Microsoft Sentinel용 Cisco Stealthwatch 커넥터
Cisco Stealthwatch 데이터 커넥터는 Cisco Stealthwatch 이벤트를 Microsoft Sentinel에 수집하는 기능을 제공합니다.
자동 생성된 콘텐츠입니다. 변경은 솔루션 공급자에게 문의하세요.
커넥터 특성
| 커넥터 특성 | 설명 |
|---|---|
| Log Analytics 테이블 | Syslog(StealthwatchEvent) |
| 데이터 수집 규칙 지원 | 작업 영역 변환 DCR |
| 지원 공급자 | Microsoft Corporation |
쿼리 샘플
상위 10개 원본
StealthwatchEvent
| summarize count() by tostring(DvcHostname)
| top 10 by count_
공급업체 설치 지침
참고 항목
이 데이터 커넥터는 Microsoft Sentinel 솔루션과 함께 배포되는 StealthwatchEvent가 예상대로 작동하도록 Kusto 함수 기반 파서에 따라 다릅니다.
참고 항목
이 데이터 커넥터는 Cisco Stealthwatch 버전 7.3.2를 사용하여 개발되었습니다.
- Linux 또는 Windows용 에이전트 설치 및 온보딩
Cisco Stealthwatch 로그가 전달되는 서버에 에이전트를 설치합니다.
Linux 또는 Windows 서버에 배포된 Cisco Stealthwatch Server의 로그는 Linux 또는 Windows 에이전트에 의해 수집됩니다.
- Cisco Stealthwatch 이벤트 전달 구성
아래 구성 단계에 따라 Cisco Stealthwatch 로그를 Microsoft Sentinel에 가져옵니다.
SMC(Stealthwatch Management Console)에 관리자 권한으로 로그인합니다.
메뉴 모음에서 구성>응답 관리를 클릭합니다.
응답 관리 메뉴의 작업 섹션에서 > Syslog 메시지 추가를 클릭합니다.
Syslog 메시지 작업 추가 창에서 매개 변수를 구성합니다.
다음 사용자 지정 형식을 입력합니다. |Lancope|Stealthwatch|7.3|{alarm_type_id}|0x7C|src={source_ip}|dst={target_ip}|dstPort={port}|proto={protocol}|msg={alarm_type_description}|fullmessage={details}|start={start_active_time}|end={end_active_time}|cat={alarm_category_name}|alarmID={alarm_id}|sourceHG={source_host_group_names}|targetHG={target_host_group_names}|sourceHostSnapshot={source_url}|targetHostSnapshot={target_url}|flowCollectorName={device_name}|flowCollectorIP={device_ip}|domain={domain_name}|exporterName={exporter_hostname}|exporterIPAddress={exporter_ip}|exporterInfo={exporter_label}|targetUser={target_username}|targetHostname={target_hostname}|sourceUser={source_username}|alarmStatus={alarm_status}|alarmSev={alarm_severity_name}
목록에서 사용자 지정 형식을 선택하고 확인을 클릭합니다.
응답 관리 > 규칙을 클릭합니다.
추가를 클릭하고 호스트 경보을 선택합니다.
이름 필드에 규칙 이름을 입력합니다.
형식 및 옵션 메뉴에서 값을 선택하여 규칙을 만듭니다. 더 많은 규칙을 추가하려면 줄임표 아이콘을 클릭합니다. 호스트 경보의 경우 가능한 한 많은 형식을 문에 결합합니다.
다음 단계
자세한 내용을 보려면 Azure Marketplace의 관련 솔루션으로 이동합니다.