: Token Trend Micro Cloud App Security API diperlukan. Untuk informasi lebih lanjut, lihat Trend Micro CAS API.

Instruksi Penyetelan:

1. Konfigurasikan Aliran Data Tren Micro CAS

Tambahkan satu atau lebih aliran data dengan memilih kombinasi layanan cloud dan tipe event yang ingin Anda pantau.

  • Data Connectors Grid (dikonfigurasi di portal)



Trend Vision One (menggunakan Azure Functions)

Didukung oleh:Trend Micro

Konektor Trend Vision One memungkinkan Anda untuk dengan mudah menghubungkan data pemberitahuan Workbench Anda dengan Microsoft Sentinel untuk melihat dasbor, membuat pemberitahuan kustom, dan untuk meningkatkan kemampuan pemantauan dan investigasi. Ini memberi Anda lebih banyak wawasan tentang jaringan/sistem organisasi Anda dan meningkatkan kemampuan operasi keamanan Anda.

Konektor Trend Vision One didukung di Microsoft Sentinel di wilayah berikut: Australia Timur, Australia Tenggara, Brasil Selatan, Kanada Tengah, Kanada Timur, India Tengah, AS Tengah, Asia Timur, AS Timur, AS Timur 2, Prancis Tengah, Jepang Timur, Korea Tengah, US Tengah Utara, Eropa Utara, Norwegia Timur, Afrika Selatan Utara, US Tengah Selatan, Asia Tenggara, Swedia Tengah, Swiss Utara, UEA Utara, Inggris Selatan, Inggris Barat, Eropa Barat, AS Barat, US Barat 2, US Barat 3.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
TrendMicro_XDR_WORKBENCH_CL Yes Yes
TrendMicro_XDR_RCA_Task_CL No No
TrendMicro_XDR_RCA_Result_CL No No
TrendMicro_XDR_OAT_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Microsoft. Izin web/situs: Izin baca dan tulis ke Azure Functions untuk membuat Aplikasi Fungsi diperlukan. Untuk informasi selengkapnya, lihat Azure Functions.
  • Token API Trend Vision One: Token API Trend Vision One diperlukan. Lihat dokumentasi untuk mempelajari selengkapnya tentang Trend Vision One API.

Instruksi Penyetelan:

CATATAN: Konektor ini menggunakan Azure Functions untuk terhubung ke TREND Vision One API untuk menarik lognya ke Microsoft Sentinel. Ini dapat mengakibatkan biaya penyerapan data tambahan. Periksa halaman harga Azure Functions untuk detailnya.

(Langkah Opsional) Simpan ruang kerja dan kunci otorisasi API atau token dengan aman di Azure Key Vault. Azure Key Vault menyediakan mekanisme aman untuk menyimpan dan mengambil nilai kunci. Ikuti instruksi ini untuk menggunakan Azure Key Vault dengan Aplikasi Fungsi Azure.

LANGKAH 1 - Langkah konfigurasi untuk TREND Vision One API

Ikuti instruksi ini untuk membuat akun dan token autentikasi API.

LANGKAH 2 - Gunakan opsi penyebaran di bawah ini untuk menyebarkan konektor dan Fungsi Azure terkait

PENTING: Sebelum menyebarkan konektor Trend Vision One, miliki ID Ruang Kerja dan Kunci Primer Ruang Kerja (dapat disalin dari yang berikut), serta Token Otorisasi TREND Vision One API, tersedia dengan mudah.

  • ID ruang kerja: <nilai variabel yang disediakan pada waktu penginstalan>
  • Kunci Primer: <nilai variabel yang disediakan pada waktu penginstalan>

Penyebaran Templat Azure Resource Manager (ARM)

Metode ini menyediakan penyebaran otomatis konektor Trend Vision One menggunakan ARM Tempate.

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.ms

  2. Pilih Langganan, Grup Sumber Daya, dan Lokasi pilihan.

  3. Masukkan Nama Fungsi, ID Ruang Kerja, Kunci Ruang Kerja, Token API, dan Kode Wilayah yang unik.

  • Catatan: Berikan kode wilayah yang sesuai berdasarkan tempat instans Trend Vision One Anda disebarkan: kami, Uni Eropa, au, di, sg, jp
  • Catatan: Jika menggunakan rahasia Azure Key Vault untuk salah satu nilai di atas, gunakan@Microsoft.KeyVault(SecretUri={Security Identifier})skema sebagai pengganti nilai string. Lihat dokumentasi referensi Key Vault untuk detail lebih lanjut.
  1. Tandai kotak centang berlabel Saya menyetujui syarat dan ketentuan yang dinyatakan di atas.
  2. Klik Beli untuk menyebarkan.



TrendAI Vision One™ - Deteksi OAT (melalui Kerangka Konektor Tanpa Kode)

Didukung oleh:TrendAI

Konektor data TrendAI Vision One™ OAT mengintegrasikan deteksi Teknik Serangan Terobservasi (OAT) dari TrendAI Vision One™ ke dalam Microsoft Sentinel. Deteksi meliputi pohon proses lengkap, hash file, indikator jaringan, dan pemetaan MITRE ATT&CK.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
TrendAI_XDR_OAT_V2_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Instruksi Penyetelan:

⚠️ PENTING: Rotasi Token & Kehilangan Data

Ketika token API Anda kedaluwarsa atau perlu rotasi, Anda harus memutuskan dan menghubungkan kembali konektor ini dengan token baru. Peristiwa yang dihasilkan selama periode terputus TIDAK akan otomatis dikumpulkan.

Untuk meminimalkan kehilangan data:

  1. Buat token API baru sebelum token saat ini kedaluwarsa

  2. Minimalkan jendela putus/reconnect (detik, bukan jam)

  3. Setelah koneksi ulang, jika diperlukan, lakukan query manual ke API TrendAI Vision One untuk event selama periode jeda menggunakan API OAT Detections

  4. Ambil Token API TrendAI Vision One™ Anda

  5. Masuk ke Konsol TrendAI Vision One™

  6. Navigasikan ke Kunci API → Administrasi

  7. Klik Add API Key, pilih peran SIEM , dan salin token

  • Token API: (Tempel token API TrendAI Vision One™ Anda di sini)
  • TMV1-Filter (Opsional): ((riskLevel eq 'tinggi') dan (endpointName eq 'my-computer'))
  • Aktifkan/Nonaktifkan Koneksi



TrendAI Vision One™ - Peringatan Workbench (melalui Codeless Connector Framework)

Didukung oleh:TrendAI

Konektor data TrendAI Vision One™ Workbench menginput peringatan keamanan dari TrendAI Vision One™ ke Microsoft Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
TrendAI_XDR_WORKBENCH_V2_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Instruksi Penyetelan:

⚠️ PENTING: Rotasi Token & Kehilangan Data

Ketika token API Anda kedaluwarsa atau perlu rotasi, Anda harus memutuskan dan menghubungkan kembali konektor ini dengan token baru. Peristiwa yang dihasilkan selama periode terputus TIDAK akan otomatis dikumpulkan.

Untuk meminimalkan kehilangan data:

  1. Buat token API baru sebelum token saat ini kedaluwarsa

  2. Minimalkan jendela putus/reconnect (detik, bukan jam)

  3. Setelah koneksi ulang, jika diperlukan, kueri secara manual API TrendAI Vision One untuk kejadian selama periode jeda menggunakan API Workbench Alerts

  4. Ambil Token API TrendAI Vision One™ Anda

  5. Masuk ke Konsol TrendAI Vision One™

  6. Navigasikan ke Kunci API → Administrasi

  7. Klik Add API Key, pilih peran SIEM , dan salin token

  • Token API: (Tempel token API TrendAI Vision One™ Anda di sini)
  • TMV1-Filter (Opsional): (investigationStatus eq 'Baru' dan berisi (impactScopeEntityValue,'nimda'))
  • Aktifkan/Nonaktifkan Koneksi



Keamanan Tropico - Pemberitahuan

Didukung oleh:TROPICO Security

Menyerap pemberitahuan keamanan dari Platform Keamanan Tropico dalam format Temuan Keamanan OCSF.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
{{graphQueriesTableName}} No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Instruksi Penyetelan:

Menyambungkan Platform Keamanan Tropico

Masukkan kunci API baca-saja Anda dari Pengaturan Tropico.

  • Kunci API: (trop_xxxx...)
  • Aktifkan/Nonaktifkan Koneksi



Keamanan Tropico - Peristiwa

Didukung oleh:TROPICO Security

Menyerap peristiwa keamanan dari Platform Keamanan Tropico dalam format Temuan Keamanan OCSF.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
{{graphQueriesTableName}} No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Instruksi Penyetelan:

Menyambungkan Platform Keamanan Tropico

Masukkan kunci API baca-saja Anda dari Pengaturan Tropico.

  • Kunci API: (trop_xxxx...)
  • Aktifkan/Nonaktifkan Koneksi



Keamanan Tropico - Insiden

Didukung oleh:TROPICO Security

Menyerap insiden sesi penyerang dari Platform Keamanan Tropico.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
{{graphQueriesTableName}} No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Instruksi Penyetelan:

Menyambungkan Platform Keamanan Tropico

Masukkan kunci API baca-saja Anda dari Pengaturan Tropico.

  • Kunci API: (trop_xxxx...)
  • Aktifkan/Nonaktifkan Koneksi



Peristiwa Keamanan Uniqkey

Didukung oleh:Uniqkey

Konektor Uniqkey menginput peristiwa keamanan dan audit dari platform manajemen kata sandi bisnis Uniqkey ke Microsoft Sentinel. Event mencakup autentikasi, akses kredensial, manajemen kredensial, berbagi, manajemen kebijakan, deteksi ancaman, dan aktivitas administratif lainnya di seluruh organisasi Anda.

Prasyarat:

  1. Organisasi Uniqkey yang aktif
  2. Token API integrasi Uniqkey SIEM yang dihasilkan oleh administrator Uniqkey Anda

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
UniqkeyEvents_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Token API Uniqkey SIEM: Token API integrasi Uniqkey SIEM diperlukan. Administrator Uniqkey Anda dapat membuat satu di portal admin Uniqkey di bawah Pengaturan > Integrasi > SIEM.

Instruksi Penyetelan:

1. Dapatkan token Uniqkey SIEM API Anda

  1. Masuk ke portal admin Uniqkey sebagai administrator
  2. Pergi ke Pengaturan > Integrasi > SIEM
  3. Buat token API baru
  4. Salin token dan simpan dengan aman - token ini mengotorisasi akses baca ke event feed organisasi Anda. Setiap organisasi Uniqkey menggunakan tokennya sendiri.

2. Sambungkan

Masukkan token API SIEM Uniqkey Anda di bawah ini, lalu pilih Connect. Microsoft Sentinel akan mulai melakukan polling pada endpoint event Uniqkey atas nama Anda.

  • Token API SIEM Uniqkey: (Masukkan token API Anda)
  • Aktifkan/Nonaktifkan Koneksi



Upwind Catalog Loader (API Ingestion)

Didukung oleh:Upwind

Konektor data Upwind Catalog Loader menginput aset platform komputasi dari platform keamanan cloud Upwind ke dalam tabel kustom Microsoft Sentinel menggunakan Fungsi Azure dan API Ingestion Azure Monitor (DCE/DCR).

Upwind menyediakan keamanan cloud yang didukung runtime, menghubungkan postur cloud dengan konteks beban kerja langsung. Konektor ini menampilkan katalog inventaris Upwind Anda — aset platform komputasi di AWS, GCP, dan Azure — langsung ke Microsoft Sentinel untuk korelasi, pemburuan, dan pengayaan insiden.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
UpwindCatalogAssets_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Microsoft. Izin web/situs: Izin baca dan tulis ke Azure Functions untuk membuat Aplikasi Fungsi diperlukan. Untuk informasi selengkapnya, lihat Azure Functions.
  • Kredensial API Upwind: ID klien API Upwind dan rahasia klien diperlukan. Dapatkan ini dari platform Upwind Anda di bawah Pengaturan → Kunci API. Kredensial klien digunakan untuk mengautentikasi https://auth.upwind.io/oauth/token untuk mendapatkan token pembawa.
  • ID Organisasi Upwind: ID Organisasi Upwind Anda diperlukan. Temukan di platform Upwind di bawah Pengaturan → Organisasi.

Instruksi Penyetelan:

CATATAN: Konektor ini menggunakan Azure Functions dan Azure Monitor Ingestion API (DCE/DCR) untuk mendorong aset katalog Upwind ke Microsoft Sentinel. Templat ARM secara otomatis membuat Titik Akhir Pengumpulan Data, tabel log kustom (UpwindCatalogAssets_CL), Aturan Pengumpulan Data, dan penetapan peran. Ini dapat mengakibatkan biaya penyerapan data tambahan. Periksa halaman harga Azure Functions dan halaman harga Azure Monitor untuk detailnya.

(Opsional) Simpan rahasia klien Upwind Anda dengan aman di Azure Key Vault. Atur KEY_VAULT_URI pengaturan dan UPWIND_SECRET_NAME aplikasi untuk mengaktifkan pengambilan Key Vault. Fungsi akan kembali ke UPWIND_CLIENT_SECRET pengaturan aplikasi jika Key Vault tidak dikonfigurasi.

LANGKAH 1 – Dapatkan kredensial API Upwind

  1. Masuk ke platform Upwind.
  2. Navigasi ke Pengaturan → Kunci API.
  3. Buat kunci API baru dan perhatikan ID Klien dan Rahasia Klien.
  4. Navigasi ke Pengaturan → Organisasi dan catat ID Organisasi Anda.

LANGKAH 2 – Menyebarkan Aplikasi Fungsi Azure

Klik Sebarkan untuk Azure dan isi parameter. Templat secara otomatis membuat DCE, tabel, UpwindCatalogAssets_CL DCR, penetapan peran, dan Aplikasi Fungsi.

portal.azure.com

Parameter yang akan diisi:

Parameter Deskripsi
WorkspaceName Nama ruang kerja Log Analytics/Microsoft Sentinel Anda
WorkspaceResourceGroup (opsional) Grup sumber daya yang berisi workspace tersebut, jika berbeda dari yang Anda deploy
UpwindOrgId Id Organisasi Upwind dari Langkah 1
UpwindClientId Upwind API Client ID dari Langkah 1
UpwindClientSecret Upwind API Client Secret dari Langkah 1
AppInsightsWorkspaceResourceID ID Sumber Daya Lengkap ruang kerja Log Analytics (dari Log Analytics ruang kerja → Properti)
UpwindThreatLookbackMinutes (opsional, default 90) Jendela tinjauan kembali dalam hitungan menit untuk deteksi ancaman, peristiwa ancaman, cerita ancaman, dan temuan konfigurasi
  • ID ruang kerja: <nilai variabel yang disediakan pada waktu penginstalan>



Utimaco Enterprise Secure Key Manager (ESKM)

Didukung oleh:Utimaco

Konektor Utimaco ESKM menginput log server KMIP dari Utimaco Enterprise Secure Key Manager (ESKM) ke Microsoft Sentinel.

Mendukung autentikasi dasar (nama pengguna/kata sandi).

Untuk informasi lebih lanjut, kunjungi Dokumentasi Utimaco ESKM.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
UtimacoESKMKmipServerLogs_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Kredensial Akun Utimaco ESKM: Kredensial akun Utimaco ESKM (nama pengguna dan kata sandi) diperlukan untuk mengautentikasi ke ESKM management API. Lihat Dokumentasi Utimaco ESKM.

Instruksi Penyetelan:

Langkah 1 - Prasyarat

Pastikan Anda memiliki akun manajemen Utimaco ESKM dengan izin untuk mengakses API manajemen. Catat URL dasar perangkat ESKM Anda (biasanya https://<eskm-host>:8443).

Langkah 2 - Hubungkan ke Utimaco ESKM

Berikan URL dasar API manajemen Utimaco ESKM dan kredensial akun Anda di bawah ini, lalu klik Hubungkan.

  • URL Dasar API: (https://< eskm-host>:8443)
  • Nama pengguna: (Masukkan nama pengguna)
  • Kata Sandi: (Masukkan kata sandi)
  • Aktifkan/Nonaktifkan Koneksi



Sinyal Perilaku Agen Vaikora AI

Didukung oleh:Data443 Risk Mitigation, Inc.

Menyerap sinyal perilaku agen AI dari API Vaikora ke dalam Microsoft Sentinel menggunakan Codeless Connector Framework (CCF). Pantau tindakan agen, keputusan kebijakan, skor anomali, dan tingkat risiko untuk mendeteksi aktivitas AI yang mencurigakan di lingkungan Anda.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
Vaikora_AgentSignals_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Kunci API Vaikora: Kunci API Vaikora (vk_xxxxx) dengan akses baca ke titik akhir tindakan. Dapatkan ini dari dasbor Vaikora Anda di bawah Pengaturan > Kunci API.

Instruksi Penyetelan:

Sambungkan Sinyal Perilaku Agen AI Vaikora

Untuk mengaktifkan konektor Vaikora, masukkan kunci API Vaikora Anda di bawah ini dan klik Sambungkan. ID Agen bersifat opsional; gunakan untuk mencakup penyerapan ke satu agen, atau biarkan kosong untuk menyerap tindakan dari semua agen yang dapat dilihat kunci.

Kunci API Anda tersedia di dasbor Vaikora di bawah Pengaturan > Kunci API. ID Agen adalah UUID yang ditampilkan di halaman detail setiap agen.

  • Kunci API Vaikora: (vk_xxxxxxxxxxxxxxxxxxxxxxxx)
  • ID Agen Vaikora (opsional): (Biarkan kosong untuk memantau semua agen)
  • Aktifkan/Nonaktifkan Koneksi



Valimail Memberlakukan Peristiwa Konfigurasi

Didukung oleh:Valimail

Konektor data Peristiwa Konfigurasi Valimail memungkinkan penyerapan peristiwa konfigurasi domain email dari API Pelaporan Valimail ke Microsoft Sentinel. Konektor data dibangun di Microsoft Sentinel Codeless Connector Framework.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
ValimailEnforceEvents_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Instruksi Penyetelan:

Langkah-langkah konfigurasi untuk API Peristiwa Valimail Ikuti instruksi dalam panduan untuk menghasilkan sekumpulan kredensial API Pelaporan. Simpan ID Klien yang dibuat dan kunci ID Aplikasi.

  • Slug Akun Klien: (Simpul Akun)
  • ID Klien API: (Kredensial Id Klien)
  • ID Aplikasi API: (Kredensial Id Aplikasi)
  • Aktifkan/Nonaktifkan Koneksi



Konektor Dorong Varonis Purview

Didukung oleh:Varonis

Konektor Varonis Purview menyediakan kemampuan untuk menyinkronkan sumber daya dari Varonis ke Microsoft Purview.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
VaronisResources_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Microsoft Entra: Izin untuk membuat pendaftaran aplikasi di Microsoft Entra ID. Biasanya memerlukan peran Pengembang Aplikasi Entra ID atau yang lebih tinggi.
  • Microsoft Azure: Izin untuk menetapkan peran Publisher Metrik Pemantauan pada aturan pengumpulan data (DCR). Biasanya memerlukan peran Pemilik RBAC Azure atau Administrator Akses Pengguna

Instruksi Penyetelan:

1. Jalankan ini untuk menyiapkan penyerapan untuk Varonis Resoources

Ini akan membuat tabel Log Analytics yang diperlukan, Aturan Pengumpulan Data (DCR), dan aplikasi Entra untuk mengirim data dengan aman ke DCR.

Konfigurasi Otomatis dan Penyerapan Data Aman dengan Aplikasi Entra Mengklik "Sebarkan" akan memicu pembuatan tabel Log Analytics dan Aturan Pengumpulan Data (DCR). Kemudian akan membuat aplikasi Entra, menautkan DCR ke aplikasi tersebut, dan mengatur rahasia yang dimasukkan dalam aplikasi. Penyiapan ini memungkinkan data dikirim dengan aman ke DCR menggunakan token Entra.

2. Dorong log Anda ke ruang kerja

Gunakan parameter berikut untuk mengonfigurasi Varonis Purview Connector di dasbor integrasi Varonis Anda.

  • ID Penyewa (ID Direktori): <nilai variabel yang disediakan pada waktu penginstalan>
  • ID Aplikasi Pendaftaran Aplikasi Entra: <nilai variabel yang disediakan pada waktu penginstalan>
  • Rahasia Pendaftaran Aplikasi Entra: <nilai variabel yang disediakan pada waktu penginstalan>
  • Uri Titik Akhir Pengumpulan Data: <nilai variabel yang disediakan pada waktu penginstalan>
  • ID Tidak Dapat Diubah Aturan Pengumpulan Data: <nilai variabel yang disediakan pada waktu penginstalan>
  • Nama Aliran Sumber Daya: <nilai variabel yang disediakan pada waktu penginstalan>



Varonis SaaS (Dorong)

Didukung oleh:Varonis

Konektor SaaS Varonis menyediakan kemampuan untuk mengirim peringatan keamanan DatAlert secara real-time dari aplikasi Varonis Anda langsung ke Microsoft Sentinel menggunakan pola Push Codeless Connector Framework (CCF). Varonis memprioritaskan visibilitas data mendalam, kemampuan klasifikasi, dan remediasi otomatis untuk akses data. Konektor ini menginput tingkat keparahan peringatan, jenis kejadian, informasi pengguna, dan detail terkait ke dalam tabel Log Analytics khusus untuk analisis, peringatan, dan visualisasi.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
VaronisAlertsV2_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Microsoft Entra: Izin untuk membuat pendaftaran aplikasi di Microsoft Entra ID. Biasanya memerlukan peran Pengembang Aplikasi Entra ID atau yang lebih tinggi.
  • Microsoft Azure: Izin untuk menetapkan peran Publisher Metrik Pemantauan pada aturan pengumpulan data (DCR). Biasanya memerlukan peran Pemilik RBAC Azure atau Administrator Akses Pengguna.

Instruksi Penyetelan:

1. Buat Sumber Daya ARM dan Berikan Izin yang Diperlukan

Konektor ini memungkinkan aplikasi SaaS Varonis Anda untuk mengirim peringatan keamanan DatAlert langsung ke Microsoft Sentinel melalui Azure Monitor Ingestion API.

Konfigurasi Otomatis dan Pengambilan Data Aman dengan Entra Application Klik "Deploy" akan memicu pembuatan tabel Log Analytics dan Aturan Pengumpulan Data (DCR). Kemudian akan membuat aplikasi Entra, menautkan DCR ke aplikasi tersebut, dan mengatur rahasia yang dimasukkan dalam aplikasi. Penyiapan ini memungkinkan data dikirim dengan aman ke DCR menggunakan token Entra.

2. Konfigurasikan Aplikasi Varonis Anda

Gunakan parameter berikut untuk mengonfigurasi aplikasi SaaS Varonis Anda agar dapat mendorong peringatan DatAlert ke ruang kerja.

  • ID Penyewa (ID Direktori): <nilai variabel yang disediakan pada waktu penginstalan>
  • ID Aplikasi Pendaftaran Aplikasi Entra: <nilai variabel yang disediakan pada waktu penginstalan>
  • Rahasia Pendaftaran Aplikasi Entra: <nilai variabel yang disediakan pada waktu penginstalan>
  • Uri Titik Akhir Pengumpulan Data: <nilai variabel yang disediakan pada waktu penginstalan>
  • ID Tidak Dapat Diubah Aturan Pengumpulan Data: <nilai variabel yang disediakan pada waktu penginstalan>
  • Nama Aliran: <nilai variabel yang diberikan saat instalasi Konfigurasikan> Aplikasi SaaS Varonis Perbarui konfigurasi aplikasi SaaS Varonis Anda dengan kredensial di atas untuk mengaktifkan push peringatan DatAlert ke Microsoft Sentinel.



Vectra RUX Security Data Connector (melalui Codeless Connector Framework)

Didukung oleh:Vectra Support

Konektor data Vectra RUX memungkinkan Anda menginput data keamanan dari platform Vectra AI ke Microsoft Sentinel melalui REST API menggunakan Codeless Connector Framework (CCF). Konektor ini mendukung 3 aliran data menggunakan kredensial klien OAuth2:
- Deteksi: Deteksi keamanan, difilter berdasarkan status triase.
- Lockdown: Status isolasi dan penahanan entitas. Direkam secara langsung setiap 5 menit.
- Entitas: Entitas host dan akun dengan data penilaian, penugasan, dan pengayaan, yang dimasukkan secara bertahap berdasarkan waktu modifikasi terakhir.

Konektor ini dibangun di atas Microsoft Sentinel Codeless Connector Framework dan mendukung transformasi waktu ingestion berbasis DCR untuk kinerja query yang optimal.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
Detections_Data_CCF_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Akses API Vectra RUX: Akses ke API Vectra RUX dengan izin yang sesuai untuk setiap aliran data diperlukan.

Instruksi Penyetelan:

1. Konfigurasikan Koneksi Vectra RUX

Hubungkan ke Vectra RUX dan pilih aliran data

Konfigurasi Konektor Data Vectra RUX

Konfigurasikan koneksi Vectra RUX Anda dan pilih aliran data yang ingin Anda kumpulkan. Setiap aliran menyediakan berbagai jenis data keamanan dari platform Vectra AI Anda.

  • Data Connectors Grid (dikonfigurasi di portal)

Catatan: Catatan: Setelah menambahkan koneksi, aliran Detections melakukan polling setiap 5 menit menggunakan kursor checkpoint persisten (PersistentToken) — berbasis posisi, bukan berbasis waktu. Kursor bertahan setelah restart pod dan halangan paginasi panjang; tidak ada event yang akan dilewati secara diam-diam karena pergeseran clock atau halaman yang lambat. Seeding polling pertama: Berikan detectionsStartingCheckpoint nilai saat membuat koneksi untuk memulai pengambilan di posisi event Anda saat ini, bukan dari awal sejarah.

Catatan: Pemecahan Masalah Batas Laju (Kesalahan HTTP 429) saat menambahkan koneksi:

  • Penyebab Akar: Vectra RUX membatasi permintaan API untuk mencegah penyalahgunaan
  • Solusi: Buat klien API terpisah di Vectra untuk setiap koneksi aliran data
  • Verifikasi: Periksa bahwa setiap instance konektor menggunakan kredensial yang berbeda clientId
  • Strategi Penerapan Distribusi: Atur pembuatan koneksi secara bertahap setidaknya satu menit saat menambahkan beberapa aliran secara bersamaan untuk mencegah tabrakan permintaan OAuth2

2. Pantau dan Validasi Pengumpulan Data

Pantau pengambilan data dan validasi konektivitas

Langkah-langkah Pasca-Konfigurasi

  1. Pantau Status Koneksi: Periksa status konektor di halaman Data connectors.

  2. Validasi Data Flow: Gunakan contoh kueri yang disediakan untuk memverifikasi data sedang dikumpulkan.

  3. Review Connector Health (Opsional): Tabel SentinelHealth menyediakan status per siklus polling untuk setiap aliran data, termasuk alasan kegagalan untuk autentikasi, jaringan, dan kesalahan peneliman. Ini tidak diaktifkan secara default. Untuk mengaktifkan: Buka tab Pengaturan → Microsoft Sentinel → Pengaturan → Kesehatan dan Audit lalu aktifkan pemantauan kesehatan untuk konektor data. Lihat Aktifkan pemantauan kesehatan untuk Microsoft Sentinel untuk petunjuk lengkap. Setelah diaktifkan, jalankan kueri berikut untuk memeriksa status polling konektor:

    SentinelHealth | where TimeGenerated > ago(24h) | where SentinelResourceType == "Data connector" | project TimeGenerated, SentinelResourceName, Status, Description, Reason | order by TimeGenerated desc

Stream-Specific Catatan

  • Deteksi: Menyaring deteksi yang ditriase secara default (include_triaged=false).

    Catatan: Mode Checkpoint PersistentToken (Deteksi)

Poller Detections menggunakan PersistentToken — nilai yang next_checkpoint dikembalikan oleh API Vectra disimpan oleh CCF dan diteruskan kembali pada from=<checkpoint> siklus polling berikutnya. Ini berbasis posisi (berbasis monotonik id), bukan berbasis waktu, sehingga paginasi lambat atau restart pod tidak dapat menyebabkan celah data tanpa kata.

Perilaku cold-start: Pada polling pertama setelah deployment, CCF dikirim from=<detectionsStartingCheckpoint> sebagai kursor awal. Proses penghapusan dimulai dari posisi kursor ini, memastikan tidak ada backlog historis yang tercerai. Setelah polling pertama selesai, PersistentToken akan mempertahankan nilai yang dikembalikan next_checkpoint dan semua polling berikutnya secara otomatis menggunakan nilai yang tersimpan.



Vectra XDR (menggunakan Azure Functions)

Didukung oleh:Vectra Support

Konektor Vectra XDR memberikan kemampuan untuk menyerap data Deteksi, Audit, Penilaian Entitas, Penguncian, Kesehatan, dan Entitas ke dalam Microsoft Sentinel melalui Vectra REST API. Lihat dokumentasi API: https://support.vectra.ai/s/article/KB-VS-1666 untuk informasi selengkapnya.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
Detections_Data_CL Yes Yes
Audits_Data_CL Yes Yes
Entity_Scoring_Data_CL Yes Yes
Lockdown_Data_CL Yes Yes
Health_Data_CL Yes Yes
Entities_Data_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Microsoft. Izin web/situs: Izin baca dan tulis ke Azure Functions untuk membuat Aplikasi Fungsi diperlukan. Untuk informasi selengkapnya, lihat Azure Functions.
  • Kredensial/izin REST API: ID Klien Vectra dan Rahasia Klien diperlukan untuk Kesehatan, Penilaian Entitas, Entitas, Deteksi, Penguncian, dan Pengumpulan data Audit. Lihat dokumentasi untuk mempelajari selengkapnya tentang API di https://support.vectra.ai/s/article/KB-VS-1666.

Instruksi Penyetelan:

CATATAN: Konektor ini menggunakan Azure Functions untuk terhubung ke Vectra API untuk menarik lognya ke Microsoft Sentinel. Ini dapat mengakibatkan biaya penyerapan data tambahan. Periksa halaman harga Azure Functions untuk detailnya.

(Langkah Opsional) Simpan ruang kerja dan kunci otorisasi API atau token dengan aman di Azure Key Vault. Azure Key Vault menyediakan mekanisme aman untuk menyimpan dan mengambil nilai kunci. Ikuti instruksi ini untuk menggunakan Azure Key Vault dengan Aplikasi Fungsi Azure.

CATATAN: Konektor data ini bergantung pada pengurai berdasarkan Fungsi Kusto agar berfungsi seperti yang diharapkan. Ikuti langkah-langkah ini untuk Pengurai Deteksi, Parser Audit, Parser Penilaian Entitas, Pengurai Pengurai Penguncian dan Pengurai Kesehatan untuk membuat alias fungsi Kusto, VectraDetections, VectraAudits, VectraEntityScoring, VectraLockdown, dan VectraHealth.

LANGKAH 1 - Langkah-langkah konfigurasi untuk Kredensial API Vectra

Ikuti instruksi ini untuk membuat ID Klien Vectra dan Rahasia Klien.

  1. Masuk ke portal Vectra Anda
  2. Navigasi ke Kelola -> Klien API
  3. Dari halaman Klien API, pilih 'Tambahkan Klien API' untuk membuat klien baru.
  4. Tambahkan Nama Klien, pilih Peran dan klik Hasilkan Kredensial untuk mendapatkan kredensial klien Anda.
  5. Pastikan untuk merekam ID Klien dan Kunci Rahasia Anda untuk diamankan. Anda akan memerlukan dua informasi ini untuk mendapatkan token akses dari Vectra API. Token akses diperlukan untuk membuat permintaan ke semua titik akhir VECTRA API.

LANGKAH 2 - Langkah-langkah Pendaftaran Aplikasi untuk Aplikasi di Microsoft Entra ID

Integrasi ini memerlukan pendaftaran Aplikasi di portal Azure. Ikuti langkah-langkah di bagian ini untuk membuat aplikasi baru di Microsoft Entra ID:

  1. Masuk ke portal Azure.
  2. Cari dan pilih Microsoft Entra ID.
  3. Di bawah Kelola, pilih Pendaftaran aplikasi > Pendaftaran baru.
  4. Masukkan Nama tampilan aplikasi Anda.
  5. Pilih Daftar untuk menyelesaikan pendaftaran aplikasi awal.
  6. Setelah pendaftaran selesai, portal Azure menampilkan panel Gambaran Umum pendaftaran aplikasi. Anda melihat ID Aplikasi (klien) dan ID Penyewa. ID klien dan ID Penyewa diperlukan sebagai parameter konfigurasi untuk eksekusi Konektor Data Vectra.

Tautan referensi:/azure/active-directory/develop/quickstart-register-app

LANGKAH 3 - Tambahkan rahasia klien untuk aplikasi di Microsoft Entra ID

Terkadang disebut kata sandi aplikasi, rahasia klien adalah nilai string yang diperlukan untuk eksekusi Konektor Data Vectra. Ikuti langkah-langkah di bagian ini untuk membuat Rahasia Klien baru:

  1. Di portal Microsoft Azure, di Pendaftaran aplikasi, pilih aplikasi Anda.
  2. Pilih Sertifikat & rahasia > Rahasia > klien Rahasia klien baru.
  3. Tambahkan deskripsi untuk rahasia klien Anda.
  4. Pilih kedaluwarsa untuk rahasia atau tentukan masa pakai kustom. Batasnya adalah 24 bulan.
  5. Pilih Tambahkan.
  6. Catat nilai rahasia untuk digunakan dalam kode aplikasi klien Anda. Nilai rahasia ini tidak pernah ditampilkan lagi setelah Anda meninggalkan halaman ini. Nilai rahasia diperlukan sebagai parameter konfigurasi untuk eksekusi Konektor Data Vectra.

Tautan referensi:/azure/active-directory/develop/quickstart-register-app#add-a-client-secret

LANGKAH 4 - Dapatkan ID Objek aplikasi Anda di Microsoft Entra ID

Setelah membuat pendaftaran aplikasi, ikuti langkah-langkah di bagian ini untuk mendapatkan ID Objek:

  1. Pergi ke Microsoft Entra ID.
  2. Pilih Aplikasi perusahaan dari menu sebelah kiri.
  3. Temukan aplikasi yang baru dibuat dalam daftar (Anda dapat mencari berdasarkan nama yang Anda berikan).
  4. Klik aplikasi.
  5. Pada halaman gambaran umum, salin ID Objek. Ini adalah AzureEntraObjectId yang diperlukan untuk penetapan peran templat ARM Anda.

LANGKAH 5 - Menetapkan peran Kontributor ke aplikasi di Microsoft Entra ID

Ikuti langkah-langkah di bagian ini untuk menetapkan peran:

  1. Di portal Azure, Buka Grup Sumber Daya dan pilih grup sumber daya Anda.
  2. Buka Kontrol akses (IAM) dari panel kiri.
  3. Klik Tambahkan, lalu pilih Tambahkan penetapan peran.
  4. Pilih Kontributor sebagai peran dan klik berikutnya.
  5. Di Tetapkan akses ke, pilih User, group, or service principal.
  6. Klik tambahkan anggota dan ketik nama aplikasi yang telah Anda buat dan pilih.
  7. Sekarang klik Tinjau + tetapkan lalu klik lagi Tinjau + tetapkan.

Tautan referensi:/azure/role-based-access-control/role-assignments-portal

LANGKAH 6 - Membuat Keyvault

Ikuti instruksi ini untuk membuat Keyvault baru.

  1. Di portal Azure, Buka Brankas kunci dan klik Buat.
  2. Pilih Subsipsi, Grup Sumber Daya, dan berikan nama unik keyvault.

LANGKAH 7 - Membuat Kebijakan Akses di Keyvault

Ikuti instruksi ini untuk membuat kebijakan akses di Keyvault.

  1. Buka keyvault, pilih keyvault Anda, buka Kebijakan akses di panel sisi kiri, klik buat.
  2. Pilih semua kunci & izin rahasia. Klik berikutnya.
  3. Di bagian utama, cari berdasarkan nama aplikasi yang dihasilkan di LANGKAH - 2. Klik berikutnya.

Catatan: Pastikan model Izin dalam Konfigurasi Akses Key Vault diatur ke 'Kebijakan akses vault'

LANGKAH 8 - Pilih ONE dari dua opsi penyebaran berikut untuk menyebarkan konektor dan Fungsi Azure terkait

PENTING: Sebelum menyebarkan konektor data Vectra, siapkan Kredensial Otorisasi VECTRA API.

Opsi 1 - Templat Azure Resource Manager (ARM)

Gunakan metode ini untuk penyebaran otomatis konektor Vectra.

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.msaka.ms

  2. Pilih Langganan, Grup Sumber Daya, dan Lokasi pilihan.

  3. Masukkan informasi di bawah ini: Nama Ruang Kerja Fungsi URL Dasar Vectra (https://< vectra-portal-url>) Id Klien Vectra - Kunci Rahasia Klien Vectra Kesehatan - Id Klien Vectra Kesehatan - Rahasia Klien Vectra Penilaian Entitas - Id Klien Vectra Penilaian Entitas - Deteksi Rahasia Klien Vectra - Deteksi Id Klien Vectra - Audit Rahasia Klien Vectra - Audit Id Klien Vectra - Rahasia Klien Vectra Lockdown - Id Klien Vectra Lockdown - Host-Entity Rahasia Klien Vectra - Id Klien Vectra Host-Entity - Account-Entity Rahasia Klien Vectra - Nama Account-Entity Key Vault Azure Id Klien Azure Id Penyewa Rahasia Klien Azure Entra ObjectID StartTime (dalam Format MM/DD/YYYY HH:MM:SS) Termasuk Skor Kurangi Audit Deteksi Nama Tabel Penentuan Entitas Tabel Nama Tabel Penguncian Nama Tabel Penguncian Nama Tabel Kesehatan Nama Tabel Entitas Kecualikan Detail Grup Dari Tingkat Log Deteksi (Default: INFO) Jadwal Penguncian Jadwal Deteksi Jadwal Jadwal Pemeriksaan Kesehatan Jadwal Entitas Jadwal Entitas Penilaian

  4. Tandai kotak centang berlabel Saya menyetujui syarat dan ketentuan yang dinyatakan di atas.

  5. Klik Beli untuk menyebarkan.

Opsi 2 - Penyebaran manual Azure Functions

Gunakan instruksi langkah demi langkah berikut untuk menyebarkan konektor data Vectra secara manual dengan Azure Functions (Penyebaran melalui Visual Studio Code).

  1. Menyebarkan Aplikasi Fungsi

CATATAN: Anda harus menyiapkan kode VS untuk pengembangan fungsi Azure.

  1. Unduh file Aplikasi Fungsi Azure. Ekstrak arsip ke komputer pengembangan lokal Anda.

  2. Jalankan VS Code. Pilih File di menu utama dan pilih Buka Folder.

  3. Pilih folder tingkat atas dari file yang diekstrak.

  4. Pilih ikon Azure di bilah Aktivitas, lalu di area Azure: Fungsi, pilih tombol Sebarkan ke aplikasi fungsi. Jika Anda belum masuk, pilih ikon Azure di bilah Aktivitas, lalu di area Azure: Functions, pilih Masuk ke Azure Jika Anda sudah masuk, buka langkah berikutnya.

  5. Berikan informasi berikut pada permintaan:

    a. Pilih folder: Pilih folder dari ruang kerja Anda atau telusuri folder yang berisi aplikasi fungsi Anda.

    b. Pilih Langganan: Pilih langganan yang akan digunakan.

    c. Pilih Buat Aplikasi Fungsi baru di Azure (Jangan pilih opsi Tingkat Lanjut)

    d. Masukkan nama unik global untuk aplikasi fungsi: Ketik nama yang valid di jalur URL. Nama yang Anda ketik akan divalidasi untuk memastikan bahwa nama tersebut bersifat unik di Azure Functions. (misalnya VECTRAXXXXX).

    e. Pilih runtime: Pilih Python 3.8 atau lebih tinggi.

    f. Pilih lokasi untuk sumber daya baru. Untuk performa yang lebih baik dan biaya yang lebih rendah, pilih wilayah yang sama tempat Microsoft Sentinel berada.

  6. Penyebaran akan dimulai. Notifikasi ditampilkan setelah aplikasi fungsi Anda dibuat dan paket penyebaran diterapkan.

  7. Buka portal Azure untuk konfigurasi Aplikasi Fungsi.

  8. Mengonfigurasi Aplikasi Fungsi

  9. Di Aplikasi Fungsi, pilih Nama Aplikasi Fungsi dan pilih Konfigurasi.

  10. Di tab Pengaturan aplikasi, pilih + Pengaturan aplikasi baru.

  11. Tambahkan masing-masing pengaturan aplikasi berikut satu per satu, dengan nilai masing-masing (peka huruf besar/kecil): ID Ruang Kerja URL Dasar Vektra Kunci Ruang Kerja (https://< vectra-portal-url>) Id Klien Vectra - Kunci Rahasia Klien Vectra Kesehatan - Id Klien Vectra Kesehatan - Ve Penilaian Entitas Rahasia Klienctra - Id Klien Vectra Penilaian Entitas - Deteksi Rahasia Klien Vectra - Deteksi Id Klien Vectra - Audit Rahasia Klien Vectra - Audit Id Klien Vectra - Rahasia Klien Vectra Lockdown - Penguncian Id Klien Vectra - Rahasia Klien Host-Entity Vectra - Id Klien Host-Entity Vectra - Rahasia Klien Account-Entity Vectra - Nama Account-Entity Key Vault Azure Id Klien Azure Id Penyewa Rahasia Klien StartTime (dalam Format MM/DD/YYYY HH:MM:SS) Sertakan Skor Kurangi Audit Nama Tabel Deteksi Entitas Nama Tabel Penilaian Nama Tabel Penguncian Nama Tabel Kesehatan Nama Tabel Entitas Tingkat Log Nama Tabel (Default: INFO) Jadwal Lockdown Deteksi Jadwal Kesehatan Jadwal Audit Jadwal Entitas Jadwal Entitas Jadwal logAnalyticsUri (opsional)

  • Gunakan logAnalyticsUri untuk mengambil alih titik akhir API analitik log untuk cloud khusus. Misalnya, untuk cloud publik, biarkan nilai kosong; untuk Azure lingkungan cloud GovUS, tentukan nilai dalam format berikut: https://<CustomerId>.ods.opinsights.azure.us.
  1. Setelah semua pengaturan aplikasi dimasukkan, klik Simpan.



Konektor DataVeeam (menggunakan Azure Functions)

Didukung oleh:Veeam Software

Veeam Data Connector memungkinkan Anda untuk menyerap data telemetri Veeam dari beberapa tabel kustom ke dalam Microsoft Sentinel.

Konektor mendukung integrasi dengan platform Veeam Backup & Replication, Veeam ONE, dan Coveware untuk menyediakan pemantauan dan analitik keamanan yang komprehensif. Data dikumpulkan melalui Azure Functions dan disimpan dalam tabel Log Analytics kustom dengan Aturan Pengumpulan Data (DCR) khusus dan Titik Akhir Pengumpulan Data (DCE).

Tabel Kustom Termasuk:

  • VeeamMalwareEvents_CL: Peristiwa deteksi malware dari Veeam Backup & Replikasi
  • VeeamSecurityComplianceAnalyzer_CL: Hasil Penganalisis Keamanan & Kepatuhan yang dikumpulkan dari komponen infrastruktur cadangan Veeam
  • VeeamAuthorizationEvents_CL: Peristiwa otorisasi dan autentikasi
  • VeeamOneTriggeredAlarms_CL: Alarm yang dipicu dari server Veeam ONE
  • VeeamCovewareFindings_CL: Temuan keamanan dari solusi Coveware
  • VeeamSessions_CL: Sesi Veeam

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
VeeamMalwareEvents_CL Yes Yes
VeeamSecurityComplianceAnalyzer_CL Yes Yes
VeeamOneTriggeredAlarms_CL Yes Yes
VeeamAuthorizationEvents_CL Yes Yes
VeeamCovewareFindings_CL Yes Yes
VeeamSessions_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Microsoft. Izin web/situs: Izin baca dan tulis ke Azure Functions untuk membuat Aplikasi Fungsi diperlukan. Untuk informasi selengkapnya, lihat Azure Functions.
  • Akses Infrastruktur Veeam: Akses ke Veeam Backup & Replication REST API dan platform pemantauan Veeam ONE diperlukan. Ini termasuk kredensial autentikasi dan konektivitas jaringan yang tepat.

Instruksi Penyetelan:

CATATAN: Konektor ini menggunakan Azure Functions untuk menyambungkan ke API Veeam dan menarik data ke dalam tabel kustom Microsoft Sentinel. Ini dapat mengakibatkan biaya penyerapan data tambahan. Lihat halaman harga Azure Functions untuk detailnya.

LANGKAH 1 - Pilih opsi penyebaran untuk Konektor Data Veeam dan Azure Functions terkait

PENTING: Sebelum Anda menyebarkan Konektor Data Veeam, siapkan Nama Ruang Kerja (dapat disalin dari yang berikut).

  • Nama Ruang Kerja: <nilai variabel yang disediakan pada waktu penginstalan>

Templat Azure Resource Manager (ARM)

Gunakan metode ini untuk penyebaran otomatis konektor data Veeam menggunakan Templat ARM.

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    portal.azure.com

  2. Pilih Langganan, Grup Sumber Daya, dan Lokasi pilihan.

  3. Masukkan Nama Ruang Kerja Microsoft Sentinel.

  4. Klik Tinjau + Buat, Buat.



VersasecCms

Didukung oleh:Versasec Support

Konektor data VersasecCms memungkinkan penyerapan log ke dalam Microsoft Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
VersasecCmsSysLogs_CL No No
VersasecCmsErrorLogs_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Instruksi Penyetelan:

Configuration

Masukkan kredensial untuk VersasecCms.

  • URL Manajemen:
  • Jalur Dasar API:
  • Token API:
  • Interval Polling (Menit):
  • Aktifkan/Nonaktifkan Koneksi



VirtualMetric DataStream untuk Microsoft Sentinel

Didukung oleh:VirtualMetric

Konektor DataStream VirtualMetric menyebarkan Aturan Pengumpulan Data untuk menyerap telemetri keamanan ke dalam Microsoft Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
CommonSecurityLog Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Pendaftaran Aplikasi atau Azure Identitas Terkelola: VirtualMetric DataStream memerlukan identitas Entra ID untuk mengautentikasi dan mengirim log ke Microsoft Sentinel. Anda dapat memilih antara membuat Pendaftaran Aplikasi dengan ID Klien dan Rahasia Klien, atau menggunakan identitas terkelola Azure untuk keamanan yang ditingkatkan tanpa manajemen kredensial.
  • Resource Group Role Assignment: Identitas yang dipilih (Pendaftaran Aplikasi atau Identitas Terkelola) harus ditetapkan ke grup sumber daya yang berisi Titik Akhir Pengumpulan Data dengan peran berikut: Memantau Metrik Publisher (untuk penyerapan log) dan Pembaca Pemantauan (untuk membaca konfigurasi aliran).

Instruksi Penyetelan:

Mengonfigurasi VirtualMetric DataStream untuk Microsoft Sentinel

Konfigurasikan VirtualMetric DataStream untuk Microsoft Sentinel mengirim data.

Mendaftarkan Aplikasi di Microsoft Entra ID (Opsional)

Pilih metode autentikasi Anda: Opsi A: Gunakan identitas terkelola Azure (Disarankan)

  • Lewati langkah ini jika Anda berencana menggunakan identitas terkelola Azure untuk autentikasi.
  • Azure Managed Identity menyediakan metode autentikasi yang lebih aman tanpa mengelola kredensial.

Opsi B: Mendaftarkan Aplikasi Perwakilan Layanan

  1. Buka halaman Microsoft Entra ID:

    • Klik tautan yang disediakan untuk membuka halaman pendaftaran Microsoft Entra ID di tab baru.
    • Pastikan Anda masuk dengan akun yang memiliki izin Administrator Aplikasi atau Administrator Global .

  2. Buat Aplikasi Baru:

    • Di portal Microsoft Entra ID, pilih Pendaftaran aplikasi dari navigasi sebelah kiri.
    • Klik + Pendaftaran baru.
    • Isi bidang berikut ini:
  • Nama: Masukkan nama deskriptif untuk aplikasi (misalnya, "Konektor ASIM VirtualMetric").
  • Jenis akun yang didukung: Pilih Akun di direktori organisasi ini saja (Penyewa tunggal).
  • URI Pengalihan: Biarkan kosong ini.
    • Klik Daftar untuk membuat aplikasi.

  1. Salin ID Aplikasi dan Penyewa:

    • Setelah aplikasi terdaftar, perhatikan ID Aplikasi (klien) dan ID Direktori (penyewa) dari halaman Gambaran Umum . Anda akan memerlukannya untuk konfigurasi VirtualMetric DataStream.

  2. Buat Rahasia Klien:

    • Di bagian Sertifikat & rahasia, klik + Rahasia klien baru.
    • Tambahkan deskripsi (misalnya, 'Rahasia ASIM VirtualMetric') dan atur periode kedaluwarsa yang sesuai.
    • Klik Tambahkan.
    • Salin nilai rahasia klien segera, karena tidak akan ditampilkan lagi. Simpan ini dengan aman untuk konfigurasi VirtualMetric DataStream.

Tetapkan Izin yang Diperlukan

Tetapkan peran yang diperlukan ke metode autentikasi yang Anda pilih (Perwakilan Layanan atau Identitas Terkelola) di grup sumber daya.

Untuk Perwakilan Layanan (jika Anda menyelesaikan Langkah 1):

  1. Navigasi ke Grup Sumber Daya Anda:

    • Buka portal Azure dan navigasikan ke Grup Sumber Daya yang berisi Log Analytics Ruang Kerja Anda dan tempat Aturan Pengumpulan Data (DCR) akan disebarkan.

  2. Tetapkan Peran Publisher Metrik Pemantauan:

    • Di Grup Sumber Daya, klik Kontrol akses (IAM) dari menu sebelah kiri.
    • Klik + Tambahkan dan pilih Tambahkan penetapan peran.
    • Di tab Peran, cari dan pilih Publisher Metrik Pemantauan.
    • Klik Berikutnya untuk masuk ke tab Anggota .
    • Di bawah Tetapkan akses ke, pilih Pengguna, grup, atau perwakilan layanan.
    • Klik + Pilih anggota dan cari aplikasi terdaftar Anda berdasarkan nama atau ID klien.
    • Pilih aplikasi Anda dan klik Pilih.
    • Klik Tinjau + tetapkan dua kali untuk menyelesaikan penugasan.

  3. Tetapkan Peran Pembaca Pemantauan:

    • Ulangi proses yang sama untuk menetapkan peran Pembaca Pemantauan :
    • Klik + Tambahkan dan pilih Tambahkan penetapan peran.
    • Di tab Peran, cari dan pilih Pembaca Pemantauan.
    • Ikuti proses pemilihan anggota yang sama seperti di atas.
    • Klik Tinjau + tetapkan dua kali untuk menyelesaikan penugasan. Untuk identitas terkelola Azure:

  4. Membuat atau Mengidentifikasi Identitas Terkelola Anda:

    • Jika menggunakan Identitas Terkelola yang ditetapkan sistem: Aktifkan pada sumber daya Azure Anda (VM, App Service, dll.).
    • Jika menggunakan Identitas Terkelola yang ditetapkan pengguna: Buat identitas di grup sumber daya Anda jika tidak ada.

  5. Tetapkan Peran Publisher Metrik Pemantauan:

    • Ikuti langkah-langkah yang sama seperti di atas, tetapi di tab Anggota :
    • Di bawah Tetapkan akses ke, pilih Identitas terkelola.
    • Klik + Pilih anggota dan pilih jenis identitas terkelola yang sesuai dan pilih identitas Anda.
    • Klik Pilih, lalu Tinjau + tetapkan dua kali untuk menyelesaikannya.

  6. Tetapkan Peran Pembaca Pemantauan:

    • Ulangi proses untuk menetapkan peran Pembaca Pemantauan ke identitas terkelola yang sama. Ringkasan Izin yang Diperlukan: Peran yang ditetapkan menyediakan kemampuan berikut:
  • Metrik Pemantauan Publisher: Menulis data ke Titik Akhir Pengumpulan Data (DCE) dan mengirim telemetri melalui Aturan Pengumpulan Data (DCR)
  • Pembaca Pemantauan: Membaca konfigurasi streaming dan mengakses ruang kerja Log Analytics untuk penyerapan tabel ASIM

Menyebarkan Infrastruktur Azure

Sebarkan Data Collection Endpoint (DCE) dan Aturan Pengumpulan Data (DCR) yang diperlukan untuk tabel Microsoft Sentinel menggunakan templat ARM kami.

  1. Sebarkan ke Azure:

    • Klik tombol Sebarkan ke Azure di bawah ini untuk menyebarkan infrastruktur yang diperlukan secara otomatis:
    • portal.azure.com
    • Ini akan membawa Anda langsung ke portal Azure untuk memulai penyebaran.

  2. Mengonfigurasi Parameter Penyebaran:

    • Pada halaman penyebaran kustom, konfigurasikan pengaturan berikut:

    Project detail:

    • Langganan: Pilih langganan Azure Anda dari menu dropdown
    • Grup sumber daya: Pilih grup sumber daya yang sudah ada atau klik Buat baru untuk membuat yang baru Detail instans:
    • Wilayah: Pilih wilayah Azure tempat ruang kerja Log Analytics Anda berada (misalnya, Eropa Barat)
    • Ruang kerja: Masukkan nama ruang kerja Log Analytics Anda
    • Nama DCE: Berikan nama untuk Titik Akhir Pengumpulan Data (misalnya, "vmetric-dce")
    • Awalan Nama DCR: Berikan awalan untuk Aturan Pengumpulan Data (misalnya, "vmetric-dcr")

  3. Selesaikan Penyebaran:

    • Klik Tinjau + buat untuk memvalidasi templat.
    • Tinjau parameter dan klik Buat untuk menyebarkan sumber daya.
    • Tunggu hingga penyebaran selesai (biasanya membutuhkan waktu 2-5 menit).

  4. Verifikasi Sumber Daya yang Disebarkan:

    • Setelah penyebaran, verifikasi bahwa sumber daya berikut dibuat:
  • Titik Akhir Pengumpulan Data (DCE): Periksa Titik Akhir Pengumpulan Data Monitor > portal Azure >
  • Aturan Pengumpulan Data (DCR): Periksa portal Azure > Memantau > Aturan Pengumpulan Data
    • Salin URI Penyerapan Log DCE dari halaman Gambaran Umum DCE (format: https://<dce-name>.<region>.ingest.monitor.azure.com)
    • Salin ID Sumber Daya DCE dari halaman Gambaran Umum DCE (format: /subscriptions/<subscription-id>/resourceGroups/<resource-group-name>/providers/Microsoft.Insights/dataCollectionEndpoints/<dce-name>)
    • Untuk setiap DCR, perhatikan ID Yang Tidak Dapat Diubah dari halaman Gambaran Umum - Anda memerlukannya untuk konfigurasi VirtualMetric DataStream.

Mengonfigurasi Integrasi VirtualMetric DataStream

Siapkan VirtualMetric DataStream untuk mengirim telemetri keamanan ke tabel Microsoft Sentinel.

  1. Mengakses Konfigurasi DataStream VirtualMetric:

    • Masuk ke konsol manajemen VirtualMetric DataStream Anda.
    • Navigasi ke bagian Target Manajemen > Armada .
    • Klik tombol Tambahkan target baru .
    • Pilih target Microsoft Sentinel.

  2. Mengonfigurasi Pengaturan Umum:

    • Nama: Masukkan nama untuk target Anda (misalnya, "cus01-ms-sentinel")
    • Deskripsi: Secara opsional berikan deskripsi untuk konfigurasi target

  3. Konfigurasikan Autentikasi Azure (pilih berdasarkan Langkah 1): Untuk Autentikasi Perwakilan Layanan:

    • Identitas Terkelola untuk Azure: Tetap Nonaktifkan
    • ID Penyewa: Masukkan ID Direktori (penyewa) dari Langkah 1
    • ID Klien: Masukkan ID Aplikasi (klien) dari Langkah 1
    • Rahasia Klien: Masukkan nilai rahasia klien dari Langkah 1 Untuk identitas terkelola Azure:
    • Identitas Terkelola untuk Azure: Atur ke Diaktifkan

  4. Mengonfigurasi Properti Aliran:

    • Titik akhir: Pilih metode konfigurasi Anda:
  • Untuk konfigurasi aliran manual: Masukkan URI Penyerapan Log DCE (format: https://<dce-name>.<region>.ingest.monitor.azure.com)
  • Untuk deteksi aliran otomatis: Masukkan ID Sumber Daya DCE (format: /subscriptions/<subscription-id>/resourceGroups/<resource-group-name>/providers/Microsoft.Insights/dataCollectionEndpoints/<dce-name>)
    • Aliran: Pilih Otomatis untuk deteksi aliran otomatis, atau konfigurasikan aliran tertentu jika diperlukan
  1. Verifikasi Penyerapan Data di Microsoft Sentinel:
    • Kembali ke Ruang Kerja Log Analytics Anda
    • Jalankan kueri sampel pada tabel ASIM untuk mengonfirmasi data yang diterima: 
      ASimNetworkSessionLogs
| where TimeGenerated > ago(1h)
| take 10
    • Periksa dasbor Gambaran Umum Microsoft Sentinel untuk sumber data dan jumlah peristiwa baru.



VirtualMetric DataStream untuk data lake Microsoft Sentinel

Didukung oleh:VirtualMetric

Konektor DataStream VirtualMetric menyebarkan Aturan Pengumpulan Data untuk menyerap telemetri keamanan ke dalam data lake Microsoft Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
CommonSecurityLog Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Pendaftaran Aplikasi atau Azure Identitas Terkelola: VirtualMetric DataStream memerlukan identitas Entra ID untuk mengautentikasi dan mengirim log ke data lake Microsoft Sentinel. Anda dapat memilih antara membuat Pendaftaran Aplikasi dengan ID Klien dan Rahasia Klien, atau menggunakan identitas terkelola Azure untuk keamanan yang ditingkatkan tanpa manajemen kredensial.
  • Resource Group Role Assignment: Identitas yang dipilih (Pendaftaran Aplikasi atau Identitas Terkelola) harus ditetapkan ke grup sumber daya yang berisi Titik Akhir Pengumpulan Data dengan peran berikut: Memantau Metrik Publisher (untuk penyerapan log) dan Pembaca Pemantauan (untuk membaca konfigurasi aliran).

Instruksi Penyetelan:

Mengonfigurasi VirtualMetric DataStream untuk data lake Microsoft Sentinel

Konfigurasikan VirtualMetric DataStream untuk Microsoft Sentinel data lake untuk mengirim data.

Mendaftarkan Aplikasi di Microsoft Entra ID (Opsional)

Pilih metode autentikasi Anda: Opsi A: Gunakan identitas terkelola Azure (Disarankan)

  • Lewati langkah ini jika Anda berencana menggunakan identitas terkelola Azure untuk autentikasi.
  • Azure Managed Identity menyediakan metode autentikasi yang lebih aman tanpa mengelola kredensial.

Opsi B: Mendaftarkan Aplikasi Perwakilan Layanan

  1. Buka halaman Microsoft Entra ID:

    • Klik tautan yang disediakan untuk membuka halaman pendaftaran Microsoft Entra ID di tab baru.
    • Pastikan Anda masuk dengan akun yang memiliki izin Administrator Aplikasi atau Administrator Global .

  2. Buat Aplikasi Baru:

    • Di portal Microsoft Entra ID, pilih Pendaftaran aplikasi dari navigasi sebelah kiri.
    • Klik + Pendaftaran baru.
    • Isi bidang berikut ini:
  • Nama: Masukkan nama deskriptif untuk aplikasi (misalnya, "Konektor ASIM VirtualMetric").
  • Jenis akun yang didukung: Pilih Akun di direktori organisasi ini saja (Penyewa tunggal).
  • URI Pengalihan: Biarkan kosong ini.
    • Klik Daftar untuk membuat aplikasi.

  1. Salin ID Aplikasi dan Penyewa:

    • Setelah aplikasi terdaftar, perhatikan ID Aplikasi (klien) dan ID Direktori (penyewa) dari halaman Gambaran Umum . Anda akan memerlukannya untuk konfigurasi VirtualMetric DataStream.

  2. Buat Rahasia Klien:

    • Di bagian Sertifikat & rahasia, klik + Rahasia klien baru.
    • Tambahkan deskripsi (misalnya, 'Rahasia ASIM VirtualMetric') dan atur periode kedaluwarsa yang sesuai.
    • Klik Tambahkan.
    • Salin nilai rahasia klien segera, karena tidak akan ditampilkan lagi. Simpan ini dengan aman untuk konfigurasi VirtualMetric DataStream.

Tetapkan Izin yang Diperlukan

Tetapkan peran yang diperlukan ke metode autentikasi yang Anda pilih (Perwakilan Layanan atau Identitas Terkelola) di grup sumber daya.

Untuk Perwakilan Layanan (jika Anda menyelesaikan Langkah 1):

  1. Navigasi ke Grup Sumber Daya Anda:

    • Buka portal Azure dan navigasikan ke Grup Sumber Daya yang berisi Log Analytics Ruang Kerja Anda dan tempat Aturan Pengumpulan Data (DCR) akan disebarkan.

  2. Tetapkan Peran Publisher Metrik Pemantauan:

    • Di Grup Sumber Daya, klik Kontrol akses (IAM) dari menu sebelah kiri.
    • Klik + Tambahkan dan pilih Tambahkan penetapan peran.
    • Di tab Peran, cari dan pilih Publisher Metrik Pemantauan.
    • Klik Berikutnya untuk masuk ke tab Anggota .
    • Di bawah Tetapkan akses ke, pilih Pengguna, grup, atau perwakilan layanan.
    • Klik + Pilih anggota dan cari aplikasi terdaftar Anda berdasarkan nama atau ID klien.
    • Pilih aplikasi Anda dan klik Pilih.
    • Klik Tinjau + tetapkan dua kali untuk menyelesaikan penugasan.

  3. Tetapkan Peran Pembaca Pemantauan:

    • Ulangi proses yang sama untuk menetapkan peran Pembaca Pemantauan :
    • Klik + Tambahkan dan pilih Tambahkan penetapan peran.
    • Di tab Peran, cari dan pilih Pembaca Pemantauan.
    • Ikuti proses pemilihan anggota yang sama seperti di atas.
    • Klik Tinjau + tetapkan dua kali untuk menyelesaikan penugasan. Untuk identitas terkelola Azure:

  4. Membuat atau Mengidentifikasi Identitas Terkelola Anda:

    • Jika menggunakan Identitas Terkelola yang ditetapkan sistem: Aktifkan pada sumber daya Azure Anda (VM, App Service, dll.).
    • Jika menggunakan Identitas Terkelola yang ditetapkan pengguna: Buat identitas di grup sumber daya Anda jika tidak ada.

  5. Tetapkan Peran Publisher Metrik Pemantauan:

    • Ikuti langkah-langkah yang sama seperti di atas, tetapi di tab Anggota :
    • Di bawah Tetapkan akses ke, pilih Identitas terkelola.
    • Klik + Pilih anggota dan pilih jenis identitas terkelola yang sesuai dan pilih identitas Anda.
    • Klik Pilih, lalu Tinjau + tetapkan dua kali untuk menyelesaikannya.

  6. Tetapkan Peran Pembaca Pemantauan:

    • Ulangi proses untuk menetapkan peran Pembaca Pemantauan ke identitas terkelola yang sama. Ringkasan Izin yang Diperlukan: Peran yang ditetapkan menyediakan kemampuan berikut:
  • Metrik Pemantauan Publisher: Menulis data ke Titik Akhir Pengumpulan Data (DCE) dan mengirim telemetri melalui Aturan Pengumpulan Data (DCR)
  • Pembaca Pemantauan: Membaca konfigurasi streaming dan mengakses ruang kerja Log Analytics untuk penyerapan tabel ASIM

Menyebarkan Infrastruktur Azure

Sebarkan Data Collection Endpoint (DCE) dan Aturan Pengumpulan Data (DCR) yang diperlukan untuk tabel data lake Microsoft Sentinel menggunakan templat ARM kami.

  1. Sebarkan ke Azure:

    • Klik tombol Sebarkan ke Azure di bawah ini untuk menyebarkan infrastruktur yang diperlukan secara otomatis:
    • portal.azure.com
    • Ini akan membawa Anda langsung ke portal Azure untuk memulai penyebaran.

  2. Mengonfigurasi Parameter Penyebaran:

    • Pada halaman penyebaran kustom, konfigurasikan pengaturan berikut:

    Project detail:

    • Langganan: Pilih langganan Azure Anda dari menu dropdown
    • Grup sumber daya: Pilih grup sumber daya yang sudah ada atau klik Buat baru untuk membuat yang baru Detail instans:
    • Wilayah: Pilih wilayah Azure tempat ruang kerja Log Analytics Anda berada (misalnya, Eropa Barat)
    • Ruang kerja: Masukkan nama ruang kerja Log Analytics Anda
    • Nama DCE: Berikan nama untuk Titik Akhir Pengumpulan Data (misalnya, "vmetric-dce")
    • Awalan Nama DCR: Berikan awalan untuk Aturan Pengumpulan Data (misalnya, "vmetric-dcr")

  3. Selesaikan Penyebaran:

    • Klik Tinjau + buat untuk memvalidasi templat.
    • Tinjau parameter dan klik Buat untuk menyebarkan sumber daya.
    • Tunggu hingga penyebaran selesai (biasanya membutuhkan waktu 2-5 menit).

  4. Verifikasi Sumber Daya yang Disebarkan:

    • Setelah penyebaran, verifikasi bahwa sumber daya berikut dibuat:
  • Titik Akhir Pengumpulan Data (DCE): Periksa Titik Akhir Pengumpulan Data Monitor > portal Azure >
  • Aturan Pengumpulan Data (DCR): Periksa portal Azure > Memantau > Aturan Pengumpulan Data
    • Salin URI Penyerapan Log DCE dari halaman Gambaran Umum DCE (format: https://<dce-name>.<region>.ingest.monitor.azure.com)
    • Salin ID Sumber Daya DCE dari halaman Gambaran Umum DCE (format: /subscriptions/<subscription-id>/resourceGroups/<resource-group-name>/providers/Microsoft.Insights/dataCollectionEndpoints/<dce-name>)
    • Untuk setiap DCR, perhatikan ID Yang Tidak Dapat Diubah dari halaman Gambaran Umum - Anda memerlukannya untuk konfigurasi VirtualMetric DataStream.

