Udostępnij za pośrednictwem

[Przestarzałe] WithSecure Elements via connector for Microsoft Sentinel

  • Artykuł

Ważne

Zbieranie dzienników z wielu urządzeń i urządzeń jest teraz obsługiwane przez format Common Event Format (CEF) za pośrednictwem amA, dziennika systemowego za pośrednictwem usługi AMA lub dzienników niestandardowych za pośrednictwem łącznika danych AMA w usłudze Microsoft Sentinel. Aby uzyskać więcej informacji, zobacz Znajdowanie łącznika danych usługi Microsoft Sentinel.

WithSecure Elements to ujednolicona platforma zabezpieczeń cybernetycznych oparta na chmurze. Łącząc się z elementami WithSecure za pośrednictwem łącznika z usługą Microsoft Sentinel, zdarzenia zabezpieczeń mogą być odbierane w formacie Common Event Format (CEF) za pośrednictwem dziennika systemowego. Wymaga wdrożenia łącznika "Elements Connector" lokalnie lub w chmurze. Format Common Event Format (CEF) zapewnia natywne wyszukiwanie i korelację, alerty i wzbogacanie analizy zagrożeń dla każdego dziennika danych.

Jest to automatycznie wygenerowana zawartość. W przypadku zmian skontaktuj się z dostawcą rozwiązania.

Atrybuty łącznika

Atrybut łącznika opis
Tabele usługi Log Analytics CommonSecurityLog (WithSecure Events)
Obsługa reguł zbierania danych Przekształcanie obszaru roboczego DCR
Obsługiwane przez WithSecure (Zabezpieczeń)

Przykłady zapytań

Wszystkie dzienniki

CommonSecurityLog

| where DeviceVendor == "WithSecure™"

| sort by TimeGenerated

Instrukcje instalacji dostawcy

  1. Konfiguracja agenta syslogu systemu Linux

Zainstaluj i skonfiguruj agenta systemu Linux w celu zbierania komunikatów dziennika systemu Common Event Format (CEF) i przekazywania ich do usługi Microsoft Sentinel.

Zwróć uwagę, że dane ze wszystkich regionów będą przechowywane w wybranym obszarze roboczym

1.1 Wybieranie lub tworzenie maszyny z systemem Linux

Wybierz lub utwórz maszynę z systemem Linux, która będzie używana przez usługę Microsoft Sentinel jako serwer proxy między rozwiązaniem WithSecurity i usługą Sentinel. Komputer może być środowiskiem lokalnym, platformą Microsoft Azure lub inną chmurą.

System Linux musi być syslog-ng zainstalowany i python/python3 zainstalowany.

1.2 Instalowanie modułu zbierającego CEF na maszynie z systemem Linux

Zainstaluj program Microsoft Monitoring Agent na maszynie z systemem Linux i skonfiguruj maszynę do nasłuchiwania na wymaganym porcie i przekazywania komunikatów do obszaru roboczego usługi Microsoft Sentinel. Moduł zbierający CEF zbiera komunikaty CEF na porcie 514 TCP.

  1. Upewnij się, że na maszynie jest używany język Python, używając następującego polecenia: python -version.
  1. Musisz mieć uprawnienia z podwyższonym poziomem uprawnień (sudo) na maszynie.

Uruchom następujące polecenie, aby zainstalować i zastosować moduł zbierający CEF:

sudo wget -O cef_installer.py https://raw.githubusercontent.com/Azure/Azure-Sentinel/master/DataConnectors/CEF/cef_installer.py&&sudo python cef_installer.py {0} {1}

W przypadku języka Python3 użyj poniższego polecenia:

sudo wget -O cef_installer.py https://raw.githubusercontent.com/Azure/Azure-Sentinel/master/DataConnectors/CEF/cef_installer.py&&sudo python3 cef_installer.py {0} {1}

  1. Przekazywanie danych z łącznika WithSecure Elements Connector do agenta usługi Syslog

W tym artykule opisano sposób instalowania i konfigurowania łącznika elementów krok po kroku.

2.1 Subskrypcja łącznika zamówień

Jeśli subskrypcja łącznika nie została jeszcze zamówiona, przejdź do witryny EPP w portalu elementów. Następnie przejdź do sekcji Pliki do pobrania i w sekcji Łącznik elementów kliknij przycisk "Utwórz klucz subskrypcji". Klucz subskrypcji można sprawdzić w obszarze Subskrypcje.

2.2 Pobierz łącznik

Przejdź do sekcji Pliki do pobrania i w sekcji WithSecure Elements Connector wybierz prawidłowy instalator.

2.3 Tworzenie klucza interfejsu API zarządzania

Gdy w witrynie EPP otwórz ustawienia konta w prawym górnym rogu. Następnie wybierz pozycję Pobierz klucz interfejsu API zarządzania. Jeśli klucz został utworzony wcześniej, można go również odczytać.

2.4 Instalowanie łącznika

Aby zainstalować łącznik Elements Connector, postępuj zgodnie z dokumentami łącznika elementów.

2.5. Konfigurowanie przekazywania zdarzeń

Jeśli dostęp do interfejsu API nie został skonfigurowany podczas instalacji, postępuj zgodnie z instrukcjami Konfigurowanie dostępu interfejsu API dla łącznika elementów. Następnie przejdź do strony EPP, a następnie pozycję Profile, a następnie użyj pozycji Dla łącznika, z której można wyświetlić profile łączników. Utwórz nowy profil (lub edytuj istniejący profil nie tylko do odczytu). W obszarze Przekazywanie zdarzeń włącz je. Adres systemu SIEM: 127.0.0.1:514. Ustaw format na Common Event Format. Protokół to TCP. Zapisz profil i przypisz go do łącznika Elementów na karcie Urządzenia.

  1. Weryfikowanie połączenia

Postępuj zgodnie z instrukcjami, aby zweryfikować łączność:

Otwórz usługę Log Analytics, aby sprawdzić, czy dzienniki są odbierane przy użyciu schematu CommonSecurityLog.

Przesyłanie strumieniowe danych połączenia do obszaru roboczego może potrwać około 20 minut.

Jeśli dzienniki nie zostaną odebrane, uruchom następujący skrypt weryfikacji łączności:

  1. Upewnij się, że na maszynie jest używany język Python, używając następującego polecenia: python -version
  1. Musisz mieć uprawnienia z podwyższonym poziomem uprawnień (sudo) na maszynie

Uruchom następujące polecenie, aby zweryfikować łączność:

sudo wget -O cef_troubleshoot.py https://raw.githubusercontent.com/Azure/Azure-Sentinel/master/DataConnectors/CEF/cef_troubleshoot.py&&sudo python cef_troubleshoot.py {0}

W przypadku języka Python3 użyj poniższego polecenia:

sudo wget -O cef_troubleshoot.py https://raw.githubusercontent.com/Azure/Azure-Sentinel/master/DataConnectors/CEF/cef_troubleshoot.py&&sudo python3 cef_troubleshoot.py {0}

  1. Zabezpieczanie maszyny

Upewnij się, że skonfigurować zabezpieczenia maszyny zgodnie z zasadami zabezpieczeń organizacji

Dowiedz się więcej >

Następne kroki

Aby uzyskać więcej informacji, przejdź do powiązanego rozwiązania w witrynie Azure Marketplace.