Zasoby do tworzenia łączników niestandardowych Microsoft Sentinel

Microsoft Sentinel oferuje szeroką gamę wbudowanych łączników dla usług Azure i rozwiązań zewnętrznych, a także obsługuje pozyskiwanie danych z niektórych źródeł bez dedykowanego łącznika.

Jeśli nie możesz połączyć źródła danych z Microsoft Sentinel przy użyciu dowolnego z dostępnych rozwiązań, rozważ utworzenie własnego łącznika źródła danych.

Aby uzyskać pełną listę obsługiwanych łączników, zobacz Artykuł Znajdowanie łącznika danych Microsoft Sentinel).

Porównanie niestandardowych metod łączników

W poniższej tabeli porównaliśmy podstawowe szczegóły dotyczące każdej metody tworzenia łączników niestandardowych opisanych w tym artykule. Wybierz linki w tabeli, aby uzyskać więcej szczegółów na temat każdej metody.

Opis metody	Możliwości	Bezserwerowe	Złożoności
Struktura łączników bez kodu (CCF) Najlepsze rozwiązanie dla mniej technicznych użytkowników do tworzenia łączników SaaS przy użyciu pliku konfiguracyjnego zamiast zaawansowanych prac programistycznych.	Obsługuje wszystkie możliwości dostępne z kodem.	Tak	Niski; proste, bezkodowe programowanie
Azure Monitor Agent Najlepsze do zbierania plików ze źródeł lokalnych i IaaS	Zbieranie plików, przekształcanie danych	Nie	Niskie
Logstash Najlepsze w przypadku źródeł lokalnych i IaaS, dowolnego źródła, dla którego jest dostępna wtyczka, oraz organizacji już zaznajomionych z usługą Logstash	Obsługuje wszystkie możliwości agenta Azure Monitor	Nr; wymaga uruchomienia maszyny wirtualnej lub klastra maszyny wirtualnej	Niska; obsługuje wiele scenariuszy dzięki wtyczkom
Logic Apps Wysoki koszt; unikaj danych o dużej ilości Najlepsze w przypadku źródeł chmurowych o małym wolumenie danych	Programowanie bez kodu zapewnia ograniczoną elastyczność bez obsługi implementowania algorytmów. Jeśli żadna dostępna akcja nie obsługuje już twoich wymagań, utworzenie akcji niestandardowej może dodać złożoności.	Tak	Niski poziom; proste programowanie bez kodu
Interfejs API do pozyskiwania dzienników w usłudze Azure Monitor Najlepsze dla niezależnych dostawców oprogramowania wdrażających integrację oraz w przypadku unikatowych wymagań dotyczących gromadzenia danych	Obsługuje wszystkie możliwości dostępne z kodem.	Zależy od implementacji	Wysoki
Azure Functions Najlepsze w przypadku źródeł w chmurze o dużej ilości i dla unikatowych wymagań dotyczących kolekcji	Obsługuje wszystkie możliwości dostępne z kodem.	Tak	Wysokiej; wymaga wiedzy programistycznej

Wskazówka

Aby zapoznać się z porównaniami korzystania z usługi Logic Apps i Azure Functions dla tego samego łącznika, zobacz:

• Pozyskiwanie dzienników Fastly Web Application Firewall do Microsoft Sentinel
• Office 365 (społeczność GitHub usługi Microsoft Sentinel): łącznik usługi Logic Apps | łącznik usługi Azure Functions

Nawiązywanie połączenia za pomocą struktury łączników bez kodu

Program Codeless Connector Framework (CCF) udostępnia plik konfiguracji, który może być używany zarówno przez klientów, jak i partnerów, a następnie wdrażany we własnym obszarze roboczym lub jako rozwiązanie centrum zawartości Microsoft Sentinel.

Łączniki utworzone przy użyciu CCF są w pełni oparte na modelu SaaS, bez konieczności instalowania jakichkolwiek usług, a także obejmują monitorowanie stanu i pełne wsparcie ze strony Microsoft Sentinel.

Aby uzyskać więcej informacji, zobacz Tworzenie łącznika bez kodu dla Microsoft Sentinel.

Nawiązywanie połączenia z agentem monitora Azure

Jeśli źródło danych dostarcza zdarzenia w plikach tekstowych, zalecamy utworzenie łącznika niestandardowego za pomocą agenta Azure Monitor.

• Aby uzyskać więcej informacji, zobacz Collect logs from a text file with Azure Monitor Agent (Zbieranie dzienników z pliku tekstowego za pomocą agenta Azure Monitor).

• Przykład tej metody można znaleźć w temacie Collect logs from a JSON file with Azure Monitor Agent (Zbieranie dzienników z pliku JSON za pomocą agenta Azure Monitor).

Nawiązywanie połączenia za pomocą usługi Logstash

Jeśli znasz narzędzie Logstash, możesz użyć Logstash z wtyczką wyjściową Logstash dla Microsoft Sentinel, aby utworzyć własny łącznik.

Za pomocą wtyczki wyjściowej Microsoft Sentinel Logstash Output można używać dowolnych wtyczek wejściowych i filtrów Logstash oraz skonfigurować Microsoft Sentinel jako dane wyjściowe dla potoku Logstash. Usługa Logstash ma dużą bibliotekę wtyczek, które umożliwiają wprowadzanie danych z różnych źródeł, takich jak event hubs, Apache Kafka, Files, bazy danych i usługi w chmurze. Użyj wtyczek filtrowania, aby przeanalizować zdarzenia, filtrować niepotrzebne zdarzenia, zaciemniać wartości i nie tylko.

Przykłady użycia usługi Logstash jako łącznika niestandardowego można znaleźć w temacie:

• Wyszukiwanie TTP związanych z naruszeniem danych w Capital One w dziennikach AWS przy użyciu Microsoft Sentinel (blog)
• Przewodnik implementacji programu Radware Microsoft Sentinel

Przykłady przydatnych wtyczek Logstash można znaleźć tutaj:

• Wtyczka wejściowa usługi Cloudwatch
• wtyczka usługi Azure Event Hubs
• Wtyczka wejściowa usługi Google Cloud Storage
• wtyczka wejściowa Google_pubsub

Wskazówka

Usługa Logstash umożliwia również skalowanie zbierania danych przy użyciu klastra. Aby uzyskać więcej informacji, zobacz Using a load-balanced Logstash VM at scale (Używanie maszyny wirtualnej Logstash z równoważeniem obciążenia na dużą skalę).

Nawiązywanie połączenia z usługą Logic Apps

Użyj usługi Azure Logic Apps, aby utworzyć bezserwerowy łącznik niestandardowy dla Microsoft Sentinel.

Uwaga

Tworzenie łączników bezserwerowych przy użyciu usługi Logic Apps może być wygodne, jednak korzystanie z usługi Logic Apps dla łączników może być kosztowne w przypadku dużych ilości danych.

Zalecamy, aby tej metody używać tylko w przypadku źródeł danych o małym wolumenie danych lub do wzbogacania przesyłanych danych.

1. Użyj jednego z następujących wyzwalaczy, aby uruchomić usługę Logic Apps:

   Wyzwalacz	Opis
   Zadanie cykliczne	Zaplanuj na przykład, aby aplikacja logiki regularnie pobierała dane z określonych plików, baz danych lub zewnętrznych interfejsów API. Aby uzyskać więcej informacji, zobacz Tworzenie, planowanie i uruchamianie cyklicznych zadań i przepływów pracy w usłudze Azure Logic Apps.
   Wyzwalanie na żądanie	Uruchom aplikację logiki na żądanie na potrzeby ręcznego zbierania i testowania danych. Aby uzyskać więcej informacji, zobacz Wywoływanie, wyzwalanie lub zagnieżdżanie aplikacji logiki przy użyciu punktów końcowych HTTPS.
   Punkt końcowy HTTP/S	Zalecane do przesyłania strumieniowego oraz w przypadku, gdy system źródłowy może zainicjować transfer danych. Aby uzyskać więcej informacji, zobacz Wywoływanie punktów końcowych usługi za pośrednictwem protokołu HTTP lub HTTPS.

2. Użyj dowolnego z łączników usługi Logic Apps umożliwiających odczytywanie informacji, aby pobierać zdarzenia. Przykład:

   • Nawiązywanie połączenia z interfejsem API REST
   • Nawiązywanie połączenia z SQL Server
   • Nawiązywanie połączenia z systemem plików

   Wskazówka

   Łączniki niestandardowe do interfejsów API REST, serwerów SQL i systemów plików obsługują również pobieranie danych z lokalnych źródeł danych. Aby uzyskać więcej informacji, zobacz Dokumentacja instalowania lokalnej bramy danych .

