Łącznik Netskope Data Connector (przy użyciu usługi Azure Functions) dla usługi Microsoft Sentinel

Artykuł
06/01/2024

Łącznik danych Netskope zapewnia następujące możliwości:

NetskopeToAzureStorage: pobierz dane Netskope Alerts and Events z netskope i opublikuj je w usłudze Azure Storage.
StorageToSentinel: pobierz dane alertów i zdarzeń netskope z usługi Azure Storage i opublikuj je w niestandardowej tabeli dzienników w obszarze roboczym usługi Log Analytics.
WebTxMetrics: pobierz dane WebTxMetrics z netskope i opublikuj do niestandardowej tabeli dzienników w obszarze roboczym usługi Log Analytics.

Aby uzyskać więcej informacji na temat interfejsów API REST, zapoznaj się z poniższymi dokumentacjami:

Jest to automatycznie wygenerowana zawartość. W przypadku zmian skontaktuj się z dostawcą rozwiązania.

Atrybuty łącznika

Atrybut łącznika	opis
Tabele usługi Log Analytics	alertscompromisedcredentialdata_CL alertsctepdata_CL alertsdlpdata_CL alertsmalsitedata_CL alertsmalwaredata_CL alertspolicydata_CL alertsquarantinedata_CL alertsremediationdata_CL alertssecurityassessmentdata_CL alertsubadata_CL eventsapplicationdata_CL eventsauditdata_CL eventsconnectiondata_CL eventsincidentdata_CL eventsnetworkdata_CL eventspagedata_CL Netskope_WebTx_metrics_CL
Obsługa reguł zbierania danych	Obecnie nieobsługiwane
Obsługiwane przez	Netskope

Przykłady zapytań

Dane alertów z naruszeniem zabezpieczeń NetskopeCredential

alertscompromisedcredentialdata_CL

| sort by TimeGenerated desc

Dane alertów netskope CTEP

alertsctepdata_CL

| sort by TimeGenerated desc

Dane alertów DLP netskope

alertsdlpdata_CL

| sort by TimeGenerated desc

Dane alertów dotyczących usługi Netskope Malsite

alertsmalsitedata_CL

| sort by TimeGenerated desc

Dane alertów dotyczących złośliwego oprogramowania Netskope

alertsmalwaredata_CL

| sort by TimeGenerated desc

Dane alertów dotyczących zasad netskope

alertspolicydata_CL

| sort by TimeGenerated desc

Dane alertów kwarantanny netskope

alertsquarantinedata_CL

| sort by TimeGenerated desc

Dane alertów korygowania netskope

alertsremediationdata_CL

| sort by TimeGenerated desc

Dane alertów usługi Netskope SecurityAssessment

alertssecurityassessmentdata_CL

| sort by TimeGenerated desc

Dane alertów Netskope Uba

alertsubadata_CL

| sort by TimeGenerated desc

Dane zdarzeń aplikacji Netskope.

eventsapplicationdata_CL

| sort by TimeGenerated desc

Dane zdarzeń inspekcji netskope

eventsauditdata_CL

| sort by TimeGenerated desc

Dane zdarzeń połączenia netskope

eventsconnectiondata_CL

| sort by TimeGenerated desc

Dane zdarzeń zdarzenia netskope

eventsincidentdata_CL

| sort by TimeGenerated desc

Dane zdarzeń sieciowych netskope

eventsnetworkdata_CL

| sort by TimeGenerated desc

Dane zdarzeń strony Netskope

eventspagedata_CL

| sort by TimeGenerated desc

Dane metryk transakcji internetowych netskope

Netskope_WebTx_metrics_CL

| sort by TimeGenerated desc

Wymagania wstępne

Aby zintegrować z usługą Netskope Data Connector (przy użyciu usługi Azure Functions), upewnij się, że masz następujące elementy:

Subskrypcja platformy Azure: Subskrypcja platformy Azure z rolą właściciela jest wymagana do zarejestrowania aplikacji w usłudze Azure Active Directory() i przypisania roli współautora do aplikacji w grupie zasobów.
Uprawnienia Microsoft.Web/sites: wymagane są uprawnienia do odczytu i zapisu w usłudze Azure Functions w celu utworzenia aplikacji funkcji. Zapoznaj się z dokumentacją, aby dowiedzieć się więcej o usłudze Azure Functions.
Poświadczenia/uprawnienia interfejsu API REST: wymagany jest token interfejsu API Netskope Tenant i Netskope. Zapoznaj się z dokumentacją, aby dowiedzieć się więcej o interfejsie API w dokumentacji interfejsu API REST

Instrukcje instalacji dostawcy

Uwaga

Ten łącznik używa usługi Azure Functions do łączenia się z interfejsami API netskope w celu ściągnięcia danych alertów i zdarzeń do niestandardowej tabeli dzienników. Aby uzyskać szczegółowe informacje, zobacz stronę cennika usługi Azure Functions.

(Krok opcjonalny) Bezpiecznie przechowuj obszary robocze i klucze autoryzacji interfejsu API lub tokeny w usłudze Azure Key Vault. Usługa Azure Key Vault zapewnia bezpieczny mechanizm przechowywania i pobierania wartości kluczy. Postępuj zgodnie z tymi instrukcjami , aby używać usługi Azure Key Vault z aplikacją funkcji platformy Azure.

KROK 1. Kroki rejestracji aplikacji dla aplikacji w identyfikatorze Entra firmy Microsoft

Ta integracja wymaga rejestracji aplikacji w witrynie Azure Portal. Wykonaj kroki opisane w tej sekcji, aby utworzyć nową aplikację w usłudze Microsoft Entra ID:

Zaloguj się w witrynie Azure Portal.
Wyszukaj i wybierz Tożsamość Microsoft Entra.
W obszarze Zarządzanie wybierz pozycję Rejestracje aplikacji > Nowa rejestracja.
Wprowadź nazwę wyświetlaną aplikacji.
Wybierz pozycję Zarejestruj, aby ukończyć początkową rejestrację aplikacji.
Po zakończeniu rejestracji w witrynie Azure Portal zostanie wyświetlone okienko Przegląd rejestracji aplikacji. Zobaczysz identyfikator aplikacji (klienta) i identyfikator dzierżawy. Identyfikator klienta i identyfikator dzierżawy są wymagane jako parametry konfiguracji do wykonania podręcznika TriggersSync.

Link referencyjny: /azure/active-directory/develop/quickstart-register-app

KROK 2. Dodawanie wpisu tajnego klienta dla aplikacji w identyfikatorze Entra firmy Microsoft

Czasami nazywane hasłem aplikacji wpis tajny klienta jest wartością ciągu wymaganą do wykonania podręcznika TriggersSync. Wykonaj kroki opisane w tej sekcji, aby utworzyć nowy klucz tajny klienta:

W witrynie Azure Portal w Rejestracje aplikacji wybierz aplikację.
Wybierz pozycję Certyfikaty i wpisy tajne Klienta Wpisy > tajne >Nowego klienta.
Dodaj opis wpisu tajnego klienta.
Wybierz datę wygaśnięcia klucza tajnego lub określ niestandardowy okres ważności. Limit wynosi 24 miesiące.
Wybierz Dodaj.
Zapisz wartość klucza tajnego w kodzie aplikacji klienckiej. Po opuszczeniu tej strony wartość klucza tajnego nie jest nigdy wyświetlana ponowna. Wartość wpisu tajnego jest wymagana jako parametr konfiguracji do wykonania podręcznika TriggersSync.

Link referencyjny: /azure/active-directory/develop/quickstart-register-app#add-a-client-secret

KROK 3. Przypisywanie roli Współautor do aplikacji w identyfikatorze Entra firmy Microsoft

Wykonaj kroki opisane w tej sekcji, aby przypisać rolę:

W witrynie Azure Portal przejdź do pozycji Grupa zasobów i wybierz grupę zasobów.
Przejdź do pozycji Kontrola dostępu (Zarządzanie dostępem i tożsamościami) z panelu po lewej stronie.
Kliknij pozycję Dodaj, a następnie wybierz pozycję Dodaj przypisanie roli.
Wybierz pozycję Współautor jako rolę i kliknij przycisk Dalej.
W obszarze Przypisz dostęp do wybierz pozycję User, group, or service principal.
Kliknij pozycję Dodaj członków i wpisz utworzoną nazwę aplikacji i wybierz ją.
Teraz kliknij pozycję Przejrzyj i przypisz , a następnie ponownie kliknij pozycję Przejrzyj i przypisz.

Link referencyjny: /azure/role-based-access-control/role-assignments-portal

KROK 4. Kroki tworzenia/pobierania poświadczeń dla konta Netskope

Wykonaj kroki opisane w tej sekcji, aby utworzyć/uzyskać nazwę hosta Netskope i token interfejsu API Netskope:

Zaloguj się do dzierżawy netskope i przejdź do menu Ustawienia na pasku nawigacyjnym po lewej stronie.
Kliknij pozycję Narzędzia, a następnie interfejs API REST w wersji 2
Teraz kliknij przycisk nowego tokenu. Następnie zostanie wyświetlony monit o podanie nazwy tokenu, czasu wygaśnięcia i punktów końcowych, z których chcesz pobrać dane.
Po zakończeniu kliknij przycisk Zapisz, token zostanie wygenerowany. Skopiuj token i zapisz go w bezpiecznym miejscu w celu dalszego użycia.

KROK 5. Kroki tworzenia funkcji platformy Azure dla zbierania danych alertów i zdarzeń netskope

WAŻNE: Przed wdrożeniem łącznika danych Netskope należy ponownie udostępnić identyfikator obszaru roboczego i klucz podstawowy obszaru roboczego (można go skopiować z następującego).

Za pomocą szablonu usługi ARM wdróż aplikacje funkcji na potrzeby pozyskiwania zdarzeń netskope i danych alertów w usłudze Sentinel.

Kliknij przycisk Wdróż na platformie Azure poniżej.
Wybierz preferowaną subskrypcję, grupę zasobów i lokalizację.
Wprowadź poniższe informacje: Netskope HostName Netskope API Token Select Yes (Tak) na liście rozwijanej Alerty i typy zdarzeń dla tego punktu końcowego, dla którego chcesz pobrać alerty i klucz obszaru roboczego na poziomie dziennika zdarzeń
Kliknij pozycję Przejrzyj+utwórz.
Następnie po walidacji kliknij pozycję Utwórz , aby wdrożyć.

Następne kroki

Aby uzyskać więcej informacji, przejdź do powiązanego rozwiązania w witrynie Azure Marketplace.

Udostępnij za pośrednictwem