Mengonfigurasi Integrasi VirtualMetric DataStream

Siapkan VirtualMetric DataStream untuk mengirim telemetri keamanan ke tabel data lake Microsoft Sentinel.

  1. Mengakses Konfigurasi DataStream VirtualMetric:

    • Masuk ke konsol manajemen VirtualMetric DataStream Anda.
    • Navigasi ke bagian Target Manajemen > Armada .
    • Klik tombol Tambahkan target baru .
    • Pilih target Microsoft Sentinel.

  2. Mengonfigurasi Pengaturan Umum:

    • Nama: Masukkan nama untuk target Anda (misalnya, "cus01-ms-sentinel")
    • Deskripsi: Secara opsional berikan deskripsi untuk konfigurasi target

  3. Konfigurasikan Autentikasi Azure (pilih berdasarkan Langkah 1): Untuk Autentikasi Perwakilan Layanan:

    • Identitas Terkelola untuk Azure: Tetap Nonaktifkan
    • ID Penyewa: Masukkan ID Direktori (penyewa) dari Langkah 1
    • ID Klien: Masukkan ID Aplikasi (klien) dari Langkah 1
    • Rahasia Klien: Masukkan nilai rahasia klien dari Langkah 1 Untuk identitas terkelola Azure:
    • Identitas Terkelola untuk Azure: Atur ke Diaktifkan

  4. Mengonfigurasi Properti Aliran:

    • Titik akhir: Pilih metode konfigurasi Anda:
  • Untuk konfigurasi aliran manual: Masukkan URI Penyerapan Log DCE (format: https://<dce-name>.<region>.ingest.monitor.azure.com)
  • Untuk deteksi aliran otomatis: Masukkan ID Sumber Daya DCE (format: /subscriptions/<subscription-id>/resourceGroups/<resource-group-name>/providers/Microsoft.Insights/dataCollectionEndpoints/<dce-name>)
    • Aliran: Pilih Otomatis untuk deteksi aliran otomatis, atau konfigurasikan aliran tertentu jika diperlukan
  1. Verifikasi Penyerapan Data di data lake Microsoft Sentinel:
    • Kembali ke Ruang Kerja Log Analytics Anda
    • Jalankan kueri sampel pada tabel ASIM untuk mengonfirmasi data yang diterima: 
      ASimNetworkSessionLogs
| where TimeGenerated > ago(1h)
| take 10
    • Periksa dasbor Gambaran Umum Microsoft Sentinel untuk sumber data dan jumlah peristiwa baru.



Proksi Direktur VirtualMetric

Didukung oleh:VirtualMetric

Proksi VirtualMetric Director menyebarkan Aplikasi Fungsi Azure untuk menjenjalkan VirtualMetric DataStream dengan layanan Azure dengan aman termasuk Microsoft Sentinel, Azure Data Explorer, dan Azure Storage.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
CommonSecurityLog Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Azure Function App: Aplikasi Fungsi Azure harus disebarkan untuk menghosting Proksi Direktur. Memerlukan izin baca, tulis, dan hapus di Microsoft. Sumber daya web/situs dalam grup sumber daya Anda untuk membuat dan mengelola Aplikasi Fungsi.
  • Konfigurasi DataStream VirtualMetric: Anda memerlukan VirtualMetric DataStream yang dikonfigurasi dengan kredensial autentikasi untuk menyambungkan ke Proksi Direktur. Proksi Direktur bertindak sebagai jembatan aman antara VirtualMetric DataStream dan layanan Azure.
  • Target Azure Services: Mengonfigurasi layanan Azure target Anda seperti Titik Akhir Pengumpulan Data Microsoft Sentinel, kluster Azure Data Explorer, atau akun Azure Storage tempat Proksi Direktur akan meneruskan data.

Instruksi Penyetelan:

Menyebarkan Proksi Direktur VirtualMetric

Sebarkan Azure Function App yang berfungsi sebagai proksi aman antara VirtualMetric DataStream dan Microsoft Sentinel.

Prasyarat dan Urutan Penyebaran

Urutan Penyebaran yang Direkomendasikan:

Untuk konfigurasi optimal, pertimbangkan untuk menyebarkan konektor target terlebih dahulu:

  1. Menyebarkan Konektor Microsoft Sentinel: Sebarkan Konektor VirtualMetric DataStream for Microsoft Sentinel terlebih dahulu untuk membuat Titik Akhir dan Aturan Pengumpulan Data yang diperlukan.

  2. Menyebarkan konektor data lake Microsoft Sentinel (opsional): Jika menggunakan tabel data lake Microsoft Sentinel, sebarkan Konektor DataStream VirtualMetric untuk data lake Microsoft Sentinel.

  3. Sebarkan Proksi Direktur (langkah ini): Proksi Direktur kemudian dapat dikonfigurasi dengan target Microsoft Sentinel Anda. Catatan: Pesanan ini disarankan tetapi tidak diperlukan. Anda dapat menyebarkan Proksi Direktur secara independen dan mengonfigurasinya dengan target Anda nanti.

Menyebarkan Aplikasi Fungsi Azure

Sebarkan Aplikasi Fungsi Azure Proksi Direktur VirtualMetric menggunakan tombol Sebarkan ke Azure.

  1. Sebarkan ke Azure:

    • Klik tombol Sebarkan ke Azure di bawah ini untuk menyebarkan Aplikasi Fungsi:
    • portal.azure.com

  2. Mengonfigurasi Parameter Penyebaran:

    • Langganan: Pilih langganan Azure Anda
    • Grup Sumber Daya: Pilih grup sumber daya yang sama dengan ruang kerja Microsoft Sentinel Anda atau buat yang baru
    • Wilayah: Pilih wilayah Azure (harus cocok dengan wilayah ruang kerja Microsoft Sentinel Anda)
    • Nama Aplikasi Fungsi: Berikan nama unik untuk Aplikasi Fungsi (misalnya, "vmetric-director-proxy")

  3. Penyebaran Lengkap:

    • Klik Tinjau + buat untuk memvalidasi parameter
    • Klik Buat untuk menyebarkan Aplikasi Fungsi
    • Tunggu hingga penyebaran selesai (biasanya 3-5 menit)
    • Perhatikan URL Aplikasi Fungsi: https://<function-app-name>.azurewebsites.net

Mengonfigurasi Izin Aplikasi Fungsi

Tetapkan izin yang diperlukan ke identitas terkelola Aplikasi Fungsi untuk mengakses sumber daya Microsoft Sentinel.

  1. Aktifkan identitas terkelola System-Assigned:

    • Navigasi ke Aplikasi Fungsi yang Anda sebarkan di portal Azure
    • Buka Identitas di bawah Pengaturan
    • Alihkan Status ke Aktif untuk Identitas yang ditetapkan Sistem
    • Klik Simpan dan konfirmasi

  2. Navigasi ke Grup Sumber Daya:

    • Buka grup sumber daya yang berisi ruang kerja Microsoft Sentinel dan Titik Akhir Pengumpulan Data Anda

  3. Tetapkan Peran yang Diperlukan:

    • Buka Kontrol akses (IAM)
    • Klik + Tambahkan > penetapan peran
    • Tetapkan peran berikut ke identitas terkelola yang ditetapkan sistem Aplikasi Fungsi:
  • Publisher Metrik Pemantauan: Untuk mengirim data ke Titik Akhir Pengumpulan Data
  • Pembaca Pemantauan: Untuk membaca konfigurasi Aturan Pengumpulan Data

  1. Pilih Identitas Aplikasi Fungsi:

    • Di tab Anggota, pilih Identitas terkelola
    • Pilih Aplikasi Fungsi dan pilih Aplikasi Fungsi Proksi Direktur yang disebarkan
    • Menyelesaikan penetapan peran

  2. Dapatkan Token Akses Aplikasi Fungsi (Opsional untuk autentikasi Kunci Fungsi):

    • Menavigasi ke Aplikasi Fungsi Anda
    • Buka Kunci aplikasi di bawah Fungsi
    • Salin kunci host default atau buat kunci fungsi baru untuk autentikasi

Mengonfigurasi Integrasi VirtualMetric DataStream

Siapkan VirtualMetric DataStream untuk mengirim telemetri keamanan ke Microsoft Sentinel melalui Proksi Direktur.

  1. Mengakses Konfigurasi DataStream VirtualMetric:

    • Masuk ke konsol manajemen VirtualMetric DataStream Anda
    • Navigasi ke bagian Target
    • Klik Target Microsoft Sentinel
    • Klik Tambahkan target baru atau edit target Microsoft Sentinel yang sudah ada

  2. Mengonfigurasi Pengaturan Umum:

    • Nama: Masukkan nama untuk target Anda (misalnya, "sentinel-with-proxy")
    • Deskripsi: Secara opsional berikan deskripsi untuk konfigurasi target

  3. Konfigurasikan Autentikasi Azure: Untuk Autentikasi Perwakilan Layanan:

    • Identitas Terkelola untuk Azure: Tetap Nonaktifkan
    • ID Penyewa: Masukkan ID penyewa Azure Active Directory Anda
    • ID Klien: Masukkan ID aplikasi perwakilan layanan Anda
    • Rahasia Klien: Masukkan rahasia klien perwakilan layanan Anda Untuk identitas terkelola Azure:
    • Identitas Terkelola untuk Azure: Atur ke Diaktifkan

  4. Mengonfigurasi Proksi Direktur (di tab Properti Azure):

    • Alamat Titik Akhir: Masukkan URL Aplikasi Fungsi dari Langkah 2 (format: https://<function-app-name>.azurewebsites.net)
    • Token Akses: Masukkan kunci host Aplikasi Fungsi dari Langkah 3 (opsional jika menggunakan Identitas Terkelola)

  5. Mengonfigurasi Properti Aliran:

    • Titik akhir: Masukkan URI Penyerapan Log DCE (format: https://<dce-name>.<region>.ingest.monitor.azure.com)
    • Aliran: Pilih Otomatis untuk deteksi aliran otomatis, atau konfigurasikan aliran tertentu jika diperlukan

  6. Verifikasi Penyerapan Data di Microsoft Sentinel:

    • Kembali ke Ruang Kerja Log Analytics Anda
    • Jalankan kueri sampel untuk mengonfirmasi data sedang diterima: 
      CommonSecurityLog
| where TimeGenerated > ago(1h)
| take 10
    • Periksa dasbor Gambaran Umum Microsoft Sentinel untuk sumber data dan jumlah peristiwa baru



VMRayThreatIntelligence (menggunakan Azure Functions)

Didukung oleh:VMRay

Konektor VMRayThreatIntelligence secara otomatis menghasilkan dan memberi makan intelijen ancaman untuk semua pengiriman ke VMRay, meningkatkan deteksi ancaman dan respons insiden di Sentinel. Integrasi tanpa batas ini memberdayakan tim untuk secara proaktif mengatasi ancaman yang muncul.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
ThreatIntelligenceIndicator Yes No

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Langganan Azure: Langganan Azure dengan peran pemilik diperlukan untuk mendaftarkan aplikasi di direktori aktif azure() dan menetapkan peran kontributor ke aplikasi dalam grup sumber daya.
  • Microsoft. Izin web/situs: Izin baca dan tulis ke Azure Functions untuk membuat Aplikasi Fungsi diperlukan. Untuk informasi selengkapnya, lihat Azure Functions.
  • Kredensial/izin REST API: Kunci API VMRay diperlukan.

Instruksi Penyetelan:

CATATAN: Konektor ini menggunakan Azure Functions untuk terhubung ke VMRay API untuk menarik IOC Ancaman VMRay ke Microsoft Sentinel. Ini dapat mengakibatkan biaya tambahan untuk penyerapan data dan untuk menyimpan data dalam biaya Azure Blob Storage. Periksa halaman harga Azure Functions dan halaman harga Azure Blob Storage untuk detailnya.

(Langkah Opsional) Simpan ruang kerja dan kunci otorisasi API atau token dengan aman di Azure Key Vault. Azure Key Vault menyediakan mekanisme aman untuk menyimpan dan mengambil nilai kunci. Ikuti instruksi ini untuk menggunakan Azure Key Vault dengan Aplikasi Fungsi Azure.

  • ID ruang kerja: <nilai variabel yang disediakan pada waktu penginstalan>
  • Kunci Primer: <nilai variabel yang disediakan pada waktu penginstalan>

Menyebarkan Konektor Inteligensi Ancaman VMRay

  1. Pastikan Anda memiliki semua prasyarat yang diperlukan: ID Klien, ID Penyewa, Rahasia Klien, Kunci API VMRay, dan URL Dasar VMRay.

  2. Untuk mendapatkan ID Klien, Rahasia Klien, dan ID Penyewa, ikuti instruksi berikut

  3. Untuk Paket Konsumsi Flex, klik tombol Sebarkan ke Azure di bawah ini:

    aka.ms

  4. Untuk Paket Premium, klik tombol Sebarkan ke Azure di bawah ini:

    aka.ms.



VMware Carbon Black Cloud melalui AWS S3 (melalui Codeless Connector Framework)

Dukungan oleh:Microsoft

VMware Carbon Black Cloud melalui konektor data AWS S3 menyediakan kemampuan untuk menyerap peristiwa daftar tonton, pemberitahuan, autentikasi, dan titik akhir melalui AWS S3 dan mengalirkannya ke tabel yang dinormalisasi ASIM. Konektor memungkinkan pengambilan peristiwa untuk menilai potensi risiko keamanan, memantau kolaborasi, dan mendiagnosis dan memecahkan masalah konfigurasi.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
CarbonBlack_Alerts_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Lingkungan: Anda harus memiliki sumber daya AWS berikut yang ditentukan dan dikonfigurasi: S3, Simple Queue Service (SQS), peran IAM, dan kebijakan izin
  • Lingkungan: Anda harus memiliki akun Carbon black dan izin yang diperlukan untuk membuat wadah Data Yang Diteruskan ke AWS S3. Untuk informasi selengkapnya, lihat Dokumen Penerus Data Carbon Black

Instruksi Penyetelan:

  1. Penyebaran AWS CloudFormation Untuk mengonfigurasi akses di AWS, dua templat telah dibuat untuk menyiapkan lingkungan AWS untuk mengirim log dari wadah S3 ke ruang kerja Log Analytics Anda.

Untuk setiap templat, buat Stack di AWS:

  1. Buka Tumpukan AWS CloudFormation
  2. Di AWS, pilih opsi 'Unggah file templat' dan klik 'Pilih file'. Pilih templat yang diunduh
  3. Klik 'Berikutnya' dan 'Buat tumpukan'
  • Templat 1: Penyebaran autentikasi koneksi OpenID: <nilai variabel yang disediakan pada waktu penginstalan>
  • Templat 2: Penyebaran sumber daya AWS Carbon Black: <nilai variabel yang disediakan pada waktu> penginstalan Saat menyebarkan templat 'Templat 2: penyebaran sumber daya AWS Carbon Black', Anda memerlukan pasokan beberapa parameter
  • Nama Tumpukan: Nama tumpukan yang Anda pilih (akan muncul dalam daftar tumpukan di AWS)
  • Nama Peran: Harus dimulai dengan awalan 'OIDC_', memiliki nilai default.
  • Nama Wadah: Nama wadah yang Anda pilih, jika Anda sudah memiliki wadah yang sudah ada tempelkan nama di sini
  • CreateNewBucket: Jika Anda sudah memiliki wadah yang ingin Anda gunakan untuk konektor ini pilih 'false' untuk opsi ini, jika tidak, wadah dengan nama yang Anda masukkan di 'Nama Wadah' akan dibuat dari tumpukan ini.
  • Wilayah: Ini adalah wilayah sumber daya AWS berdasarkan pemetaan Carbon Black - untuk informasi selengkapnya, silakan lihat dokumentasi Carbon Black.
  • SQSQueuePrefix: Tumpukan membuat beberapa antrean, awalan ini akan ditambahkan ke masing-masing antrean.
  • WorkspaceID: Gunakan ID Ruang Kerja yang disediakan di bawah ini.
  • ID Ruang Kerja: <nilai variabel yang disediakan pada waktu> penginstalan Setelah penyebaran selesai - buka tab 'Output', Anda akan melihat: Peran ARN, wadah S3, dan 4 sumber daya SQS dibuat. Anda akan memerlukan sumber daya tersebut di langkah berikutnya saat mengonfigurasi penerus data Carbon Black dan konektor data.

  1. Konfigurasi penerus data Carbon Black Setelah semua sumber daya AWS dibuat, Anda harus mengonfigurasi Carbon Black untuk meneruskan peristiwa ke wadah AWS agar Microsoft Sentinel menyerapnya. Ikuti dokumentasi Carbon Black tentang cara membuat 'Penerus Data' Gunakan opsi pertama yang direkomendasikan. Ketika diminta untuk memasukkan nama wadah, gunakan wadah yang dibuat di langkah sebelumnya. Anda akan diminta untuk menambahkan 'awalan S3' untuk setiap penerus, silakan gunakan pemetaan ini:

    Jenis peristiwa Awalan S3
    Notifikasi carbon-black-cloud-forwarder/Alerts
    Peristiwa Autentikasi carbon-black-cloud-forwarder/Auth
    Peristiwa Titik Akhir carbon-black-cloud-forwarder/Endpoint
    Hit Daftar Pengawasan carbon-black-cloud-forwarder/Watchlist

2.1. Uji penerus data Anda (Opsional) Untuk memvalidasi penerus data dikonfigurasi seperti yang diharapkan, di portal Carbon Black mencari penerus data yang baru saja Anda buat dan klik tombol 'Penerus Uji' di bawah kolom 'Tindakan', ini akan menghasilkan file 'HealthCheck' di Wadah S3, Anda akan segera melihatnya muncul.

  1. Sambungkan kolektor baru Untuk mengaktifkan AWS S3 untuk Microsoft Sentinel, klik tombol 'Tambahkan kolektor baru', isi informasi yang diperlukan, peran ARN, dan URL SQS dibuat di langkah 1, perhatikan bahwa Anda harus memasukkan URL SQS yang benar dan memilih jenis peristiwa yang sesuai dari menu dropdown, misalnya jika Anda ingin menyerap peristiwa Pemberitahuan, Anda harus menyalin URL SQS Pemberitahuan dan memilih 'Pemberitahuan' jenis peristiwa di menu dropdown
  • Data Connectors Grid (dikonfigurasi di portal)



VMware Workspace ONE (melalui Codeless Connector Framework)

Dukungan oleh:Microsoft

Konektor VMware Workspace ONE menyerap inventaritas perangkat terdaftar dan detail aplikasi yang diinstal dari platform Workspace ONE Unified Endpoint Management (UEM) ke dalam Microsoft Sentinel. Ini mendukung pelacakan kepatuhan perangkat, deteksi titik akhir yang tidak sesuai, dan penemuan aplikasi yang tidak sah di seluruh perangkat yang dikelola iOS, Android, Windows, dan macOS.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
VMwareWorkspaceOneDevices No No
VMwareWorkspaceOneDeviceApps No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Instruksi Penyetelan:

Menyambungkan VMware Workspace ONE ke Microsoft Sentinel

Prasyarat

Sebelum menyambungkan, pastikan:

  1. Anda memiliki penyewa VMware Workspace ONE UEM (Omnissa) aktif
  2. Anda memiliki akses administrator untuk membuat Klien OAuth di Grup & Pengaturan -> Konfigurasi -> Manajemen Klien OAuth
  3. Peran Klien OAuth harus mencakup: Pembacaan Perangkat REST API, Perangkat MDM REST API, Baca Aplikasi REST API

Penyetelan Autentikasi

Buat Klien OAuth di Workspace ONE UEM:

  1. Buka Grup & Pengaturan -> Konfigurasi dan cari OAuth
  2. Pilih Manajemen Klien OAuth -> klik Tambahkan
  3. Masukkan Nama (misalnya, MicrosoftSentinelConnector), tetapkan peran dengan izin baca perangkat/aplikasi, atur Status ke Diaktifkan, lalu klik Simpan
  4. Salin ID Klien dan Rahasia Klien segera - mereka tidak dapat diambil setelah menutup dialog

URL Autentikasi menurut Wilayah

Pilih URL Autentikasi yang cocok dengan wilayah pusat data penyewa Workspace ONE Anda:

Wilayah URL Autentikasi
Amerika Serikat / Kanada https://na.uemauth.vmwservices.com
Inggris Raya /Jerman https://emea.uemauth.vmwservices.com
Australia / APAC https://apac.uemauth.vmwservices.com
Lingkungan UAT https://uat.uemauth.vmwservices.com
  • Data Connectors Grid (dikonfigurasi di portal)



Windows Kejadian DNS melalui AMA

Dukungan oleh:Microsoft Corporation

Konektor log DNS Windows memungkinkan Anda untuk dengan mudah memfilter dan mengalirkan semua log analitik dari server DNS Windows Anda ke ruang kerja Microsoft Sentinel Anda menggunakan agen Pemantauan Azure (AMA). Memiliki data ini di Microsoft Sentinel membantu Anda mengidentifikasi masalah dan ancaman keamanan seperti:

  • Mencoba mengatasi nama domain berbahaya.
  • Catatan sumber daya kedaluarsa.
  • Nama domain yang sering dikueri dan klien DNS yang berbicara.
  • Serangan dilakukan di server DNS.

Anda bisa mendapatkan wawasan berikut ke server DNS Windows Anda dari Microsoft Sentinel:

  • Semua log terpusat di satu tempat.
  • Meminta beban di server DNS.
  • Kegagalan pendaftaran DNS dinamis.

Windows peristiwa DNS didukung oleh Model Informasi SIEM Tingkat Lanjut (ASIM) dan mengalirkan data ke dalam tabel ASimDnsActivityLogs. Pelajari lebih lanjut.

Untuk informasi selengkapnya, lihat dokumentasi Microsoft Azure Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
ASimDnsActivityLogs Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Firewall Windows

Dukungan oleh:Microsoft Corporation

Windows Firewall adalah aplikasi Microsoft Windows yang memfilter informasi yang masuk ke sistem Anda dari Internet dan memblokir program yang berpotensi berbahaya. Perangkat lunak memblokir sebagian besar program untuk berkomunikasi melalui firewall. Pengguna cukup menambahkan program ke daftar program yang diizinkan untuk memungkinkannya berkomunikasi melalui firewall. Saat menggunakan jaringan publik, Windows Firewall juga dapat mengamankan sistem dengan memblokir semua upaya yang tidak diminta untuk tersambung ke komputer Anda. Untuk informasi selengkapnya, lihat dokumentasi Microsoft Azure Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Windows Peristiwa Firewall melalui AMA

Dukungan oleh:Microsoft Corporation

Windows Firewall adalah aplikasi Microsoft Windows yang memfilter informasi yang masuk ke sistem Anda dari internet dan memblokir program yang berpotensi berbahaya. Perangkat lunak firewall memblokir sebagian besar program untuk berkomunikasi melalui firewall. Untuk mengalirkan log aplikasi Windows Firewall yang dikumpulkan dari komputer Anda, gunakan agen Azure Monitor (AMA) untuk mengalirkan log tersebut ke ruang kerja Microsoft Sentinel.

Titik akhir pengumpulan data (DCE) yang dikonfigurasi harus ditautkan dengan aturan pengumpulan data (DCR) yang dibuat agar AMA mengumpulkan log. Untuk konektor ini, DCE secara otomatis dibuat di wilayah yang sama dengan ruang kerja. Jika Anda sudah menggunakan DCE yang disimpan di wilayah yang sama, Anda dapat mengubah DCE yang dibuat secara default dan menggunakan DCE yang sudah ada melalui API. DCEs dapat ditemukan di sumber daya Anda dengan awalan SentinelDCE dalam nama sumber daya.

Untuk informasi lebih lanjut, baca artikel berikut:

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Windows Peristiwa yang Diteruskan

Dukungan oleh:Microsoft Corporation

Anda dapat melakukan streaming semua log Windows Event Forwarding (WEF) dari Server Windows yang tersambung ke ruang kerja Microsoft Sentinel Anda menggunakan Agen Azure Monitor (AMA). Koneksi ini memungkinkan Anda melihat dasbor, membuat pemberitahuan kustom, dan meningkatkan penyelidikan. Hal ini memberi Anda lebih banyak wawasan tentang jaringan organisasi dan meningkatkan kemampuan operasi keamanan Anda. Untuk informasi selengkapnya, lihat dokumentasi Microsoft Azure Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
WindowsEvent Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Keamanan Windows Peristiwa melalui AMA

Dukungan oleh:Microsoft Corporation

Anda dapat melakukan streaming semua peristiwa keamanan dari komputer Windows yang tersambung ke ruang kerja Microsoft Azure Sentinel Anda menggunakan agen Windows. Koneksi ini memungkinkan Anda melihat dasbor, membuat pemberitahuan kustom, dan meningkatkan penyelidikan. Hal ini memberi Anda lebih banyak wawasan tentang jaringan organisasi dan meningkatkan kemampuan operasi keamanan Anda. Untuk informasi selengkapnya, lihat dokumentasi Microsoft Azure Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
SecurityEvent Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Untuk mengumpulkan data dari VM non-Azure, mereka harus menginstal dan mengaktifkan Azure Arc. Pelajari lebih lanjut

Instruksi Penyetelan:

Mengaktifkan aturan pengumpulan data

Log Peristiwa Keamanan hanya dikumpulkan dari agen Windows.

  • Pasang Agen: <nilai variabel yang disediakan pada waktu penginstalan>



WithSecure Elements (CCF)

Didukung oleh:WithSecure

Event keamanan WithSecure Elements dimasukkan melalui Codeless Connector Framework (CCF) dari Microsoft Sentinel — sebuah deployment SaaS penuh tanpa Azure Function, Storage Account, atau Key Vault untuk dikelola.

Konektor melakukan polling pada API acara keamanan WithSecure Elements dan menyimpan peristiwa yang dinormalisasi di WsSecurityEvents_CL tabel Log Analytics.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
WsSecurityEvents_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Kredensial klien WithSecure Elements API: Kredensial klien diperlukan. Lihat panduan pengguna untuk detailnya.

Instruksi Penyetelan:

Buat kredensial API WithSecure Elements

Ikuti panduan pengguna untuk membuat kredensial Elements API. Simpan ID klien dan rahasia klien di tempat yang aman.

Hubungkan WithSecure Elements ke Microsoft Sentinel

Berikan URL API Elements bersama dengan client id dan client secret yang Anda buat pada langkah sebelumnya, lalu klik Connect untuk mulai mengingest event.



WithSecure Elements API (Fungsi Azure)

Didukung oleh:WithSecure

[Deprecated] Konektor berbasis fungsi Azure ini sudah tidak aktif dan tidak lagi dipelihara secara aktif. Silakan gunakan solusi WithSecure Elements via Codeless Connector Framework (CCF) sebagai gantinya, yang menyediakan penghapusan data yang sama tanpa perlu menerapkan dan memelihara Fungsi Azure. Penerapan baru harus menggunakan solusi CCF.

WithSecure Elements adalah platform keamanan cyber berbasis cloud terpadu yang dirancang untuk mengurangi risiko, kompleksitas, dan inefisiensi.

Tingkatkan keamanan Anda dari titik akhir ke aplikasi cloud Anda. Persiapkan diri Anda terhadap setiap jenis ancaman cyber, dari serangan yang ditargetkan hingga ransomware nol hari.

WithSecure Elements menggabungkan kemampuan keamanan prediktif, pencegahan, dan responsif yang kuat - semua dikelola dan dipantau melalui satu pusat keamanan. Struktur modular dan model harga fleksibel kami memberi Anda kebebasan untuk berevolusi. Dengan keahlian dan wawasan kami, Anda akan selalu diberdayakan - dan Anda tidak akan pernah sendirian.

Dengan integrasi Microsoft Sentinel, Anda dapat menghubungkan peristiwa keamanan dari solusi WithSecure Elements dengan data dari sumber lain, memungkinkan gambaran umum yang kaya tentang seluruh lingkungan Anda dan reaksi ancaman yang lebih cepat.

Dengan solusi ini Azure Function disebarkan ke penyewa Anda, polling secara berkala untuk peristiwa keamanan WithSecure Elements.

Untuk informasi lebih lanjut, kunjungi situs web kami di: https://www.withsecure.com.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
WsSecurityEvents_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

Instruksi Penyetelan:

1. Buat kredensial WITHSecure Elements API

Ikuti panduan pengguna untuk membuat kredensial Elements API. Simpan kredensial di tempat yang aman.

2. Buat aplikasi Microsoft Entra

Buat aplikasi dan kredensial Microsoft Entra baru. Ikuti instruksi dan simpan nilai ID Direktori (penyewa), ID Objek, ID Aplikasi (klien) dan Rahasia Klien (dari bidang kredensial klien). Ingatlah untuk menyimpan Rahasia Klien di tempat yang aman.

3. Sebarkan Aplikasi Fungsi

CATATAN: Konektor ini menggunakan Azure Functions untuk menarik log dari WithSecure Elements. Ini dapat mengakibatkan biaya penyerapan data tambahan. Periksa halaman harga Azure Functions untuk detailnya.

(Langkah Opsional) Simpan kredensial klien Microsoft Entra dengan aman dan kredensial klien WithSecure Elements API di Azure Key Vault. Azure Key Vault menyediakan mekanisme aman untuk menyimpan dan mengambil nilai kunci. Ikuti instruksi ini untuk menggunakan Azure Key Vault dengan Aplikasi Fungsi Azure.

PENTING: Sebelum menyebarkan konektor WithSecure Elements, miliki Nama Ruang Kerja (dapat disalin dari yang berikut), data dari ID Microsoft Entra (Direktori (penyewa), ID Objek, ID Aplikasi (klien) dan Rahasia Klien), serta kredensial klien WithSecure Elements, tersedia dengan mudah.

  • Nama Ruang Kerja: <nilai variabel yang disediakan pada waktu penginstalan>

Menyebarkan semua sumber daya yang terkait dengan konektor

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.ms

  2. Pilih Langganan, Grup Sumber Daya, dan Lokasi pilihan.

  3. Masukkan ID Ruang Kerja, ID Klien Entra, Rahasia Klien Entra, ID Penyewa Entra, ID Klien API Elements, Rahasia Klien API Elements.

Catatan: Jika menggunakan rahasia Azure Key Vault untuk salah satu nilai di atas, gunakan@Microsoft.KeyVault(SecretUri={Security Identifier})skema sebagai pengganti nilai string. Lihat dokumentasi referensi Key Vault untuk detail lebih lanjut. 4. Anda juga dapat mengisi bidang opsional: Url API elemen, Mesin, Grup Mesin. Gunakan nilai default url Elements API kecuali Anda memiliki beberapa kasus khusus. Peta Mesin dan Grup Mesin ke parameter permintaan peristiwa keamanan, isi parameter tersebut jika Anda hanya tertarik pada peristiwa dari mesin atau grup mesin tertentu, jika Anda ingin menerima semua peristiwa keamanan meninggalkan bidang dengan nilai default. 5. Tandai kotak centang berlabel Saya menyetujui syarat dan ketentuan yang dinyatakan di atas. 6. Klik Beli untuk menyebarkan.



Wiz untuk Microsoft Sentinel

Didukung oleh:Wiz

Integrasi Wiz mendorong Wiz Issues, Detections, dan Audit Logs ke Microsoft Sentinel secara real time. Wiz mengirim data ke Data Collection Endpoint menggunakan Wiz service principal, sehingga tidak ada Azure Function untuk dihosting dan tidak ada kunci bersama yang harus dikelola. Konektor ini memberikan prinsipal layanan RBAC dengan hak istimewa terkecil yang dibutuhkan; Wiz kemudian membuat aturan pengumpulan data dan tabel, lalu mulai mendorong setelah Anda mengonfigurasi integrasi di portal Wiz.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
WizIssuesV3_CL Yes Yes
WizDetectionsV3_CL Yes Yes
WizAuditLogsV3_CL No No

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Izin langganan: Administrator Akses Pemilik atau Pengguna di langganan diperlukan untuk membuat definisi peran kustom (Microsoft. Otorisasi/peranDefinisi/tulis).
  • Izin Microsoft Entra: Izin untuk membaca (dan, jika aplikasi Wiz enterprise belum disetujui, membuat) Wiz service principal dalam Microsoft Entra ID.

Instruksi Penyetelan:

LANGKAH 1 - Dapatkan ID objek prinsipal layanan Wiz

ARM tidak dapat menyelesaikan objek Microsoft Entra, jadi Anda menyediakan ID objek Wiz service principal. Di Azure Cloud Shell (tidak perlu instalasi lokal; membuat service principal memerlukan izin untuk mendaftarkan aplikasi perusahaan di Microsoft Entra ID) jalankan baris di bawah ini — ia mencetak ID objek, membuat service principal terlebih dahulu jika belum ada di tenant Anda:

az ad sp show --id ae69b94b-e367-4660-9b35-cfb4b5966728 --query id -o tsv 2>/dev/null \
  || az ad sp create --id ae69b94b-e367-4660-9b35-cfb4b5966728 --query id -o tsv

LANGKAH 2 - Berikan Wiz RBAC

Terapkan peran dan penugasan khusus ke dalam grup sumber daya yang menjadi host workspace ini. Tempel ID objek dari Langkah 1 (dan, opsional, ID sumber daya Data Collection Endpoint).

