Conector do Vectra XDR (usando Azure Functions) para o Microsoft Sentinel

  • Artigo

O conector Vectra XDR oferece a capacidade de ingerir dados de detecções, auditorias, pontuação de entidade, bloqueio e de integridade do Vectra no Microsoft Sentinel por meio da API REST do Vectra. Consulte a documentação de API: https://support.vectra.ai/s/article/KB-VS-1666 para obter mais informações.

Esse é conteúdo gerado automaticamente. Para alterações, entre em contato com o fornecedor da solução.

Atributos do conector

Atributo do conector Description
Código do aplicativo de funções do Azure https://aka.ms/sentinel-VectraXDR-functionapp
Alias de função do Kusto VectraDetections
URL da função do Kusto https://aka.ms/sentinel-VectraDetections-parser
Tabela(s) do Log Analytics Detections_Data_CL
Audits_Data_CL
Entity_Scoring_Data_CL
Lockdown_Data_CL
Health_Data_CL
Suporte às regras de coleta de dados Sem suporte no momento
Com suporte por Suporte ao Vectra

Exemplos de consulta

Eventos de Detecções do Vectra – Todos os Eventos de Detecção.

Detections_Data_CL

| sort by TimeGenerated desc

Eventos de Auditoria do Vectra – Todos os Eventos de Auditoria.

Audits_Data_CL

| sort by TimeGenerated desc

Eventos de Pontuação de Entidade do Vectra – Todos os Eventos de Pontuação de Entidade.

Entity_Scoring_Data_CL

| sort by TimeGenerated desc

Eventos de Bloqueio do Vectra – Todos os Eventos de Bloqueio.

Lockdown_Data_CL

| sort by TimeGenerated desc

Eventos de Integridade do Vectra – Todos os Eventos de Integridade.

Health_Data_CL

| sort by TimeGenerated desc

Pré-requisitos

Para fazer a integração com o Vectra XDR (usando o Azure Functions), verifique se você tem:

  • Permissões Microsoft.Web/sites : são necessárias permissões de leitura e gravação no Azure Functions para criar um Aplicativo de Funções. Confira a documentação para saber mais sobre o Azure Functions.
  • Credenciais/permissões da API REST: a ID do cliente Vectra e o segredo do cliente são necessários para integridade, pontuação de entidade, detecções, bloqueio e coleta de dados de auditoria. Consulte a documentação para saber mais sobre a API no https://support.vectra.ai/s/article/KB-VS-1666.

Instruções de instalação do fornecedor

Observação

Esse conector usa o Azure Functions para se conectar à API Vectra para efetuar pull dos seus logs no Microsoft Sentinel. Isso pode resultar em custos adicionais de ingestão de dados. Consulte a página de preços do Azure Functions para obter detalhes.

(Etapa opcional): armazene o espaço de trabalho e as chaves de autorização ou tokens da API com segurança no Azure Key Vault. O Azure Key Vault fornece um mecanismo seguro para armazenar e recuperar valores de chave. Siga estas instruções para usar o Azure Key Vault com um aplicativos do Azure Function.

Observação

Esse conector de dados depende de um analisador baseado em uma função Kusto para funcionar conforme o esperado. Siga estas etapas para Analisador de Detecções, Analisador de Auditorias, Analisador de Pontuação de Entidade, Analisador de Bloqueio e Analisador de Integridade para criar o alias das funções Kusto, VectraDetections, VectraAudits, VectraEntityScoring, VectraLockdown e VectraHealth.

ETAPA 1 - Etapas de configuração para as Credenciais da API Vectra

Siga estas instruções para criar uma ID do cliente Vectra e um segredo do cliente.

  1. Faça logon no portal do Vectra
  2. Navegue até Gerenciar –> Clientes de API
  3. Na página Clientes de API, selecione "Adicionar Cliente de API" para criar um novo cliente.
  4. Adicione Nome do Cliente, selecione Função e clique em Gerar Credenciais para obter suas credenciais de cliente.
  5. Registre sua ID do Cliente e a Chave Secreta para manutenção segura. Você precisará dessas duas informações para obter um token de acesso da API Vectra. Um token de acesso é necessário para fazer solicitações para todos os pontos de extremidade da API Vectra.

ETAPA 2: Escolha UMA das duas opções de implantação a seguir para implantar o conector e a Função do Azure associada

IMPORTANTE: Antes de implantar o conector de dados do Vectra, tenha em mãos a ID do espaço de trabalho e a chave primária do espaço de trabalho (podem ser copiadas do seguinte) prontamente disponíveis.., bem como as Credenciais de Autorização da API Vectra

Opção 1 – Modelo do Azure Resource Manager (ARM)

Use esse método para a implantação automatizada do conector do Vectra.

  1. Clique no botão Implantar no Azure abaixo.

    Implantar no Azure

  2. Selecione a Assinatura, o Grupo de Recursos e o Local de sua preferência.

  3. Insira as informações abaixo:

    • Nome da função
    • ID do Workspace
    • Chave do espaço de trabalho
    • https://<vectra-portal-url>URL base do Vectra
    • ID do cliente Vectra – Integridade
    • Chave secreta do cliente Vectra – Integridade
    • ID do cliente Vectra – Pontuação de entidade
    • Segredo do cliente Vectra – Pontuação de entidade
    • ID do cliente Vectra – Detecções
    • Segredo do Cliente Vectra – Detecções
    • ID do cliente Vectra – Auditorias
    • Segredo do cliente Vectra – Auditorias
    • ID do cliente Vectra – Bloqueio
    • Segredo do cliente Vectra – Bloqueio
    • StartTime (no formato MM/DD/YYYY HH:MM:SS)
    • Audita o nome da tabela
    • Nome da Tabela de Detecções
    • Nome da tabela de pontuação de entidade
    • Nome da Tabela de Bloqueio
    • Nome da tabela de integridade
    • Nível de log (padrão: INFO)
    • Agendamento de bloqueio
    • Agendamento de integridade
    • Agendamento de detecções
    • Agendamento de auditorias
    • Agendamento de pontuação de entidade

  4. Marque a caixa de seleção rotulada como Concordo com os termos e condições declarados acima.

  5. Clique em Comprar para implantar.

Opção 2 – Implantação Manual do Azure Functions

Use as instruções passo a passo a seguir para implantar o conector de dados do Vectra manualmente com o Azure Functions (implantação por meio do Visual Studio Code).

1. Implantar um Aplicativo de Funções

OBSERVAÇÃO: você precisará preparar o VS Code para o desenvolvimento da função do Azure.

  1. Baixe o arquivo do Aplicativo Azure Functions. Extraia o arquivo para seu computador de desenvolvimento local.

  2. Iniciar o VS Code. Escolha Arquivo no menu principal e selecione Abrir Pasta.

  3. Selecione a pasta de nível superior dos arquivos extraídos.

  4. Escolha o ícone do Azure na barra de atividades e, na área Azure: Funções, escolha o botão Implantar no aplicativo de funções. Se você ainda não estiver conectado, escolha o ícone do Azure na barra de atividades e, em seguida, na área Azure: Funções, escolha Entrar no Azure Se você já estiver conectado, vá para a próxima etapa.

  5. Forneça as seguintes informações nos prompts:

    a. Selecione a pasta: escolha uma pasta do seu espaço de trabalho ou navegue até uma que contenha seu aplicativo de funções.

    b. Selecionar Assinatura: escolha a assinatura a ser usada.

    c. Selecione Criar aplicativo de Funções no Azure (não escolha a opção Avançado)

    d. Insira um nome globalmente exclusivo para o aplicativo de funções: digite um nome que seja válido em um caminho de URL. O nome que você digitar é validado para ter certeza de que ele é exclusivo no Azure Functions. (por exemplo, VECTRAXXXXX).

    e. Selecione um runtime: escolha Python 3.8 ou superior.

    f. Selecione uma localização para novos recursos. Para um melhor desempenho e custos mais baixos, escolha a mesma região onde o Microsoft Sentinel está localizado.

  6. A implantação será iniciada. Uma notificação é exibida depois que seu aplicativo de funções é criado e o pacote de implantação é aplicado.

  7. Acesse o Portal do Azure para ver a configuração do Aplicativo de Funções.

2. Configurar o Aplicativo de Funções

  1. No Aplicativo de Funções, selecione o Nome do Aplicativo de Funções e selecione Configuração.
  2. Na guia Configurações do aplicativo, selecione + Novas configurações do aplicativo.
  3. Adicione cada uma das seguintes configurações de aplicativo individualmente, com os respectivos valores (diferencia maiúsculas de minúsculas):
    • ID do Workspace
    • Chave do espaço de trabalho
    • https://<vectra-portal-url>URL base do Vectra
    • ID do cliente Vectra – Integridade
    • Chave secreta do cliente Vectra – Integridade
    • ID do cliente Vectra – Pontuação de entidade
    • Segredo do cliente Vectra – Pontuação de entidade
    • ID do cliente Vectra – Detecções
    • Segredo do Cliente Vectra – Detecções
    • ID do cliente Vectra – Auditorias
    • Segredo do cliente Vectra – Auditorias
    • ID do cliente Vectra – Bloqueio
    • Segredo do cliente Vectra – Bloqueio
    • StartTime (no formato MM/DD/YYYY HH:MM:SS)
    • Audita o nome da tabela
    • Nome da Tabela de Detecções
    • Nome da tabela de pontuação de entidade
    • Nome da Tabela de Bloqueio
    • Nome da tabela de integridade
    • Nível de log (padrão: INFO)
    • Agendamento de bloqueio
    • Agendamento de integridade
    • Agendamento de detecções
    • Agendamento de auditorias
    • Agendamento de pontuação de entidade
    • logAnalyticsUri (opcional)
  • Use logAnalyticsUri para substituir o ponto de extremidade da API do Log Analytics para a nuvem dedicada. Por exemplo, para a nuvem pública, deixe o valor vazio; para o ambiente de nuvem do Azure GovUS, especifique o valor no seguinte formato: https://<CustomerId>.ods.opinsights.azure.us.
  1. Após todas as configurações do aplicativo terem sido inseridas, clique em Salvar.

Próximas etapas

Para obter mais informações, acesse a solução relacionada no Azure Marketplace.