Använd Azure Functions för att ansluta Microsoft Sentinel till din datakälla

  • Artikel

Du kan använda Azure Functions, tillsammans med olika kodningsspråk som PowerShell eller Python, för att skapa en serverlös anslutningsapp till REST API-slutpunkterna för dina kompatibla datakällor. Med Azure Function Apps kan du sedan ansluta Microsoft Sentinel till datakällans REST API för att hämta loggar.

I den här artikeln beskrivs hur du konfigurerar Microsoft Sentinel för användning av Azure-funktionsappar. Du kan också behöva konfigurera källsystemet och du kan hitta länkar för leverantörs- och produktspecifik information på varje dataanslutningsapps sida i portalen eller avsnittet för din tjänst på referenssidan för Microsoft Sentinel-dataanslutningsappar .

Anteckning

  • När data har matats in i Microsoft Sentinel lagras de på den geografiska platsen för arbetsytan där du kör Microsoft Sentinel.

    För långsiktig kvarhållning kanske du också vill lagra data i Azure Data Explorer. Mer information finns i Integrera Azure Data Explorer.

  • Om du använder Azure Functions för att mata in data i Microsoft Sentinel kan det leda till ytterligare kostnader för datainmatning. Mer information finns på sidan Azure Functions prissättning.

Förutsättningar

Kontrollera att du har följande behörigheter och autentiseringsuppgifter innan du använder Azure Functions för att ansluta Microsoft Sentinel till din datakälla och hämta loggarna till Microsoft Sentinel:

  • Du måste ha läs- och skrivbehörighet på Microsoft Sentinel-arbetsytan.

  • Du måste ha läsbehörighet till delade nycklar för arbetsytan. Läs mer om arbetsytenycklar.

  • Du måste ha läs- och skrivbehörighet på Azure Functions för att skapa en funktionsapp. Läs mer om Azure Functions.

  • Du behöver också autentiseringsuppgifter för att komma åt produktens API – antingen ett användarnamn och lösenord, en token, en nyckel eller någon annan kombination. Du kan också behöva annan API-information, till exempel en slutpunkts-URI.

    Mer information finns i dokumentationen för den tjänst som du ansluter till och avsnittet för din tjänst på referenssidan för Microsoft Sentinel-dataanslutningsappar .

  • Installera lösningen som innehåller din Azure Functions-baserade anslutningsapp från innehållshubben i Microsoft Sentinel. Mer information finns i Identifiera och hantera inbyggt innehåll i Microsoft Sentinel.

Konfigurera och ansluta din datakälla

Anteckning

  • Du kan lagra arbetsytor och API-auktoriseringsnycklar eller token på ett säkert sätt i Azure Key Vault. Azure Key Vault tillhandahåller en säker mekanism för att lagra och hämta nyckelvärden. Följ de här anvisningarna om du vill använda Azure Key Vault med en Azure-funktionsapp.

  • Vissa dataanslutningar är beroende av en parser baserat på en Kusto-funktion för att fungera som förväntat. Se avsnittet för din tjänst på referenssidan för Microsoft Sentinel-dataanslutningsprogram för länkar till instruktioner för att skapa Kusto-funktionen och aliaset.

Steg 1: Hämta källsystemets API-autentiseringsuppgifter

Följ källsystemets instruktioner för att hämta dess API-autentiseringsuppgifter/auktoriseringsnycklar/token. Kopiera och klistra in dem i en textfil för senare bruk.

Du hittar information om de exakta autentiseringsuppgifter du behöver och länkar till produktens instruktioner för att hitta eller skapa dem på sidan för dataanslutningsappen i portalen och i avsnittet för din tjänst på referenssidan för Microsoft Sentinel-dataanslutningsprogram .

Du kan också behöva konfigurera loggning eller andra inställningar i källsystemet. Du hittar relevanta instruktioner tillsammans med dem i föregående stycke.

Steg 2: Distribuera anslutningsappen och den associerade Azure-funktionsappen

Välj ett distributionsalternativ

Den här metoden tillhandahåller en automatiserad distribution av din Azure-funktionsbaserade anslutningsapp med hjälp av en ARM-mall.

  1. I Microsoft Sentinel-portalen väljer du Dataanslutningsprogram. Välj din Azure Functions-baserade anslutningsapp i listan och sedan sidan Öppna anslutningsapp.

  2. Under Konfiguration kopierar du Arbetsyte-ID och primärnyckel för Microsoft Sentinel och klistrar in dem åt sidan.

  3. Välj Distribuera till Azure. (Du kan behöva rulla ned för att hitta knappen.)

  4. Skärmen Anpassad distribution visas.

    • Välj en prenumeration, resursgrupp och region där du vill distribuera funktionsappen.

    • Ange dina API-autentiseringsuppgifter/auktoriseringsnycklar/token som du sparade i steg 1 ovan.

    • Ange ditt Microsoft Sentinel-arbetsyte-ID och arbetsytenyckel (primärnyckel) som du kopierade och lade åt sidan.

      Anteckning

      Om du använder Azure Key Vault hemligheter för något av värdena ovan använder du @Microsoft.KeyVault(SecretUri={Security Identifier}) schemat i stället för strängvärdena. Mer information finns i dokumentationen om Key Vault referenser.

    • Fyll i andra fält i formuläret på skärmen Anpassad distribution . Se sidan för dataanslutningsappen i portalen eller avsnittet för din tjänst på referenssidan för Microsoft Sentinel-dataanslutningsappar .

    • Välj Granska + skapa. När verifieringen är klar väljer du Skapa.

Hitta dina data

När en lyckad anslutning har upprättats visas data i Loggar under CustomLogs, i tabellerna som anges i avsnittet för din tjänst på referenssidan för Microsoft Sentinel-dataanslutningsappar .

Om du vill fråga efter data anger du ett av dessa tabellnamn – eller relevant Kusto-funktionsalias – i frågefönstret.

Se fliken Nästa steg på anslutningssidan för några användbara exempelfrågor.

Validera anslutningen

Det kan ta upp till 20 minuter innan loggarna börjar visas i Log Analytics.

Nästa steg

I det här dokumentet har du lärt dig hur du ansluter Microsoft Sentinel till din datakälla med hjälp av Azure Functions-baserade anslutningsappar. Mer information om Microsoft Sentinel finns i följande artiklar: