Connettore Cisco Umbrella (con Funzioni di Azure) per Microsoft Sentinel
Il connettore dati Cisco Umbrella offre la possibilità di inserire eventi Cisco Umbrella archiviati in Amazon S3 in Microsoft Sentinel usando l'API REST Amazon S3. Per altre informazioni, vedere la documentazione sulla gestione dei log di Cisco Umbrella.
attributi Connessione or
| Attributo Connessione or | Descrizione |
|---|---|
| Alias della funzione Kusto | Cisco_Umbrella |
| URL della funzione Kusto | https://aka.ms/sentinel-ciscoumbrella-function |
| Tabelle di Log Analytics | Cisco_Umbrella_dns_CL Cisco_Umbrella_proxy_CL Cisco_Umbrella_ip_CL Cisco_Umbrella_cloudfirewall_CL |
| Supporto delle regole di raccolta dati | Non è al momento supportato |
| Supportato da | Microsoft Corporation |
Esempi di query
Tutti i log cisco umbrella
Cisco_Umbrella
| sort by TimeGenerated desc
Log DNS Cisco Umbrella
Cisco_Umbrella
| where EventType == 'dnslogs'
| sort by TimeGenerated desc
Log proxy Cisco Umbrella
Cisco_Umbrella
| where EventType == 'proxylogs'
| sort by TimeGenerated desc
Log IP Cisco Umbrella
Cisco_Umbrella
| where EventType == 'iplogs'
| sort by TimeGenerated desc
Log di Cisco Umbrella Cloud Firewall
Cisco_Umbrella
| where EventType == 'cloudfirewalllogs'
| sort by TimeGenerated desc
Prerequisiti
Per eseguire l'integrazione con Cisco Umbrella (usando Funzioni di Azure) assicurarsi di avere:
- Autorizzazioni Microsoft.Web/sites: sono necessarie autorizzazioni di lettura e scrittura per Funzioni di Azure per creare un'app per le funzioni. Per altre informazioni sulle Funzioni di Azure, vedere la documentazione.
- Amazon S3 REST API Credentials/permissions: AWS Access Key Id, AWS Secret Access Key, AWS S3 Bucket Name are required for Amazon S3 REST API.
Istruzioni di installazione fornitore
Nota
Questo connettore usa Funzioni di Azure per connettersi all'API REST amazon S3 per eseguire il pull dei log in Microsoft Sentinel. Ciò potrebbe comportare costi aggiuntivi per l'inserimento dei dati. Per informazioni dettagliate, vedere la pagina dei prezzi Funzioni di Azure.
Nota
Questo connettore è stato aggiornato per supportare cisco umbrella versione 5 e 6.
(Passaggio facoltativo) Archiviare in modo sicuro le chiavi o i token dell'area di lavoro e dell'API in Azure Key Vault. Azure Key Vault offre un meccanismo sicuro per archiviare e recuperare i valori delle chiavi. Seguire queste istruzioni per usare Azure Key Vault con un'app Funzioni di Azure.
Nota
Questo connettore usa un parser basato su una funzione Kusto per normalizzare i campi. Seguire questa procedura per creare l'alias della funzione Kusto Cisco_Umbrella.
PASSAGGIO 1 - Configurazione della raccolta log Cisco Umbrella
Vedere la documentazione e seguire le istruzioni per configurare la registrazione e ottenere le credenziali.
PASSAGGIO 2: scegliere UNA tra le due opzioni di distribuzione seguenti per distribuire il connettore e il Funzioni di Azure associato
IMPORTANTE: prima di distribuire il connettore dati Cisco Umbrella, disporre dell'ID dell'area di lavoro e della chiave primaria dell'area di lavoro (può essere copiato da quanto segue), nonché le credenziali di autorizzazione dell'API REST amazon S3, immediatamente disponibili.
Passaggi successivi
Per altre informazioni, vedere la soluzione correlata in Azure Marketplace.