[Не рекомендуется] Cisco Secure Email Gateway с помощью соединителя устаревшего агента для Microsoft Sentinel

  • Статья

Соединитель данных Cisco Secure Email Gateway (SEG) предоставляет возможность приема журналов консолидированных событий Cisco SEG в Microsoft Sentinel.

атрибуты Подключение or

Атрибут соединителя Description
Таблицы Log Analytics CommonSecurityLog (CiscoSEG)
Поддержка правил сбора данных Преобразование DCR рабочей области
Поддерживается Корпорация Майкрософт

Примеры запросов

Топ-10 отправителей

CiscoSEGEvent

| where isnotempty(SrcUserName)
 
| summarize count() by SrcUserName

| top 10 by count_

Инструкции по установке поставщика

Примечание.

Этот соединитель данных зависит от средства синтаксического анализа на основе функции Kusto для работы, как ожидалось , CiscoSEGEvent , развернутой с помощью решения Microsoft Sentinel.

Примечание.

Этот соединитель данных разработан с помощью AsyncOS 14.0 для шлюза безопасной электронной почты Cisco

  1. Конфигурация агента Syslog Linux

Установите и настройте агент Linux, чтобы собирать сообщения системного журнала общего формата событий (CEF) и пересылать их в Microsoft Sentinel.

Обратите внимание, что в выбранной рабочей области будут храниться данные из всех регионов

1.1 Выбор или создание компьютера с Linux

Выберите или создайте компьютер Linux, который Microsoft Sentinel будет использовать в качестве прокси-сервера между решением безопасности и Microsoft Sentinel, который может находиться в локальной среде, Azure или других облаках.

1.2 Установка сборщика CEF на компьютере с Linux

Установите microsoft Monitoring Agent на компьютере Linux и настройте компьютер для прослушивания необходимого порта и пересылки сообщений в рабочую область Microsoft Sentinel. Сборщик CEF собирает сообщения CEF, передаваемые через TCP-порт 514.

  1. Убедитесь, что на компьютере установлен Python, выполнив следующую команду: python -version.
  1. Вы должны обладать повышенными правами (sudo) на компьютере.

Выполните следующую команду, чтобы установить и применить сборщик CEF:

sudo wget -O cef_installer.py https://raw.githubusercontent.com/Azure/Azure-Sentinel/master/DataConnectors/CEF/cef_installer.py&&sudo python cef_installer.py {0} {1}

  1. Переадресация журналов общего формата событий (CEF) в агент syslog

Выполните следующие действия, чтобы настроить шлюз безопасной электронной почты Cisco для пересылки журналов с помощью системного журнала:

2.1. Настройка подписки журнала

ПРИМЕЧАНИЕ. Выберите консолидированные журналы событий в поле "Тип журнала".

  1. Проверка подключения

Следуйте инструкциям, чтобы проверить подключение:

Откройте Log Analytics, чтобы проверка, если журналы получены с помощью схемы CommonSecurityLog.

Это может занять около 20 минут, пока данные подключения не передаются в рабочую область.

Если журналы не получены, выполните следующий сценарий проверки подключения:

  1. Убедитесь, что на компьютере есть Python, используя следующую команду: python -version
  1. На компьютере должны быть повышенные разрешения (sudo)

Выполните следующую команду, чтобы проверить подключение:

sudo wget -O cef_troubleshoot.py https://raw.githubusercontent.com/Azure/Azure-Sentinel/master/DataConnectors/CEF/cef_troubleshoot.py&&sudo python cef_troubleshoot.py {0}

  1. Защита компьютера

Обязательно настройте безопасность компьютера в соответствии с политикой безопасности вашей организации.

Подробнее>

Следующие шаги

Дополнительные сведения см. в связанном решении в Azure Marketplace.