Бөлісу құралы:

[Не рекомендуется] Соединитель ISC Bind для Microsoft Sentinel

  • Мақала

Внимание

Сбор журналов из многих устройств и устройств теперь поддерживается общим форматом событий (CEF) через AMA, Syslog через AMA или пользовательские журналы через соединитель данных AMA в Microsoft Sentinel. Дополнительные сведения см. в статье Поиск нужных соединителей данных Microsoft Sentinel.

Соединитель ISC Bind позволяет легко подключать журналы привязки ISC к Microsoft Sentinel. Это дает вам больше сведений о данных сетевого трафика вашей организации, данных DNS-запроса, статистике трафика и улучшении возможностей операций безопасности.

Это автоматически сформированное содержимое. Для изменений обратитесь к поставщику решений.

Атрибуты соединителя

Атрибут соединителя Description
Таблицы Log Analytics Syslog (ISCBind)
Поддержка правил сбора данных Преобразование DCR рабочей области
Поддерживается Корпорация Майкрософт

Примеры запросов

Первые 10 доменов, запрошенных

ISCBind 

| where EventSubType == "request" 

| summarize count() by DnsQuery 

| top 10 by count_

Первые 10 клиентов по исходному IP-адресу

ISCBind 

| where EventSubType == "request" 

| summarize count() by SrcIpAddr 

| top 10 by count_

Необходимые компоненты

Чтобы интегрироваться с ISC Bind [Не рекомендуется] убедитесь, что у вас есть:

  • Привязка ISC: необходимо настроить для экспорта журналов с помощью системного журнала

Инструкции по установке поставщика

ПРИМЕЧАНИЕ. Этот соединитель данных зависит от средства синтаксического анализа на основе функции Kusto, которая должна работать должным образом, которая развертывается в рамках решения. Чтобы просмотреть код функции в Log Analytics, откройте колонку Log Analytics/Microsoft Sentinel Logs, щелкните "Функции" и найдите псевдоним ISCBind и загрузите код функции или щелкните здесь. Функция обычно занимает 10–15 минут, чтобы активировать после установки или обновления решения.

  1. Установка и подключение агента для Linux

Обычно агент следует устанавливать не на том же компьютере, где создаются журналы.

Журналы системного журнала собираются только из агентов Linux .

  1. Настройка журналов для сбора

Настройте объекты, которые необходимо собрать, и соответствующие уровни серьезности.

  1. В разделе "Конфигурация дополнительных параметров рабочей области" выберите "Данные" и "Системный журнал".

  2. Выберите " Применить" на моих компьютерах и выберите объекты и серьезность.

  3. Нажмите кнопку Сохранить.

  4. Настройка и подключение привязки ISC

  5. Выполните следующие инструкции, чтобы настроить привязку ISC для пересылки системного журнала:

  1. Настройте Системный журнал для отправки трафика Системного журнала агенту. Используйте IP-адрес или имя узла для устройства Linux с агентом Linux, установленным в качестве IP-адреса назначения.

Следующие шаги

Дополнительные сведения см. в связанном решении в Azure Marketplace.