Konektor Crowdstrike Falcon Data Replicator (menggunakan Azure Functions) untuk Microsoft Azure Sentinel
Konektor Crowdstrike Falcon Data Replicator menyediakan kemampuan untuk menyerap data peristiwa mentah dari peristiwa Platform Falcon ke Microsoft Azure Sentinel. Konektor ini menyediakan kemampuan untuk mendapatkan peristiwa dari Agen Falcon yang membantu memeriksa potensi risiko keamanan, menganalisis penggunaan kolaborasi tim Anda, mendiagnosis masalah konfigurasi, dan banyak lagi.
Ini adalah konten yang dibuat secara otomatis. Untuk perubahan, hubungi penyedia solusi.
atribut Koneksi or
Atribut konektor | Deskripsi |
---|---|
Pengaturan aplikasi | AWS_KEY AWS_SECRET AWS_REGION_NAME QUEUE_URL WorkspaceID WorkspaceKey logAnalyticsUri (opsional) |
Kode aplikasi fungsi Azure | https://aka.ms/sentinel-CrowdstrikeReplicator-functionapp |
Alias fungsi Kusto | CrowdstrikeReplicator |
Url fungsi Kusto | https://aka.ms/sentinel-crowdstrikereplicator-parser |
Tabel Log Analytics | CrowdstrikeReplicatorLogs_CL |
Dukungan aturan pengumpulan data | Saat ini tidak didukung |
Didukung oleh | Microsoft Corporation |
Kueri sampel
Replikator Data - Semua Aktivitas
CrowdstrikeReplicator
| sort by TimeGenerated desc
Prasyarat
Untuk berintegrasi dengan Crowdstrike Falcon Data Replicator (menggunakan Azure Functions) pastikan Anda memiliki:
- Izin Microsoft.Web/sites: Izin baca dan tulis ke Azure Functions untuk membuat Aplikasi Fungsi diperlukan. Lihat dokumentasi untuk mempelajari selengkapnya tentang Azure Functions.
- Kredensial/izin akun SQS dan AWS S3: AWS_SECRET, AWS_REGION_NAME, AWS_KEY, QUEUE_URL diperlukan. Lihat dokumentasi untuk mempelajari selengkapnya tentang penarikan data. Untuk memulai, hubungi dukungan CrowdStrike. Atas permintaan Anda, mereka akan membuat wadah Amazon Web Services (AWS) S3 terkelola CrowdStrike untuk tujuan penyimpanan jangka pendek serta akun SQS (layanan antrean sederhana) untuk memantau perubahan pada wadah S3.
Instruksi penginstalan vendor
Catatan
Konektor ini menggunakan Azure Functions untuk menyambungkan ke wadah S3 untuk menarik log ke Microsoft Azure Sentinel. Ini dapat mengakibatkan biaya penyerapan data tambahan. Periksa halaman Harga Azure Functions untuk detailnya.
(Langkah Opsional) Simpan ruang kerja dan kunci otorisasi API atau token dengan aman di Azure Key Vault. Azure Key Vault menyediakan mekanisme yang aman untuk menyimpan dan mengambil nilai kunci. Ikuti petunjuk ini untuk menggunakan Azure Key Vault dengan Azure Function App.
Catatan
Konektor data ini bergantung pada parser berdasarkan Fungsi Kusto agar berfungsi seperti yang diharapkan. Ikuti langkah-langkah ini untuk membuat alias fungsi Kusto, CrowdstrikeReplicator.
LANGKAH 1 - Hubungi dukungan CrowdStrike untuk mendapatkan kredensial dan URL Antrean.
LANGKAH 2 - Pilih ONE dari dua opsi penyebaran berikut untuk menyebarkan konektor dan Fungsi Azure terkait
PENTING: Sebelum menyebarkan konektor Crowdstrike Falcon Data Replicator, miliki ID Ruang Kerja dan Kunci Primer Ruang Kerja (dapat disalin dari yang berikut).
Opsi 1 - Templat Azure Resource Manager (ARM)
Gunakan metode ini untuk penyebaran otomatis konektor Crowdstrike Falcon Data Replicator menggunakan ARM Tempate.
Klik tombol Sebarkan ke Azure di bawah ini.
