Share via

Microsoft Sentinel용 Dataminr Pulse 경고 데이터 커넥터(Azure Functions 사용)

  • 아티클

Dataminr Pulse 경고 데이터 커넥터는 더 빠른 위협 탐지 및 대응을 위해 Microsoft Sentinel에 AI 기반 실시간 인텔리전스를 제공합니다.

자동 생성된 콘텐츠입니다. 변경은 솔루션 공급자에게 문의하세요.

커넥터 특성

커넥터 특성 설명
Azure Function 앱 코드 https://aka.ms/sentinel-DataminrPulseAlerts-functionapp
Log Analytics 테이블 DataminrPulse_Alerts_CL
데이터 수집 규칙 지원 현재 지원되지 않음
다음에서 지원 Dataminr 지원

쿼리 샘플

모든 경고 유형에 대한 Dataminr Pulse 경고 데이터

DataminrPulse_Alerts_CL

| sort by TimeGenerated desc

필수 조건

Dataminr Pulse 경고 데이터 커넥터(Azure Functions 사용)와 통합하려면 다음이 있는지 확인합니다.

  • Azure 구독: Microsoft Entra ID에 애플리케이션을 등록하고 리소스 그룹의 앱에 기여자 역할을 할당하려면 소유자 역할이 있는 Azure 구독이 필요합니다.
  • Microsoft.Web/sites 권한: 함수 앱을 만들려면 Azure Functions에 대한 읽기 및 쓰기 권한이 필요합니다. Azure Functions에 대해 자세히 알아보려면 설명서를 참조하세요.
  • 필요한 Dataminr 자격 증명/권한:

a. 이 데이터 커넥터를 사용하려면 사용자에게 유효한 Dataminr Pulse API 클라이언트 ID 및 비밀이 있어야 합니다.

b. Dataminr Pulse 웹 사이트에서 하나 이상의 Dataminr Pulse 관심 목록을 구성해야 합니다.

공급업체 설치 지침

참고 항목

이 커넥터는 Azure Functions를 사용하여 Dataminr RTAP를 통해 로그가 푸시되고 Microsoft Sentinel에 로그를 수집하는 DataminrPulse에 연결합니다. 또한 커넥터는 사용자 지정 로그 테이블에서 수집된 데이터를 가져오고 Microsoft Sentinel 위협 인텔리전스에 위협 인텔리전스 지표를 만듭니다. 이로 인해 추가 데이터 수집 비용이 발생할 수 있습니다. 자세한 내용은 Azure Functions 가격 책정 페이지를 확인하세요.

(선택 단계) Azure Key Vault에 작업 영역과 API 권한 부여 키 또는 토큰을 안전하게 저장합니다. Azure Key Vault는 키 값을 저장하고 검색하는 안전한 메커니즘을 제공합니다. 지침에 따라 Azure 함수 앱에서 Azure Key Vault를 사용합니다.

1단계- Dataminr Pulse 클라이언트 ID 및 클라이언트 암호에 대한 자격 증명

  • Dataminr CSM(Customer Success Manager)에서 Dataminr Pulse 사용자 ID/암호 및 API 클라이언트 ID/비밀을 가져옵니다.

2단계 - Dataminr Pulse 포털에서 관심 목록 구성

이 섹션의 단계에 따라 포털에서 관심 목록을 구성합니다.

  1. Dataminr Pulse 웹 사이트에 로그인합니다.

  2. 설정 기어 아이콘을 클릭하고 목록 관리를 선택합니다.

  3. 만들려는 관심 목록 유형(사이버, 토픽, 회사 등)을 선택하고 새 목록 단추를 클릭합니다.

  4. 새 관심 목록에 대한 이름을 제공하고 강조 색을 선택하거나 기본 색을 유지합니다.

  5. 관심 목록 구성이 완료되면 저장을 클릭하여 저장합니다.

3단계 - Microsoft Entra ID에서 애플리케이션의 앱 등록 단계

이 통합을 위해서는 Azure Portal에서 앱 등록이 필요합니다. 이 섹션의 단계에 따라 Microsoft Entra ID에서 새 애플리케이션을 만듭니다.

  1. Azure Portal에 로그인합니다.
  2. Microsoft Entra ID를 검색하고 선택합니다.
  3. 관리 아래에서 앱 등록 > 새 등록을 선택합니다.
  4. 애플리케이션의 표시 이름을 입력합니다.
  5. 등록을 선택하여 초기 앱 등록을 완료합니다.
  6. 등록이 완료되면 Azure Portal에 앱 등록의 개요 창이 표시됩니다. 애플리케이션(클라이언트) ID 및 디렉터리(테넌트) ID를 확인합니다. 클라이언트 ID 및 테넌트 ID는 DataminrPulse Data Connector 실행을 위한 구성 매개 변수로 필요합니다.

참조 링크:/azure/active-directory/develop/quickstart-register-app

4단계 - Microsoft Entra ID에서 애플리케이션에 대한 클라이언트 암호 추가

애플리케이션 암호라고도 하는 클라이언트 암호는 DataminrPulse Data Connector를 실행하는 데 필요한 문자열 값입니다. 이 섹션의 단계에 따라 새 클라이언트 암호를 만듭니다.

  1. Azure Portal의 앱 등록에서 애플리케이션을 선택합니다.
  2. 인증서 및 비밀 > 클라이언트 암호 > 새 클라이언트 암호를 선택합니다.
  3. 클라이언트 비밀에 대한 설명을 추가합니다.
  4. 암호에 대해 만료를 선택하거나 사용자 지정 수명을 지정합니다. 제한은 24개월입니다.
  5. 추가를 선택합니다.
  6. 클라이언트 애플리케이션 코드에서 사용할 비밀 값을 기록합니다. 이 비밀 값은 이 페이지에서 나가면 다시 표시되지 않습니다. 비밀 값은 DataminrPulse Data Connector 실행을 위한 구성 매개 변수로 필요합니다.

참조 링크:/azure/active-directory/develop/quickstart-register-app#add-a-client-secret

5단계 - Microsoft Entra ID에서 애플리케이션에 기여자 역할 할당

이 섹션의 단계에 따라 역할을 할당합니다.

  1. Azure Portal에서 리소스 그룹으로 이동하여 리소스 그룹을 선택합니다.
  2. 왼쪽 패널에서 액세스 제어(IAM)로 이동합니다.
  3. 추가를 클릭한 다음, 역할 할당 추가를 선택합니다.
  4. 역할로 기여자를 선택하고 다음을 클릭합니다.
  5. 액세스 할당에서 User, group, or service principal를 선택합니다.
  6. 멤버 추가를 클릭하고 만든 앱 이름을 입력한 다음, 선택합니다.
  7. 이제 검토 + 할당을 클릭한 다음, 검토 + 할당을 다시 클릭합니다.

참조 링크:/azure/role-based-access-control/role-assignments-portal

6단계 - 다음 두 가지 배포 옵션 중 하나를 선택하여 커넥터 및 관련 Azure 함수 배포

중요: Dataminr Pulse Microsoft Sentinel 데이터 커넥터를 배포하기 전에 작업 영역 ID 및 작업 영역 기본 키(다음에서 복사할 수 있음)를 바로 사용할 수 있도록 합니다.

옵션 1 - ARM(Azure Resource Manager) 템플릿

DataminrPulse 커넥터의 자동화된 배포에 이 방법을 사용합니다.

  1. 아래에서 Azure에 배포 단추를 클릭합니다.

    Azure에 배포

  2. 선호하는 구독, 리소스 그룹 및 위치를 선택합니다.

  3. 다음 정보 입력합니다. Function Name Workspace ID Workspace Key AlertsTableName BaseURL ClientId ClientSecret AzureClientId AzureClientSecret AzureTenantId AzureResourceGroupName AzureWorkspaceName AzureSubscriptionId Schedule LogLevel

  4. 위에 명시된 사용 약관에 동의합니다 확인란을 선택합니다.

  5. 구매를 클릭하여 배포합니다.

옵션 2 - Azure Functions 수동 배포

다음 단계별 지침을 사용하여 Azure Functions(Visual Studio Code를 통한 배포)를 통해 Dataminr Pulse Microsoft Sentinel 데이터 커넥터를 수동으로 배포합니다.

  1. 함수 앱 배포

참고 항목

Azure 함수 개발을 위해 VS 코드를 준비해야 합니다.

  1. Azure 함수 앱 파일을 다운로드합니다. 로컬 개발용 컴퓨터에 보관 파일을 추출합니다.

  2. VS Code를 시작합니다. 메인 메뉴에서 파일을 선택하고 폴더 열기를 선택합니다.

  3. 추출된 파일에서 최상위 폴더를 선택합니다.

  4. 작업 표시줄에서 Azure 아이콘을 선택한 다음, Azure: Functions 영역에서 함수 앱에 배포 버튼을 선택합니다. 아직 로그인하지 않은 경우 작업 표시줄에서 Azure 아이콘을 선택한 다음, Azure: Functions 영역에서 Azure에 로그인을 선택합니다. 이미 로그인되어 있는 경우 다음 단계로 이동합니다.

  5. 프롬프트에서 다음 정보를 제공합니다.

    a. 폴더 선택: 작업 영역에서 폴더를 선택하거나 함수 앱을 포함하는 폴더를 찾습니다.

    b. 구독 선택: 사용할 구독을 선택합니다.

    c. Azure에서 새 함수 앱 만들기를 선택합니다(고급 옵션은 선택하지 않음)

    d. 함수 앱에 대해 전역적으로 고유 이름을 입력합니다. URL 경로에 유효한 이름을 입력합니다. 입력한 이름이 Azure Functions에서 고유한지 확인하기 위해 유효성을 검사합니다. (예: DmPulseXXXXX).

    e. 런타임 선택: Python 3.8 이상을 선택합니다.

    f. 새 리소스의 위치 선택 성능 향상 및 비용 절감을 위해 Microsoft Sentinel이 있는 곳과 동일한 영역을 선택합니다.

  6. 배포가 시작됩니다. 함수 앱을 만들고 배포 패키지가 적용되면 알림이 표시됩니다.

  7. 함수 앱 구성을 위해 Azure Portal로 이동합니다.

  1. 함수 앱 구성
  1. 함수 앱에서 함수 앱 이름을 선택하고 구성을 선택합니다.
  2. 애플리케이션 설정 탭에서 + 새 애플리케이션 설정을 선택합니다.
  3. 각 애플리케이션 설정을 각각의 값(대/소문자 구분)으로 개별적으로 추가합니다. Function Name Workspace ID Workspace Key AlertsTableName BaseURL ClientId ClientSecret AzureClientId AzureClientSecret AzureTenantId AzureResourceGroupName AzureWorkspaceName AzureSubscriptionId Schedule LogLevel logAnalyticsUri(선택 사항)
  • logAnalyticsUri를 사용하여 전용 클라우드에 대한 로그 분석 API 엔드포인트를 재정의합니다. 예를 들어, 퍼블릭 클라우드의 경우 값을 비워 둡니다. Azure GovUS 클라우드 환경의 경우 https://<CustomerId>.ods.opinsights.azure.us 형식으로 값을 지정합니다.
  1. 모든 애플리케이션 설정을 입력한 후 저장을 클릭합니다.

7단계 - 배포 후 단계

  1. 함수 앱 엔드포인트 가져오기
  1. Azure 함수 개요 페이지로 이동하고 왼쪽 블레이드에서 "Functions"를 클릭합니다.
  2. 이름이 "DataminrPulseAlertsHttpStarter"인 함수를 클릭합니다.
  3. "GetFunctionurl"로 이동하여 함수 URL을 복사합니다.
  4. 복사한 함수 URL에서 {functionname}을 "DataminrPulseAlertsSentinelOrchestrator"로 바꿉니다.
  1. 함수 URL을 사용하여 Dataminr RTAP에서 통합 설정을 추가하려면 다음을 수행합니다.
  1. Postman과 같은 API 요청 도구를 엽니다.
  2. '+'를 클릭하여 새 요청을 만듭니다.
  3. 'POST'로 HTTP 요청 메서드를 선택합니다.
  4. 요청 URL 부분에서 point 1)에 준비한 URL을 입력합니다.
  5. 본문에서 원시 JSON을 선택하고 아래와 같이 요청 본문을 제공합니다(대/소문자 구분). { "integration-settings": "ADD", "url": "(URL part from copied Function-url)", "token": "(value of code parameter from copied Function-url)" }
  6. 필요한 모든 세부 정보를 제공한 후 보내기를 클릭합니다.
  7. HTTP 응답에서 상태 코드가 200인 통합 설정 ID를 받게 됩니다.
  8. 나중에 참조할 수 있게 통합 ID를 저장합니다.

이제 Dataminr RTAP에 대한 통합 설정 추가를 완료했습니다. Dataminr RTAP가 경고 데이터를 보내면 함수 앱이 트리거되고 Dataminr Pulse의 경고 데이터를 LogAnalytics 작업 영역 테이블인 "DataminrPulse_Alerts_CL"에서 볼 수 있습니다.

다음 단계

자세한 내용을 보려면 Azure Marketplace의 관련 솔루션으로 이동합니다.