  1. Klik Sebarkan peran Wiz RBAC:

    portal.azure.com

  2. Pilih grup Langganan dan Sumber Daya yang menjadi host workspace ini.

  3. Masukkan wizPrincipalObjectId (dari Langkah 1); opsional dataCollectionEndpointId.

  4. Tinjau + buat.

  • ID Sumber Daya Workspace: <nilai variabel yang disediakan saat instalasi>

LANGKAH 3 - Konfigurasikan integrasi di Wiz

Di Wiz, buka Pengaturan > Integrasi > Tambahkan > Microsoft Sentinel. Tempel Tenant ID, Workspace Resource ID, dan Data Collection Endpoint Resource ID, centang Deployment completed, lalu simpan. Wiz kemudian membuat aturan pengumpulan data dan tabel serta mulai mendorong Issues, Detections, dan Audit Logs ke workspace ini.



Aktivitas Pengguna Workday (melalui Codeless Connector Framework)

Dukungan oleh:Microsoft Corporation

Konektor data Aktivitas Pengguna Workday menyediakan kemampuan untuk menyerap Log Aktivitas Pengguna dari API Workday ke dalam Microsoft Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
ASimAuditEventLogs Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Akses API Aktivitas Pengguna Workday: Akses ke API aktivitas pengguna Workday melalui OAuth diperlukan. Klien API harus memiliki cakupan: Sistem dan perlu diotorisasi oleh akun dengan izin Audit Sistem.

Instruksi Penyetelan:

Hubungkan Workday ke Microsoft Sentinel

  1. Di Workday, akses tugas "Edit Penyetelan Penyewa - Keamanan", verifikasi bagian "Pengaturan OAuth 2.0", pastikan bahwa kotak centang "Klien OAuth 2.0 Diaktifkan" dicentang.
  2. Di Workday, akses tugas "Edit Penyetelan Penyewa - Sistem", verifikasi bagian "Pengelogan Aktivitas Pengguna", pastikan bahwa kotak centang "Aktifkan Pengelogan Aktivitas Pengguna" dicentang.
  3. Di Workday, akses tugas "Daftarkan Klien API".
  4. Tentukan Nama Klien, pilih "Jenis Pemberian Klien": "Pemberian Kode Otorisasi" lalu pilih "Jenis Token Akses": "Pembawa"
  5. Masukkan "URI Pengalihan" yang ditemukan dalam formulir di bawah ini
  6. Di bagian "Scope (Area Fungsional)", pilih "System" dan klik OK di bagian bawah.
  7. Salin ID Klien dan Rahasia Klien sebelum menavigasi jauh dari halaman, dan simpan dengan aman.
  8. Di Sentinel, di halaman konektor - berikan Endpoint Token, Otorisasi, dan Aktivitas Pengguna yang diperlukan, beserta Client ID dan Client Secret dari langkah sebelumnya. Lalu klik "Sambungkan". Anda dapat menemukan nilai endpoint yang tepat dalam laporan "View API Clients" di tenant Workday Anda; host berbeda tergantung lingkungan (misalnya, wd3-impl-services1.workday.com untuk tenant implementasi dan services1.myworkday.com untuk tenant produksi).
  9. Pop-up Workday akan muncul untuk menyelesaikan autentikasi OAuth2 dan otorisasi klien API. Di sini Anda perlu memberikan kredensial untuk akun Workday dengan izin "Audit Sistem" di Workday (dapat berupa akun Workday atau Pengguna Sistem Integrasi).
  10. Setelah selesai, pesan akan ditampilkan untuk mengotorisasi klien API Anda
  • Alias Koneksi: (Produksi atau Implementasi)

Catatan: Masukkan alias unik untuk mengidentifikasi koneksi Workday ini. Penting: Gunakan alias berbeda untuk setiap tenant/domain. Untuk memperbarui koneksi yang sudah ada, gunakan alias yang sama atau hapus dan buat ulang.

  • Endpoint Token: (Contoh, https://{workdayServicesHost}/ccx/oauth2/{tenantName}/token)
  • Titik Akhir Otorisasi: (Contoh, https://{workdayHost}/{tenantName}/authorize)
  • Endpoint Log Aktivitas Pengguna (berakhir dengan /activityLogging): (Contoh, https://{workdayServicesHost}/ccx/api/privacy/v1/{tenantName}/activityLogging)
  • Data Connectors Grid (dikonfigurasi di portal)



Workplace dari Facebook (menggunakan Azure Functions)

Dukungan oleh:Microsoft Corporation

Konektor data Workplace menyediakan kemampuan untuk menyerap peristiwa Workplace umum ke dalam Microsoft Sentinel melalui Webhook. Webhooks memungkinkan aplikasi integrasi khusus untuk berlangganan peristiwa di Workplace dan menerima pembaruan secara real time. Ketika perubahan terjadi di Workplace, permintaan HTTPS POST dengan informasi peristiwa dikirim ke URL konektor data panggilan balik. Lihat dokumentasi Webhooks untuk informasi selengkapnya. Konektor memungkinkan pengambilan peristiwa untuk menilai potensi risiko keamanan, memantau kolaborasi, dan mendiagnosis dan memecahkan masalah konfigurasi.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
Workplace_Facebook_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Microsoft. Izin web/situs: Izin baca dan tulis ke Azure Functions untuk membuat Aplikasi Fungsi diperlukan. Untuk informasi selengkapnya, lihat Azure Functions.
  • Kredensial/izin Webhooks: WorkplaceAppSecret, WorkplaceVerifyToken, URL Callback diperlukan untuk Webhook yang berfungsi. Lihat dokumentasi untuk mempelajari selengkapnya tentang mengonfigurasi Webhook, mengonfigurasi izin.

Instruksi Penyetelan:

CATATAN: Konektor data ini menggunakan Azure Functions berdasarkan Pemicu HTTP untuk menunggu permintaan POST dengan log untuk menarik lognya ke Microsoft Sentinel. Ini dapat mengakibatkan biaya penyerapan data tambahan. Periksa halaman harga Azure Functions untuk detailnya.

(Langkah Opsional) Simpan ruang kerja dan kunci otorisasi API atau token dengan aman di Azure Key Vault. Azure Key Vault menyediakan mekanisme aman untuk menyimpan dan mengambil nilai kunci. Ikuti petunjuk berikut untuk menggunakan Azure Key Vault dengan Aplikasi Azure Functions.

CATATAN: Konektor data ini tergantung pada pengurai berdasarkan Fungsi Kusto untuk bekerja seperti yang diharapkan yang disebarkan sebagai bagian dari solusi. Untuk melihat kode fungsi di Log Analytics, buka bilah Log Log Analytics/Microsoft Sentinel, klik Fungsi dan cari alias WorkplaceFacebook dan muat kode fungsi atau klik di sini pada baris kedua kueri, masukkan nama host perangkat Facebook Tempat Kerja Anda dan pengidentifikasi unik lainnya untuk logstream. Fungsi ini biasanya membutuhkan waktu 10-15 menit untuk diaktifkan setelah penginstalan/pembaruan solusi.

LANGKAH 1 - Langkah konfigurasi untuk Tempat Kerja

Ikuti instruksi untuk mengonfigurasi Webhook.

  1. Masuk ke Workplace dengan kredensial pengguna Admin.
  2. Di panel Admin, klik Integrasi.
  3. Dalam tampilan Semua integrasi, klik Buat integrasi kustom
  4. Masukkan nama dan deskripsi dan klik Buat.
  5. Di panel Detail integrasi, tampilkan Rahasia aplikasi dan salin.
  6. Di pannel Izin integrasi atur semua izin baca. Lihat halaman izin untuk detailnya.
  7. Sekarang lanjutkan ke LANGKAH 2 untuk mengikuti langkah-langkah (tercantum di Opsi 1 atau 2) untuk Menyebarkan Fungsi Azure.
  8. Masukkan parameter yang diminta dan masukkan juga Token pilihan. Salin Token ini / Catat untuk langkah mendatang.
  9. Setelah penyebaran Azure Functions berhasil diselesaikan, buka halaman Aplikasi Fungsi, pilih aplikasi Anda, buka Functions, klik Dapatkan URL Fungsi dan salin ini / Catat untuk langkah mendatang.
  10. Kembali ke Workplace dari Facebook. Di panel Konfigurasikan webhook pada setiap Tab atur URL Panggilan Balik sebagai nilai yang sama dengan yang Anda salin di titik 9 di atas dan Verifikasi token sebagai nilai yang sama dengan yang Anda salin di titik 8 di atas yang diperoleh selama LANGKAH 2 penyebaran Azure Functions.
  11. Klik Simpan.

LANGKAH 2 - Pilih ONE dari dua opsi penyebaran berikut untuk menyebarkan konektor dan Azure Functions terkait

PENTING: Sebelum menyebarkan konektor data Workplace, miliki ID Ruang Kerja dan Kunci Primer Ruang Kerja (dapat disalin dari yang berikut).

  • ID ruang kerja: <nilai variabel yang disediakan pada waktu penginstalan>
  • Kunci Primer: <nilai variabel yang disediakan pada waktu penginstalan>

Opsi 1 - Templat Azure Resource Manager (ARM)

Gunakan metode ini untuk penyebaran otomatis konektor data Workplace menggunakan ARM Tempate.

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.msaka.ms

  2. Pilih Langganan, Grup Sumber Daya, dan Lokasi pilihan.

CATATAN: Dalam grup sumber daya yang sama, Anda tidak dapat mencampur aplikasi Windows dan Linux di wilayah yang sama. Pilih grup sumber daya yang ada tanpa Windows aplikasi di dalamnya atau buat grup sumber daya baru. 3. Masukkan WorkplaceVerifyToken (dapat berupa ekspresi apa pun, salin dan simpan untuk LANGKAH 1), WorkplaceAppSecret dan sebarkan. 4. Tandai kotak centang berlabel Saya menyetujui syarat dan ketentuan yang dinyatakan di atas. 5. Klik Beli untuk menyebarkan. 6. Setelah menyebarkan halaman Buka Aplikasi Fungsi, pilih aplikasi Anda, buka Fungsi dan klik Dapatkan Url Fungsi salin dan ikuti p.7 dari LANGKAH 1.

Opsi 2 - Penyebaran manual Azure Functions

Gunakan instruksi langkah demi langkah berikut untuk menyebarkan konektor data Sophos Endpoint Protection secara manual dengan Azure Functions (Penyebaran melalui Visual Studio Code).

Langkah 1 - Menyebarkan Aplikasi Fungsi

CATATAN: Anda harus menyiapkan kode VS untuk pengembangan fungsi Azure.

  1. Unduh file Aplikasi Fungsi Azure. Ekstrak arsip ke komputer pengembangan lokal Anda.
  2. Ikuti instruksi penyebaran manual aplikasi fungsi untuk menyebarkan aplikasi Azure Functions menggunakan VSCode.
  3. Setelah penyebaran aplikasi fungsi berhasil, ikuti langkah berikutnya untuk mengonfigurasinya.

Langkah 2 - Mengonfigurasi Aplikasi Fungsi

  1. Di Aplikasi Fungsi, pilih Nama Aplikasi Fungsi dan pilih Konfigurasi.
  2. Di tab Pengaturan aplikasi, pilih Pengaturan aplikasi baru.
  3. Tambahkan masing-masing pengaturan aplikasi berikut satu per satu, dengan nilai string masing-masing (peka huruf besar/kecil): WorkplaceAppSecret WorkplaceVerifyToken WorkspaceID WorkspaceID WorkspaceID logAnalyticsUri (opsional)
  • Gunakan logAnalyticsUri untuk mengambil alih titik akhir API analitik log untuk cloud khusus. Misalnya, untuk cloud publik, biarkan nilai kosong; untuk Azure lingkungan cloud GovUS, tentukan nilai dalam format berikut: https://<CustomerId>.ods.opinsights.azure.us.
  1. Setelah semua pengaturan aplikasi dimasukkan, klik Simpan.



XBOW Security Platform (melalui Azure Function)

Didukung oleh:XBOW

Konektor data XBOW menyerap rekam jepret aset, temuan kerentanan, dan aktivitas penilaian dari Platform Keamanan XBOW ke dalam Microsoft Sentinel. Fungsi Azure melakukan polling API XBOW pada timer dan mendorong rekam jepret JSON aset ke XbowAssets_CL, temuan yang diperkaya (dengan bukti, resep PoC, dampak, dan mitigasi) ke dalam XbowFindings_CL, dan peristiwa siklus hidup penilaian ke dalam XbowAssessments_CL, menggunakan Azure Monitor Ingestion API (DCE/DCR).

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
XbowAssets_CL No No
XbowFindings_CL No No
XbowAssessments_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Token API XBOW: Token Akses Pribadi XBOW diperlukan. Buat satu di konsol XBOW di bawah Pengaturan > Token Akses Pribadi. Cakupan token ke organisasi yang ingin Anda pantau.
  • ID Organisasi XBOW: ID Organisasi dari akun XBOW Anda. Temukan di URL konsol XBOW atau melalui API.
  • Microsoft. Izin web/situs: Izin baca dan tulis ke Azure Functions untuk membuat Aplikasi Fungsi diperlukan. Untuk informasi selengkapnya, lihat Azure Functions.
  • Prasyarat kustom jika perlu, jika tidak, hapus tag kustom ini: Deskripsi untuk prasyarat kustom apa pun
  • Azure Pendaftaran Aplikasi AD: Pendaftaran Aplikasi AD Azure (perwakilan layanan) diperlukan. Anda harus menetapkan metrik Monitoring secara manual Publisher peran pada Aturan Pengumpulan Data (DCR) ke Pendaftaran Aplikasi ini setelah penyebaran.

Instruksi Penyetelan:

CATATAN: Konektor ini menggunakan Azure Functions dan Azure Monitor Ingestion API (DCE/DCR) untuk menyerap aset, temuan, dan penilaian XBOW ke dalam Microsoft Sentinel. Templat ARM secara otomatis membuat Titik Akhir Pengumpulan Data, tabel log kustom (XbowAssets_CL, XbowFindings_CL, dan XbowAssessments_CL), Aturan Pengumpulan Data, dan Aplikasi Fungsi. Ini dapat mengakibatkan biaya penyerapan data tambahan. Periksa halaman harga Azure Functions dan halaman harga Azure Monitor untuk detailnya.

(Langkah Opsional) Simpan kredensial Token XBOW API dan Pendaftaran Aplikasi Anda dengan aman di Azure Key Vault. Ikuti instruksi ini untuk menggunakan referensi Azure Key Vault dengan Aplikasi Fungsi Azure.

LANGKAH 1 – Hasilkan Token API XBOW

  1. Masuk ke konsol XBOW dengan akses administrator.
  2. Klik ikon profil Anda (kanan atas) dan pilih Pengaturan.
  3. Di bilah sisi kiri, klik Token Akses Pribadi.
  4. Klik Buat token baru, berikan nama, dan pilih cakupan organisasi.
  5. Salin dan simpan token Anda dengan aman — token tersebut tidak akan ditampilkan lagi.
  6. Perhatikan ID Organisasi Anda dari konsol XBOW atau dari URL saat melihat organisasi Anda.

LANGKAH 2 - Membuat Pendaftaran Aplikasi ad Azure dan Memberikan Peran DCR

  1. Di portal Azure, navigasikan ke Azure Active Directory > Pendaftaran aplikasi > Pendaftaran baru.
  2. Berikan nama (misalnya Xbow-Sentinel-Connector) dan daftar.
  3. Di bawah Sertifikat & rahasia, buat rahasia klien baru. Perhatikan ID Penyewa, ID Klien, dan Rahasia Klien.
  4. Sebarkan konektor menggunakan Langkah 3 di bawah ini, lalu kembali ke sini.
  5. Buka Aturan Pengumpulan Data yang disebarkan (dari output penyebaran atau dengan mencari di grup sumber daya).
  6. Buka Kontrol akses (IAM) > Tambahkan penetapan peran.
  7. Pilih peran Publisher Metrik Pemantauan.
  8. Tetapkan akses ke Pendaftaran Aplikasi (perwakilan layanan) yang dibuat di atas.
  9. Tunggu beberapa menit untuk penyebaran RBAC sebelum memverifikasi penyerapan.

LANGKAH 3 – Menyebarkan Aplikasi Fungsi Azure

Klik Sebarkan untuk Azure dan isi parameter. Templat akan secara otomatis membuat Titik Akhir Pengumpulan Data, XbowAssets_CL, , XbowFindings_CLdan XbowAssessments_CL tabel, Aturan Pengumpulan Data, dan Aplikasi Fungsi.

aka.ms

Parameter yang akan diisi:

Parameter Deskripsi
WorkspaceName Nama ruang kerja Log Analytics/Microsoft Sentinel Anda
XbowApiToken Token Akses Pribadi XBOW dari Langkah 1
XbowOrgId ID Organisasi XBOW dari Langkah 1
TenantId AZURE ID Penyewa AD dari Langkah 2
ClientId ID Klien Pendaftaran Aplikasi dari Langkah 2
ClientSecret Rahasia Klien Pendaftaran Aplikasi dari Langkah 2
AppInsightsWorkspaceResourceID ID Sumber Daya Lengkap ruang kerja Log Analytics (dari Properti ruang > kerja Log Analytics)
FunctionAppLocation Wilayah Azure opsional untuk sumber daya Aplikasi Fungsi (default ke lokasi Grup Sumber Daya)
  • ID ruang kerja: <nilai variabel yang disediakan pada waktu penginstalan>



Segmen Jaringan Nol (Dorong)

Didukung oleh:Zero Networks

Konektor push Zero Networks memungkinkan Zero Network mengirim Audit, Aktivitas Jaringan, Aktivitas Identitas, dan Aktivitas RPC langsung ke Microsoft Sentinel secara real time. Sebarkan konektor untuk membuat Aturan Pengumpulan Data (DCR) dan aplikasi Microsoft Entra; lalu konfigurasikan aplikasi Zero Networks Anda dengan detail koneksi untuk mendorong peristiwa.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
ZNAudit_CL Yes Yes
ZNNetworkActivity_CL Yes Yes
ZNIdentityActivity_CL Yes Yes
ZNRPCActivity_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Microsoft Entra: Izin untuk membuat pendaftaran aplikasi di Microsoft Entra ID. Biasanya memerlukan peran Pengembang Aplikasi Entra ID atau yang lebih tinggi.
  • Microsoft Azure: Izin untuk menetapkan peran Publisher Metrik Pemantauan pada aturan pengumpulan data (DCR). Biasanya memerlukan peran Pemilik RBAC Azure atau Administrator Akses Pengguna.

Instruksi Penyetelan:

1. Buat Sumber Daya ARM dan Berikan Izin yang Diperlukan

Sebarkan konektor push untuk membuat tabel Log Analytics, Aturan Pengumpulan Data (DCR), Titik Akhir Pengumpulan Data (DCE), dan aplikasi Microsoft Entra. Kemudian konfigurasikan aplikasi Zero Networks Anda dengan detail koneksi.

Konfigurasi Otomatis Mengklik "Sebarkan" akan membuat DCR dan DCE, lalu pendaftaran aplikasi Microsoft Entra dengan rahasia klien dan memberikan izin pada DCR. Aplikasi Anda kemudian dapat mengirim data dengan aman menggunakan kredensial klien OAuth 2.0.

2. Mengonfigurasi Aplikasi Zero Networks Anda

Gunakan nilai berikut untuk mengonfigurasi aplikasi Zero Networks Anda untuk mendorong Audit, Aktivitas Jaringan, Aktivitas Identitas, dan Aktivitas RPC ke Microsoft Sentinel.

  • ID Penyewa (ID Direktori): <nilai variabel yang disediakan pada waktu penginstalan>
  • ID Aplikasi Entra: <nilai variabel yang disediakan pada waktu penginstalan>
  • Rahasia Aplikasi Entra: <nilai variabel yang disediakan pada waktu penginstalan>
  • URI Titik Akhir Pengumpulan Data: <nilai variabel yang disediakan pada waktu penginstalan>
  • ID Tidak Dapat Diubah Aturan Pengumpulan Data: <nilai variabel yang disediakan pada waktu penginstalan>
  • Stream: Audit: <nilai variabel yang disediakan pada waktu penginstalan>
  • Aliran: Aktivitas Jaringan: <nilai variabel yang disediakan pada waktu penginstalan>
  • Aliran: Aktivitas Identitas: <nilai variabel yang disediakan pada waktu penginstalan>
  • Aliran: Aktivitas RPC: <nilai variabel yang disediakan pada waktu penginstalan>



Audit Segmen Jaringan Nol

Didukung oleh:Zero Networks

Konektor data Zero Networks Segment Audit menyediakan kemampuan untuk menyerap peristiwa Audit Zero Networks ke dalam Microsoft Sentinel melalui REST API. Konektor data ini menggunakan kemampuan polling asli Microsoft Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
ZNSegmentAuditNativePoller_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Token API Zero Networks: ZeroNetworksAPIToken diperlukan untuk REST API. Lihat Panduan API dan ikuti instruksi untuk mendapatkan kredensial.

Instruksi Penyetelan:

Sambungkan Zero Networks ke Microsoft Sentinel

Masukkan URL API Zero Networks (misalnya portal.zeronetworks.com). Konektor menambahkan https:// dan /api/v1/audit secara otomatis. Kemudian berikan kunci API Anda dan klik Sambungkan.

  • URL API Zero Networks: (portal.zeronetworks.com)
  • ApiKey: (ApiKey)
  • Aktifkan/Nonaktifkan Koneksi
  • Data Connectors Grid (dikonfigurasi di portal)



Pemberitahuan ZeroFox

Didukung oleh:ZeroFox

Mengumpulkan pemberitahuan dari ZeroFox API.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
ZeroFoxAlertPoller_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Kunci API Integrasi ZeroFox: Kunci API Integrasi ZeroFox diperlukan. Minta di integrations@zerofox.com.

Instruksi Penyetelan:

Menyambungkan ZeroFox ke Microsoft Sentinel

Untuk mengaktifkan konektor, berikan informasi yang diperlukan di bawah ini dan klik Sambungkan.

  • Berikan Kunci API Integrasi ZeroFox Anda: (Kunci API Integrasi ZeroFox)
  • Aktifkan/Nonaktifkan Koneksi



ZeroFox CTI

Didukung oleh:ZeroFox

Konektor data ZeroFox CTI menyediakan kemampuan untuk menyerap peringatan inteligensi ancaman cyber ZeroFox yang berbeda ke dalam Microsoft Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
ZeroFox_CTI_advanced_dark_web_CL No No
ZeroFox_CTI_botnet_CL No No
ZeroFox_CTI_breaches_CL No No
ZeroFox_CTI_C2_CL No No
ZeroFox_CTI_compromised_credentials_CL No No
ZeroFox_CTI_credit_cards_CL No No
ZeroFox_CTI_dark_web_CL No No
ZeroFox_CTI_discord_CL No No
ZeroFox_CTI_disruption_CL No No
ZeroFox_CTI_email_addresses_CL No No
ZeroFox_CTI_exploits_CL No No
ZeroFox_CTI_irc_CL No No
ZeroFox_CTI_malware_CL No No
ZeroFox_CTI_national_ids_CL No No
ZeroFox_CTI_phishing_CL No No
ZeroFox_CTI_phone_numbers_CL No No
ZeroFox_CTI_ransomware_CL No No
ZeroFox_CTI_telegram_CL No No
ZeroFox_CTI_threat_actors_CL No No
ZeroFox_CTI_vulnerabilities_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Microsoft. Izin web/situs: Izin baca dan tulis ke Azure Functions untuk membuat Aplikasi Fungsi diperlukan. Untuk informasi selengkapnya, lihat Azure Functions.
  • Kredensial/izin ZEROFox API: Nama Pengguna ZeroFox, Token Akses Pribadi ZeroFox diperlukan untuk ZEROFox CTI REST API.

Instruksi Penyetelan:

CATATAN: Konektor ini menggunakan Azure Functions untuk menyambungkan ke ZeroFox CTI REST API untuk menarik log ke Microsoft Sentinel. Ini dapat mengakibatkan biaya penyerapan data tambahan. Periksa halaman harga Azure Functions untuk detailnya.

(Langkah Opsional) Simpan ruang kerja dan kunci otorisasi API atau token dengan aman di Azure Key Vault. Azure Key Vault menyediakan mekanisme aman untuk menyimpan dan mengambil nilai kunci. Ikuti instruksi ini untuk menggunakan Azure Key Vault dengan Aplikasi Fungsi Azure.

LANGKAH 1 - Pengambilan kredensial ZeroFox:

Ikuti instruksi ini untuk menyiapkan pengelogan dan mendapatkan kredensial.

  1. Masuk ke situs web ZeroFox. menggunakan nama pengguna dan kata sandi Anda 2 - Klik tombol Pengaturan dan buka Bagian Konektor Data. 3 - Pilih tab UMPAN DATA API dan buka bagian bawah halaman, pilih <<Reset>> di kotak Informasi API, untuk mendapatkan Token Akses Pribadi yang akan digunakan bersama dengan nama pengguna Anda.

LANGKAH 2 - Sebarkan konektor data Fungsi Azure menggunakan templat Azure Resource Manager:

PENTING: Sebelum menyebarkan konektor data ZeroFox CTI, miliki ID Ruang Kerja dan Kunci Primer Ruang Kerja (dapat disalin dari yang berikut), tersedia dengan mudah.

  • ID ruang kerja: <nilai variabel yang disediakan pada waktu penginstalan>
  • Kunci Primer: <nilai variabel yang disediakan pada waktu penginstalan>

Menyiapkan sumber daya untuk penyebaran.

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.ms

  2. Pilih Langganan, Grup Sumber Daya, Ruang Kerja analitik log, dan Lokasi pilihan.

  3. Masukkan ID Ruang Kerja, Kunci Ruang Kerja, Nama Pengguna ZeroFox, Token Akses Pribadi ZeroFox

  5. Klik Tinjau + Buat untuk menyebarkan.



ZeroFox Enterprise - Web Gelap Lanjutan

Didukung oleh:ZeroFox

Mengumpulkan data dark web canggih dari API ZeroFox ke Microsoft Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
ZeroFoxAdvancedDarkWeb_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • ZeroFox Personal Access Token (PAT): Pat ZeroFox diperlukan. Anda bisa mendapatkannya di > Konektor Data.

Instruksi Penyetelan:

Menyambungkan ZeroFox ke Microsoft Sentinel

Untuk mengaktifkan konektor, berikan informasi yang diperlukan di bawah ini dan klik Sambungkan.

  • Berikan nama pengguna akun ZeroFox Anda: (Nama Akun Zerofox)
  • Berikan Pat ZeroFox Anda: (Zerofox PAT)
  • Aktifkan/Nonaktifkan Koneksi



ZeroFox Enterprise - Pemberitahuan (Polling CCF)

Didukung oleh:ZeroFox

Mengumpulkan pemberitahuan dari ZeroFox API.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
ZeroFoxAlertPoller_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • ZeroFox Personal Access Token (PAT): Pat ZeroFox diperlukan. Anda bisa mendapatkannya di > Konektor Data.

Instruksi Penyetelan:

Menyambungkan ZeroFox ke Microsoft Sentinel

Menyambungkan ZeroFox ke Microsoft Sentinel

  • Berikan Pat ZeroFox Anda: (Zerofox PAT)
  • Aktifkan/Nonaktifkan Koneksi



ZeroFox Enterprise - Botnet

Didukung oleh:ZeroFox

Mengumpulkan data botnet dari API ZeroFox ke Microsoft Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
ZeroFoxBotnet_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • ZeroFox Personal Access Token (PAT): Pat ZeroFox diperlukan. Anda bisa mendapatkannya di > Konektor Data.

Instruksi Penyetelan:

Menyambungkan ZeroFox ke Microsoft Sentinel

Untuk mengaktifkan konektor, berikan informasi yang diperlukan di bawah ini dan klik Sambungkan.

  • Berikan nama pengguna akun ZeroFox Anda: (Nama Akun Zerofox)
  • Berikan Pat ZeroFox Anda: (Zerofox PAT)
  • Aktifkan/Nonaktifkan Koneksi



ZeroFox Enterprise - Kredensial Botnet yang Dikompromikan

Didukung oleh:ZeroFox

Mengumpulkan data kredensial yang telah dikompromikan botnet dari API ZeroFox ke Microsoft Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
ZeroFoxBotnetCC_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • ZeroFox Personal Access Token (PAT): Pat ZeroFox diperlukan. Anda bisa mendapatkannya di > Konektor Data.

Instruksi Penyetelan:

Menyambungkan ZeroFox ke Microsoft Sentinel

Untuk mengaktifkan konektor, berikan informasi yang diperlukan di bawah ini dan klik Sambungkan.

  • Berikan nama pengguna akun ZeroFox Anda: (Nama Akun Zerofox)
  • Berikan Pat ZeroFox Anda: (Zerofox PAT)
  • Aktifkan/Nonaktifkan Koneksi



ZeroFox Enterprise - Pelanggaran

Didukung oleh:ZeroFox

Mengumpulkan data pelanggaran dari API ZeroFox ke Microsoft Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
ZeroFoxBreaches_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • ZeroFox Personal Access Token (PAT): Pat ZeroFox diperlukan. Anda bisa mendapatkannya di > Konektor Data.

Instruksi Penyetelan:

Menyambungkan ZeroFox ke Microsoft Sentinel

Untuk mengaktifkan konektor, berikan informasi yang diperlukan di bawah ini dan klik Sambungkan.

  • Berikan nama pengguna akun ZeroFox Anda: (Nama Akun Zerofox)
  • Berikan Pat ZeroFox Anda: (Zerofox PAT)
  • Aktifkan/Nonaktifkan Koneksi



ZeroFox Enterprise - Kredensial yang Terkompromi

Didukung oleh:ZeroFox

Mengumpulkan data kredensial yang telah dikompromikan dari API ZeroFox ke Microsoft Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
ZeroFoxCompromisedCredentials_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • ZeroFox Personal Access Token (PAT): Pat ZeroFox diperlukan. Anda bisa mendapatkannya di > Konektor Data.

Instruksi Penyetelan:

Menyambungkan ZeroFox ke Microsoft Sentinel

Untuk mengaktifkan konektor, berikan informasi yang diperlukan di bawah ini dan klik Sambungkan.

  • Berikan nama pengguna akun ZeroFox Anda: (Nama Akun Zerofox)
  • Berikan Pat ZeroFox Anda: (Zerofox PAT)
  • Aktifkan/Nonaktifkan Koneksi



ZeroFox Enterprise - Kartu Kredit

Didukung oleh:ZeroFox

Mengumpulkan data kartu kredit dari API ZeroFox ke Microsoft Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
ZeroFoxCreditCards_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • ZeroFox Personal Access Token (PAT): Pat ZeroFox diperlukan. Anda bisa mendapatkannya di > Konektor Data.

Instruksi Penyetelan:

Menyambungkan ZeroFox ke Microsoft Sentinel

Untuk mengaktifkan konektor, berikan informasi yang diperlukan di bawah ini dan klik Sambungkan.

  • Berikan nama pengguna akun ZeroFox Anda: (Nama Akun Zerofox)
  • Berikan Pat ZeroFox Anda: (Zerofox PAT)
  • Aktifkan/Nonaktifkan Koneksi



ZeroFox Enterprise - Dark Web

Didukung oleh:ZeroFox

Mengumpulkan data dark web dari API ZeroFox ke dalam Microsoft Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
ZeroFoxDarkWeb_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • ZeroFox Personal Access Token (PAT): Pat ZeroFox diperlukan. Anda bisa mendapatkannya di > Konektor Data.

Instruksi Penyetelan:

Menyambungkan ZeroFox ke Microsoft Sentinel

Untuk mengaktifkan konektor, berikan informasi yang diperlukan di bawah ini dan klik Sambungkan.

  • Berikan nama pengguna akun ZeroFox Anda: (Nama Akun Zerofox)
  • Berikan Pat ZeroFox Anda: (Zerofox PAT)
  • Aktifkan/Nonaktifkan Koneksi



ZeroFox Enterprise - Discord

Didukung oleh:ZeroFox

Mengumpulkan data discord dari API ZeroFox ke Microsoft Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
ZeroFoxDiscord_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • ZeroFox Personal Access Token (PAT): Pat ZeroFox diperlukan. Anda bisa mendapatkannya di > Konektor Data.

Instruksi Penyetelan:

Menyambungkan ZeroFox ke Microsoft Sentinel

Untuk mengaktifkan konektor, berikan informasi yang diperlukan di bawah ini dan klik Sambungkan.

  • Berikan nama pengguna akun ZeroFox Anda: (Nama Akun Zerofox)
  • Berikan Pat ZeroFox Anda: (Zerofox PAT)
  • Aktifkan/Nonaktifkan Koneksi



ZeroFox Enterprise - Gangguan

Didukung oleh:ZeroFox

Mengumpulkan data gangguan dari API ZeroFox ke Microsoft Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
ZeroFoxDisruption_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • ZeroFox Personal Access Token (PAT): Pat ZeroFox diperlukan. Anda bisa mendapatkannya di > Konektor Data.

Instruksi Penyetelan:

Menyambungkan ZeroFox ke Microsoft Sentinel

Untuk mengaktifkan konektor, berikan informasi yang diperlukan di bawah ini dan klik Sambungkan.

  • Berikan nama pengguna akun ZeroFox Anda: (Nama Akun Zerofox)
  • Berikan Pat ZeroFox Anda: (Zerofox PAT)
  • Aktifkan/Nonaktifkan Koneksi



ZeroFox Enterprise - Alamat Email

Didukung oleh:ZeroFox

Mengumpulkan data alamat email dari API ZeroFox ke dalam Microsoft Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
ZeroFoxEmailAddresses_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • ZeroFox Personal Access Token (PAT): Pat ZeroFox diperlukan. Anda bisa mendapatkannya di > Konektor Data.

Instruksi Penyetelan:

Menyambungkan ZeroFox ke Microsoft Sentinel

Untuk mengaktifkan konektor, berikan informasi yang diperlukan di bawah ini dan klik Sambungkan.

  • Berikan nama pengguna akun ZeroFox Anda: (Nama Akun Zerofox)
  • Berikan Pat ZeroFox Anda: (Zerofox PAT)
  • Aktifkan/Nonaktifkan Koneksi



ZeroFox Enterprise - Eksploitasi

Didukung oleh:ZeroFox

Mengumpulkan data eksploitasi dari API ZeroFox ke Microsoft Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
ZeroFoxExploits_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • ZeroFox Personal Access Token (PAT): Pat ZeroFox diperlukan. Anda bisa mendapatkannya di > Konektor Data.

Instruksi Penyetelan:

Menyambungkan ZeroFox ke Microsoft Sentinel

Untuk mengaktifkan konektor, berikan informasi yang diperlukan di bawah ini dan klik Sambungkan.

  • Berikan nama pengguna akun ZeroFox Anda: (Nama Akun Zerofox)
  • Berikan Pat ZeroFox Anda: (Zerofox PAT)
  • Aktifkan/Nonaktifkan Koneksi



ZeroFox Enterprise - Indikator

Didukung oleh:ZeroFox

Mengumpulkan data indikator dari API ZeroFox ke dalam Microsoft Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
ZeroFoxIndicators_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • ZeroFox Personal Access Token (PAT): Pat ZeroFox diperlukan. Anda bisa mendapatkannya di > Konektor Data.

Instruksi Penyetelan:

Menyambungkan ZeroFox ke Microsoft Sentinel

Untuk mengaktifkan konektor, berikan informasi yang diperlukan di bawah ini dan klik Sambungkan.

  • Berikan nama pengguna akun ZeroFox Anda: (Nama Akun Zerofox)
  • Berikan Pat ZeroFox Anda: (Zerofox PAT)
  • Aktifkan/Nonaktifkan Koneksi



ZeroFox Enterprise - Insiden Kunci

Didukung oleh:ZeroFox

Mengumpulkan data insiden utama dari API ZeroFox ke dalam Microsoft Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
ZeroFoxKeyIncidents_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • ZeroFox Personal Access Token (PAT): Pat ZeroFox diperlukan. Anda bisa mendapatkannya di > Konektor Data.

Instruksi Penyetelan:

Menyambungkan ZeroFox ke Microsoft Sentinel

Untuk mengaktifkan konektor, berikan informasi yang diperlukan di bawah ini dan klik Sambungkan.

  • Berikan nama pengguna akun ZeroFox Anda: (Nama Akun Zerofox)
  • Berikan Pat ZeroFox Anda: (Zerofox PAT)
  • Aktifkan/Nonaktifkan Koneksi



ZeroFox Enterprise - ID Nasional

Didukung oleh:ZeroFox

Mengumpulkan data id nasional dari API ZeroFox ke dalam Microsoft Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
ZeroFoxNationalIds_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • ZeroFox Personal Access Token (PAT): Pat ZeroFox diperlukan. Anda bisa mendapatkannya di > Konektor Data.

Instruksi Penyetelan:

Menyambungkan ZeroFox ke Microsoft Sentinel

Untuk mengaktifkan konektor, berikan informasi yang diperlukan di bawah ini dan klik Sambungkan.

  • Berikan nama pengguna akun ZeroFox Anda: (Nama Akun Zerofox)
  • Berikan Pat ZeroFox Anda: (Zerofox PAT)
  • Aktifkan/Nonaktifkan Koneksi



ZeroFox Enterprise - Ancaman Fisik

Didukung oleh:ZeroFox

Mengumpulkan data ancaman fisik dari API ZeroFox ke dalam Microsoft Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
ZeroFoxPhysicalThreats_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • ZeroFox Personal Access Token (PAT): Pat ZeroFox diperlukan. Anda bisa mendapatkannya di > Konektor Data.

Instruksi Penyetelan:

Menyambungkan ZeroFox ke Microsoft Sentinel

Untuk mengaktifkan konektor, berikan informasi yang diperlukan di bawah ini dan klik Sambungkan.

  • Berikan nama pengguna akun ZeroFox Anda: (Nama Akun Zerofox)
  • Berikan Pat ZeroFox Anda: (Zerofox PAT)
  • Aktifkan/Nonaktifkan Koneksi



ZeroFox Enterprise - Telegram

Didukung oleh:ZeroFox

Mengumpulkan data telegram dari API ZeroFox ke Microsoft Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
ZeroFoxTelegram_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • ZeroFox Personal Access Token (PAT): Pat ZeroFox diperlukan. Anda bisa mendapatkannya di > Konektor Data.

Instruksi Penyetelan:

Menyambungkan ZeroFox ke Microsoft Sentinel

Untuk mengaktifkan konektor, berikan informasi yang diperlukan di bawah ini dan klik Sambungkan.

  • Berikan nama pengguna akun ZeroFox Anda: (Nama Akun Zerofox)
  • Berikan Pat ZeroFox Anda: (Zerofox PAT)
  • Aktifkan/Nonaktifkan Koneksi



ZeroFox Enterprise - Kerentanan

Didukung oleh:ZeroFox

Mengumpulkan data kerentanan dari API ZeroFox ke dalam Microsoft Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
ZeroFoxVulnerabilities_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • ZeroFox Personal Access Token (PAT): Pat ZeroFox diperlukan. Anda bisa mendapatkannya di > Konektor Data.

Instruksi Penyetelan:

Menyambungkan ZeroFox ke Microsoft Sentinel

Untuk mengaktifkan konektor, berikan informasi yang diperlukan di bawah ini dan klik Sambungkan.

  • Berikan nama pengguna akun ZeroFox Anda: (Nama Akun Zerofox)
  • Berikan Pat ZeroFox Anda: (Zerofox PAT)
  • Aktifkan/Nonaktifkan Koneksi



Zimperium Mobile Threat Defense CCF

Didukung oleh:Zimperium

Konektor Zimperium Mobile Threat Defense memberi Anda kemampuan untuk menghubungkan log ancaman Zimperium dengan Microsoft Sentinel untuk melihat dasbor, membuat pemberitahuan kustom, dan meningkatkan penyelidikan. Ini memberi Anda lebih banyak wawasan tentang lanskap ancaman seluler organisasi Anda dan meningkatkan kemampuan operasi keamanan Anda.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
ZimperiumThreatLogV2_CL Yes Yes
ZimperiumMitigationLogV2_CL Yes Yes
ZimperiumIncidentLog_CL Yes Yes
ZimperiumIncidentMitigationLog_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Microsoft Entra: Izin untuk membuat pendaftaran aplikasi di Microsoft Entra ID. Biasanya memerlukan peran Pengembang Aplikasi Entra ID atau yang lebih tinggi.
  • Microsoft Azure: Izin untuk menetapkan peran Publisher Metrik Pemantauan pada aturan pengumpulan data (DCR). Biasanya memerlukan peran Pemilik RBAC Azure atau Administrator Akses Pengguna.

Instruksi Penyetelan:

1. Buat Sumber Daya ARM dan Berikan Izin yang Diperlukan

Konektor ini memungkinkan aplikasi Zimperium MTD Anda untuk mengirim ancaman perangkat langsung ke Microsoft Sentinel melalui Azure Monitor Ingestion API.

Konfigurasi Otomatis dan Pengambilan Data Aman dengan Entra Application Klik "Deploy" akan memicu pembuatan tabel Log Analytics dan Aturan Pengumpulan Data (DCR). Kemudian akan membuat aplikasi Entra, menautkan DCR ke aplikasi tersebut, dan mengatur rahasia yang dimasukkan dalam aplikasi. Penyiapan ini memungkinkan data dikirim dengan aman ke DCR menggunakan token Entra.

2. Konfigurasikan dan hubungkan Zimperium MTD

  1. Di zConsole, klik Manajemen Akun pada bilah navigasi.
  2. Klik tab sisi Ekspor Data .
  3. Klik tombol Tambah Konfigurasi Ekspor Data .
  4. Buat Konfigurasi:
  • Nama: Nama untuk menggambarkan konfigurasi ini.
  • Deskripsi: Deskripsi untuk menjelaskan konfigurasi ini.
  • Tipe Data: Pilih tipe data sebagai Ancaman atau Insiden tergantung pada data yang ingin Anda ekspor.
  • Jenis Tujuan: Dari tipe tujuan yang tersedia, pilih Microsoft Sentinel.
  • Kriteria Keparahan: Pilih Level Filter untuk data ancaman yang ingin Anda kirim ke Microsoft Sentinel.( Catatan: Kolom ini hanya berlaku untuk tipe data ancaman)
  • Kriteria Tim: Ini adalah kriteria opsional untuk memfilter data berdasarkan tim.
    • Id Pelacakan Eksternal 1: Ini adalah kriteria opsional untuk disesuaikan dengan data yang diekspor.
  • External Tracking Id 2: Ini adalah kriteria opsional untuk menyesuaikan data yang diekspor.
  • Id Penyewa: Masukkan dari kolom di bawah ini.
  • ID Aplikasi Registrasi Aplikasi Entra : Masukkan dari kolom di bawah ini.
  • Rahasia Pendaftaran Aplikasi Entra : Masukkan dari kolom di bawah ini.
  • Uri Endpoint Pengumpulan Data: Masukkan dari kolom di bawah ini.
  • ID Immutable Rule Pengumpulan Data: Masukkan dari kolom di bawah ini.
  • Klik Simpan Konfigurasi.
  1. Untuk petunjuk tambahan, silakan merujuk ke portal dukungan pelanggan Zimperium.
  • ID Penyewa (ID Direktori): <nilai variabel yang disediakan pada waktu penginstalan>
  • ID Aplikasi Pendaftaran Aplikasi Entra: <nilai variabel yang disediakan pada waktu penginstalan>
  • Rahasia Pendaftaran Aplikasi Entra: <nilai variabel yang disediakan pada waktu penginstalan>
  • Uri Titik Akhir Pengumpulan Data: <nilai variabel yang disediakan pada waktu penginstalan>
  • ID Tidak Dapat Diubah Aturan Pengumpulan Data: <nilai variabel yang disediakan pada waktu penginstalan>



Zoom Reports Connector (melalui Codeless Connector Framework)

Dukungan oleh:Microsoft Corporation

Konektor data Zoom Reports memungkinkan Anda menyerap data Zoom Reports ke dalam Microsoft Sentinel melalui Zoom REST API v2, memungkinkan Anda memantau dan mengaudit penggunaan Zoom di seluruh organisasi Anda. Konektor ini menggunakan kredensial akun OAuth server-ke-server untuk autentikasi dan mendukung penyerapan beberapa jenis laporan termasuk Laporan Penggunaan Harian untuk statistik rapat dan metrik penggunaan, Laporan Pengguna untuk informasi host pengguna aktif/tidak aktif, Laporan Telepon untuk statistik penggunaan telepon, Laporan Penggunaan Perekaman Cloud untuk penyimpanan cloud dan penggunaan rekaman, Log Operasi untuk operasi administratif dan jejak audit, dan Log Aktivitas untuk aktivitas masuk/keluar pengguna. Setiap jenis laporan dikumpulkan dalam konfigurasi polling terpisah dengan dukungan penomoran halaman otomatis menggunakan NextPageToken. Konektor data dibangun di Microsoft Sentinel Codeless Connector Framework dan mendukung transformasi waktu ingestion berbasis DCR untuk performa kueri yang dioptimalkan.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
ZoomV2_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Akses ZOOM API: Akses ke Zoom REST API v2 dengan kredensial akun

Instruksi Penyetelan:

1. Konfigurasi Zoom

Mengonfigurasi Aplikasi OAuth Server-ke-Server dan mengumpulkan kredensial

Langkah 1: Siapkan Aplikasi OAuth Zoom Server-ke-Server, ikuti Membuat aplikasi. Pastikan untuk menambahkan cakupan terkait Laporan ke aplikasi Anda:

  • report:read:list_users:admin
  • report:read:cloud_recording:admin
  • report:read:daily_usage:admin
  • report:read:operation_logs:admin
  • report:read:telephone:admin
  • report:read:user_activities:admin

Untuk informasi selengkapnya, lihat Api Dokumentasi dan Laporan OAuth Zoom Server-ke-Server.

Langkah 2: Dapatkan Kredensial Aplikasi Anda

Temukan kredensial aplikasi Anda (ID Akun, ID Klien, dan Rahasia Klien) di halaman Anda Personal app management di Zoom App Marketplace

Catatan Keamanan

  • Simpan ID Akun, ID Klien, dan Rahasia Klien dengan aman

  • Memutar kredensial secara teratur untuk keamanan yang ditingkatkan

2. Sambungkan

Mengaktifkan konektor Laporan Zoom

Mengaktifkan Konektor

Tinjau kredensial Aplikasi Zoom Anda yang ditemukan di Langkah 2, lalu aktifkan konektor untuk mulai mengumpulkan data Laporan Zoom.

Monitoring

Periksa kedatangan data menggunakan kueri ini:

Periksa semua jenis laporan:

ZoomV2_CL
| where TimeGenerated > ago(30m)
| summarize Records = count() by EventType

Periksa jenis laporan tertentu:

ZoomV2_CL
| where EventType == 'dates'
| where TimeGenerated > ago(1h)
| limit 10

Memantau kesehatan konektor:

ZoomV2_CL
| where TimeGenerated > ago(24h)
| summarize LastRecord = max(TimeGenerated), RecordCount = count() by EventType
| order by LastRecord desc
  • Aktifkan/Nonaktifkan Koneksi



Zscaler Internet Access Cloud NSS Audit Log Push Connector

Didukung oleh:Zscaler

Konektor Zscaler menyediakan kemampuan untuk membaca data log Audit ZIA di Microsoft Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
CommonSecurityLog Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Microsoft Entra: Izin untuk membuat pendaftaran aplikasi di Microsoft Entra ID. Biasanya memerlukan peran Pengembang Aplikasi Entra ID atau yang lebih tinggi.
  • Microsoft Azure: Izin untuk menetapkan peran Publisher Metrik Pemantauan pada aturan pengumpulan data (DCR). Biasanya memerlukan peran Pemilik RBAC Azure atau Administrator Akses Pengguna

Instruksi Penyetelan:

1. Buat Sumber Daya ARM dan Berikan Izin yang Diperlukan

Konektor ini membaca data dari tabel yang digunakan Zscaler di Microsoft Analytics Workspace, jika opsi Cloud NSS diaktifkan di Zscaler, maka data peristiwa mentah dikirim ke API penyerapan Microsoft Sentinel.

Konfigurasi Otomatis dan Penyerapan Data Aman dengan Aplikasi Entra Mengklik "Sebarkan" akan memicu pembuatan tabel Log Analytics dan Aturan Pengumpulan Data (DCR). Kemudian akan membuat aplikasi Entra, menautkan DCR ke aplikasi tersebut, dan mengatur rahasia yang dimasukkan dalam aplikasi. Penyiapan ini memungkinkan data dikirim dengan aman ke DCR menggunakan token Entra.

2. Dorong log Anda ke ruang kerja

Gunakan parameter berikut untuk mengonfigurasi komputer Anda untuk mengirim log ke ruang kerja.

  • ID Penyewa (ID Direktori): <nilai variabel yang disediakan pada waktu penginstalan>
  • ID Aplikasi Pendaftaran Aplikasi Entra: <nilai variabel yang disediakan pada waktu penginstalan>
  • Rahasia Pendaftaran Aplikasi Entra: <nilai variabel yang disediakan pada waktu penginstalan>
  • Uri Titik Akhir Pengumpulan Data: <nilai variabel yang disediakan pada waktu penginstalan>
  • ID Tidak Dapat Diubah Aturan Pengumpulan Data: <nilai variabel yang disediakan pada waktu penginstalan>



Zscaler Internet Access Cloud NSS CASB Activity Log Push Connector

Didukung oleh:Zscaler

Konektor Zscaler menyediakan kemampuan untuk membaca data log Aktivitas ZIA CASB di Microsoft Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
CommonSecurityLog Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Microsoft Entra: Izin untuk membuat pendaftaran aplikasi di Microsoft Entra ID. Biasanya memerlukan peran Pengembang Aplikasi Entra ID atau yang lebih tinggi.
  • Microsoft Azure: Izin untuk menetapkan peran Publisher Metrik Pemantauan pada aturan pengumpulan data (DCR). Biasanya memerlukan peran Pemilik RBAC Azure atau Administrator Akses Pengguna

Instruksi Penyetelan:

1. Buat Sumber Daya ARM dan Berikan Izin yang Diperlukan

Konektor ini membaca data dari tabel yang digunakan Zscaler di Microsoft Analytics Workspace, jika opsi Cloud NSS diaktifkan di Zscaler, maka data peristiwa mentah dikirim ke API penyerapan Microsoft Sentinel.

Konfigurasi Otomatis dan Penyerapan Data Aman dengan Aplikasi Entra Mengklik "Sebarkan" akan memicu pembuatan tabel Log Analytics dan Aturan Pengumpulan Data (DCR). Kemudian akan membuat aplikasi Entra, menautkan DCR ke aplikasi tersebut, dan mengatur rahasia yang dimasukkan dalam aplikasi. Penyiapan ini memungkinkan data dikirim dengan aman ke DCR menggunakan token Entra.

2. Dorong log Anda ke ruang kerja

Gunakan parameter berikut untuk mengonfigurasi komputer Anda untuk mengirim log ke ruang kerja.

  • ID Penyewa (ID Direktori): <nilai variabel yang disediakan pada waktu penginstalan>
  • ID Aplikasi Pendaftaran Aplikasi Entra: <nilai variabel yang disediakan pada waktu penginstalan>
  • Rahasia Pendaftaran Aplikasi Entra: <nilai variabel yang disediakan pada waktu penginstalan>
  • Uri Titik Akhir Pengumpulan Data: <nilai variabel yang disediakan pada waktu penginstalan>
  • ID Tidak Dapat Diubah Aturan Pengumpulan Data: <nilai variabel yang disediakan pada waktu penginstalan>



Zscaler Internet Access Cloud NSS CASB Cloud Storage Log Push Connector

Didukung oleh:Zscaler

Konektor Zscaler menyediakan kemampuan untuk membaca data log ZIA CASB Cloud Storage di Microsoft Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
CommonSecurityLog Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Microsoft Entra: Izin untuk membuat pendaftaran aplikasi di Microsoft Entra ID. Biasanya memerlukan peran Pengembang Aplikasi Entra ID atau yang lebih tinggi.
  • Microsoft Azure: Izin untuk menetapkan peran Publisher Metrik Pemantauan pada aturan pengumpulan data (DCR). Biasanya memerlukan peran Pemilik RBAC Azure atau Administrator Akses Pengguna

Instruksi Penyetelan:

1. Buat Sumber Daya ARM dan Berikan Izin yang Diperlukan

Konektor ini membaca data dari tabel yang digunakan Zscaler di Microsoft Analytics Workspace, jika opsi Cloud NSS diaktifkan di Zscaler, maka data peristiwa mentah dikirim ke API penyerapan Microsoft Sentinel.

Konfigurasi Otomatis dan Penyerapan Data Aman dengan Aplikasi Entra Mengklik "Sebarkan" akan memicu pembuatan tabel Log Analytics dan Aturan Pengumpulan Data (DCR). Kemudian akan membuat aplikasi Entra, menautkan DCR ke aplikasi tersebut, dan mengatur rahasia yang dimasukkan dalam aplikasi. Penyiapan ini memungkinkan data dikirim dengan aman ke DCR menggunakan token Entra.

2. Dorong log Anda ke ruang kerja

Gunakan parameter berikut untuk mengonfigurasi komputer Anda untuk mengirim log ke ruang kerja.

  • ID Penyewa (ID Direktori): <nilai variabel yang disediakan pada waktu penginstalan>
  • ID Aplikasi Pendaftaran Aplikasi Entra: <nilai variabel yang disediakan pada waktu penginstalan>
  • Rahasia Pendaftaran Aplikasi Entra: <nilai variabel yang disediakan pada waktu penginstalan>
  • Uri Titik Akhir Pengumpulan Data: <nilai variabel yang disediakan pada waktu penginstalan>
  • ID Tidak Dapat Diubah Aturan Pengumpulan Data: <nilai variabel yang disediakan pada waktu penginstalan>



Zscaler Internet Access Cloud NSS CASB Kolaborasi Log Push Connector

Didukung oleh:Zscaler

Konektor Zscaler menyediakan kemampuan untuk membaca data log Kolaborasi CASB ZIA di Microsoft Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
CommonSecurityLog Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Microsoft Entra: Izin untuk membuat pendaftaran aplikasi di Microsoft Entra ID. Biasanya memerlukan peran Pengembang Aplikasi Entra ID atau yang lebih tinggi.
  • Microsoft Azure: Izin untuk menetapkan peran Publisher Metrik Pemantauan pada aturan pengumpulan data (DCR). Biasanya memerlukan peran Pemilik RBAC Azure atau Administrator Akses Pengguna

Instruksi Penyetelan:

1. Buat Sumber Daya ARM dan Berikan Izin yang Diperlukan

Konektor ini membaca data dari tabel yang digunakan Zscaler di Microsoft Analytics Workspace, jika opsi Cloud NSS diaktifkan di Zscaler, maka data peristiwa mentah dikirim ke API penyerapan Microsoft Sentinel.

Konfigurasi Otomatis dan Penyerapan Data Aman dengan Aplikasi Entra Mengklik "Sebarkan" akan memicu pembuatan tabel Log Analytics dan Aturan Pengumpulan Data (DCR). Kemudian akan membuat aplikasi Entra, menautkan DCR ke aplikasi tersebut, dan mengatur rahasia yang dimasukkan dalam aplikasi. Penyiapan ini memungkinkan data dikirim dengan aman ke DCR menggunakan token Entra.

2. Dorong log Anda ke ruang kerja

Gunakan parameter berikut untuk mengonfigurasi komputer Anda untuk mengirim log ke ruang kerja.

  • ID Penyewa (ID Direktori): <nilai variabel yang disediakan pada waktu penginstalan>
  • ID Aplikasi Pendaftaran Aplikasi Entra: <nilai variabel yang disediakan pada waktu penginstalan>
  • Rahasia Pendaftaran Aplikasi Entra: <nilai variabel yang disediakan pada waktu penginstalan>
  • Uri Titik Akhir Pengumpulan Data: <nilai variabel yang disediakan pada waktu penginstalan>
  • ID Tidak Dapat Diubah Aturan Pengumpulan Data: <nilai variabel yang disediakan pada waktu penginstalan>



Zscaler Internet Access Cloud NSS CASB CRM Log Push Connector

Didukung oleh:Zscaler

Konektor Zscaler menyediakan kemampuan untuk membaca data log ZIA CASB CRM di Microsoft Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
CommonSecurityLog Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Microsoft Entra: Izin untuk membuat pendaftaran aplikasi di Microsoft Entra ID. Biasanya memerlukan peran Pengembang Aplikasi Entra ID atau yang lebih tinggi.
  • Microsoft Azure: Izin untuk menetapkan peran Publisher Metrik Pemantauan pada aturan pengumpulan data (DCR). Biasanya memerlukan peran Pemilik RBAC Azure atau Administrator Akses Pengguna

Instruksi Penyetelan:

1. Buat Sumber Daya ARM dan Berikan Izin yang Diperlukan

Konektor ini membaca data dari tabel yang digunakan Zscaler di Microsoft Analytics Workspace, jika opsi Cloud NSS diaktifkan di Zscaler, maka data peristiwa mentah dikirim ke API penyerapan Microsoft Sentinel.

Konfigurasi Otomatis dan Penyerapan Data Aman dengan Aplikasi Entra Mengklik "Sebarkan" akan memicu pembuatan tabel Log Analytics dan Aturan Pengumpulan Data (DCR). Kemudian akan membuat aplikasi Entra, menautkan DCR ke aplikasi tersebut, dan mengatur rahasia yang dimasukkan dalam aplikasi. Penyiapan ini memungkinkan data dikirim dengan aman ke DCR menggunakan token Entra.

2. Dorong log Anda ke ruang kerja

Gunakan parameter berikut untuk mengonfigurasi komputer Anda untuk mengirim log ke ruang kerja.

  • ID Penyewa (ID Direktori): <nilai variabel yang disediakan pada waktu penginstalan>
  • ID Aplikasi Pendaftaran Aplikasi Entra: <nilai variabel yang disediakan pada waktu penginstalan>
  • Rahasia Pendaftaran Aplikasi Entra: <nilai variabel yang disediakan pada waktu penginstalan>
  • Uri Titik Akhir Pengumpulan Data: <nilai variabel yang disediakan pada waktu penginstalan>
  • ID Tidak Dapat Diubah Aturan Pengumpulan Data: <nilai variabel yang disediakan pada waktu penginstalan>



Zscaler Internet Access Cloud NSS CASB Email Log Push Connector

Didukung oleh:Zscaler

Konektor Zscaler menyediakan kemampuan untuk membaca data log Email ZIA CASB di Microsoft Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
CommonSecurityLog Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Microsoft Entra: Izin untuk membuat pendaftaran aplikasi di Microsoft Entra ID. Biasanya memerlukan peran Pengembang Aplikasi Entra ID atau yang lebih tinggi.
  • Microsoft Azure: Izin untuk menetapkan peran Publisher Metrik Pemantauan pada aturan pengumpulan data (DCR). Biasanya memerlukan peran Pemilik RBAC Azure atau Administrator Akses Pengguna

Instruksi Penyetelan:

1. Buat Sumber Daya ARM dan Berikan Izin yang Diperlukan

Konektor ini membaca data dari tabel yang digunakan Zscaler di Microsoft Analytics Workspace, jika opsi Cloud NSS diaktifkan di Zscaler, maka data peristiwa mentah dikirim ke API penyerapan Microsoft Sentinel.

Konfigurasi Otomatis dan Penyerapan Data Aman dengan Aplikasi Entra Mengklik "Sebarkan" akan memicu pembuatan tabel Log Analytics dan Aturan Pengumpulan Data (DCR). Kemudian akan membuat aplikasi Entra, menautkan DCR ke aplikasi tersebut, dan mengatur rahasia yang dimasukkan dalam aplikasi. Penyiapan ini memungkinkan data dikirim dengan aman ke DCR menggunakan token Entra.

2. Dorong log Anda ke ruang kerja

Gunakan parameter berikut untuk mengonfigurasi komputer Anda untuk mengirim log ke ruang kerja.

  • ID Penyewa (ID Direktori): <nilai variabel yang disediakan pada waktu penginstalan>
  • ID Aplikasi Pendaftaran Aplikasi Entra: <nilai variabel yang disediakan pada waktu penginstalan>
  • Rahasia Pendaftaran Aplikasi Entra: <nilai variabel yang disediakan pada waktu penginstalan>
  • Uri Titik Akhir Pengumpulan Data: <nilai variabel yang disediakan pada waktu penginstalan>
  • ID Tidak Dapat Diubah Aturan Pengumpulan Data: <nilai variabel yang disediakan pada waktu penginstalan>



Zscaler Internet Access Cloud NSS CASB File Sharing Log Push Connector

Didukung oleh:Zscaler

Konektor Zscaler menyediakan kemampuan untuk membaca data log ZIA CASB File Sharing di Microsoft Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
CommonSecurityLog Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Microsoft Entra: Izin untuk membuat pendaftaran aplikasi di Microsoft Entra ID. Biasanya memerlukan peran Pengembang Aplikasi Entra ID atau yang lebih tinggi.
  • Microsoft Azure: Izin untuk menetapkan peran Publisher Metrik Pemantauan pada aturan pengumpulan data (DCR). Biasanya memerlukan peran Pemilik RBAC Azure atau Administrator Akses Pengguna

Instruksi Penyetelan:

1. Buat Sumber Daya ARM dan Berikan Izin yang Diperlukan

Konektor ini membaca data dari tabel yang digunakan Zscaler di Microsoft Analytics Workspace, jika opsi Cloud NSS diaktifkan di Zscaler, maka data peristiwa mentah dikirim ke API penyerapan Microsoft Sentinel.

Konfigurasi Otomatis dan Penyerapan Data Aman dengan Aplikasi Entra Mengklik "Sebarkan" akan memicu pembuatan tabel Log Analytics dan Aturan Pengumpulan Data (DCR). Kemudian akan membuat aplikasi Entra, menautkan DCR ke aplikasi tersebut, dan mengatur rahasia yang dimasukkan dalam aplikasi. Penyiapan ini memungkinkan data dikirim dengan aman ke DCR menggunakan token Entra.

2. Dorong log Anda ke ruang kerja

Gunakan parameter berikut untuk mengonfigurasi komputer Anda untuk mengirim log ke ruang kerja.

  • ID Penyewa (ID Direktori): <nilai variabel yang disediakan pada waktu penginstalan>
  • ID Aplikasi Pendaftaran Aplikasi Entra: <nilai variabel yang disediakan pada waktu penginstalan>
  • Rahasia Pendaftaran Aplikasi Entra: <nilai variabel yang disediakan pada waktu penginstalan>
  • Uri Titik Akhir Pengumpulan Data: <nilai variabel yang disediakan pada waktu penginstalan>
  • ID Tidak Dapat Diubah Aturan Pengumpulan Data: <nilai variabel yang disediakan pada waktu penginstalan>



Zscaler Internet Access Cloud NSS CASB ITSM Log Push Connector

Didukung oleh:Zscaler

Konektor Zscaler menyediakan kemampuan untuk membaca data log ZIA CASB ITSM di Microsoft Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
CommonSecurityLog Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Microsoft Entra: Izin untuk membuat pendaftaran aplikasi di Microsoft Entra ID. Biasanya memerlukan peran Pengembang Aplikasi Entra ID atau yang lebih tinggi.
  • Microsoft Azure: Izin untuk menetapkan peran Publisher Metrik Pemantauan pada aturan pengumpulan data (DCR). Biasanya memerlukan peran Pemilik RBAC Azure atau Administrator Akses Pengguna

Instruksi Penyetelan:

1. Buat Sumber Daya ARM dan Berikan Izin yang Diperlukan

Konektor ini membaca data dari tabel yang digunakan Zscaler di Microsoft Analytics Workspace, jika opsi Cloud NSS diaktifkan di Zscaler, maka data peristiwa mentah dikirim ke API penyerapan Microsoft Sentinel.

Konfigurasi Otomatis dan Penyerapan Data Aman dengan Aplikasi Entra Mengklik "Sebarkan" akan memicu pembuatan tabel Log Analytics dan Aturan Pengumpulan Data (DCR). Kemudian akan membuat aplikasi Entra, menautkan DCR ke aplikasi tersebut, dan mengatur rahasia yang dimasukkan dalam aplikasi. Penyiapan ini memungkinkan data dikirim dengan aman ke DCR menggunakan token Entra.

2. Dorong log Anda ke ruang kerja

Gunakan parameter berikut untuk mengonfigurasi komputer Anda untuk mengirim log ke ruang kerja.

  • ID Penyewa (ID Direktori): <nilai variabel yang disediakan pada waktu penginstalan>
  • ID Aplikasi Pendaftaran Aplikasi Entra: <nilai variabel yang disediakan pada waktu penginstalan>
  • Rahasia Pendaftaran Aplikasi Entra: <nilai variabel yang disediakan pada waktu penginstalan>
  • Uri Titik Akhir Pengumpulan Data: <nilai variabel yang disediakan pada waktu penginstalan>
  • ID Tidak Dapat Diubah Aturan Pengumpulan Data: <nilai variabel yang disediakan pada waktu penginstalan>



Zscaler Internet Access Cloud NSS CASB Repo Log Push Connector

Didukung oleh:Zscaler

Konektor Zscaler menyediakan kemampuan untuk membaca data log Repositori CASB ZIA di Microsoft Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
CommonSecurityLog Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Microsoft Entra: Izin untuk membuat pendaftaran aplikasi di Microsoft Entra ID. Biasanya memerlukan peran Pengembang Aplikasi Entra ID atau yang lebih tinggi.
  • Microsoft Azure: Izin untuk menetapkan peran Publisher Metrik Pemantauan pada aturan pengumpulan data (DCR). Biasanya memerlukan peran Pemilik RBAC Azure atau Administrator Akses Pengguna

Instruksi Penyetelan:

1. Buat Sumber Daya ARM dan Berikan Izin yang Diperlukan

Konektor ini membaca data dari tabel yang digunakan Zscaler di Microsoft Analytics Workspace, jika opsi Cloud NSS diaktifkan di Zscaler, maka data peristiwa mentah dikirim ke API penyerapan Microsoft Sentinel.

Konfigurasi Otomatis dan Penyerapan Data Aman dengan Aplikasi Entra Mengklik "Sebarkan" akan memicu pembuatan tabel Log Analytics dan Aturan Pengumpulan Data (DCR). Kemudian akan membuat aplikasi Entra, menautkan DCR ke aplikasi tersebut, dan mengatur rahasia yang dimasukkan dalam aplikasi. Penyiapan ini memungkinkan data dikirim dengan aman ke DCR menggunakan token Entra.

2. Dorong log Anda ke ruang kerja

Gunakan parameter berikut untuk mengonfigurasi komputer Anda untuk mengirim log ke ruang kerja.

  • ID Penyewa (ID Direktori): <nilai variabel yang disediakan pada waktu penginstalan>
  • ID Aplikasi Pendaftaran Aplikasi Entra: <nilai variabel yang disediakan pada waktu penginstalan>
  • Rahasia Pendaftaran Aplikasi Entra: <nilai variabel yang disediakan pada waktu penginstalan>
  • Uri Titik Akhir Pengumpulan Data: <nilai variabel yang disediakan pada waktu penginstalan>
  • ID Tidak Dapat Diubah Aturan Pengumpulan Data: <nilai variabel yang disediakan pada waktu penginstalan>



Zscaler Internet Access Cloud NSS DNS Log Push Connector

Didukung oleh:Zscaler

Konektor Zscaler menyediakan kemampuan untuk membaca data log DNS ZIA di Microsoft Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
CommonSecurityLog Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Microsoft Entra: Izin untuk membuat pendaftaran aplikasi di Microsoft Entra ID. Biasanya memerlukan peran Pengembang Aplikasi Entra ID atau yang lebih tinggi.
  • Microsoft Azure: Izin untuk menetapkan peran Publisher Metrik Pemantauan pada aturan pengumpulan data (DCR). Biasanya memerlukan peran Pemilik RBAC Azure atau Administrator Akses Pengguna

Instruksi Penyetelan:

1. Buat Sumber Daya ARM dan Berikan Izin yang Diperlukan

Konektor ini membaca data dari tabel yang digunakan Zscaler di Microsoft Analytics Workspace, jika opsi Cloud NSS diaktifkan di Zscaler, maka data peristiwa mentah dikirim ke API penyerapan Microsoft Sentinel.

Konfigurasi Otomatis dan Penyerapan Data Aman dengan Aplikasi Entra Mengklik "Sebarkan" akan memicu pembuatan tabel Log Analytics dan Aturan Pengumpulan Data (DCR). Kemudian akan membuat aplikasi Entra, menautkan DCR ke aplikasi tersebut, dan mengatur rahasia yang dimasukkan dalam aplikasi. Penyiapan ini memungkinkan data dikirim dengan aman ke DCR menggunakan token Entra.

2. Dorong log Anda ke ruang kerja

Gunakan parameter berikut untuk mengonfigurasi komputer Anda untuk mengirim log ke ruang kerja.

  • ID Penyewa (ID Direktori): <nilai variabel yang disediakan pada waktu penginstalan>
  • ID Aplikasi Pendaftaran Aplikasi Entra: <nilai variabel yang disediakan pada waktu penginstalan>
  • Rahasia Pendaftaran Aplikasi Entra: <nilai variabel yang disediakan pada waktu penginstalan>
  • Uri Titik Akhir Pengumpulan Data: <nilai variabel yang disediakan pada waktu penginstalan>
  • ID Tidak Dapat Diubah Aturan Pengumpulan Data: <nilai variabel yang disediakan pada waktu penginstalan>



Zscaler Internet Access Cloud NSS Email DLP Log Push Connector

Didukung oleh:Zscaler

Konektor Zscaler menyediakan kemampuan untuk membaca data log ZIA Email DLP di Microsoft Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
CommonSecurityLog Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Microsoft Entra: Izin untuk membuat pendaftaran aplikasi di Microsoft Entra ID. Biasanya memerlukan peran Pengembang Aplikasi Entra ID atau yang lebih tinggi.
  • Microsoft Azure: Izin untuk menetapkan peran Publisher Metrik Pemantauan pada aturan pengumpulan data (DCR). Biasanya memerlukan peran Pemilik RBAC Azure atau Administrator Akses Pengguna

Instruksi Penyetelan:

1. Buat Sumber Daya ARM dan Berikan Izin yang Diperlukan

Konektor ini membaca data dari tabel yang digunakan Zscaler di Microsoft Analytics Workspace, jika opsi Cloud NSS diaktifkan di Zscaler, maka data peristiwa mentah dikirim ke API penyerapan Microsoft Sentinel.

Konfigurasi Otomatis dan Penyerapan Data Aman dengan Aplikasi Entra Mengklik "Sebarkan" akan memicu pembuatan tabel Log Analytics dan Aturan Pengumpulan Data (DCR). Kemudian akan membuat aplikasi Entra, menautkan DCR ke aplikasi tersebut, dan mengatur rahasia yang dimasukkan dalam aplikasi. Penyiapan ini memungkinkan data dikirim dengan aman ke DCR menggunakan token Entra.

2. Dorong log Anda ke ruang kerja

Gunakan parameter berikut untuk mengonfigurasi komputer Anda untuk mengirim log ke ruang kerja.

  • ID Penyewa (ID Direktori): <nilai variabel yang disediakan pada waktu penginstalan>
  • ID Aplikasi Pendaftaran Aplikasi Entra: <nilai variabel yang disediakan pada waktu penginstalan>
  • Rahasia Pendaftaran Aplikasi Entra: <nilai variabel yang disediakan pada waktu penginstalan>
  • Uri Titik Akhir Pengumpulan Data: <nilai variabel yang disediakan pada waktu penginstalan>
  • ID Tidak Dapat Diubah Aturan Pengumpulan Data: <nilai variabel yang disediakan pada waktu penginstalan>



Zscaler Internet Access Cloud NSS Endpoint DLP Log Push Connector

Didukung oleh:Zscaler

Konektor Zscaler menyediakan kemampuan untuk membaca data log DLP Titik Akhir ZIA di Microsoft Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
CommonSecurityLog Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Microsoft Entra: Izin untuk membuat pendaftaran aplikasi di Microsoft Entra ID. Biasanya memerlukan peran Pengembang Aplikasi Entra ID atau yang lebih tinggi.
  • Microsoft Azure: Izin untuk menetapkan peran Publisher Metrik Pemantauan pada aturan pengumpulan data (DCR). Biasanya memerlukan peran Pemilik RBAC Azure atau Administrator Akses Pengguna

Instruksi Penyetelan:

1. Buat Sumber Daya ARM dan Berikan Izin yang Diperlukan

Konektor ini membaca data dari tabel yang digunakan Zscaler di Microsoft Analytics Workspace, jika opsi Cloud NSS diaktifkan di Zscaler, maka data peristiwa mentah dikirim ke API penyerapan Microsoft Sentinel.

Konfigurasi Otomatis dan Penyerapan Data Aman dengan Aplikasi Entra Mengklik "Sebarkan" akan memicu pembuatan tabel Log Analytics dan Aturan Pengumpulan Data (DCR). Kemudian akan membuat aplikasi Entra, menautkan DCR ke aplikasi tersebut, dan mengatur rahasia yang dimasukkan dalam aplikasi. Penyiapan ini memungkinkan data dikirim dengan aman ke DCR menggunakan token Entra.

2. Dorong log Anda ke ruang kerja

Gunakan parameter berikut untuk mengonfigurasi komputer Anda untuk mengirim log ke ruang kerja.

  • ID Penyewa (ID Direktori): <nilai variabel yang disediakan pada waktu penginstalan>
  • ID Aplikasi Pendaftaran Aplikasi Entra: <nilai variabel yang disediakan pada waktu penginstalan>
  • Rahasia Pendaftaran Aplikasi Entra: <nilai variabel yang disediakan pada waktu penginstalan>
  • Uri Titik Akhir Pengumpulan Data: <nilai variabel yang disediakan pada waktu penginstalan>
  • ID Tidak Dapat Diubah Aturan Pengumpulan Data: <nilai variabel yang disediakan pada waktu penginstalan>



Zscaler Internet Access Cloud NSS Firewall Log Push Connector

Didukung oleh:Zscaler

Konektor Zscaler menyediakan kemampuan untuk membaca data log firewall ZIA di Microsoft Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
CommonSecurityLog Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Microsoft Entra: Izin untuk membuat pendaftaran aplikasi di Microsoft Entra ID. Biasanya memerlukan peran Pengembang Aplikasi Entra ID atau yang lebih tinggi.
  • Microsoft Azure: Izin untuk menetapkan peran Publisher Metrik Pemantauan pada aturan pengumpulan data (DCR). Biasanya memerlukan peran Pemilik RBAC Azure atau Administrator Akses Pengguna

Instruksi Penyetelan:

1. Buat Sumber Daya ARM dan Berikan Izin yang Diperlukan

Konektor ini membaca data dari tabel yang digunakan Jamf Protect di Ruang Kerja analitik Microsoft, jika opsi penerusan data diaktifkan di Jamf Protect, maka data peristiwa mentah dikirim ke API penyerapan Microsoft Sentinel.

Konfigurasi Otomatis dan Penyerapan Data Aman dengan Aplikasi Entra Mengklik "Sebarkan" akan memicu pembuatan tabel Log Analytics dan Aturan Pengumpulan Data (DCR). Kemudian akan membuat aplikasi Entra, menautkan DCR ke aplikasi tersebut, dan mengatur rahasia yang dimasukkan dalam aplikasi. Penyiapan ini memungkinkan data dikirim dengan aman ke DCR menggunakan token Entra.

2. Dorong log Anda ke ruang kerja

Gunakan parameter berikut untuk mengonfigurasi komputer Anda untuk mengirim log ke ruang kerja.

  • ID Penyewa (ID Direktori): <nilai variabel yang disediakan pada waktu penginstalan>
  • ID Aplikasi Pendaftaran Aplikasi Entra: <nilai variabel yang disediakan pada waktu penginstalan>
  • Rahasia Pendaftaran Aplikasi Entra: <nilai variabel yang disediakan pada waktu penginstalan>
  • Uri Titik Akhir Pengumpulan Data: <nilai variabel yang disediakan pada waktu penginstalan>
  • ID Tidak Dapat Diubah Aturan Pengumpulan Data: <nilai variabel yang disediakan pada waktu penginstalan>



Zscaler Internet Access Cloud NSS Tunnel Log Push Connector

Didukung oleh:Zscaler

Konektor Zscaler menyediakan kemampuan untuk membaca data log terowongan ZIA di Microsoft Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
CommonSecurityLog Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Microsoft Entra: Izin untuk membuat pendaftaran aplikasi di Microsoft Entra ID. Biasanya memerlukan peran Pengembang Aplikasi Entra ID atau yang lebih tinggi.
  • Microsoft Azure: Izin untuk menetapkan peran Publisher Metrik Pemantauan pada aturan pengumpulan data (DCR). Biasanya memerlukan peran Pemilik RBAC Azure atau Administrator Akses Pengguna

Instruksi Penyetelan:

1. Buat Sumber Daya ARM dan Berikan Izin yang Diperlukan

Konektor ini membaca data dari tabel yang digunakan Zscaler di Microsoft Analytics Workspace, jika opsi Cloud NSS diaktifkan di Zscaler, maka data peristiwa mentah dikirim ke API penyerapan Microsoft Sentinel.

Konfigurasi Otomatis dan Penyerapan Data Aman dengan Aplikasi Entra Mengklik "Sebarkan" akan memicu pembuatan tabel Log Analytics dan Aturan Pengumpulan Data (DCR). Kemudian akan membuat aplikasi Entra, menautkan DCR ke aplikasi tersebut, dan mengatur rahasia yang dimasukkan dalam aplikasi. Penyiapan ini memungkinkan data dikirim dengan aman ke DCR menggunakan token Entra.

2. Dorong log Anda ke ruang kerja

Gunakan parameter berikut untuk mengonfigurasi komputer Anda untuk mengirim log ke ruang kerja.

  • ID Penyewa (ID Direktori): <nilai variabel yang disediakan pada waktu penginstalan>
  • ID Aplikasi Pendaftaran Aplikasi Entra: <nilai variabel yang disediakan pada waktu penginstalan>
  • Rahasia Pendaftaran Aplikasi Entra: <nilai variabel yang disediakan pada waktu penginstalan>
  • Uri Titik Akhir Pengumpulan Data: <nilai variabel yang disediakan pada waktu penginstalan>
  • ID Tidak Dapat Diubah Aturan Pengumpulan Data: <nilai variabel yang disediakan pada waktu penginstalan>



Zscaler Internet Access Cloud NSS Web Log Push Connector

Didukung oleh:Zscaler

Konektor Zscaler menyediakan kemampuan untuk membaca data log web ZIA di Microsoft Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
CommonSecurityLog Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Microsoft Entra: Izin untuk membuat pendaftaran aplikasi di Microsoft Entra ID. Biasanya memerlukan peran Pengembang Aplikasi Entra ID atau yang lebih tinggi.
  • Microsoft Azure: Izin untuk menetapkan peran Publisher Metrik Pemantauan pada aturan pengumpulan data (DCR). Biasanya memerlukan peran Pemilik RBAC Azure atau Administrator Akses Pengguna

Instruksi Penyetelan:

1. Buat Sumber Daya ARM dan Berikan Izin yang Diperlukan

Konektor ini membaca data dari tabel yang digunakan Jamf Protect di Ruang Kerja analitik Microsoft, jika opsi penerusan data diaktifkan di Jamf Protect, maka data peristiwa mentah dikirim ke API penyerapan Microsoft Sentinel.

Konfigurasi Otomatis dan Penyerapan Data Aman dengan Aplikasi Entra Mengklik "Sebarkan" akan memicu pembuatan tabel Log Analytics dan Aturan Pengumpulan Data (DCR). Kemudian akan membuat aplikasi Entra, menautkan DCR ke aplikasi tersebut, dan mengatur rahasia yang dimasukkan dalam aplikasi. Penyiapan ini memungkinkan data dikirim dengan aman ke DCR menggunakan token Entra.

2. Dorong log Anda ke ruang kerja

Gunakan parameter berikut untuk mengonfigurasi komputer Anda untuk mengirim log ke ruang kerja.

  • ID Penyewa (ID Direktori): <nilai variabel yang disediakan pada waktu penginstalan>
  • ID Aplikasi Pendaftaran Aplikasi Entra: <nilai variabel yang disediakan pada waktu penginstalan>
  • Rahasia Pendaftaran Aplikasi Entra: <nilai variabel yang disediakan pada waktu penginstalan>
  • Uri Titik Akhir Pengumpulan Data: <nilai variabel yang disediakan pada waktu penginstalan>
  • ID Tidak Dapat Diubah Aturan Pengumpulan Data: <nilai variabel yang disediakan pada waktu penginstalan>



Konektor data Sentinel yang tidak digunakan lagi

Note

Tabel berikut mencantumkan konektor data yang tidak digunakan lagi dan warisan. Konektor yang tidak digunakan lagi tidak lagi didukung.

[Tidak digunakan lagi] Log Auth0 (menggunakan Fungsi Azure) (menggunakan Azure Functions)

Dukungan oleh:Microsoft Corporation

Konektor data Log Auth0 (menggunakan fungsi Azure) menyediakan kemampuan untuk menyerap peristiwa log Auth0 ke dalam Microsoft Sentinel

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
Auth0AM_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Microsoft. Izin web/situs: Izin baca dan tulis ke Azure Functions untuk membuat Aplikasi Fungsi diperlukan. Untuk informasi selengkapnya, lihat Azure Functions.
  • Kredensial/izin REST API: Token API diperlukan. Untuk informasi selengkapnya, lihat Token API

Instruksi Penyetelan:

CATATAN: Konektor ini menggunakan Azure Functions untuk menyambungkan ke API Manajemen Auth0 untuk menarik lognya ke Microsoft Sentinel. Ini dapat mengakibatkan biaya penyerapan data tambahan. Periksa halaman harga Azure Functions untuk detailnya.

(Langkah Opsional) Simpan ruang kerja dan kunci otorisasi API atau token dengan aman di Azure Key Vault. Azure Key Vault menyediakan mekanisme aman untuk menyimpan dan mengambil nilai kunci. Ikuti instruksi ini untuk menggunakan Azure Key Vault dengan Aplikasi Fungsi Azure.

LANGKAH 1 - Langkah konfigurasi untuk Auth0 Management API

Ikuti instruksi untuk mendapatkan kredensial.

  1. Di Dasbor Auth0, buka Aplikasi.>
  2. Pilih Aplikasi Anda. Ini harus menjadi Aplikasi "Mesin-ke-Mesin" yang dikonfigurasi dengan setidaknya izin baca:log dan baca:logs_users .
  3. Salin Domain, ClientID, Rahasia Klien

LANGKAH 2 - Pilih ONE dari dua opsi penyebaran berikut untuk menyebarkan konektor dan Fungsi Azure terkait

PENTING: Sebelum menyebarkan konektor data Auth0 Access Management, miliki ID Ruang Kerja dan Kunci Primer Ruang Kerja (dapat disalin dari yang berikut).

  • ID ruang kerja: <nilai variabel yang disediakan pada waktu penginstalan>
  • Kunci Primer: <nilai variabel yang disediakan pada waktu penginstalan>

Opsi 1 - Templat Azure Resource Manager (ARM)

Gunakan metode ini untuk penyebaran otomatis konektor data Auth0 Access Management menggunakan Templat ARM.

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.ms

  2. Pilih Langganan, Grup Sumber Daya, dan Lokasi pilihan.

CATATAN: Dalam grup sumber daya yang sama, Anda tidak dapat mencampur aplikasi Windows dan Linux di wilayah yang sama. Pilih grup sumber daya yang ada tanpa Windows aplikasi di dalamnya atau buat grup sumber daya baru. 3. Masukkan Domain, ClientID, Rahasia Klien, AzureSentinelWorkspaceId, AzureSentinelSharedKey. 4. Tandai kotak centang berlabel Saya menyetujui syarat dan ketentuan yang dinyatakan di atas. 5. Klik Beli untuk menyebarkan.

Opsi 2 - Penyebaran manual Azure Functions

Gunakan instruksi langkah demi langkah berikut untuk menyebarkan konektor data Auth0 Access Management secara manual dengan Azure Functions (Penyebaran melalui Visual Studio Code).

  1. Menyebarkan Aplikasi Fungsi

CATATAN: Anda harus menyiapkan kode VS untuk pengembangan fungsi Azure.

  1. Unduh file Aplikasi Fungsi Azure. Ekstrak arsip ke komputer pengembangan lokal Anda.

  2. Jalankan VS Code. Pilih File di menu utama dan pilih Buka Folder.

  3. Pilih folder tingkat atas dari file yang diekstrak.

  4. Pilih ikon Azure di bilah Aktivitas, lalu di area Azure: Fungsi, pilih tombol Sebarkan ke aplikasi fungsi. Jika Anda belum masuk, pilih ikon Azure di bilah Aktivitas, lalu di area Azure: Functions, pilih Masuk ke Azure Jika Anda sudah masuk, buka langkah berikutnya.

  5. Berikan informasi berikut pada permintaan:

    a. Pilih folder: Pilih folder dari ruang kerja Anda atau telusuri folder yang berisi aplikasi fungsi Anda.

    b. Pilih Langganan: Pilih langganan yang akan digunakan.

    c. Pilih Buat Aplikasi Fungsi baru di Azure (Jangan pilih opsi Tingkat Lanjut)

    d. Masukkan nama unik global untuk aplikasi fungsi: Ketik nama yang valid di jalur URL. Nama yang Anda ketik akan divalidasi untuk memastikan bahwa nama tersebut bersifat unik di Azure Functions. (misalnya Auth0AMXXXXXX).

    e. Pilih runtime: Pilih Python 3.11.

    f. Pilih lokasi untuk sumber daya baru. Untuk performa yang lebih baik dan biaya yang lebih rendah, pilih wilayah yang sama tempat Microsoft Sentinel berada.

  6. Penyebaran akan dimulai. Notifikasi ditampilkan setelah aplikasi fungsi Anda dibuat dan paket penyebaran diterapkan.

  7. Buka portal Azure untuk konfigurasi Aplikasi Fungsi.

  8. Mengonfigurasi Aplikasi Fungsi

  9. Di Aplikasi Fungsi, pilih Nama Aplikasi Fungsi dan pilih Konfigurasi.

  10. Di tab Pengaturan aplikasi, pilih Pengaturan aplikasi baru.

  11. Tambahkan masing-masing pengaturan aplikasi berikut satu per satu, dengan nilai string masing-masing (peka huruf besar/kecil): DOMAIN CLIENT_ID CLIENT_SECRET WorkspaceID WorkspaceID WorkspaceKey logAnalyticsUri (opsional)

  • Gunakan logAnalyticsUri untuk mengambil alih titik akhir API analitik log untuk cloud khusus. Misalnya, untuk cloud publik, biarkan nilai kosong; untuk Azure lingkungan cloud GovUS, tentukan nilai dalam format berikut: https://<CustomerId>.ods.opinsights.azure.us.
  1. Setelah semua pengaturan aplikasi dimasukkan, klik Simpan.



[Deprecated] Box Events (menggunakan Azure Function) (menggunakan Azure Functions)

Dukungan oleh:Microsoft Corporation

Konektor data Box menyediakan kemampuan untuk menyerap peristiwa perusahaan Box ke dalam Microsoft Sentinel menggunakan Box REST API. Lihat dokumentasi Box untuk informasi selengkapnya.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
BoxEvents_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Microsoft. Izin web/situs: Izin baca dan tulis ke Azure Functions untuk membuat Aplikasi Fungsi diperlukan. Untuk informasi selengkapnya, lihat Azure Functions.
  • Kredensial Box API: File JSON konfigurasi kotak diperlukan untuk autentikasi Box REST API JWT. Untuk informasi selengkapnya, lihat Autentikasi JWT.

Instruksi Penyetelan:

CATATAN: Konektor ini menggunakan Azure Functions untuk menyambungkan ke Box REST API untuk menarik log ke Microsoft Sentinel. Ini dapat mengakibatkan biaya penyerapan data tambahan. Periksa halaman harga Azure Functions untuk detailnya.

(Langkah Opsional) Simpan ruang kerja dan kunci otorisasi API atau token dengan aman di Azure Key Vault. Azure Key Vault menyediakan mekanisme aman untuk menyimpan dan mengambil nilai kunci. Ikuti instruksi ini untuk menggunakan Azure Key Vault dengan Aplikasi Fungsi Azure.

CATATAN: Konektor ini tergantung pada pengurai berdasarkan Fungsi Kusto untuk bekerja seperti BoxEvents yang diharapkan yang disebarkan dengan Solusi Microsoft Sentinel.

LANGKAH 1 - Konfigurasi koleksi peristiwa Box

Lihat dokumentasi untuk menyiapkan autentikasi JWT dan mendapatkan file JSON dengan kredensial.

LANGKAH 2 - Pilih ONE dari dua opsi penyebaran berikut untuk menyebarkan konektor dan Fungsi Azure terkait

PENTING: Sebelum menyebarkan konektor data Box, miliki ID Ruang Kerja dan Kunci Primer Ruang Kerja (dapat disalin dari yang berikut), serta file konfigurasi Box JSON, tersedia dengan mudah.

  • ID ruang kerja: <nilai variabel yang disediakan pada waktu penginstalan>
  • Kunci Primer: <nilai variabel yang disediakan pada waktu penginstalan>

Opsi 1 - Templat Azure Resource Manager (ARM)

Gunakan metode ini untuk penyebaran otomatis konektor data Box menggunakan ARM Tempate.

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.ms

  2. Pilih Langganan, Grup Sumber Daya, dan Lokasi pilihan.

  3. Masukkan AzureSentinelWorkspaceId, AzureSentinelSharedKey, BoxConfigJSON

  4. Tandai kotak centang berlabel Saya menyetujui syarat dan ketentuan yang dinyatakan di atas.

  5. Klik Beli untuk menyebarkan.

Opsi 2 - Penyebaran manual Azure Functions

Gunakan instruksi langkah demi langkah berikut untuk menyebarkan konektor data Box secara manual dengan Azure Functions (Penyebaran melalui Visual Studio Code).

Langkah 1 - Menyebarkan Aplikasi Fungsi

  1. Unduh file Aplikasi Fungsi Azure. Ekstrak arsip ke komputer pengembangan lokal Anda.
  2. Ikuti instruksi penyebaran manual aplikasi fungsi untuk menyebarkan aplikasi Azure Functions menggunakan VSCode.
  3. Setelah penyebaran aplikasi fungsi berhasil, ikuti langkah berikutnya untuk mengonfigurasinya.

Langkah 2 - Mengonfigurasi Aplikasi Fungsi

  1. Buka portal Azure untuk konfigurasi Aplikasi Fungsi.
  2. Di Aplikasi Fungsi, pilih Nama Aplikasi Fungsi dan pilih Konfigurasi.
  3. Di tab Pengaturan aplikasi, pilih + Pengaturan aplikasi baru.
  4. Tambahkan masing-masing pengaturan aplikasi berikut satu per satu, dengan nilai string masing-masing (peka huruf besar/kecil): AzureSentinelWorkspaceId AzureSentinelSharedKey BOX_CONFIG_JSON logAnalyticsUri (opsional)
  • Gunakan logAnalyticsUri untuk mengambil alih titik akhir API analitik log untuk cloud khusus. Misalnya, untuk cloud publik, biarkan nilai kosong; untuk Azure lingkungan cloud GovUS, tentukan nilai dalam format berikut: https://<CustomerId>.ods.opinsights.azure.us.
  1. Setelah semua pengaturan aplikasi dimasukkan, klik Simpan.



[Deprecated] Serangan Dynatrace V1

Didukung oleh:Dynatrace

Konektor ini menggunakan Dynatrace Attacks REST API untuk menyerap serangan yang terdeteksi ke dalam Microsoft Sentinel Log Analytics

CATATAN: Konektor ini sudah tidak digunakan lagi dan akan dihapus di versi mendatang. Silakan gunakan konektor Dynatrace Attacks V2 sebagai gantinya.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
DynatraceAttacks_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Penyewa Dynatrace (misalnya xyz.dynatrace.com): Anda memerlukan penyewa Dynatrace yang valid dengan Application Security diaktifkan, pelajari selengkapnya tentang platform Dynatrace.
  • Token Akses Dynatrace: Anda memerlukan Token Akses Dynatrace, token harus memiliki cakupan Serangan baca (attacks.read).

Instruksi Penyetelan:

Peristiwa Serangan Dynatrace ke Microsoft Sentinel

Konfigurasikan dan Aktifkan Dynatrace Application Security. Ikuti instruksi ini untuk menghasilkan token akses.



[Sudah Tidak Digunakan] Log Audit Dynatrace V1

Didukung oleh:Dynatrace

Konektor ini menggunakan Dynatrace Audit Logs REST API untuk menyerap log audit penyewa ke dalam Microsoft Sentinel Log Analytics

CATATAN: Konektor ini sudah tidak digunakan lagi dan akan dihapus di versi mendatang. Silakan gunakan konektor Dynatrace Audit Logs V2 sebagai gantinya.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
DynatraceAuditLogs_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Penyewa Dynatrace (misalnya xyz.dynatrace.com): Anda memerlukan Penyewa Dynatrace yang valid, untuk mempelajari lebih lanjut tentang platform Dynatrace Mulai uji coba gratis Anda.
  • Token Akses Dynatrace: Anda memerlukan Token Akses Dynatrace, token harus memiliki cakupan Baca log audit (auditLogs.read).

Instruksi Penyetelan:

Peristiwa Log Audit Dynatrace ke Microsoft Sentinel

Aktifkan Pengelogan Audit Dynatrace. Ikuti instruksi ini untuk menghasilkan token akses.



[Sudah Tidak Digunakan] Masalah Dynatrace V1

Didukung oleh:Dynatrace

Konektor ini menggunakan Dynatrace Problem REST API untuk menyerap peristiwa masalah ke dalam Microsoft Sentinel Log Analytics

CATATAN: Konektor ini sudah tidak digunakan lagi dan akan dihapus di versi mendatang. Silakan gunakan konektor Dynatrace Problems V2 sebagai gantinya.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
DynatraceProblems_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Penyewa Dynatrace (misalnya xyz.dynatrace.com): Anda memerlukan Penyewa Dynatrace yang valid, untuk mempelajari lebih lanjut tentang platform Dynatrace Mulai uji coba gratis Anda.
  • Token Akses Dynatrace: Anda memerlukan Token Akses Dynatrace, token harus memiliki cakupan Masalah baca (problem.read).

Instruksi Penyetelan:

Peristiwa Masalah Dynatrace ke Microsoft Sentinel

Ikuti instruksi ini untuk menghasilkan token akses.



[Sudah Tidak Digunakan] Kerentanan Runtime Dynatrace V1

Didukung oleh:Dynatrace

Konektor ini menggunakan Dynatrace Security Problem REST API untuk menyerap kerentanan runtime yang terdeteksi ke dalam Microsoft Sentinel Log Analytics.

CATATAN: Konektor ini sudah tidak digunakan lagi dan akan dihapus di versi mendatang. Silakan gunakan konektor Dynatrace Runtime Vulnerabilities V2 sebagai gantinya.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
DynatraceSecurityProblems_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Penyewa Dynatrace (misalnya xyz.dynatrace.com): Anda memerlukan penyewa Dynatrace yang valid dengan Application Security diaktifkan, pelajari selengkapnya tentang platform Dynatrace.
  • Token Akses Dynatrace: Anda memerlukan Token Akses Dynatrace, token harus memiliki cakupan Baca masalah keamanan (securityProblems.read).

Instruksi Penyetelan:

Peristiwa Kerentanan Dynatrace untuk Microsoft Sentinel

Konfigurasikan dan Aktifkan Dynatrace Application Security. Ikuti instruksi ini untuk menghasilkan token akses.



[Tidak digunakan lagi] GitHub Log Audit Perusahaan

Dukungan oleh:Microsoft Corporation

Konektor log audit GitHub menyediakan kemampuan untuk menyerap log GitHub ke dalam Microsoft Sentinel. Dengan menyambungkan log audit GitHub ke Microsoft Sentinel, Anda bisa menampilkan data ini dalam buku kerja, menggunakannya untuk membuat pemberitahuan kustom, dan meningkatkan proses investigasi Anda.

Note: Jika Anda ingin menyerap peristiwa berlangganan GitHub ke dalam Microsoft Sentinel, silakan lihat GitHub (menggunakan Webhooks) Connector dari galeri "Data Connectors".

CATATAN: Konektor data ini tidak digunakan lagi, pertimbangkan untuk pindah ke konektor data CCF yang tersedia dalam solusi yang menggantikan penyerapan melalui API Pengumpul Data HTTP yang tidak digunakan lagi.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
GitHubAuditLogPolling_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • GitHub token akses pribadi API: Anda memerlukan token akses pribadi GitHub untuk mengaktifkan polling untuk log audit organisasi. Anda dapat menggunakan token klasik dengan cakupan 'baca:org' ATAU token halus dengan cakupan 'Administrasi: Baca-saja'.
  • GitHub jenis Enterprise: Konektor ini hanya akan berfungsi dengan GitHub Enterprise Cloud; konektor ini tidak akan mendukung GitHub Enterprise Server.

Instruksi Penyetelan:

Menyambungkan Log Audit tingkat Organisasi Perusahaan GitHub ke Microsoft Sentinel

Aktifkan log audit GitHub. Ikuti panduan ini untuk membuat atau menemukan token akses pribadi Anda.



[Tidak digunakan lagi] Log Keamanan IONIX (Dorong)

Didukung oleh:IONIX

⚠️ Konektor ini tidak digunakan lagi dan akan dihapus pada bulan Juni 2026. Harap gunakan konektor 'IONIX Security Logs (melalui Codeless Connector Framework)' baru, yang menyediakan polling harian otomatis tanpa memerlukan konfigurasi manual di portal IONIX.

Konektor data Log Keamanan IONIX menyerap log dari sistem IONIX langsung ke Sentinel. Konektor memungkinkan pengguna untuk memvisualisasikan data mereka, membuat pemberitahuan dan insiden dan meningkatkan penyelidikan keamanan.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
CyberpionActionItems_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

Instruksi Penyetelan:

Ikuti instruksi untuk mengintegrasikan Pemberitahuan Keamanan IONIX ke Sentinel.

  • ID ruang kerja: <nilai variabel yang disediakan pada waktu penginstalan>
  • Kunci Primer: <nilai variabel yang disediakan pada waktu penginstalan>



[Tidak digunakan lagi] Lookout

Didukung oleh:Lookout

Konektor data Lookout menyediakan kemampuan untuk menyerap peristiwa Lookout ke dalam Microsoft Sentinel melalui API Risiko Seluler. Lihat dokumentasi API untuk informasi selengkapnya. Konektor data Lookout menyediakan kemampuan untuk mendapatkan peristiwa yang membantu memeriksa potensi risiko keamanan dan banyak lagi.

CATATAN: Konektor data ini tidak digunakan lagi, pertimbangkan untuk pindah ke konektor data CCF yang tersedia dalam solusi yang menggantikan penyerapan melalui API Pengumpul Data HTTP yang tidak digunakan lagi.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
Lookout_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Microsoft. Izin web/situs: Izin baca dan tulis ke Azure Functions untuk membuat Aplikasi Fungsi diperlukan. Untuk informasi selengkapnya, lihat Azure Functions.
  • Kredensial/izin API Risiko Seluler: EnterpriseName & ApiKey diperlukan untuk API Risiko Seluler. Untuk informasi selengkapnya, lihat API. Periksa semua persyaratan dan ikuti instruksi untuk mendapatkan kredensial.

Instruksi Penyetelan:

CATATAN: Konektor data Lookout ini menggunakan Azure Functions untuk terhubung ke API Risiko Seluler untuk menarik peristiwanya ke Microsoft Sentinel. Ini dapat mengakibatkan biaya penyerapan data tambahan. Periksa halaman harga Azure Functions untuk detailnya.

CATATAN: Konektor data ini tergantung pada pengurai berdasarkan Fungsi Kusto untuk bekerja seperti yang diharapkan LookoutEvents yang disebarkan dengan Solusi Microsoft Sentinel.

