Microsoft Sentinel 데이터 커넥터 찾기

적용 대상: Microsoft Sentinel in the Microsoft Defender portal, Microsoft Sentinel in the Azure portal

이 문서에서는 지원되는 모든 기본 제공 데이터 커넥터와 각 커넥터의 배포 단계에 대한 링크를 나열합니다.

중요

Microsoft Sentinel 데이터 커넥터는 현재 미리 보기로 제공됩니다. Azure 미리 보기 추가 약관에는 베타, 미리 보기 또는 아직 일반 공급으로 릴리스되지 않은 Azure 기능에 적용되는 추가 법적 조건이 포함됩니다.
2027년 3월 31일 이후에는 Microsoft Sentinel 더 이상 Azure Portal 지원되지 않으며 Microsoft Defender 포털에서만 사용할 수 있습니다. Azure Portal Microsoft Sentinel 사용하는 모든 고객은 Defender 포털로 리디렉션되고 Defender 포털에서만 Microsoft Sentinel 사용합니다. 2025년 7월부터 많은 신규 고객이 자동으로 온보딩되고 Defender 포털로 리디렉션됩니다. 여전히 Azure Portal Microsoft Sentinel 사용하는 경우 원활한 전환을 보장하고 Microsoft Defender 제공하는 통합 보안 운영 환경을 최대한 활용하기 위해 Defender 포털로의 전환 계획을 시작하는 것이 좋습니다. 자세한 내용은 It's Time to Move: Retiring Microsoft Sentinel s Azure Portal for greater security를 참조하세요.

데이터 커넥터는 다음 제품의 일부로 제공됩니다.

솔루션: 많은 데이터 커넥터가 분석 규칙, 통합 문서 및 플레이북과 같은 관련 콘텐츠와 함께 Microsoft Sentinel 솔루션의 일부로 배포됩니다. 자세한 내용은 Microsoft Sentinel 솔루션 카탈로그를 참조하세요.
커뮤니티 커넥터: Microsoft Sentinel 커뮤니티에서 더 많은 데이터 커넥터를 제공하며 Azure Marketplace에서 찾을 수 있습니다. 커뮤니티 데이터 커넥터에 대한 설명서는 커넥터를 만든 organization 책임입니다.
사용자 지정 커넥터: 나열되지 않았거나 현재 지원되지 않는 데이터 원본이 있는 경우 사용자 지정 커넥터를 직접 만들 수도 있습니다. 자세한 내용은 Microsoft Sentinel 사용자 지정 커넥터를 만들기 위한 리소스를 참조하세요.

참고

미국 정부 클라우드의 기능 가용성에 대한 자세한 내용은 미국 정부 고객을 위한 클라우드 기능 가용성의 Microsoft Sentinel 테이블을 참조하세요.

데이터 커넥터 필수 구성 요소

각 데이터 커넥터에는 고유한 필수 구성 요소 집합이 있습니다. 필수 구성 요소에는 Azure 작업 영역, 구독 또는 정책에 대한 특정 권한이 포함될 수 있습니다. 연결하려는 파트너 데이터 원본에 대한 다른 요구 사항을 충족해야 할 수도 있습니다.

각 데이터 커넥터에 대한 필수 구성 요소는 이 문서 및 Microsoft Sentinel 관련 데이터 커넥터 페이지에 나열되어 있습니다.

Azure AMA(Monitor 에이전트) 기반 데이터 커넥터에는 에이전트가 설치된 시스템에서 인터넷 연결이 필요합니다. 포트 443 아웃바운드를 사용하도록 설정하여 에이전트가 설치된 시스템과 Microsoft Sentinel 시스템 간의 연결을 허용합니다.

Syslog 및 CEF(Common Event Format) 커넥터

많은 보안 어플라이언스 및 디바이스의 로그 수집은 Microsoft Sentinel AMA를 통해 AMA 또는 CEF(Common Event Format)를 통해 데이터 커넥터 Syslog에서 지원됩니다. Microsoft Sentinel Log Analytics 작업 영역으로 데이터를 전달하려면 Syslog 및 CEF 메시지 수집의 단계를 완료하여 Azure Monitor 에이전트와 Microsoft Sentinel. 이러한 단계에는 Microsoft Sentinel 콘텐츠 허브에서 보안 어플라이언스 또는 디바이스에 대한 Microsoft Sentinel 솔루션을 설치하는 것이 포함됩니다. 그런 다음 설치한 Microsoft Sentinel 솔루션에 적합한 AMA 데이터 커넥터를 통해 AMA 또는 CEF(Common Event Format)를 통해 Syslog를 구성합니다. 보안 디바이스 또는 어플라이언스 구성하여 설정을 완료합니다. 다음 문서 중 하나에서 보안 디바이스를 구성하거나 어플라이언스 지침을 찾습니다.

자세한 내용이나 어플라이언스 또는 디바이스에 대한 정보를 사용할 수 없는 경우 솔루션 공급자에게 문의하세요.

AMA 커넥터를 통한 사용자 지정 로그

Microsoft Sentinel AMA 커넥터를 통해 사용자 지정 로그를 사용하여 Windows 또는 Linux 컴퓨터에 설치된 네트워크 또는 보안 애플리케이션에서 텍스트 파일 형식으로 로그를 필터링하고 수집합니다. 자세한 내용은 다음 문서를 참조하세요.

Sentinel 데이터 커넥터

참고

다음 표에서는 Microsoft Sentinel Content Hub에서 사용할 수 있는 데이터 커넥터를 나열합니다. 커넥터는 제품 공급업체에서 지원됩니다. 지원은 지원됨 링크를 참조하세요.

팁

Microsoft Sentinel 수집된 테이블 목록과 이를 수집하는 커넥터는 Microsoft Sentinel 테이블 및 연결된 커넥터를 참조하세요.

1비밀번호

지원:1Password

Microsoft Sentinel 1Password 솔루션을 사용하면 1Password 이벤트 보고 API를 사용하여 1Password Business 계정에서 로그인 시도, 항목 사용 및 감사 이벤트를 수집할 수 있습니다. 이렇게 하면 organization 사용하는 다른 애플리케이션 및 서비스와 함께 Microsoft Sentinel 1Password의 이벤트를 모니터링하고 조사할 수 있습니다.

사용되는 기본 Microsoft 기술:

이 솔루션은 다음 기술에 따라 달라지며, 그 중 일부는 미리 보기 상태이거나 추가 수집 또는 운영 비용이 발생할 수 있습니다.

Azure Functions

Log Analytics 테이블:

표	DCR 지원	레이크 전용 수집
`OnePasswordEventLogs_CL`	예	예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Microsoft.Web/sites 권한: 함수 앱을 만들기 위한 Azure Functions 읽기 및 쓰기 권한이 필요합니다. 자세한 내용은 Azure Functions 참조하세요.
1Password 이벤트 API 토큰: 1Password 이벤트 API 토큰이 필요합니다. 자세한 내용은 1Password API를 참조하세요.

참고: 1Password Business 계정이 필요합니다.

설치 지침:

참고: 이 커넥터는 Azure Functions 사용하여 1Password에 연결하여 로그를 Microsoft Sentinel 끌어올 수 있습니다. 이로 인해 Azure 추가 데이터 수집 비용이 발생할 수 있습니다. 자세한 내용은 Azure Functions 가격 책정 페이지를 확인하세요.

(선택적 단계) 작업 영역 및 API 권한 부여 키 또는 토큰을 Azure Key Vault 안전하게 저장합니다. Azure Key Vault 키 값을 저장하고 검색하는 보안 메커니즘을 제공합니다. 다음 지침에 따라 Azure 함수 앱에서 Azure Key Vault 사용합니다.

1단계 - 1Password 이벤트 보고 API에 대한 구성 단계

1Password에서 제공하는 다음 지침에 따라 이벤트 보고 API 토큰을 가져옵니다. 참고: 1Password Business 계정이 필요합니다.

2단계 - DeployToAzure 단추를 사용하여 functionApp을 배포하여 테이블, dcr 및 연결된 Azure 함수를 만듭니다.

중요: 1Password 커넥터를 배포하기 전에 사용자 지정 테이블을 만들어야 합니다.

옵션 1 - ARM(Azure Resource Manager) 템플릿

이 메서드는 ARM Tempate를 사용하여 1Password 커넥터의 자동화된 배포를 제공합니다.

아래 Azure 배포 단추를 클릭합니다.

aka.ms
기본 구독, 리소스 그룹 및 위치를 선택합니다.
작업 영역 이름, 작업 영역 이름, 1Password 이벤트 API 키 및 URI를 입력합니다.

기본 시간 간격 은 5분으로 설정됩니다. 간격을 수정하려는 경우 함수 앱 타이머 트리거를 적절하게 조정하여(function.json 파일, 배포 후) 데이터 수집이 겹치지 않도록 할 수 있습니다.
참고: 위의 값에 Azure Key Vault 비밀을 사용하는 경우 문자열 값 대신 스키마를 사용합니다@Microsoft.KeyVault(SecretUri={Security Identifier}). 자세한 내용은 Key Vault 참조 설명서를 참조하세요.

위에 명시된 사용 약관에 동의함을 표시하는 확인란을 표시합니다.
구매를 클릭하여 배포합니다.

1패스워드(서버리스)

지원:1Password

1Password CCF 커넥터를 사용하면 사용자가 1Password Audit, Signin & ItemUsage 이벤트를 Microsoft Sentinel 수집할 수 있습니다.

Log Analytics 테이블:

표	DCR 지원	레이크 전용 수집
`OnePasswordEventLogs_CL`	예	예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

1Password API 토큰: 1Password API 토큰이 필요합니다. API 토큰을 만드는 방법에 대한 1Password 설명서를 참조하세요.

설치 지침:

1단계 - 1Password API 토큰 만들기:

이 단계에 대한 지침 은 1Password 설명서를 따르세요.

2단계 - 올바른 기본 URL을 선택합니다.

이벤트를 호스트할 수 있는 여러 1Password 서버가 있습니다. 올바른 서버는 라이선스 및 지역에 따라 달라집니다. 1Password 설명서에 따라 올바른 서버를 선택합니다. 설명서에 표시된 대로 기본 URL을 입력합니다('https://'을 포함하며 후행 '/'이 없음).

3단계 - 1Password 세부 정보를 입력합니다.

아래에 1Password 기본 URL & API 토큰을 입력합니다.

기본 URL: (기본 URL 입력)
API 토큰: (API 토큰 입력)
연결 사용/사용 안 함

42Crunch API 보호 (코드리스 커넥터 프레임워크를 통한 푸시 커넥터)

지원:Microsoft Corporation

Connects the 42Crunch API Protection to Microsoft Sentinel via Azure Monitor DCE/DCR REST API interface. 이 통합은 Docker 컨테이너(API 방화벽 및 로그 포워더)를 사용하여 API 트래픽 로그를 위협 탐지 및 분석을 위해 Microsoft Sentinel로 전달합니다.

Log Analytics 테이블:

표	DCR 지원	레이크 전용 수집
`FortyTwoCrunchAPIProtectionV2`	아니요	아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

Microsoft. 인사이트/데이터수집엔드포인트: 데이터 수집 엔드포인트는 현대 푸시 커넥터가 외부 보안 시스템에서 데이터를 받기 위해 필요합니다.
Microsoft. 인사이트/데이터수집규칙: 데이터 수집규칙은 들어오는 데이터의 스키마와 변환을 정의하는 데 필요합니다.
Microsoft. 권한/역할할당: 역할 할당은 Entra 애플리케이션이 데이터 수집 규칙에 데이터를 전송할 권한을 부여하는 데 필요합니다.
42Crunch API 방화벽 요구사항: 42Crunch API 방화벽과 로그 포워더 Docker 컨테이너가 배포되어 실행 중이어야 합니다. 42Crunch 플랫폼 https://platform.42crunch.com에서 API 방화벽 토큰(42C_FIREWALL_TOKEN)과 플랫폼 URL(42C_PLATFORM_URL)을 받아보세요. 전체 배포 지침은 .에서 https://github.com/42Crunch/azure-sentinel-integration확인할 수 있습니다.

설치 지침:

1. ARM 리소스 만들기 및 필요한 권한 제공

이 커넥터는 외부 보안 시스템에서 데이터를 받아 로그를 Microsoft Sentinel로 푸시합니다. 외부 시스템은 원시 이벤트 데이터를 Microsoft Sentinel Ingestion API로 전송하도록 설정해야 합니다. 배포를 클릭하면 Log Analytics 테이블과 데이터 수집 규칙(DCR)이 생성됩니다. 그런 다음, Entra 애플리케이션을 만들고, DCR을 연결하고, 애플리케이션에 입력한 비밀을 설정합니다. 이 설정을 사용하면 Entra 토큰을 사용하여 데이터를 DCR로 안전하게 보낼 수 있습니다.

커넥터 설치 과정에 대해 더 알아보세요

Azure Resource Deployment

배포 과정에서는 다음과 같은 자원이 생성됩니다:

Log Analytics 맞춤 테이블
DCE(데이터 수집 엔드포인트)
DCR(데이터 수집 규칙)
Entra ID 신청 등록
데이터 인제스팅을 위한 역할 할당

구성 값

배포 후 다음 값을 복사하여 외부 보안 시스템을 구성하세요:

테넌트 ID(디렉터리 ID): <설치 시 제공되는 변수 값>
Entra 앱 등록 애플리케이션 ID: <설치 시 제공되는 변수 값>
Entra 앱 등록 비밀: <설치 시 제공되는 변수 값>
데이터 수집 엔드포인트 URL: <설치 시 제공된 변수 값>
데이터 수집 규칙 변경할 수 없는 ID: <설치 시 제공되는 변수 값>
스트림 이름 (FortyTwoCrunchAPIProtectionV2):< 설치 시 변수 값 제공>

참고: 이 값들은 안전하게 보관하세요. 외부 보안 시스템을 구성하는 데 필요할 것입니다.

2. 외부 시스템을 로그 푸시로 설정하세요

외부 보안 시스템을 구성하여 작업 공간으로 로그를 전송할 수 있도록 다음 매개변수를 사용하세요.

구성 단계

외부 보안 시스템의 설정 인터페이스에 접근하세요.
데이터 전달, 통합, SIEM 설정으로 이동하세요.
目的地先是 Azure Monitor 或 Microsoft Sentinel を選びましょう。
인증 방법으로 데이터 수집 엔드포인트 를 선택하세요.
이전 단계의 값을 사용하여 필수 필드를 구성하세요:
- 세입자 신분증: 위에 있는 사본
- 애플리케이션(클라이언트) ID: 위에서 복사함
- 클라이언트 비밀: 위에서 복사
- 데이터 수집 종료점: 위에서 복사
- 데이터 수집 규칙 변경 불가능 ID: 위에서 복사함
- 스트림 이름: 위에서 해당 스트림 이름을 복사하세요
설정을 저장하고 포워더를 활성화하거나 시작하세요.

Validation

참고: 데이터는 몇 분 내에 Log Analytics 작업 공간의 FortyTwoCrunchAPIProtectionV2 테이블에 나타납니다.

데이터가 수신되고 있는지 확인하려면 Log Analytics 작업 공간에서 다음 쿼리를 실행하세요:

FortyTwoCrunchAPIProtectionV2
| where TimeGenerated > ago(1h)
| take 10

Troubleshooting

데이터가 나타나지 않을 경우:

구성 값이 맞는지 확인하세요
포워더/통합이 활성화되어 있고 실행 중인지 확인하세요
외부 보안 시스템의 로그를 검토해 오류가 있는지 확인하세요
시스템에서 Azure로 네트워크 연결을 보장하세요
Entra 애플리케이션이 올바른 권한을 가지고 있는지 확인하세요

Azure 리소스를 배포한 후, 42Crunch 로그 포워더(Docker 컨테이너)를 설정하여 기존 HTTP Data Collector API 대신 배포된 DCE/DCR 엔드포인트로 데이터를 전송하도록 설정하세요.

Docker Compose / Helm Chart 환경 변수 업데이트

참고: 이 단계는 이미 기존 42Crunch 로그 포워더를 기존 HTTP Data Collector API를 사용하는 경우 적용됩니다. 레거시 WORKSPACE_IDWORKSPACE_KEY 및 환경 변수를 새로운 DCE/DCR 구성으로 교체하여 마이그레이션하세요:

environment:
Legacy (remove these):
- WORKSPACE_ID=<workspace-id>
- WORKSPACE_KEY=<primary-key>

New CCF Push Connector configuration:
  - DCE_ENDPOINT=<data-collection-endpoint-url>
  - DCR_IMMUTABLE_ID=<data-collection-rule-immutable-id>
  - DCR_STREAM_NAME=Custom-FortyTwoCrunchAPIProtectionV2_CL

42Crunch platform credentials (unchanged):
  - 42C_FIREWALL_TOKEN=<your-firewall-token>
  - 42C_PLATFORM_URL=<your-platform-url>

참고: 기존 Docker 배포가 없거나 참고할 예시가 필요하다면, 아래 단계를 참고하세요.

샘플 배포 다운로드

Azure-Sentinel 저장소에서 폴더를 sample-deployment 다운로드하세요. 이 데이터베이스에는 Microsoft Sentinel로 데이터를 전송하는 데 사용되는 , , docker-compose.yml로그 포워더가 포함되어 .env.example있습니다.

파일 생성 .env

실행 .env.example전에 값을 .env 복사하고 입력하세요docker compose up.

기본적으로 이 샘플은 온라인 모드 로 실행되며 42Crunch 플랫폼 토큰이 필요합니다.
오프라인 모드로 실행하려면(토큰 필요 없음), . 에서 설정 PROTECTION_TOKEN=NOTUSED 하고 코멘트를 언언(uncomment PLATFORM_CONNECTIVITY=NONEdocker-compose.yml)하세요.

보안: 파일에 넣 CLIENT_SECRET.env 지 마세요. 대신 셸 환경 변수로 전달하세요. Docker Compose는 셸 환경 변수를 파일과 .env 자동으로 병합합니다.

PowerShell
$env:CLIENT_SECRET = (Read-Host -Prompt "CLIENT_SECRET" -AsSecureString | ConvertFrom-SecureString -AsPlainText)
docker compose up --build

Bash/Linux
read -rs CLIENT_SECRET && export CLIENT_SECRET
docker compose up --build

42Crunch 보호 토큰을 받으세요

42Crunch 플랫폼(platform.42crunch.com)에서:

온라인 모드: API > 보호, 방화벽 > 인스턴스 > 추가, 인스턴스 보호 > 에서 토큰을 받아.
오프라인 모드 (플랫폼 계정 없음): 설정 PROTECTION_TOKEN=NOTUSED 하고 댓글 PLATFORM_CONNECTIVITY=NONEdocker-compose.yml삭제 .

DCE 엔드포인트 URL과 DCR 불변 ID는 1단계에서 ARM 자원을 배포한 후 표시됩니다. 전체 구성 세부사항은 42Crunch Microsoft Sentinel 통합 문서를 참조하십시오.

완전한 마이그레이션 가이드는 42Crunch API 보호 마이그레이션 가이드를 참조하세요.

중요: 연결 상태

이 커넥터는 푸시 기반 커넥터로, 42Crunch 로그 포워더로부터 데이터를 수신하며 활성 폴링 연결을 유지하지 않습니다. 최근 7일 이내에 데이터를 받았을 때 커넥터는 연결됨으로 표시됩니다.

커넥터 삭제

다음 단계를 따라 커넥터 인스턴스를 분리하고 삭제하세요.

커넥터 인스턴스를 삭제하세요

커넥터를 분리하고 접근 권한을 취소하려면 접근 취소 버튼을 선택하세요.
데이터 커넥터 페이지로 돌아가 커넥터의 오버플로우 메뉴(세 개의 점)를 선택한 후 삭제를 선택하여 커넥터 인스턴스를 제거하세요.
콘텐츠 허브로 이동해 해당 해결책을 찾아 삭제하면 삭제를 완료하세요.

이로 인해 푸시 커넥터 인스턴스가 제거됩니다. Log Analytics 작업 공간의 과거 데이터는 보존됩니다.

비정상적인 보안 (푸시)

지원:비정상적인 보안

Abnormal Security 커넥터는 Codeless Connector Framework (CCF) Push 패턴을 사용하여 Abnormal의 클라우드 이메일 보안 플랫폼에서 Microsoft Sentinel로 실시간 보안 이벤트(위협, 사례, 감사 로그, 악용 메일박스 보고서, 태세 변경, ATO 사례, 복구 및 공급업체 사례)를 푸시합니다. 이벤트는 레거시 커넥터 명명 규칙에 맞는 이벤트별 테이블로 라우팅되어 원활한 마이그레이션이 가능합니다.

Log Analytics 테이블:

표	DCR 지원	레이크 전용 수집
`ABNORMAL_SECURITY_THREAT_LOG_CL`	예	예
`ABNORMAL_SECURITY_CASE_CL`	예	예
`ABNORMAL_SECURITY_AUDIT_LOG_CL`	예	예
`ABNORMAL_SECURITY_ABUSE_MAILBOX_CL`	예	예
`ABNORMAL_SECURITY_POSTURE_CHANGE_CL`	예	예
`ABNORMAL_SECURITY_ATO_CASE_CL`	예	예
`ABNORMAL_SECURITY_REMEDIATION_CL`	예	예
`ABNORMAL_SECURITY_VENDOR_CASE_CL`	예	예
`ABNORMAL_SECURITY_LOGS_CL`	예	예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Microsoft Entra: Microsoft Entra ID 앱 등록을 만들 수 있는 권한입니다. 일반적으로 Entra ID 애플리케이션 개발자 역할 이상이 필요합니다.
Microsoft Azure: DCR(데이터 수집 규칙)에 대한 모니터링 메트릭 게시자 역할을 할당할 수 있는 권한입니다. 일반적으로 AZURE RBAC 소유자 또는 사용자 액세스 관리자 역할이 필요합니다.
Abnormal Security: SIEM 통합 설정에 접근할 수 있는 Active Abnormal Security 구독.

설치 지침:

1. 커넥터 리소스 배포

이 커넥터는 Abnormal Security가 Azure Monitor Ingestion API를 통해 실시간 보안 이벤트를 Microsoft Sentinel에 직접 전달할 수 있게 합니다.

자동 구성 ' 배포' 를 클릭하면 다음 항목이 생성됩니다:

이벤트 유형별 라우팅을 위한 9개의 맞춤형 로그 테이블
9개 스트림을 가진 데이터 수집 규칙(DCR)
데이터 수집 엔드포인트(DCE)
Microsoft Entra application with OAuth credentials
필수 IAM 역할 할당 (Monitoring Metrics Publisher)

이를 통해 Abnormal Security는 OAuth 2.0 클라이언트 자격 증명을 사용하여 이벤트를 안전하게 푸시할 수 있습니다.

2. 비정상 보안 설정

Abnormal Security Portal에서 Microsoft Sentinel 통합을 구성할 때 다음 매개변수를 사용하세요.

테넌트 ID(디렉터리 ID): <설치 시 제공되는 변수 값>
애플리케이션(클라이언트) ID: <설치 시 제공되는 변수 값>
클라이언트 암호: <설치 시 제공되는 변수 값>
데이터 수집 엔드포인트 URI: <설치 시 제공되는 변수 값>
데이터 수집 규칙 변경 불가능 ID: <설치 시> 제공되는 변수 값 Abnormal Security Portal에서 구성

비정상 보안 포털에 로그인하세요
설정 > 통합 > SIEM으로 이동하기
Select Microsoft Sentinel (Azure Monitor CCF)
위의 7가지 값 모두를 입력하세요
연결 테스트를 위해 자격 증명 확인 을 클릭하세요
저장 및 통합 활성화 멀티테이블 라우팅: 이벤트는 자동으로 이벤트별 유형 테이블(예: 위협 로그 →ABNORMAL_SECURITY_THREAT_LOG_CL, 케이스 →ABNORMAL_SECURITY_CASE_CL)으로 라우팅됩니다. 알 수 없는 이벤트 유형은 대체 테이블 ABNORMAL_SECURITY_LOGS_CL로 이동합니다.

3. 데이터 수집 확인

이상 보안팀에서 센티넬로 사건이 진행 중인지 확인해.

통합 활성화 후 5-10분을 기다린 후 이 KQL 쿼리를 실행하세요:

연합 ABNORMAL_SECURITY_THREAT_LOG_CL, ABNORMAL_SECURITY_CASE_CL, ABNORMAL_SECURITY_AUDIT_LOG_CL, ABNORMAL_SECURITY_ABUSE_MAILBOX_CL, ABNORMAL_SECURITY_POSTURE_CHANGE_CL, ABNORMAL_SECURITY_ATO_CASE_CL, ABNORMAL_SECURITY_REMEDIATION_CL, ABNORMAL_SECURITY_VENDOR_CASE_CL, ABNORMAL_SECURITY_LOGS_CL | 여기서 TimeGenerated > ago(1h) | 확장event_type = tostring(abx_metadata.event_type) | count()를 event_type으로 요약 | count_ 설명에 따른 순서

15분이 지나도 데이터가 나타나지 않으면 Abnormal Security Portal에서 자격 증명을 확인하고 Azure Monitor에서 인제스트 오류가 있는지 확인하세요.

AbnormalSecurity (Azure Functions 사용)

지원:비정상적인 보안

비정상적인 보안 데이터 커넥터는 비정상적인 보안 Rest API를 사용하여 위협 및 사례 로그를 Microsoft Sentinel 수집하는 기능을 제공합니다.

Log Analytics 테이블:

표	DCR 지원	레이크 전용 수집
`ABNORMAL_THREAT_MESSAGES_CL`	예	예
`ABNORMAL_CASES_CL`	예	예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Microsoft.Web/sites 권한: 함수 앱을 만들기 위한 Azure Functions 읽기 및 쓰기 권한이 필요합니다. 자세한 내용은 Azure Functions 참조하세요.
비정상적인 보안 API 토큰: 비정상적인 보안 API 토큰이 필요합니다. 자세한 내용은 비정상적인 보안 API 참조하세요. 참고: 비정상적인 보안 계정이 필요합니다.

설치 지침:

참고: 이 커넥터는 Azure Functions 사용하여 비정상적인 보안의 REST API에 연결하여 로그를 Microsoft Sentinel 끌어올 수 있습니다. 이로 인해 추가 데이터 수집 비용이 발생할 수 있습니다. 자세한 내용은 Azure Functions 가격 책정 페이지를 확인하세요.

1단계 - 비정상적인 보안 API 대한 구성 단계

비정상적인 보안에서 제공하는 다음 지침에 따라 REST API 통합을 구성합니다. 참고: 비정상적인 보안 계정이 필요합니다.

2단계 - 커넥터 및 연결된 Azure 함수를 배포하려면 다음 두 가지 배포 옵션 중 하나를 선택합니다.

중요: 비정상적인 보안 데이터 커넥터를 배포하기 전에 작업 영역 ID 및 작업 영역 기본 키(다음에서 복사할 수 있음)와 비정상적인 보안 API 권한 부여 토큰을 쉽게 사용할 수 있습니다.

작업 영역 ID: <설치 시 제공되는 변수 값>
기본 키: <설치 시 제공되는 변수 값>

옵션 1 - ARM(Azure Resource Manager) 템플릿

이 메서드는 ARM 템플릿을 사용하여 비정상적인 보안 커넥터의 자동화된 배포를 제공합니다.

아래 Azure 배포 단추를 클릭합니다.

aka.ms
기본 구독, 리소스 그룹 및 위치를 선택합니다.
공유 키 및 비정상적인 보안 REST API 키를 Microsoft Sentinel Microsoft Sentinel 작업 영역 ID를 입력합니다.

기본 시간 간격 은 데이터의 마지막 5분(5분)을 끌어오도록 설정됩니다. 시간 간격을 수정해야 하는 경우 겹치는 데이터 수집을 방지하기 위해 함수 앱 타이머 트리거를 적절하게 변경하는 것이 좋습니다(function.json 파일, 배포 후).

위에 명시된 사용 약관에 동의함을 표시하는 확인란을 표시합니다.
구매를 클릭하여 배포합니다.

옵션 2 - Azure Functions 수동 배포

다음 단계별 지침을 사용하여 Azure Functions(Visual Studio Code 통해 배포)를 사용하여 비정상적인 보안 데이터 커넥터를 수동으로 배포합니다.

함수 앱 배포

참고: Azure 함수 개발을 위해 VS 코드를 준비해야 합니다.

Azure 함수 앱 파일을 다운로드합니다. 로컬 개발 컴퓨터에 보관 파일을 추출합니다.
VS Code를 시작합니다. 주 메뉴에서 파일을 선택하고 폴더 열기를 선택합니다.
추출된 파일에서 최상위 폴더를 선택합니다.
작업 표시줄에서 Azure 아이콘을 선택한 다음, Azure: 함수 영역에서 함수에 배포 앱 단추를 선택합니다. 아직 로그인하지 않은 경우 활동 표시줄에서 Azure 아이콘을 선택한 다음, Azure: 함수 영역에서 로그인을 선택하여 Azure 이미 로그인한 경우 다음 단계로 이동합니다.
프롬프트에서 다음 정보를 제공합니다.

a. 폴더 선택: 작업 영역에서 폴더를 선택하거나 함수 앱이 포함된 폴더로 이동합니다.

b. 구독을 선택합니다. 사용할 구독을 선택합니다.

c. Azure 새 함수 앱 만들기를 선택합니다(고급 옵션을 선택하지 않음).

d. 함수 앱의 전역적으로 고유한 이름을 입력합니다 . URL 경로에 유효한 이름을 입력합니다. 입력한 이름은 Azure Functions 고유하도록 유효성을 검사합니다. (예: AbnormalSecurityXX).

e. 런타임 선택: Python 3.11을 선택합니다.

f. 새 리소스의 위치를 선택합니다. 성능 향상 및 비용 절감을 위해 Microsoft Sentinel 있는 동일한 지역을 선택합니다.
배포가 시작됩니다. 함수 앱이 만들어지고 배포 패키지가 적용된 후 알림이 표시됩니다.
함수 앱 구성에 대한 Azure 포털로 이동합니다.
함수 앱 구성
함수 앱에서 함수 앱 이름을 선택하고 구성을 선택합니다.
애플리케이션 설정 탭에서 + 새 애플리케이션 설정을 선택합니다.
각 문자열 값(대/소문자 구분)을 사용하여 다음 애플리케이션 설정을 개별적으로 추가합니다. SENTINEL_WORKSPACE_ID SENTINEL_SHARED_KEY ABNORMAL_SECURITY_REST_API_TOKEN logAnalyticsUri(선택 사항)(함수 앱에 필요한 다른 설정 추가) 값을 로 설정합니다 uri . <add uri value>

참고: 위의 값에 Azure Key Vault 비밀을 사용하는 경우 문자열 값 대신 스키마를 사용합니다@Microsoft.KeyVault(SecretUri={Security Identifier}). 자세한 내용은 Azure Key Vault 참조 설명서를 참조하세요.

logAnalyticsUri를 사용하여 전용 클라우드에 대한 로그 분석 API 엔드포인트를 재정의합니다. 예를 들어 퍼블릭 클라우드의 경우 값을 비워 둡니다. Azure GovUS 클라우드 환경의 경우 다음 형식으로 값을 지정합니다.https://<CustomerId>.ods.opinsights.azure.us.

모든 애플리케이션 설정이 입력되면 저장을 클릭합니다.

에이전트 365

지원:Microsoft Corporation

Agent 365 데이터 커넥터는 Microsoft Sentinel 데이터 레이크의 Agent 365, AI Foundry 및 Copilot에서 AI 에이전트 원격 분석을 가져와 헌팅, 그래프 및 MCP 워크플로를 사용하여 에이전트 동작, 도구 사용 및 실행을 조사함으로써 AI 에이전트 활동에 대한 풍부한 인사이트를 제공합니다. 이 커넥터의 데이터는 Microsoft Sentinel AI 에이전트 동작, 도구 사용량 및 실행을 조사하는 데 사용됩니다. 이러한 워크플로를 사용하도록 설정한 경우 이 커넥터를 비활성화하면 해당 조사가 수행되지 않습니다.

Log Analytics 테이블:

표	DCR 지원	레이크 전용 수집

데이터 수집 규칙 지원: 현재 지원되지 않음

설치 지침:

에어록 디지털 (설문조사 - SaaS)

지원:에어록 디지털

Airlock DigitalSaaS 커넥터는 주기적으로 Airlock Digital SaaS API에서 실행 기록과 서버 활동 로그를 불러와, 사용자 API 키와 디렉터리 및 테넌트 식별자로 인증합니다. 이 서비스는 Airlock Digital의 호스팅 SaaS 서비스의 폴링 커넥터이며, 정책 변경 로그를 수집하지 않습니다. 자체 호스팅 서버나 v7.0 이상을 실행하는 Airlock Digital SaaS의 경우, Airlock Digital(Push) 커넥터는 거의 실시간으로 이벤트를 전달하고 정책 변경도 수집합니다. v7.0 이전의 자체 호스팅 서버의 경우, Airlock Digital(Poll) 커넥터를 사용하세요.

참고: 에어록 디지털 서버마다 커넥터 하나씩 사용하세요. 동일한 서버가 여러 개의 Airlock Digital 커넥터로 수집되면, 중복된 데이터가 테이블에 채워집니다.

Log Analytics 테이블:

표	DCR 지원	레이크 전용 수집
`AirlockDigitalExecutionHistories_CL`	아니요	아니요
`AirlockDigitalServerActivities_CL`	아니요	아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

Airlock Digital SaaS API 자격 증명: Airlock Digital SaaS 인스턴스의 사용자 API 키, 디렉터리 ID, 테넌트 ID입니다.

설치 지침:

Airlock Digital SaaS API 접근 설정

연결 전에 Airlock Digital SaaS 테넌트에서 API 접근 권한을 설정하세요.

서버 URL은 포털 주소에서 가져옵니다: https://portal.au.YourDomain.com/tenant/XYZ/dashboard 최상위 도메인 뒤에 프리픽스와 portal. 모든 것을 빼고 https://au.YourDomain.com.

사용자 API 키, 디렉터리 ID, 테넌트 ID는 Airlock Digital의 사용자 메뉴 > 내 내 프로필에 있습니다.

로그는 5분마다 폴링됩니다.

Airlock Digital SaaS 인스턴스를 Microsoft Sentinel에 연결하세요

이 커넥터는 여러 개의 동시 연결을 지원합니다. Airlock Digital SaaS 인스턴스당 하나의 연결을 추가하세요; 각 연결은 선택한 데이터 타입을 병렬로 수집합니다. 아래 그리드를 사용해 기존 연결을 검토하거나 새로운 연결을 추가하세요.

데이터 커넥터 그리드(포털에서 구성)

에어록 디지털 (설문조사)

지원:에어록 디지털

Airlock DigitalPoll 커넥터는 사용자가 API 키로 인증하는 셀프 호스팅 Airlock Digital 서버의 REST API에서 주기적으로 실행 기록과 서버 활동 로그를 불러옵니다. 이 서비스는 푸시 기반 로깅을 지원하지 않는 v7.0 이전의 서버를 위한 것이며, 정책 변경 로그를 수집하지 않습니다. 셀프 호스팅 서버나 v7.0 이상 실행 중인 Airlock Digital SaaS의 경우, Airlock Digital(Push) 커넥터가 거의 실시간으로 이벤트를 전달합니다; Airlock Digital SaaS의 경우, Airlock Digital(Poll - SaaS) 커넥터도 제공됩니다.

참고: 에어록 디지털 서버마다 커넥터 하나씩 사용하세요. 동일한 서버가 여러 개의 Airlock Digital 커넥터로 수집되면, 중복된 데이터가 테이블에 채워집니다.

Log Analytics 테이블:

표	DCR 지원	레이크 전용 수집
`AirlockDigitalExecutionHistories_CL`	아니요	아니요
`AirlockDigitalServerActivities_CL`	아니요	아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

에어록 디지털 API 키: 에어록 디지털 서버를 위한 API 키입니다.

설치 지침:

에어록 디지털 API 접근 설정

연결 전에 Airlock Digital 서버에 API 접근 권한을 설정하세요.

Airlock Digital REST API는 기본적으로 포트 3129에서 청취하므로, 서버 URL은 .처럼 https://airlock.company.com:3129보입니다. 서버는 Azure에서 접근 가능해야 합니다.

Airlock Digital에서 사용자 메뉴의 > '내 프로필' > API 키에서 API 키를 생성하세요.

로그는 5분마다 폴링됩니다.

Airlock Digital 서버를 Microsoft Sentinel에 연결하기

이 커넥터는 여러 개의 동시 연결을 지원합니다. 에어록 디지털 서버마다 하나의 연결을 추가하고; 각 연결은 선택한 데이터 타입을 병렬로 수집합니다. 아래 그리드를 사용해 기존 연결을 검토하거나 새로운 연결을 추가하세요.

데이터 커넥터 그리드(포털에서 구성)

에어록 디지털 (푸시)

지원:에어록 디지털

Airlock DigitalPush 커넥터는 실행 기록, 서버 활동, 정책 변경 로그를 거의 실시간으로 Microsoft Sentinel로 스트리밍합니다. 자체 호스팅 서버와 v7.0 이상 버전의 Airlock Digital SaaS 모두를 지원합니다. 이벤트는 발생 즉시 Airlock의 외부 로깅 기능을 통해 푸시되므로 폴링 지연이 없고, 인증은 Microsoft Entra 애플리케이션을 사용합니다. 이 커넥터는 Airlock Digital v7.0 이상에 권장되는 커넥터입니다. v7.0 이전의 자체 호스팅 서버의 경우, Airlock Digital(Poll) 커넥터를 사용하세요.

참고: 에어록 디지털 서버마다 커넥터 하나씩 사용하세요. 동일한 서버가 여러 개의 Airlock Digital 커넥터로 수집되면, 중복된 데이터가 테이블에 채워집니다.

Log Analytics 테이블:

표	DCR 지원	레이크 전용 수집
`AirlockDigitalExecutionHistories_CL`	아니요	아니요
`AirlockDigitalServerActivities_CL`	아니요	아니요
`AirlockDigitalPolicyChanges_CL`	아니요	아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

Microsoft Entra: Microsoft Entra ID 앱 등록을 만들 수 있는 권한입니다. 보통 애플리케이션 개발자 이상의 직무가 필요합니다.
Microsoft Azure: 데이터 수집 규칙에서 Monitoring Metrics Publisher 역할을 할당할 수 있는 권한. 일반적으로 소유자 또는 사용자 접근 관리자가 필요합니다.

설치 지침:

1. 푸시 자원 배치

이 단계는 Airlock이 Microsoft Sentinel으로 로그를 전송하는 데 사용하는 데이터 수집 규칙, 사용자 지정 테이블, 그리고 Microsoft Entra 애플리케이션을 제공합니다.

참고: 클라이언트 시크릿은 절대 저장되지 않습니다. 배포를 선택한 직후 한 번만 표시되며, 커넥터 페이지가 몇 초 내에 삭제될 수 있으니 필드 옆의 복사 아이콘을 사용해 즉시 복사하세요. 놓치면 Microsoft Entra ID 앱 등록를 열고 Airlock Digital Log Push OAuth라는 앱을 선택한 뒤, Certificates & secrets로 가서 새 클라이언트 비밀을 만들고 값을 복사하세요. 그 페이지에서 나갈 때까지 그 표시는 계속 보입니다.

2. 에어록 외부 로그 설정

Airlock Digital 서버에서 설정 > 외부 > 기록 항목으로 이동하여 아래 값을 사용하여 Microsoft Sentinel CEF - HTTP(S) 로그 수신기를 추가하세요.

테넌트 ID: <설치 시 제공되는 변수 값>
애플리케이션(클라이언트) ID: <설치 시 제공되는 변수 값>
클라이언트 암호: <설치 시 제공되는 변수 값>
데이터 수집 엔드포인트 URI: <설치 시 제공되는 변수 값>
DCR 변경할 수 없는 ID: <설치 시 제공되는 변수 값>
Stream 이름: <설치 시 제공되는 변수 값>

Airlock Digital 커넥터(Codeless Connector Framework를 통해)

지원:Microsoft Corporation

Airlock Digital 커넥터는 Airlock Digital 서버에서 애플리케이션 제어 및 실행 로그를 수집하여 Microsoft Sentinel 파일 실행, 서버 활동 및 보안 이벤트 요약에 대한 가시성을 제공합니다.

Log Analytics 테이블:

표	DCR 지원	레이크 전용 수집
`AirlockDigitalServerActivities`	아니요	아니요
`AirlockDigitalExecutionHistories`	아니요	아니요
`AirlockDigitalFileActivitySummary`	아니요	아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

Airlock Digital API 키: 로깅 엔드포인트에 대한 읽기 액세스 권한이 있는 API 키입니다. Airlock Digital Web UI에서 생성: 사용자 메뉴 > 설정 > API 키

설치 지침:

1. Airlock Digital API 액세스 구성

Airlock Digital에 대한 API 연결 세부 정보 제공

시작하기 전에 다음을 수행하십시오.

Airlock Digital 서버에 대한 액세스
Airlock Digital의 API 키(사용자 메뉴 > 설정 > API 키)
서버는 Azure 액세스할 수 있어야 합니다(방화벽에서 연결을 허용하는지 확인).

기본 URL: Airlock Digital 서버 URL을 입력합니다. REST API의 기본 포트는 3129입니다. 예: https://airlock.company.com:3129

커넥터는 다음을 수집합니다.

서버 활동: 관리 작업, 정책 변경, 에이전트 체크 인 및 리포지토리 업데이트
실행 기록: 파일 해시, 게시자 및 사용자 세부 정보가 포함된 차단, 감사 및 신뢰할 수 있는 실행을 포함한 파일 실행 이벤트
파일 활동 요약: 파일 활동, 보안 이벤트 및 실행 추세 데이터 새로 고침에 대한 집계된 통계: 로그는 5분마다 검색됩니다. 데이터는 연결 후 5-10분 내에 표시됩니다.

2. Airlock Digital 서버를 Microsoft Sentinel에 연결

데이터 커넥터 그리드(포털에서 구성)

AIShield

지원:AIShield

AIShield 커넥터를 사용하면 사용자가 Microsoft Sentinel AIShield 사용자 지정 방어 메커니즘 로그에 연결할 수 있으므로 동적 대시보드, 통합 문서, Notebook 및 맞춤형 경고를 만들어 AI 시스템에 대한 조사를 개선하고 공격을 저지할 수 있습니다. 사용자에게 organization AI 자산 보안 태세에 대한 더 많은 인사이트를 제공하고 AI 시스템 보안 운영 기능을 개선합니다. AIShield.GuArdIan은 LLM 생성 콘텐츠를 분석하여 유해한 콘텐츠를 식별하고 완화하여 법적, 정책, 역할 기반 및 사용 기반 위반으로부터 보호합니다.

Log Analytics 테이블:

표	DCR 지원	레이크 전용 수집
`AIShield_CL`	아니요	아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

참고: 사용자는 AIShield SaaS 제품을 활용하여 취약성 분석을 수행하고 AI 자산과 함께 생성된 사용자 지정 방어 메커니즘을 배포했어야 합니다. 자세한 내용을 확인하거나 연락하려면 여기를 클릭하십시오.

설치 지침:

참고: 이 데이터 커넥터는 Kusto 함수를 기반으로 하는 파서에 따라 Microsoft Sentinel Solution과 함께 배포되는 예상 AIShield로 작동합니다.

중요: AIShield 커넥터를 배포하기 전에 작업 영역 ID 및 작업 영역 기본 키를 갖습니다(다음에서 복사할 수 있음).

작업 영역 ID: <설치 시 제공되는 변수 값>
기본 키: <설치 시 제공되는 변수 값>

아카마이 과르디코어

지원:아카마이 가디코어 지원

Akamai Guardicore 커넥터는 Codeless Connector 프레임워크(CCF)를 사용하여 Guardicore Centra 인스턴스에서 Data Collection Rule(DCR) 인제스팅을 통해 에이전트, 자산, 애플리케이션 및 정책 규칙을 Microsoft Sentinel로 가져오는 방식입니다. 커넥터는 Microsoft Sentinel의 CCF 런타임을 통해 10분마다 폴링합니다; Azure Function App은 배포되지 않습니다.

Log Analytics 테이블:

표	DCR 지원	레이크 전용 수집
`GuardicoreAssets_CL`	아니요	아니요
`GuardicoreAgents_CL`	아니요	아니요
`GuardicorePolicyRules_CL`	아니요	아니요
`GuardicoreApplications_CL`	아니요	아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

설치 지침:

Connect Akamai Guardicore to Microsoft Sentinel

필수 구성 요소

API 접근 권한이 활성화된 Akamai Guardicore Centra 관리 인스턴스가 반드시 필요합니다.
Guardicore Centra에서 읽기 전용 역할을 가진 API 사용자를 생성(또는 획득)하세요. 이 계정은 , /api/v3.0/agents, /api/v3.0/assets, /api/v3.0/workflow/projects, , 로 /api/v3.0/visibility/policy/rules호출/api/v3.0/authenticate할 수 있는 권한을 받아야 합니다.
Guardicore 관리 URL(예: https://<tenant>.cloud.guardicore.com)과 서비스 계정 사용자 이름, 비밀번호를 준비해 두세요.
커넥터는 Microsoft Sentinel의 CCF 런타임을 통해 10분마다 폴링을 합니다. Azure Function 앱은 배포되지 않습니다.

Guardicore Centra 서비스 계정 정보를 입력하고 연결을 클릭하여 폴링을 시작하세요.

가디코어 관리 URL: (https://< tenant.cloud.guardicore.com>)
Guardicore 사용자 이름: (서비스 계정 사용자 이름)
Guardicore 비밀번호: (서비스 계정 비밀번호)
연결 사용/사용 안 함

Akamai 보안 이벤트 (코드리스 커넥터 프레임워크를 통해)

지원:Microsoft Corporation

Akamai SIEM 커넥터는 Akamai SIEM 통합 API에서 Microsoft Sentinel로 웹 애플리케이션 방화벽(WAF) 보안 이벤트를 인제스트합니다. 커넥터는 공격 정보, 지리적 맥락, HTTP 요청/응답 메타데이터를 포함한 상세한 보안 이벤트 데이터를 수집합니다. 인증은 Akamai EdgeGrid를 사용하며, 세 개의 EdgeGrid 자격 증명(client_token, access_token, client_secret)과 .edgerc 파일의 API 호스트네임을 제공하면 됩니다. 플랫폼 런타임은 EdgeGrid 명세에 따라 모든 폴링 요청에 대해 새로운 HMAC-SHA-256 서명된 Authorization 헤더를 계산합니다.

Log Analytics 테이블:

표	DCR 지원	레이크 전용 수집
`AkamaiSIEMEvent`	아니요	아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

Akamai EdgeGrid API 자격 증명: EdgeGrid HMAC-SHA-256 인증에는 클라이언트 토큰, 액세스 토큰, 클라이언트 시크릿 이 필요합니다. 이 자격 증명은 Akamai 제어 센터 의 Identity & Access>API Clients에서 생성됩니다.

설치 지침:

1단계 - 아카마이 보안 센터에서 SIEM 데이터 수집 활성화

Akamai 보안 설정에서 SIEM 통합을 켜고 웹 보안 구성 ID를 기록하세요.

아카마이 보안 센터에 로그인하세요.
보안 설정을 선택하고 SIEM 통합 섹션을 엽니다.
SIEM의 데이터 수집을 ON으로 설정하세요.
' SIEM 통합 켜기' 항목에서 모니터링할 보안 정책을 선택하거나 '모든 보안 정책'을 선택하세요.
SIEM 이벤트 버전을 선택하세요(SIEM 버전 01 권장).
페이지에 표시된 웹 보안 구성 ID 를 복사하세요 - 아래 3단계에서 필요합니다.

2단계 - EdgeGrid API 자격 증명 제공

Manage SIEM 역할로 Akamai EdgeGrid API 클라이언트를 만들고 .edgerc 자격 증명 파일을 다운로드하세요.

Akamai 제어 센터에서 사용자 식별 및 접근 >기능으로 이동합니다.
새 사용자를 생성하거나 기존 서비스 계정을 선택하고, SIEM 관리 역할을 할당하세요.
Identity & Access > API Client로 가서 Create API client > Quick을 클릭하세요.
SIEM API 서비스를 선택하고 READ 접근 권한을 부여합니다.
생성 버튼을 클릭 한 후 다운로드 를 통해 파일을 저장 .edgerc 하세요.
이 파일에는 .edgerc 3단계에서 입력할 네 가지 값이 포함되어 있습니다:

[default]
client_secret = <your-client-secret>
host = <your-host>.luna.akamaiapis.net
access_token = akab-<your-access-token>
client_token = akab-<your-client-token>

커넥터 플랫폼은 매 폴링마다 HMAC-SHA-256 서명된 Authorization 헤더를 새로 계산하여 수동으로 서명할 필요가 없습니다.

Step 3 - Connect Akamai SIEM to Microsoft Sentinel

다중 테넌트 지원: 이 커넥터는 여러 Akamai 보안 구성에서 병렬로 보안 이벤트를 인징하는 것을 지원합니다. 연결 추가를 클릭하세요 각 구성마다 한 번씩 해당 구성의 EdgeGrid 자격 증명, 호스트명, 구성 ID를 제공합니다. 각 연결은 아래 그리드에서 독립적으로 추적 및 관리됩니다.

데이터 커넥터 그리드(포털에서 구성)

Alibaba Cloud ActionTrail(코드리스 커넥터 프레임워크를 통해)

지원:Microsoft Corporation

Alibaba Cloud ActionTrail 데이터 커넥터는 Alibaba Cloud Simple Log Service에 저장된 actiontrail 이벤트를 검색하고 SLS REST API를 통해 Microsoft Sentinel 저장하는 기능을 제공합니다. 커넥터를 사용하면 이벤트 검색을 통해 잠재적인 보안 위험을 평가하고, 공동 작업을 모니터링하고, 구성 문제를 진단하고 해결할 수 있습니다.

Log Analytics 테이블:

표	DCR 지원	레이크 전용 수집
`AliCloudActionTrailLogs_CL`	예	예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

SLS REST API 자격 증명/권한: API 호출을 수행하려면 AliCloudAccessKeyId 및 AliCloudAccessKeySecret 이 필요합니다. RAM 사용자에게 이 작업을 호출할 수 있는 권한을 부여하려면 리소스 log:GetLogStoreLogs 에 대한 실행 권한이 acs:log:{#regionId}:{#accountId}:project/{#ProjectName}/logstore/{#LogstoreName} 있는 RAM 정책 설명이 필요합니다.

설치 지침:

AliCloud SLS API에 대한 액세스 구성

API를 사용하기 전에 API에 효과적으로 액세스하려면 ID 계정을 준비하고 키 쌍에 액세스해야 합니다.

RAM(리소스 액세스 관리) 사용자를 사용하여 API 작업을 호출하는 것이 좋습니다. 자세한 내용은 RAM 사용자 만들기 및 RAM 사용자에게 단순 로그 서비스에 대한 액세스 권한 부여를 참조하세요.
RAM 사용자에 대한 액세스 키 쌍을 가져옵니다. 자세한 내용은 액세스 키 쌍 가져오기를 참조하세요.

다음 단계에 대한 액세스 키 쌍 세부 정보를 확인합니다.

ActionTrail Logstore 추가

Microsoft Sentinel Alibaba Cloud ActionTrail 커넥터를 사용하도록 설정하려면 ActionTrail Logstore 추가를 클릭하고 양식을 Alibaba Cloud 환경 구성으로 입력하고 연결을 클릭합니다.

데이터 커넥터 그리드(포털에서 구성)

Alibaba Cloud 네트워킹 데이터 커넥터(코드리스 커넥터 프레임워크를 통해)

지원:Microsoft Corporation

Alibaba Cloud 네트워킹 데이터 커넥터는 SLS(Simple Log Service) REST API를 통해 Alibaba Cloud 네트워킹 데이터를 Microsoft Sentinel 수집하는 기능을 제공합니다. 자세한 내용은 API 설명서를 참조하세요. 커넥터는 Alibaba Cloud에서 VPC 흐름 로그, WAF 로그 및 API 게이트웨이 로그를 가져오는 기능을 제공합니다.

Log Analytics 테이블:

표	DCR 지원	레이크 전용 수집
`AlibabaCloudVPCFlowLogs`	아니요	아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

Alibaba Cloud SLS API 액세스: SLS API에는 Alibaba Cloud Simple Log Service 액세스가 필요합니다.

설치 지침:

AliCloud SLS API에 대한 액세스 구성

API를 사용하기 전에 API에 효과적으로 액세스하려면 ID 계정을 준비하고 키 쌍에 액세스해야 합니다.

RAM(리소스 액세스 관리) 사용자를 사용하여 API 작업을 호출하는 것이 좋습니다. 자세한 내용은 RAM 사용자 만들기 및 RAM 사용자에게 단순 로그 서비스에 대한 액세스 권한 부여를 참조하세요.
RAM 사용자에 대한 액세스 키 쌍을 가져옵니다. 자세한 내용은 액세스 키 쌍 가져오기를 참조하세요.

다음 단계에 대한 액세스 키 쌍 세부 정보를 확인합니다.

데이터 커넥터 그리드(포털에서 구성)

AliCloud(Azure Functions 사용)

지원:Microsoft Corporation

AliCloud 데이터 커넥터는 클라우드 API를 사용하여 클라우드 애플리케이션에서 로그를 검색하고 REST API를 통해 이벤트를 Microsoft Sentinel 저장하는 기능을 제공합니다. 커넥터를 사용하면 이벤트 검색을 통해 잠재적인 보안 위험을 평가하고, 공동 작업을 모니터링하고, 구성 문제를 진단하고 해결할 수 있습니다.

Log Analytics 테이블:

표	DCR 지원	레이크 전용 수집
`AliCloud_CL`	아니요	아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

Microsoft.Web/sites 권한: 함수 앱을 만들기 위한 Azure Functions 읽기 및 쓰기 권한이 필요합니다. 자세한 내용은 Azure Functions 참조하세요.
REST API 자격 증명/권한: API 호출을 수행하려면 AliCloudAccessKeyId 및 AliCloudAccessKey 가 필요합니다.

설치 지침:

참고: 이 커넥터는 Azure Functions 사용하여 Azure Blob Storage API에 연결하여 로그를 Microsoft Sentinel 끌어올 수 있습니다. 이로 인해 데이터 수집 및 데이터를 Azure Blob Storage 비용에 저장하는 추가 비용이 발생할 수 있습니다. 자세한 내용은 Azure Functions 가격 책정 페이지 및 Azure Blob Storage 가격 책정 페이지를 확인하세요.

참고: 이 데이터 커넥터는 Kusto 함수를 기반으로 하는 파서에 따라 Microsoft Sentinel Solution과 함께 배포되는 예상된 AliCloud로 작동합니다.

1단계 - AliCloud API에 대한 구성 단계

지침에 따라 자격 증명을 가져옵니다.

AliCloudAccessKeyId 및 AliCloudAccessKey를 가져옵니다. 계정에 로그인하고 AccessKey 관리를 클릭한 다음 비밀 보기를 클릭합니다.
데이터 커넥터에서 사용하기 위한 자격 증명을 저장합니다.

2단계 - 커넥터 및 연결된 Azure 함수를 배포하려면 다음 두 가지 배포 옵션 중 하나를 선택합니다.

중요: AliCloud 데이터 커넥터를 배포하기 전에 작업 영역 ID 및 작업 영역 기본 키를 갖습니다(다음에서 복사할 수 있음).

작업 영역 ID: <설치 시 제공되는 변수 값>
기본 키: <설치 시 제공되는 변수 값>

옵션 1 - ARM(Azure Resource Manager) 템플릿

ARM 템플릿을 사용하여 AliCloud 데이터 커넥터의 자동화된 배포에 이 방법을 사용합니다.

아래 Azure 배포 단추를 클릭합니다.

aka.ms
기본 구독, 리소스 그룹 및 위치를 선택합니다.

참고: 동일한 리소스 그룹 내에서는 Windows 및 Linux 앱을 동일한 지역에 혼합할 수 없습니다. Windows 앱이 없는 기존 리소스 그룹을 선택하거나 새 리소스 그룹을 만듭니다. 3. WorkspaceID, WorkspaceKey, AliCloudAccessKeyId, AliCloudAccessKey, AliCloudProjects 및 AppInsightsWorkspaceResourceID 를 입력하고 배포합니다. 4. 위에 명시된 사용 약관에 동의함을 표시하는 확인란을 표시합니다. 5. 구매 를 클릭하여 배포합니다.

옵션 2 - Azure Functions 수동 배포

다음 단계별 지침을 사용하여 Azure Functions(Visual Studio Code 통해 배포)를 사용하여 AliCloud 데이터 커넥터를 수동으로 배포합니다.

함수 앱 배포

참고: Azure 함수 개발을 위해 VS 코드를 준비해야 합니다.

Azure 함수 앱 파일을 다운로드합니다. 로컬 개발 컴퓨터에 보관 파일을 추출합니다.
VS Code를 시작합니다. 주 메뉴에서 파일을 선택하고 폴더 열기를 선택합니다.
추출된 파일에서 최상위 폴더를 선택합니다.
작업 표시줄에서 Azure 아이콘을 선택한 다음, Azure: 함수 영역에서 함수에 배포 앱 단추를 선택합니다. 아직 로그인하지 않은 경우 활동 표시줄에서 Azure 아이콘을 선택한 다음, Azure: 함수 영역에서 로그인을 선택하여 Azure 이미 로그인한 경우 다음 단계로 이동합니다.
프롬프트에서 다음 정보를 제공합니다.

a. 폴더 선택: 작업 영역에서 폴더를 선택하거나 함수 앱이 포함된 폴더로 이동합니다.

b. 구독을 선택합니다. 사용할 구독을 선택합니다.

c. Azure 새 함수 앱 만들기를 선택합니다(고급 옵션을 선택하지 않음).

d. 함수 앱의 전역적으로 고유한 이름을 입력합니다 . URL 경로에 유효한 이름을 입력합니다. 입력한 이름은 Azure Functions 고유하도록 유효성을 검사합니다. (예: AliCloudXXXXX).

e. 런타임 선택: Python 3.11을 선택합니다.

f. 새 리소스의 위치를 선택합니다. 성능 향상 및 비용 절감을 위해 Microsoft Sentinel 있는 동일한 지역을 선택합니다.
배포가 시작됩니다. 함수 앱이 만들어지고 배포 패키지가 적용된 후 알림이 표시됩니다.
함수 앱 구성에 대한 Azure 포털로 이동합니다.
함수 앱 구성
함수 앱에서 함수 앱 이름을 선택하고 구성을 선택합니다.
애플리케이션 설정 탭에서 새 애플리케이션 설정을 선택합니다.
각 문자열 값(대/소문자 구분)을 사용하여 다음 애플리케이션 설정을 개별적으로 추가합니다. WorkspaceID WorkspaceKey AliCloudAccessKeyId AliCloudAccessKey AliCloudProjects AppInsightsWorkspaceResourceID

logAnalyticsUri를 사용하여 전용 클라우드에 대한 로그 분석 API 엔드포인트를 재정의합니다. 예를 들어 퍼블릭 클라우드의 경우 값을 비워 둡니다. Azure GovUS 클라우드 환경의 경우 값을 형식https://<CustomerId>.ods.opinsights.azure.us으로 지정합니다.

모든 애플리케이션 설정이 입력되면 저장을 클릭합니다.

아마존 웹 서비스

지원:Microsoft Corporation

AWS에 연결하고 CloudTrail 로그를 Microsoft Sentinel 스트리밍하는 지침은 설치 프로세스 중에 표시됩니다. 자세한 내용은 Microsoft Sentinel 설명서를 참조하세요.

Log Analytics 테이블:

표	DCR 지원	레이크 전용 수집
`AWSCloudTrail`	예	예

데이터 수집 규칙 지원:작업 영역 변환 DCR

Amazon Web Services CloudFront(코드리스 커넥터 프레임워크를 통해)(미리 보기)

지원:Microsoft Corporation

이 데이터 커넥터를 사용하면 AWS CloudFront 로그와 Microsoft Sentinel 통합하여 고급 위협 탐지, 조사 및 보안 모니터링을 지원할 수 있습니다. 커넥터는 로그 스토리지에 Amazon S3을 사용하고 메시지 큐에 Amazon SQS를 활용하여 CloudFront 액세스 로그를 안정적으로 수집합니다Microsoft Sentinel

Log Analytics 테이블:

표	DCR 지원	레이크 전용 수집
`AWSCloudFront_AccessLog_CL`	예	예

데이터 수집 규칙 지원:작업 영역 변환 DCR

설치 지침:

Microsoft Sentinel AWS CloudFront 로그 수집

필요한 리소스 목록:

OIDC(Open ID Connect) 웹 ID 공급자
IAM 역할
Amazon S3 버킷
아마존 SQS
AWS CloudFront 구성

AWS CloudFormation 배포 AWS에 대한 액세스를 구성하기 위해 S3 버킷에서 Log Analytics 작업 영역으로 로그를 보내도록 AWS 환경을 설정하기 위해 두 개의 템플릿이 생성되었습니다.

각 템플릿에 대해 AWS에서 Stack을 만듭니다.

AWS CloudFormation Stacks로 이동합니다.
'템플릿 지정' 옵션을 선택한 다음, '파일 선택'을 클릭하고 아래에 제공된 적절한 CloudFormation 템플릿 파일을 선택하여 '템플릿 파일업로드'를 선택합니다. '파일 선택'을 클릭하고 다운로드한 템플릿을 선택합니다.
'다음' 및 '스택 만들기'를 클릭합니다.

템플릿 1: OpenID 연결 인증 배포: <설치 시 제공되는 변수 값>
템플릿 2: AWSCloudFront 리소스 배포: <설치 시 제공되는 변수 값>

새 수집기 연결 Microsoft Sentinel AWS S3을 사용하도록 설정하려면 새 수집기 추가 단추를 클릭하고 컨텍스트 창에서 필요한 정보를 입력하고 연결을 클릭합니다.

데이터 커넥터 그리드(포털에서 구성)

Amazon Web Services 탄력적 부하 분산(코드리스 커넥터 프레임워크를 통해)

지원:Microsoft Corporation

Microsoft Sentinel 대한 AWS ELB(탄력적 부하 분산) 커넥터를 사용하면 ALB(AWS Application Load Balancer), NLB(네트워크 부하 분산 장치) 및 GLB(게이트웨이 부하 분산 장치)에서 Microsoft Sentinel 액세스 로그 및 흐름 로그를 수집할 수 있습니다. 이러한 로그는 부하 분산 장치 및 VPC 트래픽 흐름에서 처리되는 요청에 대한 자세한 정보를 제공하여 보안 모니터링, 위협 탐지 및 트래픽 분석을 가능하게 합니다.

Log Analytics 테이블:

표	DCR 지원	레이크 전용 수집
`AWSALBAccessLogsData`	아니요	아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

AWS IAM 역할 ARN 및 SQS 큐: 계정 간 액세스 권한이 있는 AWS IAM 역할 ARN 과 S3 이벤트 알림에 대해 구성된 SQS 큐 URL 이 필요합니다. 설치 지침 은 AWS ELB 커넥터 설명서를 참조하세요.

설치 지침:

AWS CloudFormation 배포 AWS에 대한 액세스를 구성하려면 CloudFormation 템플릿을 사용하여 ALB, NLB 및 GLB에서 Log Analytics 작업 영역으로 로그를 보내는 환경을 설정합니다.

배포 단계:

클라우드 형성 템플릿으로 이동하여 JSON 템플릿 파일을 다운로드합니다.
AWS CloudFormation Stacks로 이동합니다.
먼저 OIDCWebIdProvider.json 템플릿을 배포합니다(Microsoft Sentinel 대한 OIDC 공급자가 이미 있는 경우 건너뛰기).
그런 다음 매개 변수를 사용하여 AWSS3ELB.json 템플릿을 배포합니다.
스택 출력에서 다음 값을 적어둡니다.
- IAMRoleArn
- ALBSQSQueueURL
- NLBSQSQueueURL
- NLBFlowLogsSQSQueueURL
- GLBFlowLogsSQSQueueURL

배포 후 구성:

CloudFormation 스택이 성공적으로 배포되면 다음을 수행합니다.

스택의 리소스 탭으로 이동합니다.
만든 S3 버킷 이름을 찾습니다.
S3 버킷에서 다음 폴더를 수동으로 만듭니다.
- ALBLogs
- NLBAccessLogs
- NLBFlowLogs
- GLBFlowLogs

로그 보내기:

폴더를 만든 후 적절한 폴더에 로그를 보내도록 AWS 서비스를 구성합니다.

ALB 액세스 로그 ->ALBLogs/
NLB 액세스 로그 ->NLBAccessLogs/
NLB 흐름 로그 ->NLBFlowLogs/
GLB 흐름 로그 ->GLBFlowLogs/

이러한 로그는 Log Analytics 작업 영역의 해당 테이블에 수집됩니다.

테이블 매핑:

ALB 액세스 로그 ->AWSALBAccessLogsData
NLB 액세스 로그 ->AWSNLBAccessLogsData
NLB 및 GLB 흐름 로그 ->AWSELBFlowLogsData

참고:AWSELBFlowLogsData 테이블에서 라는 LogType 열은 행이 NLB 흐름 로그 또는 GLB 흐름 로그에서 온 것인지 여부를 나타냅니다.

새 수집기 연결 커넥터를 사용하도록 설정하려면 새 수집기 추가를 클릭하고 필요한 세부 정보를 입력한 다음 연결을 클릭합니다.

데이터 커넥터 그리드(포털에서 구성)

Amazon Web Services NetworkFirewall(코드리스 커넥터 프레임워크를 통해)

지원:Microsoft Corporation

이 데이터 커넥터를 사용하면 고급 위협 탐지 및 보안 모니터링을 위해 AWS 네트워크 방화벽 로그를 Microsoft Sentinel 수집할 수 있습니다. 커넥터는 Amazon S3 및 Amazon SQS를 활용하여 네트워크 트래픽 로그, 침입 검색 경고 및 방화벽 이벤트를 Microsoft Sentinel 전달하여 실시간 분석 및 다른 보안 데이터와의 상관 관계를 가능하게 합니다.

Log Analytics 테이블:

표	DCR 지원	레이크 전용 수집
`AWSNetworkFirewallFlow`	예	예

데이터 수집 규칙 지원:작업 영역 변환 DCR

설치 지침:

Microsoft Sentinel AWS NetworkFirewall 로그 수집

필요한 리소스 목록:

OIDC(Open ID Connect) 웹 ID 공급자
IAM 역할
Amazon S3 버킷
아마존 SQS
AWSNetworkFirewall 구성
AWS NetworkFirewall 데이터 커넥터 구성에 대한 이 지침을 따르세요.

AWS CloudFormation 배포 AWS에 대한 액세스를 구성하기 위해 S3 버킷에서 Log Analytics 작업 영역으로 로그를 보내도록 AWS 환경을 설정하기 위해 두 개의 템플릿이 생성되었습니다.

각 템플릿에 대해 AWS에서 Stack을 만듭니다.

AWS CloudFormation Stacks로 이동합니다.
'템플릿 지정' 옵션을 선택한 다음, '파일 선택'을 클릭하고 아래에 제공된 적절한 CloudFormation 템플릿 파일을 선택하여 '템플릿 파일업로드'를 선택합니다. '파일 선택'을 클릭하고 다운로드한 템플릿을 선택합니다.
'다음' 및 '스택 만들기'를 클릭합니다.

템플릿 1: OpenID 연결 인증 배포: <설치 시 제공되는 변수 값>
템플릿 2: AWSNetworkFirewall 리소스 배포: <설치 시 제공되는 변수 값>

새 수집기 연결 Microsoft Sentinel AWS S3을 사용하도록 설정하려면 새 수집기 추가 단추를 클릭하고 컨텍스트 창에서 필요한 정보를 입력하고 연결을 클릭합니다.

데이터 커넥터 그리드(포털에서 구성)

아마존 웹 서비스 S3

지원:Microsoft Corporation

이 커넥터를 사용하면 AWS S3 버킷에서 수집된 AWS 서비스 로그를 수집하여 Microsoft Sentinel 수 있습니다. 현재 지원되는 데이터 형식은 다음과 같습니다.

AWS 클라우드트레일
VPC 흐름 로그
AWS 가드듀티
AWS CloudWatch

자세한 내용은 Microsoft Sentinel 설명서를 참조하세요.

Log Analytics 테이블:

표	DCR 지원	레이크 전용 수집
`AWSGuardDuty`	예	예
`AWSVPCFlow`	예	예
`AWSCloudTrail`	예	예
`AWSCloudWatch`	예	예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

환경: S3, SQS(Simple Queue Service), IAM 역할 및 권한 정책 및 수집하려는 로그가 있는 AWS 서비스 등 AWS 리소스를 정의하고 구성해야 합니다.

설치 지침:

1. AWS 환경 설정

S3 버킷에서 Log Analytics 작업 영역으로 로그를 보내도록 AWS 환경을 설정하는 두 가지 옵션이 있습니다.

PowerShell 스크립트를 사용하여 설정(권장)

스크립트를 실행하여 환경 설정: <설치 시 제공되는 변수 값>
외부 ID(작업 영역 ID): <설치 시 제공되는 변수 값>

수동 설정

다음 링크의 지침에 따라 환경을 설정합니다. AWS S3을 Microsoft Sentinel

2. 연결 추가

Amazon Web Services S3 DNS Route53(코드리스 커넥터 프레임워크를 통해)

지원:Microsoft Corporation

이 커넥터를 사용하면 향상된 가시성 및 위협 탐지를 위해 AWS Route 53 DNS 로그를 Microsoft Sentinel 수집할 수 있습니다. AWS S3 버킷에서 직접 수집되는 DNS 확인자 쿼리 로그를 지원하며, 공용 DNS 쿼리 로그 및 Route 53 감사 로그는 Microsoft Sentinel AWS CloudWatch 및 CloudTrail 커넥터를 사용하여 수집할 수 있습니다. 각 로그 유형의 설정을 안내하는 포괄적인 지침이 제공됩니다. 이 커넥터를 활용하여 DNS 활동을 모니터링하고, 잠재적 위협을 감지하고, 클라우드 환경에서 보안 태세를 개선합니다.

Log Analytics 테이블:

표	DCR 지원	레이크 전용 수집
`AWSRoute53Resolver`	예	예

데이터 수집 규칙 지원:작업 영역 변환 DCR

설치 지침:

AWS Route53

이 커넥터를 사용하면 AWS Route 53 DNS 로그를 Microsoft Sentinel 수집하여 DNS 활동에 대한 향상된 가시성을 제공하고 위협 탐지 기능을 강화할 수 있습니다. AWS S3 버킷에서 DNS 확인자 쿼리 로그의 직접 수집을 지원하며, 공용 DNS 쿼리 로그 및 Route 53 감사 로그는 Microsoft Sentinel AWS CloudWatch 및 CloudTrail 커넥터를 통해 수집할 수 있습니다. 각 로그 유형에 대한 자세한 설정 지침이 제공됩니다. 이 커넥터를 사용하여 DNS 트래픽을 모니터링하고, 잠재적 위협을 식별하고, 클라우드 보안 태세를 향상시킵니다.

AWS Route 53에서 Microsoft Sentinel 다음 유형의 로그를 수집할 수 있습니다.

Route 53 Resolver 쿼리 로그
Route 53 공용 호스팅 영역 쿼리 로그(Microsoft Sentinel CloudWatch 커넥터를 통해)
경로 53 감사 로그(Microsoft Sentinel CloudTrail 커넥터를 통해)

Microsoft Sentinel Route53 Resolver 쿼리 로그 수집

필요한 리소스 목록:

OIDC(Open ID Connect) 웹 ID 공급자
IAM 역할
Amazon S3 버킷
아마존 SQS
Route 53 Resolver 쿼리 로깅 구성
Route53 Resolver 쿼리 로그 구성과 연결할 VPC

AWS CloudFormation 배포 AWS에 대한 액세스를 구성하기 위해 S3 버킷에서 Log Analytics 작업 영역으로 로그를 보내도록 AWS 환경을 설정하기 위해 두 개의 템플릿이 생성되었습니다.

각 템플릿에 대해 AWS에서 Stack을 만듭니다.

AWS CloudFormation Stacks로 이동합니다.
'템플릿 지정' 옵션을 선택한 다음, '파일 선택'을 클릭하고 아래에 제공된 적절한 CloudFormation 템플릿 파일을 선택하여 '템플릿 파일업로드'를 선택합니다. '파일 선택'을 클릭하고 다운로드한 템플릿을 선택합니다.
'다음' 및 '스택 만들기'를 클릭합니다.

템플릿 1: OpenID 연결 인증 배포: <설치 시 제공되는 변수 값>
템플릿 2: AWS Route53 리소스 배포: <설치 시 제공되는 변수 값>

새 수집기 연결 Amazon Web Services S3 DNS Route53을 Microsoft Sentinel 사용하도록 설정하려면 새 수집기 추가 단추를 클릭하고 컨텍스트 창에서 필요한 정보를 입력하고 연결을 클릭합니다.

데이터 커넥터 그리드(포털에서 구성)

Route 53 공용 호스팅 영역 쿼리 로그 수집(Microsoft Sentinel CloudWatch 커넥터를 통해)

퍼블릭 호스팅 영역 쿼리 로그는 AWS의 CloudWatch 서비스로 내보내집니다. 'Amazon Web Services S3' 커넥터를 사용하여 AWS에서 Microsoft Sentinel CloudWatch 로그를 수집할 수 있습니다.

1단계: 공용 DNS 쿼리에 대한 로깅 구성

AWS 관리 콘솔에 로그인하고 AWS Route 53에서 Route 53 콘솔을 엽니다.
경로 53 > 호스팅 영역으로 이동합니다.
쿼리 로깅을 구성하려는 공용 호스팅 영역을 선택합니다.
호스트된 영역 세부 정보 창에서 "쿼리 로깅 구성"을 클릭합니다.
기존 로그 그룹을 선택하거나 새 로그 그룹을 만듭니다.
만들기를 선택합니다.

2단계: AWS CloudWatch용 Amazon Web Services S3 데이터 커넥터 구성

AWS CloudWatch 로그는 람다 함수를 사용하여 S3 버킷으로 내보낼 수 있습니다. 공용 DNS 쿼리를 AWS CloudWatch 버킷으로 S3 수집한 다음 Microsoft Sentinel Amazon Web Services S3 커넥터에 제공된 지침을 따릅니다.

경로 53 감사 로그 수집(Microsoft Sentinel CloudTrail 커넥터를 통해)

경로 53 감사 로그 즉, Route 53의 사용자, 역할 또는 AWS 서비스에서 수행한 작업과 관련된 로그를 AWS CloudTrail 서비스를 통해 S3 버킷으로 내보낼 수 있습니다. 'Amazon Web Services S3' 커넥터를 사용하여 AWS에서 Microsoft Sentinel CloudTrail 로그를 수집할 수 있습니다.

1단계: AWS Route 53 감사 로그에 대한 로깅 구성

AWS 관리 콘솔에 로그인하고 AWS CloudTrail에서 CloudTrail 콘솔을 엽니다.
기존 내역이 없는 경우 '트레일 만들기'를 클릭합니다.
트레일 이름 필드에 내역 이름을 입력합니다.
새 S3 버킷 만들기를 선택합니다(기존 S3 버킷을 사용하도록 선택할 수도 있음).
다른 설정을 기본값으로 두고 다음을 클릭합니다.
이벤트 유형을 선택하고 관리 이벤트가 선택되어 있는지 확인합니다.
API 활동, '읽기' 및 '쓰기' 선택
다음을 클릭합니다.
설정을 검토하고 '추적 만들기'를 클릭합니다.

2단계: AWS CloudTrail용 Amazon Web Services S3 데이터 커넥터 구성

감사 및 관리 로그를 AWS CloudTrail Microsoft Sentinel 수집하려면 Amazon Web Services S3 커넥터에 제공된 지침을 따릅니다.

아마존 웹 서비스 S3 WAF

지원:Microsoft Corporation

이 커넥터를 사용하면 AWS S3 버킷에서 수집된 AWS WAF 로그를 수집하여 Microsoft Sentinel 수 있습니다. AWS WAF 로그는 웹 애플리케이션의 보안 및 성능을 유지하는 데 필수적인 ACL(웹 액세스 제어 목록)이 분석하는 트래픽에 대한 자세한 레코드입니다. 이러한 로그에는 AWS WAF가 요청을 받은 시간, 요청의 세부 정보 및 요청이 일치하는 규칙에서 수행한 작업과 같은 정보가 포함됩니다.

Log Analytics 테이블:

표	DCR 지원	레이크 전용 수집
`AWSWAF`	예	예

데이터 수집 규칙 지원:작업 영역 변환 DCR

설치 지침:

AWS CloudFormation 배포 AWS에 대한 액세스를 구성하기 위해 S3 버킷에서 Log Analytics 작업 영역으로 로그를 보내도록 AWS 환경을 설정하기 위해 두 개의 템플릿이 생성되었습니다.

각 템플릿에 대해 AWS에서 Stack을 만듭니다.

AWS CloudFormation Stacks로 이동합니다.
'템플릿 지정' 옵션을 선택한 다음, '파일 선택'을 클릭하고 아래에 제공된 적절한 CloudFormation 템플릿 파일을 선택하여 '템플릿 파일 업로드'를 선택합니다. '파일 선택'을 클릭하고 다운로드한 템플릿을 선택합니다.
'다음' 및 '스택 만들기'를 클릭합니다.

템플릿 1: OpenID 연결 인증 배포: <설치 시 제공되는 변수 값>
템플릿 2: AWS WAF 리소스 배포: <설치 시 제공되는 변수 값>

새 수집기 연결 Microsoft Sentinel AWS S3을 사용하도록 설정하려면 새 수집기 추가 단추를 클릭하고 컨텍스트 창에서 필요한 정보를 입력하고 연결을 클릭합니다.

데이터 커넥터 그리드(포털에서 구성)

안비롤로지

지원자:Anvilogic

Anvilogic 데이터 커넥터를 사용하면 Anvilogic ADX 클러스터에서 생성된 관심 있는 이벤트를 Microsoft Sentinel

Log Analytics 테이블:

표	DCR 지원	레이크 전용 수집
`Anvilogic_Alerts_CL`	예	예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Anvilogic Application Registration 클라이언트 ID 및 클라이언트 암호: Anvilogic ADX에 액세스하려면 Anvilogic 앱 등록의 클라이언트 ID 및 클라이언트 암호가 필요합니다.

설치 지침:

Anvilogic에 연결하여 Microsoft Sentinel 관심 있는 이벤트 수집 시작

양식을 작성하여 Microsoft Sentinel

토큰 엔드포인트: (https://login[.]microsoftonline[.]com/<tenant_id>/oauth2/v2.0/token)
Anvilogic ADX 스코프: (<avl_adx_uri>/.default)
Anvilogic ADX 요청 URI: (<avl_adx_uri>/v2/rest/query)

API 보호

지원:Microsoft Corporation

42Crunch API 보호를 REST API 인터페이스를 통해 Azure Log Analytics에 연결합니다

Log Analytics 테이블:

표	DCR 지원	레이크 전용 수집
`apifirewall_log_1_CL`	아니요	아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

설치 지침:

1단계: 자세한 설명서 읽기

설치 과정은 GitHub 저장소의 Microsoft Sentinel 통합에 상세히 문서화되어 있습니다. 사용자는 통합 설치 및 디버그를 이해하기 위해 이 저장소를 더 참고해야 합니다.

2단계: 작업 영역 액세스 자격 증명 검색

첫 번째 설치 단계는 Microsoft Sentinel 플랫폼에서 작업 영역 ID와 기본 키를 모두 검색하는 것입니다. 아래 표시된 값을 복사하고 API 로그 전달자 통합 구성을 위해 저장합니다.

작업 영역 ID: <설치 시 제공되는 변수 값>
기본 키: <설치 시 제공되는 변수 값>

3단계: 42Crunch 보호 및 로그 포워더 설치

다음 단계는 API를 보호하기 위해 42Crunch 보호와 로그 포워더를 설치하는 것입니다. 두 구성 요소 모두 42Crunch 저장소에서 컨테이너로 제공됩니다. 정확한 설치 방법은 환경에 따라 다르니, 자세한 내용은 42Crunch 보호 문서를 참고하세요. 아래에는 두 가지 일반적인 설치 시나리오가 설명되어 있습니다:

Docker Compose를 통한 설치

이 솔루션은 Docker compose 파일을 사용해 설치할 수 있습니다.

헬름 차트를 통한 설치

솔루션은 헬름 차트를 사용해 설치할 수 있습니다.

4단계: 데이터 인제 테스트

데이터 인제스팅을 테스트하기 위해 사용자는 여기서 자세히 설명된 42Crunch 보호 및 로그 포워더와 함께 샘플 httpbin 애플리케이션을 배포해야 합니다.

4.1 샘플 설치

샘플 애플리케이션은 Docker compose 파일을 통해 로컬에 설치할 수 있으며, 이 파일로 httpbin API 서버, 42Crunch API 보호, Microsoft Sentinel 로그 포워더를 설치할 수 있습니다. 2단계에서 복사한 값을 사용해 환경 변수를 설정하세요.

4.2 샘플 실행

Verfify는 API 보호를 42Crunch 플랫폼에 연결한 후, Postman, curl 등 유사한 도구를 사용해 로컬 호스트 포트 8080에서 API를 실행합니다. API 호출이 통과되거나 실패하는 경우가 섞여 있는 것을 볼 수 있을 것입니다.

4.3 Log Analytics에서 데이터 수집 확인

약 20분 후 Microsoft Sentinel 설치의 Log Analytics 작업 공간에 접속하여 사용자 지정 로그 섹션을 찾아 apifirewall_log_1_CL 테이블이 존재하는지 확인하세요. 샘플 쿼리를 사용하여 데이터를 검사합니다.

SAP BTP용 애플리케이션 취약점 보고서

지원:Microsoft Corporation

SAP 애플리케이션 취약점 보고서 서비스 커넥터는 SAP BTP에 배포된 맞춤 앱의 취약점 결과를 Microsoft Sentinel에 통합합니다. 이 결과는 SAP BTP 감사 활동과 연관되어 위험한 애플리케이션을 식별하고 관련 보안 이벤트를 조사할 수 있습니다.

Log Analytics 테이블:

표	DCR 지원	레이크 전용 수집
`SAPBTPAVL_CL`	아니요	아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

애플리케이션 취약점 보고 서비스용 클라이언트 ID 및 클라이언트 비밀: BTP에서 API 접근 권한을 활성화하세요.

설치 지침:

1단계 - SAP 애플리케이션 취약점 보고서 서비스 설정 단계

SAP 애플리케이션 취약점 보고서 서비스를 구성하고 이 커넥터에 전용 서비스 키를 생성하세요. 자세한 내용은 '제공자 서비스 API 찾기'를 참조하세요. URL(Finding Provider API URL), uaa.url(사용자 계정 및 인증 서버 URL), 그리고 관련된 uaa.clientid를 기록해 두세요.

참고: 이 커넥터는 별도의 자격 증명을 사용하며 SAP BTP 감사 로그 커넥터에서 사용하는 서비스 키를 공유하지 않습니다.

Connect SAP BTP AVL FINDINGS TO Microsoft Sentinel

OAuth 클라이언트 자격 증명을 사용하여 연결

연결들

각 행은 연결된 하위 계산을 나타냅니다.

데이터 커넥터 그리드(포털에서 구성)

ARGOS 클라우드 보안

지원:ARGOS Cloud Security

Microsoft Sentinel 대한 ARGOS Cloud Security 통합을 사용하면 모든 중요한 클라우드 보안 이벤트를 한 곳에 배치할 수 있습니다. 이렇게 하면 대시보드, 경고를 쉽게 만들고 여러 시스템에서 이벤트를 상호 연결할 수 있습니다. 전반적으로 이렇게 하면 organization 보안 태세 및 보안 인시던트 대응이 향상됩니다.

Log Analytics 테이블:

표	DCR 지원	레이크 전용 수집
`ARGOS_CL`	아니요	아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

설치 지침:

1. ARGOS 구독

이미 ARGOS 구독을 소유하고 있는지 확인합니다. 그렇지 않은 경우 ARGOS Cloud Security 로 이동하여 ARGOS에 등록합니다.

또는 Azure Marketplace를 통해 ARGOS를 구매할 수도 있습니다.

2. ARGOS에서 Sentinel 통합 구성

ARGOS에 작업 영역 ID 및 기본 키를 제공하여 Sentinel 작업 영역에 새 검색을 전달하도록 ARGOS를 구성합니다.

사용자 지정 인프라를 배포할 필요가 없습니다.

ARGOS Sentinel 구성 페이지에 정보를 입력합니다.

새 검색이 자동으로 전달됩니다.

통합에 대해 자세히 알아보기

작업 영역 ID: <설치 시 제공되는 변수 값>
기본 키: <설치 시 제공되는 변수 값>

Armis 경고 활동(Azure Functions 사용)

지원:Armis Corporation

Armis 경고 활동 커넥터는 Armis REST API를 통해 Armis 경고 및 활동을 Microsoft Sentinel 수집할 수 있는 기능을 제공합니다. 자세한 내용은 API 설명서: https://<YourArmisInstance>.armis.com/api/v1/docs 를 참조하세요. 커넥터는 Armis 플랫폼에서 경고 및 활동 정보를 얻고 사용자 환경에서 위협을 식별하고 우선 순위를 지정하는 기능을 제공합니다. Armis는 기존 인프라를 사용하여 에이전트를 배포하지 않고도 디바이스를 검색하고 식별합니다.

Log Analytics 테이블:

표	DCR 지원	레이크 전용 수집
`Armis_Alerts_CL`	예	예
`Armis_Activities_CL`	예	예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Microsoft.Web/sites 권한: 함수 앱을 만들기 위한 Azure Functions 읽기 및 쓰기 권한이 필요합니다. 자세한 내용은 Azure Functions 참조하세요.
REST API 자격 증명/권한: Armis 비밀 키가 필요합니다. 에서 API에 대해 자세히 알아보려면 설명서를 참조하세요. https://<YourArmisInstance>.armis.com/api/v1/doc

설치 지침:

참고: 이 커넥터는 Azure Functions 사용하여 Armis API에 연결하여 로그를 Microsoft Sentinel. 이로 인해 추가 데이터 수집 비용이 발생할 수 있습니다. 자세한 내용은 Azure Functions 가격 책정 페이지를 확인하세요.

참고: 이 데이터 커넥터는 Kusto 함수를 기반으로 하는 파서에 따라 솔루션의 일부로 배포되는 예상대로 작동합니다. Log Analytics에서 함수 코드를 보려면 Log Analytics/Microsoft Sentinel 로그 블레이드를 열고 함수를 클릭하고 별칭 ArmisActivities/ArmisAlerts를 검색하고 함수 코드를 로드합니다. 함수는 일반적으로 솔루션 설치/업데이트 후 활성화하는 데 10-15분이 걸립니다.

1단계 - Armis API에 대한 구성 단계

다음 지침에 따라 Armis API 비밀 키를 만듭니다.

Armis instance 로그인
설정으로 이동 -> API Management
비밀 키가 아직 만들어지지 않은 경우 만들기 단추를 눌러 비밀 키를 만듭니다.
비밀 키에 액세스하려면 표시 단추를 누릅니다.
이제 Armis Alerts Activities 커넥터 구성 중에 비밀 키를 복사하고 사용할 수 있습니다.

2단계 - Microsoft Entra ID 애플리케이션에 대한 앱 등록 단계

이 통합에는 Azure Portal 앱 등록이 필요합니다. 이 섹션의 단계에 따라 Microsoft Entra ID 새 애플리케이션을 만듭니다.

Azure 포털에 로그인합니다.
Microsoft Entra ID 검색하여 선택합니다.
관리에서 새 등록 앱 등록 > 선택합니다.
애플리케이션의 표시 이름을 입력합니다.
등록을 선택하여 초기 앱 등록을 완료합니다.
등록이 완료되면 Azure Portal 앱 등록의 개요 창이 표시됩니다. 애플리케이션(클라이언트) ID 및 테넌트 ID가 표시됩니다. 클라이언트 ID 및 테넌트 ID는 Armis Alerts Activities Data Connector 실행을 위한 구성 매개 변수로 필요합니다.

참조 링크:/azure/active-directory/develop/quickstart-register-app

3단계 - Microsoft Entra ID 애플리케이션에 대한 클라이언트 암호 추가

애플리케이션 암호라고도 하는 클라이언트 암호는 Armis Alerts Activities Data Connector를 실행하는 데 필요한 문자열 값입니다. 이 섹션의 단계에 따라 새 클라이언트 암호를 만듭니다.

Azure Portal 앱 등록 애플리케이션을 선택합니다.
인증서 & 비밀 > 클라이언트 비밀 새 클라이언트 비밀을 >선택합니다.
클라이언트 비밀에 대한 설명을 추가합니다.
비밀에 대한 만료를 선택하거나 사용자 지정 수명을 지정합니다. 한도는 24개월입니다.
추가를 선택합니다.
클라이언트 애플리케이션 코드에서 사용할 비밀 값을 기록합니다. 이 비밀 값은 이 페이지를 떠난 후에 다시는 표시되지 않습니다. 비밀 값은 Armis Alerts Activities Data Connector를 실행하기 위한 구성 매개 변수로 필요합니다.

참조 링크:/azure/active-directory/develop/quickstart-register-app#add-a-client-secret

4단계 - Microsoft Entra ID 애플리케이션의 개체 ID 가져오기

앱 등록을 만든 후 이 섹션의 단계에 따라 개체 ID를 가져옵니다.

Microsoft Entra ID 이동합니다.
왼쪽 메뉴에서 엔터프라이즈 애플리케이션 을 선택합니다.
목록에서 새로 만든 애플리케이션을 찾습니다(제공한 이름으로 검색할 수 있습니다).
애플리케이션을 클릭합니다.
개요 페이지에서 개체 ID를 복사합니다. ARM 템플릿 역할 할당에 필요한 AzureEntraObjectId 입니다.

5단계 - Microsoft Entra ID 애플리케이션에 기여자 역할 할당

이 섹션의 단계에 따라 역할을 할당합니다.

Azure Portal 리소스 그룹으로 이동하여 리소스 그룹을 선택합니다.
왼쪽 패널에서 액세스 제어(IAM) 로 이동합니다.
추가를 클릭한 다음 역할 할당 추가를 선택합니다.
역할로 기여자를 선택하고 다음을 클릭합니다.
에 대한 액세스 할당에서 를 선택합니다User, group, or service principal.
구성원 추가를 클릭하고 만든 앱 이름을 입력 하고 선택합니다.
이제 검토 + 할당을 클릭한 다음 검토 + 할당을 다시 클릭합니다.

참조 링크:/azure/role-based-access-control/role-assignments-portal

6단계 - Keyvault 만들기

다음 지침에 따라 새 Keyvault를 만듭니다.

Azure Portal 키 자격 증명 모음으로 이동합니다. 만들기를 클릭합니다.
Subsciption, Resource Group을 선택하고 keyvault의 고유한 이름을 제공합니다.

참고: 하나의 작업 영역 내에서 각 API 키에 대해 별도의 키 자격 증명 모음을 만듭니다.

7단계 - Keyvault에서 액세스 정책 만들기

다음 지침에 따라 Keyvault에서 액세스 정책을 만듭니다.

keyvaults로 이동하고, keyvault를 선택하고, 왼쪽 패널의 액세스 정책으로 이동합니다. 만들기를 클릭합니다.
모든 키 & 비밀 권한을 선택합니다. 다음을 클릭합니다.
보안 주체 섹션에서 STEP - 2에서 생성된 애플리케이션 이름으로 검색합니다. 다음을 클릭합니다.

참고: Key Vault 액세스 구성의 권한 모델이 '자격 증명 모음 액세스 정책'으로 설정되어 있는지 확인합니다.

8단계 - 다음 두 배포 옵션 중 하나를 선택하여 커넥터 및 연결된 Azure 함수를 배포합니다.

중요: Armis 디바이스 데이터 커넥터를 배포하기 전에, Armis API 인증 키(Authorization Key)를 미리 준비해 두세요..

옵션 1 - ARM(Azure Resource Manager) 템플릿

Armis 커넥터의 자동화된 배포에 이 메서드를 사용합니다.

아래 Azure 배포 단추를 클릭합니다.

aka.ms aka.ms
기본 구독, 리소스 그룹 및 위치를 선택합니다.
아래 정보를 입력하세요: 기능명, 워크스테이션 이름
Armis 비밀 키 Armis URL (https://< armis-instance.armis.com/api/v1/>) Armis 알림 테이블 이름 Armis 활동 테이블 이름 심각도 (기본값: 낮음) Armis 일정 키볼트 이름 Azure 클라이언트 ID Azure 클라이언트 비밀 Azure Entra ObjectID
테넌트 ID
위에 명시된 사용 약관에 동의함을 표시하는 확인란을 표시합니다.
구매를 클릭하여 배포합니다.

옵션 2 - Azure Functions 수동 배포

다음 단계별 지침을 사용하여 Azure Functions(Visual Studio Code 통해 배포)를 사용하여 Armis Alerts Activities 데이터 커넥터를 수동으로 배포합니다.

함수 앱 배포

참고: Azure 함수 개발을 위해 VS 코드를 준비해야 합니다.

Azure 함수 앱 파일을 다운로드합니다. 로컬 개발 컴퓨터에 보관 파일을 추출합니다.
VS Code를 시작합니다. 주 메뉴에서 파일을 선택하고 폴더 열기를 선택합니다.
추출된 파일에서 최상위 폴더를 선택합니다.
작업 표시줄에서 Azure 아이콘을 선택한 다음, Azure: 함수 영역에서 함수에 배포 앱 단추를 선택합니다. 아직 로그인하지 않은 경우 활동 표시줄에서 Azure 아이콘을 선택한 다음, Azure: 함수 영역에서 로그인을 선택하여 Azure 이미 로그인한 경우 다음 단계로 이동합니다.
프롬프트에서 다음 정보를 제공합니다.

a. 폴더 선택: 작업 영역에서 폴더를 선택하거나 함수 앱이 포함된 폴더로 이동합니다.

b. 구독을 선택합니다. 사용할 구독을 선택합니다.

c. Azure 새 함수 앱 만들기를 선택합니다(고급 옵션을 선택하지 않음).

d. 함수 앱의 전역적으로 고유한 이름을 입력합니다 . URL 경로에 유효한 이름을 입력합니다. 입력한 이름은 Azure Functions 고유하도록 유효성을 검사합니다. (예: ARMISXXXXX).

e. 재생 시간 선택: Python 3.12를 선택하세요

f. 새 리소스의 위치를 선택합니다. 성능 향상 및 비용 절감을 위해 Microsoft Sentinel 있는 동일한 지역을 선택합니다.
배포가 시작됩니다. 함수 앱이 만들어지고 배포 패키지가 적용된 후 알림이 표시됩니다.
함수 앱 구성에 대한 Azure 포털로 이동합니다.
함수 앱 구성
함수 앱에서 함수 앱 이름을 선택하고 구성을 선택합니다.
애플리케이션 설정 탭에서 + 새 애플리케이션 설정을 선택합니다.
다음 애플리케이션 설정을 각각 개별적으로, 대소문자 구분으로 추가하세요: 작업 공간 이름
Armis 비밀 키 Armis URL (https://< armis-instance.armis.com/api/v1/>) Armis 알림 테이블 이름 Armis 활동 테이블 이름 심각도 (기본값: 낮음) Armis 일정 키볼트 이름 Azure 클라이언트 ID Azure 클라이언트 비밀 Azure Entra ObjectID
Tenant Id logAnalyticsUri (선택사항)

logAnalyticsUri를 사용하여 전용 클라우드에 대한 로그 분석 API 엔드포인트를 재정의합니다. 예를 들어 퍼블릭 클라우드의 경우 값을 비워 둡니다. Azure GovUS 클라우드 환경의 경우 값을 형식https://<CustomerId>.ods.opinsights.azure.us으로 지정합니다.

모든 애플리케이션 설정이 입력되면 저장을 클릭합니다.

Armis 디바이스(Azure Functions 사용)

지원:Armis Corporation

Armis 디바이스 커넥터는 Armis REST API를 통해 Armis 디바이스를 Microsoft Sentinel 수집하는 기능을 제공합니다. 자세한 내용은 API 설명서: https://<YourArmisInstance>.armis.com/api/v1/docs 를 참조하세요. 커넥터는 Armis 플랫폼에서 디바이스 정보를 가져오는 기능을 제공합니다. Armis는 기존 인프라를 사용하여 에이전트를 배포하지 않고도 디바이스를 검색하고 식별합니다. 또한 Armis는 기존 IT & 보안 관리 도구와 통합하여 사용자 환경에서 관리되거나 관리되지 않는 모든 디바이스를 식별하고 분류할 수 있습니다.

Log Analytics 테이블:

표	DCR 지원	레이크 전용 수집
`Armis_Devices_CL`	예	예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Microsoft.Web/sites 권한: 함수 앱을 만들기 위한 Azure Functions 읽기 및 쓰기 권한이 필요합니다. 자세한 내용은 Azure Functions 참조하세요.
REST API 자격 증명/권한: Armis 비밀 키가 필요합니다. 에서 API에 대해 자세히 알아보려면 설명서를 참조하세요. https://<YourArmisInstance>.armis.com/api/v1/doc

설치 지침:

참고: 이 커넥터는 Azure Functions 사용하여 Armis API에 연결하여 로그를 Microsoft Sentinel. 이로 인해 추가 데이터 수집 비용이 발생할 수 있습니다. 자세한 내용은 Azure Functions 가격 책정 페이지를 확인하세요.

참고: 이 데이터 커넥터는 Kusto 함수를 기반으로 하는 파서에 따라 예상대로 작동합니다. 다음 단계에 따라 Kusto 함수 별칭 ArmisDevice를 만듭니다.

1단계 - Armis API에 대한 구성 단계

다음 지침에 따라 Armis API 비밀 키를 만듭니다.

Armis instance 로그인
설정으로 이동 -> API Management
비밀 키가 아직 만들어지지 않은 경우 만들기 단추를 눌러 비밀 키를 만듭니다.
비밀 키에 액세스하려면 표시 단추를 누릅니다.
이제 Armis 디바이스 커넥터 구성 중에 비밀 키를 복사하고 사용할 수 있습니다.

2단계 - Microsoft Entra ID 애플리케이션에 대한 앱 등록 단계

이 통합에는 Azure Portal 앱 등록이 필요합니다. 이 섹션의 단계에 따라 Microsoft Entra ID 새 애플리케이션을 만듭니다.

Azure 포털에 로그인합니다.
Microsoft Entra ID 검색하여 선택합니다.
관리에서 새 등록 앱 등록 > 선택합니다.
애플리케이션의 표시 이름을 입력합니다.
등록을 선택하여 초기 앱 등록을 완료합니다.
등록이 완료되면 Azure Portal 앱 등록의 개요 창이 표시됩니다. 애플리케이션(클라이언트) ID 및 테넌트 ID가 표시됩니다. 클라이언트 ID 및 테넌트 ID는 Armis Device Data Connector 실행을 위한 구성 매개 변수로 필요합니다.

참조 링크:/azure/active-directory/develop/quickstart-register-app

3단계 - Microsoft Entra ID 애플리케이션에 대한 클라이언트 암호 추가

애플리케이션 암호라고도 하는 클라이언트 암호는 Armis Device Data Connector를 실행하는 데 필요한 문자열 값입니다. 이 섹션의 단계에 따라 새 클라이언트 암호를 만듭니다.

Azure Portal 앱 등록 애플리케이션을 선택합니다.
인증서 & 비밀 > 클라이언트 비밀 새 클라이언트 비밀을 >선택합니다.
클라이언트 비밀에 대한 설명을 추가합니다.
비밀에 대한 만료를 선택하거나 사용자 지정 수명을 지정합니다. 한도는 24개월입니다.
추가를 선택합니다.
클라이언트 애플리케이션 코드에서 사용할 비밀 값을 기록합니다. 이 비밀 값은 이 페이지를 떠난 후에 다시는 표시되지 않습니다. 비밀 값은 Armis Device Data Connector를 실행하기 위한 구성 매개 변수로 필요합니다.

참조 링크:/azure/active-directory/develop/quickstart-register-app#add-a-client-secret

4단계 - Microsoft Entra ID 애플리케이션의 개체 ID 가져오기

앱 등록을 만든 후 이 섹션의 단계에 따라 개체 ID를 가져옵니다.

Microsoft Entra ID 이동합니다.
왼쪽 메뉴에서 엔터프라이즈 애플리케이션 을 선택합니다.
목록에서 새로 만든 애플리케이션을 찾습니다(제공한 이름으로 검색할 수 있습니다).
애플리케이션을 클릭합니다.
개요 페이지에서 개체 ID를 복사합니다. ARM 템플릿 역할 할당에 필요한 AzureEntraObjectId 입니다.

5단계 - Microsoft Entra ID 애플리케이션에 기여자 역할 할당

이 섹션의 단계에 따라 역할을 할당합니다.

Azure Portal 리소스 그룹으로 이동하여 리소스 그룹을 선택합니다.
왼쪽 패널에서 액세스 제어(IAM) 로 이동합니다.
추가를 클릭한 다음 역할 할당 추가를 선택합니다.
역할로 기여자를 선택하고 다음을 클릭합니다.
에 대한 액세스 할당에서 를 선택합니다User, group, or service principal.
구성원 추가를 클릭하고 만든 앱 이름을 입력 하고 선택합니다.
이제 검토 + 할당을 클릭한 다음 검토 + 할당을 다시 클릭합니다.

참조 링크:/azure/role-based-access-control/role-assignments-portal

6단계 - Keyvault 만들기

다음 지침에 따라 새 Keyvault를 만듭니다.

Azure Portal 키 자격 증명 모음으로 이동합니다. 만들기를 클릭합니다.
Subsciption, Resource Group을 선택하고 keyvault의 고유한 이름을 제공합니다.

참고: 하나의 작업 영역 내에서 각 API 키에 대해 별도의 키 자격 증명 모음을 만듭니다.

7단계 - Keyvault에서 액세스 정책 만들기

다음 지침에 따라 Keyvault에서 액세스 정책을 만듭니다.

keyvaults로 이동하고, keyvault를 선택하고, 왼쪽 패널의 액세스 정책으로 이동합니다. 만들기를 클릭합니다.
모든 키 & 비밀 권한을 선택합니다. 다음을 클릭합니다.
보안 주체 섹션에서 STEP - 2에서 생성된 애플리케이션 이름으로 검색합니다. 다음을 클릭합니다.

참고: Key Vault 액세스 구성의 권한 모델이 '자격 증명 모음 액세스 정책'으로 설정되어 있는지 확인합니다.

8단계 - 다음 두 배포 옵션 중 하나를 선택하여 커넥터 및 연결된 Azure 함수를 배포합니다.

중요: Armis 디바이스 데이터 커넥터를 배포하기 전에, Armis API 인증 키(Authorization Key)를 미리 준비해 두세요..

옵션 1 - ARM(Azure Resource Manager) 템플릿

Armis 커넥터의 자동화된 배포에 이 메서드를 사용합니다.

아래 Azure 배포 단추를 클릭합니다.

aka.ms aka.ms
기본 구독, 리소스 그룹 및 위치를 선택합니다.
아래 정보를 입력하세요: 함수명, 위치, 워크workspace, 이름, Armis, 비밀 키, Armis URL (https://< armis-instance.armis.com/api/v1/>), Armis, 장치 테이블, 테이블, 이름, Armis, 일정, 키볼트, 이름, Azure 클라이언트 ID, 클라이언트 ID, 클라이언트 Azure, 비밀, Azure Entra, ObjectID, 테넌트 ID
위에 명시된 사용 약관에 동의함을 표시하는 확인란을 표시합니다.
구매를 클릭하여 배포합니다.

옵션 2 - Azure Functions 수동 배포

다음 단계별 지침을 사용하여 Azure Functions(Visual Studio Code 통해 배포)를 사용하여 Armis Device 데이터 커넥터를 수동으로 배포합니다.

함수 앱 배포

참고: Azure 함수 개발을 위해 VS 코드를 준비해야 합니다.

Azure 함수 앱 파일을 다운로드합니다. 로컬 개발 컴퓨터에 보관 파일을 추출합니다.
VS Code를 시작합니다. 주 메뉴에서 파일을 선택하고 폴더 열기를 선택합니다.
추출된 파일에서 최상위 폴더를 선택합니다.
작업 표시줄에서 Azure 아이콘을 선택한 다음, Azure: 함수 영역에서 함수에 배포 앱 단추를 선택합니다. 아직 로그인하지 않은 경우 활동 표시줄에서 Azure 아이콘을 선택한 다음, Azure: 함수 영역에서 로그인을 선택하여 Azure 이미 로그인한 경우 다음 단계로 이동합니다.
프롬프트에서 다음 정보를 제공합니다.

a. 폴더 선택: 작업 영역에서 폴더를 선택하거나 함수 앱이 포함된 폴더로 이동합니다.

b. 구독을 선택합니다. 사용할 구독을 선택합니다.

c. Azure 새 함수 앱 만들기를 선택합니다(고급 옵션을 선택하지 않음).

d. 함수 앱의 전역적으로 고유한 이름을 입력합니다 . URL 경로에 유효한 이름을 입력합니다. 입력한 이름은 Azure Functions 고유하도록 유효성을 검사합니다. (예: ARMISXXXXX).

e. 재생 시간 선택: Python 3.12를 선택하세요

f. 새 리소스의 위치를 선택합니다. 성능 향상 및 비용 절감을 위해 Microsoft Sentinel 있는 동일한 지역을 선택합니다.
배포가 시작됩니다. 함수 앱이 만들어지고 배포 패키지가 적용된 후 알림이 표시됩니다.
함수 앱 구성에 대한 Azure 포털로 이동합니다.
함수 앱 구성
함수 앱에서 함수 앱 이름을 선택하고 구성을 선택합니다.
애플리케이션 설정 탭에서 + 새 애플리케이션 설정을 선택합니다.
다음 애플리케이션 설정을 각각 값(대소문자 구분)으로 개별적으로 추가하세요: 위치 작업 공간 이름 Armis 비밀 키 Armis URL (https://< armis-instance.armis.com/api/v1/>) Armis 장치 테이블 이름 Armis 일정 키볼트 이름 Azure 클라이언트 ID Azure 클라이언트 비밀 Azure Entra ObjectID 테넌트 ID logAnalyticsUri (선택 사항)

logAnalyticsUri를 사용하여 전용 클라우드에 대한 로그 분석 API 엔드포인트를 재정의합니다. 예를 들어 퍼블릭 클라우드의 경우 값을 비워 둡니다. Azure GovUS 클라우드 환경의 경우 값을 형식https://<CustomerId>.ods.opinsights.azure.us으로 지정합니다.

모든 애플리케이션 설정이 입력되면 저장을 클릭합니다.

Atlassian Confluence 감사(코드리스 커넥터 프레임워크를 통해)

지원:Microsoft Corporation

Atlassian Confluence Audit 데이터 커넥터는 REST API를 통해 Confluence Audit Records 이벤트를 Microsoft Sentinel 수집하는 기능을 제공합니다. 자세한 내용은 API 설명서를 참조하세요. 커넥터를 사용하면 이벤트 검색을 통해 잠재적인 보안 위험을 평가하고, 공동 작업을 모니터링하고, 구성 문제를 진단하고 해결할 수 있습니다.

Log Analytics 테이블:

표	DCR 지원	레이크 전용 수집
`ConfluenceAuditLogs`	아니요	아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

Atlassian Confluence API 접근: 계정은 Confluence 관리자의 글로벌 권한이 필요합니다. 스코프가 설정된 API 토큰도 스코프를 요구합니다.read:audit-log:confluence

설치 지침:

Connect Atlassian Confluence to Microsoft Sentinel

Atlassian Confluence 사이트마다 하나의 연결을 추가하세요. Atlassian API 토큰 지침을 따라 API 토큰을 생성하세요.

데이터 커넥터 그리드(포털에서 구성)

Atlassian Jira Audit(Azure Functions 사용)

지원:Microsoft Corporation

Atlassian Jira Audit 데이터 커넥터는 REST API를 통해 Jira Audit Records 이벤트를 Microsoft Sentinel 수집하는 기능을 제공합니다. 자세한 내용은 API 설명서를 참조하세요. 커넥터를 사용하면 이벤트 검색을 통해 잠재적인 보안 위험을 평가하고, 공동 작업을 모니터링하고, 구성 문제를 진단하고 해결할 수 있습니다.

Log Analytics 테이블:

표	DCR 지원	레이크 전용 수집
`Jira_Audit_CL`	예	예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Microsoft.Web/sites 권한: 함수 앱을 만들기 위한 Azure Functions 읽기 및 쓰기 권한이 필요합니다. 자세한 내용은 Azure Functions 참조하세요.
REST API 자격 증명/권한: REST API에는 JiraAccessToken, JiraUsername 이 필요합니다. 자세한 내용은 API를 참조하세요. 모든 요구 사항을 확인하고 자격 증명을 얻기 위한 지침을 따릅니다.

설치 지침:

참고: 이 커넥터는 Azure Functions 사용하여 Jira REST API에 연결하여 로그를 Microsoft Sentinel 끌어올 수 있습니다. 이로 인해 추가 데이터 수집 비용이 발생할 수 있습니다. 자세한 내용은 Azure Functions 가격 책정 페이지를 확인하세요.

참고: 이 데이터 커넥터는 Kusto 함수를 기반으로 하는 파서에 따라 예상대로 작동합니다. 다음 단계에 따라 Kusto 함수 별칭 JiraAudit를 만듭니다.

1단계 - Jira API에 대한 구성 단계

지침에 따라 자격 증명을 가져옵니다.

2단계 - 커넥터 및 연결된 Azure 함수를 배포하려면 다음 두 가지 배포 옵션 중 하나를 선택합니다.

중요: 작업 영역 데이터 커넥터를 배포하기 전에 작업 영역 ID 및 작업 영역 기본 키를 갖습니다(다음에서 복사할 수 있음).

작업 영역 ID: <설치 시 제공되는 변수 값>
기본 키: <설치 시 제공되는 변수 값>

옵션 1 - ARM(Azure Resource Manager) 템플릿

ARM Tempate를 사용하여 Jira Audit 데이터 커넥터의 자동화된 배포에 이 메서드를 사용합니다.

아래 Azure 배포 단추를 클릭합니다.

aka.ms aka.ms
기본 구독, 리소스 그룹 및 위치를 선택합니다.

참고: 동일한 리소스 그룹 내에서는 Windows 및 Linux 앱을 동일한 지역에 혼합할 수 없습니다. Windows 앱이 없는 기존 리소스 그룹을 선택하거나 새 리소스 그룹을 만듭니다. 3. JiraAccessToken, JiraUsername, JiraHomeSiteName (짧은 사이트 이름 부분, 예: 의 HOMESITENAME https://community.atlassian.com)을 입력하고 배포합니다. 4. 위에 명시된 사용 약관에 동의함을 표시하는 확인란을 표시합니다. 5. 구매 를 클릭하여 배포합니다.

옵션 2 - Azure Functions 수동 배포

다음 단계별 지침을 사용하여 Jira Audit 데이터 커넥터를 Azure Functions 수동으로 배포합니다(Visual Studio Code 통해 배포).

함수 앱 배포

참고: Azure 함수 개발을 위해 VS 코드를 준비해야 합니다.

Azure 함수 앱 파일을 다운로드합니다. 로컬 개발 컴퓨터에 보관 파일을 추출합니다.
VS Code를 시작합니다. 주 메뉴에서 파일을 선택하고 폴더 열기를 선택합니다.
추출된 파일에서 최상위 폴더를 선택합니다.
작업 표시줄에서 Azure 아이콘을 선택한 다음, Azure: 함수 영역에서 함수에 배포 앱 단추를 선택합니다. 아직 로그인하지 않은 경우 활동 표시줄에서 Azure 아이콘을 선택한 다음, Azure: 함수 영역에서 로그인을 선택하여 Azure 이미 로그인한 경우 다음 단계로 이동합니다.
프롬프트에서 다음 정보를 제공합니다.

a. 폴더 선택: 작업 영역에서 폴더를 선택하거나 함수 앱이 포함된 폴더로 이동합니다.

b. 구독을 선택합니다. 사용할 구독을 선택합니다.

c. Azure 새 함수 앱 만들기를 선택합니다(고급 옵션을 선택하지 않음).

d. 함수 앱의 전역적으로 고유한 이름을 입력합니다 . URL 경로에 유효한 이름을 입력합니다. 입력한 이름은 Azure Functions 고유하도록 유효성을 검사합니다. (예: JiraAuditXXXXX).

e. 런타임 선택: Python 3.11을 선택합니다.

f. 새 리소스의 위치를 선택합니다. 성능 향상 및 비용 절감을 위해 Microsoft Sentinel 있는 동일한 지역을 선택합니다.
배포가 시작됩니다. 함수 앱이 만들어지고 배포 패키지가 적용된 후 알림이 표시됩니다.
함수 앱 구성에 대한 Azure 포털로 이동합니다.
함수 앱 구성
함수 앱에서 함수 앱 이름을 선택하고 구성을 선택합니다.
애플리케이션 설정 탭에서 새 애플리케이션 설정을 선택합니다.
각 문자열 값(대/소문자 구분)을 사용하여 다음 애플리케이션 설정을 개별적으로 추가합니다. JiraUsername JiraAccessToken JiraHomeSiteName WorkspaceID WorkspaceID WorkspaceKey logAnalyticsUri(선택 사항)

logAnalyticsUri를 사용하여 전용 클라우드에 대한 로그 분석 API 엔드포인트를 재정의합니다. 예를 들어 퍼블릭 클라우드의 경우 값을 비워 둡니다. Azure GovUS 클라우드 환경의 경우 값을 형식https://<CustomerId>.ods.opinsights.azure.us으로 지정합니다.

모든 애플리케이션 설정이 입력되면 저장을 클릭합니다.

Atlassian Jira 감사(코드리스 커넥터 프레임워크를 통해)

지원:Microsoft Corporation

Log Analytics 테이블:

표	DCR 지원	레이크 전용 수집
`Jira_Audit_v2_CL`	예	예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Atlassian Jira API 액세스: Jira 감사 로그 API에 액세스하려면 Jira 관리 권한이 필요합니다. 감사 API 에 대한 자세한 내용은 Jira API 설명서를 참조하세요.

설치 지침:

Microsoft Sentinel Atlassian Jira 커넥터를 사용하도록 설정하려면 를 클릭하여 organization 추가하고 양식을 Jira 환경 자격 증명으로 채운 다음 연결을 클릭합니다. 다음 단계에 따라 API 토큰을 만듭니다.

데이터 커넥터 그리드(포털에서 구성)

Atlassian 조직 감사 이벤트 (코드리스 커넥터 프레임워크 통해)

지원:Microsoft

Atlassian Organization Audit Events 데이터 커넥터는 Polling API를 통해 Atlassian Cloud에서 조직 감사 이벤트를 Microsoft Sentinel로 인징할 수 있는 기능을 제공합니다. 이 커넥터는 Jira(소프트웨어/서비스 데스크/코어), Confluence, Bitbucket, Trello, Opsgenie, Statuspage, Loom 등 모든 Atlassian Cloud 제품에 대한 포괄적인 보안 모니터링 및 준수 감사를 가능하게 합니다. 커넥터는 사용자 관리, 인증 활동, 그룹 변경, 제품 접근 수정, 관리 작업 및 정책 변경 등 감사 이벤트를 수집합니다. Atlassian Cloud에서 180일간의 데이터 보존을 지원하며, 이 커넥터는 사용자 접근 권한 부여/취소, 인증 실패 및 성공, MFA 구성 변경, API 토큰 관리, 그룹 멤버십 변경, 제품 라이선스 할당, 조직 정책 업데이트, 도메인 검증 활동 등을 가시화합니다. 이 커넥터는 읽기 전용 OAuth 범위(read:events:admin)를 가진 API 키 인증을 사용하며, 커서 기반 페이지네이션을 통한 연속 폴링에 최적화되어 있습니다. 이 커넥터는 Microsoft Sentinel Codeless Connector Framework 위에 구축되었으며, 최적화된 쿼리 성능을 위해 DCR 기반 인제스팅 시간 변환을 지원합니다. 자세한 내용은 Atlassian Organization Events API 문서를 참조하십시오.

Log Analytics 테이블:

표	DCR 지원	레이크 전용 수집
`AtlassianAuditEvents`	아니요	아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

Atlassian 조직 이벤트 API 접근: 조직 감사 이벤트를 읽기 위해서는 읽기 전용 read:events:admin OAuth 범위를 가진 API 키가 필요합니다. 자세한 내용은 Atlassian Organization Events API 문서를 참조하세요.

설치 지침:

필수 구성 요소

이 커넥터를 설치하기 전에 다음 사항을 반드시 확인하세요:

Atlassian 조직의 관리자 권한 은 OAuth 범위로 API read:events:admin 키를 생성할 수 있습니다.
당신의 Atlassian 조직 ID (UUID).
Microsoft Sentinel 작업 공간에서 데이터 커넥터를 구성할 수 있는 쓰기 권한이 있습니다.

1. Atlassian에서 API 키 생성

필요한 권한이 포함된 API 키를 생성하려면 다음 단계를 따르세요:

API 키 만들기

아틀라시안 행정으로 이동하기
조직을 선택하세요(여러 조직이 있다면)
설정으로 이동한 후 API 키를 선택하세요
API 키 만들기를 클릭합니다.
API 키 설정하기:
- Name: Microsoft Sentinel Integration (또는 설명명)
- 만료: 만료일 설정(창설 후 최대 1년)
- 스코프: 셀렉 read:events:admin 트(감사 이벤트에 대한 읽기 전용 접근)
만들기를 클릭합니다.
중요: API 키를 즉시 복사하세요 - 다시 나타나지 않습니다

2. 조직 ID 확보

Atlassian API에 연결하려면 귀하의 조직 ID가 필요합니다:

조직 ID 찾기 귀하의 조직 ID는 UUID(예: 00000000-0000-0000-0000-000000000000):

옵션 1: Atlassian Administration URL에서

Atlassian 관리 콘솔에서 URL을 확인해 보세요
형식: https://admin.atlassian.com/o/{orgId}/overview
UUID를 와 사이에 /o/ 복사합니다 /overview

옵션 2: API 키 생성 시

API 키를 생성할 때 조직 ID가 표시됩니다
API 키와 함께 복사하세요

예:00000000-0000-0000-0000-000000000000

3. Microsoft Sentinel에 접속하기

Atlassian 조직(테넌트)마다 연결 하나를 추가하세요. 각 연결은 고유한 연결 별칭으로 식별되며, 서로 다른 조직이나 API 기반 URL을 대상으로 할 수 있어 여러 Atlassian 조직의 이벤트를 나란히 수집할 수 있습니다.

데이터 커넥터 그리드(포털에서 구성)

Auth0 로그(코드리스 커넥터 프레임워크를 통해)

지원:Microsoft Corporation

Auth0 데이터 커넥터는 Auth0 관리 API에서 테넌트 로그 이벤트를 Microsoft Sentinel로 인제스트합니다. 코드리스 커넥터 프레임워크를 기반으로 구축되었으며, 여러 Auth0 호스트를 연결하고 각 레코드에 Auth0 도메인을 태그하는 것을 지원합니다.

Log Analytics 테이블:

표	DCR 지원	레이크 전용 수집
`Auth0Logs_CL`	예	예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Auth0 API 자격 증명: Auth0 관리 API 자격 증명이 필요합니다: 도메인, 클라이언트 ID, 그리고 머신 간 애플리케이션 read:logsread:logs_users에서 허가된 클라이언트 비밀.

설치 지침:

Auth0 관리 API 애플리케이션 구성

자격증을 받으려면 다음 단계를 따라주세요:

Auth0 대시보드에서 Applications Applications>로 가세요.
read :logs와 read:logs_users 권한을 최소한 갖춘 Auth0 Management API에 의해 승인된 머신 간 애플리케이션을 선택(또는 생성)하세요.
애플리케이션 설정에서 도메인(반드시 Client ID, Client Secret으로 https://시작해야 함)을 복사합니다.

여러 Auth0 호스트에서 로그를 수집하려면 각 호스트별로 별도의 연결을 추가하세요. 모든 레코드는 Auth0Domain 으로 태그되어 호스트를 구분할 수 있습니다.

데이터 커넥터 그리드(포털에서 구성)

자동화된 논리 WebCTRL

지원:Microsoft Corporation

Microsoft Sentinel 연결된 Windows 머신에서 호스트되는 WebCTRL SQL 서버에서 감사 로그를 스트리밍할 수 있습니다. 이 연결을 사용하면 대시보드를 보고, 사용자 지정 경고를 만들고, 조사를 개선할 수 있습니다. 이렇게 하면 WebCTRL BAS 애플리케이션에서 모니터링하거나 제어하는 산업 제어 시스템에 대한 인사이트를 얻을 수 있습니다.

Log Analytics 테이블:

표	DCR 지원	레이크 전용 수집
`Event`	예	아니요

데이터 수집 규칙 지원:작업 영역 변환 DCR

설치 지침:

1. Windows용 Microsoft 에이전트를 설치하고 온보딩합니다.

에이전트 설정 및 Windows 이벤트 온보딩에 대해 알아봅니다.

Windows용 Microsoft 에이전트를 이미 설치한 경우 이 단계를 건너뛸 수 있습니다.

2. 감사 데이터를 읽고 Windows 이벤트에 쓰도록 Windows 작업 구성

SQL에서 감사 로그를 읽고 Windows 이벤트로 작성하도록 Windows 예약 작업을 설치 및 구성합니다. 이러한 Windows 이벤트는 에이전트에 의해 수집되고 Microsoft Sentinel 전달됩니다.

모든 컴퓨터의 데이터는 선택한 작업 영역에 저장됩니다.

2.1 설치 파일을 서버의 위치에 복사합니다.

2.2 대상 데이터베이스 이름 및 windows 이벤트 ID와 같은 ALC-WebCTRL-AuditPull.ps1 (위 단계에서 복사) 스크립트 매개 변수를 업데이트합니다. 자세한 내용은 스크립트의 주석을 참조하세요.

2.3 요구 사항에 따라 위의 단계에서 복사한 ALC-WebCTRL-AuditPullTaskConfig.xml 파일의 windows 작업 설정을 업데이트합니다. 자세한 내용은 파일의 주석을 참조하세요.

2.4 위의 단계에서 복사한 업데이트된 구성을 사용하여 Windows 작업 설치

설치 파일이 2.1단계에서 복사되는 디렉터리에서 powershell에서 다음 명령을 실행합니다. 설치 시 제공되는 변수 값 <>

3. 연결 유효성 검사

지침에 따라 연결의 유효성을 검사합니다.

Log Analytics를 열어 이벤트 스키마를 사용하여 로그를 받는지 검사.

연결이 데이터를 작업 영역으로 스트리밍할 때까지 약 20분이 걸릴 수 있습니다.

로그가 수신되지 않은 경우 런타임 문제에 대해 아래 단계의 유효성을 검사합니다.

예약된 작업이 만들어지고 Windows 작업 스케줄러에서 실행 중 상태인지 확인합니다.
2.4단계에서 새로 만든 작업에 대한 Windows 작업 스케줄러의 기록 탭에서 작업 실행 오류 확인
예약된 창 작업이 실행되는 동안 SQL 감사 테이블이 새 레코드로 구성되어 있는지 확인합니다.

AWS EKS 데이터 커넥터(코드리스 커넥터 프레임워크를 통해)

지원:Microsoft Corporation

AWS EKS 데이터 커넥터는 Amazon Elastic Kubernetes Service의 감사 로그를 Microsoft Sentinel 수집하는 기능을 제공합니다. 이 커넥터는 API 서버 요청, 인증 결정 및 클러스터 활동에 대한 자세한 정보를 포함하는 EKS 감사 로그(JSON 형식)에 중점을 둡니다. 커넥터는 AWS SQS를 사용하여 새 감사 로그 파일을 S3으로 내보낼 때 알림을 수신하여 Kubernetes 클러스터에 대한 실시간 보안 모니터링 및 규정 준수 추적을 보장합니다.

Log Analytics 테이블:

표	DCR 지원	레이크 전용 수집
`AWSEKSLogs_CL`	예	예

데이터 수집 규칙 지원:작업 영역 변환 DCR

설치 지침:

1. AWS CloudFormation 배포

제공된 CloudFormation 템플릿을 사용하여 AWS EKS에서 Log Analytics 작업 영역으로 로그를 보내기 위한 AWS 환경을 구성합니다.

AWS에서 CloudFormation 템플릿 배포:

AWS CloudFormation Stacks로 이동합니다.
스택 만들기를 클릭하고 새 리소스로를 선택합니다.
템플릿 파일 업로드를 선택한 다음 파일 선택을 클릭하여 제공된 적절한 CloudFormation 템플릿(템플릿 1 및 2 아래)을 업로드합니다.
프롬프트에 따라 다음 을 클릭하여 스택 만들기를 완료합니다.
스택을 만든 후 출력 섹션으로 이동합니다. 출력 섹션에서 1단계와 2단계에서 스크립트를 실행합니다. 이 스크립트는 로그를 eks에서 sqs로 스트리밍합니다.
동일한 출력 섹션에서 연결 커넥터에 사용할 역할 ARN 및 SQS 큐 URL 을 적어둡니다.

템플릿 1: OpenID Connect 인증 공급자 배포: <설치 시 제공되는 변수 값>
템플릿 2: AWS EKS 리소스 배포: <설치 시 제공되는 변수 값>

2. 새 수집기 연결

Microsoft Sentinel AWS Security Hub Connector를 사용하도록 설정하려면 새 수집기 추가 단추를 클릭하고 컨텍스트 창에서 필요한 정보를 입력하고 연결을 클릭합니다.

SentinelRoleArn: (계정 간 액세스를 위한 AWS IAM 역할 ARN(예: arn:aws:iam::123456789012:role/SentinelRole))
SentinelSQSQueueURL: (전체 AWS EKS 큐 URL(예: https://sqs.region.amazonaws.com/account-id/queue-name))

3. 연결

AWS EKS 커넥터를 사용하도록 설정합니다.

연결 사용/사용 안 함

AWS S3 서버 액세스 로그(코드리스 커넥터 프레임워크를 통해)

지원:Microsoft Corporation

이 커넥터를 사용하면 AWS S3 서버 액세스 로그를 Microsoft Sentinel 수집할 수 있습니다. 이러한 로그에는 요청 유형, 액세스한 리소스, 요청자 정보 및 응답 세부 정보를 포함하여 S3 버킷에 대한 요청에 대한 자세한 레코드가 포함됩니다. 이러한 로그는 액세스 패턴을 분석하고, 문제를 디버깅하고, 보안 규정 준수를 보장하는 데 유용합니다.

Log Analytics 테이블:

표	DCR 지원	레이크 전용 수집
`AWSS3ServerAccess`	예	예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

환경: S3 버킷, SQS(Simple Queue Service), IAM 역할 및 권한 정책과 같은 AWS 리소스를 정의하고 구성해야 합니다.

설치 지침:

AWS CloudFormation 배포 AWS에 대한 액세스를 구성하기 위해 AWS S3 서버 액세스 로그에서 Log Analytics 작업 영역으로 로그를 보내도록 AWS 환경을 설정하기 위해 두 개의 템플릿이 생성되었습니다.

AWS에서 CloudFormation 템플릿 배포:

AWS CloudFormation Stacks로 이동합니다.
스택 만들기를 클릭하고 새 리소스로를 선택합니다.
템플릿 파일 업로드를 선택한 다음 파일 선택을 클릭하여 제공된 적절한 CloudFormation 템플릿을 업로드합니다.
프롬프트에 따라 다음 을 클릭하여 스택 만들기를 완료합니다.
스택을 만든 후 역할 ARN 및 SQS 큐 URL을 적어둡니다.

템플릿 1: OpenID Connect 인증 공급자 배포: <설치 시 제공되는 변수 값>
템플릿 2: AWS Server Access 리소스 배포: <설치 시 제공되는 변수 값>

새 수집기 연결 MICROSOFT SENTINEL AWS S3 서버 액세스 로그 커넥터를 사용하도록 설정하려면 새 수집기 추가 단추를 클릭하고 컨텍스트 창에서 필요한 정보를 입력하고 연결을 클릭합니다.

데이터 커넥터 그리드(포털에서 구성)

AWS 보안 허브 결과(코드리스 커넥터 프레임워크를 통해)

지원:Microsoft Corporation

이 커넥터를 사용하면 AWS S3 버킷에서 수집된 AWS Security Hub 결과 결과를 Microsoft Sentinel 수집할 수 있습니다. AWS Security Hub 결과와 Microsoft Sentinel 고급 위협 탐지 및 대응 기능을 통합하여 보안 경고를 모니터링하고 관리하는 프로세스를 간소화할 수 있습니다.

Log Analytics 테이블:

표	DCR 지원	레이크 전용 수집
`AWSSecurityHubFindings`	예	예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

환경: AWS Security Hub, Amazon Data Firehose, Amazon EventBridge, S3 Bucket, SQS(Simple Queue Service), IAM 역할 및 권한 정책 등 AWS 리소스를 정의하고 구성해야 합니다.

설치 지침:

AWS CloudFormation 배포 제공된 CloudFormation 템플릿을 사용하여 AWS 보안 허브에서 Log Analytics 작업 영역으로 로그를 보내기 위한 AWS 환경을 구성합니다.

AWS에서 CloudFormation 템플릿 배포:

AWS CloudFormation Stacks로 이동합니다.
스택 만들기를 클릭하고 새 리소스로를 선택합니다.
템플릿 파일 업로드를 선택한 다음 파일 선택을 클릭하여 제공된 적절한 CloudFormation 템플릿을 업로드합니다.
프롬프트에 따라 다음 을 클릭하여 스택 만들기를 완료합니다.
스택을 만든 후 역할 ARN 및 SQS 큐 URL을 적어둡니다.

템플릿 1: OpenID Connect 인증 공급자 배포: <설치 시 제공되는 변수 값>
템플릿 2: AWS Security Hub 리소스 배포: <설치 시 제공되는 변수 값>

새 수집기 연결 Microsoft Sentinel AWS Security Hub Connector를 사용하도록 설정하려면 새 수집기 추가 단추를 클릭하고 컨텍스트 창에서 필요한 정보를 입력하고 연결을 클릭합니다.

데이터 커넥터 그리드(포털에서 구성)

Azure 활동

지원:Microsoft Corporation

Azure 활동 로그는 Azure Resource Manager 운영 데이터의 이벤트, 서비스 상태 이벤트, 구독의 리소스에 수행된 쓰기 작업 및 Azure 수행된 활동 상태 포함하여 Azure 발생하는 구독 수준 이벤트에 대한 인사이트를 제공하는 구독 로그입니다. 자세한 내용은 Microsoft Sentinel 설명서를 참조하세요.

Log Analytics 테이블:

표	DCR 지원	레이크 전용 수집
`AzureActivity`	아니요	아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

Azure Batch 계정

지원:Microsoft Corporation

Azure Batch 계정은 Batch 서비스 내에서 고유하게 식별된 엔터티입니다. 대부분의 Batch 솔루션은 리소스 파일 및 출력 파일을 저장하기 위해 Azure Storage를 사용하므로 각 Batch 계정은 일반적으로 해당 스토리지 계정과 연결됩니다. 이 커넥터를 사용하면 Azure Batch 계정 진단 로그를 Microsoft Sentinel 스트리밍하여 활동을 지속적으로 모니터링할 수 있습니다. 자세한 내용은 Microsoft Sentinel 설명서를 참조하세요.

Log Analytics 테이블:

표	DCR 지원	레이크 전용 수집
`AzureDiagnostics`	아니요	아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

정책: 각 정책 할당 scope 대해 할당된 소유자 역할

설치 지침:

Azure Batch 계정 진단 로그를 Sentinel 연결합니다.

이 커넥터는 Azure Policy 사용하여 scope 정의된 인스턴스 컬렉션에 단일 Azure Batch 계정 로그 스트리밍 구성을 적용합니다. 아래 지침에 따라 모든 현재 및 미래의 인스턴스에 정책을 만들고 적용합니다. 이 리소스 종류에 대한 활성 정책이 이미 있을 수 있습니다.

Azure Batch 계정의 로그를 대규모로 Stream 진단

**Azure Policy 할당 마법사를 시작하고 단계를 수행합니다. **

기본 탭에서 범위 아래에 세 개의 점이 있는 단추를 클릭하여 구독을 선택합니다.
매개 변수 탭의 Log Analytics 작업 영역 드롭다운 목록에서 Microsoft Sentinel 작업 영역을 선택하고 수집하려는 모든 로그 범주를 "True"로 표시합니다.
기존 리소스에 정책을 적용하려면 수정 탭에 수정 작업 만들기 검사 상자를 표시합니다.

Azure CloudNGFW by Palo Alto Networks

지원:Palo Alto Networks

Azure 네이티브 ISV 서비스인 Palo Alto Networks의 클라우드 차세대 방화벽은 Azure 클라우드 네이티브 서비스로 제공되는 Palo Alto Networks NGFW(차세대 방화벽)입니다. Azure Marketplace에서 클라우드 NGFW를 검색하고 Azure VNet(Virtual Network)에서 사용할 수 있습니다. 클라우드 NGFW를 사용하면 App-ID, URL 필터링 기반 기술과 같은 핵심 NGFW 기능에 액세스할 수 있습니다. 클라우드 제공 보안 서비스 및 위협 방지 서명을 통해 위협 방지 및 탐지를 제공합니다. 커넥터를 사용하면 클라우드 NGFW 로그를 Microsoft Sentinel 쉽게 연결하고, 대시보드를 보고, 사용자 지정 경고를 만들고, 조사를 개선할 수 있습니다. 이렇게 하면 organization 네트워크에 대한 더 많은 인사이트를 제공하고 보안 작업 기능을 개선합니다. 자세한 내용은 클라우드 NGFW for Azure 설명서를 참조하세요.

Log Analytics 테이블:

표	DCR 지원	레이크 전용 수집
`fluentbit_CL`	예	예

데이터 수집 규칙 지원:작업 영역 변환 DCR

설치 지침:

Palo Alto Networks의 클라우드 NGFW를 연결하여 Microsoft Sentinel

Palo Alto Networks의 모든 클라우드 NGFW에서 로그 설정을 사용하도록 설정합니다.

클라우드 NGFW 리소스 내부:

홈페이지에서 로그 설정 으로 이동합니다.
로그 설정 사용 확인란이 선택되어 있는지 확인합니다.
로그 설정 드롭다운에서 원하는 Log Analytics 작업 영역을 선택합니다.
선택 사항 및 구성을 확인합니다.
저장을 클릭하여 설정을 적용합니다.

Azure Cognitive Search

지원:Microsoft Corporation

Azure Cognitive Search 웹, 모바일 및 엔터프라이즈 애플리케이션에서 프라이빗, 이기종 콘텐츠를 통해 풍부한 검색 환경을 구축하기 위한 인프라, API 및 도구를 개발자에게 제공하는 클라우드 검색 서비스입니다. 이 커넥터를 사용하면 Azure Cognitive Search 진단 로그를 Microsoft Sentinel 스트리밍하여 활동을 지속적으로 모니터링할 수 있습니다.

Log Analytics 테이블:

표	DCR 지원	레이크 전용 수집
`AzureDiagnostics`	아니요	아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

정책: 각 정책 할당 scope 대해 할당된 소유자 역할

설치 지침:

Azure Cognitive Search 진단 로그를 Sentinel 연결합니다.

이 커넥터는 Azure Policy 사용하여 scope 정의된 인스턴스 컬렉션에 단일 Azure Cognitive Search 로그 스트리밍 구성을 적용합니다. 아래 지침에 따라 모든 현재 및 미래의 인스턴스에 정책을 만들고 적용합니다. 이 리소스 종류에 대한 활성 정책이 이미 있을 수 있습니다.

대규모 Azure Cognitive Search 로그 Stream 진단

**Azure Policy 할당 마법사를 시작하고 단계를 수행합니다. **

기본 탭에서 범위 아래에 세 개의 점이 있는 단추를 클릭하여 구독을 선택합니다.
매개 변수 탭의 Log Analytics 작업 영역 드롭다운 목록에서 Microsoft Sentinel 작업 영역을 선택하고 수집하려는 모든 로그 범주를 "True"로 표시합니다.
기존 리소스에 정책을 적용하려면 수정 탭에 수정 작업 만들기 검사 상자를 표시합니다.

DDoS Protection Azure

지원:Microsoft Corporation

공용 IP 주소 진단 로그를 통해 Azure DDoS Protection Standard 로그에 연결합니다. 플랫폼의 핵심 DDoS 보호 외에도 Azure DDoS Protection Standard 네트워크 공격에 대한 고급 DDoS 완화 기능을 제공합니다. 특정 Azure 리소스를 보호하기 위해 자동으로 조정됩니다. 보호는 새 가상 네트워크를 만드는 동안 간단하게 사용하도록 설정할 수 있습니다. 또한 만든 후에 수행할 수 있으며 애플리케이션 또는 리소스를 변경할 필요가 없습니다. 자세한 내용은 Microsoft Sentinel 설명서를 참조하세요.

Log Analytics 테이블:

표	DCR 지원	레이크 전용 수집
`AzureDiagnostics`	아니요	아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

Azure DevOps 감사 로그(코드리스 커넥터 프레임워크를 통해)

지원:Microsoft Corporation

Azure DevOps 감사 로그 데이터 커넥터를 사용하면 Azure DevOps에서 Microsoft Sentinel 감사 이벤트를 수집할 수 있습니다. 이 데이터 커넥터는 Microsoft Sentinel 코드리스 커넥터 프레임워크를 사용하여 빌드되어 원활한 통합을 보장합니다. Azure DevOps 감사 로그 API를 활용하여 자세한 감사 이벤트를 가져오고 DCR 기반 수집 시간 변환을 지원합니다. 이러한 변환을 통해 수집 중에 수신된 감사 데이터를 사용자 지정 테이블로 구문 분석할 수 있으므로 추가 구문 분석이 필요하지 않도록 하여 쿼리 성능을 향상시킬 수 있습니다. 이 커넥터를 사용하면 Azure DevOps 환경에 대한 가시성을 높이고 보안 작업을 간소화할 수 있습니다.

Log Analytics 테이블:

표	DCR 지원	레이크 전용 수집
`ADOAuditLogs_CL`	예	예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Azure DevOps 필수 구성 요소: 다음을 확인하세요.
1. 앱 등록 아래의 Microsoft Entra 관리 센터에 Entra 앱을 등록합니다.
2. 'API 권한'에서 -'Azure DevOps - vso.auditlog'에 권한을 추가합니다.
3. '인증서 & 비밀'에서 '클라이언트 비밀'을 생성합니다.
4. '인증'에서 - 해당 필드에 아래에 있는 리디렉션 URI를 추가합니다.
5. Azure DevOps 설정에서 감사 로그를 사용하도록 설정하고 사용자에 대한 감사 로그 보기를 설정합니다. DevOps 감사를 Azure.
6. 데이터 커넥터를 연결하기 위해 할당된 사용자에게 감사 로그 보기 권한이 항상 허용으로 명시적으로 설정되어 있는지 확인합니다. 이 권한은 성공적인 로그 수집에 필수적입니다. 사용 권한이 취소되거나 부여되지 않으면 데이터 수집이 실패하거나 중단됩니다.

설치 지침:

**Azure DevOps에 연결하여 Microsoft Sentinel 감사 로그 수집을 시작합니다. **

등록한 앱을 입력합니다.
'개요' 섹션에서 애플리케이션(클라이언트) ID를 복사합니다.
'엔드포인트' 단추를 선택하고 'OAuth 2.0 권한 부여 엔드포인트(v2)' 값과 'OAuth 2.0 토큰 엔드포인트(v2)' 값을 복사합니다.
'인증서 & 비밀' 섹션에서 '클라이언트 암호 값'을 복사하고 안전하게 저장합니다.
아래 필수 정보를 입력하고 '연결'을 클릭합니다.

토큰 엔드포인트: ([concat(variables('_loginUrl'), '/{TenantId}/oauth2/v2.0/token')])
권한 부여 엔드포인트: ([concat(variables('_loginUrl'), '/{TenantId}/oauth2/v2.0/authorize')])
API 엔드포인트: (https://auditservice.dev.azure.com/{organizationName}/_apis/audit/auditlog?api-version=7.2-preview)

Azure Event Hub

지원:Microsoft Corporation

Azure Event Hubs 빅 데이터 스트리밍 플랫폼 및 이벤트 수집 서비스입니다. 초당 수백만 건의 이벤트를 수신하고 처리할 수 있습니다. 이 커넥터를 사용하면 Azure Event Hub 진단 로그를 Microsoft Sentinel 스트리밍하여 활동을 지속적으로 모니터링할 수 있습니다.

Log Analytics 테이블:

표	DCR 지원	레이크 전용 수집
`AzureDiagnostics`	아니요	아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

정책: 각 정책 할당 scope 대해 할당된 소유자 역할

설치 지침:

Azure Event Hub 진단 로그를 Sentinel 연결합니다.

이 커넥터는 Azure Policy 사용하여 scope 정의된 인스턴스 컬렉션에 단일 Azure Event Hub 로그 스트리밍 구성을 적용합니다. 아래 지침에 따라 모든 현재 및 미래의 인스턴스에 정책을 만들고 적용합니다. 이 리소스 종류에 대한 활성 정책이 이미 있을 수 있습니다.

대규모로 Azure Event Hub에서 로그 Stream 진단

**Azure Policy 할당 마법사를 시작하고 단계를 수행합니다. **

기본 탭에서 범위 아래에 세 개의 점이 있는 단추를 클릭하여 구독을 선택합니다.
매개 변수 탭의 Log Analytics 작업 영역 드롭다운 목록에서 Microsoft Sentinel 작업 영역을 선택하고 수집하려는 모든 로그 범주를 "True"로 표시합니다.
기존 리소스에 정책을 적용하려면 수정 탭에 수정 작업 만들기 검사 상자를 표시합니다.

Azure Firewall

지원:Microsoft Corporation

Azure Firewall 연결합니다. Azure Firewall Azure Virtual Network 리소스를 보호하는 관리형 클라우드 기반 네트워크 보안 서비스입니다. 기본 제공 고가용성 및 무제한 클라우드 확장성을 갖춘 완전 상태 저장 방화벽 서비스입니다. 자세한 내용은 Microsoft Sentinel 설명서를 참조하세요.

Log Analytics 테이블:

표	DCR 지원	레이크 전용 수집
`AzureDiagnostics`	아니요	아니요
`AZFWApplicationRule`	예	예
`AZFWFlowTrace`	예	예
`AZFWFatFlow`	예	예
`AZFWNatRule`	예	예
`AZFWDnsQuery`	예	예
`AZFWIdpsSignature`	예	예
`AZFWInternalFqdnResolutionFailure`	예	예
`AZFWNetworkRule`	예	예
`AZFWThreatIntel`	예	예

데이터 수집 규칙 지원:작업 영역 변환 DCR

Azure Key Vault

지원:Microsoft Corporation

Azure Key Vault 비밀을 안전하게 저장하고 액세스하기 위한 클라우드 서비스입니다. 비밀은 API 키, 암호, 인증서 또는 암호화 키와 같이 액세스를 엄격하게 제어하려는 모든 항목입니다. 이 커넥터를 사용하면 Azure Key Vault 진단 로그를 Microsoft Sentinel 스트리밍하여 모든 인스턴스에서 작업을 지속적으로 모니터링할 수 있습니다. 자세한 내용은 Microsoft Sentinel 설명서를 참조하세요.

Log Analytics 테이블:

표	DCR 지원	레이크 전용 수집
`AzureDiagnostics`	아니요	아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

AKS(Azure Kubernetes Service)

지원:Microsoft Corporation

AKS(Azure Kubernetes Service)는 클러스터 환경에서 Docker 컨테이너 및 컨테이너 기반 애플리케이션을 배포, 확장 및 관리할 수 있는 완전 관리형 오픈 소스 컨테이너 오케스트레이션 서비스입니다. 이 커넥터를 사용하면 AKS(Azure Kubernetes Service) 진단 로그를 Microsoft Sentinel 스트리밍하여 모든 인스턴스에서 작업을 지속적으로 모니터링할 수 있습니다. 자세한 내용은 Microsoft Sentinel 설명서를 참조하세요.

Log Analytics 테이블:

표	DCR 지원	레이크 전용 수집
`AzureDiagnostics`	아니요	아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

Azure Logic Apps

지원:Microsoft Corporation

Azure Logic Apps는 앱, 데이터, 서비스 및 시스템을 통합하는 자동화된 워크플로를 만들고 실행하기 위한 클라우드 기반 플랫폼입니다. 이 커넥터를 사용하면 Azure Logic Apps 진단 로그를 Microsoft Sentinel 스트리밍하여 활동을 지속적으로 모니터링할 수 있습니다.

Log Analytics 테이블:

표	DCR 지원	레이크 전용 수집
`AzureDiagnostics`	아니요	아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

정책: 각 정책 할당 scope 대해 할당된 소유자 역할

설치 지침:

Logic Apps 진단 로그를 Sentinel 연결합니다.

이 커넥터는 Azure Policy 사용하여 단일 Azure Logic Apps 로그 스트리밍 구성을 scope 정의된 인스턴스 컬렉션에 적용합니다. 아래 지침에 따라 모든 현재 및 미래의 인스턴스에 정책을 만들고 적용합니다. 이 리소스 종류에 대한 활성 정책이 이미 있을 수 있습니다.

Azure Logic Apps의 로그를 대규모로 Stream 진단

**Azure Policy 할당 마법사를 시작하고 단계를 수행합니다. **

기본 탭에서 범위 아래에 세 개의 점이 있는 단추를 클릭하여 구독을 선택합니다.
매개 변수 탭의 Log Analytics 작업 영역 드롭다운 목록에서 Microsoft Sentinel 작업 영역을 선택하고 수집하려는 모든 로그 범주를 "True"로 표시합니다.
기존 리소스에 정책을 적용하려면 수정 탭에 수정 작업 만들기 검사 상자를 표시합니다.

Azure Resource Graph

지원:Microsoft Corporation

Azure Resource Graph 커넥터는 Azure 구독 및 Azure 리소스에 대한 세부 정보를 보완하여 Azure 이벤트에 대한 풍부한 인사이트를 제공합니다.

Log Analytics 테이블:

표	DCR 지원	레이크 전용 수집

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

정책: Azure 구독에 대한 소유자 역할 권한

설치 지침:

Microsoft Sentinel Azure Resource Graph 연결

Azure Service Bus

지원:Microsoft Corporation

Azure Service Bus 메시지 큐 및 게시-구독 topics 있는 완전 관리형 엔터프라이즈 메시지 브로커입니다(네임스페이스). 이 커넥터를 사용하면 Azure Service Bus 진단 로그를 Microsoft Sentinel 스트리밍하여 활동을 지속적으로 모니터링할 수 있습니다.

Log Analytics 테이블:

표	DCR 지원	레이크 전용 수집
`AzureDiagnostics`	아니요	아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

정책: 각 정책 할당 scope 대해 할당된 소유자 역할

설치 지침:

Azure Service Bus 진단 로그를 Sentinel 연결합니다.

이 커넥터는 Azure Policy 사용하여 scope 정의된 인스턴스 컬렉션에 단일 Azure Service Bus 로그 스트리밍 구성을 적용합니다. 아래 지침에 따라 모든 현재 및 미래의 인스턴스에 정책을 만들고 적용합니다. 이 리소스 종류에 대한 활성 정책이 이미 있을 수 있습니다.

Azure Service Bus 로그를 대규모로 Stream 진단

**Azure Policy 할당 마법사를 시작하고 단계를 수행합니다. **

기본 탭에서 범위 아래에 세 개의 점이 있는 단추를 클릭하여 구독을 선택합니다.
매개 변수 탭의 Log Analytics 작업 영역 드롭다운 목록에서 Microsoft Sentinel 작업 영역을 선택하고 수집하려는 모든 로그 범주를 "True"로 표시합니다.
기존 리소스에 정책을 적용하려면 수정 탭에 수정 작업 만들기 검사 상자를 표시합니다.

Azure SQL 데이터베이스

지원:Microsoft Corporation

Azure SQL 사용자가 개입할 필요 없이 업그레이드, 패치, 백업 및 모니터링과 같은 대부분의 데이터베이스 관리 기능을 처리하는 완전히 관리되는 PaaS(Platform as a Service) 데이터베이스 엔진입니다. 이 커넥터를 사용하면 Azure SQL 데이터베이스 감사 및 진단 로그를 Microsoft Sentinel 스트리밍하여 모든 인스턴스에서 작업을 지속적으로 모니터링할 수 있습니다.

Log Analytics 테이블:

표	DCR 지원	레이크 전용 수집
`AzureDiagnostics`	아니요	아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

스토리지 계정 Azure

지원:Microsoft Corporation

Azure Storage 계정은 최신 데이터 스토리지 시나리오를 위한 클라우드 솔루션입니다. 여기에는 Blob, 파일, 큐, 테이블 및 디스크와 같은 모든 데이터 개체가 포함됩니다. 이 커넥터를 사용하면 Azure Storage 계정 진단 로그를 Microsoft Sentinel 작업 영역으로 스트리밍하여 모든 인스턴스에서 활동을 지속적으로 모니터링하고 organization 악의적인 활동을 검색할 수 있습니다. 자세한 내용은 Microsoft Sentinel 설명서를 참조하세요.

Log Analytics 테이블:

표	DCR 지원	레이크 전용 수집
`AzureMetrics`	아니요	아니요
`StorageBlobLogs`	예	예
`StorageQueueLogs`	예	예
`StorageTableLogs`	예	예
`StorageFileLogs`	예	예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

정책: 각 정책 할당 scope 대해 할당된 소유자 역할

설치 지침:

Azure Storage 계정 진단 로그를 Sentinel 연결합니다.

이 커넥터는 Azure 정책 집합을 사용하여 scope 정의된 인스턴스 컬렉션에 로그 스트리밍 구성을 적용합니다. 아래 지침에 따라 모든 현재 및 미래의 인스턴스에 정책을 만들고 적용합니다. Azure Storage 계정에서 스토리지 계정 진단 로깅을 최대한 활용하려면 Azure Storage 계정 내의 모든 서비스(Blob, 큐, 테이블 및 파일)에서 진단 로깅을 사용하도록 설정하는 것이 좋습니다. 이 리소스 종류에 대한 활성 정책이 이미 있을 수 있습니다.

Azure Storage 계정의 로그를 대규모로 Stream 진단

**Azure Policy 할당 마법사를 시작하고 단계를 수행합니다. **

기본 탭에서 범위 아래에 세 개의 점이 있는 단추를 클릭하여 구독을 선택합니다.
매개 변수 탭의 Log Analytics 작업 영역 드롭다운 목록에서 Microsoft Sentinel 작업 영역을 선택하고 수집하려는 모든 로그 범주를 "True"로 표시합니다.
기존 리소스에 정책을 적용하려면 수정 탭에 수정 작업 만들기 검사 상자를 표시합니다.

Azure Storage Blob 서비스의 로그를 대규모로 Stream 진단

**Azure Policy 할당 마법사를 시작하고 단계를 수행합니다. **

기본 탭에서 범위 아래에 세 개의 점이 있는 단추를 클릭하여 구독을 선택합니다.
매개 변수 탭의 Log Analytics 작업 영역 드롭다운 목록에서 Microsoft Sentinel 작업 영역을 선택하고 수집하려는 모든 로그 범주를 "True"로 표시합니다.
기존 리소스에 정책을 적용하려면 수정 탭에 수정 작업 만들기 검사 상자를 표시합니다.

Azure Storage 큐 서비스의 로그를 대규모로 Stream 진단

**Azure Policy 할당 마법사를 시작하고 단계를 수행합니다. **

기본 탭에서 범위 아래에 세 개의 점이 있는 단추를 클릭하여 구독을 선택합니다.
매개 변수 탭의 Log Analytics 작업 영역 드롭다운 목록에서 Microsoft Sentinel 작업 영역을 선택하고 수집하려는 모든 로그 범주를 "True"로 표시합니다.
기존 리소스에 정책을 적용하려면 수정 탭에 수정 작업 만들기 검사 상자를 표시합니다.

Azure Storage Table Service의 로그를 대규모로 Stream 진단

**Azure Policy 할당 마법사를 시작하고 단계를 수행합니다. **

기본 탭에서 범위 아래에 세 개의 점이 있는 단추를 클릭하여 구독을 선택합니다.
매개 변수 탭의 Log Analytics 작업 영역 드롭다운 목록에서 Microsoft Sentinel 작업 영역을 선택하고 수집하려는 모든 로그 범주를 "True"로 표시합니다.
기존 리소스에 정책을 적용하려면 수정 탭에 수정 작업 만들기 검사 상자를 표시합니다.

Azure Storage 파일 서비스의 로그를 대규모로 Stream 진단

**Azure Policy 할당 마법사를 시작하고 단계를 수행합니다. **

기본 탭에서 범위 아래에 세 개의 점이 있는 단추를 클릭하여 구독을 선택합니다.
매개 변수 탭의 Log Analytics 작업 영역 드롭다운 목록에서 Microsoft Sentinel 작업 영역을 선택하고 수집하려는 모든 로그 범주를 "True"로 표시합니다.
기존 리소스에 정책을 적용하려면 수정 탭에 수정 작업 만들기 검사 상자를 표시합니다.

Azure Stream 분석

지원:Microsoft Corporation

Azure Stream Analytics는 실시간 분석 및 복잡한 이벤트 처리 엔진으로, 여러 소스에서 대량의 고속 스트리밍 데이터를 동시에 분석하고 처리하도록 설계되었습니다. 이 커넥터를 사용하면 Azure Stream Analytics 허브 진단 로그를 Microsoft Sentinel 스트리밍하여 활동을 지속적으로 모니터링할 수 있습니다.

Log Analytics 테이블:

표	DCR 지원	레이크 전용 수집
`AzureDiagnostics`	아니요	아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

정책: 각 정책 할당 scope 대해 할당된 소유자 역할

설치 지침:

Azure Stream Analytics 진단 로그를 Sentinel 연결합니다.

이 커넥터는 Azure Policy 사용하여 단일 Azure Stream Analytics 로그 스트리밍 구성을 scope 정의된 인스턴스 컬렉션에 적용합니다. 아래 지침에 따라 모든 현재 및 미래의 인스턴스에 정책을 만들고 적용합니다. 이 리소스 종류에 대한 활성 정책이 이미 있을 수 있습니다.

Azure Stream Analytics의 로그를 대규모로 Stream 진단

**Azure Policy 할당 마법사를 시작하고 단계를 수행합니다. **

기본 탭에서 범위 아래에 세 개의 점이 있는 단추를 클릭하여 구독을 선택합니다.
매개 변수 탭의 Log Analytics 작업 영역 드롭다운 목록에서 Microsoft Sentinel 작업 영역을 선택하고 수집하려는 모든 로그 범주를 "True"로 표시합니다.
기존 리소스에 정책을 적용하려면 수정 탭에 수정 작업 만들기 검사 상자를 표시합니다.

AZURE WEB APPLICATION FIREWALL(WAF)

지원:Microsoft Corporation

Application Gateway, Front Door 또는 CDN용 WAF(Azure Web Application Firewall)에 연결합니다. 이 WAF는 SQL 삽입 및 사이트 간 스크립팅과 같은 일반적인 웹 취약성으로부터 애플리케이션을 보호하고 규칙을 사용자 지정하여 가양성을 줄일 수 있습니다. Microsoft 웹 애플리케이션 방화벽 로그를 Microsoft Sentinel 스트리밍하는 지침은 설치 프로세스 중에 표시됩니다. 자세한 내용은 Microsoft Sentinel 설명서를 참조하세요.

Log Analytics 테이블:

표	DCR 지원	레이크 전용 수집
`AzureDiagnostics`	아니요	아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

비욘드트러스트 PM 클라우드

지원:BeyondTrust

BeyondTrust Privilege Management 클라우드 데이터 커넥터는 BeyondTrust PM Cloud에서 Microsoft Sentinel 활동 감사 로그 및 클라이언트 이벤트 로그를 수집하는 기능을 제공합니다.

이 커넥터는 Azure Functions 사용하여 BeyondTrust PM Cloud API에서 데이터를 가져와서 사용자 지정 Log Analytics 테이블에 수집합니다.

Log Analytics 테이블:

표	DCR 지원	레이크 전용 수집
`BeyondTrustPM_ActivityAudits_CL`	예	예
`BeyondTrustPM_ClientEvents_CL`	예	예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Microsoft.Web/sites 권한: 함수 앱을 만들기 위한 Azure Functions 읽기 및 쓰기 권한이 필요합니다. 자세한 내용은 Azure Functions 참조하세요.
BeyondTrust PM Cloud API 자격 증명: BeyondTrust PM Cloud OAuth 클라이언트 ID 및 클라이언트 암호가 필요합니다. API 계정에는 감사 - 읽기 전용 및 보고 - 읽기 전용 권한이 필요합니다.

설치 지침:

참고: 이 커넥터는 Azure Functions 사용하여 BeyondTrust PM Cloud API에 연결하여 로그를 Microsoft Sentinel 끌어올 수 있습니다. 이로 인해 추가 데이터 수집 비용이 발생할 수 있습니다. 자세한 내용은 Azure Functions 가격 책정 페이지를 확인하세요.

참고: 이 커넥터는 OAuth 2.0 클라이언트 자격 증명 흐름을 사용하여 BeyondTrust PM Cloud API로 인증합니다.

1단계 - BeyondTrust PM Cloud API 자격 증명 가져오기

OAuth API 자격 증명(클라이언트 ID 및 클라이언트 암호)을 사용하여 BeyondTrust PM 클라우드 instance API 계정을 만듭니다. API 계정에는 다음 권한이 필요합니다.

감사 - 읽기 전용
보고 - 읽기 전용

2단계 - 커넥터 및 연결된 Azure 함수 배포

ARM 템플릿을 사용하여 BeyondTrust PM 클라우드 데이터 커넥터의 자동화된 배포에 이 방법을 사용합니다.

아래 Azure 배포 단추를 클릭합니다.

portal.azure.com
기본 구독, 리소스 그룹(Log Analytics 작업 영역을 포함해야 합니다) 및 위치를 선택합니다.
필요한 매개 변수를 입력합니다.
- 작업 영역 이름: Log Analytics 작업 영역의 이름(예: beyondtrust-pmcloud)
- BeyondTrust PM Cloud Base URL: 테넌트 URL(예: https://yourcompany.beyondtrustcloud.com)
- BeyondTrust 클라이언트 ID: 1단계의 OAuth 클라이언트 ID
- BeyondTrust 클라이언트 암호: 1단계의 OAuth 클라이언트 암호
- 활동 감사 폴링 간격: 활동 감사를 수집하는 빈도(기본값: 15분)
- 클라이언트 이벤트 폴링 간격: 클라이언트 이벤트를 수집하는 빈도(기본값: 5분)
- 로그 수준: 문제 해결을 위한 로깅 수준(기본값: 정보)
- 기록 데이터 기간: 처음 실행 시 데이터를 수집하는 데 걸리는 시간(기본값: 1일)
고급 설정(호스팅 계획 SKU, 스토리지 계정 유형)을 검토하고 필요한 경우 조정합니다.
위에 명시된 사용 약관에 동의함을 표시하는 확인란을 표시합니다.
구매를 클릭하여 배포합니다.
배포는 함수 앱, 스토리지 계정, 데이터 수집 엔드포인트, 데이터 수집 규칙 및 사용자 지정 Log Analytics 테이블과 같은 모든 필수 리소스를 만듭니다.
배포 후 15~30분 이내에 데이터가 흐르기 시작해야 합니다.

BigID DSPM 커넥터

지원:BigID

BigID DSPM 데이터 커넥터는 영향을 받는 개체 및 데이터 원본 정보를 사용하여 BigID DSPM 사례를 Microsoft Sentinel 수집하는 기능을 제공합니다.

Log Analytics 테이블:

표	DCR 지원	레이크 전용 수집
`BigIDDSPMCatalog_CL`	아니요	아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

BigID DSPM API 액세스: BigID 토큰을 통해 BigID DSPM API에 액세스해야 합니다.

설치 지침:

BigID DSPM API에 연결하여 Microsoft Sentinel BigID DSPM 사례 및 영향을 받는 개체 수집을 시작합니다.

'customer.bigid.cloud' 및 BigID 토큰과 같은 BigID 도메인 이름을 제공합니다. 설정 - 액세스 관리 - 사용자 ->> 사용자를> 선택하고 토큰을 생성하여 BigID 콘솔에서 토큰을 생성합니다.

BigID FQDN: (BigID FQDN)
BigID 토큰: (BigID 토큰)
연결 사용/사용 안 함

비트글래스(Azure Functions 사용)

지원:Microsoft Corporation

Bitglass 데이터 커넥터는 REST API를 통해 Bitglass 서비스의 보안 이벤트 로그 및 더 많은 이벤트를 Microsoft Sentinel 검색하는 기능을 제공합니다. 커넥터를 사용하면 이벤트 검색을 통해 잠재적인 보안 위험을 평가하고, 공동 작업을 모니터링하고, 구성 문제를 진단하고 해결할 수 있습니다.

Log Analytics 테이블:

표	DCR 지원	레이크 전용 수집
`BitglassLogs_CL`	아니요	아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

Microsoft.Web/sites 권한: 함수 앱을 만들기 위한 Azure Functions 읽기 및 쓰기 권한이 필요합니다. 자세한 내용은 Azure Functions 참조하세요.
REST API 자격 증명/권한: API 호출을 수행하려면 BitglassToken 및 BitglassServiceURL 이 필요합니다.

설치 지침:

참고: 이 커넥터는 Azure Functions 사용하여 Azure Blob Storage API에 연결하여 로그를 Microsoft Sentinel 끌어올 수 있습니다. 이로 인해 데이터 수집 및 데이터를 Azure Blob Storage 비용에 저장하는 추가 비용이 발생할 수 있습니다. 자세한 내용은 Azure Functions 가격 책정 페이지 및 Azure Blob Storage 가격 책정 페이지를 확인하세요.

참고: 이 데이터 커넥터는 Kusto 함수를 기반으로 하는 파서가 Microsoft Sentinel Solution과 함께 배포된 예상 비트글래스로 작동하도록 합니다.

1단계 - Bitglass 로그 검색 API에 대한 구성 단계

지침에 따라 자격 증명을 가져옵니다.

Bitglass 지원에 문의하고 BitglassToken 및 BitglassServiceURL ntation]을 구하세요.
데이터 커넥터에서 사용하기 위한 자격 증명을 저장합니다.

2단계 - 커넥터 및 연결된 Azure 함수를 배포하려면 다음 두 가지 배포 옵션 중 하나를 선택합니다.

중요: Bitglass 데이터 커넥터를 배포하기 전에 작업 영역 ID 및 작업 영역 기본 키를 갖습니다(다음에서 복사할 수 있음).

작업 영역 ID: <설치 시 제공되는 변수 값>
기본 키: <설치 시 제공되는 변수 값>

옵션 1 - ARM(Azure Resource Manager) 템플릿

ARM 템플릿을 사용하여 Bitglass 데이터 커넥터의 자동화된 배포에 이 방법을 사용합니다.

아래 Azure 배포 단추를 클릭합니다.

aka.ms
기본 구독, 리소스 그룹 및 위치를 선택합니다.

참고: 동일한 리소스 그룹 내에서는 Windows 및 Linux 앱을 동일한 지역에 혼합할 수 없습니다. Windows 앱이 없는 기존 리소스 그룹을 선택하거나 새 리소스 그룹을 만듭니다. 3. BitglassToken, BitglassServiceURL을 입력하고 배포합니다. 4. 위에 명시된 사용 약관에 동의함을 표시하는 확인란을 표시합니다. 5. 구매 를 클릭하여 배포합니다.

옵션 2 - Azure Functions 수동 배포

다음 단계별 지침을 사용하여 Azure Functions(Visual Studio Code 통해 배포)를 사용하여 Bitglass 데이터 커넥터를 수동으로 배포합니다.

함수 앱 배포

참고: Azure 함수 개발을 위해 VS 코드를 준비해야 합니다.

Azure 함수 앱 파일을 다운로드합니다. 로컬 개발 컴퓨터에 보관 파일을 추출합니다.
VS Code를 시작합니다. 주 메뉴에서 파일을 선택하고 폴더 열기를 선택합니다.
추출된 파일에서 최상위 폴더를 선택합니다.
작업 표시줄에서 Azure 아이콘을 선택한 다음, Azure: 함수 영역에서 함수에 배포 앱 단추를 선택합니다. 아직 로그인하지 않은 경우 활동 표시줄에서 Azure 아이콘을 선택한 다음, Azure: 함수 영역에서 로그인을 선택하여 Azure 이미 로그인한 경우 다음 단계로 이동합니다.
프롬프트에서 다음 정보를 제공합니다.

a. 폴더 선택: 작업 영역에서 폴더를 선택하거나 함수 앱이 포함된 폴더로 이동합니다.

b. 구독을 선택합니다. 사용할 구독을 선택합니다.

c. Azure 새 함수 앱 만들기를 선택합니다(고급 옵션을 선택하지 않음).

d. 함수 앱의 전역적으로 고유한 이름을 입력합니다 . URL 경로에 유효한 이름을 입력합니다. 입력한 이름은 Azure Functions 고유하도록 유효성을 검사합니다. (예: BitglassXXXXX).

e. 런타임 선택: Python 3.11을 선택합니다.

f. 새 리소스의 위치를 선택합니다. 성능 향상 및 비용 절감을 위해 Microsoft Sentinel 있는 동일한 지역을 선택합니다.
배포가 시작됩니다. 함수 앱이 만들어지고 배포 패키지가 적용된 후 알림이 표시됩니다.
함수 앱 구성에 대한 Azure 포털로 이동합니다.
함수 앱 구성
함수 앱에서 함수 앱 이름을 선택하고 구성을 선택합니다.
애플리케이션 설정 탭에서 새 애플리케이션 설정을 선택합니다.
각 문자열 값(대/소문자 구분)을 사용하여 다음 애플리케이션 설정을 개별적으로 추가합니다. BitglassToken BitglassServiceURL WorkspaceID WorkspaceKey logAnalyticsUri(선택 사항)

logAnalyticsUri를 사용하여 전용 클라우드에 대한 로그 분석 API 엔드포인트를 재정의합니다. 예를 들어 퍼블릭 클라우드의 경우 값을 비워 둡니다. Azure GovUS 클라우드 환경의 경우 값을 형식https://<CustomerId>.ods.opinsights.azure.us으로 지정합니다.

모든 애플리케이션 설정이 입력되면 저장을 클릭합니다.

Bitwarden 이벤트 로그

지원:Bitwarden Inc.

이 커넥터는 사용자의 활동(로그인, 암호 변경, 2fa 등), 암호 활동(생성, 업데이트, 삭제, 공유 등), 수집 활동, organization 활동 등 Bitwarden organization 활동에 대한 인사이트를 제공합니다.

Log Analytics 테이블:

표	DCR 지원	레이크 전용 수집
`BitwardenEventLogs`	아니요	아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

Bitwarden 클라이언트 ID 및 클라이언트 암호: API 키는 Bitwarden organization 관리 콘솔에서 찾을 수 있습니다. 자세한 내용은 Bitwarden 설명서를 참조하세요.

설치 지침:

Bitwarden 이벤트 로그를 Microsoft Sentinel 연결

API 키는 Bitwarden organization 관리 콘솔에서 찾을 수 있습니다. 자세한 내용은 Bitwarden 설명서를 참조하세요. 자체 호스팅 Bitwarden 서버는 설치의 URL을 다시 구성해야 할 수 있습니다.

Bitwarden ID URL: (https://identity.bitwarden.com)
Bitwarden API URL: (https://api.bitwarden.com)

blacklens.io

지원:blacklens.io 지원

blacklens.io 데이터 커넥터를 사용하면 웹후크 기반 논리 앱 및 Azure Monitor 로그 수집 API를 사용하여 blacklens.io 공격 Surface Management 경고를 Microsoft Sentinel 수집할 수 있습니다.

Log Analytics 테이블:

표	DCR 지원	레이크 전용 수집
`blacklens_CL`	예	예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Azure 구독: 리소스 그룹에 대한 기여자 또는 소유자 권한은 데이터 수집 인프라(데이터 수집 엔드포인트, 데이터 수집 규칙, 사용자 지정 테이블 및 논리 앱)를 배포하는 데 필요합니다.
blacklens.io 계정: 웹후크 통합 기능이 있는 blacklens.io 계정이 필요합니다.

설치 지침:

1단계 - 데이터 수집 인프라 배포

이 단계에서는 데이터 수집 엔드포인트, 데이터 수집 규칙, 사용자 지정 Log Analytics 테이블(blacklens_CL) 및 웹후크 트리거 논리 앱과 같은 필요한 Azure 리소스를 배포합니다.

아래 Azure 배포 단추를 클릭합니다.

portal.azure.com
Microsoft Sentinel 작업 영역이 있는 구독, 리소스 그룹 및 위치를 선택합니다.
Log Analytics 작업 영역의 작업 영역 이름을 입력합니다.
검토 + 만들기를 클릭한 다음 만들기를 클릭합니다.

2단계 - 웹후크 URL 복사

배포가 성공하면 배포 페이지에서 출력 탭을 클릭합니다.
webhookUrl 값을 복사합니다.

또는 Logic Apps >la-blacklens-alert-log-ingestion> 개요로 이동하여 워크플로 URL을 복사합니다.

3단계 - blacklens.io 구성

blacklens.io 포털에 로그인합니다.
웹후크 통합 설정으로 이동합니다.
2단계에서 복사한 웹후크 URL을 붙여넣습니다.
구성을 저장합니다.
웹후크 통합을 하나 이상의 알림 정책에 연결하여 경고가 웹후크로 전송되도록 합니다.

몇 분 후에 테스트 인시던트가 Microsoft Sentinel 표시됩니다.

BloodHound Enterprise Data Connector (using Azure Functions)

지원:SpecterOps

SpecterOps의 BloodHound Enterprise는 신원 공격 경로 관리 플랫폼으로, 공격자가 신원 관계를 통해 어떻게 이동해 중요한 자산에 도달할 수 있는지 지도화하여, 팀이 단순히 탐지하는 것이 아니라 우선순위를 정하고 복구할 수 있도록 합니다. Active Directory, Azure 등 다양한 영역에서 신원 확산에 대한 명확성을 제공하며, 환경에서 가장 중요한 부분을 보호하는 특권 구역(Privilege Zone) 스타일의 보호도 제공합니다.

이 Microsoft Sentinel 커넥터는 BloodHound Enterprise 공격 경로 맥락을 로그와 알림과 함께 작업 공간에 추가하여 조사를 풍부하게 하고, 고가치 발견에 집중하며, 노출, 감사 활동, Tier Zero 자산을 한 곳에서 관리할 수 있습니다.

이 커넥터가 하는 역할

설정한 자격 증명을 사용해 BloodHound Enterprise REST API에 연결하며(API 사용 참고), Azure 함수가 배포될 때 설정한 일정에 따라 실행됩니다. 데이터는 Azure Functions 통해 수집되고 전용 DCR(데이터 수집 규칙) 및 DCE(데이터 수집 엔드포인트)를 사용하여 사용자 지정 Log Analytics 테이블에 저장됩니다.

Log Analytics 테이블:

표	DCR 지원	레이크 전용 수집
`BHEAttackPathsData_CL`	아니요	아니요
`BHEAttackPathsTimelineData_CL`	아니요	아니요
`BHEAuditLogsData_CL`	아니요	아니요
`BHEFindingTrendsData_CL`	아니요	아니요
`BHEPostureHistoryData_CL`	아니요	아니요
`BHETierZeroAssetsData_CL`	아니요	아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

Microsoft.Web/sites 권한: 함수 앱을 만들기 위한 Azure Functions 읽기 및 쓰기 권한이 필요합니다. 자세한 내용은 Azure Functions 참조하세요.
BloodHound Enterprise API 접근: BloodHound Enterprise REST API에 인증하려면 토큰 ID, 토큰 키, 그리고 테넌트 기본 URL 이 필요합니다(요청은 SpecterOps API 모델에 따라 서명됩니다. 자세한 내용은 API 사용법 참조).

설치 지침:

1단계. BloodHound Enterprise API 자격 증명 생성

BloodHound Enterprise 테넌트에서 REST API로 요청 서명하는 데 사용하는 API 자격 증명(토큰 ID와 토큰 키)을 생성하세요. API 를 활용 해 API 자격 증명을 생성하고 값을 안전하게 저장하는 과정을 따르세요.

2단계. Microsoft Entra 애플리케이션 만들기

Microsoft Entra ID(Azure AD) 애플리케이션을 생성하여 Log Analytics에 인제스팅(예: DCE/DCR 관련 접근)을 사용하세요. 다음에 따라 'Microsoft Entra 애플리케이션을 생성하세요. Microsoft Entra 애플리케이션과 자격 증명을 생성한 후, 애플리케이션(클라이언트) ID, 클라이언트 비밀 값, 그리고 관리자가 요구하는 기타 ID를 저장하세요. 클라이언트 비밀을 안전하게 보관하세요.

3단계. Deploy Function App

참고: 이 커넥터는 Azure Functions를 사용하여 BloodHound Enterprise에서 Microsoft Sentinel로 데이터를 가져옵니다. 이로 인해 추가 데이터 수집 비용이 발생할 수 있습니다. 자세한 내용은 Azure Functions 가격 책정 페이지를 확인하세요.

중요: BloodHound Enterprise 커넥터를 배포하기 전에 작업 공간 이름(아래 참조), BloodHound Enterprise 테넌트 URL, 토큰 ID 및 토큰 키, Microsoft Entra 애플리케이션(클라이언트) ID 및 클라이언트 비밀, 그리고 원하는 환경 및 유형 필터(또는 템플릿 기본값인 All을 사용)를 준비해 두세요.

작업 영역 이름: <설치 시 제공되는 변수 값>

데이터 커넥터와 관련된 모든 자원을 배치하세요

아래 Azure 배포 단추를 클릭합니다.

aka.ms
기본 구독, 리소스 그룹 및 위치를 선택합니다.
함수 앱 이름, Log Analytics 작업 공간 이름(Microsoft Sentinel workspace), BloodHound Enterprise 테넌트 도메인(URL), BloodHound 토큰 ID 및 토큰 키(보안 매개변수), Microsoft Entra 애플리케이션(클라이언트) ID, Microsoft Entra 애플리케이션 클라이언트 비밀을 입력하세요.
선택 사항: 템플릿에 설명된 대로 Lookup days(과거 조회), Selected BloodHound 환경(쉼표 구분 또는 모두), Selected Finding Type(또는 All)을 설정하세요.
검토 + 생성 버튼을 클릭한 후 생성하여 배포하세요.

박스 이벤트 (코드리스 커넥터 프레임워크를 통해)

지원:Microsoft Corporation

Box 데이터 커넥터는 Box REST API를 사용하여 Box 엔터프라이즈의 이벤트를 Microsoft Sentinel 수집하는 기능을 제공합니다. 자세한 내용은 Box 설명서를 참조하세요.

Log Analytics 테이블:

표	DCR 지원	레이크 전용 수집
`BoxEventsV2_CL`	예	예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Box API 자격 증명: Box API를 사용하려면 Box App 클라이언트 ID 및 클라이언트 암호가 필요합니다. 자세한 내용은 클라이언트 자격 증명 부여를 참조하세요.
Box Enterprise ID: 연결하려면 Box Enterprise ID가 필요합니다. 엔터프라이즈 ID를 찾으려면 설명서를 참조하세요.

설치 지침:

참고: 이 커넥터는 CCF(Codeless Connecor Platform)를 사용하여 Box REST API에 연결하여 로그를 Microsoft Sentinel 끌어옵니다.

참고: 이 커넥터는 Kusto 함수를 기반으로 하는 파서에 따라 Microsoft Sentinel 솔루션과 함께 배포되는 예상 BoxEvents로 작동합니다.

1단계 - Box 사용자 지정 애플리케이션 만들기

클라이언트 자격 증명 인증을 설정하는 설명서를 참조하세요.

2단계 - 클라이언트 ID 및 클라이언트 암호 값 가져오기

비밀을 가져오려면 2FA를 설정해야 할 수 있습니다.

3단계 - Box 관리 콘솔에서 Box Enterprise ID 가져오기

엔터프라이즈 ID를 찾으려면 설명서를 참조하세요.

Box에 연결하여 Microsoft Sentinel 이벤트 로그 수집 시작

아래 필수 값을 제공합니다.

박스 엔터프라이즈 ID: (123456)

BV-ClaudeCompliance (코드리스 커넥터 프레임워크를 통해)

지원:BlueVoyant

BV-ClaudeCompliance (코드리스 커넥터 프레임워크를 통해)

이 커넥터는 RestApiPoller를 사용하여 ClaudeCompliance API 데이터를 Microsoft Sentinel에 인징합니다.

데이터 수집

기본 API URL: https://api.anthropic.com/
인증: APIKey
종말 횟수: 1

Tables

ComplianceActivities: >BV_ClaudeCompliance_ComplianceActivities_CL

샘플 쿼리

BV_ClaudeCompliance_ComplianceActivities_CL
| take 10

Log Analytics 테이블:

표	DCR 지원	레이크 전용 수집
`BV_ClaudeCompliance_ComplianceActivities_CL`	예	예

데이터 수집 규칙 지원:작업 영역 변환 DCR

설치 지침:

코드를 BV-ClaudeCompliance 연결하기(코드리스 커넥터 프레임워크를 통해) Microsoft Sentinel

Claude 컴플라이언스 API 키를 얻으려면 여기 안내를 따르세요: Compliance API 접근.

생성된 API 키에는 적절한 데이터 인제스팅 범위를 포함 read:compliance_activities 해야 합니다.

아래 키를 붙여넣고 연결( Connect)을 선택하세요.

API 키: (API 키 입력)
연결 사용/사용 안 함

케이토 네트웍스 이벤트 (푸시)

지원:케이토 네트웍스

Cato Networks 커넥터는 Codeless Connector Framework (CCF) Push 패턴을 사용하여 Cato Management Application에서 Microsoft Sentinel로 보안 및 네트워킹 텔레메트리를 거의 실시간으로 전달합니다. 데이터는 맞춤형 Log Analytics 테이블에 저장되어, 검색, 분석, 시각화가 가능합니다. 각 레코드에 포함된 필드는 카토 이벤트 스키마 를 참조하세요.

Log Analytics 테이블:

표	DCR 지원	레이크 전용 수집
`CatoNetworksEvents_CL`	예	예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Microsoft Entra: Microsoft Entra ID 앱 등록을 만들 수 있는 권한입니다. 일반적으로 Entra ID 애플리케이션 개발자 역할 이상이 필요합니다.
Microsoft Azure: DCR(데이터 수집 규칙)에 대한 모니터링 메트릭 게시자 역할을 할당할 수 있는 권한입니다. 일반적으로 AZURE RBAC 소유자 또는 사용자 액세스 관리자 역할이 필요합니다.
Cato 관리 애플리케이션: Microsoft Sentinel 데이터 출력 커넥터를 생성할 권한이 있는 Cato 관리 애플리케이션의 관리자 계정입니다.

설치 지침:

1. ARM 리소스 만들기 및 필요한 권한 제공

이 커넥터는 Cato Cloud가 Azure Monitor Logs Ingestion API를 통해 이벤트를 직접 Microsoft Sentinel로 푸시할 수 있게 해줍니다.

Entra 애플리케이션을 이용한 자동 구성 및 보안 데이터 수집 "배포"를 클릭하면 Log Analytics 테이블과 데이터 수집 규칙(DCR)이 생성됩니다. 그런 다음, Entra 애플리케이션을 만들고, DCR을 연결하고, 애플리케이션에 입력한 비밀을 설정합니다. 이 설정을 사용하면 Entra 토큰을 사용하여 데이터를 DCR로 안전하게 보낼 수 있습니다.

작업 공간당 커넥터 하나

데이터 수집 규칙과 테이블은 CatoNetworksEvents_CL 이 작업 공간에서 이름이 붙여지므로, 커넥터를 같은 Log Analytics 작업 공간에 다시 배포하면 두 번째 세트를 생성하는 대신 재사용할 수 있습니다. 작업 공간에는 하나의 케이토 커넥터가 있습니다.

두 개 이상의 카토 계정에서 온 이벤트는 동일한 커넥터로 전송될 수 있습니다; 이들은 테이블을 공유하며 와 account_name로 구분 account_id 됩니다. 피드를 별도의 테이블에 두고 각각의 보존 또는 접근 제어를 설정하려면, 각각의 Log Analytics 작업 공간을 따로 사용하세요.

2. Cato Management Application에서 커넥터를 구성

Cato 관리 애플리케이션에서 리소스 > 통합, > 구성된 통합으로 이동하여 새로 찾은 항목을 클릭한 후 Microsoft Sentinel을 선택한 후 아래 값을 입력하세요. 전체 설정 지침은 'Microsoft Sentinel과 카토 이벤트 통합(Integrating Integrating Icato Events)'을 참조하세요.

테넌트 ID(디렉터리 ID): <설치 시 제공되는 변수 값>
Entra 앱 등록 애플리케이션 ID: <설치 시 제공되는 변수 값>
Entra 앱 등록 비밀: <설치 시 제공되는 변수 값>
데이터 수집 엔드포인트 Uri: <설치 시 제공되는 변수 값>
데이터 수집 규칙 변경할 수 없는 ID: <설치 시 제공되는 변수 값>
이벤트 스트림 이름: <설치 시 제공된 변수 값>

3. 스키마를 최신 상태로 유지하기

케이토는 주기적으로 이벤트 스키마에 필드를 추가합니다. 이 솔루션을 업그레이드해도 커넥터의 기존 커스텀 테이블과 데이터 수집 규칙은 변경되지 않으므로, 새로운 필드는 전용 스키마 업데이트 템플릿을 통해 별도로 적용해야 합니다.

현재 스키마를 적용하세요

스키마 업데이트 배포

구독과 이 작업 공간이 있는 리소스 그룹을 선택한 후 작업 공간 이름을 입력하세요. 그게 당신이 제공하는 유일한 가치입니다.

인제스팅 URL, Entra 애플리케이션, 클라이언트 비밀은 변경되지 않으며, Cato Management Application에 다시 입력할 필요가 없습니다. 섭취는 계속됩니다.

새로운 밭이 도착하기 시작할 때까지 최대 30분을 두세요. 그 창 동안에도 이벤트는 여전히 허용되고 새 필드는 단순히 비어 있으니, 실패를 가정하지 말고 쿼리로 확인하세요.

Cayosoft 가디언 위협 경고

지원:Cayosoft 지원

Cayosoft Guardian 데이터 커넥터는 Cayosoft Guardian에서 위협 경고를 자동으로 Microsoft Sentinel로 가져옵니다. Cayosoft Guardian은 Windows 이벤트 로그에 이벤트 ID 2로 위협 경고를 작성합니다. Azure Monitor 에이전트(AMA)는 데이터 수집 규칙(DCR)을 사용하여 이러한 이벤트를 수집하고, 파싱된 데이터를 . 라는 이름CayosoftThreatAlerts_CL의 맞춤형 Log Analytics 테이블로 전송합니다. 데이터가 수집된 후, Microsoft Sentinel은 하이브리드 아이덴티티 환경 전반에서 모니터링, 분석, 사고 생성, 조사 및 자동화된 대응에 사용할 수 있습니다.

Log Analytics 테이블:

표	DCR 지원	레이크 전용 수집
`CayosoftThreatAlerts_CL`	아니요	아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

Cayosoft Guardian Server: Azure Arc에 연결되어 있거나 Azure Monitor Agent가 설치된 상태로 Azure 가상 머신으로 실행되어야 합니다.
데이터 수집 규칙: 데이터 수집 규칙에 대한 읽기 및 쓰기 권한이 필요합니다. 데이터 수집 규칙을 Azure Arc 지원 서버나 Cayosoft Guardian을 실행하는 Azure 가상 머신과 연관시키기 위해서입니다.

설치 지침:

1. 전제 조건 및 인프라 구축

통합 구성 전에 다음 요구사항이 충족되었는지 확인하세요:

Microsoft Sentinel 작업 영역이 있습니다.
Cayosoft Guardian을 호스팅하는 Windows Server는 Azure Arc에 연결되어 있거나 Azure 가상 머신으로 실행됩니다.
Azure Monitor 에이전트(AMA)는 Cayosoft Guardian 서버에 설치되어 있습니다.

2. 데이터 수집 규칙(DCR) 배포

Cayosoft Guardian은 Azure Monitor 에이전트를 통해 위협 경고를 스트리밍하며, 이는 Arc 지원 서버나 Azure VM에 연결된 데이터 수집 규칙(DCR)이 필요합니다. 이 배포는 솔루션 설치와는 별개로 일회성 배포입니다.

아래 버튼을 클릭하세요.

portal.azure.com
구독, 자원 그룹, 지역을 선택하세요.
작업 공간 이름(Microsoft Sentinel 지원 Log Analytics 작업 공간)과 Arc 머신 이름(Arc 지원 서버 또는 Cayosoft Guardian을 실행하는 Azure VM의 정확한 이름)을 입력하세요.
리뷰 + 생성을 클릭한 후 생성하세요.

3. Cayosoft Guardian 로깅 설정

제품 내에서 이벤트 로그 생성을 활성화하세요:

Cayosoft Guardian을 열어보세요.
설정>, 서비스 설정 > , Windows 이벤트 로그 설정으로 이동하세요.
Windows 이벤트 로그 알림이 활성화되어 있는지 확인하세요. Cayosoft Guardian은 Windows 이벤트 로그 > 애플리케이션 및 서비스 로그에 > 위협 경고를 작성합니다 Cayosoft Guardian 경고

4. 워크북 설치

Cayosoft Guardian 솔루션에는 위협 경고와 사고를 시각화하는 사전 구축된 워크북이 포함되어 있으며, 여기에는 심각도 분포, 시스템 유형별 경고, 시간에 따른 경고 추세, 최근 사건 및 알림 등이 포함됩니다.

Microsoft Sentinel에서는 Content 허브로 이동하세요.
Cayosoft Guardian을 검색해서 솔루션이 설치되어 있는지 확인하세요. 설치하지 않았다면 설치하세요.
워크북으로 가서 템플릿 탭을 선택하세요.
Cayosoft Guardian - Incidents Dashboard를 선택한 후 저장을 클릭한 뒤, 워크북을 저장하고 싶은 Azure 지역을 선택한 후 '저장된 워크북 보기'를 클릭하세요.
워크북은 '내 워크북' 항목에서 이용할 수 있습니다. 선택적으로, 빠른 접근을 위해 Azure 대시보드에 고정할 수도 있습니다.

5. 분석 규칙 활성화

Cayosoft Guardian 솔루션에는 Cayosoft Guardian 위협 경고를 Microsoft Sentinel 사건으로 전환하는 예약 분석 규칙 템플릿도 포함되어 있습니다.

Microsoft Sentinel에서 Analytics로 가세요.
규칙 템플릿 탭을 선택합니다.
예를 들어, Cayosoft Guardian 분석 규칙 템플릿을 찾아보세요:
- Cayosoft Guardian - 클라우드 애플리케이션 보안 위협
- Cayosoft Guardian - 핵심 신원 및 인프라 위협
규칙 생성 버튼을 클릭하고, 일정, 엔터티 매핑, 사고 설정을 검토한 후 검토 + 생성을 클릭하세요.
활성 규칙 탭에서 규칙이 활성화되어 있는지 확인하세요. 분석 규칙은 워크북의 사건 및 최근 경고 테이블에서 사용되는 기록을 SecurityIncident 생성합니다.

6. 통합 검증

커넥터를 설정한 후에는 Microsoft Sentinel이 Cayosoft Guardian의 위협 경고 데이터를 받고 있는지 확인하세요:

Microsoft Sentinel에서 Microsoft Sentinel 인스턴스에 연결된 Log Analytics 작업 공간을 열어보세요.
로그 열기.
다음 쿼리를 실행합니다.CayosoftThreatAlerts_CL | sort by TimeGenerated desc | take 50
테이블에서 새 행이 가능한지 확인하세요. 자세한 정보, 단계별 가이드, 알려진 문제에 대해서는 공식 문서를 참조해 주시기 바랍니다.

Check Point CloudGuard CNAPP Connector for Microsoft Sentinel

지원:Check Point

CloudGuard 데이터 커넥터를 사용하면 Microsoft Sentinel Codeless Connector Framework를 사용하여 CloudGuard API에서 Microsoft Sentinel ™ 보안 이벤트를 수집할 수 있습니다. 커넥터는 들어오는 보안 이벤트 데이터를 사용자 지정 열로 구문 분석하는 DCR 기반 수집 시간 변환 을 지원합니다. 이 사전 구문 분석 프로세스는 쿼리 시간 구문 분석이 필요하지 않도록 하므로 데이터 쿼리의 성능이 향상됩니다.

Log Analytics 테이블:

표	DCR 지원	레이크 전용 수집
`CloudGuard_SecurityEvents_CL`	예	예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

CloudGuard API 키: 여기에 제공된 지침을 참조하여 API 키를 생성합니다.

설치 지침:

CloudGuard 보안 이벤트를 Microsoft Sentinel 연결

Microsoft Sentinel CloudGuard 커넥터를 사용하도록 설정하려면 아래 필수 정보를 입력하고 연결을 선택합니다.

API 키 ID: (api_key)
API 키 비밀: (api_secret)
CloudGuard 엔드포인트 URL: (예: https://api.dome9.com)
필터: (CloudGuard에서 필터 붙여넣기)
연결 사용/사용 안 함

Check Point Cyberint Alerts 커넥터(코드리스 커넥터 프레임워크를 통해)

지원:Check Point

Check Point 회사인 Cyberint는 중요한 경고를 간소화하고 무한대 외부 위험 관리 솔루션에서 Microsoft Sentinel 보강된 위협 인텔리전스를 제공하는 Microsoft Sentinel 통합을 제공합니다. 이렇게 하면 시스템 간에 자동 동기화 업데이트를 사용하여 티켓의 상태 추적하는 프로세스가 간소화됩니다. 기존 Cyberint 및 Microsoft Sentinel 고객은 이 새로운 통합을 Microsoft Sentinel 사용하여 Cyberint의 결과에 따라 로그를 Microsoft Sentinel 플랫폼으로 쉽게 끌어올 수 있습니다.

Log Analytics 테이블:

표	DCR 지원	레이크 전용 수집
`argsentdc_CL`	예	예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Check Point 사이버인트 API 키, Argos URL, 고객 이름: 커넥터 API 키, Argos URL, 고객 이름이 필요합니다. CSV 첨부파일은 JSON이 선택 사항이므로 포함하세요.

설치 지침:

검사점 Cyberint 경고를 Microsoft Sentinel 연결

커넥터를 사용하도록 설정하려면 아래 필수 정보를 제공하고 연결을 클릭합니다.

Argos URL — 테넌트용 Cyberint API URL (예: https://your_tenant.cyberint.io) API 토큰 — Cyberint API 접근 토큰 고객 이름 — Cyberint 인스턴스와 연관된 회사(클라이언트) 이름 심각도 — 받아야 할 심각도 목록(낮음, 중간, 높음, very_high). 비어 있으면 모든 심각도가 가져옵니다. 환경 — 가져오기 환경의 쉼표로 구분된 목록(예: 프로덕션, 스테이징). 비어 있으면 모든 환경이 가져옵니다. 폴링 간격 — 새 알림을 폴링하는 빈도(분 단위) (기본값: 5) CSV 첨부파일을 JSON 형식으로 포함하세요 — 경고에서 CSV 첨부파일을 JSON 콘텐츠로 포함할지 여부 (기본값: false)

아르고스 URL: (https://your_tenant.cyberint.io)
API 토큰: (Cyberint API 액세스 토큰)
고객 이름: (Cyberint instance 연결된 회사(클라이언트) 이름)
심각도: (쉼표로 구분된 목록(예: low,medium,high,very_high))
환경: (쉼표 구분 목록)
폴링 간격(분): (폴링 빈도(분)
CSV 첨부 파일을 JSON으로 포함: (true 또는 false)
연결 사용/사용 안 함

Check Point Cyberint IOC 커넥터

지원:Check Point

Check Point 회사인 Cyberint는 무한대 외부 위험 관리 솔루션에서 Microsoft Sentinel IOC(손상 지표)를 수집하는 Microsoft Sentinel 통합을 제공합니다. 이 커넥터는 심각도, 신뢰도 및 검색된 활동과 같은 위협 컨텍스트로 보강된 악의적인 IP, 도메인, URL 및 파일 해시를 포함한 일일 IOC 피드를 자동으로 끌어온다.

Log Analytics 테이블:

표	DCR 지원	레이크 전용 수집
`iocsent_CL`	예	예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Check Point Cyberint API 키, Argos URL 및 고객 이름: 커넥터 API 키, Argos URL 및 고객 이름이 필요합니다.

설치 지침:

Check Point Cyberint IOC 피드를 Microsoft Sentinel 연결

커넥터를 사용하도록 설정하려면 아래 필수 정보를 제공하고 연결을 클릭합니다.

Argos URL - 테넌트(예: https://your_tenant.cyberint.io) API 토큰에 대한 Cyberint API URL - Cyberint API 액세스 토큰 고객 이름 - Cyberint instance 연결된 회사(클라이언트) 이름

아르고스 URL: (https://your-company.cyberint.io)
API 토큰: (API 토큰)
고객 이름: (Cyberint instance 연결된 회사(클라이언트) 이름)
연결 사용/사용 안 함

체크포인트 EM ThreatCloud 인텔리전스 피드 커넥터

지원:Check Point

Check Point는 Infinity 외부 위험 관리 솔루션에서 고충실도의 침해 지표(IoC)를 Microsoft Sentinel에 통합하여 Microsoft Sentinel에 통합합니다. 이 커넥터는 신뢰도, 심각성, 악성 분류, 킬 체인 단계, 차단 및 고유성 플래그, 악성코드 유형, CVE/캠페인 연관성 등 프리미엄 IOC 피드(악성 IP, 도메인, URL, 파일 해시 포함)를 점진적으로 끌어옵니다.

Log Analytics 테이블:

표	DCR 지원	레이크 전용 수집
`emiocintel_CL`	아니요	아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

Check Point Cyberint API 키, Argos URL 및 고객 이름: 커넥터 API 키, Argos URL 및 고객 이름이 필요합니다.

설치 지침:

Check Point EM ThreatCloud 인텔리전스 피드를 Microsoft Sentinel에 연결하세요

커넥터를 사용하도록 설정하려면 아래 필수 정보를 제공하고 연결을 클릭합니다.

아르고스 URL: (https://your-company.cyberint.io)
API 토큰: (API 토큰)
고객 이름: (Cyberint instance 연결된 회사(클라이언트) 이름)
연결 사용/사용 안 함

Check Point 이메일 보안 (코드 없는 커넥터 프레임워크를 통해)

지원:Microsoft Corporation

Check Point Email Security(Harmony Email Collaboration) 데이터 커넥터는 Check Point의 Email Security 플랫폼에서 보안 이벤트와 감사 로그를 REST API를 통해 Microsoft Sentinel로 인징할 수 있는 기능을 제공합니다. 이 커넥터는 제로데이 위협, 피싱, 계정 탈취, 데이터 유출, 섀도우 IT 발견 등 고급 이메일 위협을 가시화할 수 있게 해줍니다. 보안 이벤트, 피싱 방지 예외, 스팸 예외, 감사 로그를 Microsoft Sentinel에 통합하여 조직이 보안과 준수 가시성을 유지하는 데 도움을 줍니다.

Log Analytics 테이블:

표	DCR 지원	레이크 전용 수집
`CheckPointEmailSecurityEvents_CL`	예	예
`CheckPointEmailSecAntiPhishingExceptions_CL`	예	예
`CheckPointEmailSecuritySpamExceptions_CL`	예	예
`CheckPointEmailSecurityAuditLogs_CL`	예	예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Check Point Email 보안 API 자격 증명: 두 개의 별도 Check Point Infinity Portal API 키가 필요합니다. Harmony 이메일 및 협업 API 키(클라이언트 ID + 클라이언트 비밀)는 보안 이벤트 및 예외에 사용됩니다. 감사 로그에는 별도의 서비스 로지 API 키(감사 클라이언트 ID + )가 필요합니다. Check Point Infinity Portal의 Global Settings > API 키에서 두 가지 모두 생성하세요.

설치 지침:

Check Point Email Security를 Microsoft Sentinel에 연결하세요

Check Point Email Security에서 데이터를 수집하려면 다음 자격 증명을 제공해야 합니다:

1. API 기본 URL - Check Point Email Security 테넌트의 기본 URL(지역별 지정).

2. 클라이언트 ID - Harmony 이메일 및 협업 API 키의 클라이언트 ID(보안 이벤트 및 예외에 사용됨).

3. 클라이언트 비밀 - Harmony 이메일 및 협업 API 키의 비밀(접근 키).

4. 감사 클라이언트 ID - 별도의 서비스 로그 API 키(감사 로그에 사용됨)의 클라이언트 ID.

5. 클라이언트 비밀 감사 - 서비스로서의 로그 API 키의 비밀(접근 키).

이 자격 증명을 얻으려면 Check Point Infinity 포털에 로그인한 후 글로벌 설정의 API 키 섹션으로 이동하세요. 클라이언트 ID/비밀용으로 하모니 이메일 및 협업 서비스로 하나의 API 키를 만들고, 감사 클라이언트 ID/비밀용으로 로그 서비스 서비스로 두 번째 API 키를 만듭니다 .

다중 테넌트 지원: 이 커넥터는 여러 Check Point Email Security 테넌트에서 데이터를 병렬로 수집할 수 있도록 지원합니다. 연결 추가를 클릭하세요 각 테넌트당 한 번씩, 해당 테넌트의 API Base URL과 자격 증명을 제공하며, 각 연결은 아래 그리드에서 독립적으로 추적 및 관리됩니다.

데이터 커넥터 그리드(포털에서 구성)

AMA를 통한 Cisco ASA/FTD

지원:Microsoft Corporation

Cisco ASA 방화벽 커넥터를 사용하면 Cisco ASA 로그를 Microsoft Sentinel 쉽게 연결하고, 대시보드를 보고, 사용자 지정 경고를 만들고, 조사를 개선할 수 있습니다. 이렇게 하면 organization 네트워크에 대한 더 많은 인사이트를 제공하고 보안 작업 기능을 개선합니다.

Log Analytics 테이블:

표	DCR 지원	레이크 전용 수집
`CommonSecurityLog`	예	예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

비 Azure VM에서 데이터를 수집하려면 Azure Arc를 설치하고 사용하도록 설정해야 합니다. 자세한 정보

설치 지침:

데이터 수집 규칙 사용

Cisco ASA/FTD 이벤트 로그는 Linux 에이전트에서만 수집됩니다.

에이전트 설치: <설치 시 제공되는 변수 값>

다음 명령을 실행하여 Cisco ASA/FTD 수집기를 설치하고 적용합니다.

값: <설치 시 제공되는 변수 값>

Cisco Cloud Security(Azure Functions 사용)

지원:Microsoft Corporation

Microsoft Sentinel용 Cisco Cloud Security 솔루션을 사용하면 Amazon S3에 저장된 Cisco Secure Access 및 Cisco Umbrella 로그를 Amazon S3 REST API를 사용하여 Microsoft Sentinel 수집할 수 있습니다. 자세한 내용은 Cisco Cloud Security 로그 관리 설명서를 참조하세요 .

Log Analytics 테이블:

표	DCR 지원	레이크 전용 수집
`Cisco_Umbrella_dns_CL`	예	예
`Cisco_Umbrella_proxy_CL`	예	예
`Cisco_Umbrella_ip_CL`	예	예
`Cisco_Umbrella_cloudfirewall_CL`	예	예
`Cisco_Umbrella_firewall_CL`	예	예
`Cisco_Umbrella_dlp_CL`	아니요	아니요
`Cisco_Umbrella_ravpnlogs_CL`	아니요	아니요
`Cisco_Umbrella_audit_CL`	아니요	아니요
`Cisco_Umbrella_ztna_CL`	아니요	아니요
`Cisco_Umbrella_intrusion_CL`	아니요	아니요
`Cisco_Umbrella_ztaflow_CL`	아니요	아니요
`Cisco_Umbrella_fileevent_CL`	아니요	아니요

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Microsoft.Web/sites 권한: 함수 앱을 만들기 위한 Azure Functions 읽기 및 쓰기 권한이 필요합니다. 자세한 내용은 Azure Functions 참조하세요.
Amazon S3 REST API 자격 증명/권한: Amazon S3 REST API에는 AWS 액세스 키 ID, AWS 비밀 액세스 키, AWS S3 버킷 이름이 필요합니다.

설치 지침:

참고: 이 커넥터는 Azure Functions 사용하여 Amazon S3 REST API에 연결하여 로그를 Microsoft Sentinel. 이로 인해 추가 데이터 수집 비용이 발생할 수 있습니다. 자세한 내용은 Azure Functions 가격 책정 페이지를 확인하세요.

참고: 이 커넥터는 Cisco Cloud Security 로그 스키마 버전 14를 지원하도록 업데이트되었습니다.

(선택적 단계) 작업 영역 및 API 권한 부여 키 또는 토큰을 Azure Key Vault 안전하게 저장합니다. Azure Key Vault 키 값을 저장하고 검색하는 보안 메커니즘을 제공합니다. Azure Functions 앱에서 Azure Key Vault 사용하려면 다음 지침을 따릅니다.

참고: 이 커넥터는 Kusto 함수를 기반으로 하는 파서 를 사용하여 필드를 정규화합니다. 다음 단계에 따라 Kusto 함수 별칭 Cisco_Umbrella 만듭니다.

1단계 - Cisco Cloud Security 로그 컬렉션 구성

설명서를 참조 하고 로깅을 설정하고 자격 증명을 가져오기 위한 지침을 따릅니다.

2단계 - 커넥터 및 연결된 Azure Functions 배포하려면 다음 두 가지 배포 옵션 중 하나를 선택합니다.

중요: Cisco Cloud Security 데이터 커넥터를 배포하기 전에 작업 영역 ID 및 작업 영역 기본 키(다음에서 복사할 수 있음)와 Amazon S3 REST API 권한 부여 자격 증명을 쉽게 사용할 수 있습니다.

작업 영역 ID: <설치 시 제공되는 변수 값>

기본 키: <설치 시 제공되는 변수 값>

옵션 1 - ARM(Azure Resource Manager) 템플릿

ARM Tempate를 사용하여 Cisco Cloud Security 데이터 커넥터의 자동화된 배포에 이 방법을 사용합니다.

아래 Azure 배포 단추를 클릭합니다.

aka.ms aka.ms

기본 구독, 리소스 그룹 및 위치를 선택합니다.

작업 영역 ID, 작업 영역 키, S3Bucket, AWSAccessKeyId, AWSSecretAccessKey 참고: S3Bucket의 경우 Cisco가 참조하는 값을 S3 버킷 데이터 경로로 사용하고 값 끝에 /(슬래시)를 추가합니다.

위에 명시된 사용 약관에 동의함을 표시하는 확인란을 표시합니다.

구매를 클릭하여 배포합니다.

옵션 2 - Azure Functions 수동 배포

다음 단계별 지침을 사용하여 Azure Functions(Visual Studio Code 통해 배포)를 사용하여 Cisco Cloud Security 데이터 커넥터를 수동으로 배포합니다.

1단계 - 함수 앱 배포

참고: Azure Functions 개발을 위해 VS 코드를 준비해야 합니다.

Azure Functions 앱 파일을 다운로드합니다. 로컬 개발 컴퓨터에 보관 파일을 추출합니다.

함수 앱 수동 배포 지침에 따라 VSCode를 사용하여 Azure Functions 앱을 배포합니다.

함수 앱을 성공적으로 배포한 후 구성을 위한 다음 단계를 수행합니다.

2단계 - 함수 앱 구성

함수 앱에서 함수 앱 이름을 선택하고 구성을 선택합니다.

애플리케이션 설정 탭에서 + 새 애플리케이션 설정을 선택합니다.

각 문자열 값(대/소문자 구분)을 사용하여 다음 애플리케이션 설정을 개별적으로 추가합니다. WorkspaceID WorkspaceKey S3Bucket AWSAccessKeyId AWSSecretAccessKey logAnalyticsUri(선택 사항)

logAnalyticsUri를 사용하여 전용 클라우드에 대한 로그 분석 API 엔드포인트를 재정의합니다. 예를 들어 퍼블릭 클라우드의 경우 값을 비워 둡니다. Azure GovUS 클라우드 환경의 경우 값을 형식https://<CustomerId>.ods.opinsights.azure.us으로 지정합니다.

모든 애플리케이션 설정이 입력되면 저장을 클릭합니다.

Cisco Cloud Security(탄력적 프리미엄 플랜 사용)(Azure Functions 사용)

지원:Microsoft Corporation

Cisco Umbrella 데이터 커넥터는 Amazon S3 REST API를 사용하여 Amazon S3에 저장된 Cisco Umbrella 이벤트를 Microsoft Sentinel 수집하는 기능을 제공합니다. 자세한 내용은 Cisco Umbrella 로그 관리 설명서를 참조하세요.

참고: 이 데이터 커넥터는 Azure Functions Premium 플랜을 사용하여 보안 수집 기능을 사용하도록 설정하고 추가 비용이 발생합니다. 자세한 가격 책정 정보는 여기를 참조하세요.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

Cisco_Umbrella_dns_CL 예 예

Cisco_Umbrella_proxy_CL 예 예

Cisco_Umbrella_ip_CL 예 예

Cisco_Umbrella_cloudfirewall_CL 예 예

Cisco_Umbrella_firewall_CL 예 예

Cisco_Umbrella_dlp_CL 아니요 아니요

Cisco_Umbrella_ravpnlogs_CL 아니요 아니요

Cisco_Umbrella_audit_CL 아니요 아니요

Cisco_Umbrella_ztna_CL 아니요 아니요

Cisco_Umbrella_intrusion_CL 아니요 아니요

Cisco_Umbrella_ztaflow_CL 아니요 아니요

Cisco_Umbrella_fileevent_CL 아니요 아니요

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Microsoft.Web/sites 권한: 함수 앱을 만들기 위한 Azure Functions 읽기 및 쓰기 권한이 필요합니다. 자세한 내용은 Azure Functions 참조하세요.

Amazon S3 REST API 자격 증명/권한: Amazon S3 REST API에는 AWS 액세스 키 ID, AWS 비밀 액세스 키, AWS S3 버킷 이름이 필요합니다.

Virtual Network 권한(프라이빗 액세스용): 프라이빗 스토리지 계정 액세스의 경우 Virtual Network 및 서브넷에 대한 네트워크 기여자 권한이 필요합니다. 서브넷은 함수 앱 VNet 통합을 위해 Microsoft.Web/serverFarms 에 위임되어야 합니다.

설치 지침:

참고: 이 커넥터는 Azure Functions 사용하여 Amazon S3 REST API에 연결하여 로그를 Microsoft Sentinel. 이로 인해 추가 데이터 수집 비용이 발생할 수 있습니다. 자세한 내용은 Azure Functions 가격 책정 페이지를 확인하세요.

참고: 이 커넥터는 cisco Umbrella 로그 스키마 버전 14를 지원하도록 업데이트되었습니다.

(선택적 단계) 작업 영역 및 API 권한 부여 키 또는 토큰을 Azure Key Vault 안전하게 저장합니다. Azure Key Vault 키 값을 저장하고 검색하는 보안 메커니즘을 제공합니다. Azure Functions 앱에서 Azure Key Vault 사용하려면 다음 지침을 따릅니다.

참고: 이 커넥터는 Kusto 함수를 기반으로 하는 파서 를 사용하여 필드를 정규화합니다. 다음 단계에 따라 Kusto 함수 별칭 Cisco_Umbrella 만듭니다.

1단계 - 프라이빗 액세스를 위한 네트워크 필수 구성 요소

중요: 프라이빗 스토리지 계정 액세스를 사용하여 배포할 때 다음 네트워크 필수 구성 요소가 충족되는지 확인합니다.

Virtual Network: 기존 Virtual Network(VNet)을 사용할 수 있어야 합니다.

서브넷: 함수 앱 VNet 통합을 위해 VNet 내의 전용 서브넷을 Microsoft.Web/serverFarms에 위임해야 합니다 .

서브넷 위임: Azure Portal, ARM 템플릿 또는 Azure CLI를 사용하여 서브넷 위임을 구성합니다.

Azure 포털: 가상 네트워크로 이동 → VNet → 서브넷 선택 → 서브넷 선택 → 서비스에 서브넷 위임 → Microsoft.Web/serverFarms 선택

AZURE CLI:az network vnet subnet update --resource-group <rg-name> --vnet-name <vnet-name> --name <subnet-name> --delegations Microsoft.Web/serverFarms

프라이빗 엔드포인트: 배포는 동일한 서브넷 내에 스토리지 계정 서비스(Blob, 파일, 큐, 테이블)에 대한 프라이빗 엔드포인트를 만듭니다.

2단계 - Cisco Umbrella 로그 컬렉션 구성

설명서를 참조 하고 로깅을 설정하고 자격 증명을 가져오기 위한 지침을 따릅니다.

3단계 - 커넥터 및 연결된 Azure Functions 배포하려면 다음 두 가지 배포 옵션 중 하나를 선택합니다.

중요: Cisco Umbrella 데이터 커넥터를 배포하기 전에 작업 영역 ID 및 작업 영역 기본 키(다음에서 복사할 수 있음)와 Amazon S3 REST API 권한 부여 자격 증명을 쉽게 사용할 수 있습니다.

작업 영역 ID: <설치 시 제공되는 변수 값>

기본 키: <설치 시 제공되는 변수 값>

옵션 1 - ARM(Azure Resource Manager) 템플릿

ARM Tempate를 사용하여 Cisco Umbrella 데이터 커넥터의 자동화된 배포에 이 방법을 사용합니다.

아래 Azure 배포 단추를 클릭합니다.

aka.ms aka.ms

기본 구독, 리소스 그룹 및 위치를 선택합니다.

작업 영역 ID, 작업 영역 키, S3Bucket, AWSAccessKeyId, AWSSecretAccessKey를 입력합니다.

프라이빗 액세스 배포의 경우: existingVnetName, existingVnetResourceGroupName 및 existingSubnetName을 입력합니다(서브넷이 Microsoft.Web/serverFarms에 위임되었는지 확인) 참고: S3Bucket의 경우 Cisco가 참조하는 값을 S3 버킷 데이터 경로 로 사용하고 값의 끝에 /(슬래시)를 추가합니다.

위에 명시된 사용 약관에 동의함을 표시하는 확인란을 표시합니다.

구매를 클릭하여 배포합니다.

옵션 2 - Azure Functions 수동 배포

다음 단계별 지침을 사용하여 Azure Functions(Visual Studio Code 통해 배포)를 사용하여 Cisco Umbrella 데이터 커넥터를 수동으로 배포합니다.

1단계 - 함수 앱 배포

참고: Azure Functions 개발을 위해 VS 코드를 준비해야 합니다.

Azure Functions 앱 파일을 다운로드합니다. 로컬 개발 컴퓨터에 보관 파일을 추출합니다.

함수 앱 수동 배포 지침에 따라 VSCode를 사용하여 Azure Functions 앱을 배포합니다.

함수 앱을 성공적으로 배포한 후 구성을 위한 다음 단계를 수행합니다.

2단계 - 함수 앱 구성

함수 앱에서 함수 앱 이름을 선택하고 구성을 선택합니다.

애플리케이션 설정 탭에서 + 새 애플리케이션 설정을 선택합니다.

각 문자열 값(대/소문자 구분)을 사용하여 다음 애플리케이션 설정을 개별적으로 추가합니다. WorkspaceID WorkspaceKey S3Bucket AWSAccessKeyId AWSSecretAccessKey logAnalyticsUri(선택 사항)

logAnalyticsUri를 사용하여 전용 클라우드에 대한 로그 분석 API 엔드포인트를 재정의합니다. 예를 들어 퍼블릭 클라우드의 경우 값을 비워 둡니다. Azure GovUS 클라우드 환경의 경우 값을 형식https://<CustomerId>.ods.opinsights.azure.us으로 지정합니다.

모든 애플리케이션 설정이 입력되면 저장을 클릭합니다.

Cisco Duo 활동 로그

지원:Cisco Systems

Cisco Duo Activity Logs 커넥터는 Cisco Duo Admin API에서 관리자 및 사용자 활동 로그 데이터를 Microsoft Sentinel로 인용합니다.

활동 로그는 사용자 생성, 수정, 삭제, 관리자 로그인, 구성 변경 등 관리자 패널의 동작을 기록합니다.

HMAC 기반 API 키 인증(통합 키 및 비밀 키)을 지원합니다.

자세한 정보는 Cisco Duo Admin API 문서를 방문하세요.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

DuoActivity_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Cisco Duo API 키: Cisco Duo 통합 키와 비밀 키가 필요합니다. 이 데이터는 Duo 관리자 패널에서 '로그 읽기 권한' 권한으로 관리자 API 애플리케이션을 생성하여 얻습니다. 문서를 참조하세요.

설치 지침:

Cisco Duo 활동 로그를 Microsoft Sentinel에 연결하세요

Cisco Duo 활동 로그 커넥터를 활성화하려면 아래에 Duo 관리자 API 자격 증명을 제공하세요.

듀오 관리자 패널에 로그인하세요.

애플리케이션>으로 이동하기 애플리케이션 보호.

관리자 API를 찾아서 보호를 클릭하세요.

애플리케이션에 Grant Read log 권한이 활성화되어 있는지 확인하세요.

통합 키, 비밀 키, API 호스트명을 복사하여 아래에 입력하세요.

통합 키(ikey): (DIXXXXXXXXXXXXXXXXXX)

비밀 열쇠(skey): (your_secret_key)

API 기준 URL: (https://api-XXXXXXXX.duosecurity.com)

연결 사용/사용 안 함

시스코 듀오 인증

지원:Cisco Systems

Cisco Duo 커넥터는 Cisco Duo 관리자 API에서 인증 로그 데이터를 Microsoft Sentinel로 인징합니다.

HMAC 기반 API 키 인증(통합 키 및 비밀 키)을 지원합니다.

자세한 정보는 Cisco Duo Admin API 문서를 방문하세요.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

DuoAuthentication_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Cisco Duo API 키: Cisco Duo 통합 키와 비밀 키가 필요합니다. 이 기능은 Duo 관리자 패널에서 Admin API 애플리케이션을 생성하여 얻습니다. 문서를 참조하세요.

설치 지침:

1단계 - Cisco Duo 관리자 API 자격 증명 획득

Cisco Duo 관리자 패널에 로그인하세요.

애플리케이션으로 이동 하여 애플리케이션 보호를 클릭하세요.

Admin API를 검색하고 Protect를 클릭하세요.

API 호스트네임, 통합 키, 비밀 키를 복사하세요.

애플리케이션에 Grant Read log 권한이 활성화되어 있는지 확인하세요.

Step 2 - Cisco Duo와 Microsoft Sentinel 연결

아래에 Cisco Duo 관리자 API 자격 증명을 입력하여 인증 로그를 수집하기 시작하세요.

API 기준 URL: (https://api-XXXXXXXX.duosecurity.com)

통합 키 (사용자 이름): (Duo 통합 키를 입력하세요)

비밀 키 (비밀번호): (듀오 비밀 키를 입력)

연결 사용/사용 안 함

시스코 듀오 전화 로그

지원:Cisco Systems

Cisco Duo 전화 로그 커넥터는 Cisco Duo 관리자 API에서 SMS 및 전화 통화 인증 이벤트 데이터를 Microsoft Sentinel로 통합합니다.

전화 기록은 인증, 등록, 관리자 우회 워크플로우 중 듀오가 SMS 비밀번호를 보내거나 전화 회신을 한 모든 사례를 기록합니다. 각 이벤트에는 전화번호, 사용 채널(SMS 또는 전화), 상황, 그리고 소모된 전화 크레딧 수가 포함됩니다.

HMAC 기반 API 키 인증(통합 키 및 비밀 키)을 지원합니다.

자세한 정보는 Cisco Duo Admin API 문서를 방문하세요.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

DuoTelephony_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Cisco Duo API 키: Cisco Duo 통합 키와 비밀 키가 필요합니다. 이 데이터는 Duo 관리자 패널에서 '로그 읽기 권한' 권한으로 관리자 API 애플리케이션을 생성하여 얻습니다. 문서를 참조하세요.

설치 지침:

Connect Cisco Duo Telephony Logs to Microsoft Sentinel

Cisco Duo 전화 로그 커넥터를 활성화하려면 아래에 Duo 관리자 API 자격 증명을 제공하세요.

듀오 관리자 패널에 로그인하세요.

애플리케이션>으로 이동하기 애플리케이션 보호.

관리자 API를 찾아서 보호를 클릭하세요.

애플리케이션에 Grant Read log 권한이 활성화되어 있는지 확인하세요.

통합 키, 비밀 키, API 호스트명을 복사하여 아래에 입력하세요.

통합 키(ikey): (DIXXXXXXXXXXXXXXXXXX)

비밀 열쇠(skey): (your_secret_key)

API 기준 URL: (https://api-XXXXXXXX.duosecurity.com)

연결 사용/사용 안 함

Cisco 이메일 위협 방어 (ETD)

지원 기준:N/A

Cisco Email Threat Defense(ETD) 데이터 커넥터는 로그 내보내기 API를 사용하여 Cisco ETD에서 메시지 이벤트를 Microsoft Sentinel로 인징할 수 있는 기능을 제공합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

CiscoETDv2_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Cisco ETD API 자격 증명: Cisco ETD API 자격 증명이 필요합니다. 자세한 내용은 Cisco ETD API 인증 문서를 참조하십시오.

설치 지침:

Cisco ETD API에 연결하세요

Cisco ETD API 엔드포인트, 클라이언트 ID, 클라이언트 비밀, API 키를 제공하세요. 이 자격 증명은 Cisco ETD 관리자나 Cisco ETD 관리 콘솔을 통해 받을 수 있습니다.

기본 엔드포인트 URL: (https://api.us.etd.cisco.com)

클라이언트 ID: (OAuth2 클라이언트 ID 입력)

클라이언트 비밀: (OAuth2 클라이언트 비밀 입력)

API 키: (Cisco ETD API 키 입력)

연결 사용/사용 안 함

시스코 ETD

지원 기준:N/A

커넥터는 위협 분석을 위해 ETD API에서 데이터를 가져옵니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

CiscoETD_CL 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

Microsoft.Web/sites 권한: 함수 앱을 만들기 위한 Azure Functions 읽기 및 쓰기 권한이 필요합니다. 자세한 내용은 Azure Functions 참조하세요.

Email Threat Defense API, API 키, 클라이언트 ID 및 비밀: API 키, 클라이언트 ID 및 비밀 키가 있는지 확인합니다.

설치 지침:

참고: 이 커넥터는 Azure Functions 사용하여 ETD API에 연결하여 로그를 Microsoft Sentinel 끌어올 수 있습니다.

배포 단계에 따라 커넥터 및 연결된 Azure 함수를 배포합니다.

중요: ETD 데이터 커넥터를 배포하기 전에 작업 영역 ID 및 작업 영역 기본 키를 갖습니다(다음에서 복사할 수 있음).

작업 영역 ID: <설치 시 제공되는 변수 값>

기본 키: <설치 시 제공되는 변수 값>

ARM(Azure Resource Manager) 템플릿

ARM 템플릿을 사용하여 Cisco ETD 데이터 커넥터의 자동화된 배포에 이 메서드를 사용합니다.

아래 Azure 배포 단추를 클릭합니다.

aka.ms

기본 구독, 리소스 그룹 및 지역을 선택합니다.

WorkspaceID, SharedKey, ClientID, ClientSecret, ApiKey, Verdicts, ETD 지역을 입력합니다.

만들기를 클릭하여 배포합니다.

Cisco Meraki 이벤트 (REST API 사용) (Codeless Connector Framework 통해)

지원:Microsoft Corporation

Cisco Meraki 커넥터는 Cisco Meraki 조직 이벤트(보안 이벤트, 구성 변경, API 요청, 파일 스캔 감지 등)를 Microsoft Sentinel에 쉽게 연결할 수 있게 해줍니다. 데이터 커넥터는 Cisco Meraki REST API 를 사용하여 로그를 가져오고 수신된 데이터를 구문 분석하고 Log Analytics 작업 영역의 ASIM 및 사용자 지정 테이블로 수집하는 DCR 기반 수집 시간 변환 을 지원합니다. 이 데이터 커넥터는 DCR 기반 수집 시간 필터링, 데이터 정규화와 같은 기능을 활용합니다.

ASIM 정규화된 이벤트 외에도, 이 커넥터는 Cisco Meraki 대시보드 인벤토리와 무선 보안 데이터를 사용자 지정 테이블(조직, 네트워크 클라이언트, 조직 네트워크, 무선 에어 마샬(로그 액세스 포인트) 이벤트, 파일 스캔 이벤트 등에 통합합니다.

지원되는 ASIM 스키마:

네트워크 세션

웹 세션

감사 이벤트

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

CiscoMerakiOrganizations_CL 예 예

CiscoMerakiNetworkClients_CL 예 예

CiscoMerakiOrganizationNetworks_CL 예 예

CiscoMerakiAirMarshalEvents_CL 예 예

ASimWebSessionLogs 예 예

ASimAuditEventLogs 예 예

ASimNetworkSessionLogs 예 예

CiscoMerakiFileScannedEvents_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

설치 지침:

Cisco Meraki 대시보드 API 구성 단계

아래 지침을 따라 Cisco Meraki API 자격 증명을 받으세요.

Meraki 대시보드에 로그인하세요. Cisco Meraki 대시보드 로 이동한 후 관리자 계정으로 로그인하세요.

API 키 생성

왼쪽 내비게이션 메뉴에서 조직 > API 및 웹훅 으로 이동하세요

API 키를 선택하고 상단 탭에서 접근 권한

새로운 API 키를 생성 하거나 기존 키를 사용하기를 클릭하세요

API 키를 복사해서 안전하게 저장하세요(한 번만 표시됩니다)

조직 ID 조회

Meraki 대시보드에 로그인한 상태에서 브라우저에서 URL을 확인하세요

조직 ID는 대시보드 URL 경로에 다음과 같이 나타납니다 dashboard.meraki.com/o/<organizationId>/...

아래에 사용할 조직 ID를 복사해 주세요

API 접근 요건

API 키는 다음 항목에 읽기 권한을 가져야 합니다:

조직 설정

네트워크 설정

무선 설정

속도 제한: 조직당 초당 10건 요청

최대 회수 기간: 31일

Cisco Meraki 조직을 Microsoft Sentinel에 연결하세요

이 커넥터는 다중 테넌트 인제스팅을 지원합니다. Cisco Meraki 조직별로 하나의 연결을 추가하세요; 각 연결은 해당 조직의 이벤트를 병렬로 수집합니다. 아래 그리드를 사용해 기존 연결을 검토하거나 새로운 연결을 추가하세요.

데이터 커넥터 그리드(포털에서 구성)

Cisco 보안 엔드포인트(코드리스 커넥터 프레임워크를 통해)

지원:Microsoft Corporation

Cisco 보안 엔드포인트(이전의 엔드포인트용 AMP) 데이터 커넥터는 Cisco Secure 엔드포인트 감사 로그 및 이벤트를 Microsoft Sentinel 수집하는 기능을 제공합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

CiscoSecureEndpointAuditLogsV2_CL 예 예

CiscoSecureEndpointEventsV2_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Cisco 보안 엔드포인트 API 자격 증명/지역: API 자격 증명을 만들고 지역을 이해하려면 여기에 제공된 문서 링크를 따릅니다. 여기를 클릭합니다.

설치 지침:

Cisco 보안 엔드포인트를 Microsoft Sentinel 연결

Cisco 보안 엔드포인트에서 Microsoft Sentinel 데이터를 수집하려면 아래 계정 추가 단추를 클릭한 다음 Email, 조직, 클라이언트 ID, API 키 및 지역과 같은 세부 정보를 채우고 필요한 정보를 제공하고 연결을 클릭하는 팝업이 표시됩니다. 아래 표에서 연결된 조직/이메일을 볼 수 있습니다.

데이터 커넥터 그리드(포털에서 구성)

시스코 소프트웨어 정의 WAN

지원:Cisco Systems

Cisco SD-WAN(Software Defined WAN) 데이터 커넥터는 Cisco SD-WAN Syslog 및 Netflow 데이터를 Microsoft Sentinel 수집하는 기능을 제공합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

Syslog 예 예

CiscoSDWANNetflow_CL 아니요 아니요

데이터 수집 규칙 지원:작업 영역 변환 DCR

설치 지침:

Cisco SD-WAN Syslog 및 Netflow 데이터를 Microsoft Sentinel 수집하려면 아래 단계를 수행합니다.

1. Microsoft sentinel에 Syslog 데이터를 수집하는 단계

Azure Monitor 에이전트는 syslog 데이터를 Microsoft sentinel로 수집하는 데 사용됩니다. 이를 위해 먼저 syslog 데이터가 전송될 VM에 대한 Azure Arc 서버를 만들어야 합니다.

1.1 Arc Server를 추가하는 Azure 단계

Azure Portal 서버 - Azure Arc로 이동하여 추가를 클릭합니다.

단일 서버 추가 섹션에서 스크립트 생성을 선택합니다. 사용자는 여러 서버에 대한 스크립트도 생성할 수 있습니다.

필수 구성 요소 페이지에서 정보를 검토한 다음, 다음을 선택합니다.

리소스 세부 정보 페이지에서 Microsoft Sentinel, 지역, 운영 체제 및 연결 방법의 구독 및 리소스 그룹을 제공합니다. 그런 다음 다음을 선택합니다.

태그 페이지에서 제안된 기본 물리적 위치 태그를 검토하고 값을 입력하거나 표준을 지원하는 하나 이상의 사용자 지정 태그를 지정합니다. 그런 다음, 다음을 선택합니다.

다운로드를 선택하여 스크립트 파일을 저장합니다.

스크립트를 생성했으므로 다음 단계는 Azure Arc에 온보딩하려는 서버에서 스크립트를 실행하는 것입니다.

Azure VM이 있는 경우 스크립트를 실행하기 전에 링크에 설명된 단계를 따릅니다.

다음 명령으로 스크립트를 실행합니다. ./<ScriptName>.sh

에이전트를 설치하고 Azure Arc 지원 서버에 연결하도록 구성한 후 Azure Portal 이동하여 서버가 성공적으로 연결되었는지 확인합니다. Azure Portal 머신을 봅니다. 참조 링크:/azure/azure-arc/servers/learn/quick-enable-hybrid-vm

1.2 DCR(데이터 수집 규칙) 만들기 단계

Azure 포털에서 모니터를 검색합니다. 설정에서 데이터 수집 규칙을 선택하고 만들기를 선택합니다.

기본 패널에서 규칙 이름, 구독, 리소스 그룹, 지역 및 플랫폼 유형을 입력합니다.

다음: 리소스를 선택합니다.

리소스 추가를 선택합니다. 필터를 사용하여 로그를 수집하는 데 사용할 가상 머신을 찾습니다.

가상 머신을 선택합니다. 적용을 선택합니다.

다음: 수집 및 배달을 선택합니다.

데이터 원본 추가를 선택합니다. 데이터 원본 형식에 대해 syslog Linux 선택합니다.

최소 로그 수준의 경우 기본값을 LOG_DEBUG 그대로 둡니다.

다음: 대상을 선택합니다.

대상 추가를 선택하고 대상 유형, 구독 및 계정 또는 네임스페이스를 추가합니다.

데이터 원본 추가를 선택합니다. 다음: 검토 + 만들기를 선택합니다.

만들기를 선택합니다. 20분 동안 기다립니다. Microsoft Sentinel 또는 Azure Monitor에서 Azure Monitor 에이전트가 VM에서 실행되고 있는지 확인합니다. 참조 링크:/azure/sentinel/forward-syslog-monitor-agent

2. Microsoft sentinel에 Netflow 데이터를 수집하는 단계

Netflow 데이터를 Microsoft sentinel로 수집하려면 VM에 Filebeat 및 Logstash를 설치하고 구성해야 합니다. 구성 후 vm은 구성된 포트에서 netflow 데이터를 받을 수 있으며 해당 데이터는 Microsoft sentinel의 작업 영역에 수집됩니다.

2.1 filebeat 및 logstash 설치

apt를 사용하여 filebeat 및 logstash를 설치하려면 다음 문서를 참조하세요.

파일 비트: https://www.elastic.co/guide/en/beats/filebeat/current/setup-repositories.html.

로그스태시: https://www.elastic.co/guide/en/logstash/current/installing-logstash.html.

RedHat 기반 Linux(yum) 단계에 대한 filebeat 및 logstash 설치의 경우 다음과 같습니다.

파일 비트: https://www.elastic.co/guide/en/beats/filebeat/current/setup-repositories.html#_yum.

로그스타시: https://www.elastic.co/guide/en/logstash/current/installing-logstash.html#_yum

2.2 Logstash에 이벤트를 보내도록 Filebeat 구성

filebeat.yml 파일 편집: vi /etc/filebeat/filebeat.yml

Elasticsearch 출력 섹션을 주석으로 처리합니다.

Logstash 출력 제거 섹션(이 두 줄만 주석 처리 해제)- output.logstash 호스트: ["localhost:5044"]

Logstash 출력 섹션에서 기본 포트(예: 5044 포트)가 아닌 다른 데이터를 보내려면 호스트 필드의 포트 번호를 바꿉니다. (참고: logstash를 구성하는 동안 이 포트를 conf 파일에 추가해야 합니다.)

'filebeat.inputs' 섹션에서 기존 구성을 주석으로 처리하고 다음 구성을 추가합니다. - 형식: netflow max_message_size: 10KiB 호스트: "0.0.0.0:2055" 프로토콜: [ v5, v9, ipfix ] expiration_timeout: 30m queue_size: 8192 custom_definitions:

/etc/filebeat/custom.yml detect_sequence_reset: true enabled: true

Filebeat 입력 섹션에서 기본 포트(예: 2055 포트)가 아닌 다른 데이터를 받으려면 호스트 필드의 포트 번호를 바꿉니다.

제공된 custom.yml 파일을 /etc/filebeat/ 디렉터리 내에 추가합니다.

방화벽에서 파일 비트 입력 및 출력 포트를 엽니다.

실행 명령: firewall-cmd --zone=public --permanent --add-port=2055/udp

실행 명령: firewall-cmd --zone=public --permanent --add-port=5044/udp

참고: 파일 비트 입력/출력에 대한 사용자 지정 포트가 추가된 경우 방화벽에서 해당 포트를 엽니다.

2.3 Microsoft Sentinel 이벤트를 보내도록 Logstash 구성

Azure Log Analytics 플러그 인을 설치합니다.

명령 실행: sudo /usr/share/logstash/bin/logstash-plugin install microsoft-logstash-output-azure-loganalytics

LogStash 키 저장소에 Log Analytics 작업 영역 키를 저장합니다. 작업 영역 키는 Azure 포털의 Log Analytic 작업 영역 설정에서 작업 영역 >> 선택 에이전트 > Log Analytics 에이전트 지침에서 찾을 수 있습니다.

기본 키를 복사하고 다음 명령을 실행합니다.

sudo /usr/share/logstash/bin/logstash-keystore --path.settings /etc/logstash create LogAnalyticsKey

sudo /usr/share/logstash/bin/logstash-keystore --path.settings /etc/logstash add LogAnalyticsKey

구성 파일 /etc/logstash/cisco-netflow-to-sentinel.conf를 만듭니다. 입력 { beats { port =><port_number> #(filebeat 구성 중에 구성된 출력 포트 번호를 입력합니다. 즉. filebeat.yml 파일 .) } } 출력 { microsoft-logstash-output-azure-loganalytics { workspace_id => "<workspace_id>" workspace_key => "${LogAnalyticsKey}" custom_log_table_name => "CiscoSDWANNetflow" } }

참고: Microsoft sentinel에 테이블이 없으면 sentinel에 새 테이블이 만들어집니다.

2.4 파일 비트 실행:

터미널을 열고 명령을 실행합니다. systemctl start filebeat

이 명령은 백그라운드에서 파일 비트 실행을 시작합니다. 로그가 filebeat(systemctl stop filebeat)를 중지하는 것을 보려면 다음 명령을 실행합니다. filebeat run -e

2.5 Logstash 실행:

다른 터미널에서 명령을 실행합니다. /usr/share/logstash/bin/logstash --path.settings /etc/logstash -f /etc/logstash/cisco-netflow-to-sentinel.conf &

이 명령은 백그라운드에서 logstash 실행을 시작합니다. logstash의 로그를 보려면 위의 프로세스를 종료하고 다음 명령을 실행합니다. /usr/share/logstash/bin/logstash --path.settings /etc/logstash -f /etc/logstash/cisco-netflow-to-sentinel.conf

Cisco Umbrella(Codeless Connector Framework를 통해)

지원:Microsoft Corporation

Microsoft Sentinel 대한 Cisco Cloud Security 솔루션을 사용하면 Amazon S3 REST API를 사용하여 Cisco 관리형 Amazon S3 Bucket에 저장된 Cisco Secure Access 및 Cisco Umbrella 로그를 Microsoft Sentinel 수집할 수 있습니다. 자세한 내용은 Cisco Cloud Security 로그 관리 설명서를 참조하세요 .

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

CiscoUmbrellaAdminAudit_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Amazon S3 REST API 자격 증명/권한: AMAZON S3 REST API에는 AWS 액세스 키, AWS 비밀 액세스 키, AWS S3 버킷 이름이 필요합니다.

설치 지침:

1. Cisco Cloud Security Logs 컬렉션 구성

참고: 이 커넥터는 Cisco Cloud Security 로그 스키마 버전 16을 지원하도록 업데이트되었습니다.

참고: 이 커넥터가 작동하려면 Cisco 대시보드에서 선택적 헤더를 활성화해야 합니다.

참고: 이 커넥터는 Cisco 관리와 고객 관리 Amazon S3 버킷 모두를 지원합니다.

참고: 고객 관리 경로의 경우, 버킷의 루트를 사용하고 싶다면 S3 버킷 프리픽스를 비워둘 수 있습니다. 접두사를 지정한다면 선두 슬래시는 포함하지 말고, 뒤 슬래시는 반드시 포함하세요.

설명서를 참조 하고 지침에 따라 로깅을 설정하고 필요한 자격 증명 및 정보를 가져옵니다.

Cisco 관리형 S3 버킷을 설정하면 데이터 경로, 액세스 키 및 비밀 키의 세 가지 정보가 제공됩니다.

경고: Cisco 관리형 S3 버킷의 경우 비밀 키는 90일마다 만료됩니다. Cisco 대시보드에서 비밀 키를 회전하고 만료 전에 이 커넥터를 새 키와 다시 연결해야 합니다.

액세스 키 및 비밀 키의 경우 다음 입력에 붙여넣을 수 있습니다. 다른 필수 필드의 경우 데이터 경로에서 검색합니다.

예를 들어 Cisco에서 제공하는 데이터 경로는 .입니다 cisco-managed-us-west-1/2003477-12345. AWS S3 버킷 이름의 경우 입력 S3 버킷 이름이 됩니다 cisco-managed-us-west-1. S3 버킷 지역은 .us-west-1 S3 버킷 접두사는 . 2003477-12345/입니다.

스트림 기반 컬렉션을 사용하도록 설정하려면 새 수집기 추가를 클릭하고 데이터 형식을 선택하고 AWS 세부 정보를 제공합니다.

데이터 커넥터 그리드(포털에서 구성)

Citrix Analytics (코드리스 커넥터 프레임워크 통해)

지원:Citrix Systems, Inc.

Citrix Analytics와 Microsoft Sentinel의 연동은 Citrix Analytics에서 이벤트 분석(SPA, 보안)에 대한 데이터를 Microsoft Sentinel 환경으로 내보낼 수 있도록 도와줍니다. 맞춤형 대시보드를 만들고, Citrix Analytics의 데이터를 포함한 다른 출처의 데이터를 분석하며, Logic Apps를 사용해 이벤트를 모니터링하고 완화하는 맞춤형 워크플로우를 만들 수 있습니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

CitrixAnalytics_SPA_Events_V1_CL 예 예

CitrixAnalytics_indicatorSummary_V1_CL 예 예

CitrixAnalytics_indicatorEventDetails_V1_CL 예 예

CitrixAnalytics_riskScoreChange_V1_CL 예 예

CitrixAnalytics_userProfile_V1_CL 예 예

CitrixAnalytics_CVAD_Events_V1_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Microsoft Entra: Microsoft Entra ID 앱 등록을 만들 수 있는 권한입니다. 일반적으로 Entra ID 애플리케이션 개발자 역할 이상이 필요합니다.

Microsoft Azure: 데이터 수집 규칙에 대한 모니터링 메트릭 게시자 역할을 할당할 수 있는 권한입니다. 일반적으로 AZURE RBAC 소유자 또는 사용자 액세스 관리자 역할이 필요합니다.

라이선스: Citrix Cloud에서 Citrix Analytics 권리. Citrix 도구 라이선스 계약서를 검토해 주세요.

설치 지침:

1. ARM 리소스 만들기 및 필요한 권한 프로비전

배포를 클릭하여 필요한 Azure 자원(Log Analytics 테이블, 데이터 수집 규칙, Entra 앱 등록)을 프로비저닝하고, Citrix Analytics가 Azure Monitor Logs Ingestion API를 통해 데이터를 안전하게 Microsoft Sentinel에 푸시할 수 있도록 합니다.

Entra 애플리케이션을 사용하여 자동화된 구성 및 보안 데이터 수집 "배포"를 클릭하면 Log Analytics 테이블 및 DCR(데이터 수집 규칙)의 생성이 트리거됩니다. 그런 다음, Entra 애플리케이션을 만들고, DCR을 연결하고, 애플리케이션에 입력한 비밀을 설정합니다. 이 설정을 사용하면 Entra 토큰을 사용하여 데이터를 DCR로 안전하게 보낼 수 있습니다.

2. Citrix Analytics 플랫폼에서 통합 구성

Citrix Analytics 플랫폼에서 통합을 구성할 때 다음 매개변수를 사용하세요.

디렉터리 ID(테넌트 ID): <설치 시 제공되는 변수 값>

Entra 앱 등록 애플리케이션 ID(클라이언트 ID): <설치 시 제공되는 변수 값>

Entra 앱 등록 비밀(자격 증명 비밀)(이 비밀은 이 페이지를 종료한 후 표시되지 않음): <설치 시 제공되는 변수 값>

URL(데이터 수집 엔드포인트): <설치 시 제공되는 변수 값>

데이터 수집 규칙 변경 불가능 ID(규칙 ID):< 설치 시 제공된 변수 값>

Citrix DaaS 감사 및 세션 (코드리스 커넥터 프레임워크를 통해)

지원:Microsoft Corporation

Citrix DaaS(Citrix 가상 앱 및 데스크톱 서비스)에서 구성 감사 로그와 세션 활동을 인징합니다. 보안 조사, 준수 모니터링, 운영 문제 해결을 위한 감사 추적을 제공합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

CitrixDaaSConfigOps_CL 예 예

CitrixDaaSSessions_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Citrix Cloud API 접근: 필수 권한: Citrix Cloud API 클라이언트 자격 증명과 CVAD 읽기 접근 권한 API 관리

설치 지침:

Citrix Cloud API Access 구성

API 접근을 활성화하기 위해 다음 단계를 따르세요:

Citrix Cloud 콘솔에 로그인하기

신원 및 접근 관리 > API 접근으로 탐색하기

클라이언트 생성(보안 클라이언트) 버튼을 클릭하세요

클라이언트 ID와 클라이언트 비밀을 복사합니다

고객 ID와 사이트 ID(인스턴스 ID)를 기록하세요

여러 Citrix 테넌트에서 로그를 수집하려면 각 테넌트별로 별도의 연결을 추가하세요. 모든 레코드에는 CitrixCustomerId 가 태그되어 있어 세입자를 구분할 수 있습니다.

데이터 커넥터 그리드(포털에서 구성)

클라로티 x돔

지원:xDome 고객 지원

Claroty xDome은 의료 및 산업용 네트워크 환경을 위한 포괄적인 보안 및 경고 관리 기능을 제공합니다. 여러 원본 형식을 매핑하고, 수집된 데이터를 식별하고, Microsoft Sentinel 데이터 모델에 통합하도록 설계되었습니다. 이로 인해 의료 및 산업 환경의 모든 잠재적 위협을 한 곳에서 모니터링하여 보다 효과적인 보안 모니터링과 더 강력한 보안 태세를 제공합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

CommonSecurityLog 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

설치 지침:

1. Syslog 에이전트 구성 Linux

CEF(Common Event Format) Syslog 메시지를 수집하고 Microsoft Sentinel 전달하도록 Linux 에이전트를 설치하고 구성합니다.

모든 지역의 데이터가 선택한 작업 영역에 저장됩니다.

1.1 Linux 컴퓨터 선택 또는 만들기

Microsoft Sentinel 보안 솔루션과 온-프레미스 환경, Azure 또는 기타 클라우드에 있을 수 Microsoft Sentinel 사이의 프록시로 사용할 Linux 머신을 선택하거나 만듭니다.

1.2 Linux 컴퓨터에 CEF 수집기 설치

Linux 컴퓨터에 Microsoft Monitoring Agent를 설치하고 필요한 포트에서 수신 대기하고 Microsoft Sentinel 작업 영역에 메시지를 전달하도록 컴퓨터를 구성합니다. CEF 수집기는 포트 514 TCP에서 CEF 메시지를 수집합니다.

python --version 명령을 사용하여 컴퓨터에 Python이 있는지 확인합니다.

컴퓨터에 대해 상승된 권한(sudo)이 있어야 합니다.

다음 명령을 실행하여 CEF 수집<기를 설치하고 적용합니다. 설치 시 제공된 변수 값>

2. CEF(Common Event Format) 로그를 Syslog 에이전트로 전달

CEF(Common Event Format) Syslog 메시지를 수집하고 Microsoft Sentinel 전달하도록 Claroty xDome - Microsoft Sentinel 통합을 구성합니다.

3. 연결 유효성 검사

지침에 따라 연결의 유효성을 검사합니다.

Log Analytics를 열어 CommonSecurityLog 스키마를 사용하여 로그를 받는지 검사.

연결이 데이터를 작업 영역으로 스트리밍할 때까지 약 20분이 걸릴 수 있습니다.

로그를 받지 못한 경우 다음 연결 유효성 검사 스크립트를 실행합니다.

python --version 명령을 사용하여 컴퓨터에 Python이 있는지 확인합니다.

컴퓨터에 관리자 권한(sudo)이 있어야 합니다.

다음 명령을 실행하여 연결의 유효성을 검사합니다.< 설치 시 제공되는 변수 값>

**4. 컴퓨터 보안 **

organization 보안 정책에 따라 컴퓨터의 보안을 구성해야 합니다.

더 알아보세요 >

Cloudflare(미리 보기)(Azure Functions 사용)

지원:Cloudflare

Cloudflare 데이터 커넥터는 Cloudflare Logpush 및 Azure Blob Storage 사용하여 cloudflare 로그를 Microsoft Sentinel 수집하는 기능을 제공합니다. 자세한 내용은 Cloudflare 설명서를 참조하세요.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

Cloudflare_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Microsoft.Web/sites 권한: 함수 앱을 만들기 위한 Azure Functions 읽기 및 쓰기 권한이 필요합니다. 자세한 내용은 Azure Functions 참조하세요.

Azure Blob Storage 연결 문자열 및 컨테이너 이름: Azure Blob Storage 연결 문자열 및 Cloudflare Logpush에서 로그를 푸시하는 컨테이너 이름입니다. 자세한 내용은 Azure Blob Storage 컨테이너 만들기를 참조하세요.

설치 지침:

참고: 이 커넥터는 Azure Functions 사용하여 Azure Blob Storage API에 연결하여 로그를 Microsoft Sentinel 끌어올 수 있습니다. 이로 인해 데이터 수집 및 데이터를 Azure Blob Storage 비용에 저장하는 추가 비용이 발생할 수 있습니다. 자세한 내용은 Azure Functions 가격 책정 페이지 및 Azure Blob Storage 가격 책정 페이지를 확인하세요.

(선택적 단계) 작업 영역 및 API 권한 부여 키 또는 토큰을 Azure Key Vault 안전하게 저장합니다. Azure Key Vault 키 값을 저장하고 검색하는 보안 메커니즘을 제공합니다. 다음 지침에 따라 Azure 함수 앱에서 Azure Key Vault 사용합니다.

참고: 이 데이터 커넥터는 Kusto 함수를 기반으로 하는 파서에 따라 Microsoft Sentinel Solution과 함께 배포되는 예상 Cloudflare로 작동합니다.

1단계 - Cloudflare Logpush 구성

Microsoft Azure Cloudflare Logpush를 설정하는 설명서를 참조하세요.

2단계 - 커넥터 및 연결된 Azure 함수를 배포하려면 다음 두 가지 배포 옵션 중 하나를 선택합니다.

중요: Cloudflare 데이터 커넥터를 배포하기 전에 작업 영역 ID 및 작업 영역 기본 키(다음에서 복사할 수 있음)와 Azure Blob Storage 연결 문자열 및 컨테이너 이름을 쉽게 사용할 수 있습니다.

작업 영역 ID: <설치 시 제공되는 변수 값>

기본 키: <설치 시 제공되는 변수 값>

옵션 1 - ARM(Azure Resource Manager) 템플릿

ARM 템플릿을 사용하여 Cloudflare 데이터 커넥터의 자동화된 배포에 이 방법을 사용합니다.

아래 Azure 배포 단추를 클릭합니다.

aka.ms

기본 구독, 리소스 그룹 및 위치를 선택합니다.

Azure Blob Storage 컨테이너 이름, Azure Blob Storage 연결 문자열, Microsoft Sentinel 작업 영역 ID, 공유 키 Microsoft Sentinel 입력

위에 명시된 사용 약관에 동의함을 표시하는 확인란을 표시합니다.

구매를 클릭하여 배포합니다.

옵션 2 - Azure Functions 수동 배포

다음 단계별 지침을 사용하여 Azure Functions(Visual Studio Code 통해 배포)를 사용하여 Cloudflare 데이터 커넥터를 수동으로 배포합니다.

함수 앱 배포

참고: Azure 함수 개발을 위해 VS 코드를 준비해야 합니다.

Azure 함수 앱 파일을 다운로드합니다. 로컬 개발 컴퓨터에 보관 파일을 추출합니다.

VS Code를 시작합니다. 주 메뉴에서 파일을 선택하고 폴더 열기를 선택합니다.

추출된 파일에서 최상위 폴더를 선택합니다.

작업 표시줄에서 Azure 아이콘을 선택한 다음, Azure: 함수 영역에서 함수에 배포 앱 단추를 선택합니다. 아직 로그인하지 않은 경우 활동 표시줄에서 Azure 아이콘을 선택한 다음, Azure: 함수 영역에서 로그인을 선택하여 Azure 이미 로그인한 경우 다음 단계로 이동합니다.

프롬프트에서 다음 정보를 제공합니다.

a. 폴더 선택: 작업 영역에서 폴더를 선택하거나 함수 앱이 포함된 폴더로 이동합니다.

b. 구독을 선택합니다. 사용할 구독을 선택합니다.

c. Azure 새 함수 앱 만들기를 선택합니다(고급 옵션을 선택하지 않음).

d. 함수 앱의 전역적으로 고유한 이름을 입력합니다 . URL 경로에 유효한 이름을 입력합니다. 입력한 이름은 Azure Functions 고유하도록 유효성을 검사합니다. (예: CloudflareXX).

e. 런타임 선택: Python 3.8을 선택합니다.

f. 새 리소스의 위치를 선택합니다. 성능 향상 및 비용 절감을 위해 Microsoft Sentinel 있는 동일한 지역을 선택합니다.

배포가 시작됩니다. 함수 앱이 만들어지고 배포 패키지가 적용된 후 알림이 표시됩니다.

함수 앱 구성에 대한 Azure 포털로 이동합니다.

함수 앱 구성

함수 앱에서 함수 앱 이름을 선택하고 구성을 선택합니다.

애플리케이션 설정 탭에서 + 새 애플리케이션 설정을 선택합니다.

각 문자열 값(대/소문자 구분)을 사용하여 다음 애플리케이션 설정을 개별적으로 추가합니다. CONTAINER_NAME AZURE_STORAGE_CONNECTION_STRING WORKSPACE_ID SHARED_KEY logAnalyticsUri(선택 사항)

logAnalyticsUri를 사용하여 전용 클라우드에 대한 로그 분석 API 엔드포인트를 재정의합니다. 예를 들어 퍼블릭 클라우드의 경우 값을 비워 둡니다. Azure GovUS 클라우드 환경의 경우 값을 형식https://WORKSPACE_ID.ods.opinsights.azure.us으로 지정합니다.

모든 애플리케이션 설정이 입력되면 저장을 클릭합니다.

Cloudflare(Blob 컨테이너 사용)(코드리스 커넥터 프레임워크를 통해)

지원:Cloudflare

Cloudflare 데이터 커넥터는 Cloudflare Logpush 및 Azure Blob Storage 사용하여 cloudflare 로그를 Microsoft Sentinel 수집하는 기능을 제공합니다. 자세한 내용은 Cloudflare 설명서를 참조하세요.

참고: 솔루션에서 사용할 수 있는 Cloudflare(Blob 컨테이너 사용) 데이터 커넥터를 사용하려면 Azure Blob Storage 계정과 Microsoft Sentinel 작업 영역이 동일한 Azure 구독 및 동일한 리소스 그룹에 있어야 합니다. 다른 구독 또는 리소스 그룹에 배포하면 커넥터 구성 중에 CreateDataFlowResources와 같은 오류가 정의되지 않을 수 있습니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

CloudflareV2_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

스토리지 계정 및 컨테이너 만들기: Cloudflare에서 logpush를 설정하기 전에 먼저 Microsoft Azure 스토리지 계정 및 컨테이너를 만듭니다. 이 가이드를 사용하여 컨테이너 및 Blob에 대해 자세히 알아보세요. 설명서의 단계에 따라 Azure Storage 계정을 만듭니다.

Blob SAS URL 생성: 만들기 및 쓰기 권한이 필요합니다. Blob SAS 토큰 및 URL에 대한 자세한 내용은 설명서를 참조하세요 .

Cloudflare에서 Blob 컨테이너로 로그 수집: Cloudflare에서 Blob 컨테이너로 로그를 수집하기 위한 설명서 의 단계를 따릅니다.

설치 지침:

Cloudflare 로그를 Microsoft Sentinel 연결

Microsoft Sentinel Cloudflare 로그를 사용하도록 설정하려면 아래 필수 정보를 제공하고 연결을 클릭합니다.

데이터를 수집하려는 Blob 컨테이너의 URL:

Blob 컨테이너의 스토리지 계정 리소스 그룹 이름:

Blob 컨테이너의 스토리지 계정 위치:

Blob 컨테이너의 스토리지 계정 구독 ID:

Blob 컨테이너의 스토리지 계정(있는 경우)의 Event Grid 토픽 이름입니다. 을(를) 비워 두십시오.:

연결 사용/사용 안 함

코그니 주

지원:Cognni

Cognni 커넥터는 Microsoft Sentinel 빠르고 간단한 통합을 제공합니다. Cognni를 사용하여 이전에 분류되지 않은 중요한 정보를 자율적으로 매핑하고 관련 인시던트 검색할 수 있습니다. 이렇게 하면 중요한 정보에 대한 위험을 인식하고, 인시던트의 심각도를 이해하고, 수정해야 하는 세부 정보를 조사할 수 있습니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

CognniIncidents_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

설치 지침:

Cognni에 연결

Cognni 통합 페이지로 이동

'Microsoft Sentinel' 상자에서 '연결'을 클릭합니다.

Cognni 통합 화면의 관련 필드에 'workspaceId' 및 'sharedKey' (아래)를 복사하여 붙여넣습니다.

'연결' 봇톤을 클릭하여 구성을 완료합니다.
곧 Cognni에서 검색된 모든 인시던트가 여기에 전달됩니다(Microsoft Sentinel).

Cognni 사용자가 아닌가요? 참여해 주세요.

작업 영역 ID: <설치 시 제공되는 변수 값>

공유 키: <설치 시 제공되는 변수 값>

응집력(Azure Functions 사용)

지원자:응집력

응집력 함수 앱은 응집력 있는 Datahawk 랜섬웨어 경고를 Microsoft Sentinel 수집하는 기능을 제공합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

Cohesity_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Microsoft.Web/sites 권한: 함수 앱을 만들기 위한 Azure Functions 읽기 및 쓰기 권한이 필요합니다. 자세한 내용은 Azure Functions 참조하세요.

Azure Blob Storage 연결 문자열 및 컨테이너 이름: Azure Blob Storage 연결 문자열 및 컨테이너 이름

설치 지침:

참고: 이 커넥터는 Azure Blob Storage 및 KeyVault에 연결하는 Azure Functions 사용합니다. 이로 인해 추가 비용이 발생할 수 있습니다. 자세한 내용은 Azure Functions 가격 책정 페이지, Azure Blob Storage 가격 책정 페이지 및 Azure KeyVault 가격 책정 페이지를 확인하세요.

(선택적 단계) 작업 영역 및 API 권한 부여 키 또는 토큰을 Azure Key Vault 안전하게 저장합니다. Azure Key Vault 키 값을 저장하고 검색하는 보안 메커니즘을 제공합니다. 다음 지침에 따라 Azure 함수 앱에서 Azure Key Vault 사용합니다.

1단계 - 응집력 있는 DataHawk API 키 가져오기(문제 해결 지침 1 참조)

2단계 - Azure 앱(링크)을 등록하고 애플리케이션(클라이언트) ID, 디렉터리(테넌트) ID 및 비밀 값(지침)을 저장합니다. Azure 스토리지(user_impersonation) 권한을 부여합니다. 또한 적절한 구독의 애플리케이션에 'Microsoft Sentinel 기여자' 역할을 할당합니다.

3단계 - 커넥터 및 연결된 Azure Functions 배포합니다.

ARM(Azure Resource Manager) 템플릿

ARM 템플릿을 사용하여 Cohesity 데이터 커넥터의 자동화된 배포에 이 메서드를 사용합니다.

아래 Azure 배포 단추를 클릭합니다.

aka.ms

기본 구독, 리소스 그룹 및 위치를 선택합니다.

이전 단계에서 만든 매개 변수를 입력합니다.

위에 명시된 사용 약관에 동의함을 표시하는 확인란을 표시합니다.

구매를 클릭하여 배포합니다.

Commvault 보안 IQ (코드리스 커넥터 프레임워크 통해)

지원:Commvault

Commvault Security IQ 데이터 커넥터는 Commvault 환경의 이상 탐지 이벤트를 Microsoft Sentinel로 수집하여 랜섬웨어 및 의심스러운 파일 조작과 같은 백업 인프라 위협에 대한 탐지 및 대응을 가능하게 합니다. 이벤트는 테이블에 CommvaultAlertsCCF_CL 저장됩니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

CommvaultAlertsCCF_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Commvault API 자격 증명: API 요청을 승인하려면 Commvault 환경 기본 URL과 유효한 API 토큰이 필요합니다.

설치 지침:

1. 커넥터 관리

Commvault Security IQ 커넥터 인스턴스를 관리하세요. 각 인스턴스는 하나의 Commvault 환경에 연결됩니다.

Commvault 보안 IQ 커넥터 인스턴스

이 커넥터는 30분마다 Commvault를 폴링하고 위협 이상 이벤트를 테이블에 CommvaultAlertsCCF_CL 반영합니다.

데이터 커넥터 그리드(포털에서 구성)

커먼볼트 보안 IQ

지원:Commvault

이 Azure 함수를 사용하면 Commvault 사용자가 경고/이벤트를 Microsoft Sentinel instance 수집할 수 있습니다. 분석 규칙을 사용하면 Microsoft Sentinel 들어오는 이벤트 및 로그에서 Microsoft Sentinel 인시던트만 자동으로 만들 수 있습니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

CommvaultAlerts_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Microsoft.Web/sites 권한: 함수 앱을 만들기 위한 Azure Functions 읽기 및 쓰기 권한이 필요합니다. 자세한 내용은 Azure Functions 참조하세요.

Commvault Environment 엔드포인트 URL: 설명서를 따르고 KeyVault에서 비밀 값을 설정해야 합니다.

Commvault QSDK 토큰: 설명서를 따르고 KeyVault에서 비밀 값을 설정해야 합니다.

설치 지침:

참고: 이 커넥터는 Azure Functions 사용하여 Commvault 인스턴스에 연결하여 로그를 Microsoft Sentinel 끌어올 수 있습니다. 이로 인해 추가 데이터 수집 비용이 발생할 수 있습니다. 자세한 내용은 Azure Functions 가격 책정 페이지를 확인하세요.

작업 영역 및 API 권한 부여 키 또는 토큰을 Azure Key Vault 안전하게 저장합니다. Azure Key Vault 키 값을 저장하고 검색하는 보안 메커니즘을 제공합니다. 다음 지침에 따라 Azure 함수 앱에서 Azure Key Vault 사용합니다.

1단계 - Commvalut QSDK 토큰에 대한 구성 단계

다음 지침에 따라 API 토큰을 만듭니다.

2단계 - 커넥터 및 연결된 Azure 함수 배포

중요: CommvaultSecurityIQ 데이터 커넥터를 배포하기 전에 작업 영역 ID 및 작업 영역 기본 키(다음에서 복사할 수 있음)와 Commvault 엔드포인트 URL 및 QSDK 토큰을 쉽게 사용할 수 있습니다.

작업 영역 ID: <설치 시 제공되는 변수 값>

기본 키: <설치 시 제공되는 변수 값>

ARM(Azure Resource Manager) 템플릿

Commvault Security IQ 데이터 커넥터의 자동화된 배포에는 이 방법을 사용합니다.

아래 Azure 배포 단추를 클릭합니다.

aka.ms

기본 구독, 리소스 그룹 및 지역을 선택합니다.

작업 영역 ID, 작업 영역 키 '및/또는 기타 필수 필드'를 입력하고 다음을 클릭합니다.

만들기를 클릭하여 배포합니다.

콘트라포스 이벤트

지원:ContraForce

ContraForce 이벤트 커넥터는 ContraForce 작업 공간에서 보안 서비스 전달 이벤트를 Microsoft Sentinel로 수집합니다: 연결된 모든 보안 플랫폼에서의 사고 감지, 관리자 접근 변경(역할 및 멤버 변경), 기계 자격 증명 활동, 파괴적인 작업 공간 행동 등이 포함됩니다. 이 기능을 사용해 ContraForce가 이 작업 공간에서 수행하는 보안 작업을 자신의 센티넬 내부에서 모니터링하세요.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

ContraForceEvents_CL 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

ContraForce 서비스 계정 자격 증명: ContraForce 포털의 설정 > 개발자 항목에서 생성되는 '감사: 내보내기' 범위의 ContraForce 서비스 계정 자격 증명입니다. 서비스 계정은 연결하려는 작업 공간에 역할이 있어야 합니다.

설치 지침:

1. ContraForce 수출 자격 증명 생성

ContraForce 포털에서 설정 > 개발자를 열고, 연결하려는 작업 공간에서 역할이 있는 서비스 계정을 선택(또는 생성)한 뒤, Audit: Export 범위로 자격 증명을 추가 하세요. 클라이언트 ID와 일회성 클라이언트 비밀을 복사하세요.

이벤트는 해당 계정에서 발생하는데, 각 고객 워크스페이스는 해당 이벤트를 위해 연결하고, 서비스 계정과 자격 증명 활동 같은 조직 수준의 이벤트는 귀하의 조직 계정을 연결합니다.

2. ContraForce 작업 공간 연결

ContraForce 포털 URL을 입력한 후(지역 포털(예: 영국 플랫폼 사용 시 변경), ContraForce 작업 공간 ID(ContraForce 포털 URL 및 작업 공간 설정에 표시됨), 1단계에서 받은 자격 증명을 입력한 후 Connect를 선택하세요.

ContraForce 포털 URL: (https://portal.contraforce.com)

ContraForce 작업 공간 ID: (0000000-0000-0000-0000-00000000000)

클라이언트 ID: (클라이언트 ID)

클라이언트 비밀: (클라이언트 비밀)

연결 사용/사용 안 함

대비 ADR 푸시 커넥터

지원:대비 보안

Contrast Security 커넥터는 ADR(대비 애플리케이션 검색 및 대응)에서 Microsoft Sentinel 공격 이벤트 및 인시던트 수집 기능을 제공합니다. 이 커넥터는 OAuth 인증을 사용하여 웹후크 푸시 메커니즘을 통해 데이터를 수신합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

ContrastADRAttackEvents_CL 예 예

ContrastADRIncidents_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Microsoft Entra: Microsoft Entra ID 앱 등록을 만들 수 있는 권한입니다(자동 생성된 앱을 사용하는 경우). 일반적으로 애플리케이션 개발자 역할 이상이 필요합니다.

Microsoft Azure: Azure 리소스(DCE, DCR, 테이블)를 만들고 구성하고 RBAC 역할을 할당할 수 있는 권한입니다. 일반적으로 기여자 및 사용자 액세스 관리자 역할이 필요합니다.

대비 ADR 웹후크 액세스: 대비 ADR 플랫폼에 액세스하여 OAuth 인증 설정을 사용하여 웹후크를 구성합니다.

설치 지침:

1. 커넥터 리소스 배포

Contrast ADR 데이터 수집에 필요한 Azure 리소스를 배포합니다.

배포 옵션 선택

요구 사항에 따라 다음 배포 옵션 중 하나를 선택합니다.

옵션 A: Microsoft Entra 애플리케이션 자동 만들기(권장)

대비 배포 ADR CCF 커넥터를 클릭하면 다음이 자동으로 생성됩니다.

DCE(데이터 수집 엔드포인트)

공격 이벤트 및 인시던트에 대한 스트림이 있는 DCR(데이터 수집 규칙)

Log Analytics 테이블(ContrastADRAttackEvents_CL 및 ContrastADRIncidents_CL)

OAuth 자격 증명을 사용하여 애플리케이션 Microsoft Entra

DCR의 역할 할당(모니터링 메트릭 게시자)

배포 후: 모든 구성 값(테넌트 ID, 클라이언트 ID, 클라이언트 암호, DCE URI, DCR 변경할 수 없는 ID)은 Contrast 플랫폼에 쉽게 복사하기 위해 아래에 자동으로 채워집니다.

옵션 B: BYOA(기존 Microsoft Entra 애플리케이션) 사용

대비 배포 ADR CCF 커넥터를 클릭하면 다음이 생성됩니다.

DCE(데이터 수집 엔드포인트)

공격 이벤트 및 인시던트에 대한 스트림이 있는 DCR(데이터 수집 규칙)

Log Analytics 테이블(ContrastADRAttackEvents_CL 및 ContrastADRIncidents_CL)

Microsoft Entra 애플리케이션(이를 무시할 수 있습니다).

사용 시기: 보안 또는 규정 준수 이유로 재사용하려는 기존 Entra 앱이 있는 경우 추가 단계가 필요합니다.

배포 후 기존 Entra 앱의 서비스 주체에게 생성된 DCR에서 모니터링 메트릭 게시자 역할을 수동으로 할당합니다.

사용자 고유의 Entra 앱의 클라이언트 ID 및 클라이언트 암호 사용(아래에서 자동 생성된 암호 무시)

대비 웹후크 구성에서 아래의 DCE URI 및 DCR 변경할 수 없는 ID 사용

배포를 클릭하여 시작합니다.

2. 대비 ADR 웹후크 구성

다음 값을 복사하여 Contrast ADR 플랫폼에서 Microsoft Sentinel 통합을 구성합니다.

옵션 A(자동 생성 Entra 앱): 아래의 모든 자동 채우기 값을 사용합니다. 옵션 B(기존 Entra 앱): DCE URI, DCR 변경할 수 없는 ID 및 아래의 Stream 이름을 사용하지만 고유한 Entra 앱의 테넌트 ID, 클라이언트 ID 및 클라이언트 암호를 사용합니다.

Azure 구성 값:

테넌트 ID: <설치 시 제공되는 변수 값>

애플리케이션(클라이언트) ID: <설치 시 제공되는 변수 값>

클라이언트 암호: <설치 시 제공되는 변수 값>

DCE(데이터 수집 엔드포인트) URI: <설치 시 제공되는 변수 값>

DCR(데이터 수집 규칙) 변경할 수 없는 ID: <설치 시 제공되는 변수 값>

공격 이벤트 Stream 이름: <설치 시 제공되는 변수 값>

인시던트 Stream 이름: <설치 시 제공되는 변수 값>

대비 ADR 플랫폼에서 구성

Contrast ADR 플랫폼에 로그인

관리 통합 Microsoft Sentinel 이동합니다.>>

위의 모든 구성 값을 복사하여 붙여넣습니다.

테넌트 ID

애플리케이션(클라이언트) ID

클라이언트 암호

DCE(데이터 수집 엔드포인트) URI

DCR(데이터 수집 규칙) 변경할 수 없는 ID

공격 이벤트 Stream 이름

인시던트 Stream 이름

저장을 클릭하여 통합을 완료합니다.

Contrast 플랫폼은 이러한 값을 사용하여 OAuth 인증 및 데이터 엔드포인트를 자동으로 구성합니다.

3. 데이터 수집 확인

데이터가 Contrast ADR에서 Microsoft Sentinel 흐르는지 확인합니다.

확인 단계

Contrast ADR에서 테스트 공격 이벤트 트리거

데이터가 Microsoft Sentinel 표시되기까지 5-10분 정도 기다립니다.

다음 쿼리를 실행하여 공격 이벤트를 확인합니다.

ContrastADRAttackEvents_CL | take 10

인시던트 데이터 확인:

ContrastADRIncidents_CL | take 10

연결 확인:

ContrastADRAttackEvents_CL | summarize LastLogReceived = max(TimeGenerated) | project IsConnected = LastLogReceived > ago(7d)

데이터가 나타나고 IsConnected가 true를 반환하면 커넥터가 올바르게 구성됩니다.

Corelight 커넥터 내보내기

지원자:Corelight

Corelight 데이터 커넥터를 사용하면 Microsoft Sentinel 사용하는 인시던트 응답자 및 위협 사냥꾼이 더 빠르고 효과적으로 작업할 수 있습니다. 데이터 커넥터는 Corelight Sensors를 통해 Zeek과 Suricata에서 Microsoft Sentinel에서 Azure Monitor Logs Ingestion API를 통해 이벤트를 인제스팅할 수 있게 합니다. 이벤트는 Corelight 센서에서 데이터 수집 엔드포인트(DCE)로 전송되며, 로그 유형별 데이터 수집 규칙(DCR)에 따라 전용 Corelight_v3_*_CL 테이블로 라우팅됩니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

Corelight 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

Microsoft Entra ID 애플리케이션: Microsoft Entra ID에서 애플리케이션을 등록하고 클라이언트 비밀을 생성할 수 있는 권한입니다. 보통 애플리케이션 개발자 이상의 직무가 필요합니다.

Azure 역할 할당: 배포된 데이터 수집 규칙에 대해 모니터링 메트릭스 Publisher 역할을 할당할 권한. 일반적으로 대상 리소스 그룹에서 소유자 또는 사용자 접근 관리자 역할이 필요합니다.

Corelight 센서 접근: Microsoft Sentinel 내보내기를 구성할 수 있는 Corelight 센서(또는 Fleet Manager)에 대한 관리자 권한.

설치 지침:

참고: 이 데이터 커넥터는 Kusto 함수를 기반으로 하는 파서에 따라 Microsoft Sentinel Solution과 함께 배포되는 예상 Corelight로 작동합니다.

1. 코어라이트 데이터 수집 자원 배포

작업 공간 내에서 데이터 수집 엔드포인트(DCE), Corelight_v3_*_CL 테이블, 그리고 Corelight 로그 유형당 하나의 데이터 수집 규칙(DCR)을 생성하는 ARM 템플릿을 배포하세요.

아래 버튼을 사용하여 커넥터 리소스를 Microsoft Sentinel 작업 공간과 동일한 구독 및 리소스 그룹에 배포하세요.

aka.ms

요청받으면 다음을 제공하라:

매개 변수 Value

workspace Log Analytics 작업 공간의 이름(ID 아님)

workspace-location 작업 공간의 Azure 영역

resourceId 작업 공간의 전체 리소스 ID

배포하면 다음이 생성됩니다:

하나의 데이터 컬렉션 엔드포인트 이름 dce-corelight-<workspace> (작업 공간 이름이 17자로 축약됨)

Corelight 로그 타입마다 하나의 맞춤형 테이블, 이름이 지정됩니다 Corelight_v3_<log_type>_CL

로그 유형당 하나의 데이터 수집 규칙, dcr-corelight-<workspace>-<log_type>각 태그는 다음과 같이 태그됩니다. corelight-log-type

참고: Azure는 리소스 이름을 64자로 제한하며, 가장 긴 Corelight 로그 타입은 32자이므로, 템플릿은 엔드포인트 이름과 규칙 이름을 만들 때 작업 공간 이름의 처음 17자만 사용합니다. 작업 공간 이름이 17자를 초과하면 배포된 리소스는 해당 축소된 접두사 이름을 따서 명명됩니다. 예를 들어 dcr-corelight-<first-17-chars>-<log_type>.

참고: 많은 테이블과 규칙이 생성되기 때문에 배포가 완료되는 데 몇 분이 걸릴 수 있습니다. 끝날 때까지 기다렸다가 계속하세요.

2. Microsoft Entra ID 애플리케이션을 등록하기.

Corelight 센서는 Microsoft Entra ID 애플리케이션으로 로그 인제스션 API에 인증합니다. 애플리케이션과 클라이언트 시크릿을 생성한 후 값을 기록하세요.

애플리케이션 만들기

Azure 포털에서 Microsoft Entra ID > 앱 등록 > New registration으로 가세요.

예를 Corelight Sentinel Connector들어 이름을 입력하세요.

지원 계정 유형 항목에서 이 조직 디렉터리의 계정만 선택하세요.

Redirect URI를 비워두고 등록을 선택하세요.

애플리케이션 개요 페이지에서 애플리케이션(클라이언트) ID와 디렉터리(테넌트) ID를 복사하세요.

클라이언트 암호 만들기

애플리케이션 페이지에서 Certificates and secrets > , client secrets, > New client secret으로 이동하세요.

설명을 입력하고, 만료일을 선택한 후 추가를 선택하세요.

비밀 값을 즉시 복사하십시오. 이 카드는 단 한 번만 보여지며 이후에는 회수할 수 없습니다.

이제 Corelight 센서가 요구하는 Tenant ID, Client ID, Client Secret 을 갖게 되었습니다.

자세한 내용은 Microsoft Entra ID로 애플리케이션 등록을 참조하세요.

3. 신청서에 DCR 접근 권한을 부여합니다

이 앱은 DCR에 두 개의 Azure 역할이 필요합니다:

모니터링 메트릭스 Publisher — DCR에 로그 데이터를 기록하는 기능.

리더 — 익스포터가 DCR을 쿼리하고 시작 시 태그로 corelight-log-type 각 로그 유형을 DCR과 매칭할 수 있도록 합니다.

리소스 그룹 범위에서 두 가지 모두 할당하여 1단계에서 생성된 모든 Corelight 데이터 수집 규칙에 적용되도록 하세요.

배포된 DCE와 DCR이 포함된 리소스 그룹으로 이동하세요.

접근 제어(IAM)를 선택하여 > 역할 할당 추가>.

역할 탭에서 Monitoring Metrics Publisher를 검색하고 선택하세요.

멤버 탭에서 User, Group, 또는 Service principal을 선택한 후 2단계에서 등록한 애플리케이션을 선택하세요.

검토 + 할당을 선택합니다.

리더 역할에 대해 역할 할당을 반복하세요.

참고: 역할 할당은 발효까지 몇 분이 걸릴 수 있습니다. 센서가 할당 직후 인증 오류를 즉시 보고하면 기다렸다가 다시 시도하세요.

Microsoft Graph에 권한을 부여하세요

익스포터는 태그에서 DCR ID를 조회하기 위해 사용하는 Microsoft Graph 권한도 필요합니다.

앱 등록에서 API 권한으로 가세요.

Microsoft Graph User.Read (위임됨) 목록이 등록되어 있는지 확인하세요. 새 앱 등록은 기본적으로 이 권한을 포함하므로 보통 별도의 조치가 필요하지 않습니다.

만약 권한이 없다면, 'Microsoft Graph > 권한 추가 > '를 선택한 후 '권한 추가'를 검색User.Read하여 선택한 후 권한 추가를 선택하세요.

4. Corelight 익스포터에 필요한 값을 수집합니다.

Corelight 익스포터는 태그별로 데이터 수집 규칙을 발견합니다. 데이터 수집 엔드포인트 URI, 구독 ID를 수집하고 DCR 태그와 스트림 이름 패턴을 확인하세요.

데이터 수집 엔드포인트 URI

모니터 > 설정>, 데이터 수집 엔드포인트로 가세요.

를 선택합니다 dce-corelight-<workspace>.

개요 페이지에서 로그 수집 URI를 복사하세요. 형식은 https://dce-corelight-<workspace>-<suffix>.<region>.ingest.monitor.azure.com입니다.

구독 ID

배포된 데이터 수집 엔드포인트와 데이터 수집 규칙이 포함된 구독 ID를 복사하세요.

Azure 포털에서 구독을 검색하고 열어보세요.

배포된 리소스가 포함된 구독을 선택하세요.

개요 페이지에서 구독 ID를 복사하세요.

데이터 수집 규칙 로그 유형 태그

배포는 모든 Corelight 데이터 수집 규칙에 해당 로그가 허용하는 로그 유형으로 태그합니다. 익스포터는 이 태그를 사용해 각 로그에 맞는 올바른 DCR을 선택하므로 불변 ID를 수동으로 입력할 필요가 없습니다.

태그 Value

corelight-log-type 예를 들어 conn, Corelight 로그 타입, dns, http

solution Corelight

포털에서 배포된 규칙과 그 로그 유형을 확인하려면 '모니터 > 설정 데이터 > 수집 규칙 '으로 가서 dcr-corelight-<workspace>-<log_type>'.

Azure CLI로 등록할 수도 있습니다. 아래 섹션에 설명된 대로 포털에서 Azure Cloud Shell의 명령을 실행하세요.

az monitor data-collection rule list \ --resource-group <resource-group> \ --query "[?tags.solution=='Corelight'].{logType:tags.\"corelight-log-type\", name:name}" \ --output table

Running the Azure CLI commands from the Azure portal

이 커넥터의 Azure CLI 명령어는 Azure Cloud Shell을 사용해 포털에서 직접 실행할 수 있으며, 로컬 설치 없이 가능합니다.

Azure 포털에서 상단 툴바의 Cloud Shell 아이콘(>_)을 선택하거나 https://shell.azure.com.

환경을 선택하라는 안내가 있을 때 Bash를 선택하세요. 아래 명령어들은 Bash용으로 작성된 것입니다.

Cloud Shell을 처음 사용하신다면, 저장 계정을 생성하거나 선택하는 안내를 따라 하세요.

올바른 구독 여부를 확인하고, 필요하면 변경하세요:

az account show --output table az account set --subscription "<subscription-name-or-id>"

CLI 확장 기능에 포함된 데이터 수집 규칙 명령어를 추가하세요:

az extension add --name monitor-control-service

실행하고 싶은 명령어를 붙여넣고, , , <workspace>를 대체<resource-group>하고, <log_type> 본인의 값으로 바꾸세요.

참고: 명령어는 az monitor data-collection rule 확장 기능을 필요로 monitor-control-service 합니다. 만약 확장 프로그램 없이 실행하면, Cloud Shell은 첫 번째 확장 프로그램을 자동으로 설치해 줍니다.

스트림 이름

각 DCR은 목적지 테이블 이름을 딴 단일 스트림을 선언합니다:

Custom-<table_name>

대부분의 로그 유형에서 테이블 이름은 패턴 Corelight_v3_<log_type>_CL을 따릅니다. 예를 들어, 로그 타입은 conn 테이블 Corelight_v3_conn_CL에 있는 하천 Custom-Corelight_v3_conn_CL 과 랜즈를 사용합니다. 그래서 다음 단계에서 내보내기 스트림 이름 템플릿이 다음과 Custom-Corelight_v3_$LOG_CL 같이 설정되어 있습니다.

중요: 긴 이름을 가진 소수의 로그 유형은 Log Analytics가 테이블 이름 길이를 제한하기 때문에 테이블 이름을 단축합니다. 그 로그 유형에서는 스트림 이름이 그렇지 않습니다 Custom-Corelight_v3_<log_type>_CL, 그리고 템플릿이 $LOG 올바른 스트림으로 해결되지 않습니다. 5단계의 목록을 확인하세요.

규칙에서 스트림 이름을 직접 읽으려면, 모니터 > 설정 > 의 데이터 수집 규칙 > 아래 포털을 사용하여 JSON View 규칙 > 을 선택하거나 실행하세요:

az monitor data-collection rule show \ --resource-group <resource-group> \ --name dcr-corelight-<workspace>-<log_type> \ --query "keys(streamDeclarations)" \ --output tsv

데이터 수집 규칙 불변 ID (참조 전용)

익스포터는 태그를 통해 corelight-log-type 규칙을 해결하므로 설정 시 변경 불가능한 ID가 필요하지 않습니다. 문제 해결이나 직접 로그 인제스션 API 호출을 위해 필요하다면, 포털의 모니터 > 설정>, 데이터 수집 규칙 > 아래에서 읽고 JSON View >>immutableId규칙을 선택하거나 실행하세요:

az monitor data-collection rule show \ --resource-group <resource-group> \ --name dcr-corelight-<workspace>-conn \ --query immutableId \ --output tsv

5. Corelight 센서에서 Microsoft Sentinel 익스포터 설정

앞서 수집한 값을 사용하여 Corelight 센서나 Fleet Manager에서 Microsoft Sentinel 익스포터를 생성하세요. 이 익스포터는 Corelight 플랫폼에서 구성되어 있으며 Corelight에서 문서화되어 있습니다.

Corelight 플랫폼에서 익스포터를 설정하세요

코어라이트 문서

수출기는 Corelight 플랫폼에서 센서 웹 인터페이스 또는 Fleet Manager를 사용하여 생성 및 관리됩니다. Corelight 자체 문서에서 익스포터 생성 단계, 지원되는 센서 및 플릿 매니저 버전, 동적 익스포터 옵션 활성화, 배포 시 프라이빗 CA 번들 업로드 등을 참고하세요:

Corelight 문서: Microsoft Sentinel dynamic exporter

시작하기 전 주의 사항

이 커넥터의 1단계부터 4단계까지 완료되었으며, 데이터 수집 엔드포인트 URI, 구독 ID, 애플리케이션 자격 증명을 갖추게 됩니다.

센서 또는 플릿 매니저는 포트 443의 아웃바운드 HTTPS를 통해 데이터 수집 엔드포인트에 접근할 수 있습니다. 아웃바운드 트래픽이 프록시를 통과해야 한다면, 프록시 URL을 준비해 두세요.

센서가 Microsoft Sentinel 동적 익스포터 버전을 지원하는 버전을 실행하며, 동적 익스포터 옵션이 활성화되어 있습니다. Corelight 문서에는 활성화해야 할 버전과 설정이 나와 있습니다.

익스포터에 입력할 값

Microsoft Sentinel 익스포터를 생성할 때 이 값을 입력하세요. 여기 없는 설정은 Corelight에서 별도의 조언이 없는 한 기본 상태로 두세요.

코어라이트 익스포터 설정 사용할 값

테넌트 ID Step 2, application Directory (tenant) ID

클라이언트 ID 2단계, 애플리케이션 애플리케이션(클라이언트) ID

클라이언트 암호 2단계, 클라이언트 비밀 값

구독 ID 4단계, DCE와 DCR을 포함하는 구독

데이터 컬렉션 엔드포인트 4단계, 로그의 URI 인제

DCR 로그 타입 태그 corelight-log-type

스트림 이름 Custom-Corelight_v3_$LOG_CL

중요: 익스포터는 기본 스트림 이름 템플릿 Custom-Corelight_v2_$LOG_CL을 함께 제공합니다. 이 해법은 테이블을 생성 v3 하므로 템플릿을 로 변경 Custom-Corelight_v3_$LOG_CL해야 합니다. 기본값을 그대로 두면 존재하지 않는 스트림에 이벤트가 전송되고 데이터가 거부됩니다.

익스포터의 로그 타입 필터를 사용해 어떤 Zeek 로그가 내보내지는지 제어하세요. 입력하려는 로그 유형만 활성화하세요.

참고: 많은 로그 유형을 인식스하면 Microsoft Sentinel 데이터 인제 비용이 증가합니다. 전체 세트를 활성화하기 전에 Microsoft Sentinel 가격 페이지를 꼭 확인하세요.

스트림 이름 템플릿에 포함되지 않는 로그 유형

26개의 로그 유형은 Log Analytics의 테이블 이름 길이 제한 Custom-Corelight_v3_$LOG_CL 으로 인해 테이블 이름이 단축되어 스트림으로 해석되지 않습니다. 이 중 하나를 인징하려면, 템플릿에 의존하지 않고 아래 값에서 스트림 이름을 명시적으로 설정하세요.

로그 형식 스트림 이름

modbus_read_device_identification Custom-Corelight_v3_modbus_read_device_identificatio_CL

modbus_read_write_multiple_registers Custom-Corelight_v3_modbus_read_write_multiple_regis_CL

opcua_binary_activate_session_client_software_cert Custom-Corelight_v3_opcua_binary_activate_session_cl_CL

opcua_binary_activate_session_locale_id Custom-Corelight_v3_opcua_binary_activate_session_lo_CL

opcua_binary_browse_request_continuation_point Custom-Corelight_v3_opcua_binary_browse_request_cont_CL

opcua_binary_browse_response_references Custom-Corelight_v3_opcua_binary_browse_response_ref_CL

opcua_binary_create_monitored_items Custom-Corelight_v3_opcua_binary_cm_items_CL

opcua_binary_create_monitored_items_create_item Custom-Corelight_v3_opcua_binary_cm_create_item_CL

opcua_binary_create_session_discovery Custom-Corelight_v3_opcua_binary_create_session_disc_CL

opcua_binary_create_session_endpoints Custom-Corelight_v3_opcua_binary_create_session_endp_CL

opcua_binary_create_session_user_token Custom-Corelight_v3_opcua_binary_create_session_user_CL

opcua_binary_event_filter_attribute_operand Custom-Corelight_v3_opcua_binary_event_filter_attrib_CL

opcua_binary_event_filter_attribute_operand_browse_paths Custom-Corelight_v3_opcua_bef_attr_operand_bpaths_CL

opcua_binary_event_filter_element_operand Custom-Corelight_v3_opcua_binary_event_filter_elemen_CL

opcua_binary_event_filter_literal_operand Custom-Corelight_v3_opcua_binary_event_filter_litera_CL

opcua_binary_event_filter_select_clause Custom-Corelight_v3_opcua_binary_event_filter_select_CL

opcua_binary_event_filter_simple_attribute_operand Custom-Corelight_v3_opcua_binary_event_filter_simple_CL

opcua_binary_event_filter_simple_attribute_operand_browse_paths Custom-Corelight_v3_opcua_bef_smpl_attr_bpaths_CL

opcua_binary_event_filter_where_clause Custom-Corelight_v3_opcua_bef_where_clause_CL

opcua_binary_event_filter_where_clause_elements Custom-Corelight_v3_opcua_bef_where_clause_elements_CL

opcua_binary_get_endpoints_description Custom-Corelight_v3_opcua_binary_get_endpoints_descr_CL

opcua_binary_get_endpoints_discovery Custom-Corelight_v3_opcua_binary_get_endpoints_disco_CL

opcua_binary_get_endpoints_locale_id Custom-Corelight_v3_opcua_binary_get_endpoints_local_CL

opcua_binary_get_endpoints_profile_uri Custom-Corelight_v3_opcua_binary_get_endpoints_profi_CL

opcua_binary_get_endpoints_user_token Custom-Corelight_v3_opcua_binary_get_endpoints_user_CL

opcua_binary_variant_extension_object Custom-Corelight_v3_opcua_binary_variant_extension_o_CL

도움말 보기

익스포터 자체, 센서 또는 플릿 매니저 설정, 지원 버전, CA 번들, 센서에서 보고된 익스포터 오류에 관한 문의는 Corelight TAM 또는 SE, 또는 Corelight 지원팀에 문의하세요.info@corelight.com

수출기가 성공을 보고했는데 데이터가 워크스페이스에 도달하지 않는다면, 문제는 보통 Azure 쪽에 있습니다. 3단계에서 할당된 역할, 데이터 수집 엔드포인트 URI, 스트림 이름을 확인한 후 6단계로 진행하세요.

6. 데이터 인제 검증

Corelight 센서에서 발생하는 이벤트가 작업 공간에 도착하고 있는지 확인하세요.

익스포터 설정 후 5분에서 15분 정도 기다린 후 첫 이벤트가 나타나고, 그 후 로그에서 다음 쿼리를 실행하세요.

어떤 Corelight 테이블이 데이터를 받고 있는지 확인하세요:

union withsource=TableName Corelight_v3_*_CL | summarize EventCount = count(), LastReceived = max(TimeGenerated) by TableName | sort by LastReceived desc

연결 이벤트를 구체적으로 확인하세요:

Corelight_v3_conn_CL | take 10

연결 확인:

Corelight_v3_conn_CL | summarize LastLogReceived = max(TimeGenerated) | project IsConnected = LastLogReceived > ago(30m)

데이터가 나타나지 않으면 Azure 쪽에서 다음 사항을 확인하세요:

3단계의 모니터링 메트릭스 Publisher 역할 할당은 리소스 그룹 범위에 존재하며 발효되었습니다. 역할 할당은 전파하는 데 몇 분이 걸릴 수 있습니다.

익스포터의 데이터 수집 엔드포인트 값은 4단계의 로그 인제스팅 URI와 일치합니다.

내보내기 스트림 이름 템플릿은 Custom-Corelight_v3_$LOG_CL 기본값이 아니 v2 며, 5단계에서 단축된 스트림 이름을 가진 로그 유형은 명시적인 스트림 이름으로 구성됩니다.

DCR 로그 타입 태그는 corelight-log-type이며, 활성화한 로그 타입에 대한 규칙은 리소스 그룹에 존재합니다.

위 값이 맞고 센서가 여전히 내보내기 오류를 보고한다면, 5단계에서 설명한 대로 Corelight 지원팀에 연락하세요.

Cortex XDR - 인시던트

지원:DEFEND Ltd.

DEFENDER의 사용자 지정 데이터 커넥터를 사용하여 Cortex API를 활용하여 Cortex XDR 플랫폼에서 Microsoft Sentinel 인시던트 수집

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

CortexXDR_Incidents_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Cortex API 자격 증명: REST API에는 Cortex API 토큰 이 필요합니다. 자세한 내용은 API를 참조하세요. 모든 요구 사항을 확인하고 자격 증명을 얻기 위한 지침을 따릅니다.

설치 지침:

Cortex XDR API 사용

Cortex API를 통해 Microsoft Sentinel Cortex XDR을 연결하여 Cortex 인시던트 처리

크리블

지원자:Cribl

Cribl 커넥터를 사용하면 Cribl(Cribl Enterprise Edition - 독립 실행형) 로그를 Microsoft Sentinel 쉽게 연결할 수 있습니다. 이렇게 하면 organization 데이터 파이프라인에 대한 보안 인사이트를 더 많이 얻을 수 있습니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

CriblInternal_CL 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

설치 지침:

Microsoft Sentinel Cribl Stream 설치 및 설정 지침

이 Github 리포지토리의 설명서를 사용하고 를 사용하여 Cribl Stream 구성합니다.

https://docs.cribl.io/stream/usecase-azure-workspace/

CrowdStrike API 데이터 커넥터(코드리스 커넥터 프레임워크를 통해)

지원:Microsoft Corporation

CrowdStrike 데이터 커넥터를 사용하면 CrowdStrike API에서 Microsoft Sentinel 로그를 수집할 수 있습니다. 이 커넥터는 CrowdStrike 경고, 검색, 호스트, 사례 및 취약성 을 Microsoft Sentinel 수집하는 기능을 제공합니다. 이 커넥터는 Microsoft Sentinel Codeless Connector Framework를 기반으로 하며 CrowdStrike API를 사용하여 로그를 가져옵니다. 쿼리를 보다 효율적으로 실행할 수 있도록 DCR 기반 수집 시간 변환을 지원합니다. 자세한 내용은 CrowdStrike API 설명서를 참조하세요.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

CrowdStrikeAlertsV2_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Crowdstrike OAuth2 API 클라이언트 및 범위: #### 필수 API 범위 CrowdStrike Falcon 콘솔에서 지원 및 리소스 > API 클라이언트와 키로 이동하고, API 클라이언트를 선택한 후 읽기 권한이 있는 다음 범위들을 활성화하세요: 알림, 케이스, 탐지, 호스트, 스포트라이트 취약점. 자세한 내용은 API를 참조하세요.

설치 지침:

CrowdStrike를 Microsoft Sentinel 연결

API URL 및 클라이언트 자격 증명 조회: CrowdStrike 콘솔에 로그인한 후 API 섹션으로 이동하여 기본 API URL을 복사하세요. CrowdStrike 계정의 API 자격 증명 섹션에서 클라이언트 ID와 클라이언트 비밀을 확인하세요.

기본 API URL, 클라이언트 ID 및 클라이언트 암호를 검색하는 방법에 대한 자세한 지침은 커넥터 자습서를 참조하세요.

솔루션 버전 3.4.0 이후 버전은 CrowdStrike V2 테이블을 사용합니다. 기존 쿼리는 업데이트된 파서를 사용해 주세요. 여기에서 해결책의 릴리스 노트를 참고하세요

크라우드스트라이크 연결 관리

CrowdStrike API 연결 추가, 조회 및 관리

데이터 커넥터 그리드(포털에서 구성)

검색 쿼리(연결 성공 후)

로그가 수집되면 CrowdStrikeDetections 테이블에는 로 그룹화된 개별 경고 레코드가 aggregate_id포함됩니다. 실제 검색 수준 동작을 보려면 다음 KQL 쿼리를 사용하여 검색 그룹별로 경고를 집계합니다.

CrowdStrikeDetections | summarize AlertCount = count(), FirstSeen = min(CreatedTimestamp), LastSeen = max(CreatedTimestamp), MaxSeverity = max(Severity) by AggregateId

CrowdStrike Falcon 적대적 인텔리전스(Azure Functions 사용)

지원:Microsoft Corporation

CrowdStrike Falcon 손상 지표 커넥터는 Falcon Intel API에서 손상 지표를 검색하여 위협 인텔에 Microsoft Sentinel 업로드합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

ThreatIntelIndicators 예 아니요

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Microsoft.Web/sites 권한: 함수 앱을 만들기 위한 Azure Functions 읽기 및 쓰기 권한이 필요합니다. 자세한 내용은 Azure Functions 참조하세요.

CrowdStrike API 클라이언트 ID 및 클라이언트 암호: CROWDSTRIKE_CLIENT_ID, CROWDSTRIKE_CLIENT_SECRET, CROWDSTRIKE_BASE_URL. CrowdStrike 자격 증명에는 지표(Falcon Intelligence)가 scope 읽어야 합니다.

설치 지침:

1단계 - CrowdStrike API 자격 증명 생성

'표시기(팔콘 인텔리전스)' scope '읽기'가 선택되어 있는지 확인합니다.

2단계 - 클라이언트 암호를 사용하여 Entra 앱을 등록합니다.

Entra 앱 주체에게 해당 로그 분석 작업 영역에 대한 'Microsoft Sentinel 기여자' 역할 할당을 제공합니다. Azure 역할을 할당하는 방법입니다.

3단계 - 커넥터 및 연결된 Azure 함수를 배포하려면 다음 두 가지 배포 옵션 중 하나를 선택합니다.

중요: CrowdStrike Falcon 손상 지표 커넥터를 배포하기 전에 작업 영역 ID를 갖습니다(다음에서 복사할 수 있음).

작업 영역 ID: <설치 시 제공되는 변수 값>

옵션 1 - ARM(Azure Resource Manager) 템플릿

ARM Tempate를 사용하여 CrowdStrike Falcon Adversary Intelligence 커넥터 커넥터의 자동화된 배포에 이 방법을 사용합니다.

아래 Azure 배포 단추를 클릭합니다.

aka.ms

다음 매개 변수를 제공합니다. CrowdStrikeClientId, CrowdStrikeClientSecret, CrowdStrikeBaseUrl, WorkspaceId, TenantId, Indicators, AadClientId, AadClientSecret, LookBackDays

옵션 2 - Azure Functions 수동 배포

다음 단계별 지침을 사용하여 Azure Functions(Visual Studio Code 통해 배포)를 사용하여 CrowdStrike Falcon Adversary Intelligence 커넥터를 수동으로 배포합니다.

함수 앱 배포

참고: Azure 함수 개발을 위해 VS 코드를 준비해야 합니다.

Azure 함수 앱 파일을 다운로드합니다. 로컬 개발 컴퓨터에 보관 파일을 추출합니다.

VS Code를 시작합니다. 주 메뉴에서 파일을 선택하고 폴더 열기를 선택합니다.

추출된 파일에서 최상위 폴더를 선택합니다.

작업 표시줄에서 Azure 아이콘을 선택한 다음, Azure: 함수 영역에서 함수에 배포 앱 단추를 선택합니다. 아직 로그인하지 않은 경우 활동 표시줄에서 Azure 아이콘을 선택한 다음, Azure: 함수 영역에서 로그인을 선택하여 Azure 이미 로그인한 경우 다음 단계로 이동합니다.

프롬프트에서 다음 정보를 제공합니다.

a. 폴더 선택: 작업 영역에서 폴더를 선택하거나 함수 앱이 포함된 폴더로 이동합니다.

b. 구독을 선택합니다. 사용할 구독을 선택합니다.

c. Azure 새 함수 앱 만들기를 선택합니다(고급 옵션을 선택하지 않음).

d. 함수 앱의 전역적으로 고유한 이름을 입력합니다 . URL 경로에 유효한 이름을 입력합니다. 입력한 이름은 Azure Functions 고유하도록 유효성을 검사합니다. (예: CrowdStrikeFalconIOCXXXXX).

e. 런타임 선택: Python 3.12를 선택합니다.

f. 새 리소스의 위치를 선택합니다. 성능 향상 및 비용 절감을 위해 Microsoft Sentinel 있는 동일한 지역을 선택합니다.

배포가 시작됩니다. 함수 앱이 만들어지고 배포 패키지가 적용된 후 알림이 표시됩니다.

함수 앱 구성에 대한 Azure 포털로 이동합니다.

함수 앱 구성

함수 앱에서 함수 앱 이름을 선택하고 구성을 선택합니다.

애플리케이션 설정 탭에서 새 애플리케이션 설정을 선택합니다.

각 문자열 값(대/소문자 구분)을 사용하여 다음 애플리케이션 설정을 개별적으로 추가합니다. CROWDSTRIKE_CLIENT_ID CROWDSTRIKE_CLIENT_SECRET CROWDSTRIKE_BASE_URL TENANT_ID INDICATORS WorkspaceKey AAD_CLIENT_ID AAD_CLIENT_SECRET LOOK_BACK_DAYS WORKSPACE_ID

모든 애플리케이션 설정이 입력되면 저장을 클릭합니다.

CrowdStrike Falcon Data Replicator(CrowdStrike Managed AWS-S3) (Azure Functions 사용)

지원:Microsoft Corporation

이 커넥터를 사용하면 잠재적인 보안 위험 평가, 공동 작업 활동 분석, 구성 문제 식별 및 기타 운영 인사이트를 지원하기 위해 Azure Functions 사용하여 FDR 데이터를 Microsoft Sentinel 수집할 수 있습니다.
참고:
1. CrowdStrike FDR 라이선스를 사용할 수 있어야 & 사용하도록 설정해야 합니다.
2. 커넥터는 키 & 비밀 기반 인증을 사용하며 CrowdStrike 관리형 버킷에 적합합니다.
3. 완전 소유 AWS S3 버킷을 사용하는 환경의 경우 Microsoft는 CrowdStrike Falcon Data Replicator(AWS S3) 커넥터를 사용하는 것이 좋습니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

CrowdStrikeReplicatorV2 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

Microsoft.Web/sites 권한: 함수 앱을 만들기 위한 Azure Functions 읽기 및 쓰기 권한이 필요합니다. 자세한 내용은 Azure Functions 참조하세요.

SQS 및 AWS S3 계정 자격 증명/권한: AWS_SECRET, AWS_REGION_NAME, AWS_KEY, QUEUE_URL 필요합니다. 자세한 내용은 데이터 풀을 참조하세요. 시작하려면 CrowdStrike 지원에 문의하세요. 요청 시 단기 스토리지 목적으로 CrowdStrike 관리형 AWS(Amazon Web Services) S3 버킷과 S3 버킷에 대한 변경 내용을 모니터링하기 위한 SQS(단순 큐 서비스) 계정을 만듭니다.

설치 지침:

참고: 이 커넥터는 Azure Functions 사용하여 AWS SQS/S3에 연결하여 로그를 Microsoft Sentinel 끌어올 수 있습니다. 이로 인해 추가 데이터 수집 비용이 발생할 수 있습니다. 자세한 내용은 Azure Functions 가격 책정 페이지를 확인하세요.

(선택적 단계) API 권한 부여 키 또는 토큰을 Azure Key Vault 안전하게 저장합니다. Azure Key Vault 키 값을 저장하고 검색하는 보안 메커니즘을 제공합니다. 다음 지침에 따라 Azure 함수 앱에서 Azure Key Vault 사용합니다.

필수 구성 요소

CrowdStrike에서 FDR 구성 - CrowdStrike FDR을 사용하도록 설정하려면 CrowdStrike 지원 팀에 문의해야 합니다.

CrowdStrike FDR이 사용하도록 설정되면 CrowdStrike 콘솔에서 지원 --> API 클라이언트 및 키로 이동합니다.

AWS 액세스 키 ID, AWS 비밀 액세스 키, SQS 큐 URL 및 AWS 지역을 복사하려면 새 자격 증명을 만들어야 합니다.

AAD 애플리케이션 등록 - DCR이 로그 분석에 데이터를 수집하려면 AAD 애플리케이션을 사용해야 합니다.

여기의 지침 (1-5단계)에 따라 AAD 테넌트 ID, AAD 클라이언트 ID 및 AAD 클라이언트 암호를 가져옵니다.

이 애플리케이션의 AAD 보안 주체 ID의 경우 AAD 포털을 통해 AAD 앱에 액세스하고 애플리케이션 개요 페이지에서 개체 ID를 캡처합니다.

배포 옵션

다음 두 배포 옵션 중 하나를 선택하여 커넥터 및 연결된 Azure 함수를 배포합니다.

옵션 1 - ARM(Azure Resource Manager) 템플릿

ARM Tempate를 사용하여 Crowdstrike Falcon Data Replicator 커넥터 V2의 자동화된 배포에 이 메서드를 사용합니다.

아래 Azure 배포 단추를 클릭합니다.

aka.ms aka.ms

Microsoft Sentinel 작업 영역, CrowdStrike AWS 자격 증명, Azure AD 애플리케이션 세부 정보 및 수집 구성과 같은 필수 세부 정보를 제공합니다.

참고: 동일한 리소스 그룹 내에서는 Windows 및 Linux 앱을 동일한 지역에 혼합할 수 없습니다. Windows 앱이 없는 기존 리소스 그룹을 선택하거나 새 리소스 그룹을 만듭니다. 함수 앱 및 관련 리소스를 배포하기 위한 새 리소스 그룹을 만드는 것이 좋습니다. 3. 위에 명시된 사용 약관에 동의함을 표시하는 확인란을 표시합니다. 4. 구매 를 클릭하여 배포합니다.

옵션 2 - Azure Functions 수동 배포

다음 단계별 지침을 사용하여 Azure Functions(Visual Studio Code 통해 배포)를 사용하여 수동으로 Crowdstrike Falcon Data Replicator 커넥터를 배포합니다.

데이터 수집을 위해 DCE, DCR 및 사용자 지정 테이블 배포

데이터 수집 리소스 ARM 템플릿을 사용하여 필요한 DCE, DCR 및 사용자 지정 테이블 배포

DCE 및 DCR을 성공적으로 배포한 후 아래 정보를 가져와 편리하게 유지합니다(Azure Functions 앱 배포 중에 필요).

DCE 로그 수집 - 데이터 수집 엔드포인트 만들기 (3단계)에서 사용할 수 있는 지침을 따릅니다.

하나 이상의 DCR의 변경할 수 없는 ID(해당하는 경우) - DCR에서 정보 수집 (Stpe 2)에서 사용할 수 있는 지침을 따릅니다.

함수 앱 배포

Azure 함수 앱 파일을 다운로드합니다. 로컬 개발 컴퓨터에 보관 파일을 추출합니다.

함수 앱 수동 배포 지침에 따라 VSCode를 사용하여 Azure Functions 앱을 배포합니다.

함수 앱을 성공적으로 배포한 후 구성을 위한 다음 단계를 수행합니다.

함수 앱 구성

함수 앱 구성에 대한 Azure 포털로 이동합니다.

함수 앱에서 함수 앱 이름을 선택하고 구성을 선택합니다.

애플리케이션 설정 탭에서 새 애플리케이션 설정을 선택합니다.

각 문자열 값(대/소문자 구분)을 사용하여 다음 애플리케이션 설정을 개별적으로 추가합니다. 보조 데이터가 필요한 경우 //True를 USER_SELECTION_REQUIRE_SECONDARY //True를 AWS_KEY AWS_SECRET AWS_REGION_NAME QUEUE_URL USER_SELECTION_REQUIRE_RAW. 보조 데이터가 사용 시 // 100이고 Premium MAX_QUEUE_MESSAGES_MAIN_QUEUE MAX_SCRIPT_EXEC_TIME_MINUTES // 의 경우 150을 추가합니다AZURE_TENANT_ID AZURE_CLIENT_ID AZURE_CLIENT_SECRET DCE_INGESTION_ENDPOINT NORMALIZED_DCR_ID RAW_DATA_DCR_ID EVENT_TO_TABLE_MAPPING_LINK // 파일이 github에 있습니다. 인터넷 REQUIRED_FIELDS_SCHEMA_LINK //File을 사용하여 파일에 액세스할 수 있으면 github에 추가합니다. 파일을 '0 */1 * *'으로 인터넷 일정 //Add 값을 사용하여 파일에 액세스할 수 있으면 를 추가하여 함수가 1분마다 실행되도록 합니다.

모든 애플리케이션 설정이 입력되면 저장을 클릭합니다.

CrowdStrike Falcon 데이터 복제기 (사용자 관리 AWS-S3) (코드리스 커넥터 프레임워크를 통해)

지원:Microsoft Corporation

S3(Crowdstrike Falcon Data Replicator) 커넥터는 FDR 로그가 스트리밍된 AWS S3 버킷에서 Microsoft Sentinel FDR 이벤트 데이터를 수집하는 기능을 제공합니다. 커넥터는 잠재적인 보안 위험을 검사하고, 팀의 공동 작업 사용을 분석하고, 구성 문제를 진단하는 데 도움이 되는 Falcon 에이전트에서 이벤트를 가져오는 기능을 제공합니다.
참고:
1. CrowdStrike FDR 라이선스를 사용할 수 있어야 & 사용하도록 설정해야 합니다.
2. 커넥터는 AWS S3 버킷에 대한 액세스를 허용하기 위해 AWS에서 IAM 역할을 구성해야 하며 CrowdStrike - 관리형 버킷을 활용하는 환경에 적합하지 않을 수 있습니다.
3. CrowdStrike 관리 버킷을 활용하는 환경의 경우 CrowdStrike Falcon 데이터 복제자(CrowdStrike 관리 AWS S3) 커넥터를 구성하세요.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

CrowdStrike_Additional_Events_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

설치 지침:

요구 사항: Falcon 데이터 복제자 기능을 사용하려면 다음이 필요합니다.

구독: 1.1. Falcon 데이터 복제자. 1.2. 팔콘 인사이트 XDR.

역할: 2.1. Falcon 관리자.

CrowdStrike & AWS 환경 설정 AWS에 대한 액세스를 구성하려면 제공된 다음 두 템플릿을 사용하여 AWS 환경을 설정합니다. 이렇게 하면 S3 버킷에서 Log Analytics 작업 영역으로 로그를 보낼 수 있습니다.

각 템플릿에 대해 AWS에서 Stack을 만듭니다.

AWS CloudFormation Stacks로 이동합니다.

'템플릿 지정' 옵션을 선택한 다음, '파일 선택'을 클릭하고 아래에 제공된 적절한 CloudFormation 템플릿 파일을 선택하여 '템플릿 파일 업로드'를 선택합니다. '파일 선택'을 클릭하고 다운로드한 템플릿을 선택합니다.

'다음' 및 '스택 만들기'를 클릭합니다.

버킷이 FDR 피드가 프로비전된 Falcon CID와 동일한 AWS 지역에 만들어지는지 확인합니다. | CrowdStrike 지역 | AWS 지역 | |-----------------|-----------| | US-1 | us-west-1 | | US-2 | us-west-2 | | EU-1 | eu-central-1

템플릿 1: OpenID 연결 인증 배포: <설치 시 제공되는 변수 값>

템플릿 2: AWS CrowdStrike 리소스 배포: <설치 시> 제공되는 변수 값 사용자 고유의 S3 버킷을 사용하기 위해 사용자 고유의 S3 버킷을 사용하려면 다음 가이드 사용자 고유의 S3 버킷을 사용 하거나 다음 단계를 수행할 수 있습니다.

다음 이름으로 지원 사례 만들기: FDR에 Self S3 버킷 사용

다음 정보를 추가합니다. 2.1. FDR 피드가 프로비전되는 Falcon CID는 2.2입니다. 이 새 FDR 피드에서 제공하려는 이벤트 유형을 나타냅니다. 2.3. 이 새 FDR 피드에서 제공하려는 이벤트 유형을 나타냅니다. 2.4. 파티션을 사용하지 마세요.

이벤트 유형 S3 접두사

기본 이벤트 데이터/

보조 이벤트 fdrv2/

새 수집기 연결 Microsoft Sentinel AWS S3을 사용하도록 설정하려면 새 수집기 추가 단추를 클릭하고 컨텍스트 창에서 필요한 정보를 입력하고 연결을 클릭합니다.

데이터 커넥터 그리드(포털에서 구성)

CTERA 시스로그

지원:CTERA

Microsoft Sentinel 위한 CTERA 데이터 커넥터는 CTERA 솔루션에 대한 모니터링 및 위협 탐지 기능을 제공합니다. 여기에는 형식, 삭제 및 거부된 액세스 작업당 모든 작업의 합계를 시각화하는 통합 문서가 포함되어 있습니다. 또한 랜섬웨어 인시던트 검색 및 의심스러운 랜섬웨어 활동으로 인해 사용자가 차단될 때 경고하는 분석 규칙도 제공합니다. 또한 대량 액세스 거부 이벤트, 대량 삭제 및 대량 권한 변경과 같은 중요한 패턴을 식별하여 사전 위협 관리 및 대응을 가능하게 합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

Syslog 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

설치 지침:

1단계: CTERA 플랫폼을 Syslog에 연결

CTERA 포털 syslog 연결 설정 및 Syslog 커넥터 Edge-Filer

2단계: Syslog Server에 AMA(Azure Monitor Agent) 설치

syslog 서버에 AMA(Azure Monitor Agent)를 설치하여 데이터 수집을 사용하도록 설정합니다.

CTM360 CyberBlindSpot(서버리스)

지원:사이버 위협 관리 360

CTM360 CBS(Cyber Blind Spot) 커넥터는 CTM360의 CBS 플랫폼과 통합되어 인시던트, 맬웨어 로그, 위반된 자격 증명, 손상된 카드, 도메인 침해 및 하위 도메인 침해의 6가지 모듈 유형에서 보안 데이터를 수집합니다. 이 커넥터는 서버리스 데이터 수집에 CCF(Codeless Connector Framework)를 사용합니다.

데이터 형식:

CBSLog_AzureV2_CL

CBS_MalwareLogs_AzureV2_CL

CBS_BreachedCredentials_AzureV2_CL

CBS_CompromisedCards_AzureV2_CL

CBS_DomainInfringement_AzureV2_CL

CBS_SubdomainInfringement_AzureV2_CL

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

CBSLog_AzureV2_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

CTM360 CBS API 키: CBS API 엔드포인트에 연결하려면 유효한 CTM360 Cyber Blind Spot API 키가 필요합니다.

설치 지침:

CTM360 사이버 사각지대를 Microsoft Sentinel 연결

이 커넥터는 CCF(Codeless Connector Framework)를 사용하여 CTM360 CBS에서 Microsoft Sentinel 데이터를 수집합니다. 데이터는 6가지 모듈 유형에서 5분마다 수집됩니다.

참고: 이 커넥터는 인시던트, 맬웨어 로그, 위반된 자격 증명, 손상된 카드, 도메인 침해 및 하위 도메인 침해 등 다양한 CBS 모듈 유형에 대해 6개의 개별 테이블을 만듭니다.

1단계: CTM360 API 키 가져오기

이 통합을 설정하려면 CBS API 키가 필요합니다. 다음 링크를 사용하여 이러한 키를 가져올 수 있습니다.

이 링크에서 찾은 CBS API 키: https://platform.ctm360.com/start/integrations 계정으로 로깅한 후

2단계: 연결 구성

CTM360 CBS API 키를 입력하고 연결하여 데이터 수집을 시작합니다.

CTM360 CBS API 키: (CTM360 CBS API 키 입력)

연결 사용/사용 안 함

3단계: 데이터 수집 확인

연결한 후 5-10분 이내에 데이터가 흐르기 시작해야 합니다. 위의 샘플 쿼리를 사용하여 각 모듈 형식에 대한 데이터 수집을 확인합니다.

참고: 초기 데이터 수집에는 최대 30분이 걸릴 수 있습니다. 커넥터는 5분 롤링 창으로 5분마다 폴링합니다.

CTM360 HackerView(서버리스)

지원:사이버 위협 관리 360

CTM360 HackerView 커넥터를 사용하면 HackerView 외부 공격 표면 관리 플랫폼에서 보안 문제와 취약성을 Microsoft Sentinel 수집할 수 있습니다. 이 서버리스 커넥터는 REST API를 사용하여 분석 및 다른 보안 이벤트와의 상관 관계를 위해 문제 데이터를 자동으로 가져옵니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

HackerViewLog_AzureV2_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

HackerView API 키: 문제 데이터에 액세스할 수 있는 권한이 있는 유효한 HackerView API 키가 필요합니다.

설치 지침:

CTM360 HackerView를 Microsoft Sentinel 연결

이 커넥터는 HackerView REST API를 사용하여 보안 문제를 Microsoft Sentinel 자동으로 수집합니다.

참고: 이 커넥터는 Azure CCF(Codeless Connector Framework)를 사용하는 서버리스 커넥터입니다. Azure 함수 배포가 필요하지 않습니다.

1단계: CTM360 API 키 가져오기

이 통합을 설정하려면 HackerView API 키가 필요합니다. 다음 링크를 사용하여 이러한 키를 가져올 수 있습니다.

이 링크에서 찾은 HackerView API 키: https://platform.ctm360.com/start/integrations 계정으로 로깅한 후

2단계: 커넥터 구성

HackerView API 키를 입력하고 연결을 클릭하여 데이터 수집을 시작합니다.

API 키: (HackerView API 키 입력)

연결 사용/사용 안 함

3단계: 데이터 수집 확인

연결한 후 5-10분 이내에 데이터가 흐르기 시작해야 합니다. 다음 쿼리를 실행하여 확인합니다.

참고: HackerViewLog_AzureV2_CL | take 10

AMA를 통한 사용자 지정 로그

지원:Microsoft Corporation

대부분의 애플리케이션은 Windows 이벤트 로그, Syslog 또는 CEF와 같은 표준 로깅 서비스 대신 텍스트 또는 JSON 파일에 정보를 기록합니다. 사용자 지정 로그 데이터 커넥터를 사용하면 Windows 및 Linux 컴퓨터의 파일에서 이벤트를 수집하고 사용자가 만든 사용자 지정 로그 테이블로 스트리밍할 수 있습니다. 데이터를 스트리밍하는 동안 DCR을 사용하여 콘텐츠를 구문 분석하고 변환할 수 있습니다. 데이터를 수집한 후 분석 규칙, 헌팅, 검색, 위협 인텔리전스, 보강 등을 적용할 수 있습니다.

참고: 다음 디바이스에 이 커넥터를 사용합니다 . Cisco Meraki, ZPA(Zscaler Private Access), VMware vCenter, Apache HTTP 서버, Apache Tomcat, Jboss Enterprise 애플리케이션 플랫폼, Juniper IDP, MarkLogic Audit, MongoDB Audit, Nginx HTTP 서버, Oracle Weblogic Server, PostgreSQL 이벤트, 오징어 프록시, 유비퀴티 유니피, SecurityBridge 위협 탐지 SAP 및 AI vectra stream.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

JBossEvent_CL 아니요 아니요

JuniperIDP_CL 예 예

ApacheHTTPServer_CL 예 예

Tomcat_CL 예 예

meraki_CL 예 예

VectraStream_CL 아니요 아니요

MarkLogicAudit_CL 아니요 아니요

MongoDBAudit_CL 예 예

NGINX_CL 예 예

OracleWebLogicServer_CL 예 예

PostgreSQL_CL 예 예

SquidProxy_CL 예 예

Ubiquiti_CL 예 예

vcenter_CL 예 예

ZPA_CL 예 예

SecurityBridgeLogs_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

사용 권한: Azure 아닌 VM에서 데이터를 수집하려면 Azure Arc를 설치하고 사용하도록 설정해야 합니다. 자세한 정보

설치 지침:

데이터 수집 규칙 사용

사용자 지정 로그는 Windows 및 Linux 에이전트 모두에서 수집됩니다.

에이전트 설치: <설치 시 제공되는 변수 값>

사이버아크 EPM

지원:CyberArk 지원

CyberArk Endpoint Privilege Manager 데이터 커넥터를 사용하면 Microsoft Sentinel REST API를 통해 CyberArk EPM에서 보안 이벤트 로그 및 기타 이벤트를 수집할 수 있습니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

CyberArk_EPMEvents_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

CyberArk EPM 플랫폼: CyberArk EPM 플랫폼에서 필요한 구성을 수행하기 위한 액세스

설치 지침:

CyberArk EPM API에 연결하여 Microsoft Sentinel 이벤트 로그 수집 시작

여기의 구성 단계에 따라 Microsoft Sentinel CyberArk EPM과 통합하고 Microsoft Sentinel 내에서 엔드포인트 이벤트에 대한 중앙 집중식 모니터링을 사용하도록 설정합니다.

웹앱 ID: (OAuth2 서버 웹앱 ApplicationID)

지역 기반 테넌트 URL: (예: api-na.epm.cyberark.cloud)

ID 설정: (이벤트를 폴링할 쉼표로 구분된 EPM 집합 ID 목록)

ID 엔드포인트: (예: kln9281.id.cyberark.cloud)

CyberArkEPM(Azure Functions 사용)

지원:CyberArk 지원

CyberArk Endpoint Privilege Manager 데이터 커넥터는 REST API를 통해 CyberArk EPM 서비스의 보안 이벤트 로그 및 더 많은 이벤트를 Microsoft Sentinel로 검색하는 기능을 제공합니다. 커넥터를 사용하면 이벤트 검색을 통해 잠재적인 보안 위험을 평가하고, 공동 작업을 모니터링하고, 구성 문제를 진단하고 해결할 수 있습니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

CyberArkEPM_Events_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Microsoft.Web/sites 권한: 함수 앱을 만들기 위한 Azure Functions 읽기 및 쓰기 권한이 필요합니다. 자세한 내용은 Azure Functions 참조하세요.

REST API 자격 증명/권한: API 호출을 수행하려면 OauthUsername, OauthPassword, IdentityEndpoint, EPMRegionHost 및 WebAppID 가 필요합니다.

설치 지침:

참고: 이 커넥터는 Azure Functions 사용하여 CyberArk EPM API에 연결하여 로그를 Microsoft Sentinel 끌어옵니다. 이로 인해 데이터 수집 및 데이터를 Azure Blob Storage 비용에 저장하는 추가 비용이 발생할 수 있습니다. 자세한 내용은 Azure Functions 가격 책정 페이지 및 Azure Blob Storage 가격 책정 페이지를 확인하세요.

참고: API 권한 부여 키 또는 토큰은 Azure Key Vault 안전하게 저장됩니다. Azure Key Vault 키 값을 저장하고 검색하는 보안 메커니즘을 제공합니다.

참고: 이 데이터 커넥터는 kusto 함수를 기반으로 하는 파서에 따라 Microsoft Sentinel Solution과 함께 배포되는 예상 CyberArkEPM으로 작동합니다.

1단계 - CyberArk EPM API에 대한 구성 단계

지침에 따라 OAuth2 자격 증명을 가져옵니다.

CyberArk EPM 계정에 대한 OauthUsername, OauthPassword, WebAppID, IdentityEndpoint 및 EPMRegionHost 를 가져옵니다.

2단계 - 커넥터 및 연결된 Azure 함수를 배포하려면 다음 두 가지 배포 옵션 중 하나를 선택합니다.

중요: CyberArk EPM 데이터 커넥터를 배포하기 전에 작업 영역 이름 및 작업 영역 위치를 갖습니다(다음에서 복사할 수 있음).

작업 영역 이름: <설치 시 제공되는 변수 값>

작업 영역 위치: <설치 시 제공되는 변수 값>

옵션 1 - ARM(Azure Resource Manager) 템플릿

ARM 템플릿을 사용하여 CyberArk EPM 데이터 커넥터의 자동화된 배포에 이 방법을 사용합니다.

아래 Azure 배포 단추를 클릭합니다.

aka.ms

기본 구독, 리소스 그룹 및 위치를 선택합니다.

참고: 동일한 리소스 그룹 내에서는 Windows 및 Linux 앱을 동일한 지역에 혼합할 수 없습니다. Windows 앱이 없는 기존 리소스 그룹을 선택하거나 새 리소스 그룹을 만듭니다. 3. OauthUsername, OauthPassword, IdentityEndpoint, EPMRegionHost 및 WebAppID 를 입력하고 배포합니다. 4. 위에 명시된 사용 약관에 동의함을 표시하는 확인란을 표시합니다. 5. 구매 를 클릭하여 배포합니다.

옵션 2 - Azure Functions 수동 배포

다음 단계별 지침을 사용하여 Azure Functions(Visual Studio Code 통해 배포)를 사용하여 CyberArk EPM 데이터 커넥터를 수동으로 배포합니다.

함수 앱 배포

참고: Azure 함수 개발을 위해 VS 코드를 준비해야 합니다.

Azure 함수 앱 파일을 다운로드합니다. 로컬 개발 컴퓨터에 보관 파일을 추출합니다.

VS Code를 시작합니다. 주 메뉴에서 파일을 선택하고 폴더 열기를 선택합니다.

추출된 파일에서 최상위 폴더를 선택합니다.

작업 표시줄에서 Azure 아이콘을 선택한 다음, Azure: 함수 영역에서 함수에 배포 앱 단추를 선택합니다. 아직 로그인하지 않은 경우 활동 표시줄에서 Azure 아이콘을 선택한 다음, Azure: 함수 영역에서 로그인을 선택하여 Azure 이미 로그인한 경우 다음 단계로 이동합니다.

프롬프트에서 다음 정보를 제공합니다.

a. 폴더 선택: 작업 영역에서 폴더를 선택하거나 함수 앱이 포함된 폴더로 이동합니다.

b. 구독을 선택합니다. 사용할 구독을 선택합니다.

c. Azure 새 함수 앱 만들기를 선택합니다(고급 옵션을 선택하지 않음).

d. 함수 앱의 전역적으로 고유한 이름을 입력합니다 . URL 경로에 유효한 이름을 입력합니다. 입력한 이름은 Azure Functions 고유하도록 유효성을 검사합니다. (예: CyberArkXXXXX).

e. 런타임 선택: Python 3.12를 선택합니다.

f. 새 리소스의 위치를 선택합니다. 성능 향상 및 비용 절감을 위해 Microsoft Sentinel 있는 동일한 지역을 선택합니다.

배포가 시작됩니다. 함수 앱이 만들어지고 배포 패키지가 적용된 후 알림이 표시됩니다.

함수 앱 구성에 대한 Azure 포털로 이동합니다.

함수 앱 구성

함수 앱에서 함수 앱 이름을 선택하고 구성을 선택합니다.

애플리케이션 설정 탭에서 새 애플리케이션 설정을 선택합니다.

각 문자열 값(대/소문자 구분)을 사용하여 다음 애플리케이션 설정을 개별적으로 추가합니다. OAuthUsername OAuthPassword IdentityEndpoint EPMRegionHost WebAppID

모든 애플리케이션 설정이 입력되면 저장을 클릭합니다.

Cybersixgill 실행 가능한 경고(Azure Functions 사용)

지원:Cybersixgill

실행 가능한 경고는 구성된 자산에 따라 사용자 지정된 경고를 제공합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

CyberSixgill_Alerts_CL 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

Microsoft.Web/sites 권한: 함수 앱을 만들기 위한 Azure Functions 읽기 및 쓰기 권한이 필요합니다. 자세한 내용은 Azure Functions 참조하세요.

REST API 자격 증명/권한: API 호출을 수행하려면 Client_ID 및 Client_Secret 필요합니다.

설치 지침:

참고: 이 커넥터는 Azure Functions 사용하여 Cybersixgill API에 연결하여 경고를 Microsoft Sentinel. 이로 인해 데이터 수집 및 데이터를 Azure Blob Storage 비용에 저장하는 추가 비용이 발생할 수 있습니다. 자세한 내용은 Azure Functions 가격 책정 페이지 및 Azure Blob Storage 가격 책정 페이지를 확인하세요.

(선택적 단계) 작업 영역 및 API 권한 부여 키 또는 토큰을 Azure Key Vault 안전하게 저장합니다. Azure Key Vault 키 값을 저장하고 검색하는 보안 메커니즘을 제공합니다. 다음 지침에 따라 Azure 함수 앱에서 Azure Key Vault 사용합니다.

작업 영역 ID: <설치 시 제공되는 변수 값>

기본 키: <설치 시 제공되는 변수 값>

옵션 1 - ARM(Azure Resource Manager) 템플릿

ARM Tempate를 사용하여 Cybersixgill Actionable Alerts 데이터 커넥터의 자동화된 배포에 이 방법을 사용합니다.

아래 Azure 배포 단추를 클릭합니다.

aka.ms

기본 구독, 리소스 그룹 및 위치를 선택합니다.

작업 영역 ID, 작업 영역 키, 클라이언트 ID, 클라이언트 암호, TimeInterval 및 배포를 입력합니다.

위에 명시된 사용 약관에 동의함을 표시하는 확인란을 표시합니다.

구매를 클릭하여 배포합니다.

옵션 2 - Azure Functions 수동 배포

다음 단계별 지침을 사용하여 Azure Functions 사용하여 Cybersixgill Actionable Alerts 데이터 커넥터를 수동으로 배포합니다(Visual Studio Code 통해 배포).

함수 앱 배포

참고: Azure 함수 개발을 위해 VS 코드를 준비해야 합니다.

Azure 함수 앱 파일을 다운로드합니다. 로컬 개발 컴퓨터에 보관 파일을 추출합니다.

VS Code를 시작합니다. 주 메뉴에서 파일을 선택하고 폴더 열기를 선택합니다.

추출된 파일에서 최상위 폴더를 선택합니다.

작업 표시줄에서 Azure 아이콘을 선택한 다음, Azure: 함수 영역에서 함수에 배포 앱 단추를 선택합니다. 아직 로그인하지 않은 경우 활동 표시줄에서 Azure 아이콘을 선택한 다음, Azure: 함수 영역에서 로그인을 선택하여 Azure 이미 로그인한 경우 다음 단계로 이동합니다.

프롬프트에서 다음 정보를 제공합니다.

a. 폴더 선택: 작업 영역에서 폴더를 선택하거나 함수 앱이 포함된 폴더로 이동합니다.

b. 구독을 선택합니다. 사용할 구독을 선택합니다.

c. Azure 새 함수 앱 만들기를 선택합니다(고급 옵션을 선택하지 않음).

d. 함수 앱의 전역적으로 고유한 이름을 입력합니다 . URL 경로에 유효한 이름을 입력합니다. 입력한 이름은 Azure Functions 고유하도록 유효성을 검사합니다. (예: CybersixgillAlertsXXX).

e. 런타임 선택: Python 3.11을 선택합니다.

f. 새 리소스의 위치를 선택합니다. 성능 향상 및 비용 절감을 위해 Microsoft sentinel이 있는 동일한 지역을 선택합니다.

배포가 시작됩니다. 함수 앱이 만들어지고 배포 패키지가 적용된 후 알림이 표시됩니다.

함수 앱 구성에 대한 Azure 포털로 이동합니다.

함수 앱 구성

함수 앱에서 함수 앱 이름을 선택하고 구성을 선택합니다.

애플리케이션 설정 탭에서 + 새 애플리케이션 설정을 선택합니다.

각 문자열 값(대/소문자 구분)을 사용하여 다음 애플리케이션 설정을 개별적으로 추가합니다. ClientID ClientSecret Polling WorkspaceID WorkspaceKey logAnalyticsUri(선택 사항)

logAnalyticsUri를 사용하여 전용 클라우드에 대한 로그 분석 API 엔드포인트를 재정의합니다. 예를 들어 퍼블릭 클라우드의 경우 값을 비워 둡니다. Azure GovUS 클라우드 환경의 경우 다음 형식으로 값을 지정합니다.https://<CustomerId>.ods.opinsights.azure.us

모든 애플리케이션 설정이 입력되면 저장을 클릭합니다.

Cyble Vision 경고

지원:Cyble 지원

Cyble Vision 경고 CCF 데이터 커넥터를 사용하면 코드리스 커넥터 프레임워크 커넥터를 사용하여 Cyble Vision에서 Microsoft Sentinel 위협 경고를 수집할 수 있습니다. API를 통해 경고 데이터를 수집하고, 정규화하고, 고급 검색, 상관 관계 및 응답을 위해 사용자 지정 테이블에 저장합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

CybleVisionAlerts_CL 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

Cyble Vision API 토큰: Cyble Vision Platform의 API 토큰이 필요합니다.

설치 지침:

1단계 - Cyble Platform에서 API 토큰 생성

Cyble Platform으로 이동하여 Cyble Vision 자격 증명을 사용하여 로그인합니다.

로그인한 후 왼쪽 패널로 이동하여 유틸리티로 아래로 스크롤 합니다. 액세스 API를 클릭합니다. 페이지의 오른쪽 위 모서리에서 + (추가) 아이콘을 클릭하여 새 API 키를 생성합니다. 별칭(키의 이름)을 제공하고 생성을 클릭합니다. 생성된 API 토큰을 복사하고 안전하게 저장합니다.

2단계 - 데이터 커넥터 구성

Microsoft Sentinel 돌아가서 Cyble Vision Alerts 데이터 커넥터 구성 페이지를 엽니다. Cyble API 토큰을 'API 세부 정보' 아래의 API 토큰 필드에 붙여넣습니다.

API 토큰: (API 토큰 입력)

쿼리 간격(분): (시간(분) 입력(예: 10))

연결 사용/사용 안 함

사이보그 보안 HUNTER 헌트 패키지

지원:사이보그 보안

Cyborg Security는 첨단 위협 헌팅 솔루션의 선도적인 공급자이며, 조직에서 사이버 위협을 사전에 탐지하고 대응할 수 있는 최첨단 기술 및 공동 작업 도구를 역량을 강화하는 임무를 맡고 있습니다. 사이보그 보안의 주력 제품인 HUNTER Platform은 강력한 분석, 큐레이팅된 위협 헌팅 콘텐츠 및 포괄적인 사냥 관리 기능을 결합하여 효과적인 위협 헌팅 작업을 위한 동적 에코시스템을 만듭니다.

단계에 따라 Cyborg Security 커뮤니티에 액세스하고 HUNTER 플랫폼에서 '도구에서 열기' 기능을 설정합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

SecurityEvent 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

설치 지침:

참고: 다음 링크를 사용하여 Azure Tentant ID Azure Active Directory 테넌트 ID를 찾는 방법

ResourceGroupName & WorkspaceName: <설치 시 제공되는 변수 값>

WorkspaceID: <설치 시 제공되는 변수 값>

1. 사이보그 보안의 HUNTER 커뮤니티 계정에 등록

Cyborg Security는 커뮤니티 Memebers에게 신흥 위협 컬렉션 및 헌팅 패키지의 하위 집합에 대한 액세스를 제공합니다.

무료 Commuinity 계정을 만들어 Cyborg Security의 헌트 패키지에 액세스할 수 있습니다. 지금 등록하세요!

2. 도구에서 열기 기능 구성

HUNTER 플랫폼의 환경 섹션으로 이동합니다.

Microsoft Sentinel 레이블이 지정된 섹션에서 환경의 루트 URI를 입력합니다. 굵게 <표시된 항목을> 구독, 리소스 그룹 및 작업 영역의 ID 및 이름으로 바꿉니다.

https[]()://portal.azure.com#@**AzureTenantID**/blade/Microsoft_OperationsManagementSuite_Workspace/Logs.ReactView/resourceId/%2Fsubscriptions%2F**AzureSubscriptionID**%2Fresourcegroups%2F**ResourceGroupName**%2Fproviders%2Fmicrosoft.operationalinsights%2Fworkspaces%2F<**WorkspaceName**>/

저장을 클릭합니다.

3. Microsoft Sentinel 헌터 사냥 팩키 실행

사이보그 보안 HUNTER 사냥 패키지를 식별하여 도구에서 열기 단추를 배포하고 사용하여 Microsoft Sentinel 빠르게 열고 헌팅 콘텐츠를 준비합니다.

Cyera DSPM Microsoft Sentinel Data Connector

지원:Cyera Inc.

Cyera DSPM 데이터 커넥터를 사용하면 Cyera의 DSPM 테넌트와 연결하고 분류, 자산, 문제 및 ID 리소스/정의를 Microsoft Sentinel 수집할 수 있습니다. 데이터 커넥터는 Microsoft Sentinel 코드리스 커넥터 프레임워크를 기반으로 하며, Cyera의 API를 사용하여 수신된 Cyera의 DSPM 원격 분석을 가져오면 사용자 지정 열을 만드는 보안 이벤트와 상관 관계를 지정할 수 있으므로 쿼리가 다시 구문 분석할 필요가 없으므로 성능이 향상됩니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

CyeraClassifications_CL 아니요 아니요

CyeraAssets_CL 아니요 아니요

CyeraAssets_MS_CL 아니요 아니요

CyeraIssues_CL 아니요 아니요

CyeraIdentities_CL 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

설치 지침:

Cyera DSPM 인증

개인용 액세스 토큰을 통해 Cyera DSPM 테넌트에 연결

Cyera 개인용 액세스 토큰 클라이언트 ID: (client_id)

Cyera 개인용 액세스 토큰 비밀 키: (secret_key)

연결 사용/사용 안 함

CYFIRMA 공격 표면

지원:CYFIRMA

해당 없음

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

CyfirmaASCertificatesAlerts_CL 예 예

CyfirmaASConfigurationAlerts_CL 예 예

CyfirmaASDomainIPReputationAlerts_CL 예 예

CyfirmaASOpenPortsAlerts_CL 예 예

CyfirmaASCloudWeaknessAlerts_CL 예 예

CyfirmaASDomainIPVulnerabilityAlerts_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

설치 지침:

CYFIRMA 공격 표면

CYFIRMA 공격 Surface에 연결하여 경고를 Microsoft Sentinel 수집합니다. 이 커넥터는 DeCYFIR/DeTCT API를 사용하여 로그를 검색하고 DCR 기반 수집 시간 변환을 지원하며 수집 중에 보안 데이터를 사용자 지정 테이블로 구문 분석합니다. 이렇게 하면 쿼리 시간 구문 분석이 필요하지 않으며 성능과 효율성이 향상됩니다.

CYFIRMA API URL: (https://decyfir.cyfirma.com)

CYFIRMA API 키: (CYFIRMA API 키)

API 델타: (API 델타)

연결 사용/사용 안 함

CYFIRMA 브랜드 인텔리전스

지원:CYFIRMA

해당 없음

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

CyfirmaBIDomainITAssetAlerts_CL 예 예

CyfirmaBIExecutivePeopleAlerts_CL 예 예

CyfirmaBIProductSolutionAlerts_CL 예 예

CyfirmaBISocialHandlersAlerts_CL 예 예

CyfirmaBIMaliciousMobileAppsAlerts_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

설치 지침:

CYFIRMA 브랜드 인텔리전스

CYFIRMA Brand Intelligence에 연결하여 경고 데이터를 Microsoft Sentinel 수집합니다. 이 커넥터는 DeCYFIR/DeTCT 경고 API를 사용하여 로그를 검색하고 DCR 기반 수집 시간 변환을 지원하며 수집 중에 보안 데이터를 사용자 지정 테이블로 구문 분석합니다. 이렇게 하면 쿼리 시간 구문 분석이 필요하지 않고 성능과 효율성이 향상됩니다.

CYFIRMA API URL: (https://decyfir.cyfirma.com)

CYFIRMA API 키: (CYFIRMA API 키)

API 델타: (API 델타)

연결 사용/사용 안 함

CYFIRMA 손상된 계정

지원:CYFIRMA

CYFIRMA 손상된 계정 데이터 커넥터를 사용하면 DeCYFIR/DeTCT API에서 Microsoft Sentinel 원활하게 로그 수집할 수 있습니다. Microsoft Sentinel Codeless Connector Framework를 기반으로 하여 DeCYFIR/DeTCT API를 활용하여 로그를 검색합니다. 또한 수집 중에 보안 데이터를 사용자 지정 테이블로 구문 분석하는 DCR 기반 수집 시간 변환을 지원합니다. 이렇게 하면 쿼리 시간 구문 분석이 필요하지 않으며 성능과 효율성이 향상됩니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

CyfirmaCompromisedAccounts_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

설치 지침:

CYFIRMA 손상된 계정

CYFIRMA 손상된 계정 데이터 커넥터를 사용하면 DeCYFIR/DeTCT API에서 Microsoft Sentinel 원활하게 로그 수집할 수 있습니다. Microsoft Sentinel Codeless Connector Framework를 기반으로 하여 DeCYFIR/DeTCT API를 활용하여 로그를 검색합니다. 또한 수집 중에 보안 데이터를 사용자 지정 테이블로 구문 분석하는 DCR 기반 수집 시간 변환을 지원합니다. 이렇게 하면 쿼리 시간 구문 분석이 필요하지 않으며 성능과 효율성이 향상됩니다.

