Qualys Vulnerability Management -anslutningsprogram (med Azure Functions) för Microsoft Sentinel

Artikel
04/29/2024

Qualys Sårbarhetshantering (VM) dataanslutning ger möjlighet att mata in sårbarhetsvärdens identifieringsdata i Microsoft Sentinel via Qualys-API:et. Anslutningsappen ger insyn i värdidentifieringsdata från vulerability-genomsökningar. Den här anslutningsappen ger Microsoft Sentinel möjlighet att visa instrumentpaneler, skapa anpassade aviseringar och förbättra undersökningen

Det här är automatiskt genererat innehåll. Om du vill ha ändringar kontaktar du lösningsleverantören.

Anslut ellerattribut

Anslut ellerattribut	beskrivning
Programinställningar	apiUsername apiPassword workspaceID workspaceKey uri filterParametrar timeInterval logAnalyticsUri (valfritt)
Kod för Azure-funktionsapp	https://aka.ms/sentinel-QualysVM-functioncodeV2
Log Analytics-tabeller	QualysHostDetectionV2_CL QualysHostDetection_CL
Stöd för regler för datainsamling	Stöds för närvarande inte
Stöds av	Microsoft Corporation

Exempel på frågor

Topp 10 Qualys V2 Vulerabilities identifierade

QualysHostDetectionV2_CL

| extend Vulnerability = tostring(QID_s)

| summarize count() by Vulnerability

| top 10 by count_

De 10 främsta Vulerabilities har identifierats

QualysHostDetection_CL

| mv-expand todynamic(Detections_s)

| extend Vulnerability = tostring(Detections_s.Results)

| summarize count() by Vulnerability

| top 10 by count_

Förutsättningar

Om du vill integrera med Qualys Vulnerability Management (med Hjälp av Azure Functions) kontrollerar du att du har:

Microsoft.Web/sites-behörigheter: Läs- och skrivbehörighet till Azure Functions för att skapa en funktionsapp krävs. Mer information om Azure Functions finns i dokumentationen.
Qualys API-nyckel: Ett Qualys VM API-användarnamn och lösenord krävs. Mer information om Qualys VM API finns i dokumentationen.

Installationsanvisningar för leverantör

Kommentar

Den här anslutningsappen använder Azure Functions för att ansluta till en virtuell Qualys-dator för att hämta loggarna till Microsoft Sentinel. Detta kan leda till ytterligare kostnader för datainmatning. Mer information finns på prissättningssidan för Azure Functions.

(Valfritt steg) Lagra arbetsyta och API-auktoriseringsnycklar på ett säkert sätt eller token i Azure Key Vault. Azure Key Vault tillhandahåller en säker mekanism för att lagra och hämta nyckelvärden. Följ de här anvisningarna för att använda Azure Key Vault med en Azure-funktionsapp.

STEG 1 – Konfigurationssteg för QUALYS VM API

Logga in på qualys vulnerability management-konsolen med ett administratörskonto, välj fliken Användare och underfliken Användare .
Klicka på den nedrullningsbara menyn Ny och välj Användare..
Skapa ett användarnamn och lösenord för API-kontot.
På fliken Användarroller kontrollerar du att kontorollen är inställd på Manager och att åtkomst tillåts till GUI och API
Logga ut från administratörskontot och logga in på konsolen med de nya API-autentiseringsuppgifterna för validering och logga sedan ut från API-kontot.
Logga tillbaka till konsolen med ett administratörskonto och ändra API-kontonas användarroller, vilket tar bort åtkomsten till GUI.
Spara alla ändringar.

STEG 2 – Välj ETT av följande två distributionsalternativ för att distribuera anslutningsappen och den associerade Azure-funktionen

VIKTIGT! Innan du distribuerar Qualys VM-anslutningsappen måste du ha arbetsyte-ID:t och primärnyckeln för arbetsytan (kan kopieras från följande), samt Qualys VM API Authorization Key(er) som är lättillgängliga.

Kommentar

Den här anslutningsappen har uppdaterats, om du tidigare har distribuerat en tidigare version och vill uppdatera, ta bort den befintliga Qualys VM Azure-funktionen innan du distribuerar om den här versionen. Använd Qualys V2-version Arbetsbok, identifieringar.

Alternativ 1 – Arm-mall (Azure Resource Manager)

Använd den här metoden för automatisk distribution av Qualys VM-anslutningsappen med hjälp av en ARM Tempate.

Klicka på knappen Distribuera till Azure nedan.
Välj önskad prenumeration, resursgrupp och plats.
Ange arbetsyte-ID, arbetsytenyckel, API-användarnamn, API-lösenord, uppdatera URI:n och eventuella ytterligare URI-filterparametrar (varje filter ska avgränsas med en "&" symbol, inga blanksteg.)