LANGKAH 1 - Langkah konfigurasi untuk API Risiko Seluler

Ikuti instruksi untuk mendapatkan kredensial.

LANGKAH 2 - Ikuti instruksi yang disebutkan di bawah ini untuk menyebarkan konektor data Lookout dan Fungsi Azure terkait

PENTING: Sebelum memulai penyebaran konektor data Lookout , pastikan ID Ruang Kerja dan Kunci Ruang Kerja siap (dapat disalin dari yang berikut).

  • ID ruang kerja: <nilai variabel yang disediakan pada waktu penginstalan>
  • Kunci Ruang Kerja: <nilai variabel yang disediakan pada waktu penginstalan>

Templat Azure Resource Manager (ARM)

Ikuti langkah-langkah di bawah ini untuk penyebaran otomatis konektor data Lookout menggunakan Templat ARM.

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.ms

  2. Pilih Langganan, Grup Sumber Daya, dan Wilayah pilihan.

CATATAN: Dalam grup sumber daya yang sama, Anda tidak dapat mencampur aplikasi Windows dan Linux di wilayah yang sama. Pilih grup sumber daya yang ada tanpa Windows aplikasi di dalamnya atau buat grup sumber daya baru. 3. Masukkan Nama Fungsi, ID Ruang Kerja, Kunci Ruang Kerja, Nama Perusahaan & Kunci Api dan sebarkan. 4. Klik Buat untuk menyebarkan.



[Tidak digunakan lagi] Log dan Peristiwa Microsoft Exchange

Dukungan oleh:Komunitas

Tidak digunakan lagi, gunakan konektor data 'ESI-Opt'. Anda dapat melakukan streaming semua peristiwa Audit Exchange, Log IIS, log Proksi HTTP, dan log Peristiwa Keamanan dari komputer Windows yang terhubung ke ruang kerja Microsoft Sentinel Anda menggunakan agen Windows. Koneksi ini memungkinkan Anda melihat dasbor, membuat pemberitahuan kustom, dan meningkatkan penyelidikan. Ini digunakan oleh Microsoft Exchange Buku Kerja Keamanan untuk memberikan wawasan keamanan lingkungan Exchange Lokal Anda

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
Event Yes No
SecurityEvent Yes Yes
W3CIISLog Yes No
MessageTrackingLog_CL Yes Yes
ExchangeHttpProxy_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Azure Log Analytics tidak digunakan lagi, untuk mengumpulkan data dari VM non-Azure, Azure Arc disarankan. Pelajari lebih lanjut
  • Dokumentasi terperinci: >CATATAN: Dokumentasi terperinci tentang Prosedur penginstalan dan penggunaan dapat ditemukan di sini

Instruksi Penyetelan:

CATATAN: Solusi ini didasarkan pada opsi. Ini memungkinkan Anda untuk memilih data mana yang akan diserap karena beberapa opsi dapat menghasilkan volume data yang sangat tinggi. Bergantung pada apa yang ingin Anda kumpulkan, lacak di Buku Kerja, Aturan Analitik, Kemampuan berburu, Anda akan memilih opsi yang akan Anda sebarkan. Setiap opsi independen untuk satu dari yang lain. Untuk mempelajari lebih lanjut tentang setiap opsi: wiki 'Microsoft Exchange Security'

1. Unduh dan instal agen yang diperlukan untuk mengumpulkan log untuk Microsoft Sentinel

Jenis server (Exchange Server, Pengendali Domain yang ditautkan ke Server Exchange atau semua Pengendali Domain) bergantung pada opsi yang ingin Anda sebarkan.

Menyebarkan Agen Monitor

Langkah ini diperlukan hanya jika ini pertama kalinya Anda melakukan onboarding Exchange Server/Pengendali Domain Anda

Pilih agen mana yang ingin Anda instal di server Anda untuk mengumpulkan log:

[Disukai] Agen Azure Monitor melalui Azure Arc

Menyebarkan Agen Azure Arc Pelajari selengkapnya

Menginstal Azure Log Analytics Agent (Tidak digunakan lagi pada 31/08/2024)

  1. Unduh Agen Azure Log Analytics dan pilih metode penyebaran di tautan di bawah ini.
  • Pasang Agen: <nilai variabel yang disediakan pada waktu penginstalan>

2. Sebarkan injesi log dengan mengikuti opsi yang dipilih

[Opsi 1] Kumpulan Log Manajemen Exchange MS

Pilih cara melakukan streaming MS Exchange log peristiwa Audit Admin

Log peristiwa Audit Admin Exchange MS

Aturan Pengumpulan Data - Saat Agen Azure Monitor digunakan

Aktifkan aturan pengumpulan data Microsoft Exchange log Peristiwa Audit Admin dikumpulkan hanya dari agen Windows.

Opsi 1 - Templat Azure Resource Manager (ARM)

Gunakan metode ini untuk penyebaran otomatis DCR.

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.ms

  2. Pilih Langganan, Grup Sumber Daya, dan Lokasi pilihan.

  3. Masukkan Nama Ruang Kerja 'dan/atau Bidang lain yang diperlukan'.

  4. Tandai kotak centang berlabel Saya menyetujui syarat dan ketentuan yang dinyatakan di atas.

  5. Klik Beli untuk menyebarkan.

Opsi 2 - Penyebaran manual Azure Automation

Gunakan instruksi langkah demi langkah berikut untuk menyebarkan Aturan Pengumpulan Data secara manual.

A. Membuat DCR, Ketik Log peristiwa

  1. Dari portal Azure, navigasikan ke aturan pengumpulan data Azure.
  2. Klik + Buat di bagian atas.
  3. Di tab Dasar, isi bidang yang diperlukan, Pilih Windows sebagai jenis platform dan beri nama ke DCR.
  4. Di tab Sumber Daya, masukkan Anda Exchange Server.
  5. Di 'Kumpulkan dan kirim', tambahkan jenis Sumber Data 'Windows Log peristiwa' dan pilih opsi 'Kustom', masukkan 'MSExchange Management' sebagai ekspresi dan Tambahkan.
  6. 'Buat perubahan konfigurasi lain yang lebih disukai', jika diperlukan, lalu klik Buat.

Menetapkan DCR ke semua Server Exchange

Menambahkan semua Server Exchange Anda ke DCR

Aturan Pengumpulan Data - Saat Agen Azure Log Analytics warisan digunakan

Mengonfigurasi log yang akan dikumpulkan

Konfigurasikan Peristiwa yang ingin Anda kumpulkan dan tingkat keparahannya.

  1. Di bawah manajemen agen warisan ruang kerja, pilih Windows Log peristiwa.
  2. Klik Tambahkan log peristiwa Windows dan masukkan MSExchange Management sebagai nama log.
  3. Mengumpulkan jenis Kesalahan, Peringatan, dan Informasi
  4. Kliklah Simpan.
  • Pasang Agen: <nilai variabel yang disediakan pada waktu penginstalan>

[Opsi 2] Log Keamanan/Aplikasi/Sistem server Exchange

Pilih cara mengalirkan log Keamanan/Aplikasi/Sistem dari Server Exchange

Kumpulan log Peristiwa Keamanan

Aturan Pengumpulan Data - Log Peristiwa Keamanan

Aktifkan aturan pengumpulan data untuk log Peristiwa Keamanan Log Keamanan dikumpulkan hanya dari agen Windows.

  1. Tambahkan server Exchange pada tab Sumber Daya.
  2. Pilih Tingkat log keamanan

Tingkat umum adalah minimum yang diperlukan. Pilih 'Umum' atau 'Semua Peristiwa Keamanan' pada definisi DCR.

  • Pasang Agen: <nilai variabel yang disediakan pada waktu penginstalan>

Pengumpulan log Peristiwa Aplikasi dan Sistem

Aturan Pengumpulan Data - Saat Agen Azure Monitor digunakan

Aktifkan aturan pengumpulan data Log Aplikasi dan Peristiwa Sistem hanya dikumpulkan dari agen Windows.

Opsi 1 - Templat Azure Resource Manager (ARM)

Gunakan metode ini untuk penyebaran otomatis DCR.

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.ms

  2. Pilih Langganan, Grup Sumber Daya, dan Lokasi pilihan.

  3. Masukkan Nama Ruang Kerja 'dan/atau Bidang lain yang diperlukan'.

  4. Tandai kotak centang berlabel Saya menyetujui syarat dan ketentuan yang dinyatakan di atas.

  5. Klik Beli untuk menyebarkan.

Opsi 2 - Penyebaran manual Azure Automation

Gunakan instruksi langkah demi langkah berikut untuk menyebarkan Aturan Pengumpulan Data secara manual.

A. Membuat DCR, Ketik Log peristiwa

  1. Dari portal Azure, navigasikan ke aturan pengumpulan data Azure.
  2. Klik + Buat di bagian atas.
  3. Di tab Dasar, isi bidang yang diperlukan, Pilih Windows sebagai jenis platform dan beri nama ke DCR.
  4. Di tab Sumber Daya, masukkan Anda Exchange Server.
  5. Di 'Kumpulkan dan kirim', tambahkan jenis Sumber Data 'Windows Log peristiwa' dan pilih opsi 'Dasar'.
  6. Untuk Aplikasi, pilih 'Kritis', 'Kesalahan' dan 'Peringatan'. Untuk Sistem, pilih Kritis/Kesalahan/Peringatan/Informasi.
  7. 'Buat perubahan konfigurasi lain yang lebih disukai', jika diperlukan, lalu klik Buat.

Menetapkan DCR ke semua Server Exchange

Menambahkan semua Server Exchange Anda ke DCR

Aturan Pengumpulan Data - Saat Agen Azure Log Analytics warisan digunakan

Mengonfigurasi log yang akan dikumpulkan

Konfigurasikan Peristiwa yang ingin Anda kumpulkan dan tingkat keparahannya.

  1. Di bawah Konfigurasi pengaturan tingkat lanjut ruang kerja, pilih Data lalu Windows Log peristiwa.
  2. Klik Tambahkan Windows log peristiwa dan cari Aplikasi sebagai nama log.
  3. Klik Tambahkan log peristiwa Windows dan cari Sistem sebagai nama log.
  4. Kumpulkan Kesalahan (untuk semua), Peringatan (untuk semua) dan jenis Informasi (untuk Sistem)
  5. Kliklah Simpan.
  • Pasang Agen: <nilai variabel yang disediakan pada waktu penginstalan>

[Opsi 3 dan 4] Log keamanan Pengendali Domain

Pilih cara mengalirkan log Keamanan Pengendali Domain. Jika Anda ingin menerapkan Opsi 3, Anda hanya perlu memilih DC di situs yang sama dengan server Exchange. Jika Anda ingin menerapkan Opsi 4, Anda dapat memilih semua DC forest Anda.

[Opsi 3] Hanya mencantumkan Pengendali Domain di situs yang sama dengan server Exchange untuk langkah berikutnya

Ini membatasi kuantitas data yang diinjeksi tetapi beberapa insiden tidak dapat dideteksi.

[Opsi 4] Mencantumkan semua Pengendali Domain forest Active-Directory Anda untuk langkah berikutnya

Ini memungkinkan pengumpulan semua peristiwa keamanan

Kumpulan log Peristiwa Keamanan

Aturan Pengumpulan Data - Log Peristiwa Keamanan

Aktifkan aturan pengumpulan data untuk log Peristiwa Keamanan Log Keamanan dikumpulkan hanya dari agen Windows.

  1. Tambahkan DC yang dipilih pada tab Sumber Daya .
  2. Pilih Tingkat log keamanan

Tingkat umum adalah minimum yang diperlukan. Pilih 'Umum' atau 'Semua Peristiwa Keamanan' pada definisi DCR.

  • Pasang Agen: <nilai variabel yang disediakan pada waktu penginstalan>

[Opsi 5] Log IIS server Exchange

Pilih cara mengalirkan log IIS dari server Exchange

Aturan Pengumpulan Data - Saat Agen Azure Monitor digunakan

Aktifkan log IIS aturan pengumpulan data hanya dikumpulkan dari agen Windows.

Opsi 1 - Templat Azure Resource Manager (ARM)

Gunakan metode ini untuk penyebaran otomatis DCE dan DCR.

A. Membuat DCE (Jika belum dibuat untuk Server Exchange)

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.ms

  2. Pilih Langganan, Grup Sumber Daya, dan Lokasi pilihan.

  3. Anda dapat mengubah nama DCE yang diusulkan.

  4. Klik Buat untuk menyebarkan.

B. Menyebarkan Aturan Koneksi Data

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.ms

  2. Pilih Langganan, Grup Sumber Daya, dan Lokasi pilihan.

  3. Masukkan ID Ruang Kerja 'dan/atau Bidang lain yang diperlukan'.

  4. Tandai kotak centang berlabel Saya menyetujui syarat dan ketentuan yang dinyatakan di atas.

  5. Klik Beli untuk menyebarkan.

Opsi 2 - Penyebaran manual Azure Automation

Gunakan instruksi langkah demi langkah berikut untuk menyebarkan Aturan Pengumpulan Data secara manual.

A. Membuat DCE (Jika belum dibuat untuk Server Exchange)

  1. Dari portal Azure, navigasikan ke Titik Akhir pengumpulan data Azure.
  2. Klik + Buat di bagian atas.
  3. Di tab Dasar , isi bidang yang diperlukan dan beri nama ke DCE.
  4. 'Buat perubahan konfigurasi lain yang lebih disukai', jika diperlukan, lalu klik Buat.

B. Membuat DCR, Ketik log IIS

  1. Dari portal Azure, navigasikan ke aturan pengumpulan data Azure.
  2. Klik + Buat di bagian atas.
  3. Di tab Dasar, isi bidang yang diperlukan, Pilih Windows sebagai jenis platform dan beri nama ke DCR. Pilih DCE yang dibuat.
  4. Di tab Sumber Daya, masukkan Anda Exchange Server.
  5. Di 'Kumpulkan dan kirim', tambahkan jenis Sumber Data 'log IIS' (Jangan masukkan jalur jika jalur Log IIS dikonfigurasi secara default). Klik 'Tambahkan sumber data'
  6. 'Buat perubahan konfigurasi lain yang lebih disukai', jika diperlukan, lalu klik Buat.

Menetapkan DCR ke semua Server Exchange

Menambahkan semua Server Exchange Anda ke DCR

Aturan Pengumpulan Data - Saat Agen Azure Log Analytics warisan digunakan

Mengonfigurasi log yang akan dikumpulkan

Konfigurasikan Peristiwa yang ingin Anda kumpulkan dan tingkat keparahannya.

  1. Di bawah Konfigurasi pengaturan tingkat lanjut ruang kerja , pilih Data lalu Log IIS.
  2. Centang Kumpulkan file log IIS format W3C
  3. Kliklah Simpan.
  • Pasang Agen: <nilai variabel yang disediakan pada waktu penginstalan>

[Opsi 6] Pelacakan Pesan Server Exchange

Pilih cara melakukan streaming Pelacakan Pesan Exchange Server

Aturan Pengumpulan Data - Saat Agen Azure Monitor digunakan

Aktifkan aturan pengumpulan data Pelacakan Pesan dikumpulkan hanya dari agen Windows.

Catatan: Perhatian, Log kustom di Agen Monitor ada di Pratinjau. Penyebaran tidak berfungsi seperti yang diharapkan untuk saat ini (Maret 2023).

Opsi 1 - Templat Azure Resource Manager (ARM)

Gunakan metode ini untuk penyebaran otomatis DCE dan DCR.

A. Membuat DCE (Jika belum dibuat untuk Server Exchange)

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.ms

  2. Pilih Langganan, Grup Sumber Daya, dan Lokasi pilihan.

  3. Anda dapat mengubah nama DCE yang diusulkan.

  4. Klik Buat untuk menyebarkan.

B. Menyebarkan Aturan Koneksi Data dan Tabel Kustom

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.ms

  2. Pilih Langganan, Grup Sumber Daya, dan Lokasi pilihan.

  3. Masukkan ID Ruang Kerja 'dan/atau Bidang lain yang diperlukan'.

  4. Tandai kotak centang berlabel Saya menyetujui syarat dan ketentuan yang dinyatakan di atas.

  5. Klik Beli untuk menyebarkan.

Opsi 2 - Penyebaran manual Azure Automation

Gunakan instruksi langkah demi langkah berikut untuk menyebarkan Aturan Pengumpulan Data secara manual.

A. Membuat DCE (Jika belum dibuat untuk Server Exchange)

  1. Dari portal Azure, navigasikan ke Titik Akhir pengumpulan data Azure.
  2. Klik + Buat di bagian atas.
  3. Di tab Dasar , isi bidang yang diperlukan dan beri nama ke DCE, seperti ESI-ExchangeServers.
  4. 'Buat perubahan konfigurasi lain yang lebih disukai', jika diperlukan, lalu klik Buat.

B. Membuat Tabel DCR Kustom

  1. Unduh File contoh dari Microsoft Sentinel GitHub.

  2. Dari portal Azure, navigasikan ke Analitik Ruang Kerja dan pilih Ruang Kerja target Anda.

  3. Klik 'Tabel', klik + Buat di bagian atas dan pilih Log kustom Baru (DCR-Based).

  4. Di tab Dasar, masukkan MessageTrackingLog pada nama Tabel, buat aturan Pengumpulan Data dengan nama DCR-Option6-MessageTrackingLogs (misalnya) dan pilih Titik Akhir pengumpulan Data yang dibuat sebelumnya.

  5. Di tab Skema dan Transformasi, pilih file sampel yang diunduh dan klik Editor Transformasi.

  6. Di bidang transformasi, masukkan permintaan KQL berikut: sumber | extend TimeGenerated = todatetime(['date-time']) | extend clientHostname = ['client-hostname']], clientIP = ['client-ip'], connectorId = ['connector-id'], customData = ['custom-data'], eventId = ['event-id'], internalMessageId = ['internal-message-id'], logId = ['log-id'], messageId = ['message-id'], messageInfo = ['message-info'], messageSubject = ['message-subject'], networkMessageId = ['network-message-id'], originalClientIp = ['original-client-ip'], originalServerIp = ['original-server-ip'], recipientAddress= ['recipient-address'], recipientCount= ['recipient-count'], recipientStatus= ['recipient-status'], relatedRecipientAddress= ['related-recipient-address'], returnPath= ['return-path'], senderAddress= ['sender-address'], senderHostname= ['server-hostname'], serverIp= ['server-ip'], sourceContext= ['source-context'], schemaVersion=['schema-version'], messageTrackingTenantId = ['tenant-id'], totalBytes = ['total-bytes'], transportTrafficType = ['transport-traffic-type'] | project-away ['client-ip'], ['client-hostname'], ['connector-id'], ['custom-data'], ['date-time'], ['event-id'], ['internal-message-id'], ['log-id'], ['message-id'], ['message-info'], ['message-subject'], ['network-message-id']] ['original-client-ip'], ['original-server-ip'], ['recipient-address'], ['recipient-count'], ['recipient-status'], ['related-recipient-address'], ['return-path'], ['sender-address'], ['server-hostname'], ['server-ip'], ['source-context'], [' schema-version'], ['tenant-id'], ['total-byte'], ['transport-traffic-type']

  7. Klik 'Jalankan' dan setelah 'Terapkan'.

  8. Klik Berikutnya, lalu klik Buat.

C. Ubah DCR yang dibuat, Ketik log Kustom

  1. Dari portal Azure, navigasikan ke aturan pengumpulan data Azure.
  2. Pilih DCR yang dibuat sebelumnya, seperti DCR-Option6-MessageTrackingLogs.
  3. Di tab Sumber Daya, masukkan Anda Exchange Server.
  4. Di Sumber Data, tambahkan tipe Sumber Data 'Log Teks Kustom' dan masukkan 'C:\Program Files\Microsoft\Server Exchange\V15\TransportRoles\Logs\MessageTracking*.log' dalam pola file, 'MessageTrackingLog_CL' di Nama Tabel. 6.in Bidang transformasi, masukkan permintaan KQL berikut: sumber | extend TimeGenerated = todatetime(['date-time']) | extend clientHostname = ['client-hostname']], clientIP = ['client-ip'], connectorId = ['connector-id'], customData = ['custom-data'], eventId = ['event-id'], internalMessageId = ['internal-message-id'], logId = ['log-id'], messageId = ['message-id'], messageInfo = ['message-info'], messageSubject = ['message-subject'], networkMessageId = ['network-message-id'], originalClientIp = ['original-client-ip'], originalServerIp = ['original-server-ip'], recipientAddress= ['recipient-address'], recipientCount= ['recipient-count'], recipientStatus= ['recipient-status'], relatedRecipientAddress= ['related-recipient-address'], returnPath= ['return-path'], senderAddress= ['sender-address'], senderHostname= ['server-hostname'], serverIp= ['server-ip'], sourceContext= ['source-context'], schemaVersion=['schema-version'], messageTrackingTenantId = ['tenant-id'], totalBytes = ['total-byte'], transportTrafficType = ['transport-traffic-type'] | project-away ['client-ip'], ['client-hostname'], ['connector-id'], ['custom-data'], ['date-time'], ['event-id'], ['internal-message-id'], ['log-id'], ['message-id'], ['message-info'], ['message-subject'], ['network-message-id']] ['original-client-ip'], ['original-server-ip'], ['recipient-address'], ['recipient-count'], ['recipient-status'], ['related-recipient-address'], ['return-path'], ['sender-address'], ['server-hostname'], ['server-ip'], ['source-context'], [' schema-version'], ['tenant-id'], ['total-byte'], ['transport-traffic-type']
  5. Klik 'Tambahkan sumber data'.

Menetapkan DCR ke semua Server Exchange

Menambahkan semua Server Exchange Anda ke DCR

Aturan Pengumpulan Data - Saat Agen Azure Log Analytics warisan digunakan

Mengonfigurasi log yang akan dikumpulkan

  1. Di bawah bagian Pengaturan ruang kerja, pilih Tabel, klik + Buat dan klik Log kustom baru (MMA-Based).
  2. Pilih Sampel Contoh File Sampel Penjelajakan file dan klik Berikutnya
  3. Pilih ketik Windows dan masukkan jalur C:\Program Files\Microsoft\Server Exchange\V15\TransportRoles\Logs\MessageTracking*.log. Klik Berikutnya.
  4. Masukkan MessageTrackingLog sebagai Nama tabel dan klik Berikutnya.
  5. Kliklah Simpan.
  • Pasang Agen: <nilai variabel yang disediakan pada waktu penginstalan>

[Opsi 7] Proksi HTTP Server Exchange

Pilih cara melakukan streaming Proksi HTTP server Exchange

Aturan Pengumpulan Data - Saat Agen Azure Monitor digunakan

Aktifkan aturan pengumpulan data Pelacakan Pesan dikumpulkan hanya dari agen Windows.

Catatan: Perhatian, Log kustom di Agen Monitor ada di Pratinjau. Penyebaran tidak berfungsi seperti yang diharapkan untuk saat ini (Maret 2023).

Opsi 1 - Templat Azure Resource Manager (ARM)

Gunakan metode ini untuk penyebaran otomatis DCE dan DCR.

A. Membuat DCE (Jika belum dibuat untuk Server Exchange)

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.ms

  2. Pilih Langganan, Grup Sumber Daya, dan Lokasi pilihan.

  3. Anda dapat mengubah nama DCE yang diusulkan.

  4. Klik Buat untuk menyebarkan.

B. Menyebarkan Aturan Koneksi Data

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.ms

  2. Pilih Langganan, Grup Sumber Daya, dan Lokasi pilihan.

  3. Masukkan ID Ruang Kerja 'dan/atau Bidang lain yang diperlukan'.

  4. Tandai kotak centang berlabel Saya menyetujui syarat dan ketentuan yang dinyatakan di atas.

  5. Klik Beli untuk menyebarkan.

Opsi 2 - Penyebaran manual Azure Automation

Gunakan instruksi langkah demi langkah berikut untuk menyebarkan Aturan Pengumpulan Data secara manual.

A. Membuat DCE (Jika belum dibuat untuk Server Exchange)

  1. Dari portal Azure, navigasikan ke Titik Akhir pengumpulan data Azure.
  2. Klik + Buat di bagian atas.
  3. Di tab Dasar , isi bidang yang diperlukan dan beri nama ke DCE.
  4. 'Buat perubahan konfigurasi lain yang lebih disukai', jika diperlukan, lalu klik Buat.

B. Membuat Tabel DCR Kustom

  1. Unduh File contoh dari Microsoft Sentinel GitHub.
  2. Dari portal Azure, navigasikan ke Analitik Ruang Kerja dan pilih Ruang Kerja target Anda.
  3. Klik 'Tabel', klik + Buat di bagian atas dan pilih Log kustom Baru (DCR-Based).
  4. Di tab Dasar, masukkan ExchangeHttpProxy pada nama Tabel, buat aturan Pengumpulan Data dengan nama DCR-Option7-HTTPProxyLogs (misalnya) dan pilih Titik Akhir pengumpulan Data yang dibuat sebelumnya.
  5. Di tab Skema dan Transformasi, pilih file sampel yang diunduh dan klik Editor Transformasi.
  6. Di bidang transformasi, masukkan permintaan KQL berikut: *sumber | extend TimeGenerated = todatetime(DateTime) | DateTime project-away
  1. Klik 'Jalankan' dan setelah 'Terapkan'.
  2. Klik Berikutnya, lalu klik Buat.

C. Ubah DCR yang dibuat, Ketik log Kustom

  1. Dari portal Azure, navigasikan ke aturan pengumpulan data Azure.
  2. Pilih DCR yang dibuat sebelumnya, seperti DCR-Option7-HTTPProxyLogs.
  3. Di tab Sumber Daya, masukkan Anda Exchange Server.
  4. Di Sumber Data, tambahkan tipe Sumber Data 'Log Teks Kustom' dan masukkan 'C:\Program Files\Microsoft\Server Exchange\V15\Logging\HttpProxy\Autodiscover*.log' dalam pola file, 'ExchangeHttpProxy_CL' di Nama Tabel. 6.in Bidang transformasi, masukkan permintaan KQL berikut : sumber | perpanjang TimeGenerated = todatetime(DateTime) | DateTime project-away
  5. Klik 'Tambahkan sumber data'.

Menetapkan DCR ke semua Server Exchange

Menambahkan semua Server Exchange Anda ke DCR

Aturan Pengumpulan Data - Saat Agen Azure Log Analytics warisan digunakan

Mengonfigurasi log yang akan dikumpulkan

  1. Di bawah bagian Pengaturan ruang kerja, pilih Tabel, klik + Buat dan klik Log kustom baru (MMA-Based).
  2. Pilih Sampel Contoh File Sampel Penjelajakan file dan klik Berikutnya
  3. Pilih ketik Windows dan masukkan semua jalur berikut C:\Program Files\Microsoft\Server Exchange\V15\Logging\HttpProxy\Autodiscover*.log, C:\Program Files\Microsoft\Server Exchange\V15\Logging\HttpProxy\Eas*.log, C:\Program Files\ Microsoft\Server Exchange\V15\Logging\HttpProxy\Ecp*.log, C:\Program Files\Microsoft\Server Exchange\V15\Logging\HttpProxy\Ews*.log, C:\Program Files\Microsoft\Server Exchange\V15\Logging\HttpProxy\Mapi*.log, C:\Program Files\Microsoft\Server Exchange\V15\Logging\HttpProxy\Oab*.log, C:\Program Files\Microsoft\Server Exchange\V15\Logging\HttpProxy\Owa*.log, C:\Program Files\Microsoft\Server Exchange\V15\Logging\ HttpProxy\OwaCalendar*.log, C:\Program Files\Microsoft\Server Exchange\V15\Logging\HttpProxy\PowerShell*.log dan C:\Program Files\Microsoft\Server Exchange\V15\Logging\HttpProxy\RpcHttp*.log . Klik Berikutnya.
  4. Masukkan ExchangeHttpProxy sebagai Nama tabel dan klik Berikutnya.
  5. Kliklah Simpan.
  • Pasang Agen: <nilai variabel yang disediakan pada waktu penginstalan>

CATATAN: Konektor data ini tergantung pada pengurai berdasarkan Fungsi Kusto agar berfungsi seperti yang diharapkan. Parser secara otomatis disebarkan dengan solusi. Ikuti langkah-langkah untuk membuat alias Fungsi Kusto : ExchangeAdminAuditLogs

Parser secara otomatis disebarkan selama penyebaran Solusi. Jika Anda ingin menyebarkan secara manual, ikuti langkah-langkah di bawah ini

Penyebaran Pengurai Manual

1. Unduh file Parser

Versi terbaru file ExchangeAdminAuditLogs

2. Buat fungsi Parser ExchangeAdminAuditLogs

Di penjelajah 'Log' analitik log Microsoft Sentinel Anda, salin konten file ke Penjelajah log

3. Simpan fungsi Parser ExchangeAdminAuditLogs

Klik tombol simpan. Tidak ada parameter yang diperlukan untuk pengurai ini. Klik simpan lagi.



[Sudah Tidak Digunakan] Netskope Web Transactions Data Connector (menggunakan Azure Function)

Didukung oleh:Netskope

Konektor data Netskope Web Transactions menyediakan fungsionalitas gambar docker untuk menarik data Netskope Web Transactions dari google pubsublite, memproses data dan menyerap data yang diproses ke Log Analytics. Sebagai bagian dari konektor data ini dua tabel akan dibentuk di Analitik Log, satu untuk data Transaksi Web dan lainnya untuk kesalahan yang ditemui selama eksekusi.

Untuk detail selengkapnya yang terkait dengan Transaksi Web, lihat dokumentasi di bawah ini:

  1. Dokumentasi Netskope Web Transactions:

https://docs.netskope.com/en/netskope-help/data-security/transaction-events/netskope-transaction-events/

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
NetskopeWebtxData_CL No No
NetskopeWebtxErrors_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Langganan Azure: Langganan Azure dengan peran pemilik diperlukan untuk mendaftarkan aplikasi di Microsoft Entra ID dan menetapkan peran kontributor ke aplikasi dalam grup sumber daya.
  • Microsoft. Izin komputasi: Izin baca dan tulis untuk Azure VM diperlukan. Untuk informasi selengkapnya, lihat VM Azure.
  • Kredensial dan Izin TransactionEvents: Penyewa Netskope dan Token API Netskope diperlukan. Untuk informasi selengkapnya, lihat Peristiwa Transaksi.
  • Microsoft. Izin web/situs: Izin baca dan tulis ke Azure Functions untuk membuat Aplikasi Fungsi diperlukan. Untuk informasi selengkapnya, lihat Azure Functions.

Instruksi Penyetelan:

CATATAN: Konektor ini menyediakan fungsionalitas menyerap data Netskope Web Transactions menggunakan gambar docker untuk disebarkan pada komputer virtual (Baik Azure VM/VM Lokal). Periksa halaman harga VM Azure untuk detailnya.

(Langkah Opsional) Simpan ruang kerja dan kunci otorisasi API atau token dengan aman di Azure Key Vault. Azure Key Vault menyediakan mekanisme aman untuk menyimpan dan mengambil nilai kunci. Ikuti instruksi ini untuk menggunakan Azure Key Vault dengan Aplikasi Fungsi Azure.

LANGKAH 1 - Langkah-langkah untuk membuat/mendapatkan Kredensial untuk akun Netskope

Ikuti langkah-langkah di bagian ini untuk membuat/mendapatkan Nama Host Netskope dan Token API Netskope:

  1. Masuk ke Penyewa Netskope Anda dan buka menu Pengaturan di bilah navigasi kiri.
  2. Klik Alat lalu REST API v2
  3. Sekarang, klik tombol token baru. Kemudian akan meminta nama token, durasi kedaluwarsa, dan titik akhir yang ingin Anda ambil datanya.
  4. Setelah selesai klik tombol simpan, token akan dihasilkan. Salin token dan simpan di tempat yang aman untuk penggunaan lebih lanjut.

LANGKAH 2 - Pilih satu dari dua opsi penyebaran berikut untuk menyebarkan konektor data berbasis docker untuk menyerap data Transaksi Web Netskope

PENTING: Sebelum menyebarkan konektor data Netskope, miliki ID Ruang Kerja dan Kunci Primer Ruang Kerja (dapat disalin dari yang berikut) yang tersedia dengan mudah, serta Kunci Otorisasi NETSKOPE API [Pastikan token memiliki izin untuk peristiwa transaksi].

  • ID ruang kerja: <nilai variabel yang disediakan pada waktu penginstalan>
  • Kunci Primer: <nilai variabel yang disediakan pada waktu penginstalan>

Opsi 1 - Menggunakan Templat Azure Resource Manager (ARM) untuk menyebarkan VM [Disarankan]

Menggunakan templat ARM menyebarkan VM Azure, instal prasyarat dan mulai eksekusi.

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.ms

  2. Pilih Langganan, Grup Sumber Daya, dan Lokasi pilihan.

  3. Masukkan informasi di bawah ini: Nama Gambar Docker (mgulledge/netskope-microsoft-sentinel-plugin:netskopewebtransactions) Netskope HostName Netskope API Token Seek Timestamp (Tanda waktu epoch yang ingin Anda cari penunjuk pubsublite, dapat dibiarkan kosong) Jumlah Coba Lagi Backoff Kunci Ruang Kerja ID Ruang Kerja (Jumlah coba lagi untuk kesalahan terkait token sebelum memulai ulang eksekusi.)
    Backoff Waktu Tidur (Jumlah detik untuk tidur sebelum mencoba kembali) Batas Waktu Diam (Jumlah detik untuk menunggu Data Transaksi Web sebelum memulai ulang eksekusi) Nama VM Autentikasi Jenis Kata Sandi Admin atau Label DNS Kunci Awalan Versi Ubuntu OS Lokasi Ukuran VM Nama Subnet Nama Jaringan Keamanan Kelompok Keamanan Jenis Keamanan

  4. Klik Tinjau+Buat.

  5. Kemudian setelah validasi klik Buat untuk menyebarkan.

Opsi 2 - Penyebaran Manual pada komputer virtual yang dibuat sebelumnya

Gunakan instruksi langkah demi langkah berikut untuk menyebarkan konektor data berbasis docker secara manual pada komputer virtual yang dibuat sebelumnya.