CYFIRMA API URL: (https://decyfir.cyfirma.com)

CYFIRMA API 키: (CYFIRMA API 키)

API 델타: (API 델타)

연결 사용/사용 안 함

CYFIRMA 사이버 인텔리전스

지원:CYFIRMA

CYFIRMA Cyber Intelligence 데이터 커넥터를 사용하면 DeCYFIR API에서 Microsoft Sentinel 원활하게 로그 수집할 수 있습니다. Microsoft Sentinel Codeless Connector Framework를 기반으로 하여 DeCYFIR 경고 API를 활용하여 로그를 검색합니다. 또한 수집 중에 보안 데이터를 사용자 지정 테이블로 구문 분석하는 DCR 기반 수집 시간 변환을 지원합니다. 이렇게 하면 쿼리 시간 구문 분석이 필요하지 않으며 성능과 효율성이 향상됩니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

CyfirmaIndicators_CL 예 예

CyfirmaThreatActors_CL 예 예

CyfirmaCampaigns_CL 예 예

CyfirmaMalware_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

설치 지침:

CYFIRMA 사이버 인텔리전스

이 커넥터는 CYFIRMA 사이버 인텔리전스의 지표, 위협 행위자, 맬웨어 및 캠페인 로그를 제공합니다. 커넥터는 DeCYFIR API를 사용하여 로그를 검색하고 DCR 기반 수집 시간 변환을 지원하며 수집 중에 보안 데이터를 사용자 지정 테이블로 구문 분석합니다. 이렇게 하면 쿼리 시간 구문 분석이 필요하지 않으며 성능과 효율성이 향상됩니다.

CYFIRMA API URL: (https://decyfir.cyfirma.com)

CYFIRMA API 키: (CYFIRMA API 키)

모든 IoC 또는 맞춤형 IoC 끌어오기: (모든 IoC 또는 맞춤형 IoC)

API 델타: (API 델타)

권장 작업: (권장 작업은 모두/모니터/차단 중 하나일 수 있습니다.)

연결된 위협 행위자: (IoC와 연결된 위협 행위자임)

연결 사용/사용 안 함

CYFIRMA 디지털 위험

지원:CYFIRMA

CYFIRMA 디지털 위험 경고 데이터 커넥터를 사용하면 DeCYFIR/DeTCT API에서 Microsoft Sentinel 원활한 로그 수집을 수행할 수 있습니다. Microsoft Sentinel Codeless Connector Framework를 기반으로 하여 DeCYFIR 경고 API를 활용하여 로그를 검색합니다. 또한 수집 중에 보안 데이터를 사용자 지정 테이블로 구문 분석하는 DCR 기반 수집 시간 변환을 지원합니다. 이렇게 하면 쿼리 시간 구문 분석이 필요하지 않으며 성능과 효율성이 향상됩니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

CyfirmaDBWMPhishingAlerts_CL 예 예

CyfirmaDBWMRansomwareAlerts_CL 예 예

CyfirmaDBWMDarkWebAlerts_CL 예 예

CyfirmaSPESourceCodeAlerts_CL 예 예

CyfirmaSPEConfidentialFilesAlerts_CL 예 예

CyfirmaSPEPIIAndCIIAlerts_CL 예 예

CyfirmaSPESocialThreatAlerts_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

설치 지침:

CYFIRMA 디지털 위험

CYFIRMA 디지털 위험 경고에 연결하여 로그를 Microsoft Sentinel 수집합니다. 이 커넥터는 DeCYFIR/DeTCT API를 사용하여 경고를 검색하고 효율적인 로그 구문 분석을 위해 DCR 기반 수집 시간 변환을 지원합니다.

CYFIRMA API URL: (https://decyfir.cyfirma.com)

CYFIRMA API 키: (CYFIRMA API 키)

API 델타: (API 델타)

연결 사용/사용 안 함

CYFIRMA 취약성 인텔리전스

지원:CYFIRMA

CYFIRMA 취약성 인텔리전스 데이터 커넥터를 사용하면 DeCYFIR API에서 Microsoft Sentinel 원활하게 로그 수집할 수 있습니다. Microsoft Sentinel Codeless Connector Framework를 기반으로 하여 CYFIRMA API를 활용하여 로그를 검색합니다. 또한 수집 중에 보안 데이터를 사용자 지정 테이블로 구문 분석하는 DCR 기반 수집 시간 변환을 지원합니다. 이렇게 하면 쿼리 시간 구문 분석이 필요하지 않으며 성능과 효율성이 향상됩니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

CyfirmaVulnerabilities_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

설치 지침:

CYFIRMA 취약성 인텔리전스

이 커넥터는 CYFIRMA 취약성 인텔리전스의 취약성 로그를 제공합니다. 커넥터는 DeCYFIR API를 사용하여 로그를 검색하고 DCR 기반 수집 시간 변환을 지원하며 수집 중에 보안 데이터를 사용자 지정 테이블로 구문 분석합니다. 이렇게 하면 쿼리 시간 구문 분석이 필요하지 않으며 성능과 효율성이 향상됩니다.

CYFIRMA API URL: (https://decyfir.cyfirma.com)

CYFIRMA API 키: (CYFIRMA API 키)

API 델타: (API 델타)

공급업체와 관련된 취약성:

제품 관련 취약성:

Version-Associated 취약성이 있는 제품:

연결 사용/사용 안 함

Cyjax Threat Intelligence IOC Connector (using Azure Functions)

지원:Cyjax

Cyjax 위협 인텔리전스 IOC 데이터 커넥터는 Cyjax API v2에서 Microsoft Sentinel에 침해 지표(IOC)를 STIX 2.1 위협 인텔리전스 표시기로 인징할 수 있는 기능을 제공합니다. 이 커넥터는 IP, 도메인, URL, 파일 해시, 이메일, 호스트명 등 IOC를 가져오고, GeoIP, ASN, 시야 데이터를 풍부하게 하여 업로드 표시 API를 통해 Microsoft Sentinel 위협 인텔리전스 플랫폼에 업로드합니다.

커넥터는 다음을 지원합니다.

설정 가능한 일정을 가진 자동 IOC 수집

GeoIP, ASN, 조준 데이터를 이용한 IOC 증축

STIX 2.1 지시기 매핑과 TLP 표시

체크포인트 관리가 포함된 점진적 가져오기

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

ThreatIntelIndicators 예 아니요

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Azure 구독: Microsoft Entra ID 애플리케이션을 등록하고 리소스 그룹의 앱에 기여자 역할을 할당하려면 소유자 역할이 있는 Azure 구독이 필요합니다.

Microsoft.Web/sites 권한: 함수 앱을 만들기 위한 Azure Functions 읽기 및 쓰기 권한이 필요합니다. 자세한 내용은 Azure Functions 참조하세요.

Cyjax API 자격 증명: Cyjax API v2 접근 토큰(베어러 토큰)이 필요합니다. API 자격 증명을 받으려면 Cyjax에 연락하세요.

설치 지침:

리소스 그룹

사용하려는 구독을 사용하여 리소스 그룹을 만들어야 합니다.

기능 앱

이 커넥터를 사용하려면 Azure 앱이 등록되어 있어야 합니다:

애플리케이션(클라이언트) ID

테넌트 ID

클라이언트 암호

참고: 이 커넥터는 Azure Functions를 사용해 Cyjax API v2에 연결하여 IOC 인디케이터를 Microsoft Sentinel로 끌어와옵니다. 이로 인해 추가 데이터 수집 비용이 발생할 수 있습니다. 자세한 내용은 Azure Functions 가격 책정 페이지를 확인하세요.

1단계 - Microsoft Entra ID 애플리케이션에 대한 앱 등록 단계

이 통합에는 Azure Portal 앱 등록이 필요합니다. 이 섹션의 단계에 따라 Microsoft Entra ID 새 애플리케이션을 만듭니다.

Azure 포털에 로그인합니다.

Microsoft Entra ID 검색하여 선택합니다.

관리에서 새 등록 앱 등록 > 선택합니다.

애플리케이션의 표시 이름을 입력합니다.

등록을 선택하여 초기 앱 등록을 완료합니다.

등록이 완료되면 Azure Portal 앱 등록의 개요 창이 표시됩니다. 애플리케이션(클라이언트) ID 및 테넌트 ID가 표시됩니다. 클라이언트 ID와 테넌트 ID는 Cyjax IOC 데이터 커넥터 실행을 위한 구성 매개변수로 필요합니다.

참조 링크:/azure/active-directory/develop/quickstart-register-app

2단계 - Microsoft Entra ID 애플리케이션에 대한 클라이언트 암호 추가

애플리케이션 비밀번호라고도 불리는 클라이언트 시크릿은 Cyjax IOC 데이터 커넥터 실행에 필요한 문자열 값입니다. 이 섹션의 단계에 따라 새 클라이언트 암호를 만듭니다.

Azure Portal 앱 등록 애플리케이션을 선택합니다.

인증서 & 비밀 > 클라이언트 비밀 새 클라이언트 비밀을 >선택합니다.

클라이언트 비밀에 대한 설명을 추가합니다.

비밀에 대한 만료를 선택하거나 사용자 지정 수명을 지정합니다. 한도는 24개월입니다.

추가를 선택합니다.

클라이언트 애플리케이션 코드에서 사용할 비밀 값을 기록합니다. 이 비밀 값은 이 페이지를 떠난 후에 다시는 표시되지 않습니다. 비밀 값은 Cyjax IOC 데이터 커넥터 실행을 위한 구성 매개변수로 필요합니다.

참조 링크:/azure/active-directory/develop/quickstart-register-app#add-a-client-secret

STEP 3 - Microsoft Sentinel 기여자 역할을 할당하기

Microsoft Sentinel 기여자 역할을 앱 등록에 할당하여 위협 인텔리전스 표시기를 업로드할 수 있도록 하세요:

Microsoft Sentinel 인스턴스와 연관된 Log Analytics 작업 공간으로 가세요.

왼쪽 메뉴에서 액세스 제어(IAM)를 선택합니다.

역할 할당 추가>를 클릭하세요.

Microsoft Sentinel Contributor를 검색해서 선택하세요.

멤버 항목 에서 사용자, 그룹, 서비스 책임자를 선택하고 앱 등록 이름을 검색하세요.

앱을 선택하고 리뷰 + 할당을 클릭하세요.

4단계 - Cyjax API 자격 증명 획득

Cyjax에 연락하여 API v2 접근 토큰(베어러 토큰)을 받으세요. 이 토큰은 Cyjax IOC 및 엔리치먼트 엔드포인트에 대한 요청을 인증하는 데 사용됩니다.

5단계 - Cyjax IOC 커넥터 배포

중요 사항: Cyjax IOC 커넥터를 배포하기 전에 Cyjax API 접근 토큰, Azure 앱 등록 자격 증명(클라이언트 ID, 클라이언트 비밀, 테넌트 ID), Workspace ID를 즉시 사용할 수 있도록 하세요.

작업 영역 ID: <설치 시 제공되는 변수 값>

옵션 1 - ARM(Azure Resource Manager) 템플릿

이 방법을 사용하여 Cyjax IOC 데이터 커넥터의 자동 배포를 진행하세요.

아래 Azure 배포 단추를 클릭합니다.

aka.ms aka.ms

기본 구독, 리소스 그룹 및 지역을 선택합니다.

아래 정보를 입력하세요:

a. FunctionName - 고유한 함수 앱 이름 입력(최대 11자)

b. 위치 - 데이터 수집 규칙과 엔드포인트 배포를 위한 위치

c. WorkspaceID - Log Analytics Workspace ID를 입력하세요

d. AzureClientID - App Registration 에서 Azure Client ID 입력

e. AzureClientSecret - App Registration from your App Registration enter Azure Client Secret

f. AzureTenantID - Enter Azure Tenant ID

g. CyjaxBaseURL - Cyjax API v2 기본 URL 입력 (기본값): https://api.cymon.co/v2

h. CyjaxAccessToken - Enter Cyjax API Bearer Token

i. LookbackDays - 첫 플레이에서 되돌아볼 수 있는 일수 (기본값: 1일)

j. EnableEnrichment - GeoIP, ASN, 조준 데이터를 통해 IOC를 풍부하게 하기 위해 true로 설정하세요. 활성화를 건너뛰고 API 호출과 실행 시간을 줄이기 위해 false로 설정하세요 (기본값: true)

k. IOCQuery - Cyjax API에서 IOC를 필터링하는 선택적 자유 텍스트 검색 쿼리(예: 키워드, 위협 행위자, 캠페인 이름). 빈 상태로 두어 모든 사용 가능한 IOC를 가져오세요

L. IndicatorType - IOC를 유형별로 필터링합니다. 쉼표로 구분된 값들(예: URL, Domain, IPv4)을 입력합니다. 지원하는 유형: URL, 도메인, IPv4, IPv6, 호스트네임, 이메일, FileHash-SHA1, FileHash-SHA256, FileHash-MD5, FileHash-SSDEEP. 모든 유형을 가져오려면 빈 상태로 두세요

M. 일정 - 유효한 쿼츠 Cron-Expression 입력(기본값: 10분마다)

N. LogLevel - 로그 레벨 설정 (기본값: 정보)

O. AppInsightsWorkspaceResourceID - Application Insights Workspace 리소스 ID 입력

위에 명시된 사용 약관에 동의함을 표시하는 확인란을 표시합니다.

구매를 클릭하여 배포합니다.

옵션 2 - Azure Functions 수동 배포

다음 단계별 지침을 사용하여 Azure Functions(Visual Studio Code를 통한 배포)로 Cyjax IOC 데이터 커넥터를 수동으로 배포하세요.

함수 앱 배포

참고: Azure 함수 개발을 위해 VS 코드를 준비해야 합니다.

Azure 함수 앱 파일을 다운로드합니다. 로컬 개발 컴퓨터에 보관 파일을 추출합니다.

VS Code를 시작합니다. 주 메뉴에서 파일을 선택하고 폴더 열기를 선택합니다.

추출된 파일에서 최상위 폴더를 선택합니다.

작업 표시줄에서 Azure 아이콘을 선택한 다음, Azure: 함수 영역에서 함수에 배포 앱 단추를 선택합니다. 아직 로그인하지 않은 경우 활동 표시줄에서 Azure 아이콘을 선택한 다음, Azure: 함수 영역에서 로그인을 선택하여 Azure 이미 로그인한 경우 다음 단계로 이동합니다.

프롬프트에서 다음 정보를 제공합니다.

a. 폴더 선택: 작업 영역에서 폴더를 선택하거나 함수 앱이 포함된 폴더로 이동합니다.

b. 구독을 선택합니다. 사용할 구독을 선택합니다.

c. Azure 새 함수 앱 만들기를 선택합니다(고급 옵션을 선택하지 않음).

d. 함수 앱의 전역적으로 고유한 이름을 입력합니다 . URL 경로에 유효한 이름을 입력합니다. 입력한 이름은 Azure Functions 고유하도록 유효성을 검사합니다. (예: CYJAXXXXXX).

e. 재생 시간 선택: Python 3.12를 선택하세요

f. 새 리소스의 위치를 선택합니다. 성능 향상 및 비용 절감을 위해 Microsoft Sentinel 있는 동일한 지역을 선택합니다.

배포가 시작됩니다. 함수 앱이 만들어지고 배포 패키지가 적용된 후 알림이 표시됩니다.

함수 앱 구성에 대한 Azure 포털로 이동합니다.

함수 앱 구성

함수 앱에서 함수 앱 이름을 선택하고 구성을 선택합니다.

애플리케이션 설정 탭에서 + 새 애플리케이션 설정을 선택합니다.

다음 애플리케이션 설정을 개별적으로, 대소문자 구분으로 값을 추가하세요:

WorkspaceID - 당신의 Log Analytics Workspace ID

AzureClientID - Your App Registration 에서 얻은 Azure 클라이언트 ID

AzureClientSecret - Azure Client Secret from your App Registration

AzureTenantID - Your Azure Tenant ID

CyjaxBaseURL - Cyjax API v2 기본 URL (기본값: https://api.cymon.co/v2)

CyjaxAccessToken - 당신의 Cyjax API 베어러 토큰

LookbackDays - 첫 플레이에서 되돌아볼 수 있는 일수 (기본값: 1일)

EnableEnrichment - GeoIP, ASN, 조준 데이터를 통해 IOC를 풍부하게 하기 위해 true로 설정하세요. 활성화를 건너뛰고 API 호출과 실행 시간을 줄이기 위해 false로 설정하세요 (기본값: true)

IOCQuery - Cyjax API에서 IOC를 필터링하는 선택적 자유 텍스트 검색 쿼리(예: 키워드, 위협 행위자, 캠페인 이름). 모든 사용 가능한 IOC를 가져오기 위해 빈 상태로 남겨두세요 (선택 사항)

IndicatorType - IOC를 유형별로 필터링합니다. 쉼표로 구분된 값들(예: URL, Domain, IPv4)을 입력합니다. 지원하는 유형: URL, 도메인, IPv4, IPv6, 호스트네임, 이메일, FileHash-SHA1, FileHash-SHA256, FileHash-MD5, FileHash-SSDEEP. 모든 타입을 가져오기 위해 빈 상태로 두세요 (선택 사항)

일정 - 쿼츠 Cron-Expression (기본값: 10분마다)

LogLevel - 로그 레벨 (기본값: 정보)

AppInsightsWorkspaceResourceID - Application Insights Workspace Resource ID (선택 사항)

logAnalyticsUri (선택 사항) - logAnalyticsUri를 사용하여 전용 클라우드용 로그 분석 API 엔드포인트를 오버라이드합니다. 예를 들어 퍼블릭 클라우드의 경우 값을 비워 둡니다. Azure GovUS 클라우드 환경의 경우 값을 형식https://<CustomerId>.ods.opinsights.azure.us으로 지정합니다.

모든 애플리케이션 설정이 입력되면 저장을 클릭합니다.

Cynerio 보안 이벤트

지원:Cynerio

Cynerio 커넥터를 사용하면 Cynerio 보안 이벤트를 Microsoft Sentinel 쉽게 연결하여 IDS 이벤트를 볼 수 있습니다. 이렇게 하면 organization 네트워크 보안 상태에 대한 더 많은 인사이트를 제공하고 보안 작업 기능을 개선합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

CynerioEvent_CL 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

설치 지침:

Cynerio 구성 및 연결

Cynerio는 이벤트와 통합하고 Azure Server를 통해 Microsoft Sentinel 직접 내보낼 수 있습니다. 다음 단계에 따라 통합을 설정합니다.

Cynerio 콘솔에서 설정 > 통합 탭(기본값)으로 이동하고 오른쪽 위에 있는 +통합 추가 단추를 클릭합니다.

SIEM 섹션까지 아래로 스크롤합니다.

Microsoft Sentinel 카드 연결 단추를 클릭합니다.

통합 세부 정보 창이 열립니다. 아래 매개 변수를 사용하여 양식을 작성하고 연결을 설정합니다.

작업 영역 ID: <설치 시 제공되는 변수 값>

기본 키: <설치 시 제공되는 변수 값>

Cyren 위협 인텔리전스

지원:Data443 위험 완화, Inc.

CCF(Common Connector Framework)를 사용하여 Cyren에서 IP 평판 및 맬웨어 URL 표시기를 수집합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

Cyren_Indicators_CL 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

Cyren JWT 토큰: Azure Key Vault 저장되거나 배포 시 제공되는 JWT 토큰입니다.

설치 지침:

Cyren 위협 인텔리전스 연결

Cyren Threat Intelligence 커넥터를 사용하도록 설정하려면 아래의 JWT 토큰을 제공하고 연결을 클릭합니다.

참고: 구독에 따라 피드 또는 둘 다를 사용할 수 있습니다. 구매하지 않은 피드에 대해 토큰 필드를 비워 둡니다. 제공된 토큰에 대한 커넥터만 배포됩니다.

보안 강화를 위해 Key Vault 통합을 사용하도록 설정하여 JWT 토큰을 저장하고 검색할 수 있습니다.

IP 평판 JWT 토큰(선택 사항): (구입하지 않은 경우 비워 두기)

맬웨어 URL JWT 토큰(선택 사항): (구입하지 않은 경우 비워 두기)

연결 사용/사용 안 함

D3 스마트 SOAR 인시던트

지원:D3 보안

D3 Smart SOAR 데이터 커넥터는 D3 코드리스 REST API 명령 엔드포인트를 사용하여 D3 Smart SOAR에서 Microsoft Sentinel 인시던트 끌어오기.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

D3SOARIncidents_CL 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

설치 지침:

D3 Smart SOAR를 Microsoft Sentinel 연결

필수 조건: D3 Smart SOAR에서 조직 관리 → 사이트로 이동하여 연결 중인 사이트를 선택하고 표준 시간대를 (UTC+00:00) 협정 세계시로 설정합니다. 이렇게 하면 인시던트 타임스탬프가 Microsoft Sentinel 올바르게 정렬됩니다.

아래에 D3 Smart SOAR 연결 세부 정보를 입력합니다. 인시던트가 5분마다 폴링되고 D3SOARIncidents_CL 테이블에 기록됩니다 . 서버 URL - 사이트 경로를 포함하여 D3 Smart SOAR 배포의 기본 URL입니다. API 경로를 포함하지 마세요. 사용자 이름 - D3 Smart SOAR 계정 사용자 이름(포털 로그인과 동일). 사이트 - 계정이 속한 D3 스마트 SOAR 사이트 이름(예: Security Operations)입니다. D3 JWT - API 인증을 위해 D3 Smart SOAR에서 발급한 JSON 웹 토큰입니다.

서버 URL: (https://poc.bemimo.com/ce_site/VSOC)

사용자 이름: (관리자)

사이트: (보안 작업)

D3 JWT: (에이...)

연결 사용/사용 안 함

다크트레이스 액티브AI 보안 플랫폼 커넥터

지원자:Darktrace

Darktrace ActiveAI Security Platform Connector 커넥터는 Microsoft Sentinel에서 Darktrace의 원시 이벤트 데이터를 읽을 수 있는 기능을 제공합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

DarktraceASM_CL 예 예

DarktraceEMAIL_CL 예 예

DarktraceIncidents_CL 예 예

DarktraceModelAlerts_CL 예 예

DarktraceResponseActions_CL 예 예

DarktraceSystemStatusAlerts_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Microsoft Entra: Microsoft Entra ID 앱 등록을 만들 수 있는 권한입니다. 일반적으로 Entra ID 애플리케이션 개발자 역할 이상이 필요합니다.

Microsoft Azure: DCR(데이터 수집 규칙)에 대한 모니터링 메트릭 게시자 역할을 할당할 수 있는 권한입니다. 일반적으로 AZURE RBAC 소유자 또는 사용자 액세스 관리자 역할이 필요합니다.

설치 지침:

1. ARM 리소스 만들기 및 필요한 권한 제공

이 커넥터는 Microsoft Analytics Workspace에서 Darktrace가 사용하는 테이블에서 데이터를 읽으며, Darktrace에서 Microsoft Sentinel 로그 인제스션 설정이 활성화되어 있으면 원시 이벤트 데이터가 Microsoft Sentinel Ingestion API로 전송됩니다.

Entra 애플리케이션을 사용하여 자동화된 구성 및 보안 데이터 수집 "배포"를 클릭하면 Log Analytics 테이블 및 DCR(데이터 수집 규칙)의 생성이 트리거됩니다. 그런 다음, Entra 애플리케이션을 만들고, DCR을 연결하고, 애플리케이션에 입력한 비밀을 설정합니다. 이 설정을 사용하면 Entra 토큰을 사용하여 데이터를 DCR로 안전하게 보낼 수 있습니다.

2. 작업 영역에 로그 푸시

다음 매개 변수를 사용하여 작업 영역으로 로그를 보내도록 컴퓨터를 구성합니다.

테넌트 ID(디렉터리 ID): <설치 시 제공되는 변수 값>

Entra 앱 등록 애플리케이션 ID: <설치 시 제공되는 변수 값>

Entra 앱 등록 비밀: <설치 시 제공되는 변수 값>

데이터 수집 엔드포인트 Uri: <설치 시 제공되는 변수 값>

데이터 수집 규칙 변경할 수 없는 ID: <설치 시 제공되는 변수 값>

공격 Surface 관리 스트림 이름: <설치 시 제공되는 변수 값>

EMAIL 스트림 이름: <설치 시 제공된 변수 값>

AI 분석가 사건 스트림 이름: <설치 시점에 제공된 변수 값>

모델 알림 스트림 이름: <설치 시점에 제공된 변수 값>

자율 응답 스트림 이름: <설치 시 제공되는 변수 값>

시스템 상태 경고 스트림 이름: <설치 시 제공된 변수 값>

DataBahn

지원:Databahn

DataBahn 커넥터는 CCF(Codeless Connector Framework) 푸시 패턴을 사용하여 DataBahn 환경에서 Microsoft Sentinel 직접 실시간 플랫폼 원격 분석을 푸시하는 기능을 제공합니다. 이 커넥터는 분석, 경고 및 시각화를 위해 감사 로그, 운영 경고 및 디바이스 인벤토리를 사용자 지정 Log Analytics 테이블에 수집합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

databahn_audit_logs_CL 아니요 아니요

databahn_alerts_CL 아니요 아니요

databahn_device_inventory_CL 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

Microsoft Entra: Microsoft Entra ID 앱 등록을 만들 수 있는 권한입니다. 일반적으로 Entra ID 애플리케이션 개발자 역할 이상이 필요합니다.

Microsoft Azure: DCR(데이터 수집 규칙)에 대한 모니터링 메트릭 게시자 역할을 할당할 수 있는 권한입니다. 일반적으로 AZURE RBAC 소유자 또는 사용자 액세스 관리자 역할이 필요합니다.

설치 지침:

1. ARM 리소스 만들기 및 필요한 권한 제공

이 커넥터를 사용하면 DataBahn 플랫폼에서 감사 로그, 경고 및 디바이스 인벤토리를 직접 푸시하여 Azure Monitor 수집 API를 통해 Microsoft Sentinel 수 있습니다.

Entra 애플리케이션을 사용하여 자동화된 구성 및 보안 데이터 수집 "배포"를 클릭하면 Log Analytics 테이블 및 DCR(데이터 수집 규칙)의 생성이 트리거됩니다. 그런 다음, Entra 애플리케이션을 만들고, DCR을 연결하고, 애플리케이션에 입력한 비밀을 설정합니다. 이 설정을 사용하면 Entra 토큰을 사용하여 데이터를 DCR로 안전하게 보낼 수 있습니다.

2. DataBahn 플랫폼 구성

다음 매개 변수를 사용하여 DataBahn Highway 대상을 구성하여 데이터를 작업 영역으로 푸시합니다.

테넌트 ID(디렉터리 ID): <설치 시 제공되는 변수 값>

Entra 앱 등록 애플리케이션 ID: <설치 시 제공되는 변수 값>

Entra 앱 등록 비밀: <설치 시 제공되는 변수 값>

데이터 수집 엔드포인트 Uri: <설치 시 제공되는 변수 값>

데이터 수집 규칙 변경할 수 없는 ID: <설치 시 제공되는 변수 값>

감사 로그 Stream 이름: <설치 시 제공되는 변수 값>

이름 Stream 경고: <설치 시 제공되는 변수 값>

디바이스 인벤토리 Stream 이름: <설치 시 제공되는 변수 값>

데이터레이크2센티넬

지원:Orange Cyberdefense

이 솔루션은 Codeless Connector Framework를 사용하여 빌드된 Datalake2Sentinel 커넥터를 설치하고 Datalake Orange Cyberdefense의 CTI 플랫폼에서 업로드 지표 REST API를 통해 Microsoft Sentinel 위협 인텔리전스 지표를 자동으로 수집할 수 있도록 합니다. 솔루션을 설치한 후 솔루션 관리 보기의 지침에 따라 이 데이터 커넥터를 구성하고 사용하도록 설정합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

ThreatIntelligenceIndicator 예 아니요

데이터 수집 규칙 지원:작업 영역 변환 DCR

설치 지침:

설치 및 설정 지침

이 Github 리포지토리의 설명서를 사용하여 Microsoft Sentinel 커넥터에 Datalake를 설치하고 구성합니다.

https://github.com/cert-orangecyberdefense/datalake2sentinel

Dataminr Pulse Alerts 데이터 커넥터(Azure Functions 사용)

지원:Dataminr 지원

Dataminr Pulse Alerts Data Connector는 AI 기반 실시간 인텔리전스를 Microsoft Sentinel 통해 더 빠른 위협 탐지 및 대응을 제공합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

DataminrPulse_Alerts_CL 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

Azure 구독: Microsoft Entra ID 애플리케이션을 등록하고 리소스 그룹의 앱에 기여자 역할을 할당하려면 소유자 역할이 있는 Azure 구독이 필요합니다.

Microsoft.Web/sites 권한: 함수 앱을 만들기 위한 Azure Functions 읽기 및 쓰기 권한이 필요합니다. 자세한 내용은 Azure Functions 참조하세요.

필수 Dataminr 자격 증명/권한:

a. 이 데이터 커넥터를 사용하려면 사용자에게 유효한 Dataminr Pulse API 클라이언트 ID 및 비밀 이 있어야 합니다.

b. Dataminr Pulse 웹 사이트에서 하나 이상의 Dataminr Pulse 관심 목록을 구성해야 합니다.

설치 지침:

참고: 이 커넥터는 Azure Functions 사용하여 로그가 Dataminr RTAP를 통해 푸시되고 로그를 Microsoft Sentinel 수집하는 DataminrPulse에 연결합니다. 또한 커넥터는 사용자 지정 로그 테이블에서 수집된 데이터를 가져오고 위협 인텔리전스 지표를 Microsoft Sentinel 위협 인텔리전스로 만듭니다. 이로 인해 추가 데이터 수집 비용이 발생할 수 있습니다. 자세한 내용은 Azure Functions 가격 책정 페이지를 확인하세요.

(선택적 단계) 작업 영역 및 API 권한 부여 키 또는 토큰을 Azure Key Vault 안전하게 저장합니다. Azure Key Vault 키 값을 저장하고 검색하는 보안 메커니즘을 제공합니다. 다음 지침에 따라 Azure 함수 앱에서 Azure Key Vault 사용합니다.

1단계- Dataminr Pulse 클라이언트 ID 및 클라이언트 비밀에 대한 자격 증명

Dataminr CSM(고객 성공 관리자)에서 Dataminr Pulse 사용자 ID/암호 및 API 클라이언트 ID/비밀을 가져옵니다.

2단계 - Dataminr Pulse 포털에서 관심 목록을 구성합니다.

이 섹션의 단계에 따라 포털에서 관심 목록을 구성합니다.

Dataminr Pulse 웹 사이트에로그인합니다.

설정 기어 아이콘을 클릭하고 목록 관리를 선택합니다.

만들려는 관심 목록 유형(사이버, 토픽, 회사 등)을 선택하고 새 목록 단추를 클릭합니다.

새 관심 목록의 이름을 입력하고 강조 색을 선택하거나 기본 색을 유지합니다.

관심 목록 구성이 완료되면 저장 을 클릭하여 저장합니다.

3단계 - Microsoft Entra ID 애플리케이션에 대한 앱 등록 단계

이 통합에는 Azure Portal 앱 등록이 필요합니다. 이 섹션의 단계에 따라 Microsoft Entra ID 새 애플리케이션을 만듭니다.

Azure 포털에 로그인합니다.

Microsoft Entra ID 검색하여 선택합니다.

관리에서 새 등록 앱 등록 > 선택합니다.

애플리케이션의 표시 이름을 입력합니다.

등록을 선택하여 초기 앱 등록을 완료합니다.

등록이 완료되면 Azure Portal 앱 등록의 개요 창이 표시됩니다. 애플리케이션(클라이언트) ID 및 테넌트 ID가 표시됩니다. 클라이언트 ID 및 테넌트 ID는 DataminrPulse Data Connector 실행을 위한 구성 매개 변수로 필요합니다.

참조 링크:/azure/active-directory/develop/quickstart-register-app

4단계 - Microsoft Entra ID 애플리케이션에 대한 클라이언트 암호 추가

애플리케이션 암호라고도 하는 클라이언트 암호는 DataminrPulse Data Connector를 실행하는 데 필요한 문자열 값입니다. 이 섹션의 단계에 따라 새 클라이언트 암호를 만듭니다.

Azure Portal 앱 등록 애플리케이션을 선택합니다.

인증서 & 비밀 > 클라이언트 비밀 새 클라이언트 비밀을 >선택합니다.

클라이언트 비밀에 대한 설명을 추가합니다.

비밀에 대한 만료를 선택하거나 사용자 지정 수명을 지정합니다. 한도는 24개월입니다.

추가를 선택합니다.

클라이언트 애플리케이션 코드에서 사용할 비밀 값을 기록합니다. 이 비밀 값은 이 페이지를 떠난 후에 다시는 표시되지 않습니다. 비밀 값은 DataminrPulse 데이터 커넥터를 실행하기 위한 구성 매개 변수로 필요합니다.

참조 링크:/azure/active-directory/develop/quickstart-register-app#add-a-client-secret

5단계 - Microsoft Entra ID 애플리케이션에 기여자 역할 할당

이 섹션의 단계에 따라 역할을 할당합니다.

Azure Portal 리소스 그룹으로 이동하여 리소스 그룹을 선택합니다.

왼쪽 패널에서 액세스 제어(IAM) 로 이동합니다.

추가를 클릭한 다음 역할 할당 추가를 선택합니다.

역할로 기여자를 선택하고 다음을 클릭합니다.

에 대한 액세스 할당에서 를 선택합니다User, group, or service principal.

구성원 추가를 클릭하고 만든 앱 이름을 입력 하고 선택합니다.

이제 검토 + 할당을 클릭한 다음 검토 + 할당을 다시 클릭합니다.

참조 링크:/azure/role-based-access-control/role-assignments-portal

6단계 - 커넥터 및 연결된 Azure 함수를 배포하려면 다음 두 가지 배포 옵션 중 하나를 선택합니다.

중요: Dataminr Pulse Microsoft Sentinel 데이터 커넥터를 배포하기 전에 작업 영역 ID 및 작업 영역 기본 키(다음에서 복사할 수 있음)를 쉽게 사용할 수 있습니다.

작업 영역 ID: <설치 시 제공되는 변수 값>

기본 키: <설치 시 제공되는 변수 값>

옵션 1 - ARM(Azure Resource Manager) 템플릿

DataminrPulse 커넥터의 자동화된 배포에 이 메서드를 사용합니다.

아래 Azure 배포 단추를 클릭합니다.

aka.ms aka.ms

기본 구독, 리소스 그룹 및 위치를 선택합니다.

아래 정보를 입력합니다. 함수 이름 작업 영역 ID 작업 영역 키 경고TableName BaseURL ClientId ClientSecret AzureClientId AzureClientSecret AzureTenantId AzureResourceGroupName AzureWorkspaceName AzureSubscriptionId Schedule LogLevel

위에 명시된 사용 약관에 동의함을 표시하는 확인란을 표시합니다.

구매를 클릭하여 배포합니다.

옵션 2 - Azure Functions 수동 배포

다음 단계별 지침을 사용하여 Azure Functions 사용하여 Dataminr Pulse Microsoft Sentinel 데이터 커넥터를 수동으로 배포합니다(Visual Studio Code 통해 배포).

1) 함수 앱 배포

참고: Azure 함수 개발을 위해 VS 코드를 준비해야 합니다.

Azure 함수 앱 파일을 다운로드합니다. 로컬 개발 컴퓨터에 보관 파일을 추출합니다.

VS Code를 시작합니다. 주 메뉴에서 파일을 선택하고 폴더 열기를 선택합니다.

추출된 파일에서 최상위 폴더를 선택합니다.

작업 표시줄에서 Azure 아이콘을 선택한 다음, Azure: 함수 영역에서 함수에 배포 앱 단추를 선택합니다. 아직 로그인하지 않은 경우 활동 표시줄에서 Azure 아이콘을 선택한 다음, Azure: 함수 영역에서 로그인을 선택하여 Azure 이미 로그인한 경우 다음 단계로 이동합니다.

프롬프트에서 다음 정보를 제공합니다.

a. 폴더 선택: 작업 영역에서 폴더를 선택하거나 함수 앱이 포함된 폴더로 이동합니다.

b. 구독을 선택합니다. 사용할 구독을 선택합니다.

c. Azure 새 함수 앱 만들기를 선택합니다(고급 옵션을 선택하지 않음).

d. 함수 앱의 전역적으로 고유한 이름을 입력합니다 . URL 경로에 유효한 이름을 입력합니다. 입력한 이름은 Azure Functions 고유하도록 유효성을 검사합니다. (예: DmPulseXXXXX).

e. 런타임 선택: Python 3.8 이상을 선택합니다.

f. 새 리소스의 위치를 선택합니다. 성능 향상 및 비용 절감을 위해 Microsoft Sentinel 있는 동일한 지역을 선택합니다.

배포가 시작됩니다. 함수 앱이 만들어지고 배포 패키지가 적용된 후 알림이 표시됩니다.

함수 앱 구성에 대한 Azure 포털로 이동합니다.

2) 함수 앱 구성

함수 앱에서 함수 앱 이름을 선택하고 구성을 선택합니다.

애플리케이션 설정 탭에서 + 새 애플리케이션 설정을 선택합니다.

각 값(대/소문자 구분):함수 이름 작업 영역 ID 작업 영역 키 경고TableName BaseURL ClientSecret AzureClientId AzureClientSecret AzureTenantId AzureResourceGroupName AzureWorkspaceName AzureSubscriptionId 일정 LogLevel logAnalyticsUri(선택 사항)

logAnalyticsUri를 사용하여 전용 클라우드에 대한 로그 분석 API 엔드포인트를 재정의합니다. 예를 들어 퍼블릭 클라우드의 경우 값을 비워 둡니다. Azure GovUS 클라우드 환경의 경우 값을 형식https://<CustomerId>.ods.opinsights.azure.us으로 지정합니다.

모든 애플리케이션 설정이 입력되면 저장을 클릭합니다.

7단계 - 배포 후 단계

1) 함수 앱 엔드포인트 가져오기

Azure 함수 개요 페이지로 이동하고 왼쪽 블레이드에서 "함수"를 클릭합니다.

"DataminrPulseAlertsHttpStarter"라는 함수를 클릭합니다.

"GetFunctionurl"로 이동하여 함수 URL을 복사합니다.

복사된 함수 URL에서 {functionname}을 "DataminrPulseAlertsSentinelOrchestrator" 로 바꿉니다.

2) 함수 URL을 사용하여 Dataminr RTAP에서 통합 설정을 추가하려면

Postman과 같은 API 요청 도구를 엽니다.

'+'를 클릭하여 새 요청을 만듭니다.

HTTP 요청 메서드를 'POST'로 선택합니다.

요청 URL 부분에 지점 1)에 앞에 표시된 URL을 입력합니다.

본문에서 원시 JSON을 선택하고 아래와 같이 요청 본문을 제공합니다(대/소문자 구분): { "integration-settings": "ADD", "url": "(URL part from copied Function-url)", "token": "(value of code parameter from copied Function-url)" }

필요한 모든 세부 정보를 제공한 후 보내기를 클릭합니다.

상태 코드가 200인 HTTP 응답에서 통합 설정 ID를 받게 됩니다.

나중에 참조할 수 있는 통합 ID 를 저장합니다.

이제 Dataminr RTAP에 대한 통합 설정 추가를 완료했습니다. Dataminr RTAP가 경고 데이터를 보내면 함수 앱이 트리거되고 Dataminr Pulse에서 LogAnalytics 작업 영역 테이블인 "DataminrPulse_Alerts_CL"로 경고 데이터를 볼 수 있어야 합니다.

Datawiza DAP

지원:Datawiza Technology Inc.

REST API 인터페이스를 통해 Datawiza DAP 로그를 Azure Log Analytics에 연결합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

datawizaserveraccess_CL 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

설치 지침:

1단계: 자세한 설명서 읽기

설치 프로세스는 설명서 사이트 Microsoft Sentinel 통합에 자세히 설명되어 있습니다. 사용자는 통합의 설치 및 디버그를 이해하려면 지원(support@datawiza.com)을 추가로 참조해야 합니다.

2단계: Datawiza Sentinel 커넥터 설치

다음 단계는 로그를 Microsoft Sentinel 보내는 Datawiza 로그 전달자를 설치하는 것입니다. 정확한 설치는 환경에 따라 달라집니다. 자세한 내용은 Microsoft Sentinel 통합을 참조하세요.

3단계: 데이터 수집 테스트

약 20분 후에 Microsoft Sentinel 설치의 Log Analytics 작업 영역에 액세스하고 사용자 지정 로그 섹션을 찾아 datawizaserveraccess_CL 테이블이 있는지 확인합니다. 샘플 쿼리를 사용하여 데이터를 검사합니다.

더닥 SIGNL4

지원자:Derdack

중요한 시스템이 실패하거나 보안 인시던트가 발생하면 SIGNL4는 '마지막 마일'을 현장의 직원, 엔지니어, IT 관리자 및 작업자에게 연결합니다. 서비스, 시스템 및 프로세스에 실시간 모바일 경고를 추가합니다. SIGNL4는 지속적인 모바일 푸시, SMS 텍스트 및 음성 통화를 통해 승인, 추적 및 에스컬레이션을 통해 알립니다. 통합 의무 및 교대 근무 일정은 적절한 사용자에게 적시에 경고를 받을 수 있도록 합니다.

더 알아보세요 >

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

SecurityIncident 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

설치 지침:

참고: 이 레거시 데이터 커넥터에는 Microsoft Sentinel용 기본 Azure Logic Apps 플레이북 템플릿이 포함되어 있습니다. 플레이북은 새로운 Microsoft Sentinel 인시던트가 생성될 때 실행됩니다. Azure Logic Apps에서 SIGNL4 액션을 추가해 SIGNL4에서 새 알림을 생성하면 워크플로우를 확장할 수 있습니다.

SIGNL4 커넥터: SIGNL4를 Microsoft Sentinel과 통합하는 권장 방법은 SIGNL4의 Microsoft Sentinel 커넥터 앱을 사용하는 것입니다. 전체 설정 지침은 Microsoft Sentinel과 SIGNL4 통합을 참조하세요.

디지털 섀도우 서치라이트

지원:디지털 그림자

Digital Shadows 데이터 커넥터는 REST API를 사용하여 Digital Shadows Searchlight에서 Microsoft Sentinel 인시던트 및 경고를 수집합니다. 커넥터는 잠재적인 보안 위험 및 위협을 검사, 진단 및 분석하는 데 도움이 되는 인시던트 및 경고 정보를 제공합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

DigitalShadows_V2_CL 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

Microsoft.Web/sites 권한: 함수 앱을 만들기 위한 Azure Functions 읽기 및 쓰기 권한이 필요합니다. 자세한 내용은 Azure Functions 참조하세요.

데이터 수집 규칙에서의 역할 할당: 배포 시점에 각 기능 앱의 시스템 할당 관리 신원에 데이터 수집 규칙의 모니터링 메트릭스 Publisher 역할을 할당할 권한이 필요합니다(예: 배포 범위에서 소유자 또는 사용자 접근 관리자).

REST API 자격 증명/권한: 디지털 섀도 계정 ID, 비밀 및 키가 필요합니다. 의 API https://portal-digitalshadows.com/learn/searchlight-api/overview/description에 대한 자세한 내용은 설명서를 참조하세요.

설치 지침:

참고: 이 커넥터는 Azure Functions 사용하여 'Digital Shadows Searchlight'에 연결하여 로그를 Microsoft Sentinel 끌어올 수 있습니다. 이로 인해 추가 데이터 수집 비용이 발생할 수 있습니다. 자세한 내용은 Azure Functions 가격 책정 페이지를 확인하세요.

(선택 단계) 'Digital Shadows Searchlight' API 인증 키나 토큰을 Azure Key Vault에 안전하게 저장하세요. Azure Key Vault 키 값을 저장하고 검색하는 보안 메커니즘을 제공합니다. 다음 지침에 따라 Azure 함수 앱에서 Azure Key Vault 사용합니다.

1단계 - '디지털 그림자 Searchlight' API에 대한 구성 단계

공급자는 Azure 함수가 성공적으로 인증하고, 권한 부여 키 또는 토큰을 가져오고, 어플라이언스 로그를 Microsoft Sentinel 끌어올 수 있도록 'Digital Shadows Searchlight' API 엔드포인트를 구성하는 자세한 단계를 제공하거나 링크해야 합니다.

2단계 - 커넥터 및 연결된 Azure 함수를 배포하려면 다음 두 가지 배포 옵션 중 하나를 선택합니다.

중요: 'Digital Shadows Searchlight' 커넥터를 배포하기 전에, 테이블이 보관될 Log Analytics 작업 공간 DigitalShadows_V2_CL 의 자원 ID와 'Digital Shadows Searchlight' API 인증 키(토큰)를 미리 제공해 두세요. 커넥터는 시스템 할당된 관리 신원을 사용하여 Azure Monitor에 인증하며, 공유 작업 공간 키는 필요하지 않습니다.

옵션 1 - ARM(Azure Resource Manager) 템플릿

'Digital Shadows Searchlight' 커넥터의 자동화된 배포에 이 메서드를 사용합니다.

아래 Azure 배포 단추를 클릭합니다.

aka.ms

기본 구독, 리소스 그룹 및 위치를 선택합니다.

DcrWorkspaceResourceId(Log Analytics 작업 공간의 전체 리소스 ID, 양식/subscriptions/<sub>/resourceGroups/<rg>/providers/Microsoft.OperationalInsights/workspaces/<workspace>에 포함), API 사용자 이름, API 비밀번호, '그리고/또는 기타 필수 필드'를 입력하세요.

참고: 위의 값에 Azure Key Vault 비밀을 사용하는 경우 문자열 값 대신 스키마를 사용합니다@Microsoft.KeyVault(SecretUri={Security Identifier}). 자세한 내용은 Key Vault 참조 설명서를 참조하세요. 4. 위에 명시된 사용 약관에 동의함을 표시하는 확인란을 표시합니다. 5. 배포하기 위해 구매를 클릭하세요. 템플릿은 데이터 수집 엔드포인트, 데이터 수집 규칙, DigitalShadows_V2_CL 테이블을 제공하고, 함수 앱의 관리 식별자들에게 데이터 수집 규칙에서 모니터링 메트릭스 Publisher 역할을 부여합니다.

옵션 2 - Azure Functions 수동 배포

다음 단계별 지침을 사용하여 Azure Functions 사용하여 수동으로 'Digital Shadows Searchlight' 커넥터를 배포합니다.

1. 함수 앱 만들기

Azure 포털에서 함수 앱으로 이동합니다.

위쪽에서 + 만들기 를 클릭합니다.

기본 탭에서 런타임 스택이 파이썬 3.11로 설정되어 있는지 확인하세요.

호스팅 탭에서 계획 유형이 '소비(서버리스)'로 설정되어 있는지 확인합니다. 5.스토리지 계정 선택

'다른 필수 구성 추가'.

필요한 경우 '다른 바람직한 구성 변경'을 클릭한 다음 만들기를 클릭합니다.

2. 시스템이 할당한 관리 신원을 활성화하고 메트릭 공개 권한을 부여합니다

기능 앱 화면에서 설정에서 Identity를 열어보세요.

시스템 할당 탭에서 상태를 '켜기'로 설정하고 저장을 클릭하세요. 표시된 객체(주체) ID를 주목하세요 — 역할을 부여하려면 이 ID가 필요합니다.

스트림을 Custom-DigitalShadows_V2_CL 소유한 데이터 수집 규칙(DCR)으로 이동하여 접근 제어(IAM) 블레이드를 엽니다.

+ 역할 할당 추가를 클릭하고, Monitoring Metrics Publisher 역할을 선택한 뒤, 멤버 유형으로 관리 신원을 선택한 후 Function App의 시스템 할당 신원을 할당하세요. 저장.

두 번째exclude () Function 앱을 모두 실행 중이라면 1단계부터 4단계까지 반복하세요.

3. 기능 가져오기 앱 코드(우편 배포)

Azure CLI 설치

터미널에서 az functionapp deployment source config-zip -g <ResourceGroup> -n <FunctionApp> --src <Zip File> 을 입력하고 Enter 키를 누릅니다. ResourceGroup 값을 리소스 그룹 이름으로 설정합니다. FunctionApp 값을 새로 만든 함수 앱 이름으로 설정합니다. Zip File 값을 (digitalshadowsConnector.zipzip 파일의 경로)로 설정합니다. 참고:- 링크에서 zip 파일 다운로드 - 함수 앱 코드

4. 기능 앱 구성

함수 앱 화면에서 함수 앱 이름을 클릭하고 구성을 선택합니다.

애플리케이션 설정 탭에서 + 새 애플리케이션 설정을 선택합니다.

다음 애플리케이션 설정을 개별적으로, 이름 아래에 입력하고, 값 아래에 각각의 문자열 값(대소문자 구분)을 추가하세요: DigitalShadowsAccountID DigitalShadowsKey DigitalShadowsSecret DigitalShadowsURL HistoricalDays DCE_URL DCR_IMMUTABLE_ID STREAM_NAME ClassificationFilterOperation HighVariabilityClassifications FUNCTION_NAME (함수 앱에서 요구하는 다른 설정 추가) 값을 다음과 같이 설정하세요: DigitalShadowsURLhttps://api.searchlight.app/v1 값을 HighVariabilityClassifications 다음과 같이 설정 exposed-credential,marked-document 하세요: 값을 다음과 같이 설정 ClassificationFilterOperation 하세요: exclude 함수 앱의 제외 또는 include 함수 앱을 포함하기 값을 데이터 컬렉션 엔드포인트 로그-인제스팅 URI(예: )로 설정 DCE_URL 하세요. https://<dce-name>.<region>-1.ingest.monitor.azure.com 값을 데이터 수집 규칙의 불변 ID로 설정 DCR_IMMUTABLE_ID 하세요(DCR 개요 블레이드에서 볼 Immutable ID수 있음). 값을 다음으로 STREAM_NAME 설정합니다. Custom-DigitalShadows_V2_CL

참고: 위의 값에 Azure Key Vault 비밀을 사용하는 경우 문자열 값 대신 스키마를 사용합니다@Microsoft.KeyVault(SecretUri={Security Identifier}). 자세한 내용은 Azure Key Vault 참조 설명서를 참조하세요. 4. 모든 애플리케이션 설정을 입력한 후, 저장을 클릭하세요.

Dns

지원:Microsoft Corporation

DNS 로그 커넥터를 사용하면 DNS 분석 및 감사 로그를 Microsoft Sentinel 및 기타 관련 데이터와 쉽게 연결하여 조사를 개선할 수 있습니다.

DNS 로그 수집을 사용하도록 설정하면 다음을 수행할 수 있습니다.

악의적인 도메인 이름을 resolve 클라이언트를 식별합니다.

부실 리소스 레코드를 식별합니다.

자주 쿼리되는 도메인 이름 및 대화형 DNS 클라이언트를 식별합니다.

DNS 서버에서 요청 부하를 봅니다.

동적 DNS 등록 실패를 봅니다.

자세한 내용은 Microsoft Sentinel 설명서를 참조하세요.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

DnsEvents 예 예

DnsInventory 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

도메인툴 위협 인텔리전스 도메인 피드

지원:도메인 도구

DomainTools CCF 도메인 데이터 커넥터는 Newly Observed Domains(NOD), Newly Active Domains(NAD), Newly Observed Hostnames(NOH), 도메인 검색 등 여러 DomainTools API에서 위협-인텔리전스 도메인 데이터를 가져와 Microsoft Sentinel에 도입하여 분석 및 탐지를 수행합니다

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

DomainToolsThreatIntelDomains_CL 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

DomainTools API 키가 필요합니다: DomainTools 실시간 피드 API에 접근하려면 DomainTools API 키가 필요합니다

설치 지침:

DomainTools API 구성

DomainTools API 키를 입력하고, 피드를 선택한 후 세션 ID와 폴링 창을 제공합니다. 상단은 선택 사항입니다.

API 키: (DomainTools API 키를 입력하세요)

세션 ID: (mySOC)

조회 시간 (분): (10)

최상위(선택 사항): (100)

연결 사용/사용 안 함

Doppel 데이터 커넥터

지원:Doppel

데이터 커넥터는 Doppel 이벤트 및 경고에 대한 Microsoft Sentinel 기반으로 하며, 수신된 보안 이벤트 데이터를 사용자 지정 열로 구문 분석하는 DCR 기반 수집 시간 변환을 지원하므로 쿼리가 다시 구문 분석할 필요가 없으므로 성능이 향상됩니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

DoppelTable_CL 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

Microsoft Entra 테넌트 ID, 클라이언트 ID 및 클라이언트 암호: Microsoft Entra ID 애플리케이션을 인증하려면 클라이언트 ID 및 클라이언트 암호가 필요합니다. 또한 Entra 등록된 애플리케이션에 리소스 그룹 모니터링 메트릭 게시자 역할을 할당하려면 전역 관리/소유자 수준 액세스가 필요합니다.

작업 영역 ID, DCE-URI, DCR-ID 필요: 구성에 대한 Log Analytics 작업 영역 ID, DCE 로그 수집 URI 및 DCR 변경할 수 없는 ID를 가져와야 합니다.

설치 지침:

Doppel Webhook 구성

데이터를 보내도록 Microsoft Sentinel 권한이 있는 Doppel 및 엔드포인트에서 웹후크를 구성합니다.

Microsoft Entra ID 애플리케이션 등록

Microsoft Entra ID 페이지를 엽니다.

제공된 링크를 클릭하여 새 탭에서 Microsoft Entra ID 등록 페이지를 엽니다.

관리 수준 권한이 있는 계정으로 로그인했는지 확인합니다.

새 애플리케이션 만들기:

Microsoft Entra ID 포털의 왼쪽 탭에서 언급된 앱 등록 선택합니다.

+ 새 등록을 클릭합니다.

다음 필드를 입력합니다.

이름: 앱의 이름(예: "Doppel 앱")을 입력합니다.

지원되는 계정 유형: 이 조직 디렉터리에서만 계정을 선택합니다 (기본 디렉터리만 - 단일 테넌트).

리디렉션 URI: 필요하지 않은 경우 이 값을 비워 둡니다.

등록을 클릭하여 애플리케이션을 만듭니다.

애플리케이션 및 테넌트 ID 복사:

앱이 등록되면 개요 페이지에서 애플리케이션(클라이언트) ID 및 디렉터리(테넌트) ID를 적어둡니다. 통합을 위해 이러한 항목이 필요합니다.

클라이언트 암호를 만듭니다.

인증서 & 비밀 섹션에서 + 새 클라이언트 암호를 클릭합니다.

설명(예: 'Doppel 비밀')을 추가하고 만료(예: 1년)를 설정합니다.

추가를 클릭합니다.

클라이언트 비밀 값은 다시 표시되지 않으므로 즉시 복사합니다.

앱에 "모니터링 메트릭 게시자" 역할 할당

Azure Portal에서 리소스 그룹을 엽니다.

앱에서 데이터를 푸시할 Log Analytics 작업 영역 및 DCR(데이터 수집 규칙)이 포함된 리소스 그룹으로 이동합니다.

역할 할당:

리소스 그룹 메뉴에서 왼쪽 탭 에 언급된 액세스 제어(IAM)를 클릭합니다.

+ 추가를 클릭하고 역할 할당 추가를 선택합니다.

역할 드롭다운에서 모니터링 메트릭 게시자 역할을 검색하여 선택합니다.

액세스 권한 할당에서 Azure AD 사용자, 그룹 또는 서비스 주체를 선택합니다.

선택 필드에서 이름 또는 클라이언트 ID로 등록된 앱을 검색합니다.

저장을 클릭하여 애플리케이션에 역할을 할당합니다.

ARM 템플릿 배포

작업 영역 ID를 검색합니다.

역할을 할당한 후에는 작업 영역 ID가 필요합니다.

리소스 그룹 내의 Log Analytics 작업 영역으로 이동합니다.

개요 섹션에서 작업 영역 세부 정보 아래에서 작업 영역 ID 필드를 찾습니다.

작업 영역 ID를 복사 하고 다음 단계에 대해 편리하게 유지합니다.

배포를 클릭하여 Azure 단추:

portal.azure.com.

이렇게 하면 Azure Portal 직접 이동하여 배포를 시작합니다.

매개 변수 검토 및 사용자 지정:

사용자 지정 배포 페이지에서 올바른 구독 및 리소스 그룹에 배포하고 있는지 확인합니다.

작업 영역 이름, 작업 영역 ID 및 작업 영역 위치와 같은 매개 변수를 입력합니다.

검토 + 만들기를 클릭한 다음 만들기를 클릭하여 리소스를 배포합니다.

DCE, DCR 및 Log Analytics 테이블 설정 확인

DCE(데이터 수집 엔드포인트)를 확인합니다.

배포한 후 Azure Portal > 데이터 수집 엔드포인트로 이동합니다.

DoppelDCE 엔드포인트가 성공적으로 만들어졌는지 확인합니다.

웹후크 URL을 생성하는 데 필요하므로 DCE 로그 수집 URI를 복사합니다.

DCR(데이터 수집 규칙) 설정 확인:

Azure 포털 > 데이터 수집 규칙으로 이동합니다.

DoppelDCR 규칙이 있는지 확인합니다.

웹후크 URL에 필요하므로 개요 페이지에서 DCR의 변경할 수 없는 ID를 복사합니다.

Log Analytics 테이블 유효성 검사:

Log Analytics 작업 영역(Microsoft Sentinel 연결됨)으로 이동합니다.

테이블 섹션에서 DoppelTable_CL 테이블이 성공적으로 만들어졌으며 데이터를 받을 준비가 되었는지 확인합니다.

Microsoft Sentinel Doppel 경고 통합

필요한 정보 수집:

통합에 필요한 다음 세부 정보를 수집합니다.

데이터 수집 엔드포인트 ID(DCE-ID)

데이터 수집 규칙 ID(DCR-ID)

Microsoft Entra 자격 증명: 테넌트 ID, 클라이언트 ID 및 클라이언트 암호입니다.

Doppel 지원으로 조정:

수집된 DCE-ID, DCR-ID 및 Microsoft Entra 자격 증명을 Doppel 지원과 공유합니다.

웹후크 설정을 사용하도록 Doppel 테넌트에서 이러한 세부 정보를 구성하기 위한 지원을 요청합니다.

Doppel에 의한 웹후크 설정:

Doppel은 제공된 리소스 ID 및 자격 증명을 사용하여 웹후크를 구성합니다.

이 웹후크는 Doppel에서 Microsoft Sentinel 경고 전달을 용이하게 합니다.

Microsoft Sentinel 경고 배달 확인:

Doppel의 경고가 Microsoft Sentinel 성공적으로 전달되었는지 확인합니다.

Microsoft Sentinel 통합 문서가 경고 통계로 업데이트되어 원활한 데이터 통합을 보장하는지 확인합니다.

드래곤 Copilot

지원:Microsoft

Microsoft Dragon Copilot은 임상 의사의 상호작용을 캡처하고 처리하여 구조화된 임상 문서와 활동 기록을 생성하는 AI 기반 임상 보조기입니다. 이 AI는 대화형, 환경적, 생성형 AI를 활용해 임상 업무 흐름을 간소화하고, 문서 작성 효율성을 높이며, 임상의, 간호사, 방사선과 의사 등 의료 전문가들에게 실행 가능한 인사이트를 제공합니다. Dragon Copilot 활동 로그는 관리자 및 사용자 수준 이벤트(예: 상호작용, 생성된 출력, 시스템 동작)를 나타내며, 이 커넥터는 Dragon Copilot 워크로드의 관리자, 감사, 운영 로그의 중앙 인제이스팅 지점이 됩니다. Microsoft Sentinel 통합 맥락에서 Dragon Copilot은 사용자 상호작용과 시스템 생성 출력을 나타내는 감사 및 활동 신호를 발신합니다. 이러한 신호들은 보안 모니터링, 준수 감사, 의료 워크플로우 전반에 걸친 운영 가시성을 가능하게 합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

DragonCopilot 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

테넌트 권한: 작업 영역의 테넌트에서 '보안 관리자' 또는 '전역 관리자'입니다.

설치 지침:

Dragon Copilot 감사 로그를 Microsoft Sentinel에 연결하세요

이 커넥터는 Office Management API를 사용해 Dragon Copilot 감사 로그를 가져옵니다. 로그는 기존 Microsoft Sentinel 작업 영역에 저장되고 처리됩니다. 데이터는 DragonCopilot 테이블에서 찾을 수 있습니다.

연결 사용/사용 안 함

Cloud Sitestore를 통한 Dragos 알림

지원:Dragos Inc.

Dragos Platform은 타의 추종을 불허하는 산업 사이버 보안 전문 지식으로 구축된 포괄적인 OT(운영 기술) 사이버 위협 탐지를 제공하는 선도적인 산업 사이버 보안 플랫폼입니다. 이 솔루션을 사용하면 보안 분석가가 산업 환경에서 발생하는 잠재적인 사이버 보안 이벤트를 심사할 수 있도록 Microsoft Sentinel Dragos Platform 알림 데이터를 볼 수 있습니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

DragosAlerts_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Dragos Sitestore API 액세스: 권한이 있는 notification:read Sitestore 사용자 계정입니다. 이 계정에는 Sentinel 제공할 수 있는 API 키도 있어야 합니다.

설치 지침:

Microsoft Sentinel Dragos Sitestore에 연결할 수 있도록 다음 정보를 제공하세요.

Dragos Sitestore 호스트 이름: (dragossitestore.example.com)

Dragos Sitestore API 키 ID: (API 키 ID를 입력합니다.)

Dragos Sitestore API 키 비밀: (API 키 비밀 입력)

최소 알림 심각도입니다. 유효한 값은 0-5 포함입니다. 최대 심각도보다 작거나 같은지 확인합니다.: (최소 심각도를 입력합니다(모든 알림에 대해 0 권장))

최대 알림 심각도입니다. 유효한 값은 0-5 포함입니다. 최소 심각도보다 크거나 같은지 확인합니다.: (최대 심각도를 입력합니다(모든 알림에 대해 5 권장))

연결 사용/사용 안 함

Druva 이벤트 커넥터

지원:Druva Inc.

Druva API에서 Druva 이벤트를 수집하는 기능을 제공합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

DruvaSecurityEvents_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Druva API 액세스: Druva API를 사용하려면 인증을 위해 클라이언트 ID 및 클라이언트 암호가 필요합니다.

설치 지침:

참고: Druva Rest API에 연결하는 구성

1단계: Druva 콘솔에서 자격 증명을 만듭니다. 다음 단계를 참조하세요. https://help.druva.com/en/articles/8580838-create-and-manage-api-credentials

2단계: 호스트 이름을 입력합니다. 퍼블릭 클라우드의 경우 apis.druva.com

3단계: 클라이언트 ID 및 클라이언트 비밀 키 입력

Druva API에 연결하여 Microsoft Sentinel 로그 수집 시작

필요한 값을 제공합니다.

호스트 이름: (예: apis.druva.com)

Dynamics 365 Finance 및 작업

지원:Microsoft Corporation

Dynamics 365 finance and Operations는 재무 및 운영 기능을 결합하여 기업이 일상적인 운영을 관리하는 데 도움이 되는 포괄적인 ERP(Enterprise Resource Planning) 솔루션입니다. 비즈니스에서 워크플로를 간소화하고, 작업을 자동화하고, 운영 성능에 대한 인사이트를 얻을 수 있는 다양한 기능을 제공합니다.

Dynamics 365 Finance 및 운영 데이터 커넥터는 Dynamics 365 Finance 및 Operations 관리자 활동 및 감사 로그뿐만 아니라 사용자 비즈니스 프로세스 및 애플리케이션 활동 로그를 Microsoft Sentinel 수집합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

FinanceOperationsActivity_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

앱 등록 Microsoft Entra: Dynamics 365 Finance 및 작업에 액세스하는 데 사용되는 애플리케이션 클라이언트 ID 및 비밀입니다.

설치 지침:

Finance and Operations에 연결하려면 Microsoft Entra 앱 등록(클라이언트 ID 및 비밀)이 필요합니다. 또한 Microsoft Entra 테넌트 ID 및 재무 운영 조직 URL이 필요합니다.

데이터 수집을 사용하도록 설정하려면 데이터베이스 로그 엔터티를 볼 수 있는 권한이 있는 Dynamics 365 Finance 및 작업에서 역할을 만듭니다. Microsoft Entra 앱 등록의 클라이언트 ID에 매핑된 전용 Finance and Operations 사용자에게 이 역할을 할당합니다. 다음 단계에 따라 프로세스를 완료합니다.

1단계 - 앱 등록 Microsoft Entra

Microsoft Entra 포털로 이동합니다.

애플리케이션에서 앱 등록을 클릭하고 새 앱 등록을 만듭니다(모든 기본값을 그대로 둡니다).

새 앱 등록을 열고 새 비밀을 만듭니다.

나중에 사용할 수 있는 테넌트 ID, 애플리케이션(클라이언트) ID 및 클라이언트 비밀을 유지합니다.

2단계 - 재무 및 운영에서 데이터 수집에 대한 역할 만들기

재무 및 운영 포털에서 작업 영역 > 시스템 관리로 이동하고 보안 구성을 클릭합니다.

역할 아래에서 새로 만들기를 클릭하고 새 역할 이름(예: 데이터베이스 로그 뷰어)을 지정합니다.

역할 목록에서 새 역할을 선택하고 권한 및 참조 추가를 클릭합니다.

권한 목록에서 데이터베이스 로그 엔터티 뷰 를 선택합니다.

게시되지 않은 개체를 클릭한 다음 모두 게시를 클릭하여 역할을 게시합니다.

3단계 - 재무 및 운영에서 데이터 수집을 위한 사용자 만들기

재무 및 운영 포털에서 모듈 > 시스템 관리로 이동하고 사용자를 클릭합니다.

새 사용자를 만들고 이전 단계에서 만든 역할을 사용자에게 할당합니다.

4단계 - 재무 및 운영에 Microsoft Entra 앱 등록

F&O 포털에서 시스템 관리 > 설치 > Microsoft Entra 애플리케이션(Azure Active Directory 애플리케이션)으로 이동합니다.

테이블에 새 항목을 만듭니다. 클라이언트 ID 필드에 1단계에 등록된 앱의 애플리케이션 ID를 입력합니다.

이름 필드에 애플리케이션의 이름을 입력합니다.

사용자 ID 필드에서 이전 단계에서 만든 사용자 ID를 선택합니다.

Dyanmics 365 Finance and Operations의 이벤트를 Microsoft Sentinel 연결

클라이언트 자격 증명을 사용하여 연결

조직

각 행은 재무 및 운영 연결을 나타냅니다.

데이터 커넥터 그리드(포털에서 구성)

다이내믹스365

지원:Microsoft Corporation

Dynamics 365 CDS(Common Data Service) 활동 커넥터는 관리자, 사용자 및 지원 활동뿐만 아니라 Microsoft Social Engagement 로깅 이벤트에 대한 인사이트를 제공합니다. Dynamics 365 CRM 로그를 Microsoft Sentinel 연결하면 통합 문서에서 이 데이터를 보고, 이를 사용하여 사용자 지정 경고를 만들고, 조사 프로세스를 개선할 수 있습니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

Dynamics365Activity 예 아니요

데이터 수집 규칙 지원:작업 영역 변환 DCR

Dynatrace 공격 V2

지원:Dynatrace

이 커넥터는 Dynatrace Attacks REST API를 사용하여 검색된 공격을 Microsoft Sentinel Log Analytics로 수집합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

DynatraceAttacksV2_CL 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

Dynatrace 테넌트(예: xyz.dynatrace.com): Application Security 를 사용하도록 설정된 유효한 Dynatrace 테넌트가 필요합니다. Dynatrace 플랫폼에 대해 자세히 알아보세요.

Dynatrace 액세스 토큰: Dynatrace 액세스 토큰이 필요하며 토큰에는 읽기 공격(attacks.read) scope 있어야 합니다.

설치 지침:

Dynatrace 공격 이벤트를 Microsoft Sentinel

Dynatrace 애플리케이션 보안을 구성하고 사용하도록 설정합니다. 다음 지침에 따라 액세스 토큰을 생성합니다.

Dynatrace 테넌트(예: xyz.dynatrace.com): ({{dynatraceEnvironmentUrl}})

Dynatrace 액세스 토큰: ({{dynatraceAccessToken}})

연결 사용/사용 안 함

다이나트레이스 공격 V3

지원:Dynatrace

이 커넥터는 Dynatrace DQL 스토리지 쿼리 API를 사용하여 탐지된 애플리케이션 보안 공격을 Microsoft Sentinel Log Analytics에 인징합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

DynatraceAttacksV3_CL 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

Dynatrace SaaS 환경(예: xyz.apps.dynatrace.com):애플리케이션 보안 이 활성화된 Dynatrace SaaS 환경(xxx.apps.dynatrace.com)이 필요합니다. 클래식 다이나트레이스 환경(xxx.live.dynatrace.com)은 지원되지 않습니다.

Dynatrace 플랫폼 토큰: storage:buckets:read 와 storage:security.events:read 스코프가 포함된 Dynatrace 플랫폼 토큰이 필요합니다. 자세한 내용은 Dynatrace 플랫폼 토큰 을 참고하세요.

설치 지침:

Dynatrace 공격 이벤트를 Microsoft Sentinel

Dynatrace 애플리케이션 보안을 구성하고 사용하도록 설정합니다.

다음 지침에 따라 storage:buckets:read와 storage:security.events:read 범위로 플랫폼 토큰을 생성합니다.

Dynatrace SaaS 환경 URL을 xyz.apps.dynatrace.com 형식으로 사용하세요.

Dynatrace environment (ex. xyz.apps.dynatrace.com): ({{dynatraceEnvironmentUrl}})

Dynatrace Platform Token: ({{dynatracePlatformToken}})

연결 사용/사용 안 함

Dynatrace 감사 로그 V2

지원:Dynatrace

이 커넥터는 Dynatrace 감사 로그 REST API를 사용하여 테넌트 감사 로그를 Microsoft Sentinel Log Analytics로 수집합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

DynatraceAuditLogsV2_CL 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

Dynatrace 테넌트(예: xyz.dynatrace.com): Dynatrace 플랫폼 무료 평가판 시작에 대해 자세히 알아보려면 유효한 Dynatrace 테넌트가 필요합니다.

Dynatrace 액세스 토큰: Dynatrace 액세스 토큰이 필요합니다. 토큰에는 감사 로그 읽기(auditLogs.read) scope 있어야 합니다.

설치 지침:

감사 로그 이벤트를 Microsoft Sentinel

Dynatrace 감사 로깅을 사용하도록 설정합니다. 다음 지침에 따라 액세스 토큰을 생성합니다.

Dynatrace 테넌트(예: xyz.dynatrace.com): ({{dynatraceEnvironmentUrl}})

Dynatrace 액세스 토큰: ({{dynatraceAccessToken}})

연결 사용/사용 안 함

다이나트레이스 감사 로그 V3

지원:Dynatrace

이 커넥터는 Dynatrace DQL 스토리지 쿼리 API를 사용하여 테넌트 감사 로그 이벤트를 Microsoft Sentinel Log Analytics에 통합합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

DynatraceAuditLogsV3_CL 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

Dynatrace SaaS 환경(예: xyz.apps.dynatrace.com): Dynatrace SaaS 환경(xxx.apps.dynatrace.com)이 필요합니다. 클래식 다이나트레이스 환경(xxx.live.dynatrace.com)은 지원되지 않습니다.

Dynatrace 플랫폼 토큰: storage:buckets:read 와 storage:system:read 스코프가 있는 Dynatrace 플랫폼 토큰이 필요합니다. 자세한 내용은 Dynatrace 플랫폼 토큰 을 참고하세요.

설치 지침:

감사 로그 이벤트를 Microsoft Sentinel

Dynatrace 감사 로깅을 사용하도록 설정합니다.

다음 지침에 따라 storage:buckets:read와 storage:system:read 범위로 플랫폼 토큰을 생성하세요.

Dynatrace SaaS 환경 URL을 xyz.apps.dynatrace.com 형식으로 사용하세요. 클래식 다이나트레이스 환경(xxx.live.dynatrace.com)은 지원되지 않습니다.

Dynatrace environment (ex. xyz.apps.dynatrace.com): ({{dynatraceEnvironmentUrl}})

Dynatrace Platform Token: ({{dynatracePlatformToken}})

연결 사용/사용 안 함

Dynatrace 문제 V2

지원:Dynatrace

이 커넥터는 Dynatrace 문제 REST API를 사용하여 문제 이벤트를 Microsoft Sentinel Log Analytics로 수집합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

DynatraceProblemsV2_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Dynatrace 테넌트(예: xyz.dynatrace.com): Dynatrace 플랫폼 무료 평가판 시작에 대해 자세히 알아보려면 유효한 Dynatrace 테넌트가 필요합니다.

Dynatrace 액세스 토큰: Dynatrace 액세스 토큰이 필요하고 토큰에 읽기 문제(problems.read) scope 있어야 합니다.

설치 지침:

문제 이벤트를 Microsoft Sentinel

다음 지침에 따라 액세스 토큰을 생성합니다.

Dynatrace 테넌트(예: xyz.dynatrace.com): ({{dynatraceEnvironmentUrl}})

Dynatrace 액세스 토큰: ({{dynatraceAccessToken}})

연결 사용/사용 안 함

다이나트레이스 문제 V3

지원:Dynatrace

이 커넥터는 Dynatrace DQL 스토리지 쿼리 API를 사용하여 데이비스 AI 문제 이벤트를 Microsoft Sentinel Log Analytics에 인징합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

DynatraceProblemsV3_CL 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

Dynatrace SaaS 환경(예: xyz.apps.dynatrace.com): Dynatrace SaaS 환경(xxx.apps.dynatrace.com)이 필요합니다. 클래식 다이나트레이스 환경(xxx.live.dynatrace.com)은 지원되지 않습니다.

Dynatrace 플랫폼 토큰: storage:buckets:read 와 storage:events:read 스코프가 있는 Dynatrace 플랫폼 토큰이 필요합니다. 자세한 내용은 Dynatrace 플랫폼 토큰 을 참고하세요.

설치 지침:

문제 이벤트를 Microsoft Sentinel

다음 지침에 따라 storage:buckets:read와 storage:events:read 범위로 플랫폼 토큰을 생성하세요.

Dynatrace SaaS 환경 URL을 xyz.apps.dynatrace.com 형식으로 사용하세요. 클래식 다이나트레이스 환경(xxx.live.dynatrace.com)은 지원되지 않습니다.

Dynatrace environment (ex. xyz.apps.dynatrace.com): ({{dynatraceEnvironmentUrl}})

Dynatrace Platform Token: ({{dynatracePlatformToken}})

연결 사용/사용 안 함

Dynatrace 런타임 취약성 V2

지원:Dynatrace

이 커넥터는 Dynatrace 보안 문제 REST API를 사용하여 검색된 런타임 취약성을 Microsoft Sentinel Log Analytics로 수집합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

DynatraceSecurityProblemsV2_CL 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

Dynatrace 테넌트(예: xyz.dynatrace.com): Application Security 를 사용하도록 설정된 유효한 Dynatrace 테넌트가 필요합니다. Dynatrace 플랫폼에 대해 자세히 알아보세요.

Dynatrace 액세스 토큰: Dynatrace 액세스 토큰이 필요하고 토큰에 읽기 보안 문제(securityProblems.read) scope 있어야 합니다.

설치 지침:

Microsoft Sentinel 대한 Dynatrace 취약성 이벤트

Dynatrace 애플리케이션 보안을 구성하고 사용하도록 설정합니다. 다음 지침에 따라 액세스 토큰을 생성합니다.

Dynatrace 테넌트(예: xyz.dynatrace.com): ({{dynatraceEnvironmentUrl}})

Dynatrace 액세스 토큰: ({{dynatraceAccessToken}})

연결 사용/사용 안 함

Dynatrace 런타임 취약점 V3

지원:Dynatrace

이 커넥터는 Dynatrace DQL 스토리지 쿼리 API를 사용하여 감지된 런타임 취약점을 Microsoft Sentinel Log Analytics에 인징합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

DynatraceSecurityProblemsV3_CL 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

Dynatrace SaaS 환경(예: xyz.apps.dynatrace.com):애플리케이션 보안 이 활성화된 Dynatrace SaaS 환경(xxx.apps.dynatrace.com)이 필요합니다. 클래식 다이나트레이스 환경(xxx.live.dynatrace.com)은 지원되지 않습니다.

Dynatrace 플랫폼 토큰: storage:buckets:read 와 storage:security.events:read 스코프가 포함된 Dynatrace 플랫폼 토큰이 필요합니다. 자세한 내용은 Dynatrace 플랫폼 토큰 을 참고하세요.

설치 지침:

Microsoft Sentinel 대한 Dynatrace 취약성 이벤트

Dynatrace 애플리케이션 보안을 구성하고 사용하도록 설정합니다.

다음 지침에 따라 storage:buckets:read와 storage:security.events:read 범위로 플랫폼 토큰을 생성합니다.

Dynatrace SaaS 환경 URL을 xyz.apps.dynatrace.com 형식으로 사용하세요.

콘텐츠 허브Microsoft Sentinel → Dynatrace 솔루션을 찾아 Dynatrace 실행 시 취약점 요약 규칙을 활성화하세요. 이는 원시 취약점 이벤트를 분석 규칙과 파서가 사용하는 테이블에 통합하기 위해 필요합니다.

Dynatrace environment (ex. xyz.apps.dynatrace.com): ({{dynatraceEnvironmentUrl}})

Dynatrace Platform Token: ({{dynatracePlatformToken}})

연결 사용/사용 안 함

탈출 방어

지원:egress1589289169584

Egress Defend 감사 커넥터는 Egress Defend 데이터를 Microsoft Sentinel에 인징하는 기능을 제공합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

EgressDefend_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Egress API 토큰: 감사 기록을 Microsoft Sentinel에 인징하려면 Egress API 토큰이 필요합니다.

설치 지침:

Connect Egress Defend with Microsoft Sentinel

Egress Defend API URl, Egress 도메인, API 토큰을 입력하세요.

이그레스 디펜드 v2

지원:egress1589289169584

Egress Defend 감사 커넥터는 Logs Ingestion API(DCR 기반)를 통해 Egress Defend 감사 데이터를 Microsoft Sentinel에 인상합니다. Egress Defend V1/events API에서 이벤트를 가져와서 테이블에 EgressDefend_v4_CL 할당합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

EgressDefend_v4_CL 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

Egress Defend API 접근: Egress Defend API URL, 고객 도메인, API 키가 Microsoft Sentinel에 감사 기록을 인수하려면 필요합니다.

설치 지침:

Connect Egress Defend to Microsoft Sentinel

Egress Defend API URL, Egress 도메인, API 키를 입력한 후 Connect를 클릭하세요.

API URL:

도메인 이름:

API 키:

연결 사용/사용 안 함

탄력적 에이전트

지원:Microsoft Corporation

Elastic Agent 데이터 커넥터는 탄력적 에이전트 로그, 메트릭 및 보안 데이터를 Microsoft Sentinel 수집하는 기능을 제공합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

ElasticAgentEvent 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

연결에 필요한 경우 사용자 지정 필수 구성 요소 포함 - 그렇지 않으면 세관 삭제: 사용자 지정 필수 구성 요소에 대한 설명

설치 지침:

참고: 이 데이터 커넥터는 Kusto 함수를 기반으로 하는 파서가 Microsoft Sentinel Solution과 함께 배포되는 예상 ElasticAgentEvent로 작동하도록 합니다.

참고: 이 데이터 커넥터는 Elastic Agent 7.14를 사용하여 개발되었습니다.

1. Linux 또는 Windows용 에이전트 설치 및 온보딩

탄력적 에이전트 로그가 전달되는 서버에 에이전트를 설치합니다.

Linux 또는 Windows 서버에 배포된 탄력적 에이전트의 로그는 Linux 또는 Windows 에이전트에서 수집됩니다.

Linux 에이전트를 설치할 위치를 선택합니다.

Azure Linux Virtual Machine에 에이전트 설치

에이전트를 설치할 컴퓨터를 선택한 다음 연결을 클릭합니다.

에이전트 설치: <설치 시 제공되는 변수 값>

비 Azure Linux 컴퓨터에 에이전트 설치

관련 컴퓨터에서 에이전트를 다운로드하고 지침을 따릅니다.

에이전트 설치: <설치 시 제공되는 변수 값>

Windows 에이전트를 설치할 위치를 선택합니다.

Azure Windows Virtual Machine에 에이전트 설치

에이전트를 설치할 컴퓨터를 선택한 다음 연결을 클릭합니다.

에이전트 설치: <설치 시 제공되는 변수 값>

Azure 아닌 Windows 컴퓨터에 에이전트 설치

관련 컴퓨터에서 에이전트를 다운로드하고 지침을 따릅니다.

에이전트 설치: <설치 시 제공되는 변수 값>

2. 탄력적 에이전트 구성(독립 실행형)

지침에 따라 Logstash에 출력하도록 탄력적 에이전트를 구성합니다.

3. Microsoft Logstash 출력 플러그 인을 사용하도록 Logstash 구성

단계에 따라 Microsoft-logstash-output-azure-loganalytics 플러그 인을 사용하도록 Logstash를 구성합니다.

3.1) 플러그 인이 이미 설치되어 있는지 확인합니다. ./logstash-plugin list | grep 'azure-loganalytics'(플러그 인이 설치된 경우 3.3단계로 이동)

3.2) 플러그 인 설치: ./logstash-plugin install microsoft-logstash-output-azure-loganalytics

3.3) 플러그 인을 사용하도록 Logstash 구성

4. 로그 수집 유효성 검사

지침에 따라 연결의 유효성을 검사합니다.

Log Analytics를 열어 로그가 3.3단계(예: ElasticAgentLogs_CL)에 지정된 사용자 지정 테이블을 사용하여 수신되는지 검사.

연결이 데이터를 작업 영역으로 스트리밍할 때까지 약 30분이 걸릴 수 있습니다.

탄력적 에이전트(코드리스 커넥터 프레임워크를 통해)

지원:Microsoft Corporation

Elastic Agent 데이터 커넥터를 사용하면 Elasticsearch에서 Elastic Agent에서 수집한 시스템 메트릭, 로그 및 원격 분석 데이터를 Microsoft Sentinel 수집할 수 있습니다. 이 커넥터는 API 키 인증과 함께 Elasticsearch Search API를 사용하여 여러 데이터 스트림(CPU, 메모리, 프로세스, 파일 시스템, 네트워크, 로드, 가동 시간, 에이전트 메트릭 및 로그)을 쿼리합니다. 효율적인 쿼리 실행을 위해 DCR 기반 수집 시간 변환을 지원합니다. 자세한 내용은 API 설명서를 참조하세요. https://www.elastic.co/docs/api/doc/elasticsearch/operation/operation-search

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

ElasticAgentLogsV2_CL 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

설치 지침:

1. 사전 요구 사항

필요한 액세스 및 구성이 있는지 확인합니다.

필수 구성 요소

Elasticsearch 배포(자체 관리형 또는 탄력적 클라우드)

시스템 통합을 사용하도록 설정된 탄력적 에이전트 배포

로그 및 메트릭에 대해 사용하도록 설정된 에이전트 모니터링

모든 인덱스에 대한 읽기 권한이 있는 Elasticsearch API 키

Microsoft Sentinel Elasticsearch 엔드포인트로의 네트워크 연결

필수 인덱스

커넥터는 다음 Elasticsearch 인덱스를 쿼리합니다.

메트릭:

metrics-system.cpu-* - CPU 메트릭

metrics-system.memory-* - 메모리 메트릭

metrics-system.process-* - 프로세스 메트릭

metrics-system.filesystem-* - 파일 시스템 메트릭

metrics-system.network-* - 네트워크 메트릭

metrics-system.load-*- 시스템 로드(Linux만 해당)

metrics-system.uptime-* - 시스템 작동 시간

metrics-elastic_agent.* - 에이전트 원격 분석

로그:

logs-elastic_agent-* - 에이전트 로그

2. Elasticsearch 연결 구성

하나 이상의 Elasticsearch 연결을 추가하여 데이터를 수집합니다.

Elasticsearch 연결

여러 연결을 추가하여 다양한 Elasticsearch 배포에서 데이터를 수집할 수 있습니다. 각 연결에는 고유한 Elasticsearch URL 및 API 키가 필요합니다.

API 키 만들기

Kibana에서 스택 관리 > API 키로 이동합니다.

API 키 만들기를 클릭합니다.

이름을 설정하고 사용 권한을 구성합니다.

읽기 권한 metrics-system.*

읽기 권한 metrics-elastic_agent.*

읽기 권한 logs-elastic_agent-*

Base64로 인코딩된 API 키 값 복사

데이터 커넥터 그리드(포털에서 구성)

Ermes 브라우저 보안 이벤트

지원:Ermes Cyber Security S.p.A.

Ermes 브라우저 보안 이벤트

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

ErmesBrowserSecurityEvents_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Ermes 클라이언트 ID 및 클라이언트 암호: Ermes에서 API 액세스를 사용하도록 설정합니다. 자세한 내용은 Ermes Cyber Security 지원에 문의하세요.

설치 지침:

Ermes 브라우저 보안 이벤트를 Microsoft Sentinel 연결

OAuth2 자격 증명을 사용하여 연결

API URL(선택 사항): (https://api.shield.ermessecurity.com)

ESET 플랫폼 보호(Azure Functions 사용)

지원:ESET 엔터프라이즈 통합

ESET 플랫폼 보호 데이터 커넥터를 사용하면 사용자가 제공된 Integration REST API를 사용하여 ESET Protect Platform에서 검색 데이터를 삽입할 수 있습니다. Integration REST API는 예약된 Azure 함수 앱으로 실행됩니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

IntegrationTable_CL 예 예

IntegrationTableIncidents_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Microsoft.Web/sites 권한: 함수 앱을 만들기 위한 Azure Functions 읽기 및 쓰기 권한이 필요합니다. 자세한 내용은 Azure Functions 참조하세요.

Microsoft Entra ID 애플리케이션을 등록할 수 있는 권한: Microsoft Entra 테넌트에서 애플리케이션을 등록할 수 있는 충분한 권한이 필요합니다.

등록된 애플리케이션에 역할을 할당할 수 있는 권한: Microsoft Entra ID 등록된 애플리케이션에 모니터링 메트릭 게시자 역할을 할당할 수 있는 권한이 필요합니다.

설치 지침:

참고: ESET 플랫폼 보호 데이터 커넥터는 Azure Functions 사용하여 Eset Connect API를 통해 ESET Protect Platform에 연결하여 검색 로그를 Microsoft Sentinel. 이 프로세스로 인해 추가 데이터 수집 비용이 발생할 수 있습니다. Azure Functions 가격 책정 페이지에서 세부 정보를 참조하세요.

참고: 최신 버전의 ESET PROTECT Platform 및 Microsoft Sentinel 통합은 검색 로그뿐만 아니라 새로 만든 인시던트도 가져옵니다. 20.06.2025 이전에 통합이 설정된 경우 다음 단계에 따라 업데이트하세요.

1단계 - API 사용자 만들기

이 명령을 사용하여 로그인 및 암호를 사용하여 ESET Connect API 사용자 계정을 만듭니다.

2단계 - 등록된 애플리케이션 만들기

새 애플리케이션 등록 명령의 단계에 따라 Microsoft Entra ID 등록된 애플리케이션을 만듭니다.

3단계 - ARM(Azure Resource Manager) 템플릿을 사용하여 ESET 플랫폼 보호 데이터 커넥터 배포

아래 Azure 배포 단추를 클릭합니다.

aka.ms

Microsoft Sentinel 연결된 Log Analytics 작업 영역의 이름을 선택합니다. Log Analytics 작업 영역의 리소스 그룹과 동일한 리소스 그룹을 선택합니다.

Microsoft Entra ID 등록된 애플리케이션의 매개 변수를 입력합니다. Azure 클라이언트 ID, Azure 클라이언트 암호, Azure 테넌트 ID, 개체 ID입니다. Azure Portal에서 이 경로 Microsoft Entra ID - 관리(왼쪽 메뉴) -> 엔터프라이즈 애플리케이션 ->> 개체 ID 열(등록된 애플리케이션 이름 옆에 있는 값)을 따라 개체 ID를 찾을 수 있습니다.

1단계에서 얻은 ESET Connect API 사용자 계정 로그인 및 암호를 제공합니다.

검색이 검색되는 하나 이상의 ESET 제품(ESET PROTECT, ESET 검사, ESET Cloud Office Security)을 선택합니다.

Exchange Security Insights 온-프레미스 수집기

지원자:커뮤니티

Microsoft Sentinel 분석을 위해 Exchange 온-프레미스 보안 구성을 푸시하는 데 사용되는 커넥터

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

ESIExchangeConfig_CL 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

조직 관리 역할이 있는 서비스 계정: 스크립트를 예약된 작업으로 시작하는 서비스 계정은 필요한 모든 보안 정보를 검색할 수 있도록 조직 관리여야 합니다.

자세한 설명서: >참고: 설치 절차 및 사용에 대한 자세한 설명서는 여기에서 확인할 수 있습니다.

설치 지침:

1. Exchange 관리 PowerShell 콘솔이 있는 서버에 ESI 수집기 스크립트 설치

Exchange 정보를 수집하여 Microsoft Sentinel 콘텐츠를 푸시하는 스크립트입니다.

스크립트 배포

최신 버전의 ESI 수집기 다운로드

최신 버전은 에서 https://aka.ms/ESI-ExchangeCollector-Script찾을 수 있습니다. 다운로드할 파일이 CollectExchSecIns.zip

스크립트 폴더 복사

콘텐츠의 압축을 풀고 Exchange PowerShell Cmdlet이 있는 서버에서 스크립트 폴더를 복사합니다.

PS1 스크립트 차단 해제

각 PS1 스크립트를 마우스 오른쪽 단추로 클릭하고 속성 탭으로 이동합니다. 스크립트가 차단된 것으로 표시되면 차단을 해제합니다. PowerShell을 사용하여 압축을 푼 폴더에서 Cmdlet 'Unblock-File 을 사용할 수도 있습니다.

**네트워크 액세스 구성 **

스크립트가 Azure Analytics(*.ods.opinsights.azure.com)에 연결할 수 있는지 확인합니다.

2. ESI 수집기 스크립트 구성

서버의 로컬 관리자여야 합니다. '관리자 권한으로 실행' 모드에서 'setup.ps1' 스크립트를 시작하여 수집기를 구성합니다. Log Analytics(Microsoft Sentinel) 작업 영역 정보를 채웁니다. 환경 이름을 채우거나 비워 둡니다. 기본적으로 기본 분석으로 'Def'를 선택합니다. 다른 선택은 특정 사용에 대한 것입니다.

작업 영역 ID: <설치 시 제공되는 변수 값>

기본 키: <설치 시 제공되는 변수 값>

3. ESI 수집기 스크립트 예약(설치 스크립트에서 권한이 부족하거나 설치 중에 무시되지 않은 경우)

exchange 구성을 Microsoft Sentinel 보내려면 스크립트를 예약해야 합니다. 스크립트를 하루에 한 번 예약하는 것이 좋습니다. 스크립트를 시작하는 데 사용되는 계정은 그룹 조직 관리의 구성원이어야 합니다.

참고: 이 데이터 커넥터는 Kusto 함수를 기반으로 하는 파서에 따라 예상대로 작동합니다. 파서는 솔루션과 함께 자동으로 배포됩니다. 단계에 따라 Kusto Functions 별칭: ExchangeAdminAuditLogs를 만듭니다.

파서는 솔루션 배포 중에 자동으로 배포됩니다. 수동으로 배포하려면 다음 단계를 수행합니다.

수동 파서 배포

1. 파서 파일 다운로드

최신 버전의 ExchangeAdminAuditLogs 파일

2. 파서 ExchangeAdminAuditLogs 함수 만들기

Microsoft Sentinel 로그 분석의 '로그' 탐색기에서 파일의 내용을 로그 탐색기에 복사합니다.

3. 파서 ExchangeAdminAuditLogs 함수 저장

저장 단추를 클릭합니다. 이 파서에는 매개 변수가 필요하지 않습니다. 저장을 다시 클릭합니다.

Exchange Security Insights 온라인 수집기(Azure Functions 사용)

지원자:커뮤니티

Microsoft Sentinel 분석을 위해 Exchange Online 보안 구성을 푸시하는 데 사용되는 커넥터

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

ESIExchangeOnlineConfig_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Microsoft.Web/sites 권한: 함수 앱을 만들기 위한 Azure Functions 읽기 및 쓰기 권한이 필요합니다. 자세한 내용은 Azure Functions 참조하세요.

microsoft.automation/automationaccounts 권한: Runbook을 사용하여 Azure Automation 만들 수 있는 읽기 및 쓰기 권한이 필요합니다. 자세한 내용은 Automation 계정을 참조하세요.

Microsoft.Graph 권한: Exchange Online 할당에 연결된 사용자/그룹 정보를 검색하려면 Groups.Read, Users.Read 및 Auditing.Read 권한이 필요합니다. 자세한 내용은 설명서를 참조하세요.

Exchange Online 권한: Exchange Online 보안 구성을 검색하려면 Exchange.ManageAsApp 권한 및 전역 읽기 권한자 또는 보안 읽기 권한자 역할이 필요합니다.자세한 내용은 설명서를 참조하세요.

(선택 사항) 로그 스토리지 권한: Automation 계정 관리 ID 또는 애플리케이션 ID에 연결된 스토리지 계정에 대한 Storage Blob 데이터 기여자는 로그를 저장해야 합니다. 자세한 내용은 설명서를 참조하세요.

설치 지침:

참고 - 업데이트

참고:
참고 - 업데이트:
수집기를 버전 7.6.0.0 이상으로 업데이트하는 것이 좋습니다. 수집기 스크립트 업데이트 절차는 ESI 온라인 수집기 업데이트에서 찾을 수 있습니다.

참고: 이 데이터 커넥터는 Kusto 함수를 기반으로 하는 파서에 따라 예상대로 작동합니다. 각 파서에 대한 단계에 따라 Kusto Functions 별칭을 만듭니다. ExchangeConfiguration 및 **ExchangeEnvironmentList 1단계 - 파서 배포**

파서 배포(Microsoft Exchange 보안 솔루션을 사용하는 경우 파서가 자동으로 배포됨)

1. 파서 파일 다운로드

최신 버전의 2개 파일 ExchangeConfiguration.yaml 및 ExchangeEnvironmentList.yaml

2. 파서 ExchangeConfiguration 함수 만들기

Microsoft Sentinel 로그 분석의 '로그' 탐색기에서 파일의 내용을 로그 탐색기에 복사합니다.

3. 파서 ExchangeConfiguration 함수 저장

저장 단추를 클릭합니다. 파서 파일의 헤더에 요청된 대로 매개 변수를 정의합니다. 저장을 다시 클릭합니다.

4. Parser ExchangeEnvironmentList에 대해 동일한 단계를 재현합니다.

'ExchangeEnvironmentList.yaml' 파일의 내용을 사용하여 2단계와 3단계를 재현합니다.

참고: 이 커넥터는 Azure Automation 사용하여 'Exchange Online'에 연결하여 보안 분석을 Microsoft Sentinel 끌어올 수 있습니다. 이로 인해 추가 데이터 수집 비용이 발생할 수 있습니다. 자세한 내용은 Azure Automation 가격 책정 페이지를 확인하세요.

2단계 - 커넥터 및 연결된 Azure Automation 배포하려면 다음 두 가지 배포 옵션 중 하나를 선택합니다.

중요: 'ESI Exchange Online 보안 구성' 커넥터를 배포하기 전에 작업 영역 ID 및 작업 영역 기본 키(다음에서 복사할 수 있음)와 Exchange Online 테넌트 이름(contoso.onmicrosoft.com)을 쉽게 사용할 수 있습니다.

작업 영역 ID: <설치 시 제공되는 변수 값>

기본 키: <설치 시 제공되는 변수 값>

옵션 1 - ARM(Azure Resource Manager) 템플릿

'ESI Exchange Online 보안 구성' 커넥터의 자동화된 배포에 이 방법을 사용합니다.

아래 Azure 배포 단추를 클릭합니다.

aka.ms

기본 구독, 리소스 그룹 및 위치를 선택합니다.

작업 영역 ID, 작업 영역 키, 테넌트 이름, '및/또는 기타 필수 필드'를 입력합니다.

위에 명시된 사용 약관에 동의함을 표시하는 확인란을 표시합니다.

구매를 클릭하여 배포합니다.

옵션 2 - Azure Automation 수동 배포

다음 단계별 지침을 사용하여 Azure Automation 사용하여 수동으로 'ESI Exchange Online 보안 구성' 커넥터를 배포합니다.

대답. Azure Automation 계정 만들기

Azure 포털에서 Azure Automation 계정으로 이동합니다.

위쪽에서 + 추가 를 클릭합니다.

기본 탭에서 필수 필드를 입력하고 Azure Automation 이름을 지정합니다.

고급 및 네트워킹 및 태그 탭에서 필드를 사용자 지정할 필요가 없는 경우 기본값으로 둡니다.

필요한 경우 '다른 바람직한 구성 변경'을 클릭한 다음 만들기를 클릭합니다.

B. Exchange Online 관리 모듈, Microsoft Graph(인증, 사용자 및 그룹) 모듈 추가

Automation 계정 페이지에서 모듈을 선택합니다.

갤러리 찾아보기를 클릭하고 ExchangeOnlineManagement 모듈을 검색합니다.

선택하고 선택을 클릭합니다.

런타임 버전 필드에서 버전 5.1 을 선택하고 가져오기 단추를 클릭합니다. 'Microsoft.Graph.Authentication', 'Microsoft.Graph.Users' 및 'Microsoft.Graph.Groups' 모듈에 대해 단계를 반복합니다. 다음 모듈을 처리하기 전에 Microsoft.Graph.Authentication 설치를 기다려야 합니다.

C. Runbook 콘텐츠 다운로드

최신 버전의 ESI 수집기를 다운로드합니다. 최신 버전은 여기에서 찾을 수 있습니다. https://aka.ms/ESI-ExchangeCollector-Script

파일의 압축을 풉니다. 다음 단계에서 JSON 파일 및 PS1 파일을 찾습니다.

D. 런북 만들기

Automation 계정 페이지에서 Runbook 단추를 선택합니다.

Runbook 만들기를 클릭하고 Runbook 유형 PowerShell, 런타임 버전 5.1을 사용하여 'ESI-Collector'와 같은 이름을 지정하고 '만들기'를 클릭합니다.

Runbook 창에서 이전 단계의 PS1 파일 콘텐츠를 가져옵니다.

게시를 클릭합니다.

E. GlobalConfiguration 변수 만들기

Automation 계정 페이지에서 변수 단추를 선택합니다.

변수 추가를 클릭하고 문자열 형식으로 'GlobalConfiguration'의 이름을 지정합니다.

'값' 필드에서 이전 단계의 JSON 파일 콘텐츠를 복사합니다.

콘텐츠 내에서 WorkspaceID 및 WorkspaceKey의 값을 대체합니다.

'만들기' 단추를 클릭합니다.

F. TenantName 변수 만들기

Automation 계정 페이지에서 변수 단추를 선택합니다.

변수 추가를 클릭하고 문자열 형식으로 이름을 'TenantName'으로 지정합니다.

'값' 필드에 Exchange Online 테넌트 이름을 작성합니다.

'만들기' 단추를 클릭합니다.

G. LastDateTracking 변수 만들기

Automation 계정 페이지에서 변수 단추를 선택합니다.

변수 추가를 클릭하고 문자열 형식으로 'LastDateTracking'의 이름을 exaclty로 지정합니다.

'값' 필드에 'Never'를 씁니다.

'만들기' 단추를 클릭합니다.

H. Runbook 일정 만들기

Automation 계정 페이지에서 Runbook 단추를 선택하고 만든 Runbook 을 클릭합니다.

일정 및 일정 추가 단추를 클릭합니다.

일정을 클릭하고 일정을 추가한 다음 이름을 지정합니다. 1일마다 되풀이 값을 선택하고 '만들기'를 클릭합니다.

'매개 변수 구성 및 설정 실행'을 클릭합니다. 모두 비워 두고 확인 및 확인을 다시 클릭합니다.

3단계 - 관리 ID 계정에 Microsoft Graph 권한 및 Exchange Online 권한 할당

Exchange Online 정보를 수집하고 관리 그룹의 사용자 정보 및 멤버 목록을 검색할 수 있도록 하려면 자동화 계정에 여러 권한이 필요합니다.

스크립트별 사용 권한 할당

대답. 사용 권한 스크립트 다운로드

권한 업데이트 스크립트

B. Azure Automation 관리 ID GUID를 검색하고 다운로드한 스크립트에 삽입합니다.

ID 섹션의 Automation 계정으로 이동합니다. 관리 ID의 Guid를 찾을 수 있습니다.

$MI_ID = "XXXXXXXXXXX"의 GUID를 관리 ID의 GUID로 바꿉니다.

C. 전역 관리자 계정으로 스크립트 시작

이 스크립트에는 MICROSOFT Graph를 사용하여 테넌트 액세스에 대한 MSGraph 모듈 및 관리 동의가 필요합니다. 스크립트는 관리 ID에 3개의 권한을 추가합니다. 1. Exchange Online ManageAsApp 권한 2. Microsoft Graph API 3의 User.Read.All. Microsoft Graph API Group.Read.All

D. 역할 할당 Exchange Online

전역 관리자로서 역할 및 관리자로 이동합니다.

전역 읽기 권한자 역할 또는 보안 읽기 프로그램을 선택하고 '할당 추가'를 클릭합니다.

'구성원이 선택되지 않음'을 클릭하고 'ESI-Collector'와 같은 자동화 계정의 이름으로 시작하여 관리 ID 계정 이름을 검색합니다. 선택하고 '선택'을 클릭합니다.

다음을 클릭하고 할당을 클릭하여 할당의 유효성을 검사합니다.

ExtraHop 검색 데이터 커넥터

지원:ExtraHop 지원

ExtraHop 검색 데이터 커넥터를 사용하면 ExtraHop RevealX에서 검색 데이터를 가져와 웹후크 페이로드를 통해 Microsoft Sentinel 수 있습니다. 데이터는 DCR(데이터 수집 규칙)을 통해 Azure Monitor 로그 수집 API를 사용하여 수집됩니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

ExtraHop_Detections_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Azure 구독: Microsoft Entra ID 애플리케이션을 등록하고, 데이터 수집 엔드포인트, 데이터 수집 규칙을 만들고, 필요한 역할을 할당하려면 소유자 역할이 있는 Azure 구독이 필요합니다.

Microsoft Entra 앱 등록: 클라이언트 암호를 사용하는 Microsoft Entra ID 앱 등록(서비스 주체)이 필요합니다. 배포에서 로그 수집 API를 통해 로그를 게시하는 데 필요한 역할을 할당할 수 있도록 앱의 개체 ID를 제공해야 합니다.

Microsoft.Web/sites 권한: 함수 앱을 만들기 위한 Azure Functions 읽기 및 쓰기 권한이 필요합니다. 자세한 내용은 Azure Functions 참조하세요.

ExtraHop RevealX 권한: ExtraHop RevealX 시스템에는 다음이 필요합니다.

RevealX 시스템은 펌웨어 버전 9.9.2 이상을 실행해야 합니다.

RevealX 시스템은 ExtraHop Cloud Services 연결되어야 합니다.

사용자 계정에는 RevealX Enterprise의 RevealX 360 또는 전체 쓰기 권한에 대한 시스템 관리 권한이 있어야 합니다.

설치 지침:

참고: 이 커넥터는 Azure Functions 사용하여 ExtraHop 웹후크 페이로드를 수신하고 DCR 기반 수집 Azure 모니터 로그 수집 API를 사용하여 Microsoft Sentinel 수집합니다. 그러면 레거시 Log Analytics HTTP 데이터 수집기 API가 대체됩니다. 이로 인해 추가 데이터 수집 비용이 발생할 수 있습니다. 자세한 내용은 Azure Functions 가격 책정 페이지를 확인하세요.

(선택적 단계) API 자격 증명을 Azure Key Vault 안전하게 저장합니다. Azure Key Vault 키 값을 저장하고 검색하는 보안 메커니즘을 제공합니다. 다음 지침에 따라 Azure 함수 앱에서 Azure Key Vault 사용합니다.

참고: 이 데이터 커넥터는 Kusto 함수를 기반으로 하는 파서에 따라 솔루션의 일부로 배포되는 예상대로 작동합니다. Log Analytics에서 함수 코드를 보려면 Log Analytics/Microsoft Sentinel 로그 블레이드를 열고 함수를 클릭하고 별칭 ExtraHopDetections를 검색합니다. 함수 코드를 로드하거나 여기를 클릭합니다. 함수는 일반적으로 솔루션 설치/업데이트 후 활성화하는 데 10-15분이 걸립니다.

구성:

1단계 - Microsoft Entra ID 애플리케이션에 대한 앱 등록 단계

이 통합에는 Azure Portal 앱 등록이 필요합니다. 이 섹션의 단계에 따라 Microsoft Entra ID 새 애플리케이션을 만듭니다.

Azure 포털에 로그인합니다.

Microsoft Entra ID 검색하여 선택합니다.

관리에서 새 등록 앱 등록 > 선택합니다.

애플리케이션의 표시 이름 (예: ExtraHopSentinelConnector)을 입력합니다.

등록을 선택하여 초기 앱 등록을 완료합니다.

등록이 완료되면 Azure Portal 앱 등록의 개요 창이 표시됩니다. 애플리케이션(클라이언트) ID 및 테넌트 ID가 표시됩니다. 클라이언트 ID 및 테넌트 ID는 ExtraHop 데이터 커넥터 실행을 위한 구성 매개 변수로 필요합니다.

참조 링크:/azure/active-directory/develop/quickstart-register-app

2단계 - Microsoft Entra ID 애플리케이션에 대한 클라이언트 암호 추가

애플리케이션 암호라고도 하는 클라이언트 암호는 ExtraHop 데이터 커넥터를 실행하는 데 필요한 문자열 값입니다. 이 섹션의 단계에 따라 새 클라이언트 암호를 만듭니다.

Azure Portal 앱 등록 애플리케이션을 선택합니다.

인증서 & 비밀 > 클라이언트 비밀 새 클라이언트 비밀을 >선택합니다.

클라이언트 비밀에 대한 설명을 추가합니다.

비밀에 대한 만료를 선택하거나 사용자 지정 수명을 지정합니다. 한도는 24개월입니다.

추가를 선택합니다.

클라이언트 애플리케이션 코드에서 사용할 비밀 값을 기록합니다. 이 비밀 값은 이 페이지를 떠난 후에 다시는 표시되지 않습니다. 비밀 값은 ExtraHop 데이터 커넥터를 실행하기 위한 구성 매개 변수로 필요합니다.

참조 링크:/azure/active-directory/develop/quickstart-register-app#add-a-client-secret

3단계 - Microsoft Entra ID 애플리케이션의 개체 ID 가져오기

앱 등록을 만든 후 이 섹션의 단계에 따라 개체 ID를 가져옵니다.

Microsoft Entra ID 이동합니다.

왼쪽 메뉴에서 엔터프라이즈 애플리케이션 을 선택합니다.

목록에서 새로 만든 애플리케이션을 찾습니다(제공한 이름으로 검색할 수 있습니다).

애플리케이션을 클릭합니다.

개요 페이지에서 개체 ID를 복사합니다. ARM 템플릿 역할 할당에 필요한 AzureEntraObjectID 입니다.

4단계 - ExtraHop 데이터 커넥터 배포

중요: ExtraHop 데이터 커넥터를 배포하기 전에 Microsoft Entra ID 앱 등록 세부 정보(클라이언트 ID, 클라이언트 암호, 테넌트 ID 및 개체 ID)를 쉽게 사용할 수 있습니다.

ExtraHop 검색 데이터 커넥터를 배포합니다.

ExtraHop 검색 데이터 커넥터의 자동화된 배포에 이 방법을 사용합니다.

아래 Azure 배포 단추를 클릭합니다.

aka.ms

기본 구독, 리소스 그룹 및 지역을 선택합니다.

아래 정보를 입력합니다.

a. FunctionName - 함수 앱 이름(모든 관련 리소스의 이름을 지정하는 데 사용됨)을 입력합니다. 1~11자여야 합니다. 기본: ExtraHop

b. 위치 - 데이터 수집 규칙 및 데이터 수집 엔드포인트를 배포해야 하는 위치

c. WorkspaceName - Log Analytics 작업 영역의 Microsoft Sentinel 작업 영역 이름 입력

d. AzureClientId - 앱 등록 중에 만든 Azure 클라이언트 ID를 입력합니다.

e. AzureClientSecret - 클라이언트 비밀을 만드는 동안 만든 Azure 클라이언트 암호를 입력합니다.

f. AzureEntraObjectID - Microsoft Entra 앱의 개체 ID 입력

g. TenantId - Microsoft Entra ID 테넌트 ID를 입력합니다.

h. DetectionsTableName - ExtraHop 검색 로그를 저장하는 데 사용되는 테이블의 이름을 입력합니다. 기본값은 'ExtraHop_Detections'입니다.

i. LogLevel - 디버그, 정보, 오류, 경고에서 로그 수준 또는 로그 심각도 값을 선택합니다. 기본적으로 정보로 설정됩니다.

j. AppInsightsWorkspaceResourceID - 2024년 2월 29일로 사용 중지되는 Log Analytic 작업 영역으로 클래식 Application Insights를 마이그레이션합니다. '리소스 ID' 속성 값이 있는 'Log Analytic 작업 영역-->속성' 블레이드를 사용합니다. '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}' 형식의 정규화된 resourceId입니다.

위에 명시된 사용 약관에 동의함을 표시하는 확인란을 표시합니다.

구매를 클릭하여 배포합니다.

5단계 - 배포 후

배포가 성공하면 ExtraHop RevealX에서 Microsoft Sentinel 웹후크 연결을 구성합니다.

1) 함수 앱 엔드포인트 가져오기

Azure 함수 개요 페이지로 이동하여 함수 탭을 클릭합니다.

ExtraHopHttpStarter라는 함수를 클릭합니다.

함수 URL 가져오기로 이동하고 기본값(함수 키)에서 사용할 수 있는 함수 URL을 복사합니다.

{functionname}을 복사한 함수 URL에서 ExtraHopDetectionsOrchestrator로 바꿉니다.

2) Microsoft Sentinel 연결 구성 및 RevealX에서 웹후크 페이로드 조건 지정

ExtraHop 시스템에서 Microsoft Sentinel 통합을 구성하여 Microsoft Sentinel 및 ExtraHop RevealX 간의 연결을 설정하고 웹후크 데이터를 Microsoft Sentinel 보내는 검색 알림 규칙을 만듭니다. 자세한 지침은 Microsoft Sentinel SIEM과 ExtraHop RevealX 통합을 참조하세요.

알림 규칙이 구성되고 Microsoft Sentinel 웹후크 데이터를 수신하면 함수 앱이 트리거되고 Log Analytics 작업 영역 사용자 지정 테이블에서 ExtraHop 검색을 볼 수 있습니다. 데이터의 정규화된 보기 에 ExtraHopDetections 파서 함수를 사용합니다.

F5 빅 IP

지원:F5 네트워크

F5 방화벽 커넥터를 사용하면 F5 로그를 Microsoft Sentinel 쉽게 연결하고, 대시보드를 보고, 사용자 지정 경고를 만들고, 조사를 개선할 수 있습니다. 이렇게 하면 organization 네트워크에 대한 더 많은 인사이트를 제공하고 보안 작업 기능을 개선합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

F5Telemetry_LTM_CL 예 예

F5Telemetry_system_CL 예 예

F5Telemetry_ASM_CL 아니요 아니요

데이터 수집 규칙 지원:작업 영역 변환 DCR

설치 지침:

F5 BIGIP 구성 및 연결

F5 BIGIP를 연결하려면 JSON 선언을 시스템의 API 엔드포인트에 게시해야 합니다. 이 작업을 수행하는 방법에 대한 지침은 F5 BGIP를 Microsoft Sentinel 통합을 참조하세요.

작업 영역 ID: <설치 시 제공되는 변수 값>

기본 키: <설치 시 제공되는 변수 값>

피들리 IoC

지원:Feedly Inc.

Feedly IoC 데이터 커넥터는 Feedly API에서 Indicators of Compromise를 Microsoft Sentinel의 네이티브 ThreatIntelIndicators 테이블로 인징합니다. 지표들은 Microsoft Sentinel의 위협 인텔리전스 매칭, 분석, 사냥에 다른 TIP 통합(예: Upload Indicators API를 통한 Recorded Future)과 동일한 방식으로 참여하도록 태그됩니다SourceSystem == "Feedly".

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

ThreatIntelIndicators 예 아니요

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

피드 API 액세스: Feedly API에 액세스해야 합니다. 수집하려는 IoC 스트림에 액세스할 수 있는 Feedly API 토큰이 필요합니다. 에서 API 토큰 생성 https://feedly.com/i/team/api

설치 지침:

Feedly에 연결하여 Microsoft Sentinel IoC 수집 시작

으로 https://feedly.com/i/team/api 이동하여 커넥터에 대한 새 API 토큰을 생성합니다.

Microsoft Sentinel에서 Feedly API 키와 스트림 ID를 입력한 후 Connect를 클릭하세요.

지표는 SourceSystem Feedly를 사용하여 네이티브 ThreatIntelIndicators 테이블에 기록됩니다. 다음 주소로 조회하세요: ThreatIntelIndicators | Where SourceSystem == "Feedly"

Feedly API 키: (Feedly API 토큰 입력)

피드 Stream ID: (streamId1,streamId2,streamId3)

연결 사용/사용 안 함

Microsoft 365용 Filewall

Filewall에서 지원함

Filewall에서 Microsoft Sentinel(Exchange, SharePoint, OneDrive, Teams)으로 이벤트를 인제스트하세요.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

FilewallExchange_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Filewall API 접근: Filewall API 키가 필요합니다.

설치 지침:

연결 추가를 클릭하고, Filewall API 키를 붙여넣은 후 연결(Connect)을 클릭하세요. 이렇게 하면 4개의 폴링 연결(Exchange, SharePoint, OneDrive, Teams)이 생성됩니다.

데이터 커넥터 그리드(포털에서 구성)

화염 나침반 위험

지원:FireCompass

FireCompass 데이터 커넥터는 FireCompass API에서 위험 및 취약점 데이터를 Microsoft Sentinel로 인징할 수 있게 해줍니다. 데이터 커넥터는 Microsoft Sentinel 코드리스 커넥터 프레임워크 위에 구축되었습니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

FCRisks_CL 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

설치 지침:

FireCompass API 설정 단계: FireCompass 플랫폼에서 API 토큰을 생성하고 아래에 붙여넣어 커넥터를 인증하세요.

FIRECOMPASS 관리 URL: (https://example.FIRECOMPASSTEST.net/)

API 엔드포인트 경로: (/internal_risks/v1/risk)

FireCompass API 토큰: (API 토큰 입력)

연결 사용/사용 안 함

플레어 푸시 커넥터

지원자:플레어

플레어 커넥터는 플레어에서 Microsoft Sentinel 위협 인텔리전스 및 노출 데이터를 수집하는 기능을 제공합니다. 플레어는 유출된 자격 증명, 노출된 클라우드 버킷, 다크웹 멘션 등을 포함하여 인적 오류 또는 악의적인 공격으로 인해 공개적으로 사용할 수 있는 회사의 디지털 자산을 식별합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

FireworkV2_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Microsoft Entra: Microsoft Entra ID 앱 등록을 만들 수 있는 권한입니다.

Microsoft Azure: DCR(데이터 수집 규칙)에 대한 모니터링 메트릭 게시자 역할을 할당할 수 있는 권한입니다.

플레어: 플레어에서 Microsoft Sentinel 통합을 구성할 수 있는 권한입니다.

설치 지침:

1. ARM 리소스 만들기 및 필요한 권한 제공

이 커넥터를 사용하면 Flare이 위협 노출 데이터를 Microsoft Sentinel 보낼 수 있습니다. 플레어에서 데이터 전달을 사용하도록 설정하면 원시 이벤트 데이터가 Microsoft Sentinel 수집 API로 안전하게 전송됩니다.

Entra 애플리케이션을 사용하여 자동화된 구성 및 보안 데이터 수집 "배포"를 클릭하면 Log Analytics 테이블과 DCR(데이터 수집 규칙)이 만들어집니다. 그런 다음, Entra 애플리케이션을 만들고, DCR을 연결하고, 애플리케이션에 입력한 비밀을 설정합니다. 이 설정을 사용하면 Entra 토큰을 사용하여 데이터를 DCR로 안전하게 보낼 수 있습니다.

2. Microsoft Sentinel 로그를 보내도록 플레어 구성

다음 매개 변수를 사용하여 작업 영역으로 로그를 보내도록 Flare을 구성합니다.

Entra 애플리케이션(클라이언트) ID: <설치 시 제공되는 변수 값>

Entra 디렉터리(테넌트) ID: <설치 시 제공되는 변수 값>

Entra 앱 등록 비밀: <설치 시 제공되는 변수 값>

로그 수집 URL: <설치 시 제공되는 변수 값>

3. 플레어에서 경고 채널 구성

organization 관리자는 플레어에서 경고 채널을 구성하여 데이터를 Sentinel 보낼 수 있습니다.

플레어에서 인증

경고 페이지에 액세스하여 새 경고 채널을 만듭니다.

'Microsoft Sentinel'을 선택하고 위의 필드를 양식에 복사합니다.

자세한 내용은 플레어 설명서를 참조하세요.

포스포인트 DLP

지원자:커뮤니티

Forcepoint DLP(데이터 손실 방지) 커넥터를 사용하면 실시간으로 Forcepoint DLP에서 Microsoft Sentinel DLP 인시던트 데이터를 자동으로 내보낼 수 있습니다. 이렇게 하면 사용자 활동 및 데이터 손실 인시던트에 대한 가시성이 향상되고, Azure 워크로드 및 기타 피드의 데이터와 더 많은 상관 관계를 설정할 수 있으며, Microsoft Sentinel 내 통합 문서로 모니터링 기능이 향상됩니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

ForcepointDLPEvents_CL 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

설치 지침:

Microsoft Sentinel 대한 Forcepoint DLP 설명서의 단계별 지침에 따라 이 커넥터를 구성합니다.

작업 영역 ID: <설치 시 제공되는 변수 값>

기본 키: <설치 시 제공되는 변수 값>

포어스카우트

지원:Microsoft Corporation

Forescout 데이터 커넥터는 Forescout 이벤트를 Microsoft Sentinel 수집하는 기능을 제공합니다. 자세한 내용은 Forescout 설명서를 참조하세요.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

ForescoutEvent 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

설치 지침:

참고: 이 데이터 커넥터는 kusto 함수를 기반으로 하는 파서가 Microsoft Sentinel 솔루션과 함께 배포된 예상 ForescoutEvent와 같이 작동하도록 합니다.

참고: 이 데이터 커넥터는 Forescout Syslog 플러그 인 버전 v3.6을 사용하여 개발되었습니다.

1. Linux 또는 Windows용 에이전트 설치 및 온보딩

Forescout 로그가 전달되는 서버에 에이전트를 설치합니다.

Linux 또는 Windows 서버에 배포된 Forescout Server의 로그는 Linux 또는 Windows 에이전트에서 수집됩니다.

Linux 에이전트를 설치할 위치를 선택합니다.

Azure Linux Virtual Machine에 에이전트 설치

에이전트를 설치할 컴퓨터를 선택한 다음 연결을 클릭합니다.

에이전트 설치: <설치 시 제공되는 변수 값>

비 Azure Linux 컴퓨터에 에이전트 설치

관련 컴퓨터에서 에이전트를 다운로드하고 지침을 따릅니다.

에이전트 설치: <설치 시 제공되는 변수 값>

Windows 에이전트를 설치할 위치를 선택합니다.

Azure Windows Virtual Machine에 에이전트 설치

에이전트를 설치할 컴퓨터를 선택한 다음 연결을 클릭합니다.

에이전트 설치: <설치 시 제공되는 변수 값>

Azure 아닌 Windows 컴퓨터에 에이전트 설치

관련 컴퓨터에서 에이전트를 다운로드하고 지침을 따릅니다.

에이전트 설치: <설치 시 제공되는 변수 값>

2. 수집할 로그 구성

수집하려는 시설 및 해당 심각도를 구성합니다.

작업 영역 고급 설정 구성에서 데이터를 선택한 다음 Syslog를 선택합니다.

내 컴퓨터에 아래 구성 적용을 선택하고 시설 및 심각도를 선택합니다.

저장을 클릭합니다.

에이전트 설치: <설치 시 제공되는 변수 값>

3. Forescout 이벤트 전달 구성

아래 구성 단계에 따라 Forescout 로그를 Microsoft Sentinel.

구성할 어플라이언스 를 선택합니다.

다음 지침에 따라 Forescout 플랫폼에서 syslog 서버로 경고를 전달합니다.

Syslog 트리거 탭에서 설정을 구성합니다.

Fortinet FortiNDR Cloud

지원 대상:Fortinet

Fortinet FortiNDR Cloud 데이터 커넥터는 FortiNDR Cloud API를 사용하여 Fortinet FortiNDR Cloud 데이터를 Microsoft Sentinel 수집하는 기능을 제공합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

FortinetFortiNdrCloudRaw_CL 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

Microsoft.Web/sites 권한: 함수 앱을 만들기 위한 Azure Functions 읽기 및 쓰기 권한이 필요합니다. 자세한 내용은 Azure Functions 참조하세요.

MetaStream 자격 증명: 이벤트 데이터를 검색하려면 AWS 액세스 키 ID, AWS 비밀 액세스 키, FortiNDR 클라우드 계정 코드 가 필요합니다.

API 자격 증명: 검색 데이터를 검색하려면 FortiNDR Cloud API 토큰, FortiNDR 클라우드 계정 UUID 가 필요합니다.

설치 지침:

참고: 이 커넥터는 Azure Functions를 통한 엔터프라이즈 애플리케이션 통합 모델을 사용하여 FortiNDR Cloud API에서 로그를 안전하게 Microsoft Sentinel로 가져옵니다. 이 배포는 데이터 수집과 계산 비용이 발생할 수 있습니다. 자세한 내용은 Azure Functions 가격 책정 페이지를 확인하세요.

(선택적 단계) API 인증 키나 토큰을 Azure Key Vault에 안전하게 저장하세요. Azure Key Vault 키 값을 저장하고 검색하는 보안 메커니즘을 제공합니다. 다음 지침에 따라 Azure 함수 앱에서 Azure Key Vault 사용합니다.

참고: 이 커넥터는 Kusto 함수를 기반으로 하는 파서 를 사용하여 필드를 정규화합니다. 다음 단계에 따라 Kusto 함수 별칭 Fortinet_FortiNDR_Cloud 만듭니다.

1단계 - 커넥터와 관련 Azure 함수 배포

중요: Fortinet FortiNDR Cloud 커넥터를 배포하기 전에 아래 값을 즉시 확보해 두세요.

작업 영역 ID: <설치 시 제공되는 변수 값>

STEP 2 - Azure Resource Manager (ARM) 템플릿

Fortinet FortiNDR Cloud 커넥터의 자동화된 배포에 이 메서드를 사용합니다.

아래 Azure 배포 단추를 클릭합니다.

aka.ms

기본 구독, 리소스 그룹 및 위치를 선택합니다.

만들기를 클릭하여 배포합니다.

Fortra Agari 데이터 커넥터(코드리스 커넥터 프레임워크를 통해)

지원:Microsoft Corporation

Fortra Agari 데이터 커넥터는 Fortra Agari 브랜드 보호(BP) 및 피싱 방어(APD) API에서 로그를 Microsoft Sentinel로 인징할 수 있게 해줍니다. 효율적인 쿼리 실행을 위해 DCR 기반 수집 시간 변환을 지원합니다. 자세한 내용은 Agari API 설명서를 참조하세요.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

AgariBPAlertsLog_CL 아니요 아니요

AgariAPDPolicyLog_CL 아니요 아니요

AgariAPDTCLog_CL 아니요 아니요

AgariBPThreatFeedSubs_CL 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

설치 지침:

Agari API 연결

독립적인 Agari 테넌트 연결을 추가하고 관리하세요.

데이터 커넥터 그리드(포털에서 구성)

Gambit 보안 정책 문제 (푸시)

지원:Gambit Security.

Gambit Security 커넥터는 자원, 영향을 받은 시스템, 정책 맥락을 풍부하게 포함한 Gambit Security 정책 이슈를 Microsoft Sentinel에 전달할 수 있는 기능을 제공합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

GambitPoliciesIssues_CL 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

Microsoft Entra: Microsoft Entra ID 앱 등록을 만들 수 있는 권한입니다. 일반적으로 Entra ID 애플리케이션 개발자 역할 이상이 필요합니다.

Microsoft Azure: DCR(데이터 수집 규칙)에 대한 모니터링 메트릭 게시자 역할을 할당할 수 있는 권한입니다. 일반적으로 AZURE RBAC 소유자 또는 사용자 액세스 관리자 역할이 필요합니다.

설치 지침:

1. ARM 리소스 만들기 및 필요한 권한 제공

이 커넥터는 Log Analytics 테이블과 데이터 수집 규칙(DCR)을 제공하며, Gambit Security는 Microsoft Sentinel Ingestion API를 통해 정책 문제를 전달합니다.

Entra 애플리케이션을 사용하여 자동화된 구성 및 보안 데이터 수집 "배포"를 클릭하면 Log Analytics 테이블 및 DCR(데이터 수집 규칙)의 생성이 트리거됩니다. 그런 다음, Entra 애플리케이션을 만들고, DCR을 연결하고, 애플리케이션에 입력한 비밀을 설정합니다. 이 설정을 사용하면 Entra 토큰을 사용하여 데이터를 DCR로 안전하게 보낼 수 있습니다.

2. 작업 영역에 로그 푸시

다음 매개변수를 사용하여 Gambit Security를 구성하여 작업 공간에 정책 이슈를 전송합니다.

테넌트 ID(디렉터리 ID): <설치 시 제공되는 변수 값>

Entra 앱 등록 애플리케이션 ID: <설치 시 제공되는 변수 값>

Entra 앱 등록 비밀: <설치 시 제공되는 변수 값>

데이터 수집 엔드포인트 Uri: <설치 시 제공되는 변수 값>

데이터 수집 규칙 변경할 수 없는 ID: <설치 시 제공되는 변수 값>

정책 문제 스트림 이름: <설치 시 제공된 변수 값>

주둔지 ULTRA 원격 로그(Azure Functions 사용)

지원:주둔지

주둔지 ULTRA 원격 로그 커넥터를 사용하면 주둔지 ULTRA 원격 로그를 Microsoft Sentinel 수집할 수 있습니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

Garrison_ULTRARemoteLogs_CL 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

Garrison ULTRA: 이 데이터 커넥터를 사용하려면 활성 Garrison ULTRA 라이선스가 있어야 합니다.

설치 지침:

배포 - ARM(Azure Resource Manager) 템플릿

이러한 단계에서는 ARM Tempate를 사용하여 Garrison ULTRA Remote Logs 데이터 커넥터의 자동화된 배포를 간략하게 설명합니다.

아래 Azure 배포 단추를 클릭합니다.

portal.azure.com

리소스 그룹, Microsoft Sentinel 작업 영역 및 수집 구성과 같은 필수 세부 정보 제공

참고: 이러한 리소스를 배포하기 위해 새 리소스 그룹을 만드는 것이 좋습니다. 3. 위에 명시된 사용 약관에 동의함을 표시하는 확인란을 표시합니다. 4. 구매 를 클릭하여 배포합니다.

GCP 클라우드 실행(코드리스 커넥터 프레임워크를 통해)

지원:Microsoft Corporation

GCP Cloud Run 데이터 커넥터는 Pub/Sub를 사용하여 클라우드 실행 요청 로그를 Microsoft Sentinel 수집하는 기능을 제공합니다. 자세한 내용은 클라우드 실행 개요 를 참조하세요.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

GCPCloudRun 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

설치 지침:

**GCP Cloud Run을 Microsoft Sentinel 연결 **

테넌트 ID: GCP 환경 내에서 Terraform 구성의 입력으로 사용되는 고유 식별자입니다.: <설치 시 제공되는 변수 값>

Google 클라우드 콘솔에서 클라우드 실행 로그를 사용하도록 설정하고, 이전에 사용하도록 설정하지 않은 경우 클라우드 로깅을 사용하도록 설정하고, 변경 내용을 저장합니다. 로깅을 사용하도록 설정하여 Cloud Run 서비스를 배포하거나 업데이트합니다.

참조 링크: 설명서에 연결

새 수집기 연결 Microsoft Sentinel GCP 클라우드 실행 요청 로그를 사용하도록 설정하려면 새 수집기 추가 단추를 클릭하고 팝업에서 필요한 정보를 제공하고 연결을 클릭합니다.

GCP Cloud SQL(코드리스 커넥터 프레임워크를 통해)

지원:Microsoft Corporation

GCP Cloud SQL 데이터 커넥터는 GCP Cloud SQL API를 사용하여 감사 로그를 Microsoft Sentinel 수집하는 기능을 제공합니다. 자세한 내용은 GCP 클라우드 SQL 감사 로그 설명서를 참조하세요.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

GCPCloudSQL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

설치 지침:

GCP Cloud SQL을 Microsoft Sentinel 연결

테넌트 ID: GCP 환경 내의 terraform 구성에서 입력으로 사용되는 고유 식별자입니다.: <설치 시 제공되는 변수 값>

Google Cloud Console에서 이전에 사용하도록 설정하지 않은 경우 Cloud SQL API를 사용하도록 설정하고 변경 내용을 저장합니다.

새 수집기 연결 Microsoft Sentinel GCP 클라우드 SQL 로그를 사용하도록 설정하려면 새 수집기 추가 단추를 클릭하고 컨텍스트 창에서 필요한 정보를 입력하고 연결을 클릭합니다.

GCP Pub/Sub 감사 로그

지원:Microsoft Corporation

Microsoft Sentinel 커넥터에서 수집된 GCP(Google Cloud Platform) 감사 로그를 사용하면 관리자 활동 로그, 데이터 액세스 로그 및 액세스 투명성 로그의 세 가지 유형의 감사 로그를 캡처할 수 있습니다. Google 클라우드 감사 로그는 실무자가 GCP(Google Cloud Platform) 리소스에서 액세스를 모니터링하고 잠재적 위협을 감지하는 데 사용할 수 있는 내역을 기록합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

GCPAuditLogs 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

설치 지침:

테넌트 ID: GCP 환경 내에서 Terraform 구성의 입력으로 사용되는 고유 식별자입니다.: <설치 시 제공되는 변수 값>

새 수집기 연결 Microsoft Sentinel GCP 감사 로그를 사용하도록 설정하려면 새 수집기 추가 단추를 클릭하고 컨텍스트 창에서 필요한 정보를 입력하고 연결을 클릭합니다.

GCP Pub/Sub Load Balancer 로그(코드리스 커넥터 프레임워크를 통해).

지원:Microsoft Corporation

GCP(Google Cloud Platform) Load Balancer 로그는 네트워크 트래픽에 대한 자세한 인사이트를 제공하여 인바운드 및 아웃바운드 활동을 모두 캡처합니다. 이러한 로그는 액세스 패턴을 모니터링하고 GCP 리소스에서 잠재적인 보안 위협을 식별하는 데 사용됩니다. 또한 이러한 로그에는 WAF(GCP Web Application Firewall) 로그가 포함되어 위험을 효과적으로 감지하고 완화하는 기능이 향상됩니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

GCPLoadBalancerLogs_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

설치 지침:

테넌트 ID: GCP 환경 내에서 Terraform 구성의 입력으로 사용되는 고유 식별자입니다.: <설치 시 제공되는 변수 값>

Load Balancer 로그 사용 GCP 계정에서 Load Balancer 섹션으로 이동합니다. 여기서 [백 엔드 서비스] -> [편집]을 사용할 수 있습니다. [로깅] 섹션의 [백 엔드 서비스]에 있으면 [로그 사용] 확인란을 사용하도록 설정합니다. 규칙을 열면 로그 섹션 아래의 토글 단추를 켜기로 전환하고 변경 내용을 저장합니다.

자세한 내용은 설명서에 연결

새 수집기 연결 Microsoft Sentinel GCP Load Balancer 로그를 사용하도록 설정하려면 새 수집기 추가 단추를 클릭하고 컨텍스트 창에서 필요한 정보를 입력하고 연결을 클릭합니다.

GCP Pub/Sub VPC 흐름 로그(코드리스 커넥터 프레임워크를 통해)

지원:Microsoft Corporation

GCP(Google Cloud Platform) VPC 흐름 로그를 사용하면 VPC 수준에서 네트워크 트래픽 활동을 캡처할 수 있으므로 액세스 패턴을 모니터링하고, 네트워크 성능을 분석하고, GCP 리소스에서 잠재적 위협을 검색할 수 있습니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

GCPVPCFlow 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

설치 지침:

테넌트 ID: GCP 환경 내에서 Terraform 구성의 입력으로 사용되는 고유 식별자입니다.: <설치 시 제공되는 변수 값>

VPC 흐름 로그 사용 GCP 계정에서 VPC 네트워크 섹션으로 이동합니다. 로깅 섹션에서 모니터링할 서브넷을 선택하고 흐름 로그를 사용하도록 설정합니다.

자세한 내용은 Google Cloud 설명서

새 수집기 연결 Microsoft Sentinel GCP VPC 흐름 로그를 사용하도록 설정하려면 새 수집기 추가 단추를 클릭하고 컨텍스트 창에서 필요한 정보를 입력하고 연결을 클릭합니다.

기가몬 AMX 커넥터

지원자:Gigamon

Gigamon 커넥터는 Microsoft Sentinel Gigamon에서 원시 이벤트 데이터를 읽는 기능을 제공합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

GigamonV2_CL 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

Microsoft Entra: Microsoft Entra ID 앱 등록을 만들 수 있는 권한입니다. 일반적으로 Entra ID 애플리케이션 개발자 역할 이상이 필요합니다.

Microsoft Azure: DCR(데이터 수집 규칙)에 대한 모니터링 메트릭 게시자 역할을 할당할 수 있는 권한입니다. 일반적으로 AZURE RBAC 소유자 또는 사용자 액세스 관리자 역할이 필요합니다.

설치 지침:

1. ARM 리소스 만들기 및 필요한 권한 제공

이 커넥터는 Gigamon CCF가 Microsoft Analytics 작업 영역에서 사용하는 테이블에서 데이터를 읽습니다. 데이터 전달 옵션이 Gigamon CCF에서 사용하도록 설정된 경우 원시 이벤트 데이터가 Microsoft Sentinel 수집 API로 전송됩니다.

Entra 애플리케이션을 사용하여 자동화된 구성 및 보안 데이터 수집 "배포"를 클릭하면 Log Analytics 테이블 및 DCR(데이터 수집 규칙)의 생성이 트리거됩니다. 그런 다음, Entra 애플리케이션을 만들고, DCR을 연결하고, 애플리케이션에 입력한 비밀을 설정합니다. 이 설정을 사용하면 Entra 토큰을 사용하여 데이터를 DCR로 안전하게 보낼 수 있습니다.

2. 작업 영역에 로그 푸시

다음 매개 변수를 사용하여 작업 영역으로 로그를 보내도록 컴퓨터를 구성합니다.

테넌트 ID(디렉터리 ID): <설치 시 제공되는 변수 값>

Entra 앱 등록 애플리케이션 ID: <설치 시 제공되는 변수 값>

Entra 앱 등록 비밀: <설치 시 제공되는 변수 값>

데이터 수집 엔드포인트 Uri: <설치 시 제공되는 변수 값>

데이터 수집 규칙 변경할 수 없는 ID: <설치 시 제공되는 변수 값>

활동 Stream 이름: <설치 시 제공되는 변수 값>

위협 Stream 이름: <설치 시 제공되는 변수 값>

GitHub(웹후크 사용)

지원:Microsoft Corporation

GitHub 웹후크 데이터 커넥터는 GitHub 웹후크 이벤트를 사용하여 GitHub 구독 이벤트를 Microsoft Sentinel 수집하는 기능을 제공합니다. 커넥터는 잠재적인 보안 위험을 검사하고, 팀의 공동 작업 사용을 분석하고, 구성 문제를 진단하는 데 도움이 되는 이벤트를 Microsoft Sentinel 수 있는 기능을 제공합니다.

참고: Github 감사 로그를 수집하려는 경우 "데이터 커넥터" 갤러리에서 GitHub Enterprise 감사 로그 커넥터를 참조하세요.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

githubscanaudit_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Microsoft.Web/sites 권한: 함수 앱을 만들기 위한 Azure Functions 읽기 및 쓰기 권한이 필요합니다. 자세한 내용은 Azure Functions 참조하세요.

설치 지침:

참고: 이 커넥터는 http 트리거 기반 Azure 함수를 기반으로 빌드되었습니다. 또한 웹후크 기능을 통해 github가 연결되는 엔드포인트를 제공하고 구독된 이벤트를 Microsoft Sentinel 게시합니다. 이로 인해 추가 데이터 수집 비용이 발생할 수 있습니다. 자세한 내용은 Azure Functions 가격 책정 페이지를 확인하세요.

(선택적 단계) 작업 영역 및 API 권한 부여 키 또는 토큰을 Azure Key Vault 안전하게 저장합니다. Azure Key Vault 키 값을 저장하고 검색하는 보안 메커니즘을 제공합니다. 다음 지침에 따라 Azure 함수 앱에서 Azure Key Vault 사용합니다.

다음 두 배포 옵션 중 하나를 선택하여 커넥터 및 연결된 Azure 함수를 배포합니다.

중요: Github Webhook 커넥터를 배포하기 전에 작업 영역 ID 및 작업 영역 기본 키를 갖습니다(다음에서 복사할 수 있음).

작업 영역 ID: <설치 시 제공되는 변수 값>

기본 키: <설치 시 제공되는 변수 값>

옵션 1 - ARM(Azure Resource Manager) 템플릿

ARM Tempate를 사용하여 GitHub 데이터 커넥터의 자동화된 배포에 이 방법을 사용합니다.

아래 Azure 배포 단추를 클릭합니다.

aka.ms

기본 구독, 리소스 그룹 및 위치를 선택합니다.

참고: 동일한 리소스 그룹 내에서는 Windows 및 Linux 앱을 동일한 지역에 혼합하여 배포할 수 없습니다. 3. 위에 명시된 사용 약관에 동의함을 표시하는 확인란을 표시합니다. 5. 구매 를 클릭하여 배포합니다.

옵션 2 - Azure Functions 수동 배포

다음 단계별 지침을 사용하여 Azure Functions 사용하여 GitHub 웹후크 데이터 커넥터를 수동으로 배포합니다(Visual Studio Code 통해 배포).

1단계 - 함수 앱 배포

Azure 함수 앱 파일을 다운로드합니다. 로컬 개발 컴퓨터에 보관 파일을 추출합니다.

함수 앱 수동 배포 지침에 따라 VSCode를 사용하여 Azure Functions 앱을 배포합니다.

함수 앱을 성공적으로 배포한 후 구성을 위한 다음 단계를 수행합니다.

2단계 - 함수 앱 구성

함수 앱 구성에 대한 Azure 포털로 이동합니다.

함수 앱에서 함수 앱 이름을 선택하고 구성을 선택합니다.

애플리케이션 설정 탭에서 새 애플리케이션 설정을 선택합니다.

각 문자열 값(대/소문자 구분)을 사용하여 다음 애플리케이션 설정을 개별적으로 추가합니다. WorkspaceID WorkspaceKey logAnalyticsUri(선택 사항) - logAnalyticsUri를 사용하여 전용 클라우드에 대한 로그 분석 API 엔드포인트를 재정의합니다. 예를 들어 퍼블릭 클라우드의 경우 값을 비워 둡니다. Azure GovUS 클라우드 환경의 경우 값을 형식https://<CustomerId>.ods.opinsights.azure.us으로 지정합니다.

모든 애플리케이션 설정이 입력되면 저장을 클릭합니다.

배포 후 단계

1단계 - Azure 함수 URL을 가져오려면

Azure 함수 개요 페이지로 이동하고 왼쪽 블레이드에서 "함수"를 클릭합니다.

"GithubwebhookConnector"라는 함수를 클릭합니다.

"GetFunctionurl"로 이동하여 함수 URL을 복사합니다.

2단계 - Github 조직에 웹후크 구성

GitHub로 이동하여 계정을 열고 "조직"을 클릭합니다.

설정을 클릭합니다.

"웹후크"를 클릭하고 페이로드 URL 텍스트 상자에 위의 1단계에서 복사한 함수 앱 URL을 입력합니다.

콘텐츠 형식을 "application/json"으로 선택합니다.

이벤트 구독 및 "웹후크 추가"를 클릭합니다.

이제 github Webhook 구성을 완료했습니다. Github 이벤트가 트리거되고 20~30분 후(LogAnalytics가 처음으로 리소스를 스핀업하는 데 문제가 있으므로) Github의 모든 트랜잭션 이벤트를 "githubscanaudit_CL"라는 LogAnalytics 작업 영역 테이블로 볼 수 있어야 합니다.

자세한 내용은 여기를 클릭하세요.

GitHub(웹후크 사용) V2

지원:Microsoft Corporation

GitHub 웹후크 데이터 커넥터(V2)는 GitHub 웹후크 이벤트를 사용하여 구독된 이벤트를 Microsoft Sentinel GitHub 수집하는 기능을 제공합니다. 이 커넥터는 관리 ID 인증과 함께 Azure Monitor 로그 수집 API(CLv2)를 사용하며, Microsoft CLv2로 대체되는 CLv1 HTTP 데이터 수집기 API(ODS 엔드포인트)를 사용하는 원래 GitHub(웹후크 사용) 커넥터의 지정된 후속 작업입니다.

이벤트는 테이블에 기록 GitHubAdvancedSecurityAlerts_CL 됩니다. 파서 함수는 githubscanaudit 레거시 githubscanaudit_CL 테이블과 새 GitHubAdvancedSecurityAlerts_CL 테이블 모두에서 통합 보기를 제공하므로 모든 기존 통합 문서, 분석 규칙 및 헌팅 쿼리는 수정 없이 계속 작동합니다.

참고: 현재 원래 GitHub 사용하는 경우(웹후크 사용) 커넥터는 두 커넥터를 나란히 실행할 수 있습니다. 중복 데이터 수집을 방지하려면 V2가 제대로 작동하는지 확인한 후 원래 V1 함수 앱을 중지합니다. 이 커넥터 페이지의 맨 아래에 있는 마이그레이션 지침을 참조하세요.

참고: 감사 로그를 GitHub 수집하려는 경우 "데이터 커넥터" 갤러리에서 GitHub Enterprise Audit Log Connector를 참조하세요.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

GitHubAdvancedSecurityAlerts_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Microsoft.Web/sites 권한: 함수 앱을 만들기 위한 Azure Functions 읽기 및 쓰기 권한이 필요합니다. 자세한 내용은 Azure Functions 참조하세요.

Microsoft. 권한 부여/roleAssignments 권한: 리소스 그룹 범위에서 역할 할당을 만들 수 있는 권한이 필요합니다. 이는 함수 앱의 관리 ID에 데이터 수집 규칙에 대한 모니터링 메트릭 Publisher 역할을 부여하는 데 필요합니다.

설치 지침:

참고: 이 커넥터는 관리 ID 인증과 함께 로그 수집 API(CLv2)를 사용하여 HTTP 트리거 기반 Azure 함수를 기반으로 합니다. 작업 영역 키를 구성할 필요가 없습니다. 인증은 함수 앱의 시스템 할당 관리 ID에 의해 자동으로 처리됩니다. 이로 인해 추가 데이터 수집 비용이 발생할 수 있습니다. 자세한 내용은 Azure Functions 가격 책정 페이지를 확인하세요.

(선택적 단계) Azure Key Vault GitHub 웹후크 비밀을 안전하게 저장합니다. 다음 지침에 따라 Azure 함수 앱에서 Azure Key Vault 사용합니다.

다음 두 배포 옵션 중 하나를 선택하여 커넥터 및 연결된 Azure 함수를 배포합니다.

중요: Github Webhook V2 커넥터를 배포하기 전에 Log Analytics 작업 영역 이름을 준비합니다. 커넥터 리소스(함수 앱, DCE, DCR, 테이블)를 동일한 리소스 그룹에 배포해야 합니다. 을 Log Analytics 작업 영역으로 지정합니다.

작업 영역 이름: <설치 시 제공되는 변수 값>

옵션 1 - ARM(Azure Resource Manager) 템플릿

ARM 템플릿을 사용하여 GitHub V2 데이터 커넥터의 자동화된 배포에 이 방법을 사용합니다.

아래 Azure 배포 단추를 클릭합니다.

portal.azure.com

구독 및 리소스 그룹을 선택하여 Log Analytics 작업 영역과 동일한 리소스 그룹에 배포합니다.

참고: 동일한 지역 및 리소스 그룹에서 Windows 및 Linux 앱을 혼합할 수 없습니다. 3. 전체 리소스 ID가 아닌 Log Analytics 작업 영역의 이름인 WorkspaceName을 입력합니다. 4. 필요에 따라 GithubWebhookSecret 을 입력하여 페이로드 서명 유효성 검사를 사용하도록 설정합니다. 5. 위에 명시된 사용 약관에 동의함을 표시하는 확인란을 표시합니다. 6. 구매 를 클릭하여 배포합니다.

옵션 2 - Azure Functions 수동 배포

다음 단계별 지침을 사용하여 Azure Functions 사용하여 GitHub V2 웹후크 데이터 커넥터를 수동으로 배포합니다.

1단계 - 함수 앱 배포

Azure 함수 앱 파일을 다운로드합니다. 로컬 개발 컴퓨터에 보관 파일을 추출합니다.

함수 앱 수동 배포 지침에 따라 VSCode를 사용하여 Azure Functions 앱을 배포합니다.

함수 앱을 성공적으로 배포한 후 구성을 위한 다음 단계를 수행합니다.

2단계 - 함수 앱 구성

함수 앱 구성에 대한 Azure 포털로 이동합니다.

함수 앱에서 함수 앱 이름을 선택하고 구성을 선택합니다.

애플리케이션 설정 탭에서 새 애플리케이션 설정을 선택합니다.

각 문자열 값(대/소문자 구분)을 사용하여 각 애플리케이션 설정을 개별적으로 추가합니다. DCE_ENDPOINT - 데이터 수집 엔드포인트 DCR_RULE_ID 로그 수집 엔드포인트 - 데이터 수집 규칙 DCR_STREAM_NAME immutableId - Custom-GitHubAdvancedSecurityAlerts_CL GithubWebhookSecret(선택 사항) - 페이로드 유효성 검사를 위한 GitHub 웹후크 비밀

모든 애플리케이션 설정이 입력되면 저장을 클릭합니다.

함수 앱에 시스템 할당 관리 ID가 사용하도록 설정되어 있는지 확인합니다.

관리 ID에 데이터 수집 규칙에 대한 모니터링 메트릭 Publisher 역할을 부여합니다.

배포 후 단계

1단계 - Azure 함수 URL을 가져오려면

Azure 함수 개요 페이지로 이동하고 왼쪽 블레이드에서 "함수"를 클릭합니다.

"GithubWebhookConnectorV2"라는 함수를 클릭합니다.

"GetFunctionurl"로 이동하여 함수 URL을 복사합니다.

2단계 - Github 조직에 웹후크 구성

GitHub로 이동하여 계정을 열고 "조직"을 클릭합니다.

설정을 클릭합니다.

"웹후크"를 클릭하고 페이로드 URL 텍스트 상자에 위의 1단계에서 복사한 함수 앱 URL을 입력합니다.

콘텐츠 형식을 "application/json"으로 선택합니다.

이벤트 구독 및 "웹후크 추가"를 클릭합니다.

이제 GitHub 웹후크 V2 구성을 완료했습니다. GitHub 이벤트가 트리거되면 5분에서 10분까지 지연된 후 LogAnalytics 작업 영역 테이블의 GitHubAdvancedSecurityAlerts_CLGitHub 모든 트랜잭션 이벤트를 볼 수 있습니다. githubscanaudit 레거시 테이블과 새 githubscanaudit_CL 테이블의 데이터를 모두 포함하는 통합 보기에 파서 함수를 GitHubAdvancedSecurityAlerts_CL 사용합니다.

⚠️ 중요: GitHub 웹후크 V1에서 V2로 마이그레이션

현재 원래 GitHub(웹후크 사용) 커넥터(githubscanaudit_CL테이블)를 사용하는 경우 다음 단계에 따라 기존 데이터를 중단하거나 통합 문서 및 분석 규칙을 위반하지 않고 V2로 마이그레이션합니다. 시작하기 전에: 두 커넥터는 나란히 실행할 수 있습니다. V1 데이터가 착 githubscanaudit_CL 지되고 V2 데이터가 에 배치GitHubAdvancedSecurityAlerts_CL됩니다. 파서 함수는 githubscanaudit() 두 테이블을 통합하므로 모든 통합 문서, 분석 규칙 및 헌팅 쿼리는 마이그레이션 도중과 후에 변경되지 않고 계속 작동합니다. 마이그레이션 단계:

V1과 함께 V2를 배포합니다. 위의 모든 단계를 완료하여 GitHub 웹후크 V2 함수 앱을 배포합니다. 아직 V1을 제거하지 마세요.

V2가 이벤트를 수신하고 있는지 확인합니다. 새 V2 함수 앱 URL을 가리키도록 GitHub 조직 설정(설정 → 웹후크)에서 GitHub 웹후크 페이로드 URL을 업데이트합니다. 일부 GitHub 이벤트를 트리거하고 5~10분 내에 데이터가 표시되는지 확인합니다GitHubAdvancedSecurityAlerts_CL.

통합 파서의 유효성을 검사합니다. Log Analytics 실행 githubscanaudit() | sort by TimeGenerated desc | take 50 하여 V1 및 V2 데이터가 동일한 스키마 아래에 표시되는지 확인합니다.

V1 함수 앱을 사용하지 않도록 설정합니다. V2가 작동하는지 확인되면 원래 V1 함수 앱을 중지하여 중복 이벤트 수집을 방지합니다.

Azure Portal 원래 GitHub 웹후크 V1 함수 앱으로 이동합니다.

개요에서 실행을 중지하려면 중지를 클릭합니다.

필요에 따라 v2 엔드포인트만 가리키도록 GitHub 웹후크 페이로드 URL을 업데이트합니다.

V1 데이터를 유지합니다. githubscanaudit_CL 테이블 데이터는 Log Analytics 작업 영역 보존 정책의 적용을 받습니다. 작업이 필요하지 않습니다. 기록 V1 데이터는 보존 설정에 따라 오래될 때까지 계속 쿼리할 수 githubscanaudit() 있습니다.

⚠️ 경고: V2가 완전히 작동하고 더 이상 롤백할 필요가 없음을 확인할 때까지 V1 함수 앱 리소스를 삭제하지 마세요. 둘 다 동시에 실행하지 않음 한 번에 하나의 웹후크 URL만 GitHub 활성화되어 있으면 중복 수집이 발생합니다.

Azure Storage 통해 엔터프라이즈 감사 로그 GitHub

지원:Microsoft Corporation

GitHub 감사 로그 커넥터는 거의 실시간 대기 시간으로 Azure Blob Storage 엔터프라이즈 감사 로그를 Microsoft Sentinel GitHub 수집합니다. GitHub 감사 로그를 스트림하여 거의 실시간으로 Blob Storage 커넥터는 5분마다 새 Blob 생성 알림을 위해 Azure Storage 큐를 폴링합니다(기본 폴링 간격). GitHub 감사 로그를 Microsoft Sentinel 연결하면 통합 문서에서 이 데이터를 보고, 사용자 지정 경고를 만들고, 조사 프로세스를 개선할 수 있습니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

GitHubAuditLogsV3_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Microsoft Entra ID - 관리자 동의(테넌트당 일회성): 커넥터는 Microsoft ScubaSentinelToStorageProd 엔터프라이즈 애플리케이션을 사용하여 스토리지 계정에 액세스합니다. 이 앱이 테넌트에서 이전에 동의하지 않은 경우 다음 역할 중 하나를 가진 사용자는 계속하기 전에 커넥터 페이지에서 '테넌트 전체 관리자 동의 부여'를 클릭해야 합니다.

클라우드 애플리케이션 관리자(최소 필수 역할)

애플리케이션 관리자

글로벌 관리자

참고: 테넌트당 일회성 작업입니다. 서비스 주체가 이미 있는 경우(즉, 이전에 이 테넌트에서 ScubaSentinelToStorageProd를 사용하는 다른 커넥터가 구성되었음) 서비스 주체 ID가 자동으로 채워지고 작업이 필요하지 않습니다.

구독 권한: 커넥터의 데이터 흐름 리소스를 배포하려면 다음 권한이 필요합니다.

구독 또는 리소스 그룹의 기여자 역할 - Event Grid, 스토리지 큐, DCR 및 관련 커넥터 리소스를 배포합니다.

스토리지 계정의 소유자 또는 사용자 접근 관리자 역할 - Microsoft Sentinel 서비스 주체에 RBAC 역할을 할당하고, Create 옵션이 선택되면 Event Grid 시스템 주제의 관리 신원을 할당합니다.

스토리지 계정의 소유자 또는 이벤트 그리드 기여자 역할 - 이벤트 그리드 시스템 주제를 생성하거나 업데이트하고, 시스템 할당 신원 활성화하며, 이벤트 구독을 생성하거나 업데이트하는 역할입니다.

참고:Microsoft.EventGrid 스토리지 계정을 포함하는 구독에 리소스 공급자를 등록 해야 합니다.

스토리지 계정 요구 사항: Azure Blob Storage 계정은 다음 요구 사항을 충족해야 합니다.

Azure Data Lake Storage Gen2(계층 구조 네임스페이스 사용) - 표준 스토리지 계정은 지원되지 않습니다.

GitHub Enterprise 감사 로그 스트리밍을 수신하도록 이미 구성된 Blob 컨테이너입니다.

스토리지 계정 네트워크 구성: IP 기반 네트워크 규칙(선택한 네트워크/IPv4 CIDR)은 Azure Storage 방화벽 제한 및 제한 사항으로 인해 이 커넥터에 대해 지원되지 않습니다.

IP 네트워크 규칙은 스토리지 계정과 동일한 Azure 지역에서 시작된 요청에 영향을 주지 않습니다.

IP 네트워크 규칙은 통신을 위해 개인 Azure IP 주소를 사용하므로 동일한 지역에 배포된 Azure 서비스에 대한 액세스를 제한할 수 없습니다.

가상 네트워크 서비스 엔드포인트 규칙은 쌍을 이루는 지역의 클라이언트에는 적용되지 않습니다.

옵션:

네트워크 제한이 필요 없나요? 스토리지 계정의 네트워킹 블레이드를모든 네트워크에서 사용으로 설정합니다.

액세스를 제한해야 합니까? NSP(네트워크 보안 경계)를 사용하여 스쿠버 IPv4 주소를 허용 목록에 추가합니다. 참고: 현재 NSP 인바운드 규칙에는 IPv4 주소만 지원됩니다. IPv6은 지원되지 않습니다. 서비스 태그를 지원하기 위해 NSP 팀과 지속적인 노력이 진행 중이므로 향후 수동 IP 관리가 필요하지 않습니다.

중요: GitHub IP 범위에 따라 네트워크 규칙을 구성하지 마세요. GitHub 감사 로그 스트리밍의 원본으로 안정적인 IP 범위를 제공하지 않으며 이러한 IP는 예고 없이 변경 될 수 있습니다.

이벤트 그리드 전달 식별자: 커넥터는 새로 생성되거나 제공된 기존 이벤트 그리드 시스템 주제에 시스템 할당 관리 식별 자를 가능하게 합니다. 주제 이름이 제공되면, 커넥터는 토픽을 업데이트하기 전에 읽으며, 태그, 연결된 사용자 지정 신원, 그리고 이미 활성화된 시스템 할당 주체를 보존합니다. 커넥터는 항상 토픽의 시스템 할당 아이덴티티를 사용하여 생성된 이벤트 구독을 생성하거나 업데이트합니다; 구독의 전달 구성과 필터는 커넥터가 관리합니다.

목적지 스토리지 계정에서 해당 신원을 스토리지 큐 데이터 메시지 송신자로 부여하려면 Create 옵션을 선택하거나, Event Grid Storage Queue 전달에 따라 해당 권한이 이미 해당 권한이 있는 경우 해당 식별자를 생성하지 않도록 'existing'을 사용해 해당 권한을 건너뛰세요. 새로운 주제나 새로 활성화된 시스템 할당 신원에 대해 Create 기능을 사용하세요. 계정 범위 발신자 접근은 메시지를 읽거나 삭제하거나 블롭에 접근하는 것이 아니라 해당 계정 내 큐에 메시지를 추가할 수 있게 합니다. 이 정체성은 기존의 ScubaSentinelToStorageProd 수집기 애플리케이션과는 별개로, 수집기는 변경되지 않고 블롭을 계속 읽고 큐 메시지를 소비합니다. 기존 주제는 선택한 스토리지 계정에 속해야 합니다.

네트워크 보안 경계(NSP) 사용은 선택 사항입니다. 스토리지 계정이 강제 NSP에 속해 있다면, 이벤트 그리드 주제의 구독과 Scuba 서비스 IPv4 범위에서 들어오는 트래픽을 허용하세요. 이는 네트워크 보안 활성화에 설명되어 있습니다. 커넥터는 NSP를 활성화하거나 규칙, 연관성, 접근 모드를 변경하지 않습니다.

시스템에 할당된 신원은 추가 요금이 없으며, 배포 스크립트, 컨테이너 인스턴스, 임시 저장 계정이 필요하지 않습니다. 일반 이벤트 그리드, 스토리지, Microsoft Sentinel 요금은 여전히 적용됩니다.

스토리지 계정 역할 할당: Blob 컨테이너가 포함된 스토리지 계정의 Microsoft Sentinel 엔터프라이즈 애플리케이션 서비스 주체(아래에 표시됨)에 다음 Azure RBAC 역할을 할당해야 합니다.

Storage Blob 데이터 판독기 - 컨테이너에서 Blob 데이터를 읽는 데 필요합니다.

스토리지 큐 데이터 기여자 - 알림 및 배달 못 한 편지 큐 메시지를 관리하는 데 필요합니다.

이러한 역할을 할당하려면 >Storage 계정 -Access Control) ->역할 할당 추가로 이동하고, 아래에 표시된 서비스 주체 ID를 검색하고, 두 역할을 모두 할당합니다.

blob 컨테이너에 GitHub 감사 로그 수집: GitHub 설명서의 단계에 따라 Azure Blob Storage 컨테이너에 대한 감사 로그 스트리밍을 구성합니다.

SAS 토큰 생성 지침을 따르면, 두 가지 서명 방법이 지원됩니다: 계정 키 와 사용자 위임 키.

계정 키 방식의 경우, 먼저 저장 접근 정책을 생성한 후 그 정책에 연동된 SAS를 생성하는 것을 권장합니다.

SAS를 정책에 바인딩하면 서버 측에서 정책 만료 기간과 권한을 변경하거나 취소할 수 있습니다. 이로 인해 토큰을 재발행하는 대신 정책을 업데이트함으로써 원활한 순환이 가능합니다.

설치 지침:

GitHub 감사 로그를 Microsoft Sentinel 연결

연결 그리드를 사용해 GitHub Audit Log 블롭 연결을 추가하고 관리하세요.

데이터 커넥터 그리드(포털에서 구성)

Blob 수명 주기 정책(권장)

바인딩되지 않은 스토리지 증가를 방지하려면 보존 기간(예: 7일) 후에 Blob을 자동으로 삭제하도록 스토리지 계정에 수 명 주기 관리 정책을 구성합니다. 커넥터가 감사 로그를 Microsoft Sentinel 수집하면 원본 Blob이 더 이상 필요하지 않습니다.

컨테이너로 범위가 지정된 수명 주기 규칙을 만들려면 다음을 수행합니다.

스토리지 계정 -> 데이터 관리 -> 수명 주기 관리로 이동합니다.

규칙 추가를 클릭하고 다음을 구성합니다.

규칙 이름: 예:github-audit-cleanup

규칙 범위: 필터가 있는 Blob 제한을 선택하고 접두사 일치 항목을 컨테이너 이름(예 my-container/: )으로 설정합니다. 이렇게 하면 규칙이 해당 컨테이너의 Blob에만 적용됩니다.

Blob 유형: 블록 Blob입니다.

기본 Blob: 7일 전에 마지막으로 수정된 Blob을 삭제 합니다(필요에 따라 조정).

규칙을 저장합니다.

참고: 각 스토리지 계정에는 여러 규칙을 포함할 수 있는 단일 관리 정책이 있습니다. 각 규칙은 접두사 필터를 통해 특정 컨테이너를 대상으로 지정할 수 있습니다. 수명 주기 정책이 이미 있는 경우 새 규칙을 만드는 대신 기존 정책에 새 규칙을 추가합니다.

참조

로그를 Microsoft Sentinel 스트리밍하도록 Azure Storage 커넥터를 설정하는 방법에 대한 자세한 지침은 Azure Storage 커넥터 설정을 참조하세요.

Troubleshooting

데이터 수집과 관련된 문제가 발생하는 경우:

관리 신원 인증 오류 - 이벤트 그리드 시스템 주제의 현재 시스템 할당 주체가 알림 큐뿐만 아니라 목적지 저장소 계정 범위에 스토리지 큐 데이터 메시지 송신자가 있는지 확인. 기존 스킵을 사용해 그 보조금을 생성하며; 권한을 발견하거나 수정하지 않습니다. 이것은 연결 양식에 표시되는 Microsoft Sentinel 서비스 프린시펄이 아닙니다. RBAC 전파: 관리형 신원 인증 오류로 연결이 실패할 경우약 5분간 기다렸다가 같은 값으로 다시 시도하세요. 번식에는 최대 10분이 걸릴 수 있습니다.

재도전할 때도 같은 주제와 정체성을 유지하세요. 주제를 재창조하거나 정체성을 전환하면 다른 원칙이 생기고 새로운 보조금이 필요합니다. 올바른 계정 범위 부여 후에도 오류가 계속된다면, 실패한 작업의 요청 ID와 UTC 타임스탬프를 유지하여 지원하세요.

이벤트 그리드 구독 생성이 내부 오류로 실패하거나 발생 후 사라 집니다 - 실패한 배포 작업과 스토리지 계정의 강제 NSP를 확인하세요. 이벤트 그리드는 스토리지 계정에 스토리지 큐 데이터 메시지 송신자 접근 권한이 있는 시스템 할당 관리 신원 전달과 NSP 인바운드 구독 규칙을 사용해야 합니다. 구독은 프로비저닝 중에 나타나고 프로비저닝이 실패하면 롤백될 수 있습니다; 이것이 반드시 중복 리소스가 존재한다는 의미는 아닙니다. NSP 진단 로그를 검토하고 실패가 지속될 경우 지원을 위해 이벤트 그리드 요청 ID와 UTC 타임스탬프를 유지하세요.

상태 기능 사용 - 커넥터 상태 기능을 사용하도록 설정하지 않은 경우 커넥터 상태를 모니터링하고 문제를 조기에 검색할 수 있도록 설정합니다.

진단 로그 사용 - 상태 문제를 식별하고 해결하는 데 도움이 되도록 Storage 계정 및 Event Grid 리소스 모두에 진단 로그를 사용하도록 설정하는 것이 좋습니다 .

자세한 내용은 Azure Storage Blob 커넥터 문제 해결을 참조하세요.

GitHub Enterprise 감사 로그(코드리스 커넥터 프레임워크를 통해)

지원:Microsoft Corporation

GitHub 감사 로그 커넥터는 GitHub 로그를 Microsoft Sentinel 수집하는 기능을 제공합니다. GitHub 감사 로그를 Microsoft Sentinel 연결하면 통합 문서에서 이 데이터를 보고, 이를 사용하여 사용자 지정 경고를 만들고, 조사 프로세스를 개선할 수 있습니다.

참고: GitHub 구독 이벤트를 Microsoft Sentinel 수집하려는 경우 "데이터 커넥터" 갤러리에서 GitHub(웹후크 사용) 커넥터를 참조하세요.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

GitHubAuditLogsV2_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

GitHub API 개인용 액세스 토큰: 엔터프라이즈 감사 로그에 대한 폴링을 사용하도록 설정하려면 인증된 사용자가 엔터프라이즈 관리자이고 scope GitHub 개인용 액세스 토큰(클래식)read:audit_log이 있는지 확인합니다.

GitHub Enterprise 유형: 이 커넥터는 GitHub Enterprise Cloud에서만 작동합니다. GitHub Enterprise Server를 지원하지 않습니다.

설치 지침:

GitHub 엔터프라이즈 수준 감사 로그를 Microsoft Sentinel 연결

GitHub 감사 로그를 사용하도록 설정합니다. 이 가이드에 따라 개인용 액세스 토큰을 만들거나 찾습니다.

데이터 커넥터 그리드(포털에서 구성)

Google ApigeeX(Codeless Connector Framework를 통해)

지원:Microsoft Corporation

Google ApigeeX 데이터 커넥터는 Google Apigee API를 사용하여 감사 로그를 Microsoft Sentinel 수집하는 기능을 제공합니다. 자세한 내용은 Google Apigee API 설명서를 참조하세요.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

GCPApigee 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

설치 지침:

**Google ApigeeX를 Microsoft Sentinel 연결 **

테넌트 ID: GCP 환경 내에서 Terraform 구성의 입력으로 사용되는 고유 식별자입니다.: <설치 시 제공되는 변수 값>

ApigeeX 로그 사용 Google 클라우드 콘솔에서 이전에 사용하도록 설정하지 않은 경우 Apigee API를 사용하도록 설정하고 변경 내용을 저장합니다.

새 수집기 연결 Microsoft Sentinel ApigeeX 로그를 사용하도록 설정하려면 새 수집기 추가 단추를 클릭하고 팝업에 필요한 정보를 제공하고 연결을 클릭합니다.

Google Cloud Platform CDN(Codeless Connector Framework를 통해)

지원:Microsoft Corporation

Google Cloud Platform CDN 데이터 커넥터는 컴퓨팅 엔진 API를 사용하여 클라우드 CDN 감사 로그 및 클라우드 CDN 트래픽 로그를 Microsoft Sentinel 수집하는 기능을 제공합니다. 자세한 내용은 제품 개요 문서를 참조하세요.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

GCPCDN 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

설치 지침:

**GCP CDN을 Microsoft Sentinel 연결 **

테넌트 ID: GCP 환경 내에서 Terraform 구성의 입력으로 사용되는 고유 식별자입니다.: <설치 시 제공되는 변수 값>

CDN 로그 사용 Google 클라우드 콘솔에서 이전에 사용하도록 설정하지 않은 경우 클라우드 로깅을 사용하도록 설정하고 변경 내용을 저장합니다. 클라우드 CDN 섹션으로 이동하고 원본 추가를 클릭하여 아래에 제공된 링크에 따라 백 엔드를 만듭니다.

참조 링크: 설명서에 연결

새 수집기 연결 Microsoft Sentinel GCP 클라우드 CDN 로그를 사용하도록 설정하려면 새 수집기 추가 단추를 클릭하고 팝업에서 필요한 정보를 제공하고 연결을 클릭합니다.

Google Cloud Platform Cloud IDS(코드리스 커넥터 프레임워크를 통해)

지원:Microsoft Corporation

Google Cloud Platform IDS 데이터 커넥터는 Google 클라우드 IDS API를 사용하여 클라우드 IDS 트래픽 로그, 위협 로그 및 감사 로그를 Microsoft Sentinel 수집하는 기능을 제공합니다. 자세한 내용은 클라우드 IDS API 설명서를 참조하세요.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

GCPIDS 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

설치 지침:

**GCP 클라우드 IDS를 Microsoft Sentinel 연결 **

테넌트 ID: GCP 환경 내에서 Terraform 구성의 입력으로 사용되는 고유 식별자입니다.: <설치 시 제공되는 변수 값>

IDS 로그 사용 Google 클라우드 콘솔에서 이전에 사용하도록 설정하지 않은 경우 클라우드 IDS API를 사용하도록 설정합니다. IDS 엔드포인트를 만들고 변경 내용을 저장합니다.

