Connettore Infoblox NIOS per Microsoft Sentinel

  • Articolo

Il connettore Infoblox Network Identity Operating System (NIOS) consente di connettere facilmente i log di Infoblox NIOS con Microsoft Sentinel per visualizzare i dashboard, creare avvisi personalizzati e migliorare l'analisi. In questo modo è possibile ottenere maggiori informazioni sulla rete dell'organizzazione e migliorare le funzionalità operative di sicurezza.

attributi Connessione or

Attributo Connessione or Descrizione
Tabelle di Log Analytics Syslog (InfobloxNIOS)
Supporto delle regole di raccolta dati Trasformazione dell'area di lavoro DCR
Supportato da Microsoft Corporation

Esempi di query

Conteggio totale per tipi di messaggio di richiesta DHCP

union isfuzzy=true 
Infoblox_dhcpdiscover,Infoblox_dhcprequest,Infoblox_dhcpinform 

| summarize count() by Log_Type

Primi 5 indirizzi IP di origine

Infoblox_dnsclient 

| summarize count() by SrcIpAddr 

| top 10 by count_ desc

Prerequisiti

Per eseguire l'integrazione con Infoblox NIOS, assicurarsi di avere:

  • Infoblox NIOS: deve essere configurato per esportare i log tramite Syslog
  • Aggiornare il watchlist Sources_by_SourceType per assicurarsi che i parser delle funzioni dell'area di lavoro Kusto Infoblox_ possano estrarre correttamente le informazioni sul messaggio da SyslogMessage per le diverse origini DNS e DHCP.

Istruzioni di installazione fornitore

NOTA: questo connettore dati dipende da un parser basato su una funzione Kusto per funzionare come previsto, che viene distribuito come parte della soluzione. Per visualizzare il codice della funzione in Log Analytics, aprire il pannello Log Analytics/Microsoft Sentinel Logs, fare clic su Funzioni e cercare l'alias Infoblox e caricare il codice della funzione oppure fare clic qui, nella seconda riga della query immettere i nomi host dei dispositivi Infoblox e qualsiasi altro identificatore univoco per il logstream. La funzione richiede in genere 10-15 minuti per l'attivazione dopo l'installazione/aggiornamento della soluzione.

  1. Installare ed eseguire l'onboarding dell'agente per Linux

È in genere consigliabile installare l'agente in un computer diverso rispetto a quello in cui vengono generati i log.

I log syslog vengono raccolti solo dagli agenti Linux .

  1. Configurare i log da raccogliere

È possibile configurare le strutture da raccogliere e le rispettive gravità.

  1. In Configurazione delle impostazioni avanzate dell'area di lavoro selezionare Dati e quindi Syslog.

  2. Selezionare Applica la configurazione seguente ai computer e selezionare le funzionalità e i livelli di gravità.

  3. Fare clic su Salva.

  4. Configurare e connettere Infoblox NIOS

Seguire queste istruzioni per abilitare l'inoltro syslog dei log NIOS di Infoblox. Usare l'indirizzo IP o il nome host per il dispositivo Linux con l'agente Linux installato come indirizzo IP di destinazione.

Passaggi successivi

Per altre informazioni, vedere la soluzione correlata in Azure Marketplace.