  1. Pasang docker dan tarik gambar docker

CATATAN: Pastikan bahwa VM berbasis linux (sebaiknya Ubuntu).

  1. Pertama, Anda harus SSH ke komputer virtual.

  2. Sekarang instal mesin docker.

  3. Sekarang tarik gambar docker dari docker hub menggunakan perintah: 'sudo docker pull mgulledge/netskope-microsoft-sentinel-plugin:netskopewebtransactions'.

  4. Sekarang untuk menjalankan gambar docker, gunakan perintah: 'sudo docker run -it -v $(pwd)/docker_persistent_volume:/app mgulledge/netskope-microsoft-sentinel-plugin:netskopewebtransactions'. Anda dapat mengganti mgulledge/netskope-microsoft-sentinel-plugin:netskopewebtransactions dengan id gambar. Di sini docker_persistent_volume adalah nama folder yang akan dibuat pada vm tempat file akan disimpan.

  5. Mengonfigurasi Parameter

  6. Setelah gambar docker berjalan, gambar tersebut akan meminta parameter yang diperlukan.

  7. Tambahkan masing-masing pengaturan aplikasi berikut secara individual, dengan nilai masing-masing (peka huruf besar/kecil): Netskope HostName Netskope API Token Seek Timestamp (Tanda waktu epoch yang ingin Anda cari penunjuk pubsublite, dapat dibiarkan kosong) Ruang Kerja ID Ruang Kerja Key Backoff Retry Count (Jumlah coba lagi untuk kesalahan terkait token sebelum memulai ulang eksekusi.)
    Waktu Tidur Backoff (Jumlah detik untuk tidur sebelum mencoba kembali) Batas Waktu Diam (Jumlah detik untuk menunggu Data Transaksi Web sebelum memulai ulang eksekusi)

  8. Sekarang eksekusi telah dimulai tetapi dalam mode interaktif, sehingga shell tidak dapat dihentikan. Untuk menjalankannya sebagai proses latar belakang, hentikan eksekusi saat ini dengan menekan Ctrl+C lalu gunakan perintah: 'sudo docker run -d -v $(pwd)/docker_persistent_volume:/app mgulledge/netskope-microsoft-sentinel-plugin:netskopewebtransactions'.

  9. Menghentikan kontainer docker

  10. Gunakan perintah 'sudo docker container ps' untuk mencantumkan kontainer docker yang sedang berjalan. Catat id kontainer Anda.

  11. Sekarang hentikan kontainer menggunakan perintah: 'sudo docker stop <container-id>'.



[Tidak digunakan lagi] Sophos Endpoint Protection (menggunakan Fungsi Azure) (menggunakan Azure Functions)

Dukungan oleh:Microsoft Corporation

Konektor data Sophos Endpoint Protection menyediakan kemampuan untuk menyerap peristiwa Sophos ke dalam Microsoft Sentinel. Lihat dokumentasi Admin Pusat Sophos untuk informasi selengkapnya.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
SophosEP_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Microsoft. Izin web/situs: Izin baca dan tulis ke Azure Functions untuk membuat Aplikasi Fungsi diperlukan. Untuk informasi selengkapnya, lihat Azure Functions.
  • Kredensial/izin REST API: Token API diperlukan. Untuk informasi selengkapnya, lihat Token API

Instruksi Penyetelan:

CATATAN: Konektor ini menggunakan Azure Functions untuk terhubung ke API Sophos Central untuk menarik lognya ke Microsoft Sentinel. Ini dapat mengakibatkan biaya penyerapan data tambahan. Periksa halaman harga Azure Functions untuk detailnya.

(Langkah Opsional) Simpan ruang kerja dan kunci otorisasi API atau token dengan aman di Azure Key Vault. Azure Key Vault menyediakan mekanisme aman untuk menyimpan dan mengambil nilai kunci. Ikuti instruksi ini untuk menggunakan Azure Key Vault dengan Aplikasi Fungsi Azure.

CATATAN: Konektor data ini tergantung pada pengurai berdasarkan Fungsi Kusto untuk bekerja seperti yang diharapkan SophosEPEvent yang disebarkan dengan solusi Microsoft Sentinel.

LANGKAH 1 - Langkah konfigurasi untuk SOPHOS Central API

Ikuti instruksi untuk mendapatkan kredensial.

  1. Di Admin Pusat Sophos, buka Manajemen Token API Pengaturan > Global.
  2. Untuk membuat token baru, klik Tambahkan token dari sudut kanan atas layar.
  3. Pilih nama token dan klik Simpan. Ringkasan Token API untuk token ini ditampilkan.
  4. Klik Salin untuk menyalin URL + Header Akses API Anda dari bagian Ringkasan Token API ke clipboard Anda.

LANGKAH 2 - Pilih ONE dari dua opsi penyebaran berikut untuk menyebarkan konektor dan Fungsi Azure terkait

PENTING: Sebelum menyebarkan konektor data Sophos Endpoint Protection, miliki ID Ruang Kerja dan Kunci Primer Ruang Kerja (dapat disalin dari yang berikut).

  • ID ruang kerja: <nilai variabel yang disediakan pada waktu penginstalan>
  • Kunci Primer: <nilai variabel yang disediakan pada waktu penginstalan>

Opsi 1 - Templat Azure Resource Manager (ARM)

Gunakan metode ini untuk penyebaran otomatis konektor data Sophos Endpoint Protection menggunakan ARM Tempate.

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.ms

  2. Pilih Langganan, Grup Sumber Daya, dan Lokasi pilihan.

CATATAN: Dalam grup sumber daya yang sama, Anda tidak dapat mencampur aplikasi Windows dan Linux di wilayah yang sama. Pilih grup sumber daya yang ada tanpa Windows aplikasi di dalamnya atau buat grup sumber daya baru. 3. Masukkan URL dan Header Akses API Sophos, AzureSentinelWorkspaceId, AzureSentinelSharedKey. 4. Tandai kotak centang berlabel Saya menyetujui syarat dan ketentuan yang dinyatakan di atas. 5. Klik Beli untuk menyebarkan.

Opsi 2 - Penyebaran manual Azure Functions

Gunakan instruksi langkah demi langkah berikut untuk menyebarkan konektor data Sophos Endpoint Protection secara manual dengan Azure Functions (Penyebaran melalui Visual Studio Code).

Langkah 1 - Menyebarkan Aplikasi Fungsi

CATATAN: Anda harus menyiapkan kode VS untuk pengembangan fungsi Azure.

  1. Unduh file Aplikasi Fungsi Azure. Ekstrak arsip ke komputer pengembangan lokal Anda.
  2. Ikuti instruksi penyebaran manual aplikasi fungsi untuk menyebarkan aplikasi Azure Functions menggunakan VSCode.
  3. Setelah penyebaran aplikasi fungsi berhasil, ikuti langkah berikutnya untuk mengonfigurasinya.

Langkah 2 - Mengonfigurasi Aplikasi Fungsi

  1. Buka portal Azure untuk konfigurasi Aplikasi Fungsi.
  2. Di Aplikasi Fungsi, pilih Nama Aplikasi Fungsi dan pilih Konfigurasi.
  3. Di tab Pengaturan aplikasi, pilih Pengaturan aplikasi baru.
  4. Tambahkan masing-masing pengaturan aplikasi berikut satu per satu, dengan nilai string masing-masing (peka huruf besar/kecil): SOPHOS_TOKEN WorkspaceID WorkspaceID LogAnalyticsUri (opsional)
  • Gunakan logAnalyticsUri untuk mengambil alih titik akhir API analitik log untuk cloud khusus. Misalnya, untuk cloud publik, biarkan nilai kosong; untuk Azure lingkungan cloud GovUS, tentukan nilai dalam format berikut: https://<CustomerId>.ods.opinsights.azure.us.
  1. Setelah semua pengaturan aplikasi dimasukkan, klik Simpan.



[Deprecated] Varonis SaaS

Didukung oleh:Varonis

Varonis SaaS menyediakan kemampuan untuk menyerap pemberitahuan Varonis ke dalam Microsoft Sentinel.

Varonis memprioritaskan visibilitas data mendalam, kemampuan klasifikasi, dan remediasi otomatis untuk akses data. Varonis membangun satu tampilan risiko yang diprioritaskan untuk data Anda, sehingga Anda dapat secara proaktif dan sistematis menghilangkan risiko dari ancaman orang dalam dan serangan cyber.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
VaronisAlerts_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Microsoft. Izin web/situs: Izin baca dan tulis ke Azure Functions untuk membuat Aplikasi Fungsi diperlukan. Untuk informasi selengkapnya, lihat Azure Functions.

Instruksi Penyetelan:

CATATAN: Konektor ini menggunakan Azure Functions untuk terhubung ke layanan Varonis DatAlert untuk menarik pemberitahuan ke Microsoft Sentinel. Ini dapat mengakibatkan biaya penyerapan data tambahan. Lihat halaman harga Azure Functions untuk detailnya.

Untuk fungsi Azure dan penggunaan penginstalan layanan terkait:

portal.azure.com

LANGKAH 1 - Dapatkan kredensial Varonis DatAlert Endpoint API.

Untuk menghasilkan ID Klien dan kunci API:

  1. Luncurkan Antarmuka Web Varonis.
  2. Navigasi ke Konfigurasi -> Kunci API. Halaman Kunci API ditampilkan.
  3. Klik Buat Kunci API. Pengaturan Tambahkan Kunci API Baru ditampilkan di sebelah kanan.
  4. Isi nama dan deskripsi.
  5. Klik tombol Buat Kunci.
  6. Salin rahasia kunci API dan simpan di lokasi yang berguna. Anda tidak akan dapat menyalinnya lagi.

Untuk informasi tambahan, silakan periksa: Dokumentasi Varonis

LANGKAH 2 - Sebarkan konektor dan Fungsi Azure terkait.

  • Nama Ruang Kerja: <nilai variabel yang disediakan pada waktu penginstalan>

Gunakan metode ini untuk penyebaran otomatis konektor data menggunakan Templat ARM.

  1. Klik tombol Sebarkan ke Azure.

    portal.azure.com

  2. Pilih Langganan pilihan, Grup Sumber Daya, Wilayah, Jenis Akun Penyimpanan.

  3. Masukkan nama ruang kerja Log Analytics, Varonis FQDN, Varonis SaaS API Key.

  4. Klik Tinjau + Buat, Buat.



[Tidak digunakan lagi] VMware Carbon Black Cloud (menggunakan fungsi Azure) (menggunakan Azure Functions)

Dukungan oleh:Microsoft

Konektor VMware Carbon Black Cloud menyediakan kemampuan untuk menyerap data Carbon Black ke Microsoft Sentinel. Konektor memberikan visibilitas ke log Audit, Pemberitahuan, dan Peristiwa di Microsoft Sentinel untuk melihat dasbor, membuat pemberitahuan kustom, dan untuk meningkatkan kemampuan pemantauan dan investigasi.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
CarbonBlackEvents_CL No No
CarbonBlackNotifications_CL No No
CarbonBlackAuditLogs_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Microsoft. Izin web/situs: Izin baca dan tulis ke Azure Functions untuk membuat Aplikasi Fungsi diperlukan. Untuk informasi selengkapnya, lihat Azure Functions.
  • Kunci API VMware Carbon Black: Carbon Black API dan/atau KUNCI API Tingkat SIEM diperlukan. Lihat dokumentasi untuk mempelajari selengkapnya tentang Carbon Black API.
  • ID API dan Kunci tingkat akses Carbon Black API diperlukan untuk log Audit dan Peristiwa .
  • ID API dan Kunci tingkat akses Carbon Black SIEM diperlukan untuk pemberitahuan Pemberitahuan .
  • Kredensial/izin AMAZON S3 REST API: AWS Access Key Id, AWS Secret Access Key, AWS S3 Bucket Name, Folder Name di AWS S3 Bucket diperlukan untuk Amazon S3 REST API.

Instruksi Penyetelan:

CATATAN: Konektor ini menggunakan Azure Functions untuk terhubung ke VMware Carbon Black untuk menarik lognya ke Microsoft Sentinel. Ini dapat mengakibatkan biaya penyerapan data tambahan. Periksa halaman harga Azure Functions untuk detailnya.

(Langkah Opsional) Simpan ruang kerja dan kunci otorisasi API atau token dengan aman di Azure Key Vault. Azure Key Vault menyediakan mekanisme aman untuk menyimpan dan mengambil nilai kunci. Ikuti instruksi ini untuk menggunakan Azure Key Vault dengan Aplikasi Fungsi Azure.

LANGKAH 1 - Langkah konfigurasi untuk VMware Carbon Black API

Ikuti petunjuk ini untuk membuat Kunci API.

LANGKAH 2 - Pilih ONE dari dua opsi penyebaran berikut untuk menyebarkan konektor dan Fungsi Azure terkait

PENTING: Sebelum menyebarkan konektor VMware Carbon Black, miliki ID Ruang Kerja dan Kunci Primer Ruang Kerja (dapat disalin dari yang berikut), serta Kunci Otorisasi VMware Carbon Black API, tersedia dengan mudah.

  • ID ruang kerja: <nilai variabel yang disediakan pada waktu penginstalan>
  • Kunci Primer: <nilai variabel yang disediakan pada waktu penginstalan>

Opsi 1 - Templat Azure Resource Manager (ARM)

Metode ini menyediakan penerapan otomatis konektor VMware Carbon Black menggunakan Template ARM.

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.msaka.ms

  2. Pilih Langganan, Grup Sumber Daya, dan Lokasi pilihan.

  3. Masukkan ID Ruang Kerja, Kunci Ruang Kerja, Jenis Log, ID API, Kunci API, Kunci Org Hitam Karbon, Nama Wadah S3, ID Kunci Akses AWS, Kunci Akses Rahasia AWS, EventPrefixFolderName, AlertPrefixFolderName, dan validasi URI.

  • Masukkan URI yang sesuai dengan wilayah Anda. Daftar lengkap URL API dapat ditemukan di sini
  • Interval Waktu default diatur untuk menarik lima (5) menit terakhir data. Jika interval waktu perlu dimodifikasi, disarankan untuk mengubah Pemicu Pengatur Waktu Aplikasi Fungsi yang sesuai (dalam file function.json, pasca penyebaran) untuk mencegah penyerapan data yang tumpang tindih.
  • Carbon Black memerlukan set API ID/Kunci terpisah untuk mengolah notifikasi pemberitahuan. Masukkan nilai SIEM API ID/Key atau biarkan kosong, jika tidak diperlukan.
  • Catatan: Jika menggunakan rahasia Azure Key Vault untuk salah satu nilai di atas, gunakan@Microsoft.KeyVault(SecretUri={Security Identifier})skema sebagai pengganti nilai string. Lihat dokumentasi referensi Key Vault untuk detail lebih lanjut.
  1. Tandai kotak centang berlabel Saya menyetujui syarat dan ketentuan yang dinyatakan di atas.
  2. Klik Beli untuk menyebarkan.

Opsi 2 - Penyebaran manual Azure Functions

Gunakan instruksi langkah demi langkah berikut untuk menyebarkan konektor VMware Carbon Black secara manual dengan Azure Functions.

  1. Membuat Aplikasi Fungsi

  2. Dari portal Azure, navigasi ke Aplikasi Fungsi, dan pilih + Tambahkan.

  3. Di tab Dasar, pastikan Tumpukan Runtime diatur ke Powershell Core.

  4. Di tab Hosting, pastikan jenis paket Konsumsi (Tanpa Server) dipilih.

  5. Buat perubahan konfigurasi lain yang lebih disukai, jika diperlukan, lalu klik Buat.

  6. Impor Kode Aplikasi Fungsi

  7. Di Aplikasi Fungsi yang baru dibuat, pilih Fungsi di panel kiri dan klik + Tambahkan.

  8. Pilih Pemicu Timer.

  9. Masukkan Nama Fungsi unik dan ubah jadwal cron, jika diperlukan. Nilai default diatur untuk menjalankan Aplikasi Fungsi setiap 5 menit. (Catatan: pemicu Timer harus cocok dengan timeInterval nilai di bawah ini untuk mencegah data yang tumpang tindih), klik Buat.

  10. Klik Kode + Uji di panel kiri.

  11. Salin Kode Aplikasi Fungsi dan tempelkan ke editor Aplikasi run.ps1 Fungsi.

  12. Kliklah Simpan.

  13. Mengonfigurasi Aplikasi Fungsi

  14. Di Aplikasi Fungsi, pilih Nama Aplikasi Fungsi dan pilih Konfigurasi.

  15. Di tab Pengaturan aplikasi, pilih + Pengaturan aplikasi baru.

  16. Tambahkan masing-masing dari tiga belas ke enam belas (13-16) pengaturan aplikasi berikut satu per satu, dengan nilai string masing-masing (peka huruf besar/kecil): apiId apiKey workspaceID workspaceId timeInterval CarbonBlackOrgKey CarbonBlackLogTypes s3BucketName EventPrefixFoldErName AlertPrefixFolderName AWSAccessKeyId AWSSecretAccessKey SIEMapiId (Opsional) SIEMapiKey (Opsional) logAnalyticsUri (opsional)

  • Masukkan URI yang sesuai dengan wilayah Anda. Daftar lengkap URL API dapat ditemukan di sini. Nilai uri harus mengikuti skema berikut: https://<API URL>.conferdeploy.net - Tidak perlu menambahkan akhiran waktu ke URI, Aplikasi Fungsi akan secara dinamis menambahkan Nilai Waktu ke URI dalam format yang tepat.
  • Atur timeInterval (dalam menit) ke nilai 5 default agar sesuai dengan Pemicu Timer default setiap 5 menit. Jika interval waktu perlu dimodifikasi, disarankan untuk mengubah Pemicu Pengatur Waktu Aplikasi Fungsi yang sesuai untuk mencegah penyerapan data yang tumpang tindih.
  • Carbon Black memerlukan set API ID/Kunci terpisah untuk mengolah notifikasi pemberitahuan. SIEMapiId Masukkan nilai dan SIEMapiKey , jika diperlukan, atau hilangkan, jika tidak diperlukan.
  • Catatan: Jika menggunakan Azure Key Vault, gunakan@Microsoft.KeyVault(SecretUri={Security Identifier})skema sebagai pengganti nilai string. Lihat dokumentasi referensi Key Vault untuk detail lebih lanjut.
  • Gunakan logAnalyticsUri untuk mengambil alih titik akhir API analitik log untuk cloud khusus. Misalnya, untuk cloud publik, biarkan nilai kosong; untuk Azure lingkungan cloud GovUS, tentukan nilai dalam format berikut:https://<CustomerId>.ods.opinsights.azure.us
  1. Setelah semua pengaturan aplikasi dimasukkan, klik Simpan.



[Deprecated] Zoom Reports (menggunakan Azure Functions)

Dukungan oleh:Microsoft Corporation

Konektor data Zoom Reports menyediakan kemampuan untuk menyerap peristiwa Zoom Reports ke dalam Microsoft Sentinel melalui REST API. Lihat dokumentasi API untuk informasi selengkapnya. Konektor memungkinkan pengambilan peristiwa untuk menilai potensi risiko keamanan, memantau kolaborasi, dan mendiagnosis dan memecahkan masalah konfigurasi.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
Zoom_CL No No

Dukungan aturan pengumpulan data: Saat ini tidak didukung

Prasyarat:

  • Microsoft. Izin web/situs: Izin baca dan tulis ke Azure Functions untuk membuat Aplikasi Fungsi diperlukan. Untuk informasi selengkapnya, lihat Azure Functions.
  • Kredensial/izin REST API: AccountID, ClientID , dan ClientSecret diperlukan untuk Zoom API. Untuk informasi selengkapnya, lihat Zoom API. Ikuti instruksi untuk konfigurasi Zoom API.

Instruksi Penyetelan:

CATATAN: Konektor ini menggunakan Azure Functions untuk terhubung ke Zoom API untuk menarik lognya ke Microsoft Sentinel. Ini dapat mengakibatkan biaya penyerapan data tambahan. Periksa halaman harga Azure Functions untuk detailnya.

(Langkah Opsional) Simpan ruang kerja dan kunci otorisasi API atau token dengan aman di Azure Key Vault. Azure Key Vault menyediakan mekanisme aman untuk menyimpan dan mengambil nilai kunci. Ikuti instruksi ini untuk menggunakan Azure Key Vault dengan Aplikasi Fungsi Azure.

CATATAN: Konektor data ini tergantung pada pengurai berdasarkan Fungsi Kusto untuk bekerja seperti yang diharapkan yang disebarkan sebagai bagian dari solusi. Untuk melihat kode fungsi di Log Analytics, buka bilah Log Log Analytics/Microsoft Sentinel, klik Fungsi dan cari alias Zoom dan muat kode fungsi atau klik di sini. Fungsi ini biasanya membutuhkan waktu 10-15 menit untuk diaktifkan setelah penginstalan/pembaruan solusi.

LANGKAH 1 - Langkah konfigurasi untuk ZOOM API

Ikuti instruksi untuk mendapatkan kredensial.

LANGKAH 2 - Pilih ONE dari dua opsi penyebaran berikut untuk menyebarkan konektor dan Fungsi Azure terkait

PENTING: Sebelum menyebarkan konektor data Zoom Reports, miliki ID Ruang Kerja dan Kunci Utama Ruang Kerja (dapat disalin dari yang berikut).

  • ID ruang kerja: <nilai variabel yang disediakan pada waktu penginstalan>
  • Kunci Primer: <nilai variabel yang disediakan pada waktu penginstalan>

Opsi 1 - Templat Azure Resource Manager (ARM)

Gunakan metode ini untuk penyebaran otomatis konektor data Audit Zoom menggunakan ARM Tempate.

  1. Klik tombol Sebarkan ke Azure di bawah ini.

    aka.msaka.ms

  2. Pilih Langganan, Grup Sumber Daya, dan Wilayah pilihan.

CATATAN: Dalam grup sumber daya yang sama, Anda tidak dapat mencampur aplikasi Windows dan Linux di wilayah yang sama. Pilih grup sumber daya yang ada tanpa Windows aplikasi di dalamnya atau buat grup sumber daya baru. 3. Masukkan AccountID, ClientID, ClientSecret, WorkspaceID, WorkspaceKey, Nama Fungsi dan klik Tinjau + buat. 4. Akhirnya klik Buat untuk menyebarkan.

Opsi 2 - Penyebaran manual Azure Functions

Gunakan instruksi langkah demi langkah berikut untuk menyebarkan konektor data Zoom Reports secara manual dengan Azure Functions (Penyebaran melalui Visual Studio Code).

Langkah 1 - Menyebarkan Aplikasi Fungsi

CATATAN: Anda harus menyiapkan kode VS untuk pengembangan fungsi Azure.

  1. Unduh file Aplikasi Fungsi Azure. Ekstrak arsip ke komputer pengembangan lokal Anda.

  2. Jalankan VS Code. Pilih File di menu utama dan pilih Buka Folder.

  3. Pilih folder tingkat atas dari file yang diekstrak.

  4. Pilih ikon Azure di bilah Aktivitas, lalu di area Azure: Fungsi, pilih tombol Sebarkan ke aplikasi fungsi. Jika Anda belum masuk, pilih ikon Azure di bilah Aktivitas, lalu di area Azure: Functions, pilih Masuk ke Azure Jika Anda sudah masuk, buka langkah berikutnya.

  5. Berikan informasi berikut pada permintaan:

    a. Pilih folder: Pilih folder dari ruang kerja Anda atau telusuri folder yang berisi aplikasi fungsi Anda.

    b. Pilih Langganan: Pilih langganan yang akan digunakan.

    c. Pilih Buat Aplikasi Fungsi baru di Azure (Jangan pilih opsi Tingkat Lanjut)

    d. Masukkan nama unik global untuk aplikasi fungsi: Ketik nama yang valid di jalur URL. Nama yang Anda ketik akan divalidasi untuk memastikan bahwa nama tersebut bersifat unik di Azure Functions. (misalnya ZoomXXXXXX).

    e. Pilih runtime: Pilih Python 3.11.

    f. Pilih lokasi untuk sumber daya baru. Untuk performa yang lebih baik dan biaya yang lebih rendah, pilih wilayah yang sama tempat Microsoft Sentinel berada.

  6. Penyebaran akan dimulai. Notifikasi ditampilkan setelah aplikasi fungsi Anda dibuat dan paket penyebaran diterapkan.

  7. Buka portal Azure untuk konfigurasi Aplikasi Fungsi

Langkah 2 - Mengonfigurasi Aplikasi Fungsi

  1. Di Aplikasi Fungsi, pilih Nama Aplikasi Fungsi dan pilih Konfigurasi.
  2. Di tab Pengaturan aplikasi, pilih Pengaturan aplikasi baru.
  3. Tambahkan masing-masing pengaturan aplikasi berikut satu per satu, dengan nilai string masing-masing (peka huruf besar/kecil): AccountID ClientID ClientSecret WorkspaceID WorkspaceKey logAnalyticsUri (opsional) Gunakan logAnalyticsUri untuk mengambil alih titik akhir API analitik log untuk cloud khusus. Misalnya, untuk cloud publik, biarkan nilai kosong; untuk Azure lingkungan cloud GovUS, tentukan nilai dalam format berikut: https://<CustomerId>.ods.opinsights.azure.us.
  4. Setelah semua pengaturan aplikasi dimasukkan, klik Simpan.



Darktrace Connector untuk Microsoft Sentinel REST API (Legacy)

Didukung oleh:Darktrace

Konektor Darktrace REST API mendorong event waktu nyata dari Darktrace ke Microsoft Sentinel dan dirancang untuk digunakan bersama Solusi Darktrace untuk Microsoft Sentinel. Konektor menulis log ke tabel log kustom berjudul "darktrace_model_alerts_CL"; Pelanggaran Model, Insiden Analis AI, Pemberitahuan Sistem, dan Pemberitahuan Email dapat diserap - filter tambahan dapat diatur di halaman Konfigurasi Sistem Darktrace. Data didorong ke Microsoft Sentinel dari master Darktrace.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
darktrace_model_alerts_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Prasyarat Darktrace: Untuk menggunakan Konektor Data ini diperlukan master Darktrace yang menjalankan v5.2+. Data dikirim ke Azure Monitor HTTP Data Collector API melalui HTTP dari master Darktrace, oleh karena itu konektivitas keluar dari master Darktrace ke Microsoft Sentinel REST API diperlukan.
  • Filter Data Darktrace: Selama konfigurasi dimungkinkan untuk menyiapkan pemfilteran tambahan pada halaman Konfigurasi Sistem Darktrace untuk membatasi jumlah atau jenis data yang dikirim.
  • Coba Solusi Darktrace Sentinel: Anda bisa mendapatkan hasil maksimal dari konektor ini dengan menginstal Solusi Darktrace untuk Microsoft Sentinel. Ini akan menyediakan buku kerja untuk memvisualisasikan data pemberitahuan dan aturan analitik untuk membuat pemberitahuan dan insiden secara otomatis dari Pelanggaran Model Darktrace dan insiden Analis AI.

Instruksi Penyetelan:

  1. Instruksi penyiapan terperinci dapat ditemukan di Portal Pelanggan Darktrace: https://customerportal.darktrace.com/product-guides/main/microsoft-sentinel-introduction
  2. Catat ID Ruang Kerja dan Kunci primer. Anda harus memasukkan detail ini di halaman Konfigurasi Sistem Darktrace Anda.
  • ID ruang kerja: <nilai variabel yang disediakan pada waktu penginstalan>
  • Kunci Primer: <nilai variabel yang disediakan pada waktu penginstalan>

Konfigurasi Darktrace

  1. Lakukan langkah-langkah berikut pada halaman Konfigurasi Sistem Darktrace:
  2. Navigasi ke Halaman Konfigurasi Sistem (Konfigurasi Sistem Admin > Menu > Utama)
  3. Masuk ke konfigurasi Modul dan klik kartu konfigurasi "Microsoft Sentinel"
  4. Pilih "HTTPS (JSON)" dan tekan "Baru"
  5. Isi detail yang diperlukan dan pilih filter yang sesuai
  6. Klik "Verifikasi Pengaturan Pemberitahuan" untuk mencoba autentikasi dan mengirimkan pemberitahuan pengujian
  7. Jalankan kueri sampel "Cari Pemberitahuan Pengujian" untuk memvalidasi bahwa pemberitahuan pengujian telah diterima



Peristiwa Admin Browser Perusahaan Pulau (Warisan)

Didukung oleh:Island

Ini adalah konektor warisan dan tidak lagi direkomendasikan. Gunakan Konektor Data Island Enterprise Browser V2 sebagai gantinya, yang mendukung peristiwa pengguna, admin, dan sistem dalam satu konektor.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
Island_Admin_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Kunci API Pulau: Kunci API Pulau diperlukan.

Instruksi Penyetelan:

Sambungkan Island ke Microsoft Sentinel

Ini adalah konektor warisan. Untuk petunjuk penyiapan lengkap, lihat dokumentasi resmi Island (memerlukan login ke Island Management Console).



Peristiwa Pengguna Browser Perusahaan Pulau (Warisan)

Didukung oleh:Island

Ini adalah konektor warisan dan tidak lagi direkomendasikan. Gunakan Konektor Data Island Enterprise Browser V2 sebagai gantinya, yang mendukung peristiwa pengguna, admin, dan sistem dalam satu konektor.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
Island_User_CL Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Prasyarat:

  • Kunci API Pulau: Kunci API Pulau diperlukan.

Instruksi Penyetelan:

Sambungkan Island ke Microsoft Sentinel

Ini adalah konektor warisan. Untuk petunjuk penyiapan lengkap, lihat dokumentasi resmi Island (memerlukan login ke Island Management Console).



Peristiwa Keamanan melalui Agen Warisan

Dukungan oleh:Microsoft Corporation

Anda dapat melakukan streaming semua peristiwa keamanan dari komputer Windows yang tersambung ke ruang kerja Microsoft Azure Sentinel Anda menggunakan agen Windows. Koneksi ini memungkinkan Anda melihat dasbor, membuat pemberitahuan kustom, dan meningkatkan penyelidikan. Hal ini memberi Anda lebih banyak wawasan tentang jaringan organisasi dan meningkatkan kemampuan operasi keamanan Anda. Untuk informasi selengkapnya, lihat dokumentasi Microsoft Azure Sentinel.

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
SecurityEvent Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Instruksi Penyetelan:

1. Unduh dan instal agen

Log Peristiwa Keamanan hanya dikumpulkan dari agen Windows.

Pilih tempat untuk menginstal agen:

Menginstal agen di komputer virtual Azure Windows

Unduh agen di komputer yang relevan dan ikuti instruksinya.

  • Pasang Agen: <nilai variabel yang disediakan pada waktu penginstalan>

Instal agen di Mesin non-Azure Windows

Pilih mesin yang akan menginstal agen lalu klik Hubungkan.

  • Pasang Agen: <nilai variabel yang disediakan pada waktu penginstalan>

2. Pilih acara mana yang akan disiarkan

  • Semua acara - Semua acara keamanan Windows dan AppLocker.
  • Common - Serangkaian peristiwa standar untuk tujuan audit.
  • Minimal - Serangkaian peristiwa kecil yang mungkin menunjukkan potensi ancaman. Dengan mengaktifkan opsi ini, Anda tidak akan bisa memiliki jejak audit lengkap.
  • Tidak ada - Tidak ada acara keamanan atau AppLocker.



Microsoft Defender untuk Cloud berbasis langganan (Warisan)

Dukungan oleh:Microsoft Corporation

Microsoft Defender untuk Cloud adalah alat manajemen keamanan yang memungkinkan Anda mendeteksi dan merespons ancaman dengan cepat di seluruh beban kerja Azure, hibrid, dan multi-cloud. Konektor ini memungkinkan Anda mengalirkan pemberitahuan keamanan dari Microsoft Defender untuk Cloud ke Microsoft Sentinel, sehingga Anda bisa menampilkan data Defender dalam buku kerja, mengkuerinya untuk menghasilkan pemberitahuan, dan menyelidiki dan merespons insiden.

Untuk nformasi selengkapnya>

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
SecurityAlert Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Syslog melalui Agen Warisan

Dukungan oleh:Microsoft Corporation

Syslog adalah protokol pengelogan acara yang umum untuk Linux. Aplikasi akan mengirim pesan yang mungkin disimpan di komputer lokal atau dikirim ke kolektor Syslog. Ketika Agen untuk Linux diinstal, daemon Syslog lokal dikonfigurasi untuk meneruskan pesan ke agen. Agen kemudian mengirim pesan ke ruang kerja.

Pelajari selengkapnya>

tabel Log Analytics:

Meja Dukungan DCR Penyerapan khusus lake
Syslog Yes Yes

Dukungan aturan pengumpulan data:DCR transformasi ruang kerja

Langkah berikutnya

Untuk informasi selengkapnya, lihat:

  • Terakhir diperbarui pada