Mimecast Intelligence voor Microsoft - Microsoft Sentinel-connector (met behulp van Azure Functions) voor Microsoft Sentinel

  • Artikel

De gegevensconnector voor Mimecast Intelligence voor Microsoft biedt regionale bedreigingsinformatie die is samengesteld uit de e-mailinspectietechnologieën van Mimecast met vooraf gemaakte dashboards, zodat analisten inzicht kunnen krijgen in bedreigingen op basis van e-mail, hulp bij incidentcorrelatie en het verminderen van reactietijden voor onderzoek.
Mimecast-producten en -functies vereist:

  • Mimecast Beveiligde e-mailgateway
  • Mimecast Threat Intelligence

Dit is automatisch gegenereerde inhoud. Neem contact op met de provider van de oplossing voor wijzigingen.

Verbinding maken orkenmerken

Verbinding maken orkenmerk Beschrijving
Log Analytics-tabellen Gebeurtenis (ThreatIntelligenceIndicator)
Ondersteuning voor regels voor gegevensverzameling Wordt momenteel niet ondersteund
Ondersteund door Mimecast

Voorbeelden van query's

ThreatIntelligenceIndicator

ThreatIntelligenceIndicator

| sort by TimeGenerated desc

Vereisten

Als u wilt integreren met Mimecast Intelligence voor Microsoft - Microsoft Sentinel (met behulp van Azure Functions), moet u het volgende doen:

  • Machtigingen voor Microsoft.Web/sites: Lees- en schrijfmachtigingen voor Azure Functions om een functie-app te maken is vereist. Raadpleeg de documentatie voor meer informatie over Azure Functions.
  • Mimecast-API-referenties: u hebt de volgende gegevens nodig om de integratie te configureren:
  • mimecastEmail: e-mailadres van een toegewezen Mimecast-beheerdergebruiker
  • mimecastPassword: wachtwoord voor de toegewezen Mimecast-beheerder
  • mimecastAppId: API-toepassings-id van de Mimecast Microsoft Sentinel-app die is geregistreerd bij Mimecast
  • mimecastAppKey: API-toepassingssleutel van de Mimecast Microsoft Sentinel-app die is geregistreerd bij Mimecast
  • mimecastAccessKey: Toegangssleutel voor de toegewezen Mimecast-beheerdergebruiker
  • mimecastSecretKey: Geheime sleutel voor de toegewezen Mimecast-beheerdergebruiker
  • mimecastBaseURL: Basis-URL mimecast regionale API

De Mimecast-toepassings-id, de toepassingssleutel, samen met de toegangssleutel en geheime sleutels voor de toegewezen Mimecast-beheerdergebruiker, kunnen worden verkregen via de Mimecast-console voor Beheer istration: Beheer istration | Services | API- en platformintegraties.

De Mimecast-API-basis-URL voor elke regio wordt hier beschreven: https://integrations.mimecast.com/documentation/api-overview/global-base-urls/

  • Resourcegroep: U moet een resourcegroep hebben gemaakt met een abonnement dat u gaat gebruiken.
  • Functions-app: u moet een Azure-app geregistreerd voor deze connector om te kunnen gebruiken
  1. Application Id
  2. Tenant-id
  3. Client-id
  4. Clientgeheim

Installatie-instructies van leverancier

Notitie

Deze connector maakt gebruik van Azure Functions om verbinding te maken met een Mimecast-API om de logboeken naar Microsoft Sentinel te halen. Dit kan leiden tot extra kosten voor gegevensopname. Raadpleeg de pagina met prijzen van Azure Functions voor meer informatie.

(Optionele stap) Sla werkruimte en API-autorisatiesleutel(s) of token(s) veilig op in Azure Key Vault. Azure Key Vault biedt een veilig mechanisme voor het opslaan en ophalen van sleutelwaarden. Volg deze instructies voor het gebruik van Azure Key Vault met een Azure Function-app.

Configuration:

STAP 1: configuratiestappen voor de Mimecast-API

Ga naar Azure Portal ---> App-registraties ---> [your_app] ---> Certificaten en geheimen ---> Nieuw clientgeheim en maak een nieuw geheim (sla de waarde direct veilig op omdat u deze later niet meer kunt bekijken)

STAP 2: Mimecast-API implementeren Verbinding maken or

BELANGRIJK: Voordat u de Mimecast-API-connector implementeert, moet u de werkruimte-id en primaire sleutel van de werkruimte (kunnen worden gekopieerd uit het volgende), evenals de Mimecast-API-autorisatiesleutel(s) of token, direct beschikbaar.

Mimecast Intelligence inschakelen voor Microsoft - Microsoft Sentinel Verbinding maken or:

  1. Klik op de knop Implementeren in Azure hieronder.

    Implementeren in Azure

  2. Selecteer het voorkeursabonnement, de resourcegroep en de locatie.

  3. Voer de volgende velden in:

  • appName: unieke tekenreeks die wordt gebruikt als id voor de app in het Azure-platform
  • objectId: Azure Portal ---> Azure Active Directory ---> meer informatie ---> Profile -----> Object ID
  • appInsightsLocation(standaard): westeurope
  • mimecastEmail: e-mailadres van toegewezen gebruiker voor deze integratie
  • mimecastPassword: Wachtwoord voor toegewezen gebruiker
  • mimecastAppId: toepassings-id van de Microsoft Sentinel-app die is geregistreerd bij Mimecast
  • mimecastAppKey: Toepassingssleutel van de Microsoft Sentinel-app die is geregistreerd bij Mimecast
  • mimecastAccessKey: Toegangssleutel voor de toegewezen Mimecast-gebruiker
  • mimecastSecretKey: Geheime sleutel voor toegewezen Mimecast-gebruiker
  • mimecastBaseURL: Basis-URL van regionale Mimecast-API
  • activeDirectoryAppId: Azure Portal ---> App-registraties ---> [your_app] ---> toepassings-id
  • activeDirectoryAppSecret: Azure Portal ---> App-registraties ---> [your_app] ---> Certificaten en geheimen ---> [your_app_secret]
  • workspaceId: Azure Portal ---> Log Analytics-werkruimten ---> [Uw werkruimte] ---> agents ---> werkruimte-id (of u kunt workspaceId van hierboven kopiëren)
  • workspaceKey: Azure Portal ---> Log Analytics-werkruimten ---> [Uw werkruimte] ---> Agents ---> primaire sleutel (of u kunt werkruimtesleutel van bovenaf kopiëren)
  • AppInsightsWorkspaceResourceID: Azure Portal ---> Log Analytics-werkruimten ---> [Uw werkruimte] ---> eigenschappen --- resource-id>

Opmerking: Als u Azure Key Vault-geheimen gebruikt voor een van de bovenstaande waarden, gebruikt u het@Microsoft.KeyVault(SecretUri={Security Identifier})schema in plaats van de tekenreekswaarden. Raadpleeg de documentatie voor Key Vault-verwijzingen voor meer informatie.

  1. Markeer het selectievakje met het label Ik ga akkoord met de bovenstaande voorwaarden.

  2. Klik op Kopen om te implementeren.

  3. Ga naar Azure Portal ---> Resourcegroepen ---> [your_resource_group] ---> [appName](type: Opslagaccount) ---> Storage Explorer ---> BLOBCONTAINERs ---> TIR-controlepunten ---> Leeg bestand uploaden en maken op uw computer met de naam checkpoint.txt en selecteer het voor uploaden (dit wordt gedaan zodat date_range voor TIR-logboeken consistent wordt opgeslagen)

Aanvullende configuratie:

Verbinding maken naar een Threat Intelligence Platforms-gegevens Verbinding maken or. Volg de instructies op de connectorpagina en klik vervolgens op de knop Verbinding maken.

Volgende stappen

Ga naar de gerelateerde oplossing in Azure Marketplace voor meer informatie.