Поделиться через

Соединитель AbnormalSecurity (с помощью Функции Azure) для Microsoft Sentinel

  • Статья

Соединитель данных "Аномальная безопасность" предоставляет возможность приема журналов угроз и случаев в Microsoft Sentinel с помощью API rest security.

Это автоматически сформированное содержимое. Для изменений обратитесь к поставщику решений.

Атрибуты соединителя

Атрибут соединителя Description
Параметры приложения SENTINEL_WORKSPACE_ID
SENTINEL_SHARED_KEY
ABNORMAL_SECURITY_REST_API_TOKEN
logAnalyticsUri (необязательно)(добавьте любые другие параметры, необходимые приложению-функции)Задайте uri значение следующим образом: <add uri value>
Код приложения-функции Azure https://aka.ms/sentinel-abnormalsecurity-functionapp
Таблицы Log Analytics ABNORMAL_THREAT_MESSAGES_CL
ABNORMAL_CASES_CL
Поддержка правил сбора данных В настоящий момент не поддерживается
Поддерживается Ненормальная безопасность

Примеры запросов

Все журналы ненормальных угроз безопасности

ABNORMAL_THREAT_MESSAGES_CL

| sort by TimeGenerated desc

Все журналы ненормальных случаев безопасности

ABNORMAL_CASES_CL

| sort by TimeGenerated desc

Необходимые компоненты

Чтобы интегрироваться с AbnormalSecurity (с помощью Функции Azure), убедитесь, что у вас есть:

Инструкции по установке поставщика

Примечание.

Этот соединитель использует Функции Azure для подключения к REST API аномального безопасности для извлечения журналов в Microsoft Sentinel. Это может привести к дополнительным затратам на прием данных. Сведения см. на странице с ценами на функции Azure.

ШАГ 1. Действия по настройке для аномальных API безопасности

Чтобы настроить интеграцию REST API, следуйте приведенным ниже инструкциям , предоставленным аномальной безопасностью. Примечание. Требуется ненормальная учетная запись безопасности

ШАГ 2. Выберите ОДИН из следующих двух вариантов развертывания для развертывания соединителя и связанной функции Azure

ВАЖНО. Прежде чем развертывать соединитель данных аномальной безопасности, укажите идентификатор рабочей области и первичный ключ рабочей области (можно скопировать из следующего), а также маркер авторизации аномальных API безопасности, легко доступный.

Вариант 1. Шаблон Azure Resource Manager (ARM)

Этот метод обеспечивает автоматическое развертывание соединителя "Аномальная безопасность" с помощью шаблона ARM.

  1. Нажмите кнопку Deploy to Azure (Развернуть в Azure) ниже.

    Развертывание в Azure

  2. Выберите предпочтительную подписку, группу ресурсов и расположение.

  3. Введите идентификатор рабочей области Microsoft Sentinel, общий ключ Microsoft Sentinel и ненормальный ключ REST API безопасности.

  • Интервал времени по умолчанию устанавливается для извлечения последних пяти (5) минут данных. Если необходимо изменить интервал времени, рекомендуется изменить триггер таймера приложения-функции (в файле function.json после развертывания), чтобы предотвратить перекрытие приема данных.
  1. Пометьте флажок, помеченный как я согласен с условиями, указанными выше.
  2. Нажмите кнопку " Купить" , чтобы развернуть.

Вариант 2. Развертывание Функции Azure вручную

Выполните следующие пошаговые инструкции по развертыванию соединителя данных "Аномальная безопасность" вручную с помощью Функции Azure (развертывание с помощью Visual Studio Code).

1. Развертывание приложения-функции

ПРИМЕЧАНИЕ. Вам потребуется подготовить VS Code для разработки функций Azure.

  1. Скачайте файл приложения-функции Azure. Извлеките архив на локальный компьютер разработки.

  2. Запустите VS Code. Выберите "Файл" в главном меню и выберите "Открыть папку".

  3. Выберите папку верхнего уровня из извлеченных файлов.

  4. Щелкните значок Azure на панели действий, а затем в области "Функции ", нажмите кнопку "Развернуть в приложении-функции ". Если вы еще не вошли, выберите значок Azure в строке действий, а затем в области "Функции Azure" выберите вход в Azure , если вы уже вошли, перейдите к следующему шагу.

  5. Введите следующие сведения по соответствующим запросам:

    a. Выберите папку: выберите папку из рабочей области или перейдите к папке, содержащей приложение-функцию.

    b. Выберите подписку: выберите используемую подписку.

    c. Выберите "Создать приложение-функцию" в Azure (не выбирайте параметр "Дополнительно")

    d. Введите глобально уникальное имя приложения-функции: введите допустимое имя в URL-пути. Имя, которое вы вводите, проверяется, чтобы убедиться, что оно уникально в функциях Azure. (например, AbnormalSecurityXX).

    д) Выберите среду выполнения: выберите Python 3.11.

    f. Выберите расположение для новых ресурсов. Для повышения производительности и снижения затрат выберите тот же регион , где находится Microsoft Sentinel.

  6. Начнется развертывание. После создания приложения-функции и применения пакета развертывания отобразится уведомление.

  7. Перейдите на портал Azure для конфигурации приложения-функции.

2. Настройка приложения-функции

  1. В приложении-функции выберите имя приложения-функции и выберите "Конфигурация".
  2. На вкладке Параметры приложения выберите +Новый параметр приложения.
  3. Добавьте каждый из следующих параметров приложения по отдельности с соответствующими строковыми значениями (с учетом регистра): SENTINEL_WORKSPACE_ID SENTINEL_SHARED_KEY ABNORMAL_SECURITY_REST_API_TOKEN logAnalyticsUri (необязательно) (добавьте любые другие параметры, необходимые приложению-функции), задайте uri значение следующим образом: <add uri value>

Примечание. Если вы используете секреты Azure Key Vault для любого из указанных выше значений, используйте схему@Microsoft.KeyVault(SecretUri={Security Identifier})вместо строковых значений. Дополнительные сведения см. в документации по Azure Key Vault.

  • Используйте logAnalyticsUri, чтобы переопределить конечную точку API log analytics для выделенного облака. Например, для общедоступного облака оставьте значение пустым; Для облачной среды Azure GovUS укажите значение в следующем формате: https://<CustomerId>.ods.opinsights.azure.us.
  1. После ввода всех параметров приложения нажмите кнопку "Сохранить".

Следующие шаги

Дополнительные сведения см. в связанном решении в Azure Marketplace.