IDS 엔드포인트를 만들고 구성하는 방법에 대한 자세한 내용은 설명서에 연결

새 수집기 연결 Microsoft Sentinel GCP IDS 로그를 사용하도록 설정하려면 새 수집기 추가 단추를 클릭하고 팝업에서 필요한 정보를 제공하고 연결을 클릭합니다.

Google Cloud Platform Cloud Monitoring(코드리스 커넥터 프레임워크를 통해)

지원:Microsoft Corporation

Google Cloud Platform Cloud Monitoring 데이터 커넥터는 Google Cloud Monitoring API를 사용하여 Google Cloud의 모니터링 로그를 Microsoft Sentinel 수집합니다. 자세한 내용은 클라우드 모니터링 API 설명서를 참조하세요.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

GCPMonitoring 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

설치 지침:

Google Cloud Platform Cloud Monitoring을 Microsoft Sentinel 연결

GCP 모니터링 통합 설정 GCP 클라우드 모니터링에서 Google 클라우드의 프로젝트 ID를 Sentinel 로그를 가져오려면 필요합니다.

Google Cloud Monitoring에서 로그를 수집하려면 메트릭 유형을 선택하여 필요한 메트릭 유형을 제공합니다.

자세한 내용은 Google 클라우드 메트릭을 참조하세요.

OAuth 자격 증명 Oauth 클라이언트 ID 및 클라이언트 암호를 가져오는 것은 이 설명서를 참조하세요.

연결 Sentinel Google Cloud에서 Microsoft Sentinel 모니터링 로그를 끌어올리려면 연결을 클릭합니다.

GCP 프로젝트 ID:

메트릭 유형:

데이터 커넥터 그리드(포털에서 구성)

Google Cloud Platform Compute Engine(코드리스 커넥터 프레임워크를 통해)

지원:Microsoft Corporation

Google Cloud Platform Compute Engine 데이터 커넥터는 Google Cloud Compute Engine API를 사용하여 컴퓨팅 엔진 감사 로그를 Microsoft Sentinel 수집하는 기능을 제공합니다. 자세한 내용은 Cloud Compute Engine API 설명서를 참조하세요.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

GCPComputeEngine 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

설치 지침:

**GCP 컴퓨팅 엔진을 Microsoft Sentinel 연결 **

테넌트 ID: GCP 환경 내에서 Terraform 구성의 입력으로 사용되는 고유 식별자입니다.: <설치 시 제공되는 변수 값>

컴퓨팅 엔진 로그 사용 Google 클라우드 콘솔에서 이전에 사용하도록 설정하지 않은 경우 컴퓨팅 엔진 API를 사용하도록 설정하고 변경 내용을 저장합니다.

새 수집기 연결 Microsoft Sentinel 컴퓨팅 엔진 로그를 사용하도록 설정하려면 새 수집기 추가 단추를 클릭하고 팝업에 필요한 정보를 제공하고 연결을 클릭합니다.

Google Cloud Platform DNS(Codeless Connector Framework를 통해)

지원:Microsoft Corporation

Google Cloud Platform DNS 데이터 커넥터는 Google Cloud DNS API를 사용하여 클라우드 DNS 쿼리 로그 및 클라우드 DNS 감사 로그를 Microsoft Sentinel 수집하는 기능을 제공합니다. 자세한 내용은 클라우드 DNS API 설명서를 참조하세요.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

GCPDNS 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

설치 지침:

**GCP DNS를 Microsoft Sentinel 연결 **

참고: Azure 함수와 CCF 커넥터가 동시에 실행되는 경우 중복 데이터가 테이블에 채워집니다.

테넌트 ID: GCP 환경 내에서 Terraform 구성의 입력으로 사용되는 고유 식별자입니다.: <설치 시 제공되는 변수 값>

DNS 로그 사용 Google 클라우드 콘솔에서 클라우드 DNS 섹션으로 이동합니다. 이전에 사용하도록 설정하지 않은 경우 클라우드 로깅을 사용하도록 설정하고 변경 내용을 저장합니다. 여기서는 기존 영역을 관리하거나 새 영역을 만들고 모니터링할 영역에 대한 정책을 만들 수 있습니다.

자세한 내용은 설명서에 연결

새 수집기 연결 Microsoft Sentinel GCP DNS 로그를 사용하도록 설정하려면 새 수집기 추가 단추를 클릭하고 팝업에서 필요한 정보를 제공하고 연결을 클릭합니다.

Google Cloud Platform IAM(코드리스 커넥터 프레임워크를 통해)

지원:Microsoft Corporation

Google Cloud Platform IAM 데이터 커넥터는 Google IAM API를 사용하여 Google Cloud 내의 IAM(ID 및 액세스 관리) 활동과 관련된 감사 로그를 Microsoft Sentinel 수집하는 기능을 제공합니다. 자세한 내용은 GCP IAM API 설명서를 참조하세요.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

GCPIAM 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

설치 지침:

GCP IAM을 Microsoft Sentinel 연결

참고: Azure 함수와 CCF 커넥터가 모두 병렬로 실행되는 경우 중복 데이터가 테이블에 채워집니다.

테넌트 ID: GCP 환경 내에서 Terraform 구성의 입력으로 사용되는 고유 식별자입니다.: <설치 시 제공되는 변수 값>

IAM 로그를 사용하도록 설정하려면 GCP 계정에서 IAM 섹션으로 이동합니다. 여기에서 새 사용자를 만들거나 모니터링하려는 기존 사용자의 역할을 수정할 수 있습니다. 변경 내용을 저장해야 합니다.

자세한 내용은 설명서에 연결

새 수집기 연결 Microsoft Sentinel GCPIAM 로그를 사용하도록 설정하려면 새 수집기 추가 단추를 클릭하고 컨텍스트 창에서 필요한 정보를 입력하고 연결을 클릭합니다.

Google Cloud Platform NAT(Codeless Connector Framework를 통해)

지원:Microsoft Corporation

Google Cloud Platform NAT 데이터 커넥터는 컴퓨팅 엔진 API를 사용하여 클라우드 NAT 감사 로그 및 클라우드 NAT 트래픽 로그를 Microsoft Sentinel 수집하는 기능을 제공합니다. 자세한 내용은 제품 개요 문서를 참조하세요.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

GCPNATAudit 예 예

GCPNAT 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

설치 지침:

**GCP NAT를 Microsoft Sentinel 연결 **

테넌트 ID: GCP 환경 내에서 Terraform 구성의 입력으로 사용되는 고유 식별자입니다.: <설치 시 제공되는 변수 값>

NAT 로그 사용 Google 클라우드 콘솔에서 이전에 사용하도록 설정하지 않은 경우 클라우드 로깅을 사용하도록 설정하고 변경 내용을 저장합니다. 클라우드 NAT 섹션으로 이동하고 원본 추가를 클릭하여 아래에 제공된 링크에 따라 백 엔드를 만듭니다.

참조 링크: 설명서에 연결

새 수집기 연결 Microsoft Sentinel GCP 클라우드 NAT 로그를 사용하도록 설정하려면 새 수집기 추가 단추를 클릭하고 팝업에서 필요한 정보를 제공하고 연결을 클릭합니다.

Google Cloud Platform Resource Manager(코드리스 커넥터 프레임워크를 통해)

지원:Microsoft Corporation

Google Cloud Platform Resource Manager 데이터 커넥터는 클라우드 Resource Manager API를 사용하여 관리 활동 및 데이터 액세스 감사 로그를 Microsoft Sentinel Resource Manager 수집하는 기능을 제공합니다. 자세한 내용은 제품 개요 문서를 참조하세요.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

GCPResourceManager 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

설치 지침:

**GCP Resource Manager Microsoft Sentinel 연결 **

테넌트 ID: GCP 환경 내에서 Terraform 구성의 입력으로 사용되는 고유 식별자입니다.: <설치 시 제공되는 변수 값>

Resource Manager 로그 사용 Google 클라우드 콘솔에서 이전에 사용하도록 설정하지 않은 경우 클라우드 리소스 관리자 API를 사용하도록 설정하고 변경 내용을 저장합니다. 계정에 대한 organization 수준 IAM 권한이 있어야 리소스 계층 구조의 모든 로그를 볼 수 있습니다. 이 링크에 제공된 각 수준에서 IAM을 사용하여 액세스 제어에 대한 다양한 IAM 권한에 대한 문서 링크를 참조할 수 있습니다.

새 수집기 연결 Microsoft Sentinel GCP Resource Manager 로그를 사용하도록 설정하려면 새 수집기 추가 단추를 클릭하고 팝업에서 필요한 정보를 제공하고 연결을 클릭합니다.

Google Kubernetes 엔진(코드리스 커넥터 프레임워크를 통해)

지원:Microsoft Corporation

GKE(Google Kubernetes Engine) 로그를 사용하면 클러스터 활동, 워크로드 동작 및 보안 이벤트를 캡처할 수 있으므로 Kubernetes 워크로드를 모니터링하고, 성능을 분석하고, GKE 클러스터에서 잠재적 위협을 검색할 수 있습니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

GKEAudit 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

설치 지침:

테넌트 ID: GCP 환경 내에서 Terraform 구성의 입력으로 사용되는 고유 식별자입니다.: <설치 시 제공되는 변수 값>

GCP 계정에서 Kubernetes 엔진 로깅 사용, Kubernetes 엔진 섹션으로 이동합니다. 클러스터에 클라우드 로깅을 사용하도록 설정합니다. 클라우드 로깅 내에서 API 서버, 스케줄러, 컨트롤러 관리자, HPA 의사 결정 및 애플리케이션 로그와 같이 수집하려는 특정 로그가 효과적인 모니터링 및 보안 분석을 위해 사용하도록 설정되어 있는지 확인합니다.

새 수집기 연결 Microsoft Sentinel GKE 로그를 사용하도록 설정하려면 새 수집기 추가 단추를 클릭하고 컨텍스트 창에서 필요한 정보를 입력하고 연결을 클릭합니다.

Google 보안 명령 센터

지원:Microsoft Corporation

GCP(Google Cloud Platform) 보안 명령 센터는 Sentinel 커넥터에서 수집한 Google Cloud용 포괄적인 보안 및 위험 관리 플랫폼입니다. 자산 인벤토리 및 검색, 취약성 및 위협 탐지, 위험 완화 및 수정과 같은 기능을 제공하여 organization 보안 및 데이터 공격 표면에 대한 인사이트를 얻을 수 있습니다. 이 통합을 통해 결과 및 자산과 관련된 작업을 보다 효과적으로 수행할 수 있습니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

GoogleCloudSCC 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

설치 지침:

GCP 환경 설정 토픽, 토픽에 대한 구독, 워크로드 ID 풀, 워크로드 ID 공급자 및 구독에서 가져와서 사용할 수 있는 권한이 있는 서비스 계정과 같은 GCP 리소스를 정의하고 구성해야 합니다. Terraform은 리소스를 만드는 IAM에 대한 API를 제공합니다. Terraform 스크립트에 연결합니다.

테넌트 ID: GCP 환경 내에서 Terraform 구성의 입력으로 사용되는 고유 식별자입니다.: <설치 시 제공되는 변수 값>

새 수집기 연결 Microsoft Sentinel GCP SCC를 사용하도록 설정하려면 새 수집기 추가 단추를 클릭하고 컨텍스트 창에서 필요한 정보를 입력하고 연결을 클릭합니다.

구글 위협 인텔리전스 관련성 시스템 알림

지원:구글

Google Threat Intelligence(virustotal) 데이터 커넥터는 GTI 관련성 시스템 알림을 Microsoft Sentinel에 인징합니다. 이 커넥터는 GTI 관련성 시스템 알림 API를 설정 가능한 일정에 따라 폴링하고, RelevanceSystemAlerts_CL 맞춤 테이블에 관련성 시스템 알림 데이터를 저장하여 보안 분석가들이 위협을 조사하고, 사고를 연관짓으며, Microsoft Sentinel 작업 공간 내에서 인텔리전스 기반 경고에 대응할 수 있도록 합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

RelevanceSystemAlerts_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Azure 구독: Microsoft Entra ID에서 애플리케이션을 등록하고 리소스 그룹 내 앱에 기여자 역할을 할당하려면 소유자 역할이 있는 Azure 구독이 필요합니다.

Microsoft.Web/sites 권한: 함수 앱을 만들기 위한 Azure Functions 읽기 및 쓰기 권한이 필요합니다. 자세한 내용은 Azure Functions 참조하세요.

Google 위협 인텔리전스 API 키: Google Threat Intelligence API 키와 프로젝트 ID가 필요합니다. API 키를 얻는 방법은 GTI 문서를 참고하세요.

설치 지침:

참고: 이 커넥터는 Azure 기능 앱(타이머 트리거, Python 3.12)을 사용해 Google 위협 인텔리전스 알림 API를 설정 가능한 일정에 따라 폴링하고, Microsoft Sentinel RelevanceSystemAlerts_CL 커스텀 테이블에 GTI 관련성 시스템 알림을 도입합니다. 이로 인해 추가 데이터 수집 비용이 발생할 수 있습니다. 자세한 내용은 Azure Functions 가격 책정 페이지를 확인하세요.

1단계 - 구글 위협 인텔리전스 API 자격 증명 획득

구글 위협 인텔리전스 포털(virustotal)에 로그인하세요.

GTI project 설정으로 이동해서 Project ID를 복사하세요.

프로젝트용 API 키를 생성하고 안전하게 복사하세요.

2단계 - Microsoft Entra ID 애플리케이션에 대한 앱 등록 단계

이 통합에는 Azure Portal 앱 등록이 필요합니다. 이 섹션의 단계에 따라 Microsoft Entra ID 새 애플리케이션을 만듭니다.

Azure 포털에 로그인합니다.

Microsoft Entra ID 검색하여 선택합니다.

관리에서 새 등록 앱 등록 > 선택합니다.

애플리케이션의 표시 이름 (예: RelevanceSystemAlertsSentinelConnector)을 입력하세요.

등록을 선택하여 초기 앱 등록을 완료합니다.

등록이 완료되면 Azure Portal 앱 등록의 개요 창이 표시됩니다. 애플리케이션(클라이언트) ID와 디렉터리(테넌트) ID를 복사하세요 — 이들은 구성 매개변수로 요구됩니다.

참조 링크:/azure/active-directory/develop/quickstart-register-app

STEP 3 - Microsoft Entra ID에 애플리케이션용 클라이언트 비밀을 추가하기

애플리케이션 비밀번호라고도 불리는 클라이언트 시크릿은 커넥터에 필요한 문자열 값입니다. 이 섹션의 단계에 따라 새 클라이언트 암호를 만듭니다.

Azure Portal 앱 등록 애플리케이션을 선택합니다.

인증서 & 비밀 > 클라이언트 비밀 새 클라이언트 비밀을 >선택합니다.

클라이언트 비밀에 대한 설명을 추가합니다.

비밀에 대한 만료를 선택하거나 사용자 지정 수명을 지정합니다. 한도는 24개월입니다.

추가를 선택합니다.

비밀의 값을 AzureClientSecret 매개변수로 기록하세요. 이 비밀 값은 이 페이지를 떠난 후에 다시는 표시되지 않습니다.

참조 링크:/azure/active-directory/develop/quickstart-register-app#add-a-client-secret

4단계 - Microsoft Entra ID에서 애플리케이션의 객체 ID를 받기

앱 등록을 생성한 후에는 이 섹션의 단계를 따라 객체 ID를 받으세요:

Microsoft Entra ID 이동합니다.

왼쪽 메뉴에서 엔터프라이즈 애플리케이션 을 선택합니다.

새로 만든 지원서를 목록에서 찾아보세요(제공하신 이름으로 검색).

애플리케이션을 클릭합니다.

개요 페이지에서 객체 ID를 복사하세요. 이것이 ARM 템플릿 역할 할당에 필요한 AzureEntraObjectID입니다.

STEP 5 - 커넥터와 관련된 Azure Function 앱을 배포하세요

ARM(Azure Resource Manager) 템플릿

이 방법을 사용하여 ARM 템플릿을 사용하여 GTI Relevance System Alerts 커넥터를 자동 배포할 수 있습니다.

아래 Azure 배포 단추를 클릭합니다.

aka.ms aka.ms

기본 구독, 리소스 그룹 및 위치를 선택합니다.

아래 정보를 입력하세요:

a. FunctionName - Azure Function App의 고유 이름(최대 11자)을 입력하세요. 예: GTIRSAlerts

b. 위치 - Function 앱과 지원 리소스의 Azure 지역. 기본값은 리소스 그룹 위치입니다. 예: eastus

c. WorkspaceName - Microsoft Sentinel Log Analytics 작업 공간 이름을 입력하세요. 예: MyWorkspace

d. AppInsightsWorkspaceResourceID - Application Insights를 위해 Log Analytics 워크스페이스의 완전 자격화된 자원 ID를 입력하세요. 형식: /subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}

e. AzureTenantID - STEP 2에서 얻은 Azure Tenant (Directory) ID를 입력하세요. 예: xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx

f. AzureClientID - STEP 2에서 얻은 Application (client) ID를 입력하세요. 예: xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx

g. AzureClientSecret - STEP 3에서 얻은 클라이언트 비밀 값을 입력하세요.

h. AzureEntraObjectID - STEP 4에서 얻은 Microsoft Entra 앱의 Object ID를 입력하세요. 예: xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx

i. GTIProjectId - 1단계에서 획득한 Google Threat Intelligence 프로젝트 ID를 입력하세요. 예: my-gti-project-id. 시작하는 방법은 GTI 문서를 참고하세요.

j. GTIApiKey - 1단계에서 얻은 Google Threat Intelligence API 키를 입력하세요.

k. GTIRelevanceSystemAlertsTableName - GTI Relevance System Alerts의 사용자 지정 테이블 이름을 입력하세요. 접미사는 _CL 자동으로 붙여집니다. 최대 52자 (접미사는 _CL Log Analytics의 57자 테이블 이름 제한에 포함됩니다.) 기본: RelevanceSystemAlerts

L. 시작일 - (선택 사항) 시작 날짜를 형식에 입력 yyyy-mm-ddTHH:MM:SS[.fff]Z 하세요. 예: 2026-05-20T15:43:51Z. 지난 날짜일 거야. 제공되지 않으면 최근 7일간의 데이터가 불러옵니다.

M. GTIFilterExpression - (선택) 어떤 알림이 인제스트될지 좁히기 위해 GTI API 필터 표현식을 입력하세요. 예: state = "NEW". 어떤 조건이든 audit.update_time 자동으로 제거되며, 커넥터가 내부적으로 필터를 관리합니다. 당신의 표현식은 체크포인트 필터와 결합되어 AND있습니다.

N. 스케줄(Schedule) - 타이머 트리거 스케줄에 유효한 쿼츠 크론(Quartz Cron) 표현식을 입력하세요. 기본값: 0 */10 * * * * (10분마다).

O. LogLevel - 함수 앱의 로그 레벨을 설정하세요. 허용되는 값: Debug, Info, WarningError. 기본값: Info.

P. KeyVaultName - 토큰이 저장될 keyvault 이름을 입력하세요.

위에 명시된 사용 약관에 동의함을 표시하는 확인란을 표시합니다.

구매를 클릭하여 배포합니다.

6단계 - Keyvault 만들기

다음 지침에 따라 새 Keyvault를 만듭니다.

Azure Portal 키 자격 증명 모음으로 이동하여 만들기를 클릭합니다.

구독, 리소스 그룹을 선택하고 키 볼트의 고유한 이름을 입력하세요.

7단계 - Keyvault에서 액세스 정책 만들기

다음 지침에 따라 Keyvault에서 액세스 정책을 만듭니다.

keyvaults로 이동하고, keyvault를 선택하고, 왼쪽 패널에서 액세스 정책으로 이동하고, 만들기를 클릭합니다.

모든 키 & 비밀 권한을 선택합니다. 다음을 클릭합니다.

주요 섹션에서 STEP - 5에서 배포된 함수 앱 이름을 검색하세요. 다음을 클릭합니다.

참고: Key Vault의 Access 구성 내 권한 모델이 'Vault 접근 정책'으로 설정되어 있는지 확인하세요

8단계 - 데이터 수집 검증

배포 후에는 데이터가 Microsoft Sentinel에 인수되고 있는지 확인하세요:

Microsoft Sentinel → 로그로 이동하세요.

다음 쿼리를 실행합니다.

RelevanceSystemAlerts_CL | sort by TimeGenerated desc | limit 10

데이터는 첫 함수 실행 후 5분에서 10분 이내에 나타나야 합니다.

데이터 커넥터 페이지의 커넥터 상태는 최근 30일 이내에 데이터를 받은 경우 '연결됨'으로 표시됩니다 .

문제 해결 시 커넥터가 분리됨

기능 앱이 실행 중인지 확인하세요: Azure Portal → 기능 앱 → Overview → 상태가 실행 중이어야 합니다.

최근 30일 이내에 데이터가 입력되었는지 확인하세요.

Application Insights 로그에서 오류를 검토하세요.

인증 오류 (401 / 403)

Function App → Configuration → Application settings 에서 AzureClientID, AzureClientSecret, AzureTenantID 가 맞는지 확인하세요.

클라이언트 비밀이 만료되지 않았는지 확인하세요.

앱 등록이 충분한 권한을 가지고 있는지 확인하세요.

RelevanceSystemAlerts_CL 표에는 데이터가 없습니다

실행 오류가 있는지 Function→ Function→ RelevanceSystemAlerts → Monitor를 확인하세요.

GTI API 키와 프로젝트 ID가 유효한지 확인하세요.

소스 API가 Azure에서 접근 가능한지 확인하세요.

Application Insights 추적 검토:

traces | where timestamp > ago(1h) | order by timestamp desc | take 50

속도 제한 오차 (429)

커넥터는 지수 백오프를 사용하여 자동으로 다시 시도합니다. 오류가 계속된다면, Schedule cron 간격을 늘려 폴링 빈도를 줄이세요.

구글 위협 인텔리전스 취약점(CCF)

지원:구글

Google Threat Intelligence(GTI) 취약점 데이터 커넥터는 Code less Connector Framework(CCF)를 사용해 Google Threat Intelligence(VirusTotal) Collections API에서 취약점 수집 객체를 Microsoft Sentinel로 통합하며, 배포할 Azure 기능이나 에이전트가 없습니다.

커넥터는 GTI API 키(헤더에 x-apikey 전송됨)로 인증하고, 쿼리를 항상 범위 로 collection_type:vulnerability설정하며, 마지막 수정일( 첫 수정 객체 순서)로 정렬하며, 롤링 타임 윈도우에서 폴링하여 각 사이클이 이전 폴링 이후 수정된 취약점만 복구합니다. 선택적으로 자유 형식 필터를 제공해 탐색을 정밀하게 할 수 있습니다(예: risk_rating:Criticalcvss_3x_base_score:4+, ).

인제스트된 데이터는 GTI_Vulnerabilities_CL 테이블에 도착하며 DCR 기반 인제스 시간 변환 을 지원하여 위험 등급, CVSS 점수, 착취 상태 등 풍부한 필드를 빠른 쿼리에 사용할 수 있습니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

GTI_Vulnerabilities_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Google Threat Intelligence / VirusTotal 계정: 활성 Google Threat Intelligence(VirusTotal) 계정이 필요합니다. 취약점 피드는 GTI 컬렉션 API의 일부이며, 취약점 컬렉션을 포함하는 구독/권한이 필요합니다.

Google 위협 인텔리전스 API 키: 유효한 GTI / VirusTotal API 키로, 컬렉션 API에 접근할 수 있습니다. 키는 'x-apikey' 요청 헤더로 전송됩니다. 비밀로 간주하세요 — 보안 문자열로 저장되며 진입 후에는 절대 표시되지 않습니다.

설치 지침:

필수 구성 요소

연결하기 전에 다음 사항들이 준비되어 있는지 확인하세요.

시작하기 전 주의 사항:

이 작업 공간에 대한 권한 — 데이터 연결을 생성하려면 Microsoft Sentinel 작업 공간에서 읽기 및 쓰기 권한이 필요합니다.

구글 위협 인텔리전스(VirusTotal) 계정으로, 컬렉션 API와 취약점 컬렉션에 접근할 수 있습니다. 취약점 데이터가 보이지 않는다면, GTI 관리자에게 구독/권한을 확인하세요.

GTI API 키 — 생성 다음 단계를 참조하세요. 키는 모든 요청 시 헤더에 x-apikey 전송됩니다.

1. 구글 위협 인텔리전스 API 키를 생성하세요

커넥터가 인증에 사용하는 API 키를 얻으세요.

API 키 가져오기

계정에 로그인하세요 https://www.virustotal.com (또는 Google Threat Intelligence 포털).

오른쪽 상단에서 아바타를 클릭하고 API 키를 선택하거나 바로 API 키 페이지로 이동하세요.

해당 페이지에 표시된 API 키를 복사하세요. 이 단일 값만으로도 커넥터에 필요한 전부입니다.

동일한 키는 GTI 참조의 List 취약점에 문서화되어 있습니다.

참고: API 키를 비밀로 유지하세요. 키를 가진 누구나 GTI API를 조회하고 할당량을 소모할 수 있습니다. 키가 노출되면 API 키 페이지에서 다시 생성하고 커넥터를 업데이트하세요. 커넥터는 키를 securestring으로 저장하며, 연결 후에는 다시 표시되지 않습니다.

참고: API 할당량 및 속도 제한: GTI/VirusTotal은 구독 등급에 연동된 분당 및 일일 요청 할당량을 강제합니다. 커넥터는 페이지당 최대 40개의 객체를 요청하며 스로틀을 조절합니다(초당 ~4 요청). HTTP 429(속도 제한) 오류가 발생하면 아래에서 더 긴 폴링 구간을 선택하거나 취약점 필터로 결과 집합을 좁히세요.

2. Google 위협 인텔리전스 취약점을 Microsoft Sentinel에 연결하기

아래 값을 입력하고 Connect를 선택하세요. 커넥터는 항상 쿼리를 범위 대로 collection_type:vulnerability 지정하고, 마지막 수정 날짜 오름차순으로 정렬합니다(먼저 수정된 객체가 먼저).

연결 설정

GTI API 키: (구글 위협 인텔리전스 API 키를 붙여넣기(x-apikey 헤더에 전송됨)

참고: 필수입니다. API 키는 GTI / VirusTotal API 키 페이지에서 복사한 것입니다. 모든 요청마다 'x-apikey' 헤더로 전송됩니다.

취약점 필터(선택 사항): (예: risk_rating:크리티컬 cvss_3x_base_score:4+)

참고: 선택 사항입니다. 좁은 입력에 필수인 'collection_type:취약성' 필터에 GTI 검색식이 추가되었습니다. 예시: 'risk_rating:Critical', 'cvss_3x_base_score:4+', 'exploitation_state:Confirmed'. 모든 취약점 객체를 흡수하려면 빈칸으로 남겨두세요. 여러 조건을 띄어서 구분하세요.

참고: 필수입니다. Sentinel이 GTI API를 얼마나 자주 쿼리하나요? 각 폴은 이 구간과 같은 롤링 타임 윈도우를 사용하므로 취약점이 건너뛸거나 중복 집계되지 않습니다. 요금 제한이 있거나 주기적인 업데이트만 필요하다면 더 긴 주기를 선택하세요.

연결 사용/사용 안 함

3. 데이터가 제대로 흐름하는지 확인

연결 후에는 취약점이 인수되고 있는지 확인하세요.

연결 유효성 검사

첫 성공적인 투표 후 데이터가 나타나기까지 최대 ~30분이 걸릴 수 있습니다. 일단 시작하면:

이 페이지의 GTI_Vulnerabilities_CL 데이터 유형은 최근 마지막 수신 데이터 타임스탬프를 표시하며 상태가 초록색으로 변합니다.

로그 에서 이 쿼리를 실행하여 행이 도착하는지 확인하세요:

GTI_Vulnerabilities_CL | summarize Count = count(), Latest = max(TimeGenerated)

풍부 필드 샘플을 점검하세요:

GTI_Vulnerabilities_CL | project TimeGenerated, Name, RiskRating, ExploitationState, Cvss3xBaseScore | sort by TimeGenerated desc | take 20

선택 사항 — 커넥터 건강 상태: 건강 및 감사 → Microsoft Sentinel → 설정을 활성화하여 각 폴란트 상태를 기록할 수 있습니다. 다음을 실행합니다.

SentinelHealth | where TimeGenerated > ago(24h) | where SentinelResourceType == "Data connector" | project TimeGenerated, SentinelResourceName, Status, Description, Reason | order by TimeGenerated desc

참고: 30분+분이 지나도 데이터가 없나요? 다음 사항을 확인하세요: (1) API 키가 유효하며 속도 제한이 없는지(HTTP 401/429), (2) 계정이 취약점 컬렉션에 접근할 수 있는지, (3) 입력한 취약점 필터가 너무 좁아서 객체와 전혀 일치하지 않는지 확인하세요. 값을 수정한 후 연결을 끊었다가 다시 연결해 다시 시도하세요.

Google 작업 영역 활동(코드리스 커넥터 프레임워크를 통해)

지원:Microsoft Corporation

Google Workspace Activities 데이터 커넥터는 Google Workspace API에서 Gmail의 감사 이벤트를 포함한 활동 이벤트를 Microsoft Sentinel로 인징할 수 있는 기능을 제공합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

GoogleWorkspaceReports 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Google Workspace API 접근: OAuth를 통한 Google Workspace 활동 API 접근이 필요합니다.

설치 지침:

구글 워크스페이스에 연결

독립적인 Google Workspace 테넌트 연결을 추가하고 관리하세요.

Google Reports API에 대한 구성 단계

Google Cloud Console에서 Admin SDK API를 활성화하세요.

OAuth 동의 화면을 설정하세요.

웹 애플리케이션용 OAuth 2.0 클라이언트 ID를 생성하세요.

연결 폼에 표시된 리디렉션 URI를 추가하세요.

관리자 SDK의 감사 읽기 전용 범위를 추가하세요.

참고: 각 Google Workspace 테넌트별로 별도의 연결 별칭을 만드세요.

데이터 커넥터 그리드(포털에서 구성)

GravityZone 데이터 커넥터

지원:Bitdefender SRL

이 커넥터를 사용하면 이벤트 푸시 서비스 API를 통해 Bitdefender GravityZone과 Microsoft Sentinel 간에 통합할 수 있습니다. 구성되면 모든 GravityZone 이벤트 형식을 테이블에 로그로 저장되는 Microsoft Sentinel 작업 영역으로 직접 스트리밍합니다GzSecurityEvents_CL.

EDR, XDR, 랜섬웨어 완화, 네트워크 샌드박싱 및 Exchange 맬웨어 이벤트와 같은 주요 이벤트 범주는 NRT GravityZone 인시던트 경고 분석 규칙을 통해 자동으로 상관 관계를 지정하고 인시던트를 생성할 수 있습니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

GzSecurityEvents_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Azure 앱 등록: 다음 세부 정보로 앱 등록을 Microsoft Entra 디렉터리(테넌트) ID, 애플리케이션(클라이언트) ID, 관리 서비스 주체 개체 ID(앱의 엔터프라이즈 애플리케이션 항목에서), 클라이언트 비밀(인증서 & 비밀에서 생성됨)을 유지합니다.

GravityZone 클라우드 계정: Event Push Service 엔드포인트에 대해 생성된 API 키가 있는 GravityZone Cloud 계정입니다.

가이드를 읽어보세요. 이 단계별 문서에 따라 통합을 설정합니다. 고객 | 파트너

설치 지침:

아래 Azure 배포 단추를 클릭하고 필요한 매개 변수를 입력합니다.

aka.ms

데이터 수집 엔드포인트에서 gz-sentinel-dce로그 수집 URL 수집

데이터 수집 규칙에서 gz-sentinel-dcr변경할 수 없는 ID 수집

GravityZone Cloud 계정으로 이동하여 내 계정으로 이동합니다 . 이벤트 푸시 서비스 권한이 있는 API 키를 만듭니 다.

이 문서를 사용하여 이벤트 푸시 서비스 설정을 구성합니다. 고객 | 파트너. 데이터 커넥터를 성공적으로 배포한 & GravityZone의 이벤트 푸시 서비스를 성공적으로 설정하면 시스템은 거의 실시간으로 활동 로그 데이터를 받게 됩니다. 데이터 전송과 Microsoft Sentinel 로그 섹션의 모양 사이에 짧은 지연이 발생할 수 있습니다.

GreyNoise 위협 인텔리전스

지원자:GreyNoise

이 데이터 커넥터는 하루에 한 번 GreyNoise 표시기를 다운로드하는 Azure 함수 앱을 설치하고 Microsoft Sentinel ThreatIntelIndicators 테이블에 삽입합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

ThreatIntelIndicators 예 아니요

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Microsoft.Web/sites 권한: 함수 앱을 만들기 위한 Azure Functions 읽기 및 쓰기 권한이 필요합니다. 자세한 내용은 Azure Functions 참조하세요.

GreyNoise API 키: 여기에서 GreyNoise API 키를 검색 합니다.

설치 지침:

**아래 단계에 따라 GreyNoise 위협 인텔리전스를 Microsoft Sentinel 연결할 수 있습니다. **

다음 단계에서는 Azure AAD 애플리케이션을 만들고, GreyNoise API 키를 검색하고, 값을 Azure 함수 App Configuration 저장합니다.

1. GreyNoise 시각화 도우미에서 API 키를 검색합니다.

GreyNoise 시각화 도우미에서 API 키 생성 https://docs.greynoise.io/docs/using-the-greynoise-api

2. Azure AD 테넌트에서 Azure AAD(Active Directory) 애플리케이션을 만들고 테넌트 ID 및 클라이언트 ID를 가져옵니다. 또한 Microsoft Sentinel instance 연결된 Log Analytics 작업 영역 ID를 가져옵니다(아래에 표시되어야 함).

여기의 지침에 따라 Azure AAD 앱을 만들고 클라이언트 ID 및 테넌트 ID를 저장합니다. /azure/sentinel/connect-threat-intelligence-upload-api#명령 참고: 5단계까지 기다렸다가 클라이언트 암호를 생성합니다.

작업 영역 ID: <설치 시 제공되는 변수 값>

3. AAD 애플리케이션에 Microsoft Sentinel 기여자 역할을 할당합니다.

여기에 있는 지침에 따라 Microsoft Sentinel 기여자 역할을 추가합니다. /azure/sentinel/connect-threat-intelligence-upload-api#assign-a-role-to-the-application

4. 업로드 표시기 API에 대한 MS Graph API 액세스를 사용하도록 AAD 권한을 지정합니다.

다음 섹션에 따라 AAD 앱에 'ThreatIndicators.ReadWrite.OwnedBy' 권한을 추가합니다. /azure/sentinel/connect-threat-intelligence-tip#specify-the-permissions-required-by-the-application. AAD 앱으로 돌아가서 방금 추가한 권한에 대한 관리자 동의를 부여해야 합니다. 마지막으로 '토큰 및 API' 섹션에서 클라이언트 비밀을 생성하고 저장합니다. 6단계에서 필요합니다.

5. 위협 인텔리전스 업로드 지표 API(미리 보기)를 포함하는 위협 인텔리전스(신규) 솔루션(v3.0.14 이상) 배포

이 솔루션은 Microsoft Sentinel Content Hub를 참조하고 Microsoft Sentinel instance 설치합니다. 이 단계에서는 구성을 수행할 필요가 없습니다.

6. Azure 함수 배포

Azure 배포 단추를 클릭합니다.

aka.ms

각 매개 변수에 대한 적절한 값을 입력합니다. GREYNOISE_CLASSIFICATIONS 매개 변수에 유효한 값은 무해하거나 악의적이거나 알 수 없는 값뿐이므로 쉼표로 구분해야 합니다.

7. Sentinel 표시기 보내기

6단계에 설치된 함수 앱은 하루에 한 번 GreyNoise GNQL API를 쿼리하고 STIX 2.1 형식에 있는 각 지표를 Microsoft 업로드 위협 인텔리전스 지표 API에 제출합니다. 다음 날 쿼리에서 찾을 수 없는 한 각 표시기가 생성 후 최대 24시간 내에 만료됩니다. 이 경우 TI 표시기 유효 시간이 24시간 더 연장되어 Microsoft Sentinel 활성 상태로 유지됩니다.

GreyNoise API 및 GNQL(GreyNoise 쿼리 언어)에 대한 자세한 내용은 여기를 클릭하세요.

할시온 커넥터 (v2)

지원:Halcyon

Halcyon 커넥터는 Halcyon에서 Microsoft Sentinel 데이터를 보내는 기능을 제공합니다. 이 v2 커넥터는 Halcyon 이벤트 HalcyonEventsV2_CL 를 인징하고 Alert 업데이트를 HalcyonAlertUpdatesV2_CL.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

HalcyonEventsV2_CL 예 예

HalcyonAlertUpdatesV2_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Microsoft Entra 권한 만들기: Microsoft Entra ID 앱 등록을 만들 수 있는 권한입니다. 일반적으로 Entra ID 애플리케이션 개발자 역할 이상이 필요합니다.

역할 할당 권한: 모니터링 메트릭 게시자 역할을 DCR(데이터 수집 규칙)에 할당하는 데 필요한 쓰기 권한입니다. 일반적으로 리소스 그룹 수준에서 소유자 또는 사용자 액세스 관리자 역할이 필요합니다.

설치 지침:

1. ARM 리소스 만들기 및 필요한 권한 프로비전

"배포"를 클릭하면 Log Analytics 테이블(HalcyonEventsV2_CL 및 HalcyonAlertUpdatesV2_CL)과 데이터 수집 규칙(DCR)이 생성되며, 그 후 DCR에 연결된 Entra 애플리케이션을 생성하고 필요한 권한을 할당합니다. 설정이 완료되면 Halcyon은 이벤트와 알림 업데이트를 DCR 엔드포인트에 푸시하여 HalcyonEventsV2_CL 및 HalcyonAlertUpdatesV2_CL 테이블에 인징합니다.

Entra 애플리케이션을 사용하여 자동화된 구성 및 보안 데이터 수집 "배포"를 클릭하면 Log Analytics 테이블 및 DCR(데이터 수집 규칙)의 생성이 트리거됩니다. 그런 다음, Entra 애플리케이션을 만들고, DCR을 연결하고, 애플리케이션에 입력한 비밀을 설정합니다. 이 설정을 사용하면 Entra 토큰을 사용하여 데이터를 DCR로 안전하게 보낼 수 있습니다.

2. Halcyon 플랫폼에서 통합 구성

다음 매개 변수를 사용하여 Halcyon Platform에서 통합을 구성합니다.

디렉터리 ID(테넌트 ID): <설치 시 제공되는 변수 값>

Entra 앱 등록 애플리케이션 ID(클라이언트 ID): <설치 시 제공되는 변수 값>

Entra 앱 등록 비밀(자격 증명 비밀)(이 비밀은 이 페이지를 종료한 후 표시되지 않음): <설치 시 제공되는 변수 값>

URL(데이터 수집 엔드포인트): <설치 시 제공되는 변수 값>

데이터 수집 규칙 ID(규칙 ID): <설치 시 제공되는 변수 값>

홈 보안 데이터 커넥터

지원:Holm 보안

Holm Security 데이터 커넥터는 REST API를 통해 Holm Security 자산 데이터를 Microsoft Sentinel에 인징할 수 있는 기능을 제공합니다. 이 커넥터는 Holm Security로부터 웹 및 네트워크 자산 데이터를 가져올 수 있는 기능을 제공합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

web_assets_CL 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

Holm 보안 API 접근: Holm 보안 API 토큰이 필요합니다. API 토큰 설정 방법을 확인하세요.

설치 지침:

1. 구성

Holm Security 사용자 프로필에서 토큰을 획득하세요. 자세한 내용은 https://se-api.holmsecurity.com/docs/v2/#section/Authentication을 방문하세요.

API 키: (인증용 API 키)

Holm 보안 API 기본 URL: (예: https://se-api.holmsecurity.com/v2)

2. 연결

Holm Security 커넥터를 활성화하세요.

연결 사용/사용 안 함

이디라 감사

지원:Idira 지원

Idira Audit 데이터 커넥터는 Microsoft Sentinel이 REST API를 통해 Idira Audit 서비스에서 보안 이벤트 로그 및 기타 이벤트를 인징할 수 있도록 합니다. 이 통합을 통해 잠재적인 보안 위험을 감지하고, 사용자 활동을 모니터링하고, 공동 작업 패턴을 분석하고, 구성 문제를 해결하고, 환경에 대한 심층적인 인사이트를 얻을 수 있습니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

CyberArk_AuditEvents_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Idira 감사 서비스 플랫폼: Idira 감사 플랫폼에서 필요한 구성 수행 접근

설치 지침:

Idira Audit API에 연결하여 Microsoft Sentinel에서 이벤트 로그를 수집하기 시작하세요

아래 단계를 따라 Microsoft Sentinel을 Idira Audit와 통합하고, Microsoft Sentinel 내에서 시스템 및 사용자 활동에 대한 중앙 모니터링을 가능하게 하세요. 또한 Idira 감사 문서를 참고하여 5단계까지 따라가실 수 있습니다.

1단계: 새 SIEM 통합 만들기

이디라 포털 Administration에서 .

를 선택합니다My environment>Integrations>Export to SIEM.

SIEM 통합 페이지에서 Create>Create SIEM integration

페이지에서 Create a SIEM integration ID 관리에서 OAuth 서버 웹을 만들 링크를 선택합니다 Identity Administration . 2단계: ID 관리에서 OAuth2 서버 웹앱 만들기

Identity Administration 페이지의 왼쪽 메뉴에서Apps & Widgets>Web Apps

탭에서 Add Web Apps 형식 웹앱을 선택하고 OAuth2 server 만듭니다Custom.

및 IdiraAuditforMicrosoftSentinel 필드에 를 ApplicationID 입력 Name 합니다.

탭에서 Tokens 필드의 값 Token Type 이 이 jwtR256 고 권한 부여 방법만 Client Creds 선택되어 있는지 확인합니다.

탭을 클릭하고 Add 를 Scope 입력합니다 isp.audit.events:read.

탭에서 Advanced 다음 스크립트를 복사하여 붙여넣은 다음 저장을 클릭합니다.

setClaim('tenant_id', TenantData.Get("CybrTenantID")); setClaim('aud', 'cyberark.isp.audit');

Save을 클릭합니다. 3단계: ID 관리에서 서비스 사용자 만들기

로 이동하여 를 Core Services>Users선택합니다 Add User.

Account 섹션에서 및 Login name 를 로 Display name입력합니다MicrosoftSentinel. 새 암호를 추가하거나 자동으로 암호를 생성합니다.

를 선택합니다 OAuth confidential client.

탭에서 Application Settings 를 클릭합니다 Add.

애플리케이션을 IdiraAuditforMicrosoftSentinel 선택합니다. 웹 서비스에서 만든 이름입니다. 4단계: 서비스 사용자에게 웹앱 권한 부여

만든 웹앱으로 IdiraAuditforMicrosoftSentinel 이동합니다.

탭에서 Permissions 을 클릭하여 Add 사용자를 MicrosoftSentinel 찾은 다음 을 클릭합니다 Add.

사용자에 대해 다음 권한을 설정합니다.

권한 부여

보기

실행

5단계 자동 배포: 통합 설명 정의

Administration로 이동합니다.

를 선택합니다My environment>Integrations>Export to SIEM.

를 선택합니다 Create>Create SIEM integration.

이름을 로 Microsoft Sentinel Integration 입력하고 필요에 따라 설명을 추가합니다.

Apply을 클릭합니다. 6단계: Idira 감사 서비스를 Microsoft Sentinel Data Connector와 연결

참고: 이전 단계에서 캡처한 모든 세부 사항을 복사하여 Idira 감사 서비스와 연결하세요.

OAuth2 서버 앱 이름: (예: AuditforMicrosoftSentinel)

감사 API 키: (API 키는 감사 서비스에서 검색할 수 있습니다.)

ID 엔드포인트: (예: kln9281.id.cyberark.cloud)

감사 API 기본 URL: (예: org-test.audit.cyberark.cloud)

쿼리 필터 작업 감사(선택 사항): (예: {"op":"include","params":["cloud.core.login","cloud.core.mfasummary"]})

쿼리 필터 애플리케이션 코드 감사(선택 사항): (예: {"op":"include","params":["IDP","CMS"]})

감사 쿼리 필터 감사 유형(선택 사항): (예: {"op":"include","params":["Failure"]})

Microsoft Exchange Server의 IIS 로그

지원자:커뮤니티

[옵션 5] - Azure Monitor 에이전트 사용 - Windows 에이전트를 사용하여 Microsoft Sentinel 작업 영역에 연결된 Windows 컴퓨터에서 모든 IIS 로그를 스트리밍할 수 있습니다. 이 연결을 사용하면 사용자 지정 경고를 만들고 조사를 개선할 수 있습니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

W3CIISLog 예 아니요

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Azure Log Analytics는 사용되지 않으며, Azure VM에서 데이터를 수집하려면 Arc를 Azure 것이 좋습니다. 자세한 정보

자세한 설명서: >참고: 설치 절차 및 사용에 대한 자세한 설명서는 여기에서 확인할 수 있습니다.

설치 지침:

참고: 이 솔루션은 옵션을 기반으로 합니다. 이렇게 하면 일부 옵션이 매우 많은 양의 데이터를 생성할 수 있으므로 수집할 데이터를 선택할 수 있습니다. 수집하려는 항목에 따라 통합 문서, 분석 규칙, 헌팅 기능을 추적하여 배포할 옵션을 선택합니다. 각 옵션은 서로 독립적입니다. 각 옵션에 대해 자세히 알아보려면 'Microsoft Exchange Security' wiki

이 데이터 커넥터는 wiki의 옵션 5 입니다.

1. Microsoft Sentinel 로그를 수집하는 데 필요한 에이전트 다운로드 및 설치

서버 유형(Exchange Server, Exchange Server에 연결된 도메인 컨트롤러 또는 모든 도메인 컨트롤러)은 배포하려는 옵션에 따라 달라집니다.

모니터 에이전트 배포

이 단계는 Exchange Server/Domain Controllers 배포 Azure Arc 에이전트를 처음 온보딩한 경우에만 필요합니다. 자세한 정보

[옵션 5] Exchange Server의 IIS 로그

Exchange 서버의 IIS 로그를 스트리밍하는 방법 선택

데이터 수집 규칙 사용

IIS 로그는 Windows 에이전트에서만 수집됩니다.

옵션 1 - ARM(Azure Resource Manager) 템플릿(기본 설정 방법)

DCE 및 DCR의 자동화된 배포에 이 방법을 사용합니다.

대답. DCE 만들기(Exchange 서버에 대해 아직 만들어지지 않은 경우)

아래 Azure 배포 단추를 클릭합니다.

aka.ms

기본 구독, 리소스 그룹 및 위치를 선택합니다.

DCE의 제안된 이름을 변경할 수 있습니다.

만들기를 클릭하여 배포합니다.

B. 데이터 연결 규칙 배포

아래 Azure 배포 단추를 클릭합니다.

aka.ms

기본 구독, 리소스 그룹 및 위치를 선택합니다.

작업 영역 ID '및/또는 기타 필수 필드'를 입력합니다.

위에 명시된 사용 약관에 동의함을 표시하는 확인란을 표시합니다.

구매를 클릭하여 배포합니다.

옵션 2 - Azure Automation 수동 배포

다음 단계별 지침을 사용하여 데이터 수집 규칙을 수동으로 배포합니다.

대답. DCE 만들기(Exchange 서버에 대해 아직 만들어지지 않은 경우)

Azure Portal에서 Azure Data 컬렉션 엔드포인트로 이동합니다.

위쪽에서 + 만들기 를 클릭합니다.

기본 탭에서 필요한 필드를 입력하고 DCE에 이름을 지정합니다.

필요한 경우 '다른 바람직한 구성 변경'을 클릭한 다음 만들기를 클릭합니다.

B. DCR 만들기, IIS 로그 입력

Azure 포털에서 Azure 데이터 수집 규칙으로 이동합니다.

위쪽에서 + 만들기 를 클릭합니다.

기본 탭에서 필요한 필드를 입력하고 플랫폼 유형으로 Windows를 선택하고 DCR에 이름을 지정합니다. 만든 DCE를 선택합니다.

리소스 탭에서 Exchange Server를 입력합니다.

'수집 및 배달'에서 데이터 원본 형식 'IIS 로그'를 추가합니다(IIS 로그 경로가 기본적으로 구성된 경우 경로를 입력하지 마세요). '데이터 원본 추가'를 클릭합니다.

필요한 경우 '다른 바람직한 구성 변경'을 클릭한 다음 만들기를 클릭합니다.

모든 Exchange 서버에 DCR 할당

DCR에 모든 Exchange 서버 추가

일루미오 인사이트

지원:Illumio

Illumio Insights Connector는 Illumio Insights에서 작업과 보안 그래프 데이터를 Azure Microsoft Sentinel 데이터 레이크에 전송하여 위협 탐지, 수평 이동 분석, 실시간 조사에 대한 깊은 맥락을 제공합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

IllumioInsights_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

설치 지침:

일루미오 인사이트 커넥터 구성 단계

필수 구성 요소

유효한 자격 증명을 사용하여 Illumio 콘솔에 등록 및 로그인

일루미오 인사이트를 구매하거나 무료 체험을 시작하세요

1단계: 서비스 계정 등록

일루미오 콘솔 → 액세스 → 서비스 계정으로 이동합니다.

테넌트용 서비스 계정 만들기

서비스 계정을 만들면 클라이언트 자격 증명을 받게 됩니다.

auth_username(Illumio Insights API 키)와 비밀(API 비밀)을 복사하세요. 2단계: Sentinel 계정에 클라이언트 자격 증명 추가하기

테넌트 인증을 위해 Sentinel 계정에 API 키 및 비밀 추가

이러한 자격 증명은 Illumio SaaS API에 대한 호출을 인증하는 데 사용됩니다.

아래 필수 필드에 Illumio 콘솔에서 가져온 자격 증명을 입력하세요.

Illumio Insights API 키: (api_XXXXXX)

API 비밀: (API 비밀)

Illumio Tenant ID: ({IllumioTenantId - Optional})

연결 사용/사용 안 함

일루미오 인사이트 그래프

지원:Illumio

Illumio Insights Graph 커넥터는 Illumio Insights 에이전트가 생성하는 AI 기반 위협 발견 및 이상 현상 보고서를 게시합니다. MITRE ATT& CK 프레임워크에 따르면, 이 보고서들은 신흥 위협과 위험한 행동에 대한 고충실도 인사이트를 데이터 레이크에 직접 전달합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

IllumioInsightsGraph 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

설치 지침:

1. 구성

Illumio Insights Graph 커넥터를 설정하세요.

이 데이터 커넥터는 온보딩 후 최신 보고서를 받기까지 24시간이 걸릴 수 있습니다

일루미오 인사이트 그래프 커넥터 구성 단계

필수 구성 요소

유효한 자격 증명을 사용하여 Illumio 콘솔에 등록 및 로그인

일루미오 인사이트를 구매하거나 무료 체험을 시작하세요

일루미오 인사이트 에이전트를 활성화하세요

1단계: 서비스 계정 등록

일루미오 콘솔 → 액세스 → 서비스 계정으로 이동합니다.

테넌트용 서비스 계정 만들기

서비스 계정을 만들면 클라이언트 자격 증명을 받게 됩니다.

auth_username(Illumio Insights API 키)와 비밀(API 비밀)을 복사하세요. 2단계: Sentinel 계정에 클라이언트 자격 증명 추가하기

테넌트 인증을 위해 Sentinel 계정에 API 키 및 비밀 추가

이러한 자격 증명은 Illumio SaaS API에 대한 호출을 인증하는 데 사용됩니다.

아래 필수 필드에 Illumio 콘솔에서 가져온 자격 증명을 입력하세요.

Illumio Insights API 키: (api_XXXXXX)

API 비밀: (API 비밀)

Illumio Tenant ID: ({IllumioTenantId - Optional})

2. 연결

Illumio Insights Graph 커넥터를 활성화하세요.

연결 사용/사용 안 함

Illumio Insights 요약

지원:Illumio

Illumio Insights Summary 커넥터는 Illumio Insights 에이전트가 생성한 AI 기반 위협 발견 및 이상 현상 보고서를 게시합니다. MITRE ATT& CK 프레임워크에 따르면, 이 보고서들은 신흥 위협과 위험한 행동에 대한 고충실도 인사이트를 데이터 레이크에 직접 전달합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

IllumioInsightsSummary_CL 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

설치 지침:

1. 구성

Illumio Insights 요약 커넥터를 구성합니다.

이 데이터 커넥터는 온보딩 후 최신 보고서를 받기까지 24시간이 걸릴 수 있습니다

일루미오 인사이트 요약 커넥터 구성 단계

필수 구성 요소

유효한 자격 증명을 사용하여 Illumio 콘솔에 등록 및 로그인

일루미오 인사이트를 구매하거나 무료 체험을 시작하세요

일루미오 인사이트 에이전트를 활성화하세요

1단계: 서비스 계정 등록

일루미오 콘솔 → 액세스 → 서비스 계정으로 이동합니다.

테넌트용 서비스 계정 만들기

서비스 계정을 만들면 클라이언트 자격 증명을 받게 됩니다.

auth_username(Illumio Insights API 키)와 비밀(API 비밀)을 복사하세요. 2단계: Sentinel 계정에 클라이언트 자격 증명 추가하기

테넌트 인증을 위해 Sentinel 계정에 API 키 및 비밀 추가

이러한 자격 증명은 Illumio SaaS API에 대한 호출을 인증하는 데 사용됩니다.

아래 필수 필드에 Illumio 콘솔에서 가져온 자격 증명을 입력하세요.

Illumio Insights API 키: (api_XXXXXX)

API 비밀: (API 비밀)

Illumio Tenant ID: ({IllumioTenantId - Optional})

2. 연결

Illumio Insights 요약 커넥터를 사용하도록 설정합니다.

연결 사용/사용 안 함

Illumio SaaS(Azure Functions 사용)

지원:Illumio

Illumio 커넥터는 이벤트를 Microsoft Sentinel 수집하는 기능을 제공합니다. 커넥터는 AWS S3 버킷에서 감사 가능 및 흐름 이벤트를 수집하는 기능을 제공합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

Illumio_Auditable_Events_CL 예 예

Illumio_Flow_Events_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Microsoft.Web/sites 권한: 함수 앱을 만들기 위한 Azure Functions 읽기 및 쓰기 권한이 필요합니다. 자세한 내용은 Azure Functions 참조하세요.

SQS 및 AWS S3 계정 자격 증명/권한: AWS_SECRET, AWS_REGION_NAME, AWS_KEY, QUEUE_URL 필요합니다. Illumio에서 제공하는 s3 버킷을 사용하는 경우 Illumio 지원에 문의하세요. 요청 시 AWS S3 버킷 이름, AWS SQS URL 및 AWS 자격 증명을 제공하여 액세스합니다.

Illumio API 키 및 비밀: 통합 문서가 SaaS PCE에 연결하고 API 응답을 가져오려면 ILLUMIO_API_KEY, ILLUMIO_API_SECRET 필요합니다.

설치 지침:

참고: 이 커넥터는 Azure Functions 사용하여 AWS SQS/S3에 연결하여 로그를 Microsoft Sentinel 끌어올 수 있습니다. 이로 인해 추가 데이터 수집 비용이 발생할 수 있습니다. 자세한 내용은 Azure Functions 가격 책정 페이지를 확인하세요.

(선택적 단계) API 권한 부여 키 또는 토큰을 Azure Key Vault 안전하게 저장합니다. Azure Key Vault 키 값을 저장하고 검색하는 보안 메커니즘을 제공합니다. 다음 지침에 따라 Azure 함수 앱에서 Azure Key Vault 사용합니다.

필수 구성 요소

흐름 및 감사 가능한 이벤트 로그를 끌어올 s3 버킷에 대해 AWS SQS가 구성되어 있는지 확인합니다. Illumio에서 버킷을 제공하는 경우 sqs URL, s3 버킷 이름 및 aws 자격 증명에 대해 Illumio 지원에 문의하세요.

AAD 애플리케이션 등록 - DCR(데이터 수집 규칙)이 로그 분석에 데이터를 수집하려면 Entra 애플리케이션을 사용해야 합니다. 1. 여기의 지침 (1-5단계)에 따라 AAD 테넌트 ID, AAD 클라이언트 ID 및 AAD 클라이언트 암호를 가져옵니다.

로그 분석 작업 영역을 만들 수 있는지 확인합니다. 배포된 이름과 지역을 기록해 두세요.

Deployment

아래 옵션에서 방법 중 하나를 선택합니다. 아래 ARM 템플릿을 사용하여 Azure 리소스를 배포하거나 함수 앱을 수동으로 배포합니다.

1. ARM(Azure Resource Manager) 템플릿

ARM Tempate를 사용하여 Azure 리소스의 자동화된 배포에 이 방법을 사용합니다.

아래 Azure 배포 단추를 클릭합니다.

aka.ms

Microsoft Sentinel 작업 영역, AWS 자격 증명, Azure AD 애플리케이션 세부 정보 및 수집 구성과 같은 필수 세부 정보를 제공합니다.

참고: 함수 앱 및 관련 리소스를 배포하기 위한 새 리소스 그룹을 만드는 것이 좋습니다. 3. 위에 명시된 사용 약관에 동의함을 표시하는 확인란을 표시합니다. 4. 구매 를 클릭하여 배포합니다.

2. 확장 처리를 위한 추가 함수 앱 배포

ARM Tempate를 사용하여 추가 함수 앱을 자동으로 배포하려면 이 방법을 사용합니다.

아래 Azure 배포 단추를 클릭합니다.

aka.ms

3. Azure Functions 수동 배포

Visual Studio Code 통한 배포.

함수 앱 배포

Azure 함수 앱 파일을 다운로드합니다. 로컬 개발 컴퓨터에 보관 파일을 추출합니다.

함수 앱 수동 배포 지침에 따라 VSCode를 사용하여 Azure Functions 앱을 배포합니다.

함수 앱을 성공적으로 배포한 후 구성을 위한 다음 단계를 수행합니다.

함수 앱 구성

설명서 <삽입 링크> 에 따라 필요한 모든 환경 변수를 설정하고 저장을 클릭합니다. 설정이 저장되면 함수 앱을 다시 시작해야 합니다.

Imperva Cloud WAF(Azure Functions 사용)

지원:Microsoft Corporation

Imperva Cloud WAF 데이터 커넥터는 REST API를 통해 Web Application Firewall 이벤트를 Microsoft Sentinel 통합하고 수집하는 기능을 제공합니다. 자세한 내용은 로그 통합 설명서를 참조하세요. 커넥터를 사용하면 이벤트 검색을 통해 잠재적인 보안 위험을 평가하고, 공동 작업을 모니터링하고, 구성 문제를 진단하고 해결할 수 있습니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

ImpervaWAFCloud_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Microsoft.Web/sites 권한: 함수 앱을 만들기 위한 Azure Functions 읽기 및 쓰기 권한이 필요합니다. 자세한 내용은 Azure Functions 참조하세요.

REST API 자격 증명/권한: API에는 ImpervaAPIID, ImpervaAPIKey, ImpervaLogServerURI 가 필요합니다. 자세한 내용은 로그 통합 프로세스 설정을 참조하세요. 모든 요구 사항을 확인하고 자격 증명을 얻기 위한 지침을 따릅니다. 이 커넥터는 CEF 로그 이벤트 형식을 사용합니다. 로그 형식에 대한 자세한 정보입니다.

설치 지침:

참고: 이 커넥터는 Azure Functions 사용하여 Imperva Cloud API에 연결하여 로그를 Microsoft Sentinel 끌어올 수 있습니다. 이로 인해 추가 데이터 수집 비용이 발생할 수 있습니다. 자세한 내용은 Azure Functions 가격 책정 페이지를 확인하세요.

(선택적 단계) 작업 영역 및 API 권한 부여 키 또는 토큰을 Azure Key Vault 안전하게 저장합니다. Azure Key Vault 키 값을 저장하고 검색하는 보안 메커니즘을 제공합니다. Azure Functions 앱에서 Azure Key Vault 사용하려면 다음 지침을 따릅니다.

**참고:**이 데이터 커넥터는 kusto 함수를 기반으로 하는 파서에 따라 달라지며 Microsoft Sentinel 솔루션과 함께 배포된 ImpervaWAFCloud가 예상대로 작동합니다.

1단계 - 로그 통합을 위한 구성 단계

지침에 따라 자격 증명을 가져옵니다.

2단계 - 커넥터 및 연결된 Azure Functions 배포하려면 다음 두 가지 배포 옵션 중 하나를 선택합니다.

중요: 작업 영역 데이터 커넥터를 배포하기 전에 작업 영역 ID 및 작업 영역 기본 키를 갖습니다(다음에서 복사할 수 있음).

작업 영역 ID: <설치 시 제공되는 변수 값>

기본 키: <설치 시 제공되는 변수 값>

옵션 1 - ARM(Azure Resource Manager) 템플릿

ARM 템플릿을 사용하여 Imperva Cloud WAF 데이터 커넥터의 자동화된 배포에 이 방법을 사용합니다.

아래 Azure 배포 단추를 클릭합니다.

aka.ms

기본 구독, 리소스 그룹 및 위치를 선택합니다.

참고: 동일한 리소스 그룹 내에서는 Windows 및 Linux 앱을 동일한 지역에 혼합할 수 없습니다. Windows 앱이 없는 기존 리소스 그룹을 선택하거나 새 리소스 그룹을 만듭니다. 3. ImpervaAPIID, ImpervaAPIKey, ImpervaLogServerURI를 입력하고 배포합니다. 4. 위에 명시된 사용 약관에 동의함을 표시하는 확인란을 표시합니다. 5. 구매 를 클릭하여 배포합니다.

옵션 2 - Azure Functions 수동 배포

다음 단계별 지침을 사용하여 Azure Functions(Visual Studio Code 통해 배포)를 사용하여 Imperva Cloud WAF 데이터 커넥터를 수동으로 배포합니다.

함수 앱 배포

참고: Azure 함수 개발을 위해 VS 코드를 준비해야 합니다.

Azure Functions 앱 파일을 다운로드합니다. 로컬 개발 컴퓨터에 보관 파일을 추출합니다.

VS Code를 시작합니다. 주 메뉴에서 파일을 선택하고 폴더 열기를 선택합니다.

추출된 파일에서 최상위 폴더를 선택합니다.

작업 표시줄에서 Azure 아이콘을 선택한 다음, Azure: 함수 영역에서 함수에 배포 앱 단추를 선택합니다. 아직 로그인하지 않은 경우 활동 표시줄에서 Azure 아이콘을 선택한 다음, Azure: 함수 영역에서 로그인을 선택하여 Azure 이미 로그인한 경우 다음 단계로 이동합니다.

프롬프트에서 다음 정보를 제공합니다.

a. 폴더 선택: 작업 영역에서 폴더를 선택하거나 함수 앱이 포함된 폴더로 이동합니다.

b. 구독을 선택합니다. 사용할 구독을 선택합니다.

c. Azure 새 함수 앱 만들기를 선택합니다(고급 옵션을 선택하지 않음).

d. 함수 앱의 전역적으로 고유한 이름을 입력합니다 . URL 경로에 유효한 이름을 입력합니다. 입력한 이름은 Azure Functions 고유하도록 유효성을 검사합니다. (예: ImpervaCloudXXXXX).

e. 런타임 선택: Python 3.11을 선택합니다.

f. 새 리소스의 위치를 선택합니다. 성능 향상 및 비용 절감을 위해 Microsoft Sentinel 있는 동일한 지역을 선택합니다.

배포가 시작됩니다. 함수 앱이 만들어지고 배포 패키지가 적용된 후 알림이 표시됩니다.

함수 앱 구성에 대한 Azure 포털로 이동합니다.

함수 앱 구성

함수 앱에서 함수 앱 이름을 선택하고 구성을 선택합니다.

애플리케이션 설정 탭에서 새 애플리케이션 설정을 선택합니다.

각 문자열 값(대/소문자 구분)을 사용하여 다음 애플리케이션 설정을 개별적으로 추가합니다. ImpervaAPIID ImpervaAPIKey ImpervaLogServerURI WorkspaceID WorkspaceKey logAnalyticsUri(선택 사항)

logAnalyticsUri를 사용하여 전용 클라우드에 대한 로그 분석 API 엔드포인트를 재정의합니다. 예를 들어 퍼블릭 클라우드의 경우 값을 비워 둡니다. Azure GovUS 클라우드 환경의 경우 값을 형식https://<CustomerId>.ods.opinsights.azure.us으로 지정합니다.

모든 애플리케이션 설정이 입력되면 저장을 클릭합니다.

Imperva Cloud WAF(코드리스 커넥터 프레임워크를 통해)

지원:Microsoft Corporation

Imperva WAF 클라우드 데이터 커넥터는 SQS 알림과 함께 AWS S3를 통한 Imperva 로그 통합을 사용하여 Microsoft Sentinel 로그를 수집하는 기능을 제공합니다. 커넥터는 위협 탐지 및 조사를 위한 액세스 로그 및 보안 경고를 포함하여 CEF 형식의 WAF 이벤트를 구문 분석합니다. 자세한 내용은 Imperva WAF 클라우드 로그 통합 을 참조하세요.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

ImpervaWAFCloud 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

AWS IAM 역할: 교차 계정 신뢰 정책이 있는 AWS IAM 역할이 필요합니다.

설치 지침:

**Imperva WAF Cloud를 Microsoft Sentinel 연결

**

참고: 이 커넥터는 AWS S3 버킷에서 Imperva Cloud WAF 로그를 가져옵니다.

Imperva에서 데이터를 수집하려면 다음 리소스를 구성해야 합니다.

AWS 역할 ARN Imperva에서 데이터를 수집하려면 AWS 역할 ARN이 필요합니다.

AWS SQS 큐 URL Imperva에서 데이터를 수집하려면 AWS SQS 큐 URL이 필요합니다.

AWS 역할 ARN, SQS 큐 URL을 검색하고 Amazon S3 버킷으로 Imperva 로그 전달을 구성하는 자세한 단계는 커넥터 설치 가이드를 참조하세요.

데이터 커넥터 그리드(포털에서 구성)

AMA를 통한 Infoblox Cloud Data Connector

지원:Infoblox

Infoblox Cloud Data Connector를 사용하면 Infoblox 데이터를 Microsoft Sentinel 쉽게 연결할 수 있습니다. 로그를 Microsoft Sentinel 연결하면 각 로그에 대한 검색 & 상관 관계, 경고 및 위협 인텔리전스 보강을 활용할 수 있습니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

CommonSecurityLog 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

설치 지침:

중요: 이 Microsoft Sentinel 데이터 커넥터는 Infoblox 데이터 커넥터 호스트가 이미 CSP(Infoblox Cloud Services Portal)에서 만들어지고 구성되었다고 가정합니다. Infoblox 데이터 커넥터는 위협 방어의 기능이므로 적절한 위협 방어 구독에 액세스해야 합니다. 자세한 내용 및 라이선스 요구 사항은 이 빠른 시작 가이드 를 참조하세요.

1. Syslog 에이전트 구성 Linux

CEF(Common Event Format) Syslog 메시지를 수집하고 Microsoft Sentinel 전달하도록 Linux 에이전트를 설치하고 구성합니다.

모든 지역의 데이터가 선택한 작업 영역에 저장됩니다.

1.1 Linux 컴퓨터 선택 또는 만들기

Microsoft Sentinel 보안 솔루션과 온-프레미스 환경, Azure 또는 기타 클라우드에 있을 수 Microsoft Sentinel 사이의 프록시로 사용할 Linux 머신을 선택하거나 만듭니다.

1.2 Linux 컴퓨터에 CEF 수집기 설치

Linux 컴퓨터에 Microsoft Monitoring Agent를 설치하고 필요한 포트에서 수신 대기하고 Microsoft Sentinel 작업 영역에 메시지를 전달하도록 컴퓨터를 구성합니다. CEF 수집기는 포트 514 TCP에서 CEF 메시지를 수집합니다.

python -version 명령을 사용하여 컴퓨터에 Python이 있는지 확인합니다.

컴퓨터에 대해 상승된 권한(sudo)이 있어야 합니다.

다음 명령을 실행하여 CEF 수집<기를 설치하고 적용합니다. 설치 시 제공된 변수 값>

2. Syslog 에이전트로 전달하도록 Infoblox Cloud Data Connector에 Syslog 데이터를 보내도록 Infoblox 구성

아래 단계에 따라 Linux Syslog 에이전트를 통해 Microsoft Sentinel 데이터를 보내도록 Infoblox CDC를 구성합니다.

통합 > 데이터 커넥터로 이동하세요.

위쪽의 대상 구성 탭을 클릭합니다.

Syslog 만들기 > 를 클릭합니다.

이름: 새 대상에 Microsoft-Sentinel-Destination과 같은 의미 있는 이름을 지정합니다.

설명: 필요에 따라 의미 있는 설명을 제공합니다.

상태: 상태를 사용으로 설정합니다.

형식: 형식을 CEF로 설정합니다.

FQDN/IP: Linux 에이전트가 설치된 Linux 디바이스의 IP 주소를 입력합니다.

포트: 포트 번호를 514로 둡니다.

프로토콜: 해당하는 경우 원하는 프로토콜 및 CA 인증서를 선택합니다.

저장 후 닫기를 클릭합니다.

맨 위에 있는 트래픽 흐름 구성 탭을 클릭합니다.

만들기를 클릭합니다.

이름: 새 Traffic Flow에 Microsoft-Sentinel 흐름과 같은 의미 있는 이름을 지정합니다.

설명: 필요에 따라 의미 있는 설명을 제공합니다.

상태: 상태를 사용으로 설정합니다.

서비스 인스턴스 섹션을 확장합니다.

서비스 인스턴스: 데이터 커넥터 서비스가 사용하도록 설정된 원하는 서비스 인스턴스를 선택합니다.

원본 구성 섹션을 확장합니다.

출처: 인포블록스 클라우드 소스 선택.

수집하려는 모든 로그 유형을 선택합니다. 현재 지원되는 로그 유형은 다음과 같습니다.

위협 방어 쿼리/응답 로그

위협 방어 위협 피드 적중 로그

DDI 쿼리/응답 로그

DDI DHCP 임대 로그

대상 구성 섹션을 확장합니다.

방금 만든 대상 을 선택합니다.

저장 후 닫기를 클릭합니다.

구성을 활성화하는 데 약간의 시간을 허용합니다.

3. 연결 유효성 검사

지침에 따라 연결의 유효성을 검사합니다.

Log Analytics를 열어 CommonSecurityLog 스키마를 사용하여 로그를 받는지 검사.

연결이 데이터를 작업 영역으로 스트리밍할 때까지 약 20분이 걸릴 수 있습니다.

로그를 받지 못한 경우 다음 연결 유효성 검사 스크립트를 실행합니다.

python -version 명령을 사용하여 컴퓨터에 Python이 있는지 확인합니다.

컴퓨터에 관리자 권한(sudo)이 있어야 합니다.

다음 명령을 실행하여 연결의 유효성을 검사합니다.< 설치 시 제공되는 변수 값>

**4. 컴퓨터 보안 **

organization 보안 정책에 따라 컴퓨터의 보안을 구성해야 합니다.

더 알아보세요 >

REST API를 통한 Infoblox 데이터 커넥터

지원:Infoblox

Infoblox 데이터 커넥터를 사용하면 Infoblox TIDE 데이터 및 Dossier 데이터를 Microsoft Sentinel 쉽게 연결할 수 있습니다. 데이터를 Microsoft Sentinel 연결하면 각 로그에 대한 검색 & 상관 관계, 경고 및 위협 인텔리전스 보강을 활용할 수 있습니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

dossier_whois_CL 아니요 아니요

dossier_whitelist_CL 아니요 아니요

dossier_tld_risk_CL 아니요 아니요

dossier_threat_actor_CL 아니요 아니요

dossier_rpz_feeds_records_CL 아니요 아니요

dossier_rpz_feeds_CL 아니요 아니요

dossier_nameserver_matches_CL 아니요 아니요

dossier_nameserver_CL 아니요 아니요

dossier_malware_analysis_v3_CL 아니요 아니요

dossier_inforank_CL 아니요 아니요

dossier_infoblox_web_cat_CL 아니요 아니요

dossier_geo_CL 아니요 아니요

dossier_dns_CL 아니요 아니요

dossier_atp_threat_CL 아니요 아니요

dossier_atp_CL 아니요 아니요

dossier_ptr_CL 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

Azure 구독: Microsoft Entra ID 애플리케이션을 등록하고 리소스 그룹의 앱에 기여자 역할을 할당하려면 소유자 역할이 있는 Azure 구독이 필요합니다.

Microsoft.Web/sites 권한: 함수 앱을 만들기 위한 Azure Functions 읽기 및 쓰기 권한이 필요합니다. 자세한 내용은 Azure Functions 참조하세요.

REST API 자격 증명/권한: Infoblox API 키가 필요합니다. Rest API 참조에서 API에 대한 자세한 내용은 설명서를 참조하세요.

설치 지침:

참고: 이 커넥터는 Azure Functions 사용하여 Infoblox API에 연결하여 TIDE용 위협 지표를 만들고 Dossier 데이터를 Microsoft Sentinel 끌어올 수 있습니다. 이로 인해 추가 데이터 수집 비용이 발생할 수 있습니다. 자세한 내용은 Azure Functions 가격 책정 페이지를 확인하세요.

(선택적 단계) 작업 영역 및 API 권한 부여 키 또는 토큰을 Azure Key Vault 안전하게 저장합니다. Azure Key Vault 키 값을 저장하고 검색하는 보안 메커니즘을 제공합니다. 다음 지침에 따라 Azure 함수 앱에서 Azure Key Vault 사용합니다.

1단계 - Microsoft Entra ID 애플리케이션에 대한 앱 등록 단계

이 통합에는 Azure Portal 앱 등록이 필요합니다. 이 섹션의 단계에 따라 Microsoft Entra ID 새 애플리케이션을 만듭니다.

Azure 포털에 로그인합니다.

Microsoft Entra ID 검색하여 선택합니다.

관리에서 새 등록 앱 등록 > 선택합니다.

애플리케이션의 표시 이름을 입력합니다.

등록을 선택하여 초기 앱 등록을 완료합니다.

등록이 완료되면 Azure Portal 앱 등록의 개요 창이 표시됩니다. 애플리케이션(클라이언트) ID와 테넌트 ID를 볼 수 있습니다. 클라이언트 ID와 테넌트 ID는 AzureClientId와 AzureTenantId 구성 매개변수로 필요하며, 커넥터의 Function Apps가 로그 인제스션 API(Dossier 데이터용)와 Microsoft Sentinel Threat Intelligence Indicators API(TIDE 데이터용)에 인증하는 데 사용됩니다.

참조 링크:/azure/active-directory/develop/quickstart-register-app

2단계 - Microsoft Entra ID 애플리케이션에 대한 클라이언트 암호 추가

때때로 애플리케이션 비밀번호라고도 불리는 클라이언트 시크릿은 커넥터가 로그 인제스션 API와 Microsoft Sentinel 위협 인텔리전스 지표 API에 인증하기 위해 요구하는 문자열 값입니다. 이 섹션의 단계에 따라 새 클라이언트 암호를 만듭니다.

Azure Portal 앱 등록 애플리케이션을 선택합니다.

인증서 & 비밀 > 클라이언트 비밀 새 클라이언트 비밀을 >선택합니다.

클라이언트 비밀에 대한 설명을 추가합니다.

비밀에 대한 만료를 선택하거나 사용자 지정 수명을 지정합니다. 한도는 24개월입니다.

추가를 선택합니다.

클라이언트 애플리케이션 코드에서 사용할 비밀 값을 기록합니다. 이 비밀 값은 이 페이지를 떠난 후에 다시는 표시되지 않습니다. 비밀 값은 AzureClientSecret 구성 매개변수로 필요합니다.

참조 링크:/azure/active-directory/develop/quickstart-register-app#add-a-client-secret

3단계 - Microsoft Entra ID 애플리케이션에 기여자 역할 할당

이 역할은 커넥터의 기능 앱이 Microsoft Sentinel 위협 인텔리전스 지표 API를 통해 TIDE 데이터를 기반으로 위협 인텔리전스 지표를 생성할 수 있도록 필요합니다. 이 섹션의 단계에 따라 역할을 할당합니다.

Azure Portal 리소스 그룹으로 이동하여 리소스 그룹을 선택합니다.

왼쪽 패널에서 액세스 제어(IAM) 로 이동합니다.

추가를 클릭한 다음 역할 할당 추가를 선택합니다.

역할로 기여자를 선택하고 다음을 클릭합니다.

에 대한 액세스 할당에서 를 선택합니다User, group, or service principal.

구성원 추가를 클릭하고 만든 앱 이름을 입력 하고 선택합니다.

이제 검토 + 할당을 클릭한 다음 검토 + 할당을 다시 클릭합니다.

참조 링크:/azure/role-based-access-control/role-assignments-portal

4단계 - 앱 등록의 객체 ID 찾기

이 커넥터는 Log Ingestion API를 통해 Dossier와 TIDE 데이터를 Sentinel에 인징하며, 이는 앱 등록(Step 1에서 생성된 것과 동일)이 커넥터가 생성하는 모든 데이터 수집 규칙에 Monitoring Metrics Publisher 역할을 가져야 합니다. 이 역할 할당은 배포 시 ARM 템플릿에 의해 자동으로 부여되며, 직접 지정할 필요는 없습니다. 하지만 템플릿은 배포 매개변수로 앱의 Object ID(Enterprise Application / Service Principal 객체 ID, Application/Client ID가 아님)를 배포 매개변수로 필요합니다.

Azure Portal에서 Microsoft Entra ID를 검색하여 선택합니다.

관리 항목 에서 엔터프라이즈 애플리케이션을 선택하세요.

1단계에서 생성한 앱 등록을 검색해서 선택하세요.

Overview 창에 표시된 Object ID를 복사하세요 - 배포 시 AzureEntraObjectID로 입력해야 하는 값입니다.

참고: 배포 시점에 이 값이 누락되었거나 잘못되면, 역할 할당이 조용히 접근 권한을 부여하지 못하고 Dossier/TIDE 데이터가 작업 공간에 나타나지 않으며, Function Apps는 오류 없이 실행됩니다.

5단계 - Infoblox API 자격 증명 생성 단계

다음 지침에 따라 Infoblox API 키를 생성합니다. Infoblox Cloud Services 포털에서 API 키를 생성하고 다음 단계에서 사용하기에 안전한 곳에 복사합니다. 여기에서 API 키를 만드는 방법에 대한 지침을 찾을 수 있습니다.

ARM(Azure Resource Manager) 템플릿

Infoblox Data 커넥터의 자동화된 배포에 이 메서드를 사용합니다.

아래 Azure 배포 단추를 클릭합니다.

aka.ms

기본 구독, 리소스 그룹 및 위치를 선택합니다.

아래 정보를 입력하세요: Workspace ID Workspace (Log Analytics workspace 리소스 이름) 데이터 컬렉션 엔드포인트/규칙 위치 (기본값: 리소스 그룹 위치, 작업 공간 영역과 일치해야 함) Azure 테넌트 ID Azure 클라이언트 ID Azure 클라이언트 비밀 Azure Entra Object ID (Step 4에서) Infoblox API 토큰 Infoblox 기본 URL 역사적 데이터 컷오프 날짜 로그 레벨 (기본값: 정보) 신뢰도(기본값: 80) 위협 수준 (기본값: 80) App Insights Workspace 리소스 ID

위에 명시된 사용 약관에 동의함을 표시하는 확인란을 표시합니다.

구매를 클릭하여 배포합니다.

참고: 데이터 수집 엔드포인트/데이터 수집 규칙과 모니터링 메트릭스 (Monitoring Metrics Publisher) 역할 할당은 이 템플릿에 의해 자동으로 생성되고 배선되며, 배포 후 수동 DCR 또는 역할 할당 절차가 필요하지 않습니다.

AMA를 통한 Infoblox IQ 위협 방어 인사이트 데이터 커넥터

지원:Infoblox

Infoblox IQ for Threat Defense Insight Data Connector는 Infoblox IQ for Threat Defense Insight 데이터를 Microsoft Sentinel과 쉽게 연결할 수 있게 해줍니다. 로그를 Microsoft Sentinel 연결하면 각 로그에 대한 검색 & 상관 관계, 경고 및 위협 인텔리전스 보강을 활용할 수 있습니다.

이 데이터 커넥터는 새로운 Azure Monitor 에이전트를 사용하여 Infoblox IQ for Threat Defense Insight CDC 로그를 Log Analytics Workspace에 인징합니다. 여기에서 새 Azure Monitor 에이전트를 사용하여 수집하는 방법에 대해 자세히 알아보세요. 이 데이터 커넥터를 사용하는 것이 좋습니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

CommonSecurityLog 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

비 Azure VM에서 데이터를 수집하려면 Azure Arc를 설치하고 사용하도록 설정해야 합니다. 자세한 정보

AMA를 통한 CEF(일반 이벤트 형식) 및 AMA 데이터 커넥터를 통한 Syslog를 설치해야 합니다. 자세한 정보

설치 지침:

작업 영역 키

이 솔루션의 일부로 플레이북을 사용하려면 편의를 위해 아래 작업 영역 ID 및 작업 영역 기본 키를 찾습니다.

작업 영역 ID: <설치 시 제공되는 변수 값>

파서

이 데이터 커넥터는 Kusto 함수를 기반으로 하는 파서에 따라 Microsoft Sentinel Solution과 함께 배포되는 InfobloxCDC_SOCInsights 호출된 대로 작동합니다.

인포블록스 IQ 위협 방어

이 데이터 커넥터는 Infoblox IQ for Threat Defense에 접근할 수 있다고 가정합니다. 자세한 정보는 여기에서 확인할 수 있습니다.

Infoblox 클라우드 데이터 커넥터

이 데이터 커넥터는 Infoblox 데이터 커넥터 호스트가 이미 CSP(Infoblox Cloud Services Portal)에서 만들어지고 구성되었다고 가정합니다. Infoblox Data Connector는 Infoblox Threat Defense의 기능이므로, 적절한 Infoblox Threat Defense 구독에 대한 접근이 필요합니다. 자세한 내용 및 라이선스 요구 사항은 이 빠른 시작 가이드 를 참조하세요.

아래 단계에 따라 이 데이터 커넥터를 구성합니다.

대답. AMA 데이터 커넥터를 통해 CEF(Common Event Format) 구성

참고: CEF 로그는 Linux 에이전트에서만 수집됩니다.

Microsoft Sentinel 작업 영역 > 데이터 커넥터 블레이드로 이동합니다.

AMA 데이터 커넥터를 통해 CEF(Common Event Format) 를 검색하고 엽니다.

로그 중복이 발생할 수 있으므로 필요한 로그 기능을 수집하도록 구성된 기존 DCR이 없는지 확인합니다. 새 DCR(데이터 수집 규칙)을 만듭니다.

참고: 최소한 AMA 에이전트 v1.27을 설치하는 것이 좋습니다. 자세한 내용을 알아보 고 로그 중복이 발생할 수 있으므로 중복된 DCR이 없는지 확인합니다.

AMA 데이터 커넥터 페이지를 통해 CEF(Common Event Format) 에 제공된 명령을 실행하여 컴퓨터에서 CEF 수집기를 구성합니다.

B. Infoblox 클라우드 서비스 포털 내에서 Infoblox를 설정하여 CEF Syslog 데이터를 Infoblox Cloud Data Connector로 전송하여 Syslog 에이전트로 전달하도록 설정하세요

아래 단계에 따라 Linux Syslog 에이전트를 통해 Microsoft Sentinel 데이터를 보내도록 Infoblox CDC를 구성합니다.

통합 > 데이터 커넥터로 이동하세요.

위쪽의 대상 구성 탭을 클릭합니다.

Syslog 만들기 > 를 클릭합니다.

이름: 새 대상에 Microsoft-Sentinel-Destination과 같은 의미 있는 이름을 지정합니다.

설명: 필요에 따라 의미 있는 설명을 제공합니다.

상태: 상태를 사용으로 설정합니다.

형식: 형식을 CEF로 설정합니다.

FQDN/IP: Linux 에이전트가 설치된 Linux 디바이스의 IP 주소를 입력합니다.

포트: 포트 번호를 514로 둡니다.

프로토콜: 해당하는 경우 원하는 프로토콜 및 CA 인증서를 선택합니다.

저장 후 닫기를 클릭합니다.

맨 위에 있는 트래픽 흐름 구성 탭을 클릭합니다.

만들기를 클릭합니다.

이름: 새 Traffic Flow에 Microsoft-Sentinel 흐름과 같은 의미 있는 이름을 지정합니다.

설명: 필요에 따라 의미 있는 설명을 제공합니다.

상태: 상태를 사용으로 설정합니다.

서비스 인스턴스 섹션을 확장합니다.

서비스 인스턴스: 데이터 커넥터 서비스가 사용하도록 설정된 원하는 서비스 인스턴스를 선택합니다.

원본 구성 섹션을 확장합니다.

출처: 인포블록스 클라우드 소스 선택.

위협 방어 로그 유형으로 IQ를 선택하세요.

대상 구성 섹션을 확장합니다.

방금 만든 대상 을 선택합니다.

저장 후 닫기를 클릭합니다.

구성을 활성화하는 데 약간의 시간을 허용합니다.

C. 연결 유효성 검사

지침에 따라 연결의 유효성을 검사합니다.

Log Analytics를 열어 CommonSecurityLog 스키마를 사용하여 로그를 받는지 검사.

연결이 데이터를 작업 영역으로 스트리밍할 때까지 약 20분이 걸릴 수 있습니다.

로그를 받지 못한 경우 다음 연결 유효성 검사 스크립트를 실행합니다.

python -version 명령을 사용하여 컴퓨터에 Python이 있는지 확인합니다.

컴퓨터에 관리자 권한(sudo)이 있어야 합니다.

다음 명령을 실행하여 연결의 유효성을 검사합니다.< 설치 시 제공되는 변수 값>

**2.** 컴퓨터 보안 **

organization 보안 정책에 따라 컴퓨터의 보안을 구성해야 합니다.

더 알아보세요 >

Infoblox IQ for Threat Defense Insight Data Connector via REST API

지원:Infoblox

Infoblox IQ for Threat Defense Insight Data Connector는 Infoblox IQ for Threat Defense Insight 데이터를 Microsoft Sentinel과 쉽게 연결할 수 있게 해줍니다. 로그를 Microsoft Sentinel 연결하면 각 로그에 대한 검색 & 상관 관계, 경고 및 위협 인텔리전스 보강을 활용할 수 있습니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

InfobloxInsight_CL 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

설치 지침:

파서

이 데이터 커넥터는 Kusto 함수를 기반으로 하는 파서에 따라 Microsoft Sentinel 솔루션과 함께 배포되는 InfobloxInsight라는 예상대로 작동합니다.

인포블록스 IQ 위협 방어

이 데이터 커넥터는 Infoblox IQ for Threat Defense에 접근할 수 있다고 가정합니다. 자세한 정보는 여기에서 확인할 수 있습니다.

아래 단계에 따라 이 데이터 커넥터를 구성합니다.

1. Infoblox API 키를 생성하고 안전한 곳에 복사

Infoblox Cloud Services 포털에서 API 키를 생성하고 다음 단계에서 사용하기에 안전한 곳에 복사합니다. 여기에서 API 키를 만드는 방법에 대한 지침을 찾을 수 있습니다.

2. Infoblox-IQ-for-TD-Get-Insights-API 플레이북 구성

이 솔루션과 함께 배포되는 Infoblox-IQ-for-TD-Get-Insights-API 플레이북을 만들고 구성하세요. Infoblox API 키와 Log Analytics Workspace 이름을 적절한 매개변수에 입력하세요.

InfoSecGlobal 데이터 커넥터

지원:InfoSecGlobal

이 데이터 커넥터를 사용하여 InfoSec Crypto Analytics와 통합하고 Microsoft Sentinel 직접 데이터를 보냅니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

InfoSecAnalytics_CL 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

설치 지침:

InfoSecGlobal Crypto Analytics 데이터 커넥터

Logstash를 통해 데이터가 Microsoft Sentinel 전송됩니다.

필수 Logstash 구성이 Crypto Analytics 설치에 포함되어 있습니다.

Crypto Analytics 설치와 함께 제공되는 설명서에서는 데이터를 Microsoft Sentinel 보내는 방법을 설명합니다.

작업 영역 ID: <설치 시 제공되는 변수 값>

기본 키: <설치 시 제공되는 변수 값>

IONIX 보안 로그(코드리스 커넥터 프레임워크를 통해)

지원:IONIX

IONIX 커넥터를 사용하면 CCF(Codeless Connector Framework)를 사용하여 IONIX 공격 Surface Management 플랫폼에서 Microsoft Sentinel 작업 항목을 수집할 수 있습니다. 작업 항목은 수정이 필요한 보안 결과 및 취약성을 나타냅니다.

이 커넥터는 IONIX API를 자동으로 폴링하고 CyberpionActionItems_CL 테이블에 데이터를 씁니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

CyberpionActionItems_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

IONIX API 토큰: IONIX 포털의 API 토큰이 필요합니다. >의 설정 API에서 하나를 만듭니다.

설치 지침:

IONIX를 Microsoft Sentinel 연결

이 커넥터는 IONIX API를 사용하여 작업 항목을 자동으로 폴링하고 Microsoft Sentinel 수집합니다. IONIX 포털에서 API 토큰이 필요합니다.

IONIX API 토큰: (IONIX 설정 > API에서 JWT API 토큰 입력)

IONIX 계정 이름: (cyberpion)

연결 사용/사용 안 함

IPinfo 남용 데이터 커넥터

지원:IPinfo

이 IPinfo 데이터 커넥터는 Azure 함수 앱을 설치하여 standard_abuse 데이터 세트를 다운로드하고 Microsoft Sentinel 사용자 지정 로그 테이블에 삽입합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

Ipinfo_Abuse_CL 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

Microsoft.Web/sites 권한: 함수 앱을 만들기 위한 Azure Functions 읽기 및 쓰기 권한이 필요합니다. 자세한 내용은 Azure Functions 참조하세요.

IPinfo API 토큰: 여기에서 IPinfo API 토큰을 검색 합니다.

설치 지침:

1. API 토큰 검색

여기에서 IPinfo API 토큰을 검색 합니다.

2. Azure AD 테넌트에서 Azure AAD(Active Directory) 애플리케이션을 만듭니다.

Azure AD 테넌트에서 Azure AAD(Active Directory) 애플리케이션을 만들고 테넌트 ID, 클라이언트 ID 및 클라이언트 비밀: 이 링크를 사용합니다.

3. AAD 애플리케이션에 Microsoft Sentinel 기여자 역할을 할당합니다.

"Microsoft Sentinel"이 추가되는 "Log Analytic 작업 영역"에 사용하는 것과 동일한 "리소스 그룹"에서 기여자(권한 있는 관리자 역할) 및 모니터링 메트릭 게시자(작업 함수 역할)에 방금 만든 AAD 애플리케이션을 할당합니다. 이 링크를 사용합니다.

4. 작업 영역 리소스 ID 가져오기

'리소스 ID' 속성 값이 있는 Log Analytic 작업 영역 -> 속성 블레이드를 사용합니다. '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}' 형식의 정규화된 resourceId입니다.

5. Azure 함수 배포

ARM Tempate를 사용하여 IPinfo 데이터 커넥터의 자동화된 배포에 사용합니다.

아래 Azure 배포 단추를 클릭합니다.

aka.ms

기본 구독, 리소스 그룹 및 위치를 선택합니다.

RESOURCE_ID, IPINFO_TOKEN, TENANT_ID, CLIENT_ID, CLIENT_SECRET 입력합니다.

Azure Functions 수동 배포

다음 단계별 지침을 사용하여 Azure Functions 사용하여 IPinfo 데이터 커넥터를 수동으로 배포합니다(Visual Studio Code 통해 배포).

1단계 - 함수 앱 배포

Azure 함수 앱 파일을 다운로드합니다. 로컬 개발 컴퓨터 Azure 함수 앱에 보관 파일을 추출합니다.

VSCode를 사용하여 고급 옵션을 사용하여 호스팅 함수 프리미엄 또는 App Service 계획을 사용하여 함수 앱을 만듭니다.

함수 앱 수동 배포 지침에 따라 VSCode를 사용하여 Azure Functions 앱을 배포합니다.

함수 앱을 성공적으로 배포한 후 구성을 위한 다음 단계를 수행합니다.

2단계 - 함수 앱 구성

함수 앱 구성에 대한 Azure 포털로 이동합니다.

함수 앱에서 함수 앱 이름을 선택하고 설정 -> 구성 또는 환경 변수를 선택합니다.

애플리케이션 설정 탭에서 + 새 애플리케이션 설정을 선택합니다.

각 문자열 값(대/소문자 구분)을 사용하여 다음 애플리케이션 설정을 개별적으로 추가합니다. RESOURCE_ID IPINFO_TOKEN TENANT_ID CLIENT_ID CLIENT_SECRET RETENTION_IN_DAYS TOTAL_RETENTION_IN_DAYS SCHEDULE LOCATION

모든 애플리케이션 설정이 입력되면 저장을 클릭합니다.

IPinfo ASN 데이터 커넥터

지원:IPinfo

이 IPinfo 데이터 커넥터는 Azure 함수 앱을 설치하여 standard_ASN 데이터 세트를 다운로드하고 Microsoft Sentinel 사용자 지정 로그 테이블에 삽입합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

Ipinfo_ASN_CL 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

Microsoft.Web/sites 권한: 함수 앱을 만들기 위한 Azure Functions 읽기 및 쓰기 권한이 필요합니다. 자세한 내용은 Azure Functions 참조하세요.

IPinfo API 토큰: 여기에서 IPinfo API 토큰을 검색 합니다.

설치 지침:

1. API 토큰 검색

여기에서 IPinfo API 토큰을 검색 합니다.

2. Azure AD 테넌트에서 Azure AAD(Active Directory) 애플리케이션을 만듭니다.

Azure AD 테넌트에서 Azure AAD(Active Directory) 애플리케이션을 만들고 테넌트 ID, 클라이언트 ID 및 클라이언트 비밀: 이 링크를 사용합니다.

3. AAD 애플리케이션에 Microsoft Sentinel 기여자 역할을 할당합니다.

"Microsoft Sentinel"이 추가되는 "Log Analytic 작업 영역"에 사용하는 것과 동일한 "리소스 그룹"에서 기여자(권한 있는 관리자 역할) 및 모니터링 메트릭 게시자(작업 함수 역할)에 방금 만든 AAD 애플리케이션을 할당합니다. 이 링크를 사용합니다.

4. 작업 영역 리소스 ID 가져오기

'리소스 ID' 속성 값이 있는 Log Analytic 작업 영역 -> 속성 블레이드를 사용합니다. '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}' 형식의 정규화된 resourceId입니다.

5. Azure 함수 배포

ARM Tempate를 사용하여 IPinfo 데이터 커넥터의 자동화된 배포에 사용합니다.

아래 Azure 배포 단추를 클릭합니다.

aka.ms

기본 구독, 리소스 그룹 및 위치를 선택합니다.

RESOURCE_ID, IPINFO_TOKEN, TENANT_ID, CLIENT_ID, CLIENT_SECRET 입력합니다.

Azure Functions 수동 배포

다음 단계별 지침을 사용하여 Azure Functions 사용하여 IPinfo 데이터 커넥터를 수동으로 배포합니다(Visual Studio Code 통해 배포).

1단계 - 함수 앱 배포

Azure 함수 앱 파일을 다운로드합니다. 로컬 개발 컴퓨터 Azure 함수 앱에 보관 파일을 추출합니다.

VSCode를 사용하여 고급 옵션을 사용하여 호스팅 함수 프리미엄 또는 App Service 계획을 사용하여 함수 앱을 만듭니다.

함수 앱 수동 배포 지침에 따라 VSCode를 사용하여 Azure Functions 앱을 배포합니다.

함수 앱을 성공적으로 배포한 후 구성을 위한 다음 단계를 수행합니다.

2단계 - 함수 앱 구성

함수 앱 구성에 대한 Azure 포털로 이동합니다.

함수 앱에서 함수 앱 이름을 선택하고 설정 -> 구성 또는 환경 변수를 선택합니다.

애플리케이션 설정 탭에서 + 새 애플리케이션 설정을 선택합니다.

각 문자열 값(대/소문자 구분)을 사용하여 다음 애플리케이션 설정을 개별적으로 추가합니다. RESOURCE_ID IPINFO_TOKEN TENANT_ID CLIENT_ID CLIENT_SECRET RETENTION_IN_DAYS TOTAL_RETENTION_IN_DAYS SCHEDULE LOCATION

모든 애플리케이션 설정이 입력되면 저장을 클릭합니다.

IPinfo Carrier 데이터 커넥터

지원:IPinfo

이 IPinfo 데이터 커넥터는 Azure 함수 앱을 설치하여 standard_carrier 데이터 세트를 다운로드하고 Microsoft Sentinel 사용자 지정 로그 테이블에 삽입합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

Ipinfo_Carrier_CL 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

Microsoft.Web/sites 권한: 함수 앱을 만들기 위한 Azure Functions 읽기 및 쓰기 권한이 필요합니다. 자세한 내용은 Azure Functions 참조하세요.

IPinfo API 토큰: 여기에서 IPinfo API 토큰을 검색 합니다.

설치 지침:

1. API 토큰 검색

여기에서 IPinfo API 토큰을 검색 합니다.

2. Azure AD 테넌트에서 Azure AAD(Active Directory) 애플리케이션을 만듭니다.

Azure AD 테넌트에서 Azure AAD(Active Directory) 애플리케이션을 만들고 테넌트 ID, 클라이언트 ID 및 클라이언트 비밀: 이 링크를 사용합니다.

3. AAD 애플리케이션에 Microsoft Sentinel 기여자 역할을 할당합니다.

"Microsoft Sentinel"이 추가되는 "Log Analytic 작업 영역"에 사용하는 것과 동일한 "리소스 그룹"에서 기여자(권한 있는 관리자 역할) 및 모니터링 메트릭 게시자(작업 함수 역할)에 방금 만든 AAD 애플리케이션을 할당합니다. 이 링크를 사용합니다.

4. 작업 영역 리소스 ID 가져오기

'리소스 ID' 속성 값이 있는 Log Analytic 작업 영역 -> 속성 블레이드를 사용합니다. '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}' 형식의 정규화된 resourceId입니다.

5. Azure 함수 배포

ARM Tempate를 사용하여 IPinfo 데이터 커넥터의 자동화된 배포에 사용합니다.

아래 Azure 배포 단추를 클릭합니다.

aka.ms

기본 구독, 리소스 그룹 및 위치를 선택합니다.

RESOURCE_ID, IPINFO_TOKEN, TENANT_ID, CLIENT_ID, CLIENT_SECRET 입력합니다.

Azure Functions 수동 배포

다음 단계별 지침을 사용하여 Azure Functions 사용하여 IPinfo 데이터 커넥터를 수동으로 배포합니다(Visual Studio Code 통해 배포).

1단계 - 함수 앱 배포

Azure 함수 앱 파일을 다운로드합니다. 로컬 개발 컴퓨터 Azure 함수 앱에 보관 파일을 추출합니다.

VSCode를 사용하여 고급 옵션을 사용하여 호스팅 함수 프리미엄 또는 App Service 계획을 사용하여 함수 앱을 만듭니다.

함수 앱 수동 배포 지침에 따라 VSCode를 사용하여 Azure Functions 앱을 배포합니다.

함수 앱을 성공적으로 배포한 후 구성을 위한 다음 단계를 수행합니다.

2단계 - 함수 앱 구성

함수 앱 구성에 대한 Azure 포털로 이동합니다.

함수 앱에서 함수 앱 이름을 선택하고 설정 -> 구성 또는 환경 변수를 선택합니다.

애플리케이션 설정 탭에서 + 새 애플리케이션 설정을 선택합니다.

각 문자열 값(대/소문자 구분)을 사용하여 다음 애플리케이션 설정을 개별적으로 추가합니다. RESOURCE_ID IPINFO_TOKEN TENANT_ID CLIENT_ID CLIENT_SECRET RETENTION_IN_DAYS TOTAL_RETENTION_IN_DAYS SCHEDULE LOCATION

모든 애플리케이션 설정이 입력되면 저장을 클릭합니다.

IPinfo 회사 데이터 커넥터

지원:IPinfo

이 IPinfo 데이터 커넥터는 Azure 함수 앱을 설치하여 standard_company 데이터 세트를 다운로드하고 Microsoft Sentinel 사용자 지정 로그 테이블에 삽입합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

Ipinfo_Company_CL 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

Microsoft.Web/sites 권한: 함수 앱을 만들기 위한 Azure Functions 읽기 및 쓰기 권한이 필요합니다. 자세한 내용은 Azure Functions 참조하세요.

IPinfo API 토큰: 여기에서 IPinfo API 토큰을 검색 합니다.

설치 지침:

1. API 토큰 검색

여기에서 IPinfo API 토큰을 검색 합니다.

2. Azure AD 테넌트에서 Azure AAD(Active Directory) 애플리케이션을 만듭니다.

Azure AD 테넌트에서 Azure AAD(Active Directory) 애플리케이션을 만들고 테넌트 ID, 클라이언트 ID 및 클라이언트 비밀: 이 링크를 사용합니다.

3. AAD 애플리케이션에 Microsoft Sentinel 기여자 역할을 할당합니다.

"Microsoft Sentinel"이 추가되는 "Log Analytic 작업 영역"에 사용하는 것과 동일한 "리소스 그룹"에서 기여자(권한 있는 관리자 역할) 및 모니터링 메트릭 게시자(작업 함수 역할)에 방금 만든 AAD 애플리케이션을 할당합니다. 이 링크를 사용합니다.

4. 작업 영역 리소스 ID 가져오기

'리소스 ID' 속성 값이 있는 Log Analytic 작업 영역 -> 속성 블레이드를 사용합니다. '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}' 형식의 정규화된 resourceId입니다.

5. Azure 함수 배포

ARM Tempate를 사용하여 IPinfo 데이터 커넥터의 자동화된 배포에 사용합니다.

아래 Azure 배포 단추를 클릭합니다.

aka.ms

기본 구독, 리소스 그룹 및 위치를 선택합니다.

RESOURCE_ID, IPINFO_TOKEN, TENANT_ID, CLIENT_ID, CLIENT_SECRET 입력합니다.

Azure Functions 수동 배포

다음 단계별 지침을 사용하여 Azure Functions 사용하여 IPinfo 데이터 커넥터를 수동으로 배포합니다(Visual Studio Code 통해 배포).

1단계 - 함수 앱 배포

Azure 함수 앱 파일을 다운로드합니다. 로컬 개발 컴퓨터 Azure 함수 앱에 보관 파일을 추출합니다.

VSCode를 사용하여 고급 옵션을 사용하여 호스팅 함수 프리미엄 또는 App Service 계획을 사용하여 함수 앱을 만듭니다.

함수 앱 수동 배포 지침에 따라 VSCode를 사용하여 Azure Functions 앱을 배포합니다.

함수 앱을 성공적으로 배포한 후 구성을 위한 다음 단계를 수행합니다.

2단계 - 함수 앱 구성

함수 앱 구성에 대한 Azure 포털로 이동합니다.

함수 앱에서 함수 앱 이름을 선택하고 설정 -> 구성 또는 환경 변수를 선택합니다.

애플리케이션 설정 탭에서 + 새 애플리케이션 설정을 선택합니다.

각 문자열 값(대/소문자 구분)을 사용하여 다음 애플리케이션 설정을 개별적으로 추가합니다. RESOURCE_ID IPINFO_TOKEN TENANT_ID CLIENT_ID CLIENT_SECRET RETENTION_IN_DAYS TOTAL_RETENTION_IN_DAYS SCHEDULE LOCATION

모든 애플리케이션 설정이 입력되면 저장을 클릭합니다.

IPinfo Core 데이터 커넥터

지원:IPinfo

이 IPinfo 데이터 커넥터는 Azure 함수 앱을 설치하여 핵심 데이터 세트를 다운로드하고 Microsoft Sentinel 사용자 지정 로그 테이블에 삽입합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

Ipinfo_CORE_CL 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

Microsoft.Web/sites 권한: 함수 앱을 만들기 위한 Azure Functions 읽기 및 쓰기 권한이 필요합니다. 자세한 내용은 Azure Functions 참조하세요.

IPinfo API 토큰: 여기에서 IPinfo API 토큰을 검색 합니다.

설치 지침:

1. API 토큰 검색

여기에서 IPinfo API 토큰을 검색 합니다.

2. Azure AD 테넌트에서 Azure AAD(Active Directory) 애플리케이션을 만듭니다.

Azure AD 테넌트에서 Azure AAD(Active Directory) 애플리케이션을 만들고 테넌트 ID, 클라이언트 ID 및 클라이언트 비밀: 이 링크를 사용합니다.

3. AAD 애플리케이션에 Microsoft Sentinel 기여자 역할을 할당합니다.

"Microsoft Sentinel"이 추가되는 "Log Analytic 작업 영역"에 사용하는 것과 동일한 "리소스 그룹"에서 기여자(권한 있는 관리자 역할) 및 모니터링 메트릭 게시자(작업 함수 역할)에 방금 만든 AAD 애플리케이션을 할당합니다. 이 링크를 사용합니다.

4. 작업 영역 리소스 ID 가져오기

'리소스 ID' 속성 값이 있는 Log Analytic 작업 영역 -> 속성 블레이드를 사용합니다. '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}' 형식의 정규화된 resourceId입니다.

5. Azure 함수 배포

ARM Tempate를 사용하여 IPinfo 데이터 커넥터의 자동화된 배포에 사용합니다.

아래 Azure 배포 단추를 클릭합니다.

aka.ms

기본 구독, 리소스 그룹 및 위치를 선택합니다.

RESOURCE_ID, IPINFO_TOKEN, TENANT_ID, CLIENT_ID, CLIENT_SECRET 입력합니다.

Azure Functions 수동 배포

다음 단계별 지침을 사용하여 Azure Functions 사용하여 IPinfo 데이터 커넥터를 수동으로 배포합니다(Visual Studio Code 통해 배포).

1단계 - 함수 앱 배포

Azure 함수 앱 파일을 다운로드합니다. 로컬 개발 컴퓨터 Azure 함수 앱에 보관 파일을 추출합니다.

VSCode를 사용하여 고급 옵션을 사용하여 호스팅 함수 프리미엄 또는 App Service 계획을 사용하여 함수 앱을 만듭니다.

함수 앱 수동 배포 지침에 따라 VSCode를 사용하여 Azure Functions 앱을 배포합니다.

함수 앱을 성공적으로 배포한 후 구성을 위한 다음 단계를 수행합니다.

2단계 - 함수 앱 구성

함수 앱 구성에 대한 Azure 포털로 이동합니다.

함수 앱에서 함수 앱 이름을 선택하고 설정 -> 구성 또는 환경 변수를 선택합니다.

애플리케이션 설정 탭에서 + 새 애플리케이션 설정을 선택합니다.

각 문자열 값(대/소문자 구분)을 사용하여 다음 애플리케이션 설정을 개별적으로 추가합니다. RESOURCE_ID IPINFO_TOKEN TENANT_ID CLIENT_ID CLIENT_SECRET RETENTION_IN_DAYS TOTAL_RETENTION_IN_DAYS SCHEDULE LOCATION

모든 애플리케이션 설정이 입력되면 저장을 클릭합니다.

IPinfo Country ASN 데이터 커넥터

지원:IPinfo

이 IPinfo 데이터 커넥터는 Azure 함수 앱을 설치하여 country_asn 데이터 세트를 다운로드하고 Microsoft Sentinel 사용자 지정 로그 테이블에 삽입합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

Ipinfo_Country_CL 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

Microsoft.Web/sites 권한: 함수 앱을 만들기 위한 Azure Functions 읽기 및 쓰기 권한이 필요합니다. 자세한 내용은 Azure Functions 참조하세요.

IPinfo API 토큰: 여기에서 IPinfo API 토큰을 검색 합니다.

설치 지침:

1. API 토큰 검색

여기에서 IPinfo API 토큰을 검색 합니다.

2. Azure AD 테넌트에서 Azure AAD(Active Directory) 애플리케이션을 만듭니다.

Azure AD 테넌트에서 Azure AAD(Active Directory) 애플리케이션을 만들고 테넌트 ID, 클라이언트 ID 및 클라이언트 비밀: 이 링크를 사용합니다.

3. AAD 애플리케이션에 Microsoft Sentinel 기여자 역할을 할당합니다.

"Microsoft Sentinel"이 추가되는 "Log Analytic 작업 영역"에 사용하는 것과 동일한 "리소스 그룹"에서 기여자(권한 있는 관리자 역할) 및 모니터링 메트릭 게시자(작업 함수 역할)에 방금 만든 AAD 애플리케이션을 할당합니다. 이 링크를 사용합니다.

4. 작업 영역 리소스 ID 가져오기

'리소스 ID' 속성 값이 있는 Log Analytic 작업 영역 -> 속성 블레이드를 사용합니다. '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}' 형식의 정규화된 resourceId입니다.

5. Azure 함수 배포

ARM Tempate를 사용하여 IPinfo 데이터 커넥터의 자동화된 배포에 사용합니다.

아래 Azure 배포 단추를 클릭합니다.

aka.ms

기본 구독, 리소스 그룹 및 위치를 선택합니다.

RESOURCE_ID, IPINFO_TOKEN, TENANT_ID, CLIENT_ID, CLIENT_SECRET 입력합니다.

Azure Functions 수동 배포

다음 단계별 지침을 사용하여 Azure Functions 사용하여 IPinfo 데이터 커넥터를 수동으로 배포합니다(Visual Studio Code 통해 배포).

1단계 - 함수 앱 배포

Azure 함수 앱 파일을 다운로드합니다. 로컬 개발 컴퓨터 Azure 함수 앱에 보관 파일을 추출합니다.

VSCode를 사용하여 고급 옵션을 사용하여 호스팅 함수 프리미엄 또는 App Service 계획을 사용하여 함수 앱을 만듭니다.

함수 앱 수동 배포 지침에 따라 VSCode를 사용하여 Azure Functions 앱을 배포합니다.

함수 앱을 성공적으로 배포한 후 구성을 위한 다음 단계를 수행합니다.

2단계 - 함수 앱 구성

함수 앱 구성에 대한 Azure 포털로 이동합니다.

함수 앱에서 함수 앱 이름을 선택하고 설정 -> 구성 또는 환경 변수를 선택합니다.

애플리케이션 설정 탭에서 + 새 애플리케이션 설정을 선택합니다.

각 문자열 값(대/소문자 구분)을 사용하여 다음 애플리케이션 설정을 개별적으로 추가합니다. RESOURCE_ID IPINFO_TOKEN TENANT_ID CLIENT_ID CLIENT_SECRET RETENTION_IN_DAYS TOTAL_RETENTION_IN_DAYS SCHEDULE LOCATION

모든 애플리케이션 설정이 입력되면 저장을 클릭합니다.

IPinfo 도메인 데이터 커넥터

지원:IPinfo

이 IPinfo 데이터 커넥터는 Azure 함수 앱을 설치하여 standard_domain 데이터 세트를 다운로드하고 Microsoft Sentinel 사용자 지정 로그 테이블에 삽입합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

Ipinfo_Domain_CL 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

Microsoft.Web/sites 권한: 함수 앱을 만들기 위한 Azure Functions 읽기 및 쓰기 권한이 필요합니다. 자세한 내용은 Azure Functions 참조하세요.

IPinfo API 토큰: 여기에서 IPinfo API 토큰을 검색 합니다.

설치 지침:

1. API 토큰 검색

여기에서 IPinfo API 토큰을 검색 합니다.

2. Azure AD 테넌트에서 Azure AAD(Active Directory) 애플리케이션을 만듭니다.

Azure AD 테넌트에서 Azure AAD(Active Directory) 애플리케이션을 만들고 테넌트 ID, 클라이언트 ID 및 클라이언트 비밀: 이 링크를 사용합니다.

3. AAD 애플리케이션에 Microsoft Sentinel 기여자 역할을 할당합니다.

"Microsoft Sentinel"이 추가되는 "Log Analytic 작업 영역"에 사용하는 것과 동일한 "리소스 그룹"에서 기여자(권한 있는 관리자 역할) 및 모니터링 메트릭 게시자(작업 함수 역할)에 방금 만든 AAD 애플리케이션을 할당합니다. 이 링크를 사용합니다.

4. 작업 영역 리소스 ID 가져오기

'리소스 ID' 속성 값이 있는 Log Analytic 작업 영역 -> 속성 블레이드를 사용합니다. '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}' 형식의 정규화된 resourceId입니다.

5. Azure 함수 배포

ARM Tempate를 사용하여 IPinfo 데이터 커넥터의 자동화된 배포에 사용합니다.

아래 Azure 배포 단추를 클릭합니다.

aka.ms

기본 구독, 리소스 그룹 및 위치를 선택합니다.

RESOURCE_ID, IPINFO_TOKEN, TENANT_ID, CLIENT_ID, CLIENT_SECRET 입력합니다.

Azure Functions 수동 배포

다음 단계별 지침을 사용하여 Azure Functions 사용하여 IPinfo 데이터 커넥터를 수동으로 배포합니다(Visual Studio Code 통해 배포).

1단계 - 함수 앱 배포

Azure 함수 앱 파일을 다운로드합니다. 로컬 개발 컴퓨터 Azure 함수 앱에 보관 파일을 추출합니다.

VSCode를 사용하여 고급 옵션을 사용하여 호스팅 함수 프리미엄 또는 App Service 계획을 사용하여 함수 앱을 만듭니다.

함수 앱 수동 배포 지침에 따라 VSCode를 사용하여 Azure Functions 앱을 배포합니다.

함수 앱을 성공적으로 배포한 후 구성을 위한 다음 단계를 수행합니다.

2단계 - 함수 앱 구성

함수 앱 구성에 대한 Azure 포털로 이동합니다.

함수 앱에서 함수 앱 이름을 선택하고 설정 -> 구성 또는 환경 변수를 선택합니다.

애플리케이션 설정 탭에서 + 새 애플리케이션 설정을 선택합니다.

각 문자열 값(대/소문자 구분)을 사용하여 다음 애플리케이션 설정을 개별적으로 추가합니다. RESOURCE_ID IPINFO_TOKEN TENANT_ID CLIENT_ID CLIENT_SECRET RETENTION_IN_DAYS TOTAL_RETENTION_IN_DAYS SCHEDULE LOCATION

모든 애플리케이션 설정이 입력되면 저장을 클릭합니다.

IPinfo Iplocation 데이터 커넥터

지원:IPinfo

이 IPinfo 데이터 커넥터는 Azure 함수 앱을 설치하여 standard_location 데이터 세트를 다운로드하고 Microsoft Sentinel 사용자 지정 로그 테이블에 삽입합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

Ipinfo_Location_CL 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

Microsoft.Web/sites 권한: 함수 앱을 만들기 위한 Azure Functions 읽기 및 쓰기 권한이 필요합니다. 자세한 내용은 Azure Functions 참조하세요.

IPinfo API 토큰: 여기에서 IPinfo API 토큰을 검색 합니다.

설치 지침:

1. API 토큰 검색

여기에서 IPinfo API 토큰을 검색 합니다.

2. Azure AD 테넌트에서 Azure AAD(Active Directory) 애플리케이션을 만듭니다.

Azure AD 테넌트에서 Azure AAD(Active Directory) 애플리케이션을 만들고 테넌트 ID, 클라이언트 ID 및 클라이언트 비밀: 이 링크를 사용합니다.

3. AAD 애플리케이션에 Microsoft Sentinel 기여자 역할을 할당합니다.

"Microsoft Sentinel"이 추가되는 "Log Analytic 작업 영역"에 사용하는 것과 동일한 "리소스 그룹"에서 기여자(권한 있는 관리자 역할) 및 모니터링 메트릭 게시자(작업 함수 역할)에 방금 만든 AAD 애플리케이션을 할당합니다. 이 링크를 사용합니다.

4. 작업 영역 리소스 ID 가져오기

'리소스 ID' 속성 값이 있는 Log Analytic 작업 영역 -> 속성 블레이드를 사용합니다. '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}' 형식의 정규화된 resourceId입니다.

5. Azure 함수 배포

ARM Tempate를 사용하여 IPinfo 데이터 커넥터의 자동화된 배포에 사용합니다.

아래 Azure 배포 단추를 클릭합니다.

aka.ms

기본 구독, 리소스 그룹 및 위치를 선택합니다.

RESOURCE_ID, IPINFO_TOKEN, TENANT_ID, CLIENT_ID, CLIENT_SECRET 입력합니다.

Azure Functions 수동 배포

다음 단계별 지침을 사용하여 Azure Functions 사용하여 IPinfo 데이터 커넥터를 수동으로 배포합니다(Visual Studio Code 통해 배포).

1단계 - 함수 앱 배포

Azure 함수 앱 파일을 다운로드합니다. 로컬 개발 컴퓨터 Azure 함수 앱에 보관 파일을 추출합니다.

VSCode를 사용하여 고급 옵션을 사용하여 호스팅 함수 프리미엄 또는 App Service 계획을 사용하여 함수 앱을 만듭니다.

함수 앱 수동 배포 지침에 따라 VSCode를 사용하여 Azure Functions 앱을 배포합니다.

함수 앱을 성공적으로 배포한 후 구성을 위한 다음 단계를 수행합니다.

2단계 - 함수 앱 구성

함수 앱 구성에 대한 Azure 포털로 이동합니다.

함수 앱에서 함수 앱 이름을 선택하고 설정 -> 구성 또는 환경 변수를 선택합니다.

애플리케이션 설정 탭에서 + 새 애플리케이션 설정을 선택합니다.

각 문자열 값(대/소문자 구분)을 사용하여 다음 애플리케이션 설정을 개별적으로 추가합니다. RESOURCE_ID IPINFO_TOKEN TENANT_ID CLIENT_ID CLIENT_SECRET RETENTION_IN_DAYS TOTAL_RETENTION_IN_DAYS SCHEDULE LOCATION

모든 애플리케이션 설정이 입력되면 저장을 클릭합니다.

IPinfo Iplocation 확장 데이터 커넥터

지원:IPinfo

이 IPinfo 데이터 커넥터는 Azure 함수 앱을 설치하여 standard_location_extended 데이터 세트를 다운로드하고 Microsoft Sentinel 사용자 지정 로그 테이블에 삽입합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

Ipinfo_Location_extended_CL 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

Microsoft.Web/sites 권한: 함수 앱을 만들기 위한 Azure Functions 읽기 및 쓰기 권한이 필요합니다. 자세한 내용은 Azure Functions 참조하세요.

IPinfo API 토큰: 여기에서 IPinfo API 토큰을 검색 합니다.

설치 지침:

1. API 토큰 검색

여기에서 IPinfo API 토큰을 검색 합니다.

2. Azure AD 테넌트에서 Azure AAD(Active Directory) 애플리케이션을 만듭니다.

Azure AD 테넌트에서 Azure AAD(Active Directory) 애플리케이션을 만들고 테넌트 ID, 클라이언트 ID 및 클라이언트 비밀: 이 링크를 사용합니다.

3. AAD 애플리케이션에 Microsoft Sentinel 기여자 역할을 할당합니다.

"Microsoft Sentinel"이 추가되는 "Log Analytic 작업 영역"에 사용하는 것과 동일한 "리소스 그룹"에서 기여자(권한 있는 관리자 역할) 및 모니터링 메트릭 게시자(작업 함수 역할)에 방금 만든 AAD 애플리케이션을 할당합니다. 이 링크를 사용합니다.

4. 작업 영역 리소스 ID 가져오기

'리소스 ID' 속성 값이 있는 Log Analytic 작업 영역 -> 속성 블레이드를 사용합니다. '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}' 형식의 정규화된 resourceId입니다.

5. Azure 함수 배포

ARM Tempate를 사용하여 IPinfo 데이터 커넥터의 자동화된 배포에 사용합니다.

아래 Azure 배포 단추를 클릭합니다.

aka.ms

기본 구독, 리소스 그룹 및 위치를 선택합니다.

RESOURCE_ID, IPINFO_TOKEN, TENANT_ID, CLIENT_ID, CLIENT_SECRET 입력합니다.

Azure Functions 수동 배포

다음 단계별 지침을 사용하여 Azure Functions 사용하여 IPinfo 데이터 커넥터를 수동으로 배포합니다(Visual Studio Code 통해 배포).

1단계 - 함수 앱 배포

Azure 함수 앱 파일을 다운로드합니다. 로컬 개발 컴퓨터 Azure 함수 앱에 보관 파일을 추출합니다.

VSCode를 사용하여 고급 옵션을 사용하여 호스팅 함수 프리미엄 또는 App Service 계획을 사용하여 함수 앱을 만듭니다.

함수 앱 수동 배포 지침에 따라 VSCode를 사용하여 Azure Functions 앱을 배포합니다.

함수 앱을 성공적으로 배포한 후 구성을 위한 다음 단계를 수행합니다.

2단계 - 함수 앱 구성

함수 앱 구성에 대한 Azure 포털로 이동합니다.

함수 앱에서 함수 앱 이름을 선택하고 설정 -> 구성 또는 환경 변수를 선택합니다.

애플리케이션 설정 탭에서 + 새 애플리케이션 설정을 선택합니다.

각 문자열 값(대/소문자 구분)을 사용하여 다음 애플리케이션 설정을 개별적으로 추가합니다. RESOURCE_ID IPINFO_TOKEN TENANT_ID CLIENT_ID CLIENT_SECRET RETENTION_IN_DAYS TOTAL_RETENTION_IN_DAYS SCHEDULE LOCATION

모든 애플리케이션 설정이 입력되면 저장을 클릭합니다.

IPinfo Plus 데이터 커넥터

지원:IPinfo

이 IPinfo 데이터 커넥터는 Azure 함수 앱을 설치하여 더하기 데이터 세트를 다운로드하고 Microsoft Sentinel 사용자 지정 로그 테이블에 삽입합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

Ipinfo_PLUS_CL 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

Microsoft.Web/sites 권한: 함수 앱을 만들기 위한 Azure Functions 읽기 및 쓰기 권한이 필요합니다. 자세한 내용은 Azure Functions 참조하세요.

IPinfo API 토큰: 여기에서 IPinfo API 토큰을 검색 합니다.

설치 지침:

1. API 토큰 검색

여기에서 IPinfo API 토큰을 검색 합니다.

2. Azure AD 테넌트에서 Azure AAD(Active Directory) 애플리케이션을 만듭니다.

Azure AD 테넌트에서 Azure AAD(Active Directory) 애플리케이션을 만들고 테넌트 ID, 클라이언트 ID 및 클라이언트 비밀: 이 링크를 사용합니다.

3. AAD 애플리케이션에 Microsoft Sentinel 기여자 역할을 할당합니다.

"Microsoft Sentinel"이 추가되는 "Log Analytic 작업 영역"에 사용하는 것과 동일한 "리소스 그룹"에서 기여자(권한 있는 관리자 역할) 및 모니터링 메트릭 게시자(작업 함수 역할)에 방금 만든 AAD 애플리케이션을 할당합니다. 이 링크를 사용합니다.

4. 작업 영역 리소스 ID 가져오기

'리소스 ID' 속성 값이 있는 Log Analytic 작업 영역 -> 속성 블레이드를 사용합니다. '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}' 형식의 정규화된 resourceId입니다.

5. Azure 함수 배포

ARM Tempate를 사용하여 IPinfo 데이터 커넥터의 자동화된 배포에 사용합니다.

아래 Azure 배포 단추를 클릭합니다.

aka.ms

기본 구독, 리소스 그룹 및 위치를 선택합니다.

RESOURCE_ID, IPINFO_TOKEN, TENANT_ID, CLIENT_ID, CLIENT_SECRET 입력합니다.

Azure Functions 수동 배포

다음 단계별 지침을 사용하여 Azure Functions 사용하여 IPinfo 데이터 커넥터를 수동으로 배포합니다(Visual Studio Code 통해 배포).

1단계 - 함수 앱 배포

Azure 함수 앱 파일을 다운로드합니다. 로컬 개발 컴퓨터 Azure 함수 앱에 보관 파일을 추출합니다.

VSCode를 사용하여 고급 옵션을 사용하여 호스팅 함수 프리미엄 또는 App Service 계획을 사용하여 함수 앱을 만듭니다.

함수 앱 수동 배포 지침에 따라 VSCode를 사용하여 Azure Functions 앱을 배포합니다.

함수 앱을 성공적으로 배포한 후 구성을 위한 다음 단계를 수행합니다.

2단계 - 함수 앱 구성

함수 앱 구성에 대한 Azure 포털로 이동합니다.

함수 앱에서 함수 앱 이름을 선택하고 설정 -> 구성 또는 환경 변수를 선택합니다.

애플리케이션 설정 탭에서 + 새 애플리케이션 설정을 선택합니다.

각 문자열 값(대/소문자 구분)을 사용하여 다음 애플리케이션 설정을 개별적으로 추가합니다. RESOURCE_ID IPINFO_TOKEN TENANT_ID CLIENT_ID CLIENT_SECRET RETENTION_IN_DAYS TOTAL_RETENTION_IN_DAYS SCHEDULE LOCATION

모든 애플리케이션 설정이 입력되면 저장을 클릭합니다.

IPinfo 개인 정보 데이터 커넥터

지원:IPinfo

이 IPinfo 데이터 커넥터는 Azure 함수 앱을 설치하여 standard_privacy 데이터 세트를 다운로드하고 Microsoft Sentinel 사용자 지정 로그 테이블에 삽입합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

Ipinfo_Privacy_CL 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

Microsoft.Web/sites 권한: 함수 앱을 만들기 위한 Azure Functions 읽기 및 쓰기 권한이 필요합니다. 자세한 내용은 Azure Functions 참조하세요.

IPinfo API 토큰: 여기에서 IPinfo API 토큰을 검색 합니다.

설치 지침:

1. API 토큰 검색

여기에서 IPinfo API 토큰을 검색 합니다.

2. Azure AD 테넌트에서 Azure AAD(Active Directory) 애플리케이션을 만듭니다.

Azure AD 테넌트에서 Azure AAD(Active Directory) 애플리케이션을 만들고 테넌트 ID, 클라이언트 ID 및 클라이언트 비밀: 이 링크를 사용합니다.

3. AAD 애플리케이션에 Microsoft Sentinel 기여자 역할을 할당합니다.

"Microsoft Sentinel"이 추가되는 "Log Analytic 작업 영역"에 사용하는 것과 동일한 "리소스 그룹"에서 기여자(권한 있는 관리자 역할) 및 모니터링 메트릭 게시자(작업 함수 역할)에 방금 만든 AAD 애플리케이션을 할당합니다. 이 링크를 사용합니다.

4. 작업 영역 리소스 ID 가져오기

'리소스 ID' 속성 값이 있는 Log Analytic 작업 영역 -> 속성 블레이드를 사용합니다. '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}' 형식의 정규화된 resourceId입니다.

5. Azure 함수 배포

ARM Tempate를 사용하여 IPinfo 데이터 커넥터의 자동화된 배포에 사용합니다.

아래 Azure 배포 단추를 클릭합니다.

aka.ms

기본 구독, 리소스 그룹 및 위치를 선택합니다.

RESOURCE_ID, IPINFO_TOKEN, TENANT_ID, CLIENT_ID, CLIENT_SECRET 입력합니다.

Azure Functions 수동 배포

다음 단계별 지침을 사용하여 Azure Functions 사용하여 IPinfo 데이터 커넥터를 수동으로 배포합니다(Visual Studio Code 통해 배포).

1단계 - 함수 앱 배포

Azure 함수 앱 파일을 다운로드합니다. 로컬 개발 컴퓨터 Azure 함수 앱에 보관 파일을 추출합니다.

VSCode를 사용하여 고급 옵션을 사용하여 호스팅 함수 프리미엄 또는 App Service 계획을 사용하여 함수 앱을 만듭니다.

함수 앱 수동 배포 지침에 따라 VSCode를 사용하여 Azure Functions 앱을 배포합니다.

함수 앱을 성공적으로 배포한 후 구성을 위한 다음 단계를 수행합니다.

2단계 - 함수 앱 구성

함수 앱 구성에 대한 Azure 포털로 이동합니다.

함수 앱에서 함수 앱 이름을 선택하고 설정 -> 구성 또는 환경 변수를 선택합니다.

애플리케이션 설정 탭에서 + 새 애플리케이션 설정을 선택합니다.

각 문자열 값(대/소문자 구분)을 사용하여 다음 애플리케이션 설정을 개별적으로 추가합니다. RESOURCE_ID IPINFO_TOKEN TENANT_ID CLIENT_ID CLIENT_SECRET RETENTION_IN_DAYS TOTAL_RETENTION_IN_DAYS SCHEDULE LOCATION

모든 애플리케이션 설정이 입력되면 저장을 클릭합니다.

IPinfo 개인 정보 확장 데이터 커넥터

지원:IPinfo

이 IPinfo 데이터 커넥터는 Azure 함수 앱을 설치하여 standard_privacy 데이터 세트를 다운로드하고 Microsoft Sentinel 사용자 지정 로그 테이블에 삽입합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

Ipinfo_Privacy_extended_CL 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

Microsoft.Web/sites 권한: 함수 앱을 만들기 위한 Azure Functions 읽기 및 쓰기 권한이 필요합니다. 자세한 내용은 Azure Functions 참조하세요.

IPinfo API 토큰: 여기에서 IPinfo API 토큰을 검색 합니다.

설치 지침:

1. API 토큰 검색

여기에서 IPinfo API 토큰을 검색 합니다.

2. Azure AD 테넌트에서 Azure AAD(Active Directory) 애플리케이션을 만듭니다.

Azure AD 테넌트에서 Azure AAD(Active Directory) 애플리케이션을 만들고 테넌트 ID, 클라이언트 ID 및 클라이언트 비밀: 이 링크를 사용합니다.

3. AAD 애플리케이션에 Microsoft Sentinel 기여자 역할을 할당합니다.

"Microsoft Sentinel"이 추가되는 "Log Analytic 작업 영역"에 사용하는 것과 동일한 "리소스 그룹"에서 기여자(권한 있는 관리자 역할) 및 모니터링 메트릭 게시자(작업 함수 역할)에 방금 만든 AAD 애플리케이션을 할당합니다. 이 링크를 사용합니다.

4. 작업 영역 리소스 ID 가져오기

'리소스 ID' 속성 값이 있는 Log Analytic 작업 영역 -> 속성 블레이드를 사용합니다. '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}' 형식의 정규화된 resourceId입니다.

5. Azure 함수 배포

ARM Tempate를 사용하여 IPinfo 데이터 커넥터의 자동화된 배포에 사용합니다.

아래 Azure 배포 단추를 클릭합니다.

aka.ms

기본 구독, 리소스 그룹 및 위치를 선택합니다.

RESOURCE_ID, IPINFO_TOKEN, TENANT_ID, CLIENT_ID, CLIENT_SECRET 입력합니다.

Azure Functions 수동 배포

다음 단계별 지침을 사용하여 Azure Functions 사용하여 IPinfo 데이터 커넥터를 수동으로 배포합니다(Visual Studio Code 통해 배포).

1단계 - 함수 앱 배포

Azure 함수 앱 파일을 다운로드합니다. 로컬 개발 컴퓨터 Azure 함수 앱에 보관 파일을 추출합니다.

VSCode를 사용하여 고급 옵션을 사용하여 호스팅 함수 프리미엄 또는 App Service 계획을 사용하여 함수 앱을 만듭니다.

함수 앱 수동 배포 지침에 따라 VSCode를 사용하여 Azure Functions 앱을 배포합니다.

함수 앱을 성공적으로 배포한 후 구성을 위한 다음 단계를 수행합니다.

2단계 - 함수 앱 구성

함수 앱 구성에 대한 Azure 포털로 이동합니다.

함수 앱에서 함수 앱 이름을 선택하고 설정 -> 구성 또는 환경 변수를 선택합니다.

애플리케이션 설정 탭에서 + 새 애플리케이션 설정을 선택합니다.

각 문자열 값(대/소문자 구분)을 사용하여 다음 애플리케이션 설정을 개별적으로 추가합니다. RESOURCE_ID IPINFO_TOKEN TENANT_ID CLIENT_ID CLIENT_SECRET RETENTION_IN_DAYS TOTAL_RETENTION_IN_DAYS SCHEDULE LOCATION

모든 애플리케이션 설정이 입력되면 저장을 클릭합니다.

IPinfo ResProxy 데이터 커넥터

지원:IPinfo

이 IPinfo 데이터 커넥터는 Azure 함수 앱을 설치하여 ResProxy 데이터 세트를 다운로드하고 Microsoft Sentinel 사용자 지정 로그 테이블에 삽입합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

Ipinfo_RESIDENTIAL_PROXY_CL 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

Microsoft.Web/sites 권한: 함수 앱을 만들기 위한 Azure Functions 읽기 및 쓰기 권한이 필요합니다. 자세한 내용은 Azure Functions 참조하세요.

IPinfo API 토큰: 여기에서 IPinfo API 토큰을 검색 합니다.

설치 지침:

1. API 토큰 검색

여기에서 IPinfo API 토큰을 검색 합니다.

2. Azure AD 테넌트에서 Azure AAD(Active Directory) 애플리케이션을 만듭니다.

Azure AD 테넌트에서 Azure AAD(Active Directory) 애플리케이션을 만들고 테넌트 ID, 클라이언트 ID 및 클라이언트 비밀: 이 링크를 사용합니다.

3. AAD 애플리케이션에 Microsoft Sentinel 기여자 역할을 할당합니다.

"Microsoft Sentinel"이 추가되는 "Log Analytic 작업 영역"에 사용하는 것과 동일한 "리소스 그룹"에서 기여자(권한 있는 관리자 역할) 및 모니터링 메트릭 게시자(작업 함수 역할)에 방금 만든 AAD 애플리케이션을 할당합니다. 이 링크를 사용합니다.

4. 작업 영역 리소스 ID 가져오기

'리소스 ID' 속성 값이 있는 Log Analytic 작업 영역 -> 속성 블레이드를 사용합니다. '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}' 형식의 정규화된 resourceId입니다.

5. Azure 함수 배포

ARM Tempate를 사용하여 IPinfo 데이터 커넥터의 자동화된 배포에 사용합니다.

아래 Azure 배포 단추를 클릭합니다.

aka.ms

기본 구독, 리소스 그룹 및 위치를 선택합니다.

RESOURCE_ID, IPINFO_TOKEN, TENANT_ID, CLIENT_ID, CLIENT_SECRET 입력합니다.

Azure Functions 수동 배포

다음 단계별 지침을 사용하여 Azure Functions 사용하여 IPinfo 데이터 커넥터를 수동으로 배포합니다(Visual Studio Code 통해 배포).

1단계 - 함수 앱 배포

Azure 함수 앱 파일을 다운로드합니다. 로컬 개발 컴퓨터 Azure 함수 앱에 보관 파일을 추출합니다.

VSCode를 사용하여 고급 옵션을 사용하여 호스팅 함수 프리미엄 또는 App Service 계획을 사용하여 함수 앱을 만듭니다.

함수 앱 수동 배포 지침에 따라 VSCode를 사용하여 Azure Functions 앱을 배포합니다.

함수 앱을 성공적으로 배포한 후 구성을 위한 다음 단계를 수행합니다.

2단계 - 함수 앱 구성

함수 앱 구성에 대한 Azure 포털로 이동합니다.

함수 앱에서 함수 앱 이름을 선택하고 설정 -> 구성 또는 환경 변수를 선택합니다.

애플리케이션 설정 탭에서 + 새 애플리케이션 설정을 선택합니다.

각 문자열 값(대/소문자 구분)을 사용하여 다음 애플리케이션 설정을 개별적으로 추가합니다. RESOURCE_ID IPINFO_TOKEN TENANT_ID CLIENT_ID CLIENT_SECRET RETENTION_IN_DAYS TOTAL_RETENTION_IN_DAYS SCHEDULE LOCATION

모든 애플리케이션 설정이 입력되면 저장을 클릭합니다.

IPinfo RIRWHOIS 데이터 커넥터

지원:IPinfo

이 IPinfo 데이터 커넥터는 RIRWHOIS 데이터 세트를 다운로드하고 Microsoft Sentinel 사용자 지정 로그 테이블에 삽입하는 Azure 함수 앱을 설치합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

Ipinfo_RIRWHOIS_CL 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

Microsoft.Web/sites 권한: 함수 앱을 만들기 위한 Azure Functions 읽기 및 쓰기 권한이 필요합니다. 자세한 내용은 Azure Functions 참조하세요.

IPinfo API 토큰: 여기에서 IPinfo API 토큰을 검색 합니다.

설치 지침:

1. API 토큰 검색

여기에서 IPinfo API 토큰을 검색 합니다.

2. Azure AD 테넌트에서 Azure AAD(Active Directory) 애플리케이션을 만듭니다.

Azure AD 테넌트에서 Azure AAD(Active Directory) 애플리케이션을 만들고 테넌트 ID, 클라이언트 ID 및 클라이언트 비밀: 이 링크를 사용합니다.

3. AAD 애플리케이션에 Microsoft Sentinel 기여자 역할을 할당합니다.

"Microsoft Sentinel"이 추가되는 "Log Analytic 작업 영역"에 사용하는 것과 동일한 "리소스 그룹"에서 기여자(권한 있는 관리자 역할) 및 모니터링 메트릭 게시자(작업 함수 역할)에 방금 만든 AAD 애플리케이션을 할당합니다. 이 링크를 사용합니다.

4. 작업 영역 리소스 ID 가져오기

'리소스 ID' 속성 값이 있는 Log Analytic 작업 영역 -> 속성 블레이드를 사용합니다. '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}' 형식의 정규화된 resourceId입니다.

5. Azure 함수 배포

ARM Tempate를 사용하여 IPinfo 데이터 커넥터의 자동화된 배포에 사용합니다.

아래 Azure 배포 단추를 클릭합니다.

aka.ms

기본 구독, 리소스 그룹 및 위치를 선택합니다.

RESOURCE_ID, IPINFO_TOKEN, TENANT_ID, CLIENT_ID, CLIENT_SECRET 입력합니다.

Azure Functions 수동 배포

다음 단계별 지침을 사용하여 Azure Functions 사용하여 IPinfo 데이터 커넥터를 수동으로 배포합니다(Visual Studio Code 통해 배포).

1단계 - 함수 앱 배포

Azure 함수 앱 파일을 다운로드합니다. 로컬 개발 컴퓨터 Azure 함수 앱에 보관 파일을 추출합니다.

VSCode를 사용하여 고급 옵션을 사용하여 호스팅 함수 프리미엄 또는 App Service 계획을 사용하여 함수 앱을 만듭니다.

함수 앱 수동 배포 지침에 따라 VSCode를 사용하여 Azure Functions 앱을 배포합니다.

함수 앱을 성공적으로 배포한 후 구성을 위한 다음 단계를 수행합니다.

2단계 - 함수 앱 구성

함수 앱 구성에 대한 Azure 포털로 이동합니다.

함수 앱에서 함수 앱 이름을 선택하고 설정 -> 구성 또는 환경 변수를 선택합니다.

애플리케이션 설정 탭에서 + 새 애플리케이션 설정을 선택합니다.

각 문자열 값(대/소문자 구분)을 사용하여 다음 애플리케이션 설정을 개별적으로 추가합니다. RESOURCE_ID IPINFO_TOKEN TENANT_ID CLIENT_ID CLIENT_SECRET RETENTION_IN_DAYS TOTAL_RETENTION_IN_DAYS SCHEDULE LOCATION

모든 애플리케이션 설정이 입력되면 저장을 클릭합니다.

IPinfo RWHOIS 데이터 커넥터

지원:IPinfo

이 IPinfo 데이터 커넥터는 Azure 함수 앱을 설치하여 RWHOIS 데이터 세트를 다운로드하고 Microsoft Sentinel 사용자 지정 로그 테이블에 삽입합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

Ipinfo_RWHOIS_CL 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

Microsoft.Web/sites 권한: 함수 앱을 만들기 위한 Azure Functions 읽기 및 쓰기 권한이 필요합니다. 자세한 내용은 Azure Functions 참조하세요.

IPinfo API 토큰: 여기에서 IPinfo API 토큰을 검색 합니다.

설치 지침:

1. API 토큰 검색

여기에서 IPinfo API 토큰을 검색 합니다.

2. Azure AD 테넌트에서 Azure AAD(Active Directory) 애플리케이션을 만듭니다.

Azure AD 테넌트에서 Azure AAD(Active Directory) 애플리케이션을 만들고 테넌트 ID, 클라이언트 ID 및 클라이언트 비밀: 이 링크를 사용합니다.

3. AAD 애플리케이션에 Microsoft Sentinel 기여자 역할을 할당합니다.

"Microsoft Sentinel"이 추가되는 "Log Analytic 작업 영역"에 사용하는 것과 동일한 "리소스 그룹"에서 기여자(권한 있는 관리자 역할) 및 모니터링 메트릭 게시자(작업 함수 역할)에 방금 만든 AAD 애플리케이션을 할당합니다. 이 링크를 사용합니다.

4. 작업 영역 리소스 ID 가져오기

'리소스 ID' 속성 값이 있는 Log Analytic 작업 영역 -> 속성 블레이드를 사용합니다. '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}' 형식의 정규화된 resourceId입니다.

5. Azure 함수 배포

ARM Tempate를 사용하여 IPinfo 데이터 커넥터의 자동화된 배포에 사용합니다.

아래 Azure 배포 단추를 클릭합니다.

aka.ms

기본 구독, 리소스 그룹 및 위치를 선택합니다.

RESOURCE_ID, IPINFO_TOKEN, TENANT_ID, CLIENT_ID, CLIENT_SECRET 입력합니다.

Azure Functions 수동 배포

다음 단계별 지침을 사용하여 Azure Functions 사용하여 IPinfo 데이터 커넥터를 수동으로 배포합니다(Visual Studio Code 통해 배포).

1단계 - 함수 앱 배포

Azure 함수 앱 파일을 다운로드합니다. 로컬 개발 컴퓨터 Azure 함수 앱에 보관 파일을 추출합니다.

VSCode를 사용하여 고급 옵션을 사용하여 호스팅 함수 프리미엄 또는 App Service 계획을 사용하여 함수 앱을 만듭니다.

함수 앱 수동 배포 지침에 따라 VSCode를 사용하여 Azure Functions 앱을 배포합니다.

함수 앱을 성공적으로 배포한 후 구성을 위한 다음 단계를 수행합니다.

2단계 - 함수 앱 구성

함수 앱 구성에 대한 Azure 포털로 이동합니다.

함수 앱에서 함수 앱 이름을 선택하고 설정 -> 구성 또는 환경 변수를 선택합니다.

애플리케이션 설정 탭에서 + 새 애플리케이션 설정을 선택합니다.

각 문자열 값(대/소문자 구분)을 사용하여 다음 애플리케이션 설정을 개별적으로 추가합니다. RESOURCE_ID IPINFO_TOKEN TENANT_ID CLIENT_ID CLIENT_SECRET RETENTION_IN_DAYS TOTAL_RETENTION_IN_DAYS SCHEDULE LOCATION

모든 애플리케이션 설정이 입력되면 저장을 클릭합니다.

IPinfo WHOIS ASN 데이터 커넥터

지원:IPinfo

이 IPinfo 데이터 커넥터는 Azure 함수 앱을 설치하여 WHOIS_ASN 데이터 세트를 다운로드하고 Microsoft Sentinel 사용자 지정 로그 테이블에 삽입합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

Ipinfo_WHOIS_ASN_CL 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

Microsoft.Web/sites 권한: 함수 앱을 만들기 위한 Azure Functions 읽기 및 쓰기 권한이 필요합니다. 자세한 내용은 Azure Functions 참조하세요.

IPinfo API 토큰: 여기에서 IPinfo API 토큰을 검색 합니다.

설치 지침:

1. API 토큰 검색

여기에서 IPinfo API 토큰을 검색 합니다.

2. Azure AD 테넌트에서 Azure AAD(Active Directory) 애플리케이션을 만듭니다.

Azure AD 테넌트에서 Azure AAD(Active Directory) 애플리케이션을 만들고 테넌트 ID, 클라이언트 ID 및 클라이언트 비밀: 이 링크를 사용합니다.

3. AAD 애플리케이션에 Microsoft Sentinel 기여자 역할을 할당합니다.

"Microsoft Sentinel"이 추가되는 "Log Analytic 작업 영역"에 사용하는 것과 동일한 "리소스 그룹"에서 기여자(권한 있는 관리자 역할) 및 모니터링 메트릭 게시자(작업 함수 역할)에 방금 만든 AAD 애플리케이션을 할당합니다. 이 링크를 사용합니다.

4. 작업 영역 리소스 ID 가져오기

'리소스 ID' 속성 값이 있는 Log Analytic 작업 영역 -> 속성 블레이드를 사용합니다. '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}' 형식의 정규화된 resourceId입니다.

5. Azure 함수 배포

ARM Tempate를 사용하여 IPinfo 데이터 커넥터의 자동화된 배포에 사용합니다.

아래 Azure 배포 단추를 클릭합니다.

aka.ms

기본 구독, 리소스 그룹 및 위치를 선택합니다.

RESOURCE_ID, IPINFO_TOKEN, TENANT_ID, CLIENT_ID, CLIENT_SECRET 입력합니다.

Azure Functions 수동 배포

다음 단계별 지침을 사용하여 Azure Functions 사용하여 IPinfo 데이터 커넥터를 수동으로 배포합니다(Visual Studio Code 통해 배포).

1단계 - 함수 앱 배포

Azure 함수 앱 파일을 다운로드합니다. 로컬 개발 컴퓨터 Azure 함수 앱에 보관 파일을 추출합니다.

VSCode를 사용하여 고급 옵션을 사용하여 호스팅 함수 프리미엄 또는 App Service 계획을 사용하여 함수 앱을 만듭니다.

함수 앱 수동 배포 지침에 따라 VSCode를 사용하여 Azure Functions 앱을 배포합니다.

함수 앱을 성공적으로 배포한 후 구성을 위한 다음 단계를 수행합니다.

2단계 - 함수 앱 구성

함수 앱 구성에 대한 Azure 포털로 이동합니다.

함수 앱에서 함수 앱 이름을 선택하고 설정 -> 구성 또는 환경 변수를 선택합니다.

애플리케이션 설정 탭에서 + 새 애플리케이션 설정을 선택합니다.

각 문자열 값(대/소문자 구분)을 사용하여 다음 애플리케이션 설정을 개별적으로 추가합니다. RESOURCE_ID IPINFO_TOKEN TENANT_ID CLIENT_ID CLIENT_SECRET RETENTION_IN_DAYS TOTAL_RETENTION_IN_DAYS SCHEDULE LOCATION

모든 애플리케이션 설정이 입력되면 저장을 클릭합니다.

IPinfo WHOIS MNT 데이터 커넥터

지원:IPinfo

이 IPinfo 데이터 커넥터는 Azure 함수 앱을 설치하여 WHOIS_MNT 데이터 세트를 다운로드하고 Microsoft Sentinel 사용자 지정 로그 테이블에 삽입합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

Ipinfo_WHOIS_MNT_CL 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

Microsoft.Web/sites 권한: 함수 앱을 만들기 위한 Azure Functions 읽기 및 쓰기 권한이 필요합니다. 자세한 내용은 Azure Functions 참조하세요.

IPinfo API 토큰: 여기에서 IPinfo API 토큰을 검색 합니다.

설치 지침:

1. API 토큰 검색

여기에서 IPinfo API 토큰을 검색 합니다.

2. Azure AD 테넌트에서 Azure AAD(Active Directory) 애플리케이션을 만듭니다.

Azure AD 테넌트에서 Azure AAD(Active Directory) 애플리케이션을 만들고 테넌트 ID, 클라이언트 ID 및 클라이언트 비밀: 이 링크를 사용합니다.

3. AAD 애플리케이션에 Microsoft Sentinel 기여자 역할을 할당합니다.

"Microsoft Sentinel"이 추가되는 "Log Analytic 작업 영역"에 사용하는 것과 동일한 "리소스 그룹"에서 기여자(권한 있는 관리자 역할) 및 모니터링 메트릭 게시자(작업 함수 역할)에 방금 만든 AAD 애플리케이션을 할당합니다. 이 링크를 사용합니다.

4. 작업 영역 리소스 ID 가져오기

'리소스 ID' 속성 값이 있는 Log Analytic 작업 영역 -> 속성 블레이드를 사용합니다. '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}' 형식의 정규화된 resourceId입니다.

5. Azure 함수 배포

ARM Tempate를 사용하여 IPinfo 데이터 커넥터의 자동화된 배포에 사용합니다.

아래 Azure 배포 단추를 클릭합니다.

aka.ms

기본 구독, 리소스 그룹 및 위치를 선택합니다.

RESOURCE_ID, IPINFO_TOKEN, TENANT_ID, CLIENT_ID, CLIENT_SECRET 입력합니다.

Azure Functions 수동 배포

다음 단계별 지침을 사용하여 Azure Functions 사용하여 IPinfo 데이터 커넥터를 수동으로 배포합니다(Visual Studio Code 통해 배포).

1단계 - 함수 앱 배포

Azure 함수 앱 파일을 다운로드합니다. 로컬 개발 컴퓨터 Azure 함수 앱에 보관 파일을 추출합니다.

VSCode를 사용하여 고급 옵션을 사용하여 호스팅 함수 프리미엄 또는 App Service 계획을 사용하여 함수 앱을 만듭니다.

함수 앱 수동 배포 지침에 따라 VSCode를 사용하여 Azure Functions 앱을 배포합니다.

함수 앱을 성공적으로 배포한 후 구성을 위한 다음 단계를 수행합니다.

2단계 - 함수 앱 구성

함수 앱 구성에 대한 Azure 포털로 이동합니다.

함수 앱에서 함수 앱 이름을 선택하고 설정 -> 구성 또는 환경 변수를 선택합니다.

애플리케이션 설정 탭에서 + 새 애플리케이션 설정을 선택합니다.

각 문자열 값(대/소문자 구분)을 사용하여 다음 애플리케이션 설정을 개별적으로 추가합니다. RESOURCE_ID IPINFO_TOKEN TENANT_ID CLIENT_ID CLIENT_SECRET RETENTION_IN_DAYS TOTAL_RETENTION_IN_DAYS SCHEDULE LOCATION

모든 애플리케이션 설정이 입력되면 저장을 클릭합니다.

IPinfo WHOIS NET 데이터 커넥터

지원:IPinfo

이 IPinfo 데이터 커넥터는 Azure 함수 앱을 설치하여 WHOIS_NET 데이터 세트를 다운로드하고 Microsoft Sentinel 사용자 지정 로그 테이블에 삽입합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

Ipinfo_WHOIS_NET_CL 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

Microsoft.Web/sites 권한: 함수 앱을 만들기 위한 Azure Functions 읽기 및 쓰기 권한이 필요합니다. 자세한 내용은 Azure Functions 참조하세요.

IPinfo API 토큰: 여기에서 IPinfo API 토큰을 검색 합니다.

설치 지침:

1. API 토큰 검색

여기에서 IPinfo API 토큰을 검색 합니다.

2. Azure AD 테넌트에서 Azure AAD(Active Directory) 애플리케이션을 만듭니다.

Azure AD 테넌트에서 Azure AAD(Active Directory) 애플리케이션을 만들고 테넌트 ID, 클라이언트 ID 및 클라이언트 비밀: 이 링크를 사용합니다.

3. AAD 애플리케이션에 Microsoft Sentinel 기여자 역할을 할당합니다.

"Microsoft Sentinel"이 추가되는 "Log Analytic 작업 영역"에 사용하는 것과 동일한 "리소스 그룹"에서 기여자(권한 있는 관리자 역할) 및 모니터링 메트릭 게시자(작업 함수 역할)에 방금 만든 AAD 애플리케이션을 할당합니다. 이 링크를 사용합니다.

4. 작업 영역 리소스 ID 가져오기

'리소스 ID' 속성 값이 있는 Log Analytic 작업 영역 -> 속성 블레이드를 사용합니다. '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}' 형식의 정규화된 resourceId입니다.

5. Azure 함수 배포

ARM Tempate를 사용하여 IPinfo 데이터 커넥터의 자동화된 배포에 사용합니다.

아래 Azure 배포 단추를 클릭합니다.

aka.ms

기본 구독, 리소스 그룹 및 위치를 선택합니다.

RESOURCE_ID, IPINFO_TOKEN, TENANT_ID, CLIENT_ID, CLIENT_SECRET 입력합니다.

Azure Functions 수동 배포

다음 단계별 지침을 사용하여 Azure Functions 사용하여 IPinfo 데이터 커넥터를 수동으로 배포합니다(Visual Studio Code 통해 배포).

1단계 - 함수 앱 배포

Azure 함수 앱 파일을 다운로드합니다. 로컬 개발 컴퓨터 Azure 함수 앱에 보관 파일을 추출합니다.

VSCode를 사용하여 고급 옵션을 사용하여 호스팅 함수 프리미엄 또는 App Service 계획을 사용하여 함수 앱을 만듭니다.

함수 앱 수동 배포 지침에 따라 VSCode를 사용하여 Azure Functions 앱을 배포합니다.

함수 앱을 성공적으로 배포한 후 구성을 위한 다음 단계를 수행합니다.

2단계 - 함수 앱 구성

함수 앱 구성에 대한 Azure 포털로 이동합니다.

함수 앱에서 함수 앱 이름을 선택하고 설정 -> 구성 또는 환경 변수를 선택합니다.

애플리케이션 설정 탭에서 + 새 애플리케이션 설정을 선택합니다.

각 문자열 값(대/소문자 구분)을 사용하여 다음 애플리케이션 설정을 개별적으로 추가합니다. RESOURCE_ID IPINFO_TOKEN TENANT_ID CLIENT_ID CLIENT_SECRET RETENTION_IN_DAYS TOTAL_RETENTION_IN_DAYS SCHEDULE LOCATION

모든 애플리케이션 설정이 입력되면 저장을 클릭합니다.

IPinfo WHOIS ORG 데이터 커넥터

지원:IPinfo

이 IPinfo 데이터 커넥터는 Azure 함수 앱을 설치하여 WHOIS_ORG 데이터 세트를 다운로드하고 Microsoft Sentinel 사용자 지정 로그 테이블에 삽입합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

Ipinfo_WHOIS_ORG_CL 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

Microsoft.Web/sites 권한: 함수 앱을 만들기 위한 Azure Functions 읽기 및 쓰기 권한이 필요합니다. 자세한 내용은 Azure Functions 참조하세요.

IPinfo API 토큰: 여기에서 IPinfo API 토큰을 검색 합니다.

설치 지침:

1. API 토큰 검색

여기에서 IPinfo API 토큰을 검색 합니다.

2. Azure AD 테넌트에서 Azure AAD(Active Directory) 애플리케이션을 만듭니다.

Azure AD 테넌트에서 Azure AAD(Active Directory) 애플리케이션을 만들고 테넌트 ID, 클라이언트 ID 및 클라이언트 비밀: 이 링크를 사용합니다.

3. AAD 애플리케이션에 Microsoft Sentinel 기여자 역할을 할당합니다.

"Microsoft Sentinel"이 추가되는 "Log Analytic 작업 영역"에 사용하는 것과 동일한 "리소스 그룹"에서 기여자(권한 있는 관리자 역할) 및 모니터링 메트릭 게시자(작업 함수 역할)에 방금 만든 AAD 애플리케이션을 할당합니다. 이 링크를 사용합니다.

4. 작업 영역 리소스 ID 가져오기

'리소스 ID' 속성 값이 있는 Log Analytic 작업 영역 -> 속성 블레이드를 사용합니다. '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}' 형식의 정규화된 resourceId입니다.

5. Azure 함수 배포

ARM Tempate를 사용하여 IPinfo 데이터 커넥터의 자동화된 배포에 사용합니다.

아래 Azure 배포 단추를 클릭합니다.

aka.ms

기본 구독, 리소스 그룹 및 위치를 선택합니다.

RESOURCE_ID, IPINFO_TOKEN, TENANT_ID, CLIENT_ID, CLIENT_SECRET 입력합니다.

Azure Functions 수동 배포

다음 단계별 지침을 사용하여 Azure Functions 사용하여 IPinfo 데이터 커넥터를 수동으로 배포합니다(Visual Studio Code 통해 배포).

1단계 - 함수 앱 배포

Azure 함수 앱 파일을 다운로드합니다. 로컬 개발 컴퓨터 Azure 함수 앱에 보관 파일을 추출합니다.

VSCode를 사용하여 고급 옵션을 사용하여 호스팅 함수 프리미엄 또는 App Service 계획을 사용하여 함수 앱을 만듭니다.

함수 앱 수동 배포 지침에 따라 VSCode를 사용하여 Azure Functions 앱을 배포합니다.

함수 앱을 성공적으로 배포한 후 구성을 위한 다음 단계를 수행합니다.

2단계 - 함수 앱 구성

함수 앱 구성에 대한 Azure 포털로 이동합니다.

함수 앱에서 함수 앱 이름을 선택하고 설정 -> 구성 또는 환경 변수를 선택합니다.

애플리케이션 설정 탭에서 + 새 애플리케이션 설정을 선택합니다.

각 문자열 값(대/소문자 구분)을 사용하여 다음 애플리케이션 설정을 개별적으로 추가합니다. RESOURCE_ID IPINFO_TOKEN TENANT_ID CLIENT_ID CLIENT_SECRET RETENTION_IN_DAYS TOTAL_RETENTION_IN_DAYS SCHEDULE LOCATION

모든 애플리케이션 설정이 입력되면 저장을 클릭합니다.

IPinfo WHOIS POC 데이터 커넥터

지원:IPinfo

이 IPinfo 데이터 커넥터는 Azure 함수 앱을 설치하여 WHOIS_POC 데이터 세트를 다운로드하고 Microsoft Sentinel 사용자 지정 로그 테이블에 삽입합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

Ipinfo_WHOIS_POC_CL 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

Microsoft.Web/sites 권한: 함수 앱을 만들기 위한 Azure Functions 읽기 및 쓰기 권한이 필요합니다. 자세한 내용은 Azure Functions 참조하세요.

IPinfo API 토큰: 여기에서 IPinfo API 토큰을 검색 합니다.

설치 지침:

1. API 토큰 검색

여기에서 IPinfo API 토큰을 검색 합니다.

2. Azure AD 테넌트에서 Azure AAD(Active Directory) 애플리케이션을 만듭니다.

Azure AD 테넌트에서 Azure AAD(Active Directory) 애플리케이션을 만들고 테넌트 ID, 클라이언트 ID 및 클라이언트 비밀: 이 링크를 사용합니다.

3. AAD 애플리케이션에 Microsoft Sentinel 기여자 역할을 할당합니다.

"Microsoft Sentinel"이 추가되는 "Log Analytic 작업 영역"에 사용하는 것과 동일한 "리소스 그룹"에서 기여자(권한 있는 관리자 역할) 및 모니터링 메트릭 게시자(작업 함수 역할)에 방금 만든 AAD 애플리케이션을 할당합니다. 이 링크를 사용합니다.

4. 작업 영역 리소스 ID 가져오기

'리소스 ID' 속성 값이 있는 Log Analytic 작업 영역 -> 속성 블레이드를 사용합니다. '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}' 형식의 정규화된 resourceId입니다.

5. Azure 함수 배포

ARM Tempate를 사용하여 IPinfo 데이터 커넥터의 자동화된 배포에 사용합니다.

아래 Azure 배포 단추를 클릭합니다.

aka.ms

기본 구독, 리소스 그룹 및 위치를 선택합니다.

RESOURCE_ID, IPINFO_TOKEN, TENANT_ID, CLIENT_ID, CLIENT_SECRET 입력합니다.

Azure Functions 수동 배포

다음 단계별 지침을 사용하여 Azure Functions 사용하여 IPinfo 데이터 커넥터를 수동으로 배포합니다(Visual Studio Code 통해 배포).

1단계 - 함수 앱 배포

Azure 함수 앱 파일을 다운로드합니다. 로컬 개발 컴퓨터 Azure 함수 앱에 보관 파일을 추출합니다.

VSCode를 사용하여 고급 옵션을 사용하여 호스팅 함수 프리미엄 또는 App Service 계획을 사용하여 함수 앱을 만듭니다.

함수 앱 수동 배포 지침에 따라 VSCode를 사용하여 Azure Functions 앱을 배포합니다.

함수 앱을 성공적으로 배포한 후 구성을 위한 다음 단계를 수행합니다.

2단계 - 함수 앱 구성

함수 앱 구성에 대한 Azure 포털로 이동합니다.

함수 앱에서 함수 앱 이름을 선택하고 설정 -> 구성 또는 환경 변수를 선택합니다.

애플리케이션 설정 탭에서 + 새 애플리케이션 설정을 선택합니다.

각 문자열 값(대/소문자 구분)을 사용하여 다음 애플리케이션 설정을 개별적으로 추가합니다. RESOURCE_ID IPINFO_TOKEN TENANT_ID CLIENT_ID CLIENT_SECRET RETENTION_IN_DAYS TOTAL_RETENTION_IN_DAYS SCHEDULE LOCATION

모든 애플리케이션 설정이 입력되면 저장을 클릭합니다.

아일랜드 엔터프라이즈 브라우저 V2

지원자:아일랜드

Island Enterprise Browser V2 데이터 커넥터를 사용하면 단일 커넥터 내에서 사용자 이벤트, 관리 이벤트 및 시스템 이벤트를 모두 수집할 수 있습니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

Island_UserEvents_V2_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

아일랜드 API 키: 아일랜드 API 키가 필요합니다. 아일랜드 관리 콘솔을 통해 API 키를 생성합니다. 자세한 지침은 공식 아일랜드 설명서를 참조하세요.

설치 지침:

아일랜드를 Microsoft Sentinel 연결

API URL 및 API 키는 아일랜드 관리 콘솔을 통해 사용할 수 있습니다. 자세한 지침은 공식 아일랜드 설명서를 참조하세요.

API URL: (API URL)

API 키: (키)

연결 사용/사용 안 함

Jamf 보호 푸시 커넥터

지원:Jamf Software, LLC

Jamf Protect 커넥터는 Microsoft Sentinel Jamf Protect에서 원시 이벤트 데이터를 읽는 기능을 제공합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

jamfprotecttelemetryv2_CL 예 예

jamfprotectunifiedlogs_CL 예 예

jamfprotectalerts_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Microsoft Entra: Microsoft Entra ID 앱 등록을 만들 수 있는 권한입니다. 일반적으로 Entra ID 애플리케이션 개발자 역할 이상이 필요합니다.

Microsoft Azure: DCR(데이터 수집 규칙)에 대한 모니터링 메트릭 게시자 역할을 할당할 수 있는 권한입니다. 일반적으로 AZURE RBAC 소유자 또는 사용자 액세스 관리자 역할이 필요합니다.

설치 지침:

1. ARM 리소스 만들기 및 필요한 권한 제공

이 커넥터는 Jamf Protect에서 데이터 전달 옵션을 사용하도록 설정한 경우 Jamf Protect가 Microsoft Analytics 작업 영역에서 사용하는 테이블에서 데이터를 읽습니다. 그러면 원시 이벤트 데이터가 Microsoft Sentinel 수집 API로 전송됩니다.

Entra 애플리케이션을 사용하여 자동화된 구성 및 보안 데이터 수집 "배포"를 클릭하면 Log Analytics 테이블 및 DCR(데이터 수집 규칙)의 생성이 트리거됩니다. 그런 다음, Entra 애플리케이션을 만들고, DCR을 연결하고, 애플리케이션에 입력한 비밀을 설정합니다. 이 설정을 사용하면 Entra 토큰을 사용하여 데이터를 DCR로 안전하게 보낼 수 있습니다.

2. 작업 영역에 로그 푸시

다음 매개 변수를 사용하여 작업 영역으로 로그를 보내도록 컴퓨터를 구성합니다.

테넌트 ID(디렉터리 ID): <설치 시 제공되는 변수 값>

Entra 앱 등록 애플리케이션 ID: <설치 시 제공되는 변수 값>

Entra 앱 등록 비밀: <설치 시 제공되는 변수 값>

데이터 수집 엔드포인트 Uri: <설치 시 제공되는 변수 값>

데이터 수집 규칙 변경할 수 없는 ID: <설치 시 제공되는 변수 값>

통합 로그 Stream 이름: <설치 시 제공되는 변수 값>

원격 분석 Stream 이름: <설치 시 제공되는 변수 값>

이름 Stream 경고: <설치 시 제공되는 변수 값>

JoeSandboxThreatIntelligence(Azure Functions 사용)

지원 대상:스테판 뷔를만

JoeSandboxThreatIntelligence 커넥터는 JoeSandbox에 대한 모든 제출에 대한 위협 인텔리전스를 자동으로 생성하고 공급하여 Sentinel 위협 탐지 및 인시던트 대응을 개선합니다. 이 원활한 통합을 통해 팀은 새로운 위협을 사전에 해결할 수 있습니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

ThreatIntelIndicators 예 아니요

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Azure 구독: azure active directory()에 애플리케이션을 등록하고 리소스 그룹의 앱에 기여자 역할을 할당하려면 소유자 역할이 있는 Azure 구독이 필요합니다.

Microsoft.Web/sites 권한: 함수 앱을 만들기 위한 Azure Functions 읽기 및 쓰기 권한이 필요합니다. 자세한 내용은 Azure Functions 참조하세요.

REST API 자격 증명/권한: JoeSandbox API 키가 필요합니다.

설치 지침:

참고: 이 커넥터는 Azure Functions 사용하여 JoeSandbox API에 연결하여 JoeSandbox Threat IOC를 Microsoft Sentinel. 이로 인해 데이터 수집 및 데이터를 Azure Blob Storage 비용에 저장하는 추가 비용이 발생할 수 있습니다. 자세한 내용은 Azure Functions 가격 책정 페이지 및 Azure Blob Storage 가격 책정 페이지를 확인하세요.

(선택적 단계) 작업 영역 및 API 권한 부여 키 또는 토큰을 Azure Key Vault 안전하게 저장합니다. Azure Key Vault 키 값을 저장하고 검색하는 보안 메커니즘을 제공합니다. 다음 지침에 따라 Azure 함수 앱에서 Azure Key Vault 사용합니다.

작업 영역 ID: <설치 시 제공되는 변수 값>

기본 키: <설치 시 제공되는 변수 값>

옵션 1 - Flex 소비 계획을 위한 ARM(Azure Resource Manager) 템플릿

ARM 템플릿을 사용하여 데이터 커넥터의 자동화된 배포에 이 방법을 사용합니다.

아래 Azure 배포 단추를 클릭합니다.

aka.ms

기본 구독, 리소스 그룹 및 위치를 선택합니다.

애플리케이션 ID, 테넌트 ID, 클라이언트 암호, JoeSandbox API 키, JoeSandbox 초기 인출 날짜, TimeInterval 및 배포를 입력합니다.

위에 명시된 사용 약관에 동의함을 표시하는 확인란을 표시합니다.

구매를 클릭하여 배포합니다.

옵션 2 - 프리미엄 플랜에 대한 ARM(Azure Resource Manager) 템플릿

ARM 템플릿을 사용하여 데이터 커넥터의 자동화된 배포에 이 방법을 사용합니다.

아래 Azure 배포 단추를 클릭합니다.

aka.ms

기본 구독, 리소스 그룹 및 위치를 선택합니다.

애플리케이션 ID, 테넌트 ID, 클라이언트 암호, JoeSandbox API 키, JoeSandbox 초기 인출 날짜, TimeInterval 및 배포를 입력합니다.

위에 명시된 사용 약관에 동의함을 표시하는 확인란을 표시합니다.

구매를 클릭하여 배포합니다.

Keeper 보안 푸시 커넥터

지원:Keeper 보안

Keeper Security 커넥터는 Microsoft Sentinel Keeper Security에서 원시 이벤트 데이터를 읽는 기능을 제공합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

KeeperSecurityEventNewLogs_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Microsoft Entra: Microsoft Entra ID 앱 등록을 만들 수 있는 권한입니다. 일반적으로 Entra ID 애플리케이션 개발자 역할 이상이 필요합니다.

Microsoft Azure: DCR(데이터 수집 규칙)에 대한 모니터링 메트릭 게시자 역할을 할당할 수 있는 권한입니다. 일반적으로 AZURE RBAC 소유자 또는 사용자 액세스 관리자 역할이 필요합니다.

설치 지침:

1. ARM 리소스 만들기 및 필요한 권한 제공

이 커넥터는 Keeper Security가 Microsoft Analytics 작업 영역에서 사용하는 테이블에서 데이터를 읽습니다. Keeper Security에서 데이터 전달 옵션을 사용하도록 설정한 경우 원시 이벤트 데이터가 Microsoft Sentinel 수집 API로 전송됩니다.

Entra 애플리케이션을 사용하여 자동화된 구성 및 보안 데이터 수집 "배포"를 클릭하면 Log Analytics 테이블 및 DCR(데이터 수집 규칙)의 생성이 트리거됩니다. 그런 다음, Entra 애플리케이션을 만들고, DCR을 연결하고, 애플리케이션에 입력한 비밀을 설정합니다. 이 설정을 사용하면 Entra 토큰을 사용하여 데이터를 DCR로 안전하게 보낼 수 있습니다.

2. 작업 영역에 로그 푸시

다음 매개 변수를 사용하여 작업 영역으로 로그를 보내도록 컴퓨터를 구성합니다.

테넌트 ID(디렉터리 ID): <설치 시 제공되는 변수 값>

Entra 앱 등록 애플리케이션 ID: <설치 시 제공되는 변수 값>

Entra 앱 등록 비밀: <설치 시 제공되는 변수 값>

데이터 수집 엔드포인트 Uri: <설치 시 제공되는 변수 값>

데이터 수집 규칙 변경할 수 없는 ID: <설치 시 제공되는 변수 값>

이벤트 로그 Stream 이름: <설치 시 제공되는 변수 값>

3. Keeper 관리 콘솔 업데이트

Azure 연결 세부 정보를 사용하여 Keeper 관리 콘솔을 구성하여 데이터 전달을 Microsoft Sentinel.

Keeper 관리 콘솔에서 Azure 모니터 로그 구성

Keeper 관리 콘솔에서 Keeper 관리자로 로그인합니다. 그런 다음 보고 & 경고로 이동하여 로그 모니터링 Azure 선택합니다.

위의 2단계에서 관리 콘솔에 다음 정보를 제공합니다.

Azure 테넌트 ID: Azure "구독" 영역에서 찾을 수 있습니다.

애플리케이션(클라이언트) ID: 앱 등록(KeeperLogging) 개요 화면에 있습니다.

클라이언트 암호 값: 앱 등록 비밀의 클라이언트 암호 값입니다.

엔드포인트 URL: 다음과 같은 특정 형식으로 만들어진 URL입니다. https://<collection_url>/dataCollectionRules/<dcr_id>/streams/<table>?api-version=2023-01-01

엔드포인트 URL을 어셈블하려면 다음을 수행합니다.

<컬렉션 URL> 위의 2단계에서 제공됩니다.

< >데이터 수집기 규칙에서 DCR_ID "변경할 수 없는 ID" 값(예: )을 복사합니다.dcr-xxxxxxx

Azure 만든 테이블 이름입니다(예: ).Custom-KeeperSecurityEventNewLogs
예: https://<Collection_URL>/dataCollectionRules/<DCR_ID>/streams/Custom-KeeperSecurityEventNewLogs?api-version=2023-01-01

LastPass Enterprise - 보고(폴링 CCF)

지원자:집단 컨설팅

LastPass Enterprise 커넥터는 Microsoft Sentinel LastPass 보고(감사) 로그에 대한 기능을 제공합니다. 커넥터는 LastPass 내의 로그인 및 활동(예: 암호 읽기 및 제거)에 대한 가시성을 제공합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

LastPassNativePoller_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

LastPass API 키 및 CID: LastPass API 키 및 CID가 필요합니다. 자세한 내용은 LastPass API를 참조하세요.

설치 지침:

LastPass Enterprise를 Microsoft Sentinel 연결

LastPass 프로비저닝 API 키를 제공합니다.

Lookout Mobile 위협 탐지 커넥터(코드리스 커넥터 프레임워크를 통해)(미리 보기)

지원자:Lookout

Lookout Mobile 위협 탐지 데이터 커넥터는 모바일 위험 API를 통해 모바일 보안 위험과 관련된 이벤트를 Microsoft Sentinel 수집하는 기능을 제공합니다. 자세한 내용은 API 설명서를 참조하세요. 이 커넥터는 모바일 디바이스에서 검색된 잠재적 보안 위험을 검사하는 데 도움이 됩니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

LookoutMtdV2_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

설치 지침:

Lookout Mobile Threat Defense 커넥터를 Microsoft Sentinel 연결

Lookout에 연결하기 전에 다음 필수 구성 요소가 완료되었는지 확인합니다.

모바일 위협 탐지 API에는 ApiKey가 필요합니다. API에 대한 자세한 내용은 설명서를 참조하세요. 모든 요구 사항을 확인하고 자격 증명을 얻기 위한 지침을 따릅니다.

API 키: (API 키 입력)

연결 사용/사용 안 함

Luminar IOC 및 유출된 자격 증명(Azure Functions 사용)

지원:Cognyte Luminar

Luminar IOC 및 유출된 자격 증명 커넥터를 사용하면 인텔리전스 기반 IOC 데이터와 Luminar로 식별된 고객 관련 유출 레코드를 통합할 수 있습니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

ThreatIntelligenceIndicator 예 아니요

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Azure 구독: azure active directory()에 애플리케이션을 등록하고 리소스 그룹의 앱에 기여자 역할을 할당하려면 소유자 역할이 있는 Azure 구독이 필요합니다.

Microsoft.Web/sites 권한: 함수 앱을 만들기 위한 Azure Functions 읽기 및 쓰기 권한이 필요합니다. 자세한 내용은 Azure Functions 참조하세요.

REST API 자격 증명/권한: Luminar 클라이언트 ID, Luminar 클라이언트 암호 및 Luminar 계정 ID 가 필요합니다.

설치 지침:

참고: 이 커넥터는 Azure Functions 사용하여 Cognyte Luminar API에 연결하여 Luminar IOC 및 유출된 자격 증명을 Microsoft Sentinel 끌어올 수 있습니다. 이로 인해 데이터 수집 및 데이터를 Azure Blob Storage 비용에 저장하는 추가 비용이 발생할 수 있습니다. 자세한 내용은 Azure Functions 가격 책정 페이지 및 Azure Blob Storage 가격 책정 페이지를 확인하세요.

(선택적 단계) 작업 영역 및 API 권한 부여 키 또는 토큰을 Azure Key Vault 안전하게 저장합니다. Azure Key Vault 키 값을 저장하고 검색하는 보안 메커니즘을 제공합니다. 다음 지침에 따라 Azure 함수 앱에서 Azure Key Vault 사용합니다.

작업 영역 ID: <설치 시 제공되는 변수 값>

기본 키: <설치 시 제공되는 변수 값>

옵션 1 - ARM(Azure Resource Manager) 템플릿

ARM 템플릿을 사용하여 데이터 커넥터의 자동화된 배포에 이 방법을 사용합니다.

아래 Azure 배포 단추를 클릭합니다.

aka.ms

기본 구독, 리소스 그룹 및 위치를 선택합니다.

애플리케이션 ID, 테넌트 ID, 클라이언트 암호, Luminar API 클라이언트 ID, Luminar API 계정 ID, Luminar API 클라이언트 비밀, 제한, TimeInterval 및 배포를 입력합니다.

위에 명시된 사용 약관에 동의함을 표시하는 확인란을 표시합니다.

구매를 클릭하여 배포합니다.

옵션 2 - Azure Functions 수동 배포

다음 단계별 지침을 사용하여 Azure Functions 사용하여 Cognyte Luminar 데이터 커넥터를 수동으로 배포합니다(Visual Studio Code 통해 배포).

함수 앱 배포

참고: Azure 함수 개발을 위해 VS 코드를 준비해야 합니다.

Azure 함수 앱 파일을 다운로드합니다. 로컬 개발 컴퓨터에 보관 파일을 추출합니다.

VS Code를 시작합니다. 주 메뉴에서 파일을 선택하고 폴더 열기를 선택합니다.

추출된 파일에서 최상위 폴더를 선택합니다.

작업 표시줄에서 Azure 아이콘을 선택한 다음, Azure: 함수 영역에서 함수에 배포 앱 단추를 선택합니다. 아직 로그인하지 않은 경우 활동 표시줄에서 Azure 아이콘을 선택한 다음, Azure: 함수 영역에서 로그인을 선택하여 Azure 이미 로그인한 경우 다음 단계로 이동합니다.

프롬프트에서 다음 정보를 제공합니다.

a. 폴더 선택: 작업 영역에서 폴더를 선택하거나 함수 앱이 포함된 폴더로 이동합니다.

b. 구독을 선택합니다. 사용할 구독을 선택합니다.

c. Azure 새 함수 앱 만들기를 선택합니다(고급 옵션을 선택하지 않음).

d. 함수 앱의 전역적으로 고유한 이름을 입력합니다 . URL 경로에 유효한 이름을 입력합니다. 입력한 이름은 Azure Functions 고유하도록 유효성을 검사합니다. (예: CognyteLuminarXXX).

e. 런타임 선택: Python 3.11을 선택합니다.

f. 새 리소스의 위치를 선택합니다. 성능 향상 및 비용 절감을 위해 Microsoft sentinel이 있는 동일한 지역을 선택합니다.

배포가 시작됩니다. 함수 앱이 만들어지고 배포 패키지가 적용된 후 알림이 표시됩니다.

함수 앱 구성에 대한 Azure 포털로 이동합니다.

함수 앱 구성

함수 앱에서 함수 앱 이름을 선택하고 구성을 선택합니다.

애플리케이션 설정 탭에서 + 새 애플리케이션 설정을 선택합니다.

각 문자열 값(대/소문자 구분)을 사용하여 각 애플리케이션 설정을 개별적으로 추가합니다. 애플리케이션 ID 테넌트 ID 클라이언트 비밀 Luminar API 클라이언트 ID Luminar API 계정 ID Luminar API 클라이언트 암호 제한 TimeInterval - logAnalyticsUri를 사용하여 전용 클라우드에 대한 로그 분석 API 엔드포인트를 재정의합니다. 예를 들어 퍼블릭 클라우드의 경우 값을 비워 둡니다. Azure GovUS 클라우드 환경의 경우 다음 형식으로 값을 지정합니다.https://<CustomerId>.ods.opinsights.azure.us

모든 애플리케이션 설정이 입력되면 저장을 클릭합니다.

메일가드 365

지원:MailGuard 365

MailGuard 365 Microsoft 365용 향상된 Email 보안. Microsoft 마켓플레이스 전용인 MailGuard 365는 피싱, 랜섬웨어 및 정교한 BEC 공격과 같은 고급 전자 메일 위협에 대한 향상된 보호를 위해 Microsoft 365 보안(Defender 포함)과 통합됩니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

MailGuard365_Threats_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

설치 지침:

MailGuard 365 구성 및 연결

MailGuard 365 콘솔의 탐색 모음에서 설정을 클릭합니다.

통합 탭 을 클릭합니다.

사용 Microsoft Sentinel 클릭합니다.

아래 필드에서 작업 영역 ID 및 기본 키를 입력하고 마침을 클릭합니다.

추가 지침은 MailGuard 365 지원에 문의하세요.

작업 영역 ID: <설치 시 제공되는 변수 값>

기본 키: <설치 시 제공되는 변수 값>

Secure Practice에 의한 MailRisk

지원:보안 사례

MailRisk by Secure Practice 커넥터를 사용하면 MailRisk API에서 메일 위협 인텔리전스 데이터를 Microsoft Sentinel 수집할 수 있습니다. 이 커넥터는 보고된 이메일, 위험 평가 및 이메일 위협과 관련된 보안 이벤트에 대한 가시성을 제공합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

MailRiskEventEmails_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

API 자격 증명: 관리 포털의 설정에서 만들어지는 보안 사례 API 키 쌍도 필요합니다. 설명 Microsoft Sentinel이 있는 새 키 쌍을 생성합니다.

설치 지침:

1. 보안 사례 API 자격 증명 가져오기

Secure Practice 계정에 로그인하고 아직 API 키 및 API 비밀을 생성하지 않은 경우 생성합니다.

2. MailRisk API에 연결

아래에 보안 사례 API 자격 증명을 입력합니다. 자격 증명은 안전하게 저장되고 API 요청을 인증하는 데 사용됩니다.

API 키: (보안 사례 API 키 입력)

API 비밀: (보안 연습 API 비밀 입력)

연결 사용/사용 안 함

meshStack 이벤트 로그

지원:meshcloud GmbH

meshStack 이벤트 로그 커넥터는 meshStack 플랫폼 이벤트를 Microsoft Sentinel 수집하는 기능을 제공합니다. meshStack 이벤트 로그를 Microsoft Sentinel 연결하면 통합 문서에서 이 데이터를 보고, 이를 사용하여 사용자 지정 경고를 만들고, 클라우드 플랫폼 거버넌스, 감사 및 규정 준수 모니터링에 대한 조사 프로세스를 개선할 수 있습니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

meshStackEventLogs_CL 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

meshStack OAuth2 API 키: '관리: 모든 작업 영역에서 이벤트 로그 나열' 권한이 있는 유효한 meshStack API 키가 필요합니다. Access Control API 키 아래의 meshStack 관리 패널에서 > API 키를 만듭니다. API 키는 인증을 위해 OAuth2 자격 증명(키 ID는 client_id, 키 암호는 client_secret)을 제공합니다. 참고: API 키는 작업 영역에 바인딩되지만 모든 작업 영역의 이벤트에 액세스할 수 있습니다.

meshStack 인스턴스: 이벤트 API를 사용하도록 설정된 meshStack instance 대한 액세스입니다.

설치 지침:

meshStack 이벤트 로그를 Microsoft Sentinel 연결

API 키에서 meshStack instance API URL 및 OAuth2 자격 증명을 입력합니다. API URL 형식은 이어야 https://your-meshstack-instance.io합니다. '관리: 모든 작업 영역에서 이벤트 로그 나열' 권한이 있는 meshStack(관리 Panel >> Access Control API 키)에서 API 키를 만듭니다. API 키는 OAuth2 인증을 위한 키 ID(client_id) 및 키 암호 (client_secret)를 제공합니다.

meshStack API URL: (https://your-meshstack-instance.io)

클라이언트 ID(키 ID): (API 키에서 키 ID 입력)

클라이언트 암호(키 암호): (API 키에서 키 비밀 입력)

연결 사용/사용 안 함

Microsoft 365(이전의 Office 365)

지원:Microsoft Corporation

Microsoft 365(이전의 Office 365) 활동 로그 커넥터는 진행 중인 사용자 활동에 대한 인사이트를 제공합니다. 파일 다운로드, 전송된 액세스 요청, 그룹 이벤트 변경 내용, 설정 사서함 및 작업을 수행한 사용자의 세부 정보와 같은 작업에 대한 세부 정보를 얻을 수 있습니다. Microsoft 365 로그를 Microsoft Sentinel 연결하면 이 데이터를 사용하여 대시보드를 보고, 사용자 지정 경고를 만들고, 조사 프로세스를 개선할 수 있습니다. 자세한 내용은 Microsoft Sentinel 설명서를 참조하세요.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

OfficeActivity 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

Microsoft 365 내부자 리스크 관리

지원:Microsoft Corporation

Microsoft 365 Insider Risk Management는 Microsoft 365의 규정 준수 솔루션으로, organization 악의적이고 의도치 않은 활동을 감지, 조사 및 수행할 수 있도록 하여 내부 위험을 최소화하는 데 도움이 됩니다. 조직의 위험 분석가는 적절한 조치를 신속하게 수행하여 사용자가 조직의 규정 준수 표준을 준수하도록 할 수 있습니다.

내부자 위험 정책을 사용하면 다음을 수행할 수 있습니다.

는 organization 식별하고 검색하려는 위험 유형을 정의합니다.

필요한 경우 Microsoft Advanced eDiscovery 사례를 에스컬레이션하는 등 대응 조치를 결정합니다.

이 솔루션은 Microsoft 365 규정 준수 센터의 참가자 위험 관리 솔루션에서 Office 고객이 볼 수 있는 경고를 생성합니다. 내부 위험 관리에 대해 자세히 알아보세요.

이러한 경고를 이 커넥터를 사용하여 Microsoft Sentinel 가져올 수 있으므로 광범위한 조직 위협 컨텍스트에서 해당 경고를 보고 조사하고 대응할 수 있습니다. 자세한 내용은 Microsoft Sentinel 설명서를 참조하세요.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

SecurityAlert 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

Microsoft Active-Directory 도메인 컨트롤러 보안 이벤트 로그

지원자:커뮤니티

[옵션 3 & 4] - Azure Monitor 에이전트 사용 - Windows 에이전트를 사용하여 Microsoft Sentinel 작업 영역에 연결된 Windows 컴퓨터에서 일부 또는 모든 도메인 컨트롤러 보안 이벤트 로그를 스트리밍할 수 있습니다. 이 연결을 사용하면 사용자 지정 경고를 만들고 조사를 개선할 수 있습니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

SecurityEvent 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Azure Log Analytics는 사용되지 않으며, Azure VM에서 데이터를 수집하려면 Arc를 Azure 것이 좋습니다. 자세한 정보

자세한 설명서: >참고: 설치 절차 및 사용에 대한 자세한 설명서는 여기에서 확인할 수 있습니다.

설치 지침:

참고: 이 솔루션은 옵션을 기반으로 합니다. 이렇게 하면 일부 옵션이 매우 많은 양의 데이터를 생성할 수 있으므로 수집할 데이터를 선택할 수 있습니다. 수집하려는 항목에 따라 통합 문서, 분석 규칙, 헌팅 기능을 추적하여 배포할 옵션을 선택합니다. 각 옵션은 서로 독립적입니다. 각 옵션에 대해 자세히 알아보려면 'Microsoft Exchange Security' wiki

이 데이터 커넥터는 Wiki의 옵션 3과 4 입니다.

1. Microsoft Sentinel 로그를 수집하는 데 필요한 에이전트 다운로드 및 설치

서버 유형(Exchange Server, Exchange Server에 연결된 도메인 컨트롤러 또는 모든 도메인 컨트롤러)은 배포하려는 옵션에 따라 달라집니다.

모니터 에이전트 배포

이 단계는 Exchange Server/Domain Controllers 배포 Azure Arc 에이전트를 처음 온보딩한 경우에만 필요합니다. 자세한 정보

도메인 컨트롤러의 보안 로그

도메인 컨트롤러의 보안 로그를 스트리밍하는 방법을 선택합니다. 옵션 3을 구현하려면 Exchange Server와 동일한 사이트에서 DC를 선택하기만 하면 됩니다. 옵션 4를 구현하려는 경우 포리스트의 모든 DC를 선택할 수 있습니다.

[옵션 3] 다음 단계를 위해 Exchange Server와 동일한 사이트에 도메인 컨트롤러만 나열합니다.

이렇게 하면 수집된 데이터의 양이 제한되지만 일부 인시던트를 검색할 수 없습니다.

[옵션 4] 다음 단계를 위해 Active-Directory 포리스트의 모든 도메인 컨트롤러 나열

이렇게 하면 모든 보안 이벤트를 수집할 수 있습니다.

보안 이벤트 로그 수집

데이터 수집 규칙 - 보안 이벤트 로그

보안 로그 보안 이벤트 로그에 대한 데이터 수집 규칙 사용은 Windows 에이전트에서만 수집됩니다.

리소스 탭에서 선택한 DC 를 추가합니다 .

보안 로그 수준 선택

공통 수준은 최소 필수 수준입니다. DCR 정의에서 '일반' 또는 '모든 보안 이벤트'를 선택하세요.

에이전트 설치: <설치 시 제공되는 변수 값>

Microsoft 에이전트 ID

지원:Microsoft Corporation

Microsoft 에이전트 ID 커넥터는 에이전트 및 에이전트 청사진 ID의 중앙 보기를 제공합니다. 소유권을 이해하고, 관계를 분석하고, ID 자산을 활동 및 위험 신호와 상호 연결하는 데 도움이 되는 에이전트 ID 및 자산 데이터를 수집 및 추적합니다. 이로 인해 그래프를 통한 강화된 조사, 향상된 거버넌스, 위험 평가 및 보안 태세가 발생합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

데이터 수집 규칙 지원: 현재 지원되지 않음

설치 지침:

Microsoft Copilot

지원:Microsoft

Microsoft Sentinel Microsoft Copilot 로그 커넥터를 사용하면 고급 위협 탐지, 조사 및 대응을 위해 M365 Copilot 및 Security Copilot copilot에서 생성된 활동 로그를 Microsoft Sentinel 원활하게 수집할 수 있습니다. 사용량 현황 데이터 및 시스템 응답과 같은 Microsoft Copilot 서비스에서 원격 분석을 수집하고 Microsoft Sentinel 수집하여 보안 팀이 오용을 모니터링하고, 변칙을 감지하고, 조직 정책 준수를 유지할 수 있습니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

CopilotActivity 아니요 예

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

테넌트 권한: 작업 영역의 테넌트에서 '보안 관리자' 또는 '전역 관리자'입니다.

설치 지침:

Microsoft Copilot 감사 로그를 Microsoft Sentinel 연결

이 커넥터는 Office 관리 API를 사용하여 Microsoft Copilot 감사 로그를 가져옵니다. 로그는 기존 Microsoft Sentinel 작업 영역에 저장되고 처리됩니다. CopilotActivity 테이블에서 데이터를 찾을 수 있습니다.

연결 사용/사용 안 함

Microsoft Dataverse

지원:Microsoft Corporation

Microsoft Dataverse는 조직에서 비즈니스 애플리케이션에서 사용하는 데이터를 저장하고 관리할 수 있는 확장 가능하고 안전한 데이터 플랫폼입니다. Microsoft Dataverse 데이터 커넥터는 Microsoft Purview 감사 로그에서 Microsoft Sentinel CRM 활동 로그를 수집하고 Dynamics 365 기능을 제공합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

DataverseActivity 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

테넌트 권한: 작업 영역의 테넌트에서 '보안 관리자' 또는 '전역 관리자'입니다.

Micorosft Purview 감사: Microsoft Purview 감사(Standard 또는 프리미엄)를 활성화해야 합니다.

프로덕션 Dataverse: 활동 로깅은 프로덕션 환경에서만 사용할 수 있습니다. 샌드박스와 같은 다른 형식은 활동 로깅을 지원하지 않습니다.

Dataverse 감사 설정: 감사 설정은 전역적으로 및 엔터티/테이블 수준에서 모두 구성되어야 합니다. 자세한 내용은 Dataverse 감사 설정을 참조하세요.

설치 지침:

Microsoft Dataverse 감사 로그를 Microsoft Sentinel 연결

이 커넥터는 Office 관리 API를 사용하여 Dataverse 감사 로그를 가져옵니다. 로그는 기존 Microsoft Sentinel 작업 영역에 저장되고 처리됩니다. DataverseActivity 테이블에서 데이터를 찾을 수 있습니다.

연결 사용/사용 안 함

Microsoft Defender for Cloud Apps

지원:Microsoft Corporation

Microsoft Defender for Cloud Apps 연결하면 클라우드 앱에 대한 가시성을 확보하고, 정교한 분석을 통해 사이버 위협을 식별하고 방지하며, 데이터 이동 방식을 제어할 수 있습니다.

네트워크에서 섀도 IT 클라우드 앱을 식별합니다.

조건 및 세션 컨텍스트에 따라 액세스를 제어하고 제한합니다.

데이터 공유 및 데이터 손실 방지를 위해 기본 제공 또는 사용자 지정 정책을 사용합니다.

랜섬웨어 활동, 불가능한 여행, 의심스러운 이메일 전달 규칙 및 파일 대량 다운로드를 포함하여 Microsoft 동작 분석 및 변칙 검색 기능을 사용하여 위험 수준이 높은 사용을 식별하고 비정상적인 사용자 활동에 대한 경고를 가져옵니다.

파일 대량 다운로드

지금 배포 >

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

SecurityAlert 아니요 아니요

McasShadowItReporting 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

엔드포인트용 Microsoft Defender

지원:Microsoft Corporation

엔드포인트용 Microsoft Defender 고급 위협을 방지, 탐지, 조사 및 대응하도록 설계된 보안 플랫폼입니다. 플랫폼은 의심스러운 보안 이벤트가 organization 표시되면 경고를 만듭니다. 보안 이벤트를 효과적으로 분석할 수 있도록 엔드포인트용 Microsoft Defender 생성된 경고를 Microsoft Sentinel 가져옵니다. 즉각적인 응답을 위해 규칙을 만들고, 대시보드를 빌드하고, 플레이북을 작성할 수 있습니다. 자세한 내용은 Microsoft Sentinel 설명서를 참조하세요>.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

SecurityAlert 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

Microsoft Defender for Identity

지원:Microsoft Corporation

Microsoft Defender for Identity 연결하여 이벤트 및 사용자 분석에 대한 가시성을 확보합니다. Microsoft Defender for Identity organization 대상으로 하는 고급 위협, 손상된 ID 및 악의적인 내부자 작업을 식별, 검색 및 조사하는 데 도움이 됩니다. Microsoft Defender for Identity 사용하면 하이브리드 환경에서 고급 공격을 감지하는 데 어려움을 겪고 있는 SecOp 분석가 및 보안 전문가가 다음을 수행할 수 있습니다.

학습 기반 분석을 사용하여 사용자, 엔터티 동작 및 활동 모니터링

Active Directory에 저장된 사용자 ID와 자격 증명을 보호합니다.

킬체인에서 수상한 사용자 활동과 고급 공격을 식별하고 조사합니다.

빠른 분류를 위해 간단한 타임라인에 명확한 인시던트 정보를 제공합니다.

지금 사용해 보기 >

지금 배포 >

자세한 내용은 Microsoft Sentinel 설명서를 참조하세요>.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

SecurityAlert 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

IoT용 Microsoft Defender

지원:Microsoft Corporation

IoT 경고에 대한 Microsoft Defender Microsoft Sentinel 연결하여 IoT 보안에 대한 인사이트를 얻습니다. 경고 추세, 상위 경고 및 심각도별 경고 분석을 포함하여 기본 제공 경고 메트릭 및 데이터를 가져올 수 있습니다. 또한 심각도별 상위 권장 사항 및 권장 사항을 포함하여 IoT Hub에 제공된 권장 사항에 대한 정보를 얻을 수 있습니다. 자세한 내용은 Microsoft Sentinel 설명서를 참조하세요.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

SecurityAlert 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

Office 365 Microsoft Defender(미리 보기)

지원:Microsoft Corporation

Office 365 Microsoft Defender 전자 메일 메시지, 링크(URL) 및 공동 작업 도구로 인한 악의적인 위협으로부터 organization 보호합니다. Office 365 경고에 대한 Microsoft Defender Microsoft Sentinel 수집하여 메일 및 URL 기반 위협에 대한 정보를 광범위한 위험 분석에 통합하고 그에 따라 응답 시나리오를 빌드할 수 있습니다.

다음 유형의 경고를 가져옵니다.

잠재적으로 악의적인 URL 클릭이 검색되었습니다.

맬웨어가 포함된 전자 메일 메시지가 전달 후 제거됨

피싱 URL이 포함된 전자 메일 메시지가 전달 후 제거됨

사용자가 맬웨어 또는 피싱 메일로 보고한 전자 메일

의심스러운 이메일 보내기 패턴이 검색됨

사용자가 전자 메일을 보낼 수 없습니다.

이러한 경고는 ** Office 보안 및 규정 준수 센터**에서 Office 고객이 볼 수 있습니다.

자세한 내용은 Microsoft Sentinel 설명서를 참조하세요.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

SecurityAlert 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

Microsoft Defender 위협 인텔리전스

지원:Microsoft Corporation

Microsoft Sentinel 모니터링, 경고 및 헌팅을 사용하도록 Microsoft에서 생성된 위협 인텔리전스를 가져올 수 있는 기능을 제공합니다. 이 데이터 커넥터를 사용하여 MDTI(Microsoft Defender 위협 인텔리전스)에서 Microsoft Sentinel IOC(손상 지표)를 가져옵니다. 위협 지표에는 IP 주소, 도메인, URL 및 파일 해시 등이 포함될 수 있습니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

ThreatIntelligenceIndicator 예 아니요

데이터 수집 규칙 지원:작업 영역 변환 DCR

Microsoft Defender XDR

지원:Microsoft Corporation

Microsoft Defender XDR 엔드포인트, ID, 이메일 및 애플리케이션을 보호하고 정교한 위협을 감지, 방지, 조사 및 자동으로 대응하는 통합된 고유의 통합된 사전 및 사후 위반 엔터프라이즈 방어 제품군입니다.

Microsoft Defender XDR 제품군에는 다음이 포함됩니다.

엔드포인트용 Microsoft Defender

ID용 Microsoft Defender

Office 365용 Microsoft Defender

위협 & 취약성 관리

Microsoft Defender for Cloud Apps (클라우드 앱용 디펜더)

자세한 내용은 Microsoft Sentinel 설명서를 참조하세요.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

SecurityIncident 예 예

SecurityAlert 예 예

DeviceEvents 예 예

EmailEvents 예 예

IdentityLogonEvents 예 예

CloudAppEvents 예 예

AlertEvidence 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

Microsoft Entra ID

지원:Microsoft Corporation

감사 및 로그인 로그를 Microsoft Sentinel 연결하여 Microsoft Entra ID 시나리오에 대한 인사이트를 수집하여 Microsoft Entra ID 대한 인사이트를 얻습니다. 로그인 로그를 사용하여 앱 사용, 조건부 액세스 정책, 레거시 인증 관련 세부 정보에 대해 알아볼 수 있습니다. 감사 로그 테이블을 사용하여 사용자, 그룹, 역할, 앱 관리와 같은 SSPR(셀프 서비스 암호 재설정) 사용량, Microsoft Entra ID 관리 활동에 대한 정보를 얻을 수 있습니다. 자세한 내용은 Microsoft Sentinel 설명서를 참조하세요.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

SigninLogs 예 예

AuditLogs 예 예

AADNonInteractiveUserSignInLogs 예 예

AADServicePrincipalSignInLogs 예 예

AADManagedIdentitySignInLogs 예 예

AADProvisioningLogs 예 예

ADFSSignInLogs 예 예

AADUserRiskEvents 예 예

AADRiskyUsers 예 예

NetworkAccessTraffic 예 예

AADRiskyServicePrincipals 예 예

AADServicePrincipalRiskEvents 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

Microsoft Entra ID 자산

지원:Microsoft Corporation

Entra ID 자산 데이터 커넥터는 자산 정보로 세부 정보를 보완하여 활동 데이터에 대한 풍부한 인사이트를 제공합니다. 이 커넥터의 데이터는 Purview에서 데이터 위험 그래프를 빌드하는 데 사용됩니다. 이러한 그래프를 사용하도록 설정한 경우 이 커넥터를 비활성화하면 그래프가 빌드되지 않습니다. 데이터 위험 그래프에 대해 알아봅니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

데이터 수집 규칙 지원: 현재 지원되지 않음

설치 지침:

Microsoft Entra ID 보호

지원:Microsoft Corporation

Microsoft Entra ID Protection은 위험 사용자, 위험 이벤트 및 취약성에 대한 통합 보기를 제공하며, 위험을 즉시 수정하고 향후 이벤트를 자동으로 수정하는 정책을 설정할 수 있습니다. 이 서비스는 소비자 ID를 보호하는 Microsoft의 경험을 기반으로 하며, 하루에 130억 개 이상의 로그인을 통해 신호로부터 엄청난 정확도를 얻습니다. Microsoft Microsoft Entra ID Protection 경고를 Microsoft Sentinel 통합하여 대시보드를 보고, 사용자 지정 경고를 만들고, 조사를 개선합니다. 자세한 내용은 Microsoft Sentinel 설명서를 참조하세요.

프리미엄 P1/P2 Microsoft Entra ID 받기

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

SecurityAlert 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

이벤트 로그별 Microsoft Exchange 관리 감사 로그

지원자:커뮤니티

[옵션 1] - Azure Monitor 에이전트 사용 - Windows 에이전트를 사용하여 Microsoft Sentinel 작업 영역에 연결된 Windows 컴퓨터에서 모든 Exchange 감사 이벤트를 스트리밍할 수 있습니다. 이 연결을 사용하면 대시보드를 보고, 사용자 지정 경고를 만들고, 조사를 개선할 수 있습니다. 이는 Microsoft Exchange 보안 통합 문서에서 온-프레미스 Exchange 환경의 보안 인사이트를 제공하는 데 사용됩니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

Event 예 아니요

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Azure Log Analytics는 사용되지 않으며, Azure VM에서 데이터를 수집하려면 Arc를 Azure 것이 좋습니다. 자세한 정보

자세한 설명서: >참고: 설치 절차 및 사용에 대한 자세한 설명서는 여기에서 확인할 수 있습니다.

설치 지침:

참고: 이 솔루션은 옵션을 기반으로 합니다. 이렇게 하면 일부 옵션이 매우 많은 양의 데이터를 생성할 수 있으므로 수집할 데이터를 선택할 수 있습니다. 수집하려는 항목에 따라 통합 문서, 분석 규칙, 헌팅 기능을 추적하여 배포할 옵션을 선택합니다. 각 옵션은 서로 독립적입니다. 각 옵션에 대해 자세히 알아보려면 'Microsoft Exchange Security' wiki

이 데이터 커넥터는 wiki의 옵션 1 입니다.

1. Microsoft Sentinel 로그를 수집하는 데 필요한 에이전트 다운로드 및 설치

서버 유형(Exchange Server, Exchange Server에 연결된 도메인 컨트롤러 또는 모든 도메인 컨트롤러)은 배포하려는 옵션에 따라 달라집니다.

모니터 에이전트 배포

이 단계는 Exchange Server/Domain Controllers 배포 Azure Arc 에이전트를 처음 온보딩한 경우에만 필요합니다. 자세한 정보

2. [옵션 1] MS Exchange 관리 로그 컬렉션 - MS Exchange 관리 데이터 수집 규칙에 의한 이벤트 로그 감사

MS Exchange 관리 감사 이벤트 로그는 DCR(데이터 수집 규칙)을 사용하여 수집되며 Exchange 환경에서 실행된 모든 관리 Cmdlet을 저장할 수 있습니다.

DCR

데이터 수집 규칙 배포

데이터 수집 규칙 사용 Microsoft Exchange 관리 감사 이벤트 로그는 Windows 에이전트에서만 수집됩니다.

옵션 1 - ARM(Azure Resource Manager) 템플릿(선호)

DCR의 자동화된 배포에 이 방법을 사용합니다.

아래 Azure 배포 단추를 클릭합니다.

aka.ms

기본 구독, 리소스 그룹 및 위치를 선택합니다.

작업 영역 이름 '및/또는 기타 필수 필드'를 입력합니다.

위에 명시된 사용 약관에 동의함을 표시하는 확인란을 표시합니다.

구매를 클릭하여 배포합니다.

옵션 2 - Azure Automation 수동 배포

다음 단계별 지침을 사용하여 데이터 수집 규칙을 수동으로 배포합니다.

대답. DCR 만들기, 이벤트 로그 입력

Azure 포털에서 Azure 데이터 수집 규칙으로 이동합니다.

위쪽에서 + 만들기 를 클릭합니다.

기본 탭에서 필요한 필드를 입력하고 플랫폼 유형으로 Windows를 선택하고 DCR에 이름을 지정합니다.

리소스 탭에서 Exchange Server를 입력합니다.

'수집 및 배달'에서 데이터 원본 형식 'Windows 이벤트 로그'를 추가하고 '사용자 지정' 옵션을 선택하고 식으로 'MSExchange Management'를 입력하고 추가합니다.

필요한 경우 '다른 바람직한 구성 변경'을 클릭한 다음 만들기를 클릭합니다.

모든 Exchange 서버에 DCR 할당

DCR에 모든 Exchange 서버 추가

참고: 이 데이터 커넥터는 Kusto 함수를 기반으로 하는 파서에 따라 예상대로 작동합니다. 파서는 솔루션과 함께 자동으로 배포됩니다. 단계에 따라 Kusto Functions 별칭: ExchangeAdminAuditLogs를 만듭니다.

파서는 솔루션 배포 중에 자동으로 배포됩니다. 수동으로 배포하려면 다음 단계를 수행합니다.

수동 파서 배포

1. 파서 파일 다운로드

최신 버전의 ExchangeAdminAuditLogs 파일

2. 파서 ExchangeAdminAuditLogs 함수 만들기

Microsoft Sentinel 로그 분석의 '로그' 탐색기에서 파일의 내용을 로그 탐색기에 복사합니다.

3. 파서 ExchangeAdminAuditLogs 함수 저장

저장 단추를 클릭합니다. 이 파서에는 매개 변수가 필요하지 않습니다. 저장을 다시 클릭합니다.

Microsoft Exchange HTTP 프록시 로그

지원자:커뮤니티

[옵션 7] - Azure Monitor 에이전트 사용 - Windows 에이전트를 사용하여 Microsoft Sentinel 작업 영역에 연결된 Windows 컴퓨터에서 HTTP 프록시 로그 및 보안 이벤트 로그를 스트리밍할 수 있습니다. 이 연결을 사용하면 사용자 지정 경고를 만들고 조사를 개선할 수 있습니다. 자세한 정보

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

ExchangeHttpProxy_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Azure Log Analytics는 더 이상 사용되지 않습니다. Azure Log Analytics는 더 이상 사용되지 않으며, Azure VM에서 데이터를 수집하려면 Arc를 Azure 것이 좋습니다. 자세한 정보

자세한 설명서: >참고: 설치 절차 및 사용에 대한 자세한 설명서는 여기에서 확인할 수 있습니다.

설치 지침:

참고: 이 솔루션은 옵션을 기반으로 합니다. 이렇게 하면 일부 옵션이 매우 많은 양의 데이터를 생성할 수 있으므로 수집할 데이터를 선택할 수 있습니다. 수집하려는 항목에 따라 통합 문서, 분석 규칙, 헌팅 기능을 추적하여 배포할 옵션을 선택합니다. 각 옵션은 서로 독립적입니다. 각 옵션에 대해 자세히 알아보려면 'Microsoft Exchange Security' wiki

이 데이터 커넥터는 wiki의 옵션 7 입니다.

1. Microsoft Sentinel 로그를 수집하는 데 필요한 에이전트 다운로드 및 설치

서버 유형(Exchange Server, Exchange Server에 연결된 도메인 컨트롤러 또는 모든 도메인 컨트롤러)은 배포하려는 옵션에 따라 달라집니다.

모니터 에이전트 배포

이 단계는 Exchange Server/Domain Controllers 배포 Azure Arc 에이전트를 처음 온보딩한 경우에만 필요합니다. 자세한 정보

2. [옵션 7] Exchange 서버의 HTTP 프록시

Exchange 서버의 HTTP 프록시를 스트리밍하는 방법 선택

데이터 수집 규칙 - Azure Monitor 에이전트를 사용하는 경우

데이터 수집 규칙 사용 메시지 추적은 Windows 에이전트에서만 수집됩니다.

옵션 1 - ARM(Azure Resource Manager) 템플릿(기본 메서드)

DCE 및 DCR의 자동화된 배포에 이 방법을 사용합니다.

대답. DCE 만들기(Exchange 서버에 대해 아직 만들어지지 않은 경우)

아래 Azure 배포 단추를 클릭합니다.

aka.ms

기본 구독, 리소스 그룹 및 위치를 선택합니다.

DCE의 제안된 이름을 변경할 수 있습니다.

만들기를 클릭하여 배포합니다.

B. 데이터 연결 규칙 배포

아래 Azure 배포 단추를 클릭합니다.

aka.ms

기본 구독, 리소스 그룹 및 위치를 선택합니다.

작업 영역 ID '및/또는 기타 필수 필드'를 입력합니다.

위에 명시된 사용 약관에 동의함을 표시하는 확인란을 표시합니다.

구매를 클릭하여 배포합니다.

옵션 2 - Azure Automation 수동 배포

다음 단계별 지침을 사용하여 데이터 수집 규칙을 수동으로 배포합니다.

사용자 지정 테이블 만들기 - 설명

사용자 지정 테이블은 Azure 포털을 사용하여 만들 수 없습니다. ARM 템플릿, PowerShell 스크립트 또는 여기에 설명된 다른 메서드를 사용해야 합니다.

ARM 템플릿을 사용하여 사용자 지정 테이블 만들기

아래 Azure 배포 단추를 클릭합니다.

aka.ms

기본 구독, 리소스 그룹, 위치 및 분석 작업 영역 이름을 선택합니다.

만들기를 클릭하여 배포합니다.

Cloud Shell PowerShell을 사용하여 사용자 지정 테이블 만들기

Azure 포털에서 Cloud Shell 엽니다.

복사하여 붙여넣고 Cloud Shell 다음 스크립트를 실행하여 테이블을 만듭니다. $tableParams = @' { "properties": { "schema": { "name": "ExchangeHttpProxy_CL", "columns": [ { "name": "AccountForestLatencyBreakup", "type": "string" }, { "name": "ActivityContextLifeTime", "type": "string" }, { "name": "ADLatency", "type": "string" }, { "name": "AnchorMailbox", "type": "string" }, { "name": "AuthenticatedUser", "type": "string" }, { "name": "AuthenticationType", "type": "string" }, { "name": "AuthModulePerfContext", "type": "string" }, { "name": "BackEndCookie", "type": "string" }, { "name": "BackEndGenericInfo", "type": "string" }, { "name": "BackendProcessingLatency", "type": "string" }, { "name": "BackendReqInitLatency", "type": "string" }, { "name": "BackendReqStreamLatency", "type": "string" }, { "name": "BackendRespInitLatency", "type": "string" }, { "name": "BackendRespStreamLatency", "type": "string" }, { "name": "BackEndStatus", "type": "string" }, { "name": "BuildVersion", "type": "string" }, { "name": "CalculateTargetBackEndLatency", "type": "string" }, { "name": "ClientIpAddress", "type": "string" }, { "name": "ClientReqStreamLatency", "type": "string" }, { "name": "ClientRequestId", "type": "string" }, { "name": "ClientRespStreamLatency", "type": "string" }, { "name": "CoreLatency", "type", "string" }, { "name": "DatabaseGuid", "type": "string" }, { "name": "EdgeTraceId", "type": "string" }, { "name": "ErrorCode", "type": "string" }, { "name": "GenericErrors", "type": "string" }, { "name": "GenericInfo", "type": "string" }, { { "name": "GlsLatencyBreakup", "type": "string" }, { "name": "HandlerCompletionLatency", "type": "string" }, { "name": "HandlerToModuleSwitchingLatency", "type": "string" }, { "name": "HttpPipelineLatency", "type": "string" }, { "name": "HttpProxyOverhead", "type": "string" }, { "name": "HttpStatus", "type": "string" }, { "name": "IsAuthenticated", "type": "string" }, { "name": "KerberosAuthHeaderLatency", "type": "string" }, { "name": "type": "string" }, { "name": "Method", "type": "string" }, { "name": "MinorVersion", "type": "string" }, { "name": "ModuleToHandlerSwitchingLatency", "type": "string" }, { "name": "Organization", "type": "string" }, { "name": "PartitionEndpointLookupLatency", "type": "string" }, { "name": "Protocol", "type": "string" }, { "name": "ProtocolAction", "type": "string" }, { "name": "ProxyAction", "type": "string" }, { "name": "ProxyTime", "type": "string" }, { "name": "RequestBytes", "type": "string" }, { "name": "RequestHandlerLatency", "type": "string" }, { "name": "RequestId", "type": "string" }, { "name": "ResourceForestLatencyBreakup", "type": "string" }, { "name": "ResponseBytes", "type": "string" }, { "name": "RevisionVersion", "type": "string" }, { "name": "RouteRefresherLatency", "type", "string" }, { "name": "RoutingHint", "type": "string" }, { "name": "RoutingLatency", "type": "string" }, { "name": "type": "string" }, { "name": "RoutingType", "type": "string" }, { "name": "ServerHostName", "type": "string" }, { "name": "ServerLocatorHost", "type": "string" }, { "name": "ServerLocatorLatency", "type": "string" }, { "name": "SharedCacheLatencyBreakup", "type": "string" }, { "name": "TargetOutstandingRequests", "type": "string" }, { "name": "TargetServer", "type": "string" }, { "name": "TargetServerVersion", "type": "string" }, { "name": "TotalAccountForestLatency", "type": "string" }, { "name": "TotalGlsLatency", "type": "string" }, { "name": "TotalRequestTime", "type": "string" }, { { "name": "TotalResourceForestLatency", "type": "string" }, { "name": "TotalSharedCacheLatency", "type": "string" }, { "name": "UrlHost", "type": "string" }, { "name", "type": "string" }, { "name", "UrlStem", "type": "string" }, { "name": "UserADObjectGuid", "type": "string" }, { "name": "UserAgent", "type": "string" }, { "name": "TimeGenerated", "type": "datetime" }, { "name": "FilePath", "type": "string" } } } @

고유한 값으로 다음 매개 변수를 복사, 바꾸기, 붙여넣기 및 실행합니다. $SubscriptionID = 'YourGUID' $ResourceGroupName = 'YourResourceGroupName' $WorkspaceName = 'YourWorkspaceName'

다음 Cmdlet을 실행하여 테이블을 만듭니다. Invoke-AzRestMethod -Path "/subscriptions/$SubscriptionID/resourcegroups/$ResourceGroupName/providers/microsoft.operationalinsights/workspaces/$WorkspaceName/tables/ExchangeHttpProxy_CL?api-version=2021-12-01-preview" -Method PUT -payload $tableParams

대답. DCE 만들기(Exchange 서버에 대해 아직 만들어지지 않은 경우)

Azure Portal에서 Azure Data 컬렉션 엔드포인트로 이동합니다.

위쪽에서 + 만들기 를 클릭합니다.

기본 탭에서 필요한 필드를 입력하고 DCE에 이름을 지정합니다.

필요한 경우 '다른 바람직한 구성 변경'을 클릭한 다음 만들기를 클릭합니다.

B. DCR 만들기, 사용자 지정 로그 입력

Azure 포털에서 Azure 데이터 수집 규칙으로 이동합니다.

'만들기' 단추를 클릭합니다.

'기본' 탭에서 DCR-Option7-HTTPProxyLogs와 같은 규칙 이름을 입력하고 이전에 만든 엔드포인트가 있는 '데이터 컬렉션 엔드포인트'를 선택하고 다른 매개 변수를 채웁니다.

리소스 탭에서 Exchange 서버를 추가합니다.

수집 및 배달에서 데이터 원본 형식 '사용자 지정 텍스트 로그'를 추가하고 'C:\Program Files\Microsoft\Exchange Server\V15\Logging\HttpProxy\Autodiscover*.log', 'C:\Program Files\Microsoft\Exchange Server\V15\Logging\HttpProxy\Eas*.log','C:\Program Files\ Microsoft\Exchange Server\V15\Logging\HttpProxy\Ecp*.log','C:\Program Files\Microsoft\Exchange Server\V15\Logging\HttpProxy\Ews*.log','C:\Program Files\Microsoft\Exchange Server\V15\Logging\HttpProxy\Mapi*.log','C:\Program Files\ Microsoft\Exchange Server\V15\Logging\HttpProxy\Oab*.log','C:\Program Files\Microsoft\Exchange Server\V15\Logging\HttpProxy \Owa*.log','C:\Program Files\Microsoft\Exchange Server\V15\Logging\HttpProxy\OwaCalendar*.log','C:\Program Files\Microsoft\Exchange Server\V15\Logging\HttpProxy\PowerShell*.log','C:\Program Files\Microsoft\Exchange Server\V15\Logging\HttpProxy\RpcHttp*.log'

테이블 이름에 'ExchangeHttpProxy_CL'을 넣습니다.

변환 필드에 다음 KQL 요청: source | 을 입력합니다. extend d = split(RawData,',') | extend DateTime=todatetime(d[0]),RequestId=tostring(d[1]) ,MajorVersion=tostring(d[2]) ,MinorVersion=tostring(d[[ 3]) ,BuildVersion=tostring(d[4]) ,RevisionVersion=tostring(d[5]) ,ClientRequestId=tostring(d[6]) ,Protocol =tostring(d[7]) ,UrlHost=tostring(d[8]) ,UrlStem=tostring(d[9]) ,ProtocolAction=tostring(d[10) ]) ,AuthenticationType=tostring(d[11]) ,IsAuthenticated=tostring(d[12]) ,AuthenticatedUser=tostring(d[13]) , Organization=tostring(d[14]) ,AnchorMailbox=tostring(d[15]) ,UserAgent=tostring(d[16]) ,ClientIpAddress=tostring(d[[ 17]) ,ServerHostName=tostring(d[18]) ,HttpStatus=tostring(d[19]) ,BackEndStatus=tostring(d[20]) , ErrorCode=tostring(d[21]) ,Method=tostring(d[22]) ,ProxyAction=tostring(d[23]) ,TargetServer=tostring(d[2) 4]) ,TargetServerVersion=tostring(d[25]) ,RoutingType=tostring(d[26]) ,RoutingHint=tostring(d[27]) , BackEndCookie=tostring(d[28]) ,ServerLocatorHost=tostring(d[29]) ,ServerLocatorLatency=tostring(d[30]) ,RequestBytes =tostring(d[31]) ,ResponseBytes=tostring(d[32]) ,TargetOutstandingRequests=tostring(d[33]) ,AuthModulePerfContext=tostring(d[34]) ,HttpPipelineLatency=tostring(d[35]) ,CalculateTargetBackEndLatency=tostring(d[36]) ,GlsLatencyBreakup=tostring(d[37]) ,TotalGlsLatency=tostring(d[38]) ,AccountForestLatencyBreakup=tostring(d[39]) , TotalAccountForestLatency=tostring(d[40]) ,ResourceForestLatencyBreakup=tostring(d[41]) ,TotalResourceForestLatency=tostring(d[4) 2]) ,ADLatency=tostring(d[43]) ,SharedCacheLatencyBreakup=tostring(d[44]) ,TotalSharedCacheLatency=tostring() d[45]) ,ActivityContextLifeTime=tostring(d[46]) ,ModuleToHandlerSwitchingLatency=tostring(d[47]) ,ClientReqStreamLatency =tostring(d[48]) ,BackendReqInitLatency=tostring(d[49]) ,BackendReqStreamLatency=tostring(d[50]) , BackendProcessingLatency=tostring(d[51]) ,BackendRespInitLatency=tostring(d[52]) ,BackendRespStreamLatency=tostring(d[5) 3]) ,ClientRespStreamLatency=tostring(d[54]) ,KerberosAuthHeaderLatency=tostring(d[55]) ,HandlerCompletionLatency=tostring(d) [56]) ,RequestHandlerLatency=tostring(d[57]) ,HandlerToModuleSwitchingLatency=tostring(d[58]) ,ProxyTime=tostring(d[59]) ,CoreLatency=tostring(d[60]) ,RoutingLatency=tostring(d[61]) ,HttpProxyOverhead=tostring(d[62]) , TotalRequestTime=tostring(d[63]) ,RouteRefresherLatency=tostring(d[64]) ,UrlQuery=tostring(d[65]) ,BackEndGenericInfo=tostring(d[66]) ,GenericInfo=tostring(d[67]) ,GenericErrors=tostring() d[68]) ,EdgeTraceId=tostring(d[69]) ,DatabaseGuid=tostring(d[70]) ,UserADObjectGuid=tostring(d[71]) ,PartitionEndpointLookupLatency=tostring(d[72]) ,RoutingStatus=tostring(d[73]) | extend TimeGenerated = DateTime | project-away d,RawData,DateTime | project-away d,RawData,DateTime을 클릭하고 '대상'을 클릭합니다.

'대상'에서 대상을 추가하고 이전에 사용자 지정 테이블을 만든 작업 영역을 선택합니다.

'데이터 원본 추가'를 클릭합니다.

다른 필수 매개 변수 및 태그를 채우고 DCR을 만듭니다.

모든 Exchange 서버에 DCR 할당

DCR에 모든 Exchange 서버 추가

Microsoft Exchange 로그 및 이벤트

지원자:커뮤니티

[옵션 2] - Azure Monitor 에이전트 사용 - Windows 에이전트를 사용하여 Microsoft Sentinel 작업 영역에 연결된 Windows 컴퓨터에서 모든 Exchange Security & 애플리케이션 이벤트 로그를 스트리밍할 수 있습니다. 이 연결을 사용하면 사용자 지정 경고를 만들고 조사를 개선할 수 있습니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

Event 예 아니요

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Azure Log Analytics는 더 이상 사용되지 않습니다. Azure Log Analytics는 더 이상 사용되지 않으며, Azure VM에서 데이터를 수집하려면 Arc를 Azure 것이 좋습니다. 자세한 정보

자세한 설명서: >참고: 설치 절차 및 사용에 대한 자세한 설명서는 여기에서 확인할 수 있습니다.

설치 지침:

참고: 이 솔루션은 옵션을 기반으로 합니다. 이렇게 하면 일부 옵션이 매우 많은 양의 데이터를 생성할 수 있으므로 수집할 데이터를 선택할 수 있습니다. 수집하려는 항목에 따라 통합 문서, 분석 규칙, 헌팅 기능을 추적하여 배포할 옵션을 선택합니다. 각 옵션은 서로 독립적입니다. 각 옵션에 대해 자세히 알아보려면 'Microsoft Exchange Security' wiki

이 데이터 커넥터는 wiki의 옵션 2 입니다.

1. Microsoft Sentinel 로그를 수집하는 데 필요한 에이전트 다운로드 및 설치

서버 유형(Exchange Server, Exchange Server에 연결된 도메인 컨트롤러 또는 모든 도메인 컨트롤러)은 배포하려는 옵션에 따라 달라집니다.

모니터 에이전트 배포

이 단계는 Exchange Server/Domain Controllers 배포 Azure Arc 에이전트를 처음 온보딩한 경우에만 필요합니다. 자세한 정보

2. [옵션 2] Exchange 서버의 보안/애플리케이션/시스템 로그

Exchange Server의 보안/애플리케이션/시스템 로그는 DCR(데이터 수집 규칙)을 사용하여 수집됩니다.

보안 이벤트 로그 수집

데이터 수집 규칙 - 보안 이벤트 로그

보안 로그 보안 이벤트 로그에 대한 데이터 수집 규칙 사용은 Windows 에이전트에서만 수집됩니다.

리소스 탭에 Exchange Server 를 추가합니다 .

보안 로그 수준 선택

공통 수준은 최소 필수 수준입니다. DCR 정의에서 '일반' 또는 '모든 보안 이벤트'를 선택하세요.

에이전트 설치: <설치 시 제공되는 변수 값>

애플리케이션 및 시스템 이벤트 로그 수집

데이터 수집 규칙 사용

애플리케이션 및 시스템 이벤트 로그는 Windows 에이전트에서만 수집됩니다.

옵션 1 - ARM(Azure Resource Manager) 템플릿(기본 메서드)

DCR의 자동화된 배포에 이 방법을 사용합니다.

아래 Azure 배포 단추를 클릭합니다.

aka.ms

기본 구독, 리소스 그룹 및 위치를 선택합니다.

작업 영역 이름 '및/또는 기타 필수 필드'를 입력합니다.

위에 명시된 사용 약관에 동의함을 표시하는 확인란을 표시합니다.

구매를 클릭하여 배포합니다.

옵션 2 - Azure Automation 수동 배포

다음 단계별 지침을 사용하여 데이터 수집 규칙을 수동으로 배포합니다.

대답. DCR 만들기, 이벤트 로그 입력

Azure 포털에서 Azure 데이터 수집 규칙으로 이동합니다.

위쪽에서 + 만들기 를 클릭합니다.

기본 탭에서 필요한 필드를 입력하고 플랫폼 유형으로 Windows를 선택하고 DCR에 이름을 지정합니다.

리소스 탭에서 Exchange Server를 입력합니다.

'수집 및 배달'에서 데이터 원본 형식 'Windows 이벤트 로그'를 추가하고 '기본' 옵션을 선택합니다.

애플리케이션에서 '위험', '오류' 및 '경고'를 선택합니다. 시스템에서 위험/오류/경고/정보를 선택합니다.

필요한 경우 '다른 바람직한 구성 변경'을 클릭한 다음 만들기를 클릭합니다.

모든 Exchange 서버에 DCR 할당

DCR에 모든 Exchange 서버 추가

Microsoft Exchange 메시지 추적 로그

지원자:커뮤니티

[옵션 6] - Azure Monitor 에이전트 사용 - Windows 에이전트를 사용하여 Microsoft Sentinel 작업 영역에 연결된 Windows 컴퓨터에서 모든 Exchange 메시지 추적을 스트리밍할 수 있습니다. 이러한 로그를 사용하여 Exchange 환경에서 메시지 흐름을 추적할 수 있습니다. 이 데이터 커넥터는 Microsoft Exchange Security wiki의 옵션 6을 기반으로 합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

MessageTrackingLog_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Azure Log Analytics는 더 이상 사용되지 않습니다. Azure Log Analytics는 더 이상 사용되지 않으며, Azure VM에서 데이터를 수집하려면 Arc를 Azure 것이 좋습니다. 자세한 정보

자세한 설명서: >참고: 설치 절차 및 사용에 대한 자세한 설명서는 여기에서 확인할 수 있습니다.

설치 지침:

참고: 이 솔루션은 옵션을 기반으로 합니다. 이렇게 하면 일부 옵션이 매우 많은 양의 데이터를 생성할 수 있으므로 수집할 데이터를 선택할 수 있습니다. 수집하려는 항목에 따라 통합 문서, 분석 규칙, 헌팅 기능을 추적하여 배포할 옵션을 선택합니다. 각 옵션은 서로 독립적입니다. 각 옵션에 대해 자세히 알아보려면 'Microsoft Exchange Security' wiki

이 데이터 커넥터는 wiki의 옵션 6 입니다.

1. Microsoft Sentinel 로그를 수집하는 데 필요한 에이전트 다운로드 및 설치

서버 유형(Exchange Server, Exchange Server에 연결된 도메인 컨트롤러 또는 모든 도메인 컨트롤러)은 배포하려는 옵션에 따라 달라집니다.

모니터 에이전트 배포

이 단계는 Exchange Server/Domain Controllers 배포 Azure Arc 에이전트를 처음 온보딩한 경우에만 필요합니다. 자세한 정보

2. Exchange 서버의 메시지 추적

Exchange 서버의 메시지 추적을 스트리밍하는 방법 선택

데이터 수집 규칙 - Azure Monitor 에이전트를 사용하는 경우

데이터 수집 규칙 사용 메시지 추적은 Windows 에이전트에서만 수집됩니다.

옵션 1 - ARM(Azure Resource Manager) 템플릿

DCE 및 DCR의 자동화된 배포에 이 방법을 사용합니다.

대답. DCE 만들기(Exchange 서버에 대해 아직 만들어지지 않은 경우)

아래 Azure 배포 단추를 클릭합니다.

aka.ms

기본 구독, 리소스 그룹 및 위치를 선택합니다.

DCE의 제안된 이름을 변경할 수 있습니다.

만들기를 클릭하여 배포합니다.

B. 데이터 연결 규칙 및 사용자 지정 테이블 배포

아래 Azure 배포 단추를 클릭합니다.

aka.ms

기본 구독, 리소스 그룹 및 위치를 선택합니다.

작업 영역 ID '및/또는 기타 필수 필드'를 입력합니다.

위에 명시된 사용 약관에 동의함을 표시하는 확인란을 표시합니다.

구매를 클릭하여 배포합니다.

옵션 2 - Azure Automation 수동 배포

다음 단계별 지침을 사용하여 데이터 수집 규칙을 수동으로 배포합니다.

사용자 지정 테이블 만들기 - 설명

사용자 지정 테이블은 Azure 포털을 사용하여 만들 수 없습니다. ARM 템플릿, PowerShell 스크립트 또는 여기에 설명된 다른 메서드를 사용해야 합니다.

ARM 템플릿을 사용하여 사용자 지정 테이블 만들기

아래 Azure 배포 단추를 클릭합니다.

aka.ms

기본 구독, 리소스 그룹, 위치 및 분석 작업 영역 이름을 선택합니다.

만들기를 클릭하여 배포합니다.

Cloud Shell PowerShell을 사용하여 사용자 지정 테이블 만들기

Azure 포털에서 Cloud Shell 엽니다.

복사하여 붙여넣고 Cloud Shell 다음 스크립트를 실행하여 테이블을 만듭니다. $tableParams = @' { "properties": { "schema": { "name": "MessageTrackingLog_CL", "columns": [ { "name": "directionality", "type": "string" }, { "name": "reference", "type": "string" }, { "name": "source", "type": "string" }, { "name": "TimeGenerated", "type": "datetime" }, { "name": "clientHostname", "type": "string" }, { "name": "clientIP", "type": "string" }, { "name": "connectorId", "type": "string" }, { "name": "customData", "type": "string" }, { "name": "eventId", "type": "string" }, { "name": "internalMessageId", "type": "string" }, { "name": "logId", "type": "string" }, { "name": "messageId", "type": "string" }, { "name": "messageInfo", "type": "string" }, { "name": "type": "string" }, { "name", "networkMessageId", "type": "string" }, { "name": "originalClientIp", "type": "string" }, { "name": "originalServerIp", "type": "string" }, { "name": "recipientAddress", "type": "string" }, { "name": "recipientCount", "type": "string" }, { "name": "recipientStatus", "type": "string" }, { "name": "relatedRecipientAddress", "type": "string" }, { "name": "returnPath", "type": "string" }, { "name": "senderAddress", "type": "string" }, { "name": "senderHostname", "type": "string" }, { "name": "serverIp", "type": "string" }, { "name": "sourceContext", "type": "string" }, { "name": "schemaVersion", "type": "string" }, { "name": "messageTrackingTenantId", "type": "string" }, { "name": "totalBytes", "type": "string" }, { "name": "transportTrafficType", "type": "string" }, { "name": "FilePath", "type": "string" } ] } } } ' @

고유한 값으로 다음 매개 변수를 복사, 바꾸기, 붙여넣기 및 실행합니다. $SubscriptionID = 'YourGUID' $ResourceGroupName = 'YourResourceGroupName' $WorkspaceName = 'YourWorkspaceName'

다음 Cmdlet을 실행하여 테이블을 만듭니다. Invoke-AzRestMethod -Path "/subscriptions/$SubscriptionID/resourcegroups/$ResourceGroupName/providers/microsoft.operationalinsights/workspaces/$WorkspaceName/tables/MessageTrackingLog_CL?api-version=2021-12-01-preview" -Method PUT -payload $tableParams

대답. DCE 만들기(Exchange 서버에 대해 아직 만들어지지 않은 경우)

Azure Portal에서 Azure Data 컬렉션 엔드포인트로 이동합니다.

위쪽에서 + 만들기 를 클릭합니다.

기본 탭에서 필요한 필드를 입력하고 DCE에 이름을 지정합니다(예: ESI-ExchangeServers).

필요한 경우 '다른 바람직한 구성 변경'을 클릭한 다음 만들기를 클릭합니다.

B. DCR 만들기, 사용자 지정 로그 입력

Azure 포털에서 Azure 데이터 수집 규칙으로 이동합니다.

'만들기' 단추를 클릭합니다.

'기본' 탭에서 DCR-Option6-MessageTrackingLogs와 같은 규칙 이름을 채우고 이전에 만든 엔드포인트가 있는 '데이터 컬렉션 엔드포인트'를 선택하고 다른 매개 변수를 채웁니다.

리소스 탭에서 Exchange 서버를 추가합니다.

수집 및 배달에서 데이터 원본 형식 '사용자 지정 텍스트 로그'를 추가하고 파일 패턴에 'C:\Program Files\Microsoft\Exchange Server\V15\TransportRoles\Logs\MessageTracking*.log'을 입력하고 테이블 이름에 'MessageTrackingLog_CL'을 입력합니다. 변환 필드를 6.in 다음 KQL 요청: source | 을 입력합니다. extend d = split(RawData,',') | extend TimeGenerated =todatetime(d[0]) ,clientIP =tostring(d[1]) ,clientHostname =tostring(d[2]) ,serverIp=tostring(d) [3]) ,senderHostname=tostring(d[4]) ,sourceContext=tostring(d[5]) ,connectorId =tostring(d[6]) ,source =tostring(d[7]) ,eventId =tostring(d[8]) ,internalMessageId =tostring(d[9]) ,messageId =tostring(d[1) 0]) ,networkMessageId =tostring(d[11]) ,recipientAddress=tostring(d[12]) ,recipientStatus=tostring(d[13]) , totalBytes=tostring(d[14]) ,recipientCount=tostring(d[15]) ,relatedRecipientAddress=tostring(d[16]) ,reference=tostring(d[[) 17]) ,messageSubject =tostring(d[18]) ,senderAddress=tostring(d[19]) ,returnPath=tostring(d[20]) ,messageInfo =tostring(d[21]) ,directionality=tostring(d[22]) ,messageTrackingTenantId =tostring(d[23]) ,originalClientIp =tostring(d) [24]) ,originalServerIp =tostring(d[25]) ,customData=tostring(d[26]) ,transportTrafficType =tostring(d[27]) , logId =tostring(d[28]) ,schemaVersion=tostring(d[29]) | project-away d,RawData를 클릭하고 '대상'을 클릭합니다.

'대상'에서 대상을 추가하고 이전에 사용자 지정 테이블을 만든 작업 영역을 선택합니다.

'데이터 원본 추가'를 클릭합니다.

다른 필수 매개 변수 및 태그를 채우고 DCR을 만듭니다.

모든 Exchange 서버에 DCR 할당

DCR에 모든 Exchange 서버 추가

Microsoft Power Automate

지원:Microsoft Corporation

Power Automate는 사용자가 파일을 동기화하고, 알림을 받고, 데이터를 수집하는 등 앱과 서비스 간에 자동화된 워크플로를 만들 수 있도록 도와주는 Microsoft 서비스입니다. 수동적이고 반복적인 작업을 줄이고 생산성을 향상시켜 태스크 자동화를 간소화하고 효율성을 높입니다. Power Automate 데이터 커넥터는 Microsoft Purview 감사 로그에서 power Automate 활동 로그를 Microsoft Sentinel 수집하는 기능을 제공합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

PowerAutomateActivity 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

테넌트 권한: 작업 영역의 테넌트에서 '보안 관리자' 또는 '전역 관리자'입니다.

Micorosft Purview 감사: Microsoft Purview 감사(Standard 또는 프리미엄)를 활성화해야 합니다.

설치 지침:

Microsoft Power Automate 감사 로그를 Microsoft Sentinel 연결

이 커넥터는 Office 관리 API를 사용하여 Power Automate 감사 로그를 가져옵니다. 로그는 기존 Microsoft Sentinel 작업 영역에 저장되고 처리됩니다. PowerAutomateActivity 테이블에서 데이터를 찾을 수 있습니다.

연결 사용/사용 안 함

Microsoft Power Platform 관리 활동

지원:Microsoft Corporation

Microsoft Power Platform은 사용자 지정 앱 만들기, 워크플로 자동화 및 최소한의 코딩으로 데이터 분석을 사용하도록 설정하여 시민과 프로 개발자가 비즈니스 프로세스를 간소화할 수 있도록 하는 로우 코드/코드 없는 제품군입니다. Power Platform 관리 데이터 커넥터는 Microsoft Purview 감사 로그에서 Power Platform 관리자 활동 로그를 Microsoft Sentinel 수집하는 기능을 제공합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

PowerPlatformAdminActivity 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

테넌트 권한: 작업 영역의 테넌트에서 '보안 관리자' 또는 '전역 관리자'입니다.

Micorosft Purview 감사: Microsoft Purview 감사(Standard 또는 프리미엄)를 활성화해야 합니다.

설치 지침:

Microsoft Power Platform 관리 활동 감사 로그를 Microsoft Sentinel 연결

이 커넥터는 Office 관리 API를 사용하여 Power Platform 관리자 감사 로그를 가져옵니다. 로그는 기존 Microsoft Sentinel 작업 영역에 저장되고 처리됩니다. PowerPlatformAdminActivity 테이블에서 데이터를 찾을 수 있습니다.

연결 사용/사용 안 함

Microsoft PowerBI

지원:Microsoft Corporation

Microsoft PowerBI는 관련 없는 데이터 원본을 일관되고 시각적으로 몰입형 대화형 인사이트를 만들기 위해 함께 작동하는 소프트웨어 서비스, 앱 및 커넥터 컬렉션입니다. 데이터는 Excel 스프레드시트, 클라우드 기반 및 온-프레미스 하이브리드 데이터 웨어하우스 컬렉션 또는 다른 유형의 데이터 저장소일 수 있습니다. 이 커넥터를 사용하면 PowerBI 감사 로그를 Microsoft Sentinel 스트리밍하여 PowerBI 환경에서 사용자 활동을 추적할 수 있습니다. 날짜 범위, 사용자, dashboard, 보고서, 데이터 세트 및 활동 유형별로 감사 데이터를 필터링할 수 있습니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

PowerBIActivity 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

Microsoft Project

지원:Microsoft

MSP(Microsoft Project)는 프로젝트 관리 소프트웨어 솔루션입니다. 계획에 따라 Microsoft Project를 사용하면 프로젝트를 계획하고, 작업을 할당하고, 리소스를 관리하고, 보고서를 만드는 등의 작업을 수행할 수 있습니다. 이 커넥터를 사용하면 프로젝트 활동을 추적하기 위해 Azure Project 감사 로그를 Microsoft Sentinel 스트리밍할 수 있습니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

ProjectActivity 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

Microsoft Purview

지원:Microsoft Corporation

Microsoft Purview에 연결하여 Microsoft Sentinel 데이터 민감도 보강을 사용하도록 설정합니다. Microsoft Purview 검사의 데이터 분류 및 민감도 레이블 로그는 통합 문서, 분석 규칙 등을 통해 수집 및 시각화할 수 있습니다. 자세한 내용은 Microsoft Sentinel 설명서를 참조하세요.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

PurviewDataSensitivityLogs 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

설치 지침:

Microsoft Purview를 Microsoft Sentinel 연결

Azure 포털 내에서 Purview 리소스로 이동합니다.

검색 창에서 Purview 계정을 검색합니다.

Sentinel 설정하려는 특정 계정을 선택합니다.

Microsoft Purview 리소스 내부: 3. 진단 설정을 선택합니다. 4. + 진단 설정 추가를 선택합니다. 5. 진단 설정 블레이드에서:

로그 범주를 DataSensitivityLogEvent로 선택합니다.

Log Analytics로 보내기를 선택합니다.

로그 대상 작업 영역을 선택했습니다. Microsoft Sentinel 사용하는 것과 동일한 작업 영역이어야 합니다.

저장을 클릭합니다.

Microsoft Purview Information Protection

지원:Microsoft Corporation

Microsoft Purview Information Protection 중요한 정보를 검색, 분류, 보호 및 관리하는 데 도움이 됩니다. 이러한 기능을 사용하면 데이터를 알고, 중요한 항목을 식별하고, 데이터를 더 잘 보호하는 데 사용되는 방법을 파악할 수 있습니다. 민감도 레이블은 보호 작업, 암호화 적용, 액세스 제한 및 시각적 표시를 제공하는 기본 기능입니다. Microsoft Purview Information Protection 로그를 Microsoft Sentinel 통합하여 대시보드를 보고, 사용자 지정 경고를 만들고, 조사를 개선합니다. 자세한 내용은 Microsoft Sentinel 설명서를 참조하세요.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

MicrosoftPurviewInformationProtection 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

Mimecast 감사

지원:Mimecast

Mimecast Audit용 데이터 커넥터는 고객에게 Microsoft Sentinel 내의 감사 및 인증 이벤트와 관련된 보안 이벤트에 대한 가시성을 제공합니다. 데이터 커넥터는 분석가가 사용자 활동에 대한 인사이트를 보고, 인시던트 상관 관계를 지원하며, 사용자 지정 경고 기능과 함께 조사 응답 시간을 줄일 수 있도록 미리 만들어진 대시보드를 제공합니다.
커넥터에 포함된 Mimecast 제품은 다음과 같습니다. 감사

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

Audit_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Azure 구독: Microsoft Entra ID 애플리케이션을 등록하고 리소스 그룹의 앱에 기여자 역할을 할당하려면 소유자 역할이 있는 Azure 구독이 필요합니다.

Microsoft.Web/sites 권한: 함수 앱을 만들기 위한 Azure Functions 읽기 및 쓰기 권한이 필요합니다. 자세한 내용은 Azure Functions 참조하세요.

REST API 자격 증명/권한: Rest API 참조에 대한 API에 대한 자세한 내용은 설명서를 참조하세요.

설치 지침:

참고: 이 커넥터는 Azure Functions 사용하여 Mimecast API에 연결하여 로그를 Microsoft Sentinel 끌어올 수 있습니다. 이로 인해 추가 데이터 수집 비용이 발생할 수 있습니다. 자세한 내용은 Azure Functions 가격 책정 페이지를 확인하세요.

(선택적 단계) 작업 영역 및 API 권한 부여 키 또는 토큰을 Azure Key Vault 안전하게 저장합니다. Azure Key Vault 키 값을 저장하고 검색하는 보안 메커니즘을 제공합니다. 다음 지침에 따라 Azure 함수 앱에서 Azure Key Vault 사용합니다.

구성:

1단계 - Mimecast API에 대한 구성 단계

Azure Portal ---> 앱 등록 ---> [your_app] ---> 인증서 & 비밀 ---> 새 클라이언트 비밀로 이동하여 새 비밀을 만듭니다(나중에 미리 볼 수 없으므로 즉시 안전한 곳에 값 저장).

2단계 - Mimecast API 커넥터 배포

중요: Mimecast API 커넥터를 배포하기 전에 Mimecast API 권한 부여 키 또는 토큰을 쉽게 사용할 수 있습니다.

3단계 - Microsoft Entra ID 애플리케이션에 대한 앱 등록 단계

이 통합에는 Azure Portal 앱 등록이 필요합니다. 이 섹션의 단계에 따라 Microsoft Entra ID 새 애플리케이션을 만듭니다.

Azure 포털에 로그인합니다.

Microsoft Entra ID 검색하여 선택합니다.

관리에서 새 등록 앱 등록 > 선택합니다.

애플리케이션의 표시 이름을 입력합니다.

등록을 선택하여 초기 앱 등록을 완료합니다.

등록이 완료되면 Azure Portal 앱 등록의 개요 창이 표시됩니다. 애플리케이션(클라이언트) ID 및 테넌트 ID가 표시됩니다. 클라이언트 ID 및 테넌트 ID는 TenableVM 데이터 커넥터 실행을 위한 구성 매개 변수로 필요합니다.

참조 링크:/azure/active-directory/develop/quickstart-register-app

4단계 - Microsoft Entra ID 애플리케이션에 대한 클라이언트 암호 추가

애플리케이션 암호라고도 하는 클라이언트 암호는 TenableVM 데이터 커넥터를 실행하는 데 필요한 문자열 값입니다. 이 섹션의 단계에 따라 새 클라이언트 암호를 만듭니다.

Azure Portal 앱 등록 애플리케이션을 선택합니다.

인증서 & 비밀 > 클라이언트 비밀 새 클라이언트 비밀을 >선택합니다.

클라이언트 비밀에 대한 설명을 추가합니다.

비밀에 대한 만료를 선택하거나 사용자 지정 수명을 지정합니다. 한도는 24개월입니다.

추가를 선택합니다.

클라이언트 애플리케이션 코드에서 사용할 비밀 값을 기록합니다. 이 비밀 값은 이 페이지를 떠난 후에 다시는 표시되지 않습니다. 비밀 값은 TenableVM Data Connector를 실행하기 위한 구성 매개 변수로 필요합니다.

참조 링크:/azure/active-directory/develop/quickstart-register-app#add-a-client-secret

5단계 - Microsoft Entra ID 애플리케이션의 개체 ID 가져오기

앱 등록을 만든 후 이 섹션의 단계에 따라 개체 ID를 가져옵니다.

Microsoft Entra ID 이동합니다.

왼쪽 메뉴에서 엔터프라이즈 애플리케이션 을 선택합니다.

목록에서 새로 만든 애플리케이션을 찾습니다(제공한 이름으로 검색할 수 있습니다).

애플리케이션을 클릭합니다.

개요 페이지에서 개체 ID를 복사합니다. ARM 템플릿 역할 할당에 필요한 AzureEntraObjectId 입니다.

Mimecast Audit Data Connector를 배포합니다.

Mimecast Audit Data 커넥터의 자동화된 배포에 이 방법을 사용합니다.

아래 Azure 배포 단추를 클릭합니다.

aka.ms aka.ms

기본 구독, 리소스 그룹 및 지역을 선택합니다.

아래 정보를 입력합니다.

a. 위치 - 데이터 수집 규칙 및 데이터 수집 엔드포인트를 배포해야 하는 위치

b. WorkspaceName - Log Analytics 작업 영역의 Microsoft Sentinel 작업 영역 이름 입력

c. AzureClientID - 앱 등록 중에 만든 Azure 클라이언트 ID를 입력합니다.

d. AzureClientSecret - 클라이언트 비밀을 만드는 동안 만든 Azure 클라이언트 암호를 입력합니다.

e. AzureTenantID - Azure Active Directory의 Azure 테넌트 ID를 입력합니다.

f. AzureEntraObjectID - Microsoft Entra 앱의 개체 ID 입력

g. MimecastBaseURL - Mimecast API 2.0의 기본 URL을 입력합니다(예: ). https://api.services.mimecast.com

h. MimecastClientID - 인증을 위해 Mimecast 클라이언트 ID 입력

i. MimecastClientSecret - 인증을 위해 Mimecast 클라이언트 암호를 입력합니다.

j. MimecastAuditTableName - 감사 데이터를 저장하는 데 사용되는 테이블의 이름을 입력합니다. 기본값은 'Audit'입니다.

k. StartDate - 시작 날짜를 'yyyy-mm-dd' 형식으로 입력합니다. 날짜를 제공하지 않으면 지난 60일의 데이터가 자동으로 페치됩니다. 날짜가 과거이고 올바르게 서식이 지정되었는지 확인합니다.

L. 일정 - 유효한 석영 cron-expression을 입력하세요. (예: 0 0 */1 * * *) 값을 비워 두지 마세요. 최소값은 10분입니다.

M. LogLevel - 로그 수준 또는 로그 심각도 값을 추가하세요. 기본적으로 INFO로 설정됩니다.

N. AppInsightsWorkspaceResourceId - 2024년 2월 29일로 사용 중지되는 Log Analytic 작업 영역으로 클래식 Application Insights를 마이그레이션합니다. '리소스 ID' 속성 값이 있는 'Log Analytic 작업 영역-->속성' 블레이드를 사용합니다. '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}' 형식의 정규화된 resourceId입니다.

위에 명시된 사용 약관에 동의함을 표시하는 확인란을 표시합니다.

구매를 클릭하여 배포합니다.

Mimecast 감사 & 인증(Azure Functions 사용)

지원:Mimecast

Mimecast Audit & Authentication에 대한 데이터 커넥터는 고객에게 Microsoft Sentinel 내의 감사 및 인증 이벤트와 관련된 보안 이벤트에 대한 가시성을 제공합니다. 데이터 커넥터는 분석가가 사용자 활동에 대한 인사이트를 보고, 인시던트 상관 관계를 지원하며, 사용자 지정 경고 기능과 함께 조사 응답 시간을 줄일 수 있도록 미리 만들어진 대시보드를 제공합니다.
커넥터에 포함된 Mimecast 제품은 다음과 같습니다. 감사 & 인증

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

MimecastAudit_CL 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

Microsoft.Web/sites 권한: 함수 앱을 만들기 위한 Azure Functions 읽기 및 쓰기 권한이 필요합니다. 자세한 내용은 Azure Functions 참조하세요.

Mimecast API 자격 증명: 통합을 구성하려면 다음 정보가 있어야 합니다.

mimecastEmail: 전용 Mimecast 관리 사용자의 Email 주소

mimecastPassword: 전용 Mimecast 관리 사용자의 암호

mimecastAppId: Mimecast에 등록된 Mimecast Microsoft Sentinel 앱의 API 애플리케이션 ID

mimecastAppKey: Mimecast에 등록된 Mimecast Microsoft Sentinel 앱의 API 애플리케이션 키

mimecastAccessKey: 전용 Mimecast 관리 사용자에 대한 액세스 키

mimecastSecretKey: 전용 Mimecast 관리자용 비밀 키

mimecastBaseURL: Mimecast 지역 API 기본 URL

전용 Mimecast 관리 사용자의 액세스 키 및 비밀 키와 함께 Mimecast 애플리케이션 ID, 애플리케이션 키는 Mimecast 관리 콘솔: 관리 | 서비스 | API 및 플랫폼 통합.

각 지역에 대한 Mimecast API 기본 URL은 다음과 같습니다. https://integrations.mimecast.com/documentation/api-overview/global-base-urls/

리소스 그룹: 사용하려는 구독을 사용하여 리소스 그룹을 만들어야 합니다.

함수 앱: 이 커넥터를 사용하려면 Azure 앱 등록해야 합니다.

애플리케이션 ID

테넌트 ID

클라이언트 ID

클라이언트 암호

설치 지침:

참고: 이 커넥터는 Azure Functions 사용하여 Mimecast API에 연결하여 로그를 Microsoft Sentinel 끌어올 수 있습니다. 이로 인해 추가 데이터 수집 비용이 발생할 수 있습니다. 자세한 내용은 Azure Functions 가격 책정 페이지를 확인하세요.

(선택적 단계) 작업 영역 및 API 권한 부여 키 또는 토큰을 Azure Key Vault 안전하게 저장합니다. Azure Key Vault 키 값을 저장하고 검색하는 보안 메커니즘을 제공합니다. 다음 지침에 따라 Azure 함수 앱에서 Azure Key Vault 사용합니다.

구성:

1단계 - Mimecast API에 대한 구성 단계

Azure Portal ---> 앱 등록 ---> [your_app] ---> 인증서 & 비밀 ---> 새 클라이언트 비밀로 이동하여 새 비밀을 만듭니다(나중에 미리 볼 수 없으므로 즉시 안전한 곳에 값 저장).

2단계 - Mimecast API 커넥터 배포

중요: Mimecast API 커넥터를 배포하기 전에 작업 영역 ID 및 작업 영역 기본 키(다음에서 복사할 수 있음)와 Mimecast API 권한 부여 키 또는 토큰을 쉽게 사용할 수 있습니다.

작업 영역 ID: <설치 시 제공되는 변수 값>

기본 키: <설치 시 제공되는 변수 값>

Mimecast 감사 & 인증 데이터 커넥터를 배포합니다.

아래 Azure 배포 단추를 클릭합니다.

aka.ms

기본 구독, 리소스 그룹 및 위치를 선택합니다.

다음 필드를 입력합니다.

appName: Azure 플랫폼에서 앱의 ID로 사용할 고유 문자열

objectId: Azure Portal --- Azure> Active Directory --- 자세한 정보 --->> 프로필 -----> 개체 ID

appInsightsLocation(기본값): westeurope

mimecastEmail: 이 무결성에 대한 전용 사용자의 Email 주소

mimecastPassword: 전용 사용자에 대한 암호

mimecastAppId: Mimecast에 등록된 Microsoft Sentinel 앱의 애플리케이션 ID

mimecastAppKey: Mimecast에 등록된 Microsoft Sentinel 앱의 애플리케이션 키

mimecastAccessKey: 전용 Mimecast 사용자에 대한 액세스 키

mimecastSecretKey: 전용 Mimecast 사용자를 위한 비밀 키

mimecastBaseURL: 지역 Mimecast API 기본 URL

activeDirectoryAppId: Azure Portal ---> 앱 등록 ---> [your_app] ---> 애플리케이션 ID

activeDirectoryAppSecret: Azure Portal --- 앱 등록 --->> [your_app] ---> 인증서 & 비밀 ---> [your_app_secret]

workspaceId: Azure Portal ---> Log Analytics 작업 영역 ---> [작업 영역] ---> 에이전트 ---> 작업 영역 ID(또는 위에서 workspaceId를 복사할 수 있습니다).

workspaceKey: Azure Portal ---> Log Analytics 작업 영역 ---> [작업 영역] ---> 에이전트 ---> 기본 키(또는 위에서 workspaceKey를 복사할 수 있습니다).

AppInsightsWorkspaceResourceID: [작업 영역]---> 속성 --- 리소스 ID를 ---> Log> Analytics 작업 영역 Azure Portal --->

참고: 위의 값에 Azure Key Vault 비밀을 사용하는 경우 문자열 값 대신 스키마를 사용합니다@Microsoft.KeyVault(SecretUri={Security Identifier}). 자세한 내용은 Key Vault 참조 설명서를 참조하세요.

위에 명시된 사용 약관에 동의함을 표시하는 확인란을 표시합니다.

구매를 클릭하여 배포합니다.

Azure Portal ---> 리소스 그룹 ---> [your_resource_group] ---> [appName](type: Storage account) --- Storage Explorer --->> BLOB CONTAINERS ---> 감사 검사점으로> 이동하여 checkpoint.txt 컴퓨터에 빈 파일 업로드 및 만들기를 --- 업로드하도록 선택합니다(SIEM 로그에 대한 date_range 일관된 상태로 저장되도록 수행됨).

Mimecast 인식 교육

지원:Mimecast

Mimecast Awareness Training용 데이터 커넥터는 고객에게 Microsoft Sentinel 내의 Targeted Threat Protection 검사 기술과 관련된 보안 이벤트에 대한 가시성을 제공합니다. 데이터 커넥터는 분석가가 이메일 기반 위협에 대한 인사이트를 보고, 인시던트 상관 관계를 지원하며, 사용자 지정 경고 기능과 함께 조사 응답 시간을 줄일 수 있도록 미리 만들어진 대시보드를 제공합니다.
커넥터에 포함된 Mimecast 제품은 다음과 같습니다.

성능 세부 정보

안전 점수 세부 정보

사용자 데이터

관심 목록 세부 정보

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

Awareness_Performance_Details_CL 예 예

Awareness_SafeScore_Details_CL 예 예

Awareness_User_Data_CL 예 예

Awareness_Watchlist_Details_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Azure 구독: Microsoft Entra ID 애플리케이션을 등록하고 리소스 그룹의 앱에 기여자 역할을 할당하려면 소유자 역할이 있는 Azure 구독이 필요합니다.

Microsoft.Web/sites 권한: 함수 앱을 만들기 위한 Azure Functions 읽기 및 쓰기 권한이 필요합니다. 자세한 내용은 Azure Functions 참조하세요.

REST API 자격 증명/권한: Rest API 참조에 대한 API에 대한 자세한 내용은 설명서를 참조하세요.

설치 지침:

리소스 그룹

사용하려는 구독을 사용하여 리소스 그룹을 만들어야 합니다.

Functions 앱

이 커넥터를 사용하려면 Azure 앱 등록해야 합니다.

애플리케이션 ID

테넌트 ID

클라이언트 ID

클라이언트 암호

Entra 개체 ID

참고: 이 커넥터는 Azure Functions 사용하여 Mimecast API에 연결하여 로그를 Microsoft Sentinel 끌어올 수 있습니다. 이로 인해 추가 데이터 수집 비용이 발생할 수 있습니다. 자세한 내용은 Azure Functions 가격 책정 페이지를 확인하세요.

(선택적 단계) 작업 영역 및 API 권한 부여 키 또는 토큰을 Azure Key Vault 안전하게 저장합니다. Azure Key Vault 키 값을 저장하고 검색하는 보안 메커니즘을 제공합니다. 다음 지침에 따라 Azure 함수 앱에서 Azure Key Vault 사용합니다.

1단계 - Microsoft Entra ID 애플리케이션에 대한 앱 등록 단계

이 통합에는 Azure Portal 앱 등록이 필요합니다. 이 섹션의 단계에 따라 Microsoft Entra ID 새 애플리케이션을 만듭니다.

Azure 포털에 로그인합니다.

Microsoft Entra ID 검색하여 선택합니다.

관리에서 새 등록 앱 등록 > 선택합니다.

애플리케이션의 표시 이름을 입력합니다.

등록을 선택하여 초기 앱 등록을 완료합니다.

등록이 완료되면 Azure Portal 앱 등록의 개요 창이 표시됩니다. 애플리케이션(클라이언트) ID 및 테넌트 ID가 표시됩니다. Mimecast Data Connector를 실행하기 위한 구성 매개 변수로 클라이언트 ID 및 테넌트 ID가 필요합니다.

참조 링크:/azure/active-directory/develop/quickstart-register-app

2단계 - Microsoft Entra ID 애플리케이션에 대한 클라이언트 암호 추가

애플리케이션 암호라고도 하는 클라이언트 암호는 Mimecast Data Connector를 실행하는 데 필요한 문자열 값입니다. 이 섹션의 단계에 따라 새 클라이언트 암호를 만듭니다.

Azure Portal 앱 등록 애플리케이션을 선택합니다.

인증서 & 비밀 > 클라이언트 비밀 새 클라이언트 비밀을 >선택합니다.

클라이언트 비밀에 대한 설명을 추가합니다.

비밀에 대한 만료를 선택하거나 사용자 지정 수명을 지정합니다. 한도는 24개월입니다.

추가를 선택합니다.

클라이언트 애플리케이션 코드에서 사용할 비밀 값을 기록합니다. 이 비밀 값은 이 페이지를 떠난 후에 다시는 표시되지 않습니다. 비밀 값은 Mimecast Data Connector를 실행하기 위한 구성 매개 변수로 필요합니다.

참조 링크:/azure/active-directory/develop/quickstart-register-app#add-a-client-secret

3단계 - Microsoft Entra ID 애플리케이션의 개체 ID 가져오기

앱 등록을 만든 후 이 섹션의 단계에 따라 개체 ID를 가져옵니다.

Microsoft Entra ID 이동합니다.

왼쪽 메뉴에서 엔터프라이즈 애플리케이션 을 선택합니다.

목록에서 새로 만든 애플리케이션을 찾습니다(제공한 이름으로 검색할 수 있습니다).

애플리케이션을 클릭합니다.

개요 페이지에서 개체 ID를 복사합니다. ARM 템플릿 역할 할당에 필요한 AzureEntraObjectId 입니다.

4단계 - Mimecast API 커넥터 배포

중요: Mimecast API 커넥터를 배포하기 전에 Mimecast API 권한 부여 키 또는 토큰을 쉽게 사용할 수 있습니다.

ARM(Azure Resource Manager) 템플릿

Mimecast Awareness Training Data 커넥터의 자동화된 배포에 이 방법을 사용합니다.

아래 Azure 배포 단추를 클릭합니다.

aka.ms aka.ms

기본 구독, 리소스 그룹 및 지역을 선택합니다.

아래 정보를 입력합니다.

a. 위치 - 데이터 수집 규칙 및 데이터 수집 엔드포인트를 배포해야 하는 위치

b. WorkspaceName - Log Analytics 작업 영역의 Microsoft Sentinel 작업 영역 이름 입력

c. AzureClientID - 앱 등록 중에 만든 Azure 클라이언트 ID를 입력합니다.

d. AzureClientSecret - 클라이언트 비밀을 만드는 동안 만든 Azure 클라이언트 암호를 입력합니다.

e. AzureTenantID - Azure Active Directory의 Azure 테넌트 ID를 입력합니다.

f. AzureEntraObjectID - Microsoft Entra 앱의 개체 ID 입력

g. MimecastBaseURL - Mimecast API 2.0의 기본 URL을 입력합니다(예: ). https://api.services.mimecast.com

h. MimecastClientID - 인증을 위해 Mimecast 클라이언트 ID 입력

i. MimecastClientSecret - 인증을 위해 Mimecast 클라이언트 암호를 입력합니다.

j. MimecastAwarenessPerformanceDetailsTableName - 인식 성능 세부 정보 데이터를 저장하는 데 사용되는 테이블의 이름을 입력합니다. 기본값은 'Awareness_Performance_Details'입니다.

k. MimecastAwarenessUserDataTableName - 인식 사용자 데이터 데이터를 저장하는 데 사용되는 테이블의 이름을 입력합니다. 기본값은 'Awareness_User_Data'입니다.

L. MimecastAwarenessWatchlistDetailsTableName - 인식 관심 목록 세부 정보 데이터를 저장하는 데 사용되는 테이블의 이름을 입력합니다. 기본값은 'Awareness_Watchlist_Details'입니다.

M. MimecastAwarenessSafeScoreDetailsTableName - Awareness SafeScore Details 데이터를 저장하는 데 사용되는 테이블의 이름을 입력합니다. 기본값은 'Awareness_SafeScore_Details'입니다.

N. StartDate - 시작 날짜를 'yyyy-mm-dd' 형식으로 입력합니다. 날짜를 제공하지 않으면 지난 60일의 데이터가 자동으로 페치됩니다. 날짜가 과거이고 올바르게 서식이 지정되었는지 확인합니다.

O. 일정 - 유효한 석영 cron-expression을 입력하세요. (예: 0 0 */1 * * *) 값을 비워 두지 마세요. 최소값은 10분입니다.

P. LogLevel - 로그 수준 또는 로그 심각도 값을 추가하세요. 기본적으로 INFO로 설정됩니다.

q. AppInsightsWorkspaceResourceId - 2024년 2월 29일로 사용 중지되는 Log Analytic 작업 영역으로 클래식 Application Insights를 마이그레이션합니다. '리소스 ID' 속성 값이 있는 'Log Analytic 작업 영역-->속성' 블레이드를 사용합니다. '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}' 형식의 정규화된 resourceId입니다.

위에 명시된 사용 약관에 동의함을 표시하는 확인란을 표시합니다.

구매를 클릭하여 배포합니다.

Mimecast 클라우드 통합

지원:Mimecast

Mimecast Cloud Integrated용 데이터 커넥터는 고객에게 Microsoft Sentinel 내의 클라우드 통합 검사 기술과 관련된 보안 이벤트에 대한 가시성을 제공합니다. 데이터 커넥터는 분석가가 이메일 기반 위협에 대한 인사이트를 보고, 인시던트 상관 관계를 지원하며, 사용자 지정 경고 기능과 함께 조사 응답 시간을 줄일 수 있도록 미리 만들어진 대시보드를 제공합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

Cloud_Integrated_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Azure 구독: Microsoft Entra ID 애플리케이션을 등록하고 리소스 그룹의 앱에 기여자 역할을 할당하려면 소유자 역할이 있는 Azure 구독이 필요합니다.

Microsoft.Web/sites 권한: 함수 앱을 만들기 위한 Azure Functions 읽기 및 쓰기 권한이 필요합니다. 자세한 내용은 Azure Functions 참조하세요.

REST API 자격 증명/권한: Rest API 참조에 대한 API에 대한 자세한 내용은 설명서를 참조하세요.

설치 지침:

리소스 그룹

사용하려는 구독을 사용하여 리소스 그룹을 만들어야 합니다.

Functions 앱

이 커넥터를 사용하려면 Azure 앱 등록해야 합니다.

애플리케이션 ID

테넌트 ID

클라이언트 ID

클라이언트 암호

참고: 이 커넥터는 Azure Functions 사용하여 Mimecast API에 연결하여 로그를 Microsoft Sentinel 끌어올 수 있습니다. 이로 인해 추가 데이터 수집 비용이 발생할 수 있습니다. 자세한 내용은 Azure Functions 가격 책정 페이지를 확인하세요.

(선택적 단계) 작업 영역 및 API 권한 부여 키 또는 토큰을 Azure Key Vault 안전하게 저장합니다. Azure Key Vault 키 값을 저장하고 검색하는 보안 메커니즘을 제공합니다. 다음 지침에 따라 Azure 함수 앱에서 Azure Key Vault 사용합니다.

구성:

1단계 - Mimecast API에 대한 구성 단계

Azure Portal ---> 앱 등록 ---> [your_app] ---> 인증서 & 비밀 ---> 새 클라이언트 비밀로 이동하여 새 비밀을 만듭니다(나중에 미리 볼 수 없으므로 즉시 안전한 곳에 값 저장).

2단계 - Mimecast API 커넥터 배포

중요: Mimecast API 커넥터를 배포하기 전에 Mimecast API 권한 부여 키 또는 토큰을 쉽게 사용할 수 있습니다.

3단계 - Microsoft Entra ID 애플리케이션에 대한 앱 등록 단계

이 통합에는 Azure Portal 앱 등록이 필요합니다. 이 섹션의 단계에 따라 Microsoft Entra ID 새 애플리케이션을 만듭니다.

Azure 포털에 로그인합니다.

Microsoft Entra ID 검색하여 선택합니다.

관리에서 새 등록 앱 등록 > 선택합니다.

애플리케이션의 표시 이름을 입력합니다.

등록을 선택하여 초기 앱 등록을 완료합니다.

등록이 완료되면 Azure Portal 앱 등록의 개요 창이 표시됩니다. 애플리케이션(클라이언트) ID 및 테넌트 ID가 표시됩니다. 클라이언트 ID 및 테넌트 ID는 TenableVM 데이터 커넥터 실행을 위한 구성 매개 변수로 필요합니다.

참조 링크:/azure/active-directory/develop/quickstart-register-app

4단계 - Microsoft Entra ID 애플리케이션에 대한 클라이언트 암호 추가

애플리케이션 암호라고도 하는 클라이언트 암호는 TenableVM 데이터 커넥터를 실행하는 데 필요한 문자열 값입니다. 이 섹션의 단계에 따라 새 클라이언트 암호를 만듭니다.

Azure Portal 앱 등록 애플리케이션을 선택합니다.

인증서 & 비밀 > 클라이언트 비밀 새 클라이언트 비밀을 >선택합니다.

클라이언트 비밀에 대한 설명을 추가합니다.

비밀에 대한 만료를 선택하거나 사용자 지정 수명을 지정합니다. 한도는 24개월입니다.

추가를 선택합니다.

클라이언트 애플리케이션 코드에서 사용할 비밀 값을 기록합니다. 이 비밀 값은 이 페이지를 떠난 후에 다시는 표시되지 않습니다. 비밀 값은 TenableVM Data Connector를 실행하기 위한 구성 매개 변수로 필요합니다.

참조 링크:/azure/active-directory/develop/quickstart-register-app#add-a-client-secret

5단계 - Microsoft Entra ID 애플리케이션의 개체 ID 가져오기

앱 등록을 만든 후 이 섹션의 단계에 따라 개체 ID를 가져옵니다.

Microsoft Entra ID 이동합니다.

왼쪽 메뉴에서 엔터프라이즈 애플리케이션 을 선택합니다.

목록에서 새로 만든 애플리케이션을 찾습니다(제공한 이름으로 검색할 수 있습니다).

애플리케이션을 클릭합니다.

개요 페이지에서 개체 ID를 복사합니다. ARM 템플릿 역할 할당에 필요한 AzureEntraObjectId 입니다.

ARM(Azure Resource Manager) 템플릿

Mimecast Cloud Integrated Data 커넥터의 자동화된 배포에 이 방법을 사용합니다.

아래 Azure 배포 단추를 클릭합니다.

aka.ms aka.ms

기본 구독, 리소스 그룹 및 지역을 선택합니다.

아래 정보를 입력합니다.

a. 위치 - 데이터 수집 규칙 및 데이터 수집 엔드포인트를 배포해야 하는 위치

b. WorkspaceName - Log Analytics 작업 영역의 Microsoft Sentinel 작업 영역 이름 입력

c. AzureClientID - 앱 등록 중에 만든 Azure 클라이언트 ID를 입력합니다.

d. AzureClientSecret - 클라이언트 비밀을 만드는 동안 만든 Azure 클라이언트 암호를 입력합니다.

e. AzureTenantID - Azure Active Directory의 Azure 테넌트 ID를 입력합니다.

f. AzureEntraObjectID - Microsoft Entra 앱의 개체 ID 입력

g. MimecastBaseURL - Mimecast API 2.0의 기본 URL을 입력합니다(예: ). https://api.services.mimecast.com

h. MimecastClientID - 인증을 위해 Mimecast 클라이언트 ID 입력

i. MimecastClientSecret - 인증을 위해 Mimecast 클라이언트 암호를 입력합니다.

j. MimecastCITableName - 클라우드 통합 데이터를 저장하는 데 사용되는 테이블의 이름을 입력합니다. 기본값은 'Cloud_Integrated'입니다.

k. StartDate - 시작 날짜를 'yyyy-mm-dd' 형식으로 입력합니다. 날짜를 제공하지 않으면 지난 60일의 데이터가 자동으로 페치됩니다. 날짜가 과거이고 올바르게 서식이 지정되었는지 확인합니다.

L. 일정 - 유효한 석영 cron-expression을 입력하세요. (예: 0 0 */1 * * *) 값을 비워 두지 마세요. 최소값은 10분입니다.

M. LogLevel - 로그 수준 또는 로그 심각도 값을 추가하세요. 기본적으로 INFO로 설정됩니다.

N. AppInsightsWorkspaceResourceId - 2024년 2월 29일로 사용 중지되는 Log Analytic 작업 영역으로 클래식 Application Insights를 마이그레이션합니다. '리소스 ID' 속성 값이 있는 'Log Analytic 작업 영역-->속성' 블레이드를 사용합니다. '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}' 형식의 정규화된 resourceId입니다.

위에 명시된 사용 약관에 동의함을 표시하는 확인란을 표시합니다.

구매를 클릭하여 배포합니다.

Microsoft용 Mimecast Intelligence - Microsoft Sentinel(Azure Functions 사용)

지원:Mimecast

Microsoft용 Mimecast Intelligence용 데이터 커넥터는 분석가가 이메일 기반 위협에 대한 인사이트를 보고 인시던트 상관 관계를 지원하며 조사 응답 시간을 줄일 수 있도록 미리 만들어진 대시보드를 사용하여 Mimecast의 이메일 검사 기술에서 큐레이팅된 지역 위협 인텔리전스를 제공합니다.
Mimecast 제품 및 기능이 필요합니다.

Mimecast 보안 이메일 게이트웨이

Mimecast 위협 인텔리전스

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

ThreatIntelligenceIndicator 예 아니요

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Microsoft.Web/sites 권한: 함수 앱을 만들기 위한 Azure Functions 읽기 및 쓰기 권한이 필요합니다. 자세한 내용은 Azure Functions 참조하세요.

Mimecast API 자격 증명: 통합을 구성하려면 다음 정보가 있어야 합니다.

mimecastEmail: 전용 Mimecast 관리 사용자의 Email 주소

mimecastPassword: 전용 Mimecast 관리 사용자의 암호

mimecastAppId: Mimecast에 등록된 Mimecast Microsoft Sentinel 앱의 API 애플리케이션 ID

mimecastAppKey: Mimecast에 등록된 Mimecast Microsoft Sentinel 앱의 API 애플리케이션 키

mimecastAccessKey: 전용 Mimecast 관리 사용자에 대한 액세스 키

mimecastSecretKey: 전용 Mimecast 관리자용 비밀 키

mimecastBaseURL: Mimecast 지역 API 기본 URL

전용 Mimecast 관리 사용자의 액세스 키 및 비밀 키와 함께 Mimecast 애플리케이션 ID, 애플리케이션 키는 Mimecast 관리 콘솔: 관리 | 서비스 | API 및 플랫폼 통합.

각 지역에 대한 Mimecast API 기본 URL은 다음과 같습니다. https://integrations.mimecast.com/documentation/api-overview/global-base-urls/

리소스 그룹: 사용하려는 구독을 사용하여 리소스 그룹을 만들어야 합니다.

함수 앱: 이 커넥터를 사용하려면 Azure 앱 등록해야 합니다.

애플리케이션 ID

테넌트 ID

클라이언트 ID

클라이언트 암호

설치 지침:

참고: 이 커넥터는 Azure Functions 사용하여 Mimecast API에 연결하여 로그를 Microsoft Sentinel 끌어올 수 있습니다. 이로 인해 추가 데이터 수집 비용이 발생할 수 있습니다. 자세한 내용은 Azure Functions 가격 책정 페이지를 확인하세요.

(선택적 단계) 작업 영역 및 API 권한 부여 키 또는 토큰을 Azure Key Vault 안전하게 저장합니다. Azure Key Vault 키 값을 저장하고 검색하는 보안 메커니즘을 제공합니다. 다음 지침에 따라 Azure 함수 앱에서 Azure Key Vault 사용합니다.

구성:

1단계 - Mimecast API에 대한 구성 단계

Azure Portal ---> 앱 등록 ---> [your_app] ---> 인증서 & 비밀 ---> 새 클라이언트 비밀로 이동하여 새 비밀을 만듭니다(나중에 미리 볼 수 없으므로 즉시 안전한 곳에 값 저장).

2단계 - Mimecast API 커넥터 배포

중요: Mimecast API 커넥터를 배포하기 전에 작업 영역 ID 및 작업 영역 기본 키(다음에서 복사할 수 있음)와 Mimecast API 권한 부여 키 또는 토큰을 쉽게 사용할 수 있습니다.

작업 영역 ID: <설치 시 제공되는 변수 값>

기본 키: <설치 시 제공되는 변수 값>

Microsoft용 Mimecast Intelligence 사용 - Microsoft Sentinel 커넥터:

아래 Azure 배포 단추를 클릭합니다.

aka.ms

기본 구독, 리소스 그룹 및 위치를 선택합니다.

다음 필드를 입력합니다.

appName: Azure 플랫폼에서 앱의 ID로 사용할 고유 문자열

objectId: Azure Portal --- Azure> Active Directory --- 자세한 정보 --->> 프로필 -----> 개체 ID

appInsightsLocation(기본값): westeurope

mimecastEmail: 이 무결성에 대한 전용 사용자의 Email 주소

mimecastPassword: 전용 사용자에 대한 암호

mimecastAppId: Mimecast에 등록된 Microsoft Sentinel 앱의 애플리케이션 ID

mimecastAppKey: Mimecast에 등록된 Microsoft Sentinel 앱의 애플리케이션 키

mimecastAccessKey: 전용 Mimecast 사용자에 대한 액세스 키

mimecastSecretKey: 전용 Mimecast 사용자를 위한 비밀 키

mimecastBaseURL: 지역 Mimecast API 기본 URL

activeDirectoryAppId: Azure Portal ---> 앱 등록 ---> [your_app] ---> 애플리케이션 ID

activeDirectoryAppSecret: Azure Portal --- 앱 등록 --->> [your_app] ---> 인증서 & 비밀 ---> [your_app_secret]

workspaceId: Azure Portal ---> Log Analytics 작업 영역 ---> [작업 영역] ---> 에이전트 ---> 작업 영역 ID(또는 위에서 workspaceId를 복사할 수 있습니다).

workspaceKey: Azure Portal ---> Log Analytics 작업 영역 ---> [작업 영역] ---> 에이전트 ---> 기본 키(또는 위에서 workspaceKey를 복사할 수 있습니다).

AppInsightsWorkspaceResourceID: [작업 영역]---> 속성 --- 리소스 ID를 ---> Log> Analytics 작업 영역 Azure Portal --->

참고: 위의 값에 Azure Key Vault 비밀을 사용하는 경우 문자열 값 대신 스키마를 사용합니다@Microsoft.KeyVault(SecretUri={Security Identifier}). 자세한 내용은 Key Vault 참조 설명서를 참조하세요.

위에 명시된 사용 약관에 동의함을 표시하는 확인란을 표시합니다.

구매를 클릭하여 배포합니다.

Azure Portal ---> 리소스 그룹 ---> [your_resource_group] ---> [appName](type: Storage account) --- Storage Explorer --->> BLOB CONTAINERS ---> TIR 검사 --->점으로 이동하여 checkpoint.txt 컴퓨터에 빈 파일을 업로드하고 만들고 업로드하도록 선택합니다(TIR 로그에 대한 date_range 일관된 상태로 저장되도록 수행됨).

추가 구성:

위협 인텔리전스 플랫폼 데이터 커넥터에 연결합니다. 커넥터 페이지의 지침에 따라 연결 단추를 클릭합니다.

Mimecast 보안 이메일 게이트웨이

지원:Mimecast

Mimecast Secure Email Gateway용 데이터 커넥터를 사용하면 Secure Email Gateway에서 쉽게 로그 수집하여 Microsoft Sentinel 내에서 전자 메일 인사이트 및 사용자 활동을 표시할 수 있습니다. 데이터 커넥터는 분석가가 이메일 기반 위협에 대한 인사이트를 보고, 인시던트 상관 관계를 지원하며, 사용자 지정 경고 기능과 함께 조사 응답 시간을 줄일 수 있도록 미리 만들어진 대시보드를 제공합니다. Mimecast 제품 및 기능이 필요합니다.

Mimecast 클라우드 게이트웨이

Mimecast 데이터 누수 방지

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

Seg_Cg_CL 예 예

Seg_Dlp_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Azure 구독: Microsoft Entra ID 애플리케이션을 등록하고 리소스 그룹의 앱에 기여자 역할을 할당하려면 소유자 역할이 있는 Azure 구독이 필요합니다.

Microsoft.Web/sites 권한: 함수 앱을 만들기 위한 Azure Functions 읽기 및 쓰기 권한이 필요합니다. 자세한 내용은 Azure Functions 참조하세요.

REST API 자격 증명/권한: Rest API 참조에 대한 API에 대한 자세한 내용은 설명서를 참조하세요.

설치 지침:

참고: 이 커넥터는 Azure Functions 사용하여 Mimecast API에 연결하여 로그를 Microsoft Sentinel 끌어올 수 있습니다. 이로 인해 추가 데이터 수집 비용이 발생할 수 있습니다. 자세한 내용은 Azure Functions 가격 책정 페이지를 확인하세요.

(선택적 단계) 작업 영역 및 API 권한 부여 키 또는 토큰을 Azure Key Vault 안전하게 저장합니다. Azure Key Vault 키 값을 저장하고 검색하는 보안 메커니즘을 제공합니다. 다음 지침에 따라 Azure 함수 앱에서 Azure Key Vault 사용합니다.

구성:

1단계 - Mimecast API에 대한 구성 단계

Azure Portal ---> 앱 등록 ---> [your_app] ---> 인증서 & 비밀 ---> 새 클라이언트 비밀로 이동하여 새 비밀을 만듭니다(나중에 미리 볼 수 없으므로 즉시 안전한 곳에 값 저장).

**2단계 - Mimecast API 커넥터 배포

중요: Mimecast API 커넥터를 배포하기 전에 Mimecast API 권한 부여 키 또는 토큰을 쉽게 사용할 수 있습니다.

3단계 - Microsoft Entra ID 애플리케이션에 대한 앱 등록 단계

이 통합에는 Azure Portal 앱 등록이 필요합니다. 이 섹션의 단계에 따라 Microsoft Entra ID 새 애플리케이션을 만듭니다.

Azure 포털에 로그인합니다.

Microsoft Entra ID 검색하여 선택합니다.

관리에서 새 등록 앱 등록 > 선택합니다.

애플리케이션의 표시 이름을 입력합니다.

등록을 선택하여 초기 앱 등록을 완료합니다.

등록이 완료되면 Azure Portal 앱 등록의 개요 창이 표시됩니다. 애플리케이션(클라이언트) ID 및 테넌트 ID가 표시됩니다. 클라이언트 ID 및 테넌트 ID는 TenableVM 데이터 커넥터 실행을 위한 구성 매개 변수로 필요합니다.

참조 링크:/azure/active-directory/develop/quickstart-register-app

4단계 - Microsoft Entra ID 애플리케이션에 대한 클라이언트 암호 추가

애플리케이션 암호라고도 하는 클라이언트 암호는 TenableVM 데이터 커넥터를 실행하는 데 필요한 문자열 값입니다. 이 섹션의 단계에 따라 새 클라이언트 암호를 만듭니다.

Azure Portal 앱 등록 애플리케이션을 선택합니다.

인증서 & 비밀 > 클라이언트 비밀 새 클라이언트 비밀을 >선택합니다.

클라이언트 비밀에 대한 설명을 추가합니다.

비밀에 대한 만료를 선택하거나 사용자 지정 수명을 지정합니다. 한도는 24개월입니다.

추가를 선택합니다.

클라이언트 애플리케이션 코드에서 사용할 비밀 값을 기록합니다. 이 비밀 값은 이 페이지를 떠난 후에 다시는 표시되지 않습니다. 비밀 값은 TenableVM Data Connector를 실행하기 위한 구성 매개 변수로 필요합니다.

참조 링크:/azure/active-directory/develop/quickstart-register-app#add-a-client-secret

5단계 - Microsoft Entra ID 애플리케이션의 개체 ID 가져오기

앱 등록을 만든 후 이 섹션의 단계에 따라 개체 ID를 가져옵니다.

Microsoft Entra ID 이동합니다.

왼쪽 메뉴에서 엔터프라이즈 애플리케이션 을 선택합니다.

목록에서 새로 만든 애플리케이션을 찾습니다(제공한 이름으로 검색할 수 있습니다).

애플리케이션을 클릭합니다.

개요 페이지에서 개체 ID를 복사합니다. ARM 템플릿 역할 할당에 필요한 AzureEntraObjectId 입니다.

Mimecast Secure Email Gateway 데이터 커넥터를 배포합니다.

Mimecast Secure Email Gateway Data 커넥터의 자동화된 배포에 이 방법을 사용합니다.

아래 Azure 배포 단추를 클릭합니다.

aka.ms aka.ms

기본 구독, 리소스 그룹 및 지역을 선택합니다.

아래 정보를 입력합니다.

a. 위치 - 데이터 수집 규칙 및 데이터 수집 엔드포인트를 배포해야 하는 위치

b. WorkspaceName - Log Analytics 작업 영역의 Microsoft Sentinel 작업 영역 이름 입력

c. AzureClientID - 앱 등록 중에 만든 Azure 클라이언트 ID를 입력합니다.

d. AzureClientSecret - 클라이언트 비밀을 만드는 동안 만든 Azure 클라이언트 암호를 입력합니다.

e. AzureTenantID - Azure Active Directory의 Azure 테넌트 ID를 입력합니다.

f. AzureEntraObjectID - Microsoft Entra 앱의 개체 ID 입력

g. MimecastBaseURL - Mimecast API 2.0의 기본 URL을 입력합니다(예: ). https://api.services.mimecast.com

h. MimecastClientID - 인증을 위해 Mimecast 클라이언트 ID 입력

i. MimecastClientSecret - 인증을 위해 Mimecast 클라이언트 암호를 입력합니다.

j. MimecastCGTableName - CG 데이터를 저장하는 데 사용되는 테이블의 이름을 입력합니다. 기본값은 'Seg_Cg'입니다.

k. MimecastDLPTableName - DLP 데이터를 저장하는 데 사용되는 테이블의 이름을 입력합니다. 기본값은 'Seg_Dlp'입니다.

L. StartDate - 시작 날짜를 'yyyy-mm-dd' 형식으로 입력합니다. 날짜를 제공하지 않으면 지난 60일의 데이터가 자동으로 페치됩니다. 날짜가 과거이고 올바르게 서식이 지정되었는지 확인합니다.

M. 일정 - 유효한 석영 cron-expression을 입력하세요. (예: 0 0 */1 * * *) 값을 비워 두지 마세요. 최소값은 10분입니다.

N. LogLevel - 로그 수준 또는 로그 심각도 값을 추가하세요. 기본적으로 INFO로 설정됩니다.

O. AppInsightsWorkspaceResourceId - 2024년 2월 29일로 사용 중지되는 Log Analytic 작업 영역으로 클래식 Application Insights를 마이그레이션합니다. '리소스 ID' 속성 값이 있는 'Log Analytic 작업 영역-->속성' 블레이드를 사용합니다. '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}' 형식의 정규화된 resourceId입니다.

위에 명시된 사용 약관에 동의함을 표시하는 확인란을 표시합니다.

구매를 클릭하여 배포합니다.

Mimecast Secure Email Gateway(Azure Functions 사용)

지원:Mimecast

Mimecast Secure Email Gateway용 데이터 커넥터를 사용하면 Secure Email Gateway에서 쉽게 로그 수집하여 Microsoft Sentinel 내에서 전자 메일 인사이트 및 사용자 활동을 표시할 수 있습니다. 데이터 커넥터는 분석가가 이메일 기반 위협에 대한 인사이트를 보고, 인시던트 상관 관계를 지원하며, 사용자 지정 경고 기능과 함께 조사 응답 시간을 줄일 수 있도록 미리 만들어진 대시보드를 제공합니다. Mimecast 제품 및 기능이 필요합니다.

Mimecast 보안 이메일 게이트웨이

Mimecast 데이터 누수 방지

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

MimecastSIEM_CL 아니요 아니요

MimecastDLP_CL 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

Microsoft.Web/sites 권한: 함수 앱을 만들기 위한 Azure Functions 읽기 및 쓰기 권한이 필요합니다. 자세한 내용은 Azure Functions 참조하세요.

Mimecast API 자격 증명: 통합을 구성하려면 다음 정보가 있어야 합니다.

mimecastEmail: 전용 Mimecast 관리 사용자의 Email 주소

mimecastPassword: 전용 Mimecast 관리 사용자의 암호

mimecastAppId: Mimecast에 등록된 Mimecast Microsoft Sentinel 앱의 API 애플리케이션 ID

mimecastAppKey: Mimecast에 등록된 Mimecast Microsoft Sentinel 앱의 API 애플리케이션 키

mimecastAccessKey: 전용 Mimecast 관리 사용자에 대한 액세스 키

mimecastSecretKey: 전용 Mimecast 관리자용 비밀 키

mimecastBaseURL: Mimecast 지역 API 기본 URL

전용 Mimecast 관리 사용자의 액세스 키 및 비밀 키와 함께 Mimecast 애플리케이션 ID, 애플리케이션 키는 Mimecast 관리 콘솔: 관리 | 서비스 | API 및 플랫폼 통합.

각 지역에 대한 Mimecast API 기본 URL은 다음과 같습니다. https://integrations.mimecast.com/documentation/api-overview/global-base-urls/

리소스 그룹: 사용하려는 구독을 사용하여 리소스 그룹을 만들어야 합니다.

함수 앱: 이 커넥터를 사용하려면 Azure 앱 등록해야 합니다.

애플리케이션 ID

테넌트 ID

클라이언트 ID

클라이언트 암호

설치 지침:

참고: 이 커넥터는 Azure Functions 사용하여 Mimecast API에 연결하여 로그를 Microsoft Sentinel 끌어올 수 있습니다. 이로 인해 추가 데이터 수집 비용이 발생할 수 있습니다. 자세한 내용은 Azure Functions 가격 책정 페이지를 확인하세요.

(선택적 단계) 작업 영역 및 API 권한 부여 키 또는 토큰을 Azure Key Vault 안전하게 저장합니다. Azure Key Vault 키 값을 저장하고 검색하는 보안 메커니즘을 제공합니다. 다음 지침에 따라 Azure 함수 앱에서 Azure Key Vault 사용합니다.

구성:

1단계 - Mimecast API에 대한 구성 단계

Azure Portal ---> 앱 등록 ---> [your_app] ---> 인증서 & 비밀 ---> 새 클라이언트 비밀로 이동하여 새 비밀을 만듭니다(나중에 미리 볼 수 없으므로 즉시 안전한 곳에 값 저장).

2단계 - Mimecast API 커넥터 배포

중요: Mimecast API 커넥터를 배포하기 전에 작업 영역 ID 및 작업 영역 기본 키(다음에서 복사할 수 있음)와 Mimecast API 권한 부여 키 또는 토큰을 쉽게 사용할 수 있습니다.

작업 영역 ID: <설치 시 제공되는 변수 값>

기본 키: <설치 시 제공되는 변수 값>

Mimecast Secure Email Gateway 데이터 커넥터를 배포합니다.

아래 Azure 배포 단추를 클릭합니다.

aka.ms

기본 구독, 리소스 그룹 및 위치를 선택합니다.

다음 필드를 입력합니다.

appName: Azure 플랫폼에서 앱의 ID로 사용할 고유 문자열

objectId: Azure Portal --- Azure> Active Directory --- 자세한 정보 --->> 프로필 -----> 개체 ID

appInsightsLocation(기본값): westeurope

mimecastEmail: 이 무결성에 대한 전용 사용자의 Email 주소

mimecastPassword: 전용 사용자에 대한 암호

mimecastAppId: Mimecast에 등록된 Microsoft Sentinel 앱의 애플리케이션 ID

mimecastAppKey: Mimecast에 등록된 Microsoft Sentinel 앱의 애플리케이션 키

mimecastAccessKey: 전용 Mimecast 사용자에 대한 액세스 키

mimecastSecretKey: 전용 Mimecast 사용자를 위한 비밀 키

mimecastBaseURL: 지역 Mimecast API 기본 URL

activeDirectoryAppId: Azure Portal ---> 앱 등록 ---> [your_app] ---> 애플리케이션 ID

activeDirectoryAppSecret: Azure Portal --- 앱 등록 --->> [your_app] ---> 인증서 & 비밀 ---> [your_app_secret]

workspaceId: Azure Portal ---> Log Analytics 작업 영역 ---> [작업 영역] ---> 에이전트 ---> 작업 영역 ID(또는 위에서 workspaceId를 복사할 수 있습니다).

workspaceKey: Azure Portal ---> Log Analytics 작업 영역 ---> [작업 영역] ---> 에이전트 ---> 기본 키(또는 위에서 workspaceKey를 복사할 수 있습니다).

AppInsightsWorkspaceResourceID: [작업 영역]---> 속성 --- 리소스 ID를 ---> Log> Analytics 작업 영역 Azure Portal --->

참고: 위의 값에 Azure Key Vault 비밀을 사용하는 경우 문자열 값 대신 스키마를 사용합니다@Microsoft.KeyVault(SecretUri={Security Identifier}). 자세한 내용은 Key Vault 참조 설명서를 참조하세요.

위에 명시된 사용 약관에 동의함을 표시하는 확인란을 표시합니다.

구매를 클릭하여 배포합니다.

Azure Portal ---> 리소스 그룹 ---> [your_resource_group] ---> [appName](type: Storage account) --- Storage Explorer --->> BLOB CONTAINERS --- --->> SIEM 검사점으로 이동하여 checkpoint.txt 라는 컴퓨터에 빈 파일을 업로드하고 만들고, dlp-checkpoint.txt 업로드하도록 선택합니다(SIEM 로그에 대한 date_range 일관된 상태로 저장되도록 수행됨).

Mimecast 대상 위협 방지

지원:Mimecast

Mimecast Targeted Threat Protection의 데이터 커넥터는 고객에게 Microsoft Sentinel 내의 Targeted Threat Protection 검사 기술과 관련된 보안 이벤트에 대한 가시성을 제공합니다. 데이터 커넥터는 분석가가 이메일 기반 위협에 대한 인사이트를 보고, 인시던트 상관 관계를 지원하며, 사용자 지정 경고 기능과 함께 조사 응답 시간을 줄일 수 있도록 미리 만들어진 대시보드를 제공합니다.
커넥터에 포함된 Mimecast 제품은 다음과 같습니다.

URL 보호

가장 보호

첨부 파일 보호

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

Ttp_Url_CL 예 예

Ttp_Attachment_CL 예 예

Ttp_Impersonation_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Azure 구독: Microsoft Entra ID 애플리케이션을 등록하고 리소스 그룹의 앱에 기여자 역할을 할당하려면 소유자 역할이 있는 Azure 구독이 필요합니다.

Microsoft.Web/sites 권한: 함수 앱을 만들기 위한 Azure Functions 읽기 및 쓰기 권한이 필요합니다. 자세한 내용은 Azure Functions 참조하세요.

REST API 자격 증명/권한: Rest API 참조에 대한 API에 대한 자세한 내용은 설명서를 참조하세요.

설치 지침:

리소스 그룹

사용하려는 구독을 사용하여 리소스 그룹을 만들어야 합니다.

Functions 앱

이 커넥터를 사용하려면 Azure 앱 등록해야 합니다.

애플리케이션 ID

테넌트 ID

클라이언트 ID

클라이언트 암호

참고: 이 커넥터는 Azure Functions 사용하여 Mimecast API에 연결하여 로그를 Microsoft Sentinel 끌어올 수 있습니다. 이로 인해 추가 데이터 수집 비용이 발생할 수 있습니다. 자세한 내용은 Azure Functions 가격 책정 페이지를 확인하세요.

(선택적 단계) 작업 영역 및 API 권한 부여 키 또는 토큰을 Azure Key Vault 안전하게 저장합니다. Azure Key Vault 키 값을 저장하고 검색하는 보안 메커니즘을 제공합니다. 다음 지침에 따라 Azure 함수 앱에서 Azure Key Vault 사용합니다.

1단계 - Microsoft Entra ID 애플리케이션에 대한 앱 등록 단계

이 통합에는 Azure Portal 앱 등록이 필요합니다. 이 섹션의 단계에 따라 Microsoft Entra ID 새 애플리케이션을 만듭니다.

Azure 포털에 로그인합니다.

Microsoft Entra ID 검색하여 선택합니다.

관리에서 새 등록 앱 등록 > 선택합니다.

애플리케이션의 표시 이름을 입력합니다.

등록을 선택하여 초기 앱 등록을 완료합니다.

등록이 완료되면 Azure Portal 앱 등록의 개요 창이 표시됩니다. 애플리케이션(클라이언트) ID 및 테넌트 ID가 표시됩니다. Mimecast Data Connector를 실행하기 위한 구성 매개 변수로 클라이언트 ID 및 테넌트 ID가 필요합니다.

참조 링크:/azure/active-directory/develop/quickstart-register-app

2단계 - Microsoft Entra ID 애플리케이션에 대한 클라이언트 암호 추가

애플리케이션 암호라고도 하는 클라이언트 암호는 Mimecast Data Connector를 실행하는 데 필요한 문자열 값입니다. 이 섹션의 단계에 따라 새 클라이언트 암호를 만듭니다.

Azure Portal 앱 등록 애플리케이션을 선택합니다.

인증서 & 비밀 > 클라이언트 비밀 새 클라이언트 비밀을 >선택합니다.

클라이언트 비밀에 대한 설명을 추가합니다.

비밀에 대한 만료를 선택하거나 사용자 지정 수명을 지정합니다. 한도는 24개월입니다.

추가를 선택합니다.

클라이언트 애플리케이션 코드에서 사용할 비밀 값을 기록합니다. 이 비밀 값은 이 페이지를 떠난 후에 다시는 표시되지 않습니다. 비밀 값은 Mimecast Data Connector를 실행하기 위한 구성 매개 변수로 필요합니다.

참조 링크:/azure/active-directory/develop/quickstart-register-app#add-a-client-secret

3단계 - Microsoft Entra ID 애플리케이션의 개체 ID 가져오기

앱 등록을 만든 후 이 섹션의 단계에 따라 개체 ID를 가져옵니다.

Microsoft Entra ID 이동합니다.

왼쪽 메뉴에서 엔터프라이즈 애플리케이션 을 선택합니다.

목록에서 새로 만든 애플리케이션을 찾습니다(제공한 이름으로 검색할 수 있습니다).

애플리케이션을 클릭합니다.

개요 페이지에서 개체 ID를 복사합니다. ARM 템플릿 역할 할당에 필요한 AzureEntraObjectId 입니다.

4단계 - Mimecast API 커넥터 배포

중요: Mimecast API 커넥터를 배포하기 전에 Mimecast API 권한 부여 키 또는 토큰을 쉽게 사용할 수 있습니다.

ARM(Azure Resource Manager) 템플릿

Mimecast Targeted Threat Protection 데이터 커넥터의 자동화된 배포에 이 방법을 사용합니다.

아래 Azure 배포 단추를 클릭합니다.

aka.ms aka.ms

기본 구독, 리소스 그룹 및 지역을 선택합니다.

아래 정보를 입력합니다.

a. 위치 - 데이터 수집 규칙 및 데이터 수집 엔드포인트를 배포해야 하는 위치

b. WorkspaceName - Log Analytics 작업 영역의 Microsoft Sentinel 작업 영역 이름 입력

c. AzureClientID - 앱 등록 중에 만든 Azure 클라이언트 ID를 입력합니다.

d. AzureClientSecret - 클라이언트 비밀을 만드는 동안 만든 Azure 클라이언트 암호를 입력합니다.

e. AzureTenantID - Azure Active Directory의 Azure 테넌트 ID를 입력합니다.

f. AzureEntraObjectID - Microsoft Entra 앱의 개체 ID 입력

g. MimecastBaseURL - Mimecast API 2.0의 기본 URL을 입력합니다(예: ). https://api.services.mimecast.com

h. MimecastClientID - 인증을 위해 Mimecast 클라이언트 ID 입력

i. MimecastClientSecret - 인증을 위해 Mimecast 클라이언트 암호를 입력합니다.

j. StartDate - 시작 날짜를 'yyyy-mm-dd' 형식으로 입력합니다. 날짜를 제공하지 않으면 지난 60일의 데이터가 자동으로 페치됩니다. 날짜가 과거이고 올바르게 서식이 지정되었는지 확인합니다.

k. MimecastTTPAttachmentTableName - TTP 첨부 파일 데이터를 저장하는 데 사용되는 테이블의 이름을 입력합니다. 기본값은 'Ttp_Attachment'입니다.

L. MimecastTTPImpersonationTableName - TTP 가장 데이터를 저장하는 데 사용되는 테이블의 이름을 입력합니다. 기본값은 'Ttp_Impersonation'입니다.

M. MimecastTTPUrlTableName - TTP 첨부 파일 데이터를 저장하는 데 사용되는 테이블의 이름을 입력합니다. 기본값은 'Ttp_Url'입니다.

N. 일정 - 유효한 석영 cron-expression을 입력하세요. (예: 0 0 */1 * * *) 값을 비워 두지 마세요. 최소값은 10분입니다.

L. LogLevel - 로그 수준 또는 로그 심각도 값을 추가하세요. 기본적으로 INFO로 설정됩니다.

O. AppInsightsWorkspaceResourceId - 2024년 2월 29일로 사용 중지되는 Log Analytic 작업 영역으로 클래식 Application Insights를 마이그레이션합니다. '리소스 ID' 속성 값이 있는 'Log Analytic 작업 영역-->속성' 블레이드를 사용합니다. '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}' 형식의 정규화된 resourceId입니다.

위에 명시된 사용 약관에 동의함을 표시하는 확인란을 표시합니다.

구매를 클릭하여 배포합니다.

Mimecast Targeted Threat Protection(Azure Functions 사용)

지원:Mimecast

Mimecast Targeted Threat Protection의 데이터 커넥터는 고객에게 Microsoft Sentinel 내의 Targeted Threat Protection 검사 기술과 관련된 보안 이벤트에 대한 가시성을 제공합니다. 데이터 커넥터는 분석가가 이메일 기반 위협에 대한 인사이트를 보고, 인시던트 상관 관계를 지원하며, 사용자 지정 경고 기능과 함께 조사 응답 시간을 줄일 수 있도록 미리 만들어진 대시보드를 제공합니다.
커넥터에 포함된 Mimecast 제품은 다음과 같습니다.

URL 보호

가장 보호

첨부 파일 보호

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

MimecastTTPUrl_CL 아니요 아니요

MimecastTTPAttachment_CL 아니요 아니요

MimecastTTPImpersonation_CL 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

Microsoft.Web/sites 권한: 함수 앱을 만들기 위한 Azure Functions 읽기 및 쓰기 권한이 필요합니다. 자세한 내용은 Azure Functions 참조하세요.

REST API 자격 증명/권한: 통합을 구성하려면 다음 정보가 있어야 합니다.

mimecastEmail: 전용 Mimecast 관리 사용자의 Email 주소

mimecastPassword: 전용 Mimecast 관리 사용자의 암호

mimecastAppId: Mimecast에 등록된 Mimecast Microsoft Sentinel 앱의 API 애플리케이션 ID

mimecastAppKey: Mimecast에 등록된 Mimecast Microsoft Sentinel 앱의 API 애플리케이션 키

mimecastAccessKey: 전용 Mimecast 관리 사용자에 대한 액세스 키

mimecastSecretKey: 전용 Mimecast 관리자용 비밀 키

mimecastBaseURL: Mimecast 지역 API 기본 URL

전용 Mimecast 관리 사용자의 액세스 키 및 비밀 키와 함께 Mimecast 애플리케이션 ID, 애플리케이션 키는 Mimecast 관리 콘솔: 관리 | 서비스 | API 및 플랫폼 통합.

각 지역에 대한 Mimecast API 기본 URL은 다음과 같습니다. https://integrations.mimecast.com/documentation/api-overview/global-base-urls/

설치 지침:

리소스 그룹

사용하려는 구독을 사용하여 리소스 그룹을 만들어야 합니다.

Functions 앱

이 커넥터를 사용하려면 Azure 앱 등록해야 합니다.

애플리케이션 ID

테넌트 ID

클라이언트 ID

클라이언트 암호

참고: 이 커넥터는 Azure Functions 사용하여 Mimecast API에 연결하여 로그를 Microsoft Sentinel 끌어올 수 있습니다. 이로 인해 추가 데이터 수집 비용이 발생할 수 있습니다. 자세한 내용은 Azure Functions 가격 책정 페이지를 확인하세요.

(선택적 단계) 작업 영역 및 API 권한 부여 키 또는 토큰을 Azure Key Vault 안전하게 저장합니다. Azure Key Vault 키 값을 저장하고 검색하는 보안 메커니즘을 제공합니다. 다음 지침에 따라 Azure 함수 앱에서 Azure Key Vault 사용합니다.

구성:

1단계 - Mimecast API에 대한 구성 단계

Azure Portal ---> 앱 등록 ---> [your_app] ---> 인증서 & 비밀 ---> 새 클라이언트 비밀로 이동하여 새 비밀을 만듭니다(나중에 미리 볼 수 없으므로 즉시 안전한 곳에 값 저장).

2단계 - Mimecast API 커넥터 배포

중요: Mimecast API 커넥터를 배포하기 전에 작업 영역 ID 및 작업 영역 기본 키(다음에서 복사할 수 있음)와 Mimecast API 권한 부여 키 또는 토큰을 쉽게 사용할 수 있습니다.

작업 영역 ID: <설치 시 제공되는 변수 값>

기본 키: <설치 시 제공되는 변수 값>

Mimecast Targeted Threat Protection 데이터 커넥터를 배포합니다.

아래 Azure 배포 단추를 클릭합니다.

aka.ms

기본 구독, 리소스 그룹 및 위치를 선택합니다.

다음 필드를 입력합니다.

appName: Azure 플랫폼에서 앱의 ID로 사용할 고유 문자열

objectId: Azure Portal --- Azure> Active Directory --- 자세한 정보 --->> 프로필 -----> 개체 ID

appInsightsLocation(기본값): westeurope

mimecastEmail: 이 무결성에 대한 전용 사용자의 Email 주소

mimecastPassword: 전용 사용자에 대한 암호

mimecastAppId: Mimecast에 등록된 Microsoft Sentinel 앱의 애플리케이션 ID

mimecastAppKey: Mimecast에 등록된 Microsoft Sentinel 앱의 애플리케이션 키

mimecastAccessKey: 전용 Mimecast 사용자에 대한 액세스 키

mimecastSecretKey: 전용 Mimecast 사용자를 위한 비밀 키

mimecastBaseURL: 지역 Mimecast API 기본 URL

activeDirectoryAppId: Azure Portal ---> 앱 등록 ---> [your_app] ---> 애플리케이션 ID

activeDirectoryAppSecret: Azure Portal --- 앱 등록 --->> [your_app] ---> 인증서 & 비밀 ---> [your_app_secret]

workspaceId: Azure Portal ---> Log Analytics 작업 영역 ---> [작업 영역] ---> 에이전트 ---> 작업 영역 ID(또는 위에서 workspaceId를 복사할 수 있습니다).

workspaceKey: Azure Portal ---> Log Analytics 작업 영역 ---> [작업 영역] ---> 에이전트 ---> 기본 키(또는 위에서 workspaceKey를 복사할 수 있습니다).

AppInsightsWorkspaceResourceID: [작업 영역]---> 속성 --- 리소스 ID를 ---> Log> Analytics 작업 영역 Azure Portal --->

참고: 위의 값에 Azure Key Vault 비밀을 사용하는 경우 문자열 값 대신 스키마를 사용합니다@Microsoft.KeyVault(SecretUri={Security Identifier}). 자세한 내용은 Key Vault 참조 설명서를 참조하세요.

위에 명시된 사용 약관에 동의함을 표시하는 확인란을 표시합니다.

구매를 클릭하여 배포합니다.

Azure Portal ---> 리소스 그룹 ---> [your_resource_group] ---> [appName](type: Storage account) --- Storage Explorer --->> BLOB CONTAINERS ---> TTP 검사 --->점으로 이동하여 attachment-checkpoint.txt, impersonation-checkpoint.txt, url-checkpoint.txt 컴퓨터에 빈 파일을 업로드하고 만들고 업로드하도록 선택합니다(TTP 로그에 대한 date_range 일관된 상태로 저장되도록 수행됨).

MISP2센티넬

지원자:커뮤니티

이 솔루션은 MISP2Sentinel 커넥터를 설치하여 업로드 표시기 REST API를 통해 위협 지표를 MISP에서 Microsoft Sentinel 자동으로 푸시할 수 있습니다. 솔루션을 설치한 후 솔루션 관리 보기의 지침에 따라 이 데이터 커넥터를 구성하고 사용하도록 설정합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

ThreatIntelligenceIndicator 예 아니요

데이터 수집 규칙 지원:작업 영역 변환 DCR

설치 지침:

설치 및 설정 지침

이 GitHub 리포지토리의 설명서를 사용하여 커넥터를 Microsoft Sentinel MISP를 설치하고 구성합니다.

https://github.com/cudeso/misp2sentinel

MongoDB 아틀라스 로그

지원:MongoDB

MongoDBAtlas 로그 커넥터는 MongoDB Atlas 관리 API를 통해 MongoDB Atlas 데이터베이스 로그를 Microsoft Sentinel 업로드하는 기능을 제공합니다. 자세한 내용은 API 설명서를 참조하세요. 커넥터는 지정된 호스트 및 지정된 프로젝트에 대한 데이터베이스 로그 메시지 범위를 가져오는 기능을 제공합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

MDBALogTable_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Microsoft.Web/sites 권한: 함수 앱을 만들기 위한 Azure Functions 읽기 및 쓰기 권한이 필요합니다. 자세한 내용은 Azure Functions 참조하세요.

REST API 자격 증명/권한: MongoDB Atlas 서비스 계정 클라이언트 ID 및 클라이언트 암호 가 필요합니다. 자세한 내용은 서비스 계정 만들기를 참조하세요.

설치 지침:

참고: 이 커넥터는 Azure Functions 사용하여 'MongoDB Atlas'에 연결하여 로그를 Microsoft Sentinel 끌어올 수 있습니다. 이로 인해 추가 데이터 수집 비용이 발생할 수 있습니다. 자세한 내용은 Azure Functions 가격 책정 페이지를 확인하세요.

(선택적 단계) 작업 영역 및 API 권한 부여 키 또는 토큰을 Azure Key Vault 안전하게 저장합니다. Azure Key Vault 키 값을 저장하고 검색하는 보안 메커니즘을 제공합니다. 다음 지침에 따라 Azure 함수 앱에서 Azure Key Vault 사용합니다.

커넥터를 배포하기 전에 작업 영역이 Microsoft Sentinel 추가되었는지 확인합니다.

1단계 - 'MongoDB Atlas 관리 API'에 대한 구성 단계

다음 지침에 따라 MongoDB Atlas 서비스 계정을 만듭니다.

만든 클라이언트 ID 및 클라이언트 암호, 그룹 ID(프로젝트) 및 이후 단계에 필요한 각 클러스터 ID(호스트 이름)를 복사합니다.

자세한 내용은 MongoDB Atlas API 설명서를 참조하세요.

클라이언트 암호는 Azure 키 자격 증명 모음을 통해 커넥터에 전달하거나 커넥터에 직접 전달할 수 있습니다.

키 자격 증명 모음 옵션을 사용하려는 경우 자격 증명 모음 액세스 정책을 사용하여 mongodb-client-secret 이라는 비밀과 비밀 값으로 저장된 클라이언트 암호를 사용하여 키 자격 증명 모음을 만듭니다.

2단계 - 'MongoDB Atlas Logs' 커넥터 및 연결된 Azure 함수 배포

아래 Azure 배포 단추를 클릭합니다.

portal.azure.com

3단계 - 커넥터 매개 변수 설정

기본 구독 및 기존 리소스 그룹을 선택합니다.

리소스 그룹에 속한 기존 Log Analytics 작업 영역 리소스 ID 를 입력합니다.

다음 클릭

MongoDB 그룹 ID, 각각 별도의 줄에 있는 최대 10개의 MongoDB 클러스터 ID 목록 및 MongoDB 클라이언트 ID를 입력합니다.

인증 방법 클라이언트 암호를 선택하고 클라이언트 비밀 값에 복사하거나 Key Vault 키 자격 증명 모음의 이름으로 복사합니다. 다음 클릭

MongoDB 필터를 검토합니다. 하나 이상의 범주에서 로그를 선택합니다. 다음 클릭

일정을 검토합니다. 다음 클릭

설정을 검토한 다음 만들기를 클릭합니다.

뮬소프트 클라우드허브

지원:Microsoft Corporation

MuleSoft Cloudhub 데이터 커넥터는 Cloudhub API를 사용하여 Cloudhub 애플리케이션에서 로그를 검색하고 REST API를 통해 Microsoft Sentinel 더 많은 이벤트를 검색하는 기능을 제공합니다. 커넥터를 사용하면 이벤트 검색을 통해 잠재적인 보안 위험을 평가하고, 공동 작업을 모니터링하고, 구성 문제를 진단하고 해결할 수 있습니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

MuleSoft_Cloudhub_CL 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

Microsoft.Web/sites 권한: 함수 앱을 만들기 위한 Azure Functions 읽기 및 쓰기 권한이 필요합니다. 자세한 내용은 Azure Functions 참조하세요.

REST API 자격 증명/권한: API 호출을 수행하려면 MuleSoftEnvId, MuleSoftAppName, MuleSoftUsername 및 MuleSoftPassword 가 필요합니다.

설치 지침:

참고: 이 커넥터는 Azure Functions 사용하여 Azure Blob Storage API에 연결하여 로그를 Microsoft Sentinel 끌어올 수 있습니다. 이로 인해 데이터 수집 및 데이터를 Azure Blob Storage 비용에 저장하는 추가 비용이 발생할 수 있습니다. 자세한 내용은 Azure Functions 가격 책정 페이지 및 Azure Blob Storage 가격 책정 페이지를 확인하세요.

(선택적 단계) 작업 영역 및 API 권한 부여 키 또는 토큰을 Azure Key Vault 안전하게 저장합니다. Azure Key Vault 키 값을 저장하고 검색하는 보안 메커니즘을 제공합니다. 다음 지침에 따라 Azure 함수 앱에서 Azure Key Vault 사용합니다.

참고: 이 데이터 커넥터는 Kusto 함수를 기반으로 하는 파서가 Microsoft Sentinel 솔루션과 함께 배포된 예상된 MuleSoftCloudhub와 같이 작동하도록 합니다.

참고: 이 데이터 커넥터는 CloudHub 2.0 애플리케이션이 아닌 플랫폼 API를 사용하여 CloudHub 애플리케이션의 로그만 가져옵니다.

1단계 - MuleSoft Cloudhub API에 대한 구성 단계

지침에 따라 자격 증명을 가져옵니다.

설명서를 사용하여 MuleSoftEnvId, MuleSoftAppName, MuleSoftUsername 및 MuleSoftPassword를 가져옵니다.

데이터 커넥터에서 사용하기 위한 자격 증명을 저장합니다.

2단계 - 커넥터 및 연결된 Azure 함수를 배포하려면 다음 두 가지 배포 옵션 중 하나를 선택합니다.

중요: MuleSoft Cloudhub 데이터 커넥터를 배포하기 전에 작업 영역 ID 및 작업 영역 기본 키를 갖습니다(다음에서 복사할 수 있음).

작업 영역 ID: <설치 시 제공되는 변수 값>

기본 키: <설치 시 제공되는 변수 값>

옵션 1 - ARM(Azure Resource Manager) 템플릿

ARM Tempate를 사용하여 MuleSoft Cloudhub 데이터 커넥터의 자동화된 배포에 이 방법을 사용합니다.

아래 Azure 배포 단추를 클릭합니다.

aka.ms

기본 구독, 리소스 그룹 및 위치를 선택합니다.

참고: 동일한 리소스 그룹 내에서는 Windows 및 Linux 앱을 동일한 지역에 혼합할 수 없습니다. Windows 앱이 없는 기존 리소스 그룹을 선택하거나 새 리소스 그룹을 만듭니다. 3. MuleSoftEnvId, MuleSoftAppName, MuleSoftUsername 및 MuleSoftPassword를 입력하고 배포합니다. 4. 위에 명시된 사용 약관에 동의함을 표시하는 확인란을 표시합니다. 5. 구매 를 클릭하여 배포합니다.

옵션 2 - Azure Functions 수동 배포

다음 단계별 지침을 사용하여 Azure Functions 사용하여 MuleSoft Cloudhub 데이터 커넥터를 수동으로 배포합니다(Visual Studio Code 통해 배포).

함수 앱 배포

참고: Azure 함수 개발을 위해 VS 코드를 준비해야 합니다.

Azure 함수 앱 파일을 다운로드합니다. 로컬 개발 컴퓨터에 보관 파일을 추출합니다.

VS Code를 시작합니다. 주 메뉴에서 파일을 선택하고 폴더 열기를 선택합니다.

추출된 파일에서 최상위 폴더를 선택합니다.

작업 표시줄에서 Azure 아이콘을 선택한 다음, Azure: 함수 영역에서 함수에 배포 앱 단추를 선택합니다. 아직 로그인하지 않은 경우 활동 표시줄에서 Azure 아이콘을 선택한 다음, Azure: 함수 영역에서 로그인을 선택하여 Azure 이미 로그인한 경우 다음 단계로 이동합니다.

프롬프트에서 다음 정보를 제공합니다.

a. 폴더 선택: 작업 영역에서 폴더를 선택하거나 함수 앱이 포함된 폴더로 이동합니다.

b. 구독을 선택합니다. 사용할 구독을 선택합니다.

c. Azure 새 함수 앱 만들기를 선택합니다(고급 옵션을 선택하지 않음).

d. 함수 앱의 전역적으로 고유한 이름을 입력합니다 . URL 경로에 유효한 이름을 입력합니다. 입력한 이름은 Azure Functions 고유하도록 유효성을 검사합니다. (예: MuleSoftXXXXX).

e. 런타임 선택: Python 3.11을 선택합니다.

f. 새 리소스의 위치를 선택합니다. 성능 향상 및 비용 절감을 위해 Microsoft Sentinel 있는 동일한 지역을 선택합니다.

배포가 시작됩니다. 함수 앱이 만들어지고 배포 패키지가 적용된 후 알림이 표시됩니다.

함수 앱 구성에 대한 Azure 포털로 이동합니다.

함수 앱 구성

함수 앱에서 함수 앱 이름을 선택하고 구성을 선택합니다.

애플리케이션 설정 탭에서 새 애플리케이션 설정을 선택합니다.

각 문자열 값(대/소문자 구분)을 사용하여 다음 애플리케이션 설정을 개별적으로 추가합니다. MuleSoftEnvId MuleSoftAppName MuleSoftUsername MuleSoftPassword WorkspaceID WorkspaceKey logAnalyticsUri(선택 사항)

logAnalyticsUri를 사용하여 전용 클라우드에 대한 로그 분석 API 엔드포인트를 재정의합니다. 예를 들어 퍼블릭 클라우드의 경우 값을 비워 둡니다. Azure GovUS 클라우드 환경의 경우 값을 형식https://<CustomerId>.ods.opinsights.azure.us으로 지정합니다.

모든 애플리케이션 설정이 입력되면 저장을 클릭합니다.

Mulesoft CloudHub Alerts 커넥터 (코드리스 커넥터 프레임워크 통해)

지원:Microsoft Corporation

Mulesoft CloudHub 데이터 커넥터는 CloudHub REST API v2를 통해 Mulesoft CloudHub에서 Microsoft Sentinel로 알림을 인제스트할 수 있게 해줍니다. 이 커넥터는 미국 상업용 클라우드, EU 클라우드, 정부 클라우드, 온프레미스 배포 등 다양한 Mulesoft 지역 및 배포 환경을 구성할 수 있는 구성 가능한 엔드포인트를 지원합니다. 멀티스트림 지원을 통해 여러 Mulesoft 환경에 동시에 연결할 수 있습니다. Anypoint Platform 자격 증명, 환경 ID, 선택 가능한 애플리케이션 이름 필터로 커넥터를 설정하여 데이터 수집을 시작하세요. 파서를 사용 MuleSoftCloudhub 해 인제스트된 알림을 쿼리하세요. CloudHub API에 대한 자세한 내용은 Mulesoft CloudHub API 문서를 참고하세요.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

MulesoftCloudhubAlerts_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Mulesoft CloudHub API 접근: 읽기 권한이 있는 Mulesoft CloudHub API 접근이 필요합니다.

설치 지침:

1. 뮬소프트 클라우드허브 연결

Mulesoft CloudHub 환경과의 연결을 관리하세요

필수 구성 요소

이 커넥터를 구성하기 전에 다음을 확인하세요:

적절한 권한이 있는 Mulesoft Anypoint 플랫폼 계정

모니터링하고자 하는 CloudHub 환경에 대한 환경 접근

API 접근 자격 증명 (사용자 이름 및 비밀번호)

Mulesoft CloudHub 콘솔의 환경 ID

환경 ID 찾기

Anypoint 플랫폼에 로그인하세요

접근 관리 > 환경으로 탐색하기

목표 환경을 선택하세요

URL 또는 환경 세부 정보에서 환경 ID를 복사하세요

참고: 이 커넥터는 CloudHub API에 대한 읽기 권한이 필요합니다. 필요한 권한이 없다면 Mulesoft 관리자에게 연락하세요.

데이터 커넥터 그리드(포털에서 구성)

2. 모니터링 및 검증

데이터 수집을 모니터링하고 연결 상태를 검증합니다

연결 후 단계

연결 상태 모니터링: 데이터 커넥터 페이지에서 연결 상태를 확인하세요

Data Flow 검증: 제공된 샘플 쿼리를 사용하여 데이터가 수집되고 있는지 검증하세요

로그 검토: Azure Monitor 로그에서 연결 또는 인증 문제를 확인하세요

데이터 수집 일정

알림: 엔드포인트로부터 /v2/alerts 5분마다 폴링

예상 타임라인

초기 데이터: 초기 데이터가 나타날 때까지 10-15분을 기다려 주세요

알림 데이터: 표에서 MuleSoftCloudhub 이용 가능

Troubleshooting

인증 오류: 자격 증명 및 환경 접근 권한을 검증하세요

데이터 없음: 지정된 환경에서 알림이 존재하는지 확인하세요

부분 데이터: 환경 ID와 애플리케이션 필터 설정을 확인하세요

참고: 샘플 쿼리: MuleSoftCloudhub | where TimeGenerated > ago(24h) | summarize count() by EventSeverity

MuleSoft CloudHub 로그 (코드리스 커넥터 프레임워크를 통한 푸시 커넥터)

지원:Microsoft Corporation

MuleSoft CloudHub Log4j 푸시 기반 커넥터로, Log4j HTTP Appender를 통해 MuleSoft CloudHub로부터 애플리케이션 로그를 직접 수신할 수 있습니다. 이 커넥터는 MuleSoft가 권장하는 대로 실시간으로 로그를 스트리밍할 수 있게 하여 API 속도 제한과 중복 데이터 문제를 방지합니다. 제공된 Log4j HTTP Appender 설정으로 MuleSoft 애플리케이션을 구성하여 로그를 Microsoft Sentinel로 스트리밍하세요.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

MuleSoftCloudhubLogs 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

Microsoft. 인사이트/데이터수집엔드포인트: 데이터 수집 엔드포인트는 현대 푸시 커넥터가 외부 보안 시스템에서 데이터를 받기 위해 필요합니다.

Microsoft. 인사이트/데이터수집규칙: 데이터 수집규칙은 들어오는 데이터의 스키마와 변환을 정의하는 데 필요합니다.

Microsoft. 권한/역할할당: 역할 할당은 Entra 애플리케이션이 데이터 수집 규칙에 데이터를 전송할 권한을 부여하는 데 필요합니다.

설치 지침:

1. ARM 리소스 만들기 및 필요한 권한 제공

이 커넥터는 외부 보안 시스템에서 데이터를 받아 로그를 Microsoft Sentinel로 푸시합니다. 외부 시스템은 원시 이벤트 데이터를 Microsoft Sentinel Ingestion API로 전송하도록 설정해야 합니다. 배포를 클릭하면 Log Analytics 테이블과 데이터 수집 규칙(DCR)이 생성됩니다. 그런 다음, Entra 애플리케이션을 만들고, DCR을 연결하고, 애플리케이션에 입력한 비밀을 설정합니다. 이 설정을 사용하면 Entra 토큰을 사용하여 데이터를 DCR로 안전하게 보낼 수 있습니다.

커넥터 설치 과정에 대해 더 알아보세요

Azure Resource Deployment

배포 과정에서는 다음과 같은 자원이 생성됩니다:

Log Analytics 맞춤 테이블

DCE(데이터 수집 엔드포인트)

DCR(데이터 수집 규칙)

Entra ID 신청 등록

데이터 인제스팅을 위한 역할 할당

구성 값

배포 후 다음 값을 복사하여 외부 보안 시스템을 구성하세요:

테넌트 ID(디렉터리 ID): <설치 시 제공되는 변수 값>

Entra 앱 등록 애플리케이션 ID: <설치 시 제공되는 변수 값>

Entra 앱 등록 비밀: <설치 시 제공되는 변수 값>

데이터 수집 엔드포인트 URL: <설치 시 제공된 변수 값>

데이터 수집 규칙 변경할 수 없는 ID: <설치 시 제공되는 변수 값>

스트림 이름 (MuleSoftCloudhubLogs):< 설치 시 제공된 변수 값>

참고: 이 값들은 안전하게 보관하세요. 외부 보안 시스템을 구성하는 데 필요할 것입니다.

2. 외부 시스템을 로그 푸시로 설정하세요

외부 보안 시스템을 구성하여 작업 공간으로 로그를 전송할 수 있도록 다음 매개변수를 사용하세요.

구성 단계

외부 보안 시스템의 설정 인터페이스에 접근하세요.

데이터 전달, 통합, SIEM 설정으로 이동하세요.

目的地先是 Azure Monitor 或 Microsoft Sentinel を選びましょう。

인증 방법으로 데이터 수집 엔드포인트 를 선택하세요.

이전 단계의 값을 사용하여 필수 필드를 구성하세요:

세입자 신분증: 위에 있는 사본

애플리케이션(클라이언트) ID: 위에서 복사함

클라이언트 비밀: 위에서 복사

데이터 수집 종료점: 위에서 복사

데이터 수집 규칙 변경 불가능 ID: 위에서 복사함

스트림 이름: 위에서 해당 스트림 이름을 복사하세요

설정을 저장하고 포워더를 활성화하거나 시작하세요.

Validation

참고: 데이터는 Log Analytics 작업 공간의 MuleSoftCloudhubLogs 테이블에 몇 분 내에 나타납니다.

데이터가 수신되고 있는지 확인하려면 Log Analytics 작업 공간에서 다음 쿼리를 실행하세요:

MuleSoftCloudhubLogs | where TimeGenerated > ago(1h) | take 10

Troubleshooting

데이터가 나타나지 않을 경우:

구성 값이 맞는지 확인하세요

포워더/통합이 활성화되어 있고 실행 중인지 확인하세요

외부 보안 시스템의 로그를 검토해 오류가 있는지 확인하세요

시스템에서 Azure로 네트워크 연결을 보장하세요

Entra 애플리케이션이 올바른 권한을 가지고 있는지 확인하세요

NC 보호

지원:archTIS

NC archtis.com(데이터 보호 커넥터)는 사용자 활동 로그 및 이벤트를 Microsoft Sentinel 수집하는 기능을 제공합니다. 커넥터는 모니터링 및 조사 기능을 개선하기 위해 Microsoft Sentinel NC 사용자 활동 로그 및 이벤트 보호에 대한 가시성을 제공합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

NCProtectUAL_CL 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

NC 보호: O365용 NC Protect의 실행 중인 instance 있어야 합니다. 문의해 주세요.

설치 지침:

Azure 테넌시로 NC 보호 설치

NC 보호 관리 사이트에 로그인

왼쪽 탐색 메뉴에서 일반 -> 사용자 활동 모니터링을 선택합니다.

SIEM 사용 확인란을 선택하고 구성 단추를 클릭합니다.

애플리케이션으로 Microsoft Sentinel 선택하고 아래 정보를 사용하여 구성을 완료합니다.

저장을 클릭하여 연결을 활성화합니다.

작업 영역 ID: <설치 시 제공되는 변수 값>

기본 키: <설치 시 제공되는 변수 값>

Netskope AI SecOps

지원:Netskope

Netskope AI SecOps 커넥터는 Codeless Connector Framework (CCF) 푸시 패턴과 Azure Monitor Logs Collectes API를 사용하여 AI SecOps 케이스 및 위험 점수 이벤트(케이스 수명주기, 조사 강화, 엔터티 위험 점수 변경)를 Microsoft Sentinel에 직접 푸시합니다. 이벤트는 테이블에 NetskopeAISecOps_CL 기록되며, 쿼리 시점에 함수로 NetskopeAISecOpsEvents 열을 Data 파싱합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

NetskopeAISecOps_CL 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

Microsoft Entra: Microsoft Entra ID 앱 등록을 만들 수 있는 권한입니다. 일반적으로 Entra ID 애플리케이션 개발자 역할 이상이 필요합니다.

Microsoft Azure: 데이터 수집 규칙(DCR)에 모니터링 메트릭스 Publisher 역할을 할당할 권한. 일반적으로 AZURE RBAC 소유자 또는 사용자 액세스 관리자 역할이 필요합니다.

Netskope AI SecOps 관리 콘솔: Netskope 테넌트의 AI SecOps 설정에서 아웃바운드 이벤트 목적지를 설정할 수 있는 권한.

설치 지침:

1. ARM 리소스 만들기 및 필요한 권한 제공

이 커넥터는 Netskope 테넌트의 AI SecOps 모듈이 Azure Monitor 로그 인제스티션 API를 통해 케이스 및 위험 점수 이벤트를 Microsoft Sentinel에 직접 전달할 수 있게 합니다.

Entra 애플리케이션을 통한 자동 구성 및 안전한 데이터 인데이스트: "Deploy push connector resources"를 클릭하면 Log Analytics 테이블과 데이터 수집 규칙(DCR) 및 데이터 수집 엔드포인트(DCE)가 생성 NetskopeAISecOps_CL 됩니다. 그 후 Microsoft Entra 앱 등록을 생성하고, DCR을 연결한 뒤 입력한 비밀을 애플리케이션에서 설정합니다. 이 설정 덕분에 Netskope는 Entra 토큰을 사용해 AI SecOps 이벤트를 DCR로 안전하게 전송할 수 있습니다.

2. Netskope AI SecOps 관리 콘솔에서 이벤트 목적지를 설정하세요

아래 값을 Netskope AI SecOps 관리자 콘솔의 Microsoft Sentinel 목적지 Outbound webhook에 복사하세요(인증 유형: OAuth2 클라이언트 자격 증명). 필드는 웹훅 폼과 같은 순서로 나열되어 있습니다. 콘솔 단계에 대해서는 Netskope 커뮤니티 가이드 를 참고하세요.

참고: 토큰 URL은 이 워크스페이스가 배포된 Azure 클라우드(상업용 또는 정부용)의 Microsoft Entra 권한에서 생성되므로, 표시된 대로 정확히 복사하세요.

목적지 URL(데이터 수집 엔드포인트):< 설치 시 제공된 변수 값>

토큰 URL: <설치 시 제공되는 변수 값>

클라이언트 ID(Entra 애플리케이션 ID):< 설치 시 제공되는 변수 값>

클라이언트 비밀 (Entra 애플리케이션 비밀 값):< 설치 시 제공되는 변수 값>

범위: <설치 시 제공되는 가변 값>

테넌트 ID(디렉터리 ID): <설치 시 제공되는 변수 값>

데이터 수집 규칙 변경할 수 없는 ID: <설치 시 제공되는 변수 값>

Stream 이름: <설치 시 제공되는 변수 값>

Netskope 경고 및 이벤트

지원:Netskope

Netskope 보안 경고 및 이벤트

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

NetskopeAlerts_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Netskope 조직 URL: Netskope 데이터 커넥터를 사용하려면 조직 URL을 제공해야 합니다. Netskope 포털에 로그인하여 조직 URL을 찾을 수 있습니다.

Netskope API 키: Netskope 데이터 커넥터를 사용하려면 유효한 API 키를 제공해야 합니다. Netskope 설명서에 따라 만들 수 있습니다.

설치 지침:

1단계 - Netskope API 키를 만듭니다.

이 단계에 대한 지침 은 Netskope 설명서를 따르세요.

2단계 - Netskope 제품 세부 정보 입력

아래의 Netskope 조직 URL & API 토큰을 입력합니다.

조직 URL: (조직 URL 입력)

API 키: (API 키를 입력)

선택사항: API가 사용하는 인덱스를 지정하세요.

인덱스 구성은 선택 사항이며 고급 시나리오에서만 필요합니다. Netskope은 인덱 스를 사용하여 이벤트를 검색합니다. 일부 고급 사례(여러 Microsoft Sentinel 작업 영역에서 이벤트를 사용하거나 최근 데이터만 검색하기 위해 인덱스를 미리 지정하는 경우) 고객은 인덱스를 직접 제어하려고 할 수 있습니다.

인덱스: (NetskopeCCF)

3단계 - 연결을 클릭합니다.

위의 모든 필드가 올바르게 채워져 있는지 확인합니다. 연결을 눌러 Netskope을 Microsoft Sentinel 연결합니다.

연결 사용/사용 안 함

Netskope 클라이언트 상태

지원:Netskope

Netskope 클라이언트 상태 커넥터는 Codeless Connector Framework(CCF) REST API 폴러를 통해 Netskope 클라이언트 장치 상태 기록(설치, 연결, 건강, 마지막으로 본 자세 이벤트)을 Microsoft Sentinel에 인징합니다. 데이터는 Netskope API에서 CSV 형태로 전달되며 테이블에 NetskopeClientStatus_CL 저장됩니다. 열거 코드는 원래 열에 보존되며, 인접한 사람이 읽을 수 있는 *_name 열로 변환됩니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

NetskopeClientStatus_CL 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

Netskope 조직 URL: Netskope 데이터 커넥터를 사용하려면 조직 URL을 제공해야 합니다. Netskope 포털에 로그인하여 조직 URL을 찾을 수 있습니다.

Netskope API 키: Netskope 데이터 커넥터를 사용하려면 유효한 API 키를 제공해야 합니다. Netskope 설명서에 따라 만들 수 있습니다.

Netskope 클라이언트 상태 이터레이터: 다른 Netskope 알림 및 이벤트 데이터 타입과 달리, 클라이언트 상태는 Netskope의 REST API v2 Management-API 반복자 엔드포인트를 통해서만 노출됩니다. 이 데이터 유형에는 기본값이나 자동 생성 인덱스가 없으며, 연결 전에 반드시 이터레이터를 직접 만들어야 합니다; Netskope 이터레이터 엔드포인트 문서를 참조하세요.

설치 지침:

1단계 - Netskope API 키를 만듭니다.

이 단계에 대한 지침 은 Netskope 설명서를 따르세요.

2단계 - 클라이언트 상태 이터레이터 생성

클라이언트 상태는 다른 Netskope 이벤트 유형에서 사용하는 공유 index= 규칙을 지원하지 않으며, Microsoft Sentinel이 폴링하기 전에 이 데이터 타입에 대해 전용 반복자를 만들어야 합니다. Netskope REST API v2 반복자 엔드포인트를 사용해 Create Iterator API를 한 번(예: POST https://<your-org>/api/v2/dataexport/iterator/<a-name-you-choose>?eventtype=clientstatus API 토큰으로) 호출하고, 사용한 반복자 이름/ID를 기록하세요 — 아래에 입력하세요. 이터레이터 관리는 폴링하는 이벤트와는 별도의 API 서피스이므로, 링크된 Netskope 문서와 정확한 요청 형태를 확인하세요.

3단계 - Netskope 제품 세부 정보 입력

2단계에서 생성한 Netskope 조직 URL, API 토큰, 그리고 클라이언트 상태 이터레이터 ID를 입력하세요:

조직 URL: (조직 URL 입력)

API 키: (API 키를 입력)

클라이언트 상태 이터레이터 ID: (2단계에서 만든 이터레이터 이름/ID를 입력하세요)

4단계 - 연결 클릭

위의 모든 필드가 올바르게 채워져 있는지 확인합니다. 연결을 눌러 Netskope을 Microsoft Sentinel 연결합니다.

연결 사용/사용 안 함

Netskope 데이터 커넥터

지원:Netskope

Netskope 데이터 커넥터는 다음과 같은 기능을 제공합니다.

NetskopeToAzureStorage:

Netskope에서 Netskope 경고 및 이벤트 데이터를 가져와서 Azure 스토리지로 수집합니다. 2. StorageToSentinel :

Azure 스토리지에서 Netskope 경고 및 이벤트 데이터를 가져와서 log analytics 작업 영역의 사용자 지정 로그 테이블로 수집합니다. 3. WebTxMetrics:

Netskope에서 WebTxMetrics 데이터를 가져와서 로그 분석 작업 영역에서 사용자 지정 로그 테이블로 수집합니다.

REST API에 대한 자세한 내용은 아래 설명서를 참조하세요.

Netskope API 설명서:

https://docs.netskope.com/en/netskope-help/admin-console/rest-api/rest-api-v2-overview-312207/2. Azure 스토리지 설명서: /azure/storage/common/storage-introduction 3. Microsoft 로그 분석 설명서: /azure/azure-monitor/logs/log-analytics-overview

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

alertscompromisedcredentialdata_CL 아니요 아니요

alertsctepdata_CL 아니요 아니요

alertsdlpdata_CL 아니요 아니요

alertsmalsitedata_CL 아니요 아니요

alertsmalwaredata_CL 아니요 아니요

alertspolicydata_CL 아니요 아니요

alertsquarantinedata_CL 아니요 아니요

alertsremediationdata_CL 아니요 아니요

alertssecurityassessmentdata_CL 아니요 아니요

alertsubadata_CL 아니요 아니요

eventsapplicationdata_CL 아니요 아니요

eventsauditdata_CL 아니요 아니요

eventsconnectiondata_CL 아니요 아니요

eventsincidentdata_CL 아니요 아니요

eventsnetworkdata_CL 아니요 아니요

eventspagedata_CL 아니요 아니요

Netskope_WebTx_metrics_CL 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

Azure 구독: azure active directory()에 애플리케이션을 등록하고 리소스 그룹의 앱에 기여자 역할을 할당하려면 소유자 역할이 있는 Azure 구독이 필요합니다.

Microsoft.Web/sites 권한: 함수 앱을 만들기 위한 Azure Functions 읽기 및 쓰기 권한이 필요합니다. 자세한 내용은 Azure Functions 참조하세요.

REST API 자격 증명/권한: Netskope 테넌트 및 Netskope API 토큰 이 필요합니다. Rest API 참조에서 API에 대한 자세한 내용은 설명서를 참조하세요.

설치 지침:

참고: 이 커넥터는 Azure Functions 사용하여 Netskope API에 연결하여 경고 및 이벤트 데이터를 사용자 지정 로그 테이블로 가져옵니다. 자세한 내용은 Azure Functions 가격 책정 페이지를 확인하세요.

