[Не рекомендуется] Illumio Core через соединитель AMA для Microsoft Sentinel
Внимание
Сбор журналов из многих устройств и устройств теперь поддерживается общим форматом событий (CEF) через AMA, Syslog через AMA или пользовательские журналы через соединитель данных AMA в Microsoft Sentinel. Дополнительные сведения см. в статье Поиск нужных соединителей данных Microsoft Sentinel.
Соединитель данных Illumio Core предоставляет возможность приема журналов Illumio Core в Microsoft Sentinel.
Это автоматически сформированное содержимое. Для изменений обратитесь к поставщику решений.
Атрибуты соединителя
Атрибут соединителя | Description |
---|---|
Таблицы Log Analytics | CommonSecurityLog (IllumioCore) |
Поддержка правил сбора данных | Преобразование DCR рабочей области |
Поддерживается | Microsoft |
Примеры запросов
Лучшие 10 типов событий
IllumioCoreEvent
| where isnotempty(EventType)
| summarize count() by EventType
| top 10 by count_
Необходимые компоненты
Чтобы интегрироваться с [Не рекомендуется] Illumio Core через AMA убедитесь, что у вас есть:
- : для сбора данных из виртуальных машин, отличных от Azure, они должны быть установлены и включены в Azure Arc. Подробнее
- : общий формат событий (CEF) через AMA и Syslog через соединители данных AMA необходимо установить дополнительные сведения
Инструкции по установке поставщика
ПРИМЕЧАНИЕ. Этот соединитель данных зависит от средства синтаксического анализа на основе функции Kusto, которая должна работать должным образом, которая развертывается в рамках решения. Чтобы просмотреть код функции в Log Analytics, откройте колонку Log Analytics/Microsoft Sentinel Logs, щелкните "Функции" и найдите псевдоним IllumioCoreEvent и загрузите код функции или щелкните здесь. Обычно функция занимает 10–15 минут, чтобы активировать после установки или обновления решения и сопоставления событий Illumio Core с microsoft Sentinel Information Model (ASIM).
- Защита компьютера
Обязательно настройте безопасность компьютера в соответствии с политикой безопасности вашей организации.
Следующие шаги
Дополнительные сведения см. в связанном решении в Azure Marketplace.