Łącznik Symantec ProxySG dla usługi Microsoft Sentinel

  • Artykuł

Grupa proxySG firmy Symantec umożliwia łatwe łączenie dzienników symantec ProxySG z usługą Microsoft Sentinel w celu wyświetlania pulpitów nawigacyjnych, tworzenia alertów niestandardowych i ulepszania badań. Zintegrowanie grupy Symantec ProxySG z usługą Microsoft Sentinel zapewnia lepszy wgląd w ruch sieciowy serwera proxy w organizacji i zwiększy możliwości monitorowania zabezpieczeń.

Jest to automatycznie wygenerowana zawartość. W przypadku zmian skontaktuj się z dostawcą rozwiązania.

atrybuty Połączenie or

atrybut Połączenie or opis
Tabele usługi Log Analytics Dziennik systemowy (SymantecProxySG)
Obsługa reguł zbierania danych Przekształcanie obszaru roboczego DCR
Obsługiwane przez Microsoft Corporation

Przykłady zapytań

10 użytkowników, których nie mówiono

SymantecProxySG 

| where sc_filter_result == 'DENIED' 

| summarize count() by cs_userdn 

| top 10 by count_

10 pierwszych odrzuconych adresów IP klienta

SymantecProxySG 

| where sc_filter_result == 'DENIED' 

| summarize count() by c_ip 

| top 10 by count_

Wymagania wstępne

Aby zintegrować z usługą Symantec ProxySG, upewnij się, że:

  • Symantec ProxySG: należy skonfigurować do eksportowania dzienników za pośrednictwem dziennika systemowego

Instrukcje instalacji dostawcy

Uwaga

Ten łącznik danych zależy od analizatora opartego na funkcji Kusto działającej zgodnie z oczekiwaniami, która jest wdrażana w ramach rozwiązania. Aby wyświetlić kod funkcji w usłudze Log Analytics, otwórz blok Dzienniki usługi Log Analytics/Microsoft Sentinel, kliknij pozycję Funkcje i wyszukaj alias Symantec Proxy SG i załaduj kod funkcji lub kliknij tutaj, w drugim wierszu zapytania wprowadź nazwy hostów urządzeń Symantec Proxy SG i inne unikatowe identyfikatory dla strumienia dziennika. Aktywacja funkcji zwykle trwa od 10 do 15 minut po zainstalowaniu/aktualizacji rozwiązania.

  1. Instalowanie i dołączanie agenta dla systemu Linux

Zazwyczaj należy zainstalować agenta na innym komputerze niż ten, na którym są generowane dzienniki.

Dzienniki dziennika systemowego są zbierane tylko z agentów systemu Linux .

  1. Konfigurowanie dzienników do zebrania

Skonfiguruj obiekty, które chcesz zbierać, i ich ważności.

  1. W obszarze Konfiguracja ustawień zaawansowanych obszaru roboczego wybierz pozycję Dane, a następnie Pozycję Syslog.

  2. Wybierz pozycję Zastosuj poniżej konfiguracji do moich maszyn i wybierz obiekty i ważność.

  3. Kliknij przycisk Zapisz.

  4. Konfigurowanie i łączenie grupy proxysg firmy Symantec

  5. Zaloguj się do konsoli zarządzania blue coat .

  6. Wybierz pozycję Formaty rejestrowania > dostępu do konfiguracji>.

  7. Wybierz Nowy.

  8. Wprowadź unikatową nazwę w polu Nazwa formatu.

  9. Kliknij przycisk radiowy w polu Ciąg formatu niestandardowego i wklej następujący ciąg w polu.

1 $(date) $(time) $(time-taken) $(c-ip) $(cs-userdn) $(cs-auth-groups) $(x-exception-id) $(sc-filter-result) $(cs-categories) $(quot)$(cs(Referer))$(quot) $(sc-status) $(s-action) $(cs-method) $(quot)$(rs(Content-Type))$(quot) $(cs-uri-scheme) $(cs-host) $(cs-uri-port) $(cs-uri-path) $(cs-uri-query) $(cs-uri-extension) $(quot)$(cs(User-Agent))$(quot) $(s-ip) $(sr-bytes) $(rs-bytes) $(x-virus-id) $(x-bluecoat-application-name) $(x-bluecoat-application-operation) $(cs-uri-port) $(x-cs-client-ip-country) $(cs-threat-risk)

6. Kliknij przycisk **OK**. 7. Kliknij przycisk **Zastosuj**. 8. [Postępuj zgodnie z tymi instrukcjami](https://knowledge.broadcom.com/external/article/166529/sending-access-logs-to-a-syslog-server.html) aby włączyć przesyłanie strumieniowe dziennika systemu **Dostęp** dzienników. Użyj adresu IP lub nazwy hosta dla urządzenia z systemem Linux z agentem systemu Linux zainstalowanym jako docelowy adres IP

Następne kroki

Aby uzyskać więcej informacji, przejdź do powiązanego rozwiązania w witrynie Azure Marketplace.