Microsoft Sentinel용 Workplace from Facebook(Azure Functions 사용) 커넥터
Workplace 데이터 커넥터는 Webhooks를 통해 일반적인 Workplace 이벤트를 Microsoft Sentinel로 수집하는 기능을 제공합니다. Webhooks를 사용하면 맞춤형 통합 앱이 Workplace의 이벤트를 구독하고 실시간으로 업데이트를 받을 수 있습니다. Workplace에 변경 내용이 발생하면 이벤트 정보가 포함된 HTTPS POST 요청이 콜백 데이터 커넥터 URL로 전송됩니다. 자세한 내용은 웹후크 설명서를 참조하세요. 이 커넥터는 잠재적인 보안 위험을 검사하고, 팀의 협업 사용을 분석하고, 구성 문제를 진단하는 등의 작업에 도움이 되는 이벤트를 가져올 수 있습니다.
자동 생성된 콘텐츠입니다. 변경은 솔루션 공급자에게 문의하세요.
커넥터 특성
| 커넥터 특성 | 설명 |
|---|---|
| Log Analytics 테이블 | Workplace_Facebook_CL |
| 데이터 수집 규칙 지원 | 현재 지원되지 않음 |
| 다음에서 지원 | Microsoft Corporation |
쿼리 샘플
Workplace 이벤트 - 모든 활동.
Workplace_Facebook_CL
| sort by TimeGenerated desc
필수 조건
Workplace from Facebook(Azure Functions 사용)과 통합하려면 다음 사항이 있는지 확인합니다.
- Microsoft.Web/sites 권한: 함수 앱을 만들려면 Azure Functions에 대한 읽기 및 쓰기 권한이 필요합니다. Azure Functions에 대해 자세히 알아보려면 설명서를 참조하세요.
- Webhooks 자격 증명/권한: 웹후크를 작동하려면 WorkplaceAppSecret, WorkplaceVerifyToken, 콜백 URL이 필요합니다. 웹후크 구성, 사용 권한 구성에 대해 자세히 알아보려면 설명서를 참조하세요.
공급업체 설치 지침
참고 항목
이 데이터 커넥터는 해당 로그를 Microsoft Sentinel로 가져오라는 로그가 포함된 POST 요청을 대기하기 위해 HTTP 트리거에 기반한 Azure Functions를 사용합니다. 이로 인해 추가 데이터 수집 비용이 발생할 수 있습니다. 자세한 내용은 Azure Functions 가격 책정 페이지를 확인하세요.
(선택 단계) Azure Key Vault에 작업 영역과 API 권한 부여 키 또는 토큰을 안전하게 저장합니다. Azure Key Vault는 키 값을 저장하고 검색하는 안전한 메커니즘을 제공합니다. 다음 지침에 따라 Azure Functions 앱에서 Azure Key Vault를 사용합니다.
참고 항목
이 데이터 커넥터는 솔루션의 일부로 배포되는 Kusto 함수를 기반으로 하는 파서에 따라 예상대로 작동합니다. Log Analytics에서 함수 코드를 보려면 Log Analytics/Microsoft Sentinel 로그 블레이드를 열고, Functions를 클릭하고, WorkplaceFacebook 별칭을 검색하고, 함수 코드를 로드하거나, 쿼리의 두 번째 줄에서 여기를 클릭하고, Workplace Facebook 디바이스의 호스트 이름 및 로그스트림에 대한 다른 고유 식별자를 입력합니다. 솔루션 설치/업데이트 후 함수가 활성화되는 데 일반적으로 10~15분이 소요됩니다.
1단계 - Workplace에 대한 구성 단계
지침에 따라 웹후크를 구성합니다.
- 관리 사용자 자격 증명으로 Workplace에 로그인합니다.
- 관리 패널에서 통합을 클릭합니다.
- 모든 통합 보기에서 사용자 지정 통합 만들기를 클릭합니다.
- 이름과 설명을 입력하고 만들기를 클릭합니다.
- 통합 세부 정보 패널에서 앱 비밀을 표시하고 복사합니다.
- 통합 권한 패널에서 모든 읽기 권한을 설정합니다. 자세한 내용은 권한 페이지를 참조하세요.
- 이제 2단계로 진행하여 Azure 함수를 배포하는 단계(옵션 1 또는 2에 나열됨)를 따릅니다.
- 요청된 매개 변수를 입력하고 선택한 토큰도 입력합니다. 이 토큰을 복사합니다 / 다음 단계를 위해 기록해 둡니다.
- Azure Functions의 배포가 성공적으로 완료되면 함수 앱 페이지를 열고, 앱을 선택하고, Functions로 이동하고, 함수 URL 가져오기를 클릭하고 이 URL을 복사합니다. / 다음 단계를 위해 기록해 둡니다.
- Workplace from Facebook으로 돌아갑니다. 각 탭의 Webhooks 구성 패널에서 콜백 URL을 위의 9번에서 복사한 것과 동일한 값으로 설정하고, Azure Functions 배포 2단계 중에 얻은 위의 8번에서 복사한 것과 동일한 값으로 토큰을 확인합니다.
- 저장을 클릭합니다.
2단계 - 다음 두 가지 배포 옵션 중 하나를 선택하여 커넥터 및 관련 Azure Functions를 배포합니다.
중요: Workplace 데이터 커넥터를 배포하기 전에 작업 영역 ID 및 작업 영역 기본 키가 있어야 합니다(다음에서 복사 가능).
다음 단계
자세한 내용을 보려면 Azure Marketplace의 관련 솔루션으로 이동합니다.