(선택적 단계) 작업 영역 및 API 권한 부여 키 또는 토큰을 Azure Key Vault 안전하게 저장합니다. Azure Key Vault 키 값을 저장하고 검색하는 보안 메커니즘을 제공합니다. 다음 지침에 따라 Azure 함수 앱에서 Azure Key Vault 사용합니다.

1단계 - Microsoft Entra ID 애플리케이션에 대한 앱 등록 단계

이 통합에는 Azure Portal 앱 등록이 필요합니다. 이 섹션의 단계에 따라 Microsoft Entra ID 새 애플리케이션을 만듭니다.

Azure 포털에 로그인합니다.

Microsoft Entra ID 검색하여 선택합니다.

관리에서 새 등록 앱 등록 > 선택합니다.

애플리케이션의 표시 이름을 입력합니다.

등록을 선택하여 초기 앱 등록을 완료합니다.

등록이 완료되면 Azure Portal 앱 등록의 개요 창이 표시됩니다. 애플리케이션(클라이언트) ID 및 테넌트 ID가 표시됩니다. 클라이언트 ID 및 테넌트 ID는 TriggersSync 플레이북을 실행하기 위한 구성 매개 변수로 필요합니다.

참조 링크:/azure/active-directory/develop/quickstart-register-app

2단계 - Microsoft Entra ID 애플리케이션에 대한 클라이언트 암호 추가

애플리케이션 암호라고도 하는 클라이언트 암호는 TriggersSync 플레이북을 실행하는 데 필요한 문자열 값입니다. 이 섹션의 단계에 따라 새 클라이언트 암호를 만듭니다.

Azure Portal 앱 등록 애플리케이션을 선택합니다.

인증서 & 비밀 > 클라이언트 비밀 새 클라이언트 비밀을 >선택합니다.

클라이언트 비밀에 대한 설명을 추가합니다.

비밀에 대한 만료를 선택하거나 사용자 지정 수명을 지정합니다. 한도는 24개월입니다.

추가를 선택합니다.

클라이언트 애플리케이션 코드에서 사용할 비밀 값을 기록합니다. 이 비밀 값은 이 페이지를 떠난 후에 다시는 표시되지 않습니다. 비밀 값은 TriggersSync 플레이북을 실행하기 위한 구성 매개 변수로 필요합니다.

참조 링크:/azure/active-directory/develop/quickstart-register-app#add-a-client-secret

3단계 - Microsoft Entra ID 애플리케이션에 기여자 역할 할당

이 섹션의 단계에 따라 역할을 할당합니다.

Azure Portal 리소스 그룹으로 이동하여 리소스 그룹을 선택합니다.

왼쪽 패널에서 액세스 제어(IAM) 로 이동합니다.

추가를 클릭한 다음 역할 할당 추가를 선택합니다.

역할로 기여자를 선택하고 다음을 클릭합니다.

에 대한 액세스 할당에서 를 선택합니다User, group, or service principal.

구성원 추가를 클릭하고 만든 앱 이름을 입력 하고 선택합니다.

이제 검토 + 할당을 클릭한 다음 검토 + 할당을 다시 클릭합니다.

참조 링크:/azure/role-based-access-control/role-assignments-portal

4단계 - Netskope 계정에 대한 자격 증명을 만들거나 가져오는 단계

이 섹션의 단계에 따라 Netskope Hostname 및 Netskope API 토큰을 만들거나 가져옵니다.

Netskope 테넌트 에 로그인하고 왼쪽 탐색 모음의 설정 메뉴로 이동합니다.

도구를 클릭한 다음 REST API v2를 클릭합니다.

이제 새 토큰 단추를 클릭합니다. 그런 다음, 데이터를 가져오려는 토큰 이름, 만료 기간 및 엔드포인트를 요청합니다.

이 작업이 완료되면 저장 단추를 클릭하면 토큰이 생성됩니다. 토큰을 복사하고 추가 사용을 위해 안전한 장소에 저장합니다.

5단계 - Netskope 경고 및 이벤트 데이터 수집에 대한 Azure 함수를 만드는 단계

중요: Netskope 데이터 커넥터를 배포하기 전에 작업 영역 ID 및 작업 영역 기본 키(다음에서 복사할 수 있음)를 쉽게 사용할 수 있습니다... 뿐만 아니라 Netskope API 권한 부여 키도 사용할 수 있습니다.

작업 영역 ID: <설치 시 제공되는 변수 값>

기본 키: <설치 시 제공되는 변수 값>

ARM 템플릿을 사용하면 Netskope 이벤트를 수집하기 위한 함수 앱을 배포하고 데이터를 Sentinel 경고합니다.

아래 Azure 배포 단추를 클릭합니다.

aka.ms

기본 구독, 리소스 그룹 및 위치를 선택합니다.

다음 정보를 입력합니다. Netskope HostName Netskope API 토큰 경고 및 이벤트 유형 드롭다운에서 경고 및 이벤트 로그 수준 작업 영역 ID 작업 영역 키를 가져오려는 엔드포인트에 대해 예를 선택합니다.

검토+만들기를 클릭합니다.

그런 다음 유효성 검사 후 만들기 를 클릭하여 배포합니다.

Netskope 웹 트랜잭션 (Blob Storage를 통해)

지원:Netskope

Netskope 웹 트랜잭션 데이터 커넥터는 Netskope 로그 스트리밍(NLS) 기능을 사용하여 Netskope에서 Microsoft Sentinel로 웹 트랜잭션 로그를 인징할 수 있게 합니다. 웹 트랜잭션 로그는 Netskope가 처리하는 모든 웹 트래픽, 사용자 활동, 애플리케이션 사용, URL 카테고리, 정책 동작, 네트워크 메타데이터 등 상세한 가시성을 제공합니다.

이 커넥터는 Azure Blob Storage와 Event Grid를 사용하여 Netskope가 스토리지 계정으로 스트리밍하는 로그를 인제스트합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

NetskopeWebTransactions_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

구독 권한: 데이터 흐름 리소스를 만들 수 있는 권한이 필요합니다.

스토리지 큐(알림 큐 및 데드레터 큐)

이벤트 그리드 주제와 구독 ('블롭이 생성한 이벤트' 알림 전송 방법)

Role assignments (Microsoft Sentinel 앱이 blob 컨테이너와 스토리지 큐에 접근 권한을 부여하는 것)

Netskope Log Streaming 구성: Netskope Log Streaming(NLS)을 설정하여 웹 트랜잭션 로그를 Azure Blob Storage 컨테이너로 전송하세요. 설정 방법은 Netskope NLS 문서를 따라가세요.

설치 지침:

Connect Netskope Web Transaction Logs to Microsoft Sentinel

Microsoft Sentinel용 Netskope 웹 거래 로그를 활성화하려면 아래에 필요한 정보를 입력하고 Connect를 클릭하세요.

필수 조건:

Configure Netskope NLS to send Web Transaction logs to a Azure Blob Storage container

스토리지 계정에 필요한 권한을 갖추었는지 확인하세요

블롭 컨테이너 URL:

블롭 폴더 이름 (선택 사항): (로그가 컨테이너 루트에 있으면 비워 두세요)

저장 계좌 위치: (예: 이스트스)

스토리지 계정 리소스 그룹 이름:

스토리지 계정 구독 ID:

이벤트 그리드 주제 이름 (존재 시): (새 주제를 생성하려면 빈자리 남겨두기)

연결 사용/사용 안 함

네트워크 보안 그룹

지원:Microsoft Corporation

Azure NSG(네트워크 보안 그룹)를 사용하면 Azure 가상 네트워크의 Azure 리소스 간 네트워크 트래픽을 필터링할 수 있습니다. 네트워크 보안 그룹에는 가상 네트워크 서브넷, 네트워크 인터페이스 또는 둘 다에 대한 트래픽을 허용하거나 거부하는 규칙이 포함됩니다.

NSG에 대한 로깅을 사용하도록 설정하면 다음과 같은 유형의 리소스 로그 정보를 수집할 수 있습니다.

이벤트: 항목은 MAC 주소에 따라 VM에 적용되는 NSG 규칙이 기록됩니다.

규칙 카운터: 트래픽을 거부하거나 허용하기 위해 각 NSG 규칙이 적용된 횟수에 대한 항목을 포함합니다. 이러한 규칙에 대한 상태 300초마다 수집됩니다.

이 커넥터를 사용하면 NSG 진단 로그를 Microsoft Sentinel 스트리밍하여 모든 인스턴스에서 작업을 지속적으로 모니터링할 수 있습니다. 자세한 내용은 Microsoft Sentinel 설명서를 참조하세요.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

AzureDiagnostics 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

노드패스

지원:NordPass

API를 통해 nordPass를 Microsoft Sentinel SIEM과 통합하면 NordPass에서 활동 로그 데이터를 자동으로 전송하여 Microsoft Sentinel 항목 활동, 모든 로그인 시도 및 보안 알림과 같은 실시간 인사이트를 얻을 수 있습니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

NordPassEventLogs_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Azure Functions 배포할 수 있도록 리소스 그룹과 Log Analytics 작업 영역이 만들어지고 동일한 지역에 있는지 확인합니다.

만든 Log Analytics 작업 영역에 Microsoft Sentinel 추가합니다.

NordPass 관리 패널에서 Microsoft Sentinel API URL 및 토큰을 생성하여 Azure Functions 통합을 완료합니다. 이를 위해 NordPass Enterprise 계정이 필요합니다.

중요: 이 커넥터는 Azure Functions 사용하여 NordPass에서 Microsoft Sentinel 활동 로그를 검색합니다. 이로 인해 추가 데이터 수집 비용이 발생할 수 있습니다. 자세한 내용은 Azure Functions 가격 책정 페이지를 참조하세요.

설치 지침:

Microsoft Sentinel 설정을 진행하려면

아래 Azure 배포 단추를 클릭합니다.

aka.ms

배포가 성공한 후 시스템은 기본적으로 1분마다 활동 로그 데이터를 가져옵니다.

NordStellar(푸시)

지원:NordStellar

NordStellar 커넥터는 CCF(Codeless Connector Framework) 푸시 패턴을 사용하여 NordStellar 플랫폼의 실시간 위협 인텔리전스 및 노출 이벤트를 Microsoft Sentinel 푸시합니다. 모든 이벤트 유형은 하나의 통합 NordStellar_CL 테이블로 라우팅되며, DCR의 KQL 변환으로 추출된 공통 열(EventTime, EventId, AssetTypeEventTypeRiskLevelAssetValueModuleTags) 등이 있으며, 유형별 페이로드는 동적 Details 열에 보존됩니다.

지원되는 이벤트 유형:

유출된 데이터(module: LEAKED_DATA): DATA_BREACH, COMBO_LIST, MALWARE_INFECTIONCONSUMER_CREDENTIAL

어두운 웹 모니터링(module: DARK_WEB_MONITORING): DARK_WEB_FORUM_POST, DARK_WEB_TELEGRAM_POST, DARK_WEB_RANSOMWARE_POSTDARK_WEB_MARKETPLACE_POST

도메인 스쿼팅 (module: DOMAIN_SQUATTING): DOMAIN_PERMUTATION

공격 Surface (module: ATTACK_SURFACE): ATTACK_SURFACE_WEB_APPLICATION_VULNERABILITY, ATTACK_SURFACE_NETWORK_SERVICE_VULNERABILITYATTACK_SURFACE_DNS_VULNERABILITY

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

NordStellar_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Microsoft Entra: Microsoft Entra ID 앱 등록을 만들 수 있는 권한입니다. 일반적으로 Entra ID 애플리케이션 개발자 역할 이상이 필요합니다.

Microsoft Azure: DCR(데이터 수집 규칙)에 대한 모니터링 메트릭 게시자 역할을 할당할 수 있는 권한입니다. 일반적으로 AZURE RBAC 소유자 또는 사용자 액세스 관리자 역할이 필요합니다.

NordStellar: 통합을 위한 아웃바운드 웹후크를 구성할 수 있는 권한이 있는 활성 NordStellar 테넌트입니다.

설치 지침:

1. 커넥터 리소스 배포

이 커넥터를 사용하면 NordStellar가 실시간 위협 인텔리전스 및 노출 이벤트를 Azure Monitor 수집 API를 통해 Microsoft Sentinel 직접 푸시할 수 있습니다.

배포 를 클릭 하는 자동화된 구성은 다음을 만듭니다.

사용자 지정 Log Analytics 테이블NordStellar_CL

단일 스트림 Custom-NordStellar 이 있는 DCR(데이터 수집 규칙) 및 공통 필드를 승격하고 형식별 페이로드를 유지하는 KQL 변환 Details

수집에 사용되는 DCE(데이터 수집 엔드포인트)

OAuth 2.0 클라이언트 자격 증명을 사용하는 Microsoft Entra 애플리케이션

DCR에 필요한 Monitoring Metrics Publisher 역할 할당

아래에 반환된 자격 증명은 이벤트를 안전하게 푸시할 수 있도록 NordStellar 포털에서 구성됩니다.

2. NordStellar 구성

다음 매개 변수를 사용하여 NordStellar 포털에서 Microsoft Sentinel 통합을 구성합니다.

테넌트 ID(디렉터리 ID): <설치 시 제공되는 변수 값>

애플리케이션(클라이언트) ID: <설치 시 제공되는 변수 값>

클라이언트 암호: <설치 시 제공되는 변수 값>

데이터 수집 엔드포인트 URI: <설치 시 제공되는 변수 값>

데이터 수집 규칙 변경할 수 없는 ID: <설치 시 제공되는 변수 값>

스트림 이름: <설치 시> 제공된 가변 값(On-the-wire envelope NordStellar)은 범위에 {DCE URI}/dataCollectionRules/{DCR Immutable ID}/streams/Custom-NordStellar?api-version=2023-01-01대한 OAuth 전달자 토큰을 사용하여 JSON 배열 https://monitor.azure.com//.default 을 POST해야 합니다.

각 요소는 원래 웹후크 이벤트를 얇은 봉투로 래핑합니다.

[ { "time": "2026-04-27T10:30:00Z", "event": { "id": "...", "type": "DATA_BREACH", "module": "LEAKED_DATA", "risk_level": "HIGH", "date_added": "...", "tags": ["NAME"], "asset": { "type": "EMAIL", "value": "user@company.com" } } } ]

DCR의 KQL 변환은 , type, modulerisk_level, asset.typesource_type/, , asset.value/asset_value를 tags 타입이 있는 열로 전환합니다.id TimeGenerated 는 인제스티션 타임으로 설정되어 과거 이벤트가 보존 검사로 인해 삭제되지 않으며, 원래 이벤트 타임스탬프(detected_at 공격 표면/도메인 순열 date_addedEventTime에 해당)는 . 다른 모든 항목은 동적 Details 열에 유지됩니다.

3. 데이터 수집 확인

NordStellar에서 Sentinel로 이벤트가 흐르는지 확인합니다.

통합을 사용하도록 설정한 후 5-10분 동안 기다린 다음 Microsoft Sentinel 작업 영역에서 이 KQL 쿼리를 실행합니다.

NordStellar_CL | where TimeGenerated > ago(1h) | summarize count() by EventType, Module | order by count_ desc

15분 후에 데이터가 표시되지 않으면 NordStellar 포털에서 자격 증명을 확인하고 DCR에서 수집 오류에 대한 Azure Monitor 확인합니다.

옵시디언 데이터 공유 커넥터

지원:Obsidian 보안

Obsidian Datasharing 커넥터는 Microsoft Sentinel Obsidian Datasharing에서 원시 이벤트 데이터를 읽는 기능을 제공합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

ObsidianActivity_CL 아니요 아니요

ObsidianThreat_CL 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

Microsoft Entra: Microsoft Entra ID 앱 등록을 만들 수 있는 권한입니다. 일반적으로 Entra ID 애플리케이션 개발자 역할 이상이 필요합니다.

Microsoft Azure: DCR(데이터 수집 규칙)에 대한 모니터링 메트릭 게시자 역할을 할당할 수 있는 권한입니다. 일반적으로 AZURE RBAC 소유자 또는 사용자 액세스 관리자 역할이 필요합니다.

설치 지침:

1. ARM 리소스 만들기 및 필요한 권한 제공

이 커넥터는 Obsidian Datasharing이 Microsoft Analytics 작업 영역에서 사용하는 테이블에서 데이터를 읽습니다. 데이터 전달 옵션이 Obsidian Datasharing에서 사용하도록 설정된 경우 원시 이벤트 데이터가 Microsoft Sentinel 수집 API로 전송됩니다.

Entra 애플리케이션을 사용하여 자동화된 구성 및 보안 데이터 수집 "배포"를 클릭하면 Log Analytics 테이블 및 DCR(데이터 수집 규칙)의 생성이 트리거됩니다. 그런 다음, Entra 애플리케이션을 만들고, DCR을 연결하고, 애플리케이션에 입력한 비밀을 설정합니다. 이 설정을 사용하면 Entra 토큰을 사용하여 데이터를 DCR로 안전하게 보낼 수 있습니다.

2. 작업 영역에 로그 푸시

다음 매개 변수를 사용하여 작업 영역으로 로그를 보내도록 컴퓨터를 구성합니다.

테넌트 ID(디렉터리 ID): <설치 시 제공되는 변수 값>

Entra 앱 등록 애플리케이션 ID: <설치 시 제공되는 변수 값>

Entra 앱 등록 비밀: <설치 시 제공되는 변수 값>

데이터 수집 엔드포인트 Uri: <설치 시 제공되는 변수 값>

데이터 수집 규칙 변경할 수 없는 ID: <설치 시 제공되는 변수 값>

활동 Stream 이름: <설치 시 제공되는 변수 값>

위협 Stream 이름: <설치 시 제공되는 변수 값>

Okta 단일 Sign-On(코드리스 커넥터 프레임워크를 통해)

지원:Microsoft Corporation

Okta SSO(Single Sign-On) 데이터 커넥터는 Okta Sysem Log API에서 Microsoft Sentinel 감사 및 이벤트 로그를 수집하는 기능을 제공합니다. 데이터 커넥터는 Microsoft Sentinel Codeless Connector Framework를 기반으로 하며 Okta 시스템 로그 API를 사용하여 이벤트를 가져옵니다. 커넥터는 수신된 보안 이벤트 데이터를 사용자 지정 열로 구문 분석하는 DCR 기반 수집 시간 변환 을 지원하므로 쿼리가 다시 구문 분석할 필요가 없으므로 성능이 향상됩니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

OktaSSO 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

Okta API 토큰: Okta API 토큰입니다. 다음 지침에 따라 설명서를 만들어 Okta 시스템 로그 API에 대해 자세히 알아보세요.

설치 지침:

Microsoft Sentinel Okta Single Sign-On 사용하도록 설정하려면 아래 필수 정보를 제공하고 연결을 클릭합니다.

데이터 커넥터 그리드(포털에서 구성)

Onapsis Defense: 타의 추종을 불허하는 SAP 위협 탐지 & Intel과 Microsoft Sentinel 통합

지원:Onapsis

고유한 익스플로잇, 제로 데이 및 위협 행위자 활동에 대한 심층적인 가시성을 갖춘 보안 팀에게 권한을 부여합니다. 의심스러운 사용자 또는 내부자 행동; 중요한 데이터 다운로드; 보안 제어 위반; 그리고 더 - 모든 Onapsis에서 SAP 전문가에 의해 보강.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

Onapsis_Defend_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Microsoft Entra: Microsoft Entra ID 앱 등록을 만들 수 있는 권한입니다. 일반적으로 Entra ID 애플리케이션 개발자 역할 이상이 필요합니다.

Microsoft Azure: 데이터 수집 규칙에 대한 모니터링 메트릭 게시자 역할을 할당할 수 있는 권한입니다. 일반적으로 AZURE RBAC 소유자 또는 사용자 액세스 관리자 역할이 필요합니다.

설치 지침:

1. ARM 리소스 만들기 및 필요한 권한 제공

DCR(데이터 수집 규칙) 및 DCE(데이터 수집 엔드포인트) 리소스를 만듭니다. 또한 Microsoft Entra 앱 등록을 만들고 필요한 권한을 할당합니다.

Azure 리소스의 자동화된 배포 "푸시 커넥터 리소스 배포"를 클릭하면 DCR 및 DCE 리소스 생성이 트리거됩니다. 그런 다음 클라이언트 암호를 사용하여 Microsoft Entra 앱 등록을 만들고 DCR에 대한 권한을 부여합니다. 이 설정을 사용하면 OAuth v2 클라이언트 자격 증명을 사용하여 데이터를 DCR로 안전하게 보낼 수 있습니다.

2. Onapsis Defend Integration에서 데이터 수집 엔드포인트 세부 정보 및 인증 정보 유지 관리

데이터 수집 엔드포인트 URL 및 인증 정보를 Onapsis Defend Integration 관리자와 공유하여 데이터 수집 엔드포인트로 데이터를 보내도록 Onapsis Defend Integration을 구성합니다.

테넌트 ID | 이 값을 사용하여 테넌트 ID로 구성합니다 <. 설치 시 제공되는 변수 값>

애플리케이션 ID Entra | 클라이언트 ID<: 설치 시 제공되는 변수 값에 이 값을 사용합니다.>

Entra 애플리케이션 비밀 | 토큰<: 설치 시 제공되는 변수 값에 이 값을 사용합니다.>

LogIngestionURL | URL 매개 변수에 이 값을 사용합니다. 설치 시 제공되는 변수 값 <>

DCR 변경할 수 없는 ID | DCR_ID 매개 변수에 이 값 사용: <설치 시 제공된 변수 값>

OneLogin IAM 플랫폼(코드리스 커넥터 프레임워크를 통해)

지원:Microsoft Corporation

OneLogin 데이터 커넥터는 OneLogin 이벤트 API 및 OneLogin 사용자 API를 사용하여 REST API를 통해 일반적인 OneLogin IAM Platform 이벤트를 Microsoft Sentinel 수집하는 기능을 제공합니다. 커넥터를 사용하면 이벤트 검색을 통해 잠재적인 보안 위험을 평가하고, 공동 작업을 모니터링하고, 구성 문제를 진단하고 해결할 수 있습니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

OneLoginEventsV2_CL 예 예

OneLoginUsersV2_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

OneLogin IAM API 자격 증명: API 자격 증명을 만들려면 여기에 제공된 문서 링크를 따릅니다. 여기를 클릭합니다. API 자격 증명을 만들려면 계정 소유자 또는 관리자의 계정 유형이 있어야 합니다. API 자격 증명을 만들면 클라이언트 ID 및 클라이언트 암호를 가져옵니다.

설치 지침:

OneLogin IAM Platform을 Microsoft Sentinel 연결

OneLogin IAM에서 Microsoft Sentinel 데이터를 수집하려면 아래 도메인 추가 단추를 클릭한 다음 세부 정보를 입력하고 필요한 정보를 제공하고 연결을 클릭하는 팝업이 표시됩니다. 그리드에 연결된 도메인 엔드포인트를 볼 수 있습니다.

데이터 커넥터 그리드(포털에서 구성)

원트러스트

지원:OneTrust, LLC

Microsoft Sentinel용 OneTrust 커넥터는 Google Cloud 및 기타 OneTrust 지원 데이터 원본에서 중요한 데이터가 위치하거나 수정된 위치를 거의 실시간으로 파악할 수 있는 기능을 제공합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

OneTrustMetadataV3_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Microsoft Entra: Microsoft Entra ID 앱 등록을 만들 수 있는 권한입니다. 일반적으로 Entra ID 애플리케이션 개발자 역할 이상이 필요합니다.

Microsoft Azure: DCR(데이터 수집 규칙)에 대한 모니터링 메트릭 게시자 역할을 할당할 수 있는 권한입니다. 일반적으로 AZURE RBAC 소유자 또는 사용자 액세스 관리자 역할이 필요합니다.

설치 지침:

1. ARM 리소스 만들기 및 필요한 권한 제공

이 커넥터는 OneTrust가 Microsoft Analytics 작업 영역에서 사용하는 테이블에서 데이터를 읽습니다. OneTrust의 데이터 전달 옵션을 사용하도록 설정하면 원시 이벤트 데이터를 Microsoft Sentinel 수집 API로 보낼 수 있습니다.

Entra 애플리케이션을 사용하여 자동화된 구성 및 보안 데이터 수집 "배포"를 클릭하면 Log Analytics 테이블 및 DCR(데이터 수집 규칙)의 생성이 트리거됩니다. 그런 다음, Entra 애플리케이션을 만들고, DCR을 연결하고, 애플리케이션에 입력한 비밀을 설정합니다. 이 설정을 사용하면 Entra 토큰을 사용하여 데이터를 DCR로 안전하게 보낼 수 있습니다.

2. 작업 영역에 로그 푸시

다음 매개 변수를 사용하여 작업 영역으로 로그를 보내도록 컴퓨터를 구성합니다.

테넌트 ID(디렉터리 ID): <설치 시 제공되는 변수 값>

Entra 앱 등록 애플리케이션 ID: <설치 시 제공되는 변수 값>

Entra 앱 등록 비밀: <설치 시 제공되는 변수 값>

데이터 수집 엔드포인트 Uri: <설치 시 제공되는 변수 값>

데이터 수집 규칙 변경할 수 없는 ID: <설치 시 제공되는 변수 값>

OneTrust Metadata Stream Name: <설치 시 제공되는 변수 값>

OpenAI(코드리스 커넥터 프레임워크를 통해)

지원:Microsoft Corporation

OpenAI 데이터 커넥터를 사용하면 OpenAI API를 통해 감사 로그, 채팅 완료 데이터 또는 OpenAI organization 모두 Microsoft Sentinel 수집할 수 있습니다. 각 데이터 형식은 별도의 REST API 폴러를 사용하며 다른 API 키 유형이 필요합니다. 감사 로그(사용자 작업, API 키 관리, organization 변경, 보안 이벤트)에는 organization 수준 관리자 API 키가 필요하지만 채팅 완료(모델 사용량, 토큰 사용량, 성능 메트릭)에는 프로젝트 수준 API 키가 필요합니다. 하나 또는 두 데이터 형식을 독립적으로 구성할 수 있습니다. 감사 로그는 사용자 지정 OpenAIAuditLogs_CL 테이블에 수집됩니다(OpenAIAuditLogs 파서에 의해 별칭 지정). 채팅 완료는 보안 모니터링, 규정 준수 분석 및 사용 모니터링을 위해 ASimAgentEventLogs 표준 ASIM 테이블(OpenAIChatCompletions 파서에 의해 별칭 지정)으로 정규화됩니다. 자세한 내용은 OpenAI API 설명서를 참조하세요.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

OpenAIAuditLogs 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

OpenAI API 액세스: 각 데이터 형식에는 다른 API 키 형식이 필요합니다. 감사 로그에는 organization 수준 관리자 API 키가 필요합니다. 이러한 키는 OpenAI organization 설정에서 만들 수 있습니다. 채팅을 완료하려면 프로젝트 수준 API 키가 필요합니다. 이러한 키는 OpenAI dashboard 특정 프로젝트 아래에 만들 수 있습니다. 감사 로그, 채팅 완료 또는 둘 다를 독립적으로 구성할 수 있습니다.

설치 지침:

연결 정보

OpenAI의 API에서 데이터를 수집하는 데 사용되는 연결에 대한 세부 정보입니다.

감사 로그 (OpenAIAuditLogs):

organization 수준 관리자 API 키를 사용합니다.

OpenAI organization 설정에서 감사 로깅을 사용하도록 설정해야 합니다. 조직 소유자는 OpenAI의 Organization settings - 로>Data controls>Data retention깅으로 이동하여 감사 로깅을 사용하도록 설정할 수 있습니다.

OpenAI 감사 로깅을 사용하도록 설정하면 OpenAI 지원에 문의하지 않고는 사용하지 않도록 설정할 수 없습니다.

채팅 완료 (ASimAgentEventLogs):

프로젝트 수준 API 키를 사용합니다.

매개 변수를 로 설정 store 하여 true 만든 채팅 완료만 수집됩니다.

채팅 완료는 ASimAgentEventLogs ASIM 표준 테이블로 정규화됩니다.

이 커넥터가 활성 상태인 동안 저장된 채팅 완료를 삭제하려면 데이터 수집 상태를 다시 설정하기 위해 연결을 끊고 다시 연결해야 할 수 있습니다.

OpenAI 감사 로그 연결 추가

OpenAI API 자격 증명을 입력하여 OpenAI API에서 감사 로그 데이터를 수집합니다.

OpenAI 채팅 완료 연결 추가

OpenAI API 자격 증명을 입력하여 OpenAI API에서 채팅 완료 데이터를 수집합니다.

데이터 커넥터 그리드(포털에서 구성)

Oracle 클라우드 인프라(코드리스 커넥터 프레임워크를 통해)

지원:Microsoft Corporation

OCI(Oracle Cloud Infrastructure) 데이터 커넥터는 OCI 스트리밍 REST API를 사용하여 OCI Stream OCI 로그를 Microsoft Sentinel 수집하는 기능을 제공합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

OCI_LogsV2_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

OCI 스트리밍 API 액세스: API 서명 키를 통해 OCI 스트리밍 API에 액세스해야 합니다.

OCI IAM 정책: API 서명 키와 연관된 OCI 사용자는 OCI 스트림에서 데이터를 소비할 수 있는 충분한 IAM 권한을 가져야 합니다. API 키는 인증만 제공하며; 승인을 위해서는 IAM 정책이 필요합니다. 최소한 다음을 구성하세요: group-name <> 에서 compartment <compartment-name>에서 stream-pull을 사용할 수 있도록 허용하세요.

설치 지침:

OCI 스트리밍 API에 연결하여 Microsoft Sentinel 이벤트 로그 수집 시작

OCI 콘솔에 로그인하고 탐색 메뉴에 액세스합니다.

탐색 메뉴에서 "분석 & AI" -> "스트리밍"으로 이동합니다.

"Stream 만들기"를 클릭합니다.

기존 "Stream 풀"을 선택하거나 새 풀을 만듭니다.

다음 세부 정보를 입력합니다.

"Stream 이름"

"보존"

"파티션 수"

"총 쓰기 속도"

"총 읽기 속도"(데이터 볼륨 기준)

탐색 메뉴에서 "로깅" -> "서비스 커넥터"로 이동합니다.

"서비스 커넥터 만들기"를 클릭합니다.

다음 세부 정보를 입력합니다.

"커넥터 이름"

"설명"

"자원 구획"

"원본": "로깅"을 선택합니다.

"대상": "스트리밍"을 선택합니다.

(선택 사항) "로그 그룹", "필터"를 구성하거나 "사용자 지정 검색 쿼리"를 사용하여 필요한 로그만 스트리밍합니다.

이전에 만든 스트림을 선택하여 "대상"을 구성합니다.

"만들기"를 클릭합니다.

설명서에 따라 프라이빗 키 및 API 키 구성 파일을 만듭니다. Pem 파일 저장, 구 전달(선택 사항, OCI 콘솔을 사용하여 API 서명 키 쌍을 생성할 때 설정되지 않음) 및 연결 시 사용할 보안 위치에 지문을 저장합니다.

데이터 커넥터 그리드(포털에서 구성)

Orca 보안 경고

지원:Orca Security

Orca 보안 경고 커넥터를 사용하면 경고 로그를 Microsoft Sentinel 쉽게 내보낼 수 있습니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

OrcaAlerts_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

설치 지침:

Orca 보안 경고 로그를 Microsoft Sentinel 통합하기 위한 지침을 따릅니다.

작업 영역 ID: <설치 시 제공되는 변수 값>

기본 키: <설치 시 제공되는 변수 값>

Orca 보안 경고 (Microsoft Entra ID를 통해)

지원:Orca Security

Orca Security Alerts 커넥터는 Orca 클라우드 보안 경고를 Microsoft Sentinel로 스트리밍할 수 있게 해줍니다. Orca는 Microsoft Entra ID 애플리케이션을 사용하여 데이터 수집 엔드포인트의 Logs Ingestion API에 경고를 전달하며, 기존 Log Analytics 공유 키 인증을 대체합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

OrcaAlerts_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Microsoft Entra ID: 자동 생성 앱을 사용할 경우 Microsoft Entra ID에서 앱 등록을 생성할 수 있는 권한. 보통 애플리케이션 개발자 이상의 직무가 필요합니다.

Microsoft Azure: Azure 리소스(DCE, DCR, 테이블)를 생성 및 구성 및 RBAC 역할 할당할 권한. 일반적으로 기여자 및 사용자 접근 관리자 역할이 필요합니다.

Orca Security: Microsoft Sentinel 통합을 구성할 수 있도록 Orca Security 플랫폼에 접근할 수 있습니다.

설치 지침:

1. 커넥터 리소스 배포

Microsoft Entra ID 인증을 사용하여 Logs Ingestion API를 통해 Orca 보안 알림을 인징하는 데 필요한 Azure 리소스를 배포하세요.

배포 옵션 선택

옵션 A: Microsoft Entra 애플리케이션 자동 생성 (권장)

Deploy Orca Security Alerts Connector를 클릭하면 자동으로 생성됩니다:

DCE(데이터 수집 엔드포인트)

오르카 경보 스트림을 이용한 데이터 수집 규칙(DCR)

Log Analytics 테이블 (OrcaAlerts_CL)

클라이언트 비밀이 있는 Microsoft Entra 애플리케이션

DCR의 역할 할당(Monitoring Metrics Publisher)

배포 후: 테넌트 ID, 클라이언트 ID, 클라이언트 비밀, DCE URI, DCR 변경 불가능 ID가 아래에 자동으로 채워져 Orca 플랫폼에 복사-붙여넣기 됩니다.

옵션 B: 기존 Microsoft Entra 애플리케이션 (BYOA) 사용

Deploy Orca Security Alerts Connector를 클릭하면 DCE, DCR, 테이블이 생성되며, 이를 무시할 수 있는 Entra 애플리케이션도 생성됩니다. 추가 필요한 단계:

기존 Entra 애플리케이션의 서비스 책임자를 생성된 DCR에서 Monitoring Metrics Publisher 역할로 할당하세요.

자신의 애플리케이션의 클라이언트 ID와 클라이언트 비밀을 사용하세요(아래 자동 생성 정보는 무시하세요).

아래에서 DCE URI, DCR Immutable ID, 스트림 이름을 사용하세요.

배포를 클릭하여 시작합니다.

2. Orca Security 통합 구성

다음 값을 Orca Security 플랫폼의 Microsoft Sentinel 통합 설정에 복사하세요.

옵션 A(자동 생성 앱)의 경우: 아래에 자동 채워진 모든 값을 사용하세요. 옵션 B(기존 앱)에 대해: 아래의 DCE URI, DCR Immutable ID, Stream Name을 사용하되, 자신의 애플리케이션의 테넌트 ID, 클라이언트 ID, 클라이언트 비밀을 사용하세요.

Azure configuration values:

테넌트 ID: <설치 시 제공되는 변수 값>

애플리케이션(클라이언트) ID: <설치 시 제공되는 변수 값>

클라이언트 암호: <설치 시 제공되는 변수 값>

DCE(데이터 수집 엔드포인트) URI: <설치 시 제공되는 변수 값>

DCR(데이터 수집 규칙) 변경할 수 없는 ID: <설치 시 제공되는 변수 값>

Stream 이름: <설치 시 제공되는 변수 값>

Orca Security 플랫폼에서 구성

오르카 보안 콘솔에 로그인하세요.

설정 > 통합으로 > 이동하세요 Microsoft Sentinel.

위에 있는 설정 값들(테넌트 ID, 애플리케이션(클라이언트) ID, 클라이언트 비밀, DCE URI, DCR 변경 ID, 스트림 이름 등을 붙여넣으세요.

통합을 완료하려면 저장을 클릭하세요.

3. 데이터 수집 확인

Orca Security에서 Microsoft Sentinel로 알림이 흘러들어오고 있는지 확인하세요.

확인 단계

Orca Security에서 경고를 발동하거나 기다리세요.

데이터가 Microsoft Sentinel에 나타나기까지 5-10분 정도 기다리세요.

알림을 확인하려면 다음 쿼리를 실행하세요:

OrcaAlerts_CL | take 10

연결을 확인합니다.

OrcaAlerts_CL | summarize LastLogReceived = max(TimeGenerated) | project IsConnected = LastLogReceived > ago(30d)

데이터가 나타나고 IsConnected가 true로 반환된다면, 커넥터가 올바르게 설정된 것입니다.

팔로알토 코텍스 XDR

지원:Microsoft Corporation

Palo Alto Cortex XDR 데이터 커넥터를 사용하면 Palo Alto Cortex XDR API에서 Microsoft Sentinel 로그를 수집할 수 있습니다. 데이터 커넥터는 Microsoft Sentinel Codeless Connector Framework를 기반으로 합니다. Palo Alto Cortex XDR API를 사용하여 로그를 가져오고, 수신된 보안 데이터를 사용자 지정 테이블로 구문 분석하는 DCR 기반 수집 시간 변환 을 지원하므로 쿼리가 다시 구문 분석할 필요가 없으므로 성능이 향상됩니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

PaloAltoCortexXDR_Incidents_CL 예 예

PaloAltoCortexXDR_Endpoints_CL 예 예

PaloAltoCortexXDR_Audit_Management_CL 예 예

PaloAltoCortexXDR_Audit_Agent_CL 예 예

PaloAltoCortexXDR_Alerts_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

설치 지침:

Palo Alto Cortex XDR API에 대한 구성 단계는 지침에 따라 자격 증명을 가져옵니다. 이 가이드 에 따라 API 키를 생성할 수도 있습니다.

API URL 1.1을 검색합니다. 관리 사용자 자격 증명 1.2를 사용하여 Palo Alto Cortex XDR [관리 콘솔]에 로그인합니다. [관리 콘솔]에서 [설정] -> [구성] 1.3을 클릭합니다. [통합] 아래에서 [API 키]를 클릭합니다. 1.4. [설정] 페이지에서 오른쪽 위 모서리에 있는 [API URL 복사]를 클릭합니다.

API 토큰 2.1을 검색합니다. 관리 사용자 자격 증명 2.2를 사용하여 Palo Alto Cortex XDR [관리 콘솔]에 로그인합니다. [관리 콘솔]에서 [설정] -> [구성] 2.3을 클릭합니다. [통합] 아래에서 [API 키]를 클릭합니다. 2.4. [설정] 페이지에서 오른쪽 위 모서리에 있는 [새 키]를 클릭합니다. 2.5. 보안 수준, 역할을 선택하고 Standard 선택하고 [생성] 2.6을 클릭합니다. API 토큰을 복사합니다. [API 토큰 ID]를 생성한 후에는 ID 열에서 찾을 수 있습니다.

기본 API URL: (https://api-example.xdr.au.paloaltonetworks.com)

API 키 ID: (API ID)

API 토큰: (API 토큰)

연결 사용/사용 안 함

Palo Alto Cortex Xpanse(코드리스 커넥터 프레임워크를 통해)

지원:Microsoft Corporation

Palo Alto Cortex Xpanse 데이터 커넥터는 경고 데이터를 Microsoft Sentinel 수집합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

CortexXpanseAlerts_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

설치 지침:

Palo Alto Xpanse를 Microsoft Sentinel 연결

Palo Alto Cortex Xpanse에서 Microsoft Sentinel 데이터를 수집하려면 도메인 추가를 클릭합니다. 팝업에서 필요한 세부 정보를 입력하고 연결을 클릭합니다. 아래 표에 연결된 도메인 엔드포인트가 표시됩니다. 인증 ID 및 API 키를 가져오려면 Cortex Xpanse 포털에서 설정 → 구성 → 통합 → API 키로 이동하여 새 자격 증명을 생성합니다.

데이터 커넥터 그리드(포털에서 구성)

Palo Alto Prisma Cloud CSPM(코드리스 커넥터 프레임워크를 통해)

지원:Microsoft Corporation

Palo Alto Prisma Cloud CSPM 데이터 커넥터를 사용하면 Palo Alto Prisma Cloud CSPM instance 연결하고 경고() & 감사 로그(https://pan.dev/prisma-cloud/api/cspm/alerts/https://pan.dev/prisma-cloud/api/cspm/audit-logs/)를 Microsoft Sentinel 수집할 수 있습니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

PaloAltoPrismaCloudAlertV2_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

설치 지침:

Palo Alto Prisma Cloud CSPM 이벤트를 연결하여 Microsoft Sentinel

Prisma Cloud Access Key, Secret Key 및 기본 URL을 가져오는 방법에 대한 자세한 내용은커넥터 자습서를 참조하고 아래 필수 정보를 제공하고 연결을 클릭합니다.

Prisma 클라우드 액세스 키: (액세스 키 입력)

Prisma Cloud Secret Key: (비밀 키 입력)

프리즈마 클라우드 베이스 URL: (https://api2.eu.prismacloud.io)

연결 사용/사용 안 함

데이터 커넥터 그리드(포털에서 구성)

Palo Alto Prisma Cloud CWPP(REST API 사용)

지원:Microsoft Corporation

Palo Alto Prisma Cloud CWPP 데이터 커넥터를 사용하면 Palo Alto Prisma Cloud CWPP instance 연결하고 경고를 Microsoft Sentinel 수집할 수 있습니다. 데이터 커넥터는 Microsoft Sentinel Codeless Connector Framework를 기반으로 하며 Prisma Cloud API를 사용하여 보안 이벤트를 가져오고 수신된 보안 이벤트 데이터를 사용자 지정 열로 구문 분석하는 DCR 기반 수집 시간 변환을 지원하므로 쿼리가 다시 구문 분석할 필요가 없으므로 성능이 향상됩니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

PrismaCloudCompute_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

PrismaCloudCompute API 키: Palo Alto Prisma Cloud CWPP Monitor API 사용자 이름 및 암호가 필요합니다. 자세한 내용은 PrismaCloudCompute SIEM API를 참조하세요.

설치 지침:

Palo Alto Prisma Cloud CWPP 보안 이벤트를 연결하여 Microsoft Sentinel

Microsoft Sentinel Palo Alto Prisma Cloud CWPP 보안 이벤트를 사용하도록 설정하려면 아래 필수 정보를 제공하고 연결을 클릭합니다.

콘솔 경로: (europe-west3.cloud.twistlock.com/{sasid})

Prisma API(액세스 키): (Prisma API(액세스 키))

비밀: (비밀)

연결 사용/사용 안 함

파노레이

지원:Panorays

Panorays 데이터 커넥터는 Panorays API에서 회사 결과를 Microsoft Sentinel에 인징할 수 있게 해줍니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

PanoraysCompanyFindingPOC_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

설치 지침:

Panorays API 구성 단계

API 토큰: (API 토큰)

Panorays API 기본 URL: (https://api.panoraysapp.com)

연결 사용/사용 안 함

Pathlock Inc.: SAP에 대한 위협 탐지 및 대응

지원:Pathlock Inc.

SAP용 Microsoft Sentinel Solution과 TD&R(Pathlock Threat Detection and Response)을 통합하면 SAP 보안 이벤트에 대한 통합된 실시간 가시성을 제공하여 조직이 모든 SAP 환경에서 위협을 감지하고 대응할 수 있습니다. 이 기본 제공 통합을 통해 SOC(보안 운영 센터)는 SAP 관련 경고와 엔터프라이즈 수준의 원격 분석을 상호 연결하여 IT 보안을 비즈니스 프로세스와 연결하는 실행 가능한 인텔리전스를 만들 수 있습니다.

Pathlock의 커넥터는 SAP용으로 특별히 제작되었으며 기본적으로 보안 관련 이벤트만 전달하여 데이터 볼륨과 노이즈를 최소화하면서 필요한 경우 모든 로그 원본을 전달할 수 있는 유연성을 유지합니다. 각 이벤트는 비즈니스 프로세스 컨텍스트로 보강되어 Microsoft Sentinel 솔루션 for SAP 분석에서 운영 패턴을 실제 위협과 구별하고 진정으로 중요한 것의 우선 순위를 지정할 수 있습니다.

이 정밀도 기반 접근 방식을 사용하면 보안 팀이 가양성, 포커스 조사를 크게 줄이고 MTTD(평균 검색 시간) 및 MTTR(평균 응답 시간)을 가속화할 수 있습니다. Pathlock 라이브러리는 70개 이상의 로그 원본에서 1,500개 이상의 SAP 관련 검색 서명으로 구성되며, 솔루션은 복잡한 공격 동작, 구성 약점 및 액세스 변칙을 발견합니다.

Pathlock을 사용하면 비즈니스 컨텍스트 인텔리전스를 고급 분석과 결합하여 기업이 복잡성 또는 중복 모니터링 계층을 추가하지 않고도 검색 정확도를 강화하고, 응답 작업을 간소화하고, SAP 환경에서 지속적인 제어를 유지할 수 있습니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

ABAPAuditLog 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Microsoft Entra: Microsoft Entra ID 앱 등록을 만들 수 있는 권한입니다. 일반적으로 Entra ID 애플리케이션 개발자 역할 이상이 필요합니다.

Microsoft Azure: 데이터 수집 규칙에 대한 모니터링 메트릭 게시자 역할을 할당할 수 있는 권한입니다. 일반적으로 AZURE RBAC 소유자 또는 사용자 액세스 관리자 역할이 필요합니다.

설치 지침:

1. ARM 리소스 만들기 및 필요한 권한 제공

DCR(데이터 수집 규칙) 및 DCE(데이터 수집 엔드포인트) 리소스를 만듭니다. 또한 Microsoft Entra 앱 등록을 만들고 필요한 권한을 할당합니다.

Azure 리소스의 자동화된 배포 "푸시 커넥터 리소스 배포"를 클릭하면 DCR 및 DCE 리소스 생성이 트리거됩니다. 그런 다음 클라이언트 암호를 사용하여 Microsoft Entra 앱 등록을 만들고 DCR에 대한 권한을 부여합니다. 이 설정을 사용하면 OAuth v2 클라이언트 자격 증명을 사용하여 데이터를 DCR로 안전하게 보낼 수 있습니다.

2. Pathlock의 사이버 보안 애플리케이션 제어: 위협 탐지 및 대응의 중앙 instance 데이터 수집 엔드포인트 세부 정보 및 인증 정보 유지 관리

데이터 수집 엔드포인트 URL 및 인증 정보를 Pathlock 관리자와 공유하여 데이터 수집 엔드포인트로 데이터를 보내도록 위협 감지 및 응답에서 플러그 앤 플레이 전달을 구성합니다. 지원이 필요한 경우 Pathlock에 연락하는 것을 주저하지 마세요.

이 값을 사용하여 LogIngestionAPI 자격 증명에서 테넌트 ID로 구성합니다.: <설치 시 제공되는 변수 값>

Entra 애플리케이션 ID: <설치 시 제공되는 변수 값>

Entra 애플리케이션 비밀: <설치 시 제공되는 변수 값>

이 값을 사용하여 IFlow를 배포할 때 LogsIngestionURL 매개 변수를 구성합니다. <설치 시 제공된 변수 값>

DCR 변경할 수 없는 ID: <설치 시 제공되는 변수 값>

경계 81 활동 로그

지원:경계 81

Perimeter 81 활동 로그 커넥터를 사용하면 Perimeter 81 활동 로그를 Microsoft Sentinel 쉽게 연결하여 대시보드를 보고, 사용자 지정 경고를 만들고, 조사를 개선할 수 있습니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

Perimeter81_CL 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

설치 지침:

아래 값을 적어 두시고 여기의 지침에 따라 Perimeter 81 활동 로그를 Microsoft Sentinel 연결하세요.

작업 영역 ID: <설치 시 제공되는 변수 값>

기본 키: <설치 시 제공되는 변수 값>

인 디바이스

지원:Phosphorus Inc.

인 디바이스 커넥터는 인 REST API를 통해 디바이스 데이터 로그를 Microsoft Sentinel 수집하는 기능을 제공합니다. 커넥터는 인에 등록된 디바이스에 대한 가시성을 제공합니다. 이 데이터 커넥터는 해당 경고와 함께 디바이스 정보를 가져옵니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

Phosphorus_CL 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

REST API 자격 증명/권한: 인 API 키가 필요합니다. 사용자와 연결된 API 키에 설정 관리 권한이 설정되어 있는지 확인하세요.

다음 지침에 따라 설정 관리 권한을 사용하도록 설정합니다.

인 애플리케이션에 로그인

'설정' -> '그룹'으로 이동합니다.

통합 사용자가 속한 그룹 선택

'제품 작업'> 으로 이동하여 '설정 관리' 권한을 토글합니다.

설치 지침:

1단계 - 인 API에 대한 구성 단계

다음 지침에 따라 인 API 키를 만듭니다.

인 instance 로그인

설정 -> API로 이동합니다.

API 키를 아직 만들지 않은 경우 추가 단추를 눌러 API 키를 만듭니다.

이제 인 디바이스 커넥터 구성 중에 API 키를 복사하고 사용할 수 있습니다.

인 애플리케이션을 Microsoft Sentinel 연결

2단계 - 아래 세부 정보 입력

중요: 인 디바이스 데이터 커넥터를 배포하기 전에 인 인스턴스 도메인 이름과 인 API 키를 쉽게 사용할 수 있습니다.

Ping One(코드리스 커넥터 프레임워크를 통해)

지원:Microsoft Corporation

이 커넥터는 코드리스 커넥터 프레임워크를 사용하여 PingOne ID 플랫폼에서 Microsoft Sentinel 감사 활동 로그를 수집합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

PingOne_AuditActivitiesV2_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

설치 지침:

Ping One 커넥터를 Microsoft Sentinel 연결

PingOne에 연결하기 전에 다음 필수 구성 요소가 완료되었는지 확인합니다. 클라이언트 자격 증명 및 환경 ID를 가져오는 방법을 포함하여 자세한 설정 지침은 문서를 참조하세요.

클라이언트 자격 증명 클라이언트 ID 및 클라이언트 암호를 포함하여 클라이언트 자격 증명이 필요합니다.

환경 ID
토큰을 생성하고 감사 작업 엔드포인트에서 로그를 수집하려면

데이터 커넥터 그리드(포털에서 구성)

Prancer 데이터 커넥터

지원:Prancer PenSuiteAI 통합

Prancer 데이터 커넥터는 prancer(CSPM)[https://docs.prancer.io/web/CSPM/] 및 PAC 데이터를 수집하여 Microsoft Sentinel 처리하는 기능을 제공합니다. 자세한 내용은 Prancer 설명서를 참조하세요.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

prancer_CL 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

연결에 필요한 경우 사용자 지정 필수 구성 요소 포함 - 그렇지 않으면 세관 삭제: 사용자 지정 필수 구성 요소에 대한 설명

설치 지침:

참고: 이 커넥터는 Azure Functions 사용하여 Prancer REST API에 연결하여 Microsoft sentinel로 로그를 가져옵니다. 이로 인해 추가 데이터 수집 비용이 발생할 수 있습니다. 자세한 내용은 Azure Functions 가격 책정 페이지를 확인하세요.

1단계: Prancer 설명서 사이트의 설명서 에 따라 Azure 클라우드 커넥터를 사용하여 검사를 설정합니다.

2단계: 검사가 만들어지면 검사에 대한 '세 번째 부분 통합' 메뉴로 이동하여 Sentinel 선택합니다.

3단계: 만들기는 구성 마법사에 따라 Azure 결과를 보낼 위치를 선택합니다.

4단계: 데이터를 처리하기 위해 Microsoft Sentinel 공급받기 시작해야 합니다.

프리미엄 Microsoft Defender 위협 인텔리전스

지원:Microsoft Corporation

Microsoft Sentinel 모니터링, 경고 및 헌팅을 사용하도록 Microsoft에서 생성된 위협 인텔리전스를 가져올 수 있는 기능을 제공합니다. 이 데이터 커넥터를 사용하여 MDTI(Premium Microsoft Defender 위협 인텔리전스)에서 Microsoft Sentinel IOC(손상 지표)를 가져옵니다. 위협 지표에는 IP 주소, 도메인, URL 및 파일 해시 등이 포함될 수 있습니다. 참고: 유료 커넥터입니다. 데이터를 사용하고 수집하려면 파트너 센터에서 "MDTI API 액세스" SKU를 구입하세요.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

ThreatIntelligenceIndicator 예 아니요

데이터 수집 규칙 지원:작업 영역 변환 DCR

PRODAFT USTA - 계정 탈취 방지 (코드리스 커넥터 프레임워크 사용)

지원:PRODAFT

PRODAFT USTA 계정 탈취 방지 데이터 커넥터는 PRODAFT USTA 플랫폼에서 유출된 자격 증명 티켓을 Microsoft Sentinel로 인징합니다. 민감한 값은 입력 시 삭제되며, 일반 비밀번호는 절대 저장되지 않으며, 비밀번호 강도 신호(점수와 길이)만 분류용으로 유지됩니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

PRODAFTUstaCompromisedCredentials_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

PRODAFT USTA API 키: 계정 탈취 방지 엔드포인트에 접근할 수 있는 장기간 유효한 PRODAFT USTA API 키가 필요합니다.

설치 지침:

PRODAFT USTA Account Takeover Prevention to Microsoft Sentinel Connect

USTA 기본 URL과 장기 사용 API 키를 입력한 후 Connect를 선택하세요. 커넥터는 헤더로 Authorization: Bearer <api-key> USTA에 인증하며 매분 폴링합니다. 연결 이전 기록을 불러오려면, 이 솔루션과 함께 제공되는 PRODAFTUstaATP-Backfill 플레이북을 배포하세요.

USTA 기본 URL: (https://usta.prodaft.com)

API 키: (USTA API 키를 입력)

연결 사용/사용 안 함

PRODAFT USTA - IoC 위협 인텔리전스

지원:PRODAFT

PRODAFT USTA IoC 위협 인텔리전스 커넥터는 PRODAFT USTA 플랫폼에서 발생한 침해 지표(악성 URL, 악성코드 해시, 피싱 사이트)를 Microsoft Sentinel의 위협 인텔리전스에 STIX 표시기로 업로드 STIX Objects API를 통해 수집합니다. 인제스팅은 이 솔루션과 함께 제공되는 임포트 플레이북(IoC 피드당 하나씩)에서 수행됩니다; 레코드가 해석ip_addresses된 경우, 해당 주소들은 관측값과 ipv4-addripv6-addr/동일한 지시자 패턴에 추가됩니다; 인디케이터는 위협 인텔리전스 블레이드와 ThreatIntelIndicators 피드 SourceSystem 별 표 아래에 나타나 — PRODAFT USTA - Malicious URLs, PRODAFT USTA - Malware HashesPRODAFT USTA - Phishing Sites 그리고 — 가 SourceSystem startswith 'PRODAFT USTA' 모든 USTA 지시기를 선택합니다. 솔루션을 설치한 후, '솔루션 관리 뷰'의 안내를 따라 가져오기 플레이북을 배포하고 승인하세요.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

ThreatIntelIndicators 예 아니요

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

플레이북의 작업 역할 할당: 모든 가져오기 및 백필 플레이북은 시스템 할당된 관리 신원을 사용하며, 작업 공간에서 Microsoft Sentinel 기여자 역할이 Upload STIX Objects API를 호출해야 합니다. 세 가지 가져오기 플레이북은 또한 테이블에서 ThreatIntelIndicators 인지스(inestion) 워터마크를 읽기 때문에 워크스페이스에 Log Analytics Reader가 필요합니다 — Microsoft Sentinel Contributor는 읽는 동작을 Microsoft.OperationalInsights/workspaces/read 다루지 않습니다.

PRODAFT USTA API 키: 보안 인텔리전스 IoC 엔드포인트에 접근할 수 있는 장기 사용 PRODAFT USTA API 키가 필요합니다.

설치 지침:

1. 핵심 위협 인텔리전스 솔루션 설치

이 커넥터는 테이블과 위협 인텔리전스 블레이드에 ThreatIntelIndicators 표시기를 배치합니다. 먼저 콘텐츠 허브에서 Microsoft 위협 인텔리전스 솔루션을 설치하여 블레이드와 소스에 구애받지 않는 TI-map 분석 규칙을 사용할 수 있도록 하세요.

2. PRODAFT USTA 가져오기 플레이북 배포

이 솔루션은 시간당 세 가지 가져오기 플레이북( PRODAFTUstaIoC-ImportMaliciousUrls, PRODAFTUstaIoC-ImportMalwareHashes, PRODAFTUstaIoC-ImportPhishingSites )을 제공하며, 피드별로 주문형 백필 플레이북(PRODAFTUstaIoC-BackfillMaliciousUrls, -BackfillMalwareHashes, -BackfillPhishingSites)을 로딩 기록을 제공합니다. 솔루션 관리 뷰(또는 자동화 블레이드)에서 배포하며, USTA 기본 URL, USTA API 키, Microsoft Sentinel 작업 공간 이름을 입력하세요.

3. 플레이북의 관리 신원 승인

각 플레이북은 시스템이 할당한 관리 신원을 사용합니다. Log Analytics 작업 공간 → 접근 제어(IAM) → 역할 할당 추가(Add role assignment) — 작업 공간에서 IAM 열기, Logic 앱이 아니라, 할당이 플레이북에 범위가 지정되어 작업 공간 접근이 허용되지 않음 — 기여자(Contributor)로 해당 Microsoft Sentinel식별자를 부여하세요(모든 플레이북에서 필요하며, 업로드 STIX 객체 호출을 위해 필요함), 세 가지 가져오기 플레이북에 대해서는 리더(Reader)도 Log Analytics 부여하세요 (워터마크 쿼리에 필요하며, 리더가 없으면 실행Microsoft.OperationalInsights/workspaces/read이 실패합니다AuthorizationFailed). 부여가 완료되면 플레이북은 매시간 USTA를 폴링하고 새로운 인디케이터를 푸시합니다; 첫 번째 인디케이터가 도착한 후 커넥터는 Connected(연결됨)를 표시합니다.

PRODAFT USTA - 결제 카드 사기 인텔리전스 (코드리스 커넥터 프레임워크 통해)

지원:PRODAFT

PRODAFT USTA 결제 카드 사기 인텔리전스 데이터 커넥터는 PRODAFT USTA 플랫폼에서 손상된 결제 카드 티켓을 Microsoft Sentinel로 인징합니다. 민감한 값은 인지시 검열됩니다: 전체 카드 번호(PAN)는 절대 저장되지 않으며, BIN(처음 6자리), 마지막 4자리, 카드 브랜드, 길이만 분류를 위해 유지됩니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

PRODAFTUstaCompromisedCards_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

PRODAFT USTA API 키: 결제 카드 사기 인텔리전스 엔드포인트에 접근할 수 있는 장기 사용 PRODAFT USTA API 키가 필요합니다.

설치 지침:

PRODAFT USTA 결제 카드 사기 인텔리전스를 Microsoft Sentinel에 연결하세요

USTA 기본 URL과 장기 사용 API 키를 입력한 후 Connect를 선택하세요. 커넥터는 헤더로 Authorization: Bearer <api-key> USTA에 인증하며 매분 폴링합니다. 연결 이전 기록을 불러오려면, 이 솔루션과 함께 제공된 PRODAFTUstaPCFI-Backfill 플레이북을 배포하세요.

USTA 기본 URL: (https://usta.prodaft.com)

API 키: (USTA API 키를 입력)

연결 사용/사용 안 함

Proofpoint On Demand Email 보안(코드리스 커넥터 프레임워크를 통해)

지원:Proofpoint, Inc.

Proofpoint On Demand Email Security 데이터 커넥터는 Proofpoint on Demand Email Protection 데이터를 가져오는 기능을 제공하며, 사용자가 메시지 추적 가능성을 검사, 공격자 및 악의적인 내부자에 의한 이메일 활동, 위협 및 데이터 반출을 모니터링할 수 있습니다. 커넥터는 조직의 이벤트를 빠르게 검토하고 최근 활동에 대한 이벤트 로그 파일을 시간당 증분 단위로 가져오는 기능을 제공합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

ProofpointPODMailLog_CL 예 예

ProofpointPODMessage_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Websocket API 자격 증명/권한: ProofpointClusterID 및 ProofpointToken 이 필요합니다. 자세한 내용은 API를 참조하세요.

설치 지침:

Proofpoint POD Websocket API에 대한 구성 단계

PoD 로그 API는 둘 이상의 세션에 대해 동일한 토큰을 동시에 사용할 수 없으므로 토큰이 어디에도 사용되지 않는지 확인합니다.

Proofpoint Websocket API 서비스에는 원격 Syslog 전달 라이선스가 필요합니다. PoD 로그 API를 사용하도록 설정하고 검사 방법에 대한 설명서를 참조하세요. 클러스터 ID 및 보안 토큰을 제공해야 합니다.

클러스터 ID 1.1을 검색합니다. 관리 사용자 자격 증명을 사용하여 증명점 [관리 콘솔]에 로그인합니다.

1.2. 관리 콘솔에서 클러스터 ID는 오른쪽 위 모서리에 표시됩니다.

API 토큰 2.1을 검색합니다. 관리 사용자 자격 증명을 사용하여 증명점 [관리 콘솔]에 로그인합니다.

2.2. 관리 콘솔에서 설정 -> API 키 관리를 클릭합니다.

2.3. API 키 관리에서 PoD 로깅 탭을 클릭합니다.

2.4. 새 API 키를 얻거나 만듭니다.

클러스터 ID: (cluster_id)

API 키: (API 키)

연결 사용/사용 안 함

Proofpoint On Demand Email 보안(코드리스 커넥터 프레임워크를 통해)

지원:Microsoft Corporation

Proofpoint On Demand Email Security 데이터 커넥터는 Proofpoint on Demand Email Protection 데이터를 가져오는 기능을 제공하며, 사용자가 메시지 추적 가능성을 검사, 공격자 및 악의적인 내부자에 의한 이메일 활동, 위협 및 데이터 반출을 모니터링할 수 있습니다. 커넥터는 조직의 이벤트를 빠르게 검토하고 최근 활동에 대한 이벤트 로그 파일을 시간당 증분 단위로 가져오는 기능을 제공합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

ProofpointPODMailLog_CL 예 예

ProofpointPODMessage_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Websocket API 자격 증명/권한: ProofpointClusterID 및 ProofpointToken 이 필요합니다. 자세한 내용은 API를 참조하세요.

설치 지침:

Proofpoint POD Websocket API에 대한 구성 단계

PoD 로그 API는 둘 이상의 세션에 대해 동일한 토큰을 동시에 사용할 수 없으므로 토큰이 어디에도 사용되지 않는지 확인합니다.

Proofpoint Websocket API 서비스에는 원격 Syslog 전달 라이선스가 필요합니다. PoD 로그 API를 사용하도록 설정하고 검사 방법에 대한 설명서를 참조하세요. 클러스터 ID 및 보안 토큰을 제공해야 합니다.

클러스터 ID 1.1을 검색합니다. 관리 사용자 자격 증명을 사용하여 증명점 [관리 콘솔]에 로그인합니다.

1.2. 관리 콘솔에서 클러스터 ID는 오른쪽 위 모서리에 표시됩니다.

API 토큰 2.1을 검색합니다. 관리 사용자 자격 증명을 사용하여 증명점 [관리 콘솔]에 로그인합니다.

2.2. 관리 콘솔에서 설정 -> API 키 관리를 클릭합니다.

2.3. API 키 관리에서 PoD 로깅 탭을 클릭합니다.

2.4. 새 API 키를 얻거나 만듭니다.

클러스터 ID: (cluster_id)

API 키: (API 키)

연결 사용/사용 안 함

Proofpoint TAP(코드리스 커넥터 프레임워크를 통해)

지원:Microsoft Corporation

PROOFpoint TAP(Targeted Attack Protection) 커넥터는 Proofpoint TAP 로그 및 이벤트를 Microsoft Sentinel 수집하는 기능을 제공합니다. 커넥터는 Microsoft Sentinel 메시지 및 클릭 이벤트에 대한 가시성을 제공하여 대시보드를 보고, 사용자 지정 경고를 만들고, 모니터링 및 조사 기능을 개선합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

ProofPointTAPMessagesDeliveredV2_CL 예 예

ProofPointTAPMessagesBlockedV2_CL 예 예

ProofPointTAPClicksPermittedV2_CL 예 예

ProofPointTAPClicksBlockedV2_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Proofpoint TAP API 키: Proofpoint의 SIEM API에 액세스하려면 Proofpoint TAP API 서비스 주체 및 비밀이 필요합니다. 자세한 내용은 Proofpoint SIEM API를 참조하세요.

설치 지침:

Proofpoint TAP API에 대한 구성 단계

Proofpoint TAP dashboard 로그인

설정으로 이동하고 연결된 애플리케이션 탭으로 이동합니다.

새 자격 증명 만들기를 클릭합니다.

이름을 입력하고 생성을 클릭합니다.

서비스 주체 및 비밀 값 복사

참고: 이 커넥터는 Kusto 함수를 기반으로 하는 파서에 따라 Microsoft Sentinel 솔루션과 함께 배포되는 예상 ProofpointTAPEvent로 작동합니다.

서비스 주체: (123456)

비밀: (123456)

연결 사용/사용 안 함

Proofpoint TAP(코드리스 커넥터 프레임워크를 통해)

지원:Proofpoint, Inc.

PROOFpoint TAP(Targeted Attack Protection) 커넥터는 Proofpoint TAP 로그 및 이벤트를 Microsoft Sentinel 수집하는 기능을 제공합니다. 커넥터는 Microsoft Sentinel 메시지 및 클릭 이벤트에 대한 가시성을 제공하여 대시보드를 보고, 사용자 지정 경고를 만들고, 모니터링 및 조사 기능을 개선합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

ProofPointTAPMessagesDeliveredV2_CL 예 예

ProofPointTAPMessagesBlockedV2_CL 예 예

ProofPointTAPClicksPermittedV2_CL 예 예

ProofPointTAPClicksBlockedV2_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Proofpoint TAP API 키: Proofpoint의 SIEM API에 액세스하려면 Proofpoint TAP API 서비스 주체 및 비밀이 필요합니다. 자세한 내용은 Proofpoint SIEM API를 참조하세요.

설치 지침:

Proofpoint TAP API에 대한 구성 단계

Proofpoint TAP dashboard 로그인

설정으로 이동하고 연결된 애플리케이션 탭으로 이동합니다.

새 자격 증명 만들기를 클릭합니다.

이름을 입력하고 생성을 클릭합니다.

서비스 주체 및 비밀 값 복사

참고: 이 커넥터는 Kusto 함수를 기반으로 하는 파서에 따라 Microsoft Sentinel 솔루션과 함께 배포되는 예상 ProofpointTAPEvent로 작동합니다.

서비스 주체: (123456)

비밀: (123456)

연결 사용/사용 안 함

QscoutAppEventsConnector(Codeless Connector Framework를 통해)

지원:Quokka

Qscout 애플리케이션 이벤트를 Microsoft Sentinel 수집

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

QscoutAppEvents_CL 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

Qscout 조직 ID: API에는 Qscout의 organization ID가 필요합니다.

Qscout 조직 API 키: API에는 Qscout의 organization API 키가 필요합니다.

설치 지침:

참고: 이 커넥터는 CCF(Codeless Connector Framework)를 사용하여 Qscout 앱 이벤트 피드에 연결하고 데이터를 Microsoft Sentinel

아래 필수 값을 제공합니다.

Qscout 조직 ID: (123456)

Qscout 조직 API 키: (abcdxyz)

연결 사용/사용 안 함

Qualys 기술 자료(코드리스 커넥터 프레임워크를 통해)

지원:Microsoft Corporation

Qualys API 버전 4.0을 사용하여 Qualys 기술 자료 취약성 데이터를 Microsoft Sentinel 수집합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

QualysKnowledgeBase 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Qualys API 액세스: 기술 자료 엔드포인트에 대한 읽기 권한이 있는 Qualys 사용자 계정이 필요합니다.

설치 지침:

1단계: 자격 증명 설정 Qualys 기술 자료에서 데이터 수집을 사용하도록 Qualys API 자격 증명을 제공합니다.

Qualys VM에서 데이터를 수집하려면 다음 리소스를 제공해야 합니다.

API 자격 증명: 기술 자료 API에 대한 읽기 권한이 있는 계정의 사용자 이름 및 암호입니다. Qualys API 설명서에서 필요한 정확한 권한을 찾을 수 있습니다.

API 서버 URL: 지역별 Qualys API 서버 URL입니다. 해당 지역의 정확한 API 서버 URL은 여기에서 찾을 수 있습니다.

API 서버 URL: (API 서버 URL 입력)

사용자 이름: (Qualys 사용자 이름 입력)

암호: (Qualys 암호 또는 토큰 입력) 2단계: 선택적 필터 설정

수집되는 취약성을 사용자 지정하도록 선택적 필터를 구성합니다. Qualys API 설명서에서 사용 가능한 필터에 대해 자세히 알아보세요.

2a. 패치 상태 기준으로 필터링 패치 가능하거나 패치할 수 없는 취약성만 표시하도록 선택합니다.

2b. 검색 방법 및 인증 유형별로 필터링 특정 검색 방법이 할당되거나 특정 인증 유형이 있는 취약성만 수신하도록 선택합니다.

검색 인증 유형: (예: Windows, Oracle, Unix, SNMP(쉼표로 구분)) 3단계: 구성 설정 검토 및 사용 및 커넥터가 Qualys 기술 자료 데이터를 Microsoft Sentinel 수집을 시작할 수 있도록 합니다.

연결 사용/사용 안 함

Qualys VM KnowledgeBase(Azure Functions 사용)

지원:Microsoft Corporation

Qualys VM(취약성 관리) KB(KnowledgeBase) 커넥터는 Qualys KB의 최신 취약성 데이터를 Microsoft Sentinel 수집하는 기능을 제공합니다.

이 데이터는 Qualys VM(취약성 관리) 데이터 커넥터에서 찾은 취약성 검색의 상관 관계를 지정하고 보강하는 데 사용할 수 있습니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

QualysKB_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Microsoft.Web/sites 권한: 함수 앱을 만들기 위한 Azure Functions 읽기 및 쓰기 권한이 필요합니다. 자세한 내용은 Azure Functions 참조하세요.

Qualys API 키: Qualys VM API 사용자 이름 및 암호가 필요합니다. 자세한 내용은 Qualys VM API를 참조하세요.

설치 지침:

참고: 이 데이터 커넥터는 Kusto 함수를 기반으로 하는 파서에 따라 솔루션의 일부로 배포되는 예상대로 작동합니다. Log Analytics에서 함수 코드를 보려면 Log Analytics/Microsoft Sentinel 로그 블레이드를 열고 함수를 클릭하고 별칭 QualysVM 기술 자료를 검색하고 함수 코드를 로드하거나 쿼리의 두 번째 줄에서 QualysVM 기술 자료 디바이스의 호스트 이름 및 Logstream에 대한 다른 고유 식별자를 입력합니다. 함수는 일반적으로 솔루션 설치/업데이트 후 활성화하는 데 10-15분이 걸립니다.

이 데이터 커넥터는 Kusto 함수를 기반으로 하는 파서에 따라 예상대로 작동합니다. Kusto 함수 별칭 QualysKB를 사용하는 단계를 수행합니다.

(선택적 단계) 작업 영역 및 API 권한 부여 키 또는 토큰을 Azure Key Vault 안전하게 저장합니다. Azure Key Vault 키 값을 저장하고 검색하는 보안 메커니즘을 제공합니다. 다음 지침에 따라 Azure 함수 앱에서 Azure Key Vault 사용합니다.

1단계 - Qualys API에 대한 구성 단계

관리자 계정으로 Qualys 취약성 관리 콘솔에 로그인하고 사용자 탭 및 사용자 하위 탭을 선택합니다.

새로 만들기 드롭다운 메뉴를 클릭하고 사용자를 선택합니다.

API 계정에 대한 사용자 이름 및 암호를 만듭니다.

사용자 역할 탭에서 계정 역할이 관리자로 설정되고 GUI 및 API에 대한 액세스가 허용되는지 확인합니다.

관리자 계정에서 로그아웃하고 유효성 검사를 위해 새 API 자격 증명을 사용하여 콘솔에 로그인한 다음 API 계정에서 로그아웃합니다.

관리자 계정을 사용하여 콘솔에 다시 로그인하고 API 계정 사용자 역할을 수정하여 GUI에 대한 액세스를 제거합니다.

모든 변경 내용을 저장합니다.

2단계 - 커넥터 및 연결된 Azure 함수를 배포하려면 다음 두 가지 배포 옵션 중 하나를 선택합니다.

중요: Qualys KB 커넥터를 배포하기 전에 작업 영역 ID 및 작업 영역 기본 키(다음에서 복사할 수 있음)와 Qualys API 사용자 이름 및 암호를 쉽게 사용할 수 있습니다.

작업 영역 ID: <설치 시 제공되는 변수 값>

기본 키: <설치 시 제공되는 변수 값>

옵션 1 - ARM(Azure Resource Manager) 템플릿

ARM Tempate를 사용하여 Qualys KB 커넥터의 자동화된 배포에 이 메서드를 사용합니다.

아래 Azure 배포 단추를 클릭합니다.

aka.ms aka.ms

기본 구독, 리소스 그룹 및 위치를 선택합니다.

작업 영역 ID, 작업 영역 키, API 사용자 이름, API 암호 , URI 업데이트 및 추가 URI 필터 매개 변수를 입력합니다(이 값은 각 매개 변수 사이에 "&" 기호를 포함해야 하며 공백을 포함하지 않아야 함).

지역에 해당하는 URI를 입력합니다. API 서버 URL의 전체 목록은 여기에서 찾을 수 있습니다.

참고: 위의 값에 Azure Key Vault 비밀을 사용하는 경우 문자열 값 대신 스키마를 사용합니다@Microsoft.KeyVault(SecretUri={Security Identifier}). 자세한 내용은 Key Vault 참조 설명서를 참조하세요.

위에 명시된 사용 약관에 동의함을 표시하는 확인란을 표시합니다.

구매를 클릭하여 배포합니다.

참고: 스토리지 계정 이름으로 인해 배포에 실패한 경우 함수 이름을 고유한 값으로 변경하고 다시 배포합니다.

옵션 2 - Azure Functions 수동 배포

이 메서드는 Azure 함수를 사용하여 Qualys KB 커넥터를 수동으로 배포하는 단계별 지침을 제공합니다.

1단계 - 함수 앱 배포

Azure 함수 앱 파일을 다운로드합니다. 로컬 개발 컴퓨터에 보관 파일을 추출합니다.

함수 앱 수동 배포 지침에 따라 VSCode를 사용하여 Azure Functions 앱을 배포합니다.

함수 앱을 성공적으로 배포한 후 구성을 위한 다음 단계를 수행합니다.

2단계 - 함수 앱 구성

함수 앱 구성에 대한 Azure 포털로 이동합니다.

함수 앱에서 함수 앱 이름을 선택하고 구성을 선택합니다.

애플리케이션 설정 탭에서 + 새 애플리케이션 설정을 선택합니다.

각 문자열 값(대/소문자 구분)을 사용하여 다음 7개의 애플리케이션 설정을 개별적으로 추가합니다. apiUsername apiPassword workspaceID workspaceKey uri filterParameters logAnalyticsUri(선택 사항)

지역에 해당하는 URI를 입력합니다. API 서버 URL의 전체 목록은 여기에서 찾을 수 있습니다. 값은 uri 다음 스키마를 따라야 합니다. https://<API Server>/api/2.0

URI에 추가해야 하는 변수에 filterParameters 대한 필터 매개 변수를 추가합니다. 값은 filterParameter 각 매개 변수 사이에 "&" 기호를 포함해야 하며 공백을 포함해서는 안 됩니다.

참고: Azure Key Vault 사용하는 경우 문자열 값 대신 스키마를 사용합니다@Microsoft.KeyVault(SecretUri={Security Identifier}). 자세한 내용은 Key Vault 참조 설명서를 참조하세요.

logAnalyticsUri를 사용하여 위임된 클라우드에 대한 로그 분석 API 엔드포인트를 재정의합니다. 예를 들어 퍼블릭 클라우드의 경우 값을 비워 둡니다. Azure GovUS 클라우드 환경의 경우 값을 형식https://<CustomerId>.ods.opinsights.azure.us으로 지정합니다.

모든 애플리케이션 설정이 입력되면 저장을 클릭합니다.

Qualys 취약성 관리(코드리스 커넥터 프레임워크를 통해)

지원:Microsoft Corporation

Qualys VM(취약성 관리) 데이터 커넥터는 Qualys API를 통해 취약성 호스트 검색 데이터를 Microsoft Sentinel 수집하는 기능을 제공합니다. 커넥터는 vulerability 검색에서 호스트 검색 데이터에 대한 가시성을 제공합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

QualysHostDetectionV3_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

API 액세스 및 역할: Qualys VM 사용자에게 읽기 권한자 이상의 역할이 있는지 확인합니다. 역할이 Reader인 경우 계정에 대해 API 액세스가 사용하도록 설정되어 있는지 확인합니다. 감사자 역할은 API에 액세스하는 데 지원되지 않습니다. 자세한 내용은 Qualys VM 호스트 검색 API 및 사용자 역할 비교 문서를 참조하세요.

설치 지침:

Qualys 취약성 관리를 Microsoft Sentinel 연결

참고: QualysHostDetectionV3_CL 원시 호스트 스냅샷을 저장하며 반복적으로 변경되지 않은 감지 데이터를 포함할 수 있습니다. 탐지 레벨 기록은 QualysHostDetection 파서를 사용하세요. 파서는 DetectionList를 확장합니다, 는 반복되는 변경 없는 버전을 제거하고, 상태, 타임스탬프, 관련 콘텐츠 변경을 보존합니다.

Qualys VM에서 데이터를 수집하려면 다음 리소스를 제공해야 합니다.

API 자격 증명 Qualys VM에서 데이터를 수집하려면 사용자 이름 및 암호를 포함하여 Qualys API 자격 증명이 필요합니다.

API 서버 URL Qualys VM에서 데이터를 수집하려면 해당 지역과 관련된 Qualys API 서버 URL이 필요합니다. 해당 지역의 정확한 API 서버 URL은 여기에서 찾을 수 있습니다.

Qualys API 사용자 이름: (UserName 입력)

Qualys API 암호: (암호 입력)

Qualys API 서버 URL: (예: https://qualysapi.qg1.apps.qualys.com)

절단 제한: API 호출당 최대 수의 호스트 감지 레코드를 설정하세요. 권장 기준: 1000 (Qualys 기본값). 낮은 값은 응답 크기를 줄이고, 대규모 환경이나 느린 API 서버에 더 안전하지만, 더 많은 페이지 호출이 필요합니다. 값이 높을수록 응답 크기와 API 타임아웃 위험이 증가하며, 특히 대규모 환경에서 그렇습니다. 500 미만의 수치는 대규모 배포에서 처리 한계를 초과하는 과도한 페이지네이션을 유발할 수 있습니다.

타임아웃 제한: API 허용 최대 타임아웃은 5분(300초)입니다. 이 높이는 플랫폼 최대 높이이며 올릴 수 없습니다. 대규모 환경에서는 절단 한계를 낮추세요 각 API 응답을 이 한계 내에서 유지하기 위해서입니다.

연결 사용/사용 안 함

AMA를 통한 Radiflow iSID

지원:Radiflow

iSID를 사용하면 여러 보안 패키지를 사용하여 분산 ICS 네트워크에서 토폴로지 및 동작의 변경을 비중단 모니터링할 수 있으며, 각각은 특정 유형의 네트워크 활동과 관련된 고유한 기능을 제공합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

RadiflowEvent 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

설치 지침:

참고: 이 데이터 커넥터는 Kusto 함수를 기반으로 하는 파서에 따라 Microsoft Sentinel Solution과 함께 배포되는 예상된 [RadiflowEvent]로 작동합니다.

1. 데이터 커넥터를 구성하는 단계를 따르세요.

A단계. AMA 데이터 커넥터를 통해 CEF(Common Event Format) 구성

참고:- CEF 로그는 Linux 에이전트에서만 수집됩니다.

Microsoft Sentinel 작업 영역 ---> 구성 ---> 데이터 커넥터 블레이드로 이동합니다.

'AMA를 통한 CEF(Common Event Format)' 데이터 커넥터를 검색하여 엽니다.

필요한 로그 기능을 수집하도록 구성된 기존 DCR이 없는 경우 새 DCR(데이터 수집 규칙)을 만듭니다.

참고:- 최소 1.27 버전의 AMA 에이전트를 설치하고 로그 이중성을 유발할 수 있으므로 중복 DCR이 없는지 확인하는 것이 좋습니다.

AMA 데이터 커넥터 페이지를 통해 CEF에 제공된 명령을 실행하여 컴퓨터에서 CEF 수집기를 구성합니다.

B단계. CEF를 사용하여 로그를 보내도록 iSID 구성

CEF를 사용하여 로그 전달 구성:

구성 메뉴의 시스템 알림 섹션으로 이동합니다.

Syslog에서 +추가를 선택합니다.

새 Syslog 서버 대화 상자에서 이름, 원격 서버 IP, 포트, 전송을 지정하고 형식 - CEF를 선택합니다.

적용을 눌러 Syslog 추가 대화 상자를 종료합니다.

C단계. 연결 유효성 검사

지침에 따라 연결의 유효성을 검사합니다.

Log Analytics를 열어 CommonSecurityLog 스키마를 사용하여 로그를 받는지 검사.

연결이 데이터를 작업 영역으로 스트리밍할 때까지 약 20분이 걸릴 수 있습니다.

로그를 받지 못한 경우 다음 연결 유효성 검사 스크립트를 실행합니다.

python --version 명령을 사용하여 컴퓨터에 Python이 있는지 확인합니다.

컴퓨터에 관리자 권한(sudo)이 있어야 합니다.

다음 명령을 실행하여 연결의 유효성을 검사합니다.< 설치 시 제공되는 변수 값>

**2.** 컴퓨터 보안 **

organization 보안 정책에 따라 컴퓨터의 보안을 구성해야 합니다.

더 알아보세요 >

Rapid7 Insight Platform 취약성 관리 보고서(Azure Functions 사용)

지원:Microsoft Corporation

Rapid7 Insight VM 보고서 데이터 커넥터는 Rapid7 Insight 플랫폼(클라우드에서 관리됨)의 REST API를 통해 검사 보고서 및 취약성 데이터를 Microsoft Sentinel 수집하는 기능을 제공합니다. 자세한 내용은 API 설명서를 참조하세요. 커넥터를 사용하면 이벤트 검색을 통해 잠재적인 보안 위험을 평가하고, 공동 작업을 모니터링하고, 구성 문제를 진단하고 해결할 수 있습니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

NexposeInsightVMCloud_assets_CL 예 예

NexposeInsightVMCloud_vulnerabilities_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Microsoft.Web/sites 권한: 함수 앱을 만들기 위한 Azure Functions 읽기 및 쓰기 권한이 필요합니다. 자세한 내용은 Azure Functions 참조하세요.

REST API 자격 증명: REST API에는 InsightVMAPIKey 가 필요합니다. 자세한 내용은 API를 참조하세요. 모든 요구 사항을 확인하고 자격 증명을 얻기 위한 지침을 따릅니다.

설치 지침:

참고: 이 커넥터는 Azure Functions 사용하여 Insight VM API에 연결하여 로그를 Microsoft Sentinel 끌어올 수 있습니다. 이로 인해 추가 데이터 수집 비용이 발생할 수 있습니다. 자세한 내용은 Azure Functions 가격 책정 페이지를 확인하세요.

(선택적 단계) 작업 영역 및 API 권한 부여 키 또는 토큰을 Azure Key Vault 안전하게 저장합니다. Azure Key Vault 키 값을 저장하고 검색하는 보안 메커니즘을 제공합니다. 다음 지침에 따라 Azure 함수 앱에서 Azure Key Vault 사용합니다.

참고: 이 데이터 커넥터는 Kusto 함수를 기반으로 하는 파서에 따라 Microsoft Sentinel 솔루션과 함께 배포되는 예상 InsightVMAssets 및 InsightVMVulnerabilities로 작동합니다.

1단계 - Insight VM 클라우드에 대한 구성 단계

지침에 따라 자격 증명을 가져옵니다.

2단계 - 커넥터 및 연결된 Azure 함수를 배포하려면 다음 두 가지 배포 옵션 중 하나를 선택합니다.

중요: 작업 영역 데이터 커넥터를 배포하기 전에 작업 영역 ID 및 작업 영역 기본 키를 갖습니다(다음에서 복사할 수 있음).

작업 영역 ID: <설치 시 제공되는 변수 값>

기본 키: <설치 시 제공되는 변수 값>

옵션 1 - ARM(Azure Resource Manager) 템플릿

ARM Tempate를 사용하여 Rapid7 Insight 취약성 관리 보고서 데이터 커넥터의 자동화된 배포에 이 방법을 사용합니다.

아래 Azure 배포 단추를 클릭합니다.

aka.ms

기본 구독, 리소스 그룹 및 위치를 선택합니다.

참고: 동일한 리소스 그룹 내에서는 Windows 및 Linux 앱을 동일한 지역에 혼합할 수 없습니다. Windows 앱이 없는 기존 리소스 그룹을 선택하거나 새 리소스 그룹을 만듭니다. 3. InsightVMAPIKey를 입력하고 InsightVMCloudRegion을 선택하고 배포합니다. 4. 위에 명시된 사용 약관에 동의함을 표시하는 확인란을 표시합니다. 5. 구매 를 클릭하여 배포합니다.

옵션 2 - Azure Functions 수동 배포

다음 단계별 지침을 사용하여 Azure Functions(Visual Studio Code 통해 배포)를 사용하여 Rapid7 Insight 취약성 관리 보고서 데이터 커넥터를 수동으로 배포합니다.

1단계 - 함수 앱 배포

Azure 함수 앱 파일을 다운로드합니다. 로컬 개발 컴퓨터에 보관 파일을 추출합니다.

함수 앱 수동 배포 지침에 따라 VSCode를 사용하여 Azure Functions 앱을 배포합니다.

함수 앱을 성공적으로 배포한 후 구성을 위한 다음 단계를 수행합니다.

2단계 - 함수 앱 구성

함수 앱 구성에 대한 Azure 포털로 이동합니다.

함수 앱에서 함수 앱 이름을 선택하고 구성을 선택합니다.

애플리케이션 설정 탭에서 새 애플리케이션 설정을 선택합니다.

각 문자열 값(대/소문자 구분)을 사용하여 다음 애플리케이션 설정을 개별적으로 추가합니다.
InsightVMAPIKey InsightVMCloudRegion WorkspaceID WorkspaceKey logAnalyticsUri(선택 사항)

logAnalyticsUri를 사용하여 전용 클라우드에 대한 로그 분석 API 엔드포인트를 재정의합니다. 예를 들어 퍼블릭 클라우드의 경우 값을 비워 둡니다. Azure GovUS 클라우드 환경의 경우 값을 형식https://<CustomerId>.ods.opinsights.azure.us으로 지정합니다.

모든 애플리케이션 설정이 입력되면 저장을 클릭합니다.

Rapid7 Insight Platform 취약성 관리 보고서(코드리스 커넥터 프레임워크를 통해)

지원:Microsoft Corporation

Rapid7 Insight VM 보고서 데이터 커넥터는 Rapid7 Insight 플랫폼(클라우드에서 관리됨)의 REST API를 통해 검사 보고서 및 취약성 데이터를 Microsoft Sentinel 수집하는 기능을 제공합니다. 자세한 내용은 API 설명서를 참조하세요. 커넥터를 사용하면 이벤트 검색을 통해 잠재적인 보안 위험을 평가하고, 공동 작업을 모니터링하고, 구성 문제를 진단하고 해결할 수 있습니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

Rapid7InsightVMCloudAssets 예 예

Rapid7InsightVMCloudVulnerabilities 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

REST API 자격 증명: REST API에는 InsightVMAPIKey 가 필요합니다. 자세한 내용은 API를 참조하세요. 모든 요구 사항을 확인하고 자격 증명을 얻기 위한 지침을 따릅니다.

설치 지침:

지침에 따라 Rapid7 InsightVM 커넥터를 구성합니다.

참고: 이 데이터 커넥터는 Kusto 함수를 기반으로 하는 파서에 따라 Microsoft Sentinel 솔루션과 함께 배포되는 예상 InsightVMAssets 및 InsightVMVulnerabilities로 작동합니다.

1. Rapid7 Insight VM 클라우드에 대한 구성 단계

지침에 따라 자격 증명을 가져옵니다.

Rapid7 InsightVM에서 API 키를 생성합니다.

지역 및 API 키를 기록해 둡니다.

지역: (us, eu 등)

API 키: (API 키) 중요: Rapid7 v4 API 엔드포인트가 모든 예상 로그를 일관되게 반환하지 않을 수 있습니다. 결과를 개선하려면 쿼리 윈도우에 스캔 간격을 넘어 적절한 버퍼를 설정하세요. 예를 들어, 스캔이 60분마다 실행된다면 쿼리 창을 75분으로 설정하세요. 최적의 완충 공간은 환경에 따라 다르며 필요에 따라 조정해야 합니다. 우리는 이 API 신뢰성 문제를 해결하기 위해 Rapid7 지원팀과 적극적으로 협력하고 있습니다.

2. 연결

Rapid7 Insight VM 커넥터를 사용하도록 설정합니다.

연결 사용/사용 안 함

기록된 미래 - 로그 인제스tion

지원:Recorded Future Support Team(녹음된 미래 지원팀)

기록된 미래 데이터를 로그 인제스션 API를 통해 Microsoft Sentinel로 가져옵니다. 플레이북 경고는 , RecordedFuturePlaybookAlerts_V2_CL클래식 경고는 RecordedFutureClassicAlerts_V2_CL, 위협 맵 데이터는 RecordedFutureThreatMap_V2_CL 와 RecordedFutureThreatMapMalware_V2_CL, 샌드박스 결과를 각각 RecordedFutureSandboxResults_V2_CL작성합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

RecordedFuturePlaybookAlerts_V2_CL 예 예

RecordedFutureClassicAlerts_V2_CL 예 예

RecordedFutureThreatMap_V2_CL 예 예

RecordedFutureThreatMapMalware_V2_CL 예 예

RecordedFutureSandboxResults_V2_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Azure 구독: 데이터 커넥터 인프라 배포에 필요한 모니터링 기여자 및 Log Analytics 기여자 권한. 자동 역할 할당이 포함된 플레이북을 배포하려면 소유자 또는 역할 기반 Access Control 관리자가 필요합니다.

Recorded Future API 토큰: 플레이북에서 사용하는 Recorded Future 커스텀 커넥터를 승인하려면 Recorded Future API 토큰이 필요합니다.

설치 지침:

1단계 — 데이터 커넥터 인프라 배포

공유 데이터 수집 엔드포인트(DCE), 데이터 수집 규칙(DCR), Log Analytics 테이블, 그리고 이 커넥터 정의 타일을 배포합니다. 이 데이터를 Log Analytics Workspace와 동일한 리소스 그룹에 배포하세요.

aka.ms

2단계 — 녹화된 미래 맞춤형 커넥터 배포

커스텀 커넥터는 Recorded Future API에 대한 인증을 처리합니다. 한 번 배치하세요 — 플레이북에서 공유됩니다.

aka.ms

3단계 — 플레이북 배포

사용 상황에 따라 하나 이상의 플레이북을 배포하세요. 수동 설정이 필요 없으며, 각 플레이북은 Step 1에서 배포된 데이터 커넥터 인프라에 자동으로 연결됩니다.

기록된 미래 정체성 - 플레이북 알림 임포터

지원:Recorded Future Support Team(녹음된 미래 지원팀)

기록된 미래 신원 플레이북 알림을 Microsoft Sentinel로 가져오기. 테이블 위의 RFI_PlaybookAlertResults_V2_CL 분석 규칙을 통해 인시던트 생성이 가능합니다. 전체 설치 세부사항은 readme를 참조하세요.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

RFI_PlaybookAlertResults_V2_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Azure 구독: Step 1 (Data Connectors infrastructure)은 리소스 그룹에 모니터링 기여자와 Log Analytics 기여자가 필요합니다. 3단계(플레이북)는 자동 역할 할당()과 함께 배포할 때 소유자 또는 역할 기반 Access Control 관리자가 필요하며,create_role_assignment=true 그렇지 않으면 기여자로 만족합니다.

녹화된 미래 API 토큰: 플레이북에서 사용하는 RFI 커스텀 커넥터를 승인하기 위해 녹화된 미래 신원 API 토큰이 필요합니다.

설치 지침:

1단계 — 데이터 커넥터 인프라 배포

공유 데이터 수집 엔드포인트(DCE), 데이터 수집 규칙(DCR), Log Analytics 테이블(RFI_PlaybookAlertResults_V2_CL), 그리고 이 커넥터 정의 타일을 배포합니다.

portal.azure.com

2단계 — RFI-CustomConnector 배포

커스텀 커넥터는 Recorded Future API에 대한 인증을 처리합니다. 한 번 배치하면 — 플레이북에 공유됩니다.

portal.azure.com

3단계 — RFI-Playbook-Alert-Importer-LAW 배포

Recorded Future Identity Playbook 알림을 가져오고, Managed Identity를 사용해 Log Analytics 테이블에 기록하는 Logic 앱을 배포합니다. 조직에서 수동 역할 할당을 요구한다면 설정 create_role_assignment=false 하세요(위 권한 참조). 배포 후에는 커넥터를 승인하고 Logic 앱을 활성화하세요.

portal.azure.com

4단계 — 분석 규칙 배포

테이블에서 RFI_PlaybookAlertResults_V2_CL Microsoft Sentinel 인시던트를 생성합니다. 이 규칙은 Microsoft Sentinel → 구성 → 분석 → 규칙 템플릿에서도 제공됩니다.

portal.azure.com

레드 카나리아 위협 탐지 (코드리스 커넥터 프레임워크를 통해)

지원:레드 캐너리

Red Canary 데이터 커넥터는 Code Connector Framework 푸시 패턴과 Azure Monitor Logs Ingestion API를 사용하여 Red Canary가 Microsoft Sentinel에 탐지를 게시할 수 있게 합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

RedCanaryDetections_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Microsoft Entra: Microsoft Entra ID 앱 등록을 만들 수 있는 권한입니다. 보통 애플리케이션 개발자 이상의 직무가 필요합니다.

Microsoft Azure: 데이터 수집 규칙에서 Monitoring Metrics Publisher 역할을 할당할 수 있는 권한. 일반적으로 Azure RBAC 소유자 또는 사용자 접근 관리자가 필요합니다.

Red Canary: Red Canary에서 Microsoft Sentinel 응답 액션을 구성할 수 있습니다.

설치 지침:

1. 연결 자원 생성

레드 캐나리아 탐지에 필요한 CCF 푸시 자원을 배치하세요.

자동 구성 및 안전한 데이터 수집 배포 버튼을 클릭하면 Log Analytics 테이블, 데이터 수집 규칙(DCR), 데이터 수집 엔드포인트(DCE), Microsoft Entra 애플리케이션, 애플리케이션 비밀, 역할 할당이 생성되어 Azure Monitor 로그 수집 API를 통해 Red Canary 탐지를 인징합니다.

2. 레드 캐너리 구성

생성된 값을 사용해 Red Canary가 이 Microsoft Sentinel 작업 공간으로 탐지를 전송하도록 설정하세요.

테넌트 ID(디렉터리 ID): <설치 시 제공되는 변수 값>

Entra 앱 등록 애플리케이션 ID: <설치 시 제공되는 변수 값>

Entra 앱 등록 비밀: <설치 시 제공되는 변수 값>

데이터 수집 엔드포인트 URI: <설치 시 제공되는 변수 값>

데이터 수집 규칙 변경할 수 없는 ID: <설치 시 제공되는 변수 값>

감지 스트림 이름: <설치 시> 제공된 변수 값 위의 값으로 Red Canary Microsoft Sentinel 응답 액션을 구성하세요. Red Canary는 스트림 이름 Custom-RedCanaryDetections를 사용하여 로그 수집 API 엔드포인트에 감지 기록을 게시해야 합니다.

Red Sift 이벤트(CCF 푸시)

지원자:Red Sift

Red Sift 커넥터는 DCE + DCR과 함께 CCF 푸시 모델을 사용하여 Red Sift 인증 및 메일 포렌식 이벤트를 Microsoft Sentinel 수집하는 기능을 제공합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

RedSiftAuth_CL 아니요 아니요

RedSiftEmailForensics_CL 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

Microsoft Entra: Microsoft Entra ID 앱 등록을 만들 수 있는 권한입니다. 일반적으로 Entra ID 애플리케이션 개발자 역할 이상이 필요합니다.

Microsoft Azure: DCR(데이터 수집 규칙)에 대한 모니터링 메트릭 게시자 역할을 할당할 수 있는 권한입니다. 일반적으로 AZURE RBAC 소유자 또는 사용자 액세스 관리자 역할이 필요합니다.

설치 지침:

1. ARM 리소스 만들기 및 필요한 권한 제공

OAuth 클라이언트 자격 증명에 사용되는 DCE, DCR, 사용자 지정 테이블 및 Entra 앱 등록을 배포합니다.

Entra 애플리케이션을 사용하여 자동화된 구성 및 보안 데이터 수집 "배포"를 클릭하면 Log Analytics 테이블 및 DCR(데이터 수집 규칙)의 생성이 트리거됩니다. 그런 다음, Entra 애플리케이션을 만들고, DCR을 연결하고, 애플리케이션에 입력한 비밀을 설정합니다. 이 설정을 사용하면 Entra 토큰을 사용하여 데이터를 DCR로 안전하게 보낼 수 있습니다.

2. Red Sift 웹후크 구성

다음 매개 변수를 사용하여 이벤트를 Microsoft Sentinel 보내도록 Red Sift를 구성합니다. 각 이벤트 유형에 적절한 스트림 이름을 사용합니다.

테넌트 ID(디렉터리 ID): <설치 시 제공되는 변수 값>

Entra 앱 등록 애플리케이션 ID: <설치 시 제공되는 변수 값>

Entra 앱 등록 비밀: <설치 시 제공되는 변수 값>

데이터 수집 엔드포인트 Uri: <설치 시 제공되는 변수 값>

데이터 수집 규칙 변경할 수 없는 ID: <설치 시 제공되는 변수 값>

인증 이벤트 Stream 이름: <설치 시 제공되는 변수 값>

Email 포렌식 이벤트 Stream 이름: <설치 시 제공되는 변수 값>

RSA ID 더하기 관리 로그 커넥터

지원:RSA 지원 팀

RSA ID Plus AdminLogs 커넥터는 클라우드 관리 API를 사용하여 클라우드 관리 콘솔 감사 이벤트를 Microsoft Sentinel 수집하는 기능을 제공합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

RSAIDPlus_AdminLogs_CL 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

RSA ID Plus API 인증: 관리 API에 액세스하려면 클라이언트의 레거시 관리 API 키로 서명된 유효한 Base64URL로 인코딩된 JWT 토큰이 필요합니다.

설치 지침:

참고: 이 커넥터는 CCF(Codeless Connector Framework)를 사용하여 RSA ID Plus Cloud 관리 API에 연결하여 로그를 Microsoft Sentinel 끌어올 수 있습니다.

1단계 - 클라우드 관리 콘솔에서 레거시 관리 API 클라이언트 만들기

이 페이지에 언급된 단계를 따릅니다.

2단계 - Base64URL로 인코딩된 JWT 토큰을 생성합니다.

이 페이지에 언급된 '레거시 관리 API' 헤더 아래의 단계를 수행합니다.

3단계 - 관리 이벤트 로그를 Microsoft Sentinel 수집하기 시작하도록 클라우드 관리 API를 구성합니다.

아래 필수 값을 제공합니다.

관리 API URL: (https://< tenantName.access.securid.com/AdminInterface/restapi/v1/adminlog/exportLogs>)

JWT 토큰: (JWT 토큰 입력)

4단계 - 연결을 클릭합니다.

위의 모든 필드가 올바르게 채워져 있는지 확인합니다. 연결을 눌러 커넥터를 시작합니다.

연결 사용/사용 안 함

Rubrik Security Cloud 데이터 커넥터(Azure Functions 사용)

지원:Rubrik

Rubrik Security Cloud 데이터 커넥터를 사용하면 보안 운영 팀이 Rubrik의 데이터 가시성 서비스의 인사이트를 Microsoft Sentinel 통합할 수 있습니다. 인사이트에는 랜섬웨어 및 대량 삭제와 관련된 비정상적인 파일 시스템 동작 식별, 랜섬웨어 공격의 폭발 반경 평가, 잠재적 인시던트 우선 순위를 지정하고 보다 신속하게 조사하는 중요한 데이터 운영자가 포함됩니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

Rubrik_Anomaly_Data_CL 예 예

Rubrik_Ransomware_Data_CL 예 예

Rubrik_ThreatHunt_Data_CL 예 예

Rubrik_Events_Data_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Microsoft.Web/sites 권한: 함수 앱을 만들기 위한 Azure Functions 읽기 및 쓰기 권한이 필요합니다. 자세한 내용은 Azure Functions 참조하세요.

설치 지침:

참고: 이 커넥터는 Azure Functions 사용하여 로그를 Microsoft Sentinel 푸시하는 Rubrik 웹후크에 연결합니다. 이로 인해 추가 데이터 수집 비용이 발생할 수 있습니다. 자세한 내용은 Azure Functions 가격 책정 페이지를 확인하세요.

(선택적 단계) 작업 영역 및 API 권한 부여 키 또는 토큰을 Azure Key Vault 안전하게 저장합니다. Azure Key Vault 키 값을 저장하고 검색하는 보안 메커니즘을 제공합니다. 다음 지침에 따라 Azure 함수 앱에서 Azure Key Vault 사용합니다.

1단계 - 커넥터 및 연결된 Azure 함수를 배포하려면 다음 두 가지 배포 옵션 중 하나를 선택합니다.

중요: Rubrik Microsoft Sentinel 데이터 커넥터를 배포하기 전에 작업 영역 ID 및 작업 영역 기본 키(다음에서 복사할 수 있음)를 쉽게 사용할 수 있습니다.

작업 영역 ID: <설치 시 제공되는 변수 값>

기본 키: <설치 시 제공되는 변수 값>

옵션 1 - ARM(Azure Resource Manager) 템플릿

Rubrik 커넥터의 자동화된 배포에 이 메서드를 사용합니다.

아래 Azure 배포 단추를 클릭합니다.

aka.ms

기본 구독, 리소스 그룹 및 위치를 선택합니다.

아래 정보를 입력합니다. 함수 이름 작업 영역 ID 작업 영역 키 AnomaliesTableName RansomwareAnalysisTableName ThreatHuntsTableName EventsTableName LogLevel

위에 명시된 사용 약관에 동의함을 표시하는 확인란을 표시합니다.

구매를 클릭하여 배포합니다.

옵션 2 - Azure Functions 수동 배포

다음 단계별 지침을 사용하여 Azure Functions(Visual Studio Code 통한 배포)를 사용하여 Rubrik Microsoft Sentinel 데이터 커넥터를 수동으로 배포합니다.

함수 앱 배포

참고: Azure 함수 개발을 위해 VS 코드를 준비해야 합니다.

Azure 함수 앱 파일을 다운로드합니다. 로컬 개발 컴퓨터에 보관 파일을 추출합니다.

VS Code를 시작합니다. 주 메뉴에서 파일을 선택하고 폴더 열기를 선택합니다.

추출된 파일에서 최상위 폴더를 선택합니다.

작업 표시줄에서 Azure 아이콘을 선택한 다음, Azure: 함수 영역에서 함수에 배포 앱 단추를 선택합니다. 아직 로그인하지 않은 경우 활동 표시줄에서 Azure 아이콘을 선택한 다음, Azure: 함수 영역에서 로그인을 선택하여 Azure 이미 로그인한 경우 다음 단계로 이동합니다.

프롬프트에서 다음 정보를 제공합니다.

a. 폴더 선택: 작업 영역에서 폴더를 선택하거나 함수 앱이 포함된 폴더로 이동합니다.

b. 구독을 선택합니다. 사용할 구독을 선택합니다.

c. Azure 새 함수 앱 만들기를 선택합니다(고급 옵션을 선택하지 않음).

d. 함수 앱의 전역적으로 고유한 이름을 입력합니다 . URL 경로에 유효한 이름을 입력합니다. 입력한 이름은 Azure Functions 고유하도록 유효성을 검사합니다. (예: RubrikXXXXX).

e. 런타임 선택: Python 3.8 이상을 선택합니다.

f. 새 리소스의 위치를 선택합니다. 성능 향상 및 비용 절감을 위해 Microsoft Sentinel 있는 동일한 지역을 선택합니다.

배포가 시작됩니다. 함수 앱이 만들어지고 배포 패키지가 적용된 후 알림이 표시됩니다.

함수 앱 구성에 대한 Azure 포털로 이동합니다.

함수 앱 구성

함수 앱에서 함수 앱 이름을 선택하고 구성을 선택합니다.

애플리케이션 설정 탭에서 + 새 애플리케이션 설정을 선택합니다.

각 값(대/소문자 구분)을 사용하여 다음 애플리케이션 설정을 개별적으로 추가합니다. WorkspaceID WorkspaceKey AnomaliesTableName RansomwareAnalysisTableName ThreatHuntsTableName EventsTableName LogLevel logAnalyticsUri(선택 사항)

logAnalyticsUri를 사용하여 전용 클라우드에 대한 로그 분석 API 엔드포인트를 재정의합니다. 예를 들어 퍼블릭 클라우드의 경우 값을 비워 둡니다. Azure GovUS 클라우드 환경의 경우 값을 https:// CustomerId.ods.opinsights.azure.us<> 형식으로 지정합니다.

모든 애플리케이션 설정이 입력되면 저장을 클릭합니다.

배포 후 단계

1) 함수 앱 엔드포인트 가져오기

Azure 함수 개요 페이지로 이동하고 "함수" 탭을 클릭합니다.

"RubrikHttpStarter"라는 함수를 클릭합니다.

"GetFunctionurl"로 이동하여 함수 URL을 복사합니다.

2) RubrikSecurityCloud에 웹후크를 추가하여 데이터를 Microsoft Sentinel 보냅니다.

Rubrik 사용자 가이드 지침에 따라 웹후크 추가 를 통해 이벤트 정보 수신을 시작합니다.

웹후크 공급자로 Microsoft Sentinel 선택

원하는 웹후크 이름을 입력합니다.

복사한 Function-url의 URL 부분을 웹후크 URL 엔드포인트로 입력하고 Rubrik Microsoft Sentinel 솔루션의 경우 {functionname}을 "RubrikAnomalyOrchestrator"로 바꿉니다.

EventType을 Anomaly로 선택

위험, 경고, 정보 등 심각도 수준을 선택합니다.

"RubrikEventsOrchestrator"를 실행할 때 원하는 경우 여러 로그 유형을 선택합니다.

변칙 검색 분석, 위협 사냥 및 기타 이벤트에 대한 웹후크를 추가하려면 동일한 단계를 반복합니다.

참고: 변칙 검색 분석, 위협 사냥 및 기타 이벤트에 대한 웹후크를 추가하는 동안 복사된 function-url에서 각각 {functionname}을 "RubrikRansomwareOrchestrator", "RubrikThreatHuntOrchestrator" 및 "RubrikEventsOrchestrator" 로 바꿉니다.

이제 rubrik Webhook 구성을 완료했습니다. 웹후크 이벤트가 트리거되면 Rubrik의 Anomaly, Anomaly Detection Analysis, Threat Hunt 이벤트 및 기타 이벤트를 "Rubrik_Anomaly_Data_CL", "Rubrik_Ransomware_Data_CL", "Rubrik_ThreatHunt_Data_CL" 및 "Rubrik_Events_Data_CL"라는 각 LogAnalytics 작업 영역 테이블로 볼 수 있습니다.

Rubrik Security 클라우드 보호 상태 (코드리스 커넥터 프레임워크 사용)

지원:Rubrik

Rubrik Security Cloud Protection 상태 데이터 커넥터는 RSC에서 보호 및 준수 상태 정보를 Microsoft Sentinel로 인징할 수 있게 해줍니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

RubrikProtectionStatus_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

설치 지침:

1. Rubrik 보안 클라우드 자격 증명 입력

데이터 수집을 가능하게 하려면 RSC API 자격 증명을 제공하세요.

구성 단계:

RSC URL - 귀사의 RSC URL (예: https://your-org.my.rubrik.com)

클라이언트 ID - RSC에서 제공하는 서비스 계정 클라이언트 ID (형식: client|xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx)

클라이언트 시크릿 - 서비스 계정 클라이언트 시크릿 RSC에서 서비스 계정을 생성하려면:

RSC → 설정에서 서비스 계정 접근 관리 → → 가세요

적절한 API 권한이 있는 새 서비스 계정 생성

클라이언트 ID와 클라이언트 비밀을 주목하세요

RSC URL: (https://your-org.my.rubrik.com)

클라이언트 ID: (client|xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx)

클라이언트 비밀: (클라이언트 비밀 입력)

2. Rubrik Security Cloud에 접속

데이터 수집을 시작하려면 연결을 클릭하세요.

연결 사용/사용 안 함

Rubrik Security 클라우드 보안 이벤트 (푸시)

지원:Rubrik

Rubrik Security Cloud Security Events(Push) 커넥터는 Codeless Connector Framework(CCF) Push 패턴을 사용하여 Rubrik Security Cloud에서 실시간으로 보안 이벤트를 Microsoft Sentinel로 인징합니다. Rubrik Security Cloud 웹훅은 OAuth 2.0으로 인증하고 이벤트를 직접 Azure Monitor Logs Ingestion API에 게시하며, 배포하거나 운영할 중간 컴퓨팅 없이 진행됩니다. 이상 현상, 랜섬웨어 분석, 위협 추적 및 기타 모든 이벤트에 대해 이벤트는 카테고리별 테이블로 라우팅됩니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

Rubrik_Anomaly_Data_CL 예 예

Rubrik_Ransomware_Data_CL 예 예

Rubrik_ThreatHunt_Data_CL 예 예

Rubrik_Events_Data_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Microsoft Entra: Microsoft Entra ID 앱 등록을 만들 수 있는 권한입니다. 일반적으로 Entra ID 애플리케이션 개발자 역할 이상이 필요합니다.

Microsoft Azure: DCR(데이터 수집 규칙)에 대한 모니터링 메트릭 게시자 역할을 할당할 수 있는 권한입니다. 일반적으로 AZURE RBAC 소유자 또는 사용자 액세스 관리자 역할이 필요합니다.

Rubrik Security Cloud: Rubrik Security Cloud에서 웹훅을 생성하고 관리할 권한이 있는 계정입니다.

설치 지침:

1. 섭취 자원을 배치한다

이 커넥터는 Rubrik Security Cloud가 Azure Monitor Logs Ingestion API를 통해 보안 이벤트를 직접 Microsoft Sentinel로 푸시할 수 있게 해줍니다.

자동 구성 선택 배포는 Log Analytics 테이블과 데이터 수집 규칙(DCR)을 생성하고, Microsoft Entra 애플리케이션을 등록하며, DCR을 해당 애플리케이션에 연결하고, 필요한 역할을 할당합니다. Rubrik Security Cloud는 그 결과 자격 증명을 사용해 DCR에 이벤트를 안전하게 전송합니다.

2. 연결 정보 수집

배포가 완료된 후에는 이 값들을 복사하세요. Rubrik Security Cloud에서 웹훅을 생성할 때 입력해야 합니다.

테넌트 ID(디렉터리 ID): <설치 시 제공되는 변수 값>

Entra 앱 등록 애플리케이션 ID: <설치 시 제공되는 변수 값>

Entra 앱 등록 비밀: <설치 시 제공되는 변수 값>

데이터 수집 엔드포인트 Uri: <설치 시 제공되는 변수 값>

데이터 수집 규칙 변경할 수 없는 ID: <설치 시 제공되는 변수 값>

3. Rubrik Security Cloud에서 웹훅 생성

이벤트 카테고리별로 하나의 웹훅을 만드세요. 각 웹훅은 동일한 데이터 수집 엔드포인트에 게시되지만, 목적지 테이블을 결정하는 다른 스트림을 타겟팅합니다.

웹훅 인증 Rubrik Security Cloud에서 각 웹훅을 Microsoft Sentinel 제공업체로 생성하고, 다음 값을 사용하여 인증 유형을 OAuth 2.0으로 설정하세요:

Setting Value

권한 부여 유형 client_credentials

토큰 URL <Microsoft Entra ID Token Endpoint>/<Tenant ID>/oauth2/v2.0/token

클라이언트 ID <Application ID>

클라이언트 암호 <Application Secret>

Scope https://monitor.azure.com//.default

Azure 클라우드<Tenant ID>용 Microsoft Entra ID 인증 엔드포인트와 , 그리고 <Application Secret><Application ID> 위에서 생성된 앱 등록 값으로 대체 <Microsoft Entra ID Token Endpoint> 하세요.

웹훅 URL

각 웹훅마다 위 값과 값을 대신 <Data Collection Endpoint Uri><Data Collection Rule Immutable ID> 하고, <Stream Name> 해당 이벤트 카테고리의 스트림을 사용하여 다음 URL을 사용하세요:

<Data Collection Endpoint Uri>/dataCollectionRules/<Data Collection Rule Immutable ID>/streams/<Stream Name>?api-version=2023-01-01

이벤트 범주 스트림 이름 목적지 테이블

변칙 Custom-Rubrik_Anomaly_Data Rubrik_Anomaly_Data_CL

랜섬웨어 분석 Custom-Rubrik_Ransomware_Data Rubrik_Ransomware_Data_CL

위협 사냥 Custom-Rubrik_ThreatHunt_Data Rubrik_ThreatHunt_Data_CL

기타 모든 행사 Custom-Rubrik_Events_Data Rubrik_Events_Data_CL

각 웹훅의 이벤트 유형 및 심각성 필터를 해당 카테고리로 범위를 지정하여 이벤트가 올바른 테이블로 라우팅되도록 합니다.

SaaS 보안

지원:Valence 보안

REST API 인터페이스를 통해 Valence SaaS 보안 플랫폼 Azure Log Analytics 연결

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

ValenceAlert_CL 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

설치 지침:

1단계: 자세한 설명서 읽기

설치 프로세스는 Valence Security의 기술 자료 자세히 설명되어 있습니다. 사용자는 통합의 설치 및 디버그를 이해하려면 이 설명서를 추가로 참조해야 합니다.

2단계: 작업 영역 액세스 자격 증명 검색

첫 번째 설치 단계는 Microsoft Sentinel 플랫폼에서 작업 영역 ID와 기본 키를 모두 검색하는 것입니다. 아래 표시된 값을 복사하고 API 로그 전달자 통합 구성을 위해 저장합니다.

작업 영역 ID: <설치 시 제공되는 변수 값>

기본 키: <설치 시 제공되는 변수 값>

3단계: Valence Security Platform에서 Sentinel 통합 구성

Valence Security Platform 관리자로 구성 화면으로 이동하고 SIEM 통합 카드 연결을 클릭한 다음 Microsoft Sentinel 선택합니다. 이전 단계의 값을 붙여넣고 연결을 클릭합니다. Valence는 연결을 테스트하므로 성공이 보고되면 연결이 작동합니다.

SailPoint Identity Security Cloud (코드리스 커넥터 프레임워크 통해)

지원:SailPoint

SailPoint Identity Security Cloud 데이터 커넥터는 REST API를 통해 Microsoft Sentinel에 검색 이벤트를 인징할 수 있는 기능을 제공합니다. 이 커넥터는 고객이 Identity Security Cloud 테넌트에서 감사 정보를 추출할 수 있는 기능을 제공합니다. 각 테넌트는 고유한 테넌트 ID와 도메인으로 식별되는 여러 SailPoint Identity Security Cloud 테넌트를 동시에 연결할 수 있어, 단일 Microsoft Sentinel 작업 공간에서 여러 환경(프로덕션, 데모, 파트너)을 쉽게 모니터링할 수 있습니다. API 인증 세부 사항은 SailPoint 개발자 문서를 참조하세요.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

SailPointISC_Events_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

SailPoint Identity Security Cloud OAuth2 클라이언트 자격 증명: 범위가 포함된 sp:search:read OAuth2 클라이언트 ID와 클라이언트 시크릿이 필요합니다. SailPoint 테넌트에서 개인 접근 토큰(PAT)을 생성하세요. 단계별 안내는 저희 컴퍼스 커뮤니티의 문서를 참고해 주시기 바랍니다.

설치 지침:

필수 구성 요소

임차인 ID와 도메인 찾기 임 차인 ID 는 SailPoint URL의 서브도메인입니다.

Environment 당신의 URL 테넌트 ID 도메인

프로덕션 https://acme.identitynow.com acme identitynow

데모/파트너 https://ta-partner19947.identitynow-demo.com ta-partner19947 identitynow-demo

커넥터는 다음과 같이 호출할 것입니다: https://{Tenant ID}.api.{Domain}.com/v2025/search/events

개인 접근 토큰(PAT)을 만드세요.

Identity Security Cloud 테넌트에 로그인하세요. 오른쪽 상단의 프로필 이름을 클릭하고 드롭다운 메뉴에서 환경설정을 선택하세요.

왼쪽 내비게이션 창에서 개인 접근 토큰을 선택하세요.

새 토큰 버튼을 클릭하세요.

' 이 토큰은 무엇을 위한 것인가요?' 필드에 이 토큰이 어떻게 사용될지에 대해 명확하고 의미 있는 설명을 입력하세요.

유통기한을 선택하세요.

공급업체 통합 드롭다운 메뉴에서 SailPoint IdentityNow를 위해 Microsoft Microsoft Sentinel을 선택하세요.

검색 API를 쿼리할 범위를 선택 sp:search:read 하세요.

토큰 생성 버튼을 클릭하세요. 즉시 클라이언트 ID와 시크릿을 복사하여 안전하게 저장하세요. 중요: 시크릿은 한 번만 표시되며, 창을 닫으면 다시 가져올 수 없습니다.

SailPoint 신원 보안 클라우드 연결

SailPoint Identity Security Cloud 테넌트에 연결을 추가하고 관리하세요. 여러 테넌트를 동시에 연결할 수 있습니다.

데이터 커넥터 그리드(포털에서 구성)

Salesforce 감사 로그(코드리스 커넥터 프레임워크를 통해)

지원:Microsoft Corporation

Salesforce 감사 로그 데이터 커넥터는 REST API를 통해 Salesforce 조직에서 Microsoft Sentinel 관리 변경 내용 및 구성 수정 사항을 수집하는 기능을 제공합니다. 커넥터는 설정 감사 내역 및 로그인 기록 이벤트를 조직의 구성에 대한 변경 내용을 추적하는 Microsoft Sentinel 수집하여 보안 및 규정 준수 가시성을 유지하는 데 도움이 되는 기능을 제공합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

SalesforceAuditTrailV2_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Salesforce Service Cloud API 액세스: 연결된 앱을 통해 Salesforce Service Cloud API에 액세스해야 합니다.

설치 지침:

Salesforce를 Microsoft Sentinel 연결

OAuth용 Salesforce에서 연결된 앱 만들기 및 OAuth 2.0 클라이언트 자격 증명 흐름에 대한 연결된 앱 구성에 따라 Salesforce Service Cloud API에 액세스할 수 있는 연결된 앱을 만듭니다. 이러한 지침을 통해 소비자 키 및 소비자 암호를 가져와야 합니다. Salesforce 도메인 이름의 경우 설정으로 이동하고 빠른 찾기 상자에 내 도메인을 입력하고 내 도메인을 선택하여 도메인 세부 정보를 봅니다. 후행 슬래시(예: https://your-domain.my.salesforce.com)없이 도메인 이름을 입력해야 합니다. 아래 양식을 해당 정보로 채웁니다.

솔루션 버전 3.6.0 이후는 Salesforce Audit logs V2 테이블을 사용합니다. 기존 쿼리는 업데이트된 파서를 사용해 주세요. 여기에서 해결책의 릴리스 노트를 참고하세요

Salesforce 연결 관리

Salesforce 연결 추가, 보기 및 삭제

데이터 커넥터 그리드(포털에서 구성)

Salesforce 마케팅 클라우드 (코드리스 커넥터 프레임워크를 통해)

지원:Microsoft Corporation

Salesforce 마케팅 클라우드 감사 추적 API에서 감사 이벤트 및 보안 이벤트를 수집합니다. 사용자 활동, 시스템 변경, 로그인 이벤트에 대한 가시성을 제공합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

SalesforceMarketingCloudAuditEvents 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

세일즈포스 마케팅 클라우드 API 접근: 설치된 패키지를 통해 세일즈포스 마케팅 클라우드 API에 접근해야 합니다.

설치 지침:

Salesforce Marketing Cloud를 Microsoft Sentinel에 연결하기

Salesforce 마케팅 클라우드 문서를 따라 데이터를 포함한 설치 패키지를 생성하세요 | 이벤트 추적 | 권한 범위를 읽으세요. 설치의 Install Packages 섹션에서 테넌트별 REST API와 인증 기본 URL을 확인하세요.

Salesforce 연결 관리

Salesforce 연결 추가, 보기 및 삭제

데이터 커넥터 그리드(포털에서 구성)

SalesForce Real-Time 이벤트 모니터링 커넥터(코드리스 커넥터 프레임워크를 통해)

지원:Microsoft Corporation

Salesforce Real-Time RTEM(이벤트 모니터링) 커넥터는 REST API를 통해 Event Storage용 Object를 사용하여 Salesforce 실시간 이벤트에 대한 정보를 Microsoft Sentinel 수집하는 기능을 제공합니다. 커넥터는 조직의 이벤트를 빠르게 검토하고 최근 활동에 대한 실시간 이벤트 데이터를 가져오는 기능을 제공합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

SalesForceRealTimeEventMonitoring_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Salesforce 이벤트 모니터링 API 액세스: 연결된 앱을 통해 Salesforce 이벤트 모니터링 API에 액세스해야 합니다.

설치 지침:

Salesforce 이벤트 모니터링에 연결하여 Microsoft Sentinel 실시간 이벤트 모니터링 로그 수집 시작

OAuth용 Salesforce에서 연결된 앱 만들기 및 OAuth 2.0 클라이언트 자격 증명 흐름에 대한 연결된 앱 구성에 따라 Salesforce 이벤트 모니터링 API에 액세스할 수 있는 연결된 앱을 만듭니다. 이러한 지침을 통해 소비자 키 및 소비자 암호를 가져와야 합니다. Salesforce 도메인 이름의 경우 설정으로 이동하고 빠른 찾기 상자에 내 도메인을 입력하고 내 도메인을 선택하여 도메인 세부 정보를 봅니다. 후행 슬래시(예: https://your-domain.my.salesforce.com)없이 도메인 이름을 입력해야 합니다. 아래 양식을 해당 정보로 채웁니다.

필수 추가 구독: 이 커넥터가 작동하려면 Salesforce 계정에 Salesforce Shield 또는 Salesforce Event Monitoring 추가 구독이 포함되어 있어야 합니다.

Salesforce 연결 관리

Salesforce 연결 추가, 보기 및 삭제

데이터 커넥터 그리드(포털에서 구성)

Salesforce Service Cloud(코드리스 커넥터 프레임워크를 통해)

지원:Microsoft Corporation

Salesforce Service Cloud 데이터 커넥터는 REST API를 통해 Salesforce 운영 이벤트에 대한 정보를 Microsoft Sentinel 수집하는 기능을 제공합니다. 커넥터는 조직의 이벤트를 빠르게 검토하고 최근 활동에 대한 이벤트 로그 파일을 시간당 증분 단위로 가져오는 기능을 제공합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

SalesforceServiceCloudV3_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Salesforce Service Cloud API 액세스: 연결된 앱을 통해 Salesforce Service Cloud API에 액세스해야 합니다.

설치 지침:

Salesforce Service Cloud API에 연결하여 Microsoft Sentinel 이벤트 로그 수집 시작

OAuth용 Salesforce에서 연결된 앱 만들기 및 OAuth 2.0 클라이언트 자격 증명 흐름에 대한 연결된 앱 구성에 따라 Salesforce Service Cloud API에 액세스할 수 있는 연결된 앱을 만듭니다. 이러한 지침을 통해 소비자 키 및 소비자 암호를 가져와야 합니다. Salesforce 도메인 이름의 경우 설정으로 이동하고 빠른 찾기 상자에 내 도메인을 입력하고 내 도메인을 선택하여 도메인 세부 정보를 봅니다. 후행 슬래시(예: https://your-domain.my.salesforce.com)없이 도메인 이름을 입력해야 합니다. 아래 양식을 해당 정보로 채웁니다.

공지: 솔루션 버전 3.2.0 이후 버전은 SalesforceServiceCloudV3_CL 테이블을 사용합니다. 기존 쿼리는 업데이트된 파서를 사용해 주세요. 여기에서 해결책의 릴리스 노트를 참고하세요

Salesforce 연결 관리

Salesforce 연결 추가, 보기 및 삭제

데이터 커넥터 그리드(포털에서 구성)

삼성 녹스 자산 정보

지원:삼성전자

Samsung Knox Asset Intelligence 데이터 커넥터를 사용하면 통합 문서 템플릿을 사용하여 사용자 지정된 인사이트를 보고 분석 규칙 템플릿을 기반으로 인시던트를 식별하기 위해 모바일 보안 이벤트 및 로그를 중앙 집중화할 수 있습니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

Samsung_Knox_Audit_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Entra 앱: Entra 앱을 'Microsoft Metrics Publisher' 역할로 등록하고 프로비전하고 인증서 또는 클라이언트 암호를 보안 데이터 전송을 위한 자격 증명으로 구성해야 합니다. Entra 앱 만들기, 등록 및 자격 증명 구성에 대한 자세한 내용은 로그 수집 자습서를 참조하세요.

설치 지침:

이 데이터 커넥터는 Microsoft 로그 수집 API를 사용하여 KAI(Samsung Knox Asset Intelligence) 솔루션에서 보안 이벤트를 Microsoft Sentinel 푸시합니다.

1단계 - Entra 애플리케이션 만들기 및 등록

참고: 이 데이터 커넥터는 인증서 기반 또는 클라이언트 비밀 기반 인증을 지원할 수 있습니다. 인증서 기반 인증의 경우 KAI 설명서 포털에서 Samsung CA 서명 인증서(공개 키)를 다운로드할 수 있습니다. 클라이언트 비밀 기반 인증의 경우 Entra 애플리케이션 등록 중에 비밀을 만들 수 있습니다. 클라이언트 암호 값이 생성되는 즉시 복사해야 합니다.

중요: 테넌트(디렉터리) ID 및 클라이언트(애플리케이션) ID에 대한 값을 저장합니다. 클라이언트 비밀 기반 인증을 사용하는 경우 Entra 앱과 연결된 클라이언트 암호(비밀 값)를 저장합니다.

2단계 - 아래 AZURE RESOURCE MANAGER(ARM) 템플릿을 사용하여 이 데이터 커넥터 배포 자동화

중요: 데이터 커넥터를 배포하기 전에 Microsoft Sentinel(Log Analytics) instance 연결된 아래 작업 영역 이름을 복사합니다.

작업 영역 이름: <설치 시 제공되는 변수 값>

아래 단추를 클릭하여 Samsung Knox Intelligence Solution을 설치합니다.

aka.ms\n2. Log Analytics 작업 영역 이름, Log Analytics 작업 영역 위치, Log Analytics 작업 영역 구독(ID) 및 Log Analytics 작업 영역 리소스 그룹 등의 필수 필드를 제공합니다.

3단계 - Microsoft Sentinel 데이터 수집 세부 정보 가져오기

ARM 템플릿이 배포되면 데이터 수집 규칙 https://portal.azure.com/#browse/microsoft.insights%2Fdatacollectionrules으로 이동하여 DCR(변경할 수 없는 ID) 및 DCE(데이터 수집 엔드포인트)와 연결된 값을 저장합니다.

중요: 엔드 투 엔드 통합을 사용하도록 설정하려면 Samsung Knox Asset Intelligence 포털(4단계)에서 구성하려면 Microsoft Sentinel DCE 및 DCR과 관련된 정보가 필요합니다.

1단계에서 만든 Entra 애플리케이션에 DCE로 데이터를 보내기 위해 만든 DCR을 사용할 수 있는 권한이 있는지 확인합니다. 그에 따라 권한을 할당하려면 /azure/azure-monitor/logs/tutorial-logs-ingestion-portal#assign-permissions-to-the-dcr을 참조하세요.

4단계 - Samsung Knox Asset Intelligence 솔루션에 연결하여 Knox 보안 이벤트를 경고로 푸시하도록 Microsoft Sentinel 구성

Knox Asset Intelligence 관리 포털에 로그인하고 대시보드 설정으로 이동합니다. 포털의 오른쪽 위 모서리에서 사용할 수 있습니다.

참고: 로그인 사용자가 '보안' 및 'dashboard 보기 및 데이터 수집 관리' 권한에 액세스할 수 있는지 확인합니다.

보안 탭을 클릭하여 Microsoft Sentinel 통합 및 Knox 보안 로그에 대한 설정을 봅니다.

보안 운영 통합 페이지에서 'Microsoft Sentinel 통합 사용'을 토글하고 필요한 필드에 적절한 값을 입력합니다.

a. 사용되는 인증 방법에 따라 Entra 애플리케이션을 등록하는 동안 1단계에서 저장된 정보를 참조하세요.

b. DCE 및 DCR에 Microsoft Sentinel 3단계에서 저장된 정보를 참조하세요.

'연결 테스트'를 클릭하고 연결이 성공하는지 확인합니다.

저장하려면 필수 또는 고급 구성(기본값: 필수)을 선택하여 Knox 보안 로그를 구성합니다.

Microsoft Sentinel 통합을 완료하려면 '저장'을 클릭합니다.

SAP BTP

지원:Microsoft Corporation

SAP BTP(SAP Business Technology Platform)는 하나의 통합 환경에서 데이터 관리, 분석, 인공 지능, 애플리케이션 개발, 자동화 및 통합을 결합합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

SAPBTPAuditLog_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

감사 검색 API에 대한 클라이언트 ID 및 클라이언트 암호: BTP에서 API 액세스를 사용하도록 설정합니다.

설치 지침:

1단계 - SAP BTP 감사 검색 API에 대한 구성 단계

SAP에서 제공하는 단계에 따라 Cloud Foundry Environment의 글로벌 계정에 대한 감사 로그 검색 API를 참조하세요. URL(감사 검색 API URL), uaa.url(사용자 계정 및 인증 서버 URL) 및 연결된 uaa.clientid를 기록해 둡니다.

참고:제공된 도구를 사용하여 BTP 하위 카운트를 대량으로 온보딩할 수 있습니다.

SAP BTP에서 Microsoft Sentinel 이벤트 연결

OAuth 클라이언트 자격 증명을 사용하여 연결

하위 계정

각 행은 연결된 하위 계산을 나타냅니다.

데이터 커넥터 그리드(포털에서 구성)

SAP Enterprise 위협 탐지, 클라우드 버전

지원:SAP

SAP Enterprise Threat Detection, 클라우드 버전(ETD) 데이터 커넥터를 사용하면 ETD에서 Microsoft Sentinel 보안 경고를 수집하여 상호 상관 관계, 경고 및 위협 헌팅을 지원합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

SAPETDAlerts_CL 예 예

SAPETDInvestigations_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

ETD 검색 API에 대한 클라이언트 ID 및 클라이언트 암호: ETD에서 API 액세스를 사용하도록 설정합니다.

설치 지침:

1단계 - SAP ETD 감사 검색 API에 대한 구성 단계

SAP에서 제공하는 단계에 따라 ETD 문서를 참조하세요. URL(감사 검색 API URL), uaa.url(사용자 계정 및 인증 서버 URL) 및 연결된 uaa.clientid를 기록해 둡니다.

참고: SAP에서 제공하는 단계에 따라 ETD 하위 계정 하나 이상을 온보딩할 수 있습니다. ETD 문서를 참조하세요. 각 하위 계정에 대한 연결을 추가합니다.

팁: 자세한 내용은 공유 블로그 시리즈를 사용합니다.

SAP ETD에서 Microsoft Sentinel 이벤트 연결

OAuth 클라이언트 자격 증명을 사용하여 연결

ETD 계정

각 행은 연결된 ETD 계정을 나타냅니다.

데이터 커넥터 그리드(포털에서 구성)

SAP LogServ(RISE), S/4HANA Cloud 프라이빗 버전

지원:SAP

SAP LogServ는 등록된 고객이 사용하는 모든 SAP 시스템, 애플리케이션 및 ECS 서비스의 로그를 수집, 저장 및 전달하는 SAP 엔터프라이즈 클라우드 서비스(ECS) 서비스입니다. 이 커넥터는 해당 로그를 거의 실시간으로 Microsoft Sentinel로 스트리밍하며, HANA 데이터베이스, SAP 웹 디스패처, OS, DNS, Azure 네트워크 흐름과 같은 인프라 로그와 함께 SAP 애플리케이션 계층 감지를 보완합니다.

표준 로그 형식은 데이터 수집 규칙에 의해 자동으로 대응하는 Microsoft Sentinel 테이블 — Syslog, WindowsEvent / SecurityEvent, ASimDnsActivityLogs, ASimWebSessionLogs, ASimNetworkSessionLogs — 로 라우팅되며, SAP 전용 로그는 SAPLogServ_CL 맞춤 테이블에 남아 있습니다. 이 로그들은 정규화된 소스에 구애받지 않는 테이블에 저장되기 때문에, 이미 Microsoft가 해당 ASIM 스키마와 표준 테이블에 대해 제공하는 기본 분석 규칙과 헌팅 쿼리에 의해 보호받고 있습니다. 중복 경고를 방지하기 위해 해당 탐지들은 의도적으로 이 솔루션에서 재포장 되지 않습니다 ; 여기에는 LogServ 특유의 Syslog 페이로드 파싱을 요구하는 HANA DB 분석 규칙만 이곳에 배송됩니다. 정규화된 데이터가 고급 보안 정보 모델(ASIM) 정규화 콘텐츠에서 이 내장된 콘텐츠를 어떻게 재사용하는지 알아보세요.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

SAPLogServ_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Microsoft Entra: Microsoft Entra ID 앱 등록을 만들 수 있는 권한입니다. 일반적으로 Entra ID 애플리케이션 개발자 역할 이상이 필요합니다.

Microsoft Azure: 데이터 수집 규칙에 대한 모니터링 메트릭 게시자 역할을 할당할 수 있는 권한입니다. 일반적으로 AZURE RBAC 소유자 또는 사용자 액세스 관리자 역할이 필요합니다.

Microsoft Sentinel for SAP 에이전트리스 데이터 커넥터 및 콘텐츠 패키지(60+ 분석 규칙, 워크북, 파서 등): Microsoft Sentinel 콘텐츠 허브에서 배포. 자세한 내용은 여기를 참조하세요.

설치 지침:

1. SAP용 Microsoft Sentinel 에이전트리스 데이터 커넥터 및 콘텐츠 배포

LogServ는 Microsoft Sentinel에 인프라 로그를 추가합니다. Microsoft Sentinel 에이전트리스 데이터 커넥터와 SAP용 콘텐츠를 배포하면 전체 SAP 환경에 60+ 개의 기본 적용 감지 및 시각화 기능을 제공합니다. 여기서 시작하세요.

이 문서에서 자세히 알아보세요.

2. ARM 리소스를 생성하고 필요한 권한을 제공합니다

DCR(데이터 수집 규칙) 및 DCE(데이터 수집 엔드포인트) 리소스를 만듭니다. 또한 Microsoft Entra 앱 등록을 만들고 필요한 권한을 할당합니다.

Azure 리소스의 자동화된 배포 "푸시 커넥터 리소스 배포"를 클릭하면 DCR 및 DCE 리소스 생성이 트리거됩니다. 그런 다음 클라이언트 암호를 사용하여 Microsoft Entra 앱 등록을 만들고 DCR에 대한 권한을 부여합니다. 이 설정을 사용하면 OAuth v2 클라이언트 자격 증명을 사용하여 데이터를 DCR로 안전하게 보낼 수 있습니다.

3. SAP LogServ에서 데이터 수집 엔드포인트 세부 정보와 인증 정보를 유지합니다

데이터 수집 엔드포인트 URL 및 인증 정보를 SAP LogServ 관리자와 공유하여 데이터를 데이터 수집 엔드포인트로 보내도록 SAP LogServ를 구성합니다.

이 블로그 시리즈에서 자세히 알아보세요.

이 값을 사용하여 LogIngestionAPI 자격 증명에서 테넌트 ID로 구성합니다.: <설치 시 제공되는 변수 값>

Entra 애플리케이션 ID: <설치 시 제공되는 변수 값>

Entra 애플리케이션 비밀: <설치 시 제공되는 변수 값>

이 값을 사용하여 IFlow를 배포할 때 LogsIngestionURL 매개 변수를 구성합니다. <설치 시 제공된 변수 값>

DCR 변경할 수 없는 ID: <설치 시 제공되는 변수 값>

SAP S/4HANA Cloud Public Edition

지원:SAP

SAP S/4HANA SAP를 사용하는 GROW(Cloud Public Edition) 데이터 커넥터를 사용하면 SAP의 보안 감사 로그를 SAP용 Microsoft Sentinel 솔루션으로 수집하여 상호 상관 관계, 경고 및 위협 헌팅을 지원합니다. 대체 인증 메커니즘을 찾고 있나요? 여기를 참조 하세요.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

ABAPAuditLog 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

감사 검색 API에 대한 클라이언트 ID 및 클라이언트 암호: BTP에서 API 액세스를 사용하도록 설정합니다.

SAP 콘텐츠 패키지에 대한 Microsoft Sentinel(60개 이상의 분석 규칙, 통합 문서, 파서 등): Microsoft Sentinel 콘텐츠 허브에서 배포합니다.

설치 지침:

1단계 - SAP S/4HANA Cloud Public Edition에 대한 구성 단계

SAP S/4HANA Cloud Public Edition에 연결하려면 다음이 필요합니다.

통신 시나리오에 대한 통신 배열 구성 SAP_COM_0750

SAP S/4HANA Cloud Public Edition 테넌트 API URL

SAP S/4HANA 클라우드 시스템에 대한 유효한 통신 사용자(사용자 이름 및 암호)

OData 서비스를 통해 감사 로그 데이터에 액세스하기 위한 적절한 권한 부여

참고: 이 커넥터는 기본 인증을 지원합니다. 대체 인증 메커니즘을 찾고 있나요? 여기를 참조 하세요.

SAP S/4HANA Cloud Public Edition의 이벤트를 SAP용 Microsoft Sentinel 솔루션에 연결

기본 인증을 사용하여 연결

S/4HANA Cloud Public Edition 연결

각 행은 연결된 S/4HANA Cloud Public Edition 시스템을 나타냅니다.

데이터 커넥터 그리드(포털에서 구성)

SAP용 SecurityBridge 솔루션

지원:SecurityBridge

SecurityBridge는 Microsoft Sentinel 원활하게 통합하여 SAP 환경 전반에서 실시간 모니터링 및 위협 탐지를 가능하게 함으로써 SAP 보안을 향상시킵니다. 이 통합을 통해 SOC(보안 운영 센터)는 SAP 보안 이벤트를 다른 조직 데이터와 통합하여 위협 환경에 대한 통합 보기를 제공할 수 있습니다. AI 기반 분석 및 Microsoft의 Security Copilot 활용하여 SecurityBridge는 ABAP 코드 검사 및 구성 평가를 포함하여 SAP 애플리케이션 내에서 정교한 공격 패턴 및 취약성을 식별합니다. 이 솔루션은 온-프레미스, 클라우드 또는 하이브리드 환경 등 복잡한 SAP 환경에서 확장 가능한 배포를 지원합니다. SecurityBridge는 IT 팀과 SAP 보안 팀 간의 격차를 해소함으로써 조직이 위협을 사전에 탐지, 조사 및 대응하여 전반적인 보안 태세를 강화할 수 있도록 지원합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

ABAPAuditLog 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Microsoft Entra: Microsoft Entra ID 앱 등록을 만들 수 있는 권한입니다. 일반적으로 Entra ID 애플리케이션 개발자 역할 이상이 필요합니다.

Microsoft Azure: 데이터 수집 규칙에 대한 모니터링 메트릭 게시자 역할을 할당할 수 있는 권한입니다. 일반적으로 AZURE RBAC 소유자 또는 사용자 액세스 관리자 역할이 필요합니다.

설치 지침:

1. ARM 리소스 만들기 및 필요한 권한 제공

DCR(데이터 수집 규칙) 및 DCE(데이터 수집 엔드포인트) 리소스를 만듭니다. 또한 Microsoft Entra 앱 등록을 만들고 필요한 권한을 할당합니다.

Azure 리소스의 자동화된 배포 "푸시 커넥터 리소스 배포"를 클릭하면 DCR 및 DCE 리소스 생성이 트리거됩니다. 그런 다음 클라이언트 암호를 사용하여 Microsoft Entra 앱 등록을 만들고 DCR에 대한 권한을 부여합니다. 이 설정을 사용하면 OAuth v2 클라이언트 자격 증명을 사용하여 데이터를 DCR로 안전하게 보낼 수 있습니다.

2. SecurityBridge에서 데이터 수집 엔드포인트 세부 정보 및 인증 정보 유지 관리

데이터 수집 엔드포인트 URL 및 인증 정보를 SecurityBridge 관리자와 공유하여 데이터 수집 엔드포인트로 데이터를 보내도록 Securitybridge를 구성합니다.

KB 페이지에서 자세히 알아보기 https://abap-experts.atlassian.net/wiki/spaces/SB/pages/4099309579/REST+Push+Interface

이 값을 사용하여 LogIngestionAPI 자격 증명에서 테넌트 ID로 구성합니다.: <설치 시 제공되는 변수 값>

Entra 애플리케이션 ID: <설치 시 제공되는 변수 값>

Entra 애플리케이션 비밀: <설치 시 제공되는 변수 값>

이 값을 사용하여 IFlow를 배포할 때 LogsIngestionURL 매개 변수를 구성합니다. <설치 시 제공된 변수 값>

DCR 변경할 수 없는 ID: <설치 시 제공되는 변수 값>

SAP Stream ID에 대한 Sentinel: <설치 시 제공되는 변수 값>

SecurityBridge_CL Stream ID: <설치 시 제공되는 변수 값>

Semperis Lightning (코드리스 커넥터 프레임워크를 통해)

지원:Semperis

Semperis Lightning 커넥터는 Codeless Connector 프레임워크를 사용하여 Semperis Lightning 신원 보안 데이터를 Microsoft Sentinel에 인징합니다. 하나의 구성된 인스턴스는 하나의 Semperis zone/API 키 쌍을 나타내며, 지원되는 스트림당 하나의 RestApiPoller를 전용 *V2_CL 테이블에 배포하여 Azure Functions 커넥터와 함께 실행할 수 있습니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

LightningTier0NodesV2_CL 아니요 아니요

LightningAttackPathsV2_CL 아니요 아니요

LightningAttackPathLinksV2_CL 아니요 아니요

LightningTier0AttackersV2_CL 아니요 아니요

LightningIndicatorExecutionsV2_CL 아니요 아니요

LightningIOEsMetadataV2_CL 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

Semperis Lightning API 키: 유효한 API 키와 일치하는 Semperis 존이 필요합니다. 키는 비밀번호 필드로 수집되며 이 저장소에 저장되지 않습니다.

설치 지침:

Semperis Lightning 연결 관리

각 Semperis 테넌트/존/API 키 쌍마다 인스턴스를 하나씩 추가하세요.

이 후보는 CCF 다중 인스턴스 그리드/컨텍스트-창 패턴을 사용합니다. 각 인스턴스는 격자에 6개의 폴러 행으로 나타납니다. IOE 실행 결과는 공개 커넥터가 실행당 동적인 두 번째 요청을 수행하므로 활성화되지 않으며, 이는 RestApiPoller가 표현할 수 없습니다.

데이터 커넥터 그리드(포털에서 구성)

셈페리스 번개 로그

지원:Semperis

Semperis Lightning 커넥터는 Azure Functions 사용하여 Semperis Lightning ID 보안 데이터를 Microsoft Sentinel 수집합니다. 커넥터는 Azure 함수를 배포하고 조사 및 위협 헌팅을 위해 사용자 지정 Log Analytics 테이블에 데이터를 수집합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

LightningTier0Nodes_CL 아니요 아니요

LightningAttackPaths_CL 아니요 아니요

LightningIOEResults_CL 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

Microsoft.Web/sites 권한: 함수 앱을 만들기 위한 Azure Functions 읽기 및 쓰기 권한이 필요합니다. 자세한 내용은 Azure Functions 참조하세요.

Semperis Lightning API 자격 증명: Semperis Lightning에 대한 커넥터를 인증하려면 Semperis Lightning API 키 및 선택한 영역 (na 또는 eu)이 필요합니다.

설치 지침:

참고: 이 커넥터는 Azure Functions 사용하여 Semperis Lightning에 연결하고 데이터를 Microsoft Sentinel 끌어올 수 있습니다. 이로 인해 추가 데이터 수집 비용이 발생할 수 있습니다. 자세한 내용은 Azure Functions 가격 책정 페이지를 확인하세요.

(선택적 단계) 작업 영역 및 API 권한 부여 키를 Azure Key Vault 안전하게 저장합니다. Azure Key Vault 키 값을 저장하고 검색하는 보안 메커니즘을 제공합니다. 다음 지침에 따라 Azure 함수 앱에서 Azure Key Vault 사용합니다.

커넥터를 배포하기 전에 작업 영역이 Microsoft Sentinel 추가되었는지 확인합니다.

1단계 - Semperis Lightning에 대한 액세스 구성

Semperis Lightning 테넌트에서 로그인합니다.

커넥터 액세스를 위한 유효한 Semperis API 키를 만들거나 검색합니다.

배포 중에 사용할 Semperis Zone 값(유럽의 경우 북아메리카 또는 eu의 경우 na)을 확인합니다.

2단계 - 'Semperis Lightning Logs' 커넥터 및 연결된 Azure 함수 배포

아래 Azure 배포 단추를 클릭합니다.

aka.ms

3단계 - 커넥터 매개 변수 설정

기본 구독 및 기존 리소스 그룹을 선택합니다.

리소스 그룹에 속한 기존 Log Analytics 작업 영역 리소스 ID 를 입력합니다.

다음을 클릭합니다.

Semperis API 키를 입력하고 Semperis 영역을 선택합니다.

필요에 따라 커넥터 일정을 조정합니다(기본값: 1시간마다).

설정을 검토하고 만들기를 클릭합니다.

SentinelOne(Codeless Connector Framework를 통해)

지원:Microsoft Corporation

SentinelOne 데이터 커넥터를 사용하면 SentinelOne API의 로그를 Microsoft Sentinel 수집할 수 있습니다. 데이터 커넥터는 Microsoft Sentinel Codeless Connector Framework를 기반으로 합니다. SentinelOne API를 사용하여 로그를 가져오고, 수신된 보안 데이터를 사용자 지정 테이블로 구문 분석하는 DCR 기반 수집 시간 변환 을 지원하므로 쿼리가 다시 구문 분석할 필요가 없으므로 성능이 향상됩니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

SentinelOneActivities_CL 예 예

SentinelOneAgents_CL 예 예

SentinelOneGroups_CL 예 예

SentinelOneThreats_CL 예 예

SentinelOneAlerts_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

설치 지침:

SentinelOne API에 대한 구성 단계는 지침에 따라 자격 증명을 가져옵니다. 가이드에 따라 API 키를 생성할 수도 있습니다.

SentinelOne 관리 URL 1.1을 검색합니다. 관리 사용자 자격 증명 1.2를 사용하여 SentinelOne [관리 콘솔]에 로그인합니다. [관리 콘솔]에서 URL 경로 없이 위의 URL 링크를 복사합니다.

API 토큰 2.1을 검색합니다. 관리 사용자 자격 증명 2.2를 사용하여 SentinelOne [관리 콘솔]에 로그인합니다. [관리 콘솔]에서 [설정] 2.3을 클릭합니다. [설정] 보기에서 [사용자]를 클릭합니다. 2.4. [사용자] 페이지에서 [서비스 사용자] - [>] -> [새 서비스 사용자 만들기]를 클릭합니다. 2.5. [만료 날짜] 및 [scope](사이트별)을 선택하고 [사용자 만들기]를 클릭합니다. 2.6. [서비스 사용자]가 만들어지면 페이지에서 [API 토큰]을 복사하고 [저장]을 누릅니다.

새로운 인스턴스 연결 Microsoft Sentinel용 SentinelOne 커넥터를 활성화하려면 새 인스턴스 추가 버튼을 클릭하고, 컨텍스트 창에 필요한 정보를 입력한 후 Connect를 클릭하세요.

데이터 커넥터 그리드(포털에서 구성)

SentinelOne V2 (코드리스 커넥터 프레임워크를 통해)

지원:Microsoft Corporation

SentinelOne V2 데이터 커넥터는 SentinelOne REST API에서 활동, 에이전트, 그룹 및 위협 로그를, SentinelOne 통합 경고 관리(UAM) GraphQL API에서 보안 경고를 Microsoft Sentinel로 인용합니다. 이 시스템은 Microsoft Sentinel Codeless Connector 프레임워크를 기반으로 하며, DCR 기반 인제스팅-타임 변환을 사용합니다. 참고: SentinelOne UAM GraphQL API

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

SentinelOneActivities_CL 예 예

SentinelOneAgents_CL 예 예

SentinelOneGroups_CL 예 예

SentinelOneThreats_CL 예 예

SentinelOneAlertsV2_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

설치 지침:

Connect SentinelOne to Microsoft Sentinel

SentinelOne API 연결을 설정하세요. 각 인스턴스는 단일 SentinelOne Management URL + API 토큰에 해당합니다.

SentinelOne API 설정 절차: 아래 지침을 따라 자격 증명을 받으세요. 경고는 SentinelOne 통합 경고 관리 GraphQL API를 통해 수집됩니다.

SentinelOne 관리 URL 1.1을 검색합니다. 관리자 사용자 자격 증명으로 SentinelOne 관리 콘솔 에 로그인하세요. 1.2. 관리 콘솔에서 URL 경로 없이 URL 링크를 복사합니다.

API 토큰 2.1을 검색합니다. 관리자 사용자 자격 증명으로 SentinelOne 관리 콘솔 에 로그인하세요. 2.2. 관리 콘솔에서 설정을 클릭하세요. 2.3. 설정 보기에서 USERS를 클릭하세요. 2.4. 사용자 페이지에서 서비스 사용자 -> 작업 -> 새 서비스 사용자 생성을 클릭하세요. 2.5. 만료일과 범위(사이트별)를 선택하고 사용자 만들기를 클릭하세요. 2.6. 서비스 사용자가 생성되면 페이지에서 API 토큰을 복사한 후 저장 버튼을 누르세요.

새로운 인스턴스 연결 Microsoft Sentinel용 SentinelOne 커넥터를 활성화하려면 새 인스턴스 추가 버튼을 클릭하고, 컨텍스트 창에 필요한 정보를 입력한 후 Connect를 클릭하세요.

데이터 커넥터 그리드(포털에서 구성)

세라피 웹 보안

지원:세라피 보안

Seraphic Web Security 데이터 커넥터는 세라픽 웹 보안 이벤트 및 경고를 Microsoft Sentinel 수집하는 기능을 제공합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

SeraphicWebSecurity_CL 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

세라피 API 키: 세라피 웹 보안 테넌트에서 연결된 Microsoft Sentinel 대한 API 키입니다. 테넌트의 이 API 키를 얻으려면 세라픽 콘솔의 통합 페이지를 방문하세요.

설치 지침:

세라픽 웹 보안 연결

통합 이름, 세라피 통합 URL 및 Microsoft Sentinel 대한 작업 영역 이름을 삽입하세요.

ServiceNow CMDB (코드리스 커넥터 프레임워크 통해)

지원:Microsoft Corporation

ServiceNow CMDB 데이터 커넥터는 ServiceNow에서 구성 관리 데이터베이스(CMDB) 및 자산 관리 레코드를 Microsoft Sentinel로 인제스트할 수 있게 해줍니다. 이 커넥터는 ServiceNow Table API에서 지정된 테이블에 대해 자산 관리(alm_asset), 구성 항목(cmdb_ci), 컴퓨터 CI(cmdb_ci_computer), 서버 CI(cmdb_ci_server) 등 지정된 테이블에 대해 여러 레코드를 가져옵니다. 이 커넥터는 Microsoft Sentinel Codeless Connector 프레임워크를 기반으로 구축되었으며, 효율적인 쿼리 실행을 위한 DCR 기반 인제스 타임 변환을 지원합니다. 자세한 내용은 ServiceNow Table API 문서를 참조하십시오.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

ServiceNowCmdbCi 아니요 아니요

ServiceNowAlmAsset 아니요 아니요

ServiceNowCmdbCiServer 아니요 아니요

ServiceNowCmdbCiComputer 아니요 아니요

ServiceNowCmdbRelCi 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

설치 지침:

1. ServiceNow 구성

ServiceNow 인스턴스 연결을 설정하고 수집할 CMDB 테이블을 선택하세요.

데이터 커넥터 그리드(포털에서 구성)

Silverfort 관리 콘솔

지원:Silverfort

Silverfort ITDR 관리 콘솔 커넥터 솔루션을 사용하면 Silverfort 이벤트를 수집하고 Microsoft Sentinel 로그인할 수 있습니다. Silverfort는 CEF(Common Event Format)를 사용하여 syslog 기반 이벤트 및 로깅을 제공합니다. Silverfort ITDR 관리 콘솔 CEF 데이터를 Microsoft Sentinel 전달하면 Silverfort 데이터에 대한 Sentinels의 검색 & 상관 관계, 경고 및 위협 인텔리전스 보강을 활용할 수 있습니다. 자세한 내용은 Silverfort에 문의하거나 Silverfort 설명서를 참조하세요.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

CommonSecurityLog 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

설치 지침:

1. Syslog 에이전트 구성 Linux

CEF(Common Event Format) Syslog 메시지를 수집하고 Microsoft Sentinel 전달하도록 Linux 에이전트를 설치하고 구성합니다.

모든 지역의 데이터가 선택한 작업 영역에 저장됩니다.

1.1 Linux 컴퓨터 선택 또는 만들기

Microsoft Sentinel 보안 솔루션과 온-프레미스 환경, Azure 또는 기타 클라우드에 있을 수 Microsoft Sentinel 사이의 프록시로 사용할 Linux 머신을 선택하거나 만듭니다.

1.2 Linux 컴퓨터에 CEF 수집기 설치

Linux 컴퓨터에 Azure 모니터링 에이전트(AMA)를 설치하고 필요한 포트에서 수신 대기하고 Microsoft Sentinel 작업 영역에 메시지를 전달하도록 컴퓨터를 구성합니다. CEF 수집기는 포트 514 TCP에서 CEF 메시지를 수집합니다.

python --version 명령을 사용하여 컴퓨터에 Python이 있는지 확인합니다.

컴퓨터에 대해 상승된 권한(sudo)이 있어야 합니다.

다음 명령을 실행하여 CEF 수집<기를 설치하고 적용합니다. 설치 시 제공된 변수 값>

2. CEF(Common Event Format) 로그를 Syslog 에이전트로 전달

CEF 형식의 Syslog 메시지를 프록시 머신으로 보내도록 보안 솔루션을 설정합니다. 컴퓨터의 IP 주소에서 포트 514 TCP에 로그를 보내야 합니다.

3. 연결 유효성 검사

지침에 따라 연결의 유효성을 검사합니다.

Log Analytics를 열어 CommonSecurityLog 스키마를 사용하여 로그를 받는지 검사.

연결이 데이터를 작업 영역으로 스트리밍할 때까지 약 20분이 걸릴 수 있습니다.

로그를 받지 못한 경우 다음 연결 유효성 검사 스크립트를 실행합니다.

python -version 명령을 사용하여 컴퓨터에 Python이 있는지 확인합니다.

컴퓨터에 관리자 권한(sudo)이 있어야 합니다.

다음 명령을 실행하여 연결의 유효성을 검사합니다.< 설치 시 제공되는 변수 값>

**4. 컴퓨터 보안 **

organization 보안 정책에 따라 컴퓨터의 보안을 구성해야 합니다.

더 알아보세요 >

SlackAudit(코드리스 커넥터 프레임워크를 통해)

지원:Microsoft Corporation

SlackAudit 데이터 커넥터는 REST API를 통해 Slack 감사 로그를 Microsoft Sentinel 수집하는 기능을 제공합니다. 자세한 내용은 API 설명서를 참조하세요.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

SlackAuditV2_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

UserName, SlackAudit API 키 & 작업 유형: 액세스 토큰을 생성하려면 Slack에서 새 애플리케이션을 만든 다음 필요한 범위를 추가하고 리디렉션 URL을 구성합니다. 액세스 토큰, 사용자 이름 및 작업 이름 제한을 생성하는 방법에 대한 자세한 지침은 링크를 참조하세요.

설치 지침:

**SlackAudit를 Microsoft Sentinel 연결

**

SlackAudit에서 Microsoft Sentinel 데이터를 수집하려면 아래 도메인 추가 단추를 클릭한 다음 세부 정보를 입력하고 필요한 정보를 제공하고 연결을 클릭하는 팝업이 표시됩니다. 표에 연결된 사용자 이름, 작업을 볼 수 있습니다.

데이터 커넥터 그리드(포털에서 구성)

Snowflake(코드리스 커넥터 프레임워크를 통해)

지원:Microsoft Corporation

Snowflake 데이터 커넥터는 Snowflake 로그인 기록 로그, 쿼리 기록 로그, 사용자 부여 로그, 역할 부여 로그, 로드 기록 로그, 구체화된 뷰 새로 고침 기록 로그, 역할 로그, 테이블 로그, 테이블 스토리지 메트릭 로그, 사용자가 Snowflake SQL API를 사용하여 Microsoft Sentinel 로그를 수집하는 기능을 제공합니다. 자세한 내용은 Snowflake SQL API 설명서를 참조하세요.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

SnowflakeLoginV3_CL 아니요 아니요

SnowflakeQueryV3_CL 아니요 아니요

SnowflakeUserGrantV3_CL 아니요 아니요

SnowflakeRoleGrantV3_CL 아니요 아니요

SnowflakeLoadV3_CL 아니요 아니요

SnowflakeMaterializedViewV3_CL 아니요 아니요

SnowflakeRolesV3_CL 아니요 아니요

SnowflakeTablesV3_CL 아니요 아니요

SnowflakeTableStorageMetricsV3_CL 아니요 아니요

SnowflakeUsersV3_CL 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

설치 지침:

Snowflake를 Microsoft Sentinel 연결

참고: 공지: 솔루션 버전 3.2.0 및 이후 버전은 SnowflakeV3 테이블(예: SnowflakeQueryV3_CL, SnowflakeLoginV3_CL)을 사용합니다. 파서들은 이에 맞게 업데이트되었습니다.

참고: 데이터가 각 필드에 대해 별도의 열에 표시되도록 하려면 Snowflake() 함수를 사용하여 파서 실행

Snowflake에서 데이터를 수집하려면 다음 리소스를 제공해야 합니다.

계정 식별자 Snowflake에서 데이터를 수집하려면 Snowflake 계정 식별자가 필요합니다.

프로그래밍 방식 액세스 토큰 Snowflake에서 데이터를 수집하려면 Snowflake 프로그래밍 방식 액세스 토큰이 필요합니다.

계정 식별자 및 프로그래밍 방식 액세스 토큰을 검색하는 방법에 대한 자세한 지침은 커넥터 자습서를 참조하세요.

데이터 커넥터 그리드(포털에서 구성)

SOC Prime Platform 감사 로그 데이터 커넥터

지원:SOC Prime

SOC Prime Audit Logs 데이터 커넥터를 사용하면 SOC Prime Platform API에서 Microsoft Sentinel 로그를 수집할 수 있습니다. 데이터 커넥터는 Microsoft Sentinel Codeless Connector Framework를 기반으로 합니다. SOC Prime Platform API를 사용하여 SOC Prime 플랫폼 감사 로그를 가져오고 수신된 보안 데이터를 사용자 지정 테이블로 구문 분석하는 DCR 기반 수집 시간 변환 을 지원하므로 성능이 향상됩니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

SOCPrimeAuditLogs_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

설치 지침:

SOC Prime Platform API에 대한 구성 단계는 지침에 따라 자격 증명을 가져옵니다. 이 가이드 에 따라 개인 API 키를 생성할 수도 있습니다.

API 키 검색

SOC Prime Platform에 로그인

[계정] 아이콘 -> [플랫폼 설정] -> [API] 클릭

[새 키 추가]를 클릭합니다.

표시되는 모달에서 키에 의미 있는 이름을 지정하고, 만료 날짜 및 제품 API를 설정하여 키에 대한 액세스를 제공합니다.

[생성]을 클릭합니다.

키를 복사하여 안전한 장소에 저장합니다. 이 모달을 닫으면 다시 볼 수 없습니다.

SOC Prime API 키: (API 키)

연결 사용/사용 안 함

Sonrai 데이터 커넥터

지원 기준:N/A

이 데이터 커넥터를 사용하여 Sonrai Security와 통합하고 Sonrai 티켓을 Microsoft Sentinel 직접 보냅니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

Sonrai_Tickets_CL 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

설치 지침:

Sonrai 보안 데이터 커넥터

Sonrai 보안 dashboard 이동합니다.

왼쪽 아래 패널에서 통합을 클릭합니다.

사용 가능한 통합 목록에서 Microsoft Sentinel 선택합니다.

아래에 제공된 정보를 사용하여 양식을 작성합니다.

작업 영역 ID: <설치 시 제공되는 변수 값>

기본 키: <설치 시 제공되는 변수 값>

Sophos Endpoint Protection(코드리스 커넥터 프레임워크를 통해)

지원:Microsoft Corporation

Sophos Endpoint Protection 데이터 커넥터는 Sophos 이벤트 및 Sophos 경고를 Microsoft Sentinel 수집하는 기능을 제공합니다. 자세한 내용은 Sophos Central 관리 설명서를 참조하세요.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

SophosEPEvents_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Sophos Endpoint Protection API 액세스: 서비스 주체를 통해 Sophos Endpoint Protection API에 액세스해야 합니다.

설치 지침:

Sophos Endpoint Protection API에 연결하여 Microsoft Sentinel 이벤트 및 경고 로그 수집을 시작합니다.

Sophos 지침에 따라 Sophos API에 액세스할 수 있는 서비스 주체를 만듭니다. 서비스 주체 ReadOnly 역할이 필요합니다. 이러한 지침을 통해 클라이언트 ID, 클라이언트 암호, 테넌트 ID 및 데이터 영역을 가져와야 합니다. 양식 벨로우를 해당 정보로 채웁니다.

Sophos 테넌트 ID: (Sophos 테넌트 ID)

Sophos 테넌트 데이터 영역: (eu01, eu02, us01, us02 또는 us03)

데이터 커넥터 그리드(포털에서 구성)

StealthTalk 이상 인증

지원:StealthTalk 지원

StealthTalk 이상 인증 커넥터는 StealthTalk 엔터프라이즈 메신저에서 발생하는 네 가지 유형의 이상 사용자 인증 이벤트를 Logs Ingestion API를 통해 사용자 맞춤 Log Analytics 테이블로 통합합니다.

이벤트:

OffHoursLogin - 사용자가 설정한 근무 시간 외에 로그인하세요.

NewDeviceLogin - 이전에 본 적 없는 기기에서 로그인.

GeoAnomalyLogin - 사용자가 할당한 지리적 구역과 일치하지 않는 국가/도시에서 로그인할 수 있습니다.

MultiFailLogin - 여러 번 연속적으로 실패한 인증 시도.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

StealthTalkAnomalousAuth_CL 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

StealthTalk Enterprise 인스턴스: Log Analytics 작업 공간에 나가는 웹훅을 구성할 수 있는 관리자 권한이 있는 배포된 StealthTalk Enterprise 테넌트입니다.

Microsoft Entra 앱 등록: StealthTalk이 로그 수집 API에 인증하는 데 사용하는 서비스 주체입니다. 배포된 데이터 수집 규칙에서 Monitoring Metrics Publisher 역할을 반드시 가져야 합니다.

설치 지침:

1단계 - 자동 배포 인지스 인프라 (검토 전용)

솔루션이 Microsoft Sentinel Content Hub를 통해 설치되면, 다음 자원들이 자동으로 작업 공간의 리소스 그룹에 배포됩니다:

커스텀 로그 테이블StealthTalkAnomalousAuth_CL (21필드 스트림).

데이터 수집 종료StealthTalk-Sentinel-DCE점.

데이터 수집 규칙StealthTalk-Sentinel-DCR 스트림 선언과 1:1 변환을 포함 Custom-StealthTalkAnomalousAuth_CL 합니다.

ASIM 인증 0.1.3 파서를 작업 공간 저장 검색 함수로 사용했습니다: vimAuthenticationStealthTalk (필터링) 및 ASimAuthenticationStealthTalk (비필터링).

imAuthentication 확장 파서는 StealthTalk 소스를 작업 공간 ASIM 인증 유니언에 등록하며(Microsoft의 저장된 검색을 imAuthentication 덮어써 StealthTalk vim 파서를 포함함).

ASimDisabledParsers watchlist + Microsoft Sentinel onboarding state (idempotent).

이 단계에서는 솔루션 설치 외에는 별도의 사용자 행동이 필요하지 않습니다. 나머지 단계에서는 StealthTalk을 구성하여 배포된 DCR에 이벤트를 푸시합니다. 전제 조건: 이 솔루션이 설치되기 전에 Microsoft의 FullDeploymentAuthentication.json ASIM 인증 파서 팩이 작업 공간에 배포되어야 합니다.

2단계 - DCE 엔드포인트와 DCR 불변 ID 캡처

Azure 포털에서 Step 1에서 배포된 데이터 수집 엔드포인트와 데이터 수집 규칙 리소스를 열어보세요:

데이터 수집 엔드포인트 속성에서 로그 인제스션 엔드포인트 URI(보임)를 복사하세요 (보입니다https://stealthtalk-sentinel-dce-<suffix>.<region>.ingest.monitor.azure.com).

데이터 수집 규칙 개요에서 불변경 ID를 복사하세요(보임).dcr-<guid>

5단계에서 두 값을 모두 StealthTalk 관리 콘솔에 붙여넣으세요.

3단계 - StealthTalk용 Microsoft Entra 앱 등록 생성

Microsoft Entra 테넌트에서 새 앱 등록을 생성하세요. 클라이언트 시크릿을 생성하거나 인증서를 사용하세요. 테넌트 ID, 앱(클라이언트) ID, 클라이언트 비밀을 주목하세요. StealthTalk은 이 서비스 주체를 사용하여 OAuth를 통해 로그 수집 API에 인증합니다.

4단계 - 앱 등록에 DCR에서 모니터링 메트릭스 Publisher 역할을 부여합니다

1단계> - 접근 제어(IAM) -> + 역할 할당 추가로 배포된 데이터 수집 규칙을 엽니다.

역할: 지표 모니터링 Publisher

접근 권한 할당: 사용자, 그룹, 또는 서비스 주체

3단계에서 앱 등록을 선택하세요

RBAC 역할 할당은 솔루션 설치 템플릿으로는 수행할 수 없으므로 이 단계는 수동으로 수행됩니다.

5단계 - StealthTalk 이벤트를 전송하도록 설정

StealthTalk 관리자 콘솔에서 2단계와 3단계에서 캡처한 값으로 Microsoft Sentinel/Log Analytics 통합을 구성하세요:

DCE 엔드포인트 - Step 2의 로그 수집 엔드포인트 URI

DCR 불변 ID - Step 2에서

스트림 이름 - Custom-StealthTalkAnomalousAuth_CL

테넌트 ID, 앱(클라이언트) ID, 클라이언트 비밀 - 3단계에서

저장하고 테스트 이벤트를 트리거하세요. StealthTalk 콘솔은 OAuth 핸드셰이크와 첫 이벤트 전달의 성공/실패를 보고합니다.

6단계 - 섭취 및 ASIM 정규화 확인

위의 샘플 쿼리를 로그에서 실행하세요. 모든 참가자는 테스트 이벤트 후 몇 분 이내에 행을 반환해야 합니다:

생생 StealthTalkAnomalousAuth_CL 테이블이 가득 채워져 있었다.

ASIM 유니언 뷰 imAuthentication() | where EventVendor == 'StealthTalk' 는 ASIM 인증 스키마에 정규화된 동일한 이벤트를 반환합니다.

원시 테이블이 비어 있다면: StealthTalk 콘솔이 성공적인 OAuth 및 이벤트 전달을 보고하고 있는지 확인하고, 앱 등록이 DCR에서 Monitoring Metrics Publisher 역할을 가지고 있는지 확인하세요(4단계). 원시 테이블에 행이 있는데 ASIM 유니언이 비어 있다면: Microsoft의 FullDeploymentAuthentication.json 파서 팩이 배포되었는지 다시 확인하세요.

7단계 - 분석 규칙, 헌팅 쿼리, 워크북, 플레이북 활성화

Microsoft Sentinel 콘텐츠 허브에서 StealthTalk 이상 인증 솔루션을 열고 Manage를 클릭하세요. 네 가지 분석 규칙 템플릿, 세 가지 헌팅 쿼리 템플릿, 워크북, 그리고 Microsoft Teams 플레이북을 활성화하세요. Playbook의 경우, 배포 후 시스템 할당 관리 신원에 워크스페이스에서 Microsoft Sentinel Responder 역할을 부여하고, Azure Security Insights 서비스 주체에게 Playbook의 리소스 그룹에서 Microsoft Sentinel Automation Contributor 역할을 부여합니다. 그 다음 Microsoft Sentinel에서 자동화 규칙을 만들어 네 가지 StealthTalk 분석 규칙에서 발생한 사고에 대한 플레이북을 실행하세요.

Symantec 통합 사이버 방어 교환

지원:Microsoft Corporation

Symantec ICDx 커넥터를 사용하면 Symantec 보안 솔루션 로그를 Microsoft Sentinel 쉽게 연결하여 대시보드를 보고, 사용자 지정 경고를 만들고, 조사를 개선할 수 있습니다. 이렇게 하면 organization 네트워크에 대한 더 많은 인사이트를 제공하고 보안 작업 기능을 개선합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

SymantecICDx_CL 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

설치 지침:

Symantec ICDx 구성 및 연결

ICDx 탐색 모음에서 구성을 클릭합니다.

구성 화면 위쪽에서 전달자를 클릭하고 Microsoft Sentinel(Log Analytics) 옆에 있는 추가를 클릭합니다.

열리는 Microsoft Sentinel(Log Analytics) 창에서 고급 표시를 클릭합니다. 고급 기능을 설정하려면 설명서를 참조하세요.

전달자의 이름을 설정하고 Azure 대상에서 다음 필수 필드를 설정해야 합니다.

작업 영역 ID: Microsoft Sentinel 포털 커넥터 페이지에서 작업 영역 ID를 붙여넣습니다.

기본 키: Microsoft Sentinel 포털 커넥터 페이지에서 기본 키를 붙여넣습니다.

사용자 지정 로그 이름: 이벤트를 전달할 Microsoft Azure Portal Log Analytics 작업 영역에 사용자 지정 로그 이름을 입력합니다. 기본값은 SymantecICDx입니다.

저장을 클릭하고 전달자를 시작하려면 기타 옵션 > 으로 이동하고 시작을 클릭합니다.

작업 영역 ID: <설치 시 제공되는 변수 값>

기본 키: <설치 시 제공되는 변수 값>

Synqly 통합 커넥터

지원자:Synqly

Synqly 커넥터는 Azure Logs Ingestion API를 사용하여 Synqly 통합에서 Microsoft Sentinel로 보안 이벤트 및 자산 엔티티를 푸시할 수 있는 기능을 제공합니다. 기록은 자동으로 ASIM(고급 보안 정보 모델) 테이블로 정규화되어 Microsoft Sentinel 분석, 워크북, 헌팅 쿼리에 사용됩니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

union ASimAgentEventLogs, ASimAlertEventLogs, ASimAssetEntityLogs, ASimAuditEventLogs, ASimAuthenticationEventLogs, ASimDhcpEventLogs, ASimDnsActivityLogs, ASimFileEventLogs, ASimNetworkSessionLogs, ASimProcessEventLogs, ASimRegistryEventLogs, ASimUserManagementActivityLogs, ASimWebSessionLogs 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

Microsoft Entra ID: 앱 등록을 만드는 애플리케이션 개발자 역할(이상)

Microsoft Azure: DCR을 배포하고 모니터링 메트릭 게시자 역할을 할당하기 위한 리소스 그룹의 소유자 또는 사용자 액세스 관리자 역할입니다.

설치 지침:

1. ARM 리소스 만들기 및 필요한 권한 제공

이 커넥터는 Synqly 통합에서 Microsoft Sentinel에 통합된 보안 이벤트와 자산 엔티티를 푸시 기반으로 인제스팅할 수 있게 합니다. 레코드는 자동으로 ASIM(고급 보안 정보 모델) 테이블로 정규화됩니다.

커넥터 리소스 배포 "배포"를 클릭하면 데이터를 Microsoft Sentinel 안전하게 보내는 데 필요한 권한이 있는 DCR(데이터 수집 규칙), DCE(데이터 수집 엔드포인트) 및 Entra 애플리케이션이 만들어집니다.

2. 추가 사용 권한 부여(사용 사례 기준)

Microsoft Sentinel 함께 Synqly를 사용하려는 방법에 따라 추가 역할이 필요할 수 있습니다.

싱크 커넥터(쓰기 전용): 추가 권한이 필요하지 않습니다. SIEM 커넥터(읽기/쓰기): Microsoft Sentinel 기여자 할당 Log Analytics 작업 영역의 Azure UI를 통해 Entra 애플리케이션에 대한 역할입니다.

자세한 설정 가이드는 Synqly 설명서를 참조하세요.

3. 작업 영역에 로그 푸시

이러한 매개 변수를 Synqly 통합에 제공합니다. Synqly는 각 레코드를 13가지 지원되는 ASIM 스키마 유형 중 하나로 포맷화합니다: 12개의 이벤트 스키마(AgentEvent, AlertEvent, AuditEvent, Authentication, DhcpEvent, Dns, FileEvent, NetworkSession, ProcessEvent, RegistryEvent, UserManagement, WebSession)와 자산 엔티티 스키마(EntitySchema=Asset)입니다.

중요: 지원되지 않는 스키마 유형의 레코드는 Azure에서 조용히 삭제됩니다. 예상되는 데이터가 나타나지 않는다면, Synqly 통합 제공업체에 기록이 위에 나열된 지원되는 스키마 유형 중 하나를 사용하는지 확인하세요.

테넌트 ID(디렉터리 ID): <설치 시 제공되는 변수 값>

Entra 앱 등록 애플리케이션 ID: <설치 시 제공되는 변수 값>

Entra 앱 등록 비밀: <설치 시 제공되는 변수 값>

데이터 수집 엔드포인트 Uri: <설치 시 제공되는 변수 값>

데이터 수집 규칙 변경할 수 없는 ID: <설치 시 제공되는 변수 값>

Stream 이름: <설치 시 제공되는 변수 값>

4. Microsoft Sentinel 알림으로 알림 이벤트를 승격하기 (선택 사항)

이 솔루션에는 Synqly Alert Event 분석 규칙 템플릿이 포함되어 있습니다. 알림 이벤트는 규칙을 생성하고 활성화할 때까지 로그로 남아 있습니다.

Microsoft Sentinel > Analytics > Rule 템플릿으로 가서 Synqly Alert Event를 찾아 '규칙 만들기'를 선택하세요. 기본값을 사용하거나 환경에 맞게 규칙을 커스터마이즈하세요. 자세히 알아보기.

AMA를 통한 Syslog

지원:Microsoft Corporation

Syslog는 Linux 일반적인 이벤트 로깅 프로토콜입니다. 애플리케이션은 로컬 컴퓨터에 저장되거나 Syslog 수집기에 배달될 수 있는 메시지를 보냅니다. Linux 에이전트가 설치되면 에이전트에 메시지를 전달하도록 로컬 Syslog 디먼을 구성합니다. 그런 다음 에이전트는 메시지를 작업 영역으로 보냅니다.

더 알아보세요 >

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

Syslog 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

TacitRed 손상된 자격 증명

지원:Data443 위험 완화, Inc.

CCF(Common Connector Framework)를 사용하여 TacitRed에서 손상된 자격 증명 결과를 수집합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

TacitRed_Findings_CL 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

TacitRed API 키: Azure Key Vault 저장되거나 배포 시 제공되는 API 키입니다.

설치 지침:

TacitRed 손상된 자격 증명 연결

TacitRed 커넥터를 사용하도록 설정하려면 아래의 API 키를 제공하고 연결을 클릭합니다.

보안 강화를 위해 Key Vault 통합을 사용하도록 설정하여 API 키를 저장하고 검색할 수 있습니다.

TacitRed API 키: (TacitRed API 키 입력)

연결 사용/사용 안 함

탈론 인사이트

지원:Talon 보안

Talon 보안 로그 커넥터를 사용하면 Talon 이벤트 및 감사 로그를 Microsoft Sentinel 쉽게 연결하고, 대시보드를 보고, 사용자 지정 경고를 만들고, 조사를 개선할 수 있습니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

Talon_CL 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

설치 지침:

아래 값을 적어 두시고 여기에 있는 지침에 따라 Talon 보안 이벤트 및 감사 로그를 Microsoft Sentinel 연결하세요.

작업 영역 ID: <설치 시 제공되는 변수 값>

기본 키: <설치 시 제공되는 변수 값>

Tanium의 CCF 푸시 커넥터

지원:Tanium Inc.

이 데이터는 Microsoft Sentinel 통합 문서 및 플레이북을 피드하므로 분석가는 인시던트 보강, 엔드포인트 위험 및 상태를 시각화하고 조사 및 응답 워크플로를 자동화할 수 있습니다. 타늄에 대한 자세한 내용은 다음으로 이동합니다. https://www.tanium.com/contact-us/

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

TaniumComplyCompliance_CL 예 예

TaniumComplyVulnerabilities_CL 예 예

TaniumDefenderHealth_CL 예 예

TaniumDiscoverUnmanagedAssets_CL 예 예

TaniumHighUptime_CL 예 예

TaniumPatchCoverageStatus_CL 예 예

TaniumPatchListApplicability_CL 예 예

TaniumPatchListCompliance_CL 예 예

TaniumSCCMClientHealth_CL 예 예

TaniumThreatResponse_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Microsoft Entra: Microsoft Entra ID 앱 등록을 만들 수 있는 권한입니다.

Microsoft Azure: DCR(데이터 수집 규칙)에 대한 모니터링 메트릭 게시자 역할을 할당할 수 있는 권한입니다.

설치 지침:

1. ARM 리소스 만들기 및 필요한 권한 제공

이 커넥터를 사용하면 Tanium Server가 Azure Monitor 수집 API를 통해 기본 인벤토리 데이터를 Microsoft Sentinel 직접 푸시할 수 있습니다.

Entra 애플리케이션을 사용하여 자동화된 구성 및 보안 데이터 수집 "배포"를 클릭하면 Log Analytics 테이블 및 DCR(데이터 수집 규칙)의 생성이 트리거됩니다. 그런 다음, Entra 애플리케이션을 만들고, DCR을 연결하고, 애플리케이션에 입력한 비밀을 설정합니다. 이 설정을 사용하면 Entra 토큰을 사용하여 타늄 데이터를 DCR로 안전하게 보낼 수 있습니다.

2. 타늄 연결 구성

다음 매개 변수를 사용하여 타늄 연결을 구성하여 데이터를 작업 영역으로 푸시합니다.

테넌트 ID(디렉터리 ID): <설치 시 제공되는 변수 값>

Entra 앱 등록 애플리케이션 ID: <설치 시 제공되는 변수 값>

Entra 앱 등록 비밀: <설치 시 제공되는 변수 값>

데이터 수집 엔드포인트 Uri: <설치 시 제공되는 변수 값>

데이터 수집 규칙 변경할 수 없는 ID: <설치 시 제공되는 변수 값>

준수 결과 로그 Stream 이름: <설치 시 제공되는 변수 값>

준수 취약성 로그 Stream 이름: <설치 시 제공되는 변수 값>

Defender 상태 로그 Stream 이름: <설치 시 제공되는 변수 값>

관리되지 않는 자산 상태 로그 Stream 이름 검색: <설치 시 제공되는 변수 값>

높은 작동 시간 로그 Stream 이름: <설치 시 제공되는 변수 값>

패치 검사 상태 로그 Stream 이름: <설치 시 제공되는 변수 값>

패치 목록 적용 가능성 로그 Stream 이름: <설치 시 제공되는 변수 값>

패치 목록 준수 로그 Stream 이름: <설치 시 제공되는 변수 값>

SCCM 클라이언트 상태 로그 Stream 이름: <설치 시 제공되는 변수 값>

위협 대응 경고 로그 Stream 이름: <설치 시 제공되는 변수 값>

3. 타늄에서 연결 만들기

Azure 데이터 커넥터를 성공적으로 배포한 후 연결 모듈의 Tanium 서버에 필요한 연결을 만듭니다. 연결 모듈에 대한 자세한 내용은 Tanium 도움말을 참조하세요.

연결 가져오기 파일을 다운로드합니다.

자리 표시자를 위에 표시된 매개 변수로 바꿉다.

Tanium 서버에서 연결 모듈을 엽니다.

가져오기 기능을 사용하여 새 연결을 가져옵니다.

Team Cymru Scout 데이터 커넥터(Azure Functions 사용)

지원:Team Cymru

TeamCymruScout 데이터 커넥터를 사용하면 사용자가 보강을 위해 Microsoft Sentinel Team Cymru Scout IP, 도메인 및 계정 사용 현황 데이터를 가져올 수 있습니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

Cymru_Scout_Domain_Data_CL 아니요 아니요

Cymru_Scout_IP_Data_Foundation_CL 아니요 아니요

Cymru_Scout_IP_Data_Details_CL 아니요 아니요

Cymru_Scout_IP_Data_Communications_CL 아니요 아니요

Cymru_Scout_IP_Data_PDNS_CL 아니요 아니요

Cymru_Scout_IP_Data_Fingerprints_CL 아니요 아니요

Cymru_Scout_IP_Data_OpenPorts_CL 아니요 아니요

Cymru_Scout_IP_Data_x509_CL 아니요 아니요

Cymru_Scout_IP_Data_Summary_Details_CL 아니요 아니요

Cymru_Scout_IP_Data_Summary_PDNS_CL 아니요 아니요

Cymru_Scout_IP_Data_Summary_OpenPorts_CL 아니요 아니요

Cymru_Scout_IP_Data_Summary_Certs_CL 아니요 아니요

Cymru_Scout_IP_Data_Summary_Fingerprints_CL 아니요 아니요

Cymru_Scout_Account_Usage_Data_CL 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

Microsoft.Web/sites 권한: 함수 앱을 만들기 위한 Azure Functions 읽기 및 쓰기 권한이 필요합니다. 자세한 내용은 Azure Functions 참조하세요.

등록된 애플리케이션에 역할을 할당할 수 있는 권한: Microsoft Entra ID 등록된 애플리케이션에 역할을 할당할 수 있는 권한이 필요합니다.

Team Cymru Scout 자격 증명/권한: Team Cymru Scout 계정 자격 증명(사용자 이름, 암호)이 필요합니다.

설치 지침:

참고: 이 커넥터는 Azure Functions 사용하여 Team Cymru Scout API에 연결하여 로그를 Microsoft Sentinel 끌어올 수 있습니다. 이로 인해 추가 데이터 수집 비용이 발생할 수 있습니다. 자세한 내용은 Azure Functions 가격 책정 페이지를 확인하세요.

(선택적 단계) 작업 영역 및 API 권한 부여 키 또는 토큰을 Azure Key Vault 안전하게 저장합니다. Azure Key Vault 키 값을 저장하고 검색하는 보안 메커니즘을 제공합니다. 다음 지침에 따라 Azure 함수 앱에서 Azure Key Vault 사용합니다.

1단계 - Team Cymru Scout API 키를 만드는 단계

다음 지침에 따라 Team Cymru Scout API 키를 만듭니다.

다른 형태의 권한 부여로 사용할 API 키를 생성하려면 API 키 문서를 참조하세요.

2단계 - Microsoft Entra ID 애플리케이션에 대한 앱 등록 단계

이 통합에는 Azure Portal 앱 등록이 필요합니다. 이 섹션의 단계에 따라 Microsoft Entra ID 새 애플리케이션을 만듭니다.

Azure 포털에 로그인합니다.

Microsoft Entra ID 검색하여 선택합니다.

관리에서 새 등록 앱 등록 > 선택합니다.

애플리케이션의 표시 이름을 입력합니다.

등록을 선택하여 초기 앱 등록을 완료합니다.

등록이 완료되면 Azure Portal 앱 등록의 개요 창이 표시됩니다. 애플리케이션(클라이언트) ID 및 테넌트 ID가 표시됩니다. 클라이언트 ID 및 테넌트 ID는 TeamCymruScout 데이터 커넥터를 실행하기 위한 구성 매개 변수로 필요합니다.

참조 링크:/azure/active-directory/develop/quickstart-register-app

3단계 - Microsoft Entra ID 애플리케이션에 대한 클라이언트 암호 추가

애플리케이션 암호라고도 하는 클라이언트 암호는 TeamCymruScout 데이터 커넥터를 실행하는 데 필요한 문자열 값입니다. 이 섹션의 단계에 따라 새 클라이언트 암호를 만듭니다.

Azure Portal 앱 등록 애플리케이션을 선택합니다.

인증서 & 비밀 > 클라이언트 비밀 새 클라이언트 비밀을 >선택합니다.

클라이언트 비밀에 대한 설명을 추가합니다.

비밀에 대한 만료를 선택하거나 사용자 지정 수명을 지정합니다. 한도는 24개월입니다.

추가를 선택합니다.

클라이언트 애플리케이션 코드에서 사용할 비밀 값을 기록합니다. 이 비밀 값은 이 페이지를 떠난 후에 다시는 표시되지 않습니다. 비밀 값은 TeamCymruScout 데이터 커넥터를 실행하기 위한 구성 매개 변수로 필요합니다.

참조 링크:/azure/active-directory/develop/quickstart-register-app#add-a-client-secret

4단계 - Microsoft Entra ID 애플리케이션의 개체 ID 가져오기

앱 등록을 만든 후 이 섹션의 단계에 따라 개체 ID를 가져옵니다.

Microsoft Entra ID 이동합니다.

왼쪽 메뉴에서 엔터프라이즈 애플리케이션 을 선택합니다.

목록에서 새로 만든 애플리케이션을 찾습니다(제공한 이름으로 검색할 수 있습니다).

애플리케이션을 클릭합니다.

개요 페이지에서 개체 ID를 복사합니다. ARM 템플릿 역할 할당에 필요한 AzureEntraObjectId 입니다.

5단계 - Microsoft Entra ID 애플리케이션에 기여자 역할 할당

이 섹션의 단계에 따라 역할을 할당합니다.

Azure Portal 리소스 그룹으로 이동하여 리소스 그룹을 선택합니다.

왼쪽 패널에서 액세스 제어(IAM) 로 이동합니다.

추가를 클릭한 다음 역할 할당 추가를 선택합니다.

역할로 기여자를 선택하고 다음을 클릭합니다.

에 대한 액세스 할당에서 를 선택합니다User, group, or service principal.

구성원 추가를 클릭하고 만든 앱 이름을 입력 하고 선택합니다.

이제 검토 + 할당을 클릭한 다음 검토 + 할당을 다시 클릭합니다.

참조 링크:/azure/role-based-access-control/role-assignments-portal

6단계 - 관심 목록에서 기소자와 함께 csv 업로드

이 섹션의 단계에 따라 관심 목록에 표시기가 포함된 csv를 업로드합니다.

Azure Portal Microsoft Sentinel 이동하여 작업 영역을 선택합니다.

왼쪽 패널에서 구성 섹션 아래의 관심 목록 으로 이동합니다.

TeamCymruScoutDomainData를 클릭한 다음 업데이트 관심 목록에서 대량 업데이트를 선택합니다.

파일 입력 업로드에서 도메인 표시기를 사용하여 csv 파일을 업로드하고 다음: 검토+만들기를 클릭합니다.

유효성 검사가 성공하면 업데이트를 클릭합니다.

동일한 단계에 따라 IP 표시기용 TeamCymruScoutIPData 관심 목록을 업데이트합니다.

참조 링크:관심 목록 대량 업데이트

7단계 - 커넥터 및 연결된 Azure 함수를 배포하려면 다음 두 가지 배포 옵션 중 하나를 선택합니다.

중요: TeamCymruScout 데이터 커넥터를 배포하기 전에 작업 영역 ID 및 작업 영역 기본 키(다음에서 복사할 수 있음)를 쉽게 사용할 수 있습니다... 뿐만 아니라 TeamCymruScout 자격 증명도 사용할 수 있습니다.

옵션 1 - ARM(Azure Resource Manager) 템플릿

TeamCymruScout 데이터 커넥터의 자동화된 배포에 이 방법을 사용합니다.

아래 Azure 배포 단추를 클릭합니다.

aka.ms

기본 구독, 리소스 그룹 및 위치를 선택합니다.

아래 정보를 입력합니다. Location WorkspaceName 함수 이름 TeamCymruScoutBaseURL AuthenticationType 사용자 이름 암호 APIKey IPValues DomainValues APIType AzureClientId AzureClientSecret TenantId AzureEntraObjectId IPTableName DomainTableName AccountUsageTableName Schedule AccountUsageSchedule LogLevel

위에 명시된 사용 약관에 동의함을 표시하는 확인란을 표시합니다.

구매를 클릭하여 배포합니다.

옵션 2 - Azure Functions 수동 배포

다음 단계별 지침을 사용하여 Azure Functions(Visual Studio Code 통해 배포)를 사용하여 TeamCymruScout 데이터 커넥터를 수동으로 배포합니다.

함수 앱 배포

참고: Azure 함수 개발을 위해 VS 코드를 준비해야 합니다.

Azure 함수 앱 파일을 다운로드합니다. 로컬 개발 컴퓨터에 보관 파일을 추출합니다.

VS Code를 시작합니다. 주 메뉴에서 파일을 선택하고 폴더 열기를 선택합니다.

추출된 파일에서 최상위 폴더를 선택합니다.

작업 표시줄에서 Azure 아이콘을 선택한 다음, Azure: 함수 영역에서 함수에 배포 앱 단추를 선택합니다. 아직 로그인하지 않은 경우 활동 표시줄에서 Azure 아이콘을 선택한 다음, Azure: 함수 영역에서 로그인을 선택하여 Azure 이미 로그인한 경우 다음 단계로 이동합니다.

프롬프트에서 다음 정보를 제공합니다.

a. 폴더 선택: 작업 영역에서 폴더를 선택하거나 함수 앱이 포함된 폴더로 이동합니다.

b. 구독을 선택합니다. 사용할 구독을 선택합니다.

c. Azure 새 함수 앱 만들기를 선택합니다(고급 옵션을 선택하지 않음).

d. 함수 앱의 전역적으로 고유한 이름을 입력합니다 . URL 경로에 유효한 이름을 입력합니다. 입력한 이름은 Azure Functions 고유하도록 유효성을 검사합니다. (예: CymruScoutXXXXX).

e. 런타임 선택: Python 3.12 이상을 선택합니다.

f. 새 리소스의 위치를 선택합니다. 성능 향상 및 비용 절감을 위해 Microsoft Sentinel 있는 동일한 지역을 선택합니다.

배포가 시작됩니다. 함수 앱이 만들어지고 배포 패키지가 적용된 후 알림이 표시됩니다.

함수 앱 구성에 대한 Azure 포털로 이동합니다.

함수 앱 구성

함수 앱에서 함수 앱 이름을 선택하고 구성을 선택합니다.

애플리케이션 설정 탭에서 + 새 애플리케이션 설정을 선택합니다.

각 값(대/소문자 구분):CymruScoutBaseURL AuthenticationType TeamCymruScoutPassword APIKey IPValues DomainValues APIType AZURE_CLIENT_ID AZURE_CLIENT_SECRET AZURE_TENANT_ID IPTableName DomainTableName AccountUsageTableName Schedule AccountUsageSchedule LogLevel AZURE_DATA_COLLECTION_ENDPOINT AZURE_DATA_COLLECTION_RULE_ID_MAIN_TABLES AZURE_DATA_COLLECTION_RULE_ID_SUB_TABLES

모든 애플리케이션 설정이 입력되면 저장을 클릭합니다.

테넌블 ID 노출

지원자:Tenable

Tenable Identity Exposure 커넥터를 사용하면 노출 지표, 공격 지표 및 후행 흐름 로그를 Microsoft Sentinel 수집할 수 있습니다. 다양한 작업 설명서 및 데이터 파서를 사용하면 로그를 보다 쉽게 조작하고 Active Directory 환경을 모니터링할 수 있습니다. 분석 템플릿을 사용하면 다양한 이벤트, 노출 및 공격에 대한 응답을 자동화할 수 있습니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

Tenable_IE_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

TenableIE 구성에 대한 액세스: syslog 경고 엔진을 구성할 수 있는 권한

설치 지침:

이 데이터 커넥터는 kusto 함수를 기반으로 afad_parser 따라 Microsoft Sentinel 솔루션과 함께 배포되는 예상대로 작동합니다.

1. Syslog 서버 구성

먼저 TenableIE에서 로그를 보낼 Linux Syslog 서버가 필요합니다. 일반적으로 Ubuntu에서 rsyslog를 실행할 수 있습니다. 그런 다음 원하는 대로 이 서버를 구성할 수 있지만 별도의 파일에 TenableIE 로그를 출력할 수 있도록 하는 것이 좋습니다.

TenableIE IP 주소의 로그를 허용하도록 rsyslog를 구성합니다. 다음 옵션 중 하나를 선택합니다.

옵션 1: AllowedSender 지시문 사용

이 구성은 네트워크 수준에서 syslog 서버에 로그를 보낼 수 있는 호스트를 제한합니다. 이를 처리하기 전에 무단 연결을 거부하기 때문에 더 안전합니다.

구성 파일 다운로드: 80-tenable-allowedsender.conf

sudo 모드에서 실행: sudo -i

TenableIE IP 주소를 설정합니다. export TENABLE_IE_IP={Enter your IP address}

다운로드한 구성 파일에서 명령 실행

rsyslog를 다시 시작합니다. systemctl restart rsyslog

옵션 2: 원본 IP로 로그 필터링(여러 syslog 원본이 있는 환경의 경우)

이 구성은 들어오는 모든 로그를 허용하지만 지정된 TenableIE IP 주소의 로그만 처리합니다. 동일한 syslog 서버에 로그를 보내는 여러 syslog 서버 또는 애플리케이션이 있고 TenableIE 로그만 선택적으로 처리하려는 경우에 특히 유용합니다.

구성 파일 다운로드: 80-tenable-filter.conf

sudo 모드에서 실행: sudo -i

TenableIE IP 주소를 설정합니다. export TENABLE_IE_IP={Enter your IP address}

다운로드한 구성 파일에서 명령 실행

rsyslog를 다시 시작합니다. systemctl restart rsyslog

2. Linux Microsoft 에이전트 설치 및 온보딩

OMS 에이전트는 TenableIE syslog 이벤트를 수신하고 Microsoft Sentinel 에 게시합니다.

에이전트를 설치할 위치를 선택합니다.

Azure Linux Virtual Machine에 에이전트 설치

에이전트를 설치할 컴퓨터를 선택한 다음 연결을 클릭합니다.

에이전트 설치: <설치 시 제공되는 변수 값>

비 Azure Linux 컴퓨터에 에이전트 설치

관련 컴퓨터에서 에이전트를 다운로드하고 지침을 따릅니다.

에이전트 설치: <설치 시 제공되는 변수 값>

3. Syslog 서버에서 에이전트 로그 확인

tail -f /var/opt/microsoft/omsagent/log/omsagent.log

4. Syslog 서버에 로그를 보내도록 TenableIE 구성

TenableIE 포털에서 시스템, 구성, Syslog로 이동합니다. 여기에서 Syslog 서버에 대한 새 Syslog 경고를 만들 수 있습니다.

이 작업이 완료되면 로그가 서버에 별도의 파일로 올바르게 수집되었는지 검사.(이렇게 하려면 TenableIE의 Syslog 경고 구성에서 구성 테스트 단추를 사용할 수 있습니다). 빠른 시작 템플릿을 사용한 경우 Syslog 서버는 기본적으로 TLS 없이 UDP의 포트 514 및 TCP의 1514에서 수신 대기합니다.

참고: 1단계의 두 구성 옵션은 모두 UDP 및 TCP 연결 모두에 대해 포트 514에서 수신 대기하도록 syslog 서버를 구성합니다.

5. 사용자 지정 로그 구성

로그를 수집하도록 에이전트를 구성합니다.

Microsoft Sentinel 구성 - 설정 -> 작업 영역 설정 ->> 사용자 지정 로그로 이동합니다.

사용자 지정 로그 추가를 클릭합니다.

Syslog 서버를 실행하는 Linux 컴퓨터에서 샘플 TenableIE.log Syslog 파일을 업로드하고 다음을 클릭합니다.

레코드 구분 기호를 새 줄로 설정합니다( 아직 대/소문자가 없는 경우). 다음을 클릭합니다.

Linux 선택하고 Syslog 파일의 파일 경로를 입력하고 + 다음을 클릭합니다. 파일의 기본 위치는 /var/log/TenableIE.log Tenable 버전 <3.1.0이 있는 경우 이 Linux 파일 위치 /var/log/AlsidForAD.log도 추가해야 합니다.

이름을Tenable_IE_CL 설정합니다(Azure 이름 끝에 _CL 자동으로 추가합니다. 이름이 Tenable_IE_CL_CL 않는지 확인하려면 하나만 있어야 합니다).

다음을 클릭하면 이력서가 표시되고 만들기를 클릭합니다.

6. 즐기세요!

이제 Tenable_IE_CL 테이블에서 로그를 받을 수 있어야 하며, 모든 쿼리 샘플, 통합 문서 및 분석 템플릿에서 사용하는 afad_parser() 함수를 사용하여 로그 데이터를 구문 분석할 수 있습니다.

Tenable Vulnerability Management(Azure Functions 사용)

지원자:Tenable

TVM 데이터 커넥터는 TVM REST API를 사용하여 자산, 취약성, 규정 준수, WAS 자산 및 WAS 취약성 데이터를 Microsoft Sentinel 수집하는 기능을 제공합니다. 자세한 내용은 API 설명서를 참조하세요. 커넥터는 잠재적인 보안 위험을 검사하고, 컴퓨팅 자산에 대한 인사이트를 얻고, 구성 문제를 진단하는 데 도움이 되는 데이터를 가져오는 기능을 제공합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

Tenable_VM_Asset_CL 예 예

Tenable_VM_Vuln_CL 예 예

Tenable_VM_Compliance_CL 예 예

Tenable_WAS_Asset_CL 예 예

Tenable_WAS_Vuln_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Microsoft.Web/sites 권한: 함수 앱을 만들기 위한 Azure Functions 읽기 및 쓰기 권한이 필요합니다. 자세한 내용은 Azure Functions 참조하세요.

REST API 자격 증명/권한: Tenable REST API에 액세스하려면 TenableAccessKey 와 TenableSecretKey 가 모두 필요합니다. 자세한 내용은 API를 참조하세요. 모든 요구 사항을 확인하고 자격 증명을 얻기 위한 지침을 따릅니다.

설치 지침:

참고: 이 커넥터는 Azure Durable Functions 사용하여 TenableVM API에 연결하여 정기적으로 자산, 취약성 및 규정 준수(선택한 경우)를 Microsoft Sentinel 끌어올 수 있습니다. 이로 인해 추가 데이터 수집 비용이 발생할 수 있습니다. 자세한 내용은 Azure Functions 가격 책정 페이지를 확인하세요.

(선택적 단계) 작업 영역 및 API 권한 부여 키 또는 토큰을 Azure Key Vault 안전하게 저장합니다. Azure Key Vault 키 값을 저장하고 검색하는 보안 메커니즘을 제공합니다. 다음 지침에 따라 Azure 함수 앱에서 Azure Key Vault 사용합니다.

참고: 이 데이터 커넥터는 취약성에 대한 TenableVM 파서 및 Kusto 함수를 기반으로 하는 자산에 대한 TenableVM 파서가 Microsoft Sentinel 솔루션과 함께 배포되는 예상대로 작동하도록 합니다.

1단계 - TenableVM에 대한 구성 단계

지침에 따라 필요한 API 자격 증명을 가져옵니다.

2단계 - Microsoft Entra ID 애플리케이션에 대한 앱 등록 단계

이 통합에는 Azure Portal 앱 등록이 필요합니다. 이 섹션의 단계에 따라 Microsoft Entra ID 새 애플리케이션을 만듭니다.

Azure 포털에 로그인합니다.

Microsoft Entra ID 검색하여 선택합니다.

관리에서 새 등록 앱 등록 > 선택합니다.

애플리케이션의 표시 이름을 입력합니다.

등록을 선택하여 초기 앱 등록을 완료합니다.

등록이 완료되면 Azure Portal 앱 등록의 개요 창이 표시됩니다. 애플리케이션(클라이언트) ID 및 테넌트 ID가 표시됩니다. 클라이언트 ID 및 테넌트 ID는 TenableVM 데이터 커넥터 실행을 위한 구성 매개 변수로 필요합니다.

참조 링크:/azure/active-directory/develop/quickstart-register-app

3단계 - Microsoft Entra ID 애플리케이션에 대한 클라이언트 암호 추가

애플리케이션 암호라고도 하는 클라이언트 암호는 TenableVM 데이터 커넥터를 실행하는 데 필요한 문자열 값입니다. 이 섹션의 단계에 따라 새 클라이언트 암호를 만듭니다.

Azure Portal 앱 등록 애플리케이션을 선택합니다.

인증서 & 비밀 > 클라이언트 비밀 새 클라이언트 비밀을 >선택합니다.

클라이언트 비밀에 대한 설명을 추가합니다.

비밀에 대한 만료를 선택하거나 사용자 지정 수명을 지정합니다. 한도는 24개월입니다.

추가를 선택합니다.

클라이언트 애플리케이션 코드에서 사용할 비밀 값을 기록합니다. 이 비밀 값은 이 페이지를 떠난 후에 다시는 표시되지 않습니다. 비밀 값은 TenableVM Data Connector를 실행하기 위한 구성 매개 변수로 필요합니다.

참조 링크:/azure/active-directory/develop/quickstart-register-app#add-a-client-secret

4단계 - Microsoft Entra ID 애플리케이션의 개체 ID 가져오기

앱 등록을 만든 후 이 섹션의 단계에 따라 개체 ID를 가져옵니다.

Microsoft Entra ID 이동합니다.

왼쪽 메뉴에서 엔터프라이즈 애플리케이션 을 선택합니다.

목록에서 새로 만든 애플리케이션을 찾습니다(제공한 이름으로 검색할 수 있습니다).

애플리케이션을 클릭합니다.

개요 페이지에서 개체 ID를 복사합니다. ARM 템플릿 역할 할당에 필요한 AzureEntraObjectId 입니다.

5단계 - 커넥터 및 연결된 Azure 함수 앱을 배포하려면 다음 두 가지 배포 옵션 중 하나를 선택합니다.

옵션 1 - ARM(Azure Resource Manager) 템플릿

ARM 템플릿을 사용하여 TenableVM 취약성 관리 보고서 데이터 커넥터의 자동화된 배포에 이 방법을 사용합니다.

아래 Azure 배포 단추를 클릭합니다.

aka.ms aka.ms

기본 구독, 리소스 그룹, FunctionApp 이름 및 위치를 선택합니다.

아래 정보를 입력합니다.

a. WorkspaceName - 로그 분석 작업 영역의 작업 영역 이름을 입력합니다.

b. TenableAccessKey - Tenable API를 사용하기 위한 액세스 키를 입력합니다.

c. TenableSecretKey - 인증을 위해 Tenable Secret Key를 입력합니다.

d. AzureClientID - Azure 클라이언트 ID를 입력합니다.

e. AzureClientSecret - Azure 클라이언트 비밀을 입력합니다.

f. TenantID - 위의 단계에서 얻은 테넌트 ID를 입력합니다.

g. AzureEntraObjectId - 위의 단계에서 얻은 Azure 개체 ID를 입력합니다.

h. LowestSeveritytoStore - 저장할 가장 낮은 취약성 심각도입니다. 허용되는 값: 정보, 낮음, 중간, 높음, 중요. 기본값은 정보입니다.

i. ComplianceDataIngestion - Tenable VM에서 준수 데이터 수집을 사용하도록 설정하려면 true를 선택합니다. 기본값은 false입니다.

j. WASAssetDataIngestion - Tenable VM에서 WAS 자산 데이터 수집을 사용하도록 설정하려면 true를 선택합니다. 기본값은 false입니다.

k. WASVulnerabilityDataIngestion - Tenable VM에서 WAS 취약성 데이터 수집을 사용하도록 설정하려면 true를 선택합니다. 기본값은 false입니다.

L. LowestSeveritytoStoreWAS - WAS에 저장할 가장 낮은 취약성 심각도입니다. 허용되는 값: 정보, 낮음, 중간, 높음, 중요. 기본값은 정보입니다.

M. TenableExportScheduleInMinutes - Tenable VM에서 새 내보내기 작업을 만들도록 분 단위로 예약합니다. 기본값은 1440입니다.

N. AssetTableName - Asset Data 로그를 저장하는 데 사용되는 테이블의 이름을 입력합니다.

O. VulnTableName - 취약성 데이터 로그를 저장하는 데 사용되는 테이블의 이름을 입력합니다.

P. ComplianceTableName - 준수 데이터 로그를 저장하는 데 사용되는 테이블의 이름을 입력합니다.

q. WASAssetTableName - WAS 자산 데이터 로그를 저장하는 데 사용되는 테이블의 이름을 입력합니다.

r. WASVulnTableName - WAS 취약성 데이터 로그를 저장하는 데 사용되는 테이블의 이름을 입력합니다.

위에 명시된 사용 약관에 동의함을 표시하는 확인란을 표시합니다.

구매를 클릭하여 배포합니다.

옵션 2 - Azure Functions 수동 배포

다음 단계별 지침을 사용하여 Azure Functions(Visual Studio Code 통해 배포)를 사용하여 TenableVM 취약성 관리 보고서 데이터 커넥터를 수동으로 배포합니다.

함수 앱 배포

참고: Azure 함수 개발을 위해 VS 코드를 준비해야 합니다.

Azure 함수 앱 파일을 다운로드합니다. 로컬 개발 컴퓨터에 보관 파일을 추출합니다.

VS Code를 시작합니다. 주 메뉴에서 파일을 선택하고 폴더 열기를 선택합니다.

추출된 파일에서 최상위 폴더를 선택합니다.

작업 표시줄에서 Azure 아이콘을 선택한 다음, Azure: 함수 영역에서 함수에 배포 앱 단추를 선택합니다. 아직 로그인하지 않은 경우 활동 표시줄에서 Azure 아이콘을 선택한 다음, Azure: 함수 영역에서 로그인을 선택하여 Azure 이미 로그인한 경우 다음 단계로 이동합니다.

프롬프트에서 다음 정보를 제공합니다.

a. 폴더 선택: 작업 영역에서 폴더를 선택하거나 함수 앱이 포함된 폴더로 이동합니다.

b. 구독을 선택합니다. 사용할 구독을 선택합니다.

c. Azure 새 함수 앱 만들기를 선택합니다(고급 옵션을 선택하지 않음).

d. 함수 앱의 전역적으로 고유한 이름을 입력합니다 . URL 경로에 유효한 이름을 입력합니다. 입력한 이름은 Azure Functions 고유하도록 유효성을 검사합니다. (예: TenableVMXXXXX).

e. 런타임 선택: Python 3.12를 선택합니다.

f. 새 리소스의 위치를 선택합니다. 성능 향상 및 비용 절감을 위해 Microsoft Sentinel 있는 동일한 지역을 선택합니다.

배포가 시작됩니다. 함수 앱이 만들어지고 배포 패키지가 적용된 후 알림이 표시됩니다.

함수 앱 구성에 대한 Azure 포털로 이동합니다.

함수 앱 구성

함수 앱에서 함수 앱 이름을 선택하고 구성을 선택합니다.

애플리케이션 설정 탭에서 새 애플리케이션 설정을 선택합니다.

각 문자열 값(대/소문자 구분)을 사용하여 다음 애플리케이션 설정을 개별적으로 추가합니다.

a. WorkspaceName - 로그 분석 작업 영역의 작업 영역 이름을 입력합니다.

b. TenableAccessKey - Tenable API를 사용하기 위한 액세스 키를 입력합니다.

c. TenableSecretKey - 인증을 위해 Tenable Secret Key를 입력합니다.

d. AzureClientID - Azure 클라이언트 ID를 입력합니다.

e. AzureClientSecret - Azure 클라이언트 비밀을 입력합니다.

f. TenantID - 위의 단계에서 얻은 테넌트 ID를 입력합니다.

g. AzureEntraObjectId - 위의 단계에서 얻은 Azure 개체 ID를 입력합니다.

h. LowestSeveritytoStore - 저장할 가장 낮은 취약성 심각도입니다. 허용되는 값: 정보, 낮음, 중간, 높음, 중요. 기본값은 정보입니다.

i. ComplianceDataIngestion - Tenable VM에서 준수 데이터 수집을 사용하도록 설정하려면 true를 선택합니다. 기본값은 false입니다.

j. WASAssetDataIngestion - Tenable VM에서 WAS 자산 데이터 수집을 사용하도록 설정하려면 true를 선택합니다. 기본값은 false입니다.

k. WASVulnerabilityDataIngestion - Tenable VM에서 WAS 취약성 데이터 수집을 사용하도록 설정하려면 true를 선택합니다. 기본값은 false입니다.

L. LowestSeveritytoStoreWAS - WAS에 저장할 가장 낮은 취약성 심각도입니다. 허용되는 값: 정보, 낮음, 중간, 높음, 중요. 기본값은 정보입니다.

M. TenableExportScheduleInMinutes - Tenable VM에서 새 내보내기 작업을 만들도록 분 단위로 예약합니다. 기본값은 1440입니다.

N. AssetTableName - Asset Data 로그를 저장하는 데 사용되는 테이블의 이름을 입력합니다.

O. VulnTableName - 취약성 데이터 로그를 저장하는 데 사용되는 테이블의 이름을 입력합니다.

P. ComplianceTableName - 준수 데이터 로그를 저장하는 데 사용되는 테이블의 이름을 입력합니다.

q. WASAssetTableName - WAS 자산 데이터 로그를 저장하는 데 사용되는 테이블의 이름을 입력합니다.

r. WASVulnTableName - WAS 취약성 데이터 로그를 저장하는 데 사용되는 테이블의 이름을 입력합니다.

s. PyTenableUAVendor - 값을 Microsoft로 설정해야 합니다.

T. PyTenableUAProduct - 값을 Microsoft Sentinel 설정해야 합니다.

U. PyTenableUABuild - 값을 3.1.0으로 설정해야 합니다.

모든 애플리케이션 설정이 입력되면 저장을 클릭합니다.

클라우드용 테넌트 기반 Microsoft Defender

지원:Microsoft Corporation

클라우드용 Microsoft Defender는 Azure, 하이브리드 및 다중 클라우드 워크로드에서 위협을 감지하고 신속하게 대응할 수 있는 보안 관리 도구입니다. 이 커넥터를 사용하면 Microsoft 365 Defender의 MDC 보안 경고를 Microsoft Sentinel 스트리밍할 수 있으므로 클라우드 리소스, 디바이스 및 ID에 걸쳐 점을 연결하는 XDR 상관 관계의 이점을 활용하고 통합 문서, 쿼리 및 인시던트의 데이터를 보고 조사할 수 있습니다. 자세한 내용은 Microsoft Sentinel 설명서를 참조하세요.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

SecurityAlert 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

설치 지침:

클라우드용 테넌트 기반 Microsoft Defender 연결 Microsoft Sentinel

이 커넥터를 연결한 후 클라우드 구독에 대한 모든 Microsoft Defender 이 Microsoft Sentinel 작업 영역으로 전송됩니다.

클라우드용 Microsoft Defender 경고는 Microsoft 365 Defender를 통해 스트림에 연결됩니다. 경고를 인시던트에 자동으로 그룹화하면 도움이 되도록 Microsoft 365 Defender 인시던트 커넥터를 연결합니다. 인시던트 큐에서 인시던트 볼 수 있습니다.

TheHive(Codeless Connector Framework를 통해)

지원:Microsoft Corporation

TheHive 데이터 커넥터는 REST API를 통해 TheHive 보안 인시던트 대응 플랫폼 데이터를 Microsoft Sentinel 수집하는 기능을 제공합니다. 자세한 내용은 API 설명서를 참조하세요. 커넥터는 TheHive에서 사례, 작업 및 경고를 가져와서 Microsoft Sentinel 시각화하는 기능을 제공합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

TheHiveData 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

TheHive API 액세스: TheHive API 버전 4 이상 액세스는 TheHive API에 필요합니다.

설치 지침:

1. 구성

지침에 따라 TheHive 커넥터를 구성합니다.

기본 URL: (TheHive instance 기본 URL(예: https://thehive.example.com)) TheHive 사용자 프로필 설정에서 API 키를 가져옵니다. (또는 이 목적을 위해 만든 전용 사용자)

API 키: (TheHive API의 API 키)

2. 연결

TheHive 커넥터를 사용하도록 설정합니다.

연결 사용/사용 안 함

카나리아 씽스트

지원:Thinkst 응용연구부

Thinkst Canary 커넥터는 Thinkst Canary 허니팟 네트워크에서 보안 인시던트를 Microsoft Sentinel로 인징할 수 있게 해줍니다. 카나리 장치는 SSH 로그인, RDP 세션, HTTP 요청, 데이터베이스 쿼리, 파일 공유 접근, 카나리토큰 트리거 등 무단 접근 시도를 감지합니다. 이 커넥터는 모든 사고 데이터를 자동으로 불러와 분석 및 경고를 수행합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

ThinkstCanaryIncidents_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Thinkst Canary API 키: Thinkst Canary API 인증 토큰이 필요합니다. API 키를 생성하는 방법을 배우려면 문서를 참고하세요.

설치 지침:

Thinkst Canary를 Microsoft Sentinel에 연결하세요

Thinkst Canary 콘솔 도메인(예: yourhash.canary.tools의 'yourhash')과 API 인증 토큰을 제공하세요.

카나리 콘솔 도메인: (유어 해시)

API 인증 토큰: (카나리아 API 토큰 입력)

연결 사용/사용 안 함

위협 인텔리전스 - TAXII

지원:Microsoft Corporation

Microsoft Sentinel TAXII 2.0 및 2.1 데이터 원본과 통합되어 위협 인텔리전스를 사용하여 모니터링, 경고 및 헌팅을 가능하게 합니다. 이 커넥터를 사용하여 TAXII 서버에서 Microsoft Sentinel 지원되는 STIX 개체 형식을 보냅니다. 위협 지표에는 IP 주소, 도메인, URL 및 파일 해시가 포함될 수 있습니다. 자세한 내용은 Microsoft Sentinel 설명서를 참조하세요>.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

ThreatIntelligenceIndicator 예 아니요

데이터 수집 규칙 지원:작업 영역 변환 DCR

위협 인텔리전스 플랫폼

지원:Microsoft Corporation

Microsoft Sentinel Microsoft Graph 보안 API 데이터 원본과 통합되어 위협 인텔리전스를 사용하여 모니터링, 경고 및 헌팅을 사용하도록 설정합니다. 이 커넥터를 사용하여 THREAT Connect, Palo Alto Networks MindMeld, MISP 또는 기타 통합 애플리케이션과 같은 TIP(위협 인텔리전스 플랫폼)에서 Microsoft Sentinel 위협 지표를 보냅니다. 위협 지표에는 IP 주소, 도메인, URL 및 파일 해시가 포함될 수 있습니다. 자세한 내용은 Microsoft Sentinel 설명서를 참조하세요>.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

ThreatIntelligenceIndicator 예 아니요

데이터 수집 규칙 지원:작업 영역 변환 DCR

위협 인텔리전스 업로드 API(미리 보기)

지원:Microsoft Corporation

Microsoft Sentinel Threat Connect, Palo Alto Networks MineMeld, MISP 또는 기타 통합 애플리케이션과 같은 TIP(위협 인텔리전스 플랫폼)에서 위협 인텔리전스를 가져오는 데이터 평면 API를 제공합니다. 위협 지표에는 IP 주소, 도메인, URL, 파일 해시 및 이메일 주소가 포함될 수 있습니다. 자세한 내용은 Microsoft Sentinel 설명서를 참조하세요.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

ThreatIntelligenceIndicator 예 아니요

데이터 수집 규칙 지원:작업 영역 변환 DCR

설치 지침:

**다음 중 하나를 사용하여 위협 인텔리전스 데이터 원본을 Microsoft Sentinel 연결할 수 있습니다. **

Threat Connect, Palo Alto Networks MineMeld, MISP 등과 같은 TIP(통합 위협 인텔리전스 플랫폼)을 사용합니다.

다른 애플리케이션에서 직접 Microsoft Sentinel 데이터 평면 API를 호출합니다.

참고: 데이터가 API 호출을 수행하여 수집되므로 커넥터의 '상태'가 여기에 '연결됨'으로 표시되지 않습니다.

**다음 단계에 따라 위협 인텔리전스에 연결합니다. **

1. 액세스 토큰 Microsoft Entra ID 가져오기

API에 요청을 보내려면 Microsoft Entra ID 액세스 토큰을 획득해야 합니다. 다음 페이지의 지침을 따를 수 있습니다. /azure/databricks/dev-tools/api/latest/aad/app-aad-token#get-an-azure-ad-access-token

참고: scope 값으로 Microsoft Entra ID 액세스 토큰을 요청하세요. [variables('managementUri')]

2. STIX 개체를 Sentinel 보내기

Upload API를 호출하여 지원되는 STIX 개체 형식을 보낼 수 있습니다. API에 대한 자세한 내용은 여기를 클릭 하세요.

HTTP 메서드: POST

엔드포인트: https://api.ti.sentinel.azure.com/workspaces/[WorkspaceID]/threatintelligence-stix-objects:upload?api-version=2024-02-01-preview

WorkspaceID: STIX 개체가 업로드되는 작업 영역입니다.

헤더 값 1: "권한 부여" = "전달자 [1단계에서 Microsoft Entra ID 액세스 토큰]"

헤더 값 2: "Content-Type" = "application/json"

본문: 본문은 STIX 개체의 배열을 포함하는 JSON 개체입니다.

전송 보안 데이터 커넥터 (코드리스 커넥터 프레임워크 통해)

지원:보안 전송

Transmit Security 데이터 커넥터는 REST API를 통해 Transmit Security 활동 이벤트를 Microsoft Sentinel에 인징할 수 있는 기능을 제공합니다. 자세한 내용은 API 설명서를 참조하세요. 이 커넥터는 Transmit Security 플랫폼에서 이벤트를 받을 수 있는 기능을 제공합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

TransmitSecurityActivity_V2_CL 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

Transmit 보안 API 접근: 전송 보안 API 자격 증명이 필요합니다: 클라이언트 ID, 클라이언트 시크릿, 토큰 엔드포인트, 풀 엔드포인트.

설치 지침:

Transmit 보안 API 접근 설정

API를 사용하기 전에 Transmit Security 플랫폼에서 API 자격 증명을 받아야 합니다.

Transmit Security 관리자 콘솔에 로그인하세요.

API 자격 증명 섹션으로 이동하세요.

새로운 API 클라이언트를 만들거나 기존 자격 증명을 사용하세요.

다음 사항을 메모해 두세요:

클라이언트 ID

클라이언트 암호

토큰 엔드포인트 URL

Pull Endpoint URL (이벤트 API 엔드포인트)

이 자격증들은 다음 단계에서 요구됩니다.

데이터 커넥터 그리드(포털에서 구성)

Trellix 엔드포인트 보안(코드리스 커넥터 프레임워크를 통해)

지원:Microsoft Corporation

Trellix Endpoint Security 데이터 커넥터를 사용하면 Trellix ePO(ePolicy Orchestrator)에서 Microsoft Sentinel 보안 이벤트를 수집할 수 있습니다. 이 커넥터는 OAuth2 클라이언트 자격 증명 인증을 사용하고 자동으로 페이지 매김을 처리하여 위협 탐지, 분석기 정보, 원본 및 대상 시스템 세부 정보 및 위협 대응 작업을 비롯한 포괄적인 엔드포인트 보안 데이터를 수집합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

TrellixEvents 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

설치 지침:

1. API 구성

Trellix ePO API 연결을 구성합니다.

API 기본 URL: (https://api.manage.trellix.com) 인증

인증을 위해 API 키를 제공합니다. x-api-key 헤더로 전송됩니다.

API 키: (API 키 입력)

참고: API 키는 Trellix ePO API를 사용하여 안전하게 저장되고 인증에 사용됩니다.

2. 인증 구성

OAuth2 인증 자격 증명을 구성합니다.

토큰 엔드포인트: (https://iam.cloud.trellix.com/iam/v1.0/token) OAuth2 구성 API 액세스를 위한 OAuth2 클라이언트 자격 증명 구성 에서 Trellix API 권한 부여 모델에 대해 읽어보세요. https://developer.manage.trellix.com/public/mvision/docs/umam

클라이언트 ID: (클라이언트 ID)

클라이언트 암호: (클라이언트 암호)

참고: OAuth2 인증은 API 엔드포인트에 대한 보안 액세스를 제공합니다.

3. 커넥터 사용

Trellix 엔드포인트 보안 커넥터 활성화

커넥터 활성화

구성을 검토하고 커넥터에서 보안 이벤트 수집을 시작할 수 있도록 합니다.

연결 후 연결 사용/사용 안 함

연결한 후 데이터 커넥터 페이지에서 커넥터 상태 모니터링합니다. 데이터는 5-10분 이내에 표시되기 시작해야 합니다.

Trend Micro Cloud App Security (using Azure Functions)

지원:Microsoft Corporation

트렌드 마이크로 클라우드 앱 보안 데이터 커넥터는 클라우드 앱 보안이 보호하는 서비스의 보안 이벤트 로그와 로그 검색 API를 통해 더 많은 이벤트를 Microsoft Sentinel으로 가져올 수 있는 기능을 제공합니다. 자세한 내용은 API 문서를 참조하세요. 커넥터를 사용하면 이벤트 검색을 통해 잠재적인 보안 위험을 평가하고, 공동 작업을 모니터링하고, 구성 문제를 진단하고 해결할 수 있습니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

TrendMicroCAS_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Microsoft.Web/sites 권한: 함수 앱을 만들기 위한 Azure Functions 읽기 및 쓰기 권한이 필요합니다. 자세한 내용은 Azure Functions 참조하세요.

REST API 자격 증명/권한: API 호출을 위해서는 TrendMicroCASToken 과 TrendMicroCASServiceURL 이 필요합니다. API에 대한 자세한 내용은 설명서를 참조하세요.

설치 지침:

참고: 이 커넥터는 Azure Functions 사용하여 Azure Blob Storage API에 연결하여 로그를 Microsoft Sentinel 끌어올 수 있습니다. 이로 인해 데이터 수집 및 데이터를 Azure Blob Storage 비용에 저장하는 추가 비용이 발생할 수 있습니다. 자세한 내용은 Azure Functions 가격 책정 페이지 및 Azure Blob Storage 가격 책정 페이지를 확인하세요.

(선택적 단계) 작업 영역 및 API 권한 부여 키 또는 토큰을 Azure Key Vault 안전하게 저장합니다. Azure Key Vault 키 값을 저장하고 검색하는 보안 메커니즘을 제공합니다. 다음 지침에 따라 Azure 함수 앱에서 Azure Key Vault 사용합니다.

참고: 이 데이터 커넥터는 Microsoft Sentinel 솔루션과 함께 배포된 TrendMicroCAS가 기대되는 대로 작동하기 위해 Kusto 함수 기반 파서에 의존합니다.

STEP 1 - 트렌드 마이크로 로그 검색 API의 구성 단계

지침에 따라 자격 증명을 가져옵니다.

문서를 통해 TrendMicroCASToken을 획득하세요.

데이터 커넥터에서 사용하기 위한 자격 증명을 저장합니다.

2단계 - 커넥터 및 연결된 Azure 함수를 배포하려면 다음 두 가지 배포 옵션 중 하나를 선택합니다.

중요: 트렌드 마이크로 클라우드 앱 보안 데이터 커넥터를 배포하기 전에 Workspace ID와 Workspace Primary Key(아래에서 복사 가능)를 확보하세요.

작업 영역 ID: <설치 시 제공되는 변수 값>

기본 키: <설치 시 제공되는 변수 값>

옵션 1 - ARM(Azure Resource Manager) 템플릿

이 방법을 사용하여 ARM Tempate를 사용하여 트렌드 마이크로 클라우드 앱 보안 데이터 커넥터를 자동 배포할 수 있습니다.

아래 Azure 배포 단추를 클릭합니다.

aka.ms

기본 구독, 리소스 그룹 및 위치를 선택합니다.

참고: 동일한 리소스 그룹 내에서는 Windows 및 Linux 앱을 동일한 지역에 혼합할 수 없습니다. Windows 앱이 없는 기존 리소스 그룹을 선택하거나 새 리소스 그룹을 만듭니다. 3. TrendMicroCASToken, TrendMicroCASServiceURL 을 입력하고 배포합니다. 4. 위에 명시된 사용 약관에 동의함을 표시하는 확인란을 표시합니다. 5. 구매 를 클릭하여 배포합니다.

옵션 2 - Azure Functions 수동 배포

다음 단계별 지침을 사용하여 Azure Functions와 함께 Trend Micro Cloud App Security 데이터 커넥터를 수동으로 배포하세요(Visual Studio Code를 통한 배포).

함수 앱 배포

참고: Azure 함수 개발을 위해 VS 코드를 준비해야 합니다.

Azure 함수 앱 파일을 다운로드합니다. 로컬 개발 컴퓨터에 보관 파일을 추출합니다.

VS Code를 시작합니다. 주 메뉴에서 파일을 선택하고 폴더 열기를 선택합니다.

추출된 파일에서 최상위 폴더를 선택합니다.

작업 표시줄에서 Azure 아이콘을 선택한 다음, Azure: 함수 영역에서 함수에 배포 앱 단추를 선택합니다. 아직 로그인하지 않은 경우 활동 표시줄에서 Azure 아이콘을 선택한 다음, Azure: 함수 영역에서 로그인을 선택하여 Azure 이미 로그인한 경우 다음 단계로 이동합니다.

프롬프트에서 다음 정보를 제공합니다.

a. 폴더 선택: 작업 영역에서 폴더를 선택하거나 함수 앱이 포함된 폴더로 이동합니다.

b. 구독을 선택합니다. 사용할 구독을 선택합니다.

c. Azure 새 함수 앱 만들기를 선택합니다(고급 옵션을 선택하지 않음).

d. 함수 앱의 전역적으로 고유한 이름을 입력합니다 . URL 경로에 유효한 이름을 입력합니다. 입력한 이름은 Azure Functions 고유하도록 유효성을 검사합니다. (예: TMCASXXXXX).

e. 런타임 선택: Python 3.11을 선택합니다.

f. 새 리소스의 위치를 선택합니다. 성능 향상 및 비용 절감을 위해 Microsoft Sentinel 있는 동일한 지역을 선택합니다.

배포가 시작됩니다. 함수 앱이 만들어지고 배포 패키지가 적용된 후 알림이 표시됩니다.

함수 앱 구성에 대한 Azure 포털로 이동합니다.

함수 앱 구성

함수 앱에서 함수 앱 이름을 선택하고 구성을 선택합니다.

애플리케이션 설정 탭에서 새 애플리케이션 설정을 선택합니다.

다음 애플리케이션 설정을 각각 개별 문자열 값(대소문자 구분)으로 추가하세요: TrendMicroCASToken TrendMicroCASServiceURL WorkspaceID WorkspaceKey logAnalyticsUri (선택 사항)

logAnalyticsUri를 사용하여 전용 클라우드에 대한 로그 분석 API 엔드포인트를 재정의합니다. 예를 들어 퍼블릭 클라우드의 경우 값을 비워 둡니다. Azure GovUS 클라우드 환경의 경우 값을 형식https://<CustomerId>.ods.opinsights.azure.us으로 지정합니다.

모든 애플리케이션 설정이 입력되면 저장을 클릭합니다.

트렌드 마이크로 클라우드 앱 보안 (코드리스 커넥터 프레임워크 통해)

지원:Microsoft Corporation

트렌드 마이크로 클라우드 앱 보안 데이터 커넥터는 클라우드 앱 보안이 보호하는 서비스의 보안 이벤트 로그를 SIEM API를 통해 Microsoft Sentinel로 가져올 수 있는 기능을 제공합니다. 이 커넥터는 잠재적 보안 위험을 검토하고, 팀의 협업 활용도를 분석하며, 구성 문제를 진단하는 등 다양한 이벤트를 생성할 수 있는 기능을 제공합니다. 이 프로그램은 DCR 기반 인제스 시간 변환 을 지원하여, 받은 보안 이벤트 데이터를 맞춤 컬럼으로 파싱하여 쿼리가 다시 파싱할 필요가 없도록 하여 더 나은 성능을 제공합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

TrendMicroCASV2_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

트렌드 마이크로 CAS API 토큰: 트렌드 마이크로 클라우드 앱 보안 API 토큰이 필요합니다. 자세한 내용은 트렌드 마이크로 CAS API를 참조하세요.

설치 지침:

1. 트렌드 마이크로 CAS 데이터 스트림 구성

모니터링하고 싶은 클라우드 서비스와 이벤트 유형 조합을 선택하여 하나 이상의 데이터 스트림을 추가하세요.

데이터 커넥터 그리드(포털에서 구성)

추세 Vision One(Azure Functions 사용)

지원:추세 Micro

추세 Vision One 커넥터를 사용하면 Workbench 경고 데이터를 Microsoft Sentinel 쉽게 연결하여 대시보드를 보고, 사용자 지정 경고를 만들고, 모니터링 및 조사 기능을 개선할 수 있습니다. 이렇게 하면 organization 네트워크/시스템에 대한 더 많은 인사이트를 제공하고 보안 작업 기능을 개선합니다.

추세 Vision One 커넥터는 Microsoft Sentinel 오스트레일리아 동부, 오스트레일리아 남동부, 브라질 남부, 캐나다 중부, 캐나다 동부, 인도 중부, 미국 중부, 동아시아, 미국 동부, 미국 동부 2, 프랑스 중부, 일본 동부, 한국 중부, 미국 중북부, 북유럽, 노르웨이 동부, 남아프리카 공화국 북부, 미국 중남부, 동남 아시아, 스웨덴 중부, 스위스 북부, 스위스 북부, UAE 북부, 영국 남부, 영국 서부, 서유럽, 미국 서부, 미국 서부 2, 미국 서부 3.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

TrendMicro_XDR_WORKBENCH_CL 예 예

TrendMicro_XDR_RCA_Task_CL 아니요 아니요

TrendMicro_XDR_RCA_Result_CL 아니요 아니요

TrendMicro_XDR_OAT_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Microsoft.Web/sites 권한: 함수 앱을 만들기 위한 Azure Functions 읽기 및 쓰기 권한이 필요합니다. 자세한 내용은 Azure Functions 참조하세요.

추세 Vision One API 토큰: 추세 Vision One API 토큰이 필요합니다. 추세 Vision One API에 대한 자세한 내용은 설명서를 참조하세요.

설치 지침:

참고: 이 커넥터는 Azure Functions 사용하여 추세 Vision One API에 연결하여 로그를 Microsoft Sentinel 끌어올 수 있습니다. 이로 인해 추가 데이터 수집 비용이 발생할 수 있습니다. 자세한 내용은 Azure Functions 가격 책정 페이지를 확인하세요.

(선택적 단계) 작업 영역 및 API 권한 부여 키 또는 토큰을 Azure Key Vault 안전하게 저장합니다. Azure Key Vault 키 값을 저장하고 검색하는 보안 메커니즘을 제공합니다. 다음 지침에 따라 Azure 함수 앱에서 Azure Key Vault 사용합니다.

1단계 - 추세 Vision One API에 대한 구성 단계

다음 지침에 따라 계정 및 API 인증 토큰을 만듭니다.

2단계 - 아래 배포 옵션을 사용하여 커넥터 및 연결된 Azure 함수 배포

중요: 추세 Vision One 커넥터를 배포하기 전에 작업 영역 ID 및 작업 영역 기본 키(다음에서 복사할 수 있음)와 추세 Vision One API 권한 부여 토큰을 쉽게 사용할 수 있습니다.

작업 영역 ID: <설치 시 제공되는 변수 값>

기본 키: <설치 시 제공되는 변수 값>

ARM(Azure Resource Manager) 템플릿 배포

이 메서드는 ARM Tempate를 사용하여 추세 Vision One 커넥터의 자동화된 배포를 제공합니다.

아래 Azure 배포 단추를 클릭합니다.

aka.ms

기본 구독, 리소스 그룹 및 위치를 선택합니다.

고유한 함수 이름, 작업 영역 ID, 작업 영역 키, API 토큰 및 지역 코드를 입력합니다.

참고: 추세 Vision One instance 배포되는 위치에 따라 적절한 지역 코드를 제공합니다. us, eu, au, in, sg, jp

참고: 위의 값에 Azure Key Vault 비밀을 사용하는 경우 문자열 값 대신 스키마를 사용합니다@Microsoft.KeyVault(SecretUri={Security Identifier}). 자세한 내용은 Key Vault 참조 설명서를 참조하세요.

위에 명시된 사용 약관에 동의함을 표시하는 확인란을 표시합니다.

구매를 클릭하여 배포합니다.

TrendAI Vision One™ - OAT 감지 (코드리스 커넥터 프레임워크 통해)

지원:TrendAI

TrendAI Vision One™ OAT 데이터 커넥터는 TrendAI Vision One™에서 감지된 공격 기법(OAT) 탐지를 Microsoft Sentinel로 통합합니다. 탐지에는 전체 프로세스 트리, 파일 해시, 네트워크 표시기, MITRE ATT&CK 매핑이 포함됩니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

TrendAI_XDR_OAT_V2_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

설치 지침:

⚠️ 중요: 토큰 순환 및 데이터 손실

API 토큰이 만료되거나 교체가 필요할 때, 이 커넥터를 분리했다가 새 토큰으로 다시 연결해야 합니다. 연결 해제 기간 동안 생성된 이벤트는 자동으로 수집되지 않습니다.

데이터 손실을 최소화하기 위해:

현재 API 토큰이 만료되기 전에 새 API 토큰을 생성하세요

연결 해제/재연결 시간을 최소화하세요(몇 시간이 아니라 몇 초)

재연결 후 필요 시 OAT Detections API를 사용해 갭 기간 동안의 이벤트를 수동으로 조회하세요

TrendAI Vision One™ API 토큰을 조회하세요

TrendAI Vision One™ 콘솔에 로그인하세요

API 키→ 관리 탐색

API 키 추가를 클릭하고 SIEM 역할을 선택한 후 토큰을 복사합니다

API 토큰: (TrendAI Vision One™ API 토큰을 여기에 붙여넣으세요)

TMV1-Filter (선택사항): ((riskLevel eq 'high') 및 (endpointName eq 'my-computer'))

연결 사용/사용 안 함

TrendAI Vision One™ - 워크벤치 알림 (코드리스 커넥터 프레임워크 통해)

지원:TrendAI

TrendAI Vision One™ Workbench 데이터 커넥터는 TrendAI Vision One™에서 보안 알림을 Microsoft Sentinel로 인징합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

TrendAI_XDR_WORKBENCH_V2_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

설치 지침:

⚠️ 중요: 토큰 순환 및 데이터 손실

API 토큰이 만료되거나 교체가 필요할 때, 이 커넥터를 분리했다가 새 토큰으로 다시 연결해야 합니다. 연결 해제 기간 동안 생성된 이벤트는 자동으로 수집되지 않습니다.

데이터 손실을 최소화하기 위해:

현재 API 토큰이 만료되기 전에 새 API 토큰을 생성하세요

연결 해제/재연결 시간을 최소화하세요(몇 시간이 아니라 몇 초)

재연결 후 필요하다면 Workbench Alerts API를 사용해 TrendAI Vision One API에 공백기 기간 동안의 이벤트를 수동으로 조회하세요

TrendAI Vision One™ API 토큰을 조회하세요

TrendAI Vision One™ 콘솔에 로그인하세요

API 키→ 관리 탐색

API 키 추가를 클릭하고 SIEM 역할을 선택한 후 토큰을 복사합니다

API 토큰: (TrendAI Vision One™ API 토큰을 여기에 붙여넣으세요)

TMV1-Filter (선택사항): (investigationStatus eq 'New' 및 includes(impactScopeEntityValue,'nimda'))

연결 사용/사용 안 함

Tropico 보안 - 경고

지원:TROPICO 보안

Tropico Security Platform의 보안 경고를 OCSF 보안 검색 형식으로 수집합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

{{graphQueriesTableName}} 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

설치 지침:

Tropico 보안 플랫폼 연결

Tropico 설정에서 읽기 전용 API 키를 입력합니다.

API 키: (trop_xxxx...)

연결 사용/사용 안 함

Tropico 보안 - 이벤트

지원:TROPICO 보안

Tropico Security Platform의 보안 이벤트를 OCSF 보안 검색 형식으로 수집합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

{{graphQueriesTableName}} 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

설치 지침:

Tropico 보안 플랫폼 연결

Tropico 설정에서 읽기 전용 API 키를 입력합니다.

API 키: (trop_xxxx...)

연결 사용/사용 안 함

Tropico 보안 - 인시던트

지원:TROPICO 보안

Tropico Security Platform에서 공격자 세션 인시던트 수집

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

{{graphQueriesTableName}} 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

설치 지침:

Tropico 보안 플랫폼 연결

Tropico 설정에서 읽기 전용 API 키를 입력합니다.

API 키: (trop_xxxx...)

연결 사용/사용 안 함

유니키키 보안 이벤트

지원:Uniqkey

Uniqkey 커넥터는 Uniqkey 비즈니스 비밀번호 관리 플랫폼에서 보안 및 감사 이벤트를 Microsoft Sentinel로 인징합니다. 행사는 인증, 자격 증명 접근, 자격 증명 관리, 공유, 정책 관리, 위협 탐지 및 조직 전반의 기타 관리 활동을 포함합니다.

필수 구성 요소:

활발한 유니키(Uniqkey) 조직

Uniqkey 관리자가 생성하는 Uniqkey SIEM 통합 API 토큰입니다

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

UniqkeyEvents_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Uniqkey SIEM API 토큰: Uniqkey SIEM 통합 API 토큰이 필요합니다. Uniqkey 관리자는 Uniqkey 관리자 포털의 설정 > 통합 > SIEM에서 하나를 생성할 수 있습니다.

설치 지침:

1. Uniqkey SIEM API 토큰을 획득하기

Uniqkey 관리자 포털에 관리자 계정으로 로그인하세요

설정 >> 으로 이동 통합 SIEM

새로운 API 토큰 생성

토큰을 복사해서 안전하게 저장하세요 - 조직의 이벤트 피드에 대한 읽기 권한을 부여합니다. 각 유니키(Uniqkey) 조직은 자체 토큰을 사용합니다.

2. 연결

아래에 Uniqkey SIEM API 토큰을 입력한 후 Connect를 선택하세요. Microsoft Sentinel이 사용자를 대신해 Uniqkey 이벤트 엔드포인트를 폴링하기 시작합니다.

Uniqkey SIEM API 토큰: (API 토큰 입력)

연결 사용/사용 안 함

Upwind Catalog Loader (인제스티션 API)

지원:Upwind

Upwind Catalog Loader data connector는 Azure 함수와 Azure Monitor Ingestion API (DCE/DCR)를 사용해 Upwind 클라우드 보안 플랫폼에서 컴퓨팅 플랫폼 자산을 Microsoft Sentinel 커스텀 테이블에 인제스트합니다.

Upwind는 클라우드 상태와 라이브 워크로드 컨텍스트의 상관 관계를 지정하는 런타임 기반 클라우드 보안을 제공합니다. 이 커넥터는 AWS, GCP, Azure 전반에 걸친 컴퓨팅 플랫폼 자산인 Upwind 인벤토리 카탈로그를 Microsoft Sentinel로 직접 전달하여 상관관계, 헌팅, 사고 강화를 지원합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

UpwindCatalogAssets_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Microsoft.Web/sites 권한: 함수 앱을 만들기 위한 Azure Functions 읽기 및 쓰기 권한이 필요합니다. 자세한 내용은 Azure Functions 참조하세요.

Upwind API 자격 증명: Upwind API 클라이언트 ID 및 클라이언트 암호가 필요합니다. 설정 → API 키 아래의 Upwind 플랫폼에서 이러한 키를 가져옵니다. 클라이언트 자격 증명은 전달자 토큰을 얻기 위해 인증 https://auth.upwind.io/oauth/token 하는 데 사용됩니다.

Upwind Organization ID: Upwind Organization ID가 필요합니다. 설정 → 조직의 Upwind 플랫폼에서 찾을 수 있습니다.

설치 지침:

참고: 이 커넥터는 Azure Functions 및 Azure Monitor Ingestion API (DCE/DCR)를 사용하여 Upwind 카탈로그 자산을 Microsoft Sentinel 에 push합니다. ARM 템플릿은 데이터 컬렉션 엔드포인트, 사용자 지정 로그 테이블(UpwindCatalogAssets_CL), 데이터 수집 규칙 및 역할 할당을 자동으로 만듭니다. 이로 인해 추가 데이터 수집 비용이 발생할 수 있습니다. 자세한 내용은 Azure Functions 가격 책정 페이지 및 Azure 모니터링 가격 책정 페이지를 확인하세요.

(선택 사항) Upwind 클라이언트 비밀을 Azure Key Vault에 안전하게 저장하세요. Key Vault 검색을 활성화하는 앱 설정과 UPWIND_SECRET_NAME 설정을 하세요KEY_VAULT_URI. Key Vault가 설정되어 있지 않으면 이 기능은 앱 설정으로 UPWIND_CLIENT_SECRET 되돌아가게 됩니다.

1단계 - Upwind API 자격 증명 가져오기

Upwind 플랫폼에 로그인합니다.

설정 → API 키로 이동합니다.

새 API 키를 만들고 클라이언트 ID 및 클라이언트 암호를 기록해 둡니다.

설정 → 조직으로 이동하여 조직 ID를 적어 둡니다.

2단계 - Azure 함수 앱 배포

배포를 클릭하여 Azure 매개 변수를 입력합니다. 템플릿은 DCE, 테이블, UpwindCatalogAssets_CL DCR, 역할 할당 및 함수 앱을 자동으로 만듭니다.

portal.azure.com

채울 매개 변수:

매개 변수 설명

WorkspaceName Log Analytics/Microsoft Sentinel 작업 영역의 이름

WorkspaceResourceGroup (선택사항) 배포하는 작업 공간과 다를 경우, 해당 작업 공간을 포함하는 자원 그룹입니다

UpwindOrgId 1단계의 Upwind 조직 ID

UpwindClientId 1단계의 Upwind API 클라이언트 ID

UpwindClientSecret 1단계의 Upwind API 클라이언트 암호

AppInsightsWorkspaceResourceID Log Analytics 작업 영역의 전체 리소스 ID( Log Analytics 작업 영역 → 속성에서)

UpwindThreatLookbackMinutes (선택 사항, 기본 90) 위협 감지, 위협 이벤트, 위협 스토리, 구성 결과를 위한 몇 분 단위의 룩백 윈도우

작업 영역 ID: <설치 시 제공되는 변수 값>

Utimaco Enterprise Secure Key Manager (ESKM)

지원:Utimaco

Utimaco ESKM 커넥터는 Utimaco Enterprise Secure Key Manager(ESKM)에서 Microsoft Sentinel로 KMIP 서버 로그를 인수합니다.

기본 인증(사용자 이름/비밀번호)을 지원합니다.

자세한 정보는 Utimaco ESKM 문서에서 확인할 수 있습니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

UtimacoESKMKmipServerLogs_CL 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

Utimaco ESKM 계정 자격 증명: ESKM 관리 API에 인증하려면 Utimaco ESKM 계정 자격 증명(사용자 이름과 비밀번호)이 필요합니다. Utimaco ESKM 문서를 참조하세요.

설치 지침:

1단계 - 선수 조건

관리 API 접근 권한이 있는 Utimaco ESKM 관리 계정이 있는지 확인하세요. ESKM 장비의 기본 URL을 참고하세요(보통 https://<eskm-host>:8443).

2단계 - Utimaco ESKM 연결

아래에 Utimaco ESKM 관리 API 기본 URL과 계정 정보를 제공한 후 Connect를 클릭하세요.

API 기본 URL: (https://< eskm-host>:8443)

사용자 이름: (사용자 이름 입력)

비밀번호: (비밀번호 입력)

연결 사용/사용 안 함

Vaikora AI 에이전트 동작 신호

지원:Data443 위험 완화, Inc.

CCF(Codeless Connector Framework)를 사용하여 Vaikora API에서 Microsoft Sentinel AI 에이전트 동작 신호를 수집합니다. 에이전트 작업, 정책 결정, 변칙 점수 및 위험 수준을 모니터링하여 사용자 환경에서 의심스러운 AI 활동을 검색합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

Vaikora_AgentSignals_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Vaikora API 키: 작업 엔드포인트에 대한 읽기 액세스 권한이 있는 Vaikora API 키(vk_xxxxx)입니다. 설정 > API 키 아래의 Vaikora dashboard 이 값을 가져옵니다.

설치 지침:

Vaikora AI 에이전트 동작 신호 연결

Vaikora 커넥터를 사용하도록 설정하려면 아래의 Vaikora API 키를 입력하고 연결을 클릭합니다. 에이전트 ID는 선택 사항입니다. 단일 에이전트에 대한 수집을 scope 데 사용하거나 키가 볼 수 있는 모든 에이전트에서 작업을 수집하기 위해 비워 둡니다.

API 키는 아래> 사용할 수 있습니다. 에이전트 ID는 각 에이전트의 세부 정보 페이지에 표시된 UUID입니다.

Vaikora API 키: (vk_xxxxxxxxxxxxxxxxxxxxxxxx)

Vaikora 에이전트 ID(선택 사항): (모든 에이전트를 모니터링하려면 비워 둡니다.)

연결 사용/사용 안 함

Valimail 구성 이벤트 적용

지원:Valimail

Valimail 구성 이벤트 데이터 커넥터를 사용하면 Valimail의 Reporting API에서 전자 메일 도메인의 구성 이벤트를 Microsoft Sentinel 수집할 수 있습니다. 데이터 커넥터는 Microsoft Sentinel Codeless Connector Framework를 기반으로 합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

ValimailEnforceEvents_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

설치 지침:

Valimail 이벤트 API에 대한 구성 단계는 가이드의 지침에 따라 보고 API 자격 증명 집합을 생성합니다. 만든 클라이언트 ID 및 앱 ID 키를 저장합니다.

클라이언트 계정 슬러그: (계정 슬러그)

API 클라이언트 ID: (클라이언트 ID 자격 증명)

API 앱 ID: (앱 ID 자격 증명)

연결 사용/사용 안 함

Varonis Purview 푸시 커넥터

지원 대상:Varonis

Varonis Purview 커넥터는 Varonis에서 Microsoft Purview로 리소스를 동기화하는 기능을 제공합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

VaronisResources_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Microsoft Entra: Microsoft Entra ID 앱 등록을 만들 수 있는 권한입니다. 일반적으로 Entra ID 애플리케이션 개발자 역할 이상이 필요합니다.

Microsoft Azure: DCR(데이터 수집 규칙)에 대한 모니터링 메트릭 게시자 역할을 할당할 수 있는 권한입니다. 일반적으로 AZURE RBAC 소유자 또는 사용자 액세스 관리자 역할이 필요합니다.

설치 지침:

1. Varonis Resoources에 대한 수집을 설정하려면 이 명령을 실행합니다.

이렇게 하면 DCR에 데이터를 안전하게 보내는 데 필요한 Log Analytics 테이블, DCR(데이터 수집 규칙) 및 Entra 애플리케이션이 생성됩니다.

Entra 애플리케이션을 사용하여 자동화된 구성 및 보안 데이터 수집 "배포"를 클릭하면 Log Analytics 테이블 및 DCR(데이터 수집 규칙)의 생성이 트리거됩니다. 그런 다음, Entra 애플리케이션을 만들고, DCR을 연결하고, 애플리케이션에 입력한 비밀을 설정합니다. 이 설정을 사용하면 Entra 토큰을 사용하여 데이터를 DCR로 안전하게 보낼 수 있습니다.

2. 작업 영역에 로그 푸시

다음 매개 변수를 사용하여 Varonis 통합 dashboard Varonis Purview Connector를 구성합니다.

테넌트 ID(디렉터리 ID): <설치 시 제공되는 변수 값>

Entra 앱 등록 애플리케이션 ID: <설치 시 제공되는 변수 값>

Entra 앱 등록 비밀: <설치 시 제공되는 변수 값>

데이터 수집 엔드포인트 Uri: <설치 시 제공되는 변수 값>

데이터 수집 규칙 변경할 수 없는 ID: <설치 시 제공되는 변수 값>

리소스 Stream 이름: <설치 시 제공되는 변수 값>

Varonis SaaS (Push)

지원 대상:Varonis

Varonis SaaS 커넥터는 Codeless Connector Framework(CCF) Push 패턴을 사용하여 Varonis 애플리케이션에서 실시간 DatAlert 보안 알림을 Microsoft Sentinel로 직접 푸시할 수 있는 기능을 제공합니다. Varonis는 데이터 액세스를 위한 심층 데이터 가시성, 분류 기능 및 자동화된 수정의 우선 순위를 지정합니다. 이 커넥터는 경고 심각도, 이벤트 유형, 사용자 정보 및 관련 세부 정보를 맞춤 Log Analytics 테이블에 수집하여 분석, 알림 및 시각화를 지원합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

VaronisAlertsV2_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Microsoft Entra: Microsoft Entra ID 앱 등록을 만들 수 있는 권한입니다. 일반적으로 Entra ID 애플리케이션 개발자 역할 이상이 필요합니다.

Microsoft Azure: DCR(데이터 수집 규칙)에 대한 모니터링 메트릭 게시자 역할을 할당할 수 있는 권한입니다. 일반적으로 AZURE RBAC 소유자 또는 사용자 액세스 관리자 역할이 필요합니다.

설치 지침:

1. ARM 리소스 만들기 및 필요한 권한 제공

이 커넥터는 Varonis SaaS 애플리케이션이 Azure Monitor Ingestion API를 통해 DatAlert 보안 알림을 직접 Microsoft Sentinel에 전달할 수 있게 해줍니다.

Entra 애플리케이션을 이용한 자동 구성 및 보안 데이터 수집 "배포"를 클릭하면 Log Analytics 테이블과 데이터 수집 규칙(DCR)이 생성됩니다. 그런 다음, Entra 애플리케이션을 만들고, DCR을 연결하고, 애플리케이션에 입력한 비밀을 설정합니다. 이 설정을 사용하면 Entra 토큰을 사용하여 데이터를 DCR로 안전하게 보낼 수 있습니다.

2. Varonis 애플리케이션 구성

다음 매개변수를 사용하여 Varonis SaaS 애플리케이션을 구성하여 DatAlert 알림을 작업 공간에 전달하세요.

테넌트 ID(디렉터리 ID): <설치 시 제공되는 변수 값>

Entra 앱 등록 애플리케이션 ID: <설치 시 제공되는 변수 값>

Entra 앱 등록 비밀: <설치 시 제공되는 변수 값>

데이터 수집 엔드포인트 Uri: <설치 시 제공되는 변수 값>

데이터 수집 규칙 변경할 수 없는 ID: <설치 시 제공되는 변수 값>

스트림 이름: <설치 시> 제공된 변수 값 Varonis SaaS 애플리케이션 구성 위 자격 증명으로 Varonis SaaS 애플리케이션 구성을 업데이트하여 DatAlert 알림 푸시를 Microsoft Sentinel로 활성화합니다.

벡트라 RUX 보안 데이터 커넥터 (코드리스 커넥터 프레임워크 통해)

지원:Vectra 지원

Vectra RUX 데이터 커넥터는 Codeless Connector 프레임워크(CCF)를 사용하여 REST API를 통해 Vectra AI 플랫폼의 보안 데이터를 Microsoft Sentinel에 인징할 수 있게 해줍니다. 이 커넥터는 OAuth2 클라이언트 자격 증명을 사용하여 3개의 데이터 스트림을 지원합니다:
- 탐지: 보안 탐지, 분류 상태별로 필터링됨.
- 봉쇄: 개체 격리 및 격리 상태. 실시간 상태는 5분마다 캡처됩니다.
- 엔터티: 점수, 할당, 풍부화 데이터를 보유한 호스트 및 계정 엔티티로, 마지막 수정 시간 순으로 점진적으로 수집됩니다.

이 커넥터는 Microsoft Sentinel Codeless Connector Framework 기반으로 구축되었으며, 최적화된 쿼리 성능을 위해 DCR 기반 인제스 시간 변환을 지원합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

Detections_Data_CCF_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Vectra RUX API 접근: 각 데이터 스트림에 대해 적절한 권한을 가진 Vectra RUX API 접근이 필요합니다.

설치 지침:

1. 벡트라 RUX 연결 설정

Vectra RUX에 연결하고 데이터 스트림을 선택하세요

벡트라 RUX 데이터 커넥터 구성

Vectra RUX 연결을 설정하고 수집할 데이터 스트림을 선택하세요. 각 스트림은 Vectra AI 플랫폼에서 제공하는 다양한 보안 데이터를 제공합니다.

데이터 커넥터 그리드(포털에서 구성)

참고: 연결을 추가한 후 탐지 스트림은 5분마다 위치 기반 체크포인트 커서(PersistentToken) 기반 폴링을 수행합니다. 커서는 포드 재시작과 긴 페이지네이션 실행에도 살아남으며; 클럭 드리프트나 느린 페이지로 인해 이벤트가 조용히 건너뛰지 않습니다. 첫 번째 폴링 시딩: 연결을 생성할 때 기록 시작 시점이 아닌 현재 이벤트 위치에서 수집을 시작하도록 값을 제공 detectionsStartingCheckpoint 하세요.

참고: 연결 추가 시 속도 제한 문제 해결(HTTP 429 오류):

근본 원인: 벡트라 RUX가 악용을 방지하기 위해 API 요청을 제한합니다

해결책: 각 데이터 스트림 연결마다 Vectra에서 별도의 API 클라이언트를 생성하세요

검증: 각 커넥터 인스턴스가 서로 다른 clientId 자격 증명을 사용하는지 확인하세요

배포 전략: 여러 스트림을 동시에 추가할 때 OAuth2 요청 충돌을 방지하기 위해 연결 생성을 최소 1분 간격으로 지연시킵니다

2. 데이터 수집을 모니터링하고 검증합니다

데이터 수집을 모니터링하고 연결 상태를 검증합니다

구성 후 단계

연결 상태 모니터링: 데이터 커넥터 페이지에서 연결 상태를 확인하세요.

Data Flow 검증: 제공된 샘플 쿼리를 사용하여 데이터가 수집되고 있는지 검증합니다.

커넥터 상태 검토(선택 사항): 표는 SentinelHealth 각 데이터 스트림의 폴링 사이클별 상태를 제공하며, 인증, 네트워크 및 인제스트 오류에 대한 실패 원인을 포함합니다. 기본적으로는 사용하지 않도록 설정되어 있습니다. 활성화 방법: Health and Audit → Settings 탭Microsoft Sentinel → → Settings에서 데이터 커넥터 건강 모니터링을 켜세요. 전체 지침은 'Microsoft Sentinel 건강 모니터링 활성화'를 참조하세요. 활성화되면다음 쿼리를 실행하여 커넥터 폴 상태를 확인하세요:

SentinelHealth | where TimeGenerated > ago(24h) | where SentinelResourceType == "Data connector" | project TimeGenerated, SentinelResourceName, Status, Description, Reason | order by TimeGenerated desc

Stream-Specific 주석

탐지: 기본적으로 분류된 탐지()를 필터링합니다 (include_triaged=false).

참고: PersistentToken 체크포인트 모드 (탐지)

Detections 폴러는 Vectra PersistentToken API가 반환한 값이 next_checkpoint CCF에 저장되어 다음 폴링 사이클에 다시 from=<checkpoint> 전달됩니다. 이는 위치 기반(단조 id기반)이지 시간 기반이 아니므로, 느린 페이지네이션이나 포드 재시작이 무음 데이터 공백을 일으키지 않습니다.

콜드 스타트 동작: 배치 후 첫 번째 폴링에서 CCF가 from=<detectionsStartingCheckpoint> 시작 커서로 보냅니다. 이 커서 위치에서 인지션이 시작되어 과거 적체가 발생하지 않도록 합니다. 첫 번째 폴링이 완료되면, PersistentToken은 반환 next_checkpoint 된 값을 영구화하며, 이후 모든 폴링은 저장된 값을 자동으로 사용합니다.

Vectra XDR(Azure Functions 사용)

지원:Vectra 지원

Vectra XDR 커넥터는 Vectra REST API를 통해 Vectra 검색, 감사, 엔터티 채점, 잠금, 상태 및 엔터티 데이터를 Microsoft Sentinel 수집하는 기능을 제공합니다. 자세한 내용은 API 설명서: https://support.vectra.ai/s/article/KB-VS-1666 를 참조하세요.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

Detections_Data_CL 예 예

Audits_Data_CL 예 예

Entity_Scoring_Data_CL 예 예

Lockdown_Data_CL 예 예

Health_Data_CL 예 예

Entities_Data_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Microsoft.Web/sites 권한: 함수 앱을 만들기 위한 Azure Functions 읽기 및 쓰기 권한이 필요합니다. 자세한 내용은 Azure Functions 참조하세요.

REST API 자격 증명/권한: 상태, 엔터티 점수 매기기, 엔터티, 검색, 잠금 및 감사 데이터 수집에는 Vectra 클라이언트 ID 및 클라이언트 암호 가 필요합니다. 의 API https://support.vectra.ai/s/article/KB-VS-1666에 대한 자세한 내용은 설명서를 참조하세요.

설치 지침:

참고: 이 커넥터는 Azure Functions 사용하여 Vectra API에 연결하여 로그를 Microsoft Sentinel 끌어올 수 있습니다. 이로 인해 추가 데이터 수집 비용이 발생할 수 있습니다. 자세한 내용은 Azure Functions 가격 책정 페이지를 확인하세요.

(선택적 단계) 작업 영역 및 API 권한 부여 키 또는 토큰을 Azure Key Vault 안전하게 저장합니다. Azure Key Vault 키 값을 저장하고 검색하는 보안 메커니즘을 제공합니다. 다음 지침에 따라 Azure 함수 앱에서 Azure Key Vault 사용합니다.

참고: 이 데이터 커넥터는 Kusto 함수를 기반으로 하는 파서에 따라 예상대로 작동합니다. 검색 파서, 감사 파서, 엔터티 점수 매기기 파서, 잠금 파서 및 상태 파서에 대해 다음 단계에 따라 Kusto 함수 별칭, VectraDetections, VectraAudits, VectraEntityScoring, VectraLockdown 및 VectraHealth를 만듭니다.

1단계 - Vectra API 자격 증명에 대한 구성 단계

다음 지침에 따라 Vectra 클라이언트 ID 및 클라이언트 암호를 만듭니다.

Vectra 포털에 로그인

관리로 이동 -> API 클라이언트

API 클라이언트 페이지에서 'API 클라이언트 추가'를 선택하여 새 클라이언트를 만듭니다.

클라이언트 이름을 추가하고 역할을 선택하고 자격 증명 생성을 클릭하여 클라이언트 자격 증명을 가져옵니다.

안전하게 보관하려면 클라이언트 ID 및 비밀 키를 기록해야 합니다. Vectra API에서 액세스 토큰을 가져오려면 이러한 두 가지 정보가 필요합니다. 모든 Vectra API 엔드포인트를 요청하려면 액세스 토큰이 필요합니다.

2단계 - Microsoft Entra ID 애플리케이션에 대한 앱 등록 단계

이 통합에는 Azure Portal 앱 등록이 필요합니다. 이 섹션의 단계에 따라 Microsoft Entra ID 새 애플리케이션을 만듭니다.

Azure 포털에 로그인합니다.

Microsoft Entra ID 검색하여 선택합니다.

관리에서 새 등록 앱 등록 > 선택합니다.

애플리케이션의 표시 이름을 입력합니다.

등록을 선택하여 초기 앱 등록을 완료합니다.

등록이 완료되면 Azure Portal 앱 등록의 개요 창이 표시됩니다. 애플리케이션(클라이언트) ID 및 테넌트 ID가 표시됩니다. 클라이언트 ID 및 테넌트 ID는 Vectra Data Connector 실행을 위한 구성 매개 변수로 필요합니다.

참조 링크:/azure/active-directory/develop/quickstart-register-app

3단계 - Microsoft Entra ID 애플리케이션에 대한 클라이언트 암호 추가

애플리케이션 암호라고도 하는 클라이언트 암호는 Vectra Data Connector를 실행하는 데 필요한 문자열 값입니다. 이 섹션의 단계에 따라 새 클라이언트 암호를 만듭니다.

Azure Portal 앱 등록 애플리케이션을 선택합니다.

인증서 & 비밀 > 클라이언트 비밀 새 클라이언트 비밀을 >선택합니다.

클라이언트 비밀에 대한 설명을 추가합니다.

비밀에 대한 만료를 선택하거나 사용자 지정 수명을 지정합니다. 한도는 24개월입니다.

추가를 선택합니다.

클라이언트 애플리케이션 코드에서 사용할 비밀 값을 기록합니다. 이 비밀 값은 이 페이지를 떠난 후에 다시는 표시되지 않습니다. 비밀 값은 Vectra Data Connector 실행을 위한 구성 매개 변수로 필요합니다.

참조 링크:/azure/active-directory/develop/quickstart-register-app#add-a-client-secret

4단계 - Microsoft Entra ID 애플리케이션의 개체 ID 가져오기

앱 등록을 만든 후 이 섹션의 단계에 따라 개체 ID를 가져옵니다.

Microsoft Entra ID 이동합니다.

왼쪽 메뉴에서 엔터프라이즈 애플리케이션 을 선택합니다.

목록에서 새로 만든 애플리케이션을 찾습니다(제공한 이름으로 검색할 수 있습니다).

애플리케이션을 클릭합니다.

개요 페이지에서 개체 ID를 복사합니다. ARM 템플릿 역할 할당에 필요한 AzureEntraObjectId 입니다.

5단계 - Microsoft Entra ID 애플리케이션에 기여자 역할 할당

이 섹션의 단계에 따라 역할을 할당합니다.

Azure Portal 리소스 그룹으로 이동하여 리소스 그룹을 선택합니다.

왼쪽 패널에서 액세스 제어(IAM) 로 이동합니다.

추가를 클릭한 다음 역할 할당 추가를 선택합니다.

역할로 기여자를 선택하고 다음을 클릭합니다.

에 대한 액세스 할당에서 를 선택합니다User, group, or service principal.

구성원 추가를 클릭하고 만든 앱 이름을 입력 하고 선택합니다.

이제 검토 + 할당을 클릭한 다음 검토 + 할당을 다시 클릭합니다.

참조 링크:/azure/role-based-access-control/role-assignments-portal

6단계 - Keyvault 만들기

다음 지침에 따라 새 Keyvault를 만듭니다.

Azure Portal 키 자격 증명 모음으로 이동하여 만들기를 클릭합니다.

Subsciption, Resource Group을 선택하고 keyvault의 고유한 이름을 제공합니다.

7단계 - Keyvault에서 액세스 정책 만들기

다음 지침에 따라 Keyvault에서 액세스 정책을 만듭니다.

keyvaults로 이동하고, keyvault를 선택하고, 왼쪽 패널에서 액세스 정책으로 이동하고, 만들기를 클릭합니다.

모든 키 & 비밀 권한을 선택합니다. 다음을 클릭합니다.

보안 주체 섹션에서 STEP - 2에서 생성된 애플리케이션 이름으로 검색합니다. 다음을 클릭합니다.

참고: Key Vault 액세스 구성의 권한 모델이 '자격 증명 모음 액세스 정책'으로 설정되어 있는지 확인합니다.

8단계 - 다음 두 배포 옵션 중 하나를 선택하여 커넥터 및 연결된 Azure 함수를 배포합니다.

중요: Vectra 데이터 커넥터를 배포하기 전에 Vectra API 권한 부여 자격 증명을 쉽게 사용할 수 있습니다.

옵션 1 - ARM(Azure Resource Manager) 템플릿

Vectra 커넥터의 자동화된 배포에 이 메서드를 사용합니다.

아래 Azure 배포 단추를 클릭합니다.

aka.ms aka.ms

기본 구독, 리소스 그룹 및 위치를 선택합니다.

아래 정보를 입력합니다. 함수 이름 작업 영역 이름 Vectra 기본 URL(https://< vectra-portal-url>) Vectra 클라이언트 ID - 상태 Vectra 클라이언트 비밀 키 - 상태 Vectra 클라이언트 ID - 엔터티 채점 Vectra 클라이언트 암호 - 엔터티 채점 Vectra 클라이언트 ID - 검색 Vectra 클라이언트 비밀 - 검색 Vectra 클라이언트 ID - Vectra 클라이언트 암호 감사 - Vectra 클라이언트 ID 감사 - 잠금 Vectra 클라이언트 암호 - 잠금 Vectra 클라이언트 ID - Host-Entity Vectra 클라이언트 암호 - Host-Entity Vectra 클라이언트 ID - Account-Entity Vectra 클라이언트 암호 - Account-Entity Key Vault 이름 Azure 클라이언트 ID Azure 클라이언트 비밀 테넌트 ID Azure Entra ObjectID StartTime(MM/DD/YYYY HH:MM:SS 형식) 포함 점수 감소 감사 테이블 이름 검색 테이블 이름 엔터티 채점 테이블 이름 잠금 테이블 이름 상태 테이블 이름 엔터티 테이블 이름 검색 로그 수준에서 그룹 세부 정보 제외(기본값: INFO) 잠금 일정 상태 일정 검색 일정 감사 일정 엔터티 점수 매기기 일정 엔터티 일정

위에 명시된 사용 약관에 동의함을 표시하는 확인란을 표시합니다.

구매를 클릭하여 배포합니다.

옵션 2 - Azure Functions 수동 배포

다음 단계별 지침을 사용하여 Azure Functions 사용하여 Vectra 데이터 커넥터를 수동으로 배포합니다(Visual Studio Code 통해 배포).

함수 앱 배포

참고: Azure 함수 개발을 위해 VS 코드를 준비해야 합니다.

Azure 함수 앱 파일을 다운로드합니다. 로컬 개발 컴퓨터에 보관 파일을 추출합니다.

VS Code를 시작합니다. 주 메뉴에서 파일을 선택하고 폴더 열기를 선택합니다.

추출된 파일에서 최상위 폴더를 선택합니다.

작업 표시줄에서 Azure 아이콘을 선택한 다음, Azure: 함수 영역에서 함수에 배포 앱 단추를 선택합니다. 아직 로그인하지 않은 경우 활동 표시줄에서 Azure 아이콘을 선택한 다음, Azure: 함수 영역에서 로그인을 선택하여 Azure 이미 로그인한 경우 다음 단계로 이동합니다.

프롬프트에서 다음 정보를 제공합니다.

a. 폴더 선택: 작업 영역에서 폴더를 선택하거나 함수 앱이 포함된 폴더로 이동합니다.

b. 구독을 선택합니다. 사용할 구독을 선택합니다.

c. Azure 새 함수 앱 만들기를 선택합니다(고급 옵션을 선택하지 않음).

d. 함수 앱의 전역적으로 고유한 이름을 입력합니다 . URL 경로에 유효한 이름을 입력합니다. 입력한 이름은 Azure Functions 고유하도록 유효성을 검사합니다. (예: VECTRAXXXXX).

e. 런타임 선택: Python 3.8 이상을 선택합니다.

f. 새 리소스의 위치를 선택합니다. 성능 향상 및 비용 절감을 위해 Microsoft Sentinel 있는 동일한 지역을 선택합니다.

배포가 시작됩니다. 함수 앱이 만들어지고 배포 패키지가 적용된 후 알림이 표시됩니다.

함수 앱 구성에 대한 Azure 포털로 이동합니다.

함수 앱 구성

함수 앱에서 함수 앱 이름을 선택하고 구성을 선택합니다.

애플리케이션 설정 탭에서 + 새 애플리케이션 설정을 선택합니다.

다음 애플리케이션 설정을 각각 개별적으로 추가합니다. 각 값(대/소문자 구분): 작업 영역 ID 작업 영역 키 Vectra 기본 URL(https://< vectra-portal-url>) Vectra 클라이언트 ID - 상태 Vectra 클라이언트 비밀 키 - 상태 Vectra 클라이언트 ID - 엔터티 점수 매기기 Vectra 클라이언트 암호 - 엔터티 채점 Vectra 클라이언트 ID - 검색 Vectra 클라이언트 암호 - 검색 Vectra 클라이언트 ID - 감사 Vectra 클라이언트 암호 - 감사 Vectra 클라이언트 ID - 잠금 Vectra 클라이언트 비밀 - 잠금 Vectra 클라이언트 ID - Host-Entity Vectra 클라이언트 암호 - Host-Entity Vectra 클라이언트 ID - Account-Entity Vectra 클라이언트 암호 - 클라이언트 ID Azure 클라이언트 ID Azure 클라이언트 id StartTime Account-Entity Key Vault 이름 (MM/DD/YYYY HH:MM:SS 형식) 점수 감소 감사 테이블 이름 검색 테이블 이름 엔터티 채점 테이블 이름 잠금 테이블 이름 상태 테이블 이름 엔터티 테이블 이름 로그 수준(기본값: INFO) 잠금 일정 상태 일정 검색 일정 감사 일정 엔터티 채점 일정 엔터티 일정 logAnalyticsUri(선택 사항)

logAnalyticsUri를 사용하여 전용 클라우드에 대한 로그 분석 API 엔드포인트를 재정의합니다. 예를 들어 퍼블릭 클라우드의 경우 값을 비워 둡니다. Azure GovUS 클라우드 환경의 경우 값을 형식https://<CustomerId>.ods.opinsights.azure.us으로 지정합니다.

모든 애플리케이션 설정이 입력되면 저장을 클릭합니다.

Veeam 데이터 커넥터(Azure Functions 사용)

지원:Veeam Software

Veeam 데이터 커넥터를 사용하면 여러 사용자 지정 테이블에서 Veeam 원격 분석 데이터를 Microsoft Sentinel 수집할 수 있습니다.

커넥터는 Veeam Backup & 복제, Veeam ONE 및 Coveware 플랫폼과의 통합을 지원하여 포괄적인 모니터링 및 보안 분석을 제공합니다. 데이터는 Azure Functions 통해 수집되고 전용 DCR(데이터 수집 규칙) 및 DCE(데이터 수집 엔드포인트)를 사용하여 사용자 지정 Log Analytics 테이블에 저장됩니다.

포함된 사용자 지정 테이블:

VeeamMalwareEvents_CL: Veeam Backup & 복제의 맬웨어 검색 이벤트

VeeamSecurityComplianceAnalyzer_CL: Veeam 백업 인프라 구성 요소에서 수집된 보안 & 규정 준수 분석기 결과

VeeamAuthorizationEvents_CL: 권한 부여 및 인증 이벤트

VeeamOneTriggeredAlarms_CL: Veeam ONE 서버에서 트리거된 경보

VeeamCovewareFindings_CL: Coveware 솔루션의 보안 결과

VeeamSessions_CL: Veeam 세션

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

VeeamMalwareEvents_CL 예 예

VeeamSecurityComplianceAnalyzer_CL 예 예

VeeamOneTriggeredAlarms_CL 예 예

VeeamAuthorizationEvents_CL 예 예

VeeamCovewareFindings_CL 예 예

VeeamSessions_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Microsoft.Web/sites 권한: 함수 앱을 만들기 위한 Azure Functions 읽기 및 쓰기 권한이 필요합니다. 자세한 내용은 Azure Functions 참조하세요.

Veeam 인프라 액세스: Veeam Backup & 복제 REST API 및 Veeam ONE 모니터링 플랫폼에 액세스해야 합니다. 여기에는 적절한 인증 자격 증명 및 네트워크 연결이 포함됩니다.

설치 지침:

참고: 이 커넥터는 Azure Functions 사용하여 Veeam API에 연결하고 데이터를 Microsoft Sentinel 사용자 지정 테이블로 끌어올 수 있습니다. 이로 인해 추가 데이터 수집 비용이 발생할 수 있습니다. 자세한 내용은 Azure Functions 가격 책정 페이지를 참조하세요.

1단계 - Veeam 데이터 커넥터 및 관련 Azure Functions 대한 배포 옵션을 선택합니다.

중요: Veeam Data Connector를 배포하기 전에 작업 영역 이름을 준비합니다(다음에서 복사할 수 있음).

작업 영역 이름: <설치 시 제공되는 변수 값>

ARM(Azure Resource Manager) 템플릿

ARM 템플릿을 사용하여 Veeam 데이터 커넥터의 자동화된 배포에 이 메서드를 사용합니다.

아래 Azure 배포 단추를 클릭합니다.

portal.azure.com

기본 구독, 리소스 그룹 및 위치를 선택합니다.

Microsoft Sentinel 작업 영역 이름을 입력합니다.

검토 + 만들기, 만들기를 클릭합니다.

VersasecCms

지원:Versasec 지원

VersasecCms 데이터 커넥터를 사용하면 로그를 Microsoft Sentinel 수집할 수 있습니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

VersasecCmsSysLogs_CL 아니요 아니요

VersasecCmsErrorLogs_CL 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

설치 지침:

Configuration

VersasecCms에 대한 자격 증명을 입력합니다.

관리 URL:

API 기본 경로:

API 토큰:

폴링 간격(분):

연결 사용/사용 안 함

Microsoft Sentinel 대한 VirtualMetric DataStream

지원:VirtualMetric

VirtualMetric DataStream 커넥터는 보안 원격 분석을 Microsoft Sentinel 수집하는 데이터 수집 규칙을 배포합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

CommonSecurityLog 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

앱 등록 또는 Azure 관리 ID: VirtualMetric DataStream은 로그를 인증하고 Microsoft Sentinel 보내기 위해 Entra ID ID가 필요합니다. 클라이언트 ID 및 클라이언트 암호를 사용하여 앱 등록을 만들거나 자격 증명 관리 없이 향상된 보안을 위해 Azure 관리 ID를 사용할 수 있습니다.

리소스 그룹 역할 할당: 선택한 ID(앱 등록 또는 관리 ID)는 모니터링 메트릭 게시자(로그 수집용) 및 모니터링 읽기 권한자(스트림 구성 읽기용)와 함께 데이터 수집 엔드포인트가 포함된 리소스 그룹에 할당되어야 합니다.

설치 지침:

Microsoft Sentinel VirtualMetric DataStream 구성

데이터를 보내도록 Microsoft Sentinel VirtualMetric DataStream을 구성합니다.

Microsoft Entra ID 애플리케이션 등록(선택 사항)

인증 방법 선택: 옵션 A: Azure 관리 ID 사용(권장)

인증에 Azure 관리 ID를 사용하려는 경우 이 단계를 건너뜁니다.

Azure 관리 ID는 자격 증명을 관리하지 않고도 보다 안전한 인증 방법을 제공합니다.

옵션 B: 서비스 주체 애플리케이션 등록

Microsoft Entra ID 페이지를 엽니다.

제공된 링크를 클릭하여 새 탭에서 Microsoft Entra ID 등록 페이지를 엽니다.

애플리케이션 관리자 또는 전역 관리자 권한이 있는 계정으로 로그인했는지 확인합니다.

새 애플리케이션 만들기:

Microsoft Entra ID 포털의 왼쪽 탐색 영역에서 앱 등록 선택합니다.

+ 새 등록을 클릭합니다.

다음 필드를 입력합니다.

이름: 앱의 설명이 포함된 이름(예: "VirtualMetric ASIM 커넥터")을 입력합니다.

지원되는 계정 유형: 이 조직 디렉터리에서만 계정을 선택합니다 (단일 테넌트).

리디렉션 URI: 비워 둡니다.

등록을 클릭하여 애플리케이션을 만듭니다.

애플리케이션 및 테넌트 ID 복사:

앱이 등록되면 개요 페이지에서 애플리케이션(클라이언트) ID 및 디렉터리(테넌트) ID를 적어둡니다. VirtualMetric DataStream 구성에는 이러한 항목이 필요합니다.

클라이언트 암호를 만듭니다.

인증서 & 비밀 섹션에서 + 새 클라이언트 암호를 클릭합니다.

설명(예: 'VirtualMetric ASIM 비밀')을 추가하고 적절한 만료 기간을 설정합니다.

추가를 클릭합니다.

클라이언트 비밀 값은 다시 표시되지 않으므로 즉시 복사합니다. VirtualMetric DataStream 구성을 위해 이를 안전하게 저장합니다.

필요한 권한 할당

리소스 그룹에서 선택한 인증 방법(서비스 주체 또는 관리 ID)에 필요한 역할을 할당합니다.

서비스 주체의 경우(1단계를 완료한 경우):

리소스 그룹으로 이동합니다.

Azure 포털을 열고 Log Analytics 작업 영역과 DCR(데이터 수집 규칙)이 배포될 리소스 그룹으로 이동합니다.

모니터링 메트릭 게시자 역할을 할당합니다.

리소스 그룹의 왼쪽 메뉴에서 액세스 제어(IAM)를 클릭합니다.

+ 추가를 클릭하고 역할 할당 추가를 선택합니다.

역할 탭에서 모니터링 메트릭 게시자를 검색하여 선택합니다.

다음을 클릭하여 구성원 탭으로 이동합니다.

액세스 권한 할당에서 사용자, 그룹 또는 서비스 주체를 선택합니다.

+ 멤버 선택을 클릭하고 이름 또는 클라이언트 ID로 등록된 애플리케이션을 검색합니다.

애플리케이션을 선택하고 선택을 클릭합니다.

검토 + 할당을 두 번 클릭하여 할당을 완료합니다.

모니터링 읽기 권한자 역할을 할당합니다.

동일한 프로세스를 반복하여 모니터링 읽기 권한자 역할을 할당합니다.

+ 추가를 클릭하고 역할 할당 추가를 선택합니다.

역할 탭에서 모니터링 판독기를 검색하여 선택합니다.

위와 동일한 멤버 선택 프로세스를 따릅니다.

검토 + 할당을 두 번 클릭하여 할당을 완료합니다. Azure 관리 ID의 경우:

관리 ID를 만들거나 식별합니다.

시스템 할당 관리 ID를 사용하는 경우: Azure 리소스(VM, App Service 등)에서 사용하도록 설정합니다.

사용자가 할당한 관리 ID를 사용하는 경우: 리소스 그룹이 없는 경우 리소스 그룹에 만듭니다.

모니터링 메트릭 게시자 역할을 할당합니다.

위와 동일한 단계를 수행하지만 멤버 탭에서 다음을 수행합니다.

액세스 권한 할당에서 관리 ID를 선택합니다.

+ 구성원 선택을 클릭하고 적절한 관리 ID 유형을 선택하고 ID를 선택합니다.

선택을 클릭한 다음 검토 + 할당을 두 번 클릭하여 완료합니다.

모니터링 읽기 권한자 역할을 할당합니다.

프로세스를 반복하여 동일한 관리 ID에 모니터링 읽기 권한자 역할을 할당합니다. 필수 권한 요약: 할당된 역할은 다음 기능을 제공합니다.

모니터링 메트릭 게시자: DCE(데이터 수집 엔드포인트)에 데이터를 쓰고 DCR(데이터 수집 규칙)을 통해 원격 분석 보내기

모니터링 판독기: ASIM 테이블 수집을 위한 스트림 구성 읽기 및 Log Analytics 작업 영역에 액세스

Azure 인프라 배포

ARM 템플릿을 사용하여 Microsoft Sentinel 테이블에 필요한 DCE(데이터 수집 엔드포인트) 및 DCR(데이터 수집 규칙)을 배포합니다.

Azure 배포:

아래 Azure 배포 단추를 클릭하여 필요한 인프라를 자동으로 배포합니다.

portal.azure.com

이렇게 하면 Azure Portal 직접 이동하여 배포를 시작합니다.

배포 매개 변수 구성:

사용자 지정 배포 페이지에서 다음 설정을 구성합니다.

프로젝트 세부 정보:

구독: 드롭다운에서 Azure 구독 선택

리소스 그룹: 기존 리소스 그룹을 선택하거나 새로 만들기를 클릭하여 새 인스턴스 세부 정보를 만듭니다.

지역: Log Analytics 작업 영역이 있는 Azure 지역 선택(예: 서유럽)

작업 영역: Log Analytics 작업 영역 이름 입력

DCE 이름: 데이터 수집 엔드포인트의 이름 제공(예: "vmetric-dce")

DCR 이름 접두사: 데이터 수집 규칙에 대한 접두사 제공(예: "vmetric-dcr")

배포를 완료합니다.

검토 + 만들기를 클릭하여 템플릿의 유효성을 검사합니다.

매개 변수를 검토하고 만들기 를 클릭하여 리소스를 배포합니다.

배포가 완료되기를 기다립니다(일반적으로 2~5분 소요).

배포된 리소스 확인:

배포 후 다음 리소스가 생성되었는지 확인합니다.

DCE(데이터 수집 엔드포인트): Azure 포털 > 모니터 > 데이터 수집 엔드포인트 확인

DCR(데이터 수집 규칙): Azure 포털 > 모니터링 > 데이터 수집 규칙 확인

DCE 개요 페이지에서 DCE 로그 수집 URI를 복사 합니다(형식: https://<dce-name>.<region>.ingest.monitor.azure.com).

DCE 개요 페이지에서 DCE 리소스 ID를 복사 합니다(형식: /subscriptions/<subscription-id>/resourceGroups/<resource-group-name>/providers/Microsoft.Insights/dataCollectionEndpoints/<dce-name>).

각 DCR의 경우 개요 페이지에서 변경할 수 없는 ID를 확인합니다. VirtualMetric DataStream 구성에는 이러한 ID가 필요합니다.

VirtualMetric DataStream 통합 구성

Microsoft Sentinel 테이블에 보안 원격 분석을 보내도록 VirtualMetric DataStream을 설정합니다.

VirtualMetric DataStream 구성에 액세스:

VirtualMetric DataStream 관리 콘솔 로그인합니다.

Fleet Management > Targets 섹션으로 이동합니다.

새 대상 추가 단추를 클릭합니다.

Microsoft Sentinel 대상을 선택합니다.

일반 설정 구성:

이름: 대상의 이름을 입력합니다(예: "cus01-ms-sentinel").

설명: 필요에 따라 대상 구성에 대한 설명을 제공합니다.

Azure 인증 구성(1단계에 따라 선택): 서비스 주체 인증:

Azure 관리 ID: 사용 안 함 유지

테넌트 ID: 1단계에서 디렉터리(테넌트) ID를 입력합니다.

클라이언트 ID: 1단계에서 애플리케이션(클라이언트) ID를 입력합니다.

클라이언트 암호: Azure 관리 ID의 경우 1단계에서 클라이언트 암호 값을 입력합니다.

Azure 관리 ID: 사용으로 설정

Stream 속성 구성:

엔드포인트: 구성 방법을 선택합니다.

수동 스트림 구성의 경우: DCE 로그 수집 URI(형식: https://<dce-name>.<region>.ingest.monitor.azure.com)를 입력합니다.

자동 스트림 검색의 경우: DCE 리소스 ID(형식: /subscriptions/<subscription-id>/resourceGroups/<resource-group-name>/providers/Microsoft.Insights/dataCollectionEndpoints/<dce-name>)를 입력합니다.

스트림: 자동 스트림 검색을 위해 자동을 선택하거나 필요한 경우 특정 스트림을 구성합니다.

Microsoft Sentinel 데이터 수집 확인:

Log Analytics 작업 영역으로 돌아가기

ASIM 테이블에서 샘플 쿼리를 실행하여 데이터가 수신되고 있는지 확인합니다.
ASimNetworkSessionLogs | where TimeGenerated > ago(1h) | take 10

Microsoft Sentinel 개요 dashboard 새 데이터 원본 및 이벤트 수를 확인합니다.

Microsoft Sentinel Data Lake용 VirtualMetric DataStream

지원:VirtualMetric

VirtualMetric DataStream 커넥터는 데이터 수집 규칙을 배포하여 보안 원격 분석을 Microsoft Sentinel 데이터 레이크로 수집합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

CommonSecurityLog 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

앱 등록 또는 Azure 관리 ID: VirtualMetric DataStream은 로그를 인증하고 Microsoft Sentinel 데이터 레이크로 보내기 위해 Entra ID ID가 필요합니다. 클라이언트 ID 및 클라이언트 암호를 사용하여 앱 등록을 만들거나 자격 증명 관리 없이 향상된 보안을 위해 Azure 관리 ID를 사용할 수 있습니다.

리소스 그룹 역할 할당: 선택한 ID(앱 등록 또는 관리 ID)는 모니터링 메트릭 게시자(로그 수집용) 및 모니터링 읽기 권한자(스트림 구성 읽기용)와 함께 데이터 수집 엔드포인트가 포함된 리소스 그룹에 할당되어야 합니다.

설치 지침:

Microsoft Sentinel Data Lake에 대한 VirtualMetric DataStream 구성

데이터를 보내도록 Microsoft Sentinel 데이터 레이크에 대한 VirtualMetric DataStream을 구성합니다.

Microsoft Entra ID 애플리케이션 등록(선택 사항)

인증 방법 선택: 옵션 A: Azure 관리 ID 사용(권장)

인증에 Azure 관리 ID를 사용하려는 경우 이 단계를 건너뜁니다.

Azure 관리 ID는 자격 증명을 관리하지 않고도 보다 안전한 인증 방법을 제공합니다.

옵션 B: 서비스 주체 애플리케이션 등록

Microsoft Entra ID 페이지를 엽니다.

제공된 링크를 클릭하여 새 탭에서 Microsoft Entra ID 등록 페이지를 엽니다.

애플리케이션 관리자 또는 전역 관리자 권한이 있는 계정으로 로그인했는지 확인합니다.

새 애플리케이션 만들기:

Microsoft Entra ID 포털의 왼쪽 탐색 영역에서 앱 등록 선택합니다.

+ 새 등록을 클릭합니다.

다음 필드를 입력합니다.

이름: 앱의 설명이 포함된 이름(예: "VirtualMetric ASIM 커넥터")을 입력합니다.

지원되는 계정 유형: 이 조직 디렉터리에서만 계정을 선택합니다 (단일 테넌트).

리디렉션 URI: 비워 둡니다.

등록을 클릭하여 애플리케이션을 만듭니다.

애플리케이션 및 테넌트 ID 복사:

앱이 등록되면 개요 페이지에서 애플리케이션(클라이언트) ID 및 디렉터리(테넌트) ID를 적어둡니다. VirtualMetric DataStream 구성에는 이러한 항목이 필요합니다.

클라이언트 암호를 만듭니다.

인증서 & 비밀 섹션에서 + 새 클라이언트 암호를 클릭합니다.

설명(예: 'VirtualMetric ASIM 비밀')을 추가하고 적절한 만료 기간을 설정합니다.

추가를 클릭합니다.

클라이언트 비밀 값은 다시 표시되지 않으므로 즉시 복사합니다. VirtualMetric DataStream 구성을 위해 이를 안전하게 저장합니다.

필요한 권한 할당

리소스 그룹에서 선택한 인증 방법(서비스 주체 또는 관리 ID)에 필요한 역할을 할당합니다.

서비스 주체의 경우(1단계를 완료한 경우):

리소스 그룹으로 이동합니다.

Azure 포털을 열고 Log Analytics 작업 영역과 DCR(데이터 수집 규칙)이 배포될 리소스 그룹으로 이동합니다.

모니터링 메트릭 게시자 역할을 할당합니다.

리소스 그룹의 왼쪽 메뉴에서 액세스 제어(IAM)를 클릭합니다.

+ 추가를 클릭하고 역할 할당 추가를 선택합니다.

역할 탭에서 모니터링 메트릭 게시자를 검색하여 선택합니다.

다음을 클릭하여 구성원 탭으로 이동합니다.

액세스 권한 할당에서 사용자, 그룹 또는 서비스 주체를 선택합니다.

+ 멤버 선택을 클릭하고 이름 또는 클라이언트 ID로 등록된 애플리케이션을 검색합니다.

애플리케이션을 선택하고 선택을 클릭합니다.

검토 + 할당을 두 번 클릭하여 할당을 완료합니다.

모니터링 읽기 권한자 역할을 할당합니다.

동일한 프로세스를 반복하여 모니터링 읽기 권한자 역할을 할당합니다.

+ 추가를 클릭하고 역할 할당 추가를 선택합니다.

역할 탭에서 모니터링 판독기를 검색하여 선택합니다.

위와 동일한 멤버 선택 프로세스를 따릅니다.

검토 + 할당을 두 번 클릭하여 할당을 완료합니다. Azure 관리 ID의 경우:

관리 ID를 만들거나 식별합니다.

시스템 할당 관리 ID를 사용하는 경우: Azure 리소스(VM, App Service 등)에서 사용하도록 설정합니다.

사용자가 할당한 관리 ID를 사용하는 경우: 리소스 그룹이 없는 경우 리소스 그룹에 만듭니다.

모니터링 메트릭 게시자 역할을 할당합니다.

위와 동일한 단계를 수행하지만 멤버 탭에서 다음을 수행합니다.

액세스 권한 할당에서 관리 ID를 선택합니다.

+ 구성원 선택을 클릭하고 적절한 관리 ID 유형을 선택하고 ID를 선택합니다.

선택을 클릭한 다음 검토 + 할당을 두 번 클릭하여 완료합니다.

모니터링 읽기 권한자 역할을 할당합니다.

프로세스를 반복하여 동일한 관리 ID에 모니터링 읽기 권한자 역할을 할당합니다. 필수 권한 요약: 할당된 역할은 다음 기능을 제공합니다.

모니터링 메트릭 게시자: DCE(데이터 수집 엔드포인트)에 데이터를 쓰고 DCR(데이터 수집 규칙)을 통해 원격 분석 보내기

모니터링 판독기: ASIM 테이블 수집을 위한 스트림 구성 읽기 및 Log Analytics 작업 영역에 액세스

Azure 인프라 배포

ARM 템플릿을 사용하여 Microsoft Sentinel 데이터 레이크 테이블에 필요한 DCE(데이터 수집 엔드포인트) 및 DCR(데이터 수집 규칙)을 배포합니다.

Azure 배포:

아래 Azure 배포 단추를 클릭하여 필요한 인프라를 자동으로 배포합니다.

portal.azure.com

이렇게 하면 Azure Portal 직접 이동하여 배포를 시작합니다.

배포 매개 변수 구성:

사용자 지정 배포 페이지에서 다음 설정을 구성합니다.

프로젝트 세부 정보:

구독: 드롭다운에서 Azure 구독 선택

리소스 그룹: 기존 리소스 그룹을 선택하거나 새로 만들기를 클릭하여 새 인스턴스 세부 정보를 만듭니다.

지역: Log Analytics 작업 영역이 있는 Azure 지역 선택(예: 서유럽)

작업 영역: Log Analytics 작업 영역 이름 입력

DCE 이름: 데이터 수집 엔드포인트의 이름 제공(예: "vmetric-dce")

DCR 이름 접두사: 데이터 수집 규칙에 대한 접두사 제공(예: "vmetric-dcr")

배포를 완료합니다.

검토 + 만들기를 클릭하여 템플릿의 유효성을 검사합니다.

매개 변수를 검토하고 만들기 를 클릭하여 리소스를 배포합니다.

배포가 완료되기를 기다립니다(일반적으로 2~5분 소요).

배포된 리소스 확인:

배포 후 다음 리소스가 생성되었는지 확인합니다.

DCE(데이터 수집 엔드포인트): Azure 포털 > 모니터 > 데이터 수집 엔드포인트 확인

DCR(데이터 수집 규칙): Azure 포털 > 모니터링 > 데이터 수집 규칙 확인

DCE 개요 페이지에서 DCE 로그 수집 URI를 복사 합니다(형식: https://<dce-name>.<region>.ingest.monitor.azure.com).

DCE 개요 페이지에서 DCE 리소스 ID를 복사 합니다(형식: /subscriptions/<subscription-id>/resourceGroups/<resource-group-name>/providers/Microsoft.Insights/dataCollectionEndpoints/<dce-name>).

각 DCR의 경우 개요 페이지에서 변경할 수 없는 ID를 확인합니다. VirtualMetric DataStream 구성에는 이러한 ID가 필요합니다.

VirtualMetric DataStream 통합 구성

Data Lake 테이블을 Microsoft Sentinel 보안 원격 분석을 보내도록 VirtualMetric DataStream을 설정합니다.

VirtualMetric DataStream 구성에 액세스:

VirtualMetric DataStream 관리 콘솔 로그인합니다.

Fleet Management > Targets 섹션으로 이동합니다.

새 대상 추가 단추를 클릭합니다.

Microsoft Sentinel 대상을 선택합니다.

일반 설정 구성:

이름: 대상의 이름을 입력합니다(예: "cus01-ms-sentinel").

설명: 필요에 따라 대상 구성에 대한 설명을 제공합니다.

Azure 인증 구성(1단계에 따라 선택): 서비스 주체 인증:

Azure 관리 ID: 사용 안 함 유지

테넌트 ID: 1단계에서 디렉터리(테넌트) ID를 입력합니다.

클라이언트 ID: 1단계에서 애플리케이션(클라이언트) ID를 입력합니다.

클라이언트 암호: Azure 관리 ID의 경우 1단계에서 클라이언트 암호 값을 입력합니다.

Azure 관리 ID: 사용으로 설정

Stream 속성 구성:

엔드포인트: 구성 방법을 선택합니다.

수동 스트림 구성의 경우: DCE 로그 수집 URI(형식: https://<dce-name>.<region>.ingest.monitor.azure.com)를 입력합니다.

자동 스트림 검색의 경우: DCE 리소스 ID(형식: /subscriptions/<subscription-id>/resourceGroups/<resource-group-name>/providers/Microsoft.Insights/dataCollectionEndpoints/<dce-name>)를 입력합니다.

스트림: 자동 스트림 검색을 위해 자동을 선택하거나 필요한 경우 특정 스트림을 구성합니다.

Microsoft Sentinel 데이터 레이크에서 데이터 수집을 확인합니다.

Log Analytics 작업 영역으로 돌아가기

ASIM 테이블에서 샘플 쿼리를 실행하여 데이터가 수신되고 있는지 확인합니다.
ASimNetworkSessionLogs | where TimeGenerated > ago(1h) | take 10

Microsoft Sentinel 개요 dashboard 새 데이터 원본 및 이벤트 수를 확인합니다.

VirtualMetric Director 프록시

지원:VirtualMetric

VirtualMetric Director 프록시는 Azure 함수 앱을 배포하여 Microsoft Sentinel, Azure Data Explorer 및 Azure Storage를 포함한 Azure 서비스와 VirtualMetric DataStream을 안전하게 연결합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

CommonSecurityLog 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Azure 함수 앱: 디렉터 프록시를 호스트하려면 Azure 함수 앱을 배포해야 합니다. 함수 앱을 만들고 관리하려면 리소스 그룹 내의 Microsoft.Web/sites 리소스에 대한 읽기, 쓰기 및 삭제 권한이 필요합니다.

VirtualMetric DataStream 구성: 디렉터 프록시에 연결하려면 인증 자격 증명으로 구성된 VirtualMetric DataStream이 필요합니다. 디렉터 프록시는 VirtualMetric DataStream과 Azure 서비스 간의 보안 브리지 역할을 합니다.

대상 Azure 서비스: 디렉터 프록시가 데이터를 전달할 Microsoft Sentinel 데이터 수집 엔드포인트, Azure Data Explorer 클러스터 또는 Azure Storage 계정과 같은 대상 Azure 서비스를 구성합니다.

설치 지침:

VirtualMetric Director 프록시 배포

VirtualMetric DataStream과 Microsoft Sentinel 간에 보안 프록시 역할을 하는 Azure 함수 앱을 배포합니다.

필수 구성 요소 및 배포 순서

권장 배포 순서:

최적의 구성을 위해 먼저 대상 커넥터를 배포하는 것이 좋습니다.

Microsoft Sentinel 커넥터 배포: 먼저 Microsoft Sentinel 커넥터용 VirtualMetric DataStream을 배포하여 필요한 데이터 수집 엔드포인트 및 규칙을 만듭니다.

Microsoft Sentinel 데이터 레이크 커넥터 배포(선택 사항): Microsoft Sentinel 데이터 레이크 테이블을 사용하는 경우 Microsoft Sentinel Data Lake 커넥터용 VirtualMetric DataStream을 배포합니다.

디렉터 프록시 배포(이 단계): 디렉터 프록시를 Microsoft Sentinel 대상으로 구성할 수 있습니다. 참고: 이 주문은 권장되지만 필수는 아닙니다. 디렉터 프록시를 독립적으로 배포하고 나중에 대상으로 구성할 수 있습니다.

Azure 함수 앱 배포

Azure 배포 단추를 사용하여 VirtualMetric Director 프록시 Azure 함수 앱을 배포합니다.

Azure 배포:

아래 Azure 배포 단추를 클릭하여 함수 앱을 배포합니다.

portal.azure.com

배포 매개 변수 구성:

구독: Azure 구독 선택

리소스 그룹: Microsoft Sentinel 작업 영역과 동일한 리소스 그룹을 선택하거나 새 리소스 그룹을 만듭니다.

지역: Azure 지역을 선택합니다(Microsoft Sentinel 작업 영역 지역과 일치해야 합니다).

함수 앱 이름: 함수 앱에 대한 고유한 이름 제공(예: "vmetric-director-proxy")

전체 배포:

검토 + 만들기를 클릭하여 매개 변수의 유효성을 검사합니다.

만들기를 클릭하여 함수 앱을 배포합니다.

배포가 완료되기를 기다립니다(일반적으로 3~5분)

함수 앱 URL을 확인합니다. https://<function-app-name>.azurewebsites.net

함수 앱 권한 구성

함수 앱의 관리 ID에 필요한 권한을 할당하여 Microsoft Sentinel 리소스에 액세스합니다.

System-Assigned 관리 ID를 사용하도록 설정합니다.

Azure Portal에서 배포된 함수 앱으로 이동합니다.

설정에서 ID로 이동

시스템 할당 ID 에 대해 상태를 켜기로 전환

저장을 클릭하고 확인

리소스 그룹으로 이동합니다.

Microsoft Sentinel 작업 영역 및 데이터 수집 엔드포인트가 포함된 리소스 그룹으로 이동합니다.

필요한 역할 할당:

액세스 제어 열기(IAM)

+ 역할 할당 추가 > 를 클릭합니다.

함수 앱의 시스템 할당 관리 ID에 다음 역할을 할당합니다.

메트릭 게시자 모니터링: 데이터 수집 엔드포인트로 데이터 보내기

모니터링 읽기 권한자: 데이터 수집 규칙 구성 읽기용

함수 앱 ID를 선택합니다.

구성원 탭에서 관리 ID를 선택합니다.

함수 앱을 선택하고 배포된 디렉터 프록시 함수 앱을 선택합니다.

역할 할당 완료

함수 앱 액세스 토큰 가져오기(함수 키 인증의 경우 선택 사항):

함수 앱으로 이동

함수 아래 의 앱 키 로 이동

기본 호스트 키 복사 또는 인증을 위한 새 함수 키 만들기

VirtualMetric DataStream 통합 구성

디렉터 프록시를 통해 Microsoft Sentinel 보안 원격 분석을 보내도록 VirtualMetric DataStream을 설정합니다.

VirtualMetric DataStream 구성에 액세스:

VirtualMetric DataStream 관리 콘솔 로그인

대상 섹션으로 이동합니다.

대상 Microsoft Sentinel 클릭합니다.

새 대상 추가를 클릭하거나 기존 Microsoft Sentinel 대상 편집

일반 설정 구성:

이름: 대상의 이름 입력(예: "sentinel-with-proxy")

설명: 필요에 따라 대상 구성에 대한 설명을 제공합니다.

Azure 인증 구성: 서비스 주체 인증:

Azure 관리 ID: 사용 안 함 유지

테넌트 ID: Azure Active Directory 테넌트 ID 입력

클라이언트 ID: 서비스 주체 애플리케이션 ID 입력

클라이언트 암호: Azure 관리 ID에 대한 서비스 주체 클라이언트 암호를 입력합니다.

Azure 관리 ID: 사용으로 설정

디렉터 프록시 구성(Azure 속성 탭에서):

엔드포인트 주소: 2단계의 함수 앱 URL을 입력합니다(형식: https://<function-app-name>.azurewebsites.net).

액세스 토큰: 3단계에서 함수 앱 호스트 키를 입력합니다(관리 ID를 사용하는 경우 선택 사항).

Stream 속성 구성:

엔드포인트: DCE 로그 수집 URI를 입력합니다(형식: https://<dce-name>.<region>.ingest.monitor.azure.com).

스트림: 자동 스트림 검색을 위해 자동을 선택하거나 필요한 경우 특정 스트림을 구성합니다.

Microsoft Sentinel 데이터 수집 확인:

Log Analytics 작업 영역으로 돌아가기

샘플 쿼리를 실행하여 데이터가 수신되고 있는지 확인합니다.
CommonSecurityLog | where TimeGenerated > ago(1h) | take 10

Microsoft Sentinel 개요 dashboard 새 데이터 원본 및 이벤트 수를 확인합니다.

VMRayThreatIntelligence(Azure Functions 사용)

지원:VMRay

VMRayThreatIntelligence 커넥터는 VMRay에 대한 모든 제출에 대한 위협 인텔리전스를 자동으로 생성하고 공급하여 Sentinel 위협 탐지 및 인시던트 대응을 개선합니다. 이 원활한 통합을 통해 팀은 새로운 위협을 사전에 해결할 수 있습니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

ThreatIntelligenceIndicator 예 아니요

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Azure 구독: azure active directory()에 애플리케이션을 등록하고 리소스 그룹의 앱에 기여자 역할을 할당하려면 소유자 역할이 있는 Azure 구독이 필요합니다.

Microsoft.Web/sites 권한: 함수 앱을 만들기 위한 Azure Functions 읽기 및 쓰기 권한이 필요합니다. 자세한 내용은 Azure Functions 참조하세요.

REST API 자격 증명/권한: VMRay API 키가 필요합니다.

설치 지침:

참고: 이 커넥터는 Azure Functions 사용하여 VMRay API에 연결하여 VMRay Threat IOC를 Microsoft Sentinel 끌어올 수 있습니다. 이로 인해 데이터 수집 및 데이터를 Azure Blob Storage 비용에 저장하는 추가 비용이 발생할 수 있습니다. 자세한 내용은 Azure Functions 가격 책정 페이지 및 Azure Blob Storage 가격 책정 페이지를 확인하세요.

(선택적 단계) 작업 영역 및 API 권한 부여 키 또는 토큰을 Azure Key Vault 안전하게 저장합니다. Azure Key Vault 키 값을 저장하고 검색하는 보안 메커니즘을 제공합니다. 다음 지침에 따라 Azure 함수 앱에서 Azure Key Vault 사용합니다.

작업 영역 ID: <설치 시 제공되는 변수 값>

기본 키: <설치 시 제공되는 변수 값>

VMRay 위협 인텔리전스 커넥터 배포

필요한 모든 필수 구성 요소( 클라이언트 ID, 테넌트 ID, 클라이언트 암호, VMRay API 키 및 VMRay 기본 URL)가 있는지 확인합니다.

클라이언트 ID, 클라이언트 암호 및 테넌트 ID를 가져오려면 다음 지침을 따릅니다.

Flex 소비 계획의 경우 아래 Azure 배포 단추를 클릭합니다.

aka.ms

프리미엄 플랜의 경우 아래 Azure 배포 단추를 클릭합니다.

aka.ms.

AWS S3를 통한 VMware Carbon Black Cloud(코드리스 커넥터 프레임워크를 통해)

지원:Microsoft

AWS S3 데이터 커넥터를 통한 VMware Carbon Black Cloud 는 AWS S3을 통해 관심 목록, 경고, 인증 및 엔드포인트 이벤트를 수집하고 ASIM 정규화된 테이블로 스트리밍하는 기능을 제공합니다. 커넥터를 사용하면 이벤트 검색을 통해 잠재적인 보안 위험을 평가하고, 공동 작업을 모니터링하고, 구성 문제를 진단하고 해결할 수 있습니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

CarbonBlack_Alerts_CL 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

환경: 다음 AWS 리소스를 정의하고 구성해야 합니다. S3, SQS(Simple Queue Service), IAM 역할 및 권한 정책

환경: AWS S3 버킷에 전달된 데이터를 만들려면 Carbon black 계정과 필요한 권한이 있어야 합니다. 자세한 내용은 Carbon Black Data Forwarder Docs를 참조하세요.

설치 지침:

AWS CloudFormation 배포 AWS에 대한 액세스를 구성하기 위해 S3 버킷에서 Log Analytics 작업 영역으로 로그를 보내도록 AWS 환경을 설정하기 위해 두 개의 템플릿이 생성되었습니다.

각 템플릿에 대해 AWS에서 Stack을 만듭니다.

AWS CloudFormation Stacks로 이동

AWS에서 '템플릿 파일 업로드' 옵션을 선택하고 '파일 선택'을 클릭합니다. 다운로드한 템플릿 선택

'다음' 및 '스택 만들기'를 클릭합니다.

템플릿 1: OpenID 연결 인증 배포: <설치 시 제공되는 변수 값>

템플릿 2: AWS Carbon Black 리소스 배포: <설치 시> 제공되는 변수 값 '템플릿 2: AWS Carbon Black 리소스 배포' 템플릿을 배포할 때 몇 가지 매개 변수를 제공해야 합니다.

스택 이름: 선택한 스택 이름(AWS의 스택 목록에 표시됨)

역할 이름: 'OIDC_' 접두사로 시작해야 하며 기본값이 있습니다.

버킷 이름: 기존 버킷이 이미 있는 경우 선택한 버킷 이름입니다. 여기에 이름을 붙여넣습니다.

CreateNewBucket: 이 커넥터에 사용할 기존 버킷이 이미 있는 경우 이 옵션에 대해 'false'를 선택합니다. 그렇지 않으면 '버킷 이름'에 입력한 이름의 버킷이 이 스택에서 만들어집니다.

지역: Carbon Black의 매핑을 기반으로 하는 AWS 리소스의 지역입니다. 자세한 내용은 Carbon Black 설명서를 참조하세요.

SQSQueuePrefix: 스택은 여러 큐를 만듭니다. 이 접두사는 각 큐에 추가됩니다.

WorkspaceID: 아래에 제공된 작업 영역 ID를 사용합니다.

작업 영역 ID: <설치 시> 제공되는 변수 값 배포가 완료되면 '출력' 탭으로 이동합니다. 역할 ARN, S3 버킷 및 생성된 4개의 SQS 리소스가 표시됩니다. Carbon Black의 데이터 전달자 및 데이터 커넥터를 구성할 때 다음 단계에서 이러한 리소스가 필요합니다.

Carbon Black 데이터 전달자 구성 모든 AWS 리소스를 만든 후에는 수집할 Microsoft Sentinel 이벤트를 AWS 버킷으로 전달하도록 Carbon Black을 구성해야 합니다. '데이터 전달자'를 만드는 방법에 대한 Carbon Black의 설명서에 따라 첫 번째 권장 옵션을 사용합니다. 버킷 이름을 입력하라는 메시지가 표시되면 이전 단계에서 만든 버킷을 사용합니다. 각 전달자에 대해 'S3 접두사'를 추가해야 합니다. 이 매핑을 사용하세요.

이벤트 유형 S3 접두사

경고 carbon-black-cloud-forwarder/Alerts

인증 이벤트 carbon-black-cloud-forwarder/Auth

엔드포인트 이벤트 carbon-black-cloud-forwarder/Endpoint

관심 목록 적중 carbon-black-cloud-forwarder/Watchlist

2.1. 데이터 전달자 테스트(선택 사항) 데이터 전달자가 예상대로 구성되었는지 확인하려면 Carbon Black 포털에서 방금 만든 데이터 전달자를 검색하고 '작업' 열 아래의 '테스트 전달자' 단추를 클릭하면 S3 버킷에 'HealthCheck' 파일이 생성됩니다. 즉시 표시됩니다.

새 수집기 연결 Microsoft Sentinel AWS S3을 사용하도록 설정하려면 '새 수집기 추가' 단추를 클릭하고 필요한 정보를 입력하고, ARN 역할 및 SQS URL은 1단계에서 만들어집니다. 올바른 SQS URL을 입력하고 드롭다운에서 적절한 이벤트 유형을 선택해야 합니다. 예를 들어 경고 이벤트를 수집하려면 경고 SQS URL을 복사하고 '경고' 이벤트 유형을 선택해야 합니다. 드롭다운

데이터 커넥터 그리드(포털에서 구성)

VMware 작업 영역 ONE(코드리스 커넥터 프레임워크를 통해)

지원:Microsoft

VMware Workspace ONE 커넥터는 등록된 디바이스 인벤토리 및 설치된 애플리케이션 세부 정보를 작업 영역 ONE UEM(통합 엔드포인트 관리) 플랫폼에서 Microsoft Sentinel 수집합니다. iOS, Android, Windows 및 macOS 관리 디바이스에서 디바이스 준수 추적, 비준수 엔드포인트 검색 및 무단 애플리케이션 검색을 지원합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

VMwareWorkspaceOneDevices 아니요 아니요

VMwareWorkspaceOneDeviceApps 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

설치 지침:

VMware 작업 영역 ONE을 Microsoft Sentinel 연결

필수 구성 요소

연결하기 전에 다음을 확인합니다.

활성 VMware 작업 영역 ONE UEM (Omnissa) 테넌트가 있습니다.

그룹 및 설정 - 구성 -> OAuth 클라이언트 관리에서 OAuth 클라이언트를> 만들 수 있는 관리자 액세스 권한이 있습니다.

OAuth 클라이언트 역할에는 REST API 디바이스 읽기, REST API MDM 디바이스, REST API Apps 읽기가 포함되어야 합니다.

인증 설정

작업 영역 ONE UEM에서 OAuth 클라이언트를 만듭니다.

그룹 및 설정으로 이동 -> 구성 및 OAuth 검색

OAuth 클라이언트 관리 선택 -> 추가 클릭

이름(예: MicrosoftSentinelConnector)을 입력하고, 디바이스/앱 읽기 권한이 있는 역할을 할당하고, 상태를 사용으로 설정한 다음, 저장을 클릭합니다.

클라이언트 ID 및 클라이언트 암호를 즉시 복사 합니다. 대화 상자를 닫은 후에는 검색할 수 없습니다.

지역별 인증 URL

작업 영역 ONE 테넌트의 데이터 센터 지역과 일치하는 인증 URL을 선택합니다.

지역 인증 URL

미국 / 캐나다 https://na.uemauth.vmwservices.com

영국/독일 https://emea.uemauth.vmwservices.com

오스트레일리아 / APAC https://apac.uemauth.vmwservices.com

UAT 환경 https://uat.uemauth.vmwservices.com

데이터 커넥터 그리드(포털에서 구성)

AMA를 통한 Windows DNS 이벤트

지원:Microsoft Corporation

Windows DNS 로그 커넥터를 사용하면 Azure 모니터링 에이전트(AMA)를 사용하여 Windows DNS 서버에서 Microsoft Sentinel 작업 영역으로 모든 분석 로그를 쉽게 필터링하고 스트리밍할 수 있습니다. 이 데이터를 Microsoft Sentinel 사용하면 다음과 같은 문제 및 보안 위협을 식별할 수 있습니다.

악의적인 도메인 이름을 resolve.

부실 리소스 레코드.

자주 쿼리되는 도메인 이름 및 대화형 DNS 클라이언트.

DNS 서버에서 수행된 공격입니다.

Microsoft Sentinel Windows DNS 서버에 대한 다음 인사이트를 얻을 수 있습니다.

모든 로그는 한 곳에서 중앙 집중화됩니다.

DNS 서버에서 로드를 요청합니다.

동적 DNS 등록 실패.

Windows DNS 이벤트는 ASIM(고급 SIEM 정보 모델)에서 지원되며 데이터를 ASimDnsActivityLogs 테이블로 스트리밍합니다. 자세히 알아보기.

자세한 내용은 Microsoft Sentinel 설명서를 참조하세요.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

ASimDnsActivityLogs 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

Windows 방화벽

지원:Microsoft Corporation

Windows 방화벽은 인터넷에서 시스템에 들어오는 정보를 필터링하고 잠재적으로 유해한 프로그램을 차단하는 Microsoft Windows 애플리케이션입니다. 소프트웨어는 대부분의 프로그램이 방화벽을 통해 통신하지 못하도록 차단합니다. 사용자는 방화벽을 통해 통신할 수 있도록 허용된 프로그램 목록에 프로그램을 추가하기만 하면 됩니다. 공용 네트워크를 사용하는 경우 Windows 방화벽은 컴퓨터에 연결하려는 모든 원치 않는 시도를 차단하여 시스템을 보호할 수도 있습니다. 자세한 내용은 Microsoft Sentinel 설명서를 참조하세요.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

데이터 수집 규칙 지원: 현재 지원되지 않음

AMA를 통한 Windows 방화벽 이벤트

지원:Microsoft Corporation

Windows 방화벽은 인터넷에서 시스템에 들어오는 정보를 필터링하고 잠재적으로 유해한 프로그램을 차단하는 Microsoft Windows 애플리케이션입니다. 방화벽 소프트웨어는 대부분의 프로그램이 방화벽을 통해 통신하지 못하도록 차단합니다. 컴퓨터에서 수집된 Windows 방화벽 애플리케이션 로그를 스트리밍하려면 Azure Monitor 에이전트(AMA)를 사용하여 해당 로그를 Microsoft Sentinel 작업 영역으로 스트리밍합니다.

구성된 DCE(데이터 수집 엔드포인트)는 AMA가 로그를 수집하기 위해 만든 DCR(데이터 수집 규칙)과 연결되어야 합니다. 이 커넥터의 경우 DCE는 작업 영역과 동일한 지역에 자동으로 만들어집니다. 동일한 지역에 저장된 DCE를 이미 사용하는 경우 기본 생성 DCE를 변경하고 API를 통해 기존 DCE를 사용할 수 있습니다. DCE는 리소스 이름에 SentinelDCE 접두사를 사용하여 리소스에 있을 수 있습니다.

자세한 내용은 다음 문서를 참조하세요.

Azure Monitor의 데이터 수집 엔드포인트

Microsoft Sentinel 설명서

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

데이터 수집 규칙 지원: 현재 지원되지 않음

Windows 전달 이벤트

지원:Microsoft Corporation

AMA(모니터 에이전트) Azure 사용하여 Microsoft Sentinel 작업 영역에 연결된 Windows Server에서 모든 WEF(Windows 이벤트 전달) 로그를 스트리밍할 수 있습니다. 이 연결을 사용하면 대시보드를 보고, 사용자 지정 경고를 만들고, 조사를 개선할 수 있습니다. 이렇게 하면 organization 네트워크에 대한 더 많은 인사이트를 제공하고 보안 작업 기능을 개선합니다. 자세한 내용은 Microsoft Sentinel 설명서를 참조하세요.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

WindowsEvent 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

AMA를 통한 이벤트 Windows 보안

지원:Microsoft Corporation

Windows 에이전트를 사용하여 Microsoft Sentinel 작업 영역에 연결된 Windows 컴퓨터에서 모든 보안 이벤트를 스트리밍할 수 있습니다. 이 연결을 사용하면 대시보드를 보고, 사용자 지정 경고를 만들고, 조사를 개선할 수 있습니다. 이렇게 하면 organization 네트워크에 대한 더 많은 인사이트를 제공하고 보안 작업 기능을 개선합니다. 자세한 내용은 Microsoft Sentinel 설명서를 참조하세요.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

SecurityEvent 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

비 Azure VM에서 데이터를 수집하려면 Azure Arc를 설치하고 사용하도록 설정해야 합니다. 자세한 정보

설치 지침:

데이터 수집 규칙 사용

보안 이벤트 로그는 오직 Windows 에이전트로부터만 수집됩니다.

에이전트 설치: <설치 시 제공되는 변수 값>

WithSecure Elements (CCF)

지원자:WithSecure

Microsoft Sentinel의 Codeless Connector Framework(CCF)를 통해 인제스트된 WithSecure Elements 보안 이벤트는 Azure 기능, 스토리지 계정, Key Vault 없이 완전한 SaaS 배포입니다.

커넥터는 WithSecure Elements security-events API를 폴링하고, 정규화된 이벤트를 Log Analytics 테이블에 WsSecurityEvents_CL 저장합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

WsSecurityEvents_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

WithSecure Elements API 클라이언트 자격 증명: 클라이언트 자격 증명이 필요합니다. 자세한 내용은 사용자 가이드 를 참조하세요.

설치 지침:

WithSecure Elements API 자격 증명 생성

사용자 가이드에 따라 Elements API 자격 증명을 만듭니다. 클라이언트 ID와 클라이언트 비밀을 안전한 곳에 보관하세요.

Connect WithSecure Elements to Microsoft Sentinel

Elements API URL과 이전 단계에서 만든 클라이언트 ID와 클라이언트 비밀을 함께 제공한 후, 이벤트를 인제스팅하기 위해 Connect 를 클릭하세요.

요소 API URL: (https://api.connect.withsecure.com)

엔진 (선택 사항): (기본)

엔진 그룹(선택 사항): (기본값)

WithSecure Elements API(Azure 함수)

지원자:WithSecure

[비공식 판정] 이 Azure Function 기반 커넥터는 더 이상 지원되지 않으며 더 이상 활발히 유지보수되지 않습니다. 대신 WithSecure Elements via Codeless Connector Framework (CCF) 솔루션을 사용해 주시기 바랍니다. 이 솔루션은 Azure 함수를 배포하거나 유지보수할 필요 없이 동일한 데이터 수집을 제공합니다. 신규 배포는 CCF 솔루션을 사용해야 합니다.

WithSecure Elements는 위험, 복잡성 및 비효율성을 줄이기 위해 설계된 통합 클라우드 기반 사이버 보안 플랫폼입니다.

엔드포인트에서 클라우드 애플리케이션으로 보안을 강화합니다. 표적 공격부터 제로 데이 랜섬웨어에 이르기까지 모든 유형의 사이버 위협에 맞서 무장하세요.

WithSecure Elements는 모든 관리 및 단일 보안 센터를 통해 모니터링되는 강력한 예측, 예방 및 응답형 보안 기능을 결합합니다. 모듈식 구조와 유연한 가격 책정 모델을 통해 자유롭게 발전할 수 있습니다. 우리의 전문 지식과 통찰력을 통해, 당신은 항상 힘을 얻을 수 있습니다 - 그리고 당신은 혼자가 되지 않을 것입니다.

Microsoft Sentinel 통합을 사용하면 WithSecure Elements 솔루션의 보안 이벤트 데이터를 다른 원본의 데이터와 상호 연결하여 전체 환경에 대한 풍부한 개요와 위협에 대한 빠른 대응을 가능하게 할 수 있습니다.

이 솔루션을 사용하면 Azure 함수가 테넌트에게 배포되고 WithSecure Elements 보안 이벤트에 대해 주기적으로 폴링됩니다.

자세한 내용은 웹 사이트를 방문하세요 https://www.withsecure.com.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

WsSecurityEvents_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Microsoft.Web/sites 권한: 함수 앱을 만들기 위한 Azure Functions 읽기 및 쓰기 권한이 필요합니다. 자세한 내용은 Azure Functions 참조하세요.

WithSecure Elements API 클라이언트 자격 증명: 클라이언트 자격 증명이 필요합니다. 자세한 내용은 설명서를 참조하세요.

설치 지침:

1. WithSecure Elements API 자격 증명 만들기

사용자 가이드에 따라 Elements API 자격 증명을 만듭니다. 자격 증명을 안전한 장소에 저장합니다.

2. Microsoft Entra 애플리케이션 만들기

새 Microsoft Entra 애플리케이션 및 자격 증명을 만듭니다. 디렉터리(테넌트) ID, 개체 ID, 애플리케이션(클라이언트) ID 및 클라이언트 암호(클라이언트 자격 증명 필드)의 지침을 따르고 값을 저장합니다. 안전한 장소에 클라이언트 비밀을 저장해야 합니다.

3. 함수 앱 배포

참고: 이 커넥터는 Azure Functions 사용하여 WithSecure Elements에서 로그를 가져옵니다. 이로 인해 추가 데이터 수집 비용이 발생할 수 있습니다. 자세한 내용은 Azure Functions 가격 책정 페이지를 확인하세요.

(선택적 단계) Microsoft Entra 클라이언트 자격 증명 및 WithSecure Elements API 클라이언트 자격 증명을 Azure Key Vault 안전하게 저장합니다. Azure Key Vault 키 값을 저장하고 검색하는 보안 메커니즘을 제공합니다. 다음 지침에 따라 Azure 함수 앱에서 Azure Key Vault 사용합니다.

중요: WithSecure Elements 커넥터를 배포하기 전에 작업 영역 이름(다음에서 복사할 수 있음), Microsoft Entra(디렉터리(테넌트) ID, 개체 ID, 애플리케이션(클라이언트) ID 및 클라이언트 암호)의 데이터뿐만 아니라 WithSecure Elements 클라이언트 자격 증명을 쉽게 사용할 수 있습니다.

작업 영역 이름: <설치 시 제공되는 변수 값>

커넥터와 관련된 모든 리소스 배포

아래 Azure 배포 단추를 클릭합니다.

aka.ms

기본 구독, 리소스 그룹 및 위치를 선택합니다.

작업 영역 ID, Entra 클라이언트 ID, Entra 클라이언트 암호, Entra 테넌트 ID, Elements API 클라이언트 ID, Elements API 클라이언트 암호를 입력합니다.

참고: 위의 값에 Azure Key Vault 비밀을 사용하는 경우 문자열 값 대신 스키마를 사용합니다@Microsoft.KeyVault(SecretUri={Security Identifier}). 자세한 내용은 Key Vault 참조 설명서를 참조하세요. 4. 요소 API URL, 엔진, 엔진 그룹 등의 선택적 필드를 입력할 수도 있습니다. 특별한 경우가 아니면 Elements API URL의 기본값을 사용합니다. 엔진 및 엔진 그룹은보안 이벤트 요청 매개 변수에 매핑되며, 모든 보안 이벤트를 수신하려는 경우 특정 엔진 또는 엔진 그룹의 이벤트에만 관심이 있는 경우 해당 매개 변수를 입력합니다. 5. 위에 명시된 사용 약관에 동의함을 표시하는 확인란을 표시합니다. 6. 구매 를 클릭하여 배포합니다.

Wiz for Microsoft Sentinel

지원 대상:Wiz

Wiz 통합은 Wiz 이슈, 탐지 및 감사 로그를 실시간으로 Microsoft Sentinel로 전달합니다. Wiz는 Wiz 서비스 프린시펄을 사용해 데이터 컬렉션 엔드포인트로 데이터를 보내기 때문에 호스팅할 Azure 함수나 관리 공유 키가 없습니다. 이 커넥터는 해당 서비스 주체에게 필요한 최소 권한 RBAC를 부여합니다; Wiz는 데이터 수집 규칙과 테이블을 생성하고, Wiz 포털에서 통합을 설정하면 푸시를 시작합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

WizIssuesV3_CL 예 예

WizDetectionsV3_CL 예 예

WizAuditLogsV3_CL 아니요 아니요

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

구독 권한: 구독 기관의 소유자 또는 사용자 접근 관리자가 사용자 역할 정의(Microsoft)를 생성해야 합니다. Authorization/roleDefinitions/write).

Microsoft Entra 권한: Microsoft Entra ID에서 Wiz 서비스 주체를 읽을 권한(그리고 Wiz 엔터프라이즈 애플리케이션이 아직 동의되지 않았다면 생성) 권한입니다.

설치 지침:

STEP 1 - Wiz 서비스 프린시펄 객체 ID 가져오기

ARM은 Microsoft Entra 객체를 해결할 수 없으므로, Wiz 서비스 프린시펄 객체 ID를 제공해야 합니다. Azure Cloud Shell에서 (로컬 설치 필요 없음; 서비스 프린시펄을 생성하려면 Microsoft Entra ID에 엔터프라이즈 애플리케이션을 등록하려면 권한이 필요합니다) 아래 줄을 따라 실행하세요 — 객체 ID를 출력하고, 테넌트에 아직 존재하지 않는 서비스 프린시펄을 먼저 생성합니다:

az ad sp show --id ae69b94b-e367-4660-9b35-cfb4b5966728 --query id -o tsv 2>/dev/null \ || az ad sp create --id ae69b94b-e367-4660-9b35-cfb4b5966728 --query id -o tsv

2단계 - RBAC의 그랜트 위즈

이 작업 공간을 호스팅하는 리소스 그룹에 커스텀 역할과 할당을 배포하세요. Step 1에서 받은 객체 ID를 붙여넣고(선택적으로는 데이터 컬렉션 엔드포인트 리소스 ID)도 붙여넣으세요.

Wiz RBAC 역할 배포하기를 클릭하세요:

portal.azure.com

구독과 이 작업 공간을 호스팅하는 리소스 그룹 을 선택하세요.

wizPrincipalObjectId(Step 1에서)를 입력하세요; 선택적으로 dataCollectionEndpointId를 입력하세요.

검토 + 만들기

작업 공간 자원 ID: <설치 시 제공되는 변수 값>

3단계 - Wiz에서 통합 구성

Wiz에서 설정으로 가서 통합, > Microsoft Sentinel 추가 > .> 테넌트 ID, 워크스페이스 리소스 ID, 데이터 컬렉션 엔드포인트 리소스 ID를 붙여넣고, 배치 완료 체크를 한 뒤 저장하세요. 그 후 Wiz는 데이터 수집 규칙과 테이블을 생성하고, Issue, Detections, Audit Log를 이 작업 공간에 푸시하기 시작합니다.

Workday 사용자 활동 (코드리스 커넥터 프레임워크를 통해)

지원:Microsoft Corporation

Workday 사용자 활동 데이터 커넥터는 Workday API에서 Microsoft Sentinel 사용자 활동 로그를 수집하는 기능을 제공합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

ASimAuditEventLogs 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Workday 사용자 활동 API 접근: OAuth를 통해 Workday 사용자 활동 API 접근이 필요합니다. API 클라이언트에는 시스템 감사 권한이 있는 계정에서 권한을 부여해야 하는 scope 있어야 합니다.

설치 지침:

Workday를 Microsoft Sentinel에 연결하기

Workday에서 "테넌트 설정 - 보안 편집" 작업에 액세스하고 "OAuth 2.0 설정" 섹션을 확인하고 "OAuth 2.0 클라이언트 사용" 검사 상자가 선택되어 있는지 확인합니다.

Workday에서 "테넌트 설정 - 시스템 편집" 작업에 액세스하고 ,"사용자 활동 로깅" 섹션을 확인하고 "사용자 활동 로깅 사용" 검사 확인란이 선택되어 있는지 확인합니다.

Workday에서 "API 클라이언트 등록" 작업에 액세스합니다.

클라이언트 이름을 정의하고 "클라이언트 권한 부여 유형": "권한 부여 코드 부여"를 선택한 다음, "액세스 토큰 유형": "전달자"를 선택합니다.

아래 양식에 있는 "리디렉션 URI"를 입력합니다.

"범위(기능 영역)" 섹션에서 "시스템"을 선택하고 하단의 확인을 클릭하세요.

페이지에서 벗어나기 전에 클라이언트 ID 및 클라이언트 암호를 복사하고 안전하게 저장합니다.

Sentinel의 커넥터 페이지에서 필요한 토큰, 권한, 사용자 활동 엔드포인트와 이전 단계에서 받은 클라이언트 ID와 클라이언트 비밀을 함께 제공합니다. 그런 다음"연결"을 클릭합니다. 정확한 엔드포인트 값은 Workday 테넌트의 "View API Clients" 보고서에서 확인할 수 있습니다; 호스트는 환경에 따라 다릅니다(예: 구현 테넌트는 wd3-impl-services1.workday.com, 프로덕션 테넌트는 services1.myworkday.com).

Workday 팝업이 표시되어 API 클라이언트의 OAuth2 인증 및 권한 부여를 완료합니다. 여기서 Workday 계정에 대한 자격 증명에 Workday에서 "시스템 감사" 권한을 제공해야 합니다(Workday 계정 또는 통합 시스템 사용자일 수 있음).

완료되면 API 클라이언트에 권한을 부여하는 메시지가 표시됩니다.

연결 별명: (프로덕션 또는 임플)

참고: Workday 연결을 식별하기 위해 고유 별칭을 입력하세요. 중요: 각 테넌트/도메인마다 다른 별칭을 사용하세요. 기존 연결을 업데이트하려면 같은 별칭을 사용하거나 삭제 후 다시 생성하세요.

Token Endpoint: (예시, https://{workdayServicesHost}/ccx/oauth2/{tenantName}/token)

인증 엔드포인트: (예시, https://{workdayHost}/{tenantName}/authorize)

사용자 활동 로그 엔드포인트 (/activityLogging으로 끝남): (예: https://{workdayServicesHost}/ccx/api/privacy/v1/{tenantName}/activityLogging)

데이터 커넥터 그리드(포털에서 구성)

Facebook 작업 공간(Azure Functions 사용)

지원:Microsoft Corporation

Workplace 데이터 커넥터는 웹후크를 통해 일반적인 Workplace 이벤트를 Microsoft Sentinel 수집하는 기능을 제공합니다. 웹후크를 사용하면 사용자 지정 통합 앱이 Workplace에서 이벤트를 구독하고 실시간으로 업데이트를 받을 수 있습니다. Workplace에서 변경이 발생하면 이벤트 정보가 포함된 HTTPS POST 요청이 콜백 데이터 커넥터 URL로 전송됩니다. 자세한 내용은 웹후크 설명서를 참조하세요. 커넥터를 사용하면 이벤트 검색을 통해 잠재적인 보안 위험을 평가하고, 공동 작업을 모니터링하고, 구성 문제를 진단하고 해결할 수 있습니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

Workplace_Facebook_CL 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

Microsoft.Web/sites 권한: 함수 앱을 만들기 위한 Azure Functions 읽기 및 쓰기 권한이 필요합니다. 자세한 내용은 Azure Functions 참조하세요.

웹후크 자격 증명/권한: 작업 웹후크에 WorkplaceAppSecret, WorkplaceVerifyToken, 콜백 URL이 필요합니다. 웹후크 구성, 권한 구성에 대한 자세한 내용은 설명서를 참조하세요.

설치 지침:

참고: 이 데이터 커넥터는 로그가 있는 POST 요청을 대기하여 로그를 Microsoft Sentinel 끌어오기 위해 HTTP 트리거 기반의 Azure Functions 사용합니다. 이로 인해 추가 데이터 수집 비용이 발생할 수 있습니다. 자세한 내용은 Azure Functions 가격 책정 페이지를 확인하세요.

(선택적 단계) 작업 영역 및 API 권한 부여 키 또는 토큰을 Azure Key Vault 안전하게 저장합니다. Azure Key Vault 키 값을 저장하고 검색하는 보안 메커니즘을 제공합니다. Azure Functions 앱에서 Azure Key Vault 사용하려면 다음 지침을 따릅니다.

참고: 이 데이터 커넥터는 Kusto 함수를 기반으로 하는 파서에 따라 솔루션의 일부로 배포되는 예상대로 작동합니다. Log Analytics에서 함수 코드를 보려면 Log Analytics/Microsoft Sentinel 로그 블레이드를 열고 함수를 클릭하고 별칭 WorkplaceFacebook을 검색하고 함수 코드를 로드하거나 쿼리의 두 번째 줄에서 여기를 클릭하고 Workplace Facebook 디바이스의 호스트 이름 및 logstream에 대한 기타 고유 식별자를 입력합니다. 함수는 일반적으로 솔루션 설치/업데이트 후 활성화하는 데 10-15분이 걸립니다.

1단계 - Workplace에 대한 구성 단계

지침에 따라 웹후크를 구성합니다.

관리 사용자 자격 증명을 사용하여 Workplace에 로그인합니다.

관리 패널에서 통합을 클릭합니다.

모든 통합 보기에서 사용자 지정 통합 만들기를 클릭합니다.

이름 및 설명을 입력하고 만들기를 클릭합니다.

통합 세부 정보 패널에 앱 비밀 및 복사가 표시됩니다.

통합 권한 창에서 모든 읽기 권한을 설정합니다. 자세한 내용은 사용 권한 페이지를 참조하세요.

이제 2단계로 진행하여 옵션 1 또는 2에 나열된 단계에 따라 Azure 함수를 배포합니다.

요청된 매개 변수를 입력하고 선택한 토큰도 입력합니다. 이 토큰을 복사/ 예정된 단계에 대해 확인합니다.

Azure Functions 배포가 성공적으로 완료되면 함수 앱 페이지를 열고, 앱을 선택하고, 함수로 이동하고, 함수 URL 가져오기를 클릭하고, 이 URL을 복사합니다. / 예정된 단계에 대해 기록해 둡니다.

Facebook Workplace로 돌아가기. 각 탭의 웹후크 구성 패널에서 콜백 URL을 위의 포인트 9에서 복사한 값과 동일한 값으로 설정하고, Azure Functions 배포의 2단계 중에 가져온 위의 점 8에서 복사한 것과 동일한 값으로 토큰을 확인합니다.

저장을 클릭합니다.

2단계 - 커넥터 및 연결된 Azure Functions 배포하려면 다음 두 가지 배포 옵션 중 하나를 선택합니다.

중요: Workplace 데이터 커넥터를 배포하기 전에 작업 영역 ID 및 작업 영역 기본 키를 갖습니다(다음에서 복사할 수 있음).

작업 영역 ID: <설치 시 제공되는 변수 값>

기본 키: <설치 시 제공되는 변수 값>

옵션 1 - ARM(Azure Resource Manager) 템플릿

ARM Tempate를 사용하여 Workplace 데이터 커넥터의 자동화된 배포에 이 방법을 사용합니다.

아래 Azure 배포 단추를 클릭합니다.

aka.ms aka.ms

기본 구독, 리소스 그룹 및 위치를 선택합니다.

참고: 동일한 리소스 그룹 내에서는 Windows 및 Linux 앱을 동일한 지역에 혼합할 수 없습니다. Windows 앱이 없는 기존 리소스 그룹을 선택하거나 새 리소스 그룹을 만듭니다. 3. WorkplaceVerifyToken(식일 수 있음, 1단계에 대해 복사 및 저장 가능), WorkplaceAppSecret 및 배포를 입력합니다. 4. 위에 명시된 사용 약관에 동의함을 표시하는 확인란을 표시합니다. 5. 구매 를 클릭하여 배포합니다. 6. 열린 함수 앱 페이지를 배포한 후 앱을 선택하고 함수로 이동하여 함수 URL 가져오기 복사를 클릭하고 1단계에서 p.7을 따릅니다.

옵션 2 - Azure Functions 수동 배포

다음 단계별 지침을 사용하여 sophos Endpoint Protection 데이터 커넥터를 Azure Functions 사용하여 수동으로 배포합니다(Visual Studio Code 통해 배포).

1단계 - 함수 앱 배포

참고: Azure 함수 개발을 위해 VS 코드를 준비해야 합니다.

Azure 함수 앱 파일을 다운로드합니다. 로컬 개발 컴퓨터에 보관 파일을 추출합니다.

함수 앱 수동 배포 지침에 따라 VSCode를 사용하여 Azure Functions 앱을 배포합니다.