3. Przygotuj informacje, które chcesz pobrać.

   Na przykład użyj akcji analizowania kodu JSON , aby uzyskać dostęp do właściwości zawartości JSON, umożliwiając wybranie tych właściwości z listy zawartości dynamicznej podczas określania danych wejściowych dla aplikacji logiki.

   Aby uzyskać więcej informacji, zobacz Wykonywanie operacji na danych w usłudze Azure Logic Apps.

4. Zapisz dane w usłudze Log Analytics.

   Aby uzyskać więcej informacji, zobacz dokumentację modułu zbierającego dane Azure Log Analytics.

Aby zapoznać się z przykładami tworzenia łącznika niestandardowego dla Microsoft Sentinel przy użyciu usługi Logic Apps, zobacz:

• Utwórz potok danych za pomocą interfejsu Data Collector API
• Łącznik Logic Apps Palo Alto Prisma korzystający z webhooka (społeczność Microsoft Sentinel w serwisie GitHub)
• Zabezpieczanie połączeń usługi Microsoft Teams za pomocą zaplanowanej aktywacji (blog)
• Pozyskiwanie wskaźników zagrożeń z AlienVault OTX do usługi Microsoft Sentinel (blog)

Połącz się z interfejsem API do pozyskiwania logów

Zdarzenia można przesyłać strumieniowo do Microsoft Sentinel przy użyciu interfejsu API modułu zbierającego dane usługi Log Analytics w celu bezpośredniego wywołania punktu końcowego RESTful.

Bezpośrednie wywołanie punktu końcowego REST wymaga napisania większej ilości kodu, ale zapewnia również większą elastyczność.

Aby uzyskać więcej informacji, zapoznaj się z następującymi artykułami:

• Interfejs API do pozyskiwania dzienników w usłudze Azure Monitor.
• Przykładowy kod do wysyłania danych do usługi Azure Monitor przy użyciu interfejsu API pozyskiwania dzienników.

Nawiązywanie połączenia z Azure Functions

Użyj Azure Functions razem z interfejsem API RESTful i różnymi językami kodowania, takimi jak program PowerShell, aby utworzyć łącznik niestandardowy bezserwerowy.

Przykłady tej metody można zobaczyć tutaj:

• Łączenie programu VMware Carbon Black Cloud Endpoint Standard z Microsoft Sentinel za pomocą funkcji Azure
• Połącz usługę Okta Single Sign-On z Microsoft Sentinel za pomocą Azure Functions
• Łączenie aplikacji Proofpoint TAP z Microsoft Sentinel za pomocą funkcji Azure
• Łączenie maszyny wirtualnej Qualys z Microsoft Sentinel za pomocą funkcji Azure
• Importowanie danych w formacie XML, CSV lub innych
• Monitorowanie powiększenia za pomocą Microsoft Sentinel (blog)
• Wdróż aplikację funkcji do pozyskiwania danych z interfejsu API zarządzania usługi Office 365 w Microsoft Sentinel (społeczność Microsoft Sentinel w serwisie GitHub)

Przeanalizuj dane Twojego łącznika niestandardowego

Aby skorzystać z danych zebranych za pomocą łącznika niestandardowego, opracuj analizatory zaawansowanego modelu informacji o zabezpieczeniach (ASIM) do pracy z łącznikiem. Korzystanie z ASIM umożliwia wbudowanym zasobom Microsoft Sentinel korzystanie z własnych danych niestandardowych i ułatwia analitykom tworzenie zapytań do tych danych.

Jeśli metoda łącznika na to pozwala, możesz zaimplementować część parsowania w samym łączniku, aby poprawić wydajność parsowania w czasie wykonywania zapytania:

• Jeśli używasz usługi Logstash, przeanalizuj dane za pomocą wtyczki filtru Grok .
• Jeśli użyto funkcji Azure, przeanalizuj dane przy użyciu kodu.

Nadal trzeba będzie zaimplementować analizatory ASIM, ale implementacja części analizy bezpośrednio za pomocą łącznika upraszcza analizowanie i poprawia wydajność.

Następne kroki

Użyj danych pozyskanych do Microsoft Sentinel, aby zabezpieczyć środowisko za pomocą dowolnego z następujących procesów:

• Uzyskiwanie wglądu w alerty
• Wizualizowanie i monitorowanie danych
• Badanie zdarzeń
• Wykrywanie zagrożeń
• Automatyzowanie zapobiegania zagrożeniom
• Wyszukiwanie zagrożeń