Pilih AWS_SECRET, AWS_REGION_NAME, AWS_KEY, QUEUE_URL pilihan. CATATAN: Dalam grup sumber daya yang sama, Anda tidak dapat mencampur aplikasi Windows dan Linux di wilayah yang sama. Pilih grup sumber daya yang ada tanpa aplikasi Windows di dalamnya atau buat grup sumber daya baru.
Masukkan AWS_SECRET, AWS_REGION_NAME, AWS_KEY, QUEUE_URL, dan sebarkan.
Tandai kotak centang berlabel Saya menyetujui syarat dan ketentuan yang dinyatakan di atas.
Klik Beli untuk menyebarkan.
Opsi 2 - Penyebaran Manual Azure Functions
Gunakan instruksi langkah demi langkah berikut untuk menyebarkan konektor Crowdstrike Falcon Data Replicator secara manual dengan Azure Functions (Penyebaran melalui Visual Studio Code).
1. Menyebarkan Aplikasi Fungsi
CATATAN: Anda harus menyiapkan kode VS untuk pengembangan fungsi Azure.
Unduh file Aplikasi Fungsi Azure. Ekstrak arsip ke komputer pengembangan lokal Anda.
Jalankan VS Code. Pilih File di menu utama dan pilih Buka Folder.
Pilih folder tingkat atas dari file yang diekstrak.
Pilih ikon Azure di bilah Aktivitas, lalu di area Azure: Functions , pilih tombol Sebarkan ke aplikasi fungsi. Jika Anda belum masuk, pilih ikon Azure di bilah Aktivitas, lalu di area Azure: Functions , pilih Masuk ke Azure Jika Anda sudah masuk, buka langkah berikutnya.
Berikan informasi berikut pada permintaan:
a. Pilih folder: Pilih folder dari ruang kerja Anda atau telusuri ke folder yang berisi aplikasi fungsi Anda.
b. Pilih Langganan: Pilih langganan yang akan digunakan.
c. Pilih Buat Aplikasi Fungsi baru di Azure (Jangan pilih opsi Tingkat Lanjut)
d. Masukkan nama unik global untuk aplikasi fungsi :Ketikkan nama yang valid di jalur URL. Nama yang Anda ketik akan divalidasi untuk memastikan bahwa nama tersebut bersifat unik di Azure Functions. (misalnya CrowdstrikeReplicatorXXXXX).
e. Pilih runtime: Pilih Python 3.8.
f. Pilih lokasi untuk sumber daya baru. Untuk performa yang lebih baik dan biaya yang lebih rendah, pilih wilayah yang sama tempat Microsoft Azure Sentinel berada.
Penyebaran akan dimulai. Notifikasi ditampilkan setelah aplikasi fungsi Anda dibuat dan paket penyebaran diterapkan.
Buka Portal Microsoft Azure untuk konfigurasi Aplikasi Fungsi.
2. Mengonfigurasi Aplikasi Fungsi
- Di Aplikasi Fungsi, pilih Nama Aplikasi Fungsi dan pilih Konfigurasi.
- Di tab Pengaturan aplikasi, pilih ** Pengaturan aplikasi baru**.
- Tambahkan masing-masing pengaturan aplikasi berikut satu per satu, dengan nilai string masing-masing (peka huruf besar/kecil):
- AWS_KEY
- AWS_SECRET
- AWS_REGION_NAME
- QUEUE_URL
- WorkspaceID
- WorkspaceKey
- logAnalyticsUri (opsional)
- Gunakan logAnalyticsUri untuk mengambil alih titik akhir API analitik log untuk cloud khusus. Misalnya, untuk cloud publik, biarkan nilai kosong; untuk lingkungan cloud Azure GovUS, tentukan nilai dalam format berikut:
https://<CustomerId>.ods.opinsights.azure.us
.
- Setelah semua pengaturan aplikasi dimasukkan, klik Simpan.
Langkah berikutnya
Untuk informasi selengkapnya, buka solusi terkait di Marketplace Azure.
Saran dan Komentar
https://aka.ms/ContentUserFeedback.
Segera hadir: Sepanjang tahun 2024 kami akan menghentikan penggunaan GitHub Issues sebagai mekanisme umpan balik untuk konten dan menggantinya dengan sistem umpan balik baru. Untuk mengetahui informasi selengkapnya, lihat:Kirim dan lihat umpan balik untuk