Share via

Lookout Cloud Security-anslutningsprogram (med Azure Functions) för Microsoft Sentinel

  • Artikel

Den här anslutningsappen använder en Agari REST API-anslutning för att skicka data till Microsoft Sentinel Log Analytics.

Anslut ellerattribut

Anslut ellerattribut beskrivning
Appkod för Azure Functions https://aka.ms/sentinel-Lookout-functionapp
Log Analytics-tabeller LookoutCloudSecurity_CL
Stöd för regler för datainsamling Stöds för närvarande inte
Stöds av Jakt efter

Exempel på frågor

Alla Lookout Cloud Security-loggar

LookoutCloudSecurity_CL

| sort by TimeGenerated desc

Förutsättningar

Om du vill integrera med Lookout Cloud Security för Microsoft Sentinel (med Hjälp av Azure Functions) kontrollerar du att du har:

  • Microsoft.Web/sites-behörigheter: Läs- och skrivbehörighet till Azure Functions för att skapa en funktionsapp krävs. Mer information om Azure Functions finns i dokumentationen.

Installationsanvisningar för leverantör

Kommentar

Den här anslutningsappen använder Azure Functions för att ansluta till Agari REST API för att hämta loggar till Microsoft Sentinel. Detta kan leda till ytterligare kostnader för datainmatning. Mer information finns på prissättningssidan för Azure Functions.

(Valfritt steg) Lagra arbetsyta och API-auktoriseringsnycklar på ett säkert sätt eller token i Azure Key Vault. Azure Key Vault tillhandahåller en säker mekanism för att lagra och hämta nyckelvärden. Följ de här anvisningarna för att använda Azure Key Vault med en Azure-funktionsapp.

Stegvisa instruktioner

Som en förutsättning för den här integreringen måste du först konfigurera en API-klient i Lookouts hanteringskonsol. Från hanteringskonsolen kan du lägga till en eller flera klienter och konfigurera lämpliga behörigheter och åtgärder för var och en.

  1. Namn – det namn som har angetts för den här klienten.

  2. Klient-ID – det unika ID som angavs för den här klienten.

  3. Behörigheter – De behörigheter som är aktiverade för den här klienten. De behörigheter som du kontrollerar är de som klienten får åtkomst till. Alternativen i listan är Aktivitet, Överträdelse, Avvikelse, Insikter och Profil

  4. Tjänst-URL – DEN URL som används för att komma åt den här klienten. Det måste börja med https://

  5. Auktoriserade IP-adresser – den giltiga IP-adressen eller adresserna som gäller för den här klienten.

  6. Åtgärder – De åtgärder som du kan vidta för den här klienten. Klicka på ikonen för den åtgärd som du vill utföra. Redigera klientinformation, visa klienthemligheten eller ta bort klienten.

Så här lägger du till en ny API-klient:

  1. Gå till Administration > Enterprise Integration > API-klienter och klicka på Ny.

  2. Ange ett namn (krävs) och en Beskrivning (valfritt).

  3. Ange det klient-ID som har angetts för dig.

  4. Välj en eller flera behörigheter i listrutan.

  5. Ange en eller flera auktoriserade IP-adresser för den här klienten. Avgränsa varje adress med kommatecken.

  6. Klicka på Spara.

När du uppmanas till det kopierar du strängen för klientens hemlighet. Du behöver den här informationen (tillsammans med klient-ID:t) för att autentisera till API-gatewayen.

STEG 2 – Välj ETT av följande två distributionsalternativ för att distribuera anslutningsappen och den associerade Azure-funktionen

VIKTIGT! Innan du distribuerar dataanslutningsappen måste du ha arbetsyte-ID:t och primärnyckeln för arbetsytan (kan kopieras från följande), samt Azure Blob Storage-anslutningssträng och containernamn, som är lättillgängliga.

Alternativ 1 – Arm-mall (Azure Resource Manager)

Använd den här metoden för automatisk distribution av dataanslutningsappen med hjälp av en ARM Tempate.

  1. Klicka på knappen Distribuera till Azure nedan.

    Deploy To Azure

  2. Välj önskad prenumeration, resursgrupp och plats.

  3. Ange Lookout-klient-ID, Lookout-klienthemlighet, Lookout Base-URL, Microsoft Sentinel-arbetsyte-ID, Delad Microsoft Sentinel-nyckel

  4. Markera kryssrutan märkt Jag godkänner de villkor som anges ovan.

  5. Klicka på Köp för att distribuera.

Alternativ 2 – Manuell distribution av Azure Functions

Använd följande stegvisa instruktioner för att distribuera dataanslutningen manuellt med Azure Functions (distribution via Visual Studio Code).

1. Distribuera en funktionsapp

Obs! Du måste förbereda VS-kod för Azure-funktionsutveckling.

  1. Ladda ned Azure Function App-filen. Extrahera arkivet till din lokala utvecklingsdator.

  2. Starta VS Code. Välj Arkiv på huvudmenyn och välj Öppna mapp.

  3. Välj mappen på den översta nivån från extraherade filer.

  4. Välj Azure-ikonen i aktivitetsfältet och välj sedan knappen Distribuera till funktionsapp i området Azure: Functions. Om du inte redan är inloggad väljer du Azure-ikonen i aktivitetsfältet. I området Azure: Functions väljer du Logga in på Azure Om du redan är inloggad går du till nästa steg.

  5. Ange följande information i meddelanderutorna:

    a. Välj mapp: Välj en mapp från arbetsytan eller bläddra till en som innehåller din funktionsapp.

    b. Välj Prenumeration: Välj den prenumeration som ska användas.

    c. Välj Skapa ny funktionsapp i Azure (välj inte alternativet Avancerat)

    d. Ange ett globalt unikt namn för funktionsappen: Ange ett namn som är giltigt i en URL-sökväg. Namnet du skriver verifieras för att se till att det är unikt i Azure Functions.

    e. Välj en körning: Välj Python 3.8.

    f. Välj en plats för nya resurser. För bättre prestanda och lägre kostnader väljer du samma region där Microsoft Sentinel finns.

  6. Distributionen påbörjas. Ett meddelande visas när funktionsappen har skapats och distributionspaketet har tillämpats.

  7. Gå till Azure-portalen för konfigurationen av funktionsappen.

2. Konfigurera funktionsappen

  1. I funktionsappen väljer du funktionsappens namn och väljer Konfiguration.
  2. På fliken Programinställningar väljer du + Ny programinställning.
  3. Lägg till var och en av följande programinställningar individuellt med sina respektive strängvärden (skiftlägeskänsliga): LookoutClientId LookoutApiSecret Baseurl WorkspaceID WorkspaceKey logAnalyticsUri (valfritt)
  • Använd logAnalyticsUri för att åsidosätta LOG Analytics API-slutpunkten för dedikerade moln. För offentliga moln lämnar du till exempel värdet tomt. för Azure GovUS-molnmiljö anger du värdet i följande format: https://WORKSPACE_ID.ods.opinsights.azure.us.
  1. När alla programinställningar har angetts klickar du på Spara.

Nästa steg

Mer information finns i den relaterade lösningen på Azure Marketplace.