함수 앱을 성공적으로 배포한 후 구성을 위한 다음 단계를 수행합니다.

2단계 - 함수 앱 구성

함수 앱에서 함수 앱 이름을 선택하고 구성을 선택합니다.

애플리케이션 설정 탭에서 새 애플리케이션 설정을 선택합니다.

각 문자열 값(대/소문자 구분)을 사용하여 다음 애플리케이션 설정을 개별적으로 추가합니다. WorkplaceAppSecret WorkplaceVerifyToken WorkspaceID WorkspaceKey logAnalyticsUri(선택 사항)

logAnalyticsUri를 사용하여 전용 클라우드에 대한 로그 분석 API 엔드포인트를 재정의합니다. 예를 들어 퍼블릭 클라우드의 경우 값을 비워 둡니다. Azure GovUS 클라우드 환경의 경우 값을 형식https://<CustomerId>.ods.opinsights.azure.us으로 지정합니다.

모든 애플리케이션 설정이 입력되면 저장을 클릭합니다.

XBOW 보안 플랫폼(Azure 함수를 통해)

지원:XBOW

XBOW 데이터 커넥터는 XBOW 보안 플랫폼에서 Microsoft Sentinel 자산 스냅샷, 취약성 조사 결과 및 평가 활동을 수집합니다. Azure 함수는 타이머에서 XBOW API를 폴링하고 DCE/DCR(Monitor XbowAssets_CL)을 Azure 사용하여 자산 JSON 스냅샷XbowFindings_CL을 로 푸시하고, 보강된 결과(증거, PoC 레시피, 영향 및 완화 포함)XbowAssessments_CL를 에 푸시하고 수명 주기 이벤트를 평가합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

XbowAssets_CL 아니요 아니요

XbowFindings_CL 아니요 아니요

XbowAssessments_CL 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

XBOW API 토큰: XBOW 개인용 액세스 토큰이 필요합니다. 아래>에서 하나를 생성합니다. 토큰의 범위를 모니터링하려는 organization 지정합니다.

XBOW 조직 ID: XBOW 계정의 조직 ID입니다. XBOW 콘솔 URL 또는 API를 통해 찾습니다.

Microsoft.Web/sites 권한: 함수 앱을 만들기 위한 Azure Functions 읽기 및 쓰기 권한이 필요합니다. 자세한 내용은 Azure Functions 참조하세요.

필요한 경우 사용자 지정 필수 구성 요소, 그렇지 않으면 이 세관 태그를 삭제합니다. 사용자 지정 필수 구성 요소에 대한 설명

Azure AD 앱 등록: Azure AD 앱 등록(서비스 주체)이 필요합니다. 배포 후 DCR(데이터 수집 규칙)에서 모니터링 메트릭 게시자 역할을 이 앱 등록에 수동으로 할당해야 합니다.

설치 지침:

참고: 이 커넥터는 Azure Functions 및 DCE/DCR(Azure Monitor 수집 API)을 사용하여 XBOW 자산, 결과 및 평가를 Microsoft Sentinel 수집합니다. ARM 템플릿은 데이터 컬렉션 엔드포인트, 사용자 지정 로그 테이블(XbowAssets_CL, XbowFindings_CL및 ), 데이터 수집 규칙 및 XbowAssessments_CL함수 앱을 자동으로 만듭니다. 이로 인해 추가 데이터 수집 비용이 발생할 수 있습니다. 자세한 내용은 Azure Functions 가격 책정 페이지 및 Azure 모니터링 가격 책정 페이지를 확인하세요.

(선택적 단계) XBOW API 토큰 및 앱 등록 자격 증명을 Azure Key Vault 안전하게 저장합니다. 다음 지침에 따라 Azure 함수 앱에서 Azure Key Vault 참조를 사용합니다.

1단계 - XBOW API 토큰 생성

관리자 액세스 권한으로 XBOW 콘솔 에 로그인합니다.

프로필 아이콘(오른쪽 위)을 클릭하고 설정을 선택합니다.

왼쪽 사이드바에서 개인용 액세스 토큰을 클릭합니다.

새 토큰 생성을 클릭하고 이름을 입력한 다음 organization scope 선택합니다.

토큰을 복사하고 안전하게 저장합니다. 다시 표시되지 않습니다.

organization 볼 때 XBOW 콘솔 또는 URL에서 조직 ID를 기록해 둡니다.

2단계 - Azure AD 앱 등록 만들기 및 DCR 역할 부여

Azure 포털에서 Azure Active Directory > 앱 등록 > 새 등록으로 이동합니다.

이름(예: Xbow-Sentinel-Connector)을 입력하고 등록합니다.

인증서 & 비밀에서 새 클라이언트 암호를 만듭니다. 테넌트 ID, 클라이언트 ID 및 클라이언트 암호를 기록해 둡니다.

아래의 3단계를 사용하여 커넥터를 배포한 다음, 여기로 돌아갑니다.

배포 출력에서 또는 리소스 그룹에서 검색하여 배포된 데이터 수집 규칙을 엽니다.

액세스 제어(IAM) > 역할 할당 추가로 이동합니다.

역할 모니터링 메트릭 게시자를 선택합니다.

위에서 만든 앱 등록(서비스 주체)에 대한 액세스를 할당합니다.

수집을 확인하기 전에 RBAC 전파를 위해 몇 분 정도 기다립니다.

3단계 - Azure 함수 앱 배포

배포를 클릭하여 Azure 매개 변수를 입력합니다. 템플릿은 데이터 수집 엔드포인트, , 및 테이블, XbowAssets_CL데이터 수집 규칙 및 XbowFindings_CL 함수 앱을 자동으로 만듭니XbowAssessments_CL다.

aka.ms

채울 매개 변수:

매개 변수 설명

WorkspaceName Log Analytics/Microsoft Sentinel 작업 영역의 이름

XbowApiToken 1단계의 XBOW 개인용 액세스 토큰

XbowOrgId 1단계의 XBOW 조직 ID

TenantId 2단계에서 테넌트 ID Azure AD

ClientId 2단계의 앱 등록 클라이언트 ID

ClientSecret 2단계의 앱 등록 클라이언트 암호

AppInsightsWorkspaceResourceID Log Analytics 작업 영역의 전체 리소스 ID( Log Analytics 작업 영역 > 속성에서)

FunctionAppLocation 함수 앱 리소스에 대한 선택적 Azure 지역(기본값: 리소스 그룹 위치)

작업 영역 ID: <설치 시 제공되는 변수 값>

제로 네트워크 세그먼트(푸시)

지원:제로 네트워크

제로 네트워크 세그먼트 푸시 커넥터를 사용하면 제로 네트워크가 감사, 네트워크 활동, ID 활동 및 RPC 활동을 실시간으로 Microsoft Sentinel 직접 보낼 수 있습니다. 커넥터를 배포하여 DCR(데이터 수집 규칙) 및 Microsoft Entra 앱을 만든 다음, 연결 세부 정보를 사용하여 제로 네트워크 애플리케이션을 구성하여 이벤트를 푸시합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

ZNAudit_CL 예 예

ZNNetworkActivity_CL 예 예

ZNIdentityActivity_CL 예 예

ZNRPCActivity_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Microsoft Entra: Microsoft Entra ID 앱 등록을 만들 수 있는 권한입니다. 일반적으로 Entra ID 애플리케이션 개발자 역할 이상이 필요합니다.

Microsoft Azure: DCR(데이터 수집 규칙)에 대한 모니터링 메트릭 게시자 역할을 할당할 수 있는 권한입니다. 일반적으로 AZURE RBAC 소유자 또는 사용자 액세스 관리자 역할이 필요합니다.

설치 지침:

1. ARM 리소스 만들기 및 필요한 권한 제공

푸시 커넥터를 배포하여 Log Analytics 테이블, DCR(데이터 수집 규칙), DCE(데이터 수집 엔드포인트) 및 Microsoft Entra 앱을 만듭니다. 그런 다음, 연결 세부 정보를 사용하여 Zero Networks 애플리케이션을 구성합니다.

자동화된 구성 클릭 "배포"는 DCR 및 DCE를 만든 다음, 클라이언트 암호를 사용하여 앱 등록을 Microsoft Entra DCR에 대한 권한을 부여합니다. 그러면 애플리케이션이 OAuth 2.0 클라이언트 자격 증명을 사용하여 데이터를 안전하게 보낼 수 있습니다.

2. 제로 네트워크 애플리케이션 구성

다음 값을 사용하여 감사, 네트워크 활동, ID 활동 및 RPC 활동을 Microsoft Sentinel 푸시하도록 제로 네트워크 애플리케이션을 구성합니다.

테넌트 ID(디렉터리 ID): <설치 시 제공되는 변수 값>

Entra 애플리케이션 ID: <설치 시 제공되는 변수 값>

Entra 애플리케이션 비밀: <설치 시 제공되는 변수 값>

데이터 수집 엔드포인트 URI: <설치 시 제공되는 변수 값>

데이터 수집 규칙 변경할 수 없는 ID: <설치 시 제공되는 변수 값>

Stream: 감사: <설치 시 제공되는 변수 값>

Stream: 네트워크 활동: <설치 시 제공되는 변수 값>

Stream: ID 활동: <설치 시 제공되는 변수 값>

Stream: RPC 활동: <설치 시 제공되는 변수 값>

제로 네트워크 세그먼트 감사

지원:제로 네트워크

제로 네트워크 세그먼트 감사 데이터 커넥터는 REST API를 통해 제로 네트워크 감사 이벤트를 Microsoft Sentinel 수집하는 기능을 제공합니다. 이 데이터 커넥터는 Microsoft Sentinel 네이티브 폴링 기능을 사용합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

ZNSegmentAuditNativePoller_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

제로 네트워크 API 토큰: REST API에는 ZeroNetworksAPIToken 이 필요합니다. API 가이드를 참조하고 자격 증명을 가져오기 위한 지침을 따릅니다.

설치 지침:

제로 네트워크를 Microsoft Sentinel 연결

Zero Networks API URL(예: portal.zeronetworks.com)을 입력합니다. 커넥터는 https:// 및 /api/v1/audit를 자동으로 추가합니다. 그런 다음, API 키를 제공하고 연결을 클릭합니다.

제로 네트워크 API URL: (portal.zeronetworks.com)

ApiKey: (ApiKey)

연결 사용/사용 안 함

데이터 커넥터 그리드(포털에서 구성)

ZeroFox 경고

지원:ZeroFox

ZeroFox API에서 경고를 수집합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

ZeroFoxAlertPoller_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

ZeroFox Integrations API 키: ZeroFox Integrations API 키가 필요합니다. 에서 integrations@zerofox.com요청합니다.

설치 지침:

ZeroFox를 Microsoft Sentinel 연결

커넥터를 사용하도록 설정하려면 아래에 필요한 정보를 제공하고 연결을 클릭합니다.

ZeroFox Integrations API 키 제공: (ZeroFox Integrations API 키)

연결 사용/사용 안 함

제로폭스 CTI

지원:ZeroFox

ZeroFox CTI 데이터 커넥터는 다양한 ZeroFox 사이버 위협 인텔리전스 경고를 Microsoft Sentinel 수집하는 기능을 제공합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

ZeroFox_CTI_advanced_dark_web_CL 아니요 아니요

ZeroFox_CTI_botnet_CL 아니요 아니요

ZeroFox_CTI_breaches_CL 아니요 아니요

ZeroFox_CTI_C2_CL 아니요 아니요

ZeroFox_CTI_compromised_credentials_CL 아니요 아니요

ZeroFox_CTI_credit_cards_CL 아니요 아니요

ZeroFox_CTI_dark_web_CL 아니요 아니요

ZeroFox_CTI_discord_CL 아니요 아니요

ZeroFox_CTI_disruption_CL 아니요 아니요

ZeroFox_CTI_email_addresses_CL 아니요 아니요

ZeroFox_CTI_exploits_CL 아니요 아니요

ZeroFox_CTI_irc_CL 아니요 아니요

ZeroFox_CTI_malware_CL 아니요 아니요

ZeroFox_CTI_national_ids_CL 아니요 아니요

ZeroFox_CTI_phishing_CL 아니요 아니요

ZeroFox_CTI_phone_numbers_CL 아니요 아니요

ZeroFox_CTI_ransomware_CL 아니요 아니요

ZeroFox_CTI_telegram_CL 아니요 아니요

ZeroFox_CTI_threat_actors_CL 아니요 아니요

ZeroFox_CTI_vulnerabilities_CL 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

Microsoft.Web/sites 권한: 함수 앱을 만들기 위한 Azure Functions 읽기 및 쓰기 권한이 필요합니다. 자세한 내용은 Azure Functions 참조하세요.

ZeroFox API 자격 증명/권한: ZeroFox CTI REST API에는 ZeroFox 사용자 이름, ZeroFox 개인용 액세스 토큰 이 필요합니다.

설치 지침:

참고: 이 커넥터는 Azure Functions 사용하여 ZeroFox CTI REST API에 연결하여 로그를 Microsoft Sentinel 끌어올 수 있습니다. 이로 인해 추가 데이터 수집 비용이 발생할 수 있습니다. 자세한 내용은 Azure Functions 가격 책정 페이지를 확인하세요.

(선택적 단계) 작업 영역 및 API 권한 부여 키 또는 토큰을 Azure Key Vault 안전하게 저장합니다. Azure Key Vault 키 값을 저장하고 검색하는 보안 메커니즘을 제공합니다. 다음 지침에 따라 Azure 함수 앱에서 Azure Key Vault 사용합니다.

1단계 - ZeroFox 자격 증명 검색:

로깅을 설정하고 자격 증명을 가져오려면 다음 지침을 따릅니다.

ZeroFox의 웹 사이트에 로그인합니다. 사용자 이름 및 암호 사용 2 - 설정 단추를 클릭하고 데이터 커넥터 섹션으로 이동합니다. 3 - API 데이터 피드 탭을 선택하고 페이지 맨 아래로 이동하여 API 정보 상자에서 다시 설정을<< 선택하여 >>사용자 이름과 함께 사용할 개인용 액세스 토큰을 가져옵니다.

2단계 - Azure Resource Manager 템플릿을 사용하여 Azure 함수 데이터 커넥터를 배포합니다.

중요: ZeroFox CTI 데이터 커넥터를 배포하기 전에 작업 영역 ID 및 작업 영역 기본 키(다음에서 복사할 수 있음)를 쉽게 사용할 수 있습니다.

작업 영역 ID: <설치 시 제공되는 변수 값>

기본 키: <설치 시 제공되는 변수 값>

배포를 위한 리소스 준비.

아래 Azure 배포 단추를 클릭합니다.

aka.ms

기본 구독, 리소스 그룹, Log Analytics 작업 영역 및 위치를 선택합니다.

작업 영역 ID, 작업 영역 키, ZeroFox 사용자 이름, ZeroFox 개인용 액세스 토큰 입력

검토 + 만들기를 클릭하여 배포합니다.

제로폭스 엔터프라이즈 - 고급 다크 웹

지원:ZeroFox

ZeroFox API에서 고급 다크웹 데이터를 수집하여 Microsoft Sentinel으로 전송합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

ZeroFoxAdvancedDarkWeb_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

ZeroFox PAT(개인용 액세스 토큰): ZeroFox PAT가 필요합니다. 데이터 커넥터 >API 데이터 피드에서 가져올 수 있습니다.

설치 지침:

ZeroFox를 Microsoft Sentinel 연결

커넥터를 사용하도록 설정하려면 아래에 필요한 정보를 제공하고 연결을 클릭합니다.

ZeroFox 계정 사용자 이름을 제공하세요: (Zerofox 계정 이름)

ZeroFox PAT 제공: (Zerofox PAT)

연결 사용/사용 안 함

ZeroFox Enterprise - 경고(폴링 CCF)

지원:ZeroFox

ZeroFox API에서 경고를 수집합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

ZeroFoxAlertPoller_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

ZeroFox PAT(개인용 액세스 토큰): ZeroFox PAT가 필요합니다. 데이터 커넥터 >API 데이터 피드에서 가져올 수 있습니다.

설치 지침:

ZeroFox를 Microsoft Sentinel 연결

ZeroFox를 Microsoft Sentinel 연결

ZeroFox PAT 제공: (Zerofox PAT)

연결 사용/사용 안 함

제로폭스 엔터프라이즈 - 봇넷

지원:ZeroFox

ZeroFox API에서 Microsoft Sentinel로 봇넷 데이터를 수집합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

ZeroFoxBotnet_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

ZeroFox PAT(개인용 액세스 토큰): ZeroFox PAT가 필요합니다. 데이터 커넥터 >API 데이터 피드에서 가져올 수 있습니다.

설치 지침:

ZeroFox를 Microsoft Sentinel 연결

커넥터를 사용하도록 설정하려면 아래에 필요한 정보를 제공하고 연결을 클릭합니다.

ZeroFox 계정 사용자 이름을 제공하세요: (Zerofox 계정 이름)

ZeroFox PAT 제공: (Zerofox PAT)

연결 사용/사용 안 함

ZeroFox Enterprise - 봇넷 자격 증명 침해

지원:ZeroFox

ZeroFox API에서 봇넷에 노출된 자격 증명 데이터를 Microsoft Sentinel로 수집합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

ZeroFoxBotnetCC_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

ZeroFox PAT(개인용 액세스 토큰): ZeroFox PAT가 필요합니다. 데이터 커넥터 >API 데이터 피드에서 가져올 수 있습니다.

설치 지침:

ZeroFox를 Microsoft Sentinel 연결

커넥터를 사용하도록 설정하려면 아래에 필요한 정보를 제공하고 연결을 클릭합니다.

ZeroFox 계정 사용자 이름을 제공하세요: (Zerofox 계정 이름)

ZeroFox PAT 제공: (Zerofox PAT)

연결 사용/사용 안 함

제로폭스 엔터프라이즈 - 브리치

지원:ZeroFox

ZeroFox API에서 침해 데이터를 수집하여 Microsoft Sentinel으로 전송합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

ZeroFoxBreaches_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

ZeroFox PAT(개인용 액세스 토큰): ZeroFox PAT가 필요합니다. 데이터 커넥터 >API 데이터 피드에서 가져올 수 있습니다.

설치 지침:

ZeroFox를 Microsoft Sentinel 연결

커넥터를 사용하도록 설정하려면 아래에 필요한 정보를 제공하고 연결을 클릭합니다.

ZeroFox 계정 사용자 이름을 제공하세요: (Zerofox 계정 이름)

ZeroFox PAT 제공: (Zerofox PAT)

연결 사용/사용 안 함

ZeroFox Enterprise - 자격 증명 유출

지원:ZeroFox

ZeroFox API에서 Microsoft Sentinel로 유출된 자격 증명 데이터를 수집합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

ZeroFoxCompromisedCredentials_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

ZeroFox PAT(개인용 액세스 토큰): ZeroFox PAT가 필요합니다. 데이터 커넥터 >API 데이터 피드에서 가져올 수 있습니다.

설치 지침:

ZeroFox를 Microsoft Sentinel 연결

커넥터를 사용하도록 설정하려면 아래에 필요한 정보를 제공하고 연결을 클릭합니다.

ZeroFox 계정 사용자 이름을 제공하세요: (Zerofox 계정 이름)

ZeroFox PAT 제공: (Zerofox PAT)

연결 사용/사용 안 함

제로폭스 엔터프라이즈 - 신용카드

지원:ZeroFox

ZeroFox API에서 신용카드 데이터를 Microsoft Sentinel로 수집합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

ZeroFoxCreditCards_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

ZeroFox PAT(개인용 액세스 토큰): ZeroFox PAT가 필요합니다. 데이터 커넥터 >API 데이터 피드에서 가져올 수 있습니다.

설치 지침:

ZeroFox를 Microsoft Sentinel 연결

커넥터를 사용하도록 설정하려면 아래에 필요한 정보를 제공하고 연결을 클릭합니다.

ZeroFox 계정 사용자 이름을 제공하세요: (Zerofox 계정 이름)

ZeroFox PAT 제공: (Zerofox PAT)

연결 사용/사용 안 함

제로폭스 엔터프라이즈 - 다크 웹

지원:ZeroFox

ZeroFox API에서 다크웹 데이터를 Microsoft Sentinel로 수집합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

ZeroFoxDarkWeb_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

ZeroFox PAT(개인용 액세스 토큰): ZeroFox PAT가 필요합니다. 데이터 커넥터 >API 데이터 피드에서 가져올 수 있습니다.

설치 지침:

ZeroFox를 Microsoft Sentinel 연결

커넥터를 사용하도록 설정하려면 아래에 필요한 정보를 제공하고 연결을 클릭합니다.

ZeroFox 계정 사용자 이름을 제공하세요: (Zerofox 계정 이름)

ZeroFox PAT 제공: (Zerofox PAT)

연결 사용/사용 안 함

제로폭스 엔터프라이즈 - 디스코드

지원:ZeroFox

ZeroFox API에서 디스코드 데이터를 Microsoft Sentinel로 수집합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

ZeroFoxDiscord_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

ZeroFox PAT(개인용 액세스 토큰): ZeroFox PAT가 필요합니다. 데이터 커넥터 >API 데이터 피드에서 가져올 수 있습니다.

설치 지침:

ZeroFox를 Microsoft Sentinel 연결

커넥터를 사용하도록 설정하려면 아래에 필요한 정보를 제공하고 연결을 클릭합니다.

ZeroFox 계정 사용자 이름을 제공하세요: (Zerofox 계정 이름)

ZeroFox PAT 제공: (Zerofox PAT)

연결 사용/사용 안 함

제로폭스 엔터프라이즈 - 디스럽션

지원:ZeroFox

ZeroFox API에서 Microsoft Sentinel로 전환되는 방해 데이터를 수집합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

ZeroFoxDisruption_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

ZeroFox PAT(개인용 액세스 토큰): ZeroFox PAT가 필요합니다. 데이터 커넥터 >API 데이터 피드에서 가져올 수 있습니다.

설치 지침:

ZeroFox를 Microsoft Sentinel 연결

커넥터를 사용하도록 설정하려면 아래에 필요한 정보를 제공하고 연결을 클릭합니다.

ZeroFox 계정 사용자 이름을 제공하세요: (Zerofox 계정 이름)

ZeroFox PAT 제공: (Zerofox PAT)

연결 사용/사용 안 함

ZeroFox 엔터프라이즈 - 이메일 주소

지원:ZeroFox

ZeroFox API에서 이메일 주소 데이터를 Microsoft Sentinel로 수집합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

ZeroFoxEmailAddresses_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

ZeroFox PAT(개인용 액세스 토큰): ZeroFox PAT가 필요합니다. 데이터 커넥터 >API 데이터 피드에서 가져올 수 있습니다.

설치 지침:

ZeroFox를 Microsoft Sentinel 연결

커넥터를 사용하도록 설정하려면 아래에 필요한 정보를 제공하고 연결을 클릭합니다.

ZeroFox 계정 사용자 이름을 제공하세요: (Zerofox 계정 이름)

ZeroFox PAT 제공: (Zerofox PAT)

연결 사용/사용 안 함

제로폭스 엔터프라이즈 - 익스플로잇

지원:ZeroFox

ZeroFox API에서 Microsoft Sentinel으로 취약점 데이터를 수집합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

ZeroFoxExploits_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

ZeroFox PAT(개인용 액세스 토큰): ZeroFox PAT가 필요합니다. 데이터 커넥터 >API 데이터 피드에서 가져올 수 있습니다.

설치 지침:

ZeroFox를 Microsoft Sentinel 연결

커넥터를 사용하도록 설정하려면 아래에 필요한 정보를 제공하고 연결을 클릭합니다.

ZeroFox 계정 사용자 이름을 제공하세요: (Zerofox 계정 이름)

ZeroFox PAT 제공: (Zerofox PAT)

연결 사용/사용 안 함

제로폭스 엔터프라이즈 - 표시기

지원:ZeroFox

ZeroFox API에서 지표 데이터를 Microsoft Sentinel로 수집합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

ZeroFoxIndicators_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

ZeroFox PAT(개인용 액세스 토큰): ZeroFox PAT가 필요합니다. 데이터 커넥터 >API 데이터 피드에서 가져올 수 있습니다.

설치 지침:

ZeroFox를 Microsoft Sentinel 연결

커넥터를 사용하도록 설정하려면 아래에 필요한 정보를 제공하고 연결을 클릭합니다.

ZeroFox 계정 사용자 이름을 제공하세요: (Zerofox 계정 이름)

ZeroFox PAT 제공: (Zerofox PAT)

연결 사용/사용 안 함

제로폭스 엔터프라이즈 - 주요 사건들

지원:ZeroFox

ZeroFox API에서 Microsoft Sentinel로 주요 인시던트 데이터를 수집합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

ZeroFoxKeyIncidents_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

ZeroFox PAT(개인용 액세스 토큰): ZeroFox PAT가 필요합니다. 데이터 커넥터 >API 데이터 피드에서 가져올 수 있습니다.

설치 지침:

ZeroFox를 Microsoft Sentinel 연결

커넥터를 사용하도록 설정하려면 아래에 필요한 정보를 제공하고 연결을 클릭합니다.

ZeroFox 계정 사용자 이름을 제공하세요: (Zerofox 계정 이름)

ZeroFox PAT 제공: (Zerofox PAT)

연결 사용/사용 안 함

제로폭스 엔터프라이즈 - 국가 ID

지원:ZeroFox

ZeroFox API에서 Microsoft Sentinel으로 국가 ID 데이터를 수집합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

ZeroFoxNationalIds_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

ZeroFox PAT(개인용 액세스 토큰): ZeroFox PAT가 필요합니다. 데이터 커넥터 >API 데이터 피드에서 가져올 수 있습니다.

설치 지침:

ZeroFox를 Microsoft Sentinel 연결

커넥터를 사용하도록 설정하려면 아래에 필요한 정보를 제공하고 연결을 클릭합니다.

ZeroFox 계정 사용자 이름을 제공하세요: (Zerofox 계정 이름)

ZeroFox PAT 제공: (Zerofox PAT)

연결 사용/사용 안 함

제로폭스 엔터프라이즈 - 물리적 위협

지원:ZeroFox

ZeroFox API에서 물리적 위협 데이터를 Microsoft Sentinel로 수집합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

ZeroFoxPhysicalThreats_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

ZeroFox PAT(개인용 액세스 토큰): ZeroFox PAT가 필요합니다. 데이터 커넥터 >API 데이터 피드에서 가져올 수 있습니다.

설치 지침:

ZeroFox를 Microsoft Sentinel 연결

커넥터를 사용하도록 설정하려면 아래에 필요한 정보를 제공하고 연결을 클릭합니다.

ZeroFox 계정 사용자 이름을 제공하세요: (Zerofox 계정 이름)

ZeroFox PAT 제공: (Zerofox PAT)

연결 사용/사용 안 함

제로폭스 엔터프라이즈 - 텔레그램

지원:ZeroFox

ZeroFox API에서 Microsoft Sentinel로 텔레그램 데이터를 수집합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

ZeroFoxTelegram_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

ZeroFox PAT(개인용 액세스 토큰): ZeroFox PAT가 필요합니다. 데이터 커넥터 >API 데이터 피드에서 가져올 수 있습니다.

설치 지침:

ZeroFox를 Microsoft Sentinel 연결

커넥터를 사용하도록 설정하려면 아래에 필요한 정보를 제공하고 연결을 클릭합니다.

ZeroFox 계정 사용자 이름을 제공하세요: (Zerofox 계정 이름)

ZeroFox PAT 제공: (Zerofox PAT)

연결 사용/사용 안 함

제로폭스 엔터프라이즈 - 취약점

지원:ZeroFox

ZeroFox API에서 취약점 데이터를 Microsoft Sentinel로 수집합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

ZeroFoxVulnerabilities_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

ZeroFox PAT(개인용 액세스 토큰): ZeroFox PAT가 필요합니다. 데이터 커넥터 >API 데이터 피드에서 가져올 수 있습니다.

설치 지침:

ZeroFox를 Microsoft Sentinel 연결

커넥터를 사용하도록 설정하려면 아래에 필요한 정보를 제공하고 연결을 클릭합니다.

ZeroFox 계정 사용자 이름을 제공하세요: (Zerofox 계정 이름)

ZeroFox PAT 제공: (Zerofox PAT)

연결 사용/사용 안 함

짐페리움 모바일 위협 방어 CCF

지원:Zimperium

Zimperium Mobile Threat Defense 커넥터를 사용하면 Zimperium 위협 로그를 Microsoft Sentinel 연결하여 대시보드를 보고, 사용자 지정 경고를 만들고, 조사를 개선할 수 있습니다. 이렇게 하면 organization 모바일 위협 환경에 대한 더 많은 인사이트를 제공하고 보안 운영 기능을 향상시킵니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

ZimperiumThreatLogV2_CL 예 예

ZimperiumMitigationLogV2_CL 예 예

ZimperiumIncidentLog_CL 예 예

ZimperiumIncidentMitigationLog_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Microsoft Entra: Microsoft Entra ID 앱 등록을 만들 수 있는 권한입니다. 일반적으로 Entra ID 애플리케이션 개발자 역할 이상이 필요합니다.

Microsoft Azure: DCR(데이터 수집 규칙)에 대한 모니터링 메트릭 게시자 역할을 할당할 수 있는 권한입니다. 일반적으로 AZURE RBAC 소유자 또는 사용자 액세스 관리자 역할이 필요합니다.

설치 지침:

1. ARM 리소스 만들기 및 필요한 권한 제공

이 커넥터는 Zimperium MTD 애플리케이션이 Azure Monitor Ingestion API를 통해 Microsoft Sentinel로 직접 위협을 전달할 수 있게 합니다.

Entra 애플리케이션을 이용한 자동 구성 및 보안 데이터 수집 "배포"를 클릭하면 Log Analytics 테이블과 데이터 수집 규칙(DCR)이 생성됩니다. 그런 다음, Entra 애플리케이션을 만들고, DCR을 연결하고, 애플리케이션에 입력한 비밀을 설정합니다. 이 설정을 사용하면 Entra 토큰을 사용하여 데이터를 DCR로 안전하게 보낼 수 있습니다.

2. Zimperium MTD 구성 및 연결

zConsole에서 내비게이션 바의 계정 관리를 클릭하세요.

데이터 내보내기 사이드탭을 클릭하세요.

' 데이터 내보내기 설정 추가 ' 버튼을 클릭하세요.

구성 만들기:

이름: 이 구성을 설명하기 위한 이름입니다.

설명: 이 구성을 설명하기 위한 설명입니다.

데이터 유형: 내보내고 싶은 데이터에 따라 데이터 유형을 위협 또는 사건 으로 선택하세요.

목적지 유형: 사용 가능한 목적지 유형 중에서 Microsoft Sentinel을 선택하세요.

심각도 기준: Microsoft Sentinel에 전달하고자 하는 위협 데이터에 대해 필터 레벨을 선택하세요. ( 참고: 이 필드는 위협 데이터 유형에만 적용됩니다)

팀 기준: 이는 팀별로 데이터를 필터링하는 선택적 기준입니다.

외부 추적 ID 1: 이는 내보내진 데이터에 대해 매칭하는 선택적 기준입니다.

외부 추적 ID 2: 이는 내보내는 데이터에 대해 매칭하는 선택적 기준입니다.

세입자 신분증: 아래 필드에서 입장하세요.

Entra 앱 등록 신청 ID: 아래 필드에서 입력하세요.

Entra 앱 등록 비밀: 아래 필드에서 입력하세요.

데이터 수집 엔드포인트 URI: 아래 필드에서 입력하세요.

데이터 수집 규칙 불변 ID: 아래 필드에서 입력하세요.

설정 저장을 클릭하세요.

추가 지침은 Zimperium 고객 지원 포털을 참조하세요.

테넌트 ID(디렉터리 ID): <설치 시 제공되는 변수 값>

Entra 앱 등록 애플리케이션 ID: <설치 시 제공되는 변수 값>

Entra 앱 등록 비밀: <설치 시 제공되는 변수 값>

데이터 수집 엔드포인트 Uri: <설치 시 제공되는 변수 값>

데이터 수집 규칙 변경할 수 없는 ID: <설치 시 제공되는 변수 값>

Zoom Reports Connector(코드리스 커넥터 프레임워크를 통해)

지원:Microsoft Corporation

Zoom Reports 데이터 커넥터를 사용하면 Zoom REST API v2를 통해 Zoom Reports 데이터를 Microsoft Sentinel 수집할 수 있으므로 organization 확대/축소 사용량을 모니터링하고 감사할 수 있습니다. 이 커넥터는 인증을 위해 서버 간 OAuth 계정 자격 증명을 사용하며, 모임 통계 및 사용 현황 메트릭에 대한 일일 사용 현황 보고서, 활성/비활성 사용자 호스트 정보에 대한 사용자 보고서, 전화 통신 사용 통계에 대한 전화 통신 보고서, 클라우드 스토리지 및 기록 사용량에 대한 클라우드 기록 사용 보고서, 관리 작업 및 감사 추적을 위한 작업 로그, 및 사용자 로그인/로그아웃 활동에 대한 활동 로그입니다. 각 보고서 유형은 NextPageToken을 사용하여 자동 페이지 매김 지원을 통해 별도의 폴링 구성에서 수집됩니다. 데이터 커넥터는 Microsoft Sentinel Codeless Connector Framework를 기반으로 하며 최적화된 쿼리 성능을 위해 DCR 기반 수집 시간 변환을 지원합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

ZoomV2_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

확대/축소 API 액세스: 계정 자격 증명을 사용하여 ZOOM REST API v2에 대한 액세스

설치 지침:

1. 확대/축소 구성

서버-서버 OAuth 앱 구성 및 자격 증명 수집

1단계: Zoom Server-to-Server OAuth 앱 설정, 앱 만들기를 따릅니다. 앱에 보고서 관련 범위를 추가해야 합니다.

report:read:list_users:admin

report:read:cloud_recording:admin

report:read:daily_usage:admin

report:read:operation_logs:admin

report:read:telephone:admin

report:read:user_activities:admin

자세한 내용은 서버에서 서버로 OAuth 설명서 및 보고서 API 확대/축소를 참조하세요.

2단계: 앱 자격 증명 가져오기

확대/축소 앱 마켓플레이스의 페이지에서 앱 자격 증명(계정 ID, 클라이언트 ID 및 클라이언트 암호) Personal app management 을 찾습니다.

보안 정보

계정 ID, 클라이언트 ID 및 클라이언트 암호를 안전하게 저장

보안 강화를 위해 정기적으로 자격 증명 회전

클라이언트 ID: (Zoom App Client ID)

클라이언트 암호: (Zoom App Client Secret)

계정 ID: (Zoom 계정 ID)

토큰 기본 URL: (https://zoom.us/oauth/token)

API 기준 URL: (https://api.zoom.us/v2)

2. 연결

Zoom Reports 커넥터 사용

커넥터 활성화

2단계에서 찾은 Zoom 앱 자격 증명을 검토한 다음 커넥터가 Zoom Reports 데이터 수집을 시작할 수 있도록 설정합니다.

모니터링

다음 쿼리를 사용하여 데이터 도착을 확인합니다.

모든 보고서 유형을 확인합니다.

ZoomV2_CL | where TimeGenerated > ago(30m) | summarize Records = count() by EventType

특정 보고서 유형을 확인합니다.

ZoomV2_CL | where EventType == 'dates' | where TimeGenerated > ago(1h) | limit 10

커넥터 상태 모니터링:

ZoomV2_CL | where TimeGenerated > ago(24h) | summarize LastRecord = max(TimeGenerated), RecordCount = count() by EventType | order by LastRecord desc

연결 사용/사용 안 함

Zscaler Internet Access Cloud NSS 감사 로그 푸시 커넥터

지원:Zscaler

Zscaler 커넥터는 Microsoft Sentinel ZIA 감사 로그 데이터를 읽는 기능을 제공합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

CommonSecurityLog 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Microsoft Entra: Microsoft Entra ID 앱 등록을 만들 수 있는 권한입니다. 일반적으로 Entra ID 애플리케이션 개발자 역할 이상이 필요합니다.

Microsoft Azure: DCR(데이터 수집 규칙)에 대한 모니터링 메트릭 게시자 역할을 할당할 수 있는 권한입니다. 일반적으로 AZURE RBAC 소유자 또는 사용자 액세스 관리자 역할이 필요합니다.

설치 지침:

1. ARM 리소스 만들기 및 필요한 권한 제공

이 커넥터는 Zscaler가 Microsoft Analytics 작업 영역에서 사용하는 테이블에서 데이터를 읽습니다. Zscaler에서 클라우드 NSS 옵션을 사용하도록 설정한 경우 원시 이벤트 데이터가 Microsoft Sentinel 수집 API로 전송됩니다.

Entra 애플리케이션을 사용하여 자동화된 구성 및 보안 데이터 수집 "배포"를 클릭하면 Log Analytics 테이블 및 DCR(데이터 수집 규칙)의 생성이 트리거됩니다. 그런 다음, Entra 애플리케이션을 만들고, DCR을 연결하고, 애플리케이션에 입력한 비밀을 설정합니다. 이 설정을 사용하면 Entra 토큰을 사용하여 데이터를 DCR로 안전하게 보낼 수 있습니다.

2. 작업 영역에 로그 푸시

다음 매개 변수를 사용하여 작업 영역으로 로그를 보내도록 컴퓨터를 구성합니다.

테넌트 ID(디렉터리 ID): <설치 시 제공되는 변수 값>

Entra 앱 등록 애플리케이션 ID: <설치 시 제공되는 변수 값>

Entra 앱 등록 비밀: <설치 시 제공되는 변수 값>

데이터 수집 엔드포인트 Uri: <설치 시 제공되는 변수 값>

데이터 수집 규칙 변경할 수 없는 ID: <설치 시 제공되는 변수 값>

Zscaler Internet Access Cloud NSS CASB 활동 로그 푸시 커넥터

지원:Zscaler

Zscaler 커넥터는 Microsoft Sentinel ZIA CASB 활동 로그 데이터를 읽는 기능을 제공합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

CommonSecurityLog 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Microsoft Entra: Microsoft Entra ID 앱 등록을 만들 수 있는 권한입니다. 일반적으로 Entra ID 애플리케이션 개발자 역할 이상이 필요합니다.

Microsoft Azure: DCR(데이터 수집 규칙)에 대한 모니터링 메트릭 게시자 역할을 할당할 수 있는 권한입니다. 일반적으로 AZURE RBAC 소유자 또는 사용자 액세스 관리자 역할이 필요합니다.

설치 지침:

1. ARM 리소스 만들기 및 필요한 권한 제공

이 커넥터는 Zscaler가 Microsoft Analytics 작업 영역에서 사용하는 테이블에서 데이터를 읽습니다. Zscaler에서 클라우드 NSS 옵션을 사용하도록 설정한 경우 원시 이벤트 데이터가 Microsoft Sentinel 수집 API로 전송됩니다.

Entra 애플리케이션을 사용하여 자동화된 구성 및 보안 데이터 수집 "배포"를 클릭하면 Log Analytics 테이블 및 DCR(데이터 수집 규칙)의 생성이 트리거됩니다. 그런 다음, Entra 애플리케이션을 만들고, DCR을 연결하고, 애플리케이션에 입력한 비밀을 설정합니다. 이 설정을 사용하면 Entra 토큰을 사용하여 데이터를 DCR로 안전하게 보낼 수 있습니다.

2. 작업 영역에 로그 푸시

다음 매개 변수를 사용하여 작업 영역으로 로그를 보내도록 컴퓨터를 구성합니다.

테넌트 ID(디렉터리 ID): <설치 시 제공되는 변수 값>

Entra 앱 등록 애플리케이션 ID: <설치 시 제공되는 변수 값>

Entra 앱 등록 비밀: <설치 시 제공되는 변수 값>

데이터 수집 엔드포인트 Uri: <설치 시 제공되는 변수 값>

데이터 수집 규칙 변경할 수 없는 ID: <설치 시 제공되는 변수 값>

Zscaler Internet Access Cloud NSS CASB Cloud Storage Log Push Connector

지원:Zscaler

Zscaler 커넥터는 Microsoft Sentinel ZIA CASB Cloud Storage 로그 데이터를 읽는 기능을 제공합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

CommonSecurityLog 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Microsoft Entra: Microsoft Entra ID 앱 등록을 만들 수 있는 권한입니다. 일반적으로 Entra ID 애플리케이션 개발자 역할 이상이 필요합니다.

Microsoft Azure: DCR(데이터 수집 규칙)에 대한 모니터링 메트릭 게시자 역할을 할당할 수 있는 권한입니다. 일반적으로 AZURE RBAC 소유자 또는 사용자 액세스 관리자 역할이 필요합니다.

설치 지침:

1. ARM 리소스 만들기 및 필요한 권한 제공

이 커넥터는 Zscaler가 Microsoft Analytics 작업 영역에서 사용하는 테이블에서 데이터를 읽습니다. Zscaler에서 클라우드 NSS 옵션을 사용하도록 설정한 경우 원시 이벤트 데이터가 Microsoft Sentinel 수집 API로 전송됩니다.

Entra 애플리케이션을 사용하여 자동화된 구성 및 보안 데이터 수집 "배포"를 클릭하면 Log Analytics 테이블 및 DCR(데이터 수집 규칙)의 생성이 트리거됩니다. 그런 다음, Entra 애플리케이션을 만들고, DCR을 연결하고, 애플리케이션에 입력한 비밀을 설정합니다. 이 설정을 사용하면 Entra 토큰을 사용하여 데이터를 DCR로 안전하게 보낼 수 있습니다.

2. 작업 영역에 로그 푸시

다음 매개 변수를 사용하여 작업 영역으로 로그를 보내도록 컴퓨터를 구성합니다.

테넌트 ID(디렉터리 ID): <설치 시 제공되는 변수 값>

Entra 앱 등록 애플리케이션 ID: <설치 시 제공되는 변수 값>

Entra 앱 등록 비밀: <설치 시 제공되는 변수 값>

데이터 수집 엔드포인트 Uri: <설치 시 제공되는 변수 값>

데이터 수집 규칙 변경할 수 없는 ID: <설치 시 제공되는 변수 값>

Zscaler Internet Access Cloud NSS CASB 협업 로그 푸시 커넥터

지원:Zscaler

Zscaler 커넥터는 Microsoft Sentinel ZIA CASB 협업 로그 데이터를 읽는 기능을 제공합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

CommonSecurityLog 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Microsoft Entra: Microsoft Entra ID 앱 등록을 만들 수 있는 권한입니다. 일반적으로 Entra ID 애플리케이션 개발자 역할 이상이 필요합니다.

Microsoft Azure: DCR(데이터 수집 규칙)에 대한 모니터링 메트릭 게시자 역할을 할당할 수 있는 권한입니다. 일반적으로 AZURE RBAC 소유자 또는 사용자 액세스 관리자 역할이 필요합니다.

설치 지침:

1. ARM 리소스 만들기 및 필요한 권한 제공

이 커넥터는 Zscaler가 Microsoft Analytics 작업 영역에서 사용하는 테이블에서 데이터를 읽습니다. Zscaler에서 클라우드 NSS 옵션을 사용하도록 설정한 경우 원시 이벤트 데이터가 Microsoft Sentinel 수집 API로 전송됩니다.

Entra 애플리케이션을 사용하여 자동화된 구성 및 보안 데이터 수집 "배포"를 클릭하면 Log Analytics 테이블 및 DCR(데이터 수집 규칙)의 생성이 트리거됩니다. 그런 다음, Entra 애플리케이션을 만들고, DCR을 연결하고, 애플리케이션에 입력한 비밀을 설정합니다. 이 설정을 사용하면 Entra 토큰을 사용하여 데이터를 DCR로 안전하게 보낼 수 있습니다.

2. 작업 영역에 로그 푸시

다음 매개 변수를 사용하여 작업 영역으로 로그를 보내도록 컴퓨터를 구성합니다.

테넌트 ID(디렉터리 ID): <설치 시 제공되는 변수 값>

Entra 앱 등록 애플리케이션 ID: <설치 시 제공되는 변수 값>

Entra 앱 등록 비밀: <설치 시 제공되는 변수 값>

데이터 수집 엔드포인트 Uri: <설치 시 제공되는 변수 값>

데이터 수집 규칙 변경할 수 없는 ID: <설치 시 제공되는 변수 값>

Zscaler Internet Access Cloud NSS CASB CRM 로그 푸시 커넥터

지원:Zscaler

Zscaler 커넥터는 Microsoft Sentinel ZIA CASB CRM 로그 데이터를 읽는 기능을 제공합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

CommonSecurityLog 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Microsoft Entra: Microsoft Entra ID 앱 등록을 만들 수 있는 권한입니다. 일반적으로 Entra ID 애플리케이션 개발자 역할 이상이 필요합니다.

Microsoft Azure: DCR(데이터 수집 규칙)에 대한 모니터링 메트릭 게시자 역할을 할당할 수 있는 권한입니다. 일반적으로 AZURE RBAC 소유자 또는 사용자 액세스 관리자 역할이 필요합니다.

설치 지침:

1. ARM 리소스 만들기 및 필요한 권한 제공

이 커넥터는 Zscaler가 Microsoft Analytics 작업 영역에서 사용하는 테이블에서 데이터를 읽습니다. Zscaler에서 클라우드 NSS 옵션을 사용하도록 설정한 경우 원시 이벤트 데이터가 Microsoft Sentinel 수집 API로 전송됩니다.

Entra 애플리케이션을 사용하여 자동화된 구성 및 보안 데이터 수집 "배포"를 클릭하면 Log Analytics 테이블 및 DCR(데이터 수집 규칙)의 생성이 트리거됩니다. 그런 다음, Entra 애플리케이션을 만들고, DCR을 연결하고, 애플리케이션에 입력한 비밀을 설정합니다. 이 설정을 사용하면 Entra 토큰을 사용하여 데이터를 DCR로 안전하게 보낼 수 있습니다.

2. 작업 영역에 로그 푸시

다음 매개 변수를 사용하여 작업 영역으로 로그를 보내도록 컴퓨터를 구성합니다.

테넌트 ID(디렉터리 ID): <설치 시 제공되는 변수 값>

Entra 앱 등록 애플리케이션 ID: <설치 시 제공되는 변수 값>

Entra 앱 등록 비밀: <설치 시 제공되는 변수 값>

데이터 수집 엔드포인트 Uri: <설치 시 제공되는 변수 값>

데이터 수집 규칙 변경할 수 없는 ID: <설치 시 제공되는 변수 값>

Zscaler Internet Access Cloud NSS CASB 전자 메일 로그 푸시 커넥터

지원:Zscaler

Zscaler 커넥터는 Microsoft Sentinel ZIA CASB 전자 메일 로그 데이터를 읽는 기능을 제공합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

CommonSecurityLog 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Microsoft Entra: Microsoft Entra ID 앱 등록을 만들 수 있는 권한입니다. 일반적으로 Entra ID 애플리케이션 개발자 역할 이상이 필요합니다.

Microsoft Azure: DCR(데이터 수집 규칙)에 대한 모니터링 메트릭 게시자 역할을 할당할 수 있는 권한입니다. 일반적으로 AZURE RBAC 소유자 또는 사용자 액세스 관리자 역할이 필요합니다.

설치 지침:

1. ARM 리소스 만들기 및 필요한 권한 제공

이 커넥터는 Zscaler가 Microsoft Analytics 작업 영역에서 사용하는 테이블에서 데이터를 읽습니다. Zscaler에서 클라우드 NSS 옵션을 사용하도록 설정한 경우 원시 이벤트 데이터가 Microsoft Sentinel 수집 API로 전송됩니다.

Entra 애플리케이션을 사용하여 자동화된 구성 및 보안 데이터 수집 "배포"를 클릭하면 Log Analytics 테이블 및 DCR(데이터 수집 규칙)의 생성이 트리거됩니다. 그런 다음, Entra 애플리케이션을 만들고, DCR을 연결하고, 애플리케이션에 입력한 비밀을 설정합니다. 이 설정을 사용하면 Entra 토큰을 사용하여 데이터를 DCR로 안전하게 보낼 수 있습니다.

2. 작업 영역에 로그 푸시

다음 매개 변수를 사용하여 작업 영역으로 로그를 보내도록 컴퓨터를 구성합니다.

테넌트 ID(디렉터리 ID): <설치 시 제공되는 변수 값>

Entra 앱 등록 애플리케이션 ID: <설치 시 제공되는 변수 값>

Entra 앱 등록 비밀: <설치 시 제공되는 변수 값>

데이터 수집 엔드포인트 Uri: <설치 시 제공되는 변수 값>

데이터 수집 규칙 변경할 수 없는 ID: <설치 시 제공되는 변수 값>

Zscaler Internet Access Cloud NSS CASB 파일 공유 로그 푸시 커넥터

지원:Zscaler

Zscaler 커넥터는 Microsoft Sentinel ZIA CASB 파일 공유 로그 데이터를 읽는 기능을 제공합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

CommonSecurityLog 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Microsoft Entra: Microsoft Entra ID 앱 등록을 만들 수 있는 권한입니다. 일반적으로 Entra ID 애플리케이션 개발자 역할 이상이 필요합니다.

Microsoft Azure: DCR(데이터 수집 규칙)에 대한 모니터링 메트릭 게시자 역할을 할당할 수 있는 권한입니다. 일반적으로 AZURE RBAC 소유자 또는 사용자 액세스 관리자 역할이 필요합니다.

설치 지침:

1. ARM 리소스 만들기 및 필요한 권한 제공

이 커넥터는 Zscaler가 Microsoft Analytics 작업 영역에서 사용하는 테이블에서 데이터를 읽습니다. Zscaler에서 클라우드 NSS 옵션을 사용하도록 설정한 경우 원시 이벤트 데이터가 Microsoft Sentinel 수집 API로 전송됩니다.

Entra 애플리케이션을 사용하여 자동화된 구성 및 보안 데이터 수집 "배포"를 클릭하면 Log Analytics 테이블 및 DCR(데이터 수집 규칙)의 생성이 트리거됩니다. 그런 다음, Entra 애플리케이션을 만들고, DCR을 연결하고, 애플리케이션에 입력한 비밀을 설정합니다. 이 설정을 사용하면 Entra 토큰을 사용하여 데이터를 DCR로 안전하게 보낼 수 있습니다.

2. 작업 영역에 로그 푸시

다음 매개 변수를 사용하여 작업 영역으로 로그를 보내도록 컴퓨터를 구성합니다.

테넌트 ID(디렉터리 ID): <설치 시 제공되는 변수 값>

Entra 앱 등록 애플리케이션 ID: <설치 시 제공되는 변수 값>

Entra 앱 등록 비밀: <설치 시 제공되는 변수 값>

데이터 수집 엔드포인트 Uri: <설치 시 제공되는 변수 값>

데이터 수집 규칙 변경할 수 없는 ID: <설치 시 제공되는 변수 값>

Zscaler Internet Access Cloud NSS CASB ITSM 로그 푸시 커넥터

지원:Zscaler

Zscaler 커넥터는 Microsoft Sentinel ZIA CASB ITSM 로그 데이터를 읽는 기능을 제공합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

CommonSecurityLog 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Microsoft Entra: Microsoft Entra ID 앱 등록을 만들 수 있는 권한입니다. 일반적으로 Entra ID 애플리케이션 개발자 역할 이상이 필요합니다.

Microsoft Azure: DCR(데이터 수집 규칙)에 대한 모니터링 메트릭 게시자 역할을 할당할 수 있는 권한입니다. 일반적으로 AZURE RBAC 소유자 또는 사용자 액세스 관리자 역할이 필요합니다.

설치 지침:

1. ARM 리소스 만들기 및 필요한 권한 제공

이 커넥터는 Zscaler가 Microsoft Analytics 작업 영역에서 사용하는 테이블에서 데이터를 읽습니다. Zscaler에서 클라우드 NSS 옵션을 사용하도록 설정한 경우 원시 이벤트 데이터가 Microsoft Sentinel 수집 API로 전송됩니다.

Entra 애플리케이션을 사용하여 자동화된 구성 및 보안 데이터 수집 "배포"를 클릭하면 Log Analytics 테이블 및 DCR(데이터 수집 규칙)의 생성이 트리거됩니다. 그런 다음, Entra 애플리케이션을 만들고, DCR을 연결하고, 애플리케이션에 입력한 비밀을 설정합니다. 이 설정을 사용하면 Entra 토큰을 사용하여 데이터를 DCR로 안전하게 보낼 수 있습니다.

2. 작업 영역에 로그 푸시

다음 매개 변수를 사용하여 작업 영역으로 로그를 보내도록 컴퓨터를 구성합니다.

테넌트 ID(디렉터리 ID): <설치 시 제공되는 변수 값>

Entra 앱 등록 애플리케이션 ID: <설치 시 제공되는 변수 값>

Entra 앱 등록 비밀: <설치 시 제공되는 변수 값>

데이터 수집 엔드포인트 Uri: <설치 시 제공되는 변수 값>

데이터 수집 규칙 변경할 수 없는 ID: <설치 시 제공되는 변수 값>

Zscaler Internet Access Cloud NSS CASB 리포지토리 로그 푸시 커넥터

지원:Zscaler

Zscaler 커넥터는 Microsoft Sentinel ZIA CASB 리포지토리 로그 데이터를 읽는 기능을 제공합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

CommonSecurityLog 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Microsoft Entra: Microsoft Entra ID 앱 등록을 만들 수 있는 권한입니다. 일반적으로 Entra ID 애플리케이션 개발자 역할 이상이 필요합니다.

Microsoft Azure: DCR(데이터 수집 규칙)에 대한 모니터링 메트릭 게시자 역할을 할당할 수 있는 권한입니다. 일반적으로 AZURE RBAC 소유자 또는 사용자 액세스 관리자 역할이 필요합니다.

설치 지침:

1. ARM 리소스 만들기 및 필요한 권한 제공

이 커넥터는 Zscaler가 Microsoft Analytics 작업 영역에서 사용하는 테이블에서 데이터를 읽습니다. Zscaler에서 클라우드 NSS 옵션을 사용하도록 설정한 경우 원시 이벤트 데이터가 Microsoft Sentinel 수집 API로 전송됩니다.

Entra 애플리케이션을 사용하여 자동화된 구성 및 보안 데이터 수집 "배포"를 클릭하면 Log Analytics 테이블 및 DCR(데이터 수집 규칙)의 생성이 트리거됩니다. 그런 다음, Entra 애플리케이션을 만들고, DCR을 연결하고, 애플리케이션에 입력한 비밀을 설정합니다. 이 설정을 사용하면 Entra 토큰을 사용하여 데이터를 DCR로 안전하게 보낼 수 있습니다.

2. 작업 영역에 로그 푸시

다음 매개 변수를 사용하여 작업 영역으로 로그를 보내도록 컴퓨터를 구성합니다.

테넌트 ID(디렉터리 ID): <설치 시 제공되는 변수 값>

Entra 앱 등록 애플리케이션 ID: <설치 시 제공되는 변수 값>

Entra 앱 등록 비밀: <설치 시 제공되는 변수 값>

데이터 수집 엔드포인트 Uri: <설치 시 제공되는 변수 값>

데이터 수집 규칙 변경할 수 없는 ID: <설치 시 제공되는 변수 값>

Zscaler Internet Access Cloud NSS DNS 로그 푸시 커넥터

지원:Zscaler

Zscaler 커넥터는 Microsoft Sentinel ZIA DNS 로그 데이터를 읽는 기능을 제공합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

CommonSecurityLog 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Microsoft Entra: Microsoft Entra ID 앱 등록을 만들 수 있는 권한입니다. 일반적으로 Entra ID 애플리케이션 개발자 역할 이상이 필요합니다.

Microsoft Azure: DCR(데이터 수집 규칙)에 대한 모니터링 메트릭 게시자 역할을 할당할 수 있는 권한입니다. 일반적으로 AZURE RBAC 소유자 또는 사용자 액세스 관리자 역할이 필요합니다.

설치 지침:

1. ARM 리소스 만들기 및 필요한 권한 제공

이 커넥터는 Zscaler가 Microsoft Analytics 작업 영역에서 사용하는 테이블에서 데이터를 읽습니다. Zscaler에서 클라우드 NSS 옵션을 사용하도록 설정한 경우 원시 이벤트 데이터가 Microsoft Sentinel 수집 API로 전송됩니다.

Entra 애플리케이션을 사용하여 자동화된 구성 및 보안 데이터 수집 "배포"를 클릭하면 Log Analytics 테이블 및 DCR(데이터 수집 규칙)의 생성이 트리거됩니다. 그런 다음, Entra 애플리케이션을 만들고, DCR을 연결하고, 애플리케이션에 입력한 비밀을 설정합니다. 이 설정을 사용하면 Entra 토큰을 사용하여 데이터를 DCR로 안전하게 보낼 수 있습니다.

2. 작업 영역에 로그 푸시

다음 매개 변수를 사용하여 작업 영역으로 로그를 보내도록 컴퓨터를 구성합니다.

테넌트 ID(디렉터리 ID): <설치 시 제공되는 변수 값>

Entra 앱 등록 애플리케이션 ID: <설치 시 제공되는 변수 값>

Entra 앱 등록 비밀: <설치 시 제공되는 변수 값>

데이터 수집 엔드포인트 Uri: <설치 시 제공되는 변수 값>

데이터 수집 규칙 변경할 수 없는 ID: <설치 시 제공되는 변수 값>

Zscaler Internet Access Cloud NSS 전자 메일 DLP 로그 푸시 커넥터

지원:Zscaler

Zscaler 커넥터는 Microsoft Sentinel ZIA Email DLP 로그 데이터를 읽는 기능을 제공합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

CommonSecurityLog 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Microsoft Entra: Microsoft Entra ID 앱 등록을 만들 수 있는 권한입니다. 일반적으로 Entra ID 애플리케이션 개발자 역할 이상이 필요합니다.

Microsoft Azure: DCR(데이터 수집 규칙)에 대한 모니터링 메트릭 게시자 역할을 할당할 수 있는 권한입니다. 일반적으로 AZURE RBAC 소유자 또는 사용자 액세스 관리자 역할이 필요합니다.

설치 지침:

1. ARM 리소스 만들기 및 필요한 권한 제공

이 커넥터는 Zscaler가 Microsoft Analytics 작업 영역에서 사용하는 테이블에서 데이터를 읽습니다. Zscaler에서 클라우드 NSS 옵션을 사용하도록 설정한 경우 원시 이벤트 데이터가 Microsoft Sentinel 수집 API로 전송됩니다.

Entra 애플리케이션을 사용하여 자동화된 구성 및 보안 데이터 수집 "배포"를 클릭하면 Log Analytics 테이블 및 DCR(데이터 수집 규칙)의 생성이 트리거됩니다. 그런 다음, Entra 애플리케이션을 만들고, DCR을 연결하고, 애플리케이션에 입력한 비밀을 설정합니다. 이 설정을 사용하면 Entra 토큰을 사용하여 데이터를 DCR로 안전하게 보낼 수 있습니다.

2. 작업 영역에 로그 푸시

다음 매개 변수를 사용하여 작업 영역으로 로그를 보내도록 컴퓨터를 구성합니다.

테넌트 ID(디렉터리 ID): <설치 시 제공되는 변수 값>

Entra 앱 등록 애플리케이션 ID: <설치 시 제공되는 변수 값>

Entra 앱 등록 비밀: <설치 시 제공되는 변수 값>

데이터 수집 엔드포인트 Uri: <설치 시 제공되는 변수 값>

데이터 수집 규칙 변경할 수 없는 ID: <설치 시 제공되는 변수 값>

Zscaler Internet Access Cloud NSS 엔드포인트 DLP 로그 푸시 커넥터

지원:Zscaler

Zscaler 커넥터는 Microsoft Sentinel ZIA 엔드포인트 DLP 로그 데이터를 읽는 기능을 제공합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

CommonSecurityLog 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Microsoft Entra: Microsoft Entra ID 앱 등록을 만들 수 있는 권한입니다. 일반적으로 Entra ID 애플리케이션 개발자 역할 이상이 필요합니다.

Microsoft Azure: DCR(데이터 수집 규칙)에 대한 모니터링 메트릭 게시자 역할을 할당할 수 있는 권한입니다. 일반적으로 AZURE RBAC 소유자 또는 사용자 액세스 관리자 역할이 필요합니다.

설치 지침:

1. ARM 리소스 만들기 및 필요한 권한 제공

이 커넥터는 Zscaler가 Microsoft Analytics 작업 영역에서 사용하는 테이블에서 데이터를 읽습니다. Zscaler에서 클라우드 NSS 옵션을 사용하도록 설정한 경우 원시 이벤트 데이터가 Microsoft Sentinel 수집 API로 전송됩니다.

Entra 애플리케이션을 사용하여 자동화된 구성 및 보안 데이터 수집 "배포"를 클릭하면 Log Analytics 테이블 및 DCR(데이터 수집 규칙)의 생성이 트리거됩니다. 그런 다음, Entra 애플리케이션을 만들고, DCR을 연결하고, 애플리케이션에 입력한 비밀을 설정합니다. 이 설정을 사용하면 Entra 토큰을 사용하여 데이터를 DCR로 안전하게 보낼 수 있습니다.

2. 작업 영역에 로그 푸시

다음 매개 변수를 사용하여 작업 영역으로 로그를 보내도록 컴퓨터를 구성합니다.

테넌트 ID(디렉터리 ID): <설치 시 제공되는 변수 값>

Entra 앱 등록 애플리케이션 ID: <설치 시 제공되는 변수 값>

Entra 앱 등록 비밀: <설치 시 제공되는 변수 값>

데이터 수집 엔드포인트 Uri: <설치 시 제공되는 변수 값>

데이터 수집 규칙 변경할 수 없는 ID: <설치 시 제공되는 변수 값>

Zscaler Internet Access Cloud NSS 방화벽 로그 푸시 커넥터

지원:Zscaler

Zscaler 커넥터는 Microsoft Sentinel ZIA 방화벽 로그 데이터를 읽는 기능을 제공합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

CommonSecurityLog 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Microsoft Entra: Microsoft Entra ID 앱 등록을 만들 수 있는 권한입니다. 일반적으로 Entra ID 애플리케이션 개발자 역할 이상이 필요합니다.

Microsoft Azure: DCR(데이터 수집 규칙)에 대한 모니터링 메트릭 게시자 역할을 할당할 수 있는 권한입니다. 일반적으로 AZURE RBAC 소유자 또는 사용자 액세스 관리자 역할이 필요합니다.

설치 지침:

1. ARM 리소스 만들기 및 필요한 권한 제공

이 커넥터는 Jamf Protect에서 데이터 전달 옵션을 사용하도록 설정한 경우 Jamf Protect가 Microsoft Analytics 작업 영역에서 사용하는 테이블에서 데이터를 읽습니다. 그러면 원시 이벤트 데이터가 Microsoft Sentinel 수집 API로 전송됩니다.

Entra 애플리케이션을 사용하여 자동화된 구성 및 보안 데이터 수집 "배포"를 클릭하면 Log Analytics 테이블 및 DCR(데이터 수집 규칙)의 생성이 트리거됩니다. 그런 다음, Entra 애플리케이션을 만들고, DCR을 연결하고, 애플리케이션에 입력한 비밀을 설정합니다. 이 설정을 사용하면 Entra 토큰을 사용하여 데이터를 DCR로 안전하게 보낼 수 있습니다.

2. 작업 영역에 로그 푸시

다음 매개 변수를 사용하여 작업 영역으로 로그를 보내도록 컴퓨터를 구성합니다.

테넌트 ID(디렉터리 ID): <설치 시 제공되는 변수 값>

Entra 앱 등록 애플리케이션 ID: <설치 시 제공되는 변수 값>

Entra 앱 등록 비밀: <설치 시 제공되는 변수 값>

데이터 수집 엔드포인트 Uri: <설치 시 제공되는 변수 값>

데이터 수집 규칙 변경할 수 없는 ID: <설치 시 제공되는 변수 값>

Zscaler Internet Access Cloud NSS 터널 로그 푸시 커넥터

지원:Zscaler

Zscaler 커넥터는 Microsoft Sentinel ZIA 터널 로그 데이터를 읽는 기능을 제공합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

CommonSecurityLog 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Microsoft Entra: Microsoft Entra ID 앱 등록을 만들 수 있는 권한입니다. 일반적으로 Entra ID 애플리케이션 개발자 역할 이상이 필요합니다.

Microsoft Azure: DCR(데이터 수집 규칙)에 대한 모니터링 메트릭 게시자 역할을 할당할 수 있는 권한입니다. 일반적으로 AZURE RBAC 소유자 또는 사용자 액세스 관리자 역할이 필요합니다.

설치 지침:

1. ARM 리소스 만들기 및 필요한 권한 제공

이 커넥터는 Zscaler가 Microsoft Analytics 작업 영역에서 사용하는 테이블에서 데이터를 읽습니다. Zscaler에서 클라우드 NSS 옵션을 사용하도록 설정한 경우 원시 이벤트 데이터가 Microsoft Sentinel 수집 API로 전송됩니다.

Entra 애플리케이션을 사용하여 자동화된 구성 및 보안 데이터 수집 "배포"를 클릭하면 Log Analytics 테이블 및 DCR(데이터 수집 규칙)의 생성이 트리거됩니다. 그런 다음, Entra 애플리케이션을 만들고, DCR을 연결하고, 애플리케이션에 입력한 비밀을 설정합니다. 이 설정을 사용하면 Entra 토큰을 사용하여 데이터를 DCR로 안전하게 보낼 수 있습니다.

2. 작업 영역에 로그 푸시

다음 매개 변수를 사용하여 작업 영역으로 로그를 보내도록 컴퓨터를 구성합니다.

테넌트 ID(디렉터리 ID): <설치 시 제공되는 변수 값>

Entra 앱 등록 애플리케이션 ID: <설치 시 제공되는 변수 값>

Entra 앱 등록 비밀: <설치 시 제공되는 변수 값>

데이터 수집 엔드포인트 Uri: <설치 시 제공되는 변수 값>

데이터 수집 규칙 변경할 수 없는 ID: <설치 시 제공되는 변수 값>

Zscaler Internet Access Cloud NSS 웹 로그 푸시 커넥터

지원:Zscaler

Zscaler 커넥터는 Microsoft Sentinel ZIA 웹 로그 데이터를 읽는 기능을 제공합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

CommonSecurityLog 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Microsoft Entra: Microsoft Entra ID 앱 등록을 만들 수 있는 권한입니다. 일반적으로 Entra ID 애플리케이션 개발자 역할 이상이 필요합니다.

Microsoft Azure: DCR(데이터 수집 규칙)에 대한 모니터링 메트릭 게시자 역할을 할당할 수 있는 권한입니다. 일반적으로 AZURE RBAC 소유자 또는 사용자 액세스 관리자 역할이 필요합니다.

설치 지침:

1. ARM 리소스 만들기 및 필요한 권한 제공

이 커넥터는 Jamf Protect에서 데이터 전달 옵션을 사용하도록 설정한 경우 Jamf Protect가 Microsoft Analytics 작업 영역에서 사용하는 테이블에서 데이터를 읽습니다. 그러면 원시 이벤트 데이터가 Microsoft Sentinel 수집 API로 전송됩니다.

Entra 애플리케이션을 사용하여 자동화된 구성 및 보안 데이터 수집 "배포"를 클릭하면 Log Analytics 테이블 및 DCR(데이터 수집 규칙)의 생성이 트리거됩니다. 그런 다음, Entra 애플리케이션을 만들고, DCR을 연결하고, 애플리케이션에 입력한 비밀을 설정합니다. 이 설정을 사용하면 Entra 토큰을 사용하여 데이터를 DCR로 안전하게 보낼 수 있습니다.

2. 작업 영역에 로그 푸시

다음 매개 변수를 사용하여 작업 영역으로 로그를 보내도록 컴퓨터를 구성합니다.

테넌트 ID(디렉터리 ID): <설치 시 제공되는 변수 값>

Entra 앱 등록 애플리케이션 ID: <설치 시 제공되는 변수 값>

Entra 앱 등록 비밀: <설치 시 제공되는 변수 값>

데이터 수집 엔드포인트 Uri: <설치 시 제공되는 변수 값>

데이터 수집 규칙 변경할 수 없는 ID: <설치 시 제공되는 변수 값>

사용되지 않는 Sentinel 데이터 커넥터

참고

다음 표에서는 사용되지 않는 데이터 커넥터와 레거시 데이터 커넥터를 나열합니다. 사용되지 않는 커넥터는 더 이상 지원되지 않습니다.

[사용되지 않음] Auth0 로그(Azure 함수 사용)(Azure Functions 사용)

지원:Microsoft Corporation

Auth0 로그(Azure 함수 사용) 데이터 커넥터는 Auth0 로그 이벤트를 Microsoft Sentinel 수집하는 기능을 제공합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

Auth0AM_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Microsoft.Web/sites 권한: 함수 앱을 만들기 위한 Azure Functions 읽기 및 쓰기 권한이 필요합니다. 자세한 내용은 Azure Functions 참조하세요.

REST API 자격 증명/권한: API 토큰 이 필요합니다. 자세한 내용은 API 토큰을 참조하세요.

설치 지침:

참고: 이 커넥터는 Azure Functions 사용하여 Auth0 관리 API에 연결하여 로그를 Microsoft Sentinel 끌어올 수 있습니다. 이로 인해 추가 데이터 수집 비용이 발생할 수 있습니다. 자세한 내용은 Azure Functions 가격 책정 페이지를 확인하세요.

(선택적 단계) 작업 영역 및 API 권한 부여 키 또는 토큰을 Azure Key Vault 안전하게 저장합니다. Azure Key Vault 키 값을 저장하고 검색하는 보안 메커니즘을 제공합니다. 다음 지침에 따라 Azure 함수 앱에서 Azure Key Vault 사용합니다.

1단계 - Auth0 Management API에 대한 구성 단계

지침에 따라 자격 증명을 가져옵니다.

Auth0 대시보드에서 애플리케이션 애플리케이션>으로 이동합니다.

애플리케이션을 선택합니다. 적어도 read:logs 및 read:logs_users 권한으로 구성된 "Machine-to-Machine" 애플리케이션이어야 합니다.

도메인, ClientID, 클라이언트 암호 복사

2단계 - 커넥터 및 연결된 Azure 함수를 배포하려면 다음 두 가지 배포 옵션 중 하나를 선택합니다.

중요: Auth0 Access Management 데이터 커넥터를 배포하기 전에 작업 영역 ID 및 작업 영역 기본 키를 갖습니다(다음에서 복사할 수 있음).

작업 영역 ID: <설치 시 제공되는 변수 값>

기본 키: <설치 시 제공되는 변수 값>

옵션 1 - ARM(Azure Resource Manager) 템플릿

ARM 템플릿을 사용하여 Auth0 Access Management 데이터 커넥터의 자동화된 배포에 이 방법을 사용합니다.

아래 Azure 배포 단추를 클릭합니다.

aka.ms

기본 구독, 리소스 그룹 및 위치를 선택합니다.

참고: 동일한 리소스 그룹 내에서는 Windows 및 Linux 앱을 동일한 지역에 혼합할 수 없습니다. Windows 앱이 없는 기존 리소스 그룹을 선택하거나 새 리소스 그룹을 만듭니다. 3. 도메인, ClientID, 클라이언트 암호, AzureSentinelWorkspaceId, AzureSentinelSharedKey를 입력합니다. 4. 위에 명시된 사용 약관에 동의함을 표시하는 확인란을 표시합니다. 5. 구매 를 클릭하여 배포합니다.

옵션 2 - Azure Functions 수동 배포

다음 단계별 지침을 사용하여 Azure Functions 사용하여 Auth0 Access Management 데이터 커넥터를 수동으로 배포합니다(Visual Studio Code 통해 배포).

함수 앱 배포

참고: Azure 함수 개발을 위해 VS 코드를 준비해야 합니다.

Azure 함수 앱 파일을 다운로드합니다. 로컬 개발 컴퓨터에 보관 파일을 추출합니다.

VS Code를 시작합니다. 주 메뉴에서 파일을 선택하고 폴더 열기를 선택합니다.

추출된 파일에서 최상위 폴더를 선택합니다.

작업 표시줄에서 Azure 아이콘을 선택한 다음, Azure: 함수 영역에서 함수에 배포 앱 단추를 선택합니다. 아직 로그인하지 않은 경우 활동 표시줄에서 Azure 아이콘을 선택한 다음, Azure: 함수 영역에서 로그인을 선택하여 Azure 이미 로그인한 경우 다음 단계로 이동합니다.

프롬프트에서 다음 정보를 제공합니다.

a. 폴더 선택: 작업 영역에서 폴더를 선택하거나 함수 앱이 포함된 폴더로 이동합니다.

b. 구독을 선택합니다. 사용할 구독을 선택합니다.

c. Azure 새 함수 앱 만들기를 선택합니다(고급 옵션을 선택하지 않음).

d. 함수 앱의 전역적으로 고유한 이름을 입력합니다 . URL 경로에 유효한 이름을 입력합니다. 입력한 이름은 Azure Functions 고유하도록 유효성을 검사합니다. (예: Auth0AMXXXXX).

e. 런타임 선택: Python 3.11을 선택합니다.

f. 새 리소스의 위치를 선택합니다. 성능 향상 및 비용 절감을 위해 Microsoft Sentinel 있는 동일한 지역을 선택합니다.

배포가 시작됩니다. 함수 앱이 만들어지고 배포 패키지가 적용된 후 알림이 표시됩니다.

함수 앱 구성에 대한 Azure 포털로 이동합니다.

함수 앱 구성

함수 앱에서 함수 앱 이름을 선택하고 구성을 선택합니다.

애플리케이션 설정 탭에서 새 애플리케이션 설정을 선택합니다.

각 문자열 값(대/소문자 구분)을 사용하여 다음 애플리케이션 설정을 개별적으로 추가합니다. DOMAIN CLIENT_ID CLIENT_SECRET WorkspaceID WorkspaceKey logAnalyticsUri(선택 사항)

logAnalyticsUri를 사용하여 전용 클라우드에 대한 로그 분석 API 엔드포인트를 재정의합니다. 예를 들어 퍼블릭 클라우드의 경우 값을 비워 둡니다. Azure GovUS 클라우드 환경의 경우 값을 형식https://<CustomerId>.ods.opinsights.azure.us으로 지정합니다.

모든 애플리케이션 설정이 입력되면 저장을 클릭합니다.

[비공식 판정] Box Events (using Azure Function) (using Azure Functions)

지원:Microsoft Corporation

Box 데이터 커넥터는 Box REST API를 사용하여 Box 엔터프라이즈의 이벤트를 Microsoft Sentinel 수집하는 기능을 제공합니다. 자세한 내용은 Box 설명서를 참조하세요.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

BoxEvents_CL 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

Microsoft.Web/sites 권한: 함수 앱을 만들기 위한 Azure Functions 읽기 및 쓰기 권한이 필요합니다. 자세한 내용은 Azure Functions 참조하세요.

Box API 자격 증명: Box REST API JWT 인증에는 Box 구성 JSON 파일이 필요합니다. 자세한 내용은 JWT 인증을 참조하세요.

설치 지침:

참고: 이 커넥터는 Azure Functions 사용하여 Box REST API에 연결하여 로그를 Microsoft Sentinel 끌어옵니다. 이로 인해 추가 데이터 수집 비용이 발생할 수 있습니다. 자세한 내용은 Azure Functions 가격 책정 페이지를 확인하세요.

(선택적 단계) 작업 영역 및 API 권한 부여 키 또는 토큰을 Azure Key Vault 안전하게 저장합니다. Azure Key Vault 키 값을 저장하고 검색하는 보안 메커니즘을 제공합니다. 다음 지침에 따라 Azure 함수 앱에서 Azure Key Vault 사용합니다.

참고: 이 커넥터는 Kusto 함수를 기반으로 하는 파서에 따라 Microsoft Sentinel 솔루션과 함께 배포되는 예상 BoxEvents로 작동합니다.

1단계 - Box 이벤트 컬렉션 구성

JWT 인증을 설치하고 자격 증명을 사용하여 JSON 파일을 가져오는 설명서를 참조하세요.

2단계 - 커넥터 및 연결된 Azure 함수를 배포하려면 다음 두 가지 배포 옵션 중 하나를 선택합니다.

중요: Box 데이터 커넥터를 배포하기 전에 작업 영역 ID 및 작업 영역 기본 키(다음에서 복사할 수 있음)와 Box JSON 구성 파일을 쉽게 사용할 수 있습니다.

작업 영역 ID: <설치 시 제공되는 변수 값>

기본 키: <설치 시 제공되는 변수 값>

옵션 1 - ARM(Azure Resource Manager) 템플릿

ARM Tempate를 사용하여 Box 데이터 커넥터의 자동화된 배포에 이 메서드를 사용합니다.

아래 Azure 배포 단추를 클릭합니다.

aka.ms

기본 구독, 리소스 그룹 및 위치를 선택합니다.

AzureSentinelWorkspaceId, AzureSentinelSharedKey, BoxConfigJSON을 입력합니다.

위에 명시된 사용 약관에 동의함을 표시하는 확인란을 표시합니다.

구매를 클릭하여 배포합니다.

옵션 2 - Azure Functions 수동 배포

다음 단계별 지침을 사용하여 Azure Functions(Visual Studio Code 통해 배포)를 사용하여 Box 데이터 커넥터를 수동으로 배포합니다.

1단계 - 함수 앱 배포

Azure 함수 앱 파일을 다운로드합니다. 로컬 개발 컴퓨터에 보관 파일을 추출합니다.

함수 앱 수동 배포 지침에 따라 VSCode를 사용하여 Azure Functions 앱을 배포합니다.

함수 앱을 성공적으로 배포한 후 구성을 위한 다음 단계를 수행합니다.

2단계 - 함수 앱 구성

함수 앱 구성에 대한 Azure 포털로 이동합니다.

함수 앱에서 함수 앱 이름을 선택하고 구성을 선택합니다.

애플리케이션 설정 탭에서 + 새 애플리케이션 설정을 선택합니다.

각 문자열 값(대/소문자 구분)을 사용하여 다음 애플리케이션 설정을 개별적으로 추가합니다. AzureSentinelWorkspaceId AzureSentinelSharedKey BOX_CONFIG_JSON logAnalyticsUri(선택 사항)

logAnalyticsUri를 사용하여 전용 클라우드에 대한 로그 분석 API 엔드포인트를 재정의합니다. 예를 들어 퍼블릭 클라우드의 경우 값을 비워 둡니다. Azure GovUS 클라우드 환경의 경우 값을 형식https://<CustomerId>.ods.opinsights.azure.us으로 지정합니다.

모든 애플리케이션 설정이 입력되면 저장을 클릭합니다.

[폐기됨] 다이나트레이스가 V1을 공격하다

지원:Dynatrace

이 커넥터는 Dynatrace Attacks REST API를 사용하여 검색된 공격을 Microsoft Sentinel Log Analytics로 수집합니다.

참고: 이 커넥터는 현재 지원되지 않으며 향후 버전에서 삭제될 예정입니다. 대신 Dynatrace Attacks V2 커넥터를 사용해 주세요.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

DynatraceAttacks_CL 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

Dynatrace 테넌트(예: xyz.dynatrace.com): Application Security 를 사용하도록 설정된 유효한 Dynatrace 테넌트가 필요합니다. Dynatrace 플랫폼에 대해 자세히 알아보세요.

Dynatrace 액세스 토큰: Dynatrace 액세스 토큰이 필요하며 토큰에는 읽기 공격(attacks.read) scope 있어야 합니다.

설치 지침:

Dynatrace 공격 이벤트를 Microsoft Sentinel

Dynatrace 애플리케이션 보안을 구성하고 사용하도록 설정합니다. 다음 지침에 따라 액세스 토큰을 생성합니다.

[폐기됨] 다이나트레이스 감사 로그 V1

지원:Dynatrace

이 커넥터는 Dynatrace 감사 로그 REST API를 사용하여 테넌트 감사 로그를 Microsoft Sentinel Log Analytics로 수집합니다.

참고: 이 커넥터는 현재 지원되지 않으며 향후 버전에서 삭제될 예정입니다. 대신 Dynatrace Audit Logs V2 커넥터를 사용해 주세요.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

DynatraceAuditLogs_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Dynatrace 테넌트(예: xyz.dynatrace.com): Dynatrace 플랫폼 무료 평가판 시작에 대해 자세히 알아보려면 유효한 Dynatrace 테넌트가 필요합니다.

Dynatrace 액세스 토큰: Dynatrace 액세스 토큰이 필요합니다. 토큰에는 감사 로그 읽기(auditLogs.read) scope 있어야 합니다.

설치 지침:

감사 로그 이벤트를 Microsoft Sentinel

Dynatrace 감사 로깅을 사용하도록 설정합니다. 다음 지침에 따라 액세스 토큰을 생성합니다.

[폐기됨] 다이나트레이스 문제 V1

지원:Dynatrace

이 커넥터는 Dynatrace 문제 REST API를 사용하여 문제 이벤트를 Microsoft Sentinel Log Analytics로 수집합니다.

참고: 이 커넥터는 현재 지원되지 않으며 향후 버전에서 삭제될 예정입니다. 대신 Dynatrace Problems V2 커넥터를 사용해 주세요.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

DynatraceProblems_CL 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

Dynatrace 테넌트(예: xyz.dynatrace.com): Dynatrace 플랫폼 무료 평가판 시작에 대해 자세히 알아보려면 유효한 Dynatrace 테넌트가 필요합니다.

Dynatrace 액세스 토큰: Dynatrace 액세스 토큰이 필요하고 토큰에 읽기 문제(problems.read) scope 있어야 합니다.

설치 지침:

문제 이벤트를 Microsoft Sentinel

다음 지침에 따라 액세스 토큰을 생성합니다.

[비공식 사용 중] 다이나트레이스 실행 시 취약점 V1

지원:Dynatrace

이 커넥터는 Dynatrace 보안 문제 REST API를 사용하여 검색된 런타임 취약성을 Microsoft Sentinel Log Analytics로 수집합니다.

참고: 이 커넥터는 현재 지원되지 않으며 향후 버전에서 삭제될 예정입니다. 대신 Dynatrace 런타임 취약점 V2 커넥터를 사용해 주세요.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

DynatraceSecurityProblems_CL 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

Dynatrace 테넌트(예: xyz.dynatrace.com): Application Security 를 사용하도록 설정된 유효한 Dynatrace 테넌트가 필요합니다. Dynatrace 플랫폼에 대해 자세히 알아보세요.

Dynatrace 액세스 토큰: Dynatrace 액세스 토큰이 필요하고 토큰에 읽기 보안 문제(securityProblems.read) scope 있어야 합니다.

설치 지침:

Microsoft Sentinel 대한 Dynatrace 취약성 이벤트

Dynatrace 애플리케이션 보안을 구성하고 사용하도록 설정합니다. 다음 지침에 따라 액세스 토큰을 생성합니다.

[사용되지 않음] GitHub Enterprise 감사 로그

지원:Microsoft Corporation

GitHub 감사 로그 커넥터는 GitHub 로그를 Microsoft Sentinel 수집하는 기능을 제공합니다. GitHub 감사 로그를 Microsoft Sentinel 연결하면 통합 문서에서 이 데이터를 보고, 이를 사용하여 사용자 지정 경고를 만들고, 조사 프로세스를 개선할 수 있습니다.

참고: GitHub 구독 이벤트를 Microsoft Sentinel 수집하려는 경우 "데이터 커넥터" 갤러리에서 GitHub(웹후크 사용) 커넥터를 참조하세요.

참고: 이 데이터 커넥터는 더 이상 사용되지 않습니다. 사용되지 않는 HTTP 데이터 수집기 API를 통해 수집을 대체하는 솔루션에서 사용할 수 있는 CCF 데이터 커넥터로 이동하는 것이 좋습니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

GitHubAuditLogPolling_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

GitHub API 개인용 액세스 토큰: organization 감사 로그에 대한 폴링을 사용하도록 설정하려면 GitHub 개인용 액세스 토큰이 필요합니다. 'read:org' scope 클래식 토큰 또는 '관리: 읽기 전용' scope 있는 세분화된 토큰을 사용할 수 있습니다.

GitHub Enterprise 유형: 이 커넥터는 GitHub Enterprise Cloud에서만 작동합니다. GitHub Enterprise Server를 지원하지 않습니다.

설치 지침:

GitHub Enterprise 조직 수준 감사 로그를 Microsoft Sentinel 연결

GitHub 감사 로그를 사용하도록 설정합니다. 이 가이드에 따라 개인용 액세스 토큰을 만들거나 찾습니다.

[사용되지 않음] IONIX 보안 로그(푸시)

지원:IONIX

⚠️ 이 커넥터는 더 이상 사용되지 않으며 2026년 6월에 제거될 예정입니다. 대신 IONIX 포털에서 수동 구성 없이 자동 일일 폴링을 제공하는 새 'IONIX 보안 로그(코드리스 커넥터 프레임워크를 통해)' 커넥터를 사용하세요.

IONIX 보안 로그 데이터 커넥터는 IONIX 시스템에서 Sentinel 직접 로그를 수집합니다. 커넥터를 사용하면 사용자가 데이터를 시각화하고, 경고 및 인시던트 및 보안 조사를 개선할 수 있습니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

CyberpionActionItems_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

IONIX 구독: IONIX 로그에는 구독 및 계정이 필요합니다. 여기에서 획득할 수 있습니다.

설치 지침:

지침에 따라 IONIX 보안 경고를 Sentinel 통합합니다.

작업 영역 ID: <설치 시 제공되는 변수 값>

기본 키: <설치 시 제공되는 변수 값>

[사용되지 않음] 경계

지원자:Lookout

Lookout 데이터 커넥터는 Mobile Risk API를 통해 Lookout 이벤트를 Microsoft Sentinel 수집하는 기능을 제공합니다. 자세한 내용은 API 설명서를 참조하세요. Lookout 데이터 커넥터는 잠재적인 보안 위험 등을 검사하는 데 도움이 되는 이벤트를 가져오는 기능을 제공합니다.

참고: 이 데이터 커넥터는 더 이상 사용되지 않습니다. 사용되지 않는 HTTP 데이터 수집기 API를 통해 수집을 대체하는 솔루션에서 사용할 수 있는 CCF 데이터 커넥터로 이동하는 것이 좋습니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

Lookout_CL 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

Microsoft.Web/sites 권한: 함수 앱을 만들기 위한 Azure Functions 읽기 및 쓰기 권한이 필요합니다. 자세한 내용은 Azure Functions 참조하세요.

모바일 위험 API 자격 증명/권한: EnterpriseName & ApiKey 는 모바일 위험 API에 필요합니다. 자세한 내용은 API를 참조하세요. 모든 요구 사항을 확인하고 자격 증명을 얻기 위한 지침을 따릅니다.

설치 지침:

참고: 이 Lookout 데이터 커넥터는 Azure Functions 사용하여 모바일 위험 API에 연결하여 이벤트를 Microsoft Sentinel 끌어올 수 있습니다. 이로 인해 추가 데이터 수집 비용이 발생할 수 있습니다. 자세한 내용은 Azure Functions 가격 책정 페이지를 확인하세요.

참고: 이 데이터 커넥터는 Kusto 함수를 기반으로 하는 파서에 따라 Microsoft Sentinel Solution과 함께 배포되는 예상 LookoutEvents로 작동합니다.

1단계 - 모바일 위험 API에 대한 구성 단계

지침에 따라 자격 증명을 가져옵니다.

2단계 - 아래 설명된 지침에 따라 Lookout 데이터 커넥터 및 연결된 Azure 함수를 배포합니다.

중요:Lookout 데이터 커넥터 배포를 시작하기 전에 작업 영역 ID 및 작업 영역 키를 준비해야 합니다(다음에서 복사할 수 있음).

작업 영역 ID: <설치 시 제공되는 변수 값>

작업 영역 키: <설치 시 제공되는 변수 값>

ARM(Azure Resource Manager) 템플릿

ARM 템플릿을 사용하여 Lookout 데이터 커넥터의 자동화된 배포를 위해 아래 단계를 수행합니다.

아래 Azure 배포 단추를 클릭합니다.

aka.ms

기본 구독, 리소스 그룹 및 지역을 선택합니다.

참고: 동일한 리소스 그룹 내에서는 Windows 및 Linux 앱을 동일한 지역에 혼합할 수 없습니다. Windows 앱이 없는 기존 리소스 그룹을 선택하거나 새 리소스 그룹을 만듭니다. 3. 함수 이름, 작업 영역 ID,작업 영역 키, 엔터프라이즈 이름 & API 키를 입력하고 배포합니다. 4. 만들기 를 클릭하여 배포합니다.

[사용되지 않음] Microsoft Exchange 로그 및 이벤트

지원자:커뮤니티

더 이상 사용되지 않습니다. 'ESI-Opt' 데이터커넥터를 사용합니다. Windows 에이전트를 사용하여 Microsoft Sentinel 작업 영역에 연결된 Windows 컴퓨터에서 모든 Exchange 감사 이벤트, IIS 로그, HTTP 프록시 로그 및 보안 이벤트 로그를 스트리밍할 수 있습니다. 이 연결을 사용하면 대시보드를 보고, 사용자 지정 경고를 만들고, 조사를 개선할 수 있습니다. 이는 Microsoft Exchange 보안 통합 문서에서 온-프레미스 Exchange 환경의 보안 인사이트를 제공하는 데 사용됩니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

Event 예 아니요

SecurityEvent 예 예

W3CIISLog 예 아니요

MessageTrackingLog_CL 예 예

ExchangeHttpProxy_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Azure Log Analytics는 사용되지 않으며, Azure VM에서 데이터를 수집하려면 Arc를 Azure 것이 좋습니다. 자세한 정보

자세한 설명서: >참고: 설치 절차 및 사용에 대한 자세한 설명서는 여기에서 확인할 수 있습니다.

설치 지침:

참고: 이 솔루션은 옵션을 기반으로 합니다. 이렇게 하면 일부 옵션이 매우 많은 양의 데이터를 생성할 수 있으므로 수집할 데이터를 선택할 수 있습니다. 수집하려는 항목에 따라 통합 문서, 분석 규칙, 헌팅 기능을 추적하여 배포할 옵션을 선택합니다. 각 옵션은 서로 독립적입니다. 각 옵션에 대해 자세히 알아보려면 'Microsoft Exchange Security' wiki

1. Microsoft Sentinel 로그를 수집하는 데 필요한 에이전트 다운로드 및 설치

서버 유형(Exchange Server, Exchange Server에 연결된 도메인 컨트롤러 또는 모든 도메인 컨트롤러)은 배포하려는 옵션에 따라 달라집니다.

모니터 에이전트 배포

이 단계는 Exchange 서버/도메인 컨트롤러를 처음 온보딩한 경우에만 필요합니다.

로그를 수집하기 위해 서버에 설치할 에이전트를 선택합니다.

[선호] Azure Arc를 통해 에이전트 모니터링 Azure

Azure Arc 에이전트 배포 자세한 정보

Azure Log Analytics 에이전트 설치(2024/31/08에 사용되지 않음)

Azure Log Analytics 에이전트를 다운로드하고 아래 링크에서 배포 방법을 선택합니다.

에이전트 설치: <설치 시 제공되는 변수 값>

2. 선택한 옵션에 따라 로그 예시 배포

[옵션 1] MS Exchange 관리 로그 컬렉션

MS Exchange 관리 감사 이벤트 로그를 스트리밍하는 방법 선택

MS Exchange 관리 감사 이벤트 로그

데이터 수집 규칙 - Azure Monitor 에이전트를 사용하는 경우

데이터 수집 규칙 사용 Microsoft Exchange 관리 감사 이벤트 로그는 Windows 에이전트에서만 수집됩니다.

옵션 1 - ARM(Azure Resource Manager) 템플릿

DCR의 자동화된 배포에 이 방법을 사용합니다.

아래 Azure 배포 단추를 클릭합니다.

aka.ms

기본 구독, 리소스 그룹 및 위치를 선택합니다.

작업 영역 이름 '및/또는 기타 필수 필드'를 입력합니다.

위에 명시된 사용 약관에 동의함을 표시하는 확인란을 표시합니다.

구매를 클릭하여 배포합니다.

옵션 2 - Azure Automation 수동 배포

다음 단계별 지침을 사용하여 데이터 수집 규칙을 수동으로 배포합니다.

대답. DCR 만들기, 이벤트 로그 입력

Azure 포털에서 Azure 데이터 수집 규칙으로 이동합니다.

위쪽에서 + 만들기 를 클릭합니다.

기본 탭에서 필요한 필드를 입력하고 플랫폼 유형으로 Windows를 선택하고 DCR에 이름을 지정합니다.

리소스 탭에서 Exchange Server를 입력합니다.

'수집 및 배달'에서 데이터 원본 형식 'Windows 이벤트 로그'를 추가하고 '사용자 지정' 옵션을 선택하고 식으로 'MSExchange Management'를 입력하고 추가합니다.

필요한 경우 '다른 바람직한 구성 변경'을 클릭한 다음 만들기를 클릭합니다.

모든 Exchange 서버에 DCR 할당

DCR에 모든 Exchange 서버 추가

데이터 수집 규칙 - 레거시 Azure Log Analytics 에이전트를 사용하는 경우

수집할 로그 구성

수집하려는 이벤트 및 해당 심각도를 구성합니다.

작업 영역 레거시 에이전트 관리에서 Windows 이벤트 로그를 선택합니다.

Windows 이벤트 로그 추가를 클릭하고 로그 이름으로 MSExchange Management를 입력합니다.

오류, 경고 및 정보 유형 수집

저장을 클릭합니다.

에이전트 설치: <설치 시 제공되는 변수 값>

[옵션 2] Exchange 서버의 보안/애플리케이션/시스템 로그

Exchange Server의 보안/애플리케이션/시스템 로그를 스트리밍하는 방법 선택

보안 이벤트 로그 수집

데이터 수집 규칙 - 보안 이벤트 로그

보안 로그 보안 이벤트 로그에 대한 데이터 수집 규칙 사용은 Windows 에이전트에서만 수집됩니다.

리소스 탭에 Exchange Server 를 추가합니다 .

보안 로그 수준 선택

공통 수준은 최소 필수 수준입니다. DCR 정의에서 '일반' 또는 '모든 보안 이벤트'를 선택하세요.

에이전트 설치: <설치 시 제공되는 변수 값>

애플리케이션 및 시스템 이벤트 로그 수집

데이터 수집 규칙 - Azure Monitor 에이전트를 사용하는 경우

데이터 수집 규칙 사용 애플리케이션 및 시스템 이벤트 로그는 Windows 에이전트에서만 수집됩니다.

옵션 1 - ARM(Azure Resource Manager) 템플릿

DCR의 자동화된 배포에 이 방법을 사용합니다.

아래 Azure 배포 단추를 클릭합니다.

aka.ms

기본 구독, 리소스 그룹 및 위치를 선택합니다.

작업 영역 이름 '및/또는 기타 필수 필드'를 입력합니다.

위에 명시된 사용 약관에 동의함을 표시하는 확인란을 표시합니다.

구매를 클릭하여 배포합니다.

옵션 2 - Azure Automation 수동 배포

다음 단계별 지침을 사용하여 데이터 수집 규칙을 수동으로 배포합니다.

대답. DCR 만들기, 이벤트 로그 입력

Azure 포털에서 Azure 데이터 수집 규칙으로 이동합니다.

위쪽에서 + 만들기 를 클릭합니다.

기본 탭에서 필요한 필드를 입력하고 플랫폼 유형으로 Windows를 선택하고 DCR에 이름을 지정합니다.

리소스 탭에서 Exchange Server를 입력합니다.

'수집 및 배달'에서 데이터 원본 형식 'Windows 이벤트 로그'를 추가하고 '기본' 옵션을 선택합니다.

애플리케이션에서 '위험', '오류' 및 '경고'를 선택합니다. 시스템에서 위험/오류/경고/정보를 선택합니다.

필요한 경우 '다른 바람직한 구성 변경'을 클릭한 다음 만들기를 클릭합니다.

모든 Exchange 서버에 DCR 할당

DCR에 모든 Exchange 서버 추가

데이터 수집 규칙 - 레거시 Azure Log Analytics 에이전트를 사용하는 경우

수집할 로그 구성

수집하려는 이벤트 및 해당 심각도를 구성합니다.

작업 영역 고급 설정 구성에서 데이터를 선택한 다음 Windows 이벤트 로그를 선택합니다.

Windows 이벤트 로그 추가를 클릭하고 애플리케이션을 로그 이름으로 검색합니다.

Windows 이벤트 로그 추가를 클릭하고 시스템을 로그 이름으로 검색합니다.

오류 수집(모두), 경고(모두) 및 정보(시스템) 유형

저장을 클릭합니다.

에이전트 설치: <설치 시 제공되는 변수 값>

[옵션 3 및 4] 도메인 컨트롤러의 보안 로그

도메인 컨트롤러의 보안 로그를 스트리밍하는 방법을 선택합니다. 옵션 3을 구현하려면 Exchange Server와 동일한 사이트에서 DC를 선택하기만 하면 됩니다. 옵션 4를 구현하려는 경우 포리스트의 모든 DC를 선택할 수 있습니다.

[옵션 3] 다음 단계를 위해 Exchange Server와 동일한 사이트에 도메인 컨트롤러만 나열합니다.

이렇게 하면 수집된 데이터의 양이 제한되지만 일부 인시던트를 검색할 수 없습니다.

[옵션 4] 다음 단계를 위해 Active-Directory 포리스트의 모든 도메인 컨트롤러 나열

이렇게 하면 모든 보안 이벤트를 수집할 수 있습니다.

보안 이벤트 로그 수집

데이터 수집 규칙 - 보안 이벤트 로그

보안 로그 보안 이벤트 로그에 대한 데이터 수집 규칙 사용은 Windows 에이전트에서만 수집됩니다.

리소스 탭에서 선택한 DC 를 추가합니다 .

보안 로그 수준 선택

공통 수준은 최소 필수 수준입니다. DCR 정의에서 '일반' 또는 '모든 보안 이벤트'를 선택하세요.

에이전트 설치: <설치 시 제공되는 변수 값>

[옵션 5] Exchange Server의 IIS 로그

Exchange 서버의 IIS 로그를 스트리밍하는 방법 선택

데이터 수집 규칙 - Azure Monitor 에이전트를 사용하는 경우

데이터 수집 규칙 사용 IIS 로그는 Windows 에이전트에서만 수집됩니다.

옵션 1 - ARM(Azure Resource Manager) 템플릿

DCE 및 DCR의 자동화된 배포에 이 방법을 사용합니다.

대답. DCE 만들기(Exchange 서버에 대해 아직 만들어지지 않은 경우)

아래 Azure 배포 단추를 클릭합니다.

aka.ms

기본 구독, 리소스 그룹 및 위치를 선택합니다.

DCE의 제안된 이름을 변경할 수 있습니다.

만들기를 클릭하여 배포합니다.

B. 데이터 연결 규칙 배포

아래 Azure 배포 단추를 클릭합니다.

aka.ms

기본 구독, 리소스 그룹 및 위치를 선택합니다.

작업 영역 ID '및/또는 기타 필수 필드'를 입력합니다.

위에 명시된 사용 약관에 동의함을 표시하는 확인란을 표시합니다.

구매를 클릭하여 배포합니다.

옵션 2 - Azure Automation 수동 배포

다음 단계별 지침을 사용하여 데이터 수집 규칙을 수동으로 배포합니다.

대답. DCE 만들기(Exchange 서버에 대해 아직 만들어지지 않은 경우)

Azure Portal에서 Azure Data 컬렉션 엔드포인트로 이동합니다.

위쪽에서 + 만들기 를 클릭합니다.

기본 탭에서 필요한 필드를 입력하고 DCE에 이름을 지정합니다.

필요한 경우 '다른 바람직한 구성 변경'을 클릭한 다음 만들기를 클릭합니다.

B. DCR 만들기, IIS 로그 입력

Azure 포털에서 Azure 데이터 수집 규칙으로 이동합니다.

위쪽에서 + 만들기 를 클릭합니다.

기본 탭에서 필요한 필드를 입력하고 플랫폼 유형으로 Windows를 선택하고 DCR에 이름을 지정합니다. 만든 DCE를 선택합니다.

리소스 탭에서 Exchange Server를 입력합니다.

'수집 및 배달'에서 데이터 원본 형식 'IIS 로그'를 추가합니다(IIS 로그 경로가 기본적으로 구성된 경우 경로를 입력하지 마세요). '데이터 원본 추가'를 클릭합니다.

필요한 경우 '다른 바람직한 구성 변경'을 클릭한 다음 만들기를 클릭합니다.

모든 Exchange 서버에 DCR 할당

DCR에 모든 Exchange 서버 추가

데이터 수집 규칙 - 레거시 Azure Log Analytics 에이전트를 사용하는 경우

수집할 로그 구성

수집하려는 이벤트 및 해당 심각도를 구성합니다.

작업 영역 고급 설정 구성에서 데이터를 선택한 다음 IIS 로그를 선택합니다.

W3C 형식 IIS 로그 파일 수집 확인

저장을 클릭합니다.

에이전트 설치: <설치 시 제공되는 변수 값>

[옵션 6] Exchange 서버의 메시지 추적

Exchange 서버의 메시지 추적을 스트리밍하는 방법 선택

데이터 수집 규칙 - Azure Monitor 에이전트를 사용하는 경우

데이터 수집 규칙 사용 메시지 추적은 Windows 에이전트에서만 수집됩니다.

참고: 주의, 모니터 에이전트의 사용자 지정 로그는 미리 보기 상태입니다. 현재 배포가 예상대로 작동하지 않습니다(2023년 3월).

옵션 1 - ARM(Azure Resource Manager) 템플릿

DCE 및 DCR의 자동화된 배포에 이 방법을 사용합니다.

대답. DCE 만들기(Exchange 서버에 대해 아직 만들어지지 않은 경우)

아래 Azure 배포 단추를 클릭합니다.

aka.ms

기본 구독, 리소스 그룹 및 위치를 선택합니다.

DCE의 제안된 이름을 변경할 수 있습니다.

만들기를 클릭하여 배포합니다.

B. 데이터 연결 규칙 및 사용자 지정 테이블 배포

아래 Azure 배포 단추를 클릭합니다.

aka.ms

기본 구독, 리소스 그룹 및 위치를 선택합니다.

작업 영역 ID '및/또는 기타 필수 필드'를 입력합니다.

위에 명시된 사용 약관에 동의함을 표시하는 확인란을 표시합니다.

구매를 클릭하여 배포합니다.

옵션 2 - Azure Automation 수동 배포

다음 단계별 지침을 사용하여 데이터 수집 규칙을 수동으로 배포합니다.

대답. DCE 만들기(Exchange 서버에 대해 아직 만들어지지 않은 경우)

Azure Portal에서 Azure Data 컬렉션 엔드포인트로 이동합니다.

위쪽에서 + 만들기 를 클릭합니다.

기본 탭에서 필요한 필드를 입력하고 DCE에 이름을 지정합니다(예: ESI-ExchangeServers).

필요한 경우 '다른 바람직한 구성 변경'을 클릭한 다음 만들기를 클릭합니다.

B. 사용자 지정 DCR 테이블 만들기

Microsoft Sentinel GitHub에서 예제 파일을 다운로드합니다.

Azure 포털에서 작업 영역 분석으로 이동하여 대상 작업 영역을 선택합니다.

'테이블'을 클릭하고 맨 위에서 + 만들기를 클릭하고 새 사용자 지정 로그(DCR 기반)를 선택합니다.

기본 탭에서 테이블 이름에 MessageTrackingLog를 입력하고 이름이 DCR-Option6-MessageTrackingLogs인 데이터 수집 규칙을 만들고(예:) 이전에 만든 데이터 컬렉션 엔드포인트를 선택합니다.

스키마 및 변환 탭에서 다운로드한 샘플 파일을 선택하고 변환 편집기를 클릭합니다.

변환 필드에 다음 KQL 요청을 입력합니다. source | extend TimeGenerated = todatetime(['date-time']) | extend clientHostname = ['client-hostname'], clientIP = ['client-ip'], connectorId = ['connector-id'], customData = ['custom-data'], eventId = ['event-id'], internalMessageId = ['internal-message-id'], logId = ['log-id'], messageId = ['message-id'], messageInfo = ['message-info'], messageSubject = ['message-subject'], networkMessageId = ['network-message-id'], originalClientIp = ['original-client-ip'], originalServerIp = ['original-server-ip'], recipientAddress= ['recipient-address'], recipientCount= ['recipient-count'], recipientStatus= ['recipient-상태'], relatedRecipientAddress= ['related-recipient-address'], returnPath= ['return-path'], senderAddress= ['sender-address'], senderHostname= ['server-hostname'], serverIp= ['server-ip'], sourceContext= ['source-context'], schemaVersion=['schema-version'], messageTrackingTenantId = ['tenant-id'], totalBytes = ['total-bytes'], transportTrafficType = ['transport-traffic-type'] | project-away ['client-ip'], ['client-hostname'], ['connector-id'], ['custom-data'], ['date-time'], ['event-id'], ['internal-message-id'], ['log-id'], ['message-id'], ['message-info'], ['message-subject'], ['network-message-id'], ['original-client-ip'], ['original-server-ip'], ['recipient-address'], ['recipient-count'], ['recipient-count'], ['recipient-상태'], ['related-recipient-address'], ['return-path'], ['sender-address'], ['server-hostname'], ['server-ip'], ['source-context'], ['schema-version'], ['tenant-id'], ['total-bytes'], ['transport-traffic-type']

'실행'을 클릭하고 '적용'을 클릭합니다.

다음을 클릭한 다음 만들기를 클릭합니다.

C. 만든 DCR 수정, 사용자 지정 로그 입력

Azure 포털에서 Azure 데이터 수집 규칙으로 이동합니다.

DCR-Option6-MessageTrackingLogs와 같이 이전에 만든 DCR을 선택합니다.

리소스 탭에서 Exchange Server를 입력합니다.

데이터 원본에서 데이터 원본 형식 '사용자 지정 텍스트 로그'를 추가하고 파일 패턴에 'C:\Program Files\Microsoft\Exchange Server\V15\TransportRoles\Logs\MessageTracking*.log'을 입력하고 테이블 이름에 'MessageTrackingLog_CL'를 입력합니다. 변환 필드를 6.in 다음 KQL 요청을 입력합니다. source | extend TimeGenerated = todatetime(['date-time']) | extend clientHostname = ['client-hostname'], clientIP = ['client-ip'], connectorId = ['connector-id'], customData = ['custom-data'], eventId = ['event-id'], internalMessageId = ['internal-message-id'], logId = ['log-id'], messageId = ['message-id'], messageInfo = ['message-info'], messageSubject = ['message-subject'], networkMessageId = ['network-message-id'], originalClientIpIp = ['original-client-ip'], originalServerIp = ['original-server-ip'], recipientAddress= ['recipient-address'], recipientCount= ['recipient-count'], recipientStatus= ['recipient-상태'], relatedRecipientAddress= ['related-recipient-address'], returnPath= ['return-path'], senderAddress= ['sender-address'], senderHostname= ['server-hostname'], serverIp= ['server-ip'], sourceContext= ['source-context'], schemaVersion=['schema-version'], messageTrackingTenantId = ['tenant-id'], totalBytes = ['total-bytes'], transportTrafficType = ['transport-traffic-type'] | project-away ['client-ip'], ['client-hostname'], ['connector-id'], ['custom-data'], ['date-time'], ['event-id'], ['internal-message-id'], ['log-id'], ['message-id'], ['message-info'], ['message-subject'], ['network-message-id'], ['original-client-ip'], ['original-server-ip'], ['recipient-address'], ['recipient-count'], ['recipient-count'], ['recipient-상태'], ['related-recipient-address'], ['return-path'], ['sender-address'], ['server-hostname'], ['server-ip'], ['source-context'], ['schema-version'], ['tenant-id'], ['total-bytes'], ['transport-traffic-type']

'데이터 원본 추가'를 클릭합니다.

모든 Exchange 서버에 DCR 할당

DCR에 모든 Exchange 서버 추가

데이터 수집 규칙 - 레거시 Azure Log Analytics 에이전트를 사용하는 경우

수집할 로그 구성

작업 영역 설정 파트에서 테이블을 선택하고 + 만들기를 클릭하고 새 사용자 지정 로그(MMA 기반)를 클릭합니다.

샘플 파일 MessageTracking 샘플을 선택하고 다음을 클릭합니다.

Windows 유형을 선택하고 C:\Program Files\Microsoft\Exchange Server\V15\TransportRoles\Logs\MessageTracking*.log 경로를 입력합니다. 다음을 클릭합니다.

MessageTrackingLog를 테이블 이름으로 입력하고 다음을 클릭합니다.

저장을 클릭합니다.

에이전트 설치: <설치 시 제공되는 변수 값>

[옵션 7] Exchange 서버의 HTTP 프록시

Exchange 서버의 HTTP 프록시를 스트리밍하는 방법 선택

데이터 수집 규칙 - Azure Monitor 에이전트를 사용하는 경우

데이터 수집 규칙 사용 메시지 추적은 Windows 에이전트에서만 수집됩니다.

참고: 주의, 모니터 에이전트의 사용자 지정 로그는 미리 보기 상태입니다. 현재 배포가 예상대로 작동하지 않습니다(2023년 3월).

옵션 1 - ARM(Azure Resource Manager) 템플릿

DCE 및 DCR의 자동화된 배포에 이 방법을 사용합니다.

대답. DCE 만들기(Exchange 서버에 대해 아직 만들어지지 않은 경우)

아래 Azure 배포 단추를 클릭합니다.

aka.ms

기본 구독, 리소스 그룹 및 위치를 선택합니다.

DCE의 제안된 이름을 변경할 수 있습니다.

만들기를 클릭하여 배포합니다.

B. 데이터 연결 규칙 배포

아래 Azure 배포 단추를 클릭합니다.

aka.ms

기본 구독, 리소스 그룹 및 위치를 선택합니다.

작업 영역 ID '및/또는 기타 필수 필드'를 입력합니다.

위에 명시된 사용 약관에 동의함을 표시하는 확인란을 표시합니다.

구매를 클릭하여 배포합니다.

옵션 2 - Azure Automation 수동 배포

다음 단계별 지침을 사용하여 데이터 수집 규칙을 수동으로 배포합니다.

대답. DCE 만들기(Exchange 서버에 대해 아직 만들어지지 않은 경우)

Azure Portal에서 Azure Data 컬렉션 엔드포인트로 이동합니다.

위쪽에서 + 만들기 를 클릭합니다.

기본 탭에서 필요한 필드를 입력하고 DCE에 이름을 지정합니다.

필요한 경우 '다른 바람직한 구성 변경'을 클릭한 다음 만들기를 클릭합니다.

B. 사용자 지정 DCR 테이블 만들기

Microsoft Sentinel GitHub에서 예제 파일을 다운로드합니다.

Azure 포털에서 작업 영역 분석으로 이동하여 대상 작업 영역을 선택합니다.

'테이블'을 클릭하고 맨 위에서 + 만들기를 클릭하고 새 사용자 지정 로그(DCR 기반)를 선택합니다.

기본 탭에서 테이블 이름에 ExchangeHttpProxy를 입력하고, 이름 DCR-Option7-HTTPProxyLogs(예:)로 데이터 수집 규칙을 만들고 이전에 만든 데이터 컬렉션 엔드포인트를 선택합니다.

스키마 및 변환 탭에서 다운로드한 샘플 파일을 선택하고 변환 편집기를 클릭합니다.

변환 필드에 다음 KQL 요청을 입력합니다. *source | extend TimeGenerated = todatetime(DateTime) | project-away DateTime

'실행'을 클릭하고 '적용'을 클릭합니다.

다음을 클릭한 다음 만들기를 클릭합니다.

C. 만든 DCR 수정, 사용자 지정 로그 입력

Azure 포털에서 Azure 데이터 수집 규칙으로 이동합니다.

DCR-Option7-HTTPProxyLogs와 같이 이전에 만든 DCR을 선택합니다.

리소스 탭에서 Exchange Server를 입력합니다.

데이터 원본에서 데이터 원본 형식 '사용자 지정 텍스트 로그'를 추가하고 파일 패턴에 'C:\Program Files\Microsoft\Exchange Server\V15\Logging\HttpProxy\Autodiscover*.log'를 입력하고 테이블 이름에 'ExchangeHttpProxy_CL'를 입력합니다. 변환 필드를 6.in 다음 KQL 요청: source | extend TimeGenerated = todatetime(DateTime) | project-away DateTime을 입력합니다.

'데이터 원본 추가'를 클릭합니다.

모든 Exchange 서버에 DCR 할당

DCR에 모든 Exchange 서버 추가

데이터 수집 규칙 - 레거시 Azure Log Analytics 에이전트를 사용하는 경우

수집할 로그 구성

작업 영역 설정 파트에서 테이블을 선택하고 + 만들기를 클릭하고 새 사용자 지정 로그(MMA 기반)를 클릭합니다.

샘플 파일 MessageTracking 샘플을 선택하고 다음을 클릭합니다.

Windows 유형을 선택하고 C:\Program Files\Microsoft\Exchange Server\V15\Logging\HttpProxy\Autodiscover*.log, C:\Program Files\Microsoft\Exchange Server\V15\Logging\HttpProxy\Eas*.log, C:\Program Files\Microsoft\Exchange Server\V15\Logging\HttpProxy\Ecp*.log, C:\Program Files\Microsoft\Exchange Server\V15\Logging\HttpProxy\Ews*Ews*.log, C:\Program Files\Microsoft\Exchange Server\V15\Logging\HttpProxy\Mapi*.log, C:\Program Files\Microsoft\Exchange Server\V15\ Logging\HttpProxy\Oab*.log, C:\Program Files\Microsoft\Exchange Server\V15\Logging\HttpProxy\Owa*.log, C:\Program Files\Microsoft\Exchange Server\V15\Logging\HttpProxy\OwaCalendar*.log, C:\Program Files\Microsoft\Exchange Server\V15\Logging\HttpProxy\PowerShell*.log 및 C:\Program Files\Microsoft\Exchange Server\V15\Logging\HttpProxy\RpcHttp*.log. 다음을 클릭합니다.

ExchangeHttpProxy를 테이블 이름으로 입력하고 다음을 클릭합니다.

저장을 클릭합니다.

에이전트 설치: <설치 시 제공되는 변수 값>

참고: 이 데이터 커넥터는 Kusto 함수를 기반으로 하는 파서에 따라 예상대로 작동합니다. 파서는 솔루션과 함께 자동으로 배포됩니다. 단계에 따라 Kusto Functions 별칭: ExchangeAdminAuditLogs를 만듭니다.

파서는 솔루션 배포 중에 자동으로 배포됩니다. 수동으로 배포하려면 다음 단계를 수행합니다.

수동 파서 배포

1. 파서 파일 다운로드

최신 버전의 ExchangeAdminAuditLogs 파일

2. 파서 ExchangeAdminAuditLogs 함수 만들기

Microsoft Sentinel 로그 분석의 '로그' 탐색기에서 파일의 내용을 로그 탐색기에 복사합니다.

3. 파서 ExchangeAdminAuditLogs 함수 저장

저장 단추를 클릭합니다. 이 파서에는 매개 변수가 필요하지 않습니다. 저장을 다시 클릭합니다.

[더 이상 지원되지 않음] Netskope 웹 트랜잭션 데이터 커넥터 (Azure 함수 사용)

지원:Netskope

Netskope Web Transactions 데이터 커넥터는 Docker 이미지의 기능을 제공하여 Google pubsublite에서 Netskope Web Transactions 데이터를 가져오고, 데이터를 처리하고, 처리된 데이터를 Log Analytics로 수집합니다. 이 데이터 커넥터의 일부로 Log Analytics에서 두 개의 테이블이 구성됩니다. 하나는 웹 트랜잭션 데이터용이고 다른 하나는 실행 중에 발생한 오류에 대한 테이블입니다.

웹 트랜잭션과 관련된 자세한 내용은 아래 설명서를 참조하세요.

Netskope 웹 트랜잭션 설명서:

https://docs.netskope.com/en/netskope-help/data-security/transaction-events/netskope-transaction-events/

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

NetskopeWebtxData_CL 아니요 아니요

NetskopeWebtxErrors_CL 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

Azure 구독: Microsoft Entra ID 애플리케이션을 등록하고 리소스 그룹의 앱에 기여자 역할을 할당하려면 소유자 역할이 있는 Azure 구독이 필요합니다.

Microsoft.Compute 권한: Azure VM에 대한 읽기 및 쓰기 권한이 필요합니다. 자세한 내용은 VM Azure 참조하세요.

TransactionEvents 자격 증명 및 권한: Netskope 테넌트 및 Netskope API 토큰 이 필요합니다. 자세한 내용은 트랜잭션 이벤트를 참조하세요.

Microsoft.Web/sites 권한: 함수 앱을 만들기 위한 Azure Functions 읽기 및 쓰기 권한이 필요합니다. 자세한 내용은 Azure Functions 참조하세요.

설치 지침:

참고: 이 커넥터는 가상 머신(Azure VM/온-프레미스 VM)에 배포할 Docker 이미지를 사용하여 Netskope Web Transactions 데이터를 수집하는 기능을 제공합니다. 자세한 내용은 Azure VM 가격 책정 페이지를 확인하세요.

(선택적 단계) 작업 영역 및 API 권한 부여 키 또는 토큰을 Azure Key Vault 안전하게 저장합니다. Azure Key Vault 키 값을 저장하고 검색하는 보안 메커니즘을 제공합니다. 다음 지침에 따라 Azure 함수 앱에서 Azure Key Vault 사용합니다.

1단계 - Netskope 계정에 대한 자격 증명을 만들거나 가져오는 단계

이 섹션의 단계에 따라 Netskope Hostname 및 Netskope API 토큰을 만들거나 가져옵니다.

Netskope 테넌트 에 로그인하고 왼쪽 탐색 모음의 설정 메뉴로 이동합니다.

도구를 클릭한 다음 REST API v2를 클릭합니다.

이제 새 토큰 단추를 클릭합니다. 그런 다음, 데이터를 가져오려는 토큰 이름, 만료 기간 및 엔드포인트를 요청합니다.

이 작업이 완료되면 저장 단추를 클릭하면 토큰이 생성됩니다. 토큰을 복사하고 추가 사용을 위해 안전한 장소에 저장합니다.

2단계 - Netskope 웹 트랜잭션 데이터를 수집하기 위해 Docker 기반 데이터 커넥터를 배포하려면 다음 두 가지 배포 옵션 중 하나를 선택합니다.

중요: Netskope 데이터 커넥터를 배포하기 전에 작업 영역 ID 및 작업 영역 기본 키(다음에서 복사할 수 있음)와 Netskope API 권한 부여 키[토큰에 트랜잭션 이벤트에 대한 권한이 있는지 확인]를 쉽게 사용할 수 있습니다.

작업 영역 ID: <설치 시 제공되는 변수 값>

기본 키: <설치 시 제공되는 변수 값>

옵션 1 - ARM(Azure Resource Manager) 템플릿을 사용하여 VM 배포 [권장]

ARM 템플릿을 사용하여 Azure VM을 배포하고 필수 구성 요소를 설치하고 실행을 시작합니다.

아래 Azure 배포 단추를 클릭합니다.

aka.ms

기본 구독, 리소스 그룹 및 위치를 선택합니다.

아래 정보를 입력합니다. Docker 이미지 이름(mgulledge/netskope-microsoft-sentinel-plugin:netskopewebtransactions) Netskope HostName Netskope API 토큰 검색 타임스탬프(pubsublite 포인터를 찾으려는 epoch 타임스탬프) 빈 상태로 둘 수 있음) 작업 영역 ID 작업 영역 키 백오프 다시 시도 횟수(실행을 다시 시작하기 전에 토큰 관련 오류에 대한 재시도 횟수입니다.)
백오프 절전 모드 시간(다시 시도하기 전 절전 모드 시간) 유휴 시간 제한(실행을 다시 시작하기 전에 웹 트랜잭션 데이터를 대기하는 시간(초) VM 이름 인증 유형 관리 암호 또는 키 DNS 레이블 접두사 Ubuntu OS 버전 위치 VM 크기 서브넷 이름 네트워크 보안 그룹 이름 보안 유형

검토+만들기를 클릭합니다.

그런 다음 유효성 검사 후 만들기 를 클릭하여 배포합니다.

옵션 2 - 이전에 만든 가상 머신에서 수동 배포

다음 단계별 지침을 사용하여 이전에 만든 가상 머신에 Docker 기반 데이터 커넥터를 수동으로 배포합니다.

docker 설치 및 docker 끌어오기 이미지

참고: VM이 linux 기반인지 확인합니다(바람직하게는 Ubuntu).

먼저 가상 머신에 SSH해야 합니다.

이제 Docker 엔진을 설치합니다.

이제 'sudo docker pull mgulledge/netskope-microsoft-sentinel-plugin:netskopewebtransactions' 명령을 사용하여 docker 허브에서 docker 이미지를 끌어옵니다.

이제 docker 이미지를 실행하려면 'sudo docker run -it -v $(pwd)/docker_persistent_volume:/app mgulledge/netskope-microsoft-sentinel-plugin:netskopewebtransactions' 명령을 사용합니다. mgulledge/netskope-microsoft-sentinel-plugin:netskopewebtransactions를 이미지 ID로 바꿀 수 있습니다. 여기서 docker_persistent_volume 파일이 저장될 vm에 생성되는 폴더의 이름입니다.

매개 변수 구성

Docker 이미지가 실행되면 필요한 매개 변수를 요청합니다.

각 값(대/소문자 구분):Netskope HostName Netskope API 토큰 검색 타임스탬프(pubsublite 포인터를 찾으려는 epoch 타임스탬프는 비워 둘 수 있음) 작업 영역 ID 작업 영역 키 백오프 다시 시도 횟수(실행을 다시 시작하기 전에 토큰 관련 오류에 대한 재시도 횟수)를 사용하여 다음 애플리케이션 설정을 개별적으로 추가합니다.
백오프 절전 모드 시간(다시 시도하기 전에 절전 모드로 전환할 시간) 유휴 시간 제한(실행을 다시 시작하기 전에 웹 트랜잭션 데이터를 대기할 시간(초)

이제 실행이 시작되었지만 대화형 모드이므로 셸을 중지할 수 없습니다. 백그라운드 프로세스로 실행하려면 Ctrl+C를 눌러 현재 실행을 중지한 다음 'sudo docker run -d -v $(pwd)/docker_persistent_volume:/app mgulledge/netskope-microsoft-sentinel-plugin:netskopewebtransactions' 명령을 사용합니다.

Docker 컨테이너 중지

'sudo docker 컨테이너 ps' 명령을 사용하여 실행 중인 docker 컨테이너를 나열합니다. 컨테이너 ID를 적어둡니다.

이제 'sudo docker stop <' 명령을 사용하여 컨테이너를 중지>합니다.

[사용되지 않음] Sophos Endpoint Protection(Azure 함수 사용)(Azure Functions 사용)

지원:Microsoft Corporation

Sophos Endpoint Protection 데이터 커넥터는 Sophos 이벤트를 Microsoft Sentinel 수집하는 기능을 제공합니다. 자세한 내용은 Sophos Central 관리 설명서를 참조하세요.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

SophosEP_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Microsoft.Web/sites 권한: 함수 앱을 만들기 위한 Azure Functions 읽기 및 쓰기 권한이 필요합니다. 자세한 내용은 Azure Functions 참조하세요.

REST API 자격 증명/권한: API 토큰 이 필요합니다. 자세한 내용은 API 토큰을 참조하세요.

설치 지침:

참고: 이 커넥터는 Azure Functions 사용하여 Sophos Central API에 연결하여 로그를 Microsoft Sentinel 끌어올 수 있습니다. 이로 인해 추가 데이터 수집 비용이 발생할 수 있습니다. 자세한 내용은 Azure Functions 가격 책정 페이지를 확인하세요.

(선택적 단계) 작업 영역 및 API 권한 부여 키 또는 토큰을 Azure Key Vault 안전하게 저장합니다. Azure Key Vault 키 값을 저장하고 검색하는 보안 메커니즘을 제공합니다. 다음 지침에 따라 Azure 함수 앱에서 Azure Key Vault 사용합니다.

참고: 이 데이터 커넥터는 Kusto 함수를 기반으로 하는 파서에 따라 Microsoft Sentinel Solution과 함께 배포되는 SophosEPEvent가 예상대로 작동합니다.

1단계 - Sophos Central API에 대한 구성 단계

지침에 따라 자격 증명을 가져옵니다.

Sophos Central 관리 전역 설정 > API 토큰 관리로 이동합니다.

새 토큰을 만들려면 화면의 오른쪽 위 모서리에서 토큰 추가 를 클릭합니다.

토큰 이름을 선택하고 저장을 클릭합니다. 이 토큰에 대한 API 토큰 요약이 표시됩니다.

복사를 클릭하여 API 토큰 요약 섹션에서 API 액세스 URL + 헤더를 클립보드로 복사합니다.

2단계 - 커넥터 및 연결된 Azure 함수를 배포하려면 다음 두 가지 배포 옵션 중 하나를 선택합니다.

중요: Sophos Endpoint Protection 데이터 커넥터를 배포하기 전에 작업 영역 ID 및 작업 영역 기본 키를 갖습니다(다음에서 복사할 수 있음).

작업 영역 ID: <설치 시 제공되는 변수 값>

기본 키: <설치 시 제공되는 변수 값>

옵션 1 - ARM(Azure Resource Manager) 템플릿

ARM Tempate를 사용하여 Sophos Endpoint Protection 데이터 커넥터의 자동화된 배포에 이 방법을 사용합니다.

아래 Azure 배포 단추를 클릭합니다.

aka.ms

기본 구독, 리소스 그룹 및 위치를 선택합니다.

참고: 동일한 리소스 그룹 내에서는 Windows 및 Linux 앱을 동일한 지역에 혼합할 수 없습니다. Windows 앱이 없는 기존 리소스 그룹을 선택하거나 새 리소스 그룹을 만듭니다. 3. Sophos API 액세스 URL 및 헤더, AzureSentinelWorkspaceId, AzureSentinelSharedKey를 입력합니다. 4. 위에 명시된 사용 약관에 동의함을 표시하는 확인란을 표시합니다. 5. 구매 를 클릭하여 배포합니다.

옵션 2 - Azure Functions 수동 배포

다음 단계별 지침을 사용하여 sophos Endpoint Protection 데이터 커넥터를 Azure Functions 사용하여 수동으로 배포합니다(Visual Studio Code 통해 배포).

1단계 - 함수 앱 배포

참고: Azure 함수 개발을 위해 VS 코드를 준비해야 합니다.

Azure 함수 앱 파일을 다운로드합니다. 로컬 개발 컴퓨터에 보관 파일을 추출합니다.

함수 앱 수동 배포 지침에 따라 VSCode를 사용하여 Azure Functions 앱을 배포합니다.

함수 앱을 성공적으로 배포한 후 구성을 위한 다음 단계를 수행합니다.

2단계 - 함수 앱 구성

함수 앱 구성에 대한 Azure 포털로 이동합니다.

함수 앱에서 함수 앱 이름을 선택하고 구성을 선택합니다.

애플리케이션 설정 탭에서 새 애플리케이션 설정을 선택합니다.

각 문자열 값(대/소문자 구분)을 사용하여 다음 애플리케이션 설정을 개별적으로 추가합니다. SOPHOS_TOKEN WorkspaceID WorkspaceKey logAnalyticsUri(선택 사항)

logAnalyticsUri를 사용하여 전용 클라우드에 대한 로그 분석 API 엔드포인트를 재정의합니다. 예를 들어 퍼블릭 클라우드의 경우 값을 비워 둡니다. Azure GovUS 클라우드 환경의 경우 값을 형식https://<CustomerId>.ods.opinsights.azure.us으로 지정합니다.

모든 애플리케이션 설정이 입력되면 저장을 클릭합니다.

[사용 중단됨] 바로니스 SaaS

지원 대상:Varonis

Varonis SaaS는 Varonis 경고를 Microsoft Sentinel 수집하는 기능을 제공합니다.

Varonis는 데이터 액세스를 위한 심층 데이터 가시성, 분류 기능 및 자동화된 수정의 우선 순위를 지정합니다. Varonis는 데이터에 대한 위험에 대한 우선 순위가 지정된 단일 보기를 빌드하므로 내부자 위협 및 사이버 공격의 위험을 사전에 체계적으로 제거할 수 있습니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

VaronisAlerts_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Microsoft.Web/sites 권한: 함수 앱을 만들기 위한 Azure Functions 읽기 및 쓰기 권한이 필요합니다. 자세한 내용은 Azure Functions 참조하세요.

설치 지침:

참고: 이 커넥터는 Azure Functions 사용하여 Varonis DatAlert 서비스에 연결하여 경고를 Microsoft Sentinel 끌어올 수 있습니다. 이로 인해 추가 데이터 수집 비용이 발생할 수 있습니다. 자세한 내용은 Azure Functions 가격 책정 페이지를 참조하세요.

Azure 함수 및 관련 서비스 설치의 경우 다음을 사용합니다.

portal.azure.com

1단계 - Varonis DatAlert 엔드포인트 API 자격 증명을 가져옵니다.

클라이언트 ID 및 API 키를 생성하려면 다음을 수행합니다.

Varonis 웹 인터페이스를 시작합니다.

구성 -> API 키로 이동합니다. API 키 페이지가 표시됩니다.

API 키 만들기를 클릭합니다. 새 API 키 추가 설정이 오른쪽에 표시됩니다.

이름 및 설명을 입력합니다.

키 생성 단추를 클릭합니다.

API 키 비밀을 복사하여 편리한 위치에 저장합니다. 다시 복사할 수 없습니다.

자세한 내용은 검사: Varonis 설명서를 참조하세요.

2단계 - 커넥터 및 연결된 Azure 함수를 배포합니다.

작업 영역 이름: <설치 시 제공되는 변수 값>

ARM 템플릿을 사용하여 데이터 커넥터의 자동화된 배포에 이 방법을 사용합니다.

Azure 배포 단추를 클릭합니다.

portal.azure.com

기본 구독, 리소스 그룹, 지역, 스토리지 계정 유형을 선택합니다.

Log Analytics 작업 영역 이름, Varonis FQDN, Varonis SaaS API 키를 입력합니다.

검토 + 만들기, 만들기를 클릭합니다.

[사용되지 않음] VMware Carbon Black Cloud(Azure 함수 사용)(Azure Functions 사용)

지원:Microsoft

VMware Carbon Black Cloud 커넥터는 Carbon Black 데이터를 Microsoft Sentinel 수집하는 기능을 제공합니다. 커넥터는 대시보드를 보고, 사용자 지정 경고를 만들고, 모니터링 및 조사 기능을 개선하기 위해 Microsoft Sentinel 감사, 알림 및 이벤트 로그에 대한 가시성을 제공합니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

CarbonBlackEvents_CL 아니요 아니요

CarbonBlackNotifications_CL 아니요 아니요

CarbonBlackAuditLogs_CL 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

Microsoft.Web/sites 권한: 함수 앱을 만들기 위한 Azure Functions 읽기 및 쓰기 권한이 필요합니다. 자세한 내용은 Azure Functions 참조하세요.

VMware Carbon Black API 키: Carbon Black API 및/또는 SIEM 수준 API 키가 필요합니다. 카본 블랙 API에 대한 자세한 내용은 설명서를 참조하세요.

감사 및 이벤트 로그에는 Carbon Black API 액세스 수준 API ID 및 키가 필요합니다.

알림 경고에는 Carbon Black SIEM 액세스 수준 API ID 및 키가 필요합니다.

Amazon S3 REST API 자격 증명/권한: Amazon S3 REST API에는 AWS 액세스 키 ID, AWS 비밀 액세스 키, AWS S3 버킷 이름, AWS S3 버킷의 폴더 이름이 필요합니다.

설치 지침:

참고: 이 커넥터는 Azure Functions 사용하여 VMware Carbon Black에 연결하여 로그를 Microsoft Sentinel 끌어올 수 있습니다. 이로 인해 추가 데이터 수집 비용이 발생할 수 있습니다. 자세한 내용은 Azure Functions 가격 책정 페이지를 확인하세요.

(선택적 단계) 작업 영역 및 API 권한 부여 키 또는 토큰을 Azure Key Vault 안전하게 저장합니다. Azure Key Vault 키 값을 저장하고 검색하는 보안 메커니즘을 제공합니다. 다음 지침에 따라 Azure 함수 앱에서 Azure Key Vault 사용합니다.

1단계 - VMware Carbon Black API에 대한 구성 단계

다음 지침에 따라 API 키를 만듭니다.

2단계 - 커넥터 및 연결된 Azure 함수를 배포하려면 다음 두 가지 배포 옵션 중 하나를 선택합니다.

중요: VMware Carbon Black 커넥터를 배포하기 전에 작업 영역 ID 및 작업 영역 기본 키(다음에서 복사할 수 있음)와 VMware Carbon Black API 권한 부여 키를 쉽게 사용할 수 있습니다.

작업 영역 ID: <설치 시 제공되는 변수 값>

기본 키: <설치 시 제공되는 변수 값>

옵션 1 - ARM(Azure Resource Manager) 템플릿

이 방법은 ARM 템플릿을 사용하여 VMware Carbon Black 커넥터를 자동으로 배포할 수 있게 합니다.

아래 Azure 배포 단추를 클릭합니다.

aka.ms aka.ms

기본 구독, 리소스 그룹 및 위치를 선택합니다.

작업 영역 ID, 작업 영역 키, 로그 형식, API ID, API 키, Carbon Black Org 키, S3 버킷 이름, AWS 액세스 키 ID, AWS 비밀 액세스 키, EventPrefixFolderName, AlertPrefixFolderName을 입력하고 URI의 유효성을 검사합니다.

지역에 해당하는 URI를 입력합니다. API URL의 전체 목록은 여기에서 찾을 수 있습니다.

기본 시간 간격 은 데이터의 마지막 5분(5분)을 끌어오도록 설정됩니다. 시간 간격을 수정해야 하는 경우 겹치는 데이터 수집을 방지하기 위해 함수 앱 타이머 트리거를 적절하게 변경하는 것이 좋습니다(function.json 파일, 배포 후).

Carbon Black은 알림을 인징하기 위해 별도의 API ID/키가 필요합니다. SIEM API ID/키 값을 입력하거나 필요하지 않은 경우 비워 둡니다.

참고: 위의 값에 Azure Key Vault 비밀을 사용하는 경우 문자열 값 대신 스키마를 사용합니다@Microsoft.KeyVault(SecretUri={Security Identifier}). 자세한 내용은 Key Vault 참조 설명서를 참조하세요.

위에 명시된 사용 약관에 동의함을 표시하는 확인란을 표시합니다.

구매를 클릭하여 배포합니다.

옵션 2 - Azure Functions 수동 배포

다음 단계별 지침을 사용하여 Azure Functions 사용하여 VMware Carbon Black 커넥터를 수동으로 배포합니다.

함수 앱 만들기

Azure 포털에서 함수 앱으로 이동하고 + 추가를 선택합니다.

기본 탭에서 런타임 스택이 Powershell Core로 설정되어 있는지 확인합니다.

호스팅 탭에서 소비(서버리스) 계획 유형이 선택되어 있는지 확인합니다.

필요한 경우 다른 선호 구성을 변경한 다음 만들기를 클릭합니다.

함수 앱 코드 가져오기

새로 만든 함수 앱의 왼쪽 창에서 함수를 선택하고 + 추가를 클릭합니다.

타이머 트리거를 선택합니다.

필요한 경우 고유한 함수 이름을 입력하고 cron 일정을 수정합니다. 기본값은 5분마다 함수 앱을 실행하도록 설정됩니다. (참고: 타이머 트리거는 겹치는 데이터를 방지하기 위해 아래 값과 일치 timeInterval 해야 합니다.) 만들기를 클릭합니다.

왼쪽 창에서 코드 + 테스트를 클릭합니다.

함수 앱 코드를 복사하여 함수 앱 run.ps1 편집기에 붙여넣습니다.

저장을 클릭합니다.

함수 앱 구성

함수 앱에서 함수 앱 이름을 선택하고 구성을 선택합니다.

애플리케이션 설정 탭에서 + 새 애플리케이션 설정을 선택합니다.

다음 13개 애플리케이션 설정을 각각 16개(13-16) 애플리케이션 설정에 개별적으로 추가합니다. 각 문자열 값(대/소문자 구분): apiId apiKey workspaceID workspaceKey uri timeInterval CarbonBlackOrgKey CarbonBlackLogTypes s3BucketName EventPrefixFolderName AlertPrefixFolderName AWSAccessKeyId AWSSecretAccessKey SIEMapiId(선택 사항) SIEMapiKey(선택 사항) logAnalyticsUri(선택 사항)

지역에 해당하는 URI를 입력합니다. API URL의 전체 목록은 여기에서 찾을 수 있습니다. 값은 uri 다음 스키마 https://<API URL>.conferdeploy.net 를 따라야 합니다. - URI에 시간 접미사를 추가할 필요가 없으며 함수 앱은 적절한 형식으로 시간 값을 URI에 동적으로 추가합니다.

timeInterval 을 의 기본값5(분)으로 설정하여 매 분마다 5 기본 타이머 트리거에 해당합니다. 시간 간격을 수정해야 하는 경우 겹치는 데이터 수집을 방지하기 위해 함수 앱 타이머 트리거를 적절하게 변경하는 것이 좋습니다.

Carbon Black은 알림을 인징하기 위해 별도의 API ID/키가 필요합니다. SIEMapiId 필요한 경우 및 SIEMapiKey 값을 입력하거나 필요하지 않은 경우 생략합니다.

참고: Azure Key Vault 사용하는 경우 문자열 값 대신 스키마를 사용합니다@Microsoft.KeyVault(SecretUri={Security Identifier}). 자세한 내용은 Key Vault 참조 설명서를 참조하세요.

logAnalyticsUri를 사용하여 전용 클라우드에 대한 로그 분석 API 엔드포인트를 재정의합니다. 예를 들어 퍼블릭 클라우드의 경우 값을 비워 둡니다. Azure GovUS 클라우드 환경의 경우 다음 형식으로 값을 지정합니다.https://<CustomerId>.ods.opinsights.azure.us

모든 애플리케이션 설정이 입력되면 저장을 클릭합니다.

[비공식 판정] Zoom Reports (Azure Functions 사용)

지원:Microsoft Corporation

Zoom Reports 데이터 커넥터는 REST API를 통해 Zoom Reports 이벤트를 Microsoft Sentinel 수집하는 기능을 제공합니다. 자세한 내용은 API 설명서를 참조하세요. 커넥터를 사용하면 이벤트 검색을 통해 잠재적인 보안 위험을 평가하고, 공동 작업을 모니터링하고, 구성 문제를 진단하고 해결할 수 있습니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

Zoom_CL 아니요 아니요

데이터 수집 규칙 지원: 현재 지원되지 않음

필수 구성 요소:

Microsoft.Web/sites 권한: 함수 앱을 만들기 위한 Azure Functions 읽기 및 쓰기 권한이 필요합니다. 자세한 내용은 Azure Functions 참조하세요.

REST API 자격 증명/권한: Zoom API에는 AccountID, ClientID 및 ClientSecret 이 필요합니다. 자세한 내용은 확대/축소 API를 참조하세요. Zoom API 구성에 대한 지침을 따릅니다.

설치 지침:

참고: 이 커넥터는 Azure Functions 사용하여 Zoom API에 연결하여 로그를 Microsoft Sentinel 끌어올 수 있습니다. 이로 인해 추가 데이터 수집 비용이 발생할 수 있습니다. 자세한 내용은 Azure Functions 가격 책정 페이지를 확인하세요.

(선택적 단계) 작업 영역 및 API 권한 부여 키 또는 토큰을 Azure Key Vault 안전하게 저장합니다. Azure Key Vault 키 값을 저장하고 검색하는 보안 메커니즘을 제공합니다. 다음 지침에 따라 Azure 함수 앱에서 Azure Key Vault 사용합니다.

참고: 이 데이터 커넥터는 Kusto 함수를 기반으로 하는 파서에 따라 솔루션의 일부로 배포되는 예상대로 작동합니다. Log Analytics에서 함수 코드를 보려면 Log Analytics/Microsoft Sentinel 로그 블레이드를 열고 함수를 클릭하고 별칭 확대/축소를 검색하고 함수 코드를 로드하거나 여기를 클릭합니다. 함수는 일반적으로 솔루션 설치/업데이트 후 활성화하는 데 10-15분이 걸립니다.

1단계 - Zoom API에 대한 구성 단계

지침에 따라 자격 증명을 가져옵니다.

2단계 - 커넥터 및 연결된 Azure 함수를 배포하려면 다음 두 가지 배포 옵션 중 하나를 선택합니다.

중요: Zoom Reports 데이터 커넥터를 배포하기 전에 작업 영역 ID 및 작업 영역 기본 키를 갖습니다(다음에서 복사할 수 있음).

작업 영역 ID: <설치 시 제공되는 변수 값>

기본 키: <설치 시 제공되는 변수 값>

옵션 1 - ARM(Azure Resource Manager) 템플릿

ARM Tempate를 사용하여 Zoom Audit 데이터 커넥터의 자동화된 배포에 이 방법을 사용합니다.

아래 Azure 배포 단추를 클릭합니다.

aka.ms aka.ms

기본 구독, 리소스 그룹 및 지역을 선택합니다.

참고: 동일한 리소스 그룹 내에서는 Windows 및 Linux 앱을 동일한 지역에 혼합할 수 없습니다. Windows 앱이 없는 기존 리소스 그룹을 선택하거나 새 리소스 그룹을 만듭니다. 3. AccountID, ClientID, ClientSecret, WorkspaceID, WorkspaceKey, 함수 이름을 입력하고 검토 + 만들기를 클릭합니다. 4. 마지막으로 만들기 를 클릭하여 배포합니다.

옵션 2 - Azure Functions 수동 배포

다음 단계별 지침을 사용하여 Azure Functions(Visual Studio Code 통해 배포)를 사용하여 Zoom Reports 데이터 커넥터를 수동으로 배포합니다.

1단계 - 함수 앱 배포

참고: Azure 함수 개발을 위해 VS 코드를 준비해야 합니다.

Azure 함수 앱 파일을 다운로드합니다. 로컬 개발 컴퓨터에 보관 파일을 추출합니다.

VS Code를 시작합니다. 주 메뉴에서 파일을 선택하고 폴더 열기를 선택합니다.

추출된 파일에서 최상위 폴더를 선택합니다.

작업 표시줄에서 Azure 아이콘을 선택한 다음, Azure: 함수 영역에서 함수에 배포 앱 단추를 선택합니다. 아직 로그인하지 않은 경우 활동 표시줄에서 Azure 아이콘을 선택한 다음, Azure: 함수 영역에서 로그인을 선택하여 Azure 이미 로그인한 경우 다음 단계로 이동합니다.

프롬프트에서 다음 정보를 제공합니다.

a. 폴더 선택: 작업 영역에서 폴더를 선택하거나 함수 앱이 포함된 폴더로 이동합니다.

b. 구독을 선택합니다. 사용할 구독을 선택합니다.

c. Azure 새 함수 앱 만들기를 선택합니다(고급 옵션을 선택하지 않음).

d. 함수 앱의 전역적으로 고유한 이름을 입력합니다 . URL 경로에 유효한 이름을 입력합니다. 입력한 이름은 Azure Functions 고유하도록 유효성을 검사합니다. (예: ZoomXXXXX).

e. 런타임 선택: Python 3.11을 선택합니다.

f. 새 리소스의 위치를 선택합니다. 성능 향상 및 비용 절감을 위해 Microsoft Sentinel 있는 동일한 지역을 선택합니다.

배포가 시작됩니다. 함수 앱이 만들어지고 배포 패키지가 적용된 후 알림이 표시됩니다.

함수 앱 구성에 대한 Azure 포털로 이동합니다.

2단계 - 함수 앱 구성

함수 앱에서 함수 앱 이름을 선택하고 구성을 선택합니다.

애플리케이션 설정 탭에서 새 애플리케이션 설정을 선택합니다.

각 문자열 값(대/소문자 구분)을 사용하여 다음 애플리케이션 설정을 개별적으로 추가합니다. AccountID ClientID ClientSecret WorkspaceID WorkspaceID WorkspaceKey logAnalyticsUri(선택 사항) logAnalyticsUri를 사용하여 전용 클라우드에 대한 로그 분석 API 엔드포인트를 재정의합니다. 예를 들어 퍼블릭 클라우드의 경우 값을 비워 둡니다. Azure GovUS 클라우드 환경의 경우 값을 형식https://<CustomerId>.ods.opinsights.azure.us으로 지정합니다.

모든 애플리케이션 설정이 입력되면 저장을 클릭합니다.

Darktrace Connector for Microsoft Sentinel REST API (Legacy)

지원자:Darktrace

Darktrace REST API 커넥터는 Darktrace에서 Microsoft Sentinel로 실시간 이벤트를 푸시하며, Microsoft Sentinel용 Darktrace 솔루션과 함께 사용하도록 설계되었습니다. 커넥터는 "darktrace_model_alerts_CL"라는 사용자 지정 로그 테이블에 로그를 씁니다. 모델 위반, AI 분석가 인시던트, 시스템 경고 및 Email 경고를 수집할 수 있습니다. Darktrace 시스템 구성 페이지에서 추가 필터를 설정할 수 있습니다. 데이터는 Darktrace 마스터에서 Microsoft Sentinel로 푸시됩니다.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

darktrace_model_alerts_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

Darktrace 필수 구성 요소: 이 데이터 커넥터를 사용하려면 v5.2 이상을 실행하는 Darktrace master 필요합니다. 데이터는 Darktrace 마스터의 HTTP를 통해 Azure Monitor HTTP 데이터 수집기 API로 전송되므로 Darktrace master Microsoft Sentinel REST API로의 아웃바운드 연결이 필요합니다.

Darktrace 데이터 필터링: 구성 중에 Darktrace 시스템 구성 페이지에서 추가 필터링을 설정하여 전송된 데이터의 양이나 형식을 제한할 수 있습니다.

Darktrace Sentinel 솔루션 시도: Microsoft Sentinel 대한 Darktrace 솔루션을 설치하여 이 커넥터를 최대한 활용해 볼 수 있습니다. 이렇게 하면 다크트레이스 모델 위반 및 AI 분석가 인시던트에서 경고 및 인시던트가 자동으로 생성되도록 경고 데이터 및 분석 규칙을 시각화하는 통합 문서가 제공됩니다.

설치 지침:

자세한 설정 지침은 Darktrace 고객 포털에서 찾을 수 있습니다. https://customerportal.darktrace.com/product-guides/main/microsoft-sentinel-introduction

작업 영역 ID 및 기본 키를 기록해 둡니다. 이러한 세부 정보는 Darktrace 시스템 구성 페이지에 입력해야 합니다.

작업 영역 ID: <설치 시 제공되는 변수 값>

기본 키: <설치 시 제공되는 변수 값>

Darktrace 구성

Darktrace 시스템 구성 페이지에서 다음 단계를 수행합니다.

시스템 구성 페이지(주 메뉴 > 관리 > 시스템 구성)로 이동합니다.

모듈 구성으로 이동하여 "Microsoft Sentinel" 구성 카드 클릭합니다.

"HTTPS(JSON)"를 선택하고 "새로 만들기"를 누릅니다.

필요한 세부 정보를 입력하고 적절한 필터를 선택합니다.

"경고 설정 확인"을 클릭하여 인증을 시도하고 테스트 경고를 보냅니다.

"테스트 경고 찾기" 샘플 쿼리를 실행하여 테스트 경고가 수신되었는지 확인합니다.

Island Enterprise Browser 관리 이벤트(레거시)

지원자:아일랜드

레거시 커넥터이며 더 이상 권장되지 않습니다. 단일 커넥터 내에서 사용자, 관리자 및 시스템 이벤트를 지원하는 Island Enterprise Browser V2 Data Connector를 대신 사용하세요.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

Island_Admin_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

아일랜드 API 키: 아일랜드 API 키가 필요합니다.

설치 지침:

아일랜드를 Microsoft Sentinel 연결

레거시 커넥터입니다. 전체 설정 지침은 공식 아일랜드 설명서(아일랜드 관리 콘솔에 로그인 필요)를 참조하세요.

Island Enterprise Browser 사용자 이벤트(레거시)

지원자:아일랜드

레거시 커넥터이며 더 이상 권장되지 않습니다. 단일 커넥터 내에서 사용자, 관리자 및 시스템 이벤트를 지원하는 Island Enterprise Browser V2 Data Connector를 대신 사용하세요.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

Island_User_CL 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

필수 구성 요소:

아일랜드 API 키: 아일랜드 API 키가 필요합니다.

설치 지침:

아일랜드를 Microsoft Sentinel 연결

레거시 커넥터입니다. 전체 설정 지침은 공식 아일랜드 설명서(아일랜드 관리 콘솔에 로그인 필요)를 참조하세요.

레거시 에이전트를 통한 보안 이벤트

지원:Microsoft Corporation

Windows 에이전트를 사용하여 Microsoft Sentinel 작업 영역에 연결된 Windows 컴퓨터에서 모든 보안 이벤트를 스트리밍할 수 있습니다. 이 연결을 사용하면 대시보드를 보고, 사용자 지정 경고를 만들고, 조사를 개선할 수 있습니다. 이렇게 하면 organization 네트워크에 대한 더 많은 인사이트를 제공하고 보안 작업 기능을 개선합니다. 자세한 내용은 Microsoft Sentinel 설명서를 참조하세요.

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

SecurityEvent 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

설치 지침:

1. 에이전트를 다운로드 및 설치

보안 이벤트 로그는 오직 Windows 에이전트로부터만 수집됩니다.

에이전트를 설치할 위치를 선택합니다.

Azure Windows Virtual Machine에 에이전트 설치

관련 컴퓨터에서 에이전트를 다운로드하고 지침을 따릅니다.

에이전트 설치: <설치 시 제공되는 변수 값>

비Azure Windows 머신에 에이전트 설치

에이전트를 설치할 기기를 선택한 후 Connect를 클릭하세요.

에이전트 설치: <설치 시 제공되는 변수 값>

2. 스트리밍할 이벤트 선택

모든 이벤트 - 모든 Windows 보안 및 AppLocker 이벤트입니다.

공통 - 감사 목적의 표준 이벤트 집합.

최소 - 잠재적 위협을 시사할 수 있는 소수의 사건들. 이 옵션을 활성화하면 완전한 감사 추적을 할 수 없습니다.

없음 - 보안이나 AppLocker 이벤트가 없습니다.

클라우드용 구독 기반 Microsoft Defender(레거시)

지원:Microsoft Corporation

클라우드용 Microsoft Defender는 Azure, 하이브리드 및 다중 클라우드 워크로드에서 위협을 감지하고 신속하게 대응할 수 있는 보안 관리 도구입니다. 이 커넥터를 사용하면 클라우드용 Microsoft Defender 보안 경고를 Microsoft Sentinel 스트리밍할 수 있으므로 통합 문서에서 Defender 데이터를 보고 쿼리하여 경고를 생성하고 인시던트 조사 및 대응할 수 있습니다.

자세한 내용>

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

SecurityAlert 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

레거시 에이전트를 통한 Syslog

지원:Microsoft Corporation

Syslog는 Linux 일반적인 이벤트 로깅 프로토콜입니다. 애플리케이션은 로컬 컴퓨터에 저장되거나 Syslog 수집기에 배달될 수 있는 메시지를 보냅니다. Linux 에이전트가 설치되면 에이전트에 메시지를 전달하도록 로컬 Syslog 디먼을 구성합니다. 그런 다음 에이전트는 메시지를 작업 영역으로 보냅니다.

더 알아보세요 >

Log Analytics 테이블:

표 DCR 지원 레이크 전용 수집

Syslog 예 예

데이터 수집 규칙 지원:작업 영역 변환 DCR

다음 단계

자세한 내용은 다음을 참조하세요.

Microsoft Sentinel 솔루션 카탈로그

Microsoft Sentinel 위협 인텔리전스 통합

피드백

이 페이지가 도움이 되었나요?

2026-08-06 에 마지막으로 업데이트됨

표	DCR 지원	레이크 전용 수집
`CiscoMerakiOrganizations_CL`	예	예
`CiscoMerakiNetworkClients_CL`	예	예
`CiscoMerakiOrganizationNetworks_CL`	예	예
`CiscoMerakiAirMarshalEvents_CL`	예	예
`ASimWebSessionLogs`	예	예
`ASimAuditEventLogs`	예	예
`ASimNetworkSessionLogs`	예	예
`CiscoMerakiFileScannedEvents_CL`	예	예

표	DCR 지원	레이크 전용 수집
`CiscoSecureEndpointAuditLogsV2_CL`	예	예
`CiscoSecureEndpointEventsV2_CL`	예	예

표	DCR 지원	레이크 전용 수집
`CitrixAnalytics_SPA_Events_V1_CL`	예	예
`CitrixAnalytics_indicatorSummary_V1_CL`	예	예
`CitrixAnalytics_indicatorEventDetails_V1_CL`	예	예
`CitrixAnalytics_riskScoreChange_V1_CL`	예	예
`CitrixAnalytics_userProfile_V1_CL`	예	예
`CitrixAnalytics_CVAD_Events_V1_CL`	예	예

표	DCR 지원	레이크 전용 수집
`ContrastADRAttackEvents_CL`	예	예
`ContrastADRIncidents_CL`	예	예

매개 변수	Value
`workspace`	Log Analytics 작업 공간의 이름(ID 아님)
`workspace-location`	작업 공간의 Azure 영역
`resourceId`	작업 공간의 전체 리소스 ID

태그	Value
`corelight-log-type`	예를 들어 `conn`, Corelight 로그 타입, `dns`, `http`
`solution`	`Corelight`

코어라이트 익스포터 설정	사용할 값
테넌트 ID	Step 2, application Directory (tenant) ID
클라이언트 ID	2단계, 애플리케이션 애플리케이션(클라이언트) ID
클라이언트 암호	2단계, 클라이언트 비밀 값
구독 ID	4단계, DCE와 DCR을 포함하는 구독
데이터 컬렉션 엔드포인트	4단계, 로그의 URI 인제
DCR 로그 타입 태그	`corelight-log-type`
스트림 이름	`Custom-Corelight_v3_$LOG_CL`

로그 형식	스트림 이름
`modbus_read_device_identification`	`Custom-Corelight_v3_modbus_read_device_identificatio_CL`
`modbus_read_write_multiple_registers`	`Custom-Corelight_v3_modbus_read_write_multiple_regis_CL`
`opcua_binary_activate_session_client_software_cert`	`Custom-Corelight_v3_opcua_binary_activate_session_cl_CL`
`opcua_binary_activate_session_locale_id`	`Custom-Corelight_v3_opcua_binary_activate_session_lo_CL`
`opcua_binary_browse_request_continuation_point`	`Custom-Corelight_v3_opcua_binary_browse_request_cont_CL`
`opcua_binary_browse_response_references`	`Custom-Corelight_v3_opcua_binary_browse_response_ref_CL`
`opcua_binary_create_monitored_items`	`Custom-Corelight_v3_opcua_binary_cm_items_CL`
`opcua_binary_create_monitored_items_create_item`	`Custom-Corelight_v3_opcua_binary_cm_create_item_CL`
`opcua_binary_create_session_discovery`	`Custom-Corelight_v3_opcua_binary_create_session_disc_CL`
`opcua_binary_create_session_endpoints`	`Custom-Corelight_v3_opcua_binary_create_session_endp_CL`
`opcua_binary_create_session_user_token`	`Custom-Corelight_v3_opcua_binary_create_session_user_CL`
`opcua_binary_event_filter_attribute_operand`	`Custom-Corelight_v3_opcua_binary_event_filter_attrib_CL`
`opcua_binary_event_filter_attribute_operand_browse_paths`	`Custom-Corelight_v3_opcua_bef_attr_operand_bpaths_CL`
`opcua_binary_event_filter_element_operand`	`Custom-Corelight_v3_opcua_binary_event_filter_elemen_CL`
`opcua_binary_event_filter_literal_operand`	`Custom-Corelight_v3_opcua_binary_event_filter_litera_CL`
`opcua_binary_event_filter_select_clause`	`Custom-Corelight_v3_opcua_binary_event_filter_select_CL`
`opcua_binary_event_filter_simple_attribute_operand`	`Custom-Corelight_v3_opcua_binary_event_filter_simple_CL`
`opcua_binary_event_filter_simple_attribute_operand_browse_paths`	`Custom-Corelight_v3_opcua_bef_smpl_attr_bpaths_CL`
`opcua_binary_event_filter_where_clause`	`Custom-Corelight_v3_opcua_bef_where_clause_CL`
`opcua_binary_event_filter_where_clause_elements`	`Custom-Corelight_v3_opcua_bef_where_clause_elements_CL`
`opcua_binary_get_endpoints_description`	`Custom-Corelight_v3_opcua_binary_get_endpoints_descr_CL`
`opcua_binary_get_endpoints_discovery`	`Custom-Corelight_v3_opcua_binary_get_endpoints_disco_CL`
`opcua_binary_get_endpoints_locale_id`	`Custom-Corelight_v3_opcua_binary_get_endpoints_local_CL`
`opcua_binary_get_endpoints_profile_uri`	`Custom-Corelight_v3_opcua_binary_get_endpoints_profi_CL`
`opcua_binary_get_endpoints_user_token`	`Custom-Corelight_v3_opcua_binary_get_endpoints_user_CL`
`opcua_binary_variant_extension_object`	`Custom-Corelight_v3_opcua_binary_variant_extension_o_CL`

표	DCR 지원	레이크 전용 수집
`JBossEvent_CL`	아니요	아니요
`JuniperIDP_CL`	예	예
`ApacheHTTPServer_CL`	예	예
`Tomcat_CL`	예	예
`meraki_CL`	예	예
`VectraStream_CL`	아니요	아니요
`MarkLogicAudit_CL`	아니요	아니요
`MongoDBAudit_CL`	예	예
`NGINX_CL`	예	예
`OracleWebLogicServer_CL`	예	예
`PostgreSQL_CL`	예	예
`SquidProxy_CL`	예	예
`Ubiquiti_CL`	예	예
`vcenter_CL`	예	예
`ZPA_CL`	예	예
`SecurityBridgeLogs_CL`	예	예

표	DCR 지원	레이크 전용 수집
`CyeraClassifications_CL`	아니요	아니요
`CyeraAssets_CL`	아니요	아니요
`CyeraAssets_MS_CL`	아니요	아니요
`CyeraIssues_CL`	아니요	아니요
`CyeraIdentities_CL`	아니요	아니요

표	DCR 지원	레이크 전용 수집
`CyfirmaASCertificatesAlerts_CL`	예	예
`CyfirmaASConfigurationAlerts_CL`	예	예
`CyfirmaASDomainIPReputationAlerts_CL`	예	예
`CyfirmaASOpenPortsAlerts_CL`	예	예
`CyfirmaASCloudWeaknessAlerts_CL`	예	예
`CyfirmaASDomainIPVulnerabilityAlerts_CL`	예	예

표	DCR 지원	레이크 전용 수집
`CyfirmaBIDomainITAssetAlerts_CL`	예	예
`CyfirmaBIExecutivePeopleAlerts_CL`	예	예
`CyfirmaBIProductSolutionAlerts_CL`	예	예
`CyfirmaBISocialHandlersAlerts_CL`	예	예
`CyfirmaBIMaliciousMobileAppsAlerts_CL`	예	예

표	DCR 지원	레이크 전용 수집
`CyfirmaIndicators_CL`	예	예
`CyfirmaThreatActors_CL`	예	예
`CyfirmaCampaigns_CL`	예	예
`CyfirmaMalware_CL`	예	예

표	DCR 지원	레이크 전용 수집
`CyfirmaDBWMPhishingAlerts_CL`	예	예
`CyfirmaDBWMRansomwareAlerts_CL`	예	예
`CyfirmaDBWMDarkWebAlerts_CL`	예	예
`CyfirmaSPESourceCodeAlerts_CL`	예	예
`CyfirmaSPEConfidentialFilesAlerts_CL`	예	예
`CyfirmaSPEPIIAndCIIAlerts_CL`	예	예
`CyfirmaSPESocialThreatAlerts_CL`	예	예

표	DCR 지원	레이크 전용 수집
`DarktraceASM_CL`	예	예
`DarktraceEMAIL_CL`	예	예
`DarktraceIncidents_CL`	예	예
`DarktraceModelAlerts_CL`	예	예
`DarktraceResponseActions_CL`	예	예
`DarktraceSystemStatusAlerts_CL`	예	예

표	DCR 지원	레이크 전용 수집
`databahn_audit_logs_CL`	아니요	아니요
`databahn_alerts_CL`	아니요	아니요
`databahn_device_inventory_CL`	아니요	아니요

표	DCR 지원	레이크 전용 수집
`IntegrationTable_CL`	예	예
`IntegrationTableIncidents_CL`	예	예

표	DCR 지원	레이크 전용 수집
`F5Telemetry_LTM_CL`	예	예
`F5Telemetry_system_CL`	예	예
`F5Telemetry_ASM_CL`	아니요	아니요

표	DCR 지원	레이크 전용 수집
`AgariBPAlertsLog_CL`	아니요	아니요
`AgariAPDPolicyLog_CL`	아니요	아니요
`AgariAPDTCLog_CL`	아니요	아니요
`AgariBPThreatFeedSubs_CL`	아니요	아니요

표	DCR 지원	레이크 전용 수집
`Illumio_Auditable_Events_CL`	예	예
`Illumio_Flow_Events_CL`	예	예

Microsoft Sentinel 데이터 커넥터 찾기

데이터 커넥터 필수 구성 요소

Syslog 및 CEF(Common Event Format) 커넥터

AMA 커넥터를 통한 사용자 지정 로그

Sentinel 데이터 커넥터

구성 단계

Validation

Troubleshooting

각 템플릿에 대해 AWS에서 Stack을 만듭니다.

배포 후 구성:

로그 보내기:

테이블 매핑:

각 템플릿에 대해 AWS에서 Stack을 만듭니다.

각 템플릿에 대해 AWS에서 Stack을 만듭니다.

각 템플릿에 대해 AWS에서 Stack을 만듭니다.

BV-ClaudeCompliance (코드리스 커넥터 프레임워크를 통해)

데이터 수집

Tables

샘플 쿼리

작업 공간당 커넥터 하나

옵션 A: Microsoft Entra 애플리케이션 자동 만들기(권장)

옵션 B: BYOA(기존 Microsoft Entra 애플리케이션) 사용

Azure 구성 값:

대비 ADR 플랫폼에서 구성

애플리케이션 만들기

클라이언트 암호 만들기

Microsoft Graph에 권한을 부여하세요

데이터 수집 엔드포인트 URI

구독 ID

데이터 수집 규칙 로그 유형 태그

Running the Azure CLI commands from the Azure portal

스트림 이름

데이터 수집 규칙 불변 ID (참조 전용)

각 템플릿에 대해 AWS에서 Stack을 만듭니다.

필수 인덱스

API 키 만들기

참고 - 업데이트:

환경 ID 찾기

데이터 수집 일정

예상 타임라인

Troubleshooting

구성 단계

Validation

Troubleshooting

옵션 A: Microsoft Entra 애플리케이션 자동 생성 (권장)

옵션 B: 기존 Microsoft Entra 애플리케이션 (BYOA) 사용

Azure configuration values:

Orca Security 플랫폼에서 구성

PoD 로그 API는 둘 이상의 세션에 대해 동일한 토큰을 동시에 사용할 수 없으므로 토큰이 어디에도 사용되지 않는지 확인합니다.

PoD 로그 API는 둘 이상의 세션에 대해 동일한 토큰을 동시에 사용할 수 없으므로 토큰이 어디에도 사용되지 않는지 확인합니다.

웹훅 URL

Stream-Specific 주석

각 템플릿에 대해 AWS에서 Stack을 만듭니다.

인증 설정

지역별 인증 URL

2단계: 앱 자격 증명 가져오기

보안 정보

모니터링

사용되지 않는 Sentinel 데이터 커넥터

다음 단계

피드백

추가 리소스

표	DCR 지원	레이크 전용 수집
`dossier_whois_CL`	아니요	아니요
`dossier_whitelist_CL`	아니요	아니요
`dossier_tld_risk_CL`	아니요	아니요
`dossier_threat_actor_CL`	아니요	아니요
`dossier_rpz_feeds_records_CL`	아니요	아니요
`dossier_rpz_feeds_CL`	아니요	아니요
`dossier_nameserver_matches_CL`	아니요	아니요
`dossier_nameserver_CL`	아니요	아니요
`dossier_malware_analysis_v3_CL`	아니요	아니요
`dossier_inforank_CL`	아니요	아니요
`dossier_infoblox_web_cat_CL`	아니요	아니요
`dossier_geo_CL`	아니요	아니요
`dossier_dns_CL`	아니요	아니요
`dossier_atp_threat_CL`	아니요	아니요
`dossier_atp_CL`	아니요	아니요
`dossier_ptr_CL`	아니요	아니요

표	DCR 지원	레이크 전용 수집
`jamfprotecttelemetryv2_CL`	예	예
`jamfprotectunifiedlogs_CL`	예	예
`jamfprotectalerts_CL`	예	예

표	DCR 지원	레이크 전용 수집
`SecurityAlert`	아니요	아니요
`McasShadowItReporting`	아니요	아니요

표	DCR 지원	레이크 전용 수집
`SecurityIncident`	예	예
`SecurityAlert`	예	예
`DeviceEvents`	예	예
`EmailEvents`	예	예
`IdentityLogonEvents`	예	예
`CloudAppEvents`	예	예
`AlertEvidence`	예	예

표	DCR 지원	레이크 전용 수집
`SigninLogs`	예	예
`AuditLogs`	예	예
`AADNonInteractiveUserSignInLogs`	예	예
`AADServicePrincipalSignInLogs`	예	예
`AADManagedIdentitySignInLogs`	예	예
`AADProvisioningLogs`	예	예
`ADFSSignInLogs`	예	예
`AADUserRiskEvents`	예	예
`AADRiskyUsers`	예	예
`NetworkAccessTraffic`	예	예
`AADRiskyServicePrincipals`	예	예
`AADServicePrincipalRiskEvents`	예	예

표	DCR 지원	레이크 전용 수집
`Awareness_Performance_Details_CL`	예	예
`Awareness_SafeScore_Details_CL`	예	예
`Awareness_User_Data_CL`	예	예
`Awareness_Watchlist_Details_CL`	예	예

표	DCR 지원	레이크 전용 수집
`MimecastSIEM_CL`	아니요	아니요
`MimecastDLP_CL`	아니요	아니요

표	DCR 지원	레이크 전용 수집
`Ttp_Url_CL`	예	예
`Ttp_Attachment_CL`	예	예
`Ttp_Impersonation_CL`	예	예

표	DCR 지원	레이크 전용 수집
`MimecastTTPUrl_CL`	아니요	아니요
`MimecastTTPAttachment_CL`	아니요	아니요
`MimecastTTPImpersonation_CL`	아니요	아니요

표	DCR 지원	레이크 전용 수집
`alertscompromisedcredentialdata_CL`	아니요	아니요
`alertsctepdata_CL`	아니요	아니요
`alertsdlpdata_CL`	아니요	아니요
`alertsmalsitedata_CL`	아니요	아니요
`alertsmalwaredata_CL`	아니요	아니요
`alertspolicydata_CL`	아니요	아니요
`alertsquarantinedata_CL`	아니요	아니요
`alertsremediationdata_CL`	아니요	아니요
`alertssecurityassessmentdata_CL`	아니요	아니요
`alertsubadata_CL`	아니요	아니요
`eventsapplicationdata_CL`	아니요	아니요
`eventsauditdata_CL`	아니요	아니요
`eventsconnectiondata_CL`	아니요	아니요
`eventsincidentdata_CL`	아니요	아니요
`eventsnetworkdata_CL`	아니요	아니요
`eventspagedata_CL`	아니요	아니요
`Netskope_WebTx_metrics_CL`	아니요	아니요