Ange den URI som motsvarar din region. Den fullständiga listan över API Server-URL:er finns här – Det finns inget behov av att lägga till ett tidssuffix till URI:n. Funktionsappen lägger dynamiskt till tidsvärdet till URI:n i rätt format.

Standardtidsintervallet är inställt på att hämta de senaste fem (5) minuterna av data. Om tidsintervallet behöver ändras rekommenderar vi att du ändrar timerutlösaren för funktionsappen i enlighet med detta (i filen function.json, efter distributionen) för att förhindra överlappande datainmatning.

Obs! Om du använder Azure Key Vault-hemligheter för något av värdena ovan använder du@Microsoft.KeyVault(SecretUri={Security Identifier})schemat i stället för strängvärdena. Mer information finns i dokumentationen om Key Vault-referenser. 4. Markera kryssrutan märkt Jag godkänner de villkor som anges ovan. 5. Klicka på Köp för att distribuera.

Alternativ 2 – Manuell distribution av Azure Functions

Använd följande stegvisa instruktioner för att distribuera Quayls VM-anslutningsappen manuellt med Azure Functions.

1. Skapa en funktionsapp

Från Azure-portalen går du till Funktionsapp och väljer + Lägg till.
På fliken Grundläggande ser du till att Runtime-stacken är inställd på Powershell Core.
På fliken Värd kontrollerar du att plantypen Förbrukning (serverlös) är markerad.
Gör andra föredragna konfigurationsändringar om det behövs och klicka sedan på Skapa.

2. Importera funktionsappkod

I den nyligen skapade funktionsappen väljer du Funktioner i den vänstra rutan och klickar på + Ny funktion.
Välj Timer-utlösare.
Ange ett unikt funktionsnamn och lämna standardschemat för cron var 5:e minut och klicka sedan på Skapa.
Klicka på Kod + Test i det vänstra fönstret.
Kopiera funktionsappkoden och klistra in den i funktionsappredigerarenrun.ps1.
Klicka på Spara.

3. Konfigurera funktionsappen

I funktionsappen väljer du funktionsappens namn och väljer Konfiguration.
På fliken Programinställningar väljer du + Ny programinställning.
Lägg till var och en av följande åtta (8) programinställningar individuellt med sina respektive strängvärden (skiftlägeskänsliga): apiUsername apiPassword workspaceID workspaceKey uri filterParameters timeInterval logAnalyticsUri (valfritt)

Ange den URI som motsvarar din region. Den fullständiga listan över API Server-URL:er finns här. Värdet uri måste följa följande schema: https://<API Server>/api/2.0/fo/asset/host/vm/detection/?action=list&vm_processed_after= - Det finns inget behov av att lägga till ett tidssuffix till URI:n. Funktionsappen lägger dynamiskt till tidsvärdet till URI:n i rätt format.

Lägg till ytterligare filterparametrar för variabeln filterParameters som måste läggas till i URI:n. Varje parameter ska avgränsas med en "&"-symbol och bör inte innehålla några blanksteg.

timeInterval Ange värdet (i minuter) för 5 att motsvara timerutlösaren för varje 5 minut. Om tidsintervallet behöver ändras rekommenderar vi att du ändrar timerutlösaren för funktionsappen i enlighet med detta för att förhindra överlappande datainmatning.

Obs! Om du använder Azure Key Vault använder du@Microsoft.KeyVault(SecretUri={Security Identifier})schemat i stället för strängvärdena. Mer information finns i dokumentationen om Key Vault-referenser.

Använd logAnalyticsUri för att åsidosätta LOG Analytics API-slutpunkten för dedikerade moln. För offentliga moln lämnar du till exempel värdet tomt. för Azure GovUS-molnmiljö anger du värdet i följande format: https://<CustomerId>.ods.opinsights.azure.us. 4. När alla programinställningar har angetts klickar du på Spara.

4. Konfigurera host.json.

På grund av den potentiellt stora mängden Qualys-värdidentifieringsdata som matas in kan körningstiden överskrida standardtiden för funktionsappen på fem (5) minuter. Öka tidsgränsens standardvaraktighet till högst tio (10) minuter under förbrukningsplanen för att ge mer tid för funktionsappen att köras.

I funktionsappen väljer du funktionsappens namn och väljer bladet App Service-redigerare .
Klicka på Gå för att öppna redigeraren och välj sedan filen host.json under katalogen wwwroot .
Lägg till raden "functionTimeout": "00:10:00", ovanför managedDependancy raden
Se till att SAVED visas i det övre högra hörnet i redigeraren och avsluta sedan redigeraren.

Obs! Om en längre tidsgräns krävs kan du överväga att uppgradera till en App Service-plan

Nästa steg

Mer information finns i den relaterade lösningen på Azure Marketplace.

Share via