Conector Cisco Stealthwatch para Microsoft Sentinel

  • Artigo

O conector de dados Cisco Stealthwatch fornece a capacidade de ingerir eventos Cisco Stealthwatch no Microsoft Sentinel.

Trata-se de conteúdo gerado automaticamente. Para alterações, entre em contato com o provedor da solução.

Atributos do conector

Atributo do conector Description
Tabela(s) do Log Analytics Syslog (StealthwatchEvent)
Suporte a regras de coleta de dados Transformar DCR no espaço de trabalho
Apoiado por Corporação Microsoft

Exemplos de consulta

Top 10 Fontes

StealthwatchEvent

| summarize count() by tostring(DvcHostname)

| top 10 by count_

Instruções de instalação do fornecedor

Nota

Esse conector de dados depende de um analisador baseado em uma função Kusto para funcionar conforme o esperado StealthwatchEvent que é implantado com a solução Microsoft Sentinel.

Nota

Este conector de dados foi desenvolvido usando Cisco Stealthwatch versão 7.3.2

  1. Instalar e integrar o agente para Linux ou Windows

Instale o agente no servidor para onde os logs do Cisco Stealthwatch são encaminhados.

Os logs do Cisco Stealthwatch Server implantados em servidores Linux ou Windows são coletados por agentes Linux ou Windows .

  1. Configurar o encaminhamento de eventos do Cisco Stealthwatch

Siga as etapas de configuração abaixo para obter os logs do Cisco Stealthwatch no Microsoft Sentinel.

  1. Faça login no Stealthwatch Management Console (SMC) como administrador.

  2. Na barra de menus, clique em Configuration>Response Management.

  3. Na seção Ações no menu Gerenciamento de Respostas, clique em Adicionar > Mensagem Syslog.

  4. Na janela Add Syslog Message Action, configure parâmetros.

  5. Insira o seguinte formato personalizado: |Lancope|Discrição|7. 3|{alarm_type_id}|0x7C|src={source_ip}|dst={target_ip}|dstPort={port}|proto={protocol}|msg={alarm_type_description}|fullmessage={details}|start={start_ative_time}|end={end_ative_time}|cat={alarm_category_name}|alarmID={alarm_id}|sourceHG={source_host_group_names}|targetHG={target_host_group_names}|sourceHostSnapshot={source_url}|targetHostSnapshot={target_url}|flowCollectorName={device_name}|flowCollectorIP={device_ip}|domain={domain_name}|exporterName={exporter_hostname}|exporterIPAddress={exporter_ip}|exporterInfo={exporter_label}|targetUser={target_username}|targetHostname={target_hostname}|sourceUser={source_username}|alarmStatus={alarm_status}|alarmSev={alarm_severity_name}

  6. Selecione o formato personalizado na lista e clique em OK

  7. Clique em Regras de Gerenciamento de > Respostas.

  8. Clique em Adicionar e selecione Host Alarm.

  9. Forneça um nome de regra no campo Nome .

  10. Crie regras selecionando valores nos menus Tipo e Opções. Para adicionar mais regras, clique no ícone de reticências. Para um Host Alarm, combine o maior número possível de tipos em uma instrução.

Próximos passos

Para obter mais informações, vá para a solução relacionada no Azure Marketplace.