Поделиться через

Подключение Microsoft Sentinel к источнику данных с помощью Функций Azure

  • Статья

Вы можете использовать Функции Azure в сочетании с различными языками программирования, такими как PowerShell или Python, чтобы создать бессерверный соединитель для конечных точек REST API совместимых источников данных. Приложения-функции Azure позволяют подключить Microsoft Sentinel к REST API источника данных для получения журналов.

В этой статье описывается, как настроить в Microsoft Sentinel использование приложений-функций Azure. Возможно, вам придется дополнительно настраивать исходную систему. Ссылки на информацию по конкретному поставщику и продукту вы найдете на страницах соответствующих соединителей данных на портале или в разделе информации о конкретной службе на странице Найдите нужный соединитель данных Microsoft Sentinel.

Примечание.

  • После приема в Microsoft Sentinel данные хранятся в географическом расположении рабочей области, в которой выполняется Microsoft Sentinel.

    Для долгосрочного хранения также может потребоваться хранить данные в типах журналов, таких как вспомогательные журналы или журналы "Базовый". Дополнительные сведения см . в планах хранения журналов в Microsoft Sentinel.

  • Использование Функций Azure для приема данных в Microsoft Sentinel может привести к дополнительным затратам на прием данных. Подробнее см. на странице цен на Функции Azure.

Необходимые компоненты

Убедитесь, что у вас есть указанные ниже разрешения и учетные данные, прежде чем использовать Функции Azure для подключения Microsoft Sentinel к источнику данных и приема его журналов в Microsoft Sentinel:

Настройка и подключение источника данных

Примечание.

  • Вы можете безопасно хранить ключи и токены авторизации рабочей области и API в Azure Key Vault. Azure Key Vault предоставляет безопасный механизм для хранения и извлечения значений ключей. Выполните эти инструкции, чтобы использовать Azure Key Vault с приложением-функцией Azure.

  • Правильная работа некоторых соединителей данных зависит от средства синтаксического анализа на основе функции Kusto. См. раздел службы на странице справки по соединителям данных Microsoft Sentinel для ссылок на инструкции по созданию функции Kusto и псевдонима.

Шаг 1. Получение учетных данных API исходной системы

Следуйте инструкциям исходной системы, чтобы получить учетные данные API, ключи авторизации и токены. Скопируйте и вставьте их в текстовый файл для последующего использования.

Подробные сведения о необходимых учетных данных и ссылки на инструкции по их поиску или созданию для вашего продукта можно найти на странице соединителя данных на портале и в разделе вашей службы на странице Найдите нужный соединитель данных Microsoft Sentinel.

Также может потребоваться настроить ведение журнала или другие параметры в исходной системе. Вы найдете соответствующие инструкции наряду с инструкциями, представленными в предыдущем абзаце.

Шаг 2. Развертывание соединителя и связанного приложения-функции Azure

Выбор варианта развертывания

Этот метод обеспечивает автоматическое развертывание соединителя на основе Функций Azure с помощью шаблона ARM.

  1. В меню портала Microsoft Sentinel выберите пункт Соединители данных. Выберите в списке соединитель на основе Функций Azure и откройте страницу соединителя.

  2. В разделе Конфигурация скопируйте идентификатор рабочей области и первичный ключ для Microsoft Sentinel и вставьте их в отдельный файл.

  3. Выберите Развернуть в Azure. (Возможно, потребуется прокрутить экран вниз, чтобы найти кнопку.)

  4. Появится экран Настраиваемое развертывание.

    • Выберите подписку, группу ресурсов и регион для развертывания приложения-функции.

    • Введите учетные данные API, ключи авторизации и токены, сохраненные в Шаге 1.

    • Введите Идентификатор рабочей области и ключ рабочей области для Microsoft Sentinel (первичный ключ), которые вы скопировали в отдельный файл.

      Примечание.

      При использовании секретов Azure Key Vault для любого из приведенных выше значений используйте схему @Microsoft.KeyVault(SecretUri={Security Identifier}) вместо строковых значений. Подробнее см. в справочной документации по Key Vault.

    • Заполните другие поля в форме на экране Настраиваемое развертывание. Изучите страницу соединителя данных на портале и раздел для конкретной службы на странице Найдите нужный соединитель данных Microsoft Sentinel.

    • Выберите Review + create (Просмотреть и создать). После завершения проверки щелкните Создать.

Поиск данных

После успешного создания подключения нужные данные появятся в разделе Журналы — CustomLogs, в таблицах для конкретной службы, которые перечислены в соответствующем разделе на странице Найдите нужный соединитель данных Microsoft Sentinel.

Чтобы запросить данные, введите в окне запроса одно из имен этих таблиц или соответствующий псевдоним функции Kusto.

См. вкладку Дальнейшие действия на странице коннектора для ознакомления с некоторыми полезными примерами запросов.

Проверка подключения

Прежде чем ваши журналы начнут отображаться в Log Analytics, может пройти до 20 минут.

Следующие шаги

В этом документе вы узнали, как подключить Microsoft Sentinel к источнику данных с помощью соединителей на основе Функций Azure. Ознакомьтесь с дополнительными сведениями о Microsoft Sentinel в следующих статьях: