Conector Netskope Data Connector (usando o Azure Functions) conector para Microsoft Sentinel
O conector de dados Netskope fornece os seguintes recursos:
- NetskopeToAzureStorage : Obtenha os dados de Alertas e Eventos do Netskope do Netskope e publique no armazenamento do Azure.
- StorageToSentinel : obtenha os dados de Alertas e Eventos Netskope do armazenamento do Azure e publique na tabela de log personalizada no espaço de trabalho de análise de log.
- WebTxMetrics : Obtenha os dados WebTxMetrics do Netskope e publique na tabela de log personalizada no espaço de trabalho de análise de log.
Para obter mais detalhes sobre APIs REST, consulte as documentações abaixo:
- Documentação da API Netskope
- Documentação de armazenamento do Azure
- Documentação analítica de log da Microsoft
Trata-se de conteúdo gerado automaticamente. Para alterações, entre em contato com o provedor da solução.
Atributos do conector
| Atributo do conector | Description |
|---|---|
| Tabela(s) do Log Analytics | alertscompromisedcredentialdata_CL alertsctepdata_CL alertsdlpdata_CL alertsmalsitedata_CL alertsmalwaredata_CL alertspolicydata_CL alertsquarantinedata_CL alertsremediationdata_CL alertssecurityassessmentdata_CL alertsubadata_CL eventsapplicationdata_CL eventsauditdata_CL eventsconnectiondata_CL eventsincidentdata_CL eventsnetworkdata_CL eventspagedata_CL Netskope_WebTx_metrics_CL |
| Suporte a regras de coleta de dados | Não é suportado atualmente |
| Apoiado por | Netskope |
Exemplos de consulta
Dados de alertas Netskope CompromisedCredential
alertscompromisedcredentialdata_CL
| sort by TimeGenerated desc
Dados de alertas CTEP Netskope
alertsctepdata_CL
| sort by TimeGenerated desc
Dados de alertas Netskope DLP
alertsdlpdata_CL
| sort by TimeGenerated desc
Dados de alertas Netskope Malsite
alertsmalsitedata_CL
| sort by TimeGenerated desc
Dados de alertas de malware Netskope
alertsmalwaredata_CL
| sort by TimeGenerated desc
Dados de alertas de política Netskope
alertspolicydata_CL
| sort by TimeGenerated desc
Dados de alertas de quarentena do Netskope
alertsquarantinedata_CL
| sort by TimeGenerated desc
Dados de alertas de remediação Netskope
alertsremediationdata_CL
| sort by TimeGenerated desc
Netskope SecurityAssessment Alertas de Dados
alertssecurityassessmentdata_CL
| sort by TimeGenerated desc
Netskope Uba Alertas Dados
alertsubadata_CL
| sort by TimeGenerated desc
Dados de eventos de aplicativos Netskope.
eventsapplicationdata_CL
| sort by TimeGenerated desc
Dados de eventos de auditoria do Netskope
eventsauditdata_CL
| sort by TimeGenerated desc
Dados de eventos de conexão Netskope
eventsconnectiondata_CL
| sort by TimeGenerated desc
Dados de eventos de incidentes Netskope
eventsincidentdata_CL
| sort by TimeGenerated desc
Dados de eventos da rede Netskope
eventsnetworkdata_CL
| sort by TimeGenerated desc
Dados de eventos da página Netskope
eventspagedata_CL
| sort by TimeGenerated desc
Dados de métricas Netskope WebTransactions
Netskope_WebTx_metrics_CL
| sort by TimeGenerated desc
Pré-requisitos
Para integrar com o Netskope Data Connector (usando o Azure Functions), certifique-se de ter:
- Assinatura do Azure: a Assinatura do Azure com função de proprietário é necessária para registrar um aplicativo no azure ative directory() e atribuir a função de colaborador ao aplicativo no grupo de recursos.
- Permissões Microsoft.Web/sites: são necessárias permissões de leitura e gravação no Azure Functions para criar um Aplicativo de Função. Consulte a documentação para saber mais sobre o Azure Functions.
- Credenciais/permissões da API REST: É necessário o Locatário Netskope e o Token da API Netskope. Consulte a documentação para saber mais sobre a API na referência da API Rest
Instruções de instalação do fornecedor
Nota
Esse conector usa o Azure Functions para se conectar às APIs do Netskope para extrair seus dados de Alertas e Eventos para a tabela de log personalizada. Consulte a página de preços do Azure Functions para obter detalhes.
(Etapa opcional) Armazene com segurança a(s) chave(s) de autorização do espaço de trabalho e da API ou código(s) no Cofre de Chaves do Azure. O Azure Key Vault fornece um mecanismo seguro para armazenar e recuperar valores de chave. Siga estas instruções para usar o Azure Key Vault com um Aplicativo de Função do Azure.
PASSO 1 - Passos de Registo da Aplicação na ID Microsoft Entra
Essa integração requer um registro de aplicativo no portal do Azure. Siga as etapas nesta seção para criar um novo aplicativo no Microsoft Entra ID:
- Inicie sessão no portal do Azure.
- Procure e selecione Microsoft Entra ID.
- Em Gerir, selecione Registos de > aplicações Novo registo.
- Insira um Nome de exibição para seu aplicativo.
- Selecione Registrar para concluir o registro inicial do aplicativo.
- Quando o registro for concluído, o portal do Azure exibirá o painel Visão geral do registro do aplicativo. Você vê a ID do aplicativo (cliente) e a ID do locatário. O ID do cliente e o ID do locatário são necessários como parâmetros de configuração para a execução do playbook do TriggersSync.
Link de referência: /azure/active-directory/develop/quickstart-register-app
PASSO 2 - Adicionar um segredo de cliente para aplicação no Microsoft Entra ID
Às vezes chamado de senha de aplicativo, um segredo do cliente é um valor de cadeia de caracteres necessário para a execução do playbook do TriggersSync. Siga as etapas nesta seção para criar um novo segredo do cliente:
- No portal do Azure, em Registros de aplicativos, selecione seu aplicativo.
- Selecione Certificados & segredos Segredos do > cliente Novo segredo do > cliente.
- Adicione uma descrição do segredo do cliente.
- Selecione uma expiração para o segredo ou especifique um tempo de vida personalizado. O limite é de 24 meses.
- Selecione Adicionar.
- Registe o valor do segredo para uso no código da aplicação cliente. Este valor secreto nunca mais é apresentado depois de sair desta página. O valor secreto é necessário como parâmetro de configuração para a execução do playbook do TriggersSync.
Link de referência: /azure/active-directory/develop/quickstart-register-app#add-a-client-secret
PASSO 3 - Atribuir a função de Colaborador à aplicação no Microsoft Entra ID
Siga as etapas nesta seção para atribuir a função:
- No portal do Azure, vá para Grupo de Recursos e selecione seu grupo de recursos.
- Vá para Controle de acesso (IAM) no painel esquerdo.
- Clique em Adicionar e, em seguida, selecione Adicionar atribuição de função.
- Selecione Colaborador como função e clique em avançar.
- Em Atribuir acesso a, selecione
User, group, or service principal. - Clique em adicionar membros , digite o nome do aplicativo que você criou e selecione-o.
- Agora clique em Rever + atribuir e, em seguida, clique novamente em Rever + atribuir.
Link de referência: /azure/role-based-access-control/role-assignments-portal
PASSO 4 - Passos para criar/obter credenciais para a conta Netskope
Siga as etapas nesta seção para criar/obter Netskope Hostname e Netskope API Token:
- Inicie sessão no seu Inquilino Netskope e vá ao menu Definições na barra de navegação esquerda.
- Clique em Ferramentas e, em seguida, em REST API v2
- Agora, clique no novo botão de token. Em seguida, ele pedirá o nome do token, a duração da expiração e os pontos de extremidade dos quais você deseja buscar dados.
- Feito isso, clique no botão salvar, o token será gerado. Copie o token e salve em um local seguro para uso posterior.
PASSO 5 - Passos para criar as funções azure para Netskope Alerts and Events Data Collection
IMPORTANTE: Antes de implantar o conector de dados Netskope, tenha a ID do espaço de trabalho e a chave primária do espaço de trabalho (pode ser copiada do seguinte) prontamente disponíveis.., bem como a(s) chave(s) de autorização da API Netskope.
Usando o modelo ARM, implante os aplicativos de função para ingestão de eventos Netskope e dados de alertas para o Sentinel.
Clique no botão Implantar no Azure abaixo.
Selecione a Subscrição, o Grupo de Recursos e a Localização preferidos.
Insira as informações abaixo: Netskope HostName Netskope API Token Selecione Sim na lista suspensa Tipos de Alertas e Eventos para o ponto de extremidade que você deseja buscar Alertas e Eventos Nível de Log ID do espaço de trabalho Chave do espaço de trabalho
Clique em Rever+Criar.
Em seguida, após a validação, clique em Criar para implantar.
Próximos passos
Para obter mais informações, vá para a solução relacionada no Azure Marketplace.