Dela via

Fortinet FortiNDR Cloud-anslutningsprogram (med Azure Functions) för Microsoft Sentinel

  • Artikel

Dataanslutningsappen Fortinet FortiNDR Cloud ger möjlighet att mata in Fortinet FortiNDR Cloud-data i Microsoft Sentinel med hjälp av FortiNDR Cloud API

Det här är automatiskt genererat innehåll. Om du vill ha ändringar kontaktar du lösningsleverantören.

Anslut ellerattribut

Anslut ellerattribut beskrivning
Kusto-funktionsalias Fortinet_FortiNDR_Cloud
Kusto-funktions-URL https://raw.githubusercontent.com/Azure/Azure-Sentinel/master/Solutions/Fortinet%20FortiNDR%20Cloud/Parsers/Fortinet_FortiNDR_Cloud.md
Log Analytics-tabeller FncEventsSuricata_CL
FncEventsObservation_CL
FncEventsDetections_CL
Stöd för regler för datainsamling Stöds för närvarande inte
Stöds av Fortinet

Exempel på frågor

Fortinet FortiNDR Cloud Suricata-loggar

FncEventsSuricata_CL

| sort by TimeGenerated desc

Fortinet FortiNDR Cloud Observation Logs

FncEventsObservation_CL

| sort by TimeGenerated desc

Fortinet FortiNDR Cloud Detections-loggar

FncEventsDetections_CL

| sort by TimeGenerated desc

Förutsättningar

Om du vill integrera med Fortinet FortiNDR Cloud (med Hjälp av Azure Functions) kontrollerar du att du har:

  • Microsoft.Web/sites-behörigheter: Läs- och skrivbehörighet till Azure Functions för att skapa en funktionsapp krävs. Mer information om Azure Functions finns i dokumentationen.
  • MetaStream-autentiseringsuppgifter: AWS-åtkomstnyckel-ID, AWS-hemlig åtkomstnyckel, FortiNDR-molnkontokod krävs för att hämta händelsedata.
  • API-autentiseringsuppgifter: FortiNDR Cloud API Token, FortiNDR Cloud Account UUID krävs för att hämta identifieringsdata.

Installationsanvisningar för leverantör

Kommentar

Den här anslutningsappen använder Azure Functions för att ansluta till FortiNDR Cloud API för att hämta loggar till Microsoft Sentinel. Detta kan leda till ytterligare kostnader för datainmatning. Mer information finns på prissättningssidan för Azure Functions.

(Valfritt steg) Lagra arbetsyta och API-auktoriseringsnycklar på ett säkert sätt eller token i Azure Key Vault. Azure Key Vault tillhandahåller en säker mekanism för att lagra och hämta nyckelvärden. Följ de här anvisningarna för att använda Azure Key Vault med en Azure-funktionsapp.

Kommentar

Den här anslutningsappen använder en parser baserad på en Kusto-funktion för att normalisera fält. Följ de här stegen för att skapa Kusto-funktionsaliaset Fortinet_FortiNDR_Cloud.

STEG 1 – Konfigurationssteg för Fortinet FortiNDR Cloud Logs Collection

Providern bör tillhandahålla eller länka till detaljerade steg för att konfigurera API-slutpunkten "PROVIDER NAME APPLICATION NAME" så att Azure-funktionen kan autentisera till den, hämta dess auktoriseringsnyckel eller token och hämta installationens loggar till Microsoft Sentinel.

STEG 2 – Välj ETT av följande två distributionsalternativ för att distribuera anslutningsappen och den associerade Azure-funktionen

VIKTIGT! Innan du distribuerar Fortinet FortiNDR Cloud-anslutningsappen måste du ha arbetsyte-ID:t och primärnyckeln för arbetsytan (kan kopieras från följande), samt autentiseringsuppgifterna för FortiNDR Cloud API (finns i FortiNDR Cloud Account Management) som är lättillgängliga.

Alternativ 1 – Arm-mall (Azure Resource Manager)

Använd den här metoden för automatisk distribution av Fortinet FortiNDR Cloud Connector.

  1. Klicka på knappen Distribuera till Azure nedan.

    Distribuera till Azure

  2. Välj önskad prenumeration, resursgrupp och plats.

  3. Ange fälten Arbetsyte-ID, Arbetsytenyckel, AwsAccessKey, AwsSecretAccessKey och/eller Andra obligatoriska fält.

  4. Klicka på Skapa för att distribuera.

Alternativ 2 – Manuell distribution av Azure Functions

Använd följande stegvisa instruktioner för att distribuera Anslutningsappen Fortinet FortiNDR Cloud manuellt med Azure Functions (distribution via Visual Studio Code).

Nästa steg

Mer information finns i den relaterade lösningen på Azure Marketplace.