Microsoft Sentinel veri bağlayıcınızı bulma

  • Şunlara uygulanır: Microsoft Sentinel in the Microsoft Defender portal, Microsoft Sentinel in the Azure portal

Bu makalede desteklenen, kullanıma sunulan tüm veri bağlayıcıları ve her bağlayıcının dağıtım adımlarına bağlantılar listelenmektedir.

Önemli

Veri bağlayıcıları aşağıdaki tekliflerin bir parçası olarak kullanılabilir:

  • Çözümler: Birçok veri bağlayıcısı analiz kuralları, çalışma kitapları ve playbook'lar gibi ilgili içerikle birlikte Microsoft Sentinel çözümün bir parçası olarak dağıtılır. Daha fazla bilgi için Microsoft Sentinel çözümleri kataloğuna bakın.

  • Topluluk bağlayıcıları: daha fazla veri bağlayıcısı Microsoft Sentinel topluluğu tarafından sağlanır ve Azure Market'te bulunabilir. Topluluk veri bağlayıcılarına yönelik belgeler, bağlayıcıyı oluşturan kuruluşun sorumluluğundadır.

  • Özel bağlayıcılar: Listelenmeyen veya şu anda desteklenmeyen bir veri kaynağınız varsa kendi özel bağlayıcınızı da oluşturabilirsiniz. Daha fazla bilgi için bkz. Özel bağlayıcılar Microsoft Sentinel oluşturma kaynakları.

Not

US Government bulutlarındaki özellik kullanılabilirliği hakkında bilgi için bkz. US Government müşterileri için Bulut özellik kullanılabilirliği'ndeki Microsoft Sentinel tabloları.

Veri bağlayıcısı önkoşulları

Her veri bağlayıcısının kendi önkoşulları vardır. Önkoşullar Azure çalışma alanınız, aboneliğiniz veya ilkeniz üzerinde belirli izinlere sahip olmak olabilir. Ayrıca, bağlandığınız iş ortağı veri kaynağı için diğer gereksinimleri de karşılamanız gerekebilir.

Her veri bağlayıcısı için önkoşullar bu makalede ve Microsoft Sentinel ilgili veri bağlayıcısı sayfasında listelenmiştir.

Azure İzleyici aracısı (AMA) tabanlı veri bağlayıcıları, aracının yüklü olduğu sistemden bir İnternet bağlantısı gerektirir. Aracının yüklendiği sistem ile Microsoft Sentinel arasında bağlantı kurulmasına izin vermek için 443 numaralı giden bağlantı noktasını etkinleştirin.

Syslog ve Ortak Olay Biçimi (CEF) bağlayıcıları

Birçok güvenlik aleti ve cihazından günlük toplama, syslog veri bağlayıcıları tarafından AMA aracılığıyla veya Microsoft Sentinel'da AMAaracılığıyla Ortak Olay Biçimi (CEF) tarafından desteklenir. Microsoft Sentinel için Log Analytics çalışma alanınıza veri iletmek için syslog ve CEF iletilerini Azure İzleyici Aracısı ile Microsoft Sentinel alma adımlarını tamamlayın. Bu adımlar, Microsoft Sentinel'daki İçerik hub'ından bir güvenlik gereci veya cihazı için Microsoft Sentinel çözümünü yüklemeyi içerir. Ardından Syslog'u AMA veyaOrtak Olay Biçimi (CEF) aracılığıyla yüklediğiniz Microsoft Sentinel çözümüne uygun AMA veri bağlayıcısı aracılığıyla yapılandırın. Güvenlik cihazını veya aletini yapılandırarak kurulumu tamamlayın. Güvenlik cihazınızı veya aletinizi yapılandırma yönergelerini aşağıdaki makalelerden birinde bulabilirsiniz:

Daha fazla bilgi için veya alet veya cihaz için bilgilerin kullanılamadığı durumlarda çözüm sağlayıcısına başvurun.

AMA bağlayıcısı aracılığıyla Özel Günlükler

Microsoft Sentinel'da AMA bağlayıcısı aracılığıyla Özel Günlükler'i kullanarak Windows veya Linux makinelerinde yüklü ağ veya güvenlik uygulamalarından günlükleri metin dosyası biçiminde filtreleyin ve alın. Daha fazla bilgi için aşağıdaki makalelere bakın:

veri bağlayıcılarını Sentinel

Not

Aşağıdaki tabloda, Microsoft Sentinel İçerik hub'ında bulunan veri bağlayıcıları listelenir. Bağlayıcılar ürün satıcısı tarafından desteklenir. Destek için Desteklenenler bağlantısına bakın.

İpucu

Microsoft Sentinel alınan tabloların ve bunları alan bağlayıcıların listesi için bkz. tabloları ve ilişkili bağlayıcıları Microsoft Sentinel.

1Şifre

Tarafından desteklenir:1Password

Microsoft Sentinel için 1Password çözümü, 1Password Olay Raporlama API'sini kullanarak 1Password Business hesabınızdan oturum açma girişimlerini, öğe kullanımını ve denetim olaylarını almanızı sağlar. Bu, kuruluşunuzun kullandığı diğer uygulama ve hizmetlerle birlikte Microsoft Sentinel 1Password'daki olayları izlemenize ve araştırmanıza olanak tanır.

Kullanılan temel Microsoft Teknolojileri:

Bu çözüm aşağıdaki teknolojilere bağlıdır ve bazıları Önizleme durumunda olabilir veya ek alım veya işlem maliyetlerine neden olabilir:

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
OnePasswordEventLogs_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Microsoft.Web/sites izinleri: İşlev Uygulaması oluşturmak için Azure İşlevleri okuma ve yazma izinleri gereklidir. Daha fazla bilgi için bkz. Azure İşlevleri.
  • 1Password Events API Belirteci: 1Password Events API Belirteci gereklidir. Daha fazla bilgi için 1Password API'sine bakın.

Not: 1Password Business hesabı gereklidir

Kurulum Yönergeleri:

NOT: Bu bağlayıcı, günlükleri Microsoft Sentinel çekmek için 1Password'a bağlanmak için Azure İşlevleri kullanır. Bu, Azure ek veri alımı maliyetlerine neden olabilir. Ayrıntılar için Azure İşlevleri fiyatlandırma sayfasına bakın.

(İsteğe Bağlı Adım) Çalışma alanını ve API yetkilendirme anahtarlarını veya belirteçlerini Azure Key Vault güvenli bir şekilde depolayın. Azure Key Vault, anahtar değerlerini depolamak ve almak için güvenli bir mekanizma sağlar. Azure İşlev Uygulaması ile Azure Key Vault kullanmak için bu yönergeleri izleyin.

ADIM 1 - 1Password Olay Raporlama API'sinin yapılandırma adımları

1Password tarafından sağlanan bu yönergeleri izleyerek Bir Olay Raporlama API'si Belirteci alın. Not: 1Password Business hesabı gereklidir

ADIM 2 - Tablo, dcr ve ilişkili Azure İşlevi oluşturmak için DeployToAzure düğmesini kullanarak functionApp'i dağıtma

ÖNEMLİ: 1Password bağlayıcısını dağıtmadan önce özel bir tablo oluşturulması gerekir.

Seçenek 1 - Azure Resource Manager (ARM) Şablonu

Bu yöntem, ARM Tempate kullanarak 1Password bağlayıcısının otomatik dağıtımını sağlar.

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.ms

  2. Tercih edilen Abonelik, Kaynak Grubu ve Konum'a tıklayın.

  3. Çalışma Alanı Adı, Çalışma Alanı Adı, 1Parola Olayları API Anahtarı ve URI girin.

  • Varsayılan Zaman Aralığı beş (5) dakika olarak ayarlanır. Aralığı değiştirmek isterseniz, çakışan veri alımını önlemek için İşlev Uygulaması Zamanlayıcı Tetikleyicisini uygun şekilde ayarlayabilirsiniz (function.json dosyasında dağıtım sonrası).
  • Not: Yukarıdaki değerlerden herhangi biri için Azure Key Vault gizli dizileri kullanıyorsanız, dize değerleri yerine şemayı kullanın@Microsoft.KeyVault(SecretUri={Security Identifier}). Daha fazla ayrıntı için Key Vault başvuru belgelerine bakın.
  1. Yukarıda belirtilen hüküm ve koşulları kabul ediyorum etiketli onay kutusunu işaretleyin.
  2. Dağıtmak için Satın Al'a tıklayın.



1Password (Sunucusuz)

Tarafından desteklenir:1Password

1Password CCF bağlayıcısı, kullanıcının 1Password Audit, Signin & ItemUsage olaylarını Microsoft Sentinel almasına olanak tanır.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
OnePasswordEventLogs_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • 1Password API belirteci: 1Password API Belirteci gereklidir. API belirteci oluşturma hakkında 1Password belgelerine bakın.

Kurulum Yönergeleri:

ADIM 1 - 1Password API belirteci oluşturma:

Bu adımla ilgili yönergeler için 1Password belgelerini izleyin.

2. ADIM - Doğru temel URL'yi seçin:

Olaylarınızı barındırabilecek birden çok 1Password sunucusu vardır. Doğru sunucu lisansınıza ve bölgenize bağlıdır. Doğru sunucuyu seçmek için 1Password belgelerini izleyin. Belgeler tarafından görüntülenen temel URL'yi girin ('https://' dahil ve sondaki '/' olmadan).

3. ADIM - 1Parola Ayrıntılarınızı girin:

1Password temel URL'sini & API Belirtecini aşağıya girin:

  • Temel Url: (Temel Url'nizi girin)
  • API Belirteci: (API Belirtecinizi girin)
  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



42Crunch API Koruması (Kodsuz Bağlantı Çerçevesi Üzerinden Push Connector)

Tarafından desteklenir:Microsoft Corporation

42Crunch API korumasını Microsoft Sentinel'e Azure İzleyici DCE/DCR REST API arayüzü üzerinden bağlar. Entegrasyon, API trafik kayıtlarını tehdit tespiti ve analiz için Microsoft Sentinel'e iletmek amacıyla Docker konteynerlerini (API Firewall ve Log Forwarder) kullanır.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
FortyTwoCrunchAPIProtectionV2 Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • Microsoft. Insights/dataCollectionEndpoints: Modern push connector'un harici güvenlik sisteminden veri alabilmesi için Veri Toplama Uç noktası gereklidir.
  • Microsoft. Insights/dataCollectionRules: Gelen veriler için şemayı ve dönüşümleri tanımlamak için Veri Toplama Kuralı gereklidir.
  • Microsoft. Yetkilendirme/RoleAssignments: Rol atama, Entra uygulamasına veri gönderme izinlerini vermek için gereklidir.
  • 42Crunch API Güvenlik Duvarı gereksinimi: 42Crunch API Güvenlik Duvarı ve Log Forwarder Docker konteynerleri dağıtılmış ve çalışmalıdır. API Güvenlik Duvarı tokenınızı (42C_FIREWALL_TOKEN) ve platform URL'nizi (42C_PLATFORM_URL) 42Crunch platformundan edinin.https://platform.42crunch.com Tam dağıtım talimatları şu adreste https://github.com/42Crunch/azure-sentinel-integrationmevcuttur.

Kurulum Yönergeleri:

1. ARM Kaynakları Oluşturma ve Gerekli İzinleri Sağlama

Bu bağlayıcı, harici güvenlik sistemlerinden veri alır ve günlükleri Microsoft Sentinel'e gönderir. Harici sistem, ham olay verilerini Microsoft Sentinel Ingestion API'sine gönderecek şekilde yapılandırılmalıdır. Deploy tuşuna tıklamak, Log Analytics tablolarının ve bir Veri Toplama Kuralı (DCR) oluşturulmasını tetikler. Ardından bir Entra uygulaması oluşturur, DCR'yi buna bağlar ve uygulamaya girilen gizli diziyi ayarlar. Bu kurulum, verilerin Entra belirteci kullanılarak DCR'ye güvenli bir şekilde gönderilmesini sağlar.

Konnektör kurulum süreci hakkında daha fazla bilgi edinin

Azure Resource Deployment

Dağıtım süreci aşağıdaki kaynakları oluşturacaktır:

  • Log Analytics özel tablo(lar)
  • Veri Toplama Uç Noktası (DCE)
  • Veri Toplama Kuralı (DCR)
  • Entra ID Başvuru Kaydı
  • Veri alımı için rol atamaları

Yapılandırma Değerleri

Dağıtımdan sonra, harici güvenlik sisteminizi yapılandırmak için aşağıdaki değerleri kopyalayın:

  • Kiracı Kimliği (Dizin Kimliği): <Yükleme zamanında sağlanan değişken değeri>
  • Entra Uygulama Kaydı Uygulama Kimliği: <yükleme zamanında sağlanan değişken değeri>
  • Entra Uygulama Kaydı Gizli Anahtarı: <yükleme zamanında sağlanan değişken değeri>
  • Veri Toplama Uç Noktası URL'si: <kurulum zamanında sağlanan değişken değeri>
  • Veri Toplama Kuralı Sabit Kimliği: <yükleme zamanında sağlanan değişken değer>
  • Stream Name (FortyTwoCrunchAPIProtectionV2): <kurulum zamanında sağlanan değişken değeri>

Not: Bu değerleri güvenli tutun. Dış güvenlik sisteminizi yapılandırmak için onlara ihtiyacınız olacak.

2. Dış sisteminizi logları itecek şekilde yapılandırın

Aşağıdaki parametreleri kullanarak harici güvenlik sisteminizi logları çalışma alanına gönderecek şekilde yapılandırmak için kullanın.

Yapılandırma Adımları

  1. Dış güvenlik sisteminizin yapılandırma arayüzüne erişin.
  2. Veri yönlendirme, entegrasyon veya SIEM ayarlarına gidin.
  3. Destination olarak Azure İzleyici veya Microsoft Sentinel seçin.
  4. Doğrulama yöntemi olarak Veri Toplama Uç Noktası seçin.
  5. Önceki adımdaki değerlerle gerekli alanları yapılandırın:
    • Kiracı Kimliği: Yukarıdan kopya
    • Uygulama (İstemci) Kimliği: Yukarıdan kopyalayın
    • İstemci Gizri: Yukarıdan kopyalayın
    • Veri Toplama Uç Noktası: Yukarıdan kopyalayın
    • Veri Toplama Kuralı Değişmez ID: Yukarıdan kopyala
    • Akarsu Adı: Yukarıdan uygun akarsu adını kopyalayın
  6. Konfigürasyonu kaydedin ve yönlendiriciyi etkinleştirin/başlatın.

Validation

Not: Veriler, birkaç dakika içinde Log Analytics çalışma alanınızda FortyTwoCrunchAPIProtectionV2 tablosunda görünecektir.

Verilerin alındığını doğrulamak için, Log Analytics çalışma alanınızda aşağıdaki sorguyu çalıştırın:

FortyTwoCrunchAPIProtectionV2
| where TimeGenerated > ago(1h)
| take 10

Troubleshooting

Veri görünmüyorsa:

  • Konfigürasyon değerlerinin doğru olduğundan emin olun

  • Yönlendirici/entegrasyonun etkin ve çalıştığını kontrol edin

  • Dış güvenlik sisteminizdeki kayıtları herhangi bir hata için inceleyin

  • Sisteminizden Azure'a ağ bağlantısını sağlayın

  • Entra uygulamasının doğru izinlere sahip olduğundan emin olun

    Azure kaynaklarını dağıttıktan sonra, 42Crunch Log Forwarder Docker konteynerini, eski HTTP Veri Toplayıcı API'si yerine dağıtılan DCE/DCR uç noktalarına veri gönderecek şekilde yapılandırın.

Update Docker Compose / Helm Chart Environment Variables

Not: Bu adım, eski HTTP Data Collector API'sini kullanan mevcut bir 42Crunch Log Forwarder dağıtımınız varsa geçerlidir. Eski WORKSPACE_ID ve WORKSPACE_KEY ortam değişkenlerini yeni DCE/DCR yapılandırması ile değiştirerek taşın:

environment:
Legacy (remove these):
- WORKSPACE_ID=<workspace-id>
- WORKSPACE_KEY=<primary-key>

New CCF Push Connector configuration:
  - DCE_ENDPOINT=<data-collection-endpoint-url>
  - DCR_IMMUTABLE_ID=<data-collection-rule-immutable-id>
  - DCR_STREAM_NAME=Custom-FortyTwoCrunchAPIProtectionV2_CL

42Crunch platform credentials (unchanged):
  - 42C_FIREWALL_TOKEN=<your-firewall-token>
  - 42C_PLATFORM_URL=<your-platform-url>

Not: Mevcut bir Docker dağıtımınız yoksa veya takip edilecek bir örnek istiyorsanız, aşağıdaki adımları kullanın.

  1. Örnek dağıtımı indirin

Klasörü sample-deployment Azure-Sentinel deposundan indirin. Bu sistem, docker-compose.ymlMicrosoft Sentinel'e veri göndermek için kullanılan , .env.example, ve log forwarder'ı içerir.

  1. Dosyanızı .env oluşturun

Kopyalayın .env.example.env ve değerlerinizi çalıştırmadan docker compose upönce doldurun.

  • Varsayılan olarak bu örnek çevrimiçi modda çalışır ve 42Crunch platform tokenı gerektirir.
  • Çevrimdışı modda çalıştırmak için (token gerekmeden) .PROTECTION_TOKEN=NOTUSEDPLATFORM_CONNECTIVITY=NONEdocker-compose.yml

GÜVENLİK: DosyayaCLIENT_SECRET KOYMAYIN.env. Bunun yerine bir shell ortam değişkeni olarak geçin. Docker Compose shell ortam değişkenlerini .env dosyayla otomatik olarak birleştirir.

PowerShell
$env:CLIENT_SECRET = (Read-Host -Prompt "CLIENT_SECRET" -AsSecureString | ConvertFrom-SecureString -AsPlainText)
docker compose up --build

Bash/Linux
read -rs CLIENT_SECRET && export CLIENT_SECRET
docker compose up --build
  1. 42Crunch koruma tokeninizi edinin

42Crunch platformundan (platform.42crunch.com):

  • Çevrimiçi mod: Protect > your API > Protection > Firewall Instances > Add instance'dan token alın.

  • Çevrimdışı mod (platform hesabı yok): PROTECTION_TOKEN=NOTUSED ayarlar ve yorumları PLATFORM_CONNECTIVITY=NONE kaldırın docker-compose.yml.

    DCE uç nokta URL'si ve DCR değişmez kimliği, ARM kaynakları Step 1'de dağıtıldıktan sonra görüntülenir. Tam yapılandırma detayları için 42Crunch Microsoft Sentinel Entegrasyon dokümantasyonuna bakınız.

    Tam bir göç rehberi için 42Crunch API Koruma Göç Rehberi'ne bakınız.

Önemli: Bağlantı Durumu

Bu itme tabanlı bir konnektördür - 42Crunch Log Forwarder'dan veri alır ve aktif bir anket bağlantısı sürdürmez. Son 7 gün içinde veri alındığında konnektör Bağlı olarak görünüyor.

Konnektörü kaldır

Konnektör örneğini kapatıp silmek için bu adımları izleyin.

Connector Instance'ı Sil

  1. Konnektörü kesip erişimini iptal etmek için Erişimi İptal Et butonunu seçin.
  2. Veri bağlayıcıları sayfasına geri dönün, bağlayıcının taşma menüsünü (üç nokta) seçin ve Delete'yi seçerek bağlayıcı örneğini kaldırın.
  3. İçerik merkezine gidin, ilgili çözümü bulun ve kaldırmayı tamamlamak için onu silin.

Bu, itici konnektör örneğini kaldırır. Log Analytics çalışma alanınızdaki geçmiş veriler korunacaktır.



Anormal Güvenlik (İtme)

Tarafından desteklenir:Anormal Güvenlik

Abnormal Güvenlik bağlayıcısı, gerçek zamanlı güvenlik olaylarını (tehditler, vakalar, denetim kayıtları, kötüye kullanım posta kutusu raporları, duruş değişiklikleri, ATO vakaları, iyileştirmeler ve satıcı vakaları) Abnormal'ın bulut e-posta güvenlik platformundan Microsoft Sentinel'e Codeless Connector Framework (CCF) Push modeli kullanarak taşır. Olaylar, eski bağlayıcı adlandırma geleneğine uygun etkinlik tipi tablolara yönlendirilir ve böylece sorunsuz geçiş sağlanır.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
ABNORMAL_SECURITY_THREAT_LOG_CL Evet Evet
ABNORMAL_SECURITY_CASE_CL Evet Evet
ABNORMAL_SECURITY_AUDIT_LOG_CL Evet Evet
ABNORMAL_SECURITY_ABUSE_MAILBOX_CL Evet Evet
ABNORMAL_SECURITY_POSTURE_CHANGE_CL Evet Evet
ABNORMAL_SECURITY_ATO_CASE_CL Evet Evet
ABNORMAL_SECURITY_REMEDIATION_CL Evet Evet
ABNORMAL_SECURITY_VENDOR_CASE_CL Evet Evet
ABNORMAL_SECURITY_LOGS_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Microsoft Entra: Microsoft Entra ID'da uygulama kaydı oluşturma izni. Genellikle Entra Kimliği Uygulama Geliştirici rolü veya üzeri gerekir.
  • Microsoft Azure: Veri toplama kuralında (DCR) İzleme Ölçümleri Yayımcısı rolü atama izni. Genellikle Azure RBAC Sahibi veya Kullanıcı Erişimi Yöneticisi rolü gerektirir.
  • Anormal Güvenlik: SIEM entegrasyon ayarlarına erişimle Active Anormal Security aboneliği.

Kurulum Yönergeleri:

1. Bağlayıcı Kaynaklarını Dağıtma

Bu bağlayıcı, Abnormal Security'nin gerçek zamanlı güvenlik olaylarını Azure İzleyici Ingestion API'si üzerinden doğrudan Microsoft Sentinel'e göndermesini sağlar.

Otomatik Yapılandırma Dağıt tuşuna tıklayarak şunları oluşturacak:

  • Olay türü yönlendirme için 9 özel log tablosu
  • 9 akışla Veri Toplama Kuralı (DCR)
  • Alınma için Veri Toplama Uç Noktası (DCE)
  • OAuth kimlik bilgileriyle Microsoft Entra uygulaması
  • Zorunlu IAM rol atamaları (Monitoring Metrics Publisher)

Bu, Anormal Security'nin OAuth 2.0 istemci kimlik bilgilerini kullanarak olayları güvenli bir şekilde göndermesini sağlar.

2. Anormal Güvenliği Yapılandırın

Anormal Güvenlik Portalı'nda Microsoft Sentinel entegrasyonunu yapılandırmak için aşağıdaki parametreleri kullanın.

  • Kiracı Kimliği (Dizin Kimliği): <Yükleme zamanında sağlanan değişken değeri>
  • Uygulama (İstemci) Kimliği: <Yükleme zamanında sağlanan değişken değeri>
  • İstemci Gizli Anahtarı: <yükleme zamanında sağlanan değişken değeri>
  • Veri Toplama Uç Noktası URI'si: <yükleme zamanında sağlanan değişken değeri>
  • Veri Toplama Kuralı Değişmez ID:< kurulum sırasında> sağlanan değişken değer Anormal Güvenlik Portalı'nda yapılandır
  1. Anormal Güvenlik Portalına Giriş Yapın
  2. Settings > Integrations > SIEM'e gidin
  3. Select Microsoft Sentinel (Azure İzleyici CCF)
  4. Yukarıdan tüm 7 değeri girin
  5. Bağlantıyı test etmek için Kimlik Bilgilerini Doğrula'na tıklayın
  6. Kaydet'e tıklayın ve entegrasyonu etkinleştirin Çok tablolu yönlendirme: Olaylar otomatik olarak olay türü tablolara yönlendirilir (örneğin, tehdit kayıtları →ABNORMAL_SECURITY_THREAT_LOG_CL, vakalar → ABNORMAL_SECURITY_CASE_CL). Bilinmeyen olay türleri yedek tabloya ABNORMAL_SECURITY_LOGS_CLgider.

3. Veri Alımını Doğrulama

Olayların Anormal Güvenlikten Sentinel'e aktığını doğrulayın.

Entegrasyonu etkinleştirdikten sonra 5-10 dakika bekleyin, ardından bu KQL sorgusunu çalıştırın:

Union ABNORMAL_SECURITY_THREAT_LOG_CL, ABNORMAL_SECURITY_CASE_CL, ABNORMAL_SECURITY_AUDIT_LOG_CL, ABNORMAL_SECURITY_ABUSE_MAILBOX_CL, ABNORMAL_SECURITY_POSTURE_CHANGE_CL, ABNORMAL_SECURITY_ATO_CASE_CL, ABNORMAL_SECURITY_REMEDIATION_CL, ABNORMAL_SECURITY_VENDOR_CASE_CL, ABNORMAL_SECURITY_LOGS_CL | burada TimeGenerated > ago(1h) | extend event_type = tostring(abx_metadata.event_type) | count() ile event_type ile özetle | order by count_ desc

15 dakika sonra veri görünmezse, Anormal Güvenlik Portalı'nda kimlik bilgilerini doğrulayın ve Azure İzleyici'da alım hatalarını kontrol edin.



AbnormalSecurity (using Azure İşlevleri)

Tarafından desteklenir:Anormal Güvenlik

Anormal Güvenlik veri bağlayıcısı, Anormal Güvenlik Rest API'sini kullanarak tehdit ve olay günlüklerini Microsoft Sentinel alma özelliği sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
ABNORMAL_THREAT_MESSAGES_CL Evet Evet
ABNORMAL_CASES_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Microsoft.Web/sites izinleri: İşlev Uygulaması oluşturmak için Azure İşlevleri okuma ve yazma izinleri gereklidir. Daha fazla bilgi için bkz. Azure İşlevleri.
  • Anormal Güvenlik API'si Belirteci: Anormal Güvenlik API'si Belirteci gereklidir. Daha fazla bilgi için bkz. Anormal Güvenlik API'si. Not: Anormal Bir Güvenlik hesabı gereklidir

Kurulum Yönergeleri:

NOT: Bu bağlayıcı, günlükleri Microsoft Sentinel çekmek üzere Anormal Güvenlik REST API'sine bağlanmak için Azure İşlevleri kullanır. Bu, ek veri alımı maliyetlerine neden olabilir. Ayrıntılar için Azure İşlevleri fiyatlandırma sayfasına bakın.

ADIM 1 - Anormal Güvenlik API'si yapılandırma adımları

REST API tümleştirmesini yapılandırmak için Anormal Güvenlik tarafından sağlanan bu yönergeleri izleyin. Not: Anormal Bir Güvenlik hesabı gereklidir

ADIM 2 - Bağlayıcıyı ve ilişkili Azure İşlevini dağıtmak için aşağıdaki iki dağıtım seçeneğinden Bİrİ'ni seçin

ÖNEMLİ: Anormal Güvenlik veri bağlayıcısını dağıtmadan önce Çalışma Alanı Kimliği ve Çalışma Alanı Birincil Anahtarına (aşağıdakilerden kopyalanabilir) ve Anormal Güvenlik API'si Yetkilendirme Belirteci'ne sahip olun.

  • Çalışma Alanı Kimliği: <Yükleme zamanında sağlanan değişken değeri>
  • Birincil Anahtar: <Yükleme zamanında sağlanan değişken değeri>

Seçenek 1 - Azure Resource Manager (ARM) Şablonu

Bu yöntem, ARM Şablonu kullanarak Anormal Güvenlik bağlayıcısının otomatik dağıtımını sağlar.

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.ms

  2. Tercih edilen Abonelik, Kaynak Grubu ve Konum'a tıklayın.

  3. Paylaşılan Anahtar ve Anormal Güvenlik REST API Anahtarı Microsoft Sentinel Microsoft Sentinel Çalışma Alanı Kimliğini girin.

  • Varsayılan Zaman Aralığı , verilerin son beş (5) dakikasını çekecek şekilde ayarlanır. Zaman aralığının değiştirilmesi gerekiyorsa, çakışan veri alımını önlemek için İşlev Uygulaması Zamanlayıcı Tetikleyicisi'nin uygun şekilde değiştirilmesi önerilir (function.json dosyasında dağıtım sonrası).
  1. Yukarıda belirtilen hüküm ve koşulları kabul ediyorum etiketli onay kutusunu işaretleyin.
  2. Dağıtmak için Satın Al'a tıklayın.

Seçenek 2 - Azure İşlevleri El ile Dağıtımı

Anormal Güvenlik veri bağlayıcısını Azure İşlevleri (Visual Studio Code aracılığıyla dağıtım) ile el ile dağıtmak için aşağıdaki adım adım yönergeleri kullanın.

  1. İşlev Uygulaması Dağıtma

NOT: VS kodunu Azure işlev geliştirme için hazırlamanız gerekir.

  1. Azure İşlev Uygulaması dosyasını indirin. Arşivi yerel geliştirme bilgisayarınıza ayıklayın.

  2. VS Code'ı başlatın. Ana menüde Dosya'yı ve ardından Klasörü Aç'ı seçin.

  3. Ayıklanan dosyalardan en üst düzey klasörü seçin.

  4. Etkinlik çubuğunda Azure simgesini seçin, ardından Azure: İşlevler alanında İşlev uygulamasına dağıt düğmesini seçin. Henüz oturum açmadıysanız, Etkinlik çubuğunda Azure simgesini seçin, ardından Azure: İşlevler alanında Oturum aç'ı seçerek Azure Oturum açtıysanız sonraki adıma geçin.

  5. İstemlerde aşağıdaki bilgileri sağlayın:

    a. Klasör seçin: Çalışma alanınızdan bir klasör seçin veya işlev uygulamanızı içeren klasöre göz atın.

    b. Abonelik'i seçin: Kullanılacak aboneliği seçin.

    c. Azure'de yeni İşlev Uygulaması oluştur'u seçin (Gelişmiş seçeneğini belirleme)

    d. İşlev uygulaması için genel olarak benzersiz bir ad girin: URL yolunda geçerli bir ad yazın. Yazdığınız ad, Azure İşlevleri benzersiz olduğundan emin olmak için doğrulanır. (ör. AnormalGüvenlikXX).

    e. Çalışma zamanı seçin: Python 3.11'i seçin.

    f. Yeni kaynaklar için bir konum seçin. Daha iyi performans ve düşük maliyetler için Microsoft Sentinel bulunduğu bölgeyi seçin.

  6. Dağıtım başlar. İşlev uygulamanız oluşturulduktan ve dağıtım paketi uygulandıktan sonra bir bildirim görüntülenir.

  7. İşlev Uygulaması yapılandırması için Azure portalı'na gidin.

  8. İşlev Uygulamasını Yapılandırma

  9. İşlev Uygulamasında İşlev Uygulaması Adı'nı ve ardından Yapılandırma'yı seçin.

  10. Uygulama ayarları sekmesinde + Yeni uygulama ayarı'nı seçin.

  11. Aşağıdaki uygulama ayarlarının her birini ilgili dize değerleriyle (büyük/küçük harfe duyarlı) tek tek ekleyin: SENTINEL_WORKSPACE_ID SENTINEL_SHARED_KEY ABNORMAL_SECURITY_REST_API_TOKEN logAnalyticsUri (isteğe bağlı) (İşlev Uygulaması için gereken diğer ayarları ekleyin) Değeri şu şekilde ayarlayın uri : <add uri value>

Not: Yukarıdaki değerlerden herhangi biri için Azure Key Vault gizli dizileri kullanıyorsanız, dize değerleri yerine şemayı kullanın@Microsoft.KeyVault(SecretUri={Security Identifier}). Diğer ayrıntılar için Azure Key Vault başvuru belgelerine bakın.

  • Ayrılmış bulut için log analytics API uç noktasını geçersiz kılmak için logAnalyticsUri kullanın. Örneğin, genel bulut için değeri boş bırakın; Azure GovUS bulut ortamı için değeri aşağıdaki biçimde belirtin:https://<CustomerId>.ods.opinsights.azure.us.
  1. Tüm uygulama ayarları girildikten sonra Kaydet'e tıklayın.



Ajan 365

Tarafından desteklenir:Microsoft Corporation

Agent 365 veri bağlayıcısı, aracı davranışını, araç kullanımını ve avcılık, graf ve MCP iş akışlarıyla yürütmeyi araştırmak için Microsoft Sentinel veri gölünde Agent 365, AI Foundry ve Copilot'tan yapay zeka aracı telemetrisi getirerek yapay zeka aracısı etkinliği hakkında daha zengin içgörüler sağlar. Bu bağlayıcıdaki veriler yapay zeka aracısı davranışını, araç kullanımını ve Microsoft Sentinel yürütmeyi araştırmak için kullanılır. Bu iş akışlarını etkinleştirdiyseniz, bu bağlayıcının devre dışı bırakılması bu araştırmaların gerçekleştirilmesini engeller.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Kurulum Yönergeleri:



Airlock Digital (Anket - SaaS)

Desteklenen:Airlock Digital

Airlock DigitalSaaS konnektörü, Airlock Digital SaaS API'den zaman zaman yürütme geçmişi ve sunucu etkinlik kayıtlarını çeker ve kullanıcı API anahtarı ile dizin ve kiracı tanımlayıcılarınızla kimlik doğrulamasını sağlar. Airlock Digital'ın barındırılan SaaS teklifinin anket bağlayıcısıdır ve politika değişiklik kayıtlarını toplamaz. Kendi kendine barındırılan sunucular veya v7.0 veya üzeri Airlock Digital SaaS için, Airlock Digital (Push) konnektörü olayları neredeyse gerçek zamanlı olarak sunar ve politika değişikliklerini toplar. V7.0'dan eski kendi kendine hostlanan sunucular için Airlock Digital (Poll) konnektörünü kullanın.

NOT: Her Airlock Digital sunucusu için bir konnektör kullanın. Aynı sunucu birden fazla Airlock Digital konnektör tarafından toplanırsa, tablolarda tekrarlanan veriler doldurulur.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
AirlockDigitalExecutionHistories_CL Hayır Hayır
AirlockDigitalServerActivities_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • Airlock Dijital SaaS API kimlik bilgileri: Airlock Digital SaaS örneğiniz için bir kullanıcı API anahtarı, dizin kimliği ve kiracı kimliği.

Kurulum Yönergeleri:

Airlock Dijital SaaS API'sine erişimi yapılandırmak

Bağlantı kurmadan önce Airlock Digital SaaS kiracınızda API erişimi kurun.

Sunucu URL'niz portal adresinizden gelir: https://portal.au.example.com/tenant/XYZ/dashboard ön eki ve en üst düzey alan adından sonraki her şeyi alıp bırakınportal., kalın.https://au.example.com

Kullanıcı API anahtarı, dizin kimliği ve kiracı kimliği Airlock Digital'de Kullanıcı Menüsü > Profilim altında yer alıyor.

Kayıtlar her beş dakikada bir anket yapılıyor.

Airlock Digital SaaS örneklerini Microsoft Sentinel'e bağla

Bu konnektör, birden fazla eşzamanlı bağlantıyı destekler. Her Airlock Digital SaaS örneği için bir bağlantı ekleyin; her bağlantı seçilen veri tiplerini paralel olarak alır. Mevcut bağlantıları incelemek veya yenisini eklemek için aşağıdaki ızgonu kullanın.

  • Veri Bağlayıcıları Kılavuzu (portalda yapılandır)



Airlock Digital (Anket)

Desteklenen:Airlock Digital

Airlock DigitalPoll bağlayıcısı, kendi kendine barındırılan bir Airlock Digital sunucusunun REST API'sinden zaman zaman yürütme geçmişi ve sunucu etkinlik kayıtlarını çeker ve kullanıcı API anahtarıyla kimlik doğrulamasını sağlar. V7.0'dan eski ve push-tabanlı loglamayı desteklemeyen sunucular için tasarlanmıştır ve politika değişikliği loglarını toplamaz. Kendi kendine barındırılan sunucular veya v7.0 veya üzeri Airlock Digital SaaS için Airlock Digital (Push) konnektör olayları neredeyse gerçek zamanlı olarak sunar; Airlock Digital SaaS için Airlock Digital (Poll - SaaS) konnektörü de mevcuttur.

NOT: Her Airlock Digital sunucusu için bir konnektör kullanın. Aynı sunucu birden fazla Airlock Digital konnektör tarafından toplanırsa, tablolarda tekrarlanan veriler doldurulur.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
AirlockDigitalExecutionHistories_CL Hayır Hayır
AirlockDigitalServerActivities_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • Airlock Digital API anahtarı: Airlock Digital sunucunuz için bir API anahtarı.

Kurulum Yönergeleri:

Airlock Dijital API'sine erişimi yapılandırmak

Bağlantı kurmadan önce Airlock Digital sunucunuzda API erişimi kurun.

Airlock Digital REST API'si varsayılan olarak 3129 portunda dinler, bu yüzden sunucu URL'niz şöyle görünüyor https://airlock.company.com:3129ki . Sunucu Azure'dan ulaşılabilir olmalıdır.

Airlock Digital'de Kullanıcı Menüsü > My Profile > API Keys altında bir API anahtarı oluşturun.

Kayıtlar her beş dakikada bir anket yapılıyor.

Airlock Digital sunucularını Microsoft Sentinel'e bağlayın

Bu konnektör, birden fazla eşzamanlı bağlantıyı destekler. Her Airlock Digital sunucusu için bir bağlantı ekleyin; her bağlantı seçilmiş veri tiplerini paralel olarak alır. Mevcut bağlantıları incelemek veya yenisini eklemek için aşağıdaki ızgonu kullanın.

  • Veri Bağlayıcıları Kılavuzu (portalda yapılandır)



Airlock Digital (İtme)

Desteklenen:Airlock Digital

Airlock DigitalPush konnektörü, yürütme geçmişi, sunucu aktivitesi ve politika değişikliği loglarını neredeyse gerçek zamanlı olarak Microsoft Sentinel'e aktarıyor. Hem kendi kendine barındırılan sunucuları hem de v7.0 veya üzerini çalıştıran Airlock Digital SaaS'ı destekler. Olaylar, gerçekleştikçe Airlock'un harici kayıt özelliği tarafından itilir, böylece anket gecikmesi yoktur ve kimlik doğrulama Microsoft Entra uygulamasını kullanır. Airlock Digital v7.0 ve üzeri için önerilen konnektör budur. V7.0'dan eski kendi kendine hostlanan sunucular için Airlock Digital (Poll) konnektörünü kullanın.

NOT: Her Airlock Digital sunucusu için bir konnektör kullanın. Aynı sunucu birden fazla Airlock Digital konnektör tarafından toplanırsa, tablolarda tekrarlanan veriler doldurulur.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
AirlockDigitalExecutionHistories_CL Hayır Hayır
AirlockDigitalServerActivities_CL Hayır Hayır
AirlockDigitalPolicyChanges_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • Microsoft Entra: Microsoft Entra ID'da uygulama kaydı oluşturma izni. Genellikle Uygulama Geliştiricisi rolü veya daha üzerini gerektirir.
  • Microsoft Azure: Veri toplama kuralına Monitoring Metrics Publisher rolünü atama izni. Genellikle Sahibi veya Kullanıcı Erişim Yöneticisi gerektirir.

Kurulum Yönergeleri:

1. İtme kaynaklarını dağıtın

Bu adım, Airlock'un Microsoft Sentinel'e loglar göndermek için kullandığı veri toplama kuralını, özel tabloyu ve Microsoft Entra uygulamasını sağlar.

Not: Müşteri Sırrı asla saklanmaz. Sadece bir kez, Dağıt'ı seçtikten hemen sonra gösterilir ve bağlayıcı sayfası birkaç saniye içinde temizleyebilir, bu yüzden alanın yanındaki kopyalama simgesini kullanarak hemen kopyalayabilir. Eğer kaçırırsanız, Microsoft Entra ID Uygulama kayıtları'ı açın, Airlock Digital Log Push OAuth adlı uygulamayı seçin, Certificates & secrets bölümüne gidin, yeni bir istemci sırrı oluşturun ve değerini kopyalayın. Orada, o sayfadan ayrılana kadar görünür kalıyor.

2. Hava kilidinin harici kaydını yapılandırın

Airlock Digital sunucunuzda, Settings > Logging > External Logging bölümüne gidin ve aşağıdaki değerleri kullanarak bir Microsoft Sentinel CEF - HTTP(S) log alıcısı ekleyin.

  • Kiracı Kimliği: <Yükleme zamanında sağlanan değişken değeri>
  • Uygulama (İstemci) Kimliği: <Yükleme zamanında sağlanan değişken değeri>
  • İstemci Gizli Anahtarı: <yükleme zamanında sağlanan değişken değeri>
  • Veri Toplama Uç Noktası URI'si: <yükleme zamanında sağlanan değişken değeri>
  • DCR Sabit Kimliği: <yükleme zamanında sağlanan değişken değeri>
  • Stream Adı: <yükleme zamanında sağlanan değişken değeri>



Airlock Digital bağlayıcısı (Kodsuz Bağlayıcı Çerçevesi aracılığıyla)

Tarafından desteklenir:Microsoft Corporation

Airlock Digital bağlayıcısı, Airlock Digital sunucunuzdan uygulama denetim ve yürütme günlüklerini toplar ve Microsoft Sentinel'deki dosya yürütmeleri, sunucu etkinlikleri ve güvenlik olayı özetleri hakkında görünürlük sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
AirlockDigitalServerActivities Hayır Hayır
AirlockDigitalExecutionHistories Hayır Hayır
AirlockDigitalFileActivitySummary Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • Airlock Digital API Anahtarı: Günlük uç noktalarına okuma erişimi olan API Anahtarı. Airlock Digital Web kullanıcı arabiriminden oluşturma: Kullanıcı Menüsü > Ayarları > API Anahtarları.

Kurulum Yönergeleri:

1. Airlock Dijital API Erişimini Yapılandırma

Airlock Digital için API bağlantı ayrıntılarını sağlama

Başlamadan önce:

  • Airlock Digital sunucunuza erişim
  • Airlock Digital'den API Anahtarı (Kullanıcı Menüsü > Ayarları > API Anahtarları)
  • Sunucuya Azure erişilebilir olmalıdır (güvenlik duvarının bağlantılara izin verdiğinden emin olun)

Temel URL: Airlock Digital sunucu URL'nizi girin. REST API için varsayılan bağlantı noktası 3129'dur. Örnek: https://airlock.company.com:3129

Bağlayıcı aşağıdakileri toplar:

  • Sunucu Etkinlikleri: Yönetim eylemleri, ilke değişiklikleri, aracı iadeleri ve depo güncelleştirmeleri
  • Yürütme Geçmişleri: Dosya karmaları, yayımcılar ve kullanıcı ayrıntılarıyla engellenen, denetlenen ve güvenilen yürütmeler de dahil olmak üzere dosya yürütme olayları
  • Dosya Etkinliği Özeti: Dosya etkinliği, güvenlik olayları ve yürütme eğilimleriyle ilgili toplu istatistikler Veri yenileme: Günlükler her 5 dakikada bir alınır. Veriler, bağlantıdan sonraki 5-10 dakika içinde görünmelidir.

2. Airlock Digital sunucularını Microsoft Sentinel'e bağlayın

Bu konnektör, birden fazla eşzamanlı bağlantıyı destekler. Her Airlock Digital sunucusu için bir bağlantı ekleyin; her bağlantı seçilmiş veri tiplerini paralel olarak alır. Mevcut bağlantıları incelemek veya yenisini eklemek için aşağıdaki ızgonu kullanın.

  • Veri Bağlayıcıları Kılavuzu (portalda yapılandır)



AIShield

Tarafından desteklenir:AIShield

AIShield bağlayıcısı, kullanıcıların Microsoft Sentinel ile AIShield özel savunma mekanizması günlükleriyle bağlantı kurmasına olanak tanıyarak yapay zeka sistemlerine yönelik araştırma ve engelleme saldırılarını iyileştirmek için dinamik Panolar, Çalışma Kitapları, Not Defterleri ve uyarlanmış Uyarılar oluşturulmasına olanak tanır. Kullanıcılara kuruluşlarının yapay zeka varlıklarının güvenlik duruşu hakkında daha fazla içgörü sağlar ve yapay zeka sistemlerinin güvenlik işlemi özelliklerini geliştirir. AIShield.GuArdIan, llm tarafından oluşturulan içeriği analiz ederek zararlı içeriği tanımlayıp azaltır, yasal, ilke, rol tabanlı ve kullanım tabanlı ihlallere karşı koruma sağlar

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
AIShield_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • Not: Kullanıcıların güvenlik açığı analizi gerçekleştirmek için AIShield SaaS teklifini kullanmaları ve yapay zeka varlıklarıyla birlikte oluşturulan özel savunma mekanizmalarını dağıtmaları gerekir. Daha fazla bilgi edinmek veya iletişim kurmak için buraya tıklayın.

Kurulum Yönergeleri:

NOT: Bu veri bağlayıcısı, Microsoft Sentinel Çözümü ile dağıtılan AIShield'in beklendiği gibi çalışması için Kusto İşlevini temel alan ayrıştırıcıya bağlıdır.

ÖNEMLİ: AIShield Bağlayıcısı'nı dağıtmadan önce Çalışma Alanı Kimliği ve Çalışma Alanı Birincil Anahtarına sahip olun (aşağıdakilerden kopyalanabilir).

  • Çalışma Alanı Kimliği: <Yükleme zamanında sağlanan değişken değeri>
  • Birincil Anahtar: <Yükleme zamanında sağlanan değişken değeri>



Akamai Guardicore

Destekli:Akamai Guardicore Destek

Akamai Guardicore bağlayıcısı, Codeless Connector Framework (CCF) kullanarak Guardicore Centra örneğinden Ajanları, Varlıkları, Uygulamaları ve Politika Kurallarını Microsoft Sentinel'e Veri Toplama Kuralı (DCR) girişiyle aktarır. Bağlayıcı, Microsoft Sentinel'in CCF çalışma zamanı üzerinden her 10 dakikada bir anket yapar; hiçbir Azure Function Uygulaması dağıtılmaz.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
GuardicoreAssets_CL Hayır Hayır
GuardicoreAgents_CL Hayır Hayır
GuardicorePolicyRules_CL Hayır Hayır
GuardicoreApplications_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Kurulum Yönergeleri:

Akamai Guardicore'u Microsoft Sentinel'e bağlayın

Önkoşullar

  1. API erişimi etkinleştirilmiş bir Akamai Guardicore Centra yönetim örneğine sahip olmanız gerekir.
  2. Guardicore Centra'da yalnızca okuma rolü ile bir API kullanıcısı oluşturun (veya edinin). Bu hesap, , /api/v3.0/agents/api/v3.0/assets, /api/v3.0/workflow/projects, ve /api/v3.0/visibility/policy/rules./api/v3.0/authenticate
  3. Guardicore yönetim URL'si (örneğin https://<tenant>.cloud.guardicore.com) ve hizmet hesabı kullanıcı adı ile şifresini hazır bulundurun.
  4. Bağlayıcı, Microsoft Sentinel'in CCF çalışma zamanı üzerinden her 10 dakikada bir anket yapıyor. Hiçbir Azure Function uygulaması dağıtılmaz.

Guardicore Centra hizmet hesap bilgilerinizi girin ve ankete başlamak için Connect'e tıklayın.

  • Guardicore Yönetim URLsi: (https://< tenant.cloud.guardicore.com>)
  • Guardicore kullanıcı adı: (hizmet hesabı kullanıcı adı)
  • Guardicore Şifresi: (hizmet-hesap şifresi)
  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



Akamai Güvenlik Olayları (Kodsuz Bağlayıcı Çerçevesi aracılığıyla)

Tarafından desteklenir:Microsoft Corporation

Akamai SIEM Connector, web uygulama güvenlik duvarı (WAF) güvenlik olaylarını Akamai SIEM Entegrasyon API'sinden Microsoft Sentinel'e alır. Bağlayıcı, saldırı bilgileri, coğrafi bağlam ve HTTP istek/yanıt meta verileri dahil olmak üzere ayrıntılı güvenlik olayları verilerini toplar. Kimlik doğrulama Akamai EdgeGrid kullanır - üç EdgeGrid kimlik bilgilerinizi (client_token, access_token, client_secret) ve .edgerc dosyanızdan API ana adını verin. Platformun çalışma zamanı, EdgeGrid spesifikasyonuna göre her anket talebinde yeni bir HMAC-SHA-256 imzalı Yetkilendirme başlığı hesaplar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
AkamaiSIEMEvent Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • Akamai EdgeGrid API Kimlik Bilgileri: EdgeGrid HMAC-SHA-256 kimlik doğrulaması için İstemci Token, Access Token ve Client Secret gereklidir. Bu kimlik bilgileri, Identity & Access> altında Akamai Kontrol Merkezi'nden oluşturulur.

Kurulum Yönergeleri:

Adım 1 - Akamai Güvenlik Merkezi'nde SIEM için Veri Toplama Etkinleştirin

Akamai güvenlik yapılandırmanızda SIEM entegrasyonunu açın ve Web Güvenlik Yapılandırma Kimliği'ni not edin.

  1. Akamai Güvenlik Merkezi'ne giriş yapın.
  2. Güvenlik yapılandırmanızı seçin ve SIEM Entegrasyon bölümünü açın.
  3. SIEM için veri toplama On'a ayarla.
  4. SIEM entegrasyonunu aç bölümünden, izlenecek güvenlik politikalarını seçin (veya Tüm Güvenlik Politikaları seçin).
  5. Bir SIEM Olay Versiyonu seçin (SIEM Sürüm 01 önerilir).
  6. Sayfada gösterilen Web Güvenliği Yapılandırma Kimliği'ni kopyalayın - aşağıdaki 3. adımda buna ihtiyacınız olacak.

Adım 2 - EdgeGrid API kimlik bilgilerini Sağlama

Manage SIEM rolünle bir Akamai EdgeGrid API istemcisi oluşturun ve .edgerc credentials dosyasını indirin.

  1. Akamai Kontrol Merkezi'ndeKimlik ve Kullanıcı Erişimi >bölümüne gidin.
  2. Yeni bir kullanıcı oluşturun (veya mevcut bir hizmet hesabı seçin) ve SIEM'i Yönet rolünü atayın.
  3. Identity & Access > API Client'a gidin ve Create API client > Quick'e tıklayın.
  4. SIEM API hizmetini seçin ve OKUMA erişimi verin.
  5. Dosyayı kaydetmek için.edgerc Oluştur ve sonra İndir.
  6. Dosya, .edgerc 3. Adımda gireceğiniz dört değeri içerir:
[default]
client_secret = <your-client-secret>
host = <your-host>.luna.akamaiapis.net
access_token = akab-<your-access-token>
client_token = akab-<your-client-token>

Bağlantı platformu, her ankette yeni bir HMAC-SHA-256 imzalı Yetkilendirme başlığı hesaplar - hiçbir şeyi elle imzalamanıza gerek yoktur.

Adım 3 - Akamai SIEM'i Microsoft Sentinel'e bağlayın

Çok kiracı desteği: Bu konnektör, birden fazla Akamai güvenlik yapılandırmasından güvenlik olaylarını paralel olarak almayı destekler. Bağlantı Ekle tuşuna tıklayın yapılandırma başına bir kez vererek, o yapılandırmanın EdgeGrid kimlik bilgilerini, ana adını ve Yapılandırma Kimliğini sağlar. Her bağlantı aşağıdaki ızgarada bağımsız olarak takip edilir ve yönetilir.

  • Veri Bağlayıcıları Kılavuzu (portalda yapılandır)



Alibaba Cloud ActionTrail (Codeless Connector Framework aracılığıyla)

Tarafından desteklenir:Microsoft Corporation

Alibaba Cloud ActionTrail veri bağlayıcısı, Alibaba Bulut Basit Günlük Hizmeti'ne depolanan actiontrail olaylarını alma ve bunları SLS REST API aracılığıyla Microsoft Sentinel içinde depolama özelliği sağlar. Bağlayıcı olası güvenlik risklerini değerlendirmek, işbirliğini izlemek ve yapılandırma sorunlarını tanılamak ve gidermek için olay alma olanağı sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
AliCloudActionTrailLogs_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • SLS REST API Kimlik Bilgileri/izinleri: API çağrıları yapmak için AliCloudAccessKeyId ve AliCloudAccessKeySecret gereklidir. RAM kullanıcısına bu işlemi çağırma izinleri vermek için kaynak log:GetLogStoreLogs üzerinde en azından acs:log:{#regionId}:{#accountId}:project/{#ProjectName}/logstore/{#LogstoreName} eylem içeren RAM ilke deyimi gerekir.

Kurulum Yönergeleri:

AliCloud SLS API'sine erişimi yapılandırma

API'yi kullanmadan önce, API'ye etkili bir şekilde erişmek için kimlik hesabınızı hazırlamanız ve anahtar çiftine erişmeniz gerekir.

  1. API işlemlerini çağırmak için bir Kaynak Erişim Yönetimi (RAM) kullanıcısı kullanmanızı öneririz. Daha fazla bilgi için bkz. RAM kullanıcısı oluşturma ve RAM kullanıcısını Basit Günlük Hizmeti'ne erişme yetkisi verme.
  2. RAM kullanıcısı için erişim anahtarı çiftini alın. Ayrıntılar için bkz. Erişim Anahtarı çiftini alma.

Sonraki adım için erişim anahtarı çifti ayrıntılarını not edin.

ActionTrail Logstore Ekleme

Microsoft Sentinel için Alibaba Bulut ActionTrail bağlayıcısını etkinleştirmek için, ActionTrail Logstore ekle'ye tıklayın, formu Alibaba Bulut ortamı yapılandırmasıyla doldurun ve Bağlan'a tıklayın.

  • Veri Bağlayıcıları Kılavuzu (portalda yapılandır)



Alibaba Bulut Ağ Veri Bağlayıcısı (Kodsuz Bağlayıcı Çerçevesi aracılığıyla)

Tarafından desteklenir:Microsoft Corporation

Alibaba Bulut Ağı veri bağlayıcısı, Basit Günlük Hizmeti (SLS) REST API'sini kullanarak Alibaba Bulut ağ verilerini Microsoft Sentinel alma özelliği sağlar. Daha fazla bilgi için API belgelerine bakın. Bağlayıcı, Alibaba Cloud'dan VPC Akış Günlükleri, WAF Günlükleri ve API Gateway Günlükleri alma olanağı sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
AlibabaCloudVPCFlowLogs Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • Alibaba Cloud SLS API erişimi: SLS API'sindeAlibaba Bulut Basit Günlük Hizmeti erişimi gereklidir.

Kurulum Yönergeleri:

AliCloud SLS API'sine erişimi yapılandırma

API'yi kullanmadan önce, API'ye etkili bir şekilde erişmek için kimlik hesabınızı hazırlamanız ve anahtar çiftine erişmeniz gerekir.

  1. API işlemlerini çağırmak için bir Kaynak Erişim Yönetimi (RAM) kullanıcısı kullanmanızı öneririz. Daha fazla bilgi için bkz. RAM kullanıcısı oluşturma ve RAM kullanıcısını Basit Günlük Hizmeti'ne erişme yetkisi verme.
  2. RAM kullanıcısı için erişim anahtarı çiftini alın. Ayrıntılar için bkz. Erişim Anahtarı çiftini alma.

Sonraki adım için erişim anahtarı çifti ayrıntılarını not edin.

  • Veri Bağlayıcıları Kılavuzu (portalda yapılandır)



AliCloud (Azure İşlevleri kullanarak)

Tarafından desteklenir:Microsoft Corporation

AliCloud veri bağlayıcısı, Bulut API'sini kullanarak bulut uygulamalarından günlükleri alma ve olayları REST API aracılığıyla Microsoft Sentinel depolama özelliği sağlar. Bağlayıcı olası güvenlik risklerini değerlendirmek, işbirliğini izlemek ve yapılandırma sorunlarını tanılamak ve gidermek için olay alma olanağı sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
AliCloud_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • Microsoft.Web/sites izinleri: İşlev Uygulaması oluşturmak için Azure İşlevleri okuma ve yazma izinleri gereklidir. Daha fazla bilgi için bkz. Azure İşlevleri.
  • REST API Kimlik Bilgileri/izinleri: API çağrıları yapmak için AliCloudAccessKeyId ve AliCloudAccessKey gereklidir.

Kurulum Yönergeleri:

NOT: Bu bağlayıcı, günlükleri Microsoft Sentinel çekmek üzere Azure Blob Depolama API'sine bağlanmak için Azure İşlevleri kullanır. Bu, veri alımı ve verilerin Azure Blob Depolama maliyetlerde depolanması için ek maliyetlere neden olabilir. Ayrıntılar için Azure İşlevleri fiyatlandırma sayfasına ve Azure Blob Depolama fiyatlandırma sayfasına bakın.

(İsteğe Bağlı Adım) Çalışma alanını ve API yetkilendirme anahtarlarını veya belirteçlerini Azure Key Vault güvenli bir şekilde depolayın. Azure Key Vault, anahtar değerlerini depolamak ve almak için güvenli bir mekanizma sağlar. Azure İşlev Uygulaması ile Azure Key Vault kullanmak için bu yönergeleri izleyin.

NOT: Bu veri bağlayıcısı, Microsoft Sentinel Çözümü ile dağıtılan beklenen AliCloud gibi çalışması için Kusto İşlevine dayalı ayrıştırıcıya bağlıdır.

ADIM 1 - AliCloud API'sinin yapılandırma adımları

Kimlik bilgilerini almak için yönergeleri izleyin.

  1. AliCloudAccessKeyId ve AliCloudAccessKey: hesapta oturum açın, AccessKey Yönetimi'ne ve ardından Gizli Diziyi Görüntüle'ye tıklayın.
  2. Veri bağlayıcısında kullanmak için kimlik bilgilerini kaydedin.

ADIM 2 - Bağlayıcıyı ve ilişkili Azure İşlevini dağıtmak için aşağıdaki iki dağıtım seçeneğinden Bİrİ'ni seçin

ÖNEMLİ: AliCloud veri bağlayıcısını dağıtmadan önce Çalışma Alanı Kimliği ve Çalışma Alanı Birincil Anahtarına sahip olun (aşağıdakilerden kopyalanabilir).

  • Çalışma Alanı Kimliği: <Yükleme zamanında sağlanan değişken değeri>
  • Birincil Anahtar: <Yükleme zamanında sağlanan değişken değeri>

Seçenek 1 - Azure Resource Manager (ARM) Şablonu

Arm Şablonu kullanarak AliCloud veri bağlayıcısının otomatik dağıtımı için bu yöntemi kullanın.

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.ms

  2. Tercih edilen Abonelik, Kaynak Grubu ve Konum'a tıklayın.

NOT: Aynı kaynak grubunda, Aynı bölgedeki Windows ve Linux uygulamalarını karıştıramazsınız. Içinde Windows uygulamaları olmayan mevcut kaynak grubunu seçin veya yeni kaynak grubu oluşturun. 3. WorkspaceID, WorkspaceKey, AliCloudAccessKeyId, AliCloudAccessKey, AliCloudProjects ve AppInsightsWorkspaceResourceID girin ve dağıtın. 4. Yukarıda belirtilen hüküm ve koşulları kabul ediyorum etiketli onay kutusunu işaretleyin. 5. Dağıtmak için Satın Al'a tıklayın.

Seçenek 2 - Azure İşlevleri El ile Dağıtımı

AliCloud veri bağlayıcısını Azure İşlevleri (Visual Studio Code aracılığıyla dağıtım) ile el ile dağıtmak için aşağıdaki adım adım yönergeleri kullanın.

  1. İşlev Uygulaması Dağıtma

NOT: VS kodunu Azure işlev geliştirme için hazırlamanız gerekir.

  1. Azure İşlev Uygulaması dosyasını indirin. Arşivi yerel geliştirme bilgisayarınıza ayıklayın.

  2. VS Code'ı başlatın. Ana menüde Dosya'yı ve ardından Klasörü Aç'ı seçin.

  3. Ayıklanan dosyalardan en üst düzey klasörü seçin.

  4. Etkinlik çubuğunda Azure simgesini seçin, ardından Azure: İşlevler alanında İşlev uygulamasına dağıt düğmesini seçin. Henüz oturum açmadıysanız, Etkinlik çubuğunda Azure simgesini seçin, ardından Azure: İşlevler alanında Oturum aç'ı seçerek Azure Oturum açtıysanız sonraki adıma geçin.

  5. İstemlerde aşağıdaki bilgileri sağlayın:

    a. Klasör seçin: Çalışma alanınızdan bir klasör seçin veya işlev uygulamanızı içeren klasöre göz atın.

    b. Abonelik'i seçin: Kullanılacak aboneliği seçin.

    c. Azure'de yeni İşlev Uygulaması oluştur'u seçin (Gelişmiş seçeneğini belirleme)

    d. İşlev uygulaması için genel olarak benzersiz bir ad girin: URL yolunda geçerli bir ad yazın. Yazdığınız ad, Azure İşlevleri benzersiz olduğundan emin olmak için doğrulanır. (örneğin, AliCloudXXXXXX).

    e. Çalışma zamanı seçin: Python 3.11'i seçin.

    f. Yeni kaynaklar için bir konum seçin. Daha iyi performans ve düşük maliyetler için Microsoft Sentinel bulunduğu bölgeyi seçin.

  6. Dağıtım başlar. İşlev uygulamanız oluşturulduktan ve dağıtım paketi uygulandıktan sonra bir bildirim görüntülenir.

  7. İşlev Uygulaması yapılandırması için Azure portalı'na gidin.

  8. İşlev Uygulamasını Yapılandırma

  9. İşlev Uygulamasında İşlev Uygulaması Adı'nı ve ardından Yapılandırma'yı seçin.

  10. Uygulama ayarları sekmesinde Yeni uygulama ayarı'nı seçin.

  11. İlgili dize değerleriyle (büyük/küçük harfe duyarlı) aşağıdaki uygulama ayarlarını tek tek ekleyin: WorkspaceID WorkspaceKey AliCloudAccessKeyId AliCloudAccessKey AliCloudProjects AppInsightsWorkspaceResourceID

  • Ayrılmış bulut için log analytics API uç noktasını geçersiz kılmak için logAnalyticsUri kullanın. Örneğin, genel bulut için değeri boş bırakın; Azure GovUS bulut ortamı için değeri şu biçimde belirtin: https://<CustomerId>.ods.opinsights.azure.us.
  1. Tüm uygulama ayarları girildikten sonra Kaydet'e tıklayın.



Amazon Web Hizmetleri

Tarafından desteklenir:Microsoft Corporation

Yükleme işlemi sırasında AWS'ye bağlanma ve CloudTrail günlüklerinizi Microsoft Sentinel akışla aktarma yönergeleri gösterilir. Daha fazla bilgi için Microsoft Sentinel belgelerine bakın.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
AWSCloudTrail Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Amazon Web Services CloudFront (Kodsuz Bağlayıcı Çerçevesi aracılığıyla) (Önizleme)

Tarafından desteklenir:Microsoft Corporation

Bu veri bağlayıcısı, gelişmiş tehdit algılama, araştırma ve güvenlik izlemeyi desteklemek için AWS CloudFront günlüklerinin Microsoft Sentinel ile tümleştirilmesine olanak tanır. Bağlayıcı, günlük depolama için Amazon S3 ve ileti kuyruğa alma için Amazon SQS kullanarak CloudFront erişim günlüklerini güvenilir bir şekilde Microsoft Sentinel

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
AWSCloudFront_AccessLog_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Kurulum Yönergeleri:

Microsoft Sentinel'da AWS CloudFront günlüklerini alma

Gerekli Kaynakların Listesi:

  • Open ID Connect (OIDC) web kimliği sağlayıcısı
  • IAM Rolü
  • Amazon S3 Kovası
  • Amazon SQS hizmeti
  • AWS CloudFront yapılandırması
  1. AWS CloudFormation Dağıtımı AWS'ye erişimi yapılandırmak için, AWS ortamını bir S3 demetinden Log Analytics Çalışma Alanınıza günlük gönderecek şekilde ayarlamak için iki şablon oluşturulmuştur.

Her şablon için AWS'de Stack oluşturun:

  1. AWS CloudFormation Stacks'e gidin.
  2. 'Şablon belirtin' seçeneğini, ardından 'Dosya seç' seçeneğine tıklayıp aşağıda sağlanan uygun CloudFormation şablon dosyasını seçerek 'Şablon dosyasını karşıya yükleyin' seçeneğini belirleyin. 'Dosya seç'e tıklayın ve indirilen şablonu seçin.
  3. 'İleri' ve 'Yığın oluştur'a tıklayın.
  • Şablon 1: OpenID connect kimlik doğrulaması dağıtımı: <yükleme zamanında sağlanan değişken değeri>
  • Şablon 2: AWSCloudFront kaynakları dağıtımı: <yükleme zamanında sağlanan değişken değeri>
  1. Yeni toplayıcıları bağlama AWS S3'i Microsoft Sentinel için etkinleştirmek için Yeni toplayıcı ekle düğmesine tıklayın, bağlam bölmesinde gerekli bilgileri doldurun ve Bağlan'a tıklayın.
  • Veri Bağlayıcıları Kılavuzu (portalda yapılandır)



Amazon Web Services Elastik Yük Dengeleme (Kodsuz Bağlayıcı Çerçevesi aracılığıyla)

Tarafından desteklenir:Microsoft Corporation

Microsoft Sentinel için AWS Elastik Yük Dengeleme (ELB) bağlayıcısı, AWS Uygulama Yük Dengeleyicileri (ALB), Ağ Yük Dengeleyicileri (NLB) ve Ağ Geçidi Yük Dengeleyicileri'nden (GLB) erişim günlüklerini ve akış günlüklerini Microsoft Sentinel almanızı sağlar. Bu günlükler yük dengeleyicileriniz ve VPC trafik akışlarınız tarafından işlenen istekler hakkında ayrıntılı bilgi sağlayarak güvenlik izleme, tehdit algılama ve trafik analizini etkinleştirir.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
AWSALBAccessLogsData Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • AWS IAM Rolü ARN ve SQS Kuyruğu: Hesap arası erişime sahip bir AWS IAM Rolü ARN'si ve S3 olay bildirimleri için yapılandırılmış bir SQS Kuyruğu URL'si gereklidir. Kurulum yönergeleri için AWS ELB bağlayıcısı belgelerine bakın.

Kurulum Yönergeleri:

  1. AWS CloudFormation Dağıtımı AWS'ye erişimi yapılandırmak için CloudFormation şablonlarını kullanarak ortamı ALB, NLB ve GLB'den Log Analytics Çalışma Alanınıza günlük gönderecek şekilde ayarlayın.

Dağıtım adımları:

  1. Bulut Oluşturma Şablonları'na gidin, JSON şablon dosyalarını indirin.
  2. AWS CloudFormation Stacks'e gidin.
  3. İlk olarak OIDCWebIdProvider.json şablonunu dağıtın (Microsoft Sentinel için zaten bir OIDC sağlayıcınız varsa atlayın).
  4. Ardından AWSS3ELB.json şablonunu parametrelerinizle dağıtın.
  5. Yığın çıkışlarından aşağıdaki değerleri not alın:
    • IAMRoleArn
    • ALBSQSQueueURL
    • NLBSQSQueueURL
    • NLBFlowLogsSQSQueueURL
    • GLBFlowLogsSQSQueueURL

Dağıtım Sonrası Yapılandırma:

CloudFormation yığını başarıyla dağıtıldıktan sonra:

  • Yığındaki Kaynaklar sekmesine gidin.
  • Oluşturulan S3 demet adını bulun.
  • S3 demetinde aşağıdaki klasörleri el ile oluşturun:
    • ALBLogs
    • NLBAccessLogs
    • NLBFlowLogs
    • GLBFlowLogs

Günlükler Gönderiliyor:

Klasör oluşturulduktan sonra AWS hizmetlerinizi günlükleri uygun klasörlere gönderecek şekilde yapılandırın:

  • ALB erişim günlükleri ->ALBLogs/
  • NLB erişim günlükleri ->NLBAccessLogs/
  • NLB akış günlükleri ->NLBFlowLogs/
  • GLB akış günlükleri ->GLBFlowLogs/

Bu günlükler Log Analytics Çalışma Alanınızdaki ilgili tablolara aktarılır.

Tablo Eşlemesi:

  • ALB erişim günlükleri ->AWSALBAccessLogsData
  • NLB erişim günlükleri ->AWSNLBAccessLogsData
  • NLB ve GLB akış günlükleri ->AWSELBFlowLogsData

Not:AWSELBFlowLogsData Tabloda, adlı LogType sütun bir satırın NLB akış günlüklerinden mi yoksa GLB akış günlüklerinden mi olduğunu gösterir.

  1. Yeni toplayıcıları bağlama Bağlayıcıyı etkinleştirmek için Yeni toplayıcı ekle'ye tıklayın, gerekli ayrıntıları girin ve Bağlan'a tıklayın.
  • Veri Bağlayıcıları Kılavuzu (portalda yapılandır)



Amazon Web Services NetworkFirewall (Kodsuz Bağlayıcı Çerçevesi aracılığıyla)

Tarafından desteklenir:Microsoft Corporation

Bu veri bağlayıcısı, gelişmiş tehdit algılama ve güvenlik izleme için AWS Ağ Güvenlik Duvarı günlüklerini Microsoft Sentinel almanızı sağlar. Bağlayıcı Amazon S3 ve Amazon SQS'den yararlanarak ağ trafiği günlüklerini, yetkisiz erişim algılama uyarılarını ve güvenlik duvarı olaylarını Microsoft Sentinel ileterek gerçek zamanlı analiz ve diğer güvenlik verileriyle bağıntı sağlar

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
AWSNetworkFirewallFlow Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Kurulum Yönergeleri:

AWS NetworkFirewall günlüklerini Microsoft Sentinel alma

Gerekli Kaynakların Listesi:

  1. AWS CloudFormation Dağıtımı AWS'ye erişimi yapılandırmak için, AWS ortamını bir S3 demetinden Log Analytics Çalışma Alanınıza günlük gönderecek şekilde ayarlamak için iki şablon oluşturulmuştur.

Her şablon için AWS'de Stack oluşturun:

  1. AWS CloudFormation Stacks'e gidin.
  2. 'Şablon belirtin' seçeneğini, ardından 'Dosya seç' seçeneğine tıklayıp aşağıda sağlanan uygun CloudFormation şablon dosyasını seçerek 'Şablon dosyasını karşıya yükleyin' seçeneğini belirleyin. 'Dosya seç'e tıklayın ve indirilen şablonu seçin.
  3. 'İleri' ve 'Yığın oluştur'a tıklayın.
  • Şablon 1: OpenID connect kimlik doğrulaması dağıtımı: <yükleme zamanında sağlanan değişken değeri>
  • Şablon 2: AWSNetworkFirewall kaynakları dağıtımı: <yükleme zamanında sağlanan değişken değeri>
  1. Yeni toplayıcıları bağlama AWS S3'i Microsoft Sentinel için etkinleştirmek için Yeni toplayıcı ekle düğmesine tıklayın, bağlam bölmesinde gerekli bilgileri doldurun ve Bağlan'a tıklayın.
  • Veri Bağlayıcıları Kılavuzu (portalda yapılandır)



Amazon Web Services S3

Tarafından desteklenir:Microsoft Corporation

Bu bağlayıcı, AWS S3 demetlerinde toplanan AWS hizmet günlüklerini Microsoft Sentinel almanızı sağlar. Şu anda desteklenen veri türleri şunlardır:

  • AWS CloudTrail
  • VPC Akış Günlükleri
  • AWS GuardDuty
  • AWS CloudWatch

Daha fazla bilgi için Microsoft Sentinel belgelerine bakın.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
AWSGuardDuty Evet Evet
AWSVPCFlow Evet Evet
AWSCloudTrail Evet Evet
AWSCloudWatch Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Ortam: Şu AWS kaynaklarını tanımlamış ve yapılandırmış olmanız gerekir: S3, Basit Kuyruk Hizmeti (SQS), IAM rolleri ve izin ilkeleri ve günlüklerini toplamak istediğiniz AWS hizmetleri.

Kurulum Yönergeleri:

1. AWS ortamınızı ayarlama

S3 demetinden Log Analytics Çalışma Alanınıza günlük göndermek için AWS ortamınızı ayarlamak için iki seçenek vardır:

PowerShell betiği ile kurulum (önerilir)

  • Ortamı ayarlamak için betiği çalıştırın: <yükleme zamanında sağlanan değişken değeri>
  • Dış Kimlik (Çalışma Alanı Kimliği): <yükleme zamanında sağlanan değişken değeri>

El ile Kurulum

Ortamı ayarlamak için aşağıdaki bağlantıdaki yönergeleri izleyin: AWS S3'i Microsoft Sentinel'ye bağlama

2. Bağlantı ekleme



Amazon Web Services S3 DNS Route53 (Codeless Connector Framework aracılığıyla)

Tarafından desteklenir:Microsoft Corporation

Bu bağlayıcı, gelişmiş görünürlük ve tehdit algılama için AWS Route 53 DNS günlüklerinin Microsoft Sentinel alımına olanak tanır. Doğrudan AWS S3 demetlerinden alınan DNS Çözümleyicisi sorgu günlüklerini desteklerken, Genel DNS sorgu günlükleri ve Route 53 denetim günlükleri Microsoft Sentinel'nin AWS CloudWatch ve CloudTrail bağlayıcıları kullanılarak alınabilir. Her günlük türünün kurulumunda size yol gösterecek kapsamlı yönergeler sağlanır. DNS etkinliğini izlemek, olası tehditleri algılamak ve bulut ortamlarında güvenlik duruşunuzu geliştirmek için bu bağlayıcıdan yararlanın.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
AWSRoute53Resolver Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Kurulum Yönergeleri:

AWS Route53

Bu bağlayıcı, AWS Route 53 DNS günlüklerinin Microsoft Sentinel'a alımını sağlayarak DNS etkinliğine yönelik gelişmiş görünürlük sağlar ve tehdit algılama özelliklerini güçlendirir. AWS S3 demetlerinden DNS Çözümleyicisi sorgu günlüklerinin doğrudan alımını desteklerken, Genel DNS sorgu günlükleri ve Route 53 denetim günlükleri Microsoft Sentinel'nin AWS CloudWatch ve CloudTrail bağlayıcıları aracılığıyla alınabilir. Her günlük türü için ayrıntılı kurulum yönergeleri sağlanır. DNS trafiğini izlemek, olası tehditleri belirlemek ve bulut güvenliği duruşunuzu geliştirmek için bu bağlayıcıyı kullanın.

AWS Route 53'ten Microsoft Sentinel'a aşağıdaki günlük türlerini alabilirsiniz:

  1. Route 53 Resolver sorgu günlükleri
  2. Yönlendirme 53 Genel Barındırılan bölgeler sorgu günlükleri (Microsoft Sentinel CloudWatch bağlayıcısı aracılığıyla)
  3. Yönlendirme 53 denetim günlükleri (Microsoft Sentinel CloudTrail bağlayıcısı aracılığıyla)

Microsoft Sentinel'da Route53 Çözümleyicisi sorgu günlüklerini alma

Gerekli Kaynakların Listesi:

  • Open ID Connect (OIDC) web kimliği sağlayıcısı
  • IAM Rolü
  • Amazon S3 Kovası
  • Amazon SQS hizmeti
  • Route 53 Resolver sorgu günlüğü yapılandırması
  • Route53 Resolver sorgu günlüğü yapılandırmasıyla ilişkilendirilecek VPC
  1. AWS CloudFormation Dağıtımı AWS'ye erişimi yapılandırmak için, AWS ortamını bir S3 demetinden Log Analytics Çalışma Alanınıza günlük gönderecek şekilde ayarlamak için iki şablon oluşturulmuştur.

Her şablon için AWS'de Stack oluşturun:

  1. AWS CloudFormation Stacks'e gidin.
  2. 'Şablon belirtin' seçeneğini, ardından 'Dosya seç' seçeneğine tıklayıp aşağıda sağlanan uygun CloudFormation şablon dosyasını seçerek 'Şablon dosyasını karşıya yükleyin' seçeneğini belirleyin. 'Dosya seç'e tıklayın ve indirilen şablonu seçin.
  3. 'İleri' ve 'Yığın oluştur'a tıklayın.
  • Şablon 1: OpenID connect kimlik doğrulaması dağıtımı: <yükleme zamanında sağlanan değişken değeri>
  • Şablon 2: AWS Route53 kaynak dağıtımı: <yükleme zamanında sağlanan değişken değeri>
  1. Yeni toplayıcıları bağlama Amazon Web Services S3 DNS Route53'i Microsoft Sentinel için etkinleştirmek için Yeni toplayıcı ekle düğmesine tıklayın, bağlam bölmesinde gerekli bilgileri doldurun ve Bağlan'a tıklayın.
  • Veri Bağlayıcıları Kılavuzu (portalda yapılandır)

Route 53 Genel Barındırılan bölgeler sorgu günlüklerini alma (Microsoft Sentinel CloudWatch bağlayıcısı aracılığıyla)

Genel Barındırılan bölge sorgu günlükleri AWS'deki CloudWatch hizmetine aktarılır. CloudWatch günlüklerini AWS'den Microsoft Sentinel almak için 'Amazon Web Services S3' bağlayıcısını kullanabiliriz.

1. Adım: Genel DNS sorguları için günlüğe kaydetmeyi yapılandırma

  1. AWS Yönetim Konsolu'nda oturum açın ve AWS Route 53'te Route 53 konsolunu açın.
  2. Yol 53 > Barındırılan bölgeler'e gidin.
  3. Sorgu günlüğünü yapılandırmak istediğiniz Genel barındırılan bölgeyi seçin.
  4. Barındırılan bölge ayrıntıları bölmesinde "Sorgu günlüğünü yapılandır" seçeneğine tıklayın.
  5. Var olan bir günlük grubunu seçin veya yeni bir günlük grubu oluşturun.
  6. Oluştur'u seçin.

2. Adım: AWS CloudWatch için Amazon Web Services S3 veri bağlayıcısını yapılandırma

AWS CloudWatch günlükleri, lambda işlevi kullanılarak bir S3 demetine aktarılabilir. Genel DNS sorgularını demetten AWS CloudWatch demete S3 ve ardından Microsoft Sentinel almak için Amazon Web Services S3 bağlayıcısında sağlanan yönergeleri izleyin.

Route 53 denetim günlüklerini alma (Microsoft Sentinel CloudTrail bağlayıcısı aracılığıyla)

Route 53 denetim günlükleri, yani Route 53'te kullanıcı, rol veya AWS hizmeti tarafından gerçekleştirilen eylemlerle ilgili günlükler AWS CloudTrail hizmeti aracılığıyla bir S3 demetine aktarılabilir. CloudTrail günlüklerini AWS'den Microsoft Sentinel almak için 'Amazon Web Services S3' bağlayıcısını kullanabiliriz.

1. Adım: AWS Route 53 Denetim günlükleri için günlüğe kaydetmeyi yapılandırma

  1. AWS Yönetim Konsolu'nda oturum açın ve AWS CloudTrail'de CloudTrail konsolunu açın
  2. Mevcut bir izniz yoksa 'İz oluştur' seçeneğine tıklayın
  3. İz adı alanına yolunuz için bir ad girin.
  4. Yeni S3 demeti oluştur'u seçin (mevcut bir S3 demeti kullanmayı da seçebilirsiniz).
  5. Diğer ayarları varsayılan olarak bırakın ve İleri'ye tıklayın.
  6. Olay türü'nü seçin, Yönetim olayları'nın seçili olduğundan emin olun.
  7. API etkinliği, 'Okuma' ve 'Yazma' seçeneğini belirleyin
  8. İleri'yi tıklatın.
  9. Ayarları gözden geçirin ve 'İz oluştur'a tıklayın.

2. Adım: AWS CloudTrail için Amazon Web Services S3 veri bağlayıcısını yapılandırma

Denetim ve yönetim günlüklerini AWS CloudTrail Microsoft Sentinel almak için Amazon Web Services S3 bağlayıcısında sağlanan yönergeleri izleyin



Amazon Web Services S3 WAF

Tarafından desteklenir:Microsoft Corporation

Bu bağlayıcı, AWS S3 demetlerinde toplanan AWS WAF günlüklerini Microsoft Sentinel almanızı sağlar. AWS WAF günlükleri, web erişim denetim listelerinin (ACL) analiz ettiği ve web uygulamalarının güvenliğini ve performansını korumak için gerekli olan trafiğin ayrıntılı kayıtlarıdır. Bu günlükler AWS WAF'nin isteği aldığı zaman, isteğin ayrıntıları ve isteğin eşleştirdiği kural tarafından gerçekleştirilen eylem gibi bilgileri içerir.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
AWSWAF Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Kurulum Yönergeleri:

  1. AWS CloudFormation Dağıtımı AWS'ye erişimi yapılandırmak için, AWS ortamını bir S3 demetinden Log Analytics Çalışma Alanınıza günlük gönderecek şekilde ayarlamak için iki şablon oluşturulmuştur.

Her şablon için AWS'de Stack oluşturun:

  1. AWS CloudFormation Stacks'e gidin.
  2. 'Şablon belirtin' seçeneğini, ardından 'Dosya seç' seçeneğine tıklayıp aşağıda sağlanan uygun CloudFormation şablon dosyasını seçerek 'Şablon dosyasını karşıya yükleyin' seçeneğini belirleyin. 'Dosya seç'e tıklayın ve indirilen şablonu seçin.
  3. 'İleri' ve 'Yığın oluştur'a tıklayın.
  • Şablon 1: OpenID connect kimlik doğrulaması dağıtımı: <yükleme zamanında sağlanan değişken değeri>
  • Şablon 2: AWS WAF kaynakları dağıtımı: <yükleme zamanında sağlanan değişken değer>
  1. Yeni toplayıcıları bağlama AWS S3'i Microsoft Sentinel için etkinleştirmek için Yeni toplayıcı ekle düğmesine tıklayın, bağlam bölmesinde gerekli bilgileri doldurun ve Bağlan'a tıklayın.
  • Veri Bağlayıcıları Kılavuzu (portalda yapılandır)



Anvilogic

Tarafından desteklenir:Anvilogic

Anvilogic veri bağlayıcısı, Anvilogic ADX kümesinde oluşturulan ilgi çekici olayları Microsoft Sentinel

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
Anvilogic_Alerts_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Anvilogic Uygulama Kaydı İstemci Kimliği ve İstemci Gizli Anahtarı: Anvilogic ADX'e erişmek için Anvilogic uygulama kaydından istemci kimliği ve istemci gizli dizisine ihtiyacımız var

Kurulum Yönergeleri:

Microsoft Sentinel ilgi çekici olayları toplamaya başlamak için Anvilogic'e bağlanın

Anvilogic Uyarılarını Microsoft Sentinel almak için formu doldurun

  • Belirteç Uç Noktası: (https://login[.]microsoftonline[.]com/<tenant_id>/oauth2/v2.0/token)
  • Anvilogic ADX Kapsamı: (<avl_adx_uri>/.default)
  • Anvilogic ADX İstek URI'si: (<avl_adx_uri>/v2/rest/query)



API Koruması

Tarafından desteklenir:Microsoft Corporation

42Crunch API korumasını REST API arayüzü üzerinden Azure Log Analytics'e bağlar

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
apifirewall_log_1_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Kurulum Yönergeleri:

1. Adım: Ayrıntılı belgeleri okuyun

Kurulum süreci, GitHub deposu Microsoft Sentinel entegrasyonunda ayrıntılı şekilde belgelenmiştir. Kullanıcı, entegrasyonun kurulumunu ve hata ayıklamasını anlamak için bu depoya daha fazla bakmalıdır.

2. Adım: Çalışma alanı erişim kimlik bilgilerini alma

İlk yükleme adımı, Microsoft Sentinel platformundan hem Çalışma Alanı Kimliğinizi hem de Birincil Anahtarınızı almaktır. Aşağıda gösterilen değerleri kopyalayın ve API günlük ileticisi tümleştirmesinin yapılandırması için kaydedin.

  • Çalışma Alanı Kimliği: <Yükleme zamanında sağlanan değişken değeri>
  • Birincil Anahtar: <Yükleme zamanında sağlanan değişken değeri>

Adım 3: 42Crunch korumasını ve log forwarder'ı kurun

Bir sonraki adım, API'nizi korumak için 42Crunch koruması ve log forwarder'ı kurmaktır. Her iki bileşen de 42Crunch deposundan konteyner olarak kullanılabilir. Tam kurulum çevrenize bağlıdır, tam detaylar için 42Crunch koruma dokümantasyonuna bakınız. Aşağıda iki yaygın kurulum senaryosu açıklanmıştır:

Docker Compose aracılığıyla kurulum

Çözüm, Docker compose dosyası kullanılarak kurulabilir.

Helm haritaları aracılığıyla kurulum

Çözüm, Helm tablosu kullanılarak kurulabilir.

Adım 4: Veri alımını test edin

Veri alımını test etmek için kullanıcı, örnek httpbin uygulamasını burada ayrıntılı olarak açıklanan 42Crunch koruması ve log forwarder'la birlikte dağıtmalıdır.

4.1 Örneği kur

Örnek uygulama, httpbin API sunucusunu yükleyecek bir Docker compose dosyası kullanılarak yerel olarak kurulabilir; bu dosya HTTPN API sunucusunu ve Microsoft Sentinel log forwarder'ı yükler. Ortam değişkenlerini gerektiği gibi ayarlayın, 2. adımdan kopyalanan değerler kullanılarak.

4.2 Örneği çalıştır

API korumasının 42Crunch platformuna bağlı olduğunu verfify edin ve ardından API'yi yerel olarak 8080 portunda Postman, curl veya benzeri kullanarak uygulayın. Geçiş ve başarısız API çağrılarının karışımını görmelisiniz.

4.3 Log Analytics'te veri alımını doğrulayın

Yaklaşık 20 dakika sonra Microsoft Sentinel kurulumunuzdaki Log Analytics çalışma alanına erişin ve Özel Günlükler bölümünü bulupapifirewall_log_1_CL bir tablonun var olduğundan emin olun. Verileri incelemek için örnek sorguları kullanın.



SAP BTP için Uygulama Zayıflık Raporu

Tarafından desteklenir:Microsoft Corporation

SAP Uygulama Zayıflık Raporu Hizmeti bağlayıcısı, SAP BTP'de dağıtılan özel uygulamalardaki zafilik bulgularını Microsoft Sentinel'e alır. Bulgular, riskli uygulamaları belirlemek ve ilgili güvenlik olaylarını araştırmak için SAP BTP denetim faaliyetleriyle ilişkilendirilebilir.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
SAPBTPAVL_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • Uygulama Güvenlik Açığı Raporu Hizmeti için İstemci Kimliği ve İstemci Gizliliği Hizmeti: BTP'de API erişimini etkinleştirin.

Kurulum Yönergeleri:

Adım 1 - SAP Uygulama Güvenlik Açığı Raporu Servisi için yapılandırma adımları

SAP Uygulama Zayıflık Raporu Hizmeti'ni yapılandırın ve bu bağlantı için özel bir hizmet anahtarı oluşturun, bkz. Sağlayıcı Hizmeti API'sini bulmak. URL'yi (Sağlayıcı API URL'sini Bulmak), uaa.url (Kullanıcı Hesabı ve Kimlik Doğrulama Sunucusu URL'si) ve ilgili uaa.clientid adresini not edin.

NOT: Bu bağlayıcı ayrı kimlik bilgilerini kullanır ve SAP BTP denetim günlüğü bağlayıcısının kullandığı hizmet anahtarını paylaşmaz.

SAP BTP AVL bulgularını Microsoft Sentinel'e bağla

OAuth istemci kimlik bilgilerini kullanarak bağlanma

Bağlantılar

Her satır bağlı bir alt hesabı temsil eder

  • Veri Bağlayıcıları Kılavuzu (portalda yapılandır)



ARGOS Bulut Güvenliği

Tarafından desteklenir:ARGOS Cloud Security

Microsoft Sentinel için ARGOS Bulut Güvenliği tümleştirmesi, tüm önemli bulut güvenliği olaylarınızın tek bir yerde olmasını sağlar. Bu, panoları, uyarıları kolayca oluşturmanızı ve olayları birden çok sistem arasında ilişkilendirmenizi sağlar. Genel olarak bu, kuruluşunuzun güvenlik duruşunu ve güvenlik olayı yanıtını geliştirir.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
ARGOS_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Kurulum Yönergeleri:

1. ARGOS'a abone olma

Zaten bir ARGOS Aboneliğiniz olduğundan emin olun. Aksi takdirde , ARGOS Cloud Security'ye göz atın ve ARGOS'a kaydolun.

Alternatif olarak, Azure Marketi aracılığıyla da ARGOS satın alabilirsiniz.

2. ARGOS'tan Sentinel tümleştirmeyi yapılandırma

ARGOS'a Çalışma Alanı Kimliğinizi ve Birincil Anahtarınızı sağlayarak ARGOS'yi yeni algılamaları Sentinel çalışma alanınıza iletecek şekilde yapılandırın.

Özel altyapı dağıtmaya gerek yoktur.

Bilgileri ARGOS Sentinel yapılandırma sayfasına girin.

Yeni algılamalar otomatik olarak iletilir.

Tümleştirme hakkında daha fazla bilgi edinin

  • Çalışma Alanı Kimliği: <Yükleme zamanında sağlanan değişken değeri>
  • Birincil Anahtar: <Yükleme zamanında sağlanan değişken değeri>



Armis Uyarı Etkinlikleri (Azure İşlevleri kullanarak)

Tarafından desteklenir:Armis Corporation

Armis Uyarıları Etkinlikleri bağlayıcısı Armis Rest API aracılığıyla Armis Uyarılarını ve Etkinliklerini Microsoft Sentinel alma özelliği sağlar. Daha fazla bilgi için API belgelerine https://<YourArmisInstance>.armis.com/api/v1/docs bakın. Bağlayıcı, Armis platformundan uyarı ve etkinlik bilgileri alma ve ortamınızdaki tehditleri belirleyip önceliklendirme olanağı sağlar. Armis, aracı dağıtmak zorunda kalmadan cihazları bulmak ve tanımlamak için mevcut altyapınızı kullanır.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
Armis_Alerts_CL Evet Evet
Armis_Activities_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Microsoft.Web/sites izinleri: İşlev Uygulaması oluşturmak için Azure İşlevleri okuma ve yazma izinleri gereklidir. Daha fazla bilgi için bkz. Azure İşlevleri.
  • REST API Kimlik Bilgileri/izinleri: Armis Gizli Anahtarı gereklidir. API hakkında daha fazla bilgi edinmek için belgelere bakın https://<YourArmisInstance>.armis.com/api/v1/doc

Kurulum Yönergeleri:

NOT: Bu bağlayıcı, günlüklerini Microsoft Sentinel çekmek üzere Armis API'sine bağlanmak için Azure İşlevleri kullanır. Bu, ek veri alımı maliyetlerine neden olabilir. Ayrıntılar için Azure İşlevleri fiyatlandırma sayfasına bakın.

(İsteğe Bağlı Adım) Çalışma alanını ve API yetkilendirme anahtarlarını veya belirteçlerini Azure Key Vault güvenli bir şekilde depolayın. Azure Key Vault, anahtar değerlerini depolamak ve almak için güvenli bir mekanizma sağlar. Azure İşlev Uygulaması ile Azure Key Vault kullanmak için bu yönergeleri izleyin.

NOT: Bu veri bağlayıcısı, çözümün bir parçası olarak dağıtılan kusto işlevini temel alan ayrıştırıcının beklendiği gibi çalışmasına bağlıdır. Log Analytics'te işlev kodunu görüntülemek için Log Analytics/Microsoft Sentinel Günlükleri dikey penceresini açın, İşlevler'e tıklayın ve ArmisActivities/ArmisAlerts diğer adını arayın ve işlev kodunu yükleyin. Çözümün yüklenmesi/güncelleştirildikten sonra işlevin etkinleştirilmesi genellikle 10-15 dakika sürer.

ADIM 1 - Armis API'sinin yapılandırma adımları

Armis API gizli anahtarı oluşturmak için bu yönergeleri izleyin.

  1. Armis örneğinizde oturum açın
  2. Ayarlar ' a gidin -> API Management
  3. Gizli anahtar henüz oluşturulmamışsa, oluştur düğmesine basarak gizli dizi anahtarını oluşturun
  4. Gizli anahtara erişmek için Göster düğmesine basın
  5. Gizli anahtar artık Armis Uyarıları Etkinlikleri bağlayıcı yapılandırması sırasında kopyalanabilir ve kullanılabilir

ADIM 2 - Microsoft Entra ID'da Uygulama için Uygulama Kaydı adımları

Bu tümleştirme için Azure portal bir Uygulama kaydı gerekir. Microsoft Entra ID'da yeni uygulama oluşturmak için bu bölümdeki adımları izleyin:

  1. Azure portalda oturum açın.
  2. Microsoft Entra ID arayın ve seçin.
  3. Yönet'in altında Yeni kayıt'ı Uygulama kayıtları > seçin.
  4. Uygulamanız için bir görünen Ad girin.
  5. İlk uygulama kaydını tamamlamak için Kaydet'i seçin.
  6. Kayıt tamamlandığında, Azure portal uygulama kaydının Genel Bakış bölmesini görüntüler. Uygulama (istemci) kimliğini ve Kiracı Kimliğini görürsünüz. Armis Uyarıları Etkinlikleri Veri Bağlayıcısı'nın yürütülmesi için yapılandırma parametreleri olarak istemci kimliği ve Kiracı Kimliği gereklidir.

Başvuru bağlantısı:/azure/active-directory/develop/quickstart-register-app

3. ADIM - Microsoft Entra ID'de uygulama için istemci gizli dizisi ekleme

Bazen uygulama parolası olarak adlandırılan istemci gizli dizisi, Armis Uyarıları Etkinlikleri Veri Bağlayıcısı'nın yürütülmesi için gereken bir dize değeridir. Yeni bir İstemci Gizli Anahtarı oluşturmak için bu bölümdeki adımları izleyin:

  1. Azure portal, Uygulama kayıtları uygulamanızı seçin.
  2. Sertifikalar & gizli diziler > İstemci gizli dizileri Yeni istemci gizli dizisi'ni >seçin.
  3. Gizli anahtarınız için bir açıklama ekleyin.
  4. Gizli dizi için bir süre sonu seçin veya özel bir yaşam süresi belirtin. Sınır 24 aydır.
  5. Ekle'yi seçin.
  6. Gizli anahtarın değerini istemci uygulama kodunuzda kullanmak üzere kaydedin. Bu gizli dizi değeri, siz bu sayfadan ayrıldıktan sonra bir daha görüntülenmez. Gizli dizi değeri, Armis Uyarıları Etkinlikleri Veri Bağlayıcısı'nın yürütülmesi için yapılandırma parametresi olarak gereklidir.

Başvuru bağlantısı:/azure/active-directory/develop/quickstart-register-app#add-a-client-secret

4. ADIM - uygulamanızın Nesne Kimliğini Microsoft Entra ID

Uygulama kaydınızı oluşturduktan sonra Nesne Kimliğini almak için bu bölümdeki adımları izleyin:

  1. Microsoft Entra ID gidin.
  2. Soldaki menüden Kurumsal uygulamalar'ı seçin.
  3. Yeni oluşturduğunuz uygulamayı listede bulun (sağladığınız ada göre arama yapabilirsiniz).
  4. Uygulamaya tıklayın.
  5. Genel bakış sayfasında Nesne Kimliğini kopyalayın. Bu, ARM şablonu rol atamanız için gereken AzureEntraObjectId değeridir .

ADIM 5 - Microsoft Entra ID'de uygulamaya Katkıda Bulunan rolü atama

Rolü atamak için bu bölümdeki adımları izleyin:

  1. Azure portal Kaynak Grubu'na gidin ve kaynak grubunuzu seçin.
  2. Sol panelden Erişim denetimine (IAM) gidin.
  3. Ekle'ye tıklayın ve rol ataması ekle'yi seçin.
  4. Rol olarak Katkıda Bulunan'ı seçin ve İleri'ye tıklayın.
  5. Erişim ata bölümünde öğesini seçinUser, group, or service principal.
  6. Üye ekle'ye tıklayın ve oluşturduğunuz uygulama adınızı yazın ve seçin.
  7. Şimdi Gözden Geçir + ata'ya tıklayın ve sonra yeniden Gözden Geçir + ata'ya tıklayın.

Başvuru bağlantısı:/azure/role-based-access-control/role-assignments-portal

ADIM 6 - Keyvault oluşturma

Yeni bir Keyvault oluşturmak için bu yönergeleri izleyin.

  1. Azure portal Key vaults'a gidin. Oluştur'a tıklayın.
  2. Subsciption, Resource Group öğesini seçin ve keyvault öğesinin benzersiz adını sağlayın.

NOT: Bir çalışma alanı içindeki her API anahtarı için ayrı bir anahtar kasası oluşturun .

7. ADIM - Keyvault'ta Erişim İlkesi Oluşturma

Keyvault'ta erişim ilkesi oluşturmak için bu yönergeleri izleyin.

  1. Keyvaults'a gidin, keyvault'unuzu seçin, sol taraftaki panelde Erişim ilkeleri'ne gidin. Oluştur'a tıklayın.
  2. Gizli dizi izinleri & tüm anahtarları seçin. İleri'ye tıklayın.
  3. Asıl bölümde, ADIM - 2'de oluşturulan uygulama adına göre arama. İleri'ye tıklayın.

NOT: Key Vault Erişim Yapılandırmasındaki İzin modelinin 'Kasa erişim ilkesi' olarak ayarlandığından emin olun

8. ADIM - Bağlayıcıyı ve ilişkili Azure İşlevini dağıtmak için aşağıdaki iki dağıtım seçeneğinden Bİrİ'ni seçin

ÖNEMLI: Armis Cihaz veri bağlayıcısını dağıtmadan önce, Armis API Yetkilendirme Anahtar(ları)nı hazır bulundurun..

Seçenek 1 - Azure Resource Manager (ARM) Şablonu

Armis bağlayıcısının otomatik dağıtımı için bu yöntemi kullanın.

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.msaka.ms

  2. Tercih edilen Abonelik, Kaynak Grubu ve Konum'a tıklayın.

  3. Aşağıdaki bilgileri girin: Fonksiyon Adı Çalışma Alanı Adı
    Armis Gizli Anahtar Armis URL (https://< armis-instance.armis.com/api/v1/>) Armis Alert Table Name Armis Activity Table Name Severity (default: Low) Armis Schedule KeyVault Name Azure Client ID Azure client secret Azure Entra objectID
    Kiracı Kimliği

  4. Yukarıda belirtilen hüküm ve koşulları kabul ediyorum etiketli onay kutusunu işaretleyin.

  5. Dağıtmak için Satın Al'a tıklayın.

Seçenek 2 - Azure İşlevleri El ile Dağıtımı

Armis Uyarıları Etkinlikleri veri bağlayıcısını Azure İşlevleri (Visual Studio Code aracılığıyla dağıtım) ile el ile dağıtmak için aşağıdaki adım adım yönergeleri kullanın.

  1. İşlev Uygulaması Dağıtma

NOT: VS kodunu Azure işlev geliştirme için hazırlamanız gerekir.

  1. Azure İşlev Uygulaması dosyasını indirin. Arşivi yerel geliştirme bilgisayarınıza ayıklayın.

  2. VS Code'ı başlatın. Ana menüde Dosya'yı ve ardından Klasörü Aç'ı seçin.

  3. Ayıklanan dosyalardan en üst düzey klasörü seçin.

  4. Etkinlik çubuğunda Azure simgesini seçin, ardından Azure: İşlevler alanında İşlev uygulamasına dağıt düğmesini seçin. Henüz oturum açmadıysanız, Etkinlik çubuğunda Azure simgesini seçin, ardından Azure: İşlevler alanında Oturum aç'ı seçerek Azure Oturum açtıysanız sonraki adıma geçin.

  5. İstemlerde aşağıdaki bilgileri sağlayın:

    a. Klasör seçin: Çalışma alanınızdan bir klasör seçin veya işlev uygulamanızı içeren klasöre göz atın.

    b. Abonelik'i seçin: Kullanılacak aboneliği seçin.

    c. Azure'de yeni İşlev Uygulaması oluştur'u seçin (Gelişmiş seçeneğini belirleme)

    d. İşlev uygulaması için genel olarak benzersiz bir ad girin: URL yolunda geçerli bir ad yazın. Yazdığınız ad, Azure İşlevleri benzersiz olduğundan emin olmak için doğrulanır. (örn. ARMISXXXXXX).

    e. Bir çalışma süresi seçin: Python 3.12'yi seç

    f. Yeni kaynaklar için bir konum seçin. Daha iyi performans ve düşük maliyetler için Microsoft Sentinel bulunduğu bölgeyi seçin.

  6. Dağıtım başlar. İşlev uygulamanız oluşturulduktan ve dağıtım paketi uygulandıktan sonra bir bildirim görüntülenir.

  7. İşlev Uygulaması yapılandırması için Azure portalı'na gidin.

  8. İşlev Uygulamasını Yapılandırma

  9. İşlev Uygulamasında İşlev Uygulaması Adı'nı ve ardından Yapılandırma'yı seçin.

  10. Uygulama ayarları sekmesinde + Yeni uygulama ayarı'nı seçin.

  11. Aşağıdaki uygulama ayarlarının her birini ayrı ayrı ve kendi değerleriyle (küçük harflere duyarlı) ekleyin: Çalışma Alanı Adı
    Armis Gizli Anahtar Armis URL (https://< armis-instance.armis.com/api/v1/>) Armis Alert Table Name Armis Activity Table Name Severity (default: Low) Armis Schedule KeyVault Name Azure Client ID Azure client secret Azure Entra objectID
    Tenant Id logAnalyticsUri (optional)

  • Ayrılmış bulut için log analytics API uç noktasını geçersiz kılmak için logAnalyticsUri kullanın. Örneğin, genel bulut için değeri boş bırakın; Azure GovUS bulut ortamı için değeri şu biçimde belirtin: https://<CustomerId>.ods.opinsights.azure.us.
  1. Tüm uygulama ayarları girildikten sonra Kaydet'e tıklayın.



Armis Cihazları (Azure İşlevleri kullanarak)

Tarafından desteklenir:Armis Corporation

Armis Cihaz bağlayıcısı Armis Rest API aracılığıyla Armis Cihazlarını Microsoft Sentinel alma özelliği sağlar. Daha fazla bilgi için API belgelerine https://<YourArmisInstance>.armis.com/api/v1/docs bakın. Bağlayıcı, Armis platformundan cihaz bilgilerini alma olanağı sağlar. Armis, aracı dağıtmak zorunda kalmadan cihazları bulmak ve tanımlamak için mevcut altyapınızı kullanır. Armis ayrıca ortamınızda yönetilen veya yönetilmeyen her cihazı tanımlamak ve sınıflandırmak için mevcut BT & güvenlik yönetimi araçlarınızla tümleştirilebilir.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
Armis_Devices_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Microsoft.Web/sites izinleri: İşlev Uygulaması oluşturmak için Azure İşlevleri okuma ve yazma izinleri gereklidir. Daha fazla bilgi için bkz. Azure İşlevleri.
  • REST API Kimlik Bilgileri/izinleri: Armis Gizli Anahtarı gereklidir. API hakkında daha fazla bilgi edinmek için belgelere bakın https://<YourArmisInstance>.armis.com/api/v1/doc

Kurulum Yönergeleri:

NOT: Bu bağlayıcı, günlüklerini Microsoft Sentinel çekmek üzere Armis API'sine bağlanmak için Azure İşlevleri kullanır. Bu, ek veri alımı maliyetlerine neden olabilir. Ayrıntılar için Azure İşlevleri fiyatlandırma sayfasına bakın.

(İsteğe Bağlı Adım) Çalışma alanını ve API yetkilendirme anahtarlarını veya belirteçlerini Azure Key Vault güvenli bir şekilde depolayın. Azure Key Vault, anahtar değerlerini depolamak ve almak için güvenli bir mekanizma sağlar. Azure İşlev Uygulaması ile Azure Key Vault kullanmak için bu yönergeleri izleyin.

NOT: Bu veri bağlayıcısı, kusto işlevini temel alan ayrıştırıcının beklendiği gibi çalışmasına bağlıdır. Kusto işlevleri diğer adı ArmisDevice'i oluşturmak için bu adımları izleyin

ADIM 1 - Armis API'sinin yapılandırma adımları

Armis API gizli anahtarı oluşturmak için bu yönergeleri izleyin.

  1. Armis örneğinizde oturum açın
  2. Ayarlar ' a gidin -> API Management
  3. Gizli anahtar henüz oluşturulmamışsa, oluştur düğmesine basarak gizli dizi anahtarını oluşturun
  4. Gizli anahtara erişmek için Göster düğmesine basın
  5. Gizli anahtar artık Armis Cihazı bağlayıcı yapılandırması sırasında kopyalanabilir ve kullanılabilir

ADIM 2 - Microsoft Entra ID'da Uygulama için Uygulama Kaydı adımları

Bu tümleştirme için Azure portal bir Uygulama kaydı gerekir. Microsoft Entra ID'da yeni uygulama oluşturmak için bu bölümdeki adımları izleyin:

  1. Azure portalda oturum açın.
  2. Microsoft Entra ID arayın ve seçin.
  3. Yönet'in altında Yeni kayıt'ı Uygulama kayıtları > seçin.
  4. Uygulamanız için bir görünen Ad girin.
  5. İlk uygulama kaydını tamamlamak için Kaydet'i seçin.
  6. Kayıt tamamlandığında, Azure portal uygulama kaydının Genel Bakış bölmesini görüntüler. Uygulama (istemci) kimliğini ve Kiracı Kimliğini görürsünüz. Armis Cihaz Veri Bağlayıcısı'nın yürütülmesi için yapılandırma parametreleri olarak istemci kimliği ve Kiracı Kimliği gereklidir.

Başvuru bağlantısı:/azure/active-directory/develop/quickstart-register-app

3. ADIM - Microsoft Entra ID'de uygulama için istemci gizli dizisi ekleme

Bazen uygulama parolası olarak adlandırılan istemci gizli dizisi, Armis Cihaz Veri Bağlayıcısı'nın yürütülmesi için gereken bir dize değeridir. Yeni bir İstemci Gizli Anahtarı oluşturmak için bu bölümdeki adımları izleyin:

  1. Azure portal, Uygulama kayıtları uygulamanızı seçin.
  2. Sertifikalar & gizli diziler > İstemci gizli dizileri Yeni istemci gizli dizisi'ni >seçin.
  3. Gizli anahtarınız için bir açıklama ekleyin.
  4. Gizli dizi için bir süre sonu seçin veya özel bir yaşam süresi belirtin. Sınır 24 aydır.
  5. Ekle'yi seçin.
  6. Gizli anahtarın değerini istemci uygulama kodunuzda kullanmak üzere kaydedin. Bu gizli dizi değeri, siz bu sayfadan ayrıldıktan sonra bir daha görüntülenmez. Gizli dizi değeri Armis Cihaz Veri Bağlayıcısı'nın yürütülmesi için yapılandırma parametresi olarak gereklidir.

Başvuru bağlantısı:/azure/active-directory/develop/quickstart-register-app#add-a-client-secret

4. ADIM - uygulamanızın Nesne Kimliğini Microsoft Entra ID

Uygulama kaydınızı oluşturduktan sonra Nesne Kimliğini almak için bu bölümdeki adımları izleyin:

  1. Microsoft Entra ID gidin.
  2. Soldaki menüden Kurumsal uygulamalar'ı seçin.
  3. Yeni oluşturduğunuz uygulamayı listede bulun (sağladığınız ada göre arama yapabilirsiniz).
  4. Uygulamaya tıklayın.
  5. Genel bakış sayfasında Nesne Kimliğini kopyalayın. Bu, ARM şablonu rol atamanız için gereken AzureEntraObjectId değeridir .

ADIM 5 - Microsoft Entra ID'de uygulamaya Katkıda Bulunan rolü atama

Rolü atamak için bu bölümdeki adımları izleyin:

  1. Azure portal Kaynak Grubu'na gidin ve kaynak grubunuzu seçin.
  2. Sol panelden Erişim denetimine (IAM) gidin.
  3. Ekle'ye tıklayın ve rol ataması ekle'yi seçin.
  4. Rol olarak Katkıda Bulunan'ı seçin ve İleri'ye tıklayın.
  5. Erişim ata bölümünde öğesini seçinUser, group, or service principal.
  6. Üye ekle'ye tıklayın ve oluşturduğunuz uygulama adınızı yazın ve seçin.
  7. Şimdi Gözden Geçir + ata'ya tıklayın ve sonra yeniden Gözden Geçir + ata'ya tıklayın.

Başvuru bağlantısı:/azure/role-based-access-control/role-assignments-portal

ADIM 6 - Keyvault oluşturma

Yeni bir Keyvault oluşturmak için bu yönergeleri izleyin.

  1. Azure portal Key vaults'a gidin. Oluştur'a tıklayın.
  2. Subsciption, Resource Group öğesini seçin ve keyvault öğesinin benzersiz adını sağlayın.

NOT: Bir çalışma alanı içindeki her API anahtarı için ayrı bir anahtar kasası oluşturun .

7. ADIM - Keyvault'ta Erişim İlkesi Oluşturma

Keyvault'ta erişim ilkesi oluşturmak için bu yönergeleri izleyin.

  1. Keyvaults'a gidin, keyvault'unuzu seçin, sol taraftaki panelde Erişim ilkeleri'ne gidin. Oluştur'a tıklayın.
  2. Gizli dizi izinleri & tüm anahtarları seçin. İleri'ye tıklayın.
  3. Asıl bölümde, ADIM - 2'de oluşturulan uygulama adına göre arama. İleri'ye tıklayın.

NOT: Key Vault Erişim Yapılandırmasındaki İzin modelinin 'Kasa erişim ilkesi' olarak ayarlandığından emin olun

8. ADIM - Bağlayıcıyı ve ilişkili Azure İşlevini dağıtmak için aşağıdaki iki dağıtım seçeneğinden Bİrİ'ni seçin

ÖNEMLI: Armis Cihaz veri bağlayıcısını dağıtmadan önce, Armis API Yetkilendirme Anahtar(ları)nı hazır bulundurun..

Seçenek 1 - Azure Resource Manager (ARM) Şablonu

Armis bağlayıcısının otomatik dağıtımı için bu yöntemi kullanın.

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.msaka.ms

  2. Tercih edilen Abonelik, Kaynak Grubu ve Konum'a tıklayın.

  3. Aşağıdaki bilgileri girin: Fonksiyon Adı Konum Çalışma Alanı Adı Armis Gizli Anahtar Armis URL (https://< armis-instance.armis.com/api/v1/>) Armis Cihaz Tablo Adı Armis Schedule KeyVault Adı Azure İstemci Kimliği Azure İstemci Gizli Azure Entra ObjectID Kiracı Kimliği

  4. Yukarıda belirtilen hüküm ve koşulları kabul ediyorum etiketli onay kutusunu işaretleyin.

  5. Dağıtmak için Satın Al'a tıklayın.

Seçenek 2 - Azure İşlevleri El ile Dağıtımı

Armis Cihazı veri bağlayıcısını Azure İşlevleri (Visual Studio Code aracılığıyla dağıtım) ile el ile dağıtmak için aşağıdaki adım adım yönergeleri kullanın.

  1. İşlev Uygulaması Dağıtma

NOT: VS kodunu Azure işlev geliştirme için hazırlamanız gerekir.

  1. Azure İşlev Uygulaması dosyasını indirin. Arşivi yerel geliştirme bilgisayarınıza ayıklayın.

  2. VS Code'ı başlatın. Ana menüde Dosya'yı ve ardından Klasörü Aç'ı seçin.

  3. Ayıklanan dosyalardan en üst düzey klasörü seçin.

  4. Etkinlik çubuğunda Azure simgesini seçin, ardından Azure: İşlevler alanında İşlev uygulamasına dağıt düğmesini seçin. Henüz oturum açmadıysanız, Etkinlik çubuğunda Azure simgesini seçin, ardından Azure: İşlevler alanında Oturum aç'ı seçerek Azure Oturum açtıysanız sonraki adıma geçin.

  5. İstemlerde aşağıdaki bilgileri sağlayın:

    a. Klasör seçin: Çalışma alanınızdan bir klasör seçin veya işlev uygulamanızı içeren klasöre göz atın.

    b. Abonelik'i seçin: Kullanılacak aboneliği seçin.

    c. Azure'de yeni İşlev Uygulaması oluştur'u seçin (Gelişmiş seçeneğini belirleme)

    d. İşlev uygulaması için genel olarak benzersiz bir ad girin: URL yolunda geçerli bir ad yazın. Yazdığınız ad, Azure İşlevleri benzersiz olduğundan emin olmak için doğrulanır. (örn. ARMISXXXXXX).

    e. Bir çalışma süresi seçin: Python 3.12'yi seç

    f. Yeni kaynaklar için bir konum seçin. Daha iyi performans ve düşük maliyetler için Microsoft Sentinel bulunduğu bölgeyi seçin.

  6. Dağıtım başlar. İşlev uygulamanız oluşturulduktan ve dağıtım paketi uygulandıktan sonra bir bildirim görüntülenir.

  7. İşlev Uygulaması yapılandırması için Azure portalı'na gidin.

  8. İşlev Uygulamasını Yapılandırma

  9. İşlev Uygulamasında İşlev Uygulaması Adı'nı ve ardından Yapılandırma'yı seçin.

  10. Uygulama ayarları sekmesinde + Yeni uygulama ayarı'nı seçin.

  11. Aşağıdaki uygulama ayarlarının her birini ayrı ayrı ve ilgili değerleri (küçük harflere duyarlı) ekleyin: Konum Çalışma Alanı Adı, Armis Gizli Anahtar, Armis URL (https://< armis-instance.armis.com/api/v1/>) Armis Cihaz Tablo Adı, Armis Schedule KeyVault Adı Azure İstemci Kimliği Azure İstemci Gizli Azure Entra ObjectID Kiracı Id logAnalyticsUri (isteğe bağlı)

  • Ayrılmış bulut için log analytics API uç noktasını geçersiz kılmak için logAnalyticsUri kullanın. Örneğin, genel bulut için değeri boş bırakın; Azure GovUS bulut ortamı için değeri şu biçimde belirtin: https://<CustomerId>.ods.opinsights.azure.us.
  1. Tüm uygulama ayarları girildikten sonra Kaydet'e tıklayın.



Atlassian Confluence Audit (Kodsuz Bağlayıcı Çerçevesi aracılığıyla)

Tarafından desteklenir:Microsoft Corporation

Atlassian Confluence Audit veri bağlayıcısı, Confluence Audit Records olaylarını REST API aracılığıyla Microsoft Sentinel alma özelliği sağlar. Daha fazla bilgi için API belgelerine bakın. Bağlayıcı olası güvenlik risklerini değerlendirmek, işbirliğini izlemek ve yapılandırma sorunlarını tanılamak ve gidermek için olay alma olanağı sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
ConfluenceAuditLogs Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

Kurulum Yönergeleri:

Atlassian Confluence'i Microsoft Sentinel'e bağla

Her Atlassian Confluence sitesi için bir bağlantı ekleyin. Bir API token oluşturmak için Atlassian API token talimatlarını takip edin.

  • Veri Bağlayıcıları Kılavuzu (portalda yapılandır)



Atlassian Jira Denetimi (Azure İşlevleri kullanılarak)

Tarafından desteklenir:Microsoft Corporation

Atlassian Jira Audit veri bağlayıcısı Jira Denetim Kayıtları olaylarını REST API aracılığıyla Microsoft Sentinel alma özelliği sağlar. Daha fazla bilgi için API belgelerine bakın. Bağlayıcı olası güvenlik risklerini değerlendirmek, işbirliğini izlemek ve yapılandırma sorunlarını tanılamak ve gidermek için olay alma olanağı sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
Jira_Audit_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Microsoft.Web/sites izinleri: İşlev Uygulaması oluşturmak için Azure İşlevleri okuma ve yazma izinleri gereklidir. Daha fazla bilgi için bkz. Azure İşlevleri.
  • REST API Kimlik Bilgileri/izinleri: REST API için JiraAccessToken, JiraUsername gereklidir. Daha fazla bilgi için bkz. API. Tüm gereksinimleri denetleyin ve kimlik bilgilerini alma yönergelerini izleyin .

Kurulum Yönergeleri:

NOT: Bu bağlayıcı, günlüklerini Microsoft Sentinel çekmek üzere Jira REST API'sine bağlanmak için Azure İşlevleri kullanır. Bu, ek veri alımı maliyetlerine neden olabilir. Ayrıntılar için Azure İşlevleri fiyatlandırma sayfasına bakın.

(İsteğe Bağlı Adım) Çalışma alanını ve API yetkilendirme anahtarlarını veya belirteçlerini Azure Key Vault güvenli bir şekilde depolayın. Azure Key Vault, anahtar değerlerini depolamak ve almak için güvenli bir mekanizma sağlar. Azure İşlev Uygulaması ile Azure Key Vault kullanmak için bu yönergeleri izleyin.

NOT: Bu veri bağlayıcısı, kusto işlevini temel alan ayrıştırıcının beklendiği gibi çalışmasına bağlıdır. Kusto işlevleri diğer adı olan JiraAudit'i oluşturmak için bu adımları izleyin

ADIM 1 - Jira API'sinin yapılandırma adımları

Kimlik bilgilerini almak için yönergeleri izleyin.

ADIM 2 - Bağlayıcıyı ve ilişkili Azure İşlevini dağıtmak için aşağıdaki iki dağıtım seçeneğinden Bİrİ'ni seçin

ÖNEMLİ: Çalışma Alanı veri bağlayıcısını dağıtmadan önce Çalışma Alanı Kimliği ve Çalışma Alanı Birincil Anahtarına sahip olun (aşağıdakilerden kopyalanabilir).

  • Çalışma Alanı Kimliği: <Yükleme zamanında sağlanan değişken değeri>
  • Birincil Anahtar: <Yükleme zamanında sağlanan değişken değeri>

Seçenek 1 - Azure Resource Manager (ARM) Şablonu

ARM Tempate kullanarak Jira Denetim veri bağlayıcısının otomatik dağıtımı için bu yöntemi kullanın.

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.msaka.ms

  2. Tercih edilen Abonelik, Kaynak Grubu ve Konum'a tıklayın.

NOT: Aynı kaynak grubunda, Aynı bölgedeki Windows ve Linux uygulamalarını karıştıramazsınız. Içinde Windows uygulamaları olmayan mevcut kaynak grubunu seçin veya yeni kaynak grubu oluşturun. 3. JiraAccessToken, JiraUsername, JiraHomeSiteName (kısa site adı bölümü, örneğin HOMESITENAME from https://community.atlassian.com) girin ve dağıtın. 4. Yukarıda belirtilen hüküm ve koşulları kabul ediyorum etiketli onay kutusunu işaretleyin. 5. Dağıtmak için Satın Al'a tıklayın.

Seçenek 2 - Azure İşlevleri El ile Dağıtımı

Jira Denetim veri bağlayıcısını Azure İşlevleri (Visual Studio Code aracılığıyla dağıtım) ile el ile dağıtmak için aşağıdaki adım adım yönergeleri kullanın.

  1. İşlev Uygulaması Dağıtma

NOT: VS kodunu Azure işlev geliştirme için hazırlamanız gerekir.

  1. Azure İşlev Uygulaması dosyasını indirin. Arşivi yerel geliştirme bilgisayarınıza ayıklayın.

  2. VS Code'ı başlatın. Ana menüde Dosya'yı ve ardından Klasörü Aç'ı seçin.

  3. Ayıklanan dosyalardan en üst düzey klasörü seçin.

  4. Etkinlik çubuğunda Azure simgesini seçin, ardından Azure: İşlevler alanında İşlev uygulamasına dağıt düğmesini seçin. Henüz oturum açmadıysanız, Etkinlik çubuğunda Azure simgesini seçin, ardından Azure: İşlevler alanında Oturum aç'ı seçerek Azure Oturum açtıysanız sonraki adıma geçin.

  5. İstemlerde aşağıdaki bilgileri sağlayın:

    a. Klasör seçin: Çalışma alanınızdan bir klasör seçin veya işlev uygulamanızı içeren klasöre göz atın.

    b. Abonelik'i seçin: Kullanılacak aboneliği seçin.

    c. Azure'de yeni İşlev Uygulaması oluştur'u seçin (Gelişmiş seçeneğini belirleme)

    d. İşlev uygulaması için genel olarak benzersiz bir ad girin: URL yolunda geçerli bir ad yazın. Yazdığınız ad, Azure İşlevleri benzersiz olduğundan emin olmak için doğrulanır. (örneğin JiraAuditXXXXXX).

    e. Çalışma zamanı seçin: Python 3.11'i seçin.

    f. Yeni kaynaklar için bir konum seçin. Daha iyi performans ve düşük maliyetler için Microsoft Sentinel bulunduğu bölgeyi seçin.

  6. Dağıtım başlar. İşlev uygulamanız oluşturulduktan ve dağıtım paketi uygulandıktan sonra bir bildirim görüntülenir.

  7. İşlev Uygulaması yapılandırması için Azure portalı'na gidin.

  8. İşlev Uygulamasını Yapılandırma

  9. İşlev Uygulamasında İşlev Uygulaması Adı'nı ve ardından Yapılandırma'yı seçin.

  10. Uygulama ayarları sekmesinde Yeni uygulama ayarı'nı seçin.

  11. Aşağıdaki uygulama ayarlarının her birini ilgili dize değerleriyle (büyük/küçük harfe duyarlı) tek tek ekleyin: JiraUsername JiraAccessToken JiraHomeSiteName WorkspaceID WorkspaceKey logAnalyticsUri (isteğe bağlı)

  • Ayrılmış bulut için log analytics API uç noktasını geçersiz kılmak için logAnalyticsUri kullanın. Örneğin, genel bulut için değeri boş bırakın; Azure GovUS bulut ortamı için değeri şu biçimde belirtin: https://<CustomerId>.ods.opinsights.azure.us.
  1. Tüm uygulama ayarları girildikten sonra Kaydet'e tıklayın.



Atlassian Jira Denetimi (Kodsuz Bağlayıcı Çerçevesi aracılığıyla)

Tarafından desteklenir:Microsoft Corporation

Atlassian Jira Audit veri bağlayıcısı Jira Denetim Kayıtları olaylarını REST API aracılığıyla Microsoft Sentinel alma özelliği sağlar. Daha fazla bilgi için API belgelerine bakın. Bağlayıcı olası güvenlik risklerini değerlendirmek, işbirliğini izlemek ve yapılandırma sorunlarını tanılamak ve gidermek için olay alma olanağı sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
Jira_Audit_v2_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

Kurulum Yönergeleri:

Atlassian Jira bağlayıcısını Microsoft Sentinel etkinleştirmek için, kuruluş eklemek için tıklayın, formu Jira ortamı kimlik bilgileriyle doldurun ve Bağlan'a tıklayın. API belirteci oluşturmak için bu adımları izleyin.

  • Veri Bağlayıcıları Kılavuzu (portalda yapılandır)



Atlassian Organizasyon Denetim Olayları (Codeless Connector Framework aracılığıyla)

Tarafından desteklenir:Microsoft

Atlassian Organizasyon Denetim Olayları veri bağlayıcısı, Atlassian Cloud'dan kuruluş denetim olaylarını Polling API üzerinden Microsoft Sentinel'e aktarma yeteneği sağlar. Bu bağlayıcı, Jira (Yazılım/Hizmet Masası / Çekirdek), Confluence, Bitbucket, Trello, Opsgenie, Statuspage ve Loom dahil olmak üzere tüm Atlassian Cloud ürünlerinde kapsamlı güvenlik izleme ve uyumluluk denetimi sağlar. Bağlayıcı, kullanıcı yönetimi, kimlik doğrulama faaliyetleri, grup değişiklikleri, ürün erişim değişiklikleri, idari işlemler ve politika değişikliklerini kapsayan denetim olaylarını alır. Atlassian Cloud'da 180 günlük veri saklama süresiyle, bu bağlantı sağlayıcı kullanıcı erişimi onaylanan/iptal edilen, kimlik doğrulama hataları ve başarıları, MFA yapılandırma değişiklikleri, API token yönetimi, grup üyeliği değişiklikleri, ürün lisansı atamaları, organizasyon politikası güncellemeleri ve alan doğrulama faaliyetleri hakkında görünürlük sağlar. Bağlayıcı, yalnızca okunan OAuth kapsamına (read:events:admin) sahip API Anahtarı kimlik doğrulaması kullanır ve imleç tabanlı sayfalamayla sürekli anket için optimize edilmiştir. Bu bağlayıcı, Microsoft Sentinel Codeless Connector Framework üzerine inşa edilmiştir ve optimize edilmiş sorgu performansı için DCR tabanlı alım zaman dönüşümlerini destekler. Daha fazla bilgi için Atlassian Organizasyon Etkinlikleri API dokümantasyonuna bakınız.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
AtlassianAuditEvents Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

Kurulum Yönergeleri:

Önkoşullar

Bu konnektörü kurmadan önce, aşağıdakilere sahip olduğundan emin olun:

  • OAuth kapsamıyla bir API anahtarı oluşturmak read:events:admin.
  • Atlassian Organizasyon ID'niz (UUID).
  • Microsoft Sentinel çalışma alanı veri bağlayıcısını yapılandırmak için yazma izniyle donatılmıştır.

1. Atlassian'da API Anahtarı Oluştur

Gerekli izinlere sahip bir API anahtarı oluşturmak için şu adımları izleyin:

API Anahtarı Oluşturma

  1. Atlassian Yönetimi'ne Geçin
  2. Organizasyonunuzu seçin (birden fazla şirketiniz varsa)
  3. Ayarlara gidin, ardından API anahtarlarını seçin
  4. API anahtarı oluştur'a tıklayın
  5. API anahtarını yapılandırmak:
    • İsim: Microsoft Sentinel Integration (veya tanımlayıcı adı)
    • Son kullanma süresi: Son kullanma tarihi ayarlanır (en fazla 1 yıl)
    • Kapsamlar: Select read:events:admin (denetim olaylarına yalnızca okunabilir erişim)
  6. Oluştur seçeneğine tıklayın
  7. ÖNEMLI: API anahtarını hemen kopyalayın - tekrar gösterilmeyecek

2. Kuruluş Kimliğinizi Alın

Atlassian API'sine bağlanmak için Organizasyon Kimliğiniz gereklidir:

Organizasyon Kimliğini Bul Organizasyon Kimliğiniz bir UUID'dir (örneğin, 00000000-0000-0000-0000-000000000000)

Seçenek 1: Atlassian Administration URL'sinden

  • Atlassian Administration konsolunuzdaki URL'ye bakın
  • Biçim: https://admin.atlassian.com/o/{orgId}/overview
  • UUID'yi ve /o/ arasında kopyalayın /overview

Seçenek 2: API Anahtarı Oluşturma Sırasında

  • Organizasyon Kimliği, API anahtarı oluşturduğunuzda görüntülenir
  • API anahtarınızla birlikte kopyalayın

Örnek:00000000-0000-0000-0000-000000000000

3. Microsoft Sentinel'e bağlanın

Her Atlassian kuruluşu (kiracı) için bir bağlantı ekleyin. Her bağlantı benzersiz bir Bağlantı Alias'ı ile tanımlanır ve farklı bir organizasyon veya API taban URL'sini hedefleyebilir, böylece birden fazla Atlassian organizasyonundan yan yana olayları alabilirsiniz.

  • Veri Bağlayıcıları Kılavuzu (portalda yapılandır)



Auth0 Günlükleri (Kodsuz Bağlayıcı Çerçevesi aracılığıyla)

Tarafından desteklenir:Microsoft Corporation

Auth0 veri bağlayıcısı, Auth0 Yönetim API'sinden kiracı günlüğü olaylarını Microsoft Sentinel'e alır. Codeless Connector Framework üzerine inşa edilmiş olan bu sistem, birden fazla Auth0 ana bilgisayarını ve her kaydı kendi Auth0 alan adıyla etiketlemeyi destekler.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
Auth0Logs_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Auth0 API kimlik bilgileri: Auth0 Yönetim API kimlik bilgileri gereklidir: Alan Alanı, İstemci Kimliği ve İstemci Gizliliği için yetkilendirilmiş read:logs bir Makineden Makineye Uygulama ve read:logs_users.

Kurulum Yönergeleri:

Auth0 Yönetim API uygulamasını yapılandırma

Kimlik bilgilerini almak için şu adımları izleyin:

  1. Auth0 Dashboard'da Uygulamalar > Uygulamaları'na gidin.
  2. Auth0 Yönetim API'sine karşı en azından read:logs ve read:logs_users izinleriyle yetkilendirilmiş bir Makineden Makineye uygulama seçin (veya oluşturun).
  3. Uygulama ayarlarından, Alan Adını (ile başlamalıdır https://) İstemci Kimliği ve İstemci Gizliliğini kopyalayın.

Birden fazla Auth0 konakından loglar toplamak için, her ana bilgisayar için ayrı bir bağlantı ekleyin. Her kayıt Auth0Domain ile etiketlenmiş, böylece hostları ayırt edebilirsiniz.

  • Veri Bağlayıcıları Kılavuzu (portalda yapılandır)



Otomatik Mantıksal WebCTRL

Tarafından desteklenir:Microsoft Corporation

Denetim günlüklerini, Microsoft Sentinel bağlı Windows makinelerinde barındırılan WebCTRL SQL sunucusundan akışla aktarabilirsiniz. Bu bağlantı panoları görüntülemenizi, özel uyarılar oluşturmanızı ve araştırmayı geliştirmenizi sağlar. Bu, WebCTRL BAS uygulaması tarafından izlenen veya denetlenen Endüstriyel Denetim Sistemlerinizle ilgili içgörüler sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
Event Evet Hayır

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Kurulum Yönergeleri:

1. Windows için Microsoft aracısını yükleyin ve yükleyin.

Aracı kurulumu ve windows olayları ekleme hakkında bilgi edinin.

Windows için Microsoft aracısını zaten yüklediyseniz bu adımı atlayabilirsiniz

2. Denetim verilerini okumak ve Windows olaylarına yazmak için Windows görevini yapılandırın

SQL'deki denetim günlüklerini okumak ve Bunları Windows Olayları olarak yazmak için Windows Zamanlanmış Görevi yükleyip yapılandırın. Bu Windows Olayları aracı tarafından toplanır ve Microsoft Sentinel iletilir.

Tüm makinelerdeki verilerin seçili çalışma alanında depolanacağına dikkat edin

2.1 Kurulum dosyalarını sunucudaki bir konuma kopyalayın.

2.2 Hedef veritabanı adı ve Windows olay kimliği gibi ALC-WebCTRL-AuditPull.ps1 betik parametrelerini güncelleştirin (yukarıdaki adımda kopyalanır). Daha fazla ayrıntı için betikteki açıklamalara bakın.

2.3 Yukarıdaki adımda kopyalanan ALC-WebCTRL-AuditPullTaskConfig.xml dosyasındaki windows görev ayarlarını gereksinime göre güncelleştirin. Daha fazla ayrıntı için dosyadaki açıklamalara bakın.

2.4 Yukarıdaki adımlarda kopyalanan güncelleştirilmiş yapılandırmaları kullanarak Windows görevlerini yükleme

  • PowerShell'de, kurulum dosyalarının 2.1. adımda kopyalandığı dizinden aşağıdaki komutu çalıştırın: <yükleme zamanında sağlanan değişken değeri>

3. Bağlantıyı doğrulama

Bağlantınızı doğrulamak için yönergeleri izleyin:

Günlüklerin Olay şeması kullanılarak alınp alınmadığını denetlemek için Log Analytics'i açın.

Bağlantının verileri çalışma alanınıza aktarması yaklaşık 20 dakika sürebilir.

Günlükler alınmazsa, çalışma zamanı sorunları için aşağıdaki adımları doğrulayın:

  1. Zamanlanmış görevin oluşturulduğundan ve Windows Görev Zamanlayıcı'da çalışır durumda olduğundan emin olun.

  2. 2.4. adımda yeni oluşturulan görev için Windows Görev Zamanlayıcı'nın geçmiş sekmesinde görev yürütme hatalarını denetleyin

  3. Zamanlanmış Windows görevi çalışırken SQL Denetim tablosunun yeni kayıtlardan oluştuğundan emin olun.



AWS EKS Veri Bağlayıcısı (Kodsuz Bağlayıcı Çerçevesi aracılığıyla)

Tarafından desteklenir:Microsoft Corporation

AWS EKS veri bağlayıcısı, denetim günlüklerini Amazon Elastic Kubernetes Service'ten Microsoft Sentinel alma özelliği sağlar. Bu bağlayıcı, API sunucusu istekleri, kimlik doğrulama kararları ve küme etkinlikleri hakkında ayrıntılı bilgi içeren EKS denetim günlüklerine (JSON biçimi) odaklanır. Bağlayıcı, yeni denetim günlüğü dosyaları S3'e aktarıldığında bildirim almak için AWS SQS'yi kullanarak Kubernetes kümeleriniz için gerçek zamanlı güvenlik izleme ve uyumluluk izlemesi sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
AWSEKSLogs_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Kurulum Yönergeleri:

1. AWS CloudFormation Dağıtımı

Aws EKS'den Log Analytics Çalışma Alanınıza günlük göndermek üzere AWS ortamını yapılandırmak için sağlanan CloudFormation şablonlarını kullanın.

AWS'de CloudFormation Şablonları Dağıtma:

  1. AWS CloudFormation Stacks'e gidin.
  2. Yığın oluştur'a tıklayın ve Yeni kaynaklarla seçeneğini belirleyin.
  3. Şablon dosyasını karşıya yükle'yi seçin, ardından sağlanan uygun CloudFormation şablonunu (Aşağıdaki Şablon 1 ve 2) karşıya yüklemek için Dosya seç'e tıklayın.
  4. Istemleri izleyin ve yığın oluşturmayı tamamlamak için İleri'ye tıklayın.
  5. Yığınlar oluşturulduktan sonra Çıkışlar bölümüne gidin. Çıkış bölümünden 1. ve 2. adımda betikleri çalıştırın; eks'den sqs'ye günlük akışı yapın.
  6. Aynı çıkışlar bölümünde, bağlan bağlayıcısında kullanılacak olan Rol ARN ve SQS Kuyruğu URL'sini not alın.
  • Şablon 1: OpenID Connect kimlik doğrulama sağlayıcısı dağıtımı: <yükleme zamanında sağlanan değişken değeri>
  • Şablon 2: AWS EKS Kaynakları Dağıtımı: <yükleme zamanında sağlanan değişken değeri>

2. Yeni toplayıcıları bağlama

Microsoft Sentinel için AWS Security Hub Bağlayıcısı'nı etkinleştirmek için Yeni toplayıcı ekle düğmesine tıklayın, bağlam bölmesinde gerekli bilgileri doldurun ve Bağlan'a tıklayın.

3. Bağlan

AWS EKS bağlayıcısını etkinleştirin.

  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



AWS S3 Sunucu Erişim Günlükleri (Kodsuz Bağlayıcı Çerçevesi aracılığıyla)

Tarafından desteklenir:Microsoft Corporation

Bu bağlayıcı, AWS S3 Sunucu Erişim Günlüklerini Microsoft Sentinel almanızı sağlar. Bu günlükler, istek türü, erişilen kaynak, istek sahibi bilgileri ve yanıt ayrıntıları da dahil olmak üzere S3 demetlerine yapılan isteklerin ayrıntılı kayıtlarını içerir. Bu günlükler erişim düzenlerini analiz etmek, sorunları ayıklamak ve güvenlik uyumluluğunu sağlamak için kullanışlıdır.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
AWSS3ServerAccess Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Ortam: Şu AWS kaynaklarını tanımlamış ve yapılandırmış olmanız gerekir: S3 Demeti, Basit Kuyruk Hizmeti (SQS), IAM rolleri ve izin ilkeleri.

Kurulum Yönergeleri:

  1. AWS CloudFormation Dağıtımı AWS'de erişimi yapılandırmak için AWS ortamını bir AWS S3 Server Access günlüklerinden Log Analytics Çalışma Alanınıza günlük gönderecek şekilde ayarlamak için iki şablon oluşturulmuştur.

AWS'de CloudFormation Şablonları Dağıtma:

  1. AWS CloudFormation Stacks'e gidin.
  2. Yığın oluştur'a tıklayın ve Yeni kaynaklarla seçeneğini belirleyin.
  3. Şablon dosyasını karşıya yükle'yi seçin, ardından sağlanan uygun CloudFormation şablonunu karşıya yüklemek için Dosya seç'e tıklayın.
  4. Istemleri izleyin ve yığın oluşturmayı tamamlamak için İleri'ye tıklayın.
  5. Yığınlar oluşturulduktan sonra Rol ARN ve SQS Kuyruğu URL'sini not alın.
  • Şablon 1: OpenID Connect kimlik doğrulama sağlayıcısı dağıtımı: <yükleme zamanında sağlanan değişken değeri>
  • Şablon 2: AWS Server Access kaynakları dağıtımı: <yükleme zamanında sağlanan değişken değeri>
  1. Yeni toplayıcıları bağlama AWS S3 Server Access Logs Connector'ı Microsoft Sentinel için etkinleştirmek için Yeni toplayıcı ekle düğmesine tıklayın, bağlam bölmesinde gerekli bilgileri doldurun ve Bağlan'a tıklayın.
  • Veri Bağlayıcıları Kılavuzu (portalda yapılandır)



AWS Güvenlik Merkezi Bulguları (Kodsuz Bağlayıcı Çerçevesi aracılığıyla)

Tarafından desteklenir:Microsoft Corporation

Bu bağlayıcı, AWS S3 demetlerinde toplanan AWS Security Hub Bulgularının Microsoft Sentinel'a alımını sağlar. AWS Security Hub Bulgularını Microsoft Sentinel gelişmiş tehdit algılama ve yanıt özellikleriyle tümleştirerek güvenlik uyarılarını izleme ve yönetme sürecini kolaylaştırmaya yardımcı olur.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
AWSSecurityHubFindings Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Ortam: Şu AWS kaynaklarını tanımlamış ve yapılandırmış olmanız gerekir: AWS Security Hub, Amazon Data Firehose, Amazon EventBridge, S3 Bucket, Simple Queue Service (SQS), IAM rolleri ve izin ilkeleri.

Kurulum Yönergeleri:

  1. AWS CloudFormation Dağıtımı AWS Güvenlik Merkezi'nden Log Analytics Çalışma Alanınıza günlük göndermek üzere AWS ortamını yapılandırmak için sağlanan CloudFormation şablonlarını kullanın.

AWS'de CloudFormation Şablonları Dağıtma:

  1. AWS CloudFormation Stacks'e gidin.
  2. Yığın oluştur'a tıklayın ve Yeni kaynaklarla seçeneğini belirleyin.
  3. Şablon dosyasını karşıya yükle'yi seçin, ardından sağlanan uygun CloudFormation şablonunu karşıya yüklemek için Dosya seç'e tıklayın.
  4. Istemleri izleyin ve yığın oluşturmayı tamamlamak için İleri'ye tıklayın.
  5. Yığınlar oluşturulduktan sonra Rol ARN ve SQS Kuyruğu URL'sini not alın.
  • Şablon 1: OpenID Connect kimlik doğrulama sağlayıcısı dağıtımı: <yükleme zamanında sağlanan değişken değeri>
  • Şablon 2: AWS Security Hub kaynakları dağıtımı: <yükleme zamanında sağlanan değişken değeri>
  1. Yeni toplayıcıları bağlama AWS Security Hub Bağlayıcısı'nı Microsoft Sentinel için etkinleştirmek için Yeni toplayıcı ekle düğmesine tıklayın, bağlam bölmesinde gerekli bilgileri doldurun ve Bağlan'a tıklayın.
  • Veri Bağlayıcıları Kılavuzu (portalda yapılandır)



Azure Etkinliği

Tarafından desteklenir:Microsoft Corporation

Azure Etkinlik Günlüğü, Azure Resource Manager işletimsel verilerden gelen olaylar, hizmet durumu olayları, aboneliğinizdeki kaynaklar üzerinde gerçekleştirilen yazma işlemleri ve Azure gerçekleştirilen etkinliklerin durumu gibi Azure gerçekleşen abonelik düzeyinde olaylar hakkında içgörü sağlayan bir abonelik günlüğüdür. Daha fazla bilgi için Microsoft Sentinel belgelerine bakın.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
AzureActivity Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Azure Batch Hesabı

Tarafından desteklenir:Microsoft Corporation

Azure Batch Hesabı, Batch hizmeti içinde benzersiz olarak tanımlanmış bir varlıktır. Çoğu Batch çözümü, kaynak dosyalarını ve çıkış dosyalarını depolamak için Azure Depolama kullanır, bu nedenle her Batch hesabı genellikle karşılık gelen bir depolama hesabıyla ilişkilendirilir. Bu bağlayıcı, Azure Batch hesabı tanılama günlüklerinizi Microsoft Sentinel akışla aktarmanıza olanak tanıyarak etkinliği sürekli izlemenize olanak tanır. Daha fazla bilgi için Microsoft Sentinel belgelerine bakın.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
AzureDiagnostics Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • İlke: Her ilke atama kapsamı için atanan sahip rolü

Kurulum Yönergeleri:

Azure Batch Hesabı tanılama günlüklerinizi Sentinel bağlayın.

Bu bağlayıcı, kapsam olarak tanımlanan bir örnek koleksiyonuna tek bir Azure Batch Hesabı günlük akışı yapılandırması uygulamak için Azure İlkesi kullanır. Geçerli ve gelecekteki tüm örneklere ilke oluşturmak ve uygulamak için aşağıdaki yönergeleri izleyin. Bu kaynak türü için zaten etkin bir ilkeniz olabileceğini unutmayın.

Azure Batch Hesabınızdaki tanılama günlüklerini uygun ölçekte Stream

**Azure İlkesi Atama sihirbazını başlatın ve adımları izleyin. **

  1. Temel Bilgiler sekmesinde, aboneliğinizi seçmek için Kapsam'ın altında üç nokta bulunan düğmeye tıklayın.
  2. Parametreler sekmesinde Log Analytics çalışma alanı açılan listesinden Microsoft Sentinel çalışma alanınızı seçin ve almak istediğiniz tüm günlük kategorilerini "Doğru" olarak işaretleyin.
  3. İlkeyi var olan kaynaklarınıza uygulamak için Düzeltme sekmesinde Düzeltme görevi oluştur onay kutusunu işaretleyin .



Palo Alto Networks tarafından Azure CloudNGFW

Tarafından desteklenir:Palo Alto Networks

Azure Yerel ISV Hizmeti olan Palo Alto Networks'in Bulut Yeni Nesil Güvenlik Duvarı, Azure'de buluta özel bir hizmet olarak sunulan Palo Alto Networks Yeni Nesil Güvenlik Duvarıdır (NGFW). Cloud NGFW'yi Azure Market'te bulabilir ve Azure Sanal Ağlarınızda (VNet) kullanabilirsiniz. Cloud NGFW ile App-ID, URL filtreleme tabanlı teknolojiler gibi temel NGFW özelliklerine erişebilirsiniz. Bulut tabanlı güvenlik hizmetleri ve tehdit önleme imzaları aracılığıyla tehdit önleme ve algılama sağlar. Bağlayıcı, bulut NGFW günlüklerinizi kolayca Microsoft Sentinel bağlamanıza, panoları görüntülemenize, özel uyarılar oluşturmanıza ve araştırmayı geliştirmenize olanak tanır. Bu, kuruluşunuzun ağı hakkında daha fazla içgörü sağlar ve güvenlik işlemi özelliklerinizi geliştirir. Daha fazla bilgi için Azure için Cloud NGFW belgelerine bakın.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
fluentbit_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Kurulum Yönergeleri:

Palo Alto Networks'in Cloud NGFW'yi Microsoft Sentinel'a bağlama

Palo Alto Networks tarafından tüm Bulut NGFW'lerinde Günlük Ayarlarını etkinleştirin.

Bulut NGFW kaynağınızın içinde:

  1. Giriş sayfasından Günlük Ayarları'na gidin.
  2. Günlük Ayarlarını Etkinleştir onay kutusunun işaretli olduğundan emin olun.
  3. Günlük Ayarları açılan listesinden istediğiniz Log Analytics Çalışma Alanını seçin.
  4. Seçimlerinizi ve yapılandırmalarınızı onaylayın.
  5. Ayarları uygulamak için Kaydet'e tıklayın.



Azure Bilişsel Arama

Tarafından desteklenir:Microsoft Corporation

Azure Bilişsel Arama, geliştiricilere web, mobil ve kurumsal uygulamalarda özel, heterojen içerik üzerinde zengin bir arama deneyimi oluşturmaya yönelik altyapı, API'ler ve araçlar sağlayan bir bulut arama hizmetidir. Bu bağlayıcı, Azure Bilişsel Arama tanılama günlüklerinizi Microsoft Sentinel akışla aktarmanıza olanak tanıyarak etkinliği sürekli izlemenizi sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
AzureDiagnostics Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • İlke: Her ilke atama kapsamı için atanan sahip rolü

Kurulum Yönergeleri:

Azure Bilişsel Arama tanılama günlüklerinizi Sentinel bağlayın.

Bu bağlayıcı, kapsam olarak tanımlanan bir örnek koleksiyonuna tek bir Azure Bilişsel Arama günlük akışı yapılandırması uygulamak için Azure İlkesi kullanır. Geçerli ve gelecekteki tüm örneklere ilke oluşturmak ve uygulamak için aşağıdaki yönergeleri izleyin. Bu kaynak türü için zaten etkin bir ilkeniz olabileceğini unutmayın.

Azure Bilişsel Arama uygun ölçekte tanılama günlüklerini Stream

**Azure İlkesi Atama sihirbazını başlatın ve adımları izleyin. **

  1. Temel Bilgiler sekmesinde, aboneliğinizi seçmek için Kapsam'ın altında üç nokta bulunan düğmeye tıklayın.
  2. Parametreler sekmesinde Log Analytics çalışma alanı açılan listesinden Microsoft Sentinel çalışma alanınızı seçin ve almak istediğiniz tüm günlük kategorilerini "Doğru" olarak işaretleyin.
  3. İlkeyi var olan kaynaklarınıza uygulamak için Düzeltme sekmesinde Düzeltme görevi oluştur onay kutusunu işaretleyin .



DDoS Koruması'Azure

Tarafından desteklenir:Microsoft Corporation

Genel IP Adresi Tanılama Günlükleri aracılığıyla Azure DDoS Koruması Standart günlüklerine bağlanın. Azure DDoS Koruması Standardı, platformdaki temel DDoS korumasına ek olarak ağ saldırılarına karşı gelişmiş DDoS azaltma özellikleri sağlar. Belirli Azure kaynaklarınızı korumak için otomatik olarak ayarlanmıştır. Yeni sanal ağlar oluşturulurken korumanın etkinleştirilmesi kolaydır. Ayrıca oluşturulduktan sonra da yapılabilir ve uygulama veya kaynak değişikliği gerektirmez. Daha fazla bilgi için Microsoft Sentinel belgelerine bakın.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
AzureDiagnostics Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

DevOps Denetim Günlüklerini Azure (Kodsuz Bağlayıcı Çerçevesi aracılığıyla)

Tarafından desteklenir:Microsoft Corporation

Azure DevOps Denetim Günlükleri veri bağlayıcısı, denetim olaylarını Azure DevOps'tan Microsoft Sentinel almanızı sağlar. Bu veri bağlayıcısı Microsoft Sentinel Kodsuz Bağlayıcı Çerçevesi kullanılarak derlenir ve sorunsuz tümleştirme sağlar. Ayrıntılı denetim olaylarını getirmek için Azure DevOps Denetim Günlükleri API'sini kullanır ve DCR tabanlı alım süresi dönüştürmelerini destekler. Bu dönüştürmeler, alınan denetim verilerinin alım sırasında özel bir tabloya ayrıştırılarak ek ayrıştırma gereksinimini ortadan kaldırarak sorgu performansının artırılmasına olanak tanır. Bu bağlayıcıyı kullanarak Azure DevOps ortamınızda gelişmiş görünürlük elde edebilir ve güvenlik işlemlerinizi kolaylaştırabilirsiniz.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
ADOAuditLogs_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Azure DevOps Önkoşulu: Lütfen aşağıdakilerden emin olun:
    1. uygulama kayıtları altında Microsoft Entra Yönetici Merkezi'nde bir Entra Uygulaması kaydedin.
    2. 'API izinleri'nde - İzinleri 'Azure DevOps - vso.auditlog'a ekleyin.
    3. 'Sertifikalar & gizli diziler' içinde - 'İstemci gizli dizisi' oluşturun.
    4. 'Kimlik Doğrulaması' alanına, karşılık gelen alana aşağıda bulunan Yeniden Yönlendirme URI'sini ekleyin.
    5. Azure DevOps ayarlarında denetim günlüğünü etkinleştirin ve kullanıcı için denetim günlüğünü görüntüle'yi ayarlayın. DevOps Denetimi'ne Azure.
    6. Veri bağlayıcısına bağlanmak için atanan kullanıcının Denetim günlüklerini görüntüleme izninin her zaman açıkça İzin Ver olarak ayarlandığından emin olun. Bu izin, başarılı günlük alımı için gereklidir. İzin iptal edilirse veya verilmezse veri alımı başarısız olur veya kesintiye uğrar.

Kurulum Yönergeleri:

**Microsoft Sentinel'da Denetim günlüklerini toplamaya başlamak için Azure DevOps'a bağlanın. **

  1. Kaydettiğiniz Uygulamayı girin.
  2. 'Genel Bakış' bölümünde Uygulama (istemci) kimliğini kopyalayın.
  3. 'Uç Noktalar' düğmesini seçin ve 'OAuth 2.0 yetkilendirme uç noktası (v2)' değerini ve 'OAuth 2.0 belirteç uç noktası (v2)' değerini kopyalayın.
  4. 'Sertifikalar & gizli dizileri' bölümünde 'İstemci Gizli Anahtarı değerini' kopyalayın ve güvenli bir şekilde depolayın.
  5. Aşağıdaki gerekli bilgileri sağlayın ve 'Bağlan'a tıklayın.



Azure Olay Hub'ı

Tarafından desteklenir:Microsoft Corporation

Azure Event Hubs, büyük bir veri akışı platformu ve olay alımı hizmetidir. Saniyede milyonlarca olay alabilir ve işleyebilir. Bu bağlayıcı, Azure Olay Hub'ı tanılama günlüklerinizi Microsoft Sentinel akışla aktarmanıza olanak tanıyarak etkinliği sürekli izlemenizi sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
AzureDiagnostics Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • İlke: Her ilke atama kapsamı için atanan sahip rolü

Kurulum Yönergeleri:

Azure Event Hub tanılama günlüklerinizi Sentinel bağlayın.

Bu bağlayıcı, kapsam olarak tanımlanan bir örnek koleksiyonuna tek bir Azure Olay Hub'ı günlük akışı yapılandırması uygulamak için Azure İlkesi kullanır. Geçerli ve gelecekteki tüm örneklere ilke oluşturmak ve uygulamak için aşağıdaki yönergeleri izleyin. Bu kaynak türü için zaten etkin bir ilkeniz olabileceğini unutmayın.

Azure Olay Hub'ınızdaki tanılama günlüklerini uygun ölçekte Stream

**Azure İlkesi Atama sihirbazını başlatın ve adımları izleyin. **

  1. Temel Bilgiler sekmesinde, aboneliğinizi seçmek için Kapsam'ın altında üç nokta bulunan düğmeye tıklayın.
  2. Parametreler sekmesinde Log Analytics çalışma alanı açılan listesinden Microsoft Sentinel çalışma alanınızı seçin ve almak istediğiniz tüm günlük kategorilerini "Doğru" olarak işaretleyin.
  3. İlkeyi var olan kaynaklarınıza uygulamak için Düzeltme sekmesinde Düzeltme görevi oluştur onay kutusunu işaretleyin .



Azure Güvenlik Duvarı

Tarafından desteklenir:Microsoft Corporation

Azure Güvenlik Duvarı bağlanın. Azure Güvenlik Duvarı, Azure Sanal Ağ kaynaklarınızı koruyan yönetilen, bulut tabanlı bir ağ güvenlik hizmetidir. Yerleşik yüksek kullanılabilirliğe ve sınırsız bulut ölçeklenebilirliğine sahip bir hizmet olarak tam durum bilgisi olan bir güvenlik duvarıdır. Daha fazla bilgi için Microsoft Sentinel belgelerine bakın.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
AzureDiagnostics Hayır Hayır
AZFWApplicationRule Evet Evet
AZFWFlowTrace Evet Evet
AZFWFatFlow Evet Evet
AZFWNatRule Evet Evet
AZFWDnsQuery Evet Evet
AZFWIdpsSignature Evet Evet
AZFWInternalFqdnResolutionFailure Evet Evet
AZFWNetworkRule Evet Evet
AZFWThreatIntel Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Azure Key Vault

Tarafından desteklenir:Microsoft Corporation

Azure Key Vault, gizli dizileri güvenli bir şekilde depolamaya ve bunlara erişmeye yönelik bir bulut hizmetidir. Gizli dizi, API anahtarları, parolalar, sertifikalar veya şifreleme anahtarları gibi erişimi sıkı bir şekilde denetlemek istediğiniz her şeydir. Bu bağlayıcı, Azure Key Vault tanılama günlüklerinizi Microsoft Sentinel akışla aktarmanıza olanak tanıyarak tüm örneklerinizdeki etkinlikleri sürekli olarak izlemenize olanak tanır. Daha fazla bilgi için Microsoft Sentinel belgelerine bakın.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
AzureDiagnostics Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Azure Kubernetes Service (AKS)

Tarafından desteklenir:Microsoft Corporation

Azure Kubernetes Service (AKS), docker kapsayıcılarını ve kapsayıcı tabanlı uygulamaları küme ortamında dağıtmanıza, ölçeklendirmenize ve yönetmenize olanak tanıyan açık kaynaklı, tam olarak yönetilen bir kapsayıcı düzenleme hizmetidir. Bu bağlayıcı, Azure Kubernetes Service (AKS) tanılama günlüklerinizi Microsoft Sentinel akışla aktarmanıza olanak tanıyarak tüm örneklerinizdeki etkinlikleri sürekli olarak izlemenize olanak tanır. Daha fazla bilgi için Microsoft Sentinel belgelerine bakın.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
AzureDiagnostics Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Logic Apps'i Azure

Tarafından desteklenir:Microsoft Corporation

Azure Logic Apps, uygulamalarınızı, verilerinizi, hizmetlerinizi ve sistemlerinizi tümleştiren otomatik iş akışları oluşturmaya ve çalıştırmaya yönelik bulut tabanlı bir platformdur. Bu bağlayıcı, Azure Logic Apps tanılama günlüklerinizi Microsoft Sentinel akışla aktarmanıza olanak tanıyarak etkinliği sürekli olarak izlemenizi sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
AzureDiagnostics Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • İlke: Her ilke atama kapsamı için atanan sahip rolü

Kurulum Yönergeleri:

Logic Apps tanılama günlüklerinizi Sentinel bağlayın.

Bu bağlayıcı, kapsam olarak tanımlanan örnek koleksiyonuna tek bir Azure Logic Apps günlük akışı yapılandırması uygulamak için Azure İlkesi kullanır. Geçerli ve gelecekteki tüm örneklere ilke oluşturmak ve uygulamak için aşağıdaki yönergeleri izleyin. Bu kaynak türü için zaten etkin bir ilkeniz olabileceğini unutmayın.

büyük ölçekte Azure Logic Apps'inizden tanılama günlüklerini Stream

**Azure İlkesi Atama sihirbazını başlatın ve adımları izleyin. **

  1. Temel Bilgiler sekmesinde, aboneliğinizi seçmek için Kapsam'ın altında üç nokta bulunan düğmeye tıklayın.
  2. Parametreler sekmesinde Log Analytics çalışma alanı açılan listesinden Microsoft Sentinel çalışma alanınızı seçin ve almak istediğiniz tüm günlük kategorilerini "Doğru" olarak işaretleyin.
  3. İlkeyi var olan kaynaklarınıza uygulamak için Düzeltme sekmesinde Düzeltme görevi oluştur onay kutusunu işaretleyin .



Azure Kaynak Grafı

Tarafından desteklenir:Microsoft Corporation

Azure Kaynak Grafı bağlayıcısı, Azure abonelikler ve Azure kaynakları hakkındaki ayrıntıları tamamlayarak Azure olaylar hakkında daha zengin içgörüler sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • İlke: Azure aboneliklerde sahip rolü izni

Kurulum Yönergeleri:

Azure Kaynak Grafı Microsoft Sentinel bağlama



Azure Service Bus

Tarafından desteklenir:Microsoft Corporation

Azure Service Bus, ileti kuyrukları ve yayımlama-abone olma konuları (ad alanında) ile tam olarak yönetilen bir kurumsal ileti aracısıdır. Bu bağlayıcı, Azure Service Bus tanılama günlüklerinizi Microsoft Sentinel akışla aktarmanıza olanak tanıyarak etkinliği sürekli olarak izlemenizi sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
AzureDiagnostics Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • İlke: Her ilke atama kapsamı için atanan sahip rolü

Kurulum Yönergeleri:

Azure Service Bus tanılama günlüklerinizi Sentinel bağlayın.

Bu bağlayıcı, kapsam olarak tanımlanan bir örnek koleksiyonuna tek bir Azure Service Bus günlük akışı yapılandırması uygulamak için Azure İlkesi kullanır. Geçerli ve gelecekteki tüm örneklere ilke oluşturmak ve uygulamak için aşağıdaki yönergeleri izleyin. Bu kaynak türü için zaten etkin bir ilkeniz olabileceğini unutmayın.

Azure Service Bus uygun ölçekte tanılama günlüklerini Stream

**Azure İlkesi Atama sihirbazını başlatın ve adımları izleyin. **

  1. Temel Bilgiler sekmesinde, aboneliğinizi seçmek için Kapsam'ın altında üç nokta bulunan düğmeye tıklayın.
  2. Parametreler sekmesinde Log Analytics çalışma alanı açılan listesinden Microsoft Sentinel çalışma alanınızı seçin ve almak istediğiniz tüm günlük kategorilerini "Doğru" olarak işaretleyin.
  3. İlkeyi var olan kaynaklarınıza uygulamak için Düzeltme sekmesinde Düzeltme görevi oluştur onay kutusunu işaretleyin .



veritabanlarını Azure SQL

Tarafından desteklenir:Microsoft Corporation

Azure SQL yükseltme, düzeltme eki uygulama, yedekleme ve izleme gibi çoğu veritabanı yönetim işlevini kullanıcı katılımı gerektirmeden işleyen, tam olarak yönetilen, Hizmet Olarak Platform (PaaS) veritabanı altyapısıdır. Bu bağlayıcı, Azure SQL veritabanlarınızın denetim ve tanılama günlüklerini Microsoft Sentinel akışla aktarmanıza olanak tanıyarak tüm örneklerinizdeki etkinlikleri sürekli olarak izlemenizi sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
AzureDiagnostics Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Azure Depolama Hesabı

Tarafından desteklenir:Microsoft Corporation

Azure Depolama hesabı, modern veri depolama senaryoları için bir bulut çözümüdür. Tüm veri nesnelerinizi içerir: bloblar, dosyalar, kuyruklar, tablolar ve diskler. Bu bağlayıcı, Azure Depolama hesapları tanılama günlüklerini Microsoft Sentinel çalışma alanınıza akışla aktararak tüm örneklerinizdeki etkinlikleri sürekli izlemenize ve kuruluşunuzdaki kötü amaçlı etkinlikleri algılamanıza olanak tanır. Daha fazla bilgi için Microsoft Sentinel belgelerine bakın.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
AzureMetrics Hayır Hayır
StorageBlobLogs Evet Evet
StorageQueueLogs Evet Evet
StorageTableLogs Evet Evet
StorageFileLogs Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • İlke: Her ilke atama kapsamı için atanan sahip rolü

Kurulum Yönergeleri:

Azure Depolama Hesabı tanılama günlüklerinizi Sentinel bağlayın.

Bu bağlayıcı, kapsam olarak tanımlanan bir örnek koleksiyonuna günlük akışı yapılandırması uygulamak için bir dizi Azure İlkeleri kullanır. İlkeleri oluşturmak ve tüm geçerli ve gelecekteki örneklere uygulamak için aşağıdaki yönergeleri izleyin. Azure Depolama Hesabı'ndan Depolama Hesabı Tanılama günlüğünden en iyi şekilde yararlanmak için Azure Depolama Hesabı - Blob, Kuyruk, Tablo ve Dosya içindeki tüm hizmetlerden Tanılama günlüğünü etkinleştirmenizi öneririz. Bu kaynak türü için zaten etkin bir ilkeniz olabileceğini unutmayın.

Azure Depolama Hesabınızdan tanılama günlüklerini uygun ölçekte Stream

**Azure İlkesi Atama sihirbazını başlatın ve adımları izleyin. **

  1. Temel Bilgiler sekmesinde, aboneliğinizi seçmek için Kapsam'ın altında üç nokta bulunan düğmeye tıklayın.
  2. Parametreler sekmesinde Log Analytics çalışma alanı açılan listesinden Microsoft Sentinel çalışma alanınızı seçin ve almak istediğiniz tüm günlük kategorilerini "Doğru" olarak işaretleyin.
  3. İlkeyi var olan kaynaklarınıza uygulamak için Düzeltme sekmesinde Düzeltme görevi oluştur onay kutusunu işaretleyin .

Azure Depolama Blobu hizmetinizden tanılama günlüklerini uygun ölçekte Stream

**Azure İlkesi Atama sihirbazını başlatın ve adımları izleyin. **

  1. Temel Bilgiler sekmesinde, aboneliğinizi seçmek için Kapsam'ın altında üç nokta bulunan düğmeye tıklayın.
  2. Parametreler sekmesinde Log Analytics çalışma alanı açılan listesinden Microsoft Sentinel çalışma alanınızı seçin ve almak istediğiniz tüm günlük kategorilerini "Doğru" olarak işaretleyin.
  3. İlkeyi var olan kaynaklarınıza uygulamak için Düzeltme sekmesinde Düzeltme görevi oluştur onay kutusunu işaretleyin .

Azure Depolama Kuyruğu hizmetinizden tanılama günlüklerini uygun ölçekte Stream

**Azure İlkesi Atama sihirbazını başlatın ve adımları izleyin. **

  1. Temel Bilgiler sekmesinde, aboneliğinizi seçmek için Kapsam'ın altında üç nokta bulunan düğmeye tıklayın.
  2. Parametreler sekmesinde Log Analytics çalışma alanı açılan listesinden Microsoft Sentinel çalışma alanınızı seçin ve almak istediğiniz tüm günlük kategorilerini "Doğru" olarak işaretleyin.
  3. İlkeyi var olan kaynaklarınıza uygulamak için Düzeltme sekmesinde Düzeltme görevi oluştur onay kutusunu işaretleyin .

Azure Depolama Tablosu hizmetinizden tanılama günlüklerini uygun ölçekte Stream

**Azure İlkesi Atama sihirbazını başlatın ve adımları izleyin. **

  1. Temel Bilgiler sekmesinde, aboneliğinizi seçmek için Kapsam'ın altında üç nokta bulunan düğmeye tıklayın.
  2. Parametreler sekmesinde Log Analytics çalışma alanı açılan listesinden Microsoft Sentinel çalışma alanınızı seçin ve almak istediğiniz tüm günlük kategorilerini "Doğru" olarak işaretleyin.
  3. İlkeyi var olan kaynaklarınıza uygulamak için Düzeltme sekmesinde Düzeltme görevi oluştur onay kutusunu işaretleyin .

Azure Depolama Dosya hizmetinizden tanılama günlüklerini uygun ölçekte Stream

**Azure İlkesi Atama sihirbazını başlatın ve adımları izleyin. **

  1. Temel Bilgiler sekmesinde, aboneliğinizi seçmek için Kapsam'ın altında üç nokta bulunan düğmeye tıklayın.
  2. Parametreler sekmesinde Log Analytics çalışma alanı açılan listesinden Microsoft Sentinel çalışma alanınızı seçin ve almak istediğiniz tüm günlük kategorilerini "Doğru" olarak işaretleyin.
  3. İlkeyi var olan kaynaklarınıza uygulamak için Düzeltme sekmesinde Düzeltme görevi oluştur onay kutusunu işaretleyin .



Azure Stream Analytics

Tarafından desteklenir:Microsoft Corporation

Azure Stream Analytics, aynı anda birden fazla kaynaktan yüksek hacimli hızlı akış verilerini analiz etmek ve işlemek için tasarlanmış gerçek zamanlı bir analiz ve karmaşık olay işleme altyapısıdır. Bu bağlayıcı, Azure Stream Analytics hub tanılama günlüklerinizi Microsoft Sentinel akışla aktarmanıza olanak tanıyarak etkinliği sürekli olarak izlemenizi sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
AzureDiagnostics Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • İlke: Her ilke atama kapsamı için atanan sahip rolü

Kurulum Yönergeleri:

Azure Stream Analytics tanılama günlüklerinizi Sentinel bağlayın.

Bu bağlayıcı, kapsam olarak tanımlanan bir örnek koleksiyonuna tek bir Azure Stream Analytics günlük akışı yapılandırması uygulamak için Azure İlkesi kullanır. Geçerli ve gelecekteki tüm örneklere ilke oluşturmak ve uygulamak için aşağıdaki yönergeleri izleyin. Bu kaynak türü için zaten etkin bir ilkeniz olabileceğini unutmayın.

Azure Stream Analytics'inizden uygun ölçekte tanılama günlüklerini Stream

**Azure İlkesi Atama sihirbazını başlatın ve adımları izleyin. **

  1. Temel Bilgiler sekmesinde, aboneliğinizi seçmek için Kapsam'ın altında üç nokta bulunan düğmeye tıklayın.
  2. Parametreler sekmesinde Log Analytics çalışma alanı açılan listesinden Microsoft Sentinel çalışma alanınızı seçin ve almak istediğiniz tüm günlük kategorilerini "Doğru" olarak işaretleyin.
  3. İlkeyi var olan kaynaklarınıza uygulamak için Düzeltme sekmesinde Düzeltme görevi oluştur onay kutusunu işaretleyin .



Azure Web Uygulaması Güvenlik Duvarı (WAF)

Tarafından desteklenir:Microsoft Corporation

Application Gateway, Front Door veya CDN için Azure Web Uygulaması Güvenlik Duvarı (WAF) bağlantısı kurun. Bu WAF, uygulamalarınızı SQL ekleme ve siteler arası betik oluşturma gibi yaygın web güvenlik açıklarından korur ve hatalı pozitif sonuçları azaltmak için kuralları özelleştirmenize olanak tanır. Microsoft Web uygulaması güvenlik duvarı günlüklerinizi Microsoft Sentinel akışla aktarma yönergeleri yükleme işlemi sırasında gösterilir. Daha fazla bilgi için Microsoft Sentinel belgelerine bakın.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
AzureDiagnostics Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

BeyondTrust PM Cloud

Tarafından desteklenir:BeyondTrust

BeyondTrust Privilege Management Cloud veri bağlayıcısı, etkinlik denetim günlüklerini ve istemci olay günlüklerini BeyondTrust PM Cloud'dan Microsoft Sentinel alma özelliği sağlar.

Bu bağlayıcı, BeyondTrust PM Bulut API'sinden veri çekmek ve özel Log Analytics tablolarına almak için Azure İşlevleri kullanır.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
BeyondTrustPM_ActivityAudits_CL Evet Evet
BeyondTrustPM_ClientEvents_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Microsoft.Web/sites izinleri: İşlev Uygulaması oluşturmak için Azure İşlevleri okuma ve yazma izinleri gereklidir. Daha fazla bilgi için bkz. Azure İşlevleri.
  • BeyondTrust PM Cloud API kimlik bilgileri: BeyondTrust PM Cloud OAuth İstemci Kimliği ve İstemci Gizli Anahtarı gereklidir. API hesabı şu izinleri gerektirir: Denetim - Salt Okunur ve Raporlama - Salt Okunur

Kurulum Yönergeleri:

NOT: Bu bağlayıcı, günlükleri Microsoft Sentinel çekmek üzere BeyondTrust PM Bulut API'sine bağlanmak için Azure İşlevleri kullanır. Bu, ek veri alımı maliyetlerine neden olabilir. Ayrıntılar için Azure İşlevleri fiyatlandırma sayfasına bakın.

NOT: Bu bağlayıcı, BeyondTrust PM Bulut API'siyle kimlik doğrulaması yapmak için OAuth 2.0 istemci kimlik bilgileri akışını kullanır.

1. ADIM - BeyondTrust PM Cloud API kimlik bilgilerini alma

OAuth API kimlik bilgileri (İstemci Kimliği ve İstemci Gizli Anahtarı) ile BeyondTrust PM Cloud örneğinizde bir API Hesabı oluşturun. API hesabı aşağıdaki izinleri gerektirir:

  • Denetim - Salt Okunur
  • Raporlama - Salt Okunur

ADIM 2 - Bağlayıcıyı ve ilişkili Azure İşlevini dağıtma

Arm Şablonu kullanarak BeyondTrust PM Bulut veri bağlayıcısının otomatik dağıtımı için bu yöntemi kullanın.

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    portal.azure.com

  2. Tercih edilen Abonelik, Kaynak Grubu (Log Analytics çalışma alanınızı içermelidir) ve Konum'a tıklayın.

  3. Gerekli parametreleri girin:

    • Çalışma Alanı Adı: Log Analytics çalışma alanınızın adı (ör. beyondtrust-pmcloud)
    • BeyondTrust PM Bulut Tabanı URL'si: Kiracı URL'niz (ör. https://yourcompany.beyondtrustcloud.com)
    • BeyondTrust İstemci Kimliği: 1. Adımdan OAuth İstemci Kimliği
    • BeyondTrust İstemci Gizli Anahtarı: 1. Adımdan OAuth İstemci Gizli Anahtarı
    • Etkinlik Denetimleri Yoklama Aralığı: Etkinlik Denetimlerinin toplanma sıklığı (varsayılan: 15 dakika)
    • İstemci Olayları Yoklama Aralığı: İstemci Olaylarının toplanma sıklığı (varsayılan: 5 dakika)
    • Günlük Düzeyi: Sorun giderme için günlüğe kaydetme düzeyi (varsayılan: Bilgi)
    • Geçmiş Veri Zaman Çerçevesi: İlk çalıştırmada veri toplamaya ne kadar kaldı (varsayılan: 1 gün)

  4. Gelişmiş ayarları (Barındırma Planı SKU'su, Depolama Hesabı Türü) gözden geçirin ve gerekirse ayarlayın.

  5. Yukarıda belirtilen hüküm ve koşulları kabul ediyorum etiketli onay kutusunu işaretleyin.

  6. Dağıtmak için Satın Al'a tıklayın.

  7. Dağıtım tüm gerekli kaynakları oluşturur: İşlev Uygulaması, Depolama Hesabı, Veri Toplama Uç Noktası, Veri Toplama Kuralları ve özel Log Analytics tabloları.

  8. Verilerin dağıtımdan sonra 15-30 dakika içinde akmaya başlaması gerekir.



BigID DSPM bağlayıcısı

Tarafından desteklenir:BigID

BigID DSPM veri bağlayıcısı, etkilenen nesneler ve veri kaynağı bilgilerini içeren BigID DSPM servis taleplerini Microsoft Sentinel alma özelliği sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
BigIDDSPMCatalog_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • BigID DSPM API erişimi: BigID belirteci aracılığıyla BigID DSPM API'sine erişim gereklidir.

Kurulum Yönergeleri:

Microsoft Sentinel'da BigID DSPM servis taleplerini ve etkilenen Nesneleri toplamaya başlamak için BigID DSPM API'sine bağlanın

'customer.bigid.cloud' gibi BigID etki alanı adınızı ve BigID belirtecinizi sağlayın. Ayarlar - Erişim Yönetimi - Kullanıcılar ->> Kullanıcı> seçeneğini belirleyerek BigID konsolunda bir belirteç oluşturun ve bir belirteç oluşturun.

  • BigID FQDN: (BigID FQDN)
  • BigID Belirteci: (BigID Belirteci)
  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



Bitglass (Azure İşlevleri kullanarak)

Tarafından desteklenir:Microsoft Corporation

Bitglass veri bağlayıcısı, Bitglass hizmetlerinin güvenlik olay günlüklerini ve REST API aracılığıyla Microsoft Sentinel daha fazla olayı alma özelliği sağlar. Bağlayıcı olası güvenlik risklerini değerlendirmek, işbirliğini izlemek ve yapılandırma sorunlarını tanılamak ve gidermek için olay alma olanağı sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
BitglassLogs_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • Microsoft.Web/sites izinleri: İşlev Uygulaması oluşturmak için Azure İşlevleri okuma ve yazma izinleri gereklidir. Daha fazla bilgi için bkz. Azure İşlevleri.
  • REST API Kimlik Bilgileri/izinleri: API çağrıları yapmak için BitglassToken ve BitglassServiceURL gereklidir.

Kurulum Yönergeleri:

NOT: Bu bağlayıcı, günlükleri Microsoft Sentinel çekmek üzere Azure Blob Depolama API'sine bağlanmak için Azure İşlevleri kullanır. Bu, veri alımı ve verilerin Azure Blob Depolama maliyetlerde depolanması için ek maliyetlere neden olabilir. Ayrıntılar için Azure İşlevleri fiyatlandırma sayfasına ve Azure Blob Depolama fiyatlandırma sayfasına bakın.

(İsteğe Bağlı Adım) Çalışma alanını ve API yetkilendirme anahtarlarını veya belirteçlerini Azure Key Vault güvenli bir şekilde depolayın. Azure Key Vault, anahtar değerlerini depolamak ve almak için güvenli bir mekanizma sağlar. Azure İşlev Uygulaması ile Azure Key Vault kullanmak için bu yönergeleri izleyin.

NOT: Bu veri bağlayıcısı, Microsoft Sentinel Çözümü ile dağıtılan beklenen Bitglass gibi çalışması için Kusto İşlevini temel alan ayrıştırıcıya bağlıdır.

ADIM 1 - Bitglass Günlük Alma API'sinin yapılandırma adımları

Kimlik bilgilerini almak için yönergeleri izleyin.

  1. Lütfen Bitglass desteğine başvurun ve BitglassToken ve BitglassServiceURL ntation] bilgilerini alın.
  2. Veri bağlayıcısında kullanmak için kimlik bilgilerini kaydedin.

ADIM 2 - Bağlayıcıyı ve ilişkili Azure İşlevini dağıtmak için aşağıdaki iki dağıtım seçeneğinden Bİrİ'ni seçin

ÖNEMLİ: Bitglass veri bağlayıcısını dağıtmadan önce Çalışma Alanı Kimliği ve Çalışma Alanı Birincil Anahtarına sahip olun (aşağıdakilerden kopyalanabilir).

  • Çalışma Alanı Kimliği: <Yükleme zamanında sağlanan değişken değeri>
  • Birincil Anahtar: <Yükleme zamanında sağlanan değişken değeri>

Seçenek 1 - Azure Resource Manager (ARM) Şablonu

Arm Şablonu kullanarak Bitglass veri bağlayıcısının otomatik dağıtımı için bu yöntemi kullanın.

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.ms

  2. Tercih edilen Abonelik, Kaynak Grubu ve Konum'a tıklayın.

NOT: Aynı kaynak grubunda, Aynı bölgedeki Windows ve Linux uygulamalarını karıştıramazsınız. Içinde Windows uygulamaları olmayan mevcut kaynak grubunu seçin veya yeni kaynak grubu oluşturun. 3. BitglassToken, BitglassServiceURL girin ve dağıtın. 4. Yukarıda belirtilen hüküm ve koşulları kabul ediyorum etiketli onay kutusunu işaretleyin. 5. Dağıtmak için Satın Al'a tıklayın.

Seçenek 2 - Azure İşlevleri El ile Dağıtımı

Bitglass veri bağlayıcısını Azure İşlevleri (Visual Studio Code aracılığıyla dağıtım) ile el ile dağıtmak için aşağıdaki adım adım yönergeleri kullanın.

  1. İşlev Uygulaması Dağıtma

NOT: VS kodunu Azure işlev geliştirme için hazırlamanız gerekir.

  1. Azure İşlev Uygulaması dosyasını indirin. Arşivi yerel geliştirme bilgisayarınıza ayıklayın.

  2. VS Code'ı başlatın. Ana menüde Dosya'yı ve ardından Klasörü Aç'ı seçin.

  3. Ayıklanan dosyalardan en üst düzey klasörü seçin.

  4. Etkinlik çubuğunda Azure simgesini seçin, ardından Azure: İşlevler alanında İşlev uygulamasına dağıt düğmesini seçin. Henüz oturum açmadıysanız, Etkinlik çubuğunda Azure simgesini seçin, ardından Azure: İşlevler alanında Oturum aç'ı seçerek Azure Oturum açtıysanız sonraki adıma geçin.

  5. İstemlerde aşağıdaki bilgileri sağlayın:

    a. Klasör seçin: Çalışma alanınızdan bir klasör seçin veya işlev uygulamanızı içeren klasöre göz atın.

    b. Abonelik'i seçin: Kullanılacak aboneliği seçin.

    c. Azure'de yeni İşlev Uygulaması oluştur'u seçin (Gelişmiş seçeneğini belirleme)

    d. İşlev uygulaması için genel olarak benzersiz bir ad girin: URL yolunda geçerli bir ad yazın. Yazdığınız ad, Azure İşlevleri benzersiz olduğundan emin olmak için doğrulanır. (örn. BitglassXXXXX).

    e. Çalışma zamanı seçin: Python 3.11'i seçin.

    f. Yeni kaynaklar için bir konum seçin. Daha iyi performans ve düşük maliyetler için Microsoft Sentinel bulunduğu bölgeyi seçin.

  6. Dağıtım başlar. İşlev uygulamanız oluşturulduktan ve dağıtım paketi uygulandıktan sonra bir bildirim görüntülenir.

  7. İşlev Uygulaması yapılandırması için Azure portalı'na gidin.

  8. İşlev Uygulamasını Yapılandırma

  9. İşlev Uygulamasında İşlev Uygulaması Adı'nı ve ardından Yapılandırma'yı seçin.

  10. Uygulama ayarları sekmesinde Yeni uygulama ayarı'nı seçin.

  11. Aşağıdaki uygulama ayarlarının her birini ilgili dize değerleriyle (büyük/küçük harfe duyarlı) tek tek ekleyin: BitglassToken BitglassServiceURL WorkspaceID WorkspaceKey logAnalyticsUri (isteğe bağlı)

  • Ayrılmış bulut için log analytics API uç noktasını geçersiz kılmak için logAnalyticsUri kullanın. Örneğin, genel bulut için değeri boş bırakın; Azure GovUS bulut ortamı için değeri şu biçimde belirtin: https://<CustomerId>.ods.opinsights.azure.us.
  1. Tüm uygulama ayarları girildikten sonra Kaydet'e tıklayın.



Bitwarden Olay Günlükleri

Tarafından desteklenir:Bitwarden Inc

Bu bağlayıcı, Kullanıcının etkinliği (oturum açmış, parola değiştirilmiş, 2fa vb.), şifreleme etkinliği (oluşturuldu, güncelleştirildi, silindi, paylaşıldı vb.), koleksiyon etkinliği, kuruluş etkinliği ve daha fazlası gibi Bitwarden kuruluşunuzun etkinliği hakkında içgörü sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
BitwardenEventLogs Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • Bitwarden İstemci Kimliği ve İstemci Gizli Anahtarı: API anahtarınız Bitwarden kuruluş yönetici konsolunda bulunabilir. Daha fazla bilgi için lütfen Bitwarden belgelerine bakın .

Kurulum Yönergeleri:

Bitwarden Olay Günlüklerini Microsoft Sentinel bağlama

API anahtarınız Bitwarden kuruluş yönetici konsolunda bulunabilir. Daha fazla bilgi için lütfen Bitwarden belgelerine bakın . Şirket içi barındırılan Bitwarden sunucularının yüklemelerinin URL'sini yeniden yapılandırması gerekebilir.



blacklens.io

Tarafından desteklenir:blacklens.io Desteği

blacklens.io veri bağlayıcısı, web kancası tabanlı bir Mantıksal Uygulama ve Azure İzleme Günlükleri Alımı API'sini kullanarak blacklens.io Saldırı Yüzeyi Yönetimi uyarılarını Microsoft Sentinel almanızı sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
blacklens_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Azure Aboneliği: Veri alma altyapısını (Veri Toplama Uç Noktası, Veri Toplama Kuralı, özel tablo ve Mantıksal Uygulama) dağıtmak için kaynak grubundaki Katkıda Bulunan veya Sahip izinleri gereklidir.
  • blacklens.io Hesabı: Web kancası tümleştirme özelliklerine sahip bir blacklens.io hesabı gereklidir.

Kurulum Yönergeleri:

1. Adım - Veri alımı altyapısını dağıtma

Bu adım, gerekli Azure kaynaklarını dağıtır: Veri Toplama Uç Noktası, Veri Toplama Kuralı, özel Log Analytics tablosu (blacklens_CL) ve web kancası ile tetiklenen mantıksal uygulama.

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    portal.azure.com

  2. Microsoft Sentinel çalışma alanınızın bulunduğu Abonelik, Kaynak Grubu ve Konum'a tıklayın.

  3. Log Analytics çalışma alanınızın Çalışma Alanı Adını girin.

  4. Gözden Geçir + oluştur'a ve ardından Oluştur'a tıklayın.

2. Adım - Web kancası URL'sini kopyalama

  1. Dağıtım başarılı olduktan sonra dağıtım sayfasındaki Çıkışlar sekmesine tıklayın.
  2. Web kancasıUrl değerini kopyalayın.

Alternatif olarak Logic Apps'e >la-blacklens-alert-log-ingestion> Genel Bakış'a gidin ve İş Akışı URL'sini kopyalayın.

3. Adım - blacklens.io yapılandırma

  1. blacklens.io portalında oturum açın.
  2. Web kancası tümleştirme ayarlarına gidin.
  3. 2. Adım'da kopyalanan web kancası URL'sini yapıştırın.
  4. Yapılandırmayı kaydedin.
  5. Uyarıların web kancasına gönderilmesi için web kancası tümleştirmesini en az bir bildirim ilkesine bağlayın.

Birkaç dakika sonra, Microsoft Sentinel bir test olayı görünmelidir.



BloodHound Enterprise Data Connector (using Azure İşlevleri)

Desteklenen:SpecterOps

SpecterOps'tanBloodHound Enterprise, bir Kimlik Saldırı Yolu Yönetimi platformudur: saldırganların kimlik ilişkileri üzerinden kritik varlıklara nasıl ulaşabileceğini haritalar; böylece ekipler bu yolları önceliklendirip iyileştirmeye çalışır, sadece tespit etmekle kalmaz. Active Directory, Azure ve ötesinde kimlik yayılmasına netlik getiriyor; çevrenizde en önemli olan şeyler için Privilege Zone tarzı koruma da dahil.

Bu Microsoft Sentinel bağlayıcısı, çalışma alanınıza BloodHound Enterprise saldırı yolu bağlamını günlükler ve uyarılarla birlikte ekleyerek soruşturmaları zenginleştirebiliyorsunuz, yüksek değerli bulgulara odaklanabilir ve açıklık, denetim faaliyetleri ve Seviye Sıfır varlıklarını tek bir yerde takip edebilirsiniz.

Bu konnektör ne yapar

  • Yapılandırılmış kimlik bilgilerinizi kullanarak BloodHound Enterprise REST API'sine bağlanır (bkz. API ile çalışma) ve Azure Fonksiyonu devreye girdiğinde belirlediğiniz bir programda çalışır. Veriler Azure İşlevleri aracılığıyla toplanır ve ayrılmış Veri Toplama Kuralları (DCR) ve Veri Toplama Uç Noktaları (DCE) ile özel Log Analytics tablolarında depolanır.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
BHEAttackPathsData_CL Hayır Hayır
BHEAttackPathsTimelineData_CL Hayır Hayır
BHEAuditLogsData_CL Hayır Hayır
BHEFindingTrendsData_CL Hayır Hayır
BHEPostureHistoryData_CL Hayır Hayır
BHETierZeroAssetsData_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • Microsoft.Web/sites izinleri: İşlev Uygulaması oluşturmak için Azure İşlevleri okuma ve yazma izinleri gereklidir. Daha fazla bilgi için bkz. Azure İşlevleri.
  • BloodHound Enterprise API erişimi: Token ID, Token anahtarı ve kiracı temel URL'niz BloodHound Enterprise REST API'sine kimlik doğrulamak için gereklidir (talepler SpecterOps API modeline göre imzalanır, bkz . API ile çalışma).

Kurulum Yönergeleri:

Adım 1. BloodHound Kurumsal API kimlik bilgilerini oluştur

BloodHound Enterprise kiracınızda, REST API'sine istekler imzalamak için kullanılan API kimlik bilgilerini (Token ID ve Token anahtarı) oluşturun. API kimlik bilgilerini oluşturmak için API ile çalışmak ve değerleri güvenli bir şekilde saklamak.

Adım 2. Microsoft Entra uygulaması oluşturma

Microsoft Entra ID (Azure AD) uygulaması oluşturun; bu uygulama Log Analytics'e girişte kullanılıyor (örneğin DCE/DCR ile ilgili erişim). Microsoft Entra uygulamasını ve kimlik bilgilerini oluşturmak için Microsoft Entra uygulaması oluştur, ardından Uygulama (istemci) kimliğini, Müşteri gizli değerini ve yöneticinizin ihtiyaç duyduğu diğer kimlikleri kaydet. Müşteri sırrını güvenli bir şekilde sakla.

Adım 3. Deploy Function App

NOT: Bu bağlayıcı, BloodHound Enterprise'dan verileri Microsoft Sentinel'e çekmek için Azure İşlevleri kullanır. Bu, ek veri alımı maliyetlerine neden olabilir. Ayrıntılar için Azure İşlevleri fiyatlandırma sayfasına bakın.

ÖNEMLİ: BloodHound Enterprise bağlayıcısını dağıtmadan önce, Workspace adını (aşağıya bakınız), BloodHound Enterprise kiracı URL'sini, Token ID ve Token anahtarını, Microsoft Entra Application (istemci) ID'sini ve istemci sırrını, ve istediğiniz ortamı ve tür filtrelerini bulmayı (veya All gibi şablon varsayılan ayarlarını kullanın) hazır bulundurun.

  • Çalışma Alanı Adı: <yükleme zamanında sağlanan değişken değeri>

Veri bağlayıcısına ilişkin tüm kaynakları dağıtın

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.ms

  2. Tercih edilen Abonelik, Kaynak Grubu ve Konum'a tıklayın.

  3. Function App adı, Log Analytics çalışma alanı adı (Microsoft Sentinel workspace), BloodHound Enterprise tenant domain (URL), BloodHound Token ID ve Token anahtarı (güvenli parametreler), Microsoft Entra Application (istemci) ID ve Microsoft Entra uygulama istemci sırrı girin.

  4. İsteğe bağlı: Arama günlerini (tarihsel geri dönüş), Seçilmiş BloodHound ortamlarını (virgülle ayrılmış veya hepsi) ve Seçilmiş bulma türlerini (veya hepsini) şablonda tanımlandığı gibi ayarlayın.

  5. İncele + Yarat seçeneğine tıklayın, ardından Oluştur ile dağıtın.



Kutu Olayları (Kodsuz Bağlayıcı Çerçevesi aracılığıyla)

Tarafından desteklenir:Microsoft Corporation

Box veri bağlayıcısı, Box REST API'sini kullanarak Box kuruluşunun olaylarını Microsoft Sentinel alma özelliği sağlar. Daha fazla bilgi için Box belgelerine bakın.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
BoxEventsV2_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Box API kimlik bilgileri: Box API'sinde kimlik doğrulaması için bir Box Uygulaması istemci kimliği ve istemci gizli anahtarı gerekir. Daha fazla bilgi için bkz. İstemci Kimlik Bilgileri verme
  • Box Kurumsal Kimliği: Bağlantı oluşturmak için Box Kurumsal Kimliği gereklidir. Kurumsal Kimliği bulmak için belgelere bakın

Kurulum Yönergeleri:

NOT: Bu bağlayıcı, günlükleri Microsoft Sentinel çekmek üzere Box REST API'sine bağlanmak için Kodsuz Connecor Platformu'nu (CCF) kullanır.

NOT: Bu bağlayıcı, Microsoft Sentinel Çözümü ile dağıtılan Beklenen BoxEvents olarak çalışması için Kusto İşlevine dayalı ayrıştırıcıya bağlıdır.

ADIM 1 - Kutu Özel Uygulaması Oluşturma

İstemci kimlik bilgileri kimlik doğrulamasını ayarlama belgelerine bakın

2. ADIM - İstemci Kimliği ve İstemci Gizli Anahtarı değerlerini alma

Gizli diziyi getirmek için 2FA ayarlamanız gerekebilir.

3. ADIM - Box Yönetici Konsolundan Box Kurumsal Kimliğini Alma

Kurumsal Kimliği bulmak için belgelere bakın

Microsoft Sentinel olay günlüklerini toplamaya başlamak için Box'a bağlanın

Aşağıdaki gerekli değerleri sağlayın:

  • Box Kurumsal Kimliği: (123456)



BV-ClaudeCompliance (Codeless Connector Framework aracılığıyla)

Desteklenen:BlueVoyant

BV-ClaudeCompliance (Codeless Connector Framework aracılığıyla)

Bu bağlayıcı, RestApiPoller kullanarak ClaudeCompliance API verilerini Microsoft Sentinel'e alır.

Veri Toplama

  • Temel API URL: https://api.anthropic.com/
  • Doğrulama: APIKey
  • Uç nokta sayısı: 1

Tables

  • ComplianceActivities ->BV_ClaudeCompliance_ComplianceActivities_CL

Örnek Sorgu

BV_ClaudeCompliance_ComplianceActivities_CL
| take 10

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
BV_ClaudeCompliance_ComplianceActivities_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Kurulum Yönergeleri:

BV-ClaudeCompliance (Codeless Connector Framework ile) Microsoft Sentinel

Claude Uyum API anahtarı elde etmek için burada bulunan talimatları takip edin: Uyum API'sine Erişin.

Oluşturulan API anahtarı, doğru veri alımı kapsamını içermelidir read:compliance_activities .

Aşağıdaki tuşu yapıştırın ve Connect'i seçin.

  • API Anahtarı: (API anahtarını gir)
  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



Cato Networks Etkinlikleri (Push)

Desteklenen:Cato Networks

Cato Networks konnektörü, Cato Yönetim Uygulaması'ndan güvenlik ve ağ telemetrisini neredeyse gerçek zamanlı olarak Microsoft Sentinel'e gönderir; Codeless Connector Framework (CCF) Push desenini kullanır. Veriler, avlanma, analiz ve görselleştirme için hazır bir özel Log Analytics tablosuna iniyor. Her kayıtta taşınan alanlar için Cato Olay Şeması'na bakınız.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
CatoNetworksEvents_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Microsoft Entra: Microsoft Entra ID'da uygulama kaydı oluşturma izni. Genellikle Entra Kimliği Uygulama Geliştirici rolü veya üzeri gerekir.
  • Microsoft Azure: Veri toplama kuralında (DCR) İzleme Ölçümleri Yayımcısı rolü atama izni. Genellikle Azure RBAC Sahibi veya Kullanıcı Erişimi Yöneticisi rolü gerektirir.
  • Cato Yönetim Uygulaması: Cato Yönetim Uygulamasında Microsoft Sentinel veri çıkışı bağlantısı oluşturma iznine sahip bir yönetici hesabı.

Kurulum Yönergeleri:

1. ARM Kaynakları Oluşturma ve Gerekli İzinleri Sağlama

Bu bağlantı, Cato Cloud'un olayları doğrudan Microsoft Sentinel'e Azure İzleyici Logs Ingestion API'si üzerinden göndermesini sağlar.

Entra Uygulaması ile Otomatik Yapılandırma ve Güvenli Veri Alımı. "Dağıt" tuşuna tıklamak, bir Log Analytics tablosu ve Veri Toplama Kuralı (DCR) oluşturulmasını tetikler. Ardından bir Entra uygulaması oluşturur, DCR'yi buna bağlar ve uygulamaya girilen gizli diziyi ayarlar. Bu kurulum, verilerin Entra belirteci kullanılarak DCR'ye güvenli bir şekilde gönderilmesini sağlar.

Her çalışma alanı için bir konnektör

Veri Toplama Kuralı ve CatoNetworksEvents_CL tablo bu çalışma alanından adlandırılır, bu nedenle bağlayıcıyı aynı Log Analytics çalışma alanında tekrar dağıtmak ikinci bir set oluşturmak yerine yeniden kullanır. Bir çalışma alanı bir Cato konnektörünü barındırır.

Birden fazla Cato hesabından gelen olaylar aynı bağlayıcıya gönderilebilir; tabloyu paylaşır ve ve ile account_idaccount_nameayırt edilir. Akışları ayrı tablolarda tutmak için, kendi tutma veya erişim kontrolü ile her biri için ayrı bir Log Analytics çalışma alanı kullanın.

2. Cato Yönetim Uygulamasında konnektörü yapılandırın

Cato Yönetim Uygulamasında Resources > Integrations > Configuration Integrations bölümüne gidin, Yeni seçeneğine tıklayın, Microsoft Sentinel'i seçin ve aşağıdaki değerleri girin. Tam kurulum talimatları için Cato Olaylarını Microsoft Sentinel ile Entegre Etme bölümüne bakınız.

  • Kiracı Kimliği (Dizin Kimliği): <Yükleme zamanında sağlanan değişken değeri>
  • Entra Uygulama Kaydı Uygulama Kimliği: <yükleme zamanında sağlanan değişken değeri>
  • Entra Uygulama Kaydı Gizli Anahtarı: <yükleme zamanında sağlanan değişken değeri>
  • Veri Toplama Uç Noktası Uri'si: <yükleme zamanında sağlanan değişken değeri>
  • Veri Toplama Kuralı Sabit Kimliği: <yükleme zamanında sağlanan değişken değer>
  • Olaylar Akışı Adı: <kurulum zamanında sağlanan değişken değer>

3. Şemayı güncel tutmak

Cato, olay şemasına periyodik olarak alanlar ekler. Bu çözümü yükseltmek, bağlayıcınızın mevcut özel tablosunu ve Veri Toplama Kuralı değişmediği için, yeni alanlar özel şema güncelleme şablonu kullanılarak ayrı ayrı uygulanmalıdır.

Mevcut şemayı uygula

Şema güncellemesini dağıtın

Aboneliği ve bu çalışma alanını tutan kaynak grubunu seçin, ardından çalışma alanı adını girin. Sağladığınız tek değer bu.

Alım URL'niz, Entra uygulamanız ve istemci gizriniz değişmemiştir ve Cato Yönetim Uygulaması'na hiçbir şey yeniden girilmesine gerek yoktur. Tüketme süreci boyunca devam eder.

Yeni tarlaların gelmesi için 30 dakikaya kadar bekleyin. Olaylar o pencerede hâlâ kabul edilir ve yeni alanlar sadece boş kalır, bu yüzden bir hata varsaymak yerine sorgu ile onaylayın.



Cayosoft Koruyucu Tehdit Uyarıları

Destekli:Cayosoft Destek

Cayosoft Guardian veri bağlayıcısı, Cayosoft Guardian'dan tehdit uyarılarını otomatik olarak Microsoft Sentinel'e alır. Cayosoft Guardian, tehdit uyarılarını Windows Olay Günlüğü'ne Olay Kimliği 2 olarak yazar. Azure İzleyici Agent (AMA), bu olayları Veri Toplama Kuralları (DCR) kullanarak toplar ve ayrıştırılmış verileri özel Log Analytics tablosuna gönderirCayosoftThreatAlerts_CL. Veri alındıktan sonra, Microsoft Sentinel bunu hibrit kimlik ortamınızda izleme, analitik, olay oluşturma, soruşturma ve otomatik yanıt için kullanabilir.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
CayosoftThreatAlerts_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • Cayosoft Guardian Sunucusu: Azure Arc'e bağlı olmalı veya Azure sanal makinesi olarak çalıştırılı, Azure İzleyici Agent'i yüklü olmalıdır.
  • Veri Toplama Kuralları: Veri Toplama Kuralı için okuma ve yazma izinleri, Veri Toplama Kuralı'nın Azure Arc özellikli sunucu veya Cayosoft Guardian çalıştıran Azure sanal makinesiyle ilişkilendirilmesi için gereklidir.

Kurulum Yönergeleri:

1. Ön Koşullar ve Altyapı Kurulumu

Entegrasyonu yapılandırmadan önce, aşağıdaki gereksinimlerin karşılandığından emin olun:

  • Microsoft Sentinel çalışma alanınız var.
  • Cayosoft Guardian'ı barındıran Windows Server, Azure Arc'a bağlıdır veya Azure sanal makinesi olarak çalışır.
  • Azure İzleyici Agent (AMA) Cayosoft Guardian sunucusuna kuruludur.

2. Veri Toplama Kuralı (DCR) Uygulamasını Uygula

Cayosoft Guardian, tehdit uyarılarını Azure İzleyici Agent üzerinden yayınlar; bu da Arc özellikli sunucunuza veya Azure VM'nize bağlı bir Veri Toplama Kuralı (DCR) gerektirir. Bu, çözüm kurulumundan ayrı bir tek seferlik dağıtımdır.

  1. Aşağıdaki butona tıklayın.

    portal.azure.com

  2. Aboneliğinizi, Kaynak Grubunuzu ve Bölgenizi seçin.

  3. Çalışma Alanı Adınızı (Microsoft Sentinel özellikli Log Analytics çalışma alanı) ve Arc Machine Adını (Arc özellikli sunucunun veya Cayosoft Guardian çalıştıran Azure VM'nin tam adı) girin.

  4. İncele + Yarat, sonra Yarat.

3. Cayosoft Guardian Log'ını Yapılandırın

Ürün içinde olay günlüğü oluşturulmasını etkinleştirin:

  1. Aç Cayosoft Guardian.
  2. Ayarlar > Servis Ayarları > Windows Olay Kaydı Ayarları'na gidin.
  3. Windows Olay Günlüğü'nün etkin olduğundan emin olun. Cayosoft Guardian, Windows Olay Günlüğüne > tehdit uyarıları yazıyor Uygulamalar ve Hizmetler Kayıtları > Cayosoft Guardian Uyarıları

4. Çalışma Kitabını Yükleyin

Cayosoft Guardian çözümü, tehdit uyarılarını ve olaylarını görselleştiren önceden hazırlanmış bir çalışma kitabı içerir; şiddet dağılımı, sistem türüne göre uyarılar, zaman içindeki uyarı eğilimleri ve son olaylar ile uyarılar dahildir.

  1. Microsoft Sentinel'de Content hub'a gidin.
  2. Cayosoft Guardian'ı arayın ve çözümün kurulduğunu doğrulayın. Eğer kurulu değilse, kur.
  3. Çalışma Kitapları'na gidin ve Şablonlar sekmesini seçin.
  4. Cayosoft Guardian - Olaylar Kontrol Paneli'ni seçin, kaydet'e tıklayın, çalışma kitabını kaydetmek istediğiniz Azure bölgesini seçin ve ardından Kaydedilen çalışma kitabını Gör'e tıklayın.
  5. Çalışma kitabı Benim çalışma kitaplarım bölümünde mevcuttur. Isteğe bağlı olarak, hızlı erişim için Azure dashboard'a sabitleyebilirsiniz.

5. Analitik Kurallarını Etkinleştirin

Cayosoft Guardian çözümü ayrıca Cayosoft Guardian tehdit uyarılarını Microsoft Sentinel olaylarına dönüştüren planlı analiz kural şablonları da içeriyor.

  1. Microsoft Sentinel'de Analitik'e gidin.
  2. Kural şablonları sekmesini seçin.
  3. Örneğin, Cayosoft Guardian analiz kural şablonlarını bulun:
    • Cayosoft Guardian - Bulut Uygulama Güvenlik Tehditleri
    • Cayosoft Guardian - Temel Kimlik ve Altyapı Tehditleri
  4. Kural Oluştur tuşuna tıklayın, takvimi, varlık eşlemesi ve olay ayarlarını gözden geçirin, ardından İncele + Oluştur seçeneğine tıklayın.
  5. Kuralın Aktif kurallar sekmesinde Etkin' olarak göründüğünü doğrulayın. Analitik kuralları, çalışma kitabındaki Olaylar ve Son Uyarılar tablosunda kullanılan kayıtları oluştururSecurityIncident.

6. Entegrasyonu Doğrulayın

Bağlayıcıyı yapılandırdıktan sonra, Microsoft Sentinel'in Cayosoft Guardian tehdit uyarısı verilerini aldığını doğrulayın:

  1. Microsoft Sentinel'de, Microsoft Sentinel örneğinize bağlı Log Analytics çalışma alanını açın.
  2. Açık Kütükler.
  3. Aşağıdaki sorguyu çalıştırın:CayosoftThreatAlerts_CL | sort by TimeGenerated desc | take 50
  4. Tabloda yeni satırların mevcut olduğunu doğrulayın. Detaylı bilgiler, adım adım rehberler ve bilinen sorunlar için lütfen resmi belgelere bakınız.



Microsoft Sentinel için CloudGuard CNAPP Bağlayıcısı'nı Check Point

Tarafından desteklenir:Check Point

CloudGuard veri bağlayıcısı, Microsoft Sentinel Codeless Connector Framework kullanılarak CloudGuard API'sinden Microsoft Sentinel ™ güvenlik olaylarının alımını sağlar. Bağlayıcı, gelen güvenlik olayı verilerini özel sütunlara ayrıştıran DCR tabanlı alma süresi dönüşümlerini destekler. Bu ön ayrıştırma işlemi, sorgu zamanı ayrıştırma gereksinimini ortadan kaldırarak veri sorgularında performansın iyileştirilmesine neden olur.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
CloudGuard_SecurityEvents_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • CloudGuard API Anahtarı: Bir API anahtarı oluşturmak için burada sağlanan yönergelere bakın.

Kurulum Yönergeleri:

CloudGuard Güvenlik Olaylarını Microsoft Sentinel bağlama

Microsoft Sentinel için CloudGuard bağlayıcısını etkinleştirmek için aşağıdaki gerekli bilgileri girin ve Bağlan'ı seçin.

  • API Anahtar Kimliği: (api_key)
  • API Anahtar Gizli Anahtarı: (api_secret)
  • CloudGuard Uç Nokta URL'si: (ör. https://api.dome9.com)
  • Filtre: (CloudGuard'dan filtre yapıştır)
  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



Check Point Cyberint Uyarıları Bağlayıcısı (Kodsuz Bağlayıcı Çerçevesi aracılığıyla)

Tarafından desteklenir:Check Point

Check Point bir şirket olan Cyberint, kritik Uyarıları kolaylaştırmak ve Infinity Dış Risk Yönetimi çözümünden zenginleştirilmiş tehdit zekasını Microsoft Sentinel getirmek için Microsoft Sentinel bir tümleştirme sağlar. Bu, sistemler arasında otomatik eşitleme güncelleştirmeleri ile biletlerin durumunu izleme işlemini basitleştirir. Mevcut Cyberint ve Microsoft Sentinel müşterileri, Microsoft Sentinel için bu yeni tümleştirmeyi kullanarak Cyberint'in bulgularına göre günlükleri kolayca Microsoft Sentinel platforma çekebilir.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
argsentdc_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Check Point Cyberint API Anahtarı, Argos URL, Müşteri Adı: Bağlayıcı API anahtarı, Argos URL ve Müşteri Adı gereklidir. JSON isteğe bağlı olduğu için CSV Ekleri de ekleyin.

Kurulum Yönergeleri:

Checkpoint Cyberint Uyarılarını Microsoft Sentinel bağlama

Bağlayıcıyı etkinleştirmek için aşağıdaki gerekli bilgileri sağlayın ve Bağlan'a tıklayın.

Argos URL — Kiracınız için Cyberint API URL'si (örn https://your_tenant.cyberint.io) API Token — Cyberint API erişim tokenı Müşteri Adı — Cyberint örneğinizle ilişkili şirket (istemcin) adı Şiddet — Getirilecek ciddiyetlerin (düşük, orta, yüksek, very_high) virgülle ayrılmış listesi. Boşsa, tüm şiddetler alınır. Ortamlar — Getirilmesi gereken ortamların virgülle ayrılmış listesi (örneğin Üretim, Sahneleme). Eğer boşsa, tüm ortamlar alınır. Anket Aralığı — Yeni uyarılar için ne sıklıkla anket yapılacak, dakikalar içinde (varsayılan: 5) CSV eklerini JSON olarak ekleyin — CSV eklerinin uyarılara JSON içeriği olarak dahil edilip edilmeyeceği (varsayılan: yanlış)

  • Argos URL'si: (https://your_tenant.cyberint.io)
  • API Belirteci: (Cyberint API erişim belirteci)
  • Müşteri Adı: (Cyberint örneğinizle ilişkili şirket (istemci) adı)
  • Önem derecesi: (Virgülle ayrılmış liste (örn. düşük,orta,yüksek,very_high))
  • Ortamlar: (Virgülle ayrılmış liste)
  • Yoklama Aralığı (Dakika): (Dakika cinsinden yoklama sıklığı)
  • CSV Eklerini JSON Olarak Ekle: (true veya false)
  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



Check Point Cyberint IOC Bağlayıcısı

Tarafından desteklenir:Check Point

Check Point bir şirket olan Cyberint, Infinity Dış Risk Yönetimi çözümünden Microsoft Sentinel'a Risk Göstergeleri (ICS) almak için Microsoft Sentinel bir tümleştirme sağlar. Bu bağlayıcı, kötü amaçlı IP'ler, etki alanları, URL'ler ve dosya karmaları gibi günlük IOC akışını önem derecesi, güvenilirlik ve algılanan etkinlik gibi tehdit bağlamıyla zenginleştirilmiş olarak otomatik olarak çeker.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
iocsent_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Check Point Cyberint API Anahtarı, Argos URL'si ve Müşteri Adı: Bağlayıcı API anahtarı, Argos URL'si ve Müşteri Adı gereklidir

Kurulum Yönergeleri:

Check Point Cyberint IOC Akışını Microsoft Sentinel bağlama

Bağlayıcıyı etkinleştirmek için aşağıdaki gerekli bilgileri sağlayın ve Bağlan'a tıklayın.

Argos URL'si — Kiracınız için Cyberint API URL'si (ör. https://your_tenant.cyberint.io) API Belirteci — Cyberint API erişim belirteci Müşteri Adı — Cyberint örneğinizle ilişkili şirket (istemci) adı

  • Argos URL'si: (https://your-company.cyberint.io)
  • API Belirteci: (API Belirteci)
  • Müşteri Adı: (Cyberint örneğinizle ilişkili şirket (istemci) adı)
  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



Check Point EM ThreatCloud İstihbarat Besleme Bağlantısı

Tarafından desteklenir:Check Point

Check Point, Infinity External Risk Management çözümünden yüksek güvenilirlikte Compromise Indicators (IoC) verilerini Microsoft Sentinel'e aktarmak için Microsoft Sentinel entegrasyonu sağlar. Bu bağlayıcı, kötü amaçlı IP'ler, alan adları, URL'ler ve dosya hash'leri dahil olmak üzere premium IOC akışını kademeli olarak çeker ve güven, ciddiyet, kötü amaçlı sınıflandırma, kill chain aşaması, engelleme ve benzersizlik bayrakları, kötü amaçlı yazılım türleri ve CVE/kampanya bağlantılarıyla zenginleştirilir.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
emiocintel_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • Check Point Cyberint API Anahtarı, Argos URL'si ve Müşteri Adı: Bağlayıcı API anahtarı, Argos URL'si ve Müşteri Adı gereklidir

Kurulum Yönergeleri:

Check Point EM ThreatCloud Intelligence Feed ile Microsoft Sentinel

Bağlayıcıyı etkinleştirmek için aşağıdaki gerekli bilgileri sağlayın ve Bağlan'a tıklayın.

Argos URL'si — Kiracınız için Cyberint API URL'si (ör. https://your_tenant.cyberint.io) API Belirteci — Cyberint API erişim belirteci Müşteri Adı — Cyberint örneğinizle ilişkili şirket (istemci) adı

  • Argos URL'si: (https://your-company.cyberint.io)
  • API Belirteci: (API Belirteci)
  • Müşteri Adı: (Cyberint örneğinizle ilişkili şirket (istemci) adı)
  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



Check Point Email Security (Codeless Connector Framework aracılığıyla)

Tarafından desteklenir:Microsoft Corporation

Check Point E-posta Güvenliği (Harmony Email Collaboration) veri bağlayıcısı, Check Point'in E-posta Güvenliği platformundan güvenlik olaylarını ve denetim günlüklerini REST API üzerinden Microsoft Sentinel'e aktarma yeteneği sağlar. Bu bağlayıcı, sıfır gün tehditleri, oltalama, hesap ele geçirme, veri sızıntısı ve gölge BT keşfi gibi gelişmiş e-posta tehditlerine görünürlük sağlar. Güvenlik olaylarını, anti-phishing istisnalarını, spam istisnalarını ve denetim loglarını Microsoft Sentinel'e aktararak kuruluşların güvenlik ve uyum görünürlüğünü korumasına yardımcı olur.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
CheckPointEmailSecurityEvents_CL Evet Evet
CheckPointEmailSecAntiPhishingExceptions_CL Evet Evet
CheckPointEmailSecuritySpamExceptions_CL Evet Evet
CheckPointEmailSecurityAuditLogs_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Check Point E-posta Güvenlik API'si Kimlik Bilgileri: İki ayrı Check Point Infinity Portal API anahtarı gereklidir. Güvenlik olayları ve istisnaları için Harmony Email & Collaboration API anahtarı (İstemci Kimliği + Client Secret) kullanılır. Denetim günlükleri için ayrı bir Logs as a Service API anahtarı (Audit Client ID + Audit Client Secret) gereklidir. Her ikisini de Check Point Infinity Portal'ınızdan Küresel Ayarlar > API Anahtarları altında oluşturun.

Kurulum Yönergeleri:

Check Point E-posta Güvenliğini Microsoft Sentinel'e bağlayın

Check Point Email Security'den veri toplamak için aşağıdaki kimlik bilgilerini sağlamanız gerekir:

1. API Temel URL - Check Point Email Security kiracınızın temel URL'si (bölgeye özgü).

2. İstemci Kimliği - Harmony Email & Collaboration API anahtarının İstemci Kimliği (güvenlik olayları ve istisnaları için kullanılır).

3. İstemci Gizliliği - Harmony Email & Collaboration API anahtarının gizliliği (erişim anahtarı).

4. Denetim İstemci Kimliği - Ayrı bir Logs as a Service API anahtarının istemci kimliği (denetim günlükleri için kullanılır).

5. Audit Client Secret - Logs as a Service API anahtarının gizliliği (erişim anahtarı).

Bu kimlik bilgilerini almak için Check Point Infinity Portal'ınıza giriş yapın ve Küresel Ayarlar altındaki API Anahtarları bölümüne gidin. İstemci Kimliği/Sırrı için Harmony Email & Collaboration hizmetiyle bir API anahtarı ve Denetim İstemci ID/Sırrı için Logs as a Service hizmetiyle ikinci bir API anahtarı oluşturun .

Çoklu kiracı desteği: Bu bağlayıcı, birden fazla Check Point Email Security kiracısından paralel olarak veri alınmasını destekler. Bağlantı Ekle tuşuna tıklayın her kiracı için bir kez verilmiş ve o kiracının API Taban URL'si ve kimlik bilgilerini sağlayacak - her bağlantı aşağıdaki ızgarada bağımsız olarak takip edilip yönetilir.

  • Veri Bağlayıcıları Kılavuzu (portalda yapılandır)



AMA aracılığıyla Cisco ASA/FTD

Tarafından desteklenir:Microsoft Corporation

Cisco ASA güvenlik duvarı bağlayıcısı, panoları görüntülemek, özel uyarılar oluşturmak ve araştırmayı geliştirmek için Cisco ASA günlüklerinizi kolayca Microsoft Sentinel bağlamanıza olanak tanır. Bu, kuruluşunuzun ağı hakkında daha fazla içgörü sağlar ve güvenlik işlemi özelliklerinizi geliştirir.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
CommonSecurityLog Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

Kurulum Yönergeleri:

Veri toplama kuralını etkinleştirme

Cisco ASA/FTD olay günlükleri yalnızca Linux aracılardan toplanır.

  • Yükleme Aracısı: <Yükleme zamanında sağlanan değişken değeri>

Cisco ASA/FTD toplayıcısını yüklemek ve uygulamak için aşağıdaki komutu çalıştırın:

  • Değer: <Yükleme zamanında sağlanan değişken değeri>



Cisco Cloud Security (Azure İşlevleri kullanarak)

Tarafından desteklenir:Microsoft Corporation

Microsoft Sentinel için Cisco Cloud Security çözümü, Amazon S3'te depolanan Cisco Güvenli Erişim ve Cisco Umbrellagünlüklerini Amazon S3 REST API'sini kullanarak Microsoft Sentinel almanızı sağlar. Daha fazla bilgi için Cisco Cloud Security günlük yönetimi belgelerine bakın .

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
Cisco_Umbrella_dns_CL Evet Evet
Cisco_Umbrella_proxy_CL Evet Evet
Cisco_Umbrella_ip_CL Evet Evet
Cisco_Umbrella_cloudfirewall_CL Evet Evet
Cisco_Umbrella_firewall_CL Evet Evet
Cisco_Umbrella_dlp_CL Hayır Hayır
Cisco_Umbrella_ravpnlogs_CL Hayır Hayır
Cisco_Umbrella_audit_CL Hayır Hayır
Cisco_Umbrella_ztna_CL Hayır Hayır
Cisco_Umbrella_intrusion_CL Hayır Hayır
Cisco_Umbrella_ztaflow_CL Hayır Hayır
Cisco_Umbrella_fileevent_CL Hayır Hayır

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Microsoft.Web/sites izinleri: İşlev Uygulaması oluşturmak için Azure İşlevleri okuma ve yazma izinleri gereklidir. Daha fazla bilgi için bkz. Azure İşlevleri.
  • Amazon S3 REST API Kimlik Bilgileri/izinleri: AMAZON S3 REST API için AWS Erişim Anahtarı Kimliği, AWS Gizli Erişim Anahtarı, AWS S3 Bucket Name gereklidir.

Kurulum Yönergeleri:

NOT: Bu bağlayıcı, günlükleri Microsoft Sentinel çekmek üzere Amazon S3 REST API'sine bağlanmak için Azure İşlevleri kullanır. Bu, ek veri alımı maliyetlerine neden olabilir. Ayrıntılar için Azure İşlevleri fiyatlandırma sayfasına bakın.

NOT: Bu bağlayıcı Cisco Cloud Security günlük şeması sürüm 14'i destekleyecek şekilde güncelleştirildi.

(İsteğe Bağlı Adım) Çalışma alanını ve API yetkilendirme anahtarlarını veya belirteçlerini Azure Key Vault güvenli bir şekilde depolayın. Azure Key Vault, anahtar değerlerini depolamak ve almak için güvenli bir mekanizma sağlar. Azure İşlevleri Uygulaması ile Azure Key Vault kullanmak için bu yönergeleri izleyin.

NOT: Bu bağlayıcı alanları normalleştirmek için Kusto İşlevi'ne dayalı ayrıştırıcı kullanır. Kusto işlev diğer adı Cisco_Umbrella oluşturmak için bu adımları izleyin.

ADIM 1 - Cisco Cloud Security günlükleri koleksiyonunun yapılandırması

Belgelere bakın ve günlüğe kaydetmeyi ayarlama ve kimlik bilgilerini alma yönergelerini izleyin.

ADIM 2 - Bağlayıcıyı ve ilişkili Azure İşlevleri dağıtmak için aşağıdaki iki dağıtım seçeneğinden Bİrİ'ni seçin

ÖNEMLİ: Cisco Cloud Security veri bağlayıcısını dağıtmadan önce Çalışma Alanı Kimliği ve Çalışma Alanı Birincil Anahtarına (aşağıdakilerden kopyalanabilir) ve Amazon S3 REST API Yetkilendirme kimlik bilgilerine sahip olun.

  • Çalışma Alanı Kimliği: <Yükleme zamanında sağlanan değişken değeri>
  • Birincil Anahtar: <Yükleme zamanında sağlanan değişken değeri>

Seçenek 1 - Azure Resource Manager (ARM) Şablonu

ARM Tempate kullanarak Cisco Cloud Security veri bağlayıcısının otomatik dağıtımı için bu yöntemi kullanın.

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.msaka.ms

  2. Tercih edilen Abonelik, Kaynak Grubu ve Konum'a tıklayın.

  3. Çalışma Alanı Kimliği, Çalışma Alanı Anahtarı, S3Bucket, AWSAccessKeyId, AWSSecretAccessKey Not: S3Bucket için Cisco'nun S3 Demeti Veri Yolu olarak başvurduğunu değeri kullanın ve değerin sonuna / (eğik çizgi) ekleyin

  4. Yukarıda belirtilen hüküm ve koşulları kabul ediyorum etiketli onay kutusunu işaretleyin.

  5. Dağıtmak için Satın Al'a tıklayın.

Seçenek 2 - Azure İşlevleri El ile Dağıtımı

Cisco Cloud Security veri bağlayıcısını Azure İşlevleri (Visual Studio Code aracılığıyla dağıtım) ile el ile dağıtmak için aşağıdaki adım adım yönergeleri kullanın.

1. Adım - İşlev Uygulaması Dağıtma

NOT: VS kodunu Azure İşlevleri geliştirme için hazırlamanız gerekir.

  1. Azure İşlevleri Uygulama dosyasını indirin. Arşivi yerel geliştirme bilgisayarınıza ayıklayın.
  2. VSCode kullanarak Azure İşlevleri uygulamasını dağıtmak için işlev uygulaması el ile dağıtım yönergelerini izleyin.
  3. İşlev uygulamasının başarıyla dağıtılmasından sonra, bunu yapılandırmak için sonraki adımları izleyin.

2. Adım - İşlev Uygulamasını Yapılandırma

  1. İşlev Uygulamasında İşlev Uygulaması Adı'nı ve ardından Yapılandırma'yı seçin.
  2. Uygulama ayarları sekmesinde + Yeni uygulama ayarı'nı seçin.
  3. İlgili dize değerleriyle (büyük/küçük harfe duyarlı) aşağıdaki uygulama ayarlarını tek tek ekleyin: WorkspaceID WorkspaceKey S3Bucket AWSAccessKeyId AWSSecretAccessKey logAnalyticsUri (isteğe bağlı)
  • Ayrılmış bulut için log analytics API uç noktasını geçersiz kılmak için logAnalyticsUri kullanın. Örneğin, genel bulut için değeri boş bırakın; Azure GovUS bulut ortamı için değeri şu biçimde belirtin: https://<CustomerId>.ods.opinsights.azure.us.
  1. Tüm uygulama ayarları girildikten sonra Kaydet'e tıklayın.



Cisco Cloud Security (elastik premium planı kullanarak) (Azure İşlevleri kullanarak)

Tarafından desteklenir:Microsoft Corporation

Cisco Umbrella veri bağlayıcısı, Amazon S3 REST API'sini kullanarak Amazon S3'te depolanan Cisco Umbrella olaylarını Microsoft Sentinel alma özelliği sağlar. Daha fazla bilgi için Cisco Umbrella günlük yönetimi belgelerine bakın .

NOT: Bu veri bağlayıcısı, güvenli alım özelliklerini etkinleştirmek için Azure İşlevleri Premium Planı kullanır ve ek maliyetler doğuracaktır. Diğer fiyatlandırma ayrıntıları buradadır.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
Cisco_Umbrella_dns_CL Evet Evet
Cisco_Umbrella_proxy_CL Evet Evet
Cisco_Umbrella_ip_CL Evet Evet
Cisco_Umbrella_cloudfirewall_CL Evet Evet
Cisco_Umbrella_firewall_CL Evet Evet
Cisco_Umbrella_dlp_CL Hayır Hayır
Cisco_Umbrella_ravpnlogs_CL Hayır Hayır
Cisco_Umbrella_audit_CL Hayır Hayır
Cisco_Umbrella_ztna_CL Hayır Hayır
Cisco_Umbrella_intrusion_CL Hayır Hayır
Cisco_Umbrella_ztaflow_CL Hayır Hayır
Cisco_Umbrella_fileevent_CL Hayır Hayır

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Microsoft.Web/sites izinleri: İşlev Uygulaması oluşturmak için Azure İşlevleri okuma ve yazma izinleri gereklidir. Daha fazla bilgi için bkz. Azure İşlevleri.
  • Amazon S3 REST API Kimlik Bilgileri/izinleri: AMAZON S3 REST API için AWS Erişim Anahtarı Kimliği, AWS Gizli Erişim Anahtarı, AWS S3 Bucket Name gereklidir.
  • Sanal Ağ izinleri (özel erişim için): Özel depolama hesabı erişimi için, Sanal Ağ ve alt ağda Ağ Katılımcısı izinleri gerekir. İşlev Uygulaması sanal ağ tümleştirmesi için alt ağın Microsoft.Web/serverFarms için temsilci olarak atanması gerekir.

Kurulum Yönergeleri:

NOT: Bu bağlayıcı, günlükleri Microsoft Sentinel çekmek üzere Amazon S3 REST API'sine bağlanmak için Azure İşlevleri kullanır. Bu, ek veri alımı maliyetlerine neden olabilir. Ayrıntılar için Azure İşlevleri fiyatlandırma sayfasına bakın.

NOT: Bu bağlayıcı cisco umbrella log schema sürüm 14'i destekleyecek şekilde güncelleştirildi.

(İsteğe Bağlı Adım) Çalışma alanını ve API yetkilendirme anahtarlarını veya belirteçlerini Azure Key Vault güvenli bir şekilde depolayın. Azure Key Vault, anahtar değerlerini depolamak ve almak için güvenli bir mekanizma sağlar. Azure İşlevleri Uygulaması ile Azure Key Vault kullanmak için bu yönergeleri izleyin.

NOT: Bu bağlayıcı alanları normalleştirmek için Kusto İşlevi'ne dayalı ayrıştırıcı kullanır. Kusto işlev diğer adı Cisco_Umbrella oluşturmak için bu adımları izleyin.

ADIM 1 - Özel Erişim için Ağ Önkoşulları

ÖNEMLİ: Özel depolama hesabı erişimiyle dağıtım yaparken aşağıdaki ağ önkoşullarının karşılandığından emin olun:

  • Sanal Ağ: Mevcut bir Sanal Ağ (VNet) kullanılabilir olmalıdır
  • Alt ağ: VNet içindeki ayrılmış bir alt ağ, İşlev Uygulaması VNet tümleştirmesi için Microsoft.Web/serverFarms'a devredilmelidir
  • Alt Ağ Temsilcisi: Azure portal, ARM şablonu veya Azure CLI kullanarak alt ağ temsilcisini yapılandırın:
    • Azure portalı: Sanal ağlar → Sanal ağınızı → Alt Ağlarınızı seçin → Alt ağı seçin → Alt ağı hizmete devretme → Microsoft.Web/serverFarms'ı seçin
    • Azure CLI:az network vnet subnet update --resource-group <rg-name> --vnet-name <vnet-name> --name <subnet-name> --delegations Microsoft.Web/serverFarms
  • Özel Uç Noktalar: Dağıtım, aynı alt ağ içinde depolama hesabı hizmetleri (blob, dosya, kuyruk, tablo) için özel uç noktalar oluşturur

ADIM 2 - Cisco Umbrella günlükleri koleksiyonunun yapılandırması

Belgelere bakın ve günlüğe kaydetmeyi ayarlama ve kimlik bilgilerini alma yönergelerini izleyin.

3. ADIM - Bağlayıcıyı ve ilişkili Azure İşlevleri dağıtmak için aşağıdaki iki dağıtım seçeneğinden Bİrİ'ni seçin

ÖNEMLİ: Cisco Umbrella veri bağlayıcısını dağıtmadan önce Çalışma Alanı Kimliği ve Çalışma Alanı Birincil Anahtarına (aşağıdakilerden kopyalanabilir) ve Amazon S3 REST API Yetkilendirme kimlik bilgilerine sahip olun.

  • Çalışma Alanı Kimliği: <Yükleme zamanında sağlanan değişken değeri>
  • Birincil Anahtar: <Yükleme zamanında sağlanan değişken değeri>

Seçenek 1 - Azure Resource Manager (ARM) Şablonu

Arm Tempate kullanarak Cisco Umbrella veri bağlayıcısının otomatik dağıtımı için bu yöntemi kullanın.

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.msaka.ms

  2. Tercih edilen Abonelik, Kaynak Grubu ve Konum'a tıklayın.

  3. Çalışma Alanı Kimliği, Çalışma Alanı Anahtarı, S3Bucket, AWSAccessKeyId, AWSSecretAccessKey girin

  4. Özel Erişim Dağıtımı için: Ayrıca existingVnetName, existingVnetResourceGroupName ve existingSubnetName (alt ağın Microsoft.Web/serverFarms'a devredildiğinden emin olun) Not: S3Bucket için Cisco'nun S3 Demeti Veri Yolu olarak başvurduğunu değeri kullanın ve değerin sonuna / (eğik çizgi) ekleyin

  5. Yukarıda belirtilen hüküm ve koşulları kabul ediyorum etiketli onay kutusunu işaretleyin.

  6. Dağıtmak için Satın Al'a tıklayın.

Seçenek 2 - Azure İşlevleri El ile Dağıtımı

Cisco Umbrella veri bağlayıcısını Azure İşlevleri (Visual Studio Code aracılığıyla dağıtım) ile el ile dağıtmak için aşağıdaki adım adım yönergeleri kullanın.

1. Adım - İşlev Uygulaması Dağıtma

NOT: VS kodunu Azure İşlevleri geliştirme için hazırlamanız gerekir.

  1. Azure İşlevleri Uygulama dosyasını indirin. Arşivi yerel geliştirme bilgisayarınıza ayıklayın.
  2. VSCode kullanarak Azure İşlevleri uygulamasını dağıtmak için işlev uygulaması el ile dağıtım yönergelerini izleyin.
  3. İşlev uygulamasının başarıyla dağıtılmasından sonra, bunu yapılandırmak için sonraki adımları izleyin.

2. Adım - İşlev Uygulamasını Yapılandırma

  1. İşlev Uygulamasında İşlev Uygulaması Adı'nı ve ardından Yapılandırma'yı seçin.
  2. Uygulama ayarları sekmesinde + Yeni uygulama ayarı'nı seçin.
  3. İlgili dize değerleriyle (büyük/küçük harfe duyarlı) aşağıdaki uygulama ayarlarını tek tek ekleyin: WorkspaceID WorkspaceKey S3Bucket AWSAccessKeyId AWSSecretAccessKey logAnalyticsUri (isteğe bağlı)
  • Ayrılmış bulut için log analytics API uç noktasını geçersiz kılmak için logAnalyticsUri kullanın. Örneğin, genel bulut için değeri boş bırakın; Azure GovUS bulut ortamı için değeri şu biçimde belirtin: https://<CustomerId>.ods.opinsights.azure.us.
  1. Tüm uygulama ayarları girildikten sonra Kaydet'e tıklayın.



Cisco Duo Etkinlik Günlükleri

Tarafından desteklenir:Cisco Systems

Cisco Duo Activity Logs bağlayıcısı, Cisco Duo Admin API'sinden yönetici ve kullanıcı etkinlik kaydı verilerini Microsoft Sentinel'e alır.

Etkinlik kayıtları, kullanıcı oluşturma, değiştirme, silme, yönetici girişleri ve yapılandırma değişiklikleri gibi yönetici paneli işlemlerini yakalar.

HMAC tabanlı API Anahtarı doğrulamasını (Entegrasyon Anahtarı ve Gizli Anahtar) destekler.

Daha fazla bilgi için Cisco Duo Admin API Docs sayfasını ziyaret edin.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
DuoActivity_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Cisco Duo API Anahtarı: Bir Cisco Duo Entegrasyon Anahtarı ve Gizli Anahtar gereklidir. Bunlar, 'Okuma günlüğü izniyle' izniyle Duo Admin Paneli'nde bir Admin API uygulaması oluşturularak elde edilir. Belgelere bakınız.

Kurulum Yönergeleri:

Cisco Duo Activity Logs'u Microsoft Sentinel'e Bağla

Cisco Duo Activity Logs bağlantısını etkinleştirmek için aşağıda Duo Admin API kimlik bilgilerinizi ekleyin.

  1. Duo admin paneline giriş yapın.
  2. Uygulamalar > Bir Uygulamayı Koruyor sayfasına gidin.
  3. Admin API'sini bulun ve Protect'e tıklayın.
  4. Uygulamada Okuma Logu İzni etkin olduğundan emin olun.
  5. Entegrasyon Anahtarı, Gizli Anahtar ve API Host Adını kopyalayın ve aşağıya girin.
  • Entegrasyon Anahtarı (ikey): (DIXXXXXXXXXXXXXXXXXXXXX)
  • Gizli Anahtar (anahtar): (your_secret_key)
  • API Temel URL'si: (https://api-XXXXXXXX.duosecurity.com)
  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



Cisco Duo Doğrulama

Tarafından desteklenir:Cisco Systems

Cisco Duo bağlayıcısı, Cisco Duo Admin API'sinden kimlik kaydı verilerini Microsoft Sentinel'e alır.

HMAC tabanlı API Anahtarı doğrulamasını (Entegrasyon Anahtarı ve Gizli Anahtar) destekler.

Daha fazla bilgi için Cisco Duo Admin API Docs sayfasını ziyaret edin.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
DuoAuthentication_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Cisco Duo API Anahtarı: Bir Cisco Duo Entegrasyon Anahtarı ve Gizli Anahtar gereklidir. Bunlar, Duo Admin Paneli'nde bir Admin API uygulaması oluşturularak elde edilir. Belgelere bakınız.

Kurulum Yönergeleri:

Adım 1 - Cisco Duo Admin API kimlik bilgilerini elde edin

  1. Cisco Duo yönetim paneline giriş yapın.
  2. Uygulamalar'a gidin ve Bir Uygulamayı Koruma'ya tıklayın.
  3. Admin API'sini arayın ve Protect'e tıklayın.
  4. API ana adı, entegrasyon anahtarı ve gizli anahtarı kopyalayın.
  5. Uygulamada Okuma Logu İzni etkin olduğundan emin olun.

Adım 2 - Cisco Duo'yu Microsoft Sentinel'e bağlayın

Doğrulama loglarını almaya başlamak için aşağıya Cisco Duo Admin API kimlik bilgilerinizi girin.

  • API Temel URL'si: (https://api-XXXXXXXX.duosecurity.com)
  • Entegrasyon Anahtarı (Kullanıcı Adı): (Duo Entegrasyon Anahtarınızı Girin)
  • Gizli Anahtar (Şifre): (İkili Gizli Anahtarınızı Girin)
  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



Cisco Duo Telefon Kayıtları

Tarafından desteklenir:Cisco Systems

Cisco Duo Telephony Logs bağlayıcısı, Cisco Duo Admin API'sinden SMS ve telefon görüşmesi kimlik doğrulama olay verilerini Microsoft Sentinel'e aktarır.

Telefon kayıtları, Duo'nun kimlik doğrulama, kayıt veya yönetici atlama iş akışı sırasında SMS şifresi gönderdiği veya geri telefon araması yaptığı her durumu kaydeder. Her etkinlik, kullanılan telefon numarası, kullanılan kanal (sms veya telefon), bağlam ve tüketilen telefon kredisi sayısını içerir.

HMAC tabanlı API Anahtarı doğrulamasını (Entegrasyon Anahtarı ve Gizli Anahtar) destekler.

Daha fazla bilgi için Cisco Duo Admin API Docs sayfasını ziyaret edin.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
DuoTelephony_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Cisco Duo API Anahtarı: Bir Cisco Duo Entegrasyon Anahtarı ve Gizli Anahtar gereklidir. Bunlar, 'Okuma günlüğü izniyle' izniyle Duo Admin Paneli'nde bir Admin API uygulaması oluşturularak elde edilir. Belgelere bakınız.

Kurulum Yönergeleri:

Cisco Duo Telephony Logs'u Microsoft Sentinel'e Bağla

Cisco Duo Telephony Logs bağlantısını etkinleştirmek için aşağıda Duo Admin API kimlik bilgilerinizi verin.

  1. Duo admin paneline giriş yapın.
  2. Uygulamalar > Bir Uygulamayı Koruyor sayfasına gidin.
  3. Admin API'sini bulun ve Protect'e tıklayın.
  4. Uygulamada Okuma Logu İzni etkin olduğundan emin olun.
  5. Entegrasyon Anahtarı, Gizli Anahtar ve API Host Adını kopyalayın ve aşağıya girin.
  • Entegrasyon Anahtarı (ikey): (DIXXXXXXXXXXXXXXXXXXXXX)
  • Gizli Anahtar (anahtar): (your_secret_key)
  • API Temel URL'si: (https://api-XXXXXXXX.duosecurity.com)
  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



Cisco E-posta Tehdit Savunması (ETD)

Tarafından desteklenir:YOK

Cisco Email Threat Defense (ETD) veri bağlayıcısı, Log Export API'si kullanarak Cisco ETD'den mesaj olaylarını Microsoft Sentinel'e aktarma yeteneği sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
CiscoETDv2_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

Kurulum Yönergeleri:

Cisco ETD API'sine bağlanın

Cisco ETD API uç noktasını, İstemci Kimliğinizi, İstemci Sırrını ve API Anahtarınızı sağlayın. Bu kimlik bilgileri, Cisco ETD yöneticinizden veya Cisco ETD yönetim konsolundan alınabilir.

  • Temel Uç Nokta URLsi: (https://api.us.etd.cisco.com)
  • İstemci Kimliği: (OAuth2 İstemci Kimliği Girin)
  • İstemci Gizliliği: (OAuth2 İstemci Gizreği Girin)
  • API Anahtarı: (Cisco ETD API Anahtarını Girin)
  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



Cisco ETD

Tarafından desteklenir:YOK

Bağlayıcı, tehdit analizi için ETD API'sinden veri getirir

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
CiscoETD_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • Microsoft.Web/sites izinleri: İşlev Uygulaması oluşturmak için Azure İşlevleri okuma ve yazma izinleri gereklidir. Daha fazla bilgi için bkz. Azure İşlevleri.
  • Email Tehdit SavunmaSı API'si, API anahtarı, İstemci Kimliği ve Gizli Dizi: API anahtarına, İstemci Kimliğine ve Gizli anahtara sahip olduğunuzdan emin olun.

Kurulum Yönergeleri:

NOT: Bu bağlayıcı, günlüklerini Microsoft Sentinel çekmek üzere ETD API'sine bağlanmak için Azure İşlevleri kullanır.

Bağlayıcıyı ve ilişkili Azure İşlevini dağıtmak için dağıtım adımlarını izleyin

ÖNEMLİ: ETD veri bağlayıcısını dağıtmadan önce Çalışma Alanı Kimliği ve Çalışma Alanı Birincil Anahtarına sahip olun (aşağıdakilerden kopyalanabilir).

  • Çalışma Alanı Kimliği: <Yükleme zamanında sağlanan değişken değeri>
  • Birincil Anahtar: <Yükleme zamanında sağlanan değişken değeri>

Azure Resource Manager (ARM) Şablonu

Arm Şablonu kullanarak Cisco ETD veri bağlayıcısının otomatik dağıtımı için bu yöntemi kullanın.

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.ms

  2. Tercih edilen Abonelik, Kaynak Grubu ve Bölge'yi seçin.

  3. WorkspaceID, SharedKey, ClientID, ClientSecret, ApiKey, Karar, ETD Bölgesi girin

  4. Dağıtmak için Oluştur'a tıklayın.



Cisco Meraki Olayları (REST API kullanarak) (Codeless Connector Framework aracılığıyla)

Tarafından desteklenir:Microsoft Corporation

Cisco Meraki bağlantısı, Cisco Meraki organizasyon olaylarınızı (Güvenlik olayları, Yapılandırma Değişiklikleri, API İstekleri ve Dosya Taranmış Algılamalar) Microsoft Sentinel'e kolayca bağlamanızı sağlar. Veri bağlayıcısı günlükleri getirmek için Cisco Meraki REST API'sini kullanır ve alınan verileri ayrıştıran ve Log Analytics çalışma alanınızdaki ASIM ve özel tablolara alınan DCR tabanlı alım süresi dönüştürmelerini destekler. Bu veri bağlayıcısı, DCR tabanlı alma zamanı filtrelemesi, veri normalleştirme gibi özelliklerden yararlanır.

ASIM normalleştirilmiş olayların yanı sıra, bu bağlantı Cisco Meraki Dashboard envanteri ve kablosuz güvenlik verilerini de özel tablolara alır - Organizasyonlar, Ağ İstemcileri, Organizasyon Ağları, kablosuz Air Marshal (rogue access point) olayları ve Dosya Taramalı olaylar.

Desteklenen ASIM şeması:

  1. Ağ Oturumu
  2. Web Oturumu
  3. Denetim Olayı

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
CiscoMerakiOrganizations_CL Evet Evet
CiscoMerakiNetworkClients_CL Evet Evet
CiscoMerakiOrganizationNetworks_CL Evet Evet
CiscoMerakiAirMarshalEvents_CL Evet Evet
ASimWebSessionLogs Evet Evet
ASimAuditEventLogs Evet Evet
ASimNetworkSessionLogs Evet Evet
CiscoMerakiFileScannedEvents_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Kurulum Yönergeleri:

Cisco Meraki Dashboard API için yapılandırma adımları

Cisco Meraki API kimlik bilgilerinizi almak için aşağıdaki talimatları izleyin.

  1. Meraki Dashboard'a giriş yapın Cisco Meraki Dashboard'a gidin ve yönetici hesabınızla giriş yapın.

  2. API Anahtarı Oluştur

  3. Sol navigasyon menüsünden Organizasyon > API ve Webhooks'a geçin

  4. API anahtarlarını seçin ve üst sekmelerden erişim

  5. Yeni API anahtarı oluştur veya mevcut bir anahtarı kullanın

  6. API anahtarını kopyalayın ve güvenli bir şekilde saklayın (sadece bir kez gösterilecek)

  7. Organizasyon Kimliğini Alın

  8. Meraki Dashboard'a giriş yaparken, tarayıcınızdaki URL'ye bakın

  9. Organizasyon Kimliği, dashboard URL yolunda şu şekilde görünür dashboard.meraki.com/o/<organizationId>/...

  10. Aşağıda Kuruluş Kimliğini kopyalayın

  11. API Erişim Gereksinimleri

  • API anahtarının şu adreslere Oku erişimi olmalıdır:
    • Kuruluş ayarları
    • Ağ ayarları
    • Kablosuz ayarlar
  • Oran sınırı: Kuruluş başına saniyede 10 istek.
  • Maksimum geri dönüş süresi: 31 gün

Cisco Meraki organizasyonlarını Microsoft Sentinel'e bağlayın

Bu konnektör, çoklu kiracı alımını destekler. Her Cisco Meraki organizasyonu için bir bağlantı ekleyin; Her bağlantı, o organizasyon için olayları paralel olarak alır. Mevcut bağlantıları incelemek veya yenisini eklemek için aşağıdaki ızgonu kullanın.

  • Veri Bağlayıcıları Kılavuzu (portalda yapılandır)



Cisco Güvenli Uç Noktası (Kodsuz Bağlayıcı Çerçevesi aracılığıyla)

Tarafından desteklenir:Microsoft Corporation

Cisco Güvenli Uç Nokta (eski adıyla Uç Noktalar için AMP) veri bağlayıcısı, Cisco Güvenli Uç Nokta denetim günlüklerini ve olaylarını Microsoft Sentinel alma özelliği sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
CiscoSecureEndpointAuditLogsV2_CL Evet Evet
CiscoSecureEndpointEventsV2_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Cisco Güvenli Uç Nokta API'sinin Kimlik Bilgileri/Bölgeleri: API Kimlik Bilgileri oluşturmak ve bölgeleri anlamak için burada sağlanan belge bağlantısını izleyin. Buraya tıklayın.

Kurulum Yönergeleri:

Cisco Güvenli Uç Noktasını Microsoft Sentinel bağlama

Cisco Güvenli Uç Noktası'ndan Microsoft Sentinel veri almak için aşağıdaki Hesap Ekle düğmesine tıklamanız, ardından Email, Kuruluş, İstemci Kimliği, API Anahtarı ve Bölge gibi ayrıntıları doldurmak için bir açılır pencere almanız, gerekli bilgileri sağlamanız ve Bağlan'a tıklamanız gerekir. Bağlı kuruluşları/e-postaları aşağıdaki kılavuzda görebilirsiniz.

  • Veri Bağlayıcıları Kılavuzu (portalda yapılandır)



Cisco Yazılım Tanımlı WAN

Tarafından desteklenir:Cisco Systems

Cisco Yazılım Tanımlı WAN (SD-WAN) veri bağlayıcısı, Cisco SD-WAN Syslog ve Netflow verilerini Microsoft Sentinel alma özelliği sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
Syslog Evet Evet
CiscoSDWANNetflow_CL Hayır Hayır

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Kurulum Yönergeleri:

Cisco SD-WAN Syslog ve Netflow verilerini Microsoft Sentinel almak için aşağıdaki adımları izleyin.

1. Syslog verilerini Microsoft sentinel'e alma adımları

Azure İzleyici Aracısı, syslog verilerini Microsoft sentinel'e toplamak için kullanılır. Bunun için öncelikle syslog verilerinin gönderileceği VM için bir Azure Arc sunucusu oluşturmanız gerekir.

1.1 Azure Arc Sunucusu Ekleme Adımları

  1. Azure portal'da Sunucular - Azure Arc'a gidin ve Ekle'ye tıklayın.
  2. Tek sunucu ekle bölümünde Betik Oluştur'a tıklayın. Kullanıcı, Birden Çok Sunucu için de betik oluşturabilir.
  3. Önkoşullar sayfasındaki bilgileri gözden geçirin ve İleri'yi seçin.
  4. Kaynak ayrıntıları sayfasında Microsoft Sentinel, Bölge, İşletim sistemi ve Bağlantı yönteminin aboneliğini ve kaynak grubunu sağlayın. Ardından, İleri'yi seçin.
  5. Etiketler sayfasında, önerilen varsayılan Fiziksel konum etiketlerini gözden geçirin ve bir değer girin veya standartlarınızı desteklemek için bir veya daha fazla Özel etiket belirtin. Ardından İleri'yi seçin
  6. Betik dosyasını kaydetmek için İndir'i seçin.
  7. Betiği oluşturduğunuza göre, sonraki adım bunu arc Azure eklemek istediğiniz sunucuda çalıştırmaktır.
  8. Azure VM'niz varsa betiği çalıştırmadan önce bağlantıda belirtilen adımları izleyin.
  9. Betiği aşağıdaki komutla çalıştırın: ./<ScriptName>.sh
  10. Aracıyı yükleyip Arc özellikli Azure sunuculara bağlanacak şekilde yapılandırdıktan sonra, sunucunun başarıyla bağlandığını doğrulamak için Azure portal gidin. makinenizi Azure portal görüntüleyin. Başvuru bağlantısı:/azure/azure-arc/servers/learn/quick-enable-hybrid-vm

1.2 Veri Toplama Kuralı (DCR) Oluşturma Adımları

  1. Azure portalı'nda İzleyici'ye bakın. Ayarlar'ın altında Veri Toplama Kuralları'nı ve Ardından Oluştur'u seçin.
  2. Temel Bilgiler panelinde Kural Adı, Abonelik, Kaynak grubu, Bölge ve Platform Türü girin.
  3. İleri: Kaynaklar'ı seçin.
  4. Kaynak ekle'yi seçin. Günlükleri toplamak için kullanacağınız sanal makineyi bulmak için filtreleri kullanın.
  5. Sanal makineyi seçin. Uygula'yı seçin.
  6. İleri: Topla ve teslim'i seçin.
  7. Veri kaynağı ekle'yi seçin. Veri kaynağı türü için syslog Linux seçin.
  8. En düşük günlük düzeyi için varsayılan değerleri LOG_DEBUG bırakın.
  9. İleri: Hedef'i seçin.
  10. Hedef ekle'yi seçin ve Hedef türü, Abonelik ve Hesap veya ad alanı ekleyin.
  11. Veri kaynağı ekle'yi seçin. İleri: Gözden geçir + oluştur'u seçin.
  12. Oluştur’u seçin. 20 dakika bekleyin. Microsoft Sentinel veya Azure İzleyici'de vm'nizde Azure İzleyicisi aracısının çalıştığını doğrulayın. Başvuru bağlantısı:/azure/sentinel/forward-syslog-monitor-agent

2. Netflow verilerini Microsoft sentinel'e alma adımları

Netflow verilerini Microsoft sentinel'e almak için Filebeat ve Logstash'ın VM'ye yüklenmesi ve yapılandırılması gerekir. Yapılandırmadan sonra, vm yapılandırılan bağlantı noktasında netflow verilerini alabilir ve bu veriler Microsoft sentinel'in çalışma alanına alınır.

2.1 Filebeat ve logstash yükleme

  1. apt kullanarak filebeat ve logstash yüklemesi için şu belgeyi arayın:
  2. Filebeat: https://www.elastic.co/guide/en/beats/filebeat/current/setup-repositories.html.
  3. Logstash: https://www.elastic.co/guide/en/logstash/current/installing-logstash.html.
  4. RedHat tabanlı Linux (yum) için filebeat ve logstash yükleme adımları aşağıdaki gibidir:
  5. Filebeat: https://www.elastic.co/guide/en/beats/filebeat/current/setup-repositories.html#_yum.
  6. Logstash: https://www.elastic.co/guide/en/logstash/current/installing-logstash.html#_yum

2.2 Logstash'a olay göndermek için Filebeat'i yapılandırma

  1. filebeat.yml dosyasını düzenle: vi /etc/filebeat/filebeat.yml
  2. Elasticsearch Çıktısı bölümüne açıklama ekleyin.
  3. AçıklamaYı Kaldırma Logstash Çıktısı bölümü (Yalnızca bu iki satırın açıklamasını kaldır)- output.logstash konakları: ["localhost:5044"]
  4. Logstash Çıktısı bölümünde, varsayılan bağlantı noktası olan 5044 bağlantı noktası dışındaki verileri göndermek istiyorsanız konaklar alanındaki bağlantı noktası numarasını değiştirin. (Not: Bu bağlantı noktası, logstash yapılandırırken conf dosyasına eklenmelidir.)
  5. 'filebeat.inputs' bölümünde mevcut yapılandırmayı açıklama satırı yapın ve şu yapılandırmayı ekleyin: - type: netflow max_message_size: 10 Kb konağı: "0.0.0.0:2055" protokolleri: [ v5, v9, ipfix ] expiration_timeout: 30m queue_size: 8192 custom_definitions:
  • /etc/filebeat/custom.yml detect_sequence_reset: true etkin: true
  1. Filebeat girişleri bölümünde, varsayılan bağlantı noktası olan 2055 bağlantı noktası dışındaki verileri almak istiyorsanız, konak alanındaki bağlantı noktası numarasını değiştirin.
  2. Sağlanan custom.yml dosyasını /etc/filebeat/ dizinine ekleyin.
  3. Güvenlik duvarında filebeat giriş ve çıkış bağlantı noktasını açın.
  4. Komutunu çalıştırın: firewall-cmd --zone=public --permanent --add-port=2055/udp
  5. Komutunu çalıştırın: firewall-cmd --zone=public --permanent --add-port=5044/udp

Not: Filebeat girişi/çıkışı için özel bir bağlantı noktası eklenirse, bu bağlantı noktasını güvenlik duvarında açın.

2.3 Logstash'ı olayları Microsoft Sentinel gönderecek şekilde yapılandırma

  1. Azure Log Analytics eklentisini yükleyin:
  2. Komutu Çalıştır: sudo /usr/share/logstash/bin/logstash-plugin install microsoft-logstash-output-azure-loganalytics
  3. Log Analytics çalışma alanı anahtarını Logstash anahtar deposunda depolayın. Çalışma alanı anahtarı log analytics çalışma alanının altında Azure portal'da bulunabilir Çalışma alanı >> seçin Ayarlar'ın altında Aracı > Log Analytics aracısı yönergeleri'ni seçin.
  4. Birincil anahtarı kopyalayın ve aşağıdaki komutları çalıştırın:
  5. sudo /usr/share/logstash/bin/logstash-keystore --path.settings /etc/logstash create LogAnalyticsKey
  6. sudo /usr/share/logstash/bin/logstash-keystore --path.settings /etc/logstash add LogAnalyticsKey
  7. /etc/logstash/cisco-netflow-to-sentinel.conf: input { beats { port =><port_number> #(Filebeat yapılandırması sırasında yapılandırılan çıkış bağlantı noktası numarasını girin. filebeat.yml dosyası .) } } output { microsoft-logstash-output-azure-loganalytics { workspace_id => "<workspace_id>" workspace_key => "${LogAnalyticsKey}" custom_log_table_name => "CiscoSDWANNetflow" } }

Not: Tablo Microsoft sentinel'de yoksa sentinel'de yeni bir tablo oluşturur.

2.4 Filebeat'i çalıştır:

  1. Bir terminal açın ve komutunu çalıştırın: systemctl start filebeat
  2. Bu komut arka planda filebeat çalıştırmaya başlar. Günlükleri görmek için filebeat'ı (systemctl stop filebeat) durdurun ve aşağıdaki komutu çalıştırın: filebeat run -e

2.5 Logstash'ı çalıştırın:

  1. Başka bir terminalde komutunu çalıştırın: /usr/share/logstash/bin/logstash --path.settings /etc/logstash -f /etc/logstash/cisco-netflow-to-sentinel.conf &
  2. Bu komut logstash'ı arka planda çalıştırmaya başlar. logstash günlüklerini görmek için yukarıdaki işlemi sonlandırın ve aşağıdaki komutu çalıştırın: /usr/share/logstash/bin/logstash --path.settings /etc/logstash -f /etc/logstash/cisco-netflow-to-sentinel.conf



Cisco Umbrella (Codeless Connector Framework aracılığıyla)

Tarafından desteklenir:Microsoft Corporation

Microsoft Sentinel için Cisco Cloud Security çözümü, Cisco tarafından yönetilen Amazon S3 Bucket'ta depolanan Cisco Secure Access ve Cisco Umbrella günlüklerini Amazon S3 REST API'sini kullanarak Microsoft Sentinel almanızı sağlar. Daha fazla bilgi için Cisco Cloud Security günlük yönetimi belgelerine bakın .

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
CiscoUmbrellaAdminAudit_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Amazon S3 REST API Kimlik Bilgileri/izinleri: Amazon S3 REST API için AWS Erişim Anahtarı, AWS Gizli Erişim Anahtarı, AWS S3 Bucket Name gereklidir.

Kurulum Yönergeleri:

1. Cisco Bulut Güvenlik Günlükleri Koleksiyonunun Yapılandırması

NOT: Bu konnektör, Cisco Cloud Security log şeması sürüm 16'yı destekleyecek şekilde güncellenmiştir.

NOT: Bu konnektörün çalışması için Cisco panelinde isteğe bağlı başlıkları etkinleştirmeniz gerekir.

NOT: Bu konnektör hem Cisco tarafından yönetilen hem de müşteri tarafından yönetilen Amazon S3 kovalarını destekler.

NOT: Müşteri tarafından yönetilen yollar için, kovanın kökünü kullanmak istiyorsanız S3 Bucket Preek'ini boş bırakabilirsiniz. Bir ön ek belirtirseniz, önde eğik çizgi eklemeyin ve takip çizgisini de eklediğinizden emin olun.

Günlüğe kaydetmeyi ayarlamak ve gerekli kimlik bilgilerini ve bilgileri almak için belgelere bakın ve yönergeleri izleyin.

Cisco tarafından yönetilen S3 Demetini ayarladıktan sonra size üç bilgi parçası verilir: Veri Yolu, Erişim Anahtarı ve Gizli Anahtar.

UYARI: Cisco tarafından yönetilen S3 demetleri için Gizli Anahtarın süresi 90 günde bir dolar. Gizli Anahtarı Cisco panosunda döndürmek ve süre dolmadan önce bu bağlayıcıyı yeni anahtarla yeniden bağlamak sizin sorumluluğunuzdadır.

Erişim Anahtarı ve Gizli Anahtar için bunları aşağıdaki girişlere yapıştırabilirsiniz. Diğer gerekli alanlar için bunları Veri Yolu'ndan alırsınız.

Örneğin, Cisco tarafından sağlanan Veri Yolu şeklindedir cisco-managed-us-west-1/2003477-12345. AWS S3 Demet Adı için giriş S3 Demet Adı olacaktır cisco-managed-us-west-1. S3 Demet Bölgesi olacaktır us-west-1. S3 Demet Ön Eki olacaktır 2003477-12345/.

Akış tabanlı koleksiyonu etkinleştirmek için Yeni toplayıcı ekle'ye tıklayın, bir Veri türü seçin ve AWS ayrıntılarını sağlayın.

  • Veri Bağlayıcıları Kılavuzu (portalda yapılandır)



Citrix Analytics (Codeless Connector Framework aracılığıyla)

Destekli:Citrix Systems, Inc.

Citrix Analytics'in Microsoft Sentinel ile entegrasyonu, Citrix Analytics'ten etkinlikler (SPA, Güvenlik) için analiz edilen verileri Microsoft Sentinel ortamına dışa aktarmanıza yardımcı olur. Citrix Analytics'ten gelen verilerle birlikte diğer kaynaklardan gelen verileri analiz edebilir ve Logic Apps kullanarak özel iş akışları oluşturarak olayları izleyebilir ve azaltabilirsiniz.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
CitrixAnalytics_SPA_Events_V1_CL Evet Evet
CitrixAnalytics_indicatorSummary_V1_CL Evet Evet
CitrixAnalytics_indicatorEventDetails_V1_CL Evet Evet
CitrixAnalytics_riskScoreChange_V1_CL Evet Evet
CitrixAnalytics_userProfile_V1_CL Evet Evet
CitrixAnalytics_CVAD_Events_V1_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Microsoft Entra: Microsoft Entra ID'da uygulama kaydı oluşturma izni. Genellikle Entra Kimliği Uygulama Geliştirici rolü veya üzeri gerekir.
  • Microsoft Azure: Veri toplama kurallarında İzleme Ölçümleri Yayımcısı rolü atama izni. Genellikle Azure RBAC Sahibi veya Kullanıcı Erişimi Yöneticisi rolü gerektirir.
  • Lisanslama: Citrix Cloud'da Citrix Analytics Hakları. Lütfen Citrix Tool Lisans Anlaşmasını inceleyin.

Kurulum Yönergeleri:

1. ARM Kaynakları Oluşturma ve Gerekli İzinleri Sağlama

Gerekli Azure kaynaklarını (Log Analytics tabloları, Data Collection Rule ve Entra uygulama kaydı) sağlamak için Deploy'a tıklayın ve Citrix Analytics'in Azure İzleyici Logs Ingestion API üzerinden verileri güvenli bir şekilde Microsoft Sentinel'e itmesini etkinleştirin.

Entra Uygulaması ile Otomatik Yapılandırma ve Güvenli Veri Alımı "Dağıt" seçeneğine tıklanması Log Analytics tablolarının ve veri toplama kuralının (DCR) oluşturulmasını tetikler. Ardından bir Entra uygulaması oluşturur, DCR'yi buna bağlar ve uygulamaya girilen gizli diziyi ayarlar. Bu kurulum, verilerin Entra belirteci kullanılarak DCR'ye güvenli bir şekilde gönderilmesini sağlar.

2. Citrix Analytics Platform'da entegrasyonunuzu yapılandırın

Citrix Analytics Platformu'nda entegrasyonunuzu yapılandırmak için aşağıdaki parametreleri kullanın.

  • Dizin Kimliği (Kiracı Kimliği): <yükleme zamanında sağlanan değişken değeri>
  • Entra Uygulama Kaydı Uygulama Kimliği (İstemci Kimliği): <yükleme zamanında sağlanan değişken değeri>
  • Entra Uygulama Kayıt Gizli Anahtarı (Kimlik Bilgisi Gizli Anahtarı) (BU SIR BU SAYFADAN AYRILDIKTEN SONRA GÖRÜNMEZ): <yükleme zamanında sağlanan değişken değeri>
  • Veri Toplama Uç Noktası (URL): <yükleme zamanında sağlanan değişken değeri>
  • Veri Toplama Kuralı Değişmez ID (Kural Kimliği):< kurulum zamanında sağlanan değişken değeri>



Citrix DaaS Denetimi ve Oturumları (Codeless Connector Framework aracılığıyla)

Tarafından desteklenir:Microsoft Corporation

Citrix DaaS'tan (Citrix Virtual Apps and Desktops hizmeti) yapılandırma denetim kayıtlarını ve oturum aktivitelerini alın. Güvenlik soruşturmaları, uyumluluk izleme ve operasyonel sorun giderme için denetim izleri sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
CitrixDaaSConfigOps_CL Evet Evet
CitrixDaaSSessions_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Citrix Cloud API Erişimi: Gerekli izinler: CVAD API Yönet API'lerine okuma erişimine sahip Citrix Cloud API istemci kimlik bilgileri.

Kurulum Yönergeleri:

Citrix Cloud API Access'i Configure

API erişimini etkinleştirmek için şu adımları izleyin:

  1. Citrix Cloud konsoluna giriş yapın
  2. Kimlik ve Erişim Yönetimi > API Erişimi'ne Gidin
  3. Oluştur İstemci (Güvenli İstemci) tuşuna tıklayın
  4. İstemci Kimliğini ve İstemci Sırrını Kopyalayın
  5. Müşteri kimliğinizi ve site kimliğinizi (Instance ID) not edin.

Birden fazla Citrix kiracısından loglar toplamak için, her kiracı için ayrı bir bağlantı ekleyin. Her kayıt CitrixCustomerId ile etiketlenmiş, böylece kiracıları ayırt edebilirsiniz.

  • Veri Bağlayıcıları Kılavuzu (portalda yapılandır)



Claroty xDome

Tarafından desteklenir:xDome Müşteri Desteği

Claroty xDome, sağlık ve endüstriyel ağ ortamları için kapsamlı güvenlik ve uyarı yönetimi özellikleri sunar. Birden çok kaynak türünü eşlemek, toplanan verileri tanımlamak ve Microsoft Sentinel veri modellerine tümleştirmek için tasarlanmıştır. Bu da sağlık hizmetlerinizdeki ve endüstriyel ortamlarınızdaki tüm olası tehditleri tek bir konumda izleyebilmenizi sağlayarak daha etkili bir güvenlik izlemesi ve daha güçlü bir güvenlik duruşu elde edilmesine neden olur.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
CommonSecurityLog Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Kurulum Yönergeleri:

1. Syslog aracı yapılandırmasını Linux

Ortak Olay Biçimi (CEF) Syslog iletilerinizi toplamak ve bunları Microsoft Sentinel iletmek için Linux aracısını yükleyin ve yapılandırın.

Tüm bölgelerdeki verilerin seçili çalışma alanında depolanacağına dikkat edin

1.1 Linux makinesi seçme veya oluşturma

Microsoft Sentinel güvenlik çözümünüz ile bu makinenin şirket içi ortamınızda, Azure veya diğer bulutlarda olabileceğini Microsoft Sentinel ara sunucu olarak kullanacağı bir Linux makinesi seçin veya oluşturun.

1.2 CEF toplayıcısını Linux makinesine yükleyin

Linux makinenize Microsoft Monitoring Agent'ı yükleyin ve makineyi gerekli bağlantı noktasını dinleyecek ve iletileri Microsoft Sentinel çalışma alanınıza iletecek şekilde yapılandırın. CEF toplayıcısı 514 TCP numaralı bağlantı noktasında CEF iletilerini toplar.

  1. Aşağıdaki komutu kullanarak makinenizde Python olduğundan emin olun: python --version.

  2. Makinenizde yükseltilmiş izinlere (sudo) sahip olmanız gerekir.

  • CEF toplayıcısını yüklemek ve uygulamak için aşağıdaki komutu çalıştırın:: <yükleme zamanında sağlanan değişken değeri>

2. Ortak Olay Biçimi (CEF) günlüklerini Syslog aracısına iletme

Ortak Olay Biçimi (CEF) Syslog iletilerinizi toplamak ve Microsoft Sentinel iletmek için Claroty xDome - Microsoft Sentinel tümleştirmesini yapılandırın.

3. Bağlantıyı doğrulama

Bağlantınızı doğrulamak için yönergeleri izleyin:

Günlüklerin CommonSecurityLog şeması kullanılarak alınp alınmadığını denetlemek için Log Analytics'i açın.

Bağlantının verileri çalışma alanınıza aktarması yaklaşık 20 dakika sürebilir.

Günlükler alınmazsa aşağıdaki bağlantı doğrulama betiğini çalıştırın:

  1. Aşağıdaki komutu kullanarak makinenizde Python olduğundan emin olun: python --version

  2. Makinenizde yükseltilmiş izinlere (sudo) sahip olmanız gerekir

  • Bağlantınızı doğrulamak için aşağıdaki komutu çalıştırın:: <yükleme zamanında sağlanan değişken değeri>

**4. Makinenizin güvenliğini sağlama **

Makinenin güvenliğini kuruluşunuzun güvenlik ilkesine göre yapılandırdığından emin olun

Daha fazla bilgi edinin >



Cloudflare (Önizleme) (Azure İşlevleri kullanarak)

Tarafından desteklenir:Cloudflare

Cloudflare veri bağlayıcısı, Cloudflare Logpush ve Azure Blob Depolama kullanarak Cloudflare günlüklerini Microsoft Sentinel alma özelliği sağlar. Daha fazla bilgi için Cloudflare belgelerine bakın .

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
Cloudflare_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Microsoft.Web/sites izinleri: İşlev Uygulaması oluşturmak için Azure İşlevleri okuma ve yazma izinleri gereklidir. Daha fazla bilgi için bkz. Azure İşlevleri.
  • Azure Blob Depolama bağlantı dizesi ve kapsayıcı adı: günlüklerin Cloudflare Logpush tarafından gönderildiği Azure Blob Depolama bağlantı dizesi ve kapsayıcı adı. Daha fazla bilgi için bkz. Azure Blob Depolama kapsayıcı oluşturma.

Kurulum Yönergeleri:

NOT: Bu bağlayıcı, günlükleri Microsoft Sentinel çekmek üzere Azure Blob Depolama API'sine bağlanmak için Azure İşlevleri kullanır. Bu, veri alımı ve verilerin Azure Blob Depolama maliyetlerde depolanması için ek maliyetlere neden olabilir. Ayrıntılar için Azure İşlevleri fiyatlandırma sayfasına ve Azure Blob Depolama fiyatlandırma sayfasına bakın.

(İsteğe Bağlı Adım) Çalışma alanını ve API yetkilendirme anahtarlarını veya belirteçlerini Azure Key Vault güvenli bir şekilde depolayın. Azure Key Vault, anahtar değerlerini depolamak ve almak için güvenli bir mekanizma sağlar. Azure İşlev Uygulaması ile Azure Key Vault kullanmak için bu yönergeleri izleyin.

NOT: Bu veri bağlayıcısı, Microsoft Sentinel Çözümü ile dağıtılan beklenen Cloudflare gibi çalışması için Kusto İşlevini temel alan ayrıştırıcıya bağlıdır.

ADIM 1 - Cloudflare Logpush yapılandırması

Cloudflare Logpush'u Microsoft Azure ayarlama belgelerine bakın

ADIM 2 - Bağlayıcıyı ve ilişkili Azure İşlevini dağıtmak için aşağıdaki iki dağıtım seçeneğinden Bİrİ'ni seçin

ÖNEMLİ: Cloudflare veri bağlayıcısını dağıtmadan önce Çalışma Alanı Kimliği ve Çalışma Alanı Birincil Anahtarına (aşağıdakilerden kopyalanabilir) ve Azure Blob Depolama bağlantı dizesi ve kapsayıcı adına sahip olun.

  • Çalışma Alanı Kimliği: <Yükleme zamanında sağlanan değişken değeri>
  • Birincil Anahtar: <Yükleme zamanında sağlanan değişken değeri>

Seçenek 1 - Azure Resource Manager (ARM) Şablonu

Cloudflare veri bağlayıcısının ARM Şablonu kullanarak otomatik dağıtımı için bu yöntemi kullanın.

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.ms

  2. Tercih edilen Abonelik, Kaynak Grubu ve Konum'a tıklayın.

  3. Azure Blob Depolama Kapsayıcı Adı, Azure Blob Depolama Bağlantı Dizesi, Microsoft Sentinel Çalışma Alanı Kimliği Microsoft Sentinel Paylaşılan Anahtar girin

  4. Yukarıda belirtilen hüküm ve koşulları kabul ediyorum etiketli onay kutusunu işaretleyin.

  5. Dağıtmak için Satın Al'a tıklayın.

Seçenek 2 - Azure İşlevleri El ile Dağıtımı

Cloudflare veri bağlayıcısını Azure İşlevleri (Visual Studio Code aracılığıyla dağıtım) ile el ile dağıtmak için aşağıdaki adım adım yönergeleri kullanın.

  1. İşlev Uygulaması Dağıtma

NOT: VS kodunu Azure işlev geliştirme için hazırlamanız gerekir.

  1. Azure İşlev Uygulaması dosyasını indirin. Arşivi yerel geliştirme bilgisayarınıza ayıklayın.

  2. VS Code'ı başlatın. Ana menüde Dosya'yı ve ardından Klasörü Aç'ı seçin.

  3. Ayıklanan dosyalardan en üst düzey klasörü seçin.

  4. Etkinlik çubuğunda Azure simgesini seçin, ardından Azure: İşlevler alanında İşlev uygulamasına dağıt düğmesini seçin. Henüz oturum açmadıysanız, Etkinlik çubuğunda Azure simgesini seçin, ardından Azure: İşlevler alanında Oturum aç'ı seçerek Azure Oturum açtıysanız sonraki adıma geçin.

  5. İstemlerde aşağıdaki bilgileri sağlayın:

    a. Klasör seçin: Çalışma alanınızdan bir klasör seçin veya işlev uygulamanızı içeren klasöre göz atın.

    b. Abonelik'i seçin: Kullanılacak aboneliği seçin.

    c. Azure'de yeni İşlev Uygulaması oluştur'u seçin (Gelişmiş seçeneğini belirleme)

    d. İşlev uygulaması için genel olarak benzersiz bir ad girin: URL yolunda geçerli bir ad yazın. Yazdığınız ad, Azure İşlevleri benzersiz olduğundan emin olmak için doğrulanır. (ör. CloudflareXX).

    e. Çalışma zamanı seçin: Python 3.8'i seçin.

    f. Yeni kaynaklar için bir konum seçin. Daha iyi performans ve düşük maliyetler için Microsoft Sentinel bulunduğu bölgeyi seçin.

  6. Dağıtım başlar. İşlev uygulamanız oluşturulduktan ve dağıtım paketi uygulandıktan sonra bir bildirim görüntülenir.

  7. İşlev Uygulaması yapılandırması için Azure portalı'na gidin.

  8. İşlev Uygulamasını Yapılandırma

  9. İşlev Uygulamasında İşlev Uygulaması Adı'nı ve ardından Yapılandırma'yı seçin.

  10. Uygulama ayarları sekmesinde + Yeni uygulama ayarı'nı seçin.

  11. Aşağıdaki uygulama ayarlarının her birini ilgili dize değerleriyle (büyük/küçük harfe duyarlı) tek tek ekleyin: CONTAINER_NAME AZURE_STORAGE_CONNECTION_STRING WORKSPACE_ID SHARED_KEY logAnalyticsUri (İsteğe bağlı)

  • Ayrılmış bulut için log analytics API uç noktasını geçersiz kılmak için logAnalyticsUri kullanın. Örneğin, genel bulut için değeri boş bırakın; Azure GovUS bulut ortamı için değeri şu biçimde belirtin: https://WORKSPACE_ID.ods.opinsights.azure.us.
  1. Tüm uygulama ayarları girildikten sonra Kaydet'e tıklayın.



Cloudflare (Blob Kapsayıcısı Kullanma) (Kodsuz Bağlayıcı Çerçevesi aracılığıyla)

Tarafından desteklenir:Cloudflare

Cloudflare veri bağlayıcısı, Cloudflare Logpush ve Azure Blob Depolama kullanarak Cloudflare günlüklerini Microsoft Sentinel alma özelliği sağlar. Daha fazla bilgi için Cloudflare belgelerine bakın .

NOT: Çözümde kullanılabilen Cloudflare (Blob Kapsayıcısı Kullanılarak) (Kodsuz Bağlayıcı Çerçevesi aracılığıyla) veri bağlayıcısı, Azure Blob Depolama hesabının ve Microsoft Sentinel çalışma alanının aynı Azure aboneliğinde ve aynı Kaynak Grubunda olmasını gerektirir. Farklı abonelikler veya kaynak grupları arasında dağıtım, bağlayıcı yapılandırması sırasında tanımlanmayan CreateDataFlowResources gibi hatalara neden olabilir.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
CloudflareV2_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Depolama hesabı ve kapsayıcı oluşturma: Cloudflare'da logpush'u ayarlamadan önce Microsoft Azure'da bir depolama hesabı ve kapsayıcı oluşturun. Kapsayıcı ve Blob hakkında daha fazla bilgi edinmek için bu kılavuzu kullanın. Azure Depolama hesabı oluşturmak için belgelerdeki adımları izleyin.
  • Blob SAS URL'si oluşturma: Oluşturma ve Yazma izinleri gereklidir. Blob SAS belirteci ve URL hakkında daha fazla bilgi edinmek için belgelere bakın.
  • Günlükleri Cloudflare'dan Blob kapsayıcınıza toplama: Günlükleri Cloudflare'dan Blob kapsayıcınıza toplama belgelerindeki adımları izleyin.

Kurulum Yönergeleri:

Cloudflare Günlüklerini Microsoft Sentinel bağlama

Cloudflare günlüklerini Microsoft Sentinel etkinleştirmek için aşağıdaki gerekli bilgileri sağlayın ve Bağlan'a tıklayın.

  • Veri toplamak istediğiniz Blob kapsayıcısının URL'si:
  • Blob kapsayıcısının depolama hesabı kaynak grubu adı:
  • Blob kapsayıcısının depolama hesabı konumu:
  • Blob kapsayıcısının depolama hesabı abonelik kimliği:
  • Varsa blob kapsayıcısının depolama hesabının olay kılavuzu konu adı. değilse boş tutun.:
  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



Cognni

Tarafından desteklenir:Cognni

Cognni bağlayıcısı, Microsoft Sentinel ile hızlı ve basit bir tümleştirme sunar. Daha önce sınıflandırılmamış önemli bilgilerinizi otonom olarak eşlemek ve ilgili olayları algılamak için Cognni'yi kullanabilirsiniz. Bu, önemli bilgilerinizin risklerini tanımanıza, olayların önem derecesini anlamanıza ve düzeltmeniz gereken ayrıntıları araştırmanıza ve fark yaratabilecek kadar hızlı olmanıza olanak tanır.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
CognniIncidents_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Kurulum Yönergeleri:

Cognni'ye bağlanma

  1. Cognni tümleştirmeleri sayfasına gidin
  2. 'Microsoft Sentinel' kutusunda 'Bağlan'a tıklayın
  3. 'workspaceId' ve 'sharedKey' değerlerini kopyalayıp Cognni'nin tümleştirmeler ekranındaki ilgili alanlara (aşağıdan) yapıştırın
  4. Yapılandırmayı tamamlamak için 'Connect' bottonunu tıklatın.
    Yakında, Cognni tarafından algılanan tüm olaylarınız buraya (Microsoft Sentinel) iletilecektir

Cognni kullanıcısı değil misiniz? Bize katılın

  • Çalışma Alanı Kimliği: <Yükleme zamanında sağlanan değişken değeri>
  • Paylaşılan Anahtar: <yükleme zamanında sağlanan değişken değeri>



Uyum (Azure İşlevleri kullanarak)

Tarafından desteklenir:Cohesity

Cohesity işlev uygulamaları, Cohesity Datahawk fidye yazılımı uyarılarını Microsoft Sentinel alma olanağı sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
Cohesity_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Microsoft.Web/sites izinleri: İşlev Uygulaması oluşturmak için Azure İşlevleri okuma ve yazma izinleri gereklidir. Daha fazla bilgi için bkz. Azure İşlevleri.
  • Azure Blob Depolama bağlantı dizesi ve kapsayıcı adı: Azure Blob Depolama bağlantı dizesi ve kapsayıcı adı

Kurulum Yönergeleri:

NOT: Bu bağlayıcı, Azure Blob Depolama ve KeyVault'a bağlanan Azure İşlevleri kullanır. Bu ek maliyetlerle sonuçlanabilir. Ayrıntılar için Azure İşlevleri fiyatlandırma sayfasını, fiyatlandırma sayfasını Azure Blob Depolama ve KeyVault fiyatlandırma sayfasını Azure kontrol edin.

(İsteğe Bağlı Adım) Çalışma alanını ve API yetkilendirme anahtarlarını veya belirteçlerini Azure Key Vault güvenli bir şekilde depolayın. Azure Key Vault, anahtar değerlerini depolamak ve almak için güvenli bir mekanizma sağlar. Azure İşlev Uygulaması ile Azure Key Vault kullanmak için bu yönergeleri izleyin.

1. ADIM - Cohesity DataHawk API anahtarı alma (bkz. sorun giderme yönergesi 1)

2. ADIM - Azure uygulamasını (bağlantı) kaydedin ve Uygulama (istemci) Kimliği, Dizin (kiracı) Kimliği ve Gizli Değer (yönergeler) değerlerini kaydedin. Depolama (user_impersonation) Azure izni verin. Ayrıca, uygun abonelikteki uygulamaya 'Microsoft Sentinel Katkıda Bulunanı' rolünü atayın.

3. ADIM - Bağlayıcıyı ve ilişkili Azure İşlevleri dağıtın.

Azure Resource Manager (ARM) Şablonu

Arm Şablonu kullanarak Cohesity veri bağlayıcısının otomatik dağıtımı için bu yöntemi kullanın.

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.ms

  2. Tercih edilen Abonelik, Kaynak Grubu ve Konum'a tıklayın.

  3. Önceki adımlarda oluşturduğunuz parametreleri girin

  4. Yukarıda belirtilen hüküm ve koşulları kabul ediyorum etiketli onay kutusunu işaretleyin.

  5. Dağıtmak için Satın Al'a tıklayın.



Commvault Security IQ (Codeless Connector Framework aracılığıyla)

Tarafından desteklenir:Commvault

Commvault Security IQ veri bağlantısı, Commvault ortamlarından anomli tespit olaylarını Microsoft Sentinel'e aktararak, ransomware ve şüpheli dosya işlemleri gibi yedek altyapıyı hedef alan tehditlerin tespit ve yanıtlanmasını sağlar. Olaylar tabloda saklanır CommvaultAlertsCCF_CL .

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
CommvaultAlertsCCF_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Commvault API Kimlik Bilgileri: API taleplerini yetkilendirmek için Commvault ortamı Temel URL ve geçerli API belirteçsi gereklidir.

Kurulum Yönergeleri:

1. Konnektör Yönetimi

Commvault Security IQ connector örneklerinizi yönetin. Her örnek tek bir Commvault ortamına bağlanır.

Commvault Security IQ Connector Örnekleri

Bu bağlayıcı, Commvault'u her 30 dakikada bir sorar ve tehdit anomali olaylarını CommvaultAlertsCCF_CL tabloya alır.

  • Veri Bağlayıcıları Kılavuzu (portalda yapılandır)



CommvaultSecurityIQ

Tarafından desteklenir:Commvault

Bu Azure İşlevi, Commvault kullanıcılarının uyarıları/olayları Microsoft Sentinel örneğine almalarını sağlar. Analiz Kuralları ile Microsoft Sentinel gelen olaylardan ve günlüklerden otomatik olarak Microsoft Sentinel olayları oluşturabilir.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
CommvaultAlerts_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Microsoft.Web/sites izinleri: İşlev Uygulaması oluşturmak için Azure İşlevleri okuma ve yazma izinleri gereklidir. Daha fazla bilgi için bkz. Azure İşlevleri.
  • Commvault Ortam Uç Noktası URL'si: Belgeleri izlediğinize ve KeyVault'ta gizli dizi değerini ayarladığınızdan emin olun
  • Commvault QSDK Belirteci: Belgeleri izlediğinize ve KeyVault'ta gizli dizi değerini ayarladığınızdan emin olun

Kurulum Yönergeleri:

NOT: Bu bağlayıcı, günlüklerini Microsoft Sentinel çekmek üzere bir Commvault Örneğine bağlanmak için Azure İşlevleri kullanır. Bu, ek veri alımı maliyetlerine neden olabilir. Ayrıntılar için Azure İşlevleri fiyatlandırma sayfasına bakın.

Çalışma alanını ve API yetkilendirme anahtarlarını veya belirteçlerini Azure Key Vault güvenli bir şekilde depolayın. Azure Key Vault, anahtar değerlerini depolamak ve almak için güvenli bir mekanizma sağlar. Azure İşlev Uygulaması ile Azure Key Vault kullanmak için bu yönergeleri izleyin.

ADIM 1 - Commvalut QSDK Belirteci için yapılandırma adımları

API Belirteci oluşturmak için bu yönergeleri izleyin.

ADIM 2 - Bağlayıcıyı ve ilişkili Azure İşlevini dağıtma

ÖNEMLİ: CommvaultSecurityIQ veri bağlayıcısını dağıtmadan önce Çalışma Alanı Kimliği ve Çalışma Alanı Birincil Anahtarına (aşağıdakilerden kopyalanabilir) ve Commvault Uç Noktası URL'sine ve QSDK Belirteci'ne sahip olun.

  • Çalışma Alanı Kimliği: <Yükleme zamanında sağlanan değişken değeri>
  • Birincil Anahtar: <Yükleme zamanında sağlanan değişken değeri>

Azure Resource Manager (ARM) Şablonu

Commvault Security IQ veri bağlayıcısının otomatik dağıtımı için bu yöntemi kullanın.

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.ms

  2. Tercih edilen Abonelik, Kaynak Grubu ve Bölge'yi seçin.

  3. Çalışma Alanı Kimliği, Çalışma Alanı Anahtarı 've/veya Diğer gerekli alanlar' girin ve İleri'ye tıklayın.

  4. Dağıtmak için Oluştur'a tıklayın.



ContraForce Etkinlikleri

Destekli:ContraForce

ContraForce Events bağlayıcısı, ContraForce çalışma alanınızdan güvenlik hizmeti sunum olaylarını Microsoft Sentinel'e aktarır: her bağlı güvenlik platformundan olan olay algılamaları, yönetici erişim değişiklikleri (rol ve üye değişiklikleri), makine kimlik bilgileri aktiviteleri ve yıkıcı çalışma alanı eylemleri. ContraForce'un bu çalışma alanında yaptığı güvenlik operasyonlarını kendi Sentinel'inizin içinden izlemek için kullanın.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
ContraForceEvents_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • ContraForce hizmet hesabı kimlik yışı: 'Denetim: Dışa Aktarma' kapsamına sahip bir ContraForce servis hesabı kimlik belgesi, Ayarlar Geliştiriciler altında oluşturulmuş bir ContraForce > hizmet hesabı kimliği. Hizmet hesabının, bağladığınız çalışma alanında bir rolü olmalı.

Kurulum Yönergeleri:

1. Bir ContraForce ihracat kimliği oluşturun

ContraForce portalında, Settings > Developers'ı açın, bağlamak istediğiniz çalışma alanında bir rolü olan bir hizmet hesabı seçin (veya oluşturun) ve Audit: Export kapsamı ile bir kimlik bilgisi ekleyin . İstemci kimliğini ve bir kerelik istemci sırrını kopyalayın.

Olaylar, gerçekleştikleri hesabı takip eder: her müşteri çalışma alanını etkinlikleri için bağlayın ve hizmet hesabı ve kimlik hattı etkinliği gibi organizasyon düzeyindeki olaylar için kendi organizasyon hesabınızı ekleyin.

2. ContraForce çalışma alanınızı bağlayın

ContraForce portal URL'nizi girin (sadece bölgesel bir portal kullanıyorsanız, örneğin Birleşik Krallık platformu), ContraForce çalışma alanı kimliğinizi (ContraForce portalı URL'si ve çalışma alanı ayarlarında gösteriliyor) ve 1. adımdaki kimlik bilgilerini girin, ardından Bağla'yı seçin.

  • ContraForce portalı URLsi: (https://portal.contraforce.com)
  • ContraForce çalışma alanı IDsi: (00000000-0000-0000-0000-0000000000)
  • İstemci Kimliği: (İstemci Kimliği)
  • İstemci sırrı: (İstemci sırrı)
  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



KarşıtLıK ADR Anında İletme Bağlayıcısı

Tarafından desteklenir:Karşıtlık Güvenliği

Karşıtlık Güvenliği bağlayıcısı, Saldırı olaylarını ve olaylarını Karşıtlık Uygulama Algılama ve Yanıtı'ndan (ADR) Microsoft Sentinel alma özelliği sağlar. Bu bağlayıcı, OAuth kimlik doğrulamasını kullanarak web kancası gönderme mekanizması aracılığıyla veri alır.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
ContrastADRAttackEvents_CL Evet Evet
ContrastADRIncidents_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Microsoft Entra: Microsoft Entra ID'de uygulama kaydı oluşturma izni (otomatik oluşturulan uygulama kullanılıyorsa). Genellikle Uygulama Geliştirici rolü veya üzeri gerekir.
  • Microsoft Azure: Azure kaynakları (DCE, DCR, Tablolar) oluşturma ve yapılandırma ve RBAC rolleri atama izni. Genellikle Katkıda Bulunan ve Kullanıcı Erişimi Yöneticisi rolleri gerekir.
  • Karşıt ADR Web Kancası Erişimi: Web kancasını OAuth kimlik doğrulama ayarlarıyla yapılandırmak için Karşıt ADR platformuna erişim.

Kurulum Yönergeleri:

1. Bağlayıcı Kaynaklarını Dağıtma

Karşıt ADR veri alımı için gerekli Azure kaynaklarını dağıtın.

Dağıtım Seçeneğinizi Belirleyin

Gereksinimlere göre aşağıdaki dağıtım seçeneklerinden birini belirleyin:

Karşıtlık ADR CCF Bağlayıcısı Dağıt'a tıklanırken otomatik olarak oluşturulur:

  • Veri Toplama Uç Noktası (DCE)
  • Saldırı olayları ve olayları için akışlar içeren Veri Toplama Kuralı (DCR)
  • Log Analytics tabloları (ContrastADRAttackEvents_CL ve ContrastADRIncidents_CL)
  • OAuth kimlik bilgileriyle Uygulamayı Microsoft Entra
  • DCR'de rol ataması (İzleme Ölçümleri Yayımcısı)

Dağıtımdan sonra: Tüm yapılandırma değerleri (Kiracı Kimliği, İstemci Kimliği, İstemci Gizli Anahtarı, DCE URI' si, DCR Sabit Kimliği) Karşıtlık platformuna kolayca kopyalanması için aşağıda otomatik olarak doldurulur.

B Seçeneği: Önceden Var Olan Microsoft Entra Uygulamasını (BYOA) Kullanma

Karşıtlık ADR CCF Bağlayıcısı Dağıt'a tıklanması şu adımları oluşturur:

  • Veri Toplama Uç Noktası (DCE)
  • Saldırı olayları ve olayları için akışlar içeren Veri Toplama Kuralı (DCR)
  • Log Analytics tabloları (ContrastADRAttackEvents_CL ve ContrastADRIncidents_CL)
  • uygulamayı Microsoft Entra (bunu yoksayabilirsiniz)

Ne zaman kullanılır: Güvenlik veya uyumluluk nedenleriyle yeniden kullanmak istediğiniz mevcut bir Entra Uygulamanız varsa. Ek adımlar gereklidir:

  1. Dağıtımdan sonra, önceden var olan Entra Uygulamanızın Hizmet Sorumlusuna oluşturulan DCR'de İzleme Ölçümleri Yayımcısı rolünü el ile atayın
  2. Kendi Entra Uygulamanızın İstemci Kimliğini ve İstemci Gizli Anahtarını kullanın (aşağıdaki otomatik oluşturulanları yoksayın)
  3. Karşıtlık web kancası yapılandırmanızda aşağıdaki DCE URI'sini ve DCR Sabit Kimliğini kullanın

Başlamak için Dağıt'a tıklayın:

2. Karşıt ADR Web Kancasını Yapılandırma

Karşıt ADR platformunda Microsoft Sentinel tümleştirmesini yapılandırmak için aşağıdaki değerleri kopyalayın.

A Seçeneği (Otomatik Oluşturulan Entra Uygulaması): Aşağıdaki otomatik olarak doldurulan tüm değerleri kullanın. B Seçeneği (Önceden Var Olan Entra Uygulaması) için: Aşağıdaki DCE URI'sini, DCR Sabit Kimliğini ve Stream Adlarını kullanın, ancak kendi Entra Uygulamanızın Kiracı Kimliğini, İstemci Kimliğini ve İstemci Gizli Anahtarını kullanın.

yapılandırma değerlerini Azure:

  • Kiracı Kimliği: <Yükleme zamanında sağlanan değişken değeri>
  • Uygulama (İstemci) Kimliği: <Yükleme zamanında sağlanan değişken değeri>
  • İstemci Gizli Anahtarı: <yükleme zamanında sağlanan değişken değeri>
  • Veri Toplama Uç Noktası (DCE) URI'si: <yükleme zamanında sağlanan değişken değeri>
  • Veri Toplama Kuralı (DCR) Sabit Kimliği: <yükleme zamanında sağlanan değişken değeri>
  • Saldırı Olayları Stream Adı: <yükleme zamanında sağlanan değişken değeri>
  • Olaylar Stream Adı: <yükleme zamanında sağlanan değişken değeri>

Karşıt ADR Platformunda Yapılandırma

  1. KarşıtLıK ADR platformunuzda oturum açın
  2. Yönetim > Tümleştirmeleri > Microsoft Sentinel gidin
  3. Yukarıdaki tüm yapılandırma değerlerini kopyalayıp yapıştırın:
    • Kiracı Kimliği
    • Uygulama (İstemci) Kimliği
    • İstemci Gizli Anahtarı
    • Veri Toplama Uç Noktası (DCE) URI'sı
    • Veri Toplama Kuralı (DCR) Sabit Kimliği
    • Saldırı Olayları Stream Adı
    • Olaylar Stream Adı
  4. Tümleştirmeyi tamamlamak için Kaydet'e tıklayın

Karşıtlık platformu, bu değerleri kullanarak OAuth kimlik doğrulamasını ve veri uç noktalarını otomatik olarak yapılandıracaktır.

3. Veri Alımını Doğrulama

Verilerin Karşıt ADR'den Microsoft Sentinel'a aktığını doğrulayın.

Doğrulama Adımları

  1. Karşıt ADR'de bir test saldırısı olayı tetikleme
  2. Verilerin Microsoft Sentinel görüntülenmesi için 5-10 dakika bekleyin
  3. Saldırı olaylarını doğrulamak için aşağıdaki sorguyu çalıştırın:
ContrastADRAttackEvents_CL
| take 10
  1. Olay verilerini doğrulama:
ContrastADRIncidents_CL
| take 10
  1. Bağlantıyı denetleyin:
ContrastADRAttackEvents_CL
| summarize LastLogReceived = max(TimeGenerated)
| project IsConnected = LastLogReceived > ago(7d)

Veriler görünürse ve IsConnected true değerini döndürürse bağlayıcınız doğru yapılandırılır!



Corelight Konnektör İhracat Cihazı

Tarafından desteklenir:Corelight

Corelight veri bağlayıcısı, olay yanıtlayıcılarının ve Microsoft Sentinel kullanan tehdit avcılarının daha hızlı ve daha etkili çalışmasını sağlar. Veri bağlayıcısı, Zeek ve Suricata'dan Corelight Sensors üzerinden olayların Microsoft Sentinel'e Azure İzleyici Logs Ingestion API'si kullanılarak alınmasını sağlar. Olaylar, Corelight Sensörü tarafından bir Veri Toplama Uç noktasına (DCE) gönderilir ve günlük başına Veri Toplama Kuralları (DCR) ile özel Corelight_v3_*_CL tablolara yönlendirilir.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
Corelight Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • Microsoft Entra ID uygulaması: Microsoft Entra ID'de bir uygulama kaydetme ve istemci sırrı oluşturma izni. Genellikle Uygulama Geliştiricisi rolü veya daha üzerini gerektirir.
  • Azure rol atama: Dağıtılan Veri Toplama Kuralları üzerinde Monitoring Metrics Publisher rolünü atama izni. Genellikle hedef kaynak grubunda Sahibi veya Kullanıcı Erişim Yöneticisi rolünü gerektirir.
  • Corelight Sensörü Erişimi: Microsoft Sentinel dışına çıkışını yapılandırmak için Corelight Sensörü'ne (veya Filo Yöneticisine) yönetici erişim.

Kurulum Yönergeleri:

NOT: Bu veri bağlayıcısı, Microsoft Sentinel Çözümü ile dağıtılan corelight'ın beklendiği gibi çalışması için Kusto İşlevine dayalı ayrıştırıcıya bağlıdır.

1. Corelight veri toplama kaynaklarını dağıtın

Çalışma alanınızda Veri Toplama Uç Noktası (DCE), Corelight_v3_*_CL tablolar ve her Corelight log türü için bir Veri Toplama Kuralı (DCR) oluşturan ARM şablonunu dağıtın.

Aşağıdaki düğmeyi kullanarak bağlayıcı kaynaklarını Microsoft Sentinel çalışma alanınızla aynı abonelik ve kaynak grubuna dağıtın.

aka.ms

Sorulduğunda, şunları sağlayın:

Parametre Value
workspace Log Analytics çalışma alanınızın adı (ID değil)
workspace-location Çalışma alanının Azure bölgesi
resourceId Çalışma alanının tam kaynak kimliği

Dağıtım aşağıdakileri oluşturur:

  • Bir Veri Toplama Uç noktası ( dce-corelight-<workspace> çalışma alanı adı 17 karaktere kısaltılmış)
  • Her Corelight log türü için bir özel tablo, adlandırılmış Corelight_v3_<log_type>_CL
  • Her log türü için bir Veri Toplama Kuralı vardır, her biri dcr-corelight-<workspace>-<log_type>ile etiketlenir corelight-log-type

NOT: Azure kaynak adlarını 64 karakterle sınırlar ve en uzun Corelight log türü 32 karakterdir, bu yüzden şablon uç nokta ve kural adlarını oluştururken çalışma alanı adının sadece ilk 17 karakterini kullanır. Çalışma alanı adınız 17 karakterden uzunsa, dağıtılan kaynaklar bu kısaltılmış önekten sonra adlandırılır, örneğin dcr-corelight-<first-17-chars>-<log_type>.

NOT: Dağıtım işlemi birkaç dakika sürebilir çünkü çok sayıda tablo ve kural oluşturulur. Devam etmeden önce bitmesini bekle.

2. Microsoft Entra ID başvurusu kaydet

Corelight Sensörü, Microsoft Entra ID uygulamasıyla Logs Ingestion API'sine kimlik doğrulaması sağlar. Uygulamayı ve bir istemci sırrı oluşturun, ardından değerleri kaydedin.

Uygulamayı oluşturma

  1. Azure portalında Microsoft Entra ID > Uygulama kayıtları > New registration sayfasına gidin.
  2. Örneğin Corelight Sentinel Connectorbir isim girin.
  3. Desteklenen hesap türleri altında, yalnızca bu organizasyon dizininde Hesaplar seçeneğini seçin.
  4. Redirect URI'sini boş bırakın ve Register'ı seçin.
  5. Uygulama Genel Bakış sayfasında, Uygulama (istemci) ID'sini ve Dizin (kiracı) ID'sini kopyalayın.

Bir istemci sırrı oluşturun

  1. Uygulama sayfasında, Sertifikalar ve sırlar > İstemci sırları > Yeni istemci sırrı sayfasına gidin.
  2. Bir açıklama girin, bir son kullanma tarihi seçin ve Ekle'yi seçin.
  3. Gizli değeri hemen kopyalayın. Sadece bir kez gösterilir ve daha sonra geri alınamaz.

Artık Corelight Sensörü tarafından gereken Kiracı Kimliği, İstemci Kimliği ve Müşteri Sırrı sizde var.

Daha fazla bilgi için bkz. Bir uygulamayı Microsoft Entra ID ile Kaydet.

3. Başvuruya DCR'lere erişim izni

Uygulamanın DCR'lerde iki Azure rolüne ihtiyacı vardır:

  • Monitoring Metrics Publisher — DCR'lere günlük veri yazmak için.
  • Okuyucu — böylece dışa aktarıcı DCR'leri sorgulayabilir ve her log tipini başlatma etiketiyle kendi DCR'sine corelight-log-type eşleyebilir.

Her ikisini de kaynak grubu kapsamında ata, böylece adımda oluşturulan tüm Corelight Veri Toplama Kurallarına uygulansın.

  1. Dağıtılan DCE ve DCR'leri içeren kaynak grubuna gidin.
  2. Erişim kontrolü (IAM) Ekle > Rol atamasını ekle>.
  3. Role sekmesinde, Monitoring Metrics Publisher'ı arayın ve seçin.
  4. Üyeler sekmesinde Kullanıcı, grup veya hizmet yöneticisi seçeneğini seçin, ardından 2. adımda kaydettiğiniz uygulamayı seçin.
  5. Gözden geçir + ata'yı seçin.
  6. Okuyucu rolü için rol atamasını tekrarlayın.

NOT: Rol atamalarının etkisi birkaç dakika sürebilir. Sensör atama hatası verdikten hemen sonra yetkilendirme hatalarını bildirirse, bekleyin ve tekrar deneyin.

Microsoft Graph izni ver

İhracat cihazının ayrıca etiketlerinden DCR ID'lerini bulmak için kullandığı Microsoft Graph iznine ihtiyacı vardır.

  1. Uygulama kaydında, API izinlerine gidin.
  2. Microsoft Graph User.Read (Delege Edilmiş) listesine girdiğini doğrulayın. Yeni uygulama kayıtlarında bu izni varsayılan olarak içeriyor, bu yüzden genellikle herhangi bir işlem gerekmiyor.
  3. Eksikse, Add a permission > Microsoft Graph > Delegated permissions seçeneğini seçin, User.Readarayın ve Add permissions seçin.

4. Corelight ihracatçısının ihtiyaç duyduğu değerleri topla

Corelight ihracatçısı, Veri Toplama Kurallarını etiket ile keşfeder. Veri Toplama Uç noktası URI'sini, abonelik kimliğini toplayın ve DCR etiketi ile akış adı desenini onaylayın.

Veri Toplama Uç Noktası URI'si

  1. Monitor > Settings > Data Collection Endpoints sayfasına gidin.
  2. öğesini seçin dce-corelight-<workspace>.
  3. Genel Bakış sayfasında, Logs alım URI'sini kopyalayın. biçimindedir https://dce-corelight-<workspace>-<suffix>.<region>.ingest.monitor.azure.com.

Abonelik Kimliği

Dağıtılmış Veri Toplama Uç noktası ve Veri Toplama Kurallarını içeren abonelik kimliğini kopyalayın.

  1. Azure portalında Abonelikler sayfasını arayın ve açın.
  2. Dağıtılan kaynakları içeren aboneliği seçin.
  3. Genel Bakış sayfasında Abonelik Kimliğini kopyalayın.

Veri Toplama Kuralı Log Tipi Etiketi

Dağıtım, kabul ettiği log tipiyle her Corelight Veri Toplama Kuralı etiketler. İhracat yapıcı, her log için doğru DCR'yi seçmek için bu etiketi kullanır, böylece manuel olarak değiştirilemez bir kimlik girilmesine gerek yoktur.

Tag Value
corelight-log-type Örneğin Corelight log türüconn, , dnshttp
solution Corelight

Portalda dağıtılan kuralları ve log türlerini incelemek için Monitor > Settings > Data Collection Rules sayfasına gidin ve adında dcr-corelight-<workspace>-<log_type>kuralları arayın.

Ayrıca Azure CLI ile de listeleyebilirsiniz. Aşağıdaki bölümde açıklandığı gibi portalda Azure Cloud Shell'ten komutları çalıştırın.

az monitor data-collection rule list \
  --resource-group <resource-group> \
  --query "[?tags.solution=='Corelight'].{logType:tags.\"corelight-log-type\", name:name}" \
  --output table

Azure portalından Azure CLI komutlarını çalıştırmak

Bu bağlayıcıdaki Azure CLI komutları, yerel kurulum gerektirmeden doğrudan portalda Azure Cloud Shell kullanılarak çalıştırılabilir.

  1. Azure portalında, en üst araç çubuğunda Cloud Shell simgesini (>_) seçin veya .https://shell.azure.com

  2. Bir ortam seçmeniz istendiğinde, Bash seçin. Aşağıdaki komutlar Bash için yazılmıştır.

  3. Eğer bu Cloud Shell'i ilk kez kullanıyorsanız, bir depolama hesabı oluşturma veya seçme için verilen istemi takip edin.

  4. Doğru abonelikte olduğunu doğrulayın ve gerekirse değiştirin:

    az account show --output table
az account set --subscription "<subscription-name-or-id>"

  5. Veri Toplama Kuralı komutlarını ekleyin, bunlar bir CLI uzantısı ile gelir:

    az extension add --name monitor-control-service

  6. Çalıştırmak istediğiniz komutu yapıştırın, <resource-group>, <workspace>, ve <log_type> yerine kendi değerlerinizle değiştirin.

NOT: Komutlar az monitor data-collection rule uzantı monitor-control-service gerektirir. Eğer onları kullanmazsanız, Cloud Shell uzantını ilk seferde otomatik olarak yüklemeyi teklif eder.

Akarsu isimleri

Her DCR, hedef tablosunun adını taşıyan tek bir akış bildirir:

Custom-<table_name>

Çoğu log türü için tablo adı şu desenin Corelight_v3_<log_type>_CLizini alır. Örneğin, log conn türü akışı Custom-Corelight_v3_conn_CL kullanır ve tabloya Corelight_v3_conn_CLiner. Bu yüzden ihracat yapıcı Stream Name şablonu bir sonraki adımda ayarlanmıştır Custom-Corelight_v3_$LOG_CL .

ÖNEMLİ: Uzun isimli az sayıda log tipinin kısaltılmış tablo adı vardır, çünkü Log Analytics tablo adı uzunluğunu sınırlar. Bu log türleri için akış adı değildir Custom-Corelight_v3_<log_type>_CL, ve şablon $LOG doğru akışa çözüm bulmuyor. 5. adımdaki listeye bak.

Akış adını doğrudan bir kuraldan okumak için, Monitor > Settings > Data Collection Rules > altındaki portalı kullanarak JSON View kuralı > seçin veya şu kuralı çalıştırın:

az monitor data-collection rule show \
  --resource-group <resource-group> \
  --name dcr-corelight-<workspace>-<log_type> \
  --query "keys(streamDeclarations)" \
  --output tsv

Veri Toplama Kuralı Değişmez Kimlikler (sadece referans)

İxracat cihazı, kuralları etiket corelight-log-type aracılığıyla çözer, bu yüzden yapılandırma için değiştirilebilir kimlikler gerekmez. Sorun giderme veya doğrudan Logs Ingestion API çağrısı için bir tane ihtiyacınız varsa, Monitor > Settings > Data Collection Rules altındaki portalda okuyun, > JSON View kuralını > seçin veya şu kuralları çalıştırın:>immutableId

az monitor data-collection rule show \
  --resource-group <resource-group> \
  --name dcr-corelight-<workspace>-conn \
  --query immutableId \
  --output tsv

5. Corelight Sensörü üzerinde Microsoft Sentinel dışa aktarıcısını yapılandırın

Önceki adımlarda toplanan değerleri kullanarak Corelight Sensörü veya Fleet Manager'da bir Microsoft Sentinel dışa aktarıcısı oluşturun. İhracat cihazı Corelight platformunda yapılandırılmış ve Corelight tarafından belgelenmiştir.

Corelight platformunda dışa aktarıcıyı yapılandırın

Corelight dokümantasyonu

İhracat cihazı, sensör web arayüzü veya Fleet Manager kullanılarak Corelight platformunda oluşturulur ve yönetilir. Corelight'ın kendi dokümantasyonu için ihracatçı oluşturma adımları, desteklenen sensör ve Fleet Manager sürümleri, dinamik dışa aktarıcı seçeneğinin etkinleştirilmesi ve dağıtımınız gerektiriyorsa özel CA paketi yüklemesi için takip edin:

Corelight dokümantasyonu: Microsoft Sentinel dynamic exporter

Başlamadan önce

  • Bu bağlayıcının 1'den 4'e kadar olan adımları tamamlandı ve Veri Toplama Uç Noktası URI'si, abonelik kimliği ve uygulama kimlik bilgileri elinizde.
  • Sensör veya Fleet Manager, 443 portunda giden HTTPS üzerinden Veri Toplama Uç noktasına ulaşabilir. Giden trafik bir proxy'den geçmek zorundaysa, proxy URL'si hazır olsun.
  • Sensörünüz, Microsoft Sentinel dinamik dışa aktarıcısını destekleyen bir sürüm çalıştırıyor ve dinamik dışa aktarma seçeneği etkinleştiriliyor. Corelight'ın dokümantasyonu, gerekli sürümleri ve etkinleştirilecek ayarları listeliyor.

İhracat cihazına girilecek değerler

Microsoft Sentinel dışa aktarıcısını oluştururken bu değerleri girin. Burada listelenmeyen ayarları Corelight varsayılan olarak bırakın, Corelight aksi tavsiyede bulunmadıkça.

Corelight dışa aktarıcı ayarı Kullanılacak değer
Kiracı Kimliği Adım 2, uygulama Dizini (kiracı) Kimliği
Müşteri Kimliği Adım 2, uygulama Uygulama (istemci) Kimliği
İstemci Gizli Anahtarı Adım 2, istemci sırrı Değeri
Abonelik Kimliği 4. adım, DCE ve DCR'leri içeren abonelik
Veri Toplama Uç Noktası Adım 4, Logs alım URI'si
DCR Log Tip Etiketi corelight-log-type
Stream Adı Custom-Corelight_v3_$LOG_CL

ÖNEMLI: İxracat yapıcı, varsayılan akış adı şablonu Custom-Corelight_v2_$LOG_CLile birlikte gelir. Bu çözüm tablolar oluşturur v3 , bu yüzden şablon değiştirilmelidir Custom-Corelight_v3_$LOG_CL. Varsayılan olarak bırakıldığında, mevcut olmayan akışlara olaylar gönderilir ve veri reddedilir.

Hangi Zeek günlüklerinin dışa aktarıldığını kontrol etmek için ihracat cihazının log tipi filtresini kullanın. Sadece almayı planladığınız log türlerini etkinleştirin.

NOT: Çok sayıda log türü alınması, Microsoft Sentinel veri alım maliyetini artırır. Tam seti etkinleştirmeden önce Microsoft Sentinel fiyatlandırma sayfasını inceleyin.

Akış adı şablonu kapsama almayan log türleri

26 log tipi, Log Analytics tablo adı uzunluğu sınırı nedeniyle kısaltılmış tablo adına sahiptir, bu Custom-Corelight_v3_$LOG_CL nedenle akışlarına çözüm bulmaz. Bunlardan herhangi birini almak için, akış adını şablona güvenmek yerine aşağıdaki değerden açıkça ayarlayın.

Kayıt türü Akarsu adı
modbus_read_device_identification Custom-Corelight_v3_modbus_read_device_identificatio_CL
modbus_read_write_multiple_registers Custom-Corelight_v3_modbus_read_write_multiple_regis_CL
opcua_binary_activate_session_client_software_cert Custom-Corelight_v3_opcua_binary_activate_session_cl_CL
opcua_binary_activate_session_locale_id Custom-Corelight_v3_opcua_binary_activate_session_lo_CL
opcua_binary_browse_request_continuation_point Custom-Corelight_v3_opcua_binary_browse_request_cont_CL
opcua_binary_browse_response_references Custom-Corelight_v3_opcua_binary_browse_response_ref_CL
opcua_binary_create_monitored_items Custom-Corelight_v3_opcua_binary_cm_items_CL
opcua_binary_create_monitored_items_create_item Custom-Corelight_v3_opcua_binary_cm_create_item_CL
opcua_binary_create_session_discovery Custom-Corelight_v3_opcua_binary_create_session_disc_CL
opcua_binary_create_session_endpoints Custom-Corelight_v3_opcua_binary_create_session_endp_CL
opcua_binary_create_session_user_token Custom-Corelight_v3_opcua_binary_create_session_user_CL
opcua_binary_event_filter_attribute_operand Custom-Corelight_v3_opcua_binary_event_filter_attrib_CL
opcua_binary_event_filter_attribute_operand_browse_paths Custom-Corelight_v3_opcua_bef_attr_operand_bpaths_CL
opcua_binary_event_filter_element_operand Custom-Corelight_v3_opcua_binary_event_filter_elemen_CL
opcua_binary_event_filter_literal_operand Custom-Corelight_v3_opcua_binary_event_filter_litera_CL
opcua_binary_event_filter_select_clause Custom-Corelight_v3_opcua_binary_event_filter_select_CL
opcua_binary_event_filter_simple_attribute_operand Custom-Corelight_v3_opcua_binary_event_filter_simple_CL
opcua_binary_event_filter_simple_attribute_operand_browse_paths Custom-Corelight_v3_opcua_bef_smpl_attr_bpaths_CL
opcua_binary_event_filter_where_clause Custom-Corelight_v3_opcua_bef_where_clause_CL
opcua_binary_event_filter_where_clause_elements Custom-Corelight_v3_opcua_bef_where_clause_elements_CL
opcua_binary_get_endpoints_description Custom-Corelight_v3_opcua_binary_get_endpoints_descr_CL
opcua_binary_get_endpoints_discovery Custom-Corelight_v3_opcua_binary_get_endpoints_disco_CL
opcua_binary_get_endpoints_locale_id Custom-Corelight_v3_opcua_binary_get_endpoints_local_CL
opcua_binary_get_endpoints_profile_uri Custom-Corelight_v3_opcua_binary_get_endpoints_profi_CL
opcua_binary_get_endpoints_user_token Custom-Corelight_v3_opcua_binary_get_endpoints_user_CL
opcua_binary_variant_extension_object Custom-Corelight_v3_opcua_binary_variant_extension_o_CL

Yardım almak

  • İhracat cihazının kendisi, sensör veya Fleet Manager yapılandırması, desteklenen sürümler, CA paketleri veya sensör tarafından bildirilen dışa aktarıcı hatalarıyla ilgili sorular için Corelight TAM veya SE veya Corelight destek ile iletişime geçin.info@corelight.com
  • Eğer dışa aktarıcı başarı bildiriyorsa ama veri çalışma alanına ulaşmıyorsa, sorun genellikle Azure tarafındadır. Rol atamasını 3. adımdan, Veri Toplama Uç noktası URI'sinden ve akış adından onaylayın, ardından 6. adıma devam edin.

6. Veri alımını doğrulayın

Corelight Sensörü'nden gelen olayların çalışma alanınıza geldiğini doğrulayın.

İlk olayların çıkması için dışa aktarıcıyı yapılandırmadan 5 ila 15 dakika bekleyin, ardından Logs'ta aşağıdaki soruları çalıştırın.

Hangi Corelight tablolarının veri aldığını kontrol edin:

union withsource=TableName Corelight_v3_*_CL
| summarize EventCount = count(), LastReceived = max(TimeGenerated) by TableName
| sort by LastReceived desc

Bağlantı olaylarını özellikle kontrol et:

Corelight_v3_conn_CL
| take 10

Bağlantıyı onaylayın:

Corelight_v3_conn_CL
| summarize LastLogReceived = max(TimeGenerated)
| project IsConnected = LastLogReceived > ago(30m)

Veri görünmüyorsa, Azure tarafında aşağıdaki durumu kontrol edin:

  • 3. adımdan itibaren Monitoring Metrics Publisher rol ataması kaynak grubu kapsamında mevcuttur ve yürürlüğe girmiştir. Rol atamalarının yayılması birkaç dakika sürebilir.
  • Dışa aktarıcıdaki Veri Toplama Uç Noktası değeri, 4. adımdaki Logs alım URI'si ile eşleşir.
  • İxracat Akışı Adı şablonu Custom-Corelight_v3_$LOG_CL varsayılan değildir v2 ve 5. adımda kısaltılmış akış adı olarak listelenen herhangi bir log türü, açıkça akış adıyla yapılandırılır.
  • DCR Log Tip Etiketicorelight-log-type, ve etkinleştirdiğiniz log türleri için kurallar kaynak grubunda mevcut.

Yukarıdaki değerler doğruysa ve sensör hâlâ dışa aktarma hataları bildiriyorsa, 5. adımda açıklandığı gibi Corelight destek ile iletişime geçin.



Cortex XDR - Olaylar

Tarafından desteklenir:DEFEND Ltd.

Olayları Cortex XDR platformundan Microsoft Sentinel almak için Cortex API'sini kullanmak için DEFEND'tan özel Veri bağlayıcısı.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
CortexXDR_Incidents_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Cortex API kimlik bilgileri: REST API için Cortex API Belirteci gereklidir. Daha fazla bilgi için bkz. API. Tüm gereksinimleri denetleyin ve kimlik bilgilerini alma yönergelerini izleyin.

Kurulum Yönergeleri:

Cortex XDR API'sini etkinleştirme

Cortex Olaylarını işlemek için Cortex API aracılığıyla Cortex XDR'yi Microsoft Sentinel bağlayın.



Beşik

Tarafından desteklenir:Cribl

Cribl bağlayıcısı, Cribl (Cribl Enterprise Sürümü - Tek başına) günlüklerinizi Microsoft Sentinel ile kolayca bağlamanızı sağlar. Bu, kuruluşunuzun veri işlem hatları hakkında daha fazla güvenlik içgörüsü sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
CriblInternal_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Kurulum Yönergeleri:

Microsoft Sentinel için Cribl Stream yükleme ve kurulum yönergeleri

Bu Github deposundaki belgeleri kullanın ve kullanarak Cribl Stream yapılandırın

https://docs.cribl.io/stream/usecase-azure-workspace/



CrowdStrike API Veri Bağlayıcısı (Kodsuz Bağlayıcı Çerçevesi aracılığıyla)

Tarafından desteklenir:Microsoft Corporation

CrowdStrike Veri Bağlayıcısı, CrowdStrike API'sinden günlüklerin Microsoft Sentinel'a alımına olanak tanır. Bu bağlayıcı CrowdStrike Uyarılarını, Algılamalarını, Konaklarını, Servis Taleplerini ve Güvenlik Açıklarını Microsoft Sentinel alma özelliği sağlar. Bu bağlayıcı Microsoft Sentinel Kodsuz Bağlayıcı Çerçevesi üzerinde oluşturulmuş ve günlükleri getirmek için CrowdStrike API'sini kullanır. Sorguların daha verimli çalışabilmesi için DCR tabanlı alım süresi dönüşümlerini destekler. Daha fazla bilgi için CrowdStrike API belgelerine bakın .

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
CrowdStrikeAlertsV2_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Crowdstrike OAuth2 API İstemcisi ve Kapsamları: API Entegrasyonları, Uygulama Kayıtları, Uyarılar, Vakalar, Algılamalar, Hostlar, Spotlight Güvenlik Açıkları REST API için gereklidir.

Kurulum Yönergeleri:

CrowdStrike'i Microsoft Sentinel'a bağlama

API URL'sini ve İstemci Kimlik Bilgilerini Alın CrowdStrike Konsolunuza giriş yapın ve Temel API URL'nizi kopyalamak için API bölümüne gidin. CrowdStrike hesabınızdaki API kimlik bilgileri bölümünden Müşteri Kimliğinizi ve Müşteri Sırrınızı edinin.

Temel API URL'sini, İstemci Kimliğini ve Gizli Anahtarı alma hakkında ayrıntılı yönergeler için bağlayıcı öğreticisine bakın.

Solution sürüm 3.4.0 ve sonraki sürümler CrowdStrike V2 tablolarını kullanır. Mevcut sorular için lütfen güncellenmiş ayrıştırıcı kullanın. Daha fazla bilgi için buradaki yükseltme notlarına bakabilirsiniz

CrowdStrike bağlantılarını yönetin

CrowdStrike API bağlantılarını ekle, görüntüle ve yönet

  • Veri Bağlayıcıları Kılavuzu (portalda yapılandır)

Algılamaları Sorgulama (başarılı bağlantıdan sonra)

Günlükler alındıktan sonra CrowdStrikeDetections tablosu tarafından aggregate_idgruplandırılmış tek tek uyarı kayıtlarını içerir. Gerçek algılama düzeyi davranışını görüntülemek için aşağıdaki KQL sorgusunu kullanarak uyarıları algılama grubuna göre toplayabilirsiniz:

CrowdStrikeDetections
| summarize
  AlertCount = count(),
  FirstSeen = min(CreatedTimestamp),
  LastSeen = max(CreatedTimestamp),
  MaxSeverity = max(Severity)
by AggregateId



CrowdStrike Falcon Saldırgan Zekası (Azure İşlevleri kullanarak)

Tarafından desteklenir:Microsoft Corporation

CrowdStrike Falcon Indicators of Compromise bağlayıcısı, Falcon Intel API'sinden Risk Göstergelerini alır ve Bunları Tehdit Intel'Microsoft Sentinel yükler.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
ThreatIntelIndicators Evet Hayır

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Microsoft.Web/sites izinleri: İşlev Uygulaması oluşturmak için Azure İşlevleri okuma ve yazma izinleri gereklidir. Daha fazla bilgi için bkz. Azure İşlevleri.
  • CrowdStrike API İstemci Kimliği ve İstemci Gizli Anahtarı: CROWDSTRIKE_CLIENT_ID, CROWDSTRIKE_CLIENT_SECRETCROWDSTRIKE_BASE_URL. CrowdStrike kimlik bilgilerinin Göstergeler (Şahin Zekası) okuma kapsamı olmalıdır.

Kurulum Yönergeleri:

ADIM 1 - CrowdStrike API kimlik bilgileri oluşturma.

'Göstergeler (Şahin Zekası)' kapsamında 'okuma' seçeneğinin belirlendiğinden emin olun

2. ADIM - bir Entra Uygulamasını istemci gizli dizisiyle kaydedin.

Entra Uygulama sorumlusuna ilgili log analytics çalışma alanında 'Microsoft Sentinel Katkıda Bulunan' rol ataması sağlayın. Azure rol atama.

3. ADIM - Bağlayıcıyı ve ilişkili Azure İşlevini dağıtmak için aşağıdaki iki dağıtım seçeneğinden Bİrİ'ni seçin

ÖNEMLİ: CrowdStrike Falcon Indicator of Compromise bağlayıcısını dağıtmadan önce Çalışma Alanı Kimliğine sahip olun (aşağıdakilerden kopyalanabilir).

  • Çalışma Alanı Kimliği: <Yükleme zamanında sağlanan değişken değeri>

Seçenek 1 - Azure Resource Manager (ARM) Şablonu

CrowdStrike Falcon Saldırgan Zeka bağlayıcı bağlayıcısının ARM Tempate kullanarak otomatik dağıtımı için bu yöntemi kullanın.

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.ms

  2. Aşağıdaki parametreleri sağlayın: CrowdStrikeClientId, CrowdStrikeClientSecret, CrowdStrikeBaseUrl, WorkspaceId, TenantId, Indicators, AadClientId, AadClientSecret, LookBackDays

Seçenek 2 - Azure İşlevleri El ile Dağıtımı

CrowdStrike Falcon Saldırgan Zeka bağlayıcısını Azure İşlevleri (Visual Studio Code aracılığıyla dağıtım) ile el ile dağıtmak için aşağıdaki adım adım yönergeleri kullanın.

  1. İşlev Uygulaması Dağıtma

NOT: VS kodunu Azure işlev geliştirme için hazırlamanız gerekir.

  1. Azure İşlev Uygulaması dosyasını indirin. Arşivi yerel geliştirme bilgisayarınıza ayıklayın.

  2. VS Code'ı başlatın. Ana menüde Dosya'yı ve ardından Klasörü Aç'ı seçin.

  3. Ayıklanan dosyalardan en üst düzey klasörü seçin.

  4. Etkinlik çubuğunda Azure simgesini seçin, ardından Azure: İşlevler alanında İşlev uygulamasına dağıt düğmesini seçin. Henüz oturum açmadıysanız, Etkinlik çubuğunda Azure simgesini seçin, ardından Azure: İşlevler alanında Oturum aç'ı seçerek Azure Oturum açtıysanız sonraki adıma geçin.

  5. İstemlerde aşağıdaki bilgileri sağlayın:

    a. Klasör seçin: Çalışma alanınızdan bir klasör seçin veya işlev uygulamanızı içeren klasöre göz atın.

    b. Abonelik'i seçin: Kullanılacak aboneliği seçin.

    c. Azure'de yeni İşlev Uygulaması oluştur'u seçin (Gelişmiş seçeneğini belirleme)

    d. İşlev uygulaması için genel olarak benzersiz bir ad girin: URL yolunda geçerli bir ad yazın. Yazdığınız ad, Azure İşlevleri benzersiz olduğundan emin olmak için doğrulanır. (ör. CrowdStrikeFalconIOCXXXXXX).

    e. Çalışma zamanı seçin: Python 3.12'yi seçin.

    f. Yeni kaynaklar için bir konum seçin. Daha iyi performans ve düşük maliyetler için Microsoft Sentinel bulunduğu bölgeyi seçin.

  6. Dağıtım başlar. İşlev uygulamanız oluşturulduktan ve dağıtım paketi uygulandıktan sonra bir bildirim görüntülenir.

  7. İşlev Uygulaması yapılandırması için Azure portalı'na gidin.

  8. İşlev Uygulamasını Yapılandırma

  9. İşlev Uygulamasında İşlev Uygulaması Adı'nı ve ardından Yapılandırma'yı seçin.

  10. Uygulama ayarları sekmesinde Yeni uygulama ayarı'nı seçin.

  11. Aşağıdaki uygulama ayarlarının her birini ilgili dize değerleriyle (büyük/küçük harfe duyarlı) tek tek ekleyin: CROWDSTRIKE_CLIENT_ID CROWDSTRIKE_CLIENT_SECRET CROWDSTRIKE_BASE_URL TENANT_ID INDICATORS WorkspaceKey AAD_CLIENT_ID AAD_CLIENT_SECRET LOOK_BACK_DAYS WORKSPACE_ID

  12. Tüm uygulama ayarları girildikten sonra Kaydet'e tıklayın.



CrowdStrike Falcon Data Replicator (CrowdStrike Managed AWS-S3) (Azure İşlevleri kullanarak)

Tarafından desteklenir:Microsoft Corporation

Bu bağlayıcı, olası güvenlik risklerinin değerlendirilmesini, işbirliği etkinliklerinin analizini, yapılandırma sorunlarının tanımlanmasını ve diğer operasyonel içgörüleri desteklemek için Azure İşlevleri kullanarak FDR verilerinin Microsoft Sentinel alımını sağlar.

NOT:

1. CrowdStrike FDR lisansı etkin & kullanılabilir olmalıdır.

2. Bağlayıcı Anahtar & Gizli kimlik doğrulaması kullanır ve CrowdStrike Yönetilen demetleri için uygundur.

3. Tamamen sahip olunan bir AWS S3 demeti kullanan ortamlar için Microsoft, CrowdStrike Falcon Data Replicator (AWS S3) bağlayıcısının kullanılmasını önerir.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
CrowdStrikeReplicatorV2 Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • Microsoft.Web/sites izinleri: İşlev Uygulaması oluşturmak için Azure İşlevleri okuma ve yazma izinleri gereklidir. Daha fazla bilgi için bkz. Azure İşlevleri.
  • SQS ve AWS S3 hesabı kimlik bilgileri/izinleri: AWS_SECRET, AWS_REGION_NAME, AWS_KEYQUEUE_URL gereklidir. Daha fazla bilgi için bkz. veri çekme. Başlamak için CrowdStrike desteğine başvurun. İsteğiniz üzerine kısa süreli depolama amacıyla CrowdStrike tarafından yönetilen Amazon Web Services (AWS) S3 demeti ve S3 demetinde yapılan değişiklikleri izlemek için bir SQS (basit kuyruk hizmeti) hesabı oluşturur.

Kurulum Yönergeleri:

NOT: Bu bağlayıcı, günlükleri Microsoft Sentinel çekmek üzere AWS SQS /S3'e bağlanmak için Azure İşlevleri kullanır. Bu, ek veri alımı maliyetlerine neden olabilir. Ayrıntılar için Azure İşlevleri fiyatlandırma sayfasına bakın.

(İsteğe Bağlı Adım) API yetkilendirme anahtarlarını veya belirteçlerini Azure Key Vault güvenli bir şekilde depolayın. Azure Key Vault, anahtar değerlerini depolamak ve almak için güvenli bir mekanizma sağlar. Azure İşlev Uygulaması ile Azure Key Vault kullanmak için bu yönergeleri izleyin.

Önkoşullar

  1. CrowdStrike'de FDR'yi yapılandırma - CrowdStrike FDR'yi etkinleştirmek için CrowdStrike destek ekibine başvurmanız gerekir.
    • CrowdStrike FDR etkinleştirildikten sonra CrowdStrike konsolundan Destek --> API İstemcileri ve Anahtarları'na gidin.
    • AWS Erişim Anahtarı Kimliği, AWS Gizli Erişim Anahtarı, SQS Kuyruğu URL'si ve AWS Bölgesi'ni kopyalamak için yeni kimlik bilgileri oluşturmanız gerekir.
  2. AAD uygulamasını kaydetme - DCR'nin log analytics'e veri almak için kimlik doğrulaması yapması için AAD uygulamasını kullanmanız gerekir.

Dağıtım Seçenekleri

Bağlayıcıyı ve ilişkili Azure İşlevini dağıtmak için aşağıdaki iki dağıtım seçeneğinden Bİr'i seçin

Seçenek 1 - Azure Resource Manager (ARM) Şablonu

Crowdstrike Falcon Veri Çoğaltıcı bağlayıcısı V2'nin ARM Tempate kullanarak otomatik dağıtımı için bu yöntemi kullanın.

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.msaka.ms

  2. Microsoft Sentinel Çalışma Alanı, CrowdStrike AWS kimlik bilgileri, Azure AD Uygulama ayrıntıları ve alım yapılandırmaları gibi gerekli ayrıntıları sağlayın

NOT: Aynı kaynak grubunda, Aynı bölgedeki Windows ve Linux uygulamalarını karıştıramazsınız. Içinde Windows uygulamaları olmayan mevcut kaynak grubunu seçin veya yeni kaynak grubu oluşturun. İşlev uygulamasının ve ilişkili kaynakların dağıtımı için yeni bir Kaynak Grubu oluşturmanız önerilir. 3. Yukarıda belirtilen hüküm ve koşulları kabul ediyorum etiketli onay kutusunu işaretleyin. 4. Dağıtmak için Satın Al'a tıklayın.

Seçenek 2 - Azure İşlevleri El ile Dağıtımı

Crowdstrike Falcon Veri Çoğaltıcı bağlayıcısını Azure İşlevleri (Visual Studio Code aracılığıyla dağıtım) ile el ile dağıtmak için aşağıdaki adım adım yönergeleri kullanın.

  1. Veri alımı için DCE, DCR ve Özel Tablolar dağıtma

  2. Veri Toplama Kaynağı ARM şablonunu kullanarak gerekli DCE, DCR'ler ve Özel Tabloları dağıtma

  3. DCE ve DCR'ler başarıyla dağıtıldıktan sonra aşağıdaki bilgileri alın ve kullanışlı tutun (Azure İşlevleri uygulama dağıtımı sırasında gereklidir).

  4. İşlev Uygulaması Dağıtma

  5. Azure İşlev Uygulaması dosyasını indirin. Arşivi yerel geliştirme bilgisayarınıza ayıklayın.

  6. VSCode kullanarak Azure İşlevleri uygulamasını dağıtmak için işlev uygulaması el ile dağıtım yönergelerini izleyin.

  7. İşlev uygulamasının başarıyla dağıtılmasından sonra, bunu yapılandırmak için sonraki adımları izleyin.

  8. İşlev Uygulamasını Yapılandırma

  9. İşlev Uygulaması yapılandırması için Azure portalı'na gidin.

  10. İşlev Uygulamasında İşlev Uygulaması Adı'nı ve ardından Yapılandırma'yı seçin.

  11. Uygulama ayarları sekmesinde Yeni uygulama ayarı'nı seçin.

  12. Aşağıdaki uygulama ayarlarının her birini ilgili dize değerleriyle (büyük/küçük harfe duyarlı) tek tek ekleyin: AWS_KEY AWS_SECRET AWS_REGION_NAME QUEUE_URL USER_SELECTION_REQUIRE_RAW //Ham veri gerekiyorsa //True USER_SELECTION_REQUIRE_SECONDARY //İkincil veriler gerekiyorsa tüketim için // 100 MAX_QUEUE_MESSAGES_MAIN_QUEUE ve Premium MAX_SCRIPT_EXEC_TIME_MINUTES // için 150 değerini buraya ekleyin AZURE_TENANT_ID AZURE_CLIENT_ID AZURE_CLIENT_SECRET DCE_INGESTION_ENDPOINT NORMALIZED_DCR_ID RAW_DATA_DCR_ID EVENT_TO_TABLE_MAPPING_LINK // Dosyası github'da bulunur. Dosyaya github'da internet REQUIRED_FIELDS_SCHEMA_LINK //File kullanılarak erişilip erişilemediğini ekleyin. İşlevin dakikada bir çalıştığından emin olmak için dosyaya internet Schedule //Add value as '0 */1 * * * *' kullanarak erişilip erişilemediğini ekleyin.

  13. Tüm uygulama ayarları girildikten sonra Kaydet'e tıklayın.



CrowdStrike Falcon Veri Replikatörü (Kullanıcı tarafından yönetilen AWS-S3) (kodsuz Bağlayıcı Çerçevesi aracılığıyla)

Tarafından desteklenir:Microsoft Corporation

Crowdstrike Falcon Veri Çoğaltıcısı (S3) bağlayıcısı, FDR günlüklerinin akışının yapıldığı AWS S3 demetinden Microsoft Sentinel FDR olay verilerini alma özelliği sağlar. Bağlayıcı, olası güvenlik risklerini incelemeye, ekibinizin işbirliği kullanımını analiz etmeye, yapılandırma sorunlarını tanılamaya ve daha fazlasına yardımcı olan Olayları Falcon Aracılarından alma olanağı sağlar.

NOT:

1. CrowdStrike FDR lisansı etkin & kullanılabilir olmalıdır.

2. Bağlayıcı, AWS S3 demetine erişime izin vermek için AWS'de bir IAM rolünün yapılandırılmasını gerektirir ve CrowdStrike - yönetilen demetlerden yararlanan ortamlar için uygun olmayabilir.

3. CrowdStrike tarafından yönetilen demetlerden yararlanan ortamlar için lütfen CrowdStrike Falcon Veri Çoğaltıcısı (CrowdStrike Tarafından Yönetilen AWS S3) bağlayıcısını yapılandırın.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
CrowdStrike_Additional_Events_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Kurulum Yönergeleri:

Gereksinimler: Şahin Veri Çoğaltıcısı özelliğini kullanmak için aşağıdakiler gereklidir:

  1. Abonelik: 1.1. Şahin Veri Çoğaltıcısı. 1.2. Falcon Insight XDR.

  2. Roller: 2.1. Şahin Yöneticisi.

  3. CrowdStrike & AWS ortamlarınızı ayarlama AWS'de erişimi yapılandırmak için AWS ortamını ayarlamak için sağlanan aşağıdaki iki şablonu kullanın. Bu, günlüklerin bir S3 demetinden Log Analytics Çalışma Alanınıza gönderilmesini sağlar.

Her şablon için AWS'de Stack oluşturun:

  1. AWS CloudFormation Stacks'e gidin.
  2. 'Şablon belirtin' seçeneğini, ardından 'Dosya seç' seçeneğine tıklayıp aşağıda sağlanan uygun CloudFormation şablon dosyasını seçerek 'Şablon dosyasını karşıya yükleyin' seçeneğini belirleyin. 'Dosya seç'e tıklayın ve indirilen şablonu seçin.
  3. 'İleri' ve 'Yığın oluştur'a tıklayın.

Demetinizin FDR akışının sağlandığı Falcon CID ile aynı AWS bölgesinde oluşturulduğundan emin olun.

CrowdStrike bölgesi AWS bölgesi
ABD-1 us-west-1
ABD-2 us-west-2
AB-1 eu-central-1
  • Şablon 1: OpenID connect kimlik doğrulaması dağıtımı: <yükleme zamanında sağlanan değişken değeri>
  • Şablon 2: AWS CrowdStrike kaynakları dağıtımı: <Yükleme zamanında> sağlanan değişken değeri Kendi S3 Demetinizi kullanma Kendi S3 demetinizi kullanmak için aşağıdaki kılavuza başvurabilirsiniz Kendi S3 demetinizi kullanın veya bu adımları izleyin:
  1. Şu Adla destek olayı oluşturun: FDR için Self S3 demeti kullanma
  2. Aşağıdaki bilgileri ekleyin: 2.1. FDR akışınızın sağlandığı Falcon CID 2.2. Bu yeni FDR akışında hangi olay türlerini sağlamak istediğinizi belirtin. 2.3. Bu yeni FDR akışında hangi olay türlerini sağlamak istediğinizi belirtin. 2.4. Herhangi bir bölüm kullanmayın.
Olay türü S3 ön eki
Birincil Olaylar Veri/
İkincil Olaylar fdrv2/
  1. Yeni toplayıcıları bağlama AWS S3'i Microsoft Sentinel için etkinleştirmek için Yeni toplayıcı ekle düğmesine tıklayın, bağlam bölmesinde gerekli bilgileri doldurun ve Bağlan'a tıklayın.
  • Veri Bağlayıcıları Kılavuzu (portalda yapılandır)



CTERA Syslog

Tarafından desteklenir:CTERA

Microsoft Sentinel için CTERA Veri Bağlayıcısı, CTERA çözümünüz için izleme ve tehdit algılama özellikleri sunar. Tür, silme ve reddedilen erişim işlemleri başına tüm işlemlerin toplamını görselleştiren bir çalışma kitabı içerir. Ayrıca fidye yazılımı olaylarını algılayan ve şüpheli fidye yazılımı etkinliği nedeniyle bir kullanıcı engellendiğinde sizi uyaran analiz kuralları sağlar. Ayrıca toplu erişim reddedilen olaylar, toplu silmeler ve toplu izin değişiklikleri gibi kritik desenleri belirlemenize yardımcı olarak proaktif tehdit yönetimine ve yanıta olanak tanır.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
Syslog Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Kurulum Yönergeleri:

1. Adım: CTERA Platform'u Syslog'a bağlama

CTERA portalı syslog bağlantınızı ve Edge-Filer Syslog bağlayıcınızı ayarlama

2. Adım: Syslog Server'a Azure İzleyici Aracısı'nın (AMA) yüklenmesi

Veri toplamayı etkinleştirmek için syslog sunucunuza Azure İzleyici Aracısı'nı (AMA) yükleyin.



CTM360 CyberBlindSpot (Sunucusuz)

Tarafından desteklenir:Cyber Threat Management 360

CTM360 Siber Kör Nokta (CBS) bağlayıcısı 6 modül türünde güvenlik verilerini almak için CTM360'ın CBS platformuyla tümleştirme sağlar: olaylar, kötü amaçlı yazılım günlükleri, ihlal edilen kimlik bilgileri, güvenliği aşılmış kartlar, etki alanı ihlali ve alt etki alanı ihlali. Bu bağlayıcı, sunucusuz veri toplama için Kodsuz Bağlayıcı Çerçevesi'ni (CCF) kullanır.

Veri Türleri:

  • CBSLog_AzureV2_CL
  • CBS_MalwareLogs_AzureV2_CL
  • CBS_BreachedCredentials_AzureV2_CL
  • CBS_CompromisedCards_AzureV2_CL
  • CBS_DomainInfringement_AzureV2_CL
  • CBS_SubdomainInfringement_AzureV2_CL

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
CBSLog_AzureV2_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • CTM360 CBS API Anahtarı: CBS API uç noktasına bağlanmak için geçerli bir CTM360 Siber Kör Nokta API anahtarı gereklidir.

Kurulum Yönergeleri:

CTM360 Siber Kör Nokta'yı Microsoft Sentinel bağlama

Bu bağlayıcı, CTM360 CBS'den Microsoft Sentinel veri almak için Kodsuz Bağlayıcı Çerçevesi'ni (CCF) kullanır. Veriler 6 farklı modül türünde 5 dakikada bir toplanır.

Not: Bu bağlayıcı farklı CBS modül türleri için 6 ayrı tablo oluşturur: Olaylar, Kötü Amaçlı Yazılım Günlükleri, İhlal Edilen Kimlik Bilgileri, Güvenliği Aşılmış Kartlar, Etki Alanı İhlali ve Alt Etki Alanı İhlali.

1. Adım: CTM360 API Anahtarlarını Alma

Bu tümleştirmeyi ayarlamak için CBS API Anahtarı gerekir. Aşağıdaki bağlantıları kullanarak bu anahtarları alabilirsiniz:

Bu bağlantıda bulunan CBS API Anahtarı: https://platform.ctm360.com/start/integrations hesabınızla oturum açtıktan sonra

2. Adım: Bağlantıyı Yapılandırma

CTM360 CBS API anahtarınızı girin ve veri alımını başlatmak için bağlanın.

  • CTM360 CBS API Anahtarı: (CTM360 CBS API anahtarınızı girin)
  • Bağlantıyı Etkinleştir/Devre Dışı Bırak

3. Adım: Veri Alımını Doğrulama

Bağlandıktan sonra verilerin 5-10 dakika içinde akmaya başlaması gerekir. Her modül türü için veri alımını doğrulamak için yukarıdaki örnek sorguları kullanın.

Not: Not: İlk veri alımı 30 dakika kadar sürebilir. Bağlayıcı 5 dakikada bir 5 dakikalık bir sıralı pencereyle yoklar.



CTM360 HackerView (Sunucusuz)

Tarafından desteklenir:Cyber Threat Management 360

CTM360 HackerView bağlayıcısı, HackerView Dış Saldırı Yüzeyi Yönetimi platformunuzdan güvenlik sorunlarını ve güvenlik açıklarını Microsoft Sentinel almanızı sağlar. Bu sunucusuz bağlayıcı, analiz ve diğer güvenlik olaylarıyla bağıntı için sorun verilerini otomatik olarak çekmek için REST API'yi kullanır.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
HackerViewLog_AzureV2_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • HackerView API Anahtarı: Sorun verilerine erişim izinlerine sahip geçerli bir HackerView API anahtarı gereklidir.

Kurulum Yönergeleri:

CTM360 HackerView'u Microsoft Sentinel'a bağlama

Bu bağlayıcı, güvenlik sorunlarını otomatik olarak Microsoft Sentinel almak için HackerView REST API'sini kullanır.

Not: Bu, Azure'nin Kodsuz Bağlayıcı Çerçevesi'nin (CCF) kullanıldığı sunucusuz bir bağlayıcıdır. Azure İşlev dağıtımı gerekmez.

1. Adım: CTM360 API Anahtarlarını Alma

Bu tümleştirmeyi ayarlamak için HackerView API Anahtarı gerekir. Aşağıdaki bağlantıları kullanarak bu anahtarları alabilirsiniz:

Bu bağlantıdan bulunan HackerView API Anahtarı: https://platform.ctm360.com/start/integrations hesabınızla oturum açtıktan sonra

2. Adım: Bağlayıcıyı Yapılandırma

HackerView API anahtarınızı girin ve veri alımını başlatmak için Bağlan'a tıklayın.

  • API Anahtarı: (HackerView API Anahtarınızı girin)
  • Bağlantıyı Etkinleştir/Devre Dışı Bırak

3. Adım: Veri Alımını Doğrulama

Bağlandıktan sonra verilerin 5-10 dakika içinde akmaya başlaması gerekir. Doğrulamak için aşağıdaki sorguyu çalıştırın:

Not: HackerViewLog_AzureV2_CL | 10 alın



AMA aracılığıyla özel günlükler

Tarafından desteklenir:Microsoft Corporation

Birçok uygulama, Windows Olay günlükleri, Syslog veya CEF gibi standart günlük hizmetleri yerine metin veya JSON dosyalarına bilgi kaydeder. Özel Günlükler veri bağlayıcısı, hem Windows hem de Linux bilgisayarlardaki dosyalardan olayları toplamanıza ve bunları oluşturduğunuz özel günlük tablolarına akışla aktarmanıza olanak tanır. Veri akışı yaparken DCR kullanarak içeriği ayrıştırabilir ve dönüştürebilirsiniz. Verileri topladıktan sonra analiz kuralları, avcılık, arama, tehdit bilgileri, zenginleştirmeler ve daha fazlasını uygulayabilirsiniz.

NOT: Bu bağlayıcıyı aşağıdaki cihazlar için kullanın: Cisco Meraki, Zscaler Private Access (ZPA), VMware vCenter, Apache HTTP sunucusu, Apache Tomcat, Jboss Enterprise uygulama platformu, Juniper IDP, MarkLogic Audit, MongoDB Audit, Nginx HTTP sunucusu, Oracle Weblogic sunucusu, PostgreSQL Olayları, Squid Proxy, Ubiquiti UniFi, SecurityBridge Tehdit algılama SAP ve AI vectra akışı.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
JBossEvent_CL Hayır Hayır
JuniperIDP_CL Evet Evet
ApacheHTTPServer_CL Evet Evet
Tomcat_CL Evet Evet
meraki_CL Evet Evet
VectraStream_CL Hayır Hayır
MarkLogicAudit_CL Hayır Hayır
MongoDBAudit_CL Evet Evet
NGINX_CL Evet Evet
OracleWebLogicServer_CL Evet Evet
PostgreSQL_CL Evet Evet
SquidProxy_CL Evet Evet
Ubiquiti_CL Evet Evet
vcenter_CL Evet Evet
ZPA_CL Evet Evet
SecurityBridgeLogs_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • İzinler: Azure olmayan VM'lerden veri toplamak için Azure Arc yüklü ve etkin olmalıdır. Daha fazla bilgi edinin

Kurulum Yönergeleri:

Veri toplama kuralını etkinleştirme

Özel günlükler hem Windows hem de Linux aracılarından toplanır.

  • Yükleme Aracısı: <Yükleme zamanında sağlanan değişken değeri>



CyberArk EPM

Tarafından desteklenir:CyberArk Desteği

CyberArk Endpoint Privilege Manager veri bağlayıcısı, Microsoft Sentinel GÜVENLIK olay günlüklerini ve diğer olayları REST API aracılığıyla CyberArk EPM'den almalarını sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
CyberArk_EPMEvents_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • CyberArk EPM Platformu: CyberArk EPM platformunda gerekli yapılandırmaları gerçekleştirme erişimi

Kurulum Yönergeleri:

Microsoft Sentinel olay günlüklerini toplamaya başlamak için CyberArk EPM API'sine bağlanın

Microsoft Sentinel CyberArk EPM ile tümleştirmek ve Microsoft Sentinel içindeki uç nokta olaylarının merkezi olarak izlenmesini sağlamak için buradaki yapılandırma adımlarını izleyin.

  • Web Uygulaması Kimliği: (OAuth2 sunucu web uygulaması ApplicationID)
  • Bölge tabanlı Kiracı URL'si: (örn. api-na.epm.cyberark.cloud)
  • Ayar Kimliği: (Olayları yoklama amacıyla virgülle ayrılmış EPM Kümesi kimliklerinin listesi)
  • Kimlik Uç Noktası: (örn. kln9281.id.cyberark.cloud)



CyberArkEPM (Azure İşlevlerini kullanarak)

Tarafından desteklenir:CyberArk Desteği

CyberArk Endpoint Privilege Manager veri bağlayıcısı, CyberArk EPM hizmetlerinin güvenlik olay günlüklerini ve daha fazla olayı REST API aracılığıyla Microsoft Sentinel'e alma olanağı sağlar. Bağlayıcı olası güvenlik risklerini değerlendirmek, işbirliğini izlemek ve yapılandırma sorunlarını tanılamak ve gidermek için olay alma olanağı sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
CyberArkEPM_Events_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Microsoft.Web/sites izinleri: İşlev Uygulaması oluşturmak için Azure İşlevleri okuma ve yazma izinleri gereklidir. Daha fazla bilgi için bkz. Azure İşlevleri.
  • REST API Kimlik Bilgileri/izinleri: API çağrıları yapmak için OauthUsername, OauthPassword, IdentityEndpoint, EPMRegionHost ve WebAppID gereklidir.

Kurulum Yönergeleri:

NOT: Bu bağlayıcı, günlükleri Microsoft Sentinel çekmek üzere CyberArk EPM API'sine bağlanmak için Azure İşlevleri kullanır. Bu, veri alımı ve verilerin Azure Blob Depolama maliyetlerde depolanması için ek maliyetlere neden olabilir. Ayrıntılar için Azure İşlevleri fiyatlandırma sayfasına ve Azure Blob Depolama fiyatlandırma sayfasına bakın.

NOT: API yetkilendirme anahtarları veya belirteçleri Azure Key Vault güvenli bir şekilde depolanır. Azure Key Vault, anahtar değerlerini depolamak ve almak için güvenli bir mekanizma sağlar.

NOT: Bu veri bağlayıcısı, Microsoft Sentinel Çözümü ile dağıtılan beklenen CyberArkEPM işleviyle çalışması için Kusto İşlevine dayalı ayrıştırıcıya bağlıdır.

ADIM 1 - CyberArk EPM API'sine yönelik yapılandırma adımları

OAuth2 kimlik bilgilerini almak için yönergeleri izleyin.

  1. CyberArk EPM hesabınız için OauthUsername, OauthPassword, WebAppID, IdentityEndpoint ve EPMRegionHost değerlerini alın.

ADIM 2 - Bağlayıcıyı ve ilişkili Azure İşlevini dağıtmak için aşağıdaki iki dağıtım seçeneğinden Bİrİ'ni seçin

ÖNEMLİ: CyberArk EPM veri bağlayıcısını dağıtmadan önce Çalışma Alanı Adı ve Çalışma Alanı Konumu'na sahip olun (aşağıdakilerden kopyalanabilir).

  • Çalışma Alanı Adı: <yükleme zamanında sağlanan değişken değeri>
  • Çalışma Alanı Konumu: <yükleme zamanında sağlanan değişken değeri>

Seçenek 1 - Azure Resource Manager (ARM) Şablonu

Arm Şablonu kullanarak CyberArk EPM veri bağlayıcısının otomatik dağıtımı için bu yöntemi kullanın.

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.ms

  2. Tercih edilen Abonelik, Kaynak Grubu ve Konum'a tıklayın.

NOT: Aynı kaynak grubunda, Aynı bölgedeki Windows ve Linux uygulamalarını karıştıramazsınız. Içinde Windows uygulamaları olmayan mevcut kaynak grubunu seçin veya yeni kaynak grubu oluşturun. 3. OauthUsername, OauthPassword, IdentityEndpoint, EPMRegionHost ve WebAppID girin ve dağıtın. 4. Yukarıda belirtilen hüküm ve koşulları kabul ediyorum etiketli onay kutusunu işaretleyin. 5. Dağıtmak için Satın Al'a tıklayın.

Seçenek 2 - Azure İşlevleri El ile Dağıtımı

CyberArk EPM veri bağlayıcısını Azure İşlevleri (Visual Studio Code aracılığıyla dağıtım) ile el ile dağıtmak için aşağıdaki adım adım yönergeleri kullanın.

  1. İşlev Uygulaması Dağıtma

NOT: VS kodunu Azure işlev geliştirme için hazırlamanız gerekir.

  1. Azure İşlev Uygulaması dosyasını indirin. Arşivi yerel geliştirme bilgisayarınıza ayıklayın.

  2. VS Code'ı başlatın. Ana menüde Dosya'yı ve ardından Klasörü Aç'ı seçin.

  3. Ayıklanan dosyalardan en üst düzey klasörü seçin.

  4. Etkinlik çubuğunda Azure simgesini seçin, ardından Azure: İşlevler alanında İşlev uygulamasına dağıt düğmesini seçin. Henüz oturum açmadıysanız, Etkinlik çubuğunda Azure simgesini seçin, ardından Azure: İşlevler alanında Oturum aç'ı seçerek Azure Oturum açtıysanız sonraki adıma geçin.

  5. İstemlerde aşağıdaki bilgileri sağlayın:

    a. Klasör seçin: Çalışma alanınızdan bir klasör seçin veya işlev uygulamanızı içeren klasöre göz atın.

    b. Abonelik'i seçin: Kullanılacak aboneliği seçin.

    c. Azure'de yeni İşlev Uygulaması oluştur'u seçin (Gelişmiş seçeneğini belirleme)

    d. İşlev uygulaması için genel olarak benzersiz bir ad girin: URL yolunda geçerli bir ad yazın. Yazdığınız ad, Azure İşlevleri benzersiz olduğundan emin olmak için doğrulanır. (örn. CyberArkXXXXX).

    e. Çalışma zamanı seçin: Python 3.12'yi seçin.

    f. Yeni kaynaklar için bir konum seçin. Daha iyi performans ve düşük maliyetler için Microsoft Sentinel bulunduğu bölgeyi seçin.

  6. Dağıtım başlar. İşlev uygulamanız oluşturulduktan ve dağıtım paketi uygulandıktan sonra bir bildirim görüntülenir.

  7. İşlev Uygulaması yapılandırması için Azure portalı'na gidin.

  8. İşlev Uygulamasını Yapılandırma

  9. İşlev Uygulamasında İşlev Uygulaması Adı'nı ve ardından Yapılandırma'yı seçin.

  10. Uygulama ayarları sekmesinde Yeni uygulama ayarı'nı seçin.

  11. Aşağıdaki uygulama ayarlarının her birini ilgili dize değerleriyle (büyük/küçük harfe duyarlı) tek tek ekleyin: OAuthUsername OAuthPassword IdentityEndpoint EPMRegionHost WebAppID

  12. Tüm uygulama ayarları girildikten sonra Kaydet'e tıklayın.



Cybersixgill Eyleme Dönüştürülebilir Uyarılar (Azure İşlevleri kullanarak)

Tarafından desteklenir:Cybersixgill

Eyleme dönüştürülebilir uyarılar, yapılandırılmış varlıklara göre özelleştirilmiş uyarılar sağlar

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
CyberSixgill_Alerts_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • Microsoft.Web/sites izinleri: İşlev Uygulaması oluşturmak için Azure İşlevleri okuma ve yazma izinleri gereklidir. Daha fazla bilgi için bkz. Azure İşlevleri.
  • REST API Kimlik Bilgileri/izinleri: API çağrıları yapmak için Client_ID ve Client_Secret gereklidir.

Kurulum Yönergeleri:

NOT: Bu bağlayıcı, Uyarıları Microsoft Sentinel çekmek için Cybersixgill API'sine bağlanmak için Azure İşlevleri kullanır. Bu, veri alımı ve verilerin Azure Blob Depolama maliyetlerde depolanması için ek maliyetlere neden olabilir. Ayrıntılar için Azure İşlevleri fiyatlandırma sayfasına ve Azure Blob Depolama fiyatlandırma sayfasına bakın.

(İsteğe Bağlı Adım) Çalışma alanını ve API yetkilendirme anahtarlarını veya belirteçlerini Azure Key Vault güvenli bir şekilde depolayın. Azure Key Vault, anahtar değerlerini depolamak ve almak için güvenli bir mekanizma sağlar. Azure İşlev Uygulaması ile Azure Key Vault kullanmak için bu yönergeleri izleyin.

  • Çalışma Alanı Kimliği: <Yükleme zamanında sağlanan değişken değeri>
  • Birincil Anahtar: <Yükleme zamanında sağlanan değişken değeri>

Seçenek 1 - Azure Resource Manager (ARM) Şablonu

Arm Tempate kullanarak Cybersixgill Eyleme Dönüştürülebilir Uyarılar veri bağlayıcısının otomatik dağıtımı için bu yöntemi kullanın.

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.ms

  2. Tercih edilen Abonelik, Kaynak Grubu ve Konum'a tıklayın.

  3. Çalışma Alanı Kimliği, Çalışma Alanı Anahtarı, İstemci Kimliği, İstemci Gizli Anahtarı, TimeInterval girin ve dağıtın.

  4. Yukarıda belirtilen hüküm ve koşulları kabul ediyorum etiketli onay kutusunu işaretleyin.

  5. Dağıtmak için Satın Al'a tıklayın.

Seçenek 2 - Azure İşlevleri El ile Dağıtımı

Cybersixgill Eyleme Dönüştürülebilir Uyarılar veri bağlayıcısını Azure İşlevleri (Visual Studio Code aracılığıyla dağıtım) ile el ile dağıtmak için aşağıdaki adım adım yönergeleri kullanın.

  1. İşlev Uygulaması Dağıtma

NOT:VS kodunu Azure işlev geliştirme için hazırlamanız gerekir.

  1. Azure İşlev Uygulaması dosyasını indirin. Arşivi yerel geliştirme bilgisayarınıza ayıklayın.

  2. VS Code'ı başlatın. Ana menüde Dosya'yı ve ardından Klasörü Aç'ı seçin.

  3. Ayıklanan dosyalardan en üst düzey klasörü seçin.

  4. Etkinlik çubuğunda Azure simgesini seçin, ardından Azure: İşlevler alanında İşlev uygulamasına dağıt düğmesini seçin. Henüz oturum açmadıysanız, Etkinlik çubuğunda Azure simgesini seçin, ardından Azure: İşlevler alanında Oturum aç'ı seçerek Azure Oturum açtıysanız sonraki adıma geçin.

  5. İstemlerde aşağıdaki bilgileri sağlayın:

    a. Klasör seçin: Çalışma alanınızdan bir klasör seçin veya işlev uygulamanızı içeren klasöre göz atın.

    b. Abonelik'i seçin: Kullanılacak aboneliği seçin.

    c. Azure'de yeni İşlev Uygulaması oluştur'u seçin (Gelişmiş seçeneğini belirleme)

    d. İşlev uygulaması için genel olarak benzersiz bir ad girin: URL yolunda geçerli bir ad yazın. Yazdığınız ad, Azure İşlevleri benzersiz olduğundan emin olmak için doğrulanır. (örn. CybersixgillAlertsXXX).

    e. Çalışma zamanı seçin: Python 3.11'i seçin.

    f. Yeni kaynaklar için bir konum seçin. Daha iyi performans ve düşük maliyetler için Microsoft sentinel'in bulunduğu bölgeyi seçin.

  6. Dağıtım başlar. İşlev uygulamanız oluşturulduktan ve dağıtım paketi uygulandıktan sonra bir bildirim görüntülenir.

  7. İşlev Uygulaması yapılandırması için Azure portalı'na gidin.

  8. İşlev Uygulamasını Yapılandırma

  9. İşlev Uygulamasında İşlev Uygulaması Adı'nı ve ardından Yapılandırma'yı seçin.

  10. Uygulama ayarları sekmesinde + Yeni uygulama ayarı'nı seçin.

  11. Aşağıdaki uygulama ayarlarının her birini ilgili dize değerleriyle (büyük/küçük harfe duyarlı) tek tek ekleyin: ClientID ClientSecret Polling WorkspaceID WorkspaceKey logAnalyticsUri (isteğe bağlı)

  • Ayrılmış bulut için log analytics API uç noktasını geçersiz kılmak için logAnalyticsUri kullanın. Örneğin, genel bulut için değeri boş bırakın; Azure GovUS bulut ortamı için değeri aşağıdaki biçimde belirtin:https://<CustomerId>.ods.opinsights.azure.us
  1. Tüm uygulama ayarları girildikten sonra Kaydet'e tıklayın.



Cyble Vision Uyarıları

Tarafından desteklenir:Cyble Desteği

Cyble Vision Uyarıları CCF Veri Bağlayıcısı, Kodsuz Bağlayıcı Çerçeve Bağlayıcısı kullanılarak Cyble Vision'dan Microsoft Sentinel'a Tehdit Uyarılarının alımını sağlar. API aracılığıyla uyarı verilerini toplar, normalleştirir ve gelişmiş algılama, bağıntı ve yanıt için özel bir tabloda depolar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
CybleVisionAlerts_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • Cyble Vision API belirteci: Cyble Vision Platform'dan bir API Belirteci gereklidir.

Kurulum Yönergeleri:

1. Adım - Cyble Platformundan API Belirteci Oluşturma

Cyble Platformu'na gidin ve Cyble Vision kimlik bilgilerinizi kullanarak oturum açın.

Oturum açtıktan sonra sol taraftaki panele gidin ve Aşağı kaydırarak Yardımcı Programlar'a gidin. Access API'lerine tıklayın. Sayfanın sağ üst köşesinde + (Ekle) simgesine tıklayarak yeni bir API anahtarı oluşturun. Bir diğer ad (anahtarınız için kolay bir ad) sağlayın ve Oluştur'a tıklayın. Oluşturulan API belirtecini kopyalayın ve güvenli bir şekilde depolayın.

ADIM 2 - Veri Bağlayıcısı'nı yapılandırma

Microsoft Sentinel dönün ve Cyble Vision Alerts veri bağlayıcısı yapılandırma sayfasını açın. Cyble API Belirtecinizi 'API Ayrıntıları' altındaki API Belirteci alanına yapıştırın.

  • API Belirteci: (API Belirtecinizi girin)
  • Sorgu Aralığı (dakika cinsinden): (Dakika cinsinden Süreyi Girin (örneğin, 10))
  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



Cyborg Güvenlik HUNTER Av Paketleri

Tarafından desteklenir:Cyborg Security

Cyborg Security, gelişmiş tehdit avcılığı çözümlerinin lider sağlayıcısıdır ve kuruluşların siber tehditleri proaktif olarak tespit edip yanıtlamaları için son teknoloji ve işbirliğine dayalı araçlarla güçlendirme misyonuna sahiptir. Cyborg Security'nin en önemli teklifi olan HUNTER Platformu, etkili tehdit avcılığı operasyonları için dinamik bir ekosistem oluşturmak için güçlü analizler, seçilmiş tehdit avcılığı içeriği ve kapsamlı av yönetimi özelliklerini bir araya getirir.

Cyborg Güvenliği Topluluğu'na erişim elde etmek için adımları izleyin ve HUNTER Platformu'nda 'Araçta Aç' özelliklerini ayarlayın.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
SecurityEvent Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Kurulum Yönergeleri:

Not: Azure Belirsiz Kimliğinizi bulmak için aşağıdaki bağlantıyı kullanın Azure Active Directory kiracı kimliğinizi bulma

  • ResourceGroupName & WorkspaceName: <yükleme zamanında sağlanan değişken değeri>
  • WorkspaceID: <Yükleme zamanında sağlanan değişken değeri>

1. Cyborg Security'nin HUNTER Topluluk Hesabına kaydolun

Cyborg Security, Community Memebers'a Yeni Ortaya Çıkan Tehdit Koleksiyonları ve av paketlerinin bir alt kümesine erişim sunar.

Cyborg Security'nin Av Paketlerine Erişmek için Ücretsiz Bir Commuinity Hesabı Oluşturun: Hemen Kaydolun!

2. Araçta Aç Özelliğini Yapılandırma

  1. HUNTER Platformunun Ortam bölümüne gidin.

  2. Microsoft Sentinel etiketli bölümde ortamınızın te Kök URI'sini doldurun. Kalın yazı tipindeki <öğeleri> Aboneliğinizin, Kaynak Gruplarınızın ve Çalışma Alanlarınızın Kimlikleri ve Adları ile değiştirin.

    https[]()://portal.azure.com#@**AzureTenantID**/blade/Microsoft_OperationsManagementSuite_Workspace/Logs.ReactView/resourceId/%2Fsubscriptions%2F**AzureSubscriptionID**%2Fresourcegroups%2F**ResourceGroupName**%2Fproviders%2Fmicrosoft.operationalinsights%2Fworkspaces%2F<**WorkspaceName**>/

  3. Kaydet'e tıklayın.

3. Microsoft Sentinel'de BIR HUNTER av pacakge yürütme

Microsoft Sentinel hızlı bir şekilde açmak ve avcılık içeriğini hazırlamak için Bir Cyborg Güvenlik AVCıSı av paketini belirleyin ve Aracı Aç düğmesini kullanın.



Cyera DSPM Microsoft Sentinel Veri Bağlayıcısı

Tarafından desteklenir:Cyera Inc

Cyera DSPM veri bağlayıcısı Cyera'nın DSPM kiracısına bağlanmanızı ve Sınıflandırmaları, Varlıkları, Sorunları ve Kimlik Kaynaklarını/Tanımlarını Microsoft Sentinel almanızı sağlar. Veri bağlayıcısı Microsoft Sentinel Codeless Connector Framework'te oluşturulmuş ve Cyera'nın API'sini kullanarak Cyera'nın DSPM Telemetrisini bir kez aldıktan sonra getirmek için özel sütunlar oluşturan güvenlik olaylarıyla ilişkilendirilebilir, böylece sorguların yeniden ayrıştırması gerekmez ve böylece daha iyi performans elde edilir.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
CyeraClassifications_CL Hayır Hayır
CyeraAssets_CL Hayır Hayır
CyeraAssets_MS_CL Hayır Hayır
CyeraIssues_CL Hayır Hayır
CyeraIdentities_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Kurulum Yönergeleri:

Cyera DSPM Kimlik Doğrulaması

Kişisel Erişim Belirteçleri aracılığıyla Cyera DSPM kiracınıza bağlanma

  • Cyera Kişisel Erişim Belirteci İstemci Kimliği: (client_id)
  • Cyera Kişisel Erişim Belirteci Gizli Anahtarı: (secret_key)
  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



CYFIRMA Saldırı Yüzeyi

Tarafından desteklenir:CYFIRMA

Yok

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
CyfirmaASCertificatesAlerts_CL Evet Evet
CyfirmaASConfigurationAlerts_CL Evet Evet
CyfirmaASDomainIPReputationAlerts_CL Evet Evet
CyfirmaASOpenPortsAlerts_CL Evet Evet
CyfirmaASCloudWeaknessAlerts_CL Evet Evet
CyfirmaASDomainIPVulnerabilityAlerts_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Kurulum Yönergeleri:

CYFIRMA Saldırı Yüzeyi

Uyarıları Microsoft Sentinel almak için CYFIRMA Saldırı Yüzeyi'ne bağlanın. Bu bağlayıcı günlükleri almak için DeCYFIR/DeTCT API'sini kullanır ve DCR tabanlı alım süresi dönüştürmelerini destekler ve veri alımı sırasında güvenlik verilerini özel tablolara ayrıştırmaktadır. Bu, sorgu zamanı ayrıştırma gereksinimini ortadan kaldırarak performansı ve verimliliği artırır.

  • CYFIRMA API URL'si: (https://decyfir.cyfirma.com)
  • CYFIRMA API Anahtarı: (CYFIRMA API Anahtarı)
  • API Delta: (API Delta)
  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



CYFIRMA Marka Zekası

Tarafından desteklenir:CYFIRMA

Yok

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
CyfirmaBIDomainITAssetAlerts_CL Evet Evet
CyfirmaBIExecutivePeopleAlerts_CL Evet Evet
CyfirmaBIProductSolutionAlerts_CL Evet Evet
CyfirmaBISocialHandlersAlerts_CL Evet Evet
CyfirmaBIMaliciousMobileAppsAlerts_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Kurulum Yönergeleri:

CYFIRMA Marka Zekası

Uyarı verilerini Microsoft Sentinel almak için CYFIRMA Marka Zekasına bağlanın. Bu bağlayıcı günlükleri almak için DeCYFIR/DeTCT Uyarıları API'sini kullanır ve DCR tabanlı alım süresi dönüştürmelerini destekler ve veri alımı sırasında güvenlik verilerini özel tablolara ayırır. Bu, sorgu zamanı ayrıştırma gereksinimini ortadan kaldırarak performansı ve verimliliği artırır.

  • CYFIRMA API URL'si: (https://decyfir.cyfirma.com)
  • CYFIRMA API Anahtarı: (CYFIRMA API Anahtarı)
  • API Delta: (API Delta)
  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



CYFIRMA Güvenliği Aşılmış Hesaplar

Tarafından desteklenir:CYFIRMA

CYFIRMA Güvenliği Aşılmış Hesaplar veri bağlayıcısı, DeCYFIR/DeTCT API'sinden Microsoft Sentinel'a sorunsuz günlük alımı sağlar. Microsoft Sentinel Kodsuz Bağlayıcı Çerçevesi'ni kullanarak günlükleri almak için DeCYFIR/DeTCT API'sini kullanır. Buna ek olarak, veri alımı sırasında güvenlik verilerini özel bir tabloya ayrıştıran DCR tabanlı alım süresi dönüştürmelerini destekler. Bu, sorgu zamanı ayrıştırma gereksinimini ortadan kaldırarak performansı ve verimliliği artırır.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
CyfirmaCompromisedAccounts_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Kurulum Yönergeleri:

CYFIRMA Güvenliği Aşılmış Hesaplar

CYFIRMA Güvenliği Aşılmış Hesaplar Veri Bağlayıcısı, DeCYFIR/DeTCT API'sinden Microsoft Sentinel sorunsuz günlük alımı sağlar. Microsoft Sentinel Kodsuz Bağlayıcı Çerçevesi'ni kullanarak günlükleri almak için DeCYFIR/DeTCT API'sini kullanır. Buna ek olarak, veri alımı sırasında güvenlik verilerini özel bir tabloya ayrıştıran DCR tabanlı alım süresi dönüştürmelerini destekler. Bu, sorgu zamanı ayrıştırma gereksinimini ortadan kaldırarak performansı ve verimliliği artırır.

  • CYFIRMA API URL'si: (https://decyfir.cyfirma.com)
  • CYFIRMA API Anahtarı: (CYFIRMA API Anahtarı)
  • API Delta: (API Delta)
  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



CYFIRMA Siber Zeka

Tarafından desteklenir:CYFIRMA

CYFIRMA Siber Zeka veri bağlayıcısı, DeCYFIR API'sinden Microsoft Sentinel sorunsuz günlük alımı sağlar. Microsoft Sentinel Kodsuz Bağlayıcı Çerçevesi'ni kullanarak günlükleri almak için DeCYFIR Uyarıları API'sini kullanır. Buna ek olarak, veri alımı sırasında güvenlik verilerini özel bir tabloya ayrıştıran DCR tabanlı alım süresi dönüştürmelerini destekler. Bu, sorgu zamanı ayrıştırma gereksinimini ortadan kaldırarak performansı ve verimliliği artırır.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
CyfirmaIndicators_CL Evet Evet
CyfirmaThreatActors_CL Evet Evet
CyfirmaCampaigns_CL Evet Evet
CyfirmaMalware_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Kurulum Yönergeleri:

CYFIRMA Siber Zeka

Bu bağlayıcı CYFIRMA Siber Zeka'dan Göstergeler, Tehdit aktörleri, Kötü Amaçlı Yazılım ve Kampanyalar günlüklerini sağlar. Bağlayıcı, günlükleri almak için DeCYFIR API'sini kullanır ve DCR tabanlı alım süresi dönüştürmelerini destekler ve veri alımı sırasında güvenlik verilerini özel bir tabloya ayrıştırmaktadır. Bu, sorgu zamanı ayrıştırma gereksinimini ortadan kaldırarak performansı ve verimliliği artırır.

  • CYFIRMA API URL'si: (https://decyfir.cyfirma.com)
  • CYFIRMA API Anahtarı: (CYFIRMA API Anahtarı)
  • Tüm IoC'leri veya Uyarlanmış IoC'leri çekin: (Tüm IoC'ler veya Uyarlanmış IoC'ler)
  • API Delta: (API Delta)
  • Önerilen Eylemler: (Önerilen Eylem herhangi biri olabilir:Tümü/İzleyici/Blok)
  • İlişkili Tehdit Aktörü: (IoC'lerle İlişkili Herhangi Bir Tehdit Aktörü var mı)
  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



CYFIRMA Dijital Risk

Tarafından desteklenir:CYFIRMA

CYFIRMA Dijital Risk Uyarıları veri bağlayıcısı, DeCYFIR/DeTCT API'sinden Microsoft Sentinel sorunsuz günlük alımı sağlar. Microsoft Sentinel Kodsuz Bağlayıcı Çerçevesi'ni kullanarak günlükleri almak için DeCYFIR Uyarıları API'sini kullanır. Buna ek olarak, veri alımı sırasında güvenlik verilerini özel bir tabloya ayrıştıran DCR tabanlı alım süresi dönüştürmelerini destekler. Bu, sorgu zamanı ayrıştırma gereksinimini ortadan kaldırarak performansı ve verimliliği artırır.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
CyfirmaDBWMPhishingAlerts_CL Evet Evet
CyfirmaDBWMRansomwareAlerts_CL Evet Evet
CyfirmaDBWMDarkWebAlerts_CL Evet Evet
CyfirmaSPESourceCodeAlerts_CL Evet Evet
CyfirmaSPEConfidentialFilesAlerts_CL Evet Evet
CyfirmaSPEPIIAndCIIAlerts_CL Evet Evet
CyfirmaSPESocialThreatAlerts_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Kurulum Yönergeleri:

CYFIRMA Dijital Risk

Günlükleri Microsoft Sentinel almak için CYFIRMA Dijital Risk Uyarılarına bağlanın. Bu bağlayıcı uyarıları almak için DeCYFIR/DeTCT API'sini kullanır ve etkin günlük ayrıştırma için DCR tabanlı alım süresi dönüşümlerini destekler.

  • CYFIRMA API URL'si: (https://decyfir.cyfirma.com)
  • CYFIRMA API Anahtarı: (CYFIRMA API Anahtarı)
  • API Delta: (API Delta)
  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



CYFIRMA Güvenlik Açıkları Zekası

Tarafından desteklenir:CYFIRMA

CYFIRMA Güvenlik Açıkları Yönetim Bilgileri veri bağlayıcısı, DeCYFIR API'sinden Microsoft Sentinel sorunsuz günlük alımına olanak tanır. Microsoft Sentinel Kodsuz Bağlayıcı Çerçevesi'ni kullanarak günlükleri almak için CYFIRMA API'lerinden yararlanır. Buna ek olarak, veri alımı sırasında güvenlik verilerini özel bir tabloya ayrıştıran DCR tabanlı alım süresi dönüştürmelerini destekler. Bu, sorgu zamanı ayrıştırma gereksinimini ortadan kaldırarak performansı ve verimliliği artırır.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
CyfirmaVulnerabilities_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Kurulum Yönergeleri:

CYFIRMA Güvenlik Açıkları Zekası

Bu bağlayıcı, CYFIRMA Güvenlik Açıkları Zekasından Güvenlik Açıkları günlüklerini sağlar. Bağlayıcı, günlükleri almak için DeCYFIR API'sini kullanır ve DCR tabanlı alım süresi dönüştürmelerini destekler ve veri alımı sırasında güvenlik verilerini özel bir tabloya ayrıştırmaktadır. Bu, sorgu zamanı ayrıştırma gereksinimini ortadan kaldırarak performansı ve verimliliği artırır.

  • CYFIRMA API URL'si: (https://decyfir.cyfirma.com)
  • CYFIRMA API Anahtarı: (CYFIRMA API Anahtarı)
  • API Delta: (API Delta)
  • Satıcıyla İlişkili Güvenlik Açıkları:
  • Ürünle İlgili Güvenlik Açıkları:
  • Version-Associated Güvenlik Açıkları Olan Ürün:
  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



Cyjax Threat Intelligence IOC Connector (Azure İşlevleri kullanmak)

Desteklenen:Cyjax

Cyjax Threat Intelligence IOC veri bağlayıcısı, Cyjax API v2'den Compromise Indicators (IOC) cihazlarını Microsoft Sentinel'e STIX 2.1 Tehdit İstihbaratı göstergeleri olarak aktarma yeteneği sağlar. Bağlayıcı, IP'ler, alan adları, URL'ler, dosya hash'leri, e-postalar ve ana isimleri gibi IOC'ları alır, bunları GeoIP, ASN ve gözlem verileriyle zenginleştirir ve Upload Indicator API aracılığıyla Microsoft Sentinel Threat Intelligence platformuna yükler.

Bağlayıcı aşağıdakileri destekler:

  • Otomatik IOC toplama ve yapılandırılabilir takvim
  • IOC zenginleştirmesi GeoIP, ASN ve nişan alma verileriyle
  • TLP işaretleriyle STIX 2.1 gösterge eşlemesi
  • Kontrol noktası yönetimiyle kademeli getirme

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
ThreatIntelIndicators Evet Hayır

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Azure Abonelik: Azure Bir uygulamayı Microsoft Entra ID kaydetmek ve kaynak grubundaki uygulamaya katkıda bulunan rolü atamak için sahip rolüne sahip abonelik gereklidir.
  • Microsoft.Web/sites izinleri: İşlev Uygulaması oluşturmak için Azure İşlevleri okuma ve yazma izinleri gereklidir. Daha fazla bilgi için bkz. Azure İşlevleri.
  • Cyjax API Kimlik Bilgileri: Bir Cyjax API v2 erişim tokenı (Taşıyıcı Token) gereklidir. API kimlik bilgilerini almak için Cyjax ile iletişime geçin.

Kurulum Yönergeleri:

Kaynak Grubu

Kullanacağınız abonelikle oluşturulmuş bir kaynak grubuna sahip olmanız gerekir.

Fonksiyonlar Uygulaması

Bu bağlantıyı kullanmak için Azure Uygulaması'in kayıtlı olması gerekir:

  1. Uygulama (İstemci) Kimliği
  2. Kiracı Kimliği
  3. İstemci Gizli Anahtarı

NOT: Bu bağlayıcı, Azure İşlevleri'ı kullanarak Cyjax API v2'ye bağlanarak IOC göstergelerini Microsoft Sentinel'e çeker. Bu, ek veri alımı maliyetlerine neden olabilir. Ayrıntılar için Azure İşlevleri fiyatlandırma sayfasına bakın.

ADIM 1 - Microsoft Entra ID'da Uygulama için Uygulama Kaydı adımları

Bu tümleştirme için Azure portal bir Uygulama kaydı gerekir. Microsoft Entra ID'da yeni uygulama oluşturmak için bu bölümdeki adımları izleyin:

  1. Azure portalda oturum açın.
  2. Microsoft Entra ID arayın ve seçin.
  3. Yönet'in altında Yeni kayıt'ı Uygulama kayıtları > seçin.
  4. Uygulamanız için bir görünen Ad girin.
  5. İlk uygulama kaydını tamamlamak için Kaydet'i seçin.
  6. Kayıt tamamlandığında, Azure portal uygulama kaydının Genel Bakış bölmesini görüntüler. Uygulama (istemci) kimliğini ve Kiracı Kimliğini görürsünüz. İstemci Kimliği ve Kiracı Kimliği, Cyjax IOC Veri Bağlayıcısının yürütülmesi için yapılandırma parametreleri olarak gereklidir.

Başvuru bağlantısı:/azure/active-directory/develop/quickstart-register-app

ADIM 2 - Microsoft Entra ID'de uygulama için istemci gizli dizisi ekleme

Bazen uygulama şifresi olarak adlandırılan istemci sırrı, Cyjax IOC Veri Bağlayıcısının çalıştırılması için gereken bir dizi değeridir. Yeni bir İstemci Gizli Anahtarı oluşturmak için bu bölümdeki adımları izleyin:

  1. Azure portal, Uygulama kayıtları uygulamanızı seçin.
  2. Sertifikalar & gizli diziler > İstemci gizli dizileri Yeni istemci gizli dizisi'ni >seçin.
  3. Gizli anahtarınız için bir açıklama ekleyin.
  4. Gizli dizi için bir süre sonu seçin veya özel bir yaşam süresi belirtin. Sınır 24 aydır.
  5. Ekle'yi seçin.
  6. Gizli anahtarın değerini istemci uygulama kodunuzda kullanmak üzere kaydedin. Bu gizli dizi değeri, siz bu sayfadan ayrıldıktan sonra bir daha görüntülenmez. Gizli değer, Cyjax IOC Veri Bağlantısının yürütülmesi için yapılandırma parametresi olarak gereklidir.

Başvuru bağlantısı:/azure/active-directory/develop/quickstart-register-app#add-a-client-secret

ADIM 3 - Microsoft Sentinel katkıcı rolünü atama

Microsoft Sentinel katkıcı rolünü App Registration ile ata, böylece tehdit istihbaratı göstergelerini yükleyebilsin:

  1. Microsoft Sentinel örneğinizle ilişkili Log Analytics çalışma alanına gidin.
  2. Soldaki menüden Erişim denetimi (IAM) öğesini seçin.
  3. Ekle > Rol atamasını ekle tuşuna tıklayın.
  4. Microsoft Sentinel Katkı Sağlayıcısı diye arayın ve seçin.
  5. Üyeler bölümünden Kullanıcı, grup veya hizmet yöneticisi seçeneğini seçin ve Uygulama Kayıt adınızı arayın.
  6. Uygulamayı seçin ve İncele + Ata'ya tıklayın.

ADIM 4 - Cyjax API kimlik bilgilerini edinin

API v2 erişim tokenınızı (Bearer Token) almak için Cyjax ile iletişime geçin. Bu token, Cyjax IOC ve zenginleştirme uç noktalarına gelen talepleri doğrulamak için kullanılır.

ADIM 5 - Cyjax IOC Bağlayıcısını Dağıtın

ÖNEMLI: Cyjax IOC bağlayıcısını dağıtmadan önce, Cyjax API erişim tokenı, Azure Uygulaması Kayıt kimlik bilgileri (İstemci ID, İstemci Gizli, Kiracı ID) ve Çalışma Alanı ID'si hazır bulundurun.

  • Çalışma Alanı Kimliği: <Yükleme zamanında sağlanan değişken değeri>

Seçenek 1 - Azure Resource Manager (ARM) Şablonu

Bu yöntemi Cyjax IOC Veri Bağlayıcısının otomatik dağıtımı için kullanın.

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.msaka.ms

  2. Tercih edilen Abonelik, Kaynak Grubu ve Bölge'yi seçin.

  3. Aşağıdaki bilgileri girin:

    a. FunctionName - Benzersiz bir Function App adı girin (maksimum 11 karakter)

    b. Konum - Veri toplama kuralları ve uç noktaların dağıtımı için konum

    c. WorkspaceID - Log Analytics Workspace ID'sini girin

    d. AzureClientID - Uygulama Kaydınızdan Azure Client ID'sini girin

    e. AzureClientSecret - Uygulama Kayıtınızdan Azure Client Secret'ı girin

    f. AzureTenantID - Enter Azure Tenant ID

    G. CyjaxBaseURL - Cyjax API v2 Temel URL'yi girin (varsayılan: https://api.cymon.co/v2)

    H. CyjaxAccessToken - Cyjax API Taşıyıcı Belirteonu Girin

    i. LookbackDays - İlk çalışmada geriye bakmak için gün sayısı (varsayılan: 1)

    J. EnableEnrichment - IOC'ları GeoIP, ASN ve gözlem verileriyle zenginleştirmek için doğru ayarlanmış. Zenginleştirmeyi atlamak ve API çağrılarını ile yürütme süresini azaltmak için false (default: true) ayarlandı

    Kahraman. IOCQuery - Cyjax API'sinden IOC'ları filtrelemek için isteğe bağlı serbest metin arama sorgusu (örneğin anahtar kelime, tehdit aktör veya kampanya adı). Tüm mevcut IOC'ları getirmek için boş bırakın

    L. IndicatorType - IOC'ları türüne göre filtreleyin. Virgülle ayrılmış değerleri girin (örneğin, URL,Domain,IPv4). Desteklenen türler: URL, Alan Alanı, IPv4, IPv6, Hostname, E-posta, FileHash-SHA1, FileHash-SHA256, FileHash-MD5, FileHash-SSDEEP. Tüm türleri getirmek için boş bırakın

    M. Program - Geçerli bir Quartz Cron-Expression girin (varsayılan: her 10 dakikada bir)

    n. LogLevel - Log seviyesini ayarlayın (varsayılan: Bilgi)

    o. AppInsightsWorkspaceResourceID - Application Insights Workspace Resource ID'sini girin

  4. Yukarıda belirtilen hüküm ve koşulları kabul ediyorum etiketli onay kutusunu işaretleyin.

  5. Dağıtmak için Satın Al'a tıklayın.

Seçenek 2 - Azure İşlevleri El ile Dağıtımı

Cyjax IOC veri bağlayıcısını Azure İşlevleri (Deployment via Visual Studio Code) ile manuel olarak dağıtmak için aşağıdaki adım adım talimatları kullanın.

  1. İşlev Uygulaması Dağıtma

NOT: VS kodunu Azure işlev geliştirme için hazırlamanız gerekir.

  1. Azure İşlev Uygulaması dosyasını indirin. Arşivi yerel geliştirme bilgisayarınıza ayıklayın.

  2. VS Code'ı başlatın. Ana menüde Dosya'yı ve ardından Klasörü Aç'ı seçin.

  3. Ayıklanan dosyalardan en üst düzey klasörü seçin.

  4. Etkinlik çubuğunda Azure simgesini seçin, ardından Azure: İşlevler alanında İşlev uygulamasına dağıt düğmesini seçin. Henüz oturum açmadıysanız, Etkinlik çubuğunda Azure simgesini seçin, ardından Azure: İşlevler alanında Oturum aç'ı seçerek Azure Oturum açtıysanız sonraki adıma geçin.

  5. İstemlerde aşağıdaki bilgileri sağlayın:

    a. Klasör seçin: Çalışma alanınızdan bir klasör seçin veya işlev uygulamanızı içeren klasöre göz atın.

    b. Abonelik'i seçin: Kullanılacak aboneliği seçin.

    c. Azure'de yeni İşlev Uygulaması oluştur'u seçin (Gelişmiş seçeneğini belirleme)

    d. İşlev uygulaması için genel olarak benzersiz bir ad girin: URL yolunda geçerli bir ad yazın. Yazdığınız ad, Azure İşlevleri benzersiz olduğundan emin olmak için doğrulanır. (örneğin CYJAXXXXXX).

    e. Bir çalışma süresi seçin: Python 3.12'yi seç

    f. Yeni kaynaklar için bir konum seçin. Daha iyi performans ve düşük maliyetler için Microsoft Sentinel bulunduğu bölgeyi seçin.

  6. Dağıtım başlar. İşlev uygulamanız oluşturulduktan ve dağıtım paketi uygulandıktan sonra bir bildirim görüntülenir.

  7. İşlev Uygulaması yapılandırması için Azure portalı'na gidin.

  8. İşlev Uygulamasını Yapılandırma

  9. İşlev Uygulamasında İşlev Uygulaması Adı'nı ve ardından Yapılandırma'yı seçin.

  10. Uygulama ayarları sekmesinde + Yeni uygulama ayarı'nı seçin.

  11. Aşağıdaki uygulama ayarlarının her birini ayrı ayrı ve ilgili değerleri (küçük harflere duyarlı) ekleyin:

    • WorkspaceID - Log Analytics Çalışma Alanı Kimliğiniz

    • AzureClientID - Uygulama Kayıtınızdan Azure Client ID

    • AzureClientSecret - Azure Client Secret, Uygulama Kayıtınızdan

    • AzureTenantID - Your Azure Tenant ID

    • CyjaxBaseURL - Cyjax API v2 Temel URL (varsayılan: https://api.cymon.co/v2)

    • CyjaxAccessToken - Cyjax API Taşıyıcı Token'ınız

    • LookbackDays - İlk çalışmada geriye bakmak için gün sayısı (varsayılan: 1)

    • EnableEnrichment - IOC'ları GeoIP, ASN ve gözlem verileriyle zenginleştirmek için doğru ayarlanmış. Zenginleştirmeyi atlamak ve API çağrılarını ile yürütme süresini azaltmak için false (default: true) ayarlandı

    • IOCQuery - Cyjax API'sinden IOC'ları filtrelemek için isteğe bağlı serbest metin arama sorgusu (örneğin anahtar kelime, tehdit aktör veya kampanya adı). Tüm mevcut IOC'ları getirmek için boş bırakın (isteğe bağlı)

    • IndicatorType - IOC'ları türüne göre filtreleyin. Virgülle ayrılmış değerleri girin (örneğin, URL,Domain,IPv4). Desteklenen türler: URL, Alan Alanı, IPv4, IPv6, Hostname, E-posta, FileHash-SHA1, FileHash-SHA256, FileHash-MD5, FileHash-SSDEEP. Tüm türleri getirmek için boş bırakın (isteğe bağlı)

    • Program - Quartz Cron-Expression (varsayılan: her 10 dakikada bir)

    • LogLevel - Log seviyesi (varsayılan: Bilgi)

    • AppInsightsWorkspaceResourceID - Application Insights Workspace Resource ID (isteğe bağlı)

    • logAnalyticsUri (isteğe bağlı) - logAnalyticsUri kullanarak dedicated cloud için log analytics API uç noktasını geçersiz kılın. Örneğin, genel bulut için değeri boş bırakın; Azure GovUS bulut ortamı için değeri şu biçimde belirtin: https://<CustomerId>.ods.opinsights.azure.us.

  12. Tüm uygulama ayarları girildikten sonra Kaydet'e tıklayın.



Cynerio Güvenlik Olayları

Tarafından desteklenir:Cynerio

Cynerio bağlayıcısı, IDS Olaylarını görüntülemek için Cynerio Güvenlik Olaylarınızı Microsoft Sentinel ile kolayca bağlamanızı sağlar. Bu, kuruluşunuzun ağ güvenliği duruşu hakkında daha fazla içgörü sağlar ve güvenlik işlemi özelliklerinizi geliştirir.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
CynerioEvent_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Kurulum Yönergeleri:

Cynerio'yu yapılandırma ve bağlama

Cynerio, olayları Azure Server aracılığıyla doğrudan Microsoft Sentinel ile tümleştirebilir ve dışarı aktarabilir. Tümleştirmeyi oluşturmak için şu adımları izleyin:

  1. Cynerio konsolunda Ayarlar > Tümleştirmeler sekmesine (varsayılan) gidin ve sağ üstteki +Tümleştirme Ekle düğmesine tıklayın.

  2. Ekranı aşağı kaydırarak SIEM bölümüne gelin.

  3. Microsoft Sentinel kartında Bağlan düğmesine tıklayın.

  4. Tümleştirme Ayrıntıları penceresi açılır. Formu doldurmak ve bağlantıyı ayarlamak için aşağıdaki parametreleri kullanın.

  • Çalışma Alanı Kimliği: <Yükleme zamanında sağlanan değişken değeri>
  • Birincil Anahtar: <Yükleme zamanında sağlanan değişken değeri>



Cyren Tehdit Analizi

Tarafından desteklenir:Data443 Risk Azaltma, Inc.

Common Connector Framework (CCF) kullanarak Cyren'den IP itibarını ve kötü amaçlı yazılım URL göstergelerini alın.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
Cyren_Indicators_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • Cyren JWT Belirteçleri: Azure Key Vault depolanan veya dağıtım zamanında sağlanan JWT belirteçleri.

Kurulum Yönergeleri:

Cyren Threat Intelligence'ı bağlama

Cyren Threat Intelligence bağlayıcısını etkinleştirmek için aşağıdaki JWT belirteçlerinizi sağlayın ve Bağlan'a tıklayın.

Not: Aboneliğinize bağlı olarak akışı veya ikisini birden kullanabilirsiniz. Satın almadığınız herhangi bir akış için belirteç alanını boş bırakın; yalnızca sağlanan belirteçler için bağlayıcılar dağıtılır.

Gelişmiş güvenlik için JWT belirteçlerini depolamak ve almak için Key Vault tümleştirmesini etkinleştirebilirsiniz.

  • IP Saygınlığı JWT Belirteci (İsteğe Bağlı): (Satın alınmadıysa boş bırakın)
  • Kötü Amaçlı Yazılım URL'si JWT Belirteci (İsteğe Bağlı): (Satın alınmadıysa boş bırakın)
  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



D3 Akıllı SOAR Olayları

Tarafından desteklenir:D3 Güvenlik

D3 Akıllı SOAR veri bağlayıcısı, D3 kodsuz REST API komut uç noktasını kullanarak olayları D3 Akıllı SOAR'dan Microsoft Sentinel çeker.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
D3SOARIncidents_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Kurulum Yönergeleri:

D3 Akıllı SOAR'ı Microsoft Sentinel'a bağlama

Ön koşul: D3 Akıllı SOAR'da Kuruluş Yönetimi → Siteleri'ne gidin, bağlandığınız siteyi seçin ve Saat Dilimini (UTC+00:00) Eşgüdümlü Evrensel Saat olarak ayarlayın. Bu, olay zaman damgalarının Microsoft Sentinel doğru şekilde hizalanmasını sağlar.

D3 Smart SOAR bağlantı ayrıntılarınızı aşağıya girin. Olaylar 5 dakikada bir yoklanır ve D3SOARIncidents_CL tablosuna yazılır. Sunucu URL'si — Site yoluna kadar ve dahil olmak üzere D3 Akıllı SOAR dağıtımınızın temel URL'si. API yolunu eklemeyin. Kullanıcı adı — D3 Akıllı SOAR hesabınızın kullanıcı adı (portal oturum açma bilgilerinizle aynı). Site — Hesabınızın ait olduğu D3 Akıllı SOAR site adı (ör. Security Operations). D3 JWT — API kimlik doğrulaması için D3 Akıllı SOAR tarafından verilen bir JSON Web Belirteci.

  • Sunucu URL'si: (https://poc.bemimo.com/ce_site/VSOC)
  • Kullanıcı adı: (yönetici)
  • Site: (Güvenlik İşlemleri)
  • D3 JWT: (ey...)
  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



Darktrace ActiveAI Güvenlik Platformu Bağlantısı

Tarafından desteklenir:Darktrace

Darktrace ActiveAI Security Platform Connector bağlantısı, Microsoft Sentinel'de Darktrace'ten ham olay verilerini okuma yeteneği sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
DarktraceASM_CL Evet Evet
DarktraceEMAIL_CL Evet Evet
DarktraceIncidents_CL Evet Evet
DarktraceModelAlerts_CL Evet Evet
DarktraceResponseActions_CL Evet Evet
DarktraceSystemStatusAlerts_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Microsoft Entra: Microsoft Entra ID'da uygulama kaydı oluşturma izni. Genellikle Entra Kimliği Uygulama Geliştirici rolü veya üzeri gerekir.
  • Microsoft Azure: Veri toplama kuralında (DCR) İzleme Ölçümleri Yayımcısı rolü atama izni. Genellikle Azure RBAC Sahibi veya Kullanıcı Erişimi Yöneticisi rolü gerektirir

Kurulum Yönergeleri:

1. ARM Kaynakları Oluşturma ve Gerekli İzinleri Sağlama

Bu bağlayıcı, Darktrace'in Microsoft Analytics Çalışma Alanında kullandığı tablolardan verileri okur; eğer Microsoft Sentinel Log Ingestion yapılandırması Darktrace'de etkinleştirilmişse, ham olay verileri Microsoft Sentinel Ingestion API'sine gönderilir.

Entra Uygulaması ile Otomatik Yapılandırma ve Güvenli Veri Alımı "Dağıt" seçeneğine tıklanması Log Analytics tablolarının ve veri toplama kuralının (DCR) oluşturulmasını tetikler. Ardından bir Entra uygulaması oluşturur, DCR'yi buna bağlar ve uygulamaya girilen gizli diziyi ayarlar. Bu kurulum, verilerin Entra belirteci kullanılarak DCR'ye güvenli bir şekilde gönderilmesini sağlar.

2. Günlüklerinizi çalışma alanına gönderme

Makinenizi günlükleri çalışma alanına gönderecek şekilde yapılandırmak için aşağıdaki parametreleri kullanın.

  • Kiracı Kimliği (Dizin Kimliği): <Yükleme zamanında sağlanan değişken değeri>
  • Entra Uygulama Kaydı Uygulama Kimliği: <yükleme zamanında sağlanan değişken değeri>
  • Entra Uygulama Kaydı Gizli Anahtarı: <yükleme zamanında sağlanan değişken değeri>
  • Veri Toplama Uç Noktası Uri'si: <yükleme zamanında sağlanan değişken değeri>
  • Veri Toplama Kuralı Sabit Kimliği: <yükleme zamanında sağlanan değişken değer>
  • Attack Surface Management Stream Adı: <kurulum zamanında sağlanan değişken değer>
  • EMAIL Akışı Adı: <kurulum zamanında sağlanan değişken değer>
  • AI Analisti Olay Akışı Adı: <kurulum zamanında sağlanan değişken değer>
  • Model Uyarıları Akış Adı: <kurulum zamanında sağlanan değişken değer>
  • Otonom Yanıt Akışı Adı: <kurulum zamanında sağlanan değişken değer>
  • Sistem Durumu Uyarıları Akış Adı: <kurulum sırasında sağlanan değişken değer>



DataBahn

Tarafından desteklenir:Databahn

DataBahn bağlayıcısı, Codeless Connector Framework (CCF) Anında İletme desenini kullanarak DataBahn ortamınızdan gerçek zamanlı platform telemetrisini doğrudan Microsoft Sentinel gönderme özelliği sağlar. Bu bağlayıcı denetim günlüklerini, işletimsel uyarıları ve cihaz envanterlerini analiz, uyarı ve görselleştirme için özel Log Analytics tablolarına alır.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
databahn_audit_logs_CL Hayır Hayır
databahn_alerts_CL Hayır Hayır
databahn_device_inventory_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • Microsoft Entra: Microsoft Entra ID'da uygulama kaydı oluşturma izni. Genellikle Entra Kimliği Uygulama Geliştirici rolü veya üzeri gerekir.
  • Microsoft Azure: Veri toplama kuralında (DCR) İzleme Ölçümleri Yayımcısı rolü atama izni. Genellikle Azure RBAC Sahibi veya Kullanıcı Erişimi Yöneticisi rolü gerektirir.

Kurulum Yönergeleri:

1. ARM Kaynakları Oluşturma ve Gerekli İzinleri Sağlama

Bu bağlayıcı DataBahn platformunuzun denetim günlüklerini, uyarılarını ve cihaz envanterini Azure İzleme Alımı API'sini kullanarak doğrudan Microsoft Sentinel göndermesini sağlar.

Entra Uygulaması ile Otomatik Yapılandırma ve Güvenli Veri Alımı "Dağıt" seçeneğine tıklanması Log Analytics tablolarının ve veri toplama kuralının (DCR) oluşturulmasını tetikler. Ardından bir Entra uygulaması oluşturur, DCR'yi buna bağlar ve uygulamaya girilen gizli diziyi ayarlar. Bu kurulum, verilerin Entra belirteci kullanılarak DCR'ye güvenli bir şekilde gönderilmesini sağlar.

2. Verilerinizi YapılandırmaBahn Platformu

DataBahn Highway hedefinizi çalışma alanına veri göndermek üzere yapılandırmak için aşağıdaki parametreleri kullanın.

  • Kiracı Kimliği (Dizin Kimliği): <Yükleme zamanında sağlanan değişken değeri>
  • Entra Uygulama Kaydı Uygulama Kimliği: <yükleme zamanında sağlanan değişken değeri>
  • Entra Uygulama Kaydı Gizli Anahtarı: <yükleme zamanında sağlanan değişken değeri>
  • Veri Toplama Uç Noktası Uri'si: <yükleme zamanında sağlanan değişken değeri>
  • Veri Toplama Kuralı Sabit Kimliği: <yükleme zamanında sağlanan değişken değer>
  • Denetim Günlükleri Stream Adı: <yükleme zamanında sağlanan değişken değeri>
  • Uyarılar Stream Adı: <yükleme zamanında sağlanan değişken değeri>
  • Cihaz Envanteri Stream Adı: <yükleme zamanında sağlanan değişken değeri>



Datalake2Sentinel

Tarafından desteklenir:Orange Cyberdefense

Bu çözüm, Codeless Connector Framework kullanılarak oluşturulan Datalake2Sentinel bağlayıcısını yükler ve Datalake Orange Cyberdefense'in CTI platformundaki tehdit bilgileri göstergelerini Karşıya Yükleme Göstergeleri REST API'si aracılığıyla otomatik olarak Microsoft Sentinel almanızı sağlar. Çözümü yükledikten sonra Çözüm yönetme görünümündeki yönergeleri izleyerek bu veri bağlayıcısını yapılandırın ve etkinleştirin.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
ThreatIntelligenceIndicator Evet Hayır

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Kurulum Yönergeleri:

Yükleme ve kurulum yönergeleri

Datalake'i Microsoft Sentinel bağlayıcısına yüklemek ve yapılandırmak için bu Github deposundaki belgeleri kullanın.

https://github.com/cert-orangecyberdefense/datalake2sentinel



Dataminr Pulse Uyarıları Veri Bağlayıcısı (Azure İşlevleri kullanarak)

Tarafından desteklenir:Dataminr Desteği

Dataminr Pulse Uyarıları Veri Bağlayıcısı, daha hızlı tehdit algılama ve yanıt için yapay zeka destekli gerçek zamanlı zekamızı Microsoft Sentinel getirir.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
DataminrPulse_Alerts_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • Azure Abonelik: Azure Bir uygulamayı Microsoft Entra ID kaydetmek ve kaynak grubundaki uygulamaya katkıda bulunan rolü atamak için sahip rolüne sahip abonelik gereklidir.
  • Microsoft.Web/sites izinleri: İşlev Uygulaması oluşturmak için Azure İşlevleri okuma ve yazma izinleri gereklidir. Daha fazla bilgi için bkz. Azure İşlevleri.
  • Gerekli Dataminr Kimlik Bilgileri/izinleri:

a. Kullanıcıların bu veri bağlayıcısını kullanabilmesi için geçerli bir Dataminr Pulse API istemci kimliğine ve gizli dizisine sahip olması gerekir.

b. Dataminr Pulse web sitesinde bir veya daha fazla Dataminr Pulse İzleme Listesi yapılandırılmalıdır.

Kurulum Yönergeleri:

NOT: Bu bağlayıcı, dataminr RTAP aracılığıyla günlüklerin gönderildiği DataminrPulse'a bağlanmak için Azure İşlevleri kullanır ve günlükleri Microsoft Sentinel alır. Ayrıca bağlayıcı, özel günlükler tablosundan alınan verileri getirir ve Tehdit Bilgileri Göstergelerini Microsoft Sentinel Tehdit Bilgileri'ne oluşturur. Bu, ek veri alımı maliyetlerine neden olabilir. Ayrıntılar için Azure İşlevleri fiyatlandırma sayfasına bakın.

(İsteğe Bağlı Adım) Çalışma alanını ve API yetkilendirme anahtarlarını veya belirteçlerini Azure Key Vault güvenli bir şekilde depolayın. Azure Key Vault, anahtar değerlerini depolamak ve almak için güvenli bir mekanizma sağlar. Azure İşlev Uygulaması ile Azure Key Vault kullanmak için bu yönergeleri izleyin.

ADIM 1- Dataminr Pulse İstemci Kimliği ve İstemci Gizli Anahtarı kimlik bilgileri

  • Dataminr Customer Success Manager'ınızdan (CSM) Dataminr Pulse kullanıcı kimliği/parolası ve API istemci kimliği/gizli anahtarı alın.

ADIM 2- Dataminr Pulse portalında İzleme Listelerini yapılandırın.

Portalda izleme listelerini yapılandırmak için bu bölümdeki adımları izleyin:

  1. Dataminr Pulse web sitesindeoturum açın.

  2. Ayarlar dişli simgesine tıklayın ve Listeleri Yönet'i seçin.

  3. Oluşturmak istediğiniz İzleme Listesi türünü (Siber, Konu, Şirket vb.) seçin ve Yeni Liste düğmesine tıklayın.

  4. Yeni İzleme Listeniz için bir ad sağlayın ve bunun için bir vurgu rengi seçin veya varsayılan rengi koruyun.

  5. İzleme Listesini yapılandırmayı bitirdiğinizde kaydetmek için Kaydet'e tıklayın.

ADIM 3 - Microsoft Entra ID'da Uygulama için Uygulama Kaydı adımları

Bu tümleştirme için Azure portal bir Uygulama kaydı gerekir. Microsoft Entra ID'da yeni uygulama oluşturmak için bu bölümdeki adımları izleyin:

  1. Azure portalda oturum açın.
  2. Microsoft Entra ID arayın ve seçin.
  3. Yönet'in altında Yeni kayıt'ı Uygulama kayıtları > seçin.
  4. Uygulamanız için bir görünen Ad girin.
  5. İlk uygulama kaydını tamamlamak için Kaydet'i seçin.
  6. Kayıt tamamlandığında, Azure portal uygulama kaydının Genel Bakış bölmesini görüntüler. Uygulama (istemci) kimliğini ve Kiracı Kimliğini görürsünüz. DataminrPulse Veri Bağlayıcısı'nın yürütülmesi için yapılandırma parametreleri olarak istemci kimliği ve Kiracı Kimliği gereklidir.

Başvuru bağlantısı:/azure/active-directory/develop/quickstart-register-app

4. ADIM - Microsoft Entra ID'da uygulama için istemci gizli dizisi ekleme

Bazen uygulama parolası olarak da adlandırılan istemci gizli dizisi, DataminrPulse Veri Bağlayıcısı'nın yürütülmesi için gereken bir dize değeridir. Yeni bir İstemci Gizli Anahtarı oluşturmak için bu bölümdeki adımları izleyin:

  1. Azure portal, Uygulama kayıtları uygulamanızı seçin.
  2. Sertifikalar & gizli diziler > İstemci gizli dizileri Yeni istemci gizli dizisi'ni >seçin.
  3. Gizli anahtarınız için bir açıklama ekleyin.
  4. Gizli dizi için bir süre sonu seçin veya özel bir yaşam süresi belirtin. Sınır 24 aydır.
  5. Ekle'yi seçin.
  6. Gizli anahtarın değerini istemci uygulama kodunuzda kullanmak üzere kaydedin. Bu gizli dizi değeri, siz bu sayfadan ayrıldıktan sonra bir daha görüntülenmez. Gizli dizi değeri, DataminrPulse Veri Bağlayıcısı'nın yürütülmesi için yapılandırma parametresi olarak gereklidir.

Başvuru bağlantısı:/azure/active-directory/develop/quickstart-register-app#add-a-client-secret

ADIM 5 - Microsoft Entra ID'de uygulamaya Katkıda Bulunan rolü atama

Rolü atamak için bu bölümdeki adımları izleyin:

  1. Azure portal Kaynak Grubu'na gidin ve kaynak grubunuzu seçin.
  2. Sol panelden Erişim denetimine (IAM) gidin.
  3. Ekle'ye tıklayın ve rol ataması ekle'yi seçin.
  4. Rol olarak Katkıda Bulunan'ı seçin ve İleri'ye tıklayın.
  5. Erişim ata bölümünde öğesini seçinUser, group, or service principal.
  6. Üye ekle'ye tıklayın ve oluşturduğunuz uygulama adınızı yazın ve seçin.
  7. Şimdi Gözden Geçir + ata'ya tıklayın ve sonra yeniden Gözden Geçir + ata'ya tıklayın.

Başvuru bağlantısı:/azure/role-based-access-control/role-assignments-portal

ADIM 6 - Bağlayıcıyı ve ilişkili Azure İşlevini dağıtmak için aşağıdaki iki dağıtım seçeneğinden Bİrİ'ni seçin

ÖNEMLİ: Dataminr Pulse Microsoft Sentinel veri bağlayıcısını dağıtmadan önce, Çalışma Alanı Kimliği ve Çalışma Alanı Birincil Anahtarı'nı (aşağıdakilerden kopyalanabilir) hazır olarak kullanabilirsiniz.

  • Çalışma Alanı Kimliği: <Yükleme zamanında sağlanan değişken değeri>
  • Birincil Anahtar: <Yükleme zamanında sağlanan değişken değeri>

Seçenek 1 - Azure Resource Manager (ARM) Şablonu

DataminrPulse bağlayıcısının otomatik dağıtımı için bu yöntemi kullanın.

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.msaka.ms

  2. Tercih edilen Abonelik, Kaynak Grubu ve Konum'a tıklayın.

  3. Aşağıdaki bilgileri girin: İşlev Adı Çalışma Alanı Kimliği Çalışma Alanı Anahtarı UyarılarıTableName BaseURL ClientId ClientSecret AzureClientId AzureClientSecret AzureTenantId AzureResourceGroupName AzureWorkspaceName AzureSubscriptionId Schedule LogLevel

  4. Yukarıda belirtilen hüküm ve koşulları kabul ediyorum etiketli onay kutusunu işaretleyin.

  5. Dağıtmak için Satın Al'a tıklayın.

Seçenek 2 - Azure İşlevleri El ile Dağıtımı

Dataminr Pulse Microsoft Sentinel veri bağlayıcısını Azure İşlevleri (Visual Studio Code aracılığıyla dağıtım) ile el ile dağıtmak için aşağıdaki adım adım yönergeleri kullanın.

1) İşlev Uygulaması Dağıtma

NOT: VS kodunu Azure işlev geliştirme için hazırlamanız gerekir.

  1. Azure İşlev Uygulaması dosyasını indirin. Arşivi yerel geliştirme bilgisayarınıza ayıklayın.

  2. VS Code'ı başlatın. Ana menüde Dosya'yı ve ardından Klasörü Aç'ı seçin.

  3. Ayıklanan dosyalardan en üst düzey klasörü seçin.

  4. Etkinlik çubuğunda Azure simgesini seçin, ardından Azure: İşlevler alanında İşlev uygulamasına dağıt düğmesini seçin. Henüz oturum açmadıysanız, Etkinlik çubuğunda Azure simgesini seçin, ardından Azure: İşlevler alanında Oturum aç'ı seçerek Azure Oturum açtıysanız sonraki adıma geçin.

  5. İstemlerde aşağıdaki bilgileri sağlayın:

    a. Klasör seçin: Çalışma alanınızdan bir klasör seçin veya işlev uygulamanızı içeren klasöre göz atın.

    b. Abonelik'i seçin: Kullanılacak aboneliği seçin.

    c. Azure'de yeni İşlev Uygulaması oluştur'u seçin (Gelişmiş seçeneğini belirleme)

    d. İşlev uygulaması için genel olarak benzersiz bir ad girin: URL yolunda geçerli bir ad yazın. Yazdığınız ad, Azure İşlevleri benzersiz olduğundan emin olmak için doğrulanır. (örneğin, DmPulseXXXXXX).

    e. Çalışma zamanı seçin: Python 3.8 veya üzerini seçin.

    f. Yeni kaynaklar için bir konum seçin. Daha iyi performans ve düşük maliyetler için Microsoft Sentinel bulunduğu bölgeyi seçin.

  6. Dağıtım başlar. İşlev uygulamanız oluşturulduktan ve dağıtım paketi uygulandıktan sonra bir bildirim görüntülenir.

  7. İşlev Uygulaması yapılandırması için Azure portalı'na gidin.

2) İşlev Uygulamasını Yapılandırma

  1. İşlev Uygulamasında İşlev Uygulaması Adı'nı ve ardından Yapılandırma'yı seçin.
  2. Uygulama ayarları sekmesinde + Yeni uygulama ayarı'nı seçin.
  3. Aşağıdaki uygulama ayarlarının her birini ilgili değerleriyle (büyük/küçük harfe duyarlı) tek tek ekleyin: İşlev Adı Çalışma Alanı Kimliği Çalışma Alanı Anahtarı UyarılarıTableName BaseURL ClientId ClientSecret AzureClientId AzureClientSecret AzureTenantId AzureResourceGroupName AzureWorkspaceName AzureSubscriptionId Schedule LogLevel logAnalyticsUri (isteğe bağlı)
  • Ayrılmış bulut için log analytics API uç noktasını geçersiz kılmak için logAnalyticsUri kullanın. Örneğin, genel bulut için değeri boş bırakın; Azure GovUS bulut ortamı için değeri şu biçimde belirtin: https://<CustomerId>.ods.opinsights.azure.us.
  1. Tüm uygulama ayarları girildikten sonra Kaydet'e tıklayın.

ADIM 7 - Dağıtım Sonrası adımları

1) İşlev uygulaması uç noktasını alma

  1. Azure işlevine Genel Bakış sayfasına gidin ve sol dikey pencerede "İşlevler" seçeneğine tıklayın.
  2. "DataminrPulseAlertsHttpStarter" adlı işleve tıklayın.
  3. "GetFunctionurl" bölümüne gidin ve işlev url'sini kopyalayın.
  4. Kopyalanan işlev URL'sindeki {functionname} öğesini "DataminrPulseAlertsSentinelOrchestrator" ile değiştirin.

2) İşlev URL'sini kullanarak Dataminr RTAP'ye tümleştirme ayarları eklemek için

  1. Postman gibi herhangi bir API istek aracını açın.
  2. Yeni bir istek oluşturmak için '+' öğesine tıklayın.
  3. 'POST' olarak HTTP istek yöntemini seçin.
  4. İstek URL'si bölümüne 1. noktada ön ödeme url'sini girin.
  5. Gövde'de ham JSON'ı seçin ve istek gövdesini aşağıdaki gibi sağlayın (büyük/küçük harfe duyarlı): { "integration-settings": "ADD", "url": "(URL part from copied Function-url)", "token": "(value of code parameter from copied Function-url)" }
  6. Tüm gerekli ayrıntıları sağladıktan sonra Gönder'e tıklayın.
  7. HTTP yanıtında durum kodu 200 olan bir tümleştirme ayarı kimliği alırsınız.
  8. İleride başvurmak için Tümleştirme Kimliğini kaydedin.

Artık Dataminr RTAP için tümleştirme ayarları ekleme işlemi tamamlandı. Dataminr RTAP bir uyarı verisi gönderdikten sonra İşlev uygulaması tetikler ve Dataminr Pulse'tan LogAnalytics çalışma alanı tablosundaki "DataminrPulse_Alerts_CL" adlı Uyarılar verilerini görebilmeniz gerekir.



Datawiza DAP

Tarafından desteklenir:Datawiza Technology Inc.

Datawiza DAP günlüklerini REST API arabirimi aracılığıyla Azure Log Analytics'e bağlar

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
datawizaserveraccess_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Kurulum Yönergeleri:

1. Adım: Ayrıntılı belgeleri okuyun

Yükleme işlemi, tümleştirme Microsoft Sentinel belge sitesinde ayrıntılı olarak belgelenmiştir. Kullanıcı, tümleştirmenin yüklenmesini ve hatalarını ayıklamayı anlamak için desteğimize (support@datawiza.com) daha fazla başvurmalıdır.

2. Adım: Datawiza Sentinel Bağlayıcısı'nı yükleme

Sonraki adım, günlükleri Microsoft Sentinel göndermek için Datawiza günlük ileticisini yüklemektir. Tam yükleme ortamınıza bağlıdır, tüm ayrıntılar için Microsoft Sentinel tümleştirmesine başvurun.

3. Adım: Veri alımını test edin

Yaklaşık 20 dakika sonra Microsoft Sentinel yüklemenizde Log Analytics çalışma alanına erişin ve Özel Günlükler bölümünü bulun ve bir datawizaserveraccess_CL tablosunun var olduğunu doğrulayın. Verileri incelemek için örnek sorguları kullanın.



Derdack SIGNL4

Tarafından desteklenir:Derdack

Kritik sistemler başarısız olduğunda veya güvenlik olayları gerçekleştiğinde, SIGNL4 'son kilometreyi' personelinize, mühendislerinize, BT yöneticilerinize ve sahadaki çalışanlarınıza köprüler. Hizmetlerinize, sistemlerinize ve süreçlerinize kısa sürede gerçek zamanlı mobil uyarı ekler. SIGNL4, onay, izleme ve yükseltme ile kalıcı mobil gönderim, SMS metin ve sesli aramalar aracılığıyla bildirimde bulunur. Tümleşik görev ve vardiya zamanlama, doğru kişilerin doğru zamanda uyarılmasını sağlar.

Daha fazla bilgi edinin >

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
SecurityIncident Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Kurulum Yönergeleri:

NOT: Bu eski veri bağlantısı, Microsoft Sentinel için temel bir Azure Logic Apps playbook şablonu içerir. Oyun kitabı, yeni bir Microsoft Sentinel olayı oluşturulduğunda çalışır. SIGNL4'te yeni bir uyarı oluşturmak için Azure Logic Apps'de bir SIGNL4 eylemi ekleyerek iş akışını genişletebilirsiniz.

SIGNL4 Konnektör: SIGNL4'ü Microsoft Sentinel ile entegre etmenin önerilen yolu, SIGNL4'teki Microsoft Sentinel bağlayıcı uygulamasını kullanmaktır. Tam kurulum talimatları için bkz. SIGNL4'ü Microsoft Sentinel ile entegre et.



Dijital Gölgeler Arama Feneri

Tarafından desteklenir:Dijital Gölgeler

Dijital Gölgeler veri bağlayıcısı, rest API kullanarak olayların ve uyarıların Dijital Gölgeler Arama Işığından Microsoft Sentinel alımını sağlar. Bağlayıcı, olası güvenlik risklerini ve tehditlerini incelemeye, tanılamaya ve analiz etmeye yardımcı olacak olay ve uyarı bilgilerini sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
DigitalShadows_V2_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • Microsoft.Web/sites izinleri: İşlev Uygulaması oluşturmak için Azure İşlevleri okuma ve yazma izinleri gereklidir. Daha fazla bilgi için bkz. Azure İşlevleri.
  • Veri Toplama Kuralında Rol Atama: Her Fonksiyon Uygulamasının sistem tarafından atanan yönetilen kimliğine Veri Toplama Kuralı üzerindeki Monitoring Metrics Publisher rolünü devretme izni verilmelidir (örneğin, dağıtım kapsamında Sahibi veya Kullanıcı Erişim Yöneticisi).
  • REST API Kimlik Bilgileri/izinleri: Dijital Gölgeler hesabı kimliği, gizli dizi ve anahtar gereklidir. üzerinde API hakkında daha fazla bilgi edinmek için belgelere https://portal-digitalshadows.com/learn/searchlight-api/overview/descriptionbakın.

Kurulum Yönergeleri:

NOT: Bu bağlayıcı, günlüklerini Microsoft Sentinel çekmek üzere 'Dijital Gölgeler Arama Işığı'na bağlanmak için Azure İşlevleri kullanır. Bu, ek veri alımı maliyetlerine neden olabilir. Ayrıntılar için Azure İşlevleri fiyatlandırma sayfasına bakın.

(isteğe bağlı adım) 'Digital Shadows Searchlight' API yetkilendirme anahtar(lar)ını veya token(ler)ini Azure Key Vault'ta güvenli bir şekilde saklayın. Azure Key Vault, anahtar değerlerini depolamak ve almak için güvenli bir mekanizma sağlar. Azure İşlev Uygulaması ile Azure Key Vault kullanmak için bu yönergeleri izleyin.

ADIM 1 - 'Dijital Gölgeler Arama Işığı' API'sinin yapılandırma adımları

Sağlayıcı, Azure İşlevinin başarıyla kimlik doğrulaması yapması, yetkilendirme anahtarını veya belirtecini alması ve gerecin günlüklerini Microsoft Sentinel çekmesi için 'Dijital Gölgeler Arama Işığı' API uç noktasını yapılandırmak için ayrıntılı adımları sağlamalı veya bağlantı vermelidir.

ADIM 2 - Bağlayıcıyı ve ilişkili Azure İşlevini dağıtmak için aşağıdaki iki dağıtım seçeneğinden Bİrİ'ni seçin

ÖNEMLI: 'Digital Shadows Searchlight' bağlayıcısını dağıtmadan önce, tablonun DigitalShadows_V2_CL bulunacağı Log Analytics çalışma alanının kaynak kimliğini ve 'Digital Shadows Searchlight' API yetkilendirme anahtarını veya Token'ı kolayca hazır bulundurun. Bağlayıcı, sistem tarafından atanan yönetilen bir kimlik kullanarak Azure İzleyici'a kimlik doğrulama sağlar; paylaşılan çalışma alanı anahtarı gerekmez.

Seçenek 1 - Azure Resource Manager (ARM) Şablonu

'Digital Shadows Searchlight' bağlayıcısının otomatik dağıtımı için bu yöntemi kullanın.

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.ms

  2. Tercih edilen Abonelik, Kaynak Grubu ve Konum'a tıklayın.

  3. DcrWorkspaceResourceId (form içindeki Log Analytics çalışma alanınızın /subscriptions/<sub>/resourceGroups/<rg>/providers/Microsoft.OperationalInsights/workspaces/<workspace>tam kaynak kimliği), API Kullanıcı Adı, API Şifresi, 've/veya diğer gerekli alanlar'ı girin.

Not: Yukarıdaki değerlerden herhangi biri için Azure Key Vault gizli dizileri kullanıyorsanız, dize değerleri yerine şemayı kullanın@Microsoft.KeyVault(SecretUri={Security Identifier}). Daha fazla ayrıntı için Key Vault başvuru belgelerine bakın. 4. Yukarıda belirtilen hüküm ve koşulları kabul ediyorum etiketli onay kutusunu işaretleyin. 5. Dağıtım için Satın Alma tuşuna tıklayın. Şablon, bir Veri Toplama Uç noktası, bir Veri Toplama Kuralı, DigitalShadows_V2_CL tablo sağlar ve Fonksiyon Uygulamalarının yönetilen kimliklerine Veri Toplama Kuralı üzerinde Monitoring Metrics Publisher rolünü verir.

Seçenek 2 - Azure İşlevleri El ile Dağıtımı

'Digital Shadows Searchlight' bağlayıcısını Azure İşlevleri ile el ile dağıtmak için aşağıdaki adım adım yönergeleri kullanın.

1. İşlev Uygulaması Oluşturma

  1. Azure portalı'ndan İşlev Uygulaması'na gidin.
  2. Üst kısımdaki + Oluştur'a tıklayın.
  3. Temeller sekmesinde, Runtime stack'in python 3.11 olarak ayarlandığından emin olun.
  4. Barındırma sekmesinde Plan türünün 'Tüketim (Sunucusuz)' olarak ayarlandığından emin olun. 5.Depolama hesabını seçin
  5. 'Diğer gerekli yapılandırmaları ekle'.
  6. 'Diğer tercih edilebilir yapılandırma değişikliklerini yap', gerekirse Oluştur'a tıklayın.

2. Sistem tarafından atanan yönetilen kimliği etkinleştirin ve metrikleri yayınlama izni verin.

  1. Fonksiyon Uygulaması ekranında, Ayarlar altında Identity'yi açın.
  2. Sistem ataması sekmesinde Durum'u Açık olarak ayarlayın ve Kaydet'e tıklayın. Gösterilen Nesne (ana ad) kimliğine dikkat edin — rol vermek için buna ihtiyacınız olacak.
  3. Akışa Custom-DigitalShadows_V2_CL sahip olan Veri Toplama Kuralı (DCR)'ye gidin ve Erişim kontrol (IAM) blade'ini açın.
  4. + Rol ataması ekle, Monitoring Metrics Publisher rolünü seç, üye türü olarak Managed identity'yi seç ve Function App'in sistem tarafından atanan kimliğini atayın. Kaydet.
  5. İkinci (exclude) Fonksiyon Uygulaması için 1-4. adımları tekrarlayın, ikisini de çalıştırıyorsanız.

3. Uygulama Kodunu İtiştirme Fonksiyonu (Zip dağıtımı)

  1. Azure CLI'yi yükleme
  2. Terminal türünden az functionapp deployment source config-zip -g <ResourceGroup> -n <FunctionApp> --src <Zip File> yazın ve enter tuşuna basın. ResourceGroup Değeri olarak ayarlayın: kaynak grubu adınız. FunctionApp Değeri olarak ayarlayın: yeni oluşturduğunuz işlev uygulaması adı. Değeri olarak Zip File ayarlayın: digitalshadowsConnector.zip(zip dosyanızın yolu). Not:- Bağlantıdan zip dosyasını indirin - İşlev Uygulama Kodu

4. Fonksiyon Uygulamasını Yapılandırın

  1. İşlev Uygulaması ekranında İşlev Uygulaması adına tıklayın ve Yapılandırma'yı seçin.
  2. Uygulama ayarları sekmesinde + Yeni uygulama ayarı'nı seçin.
  3. Aşağıdaki uygulama ayarlarının her birini Ad altında, ilgili dize değerleriyle birlikte (harfi harfle duyarlı) Değer altında ekle: DigitalShadowsAccountID DigitalShadowsKey DigitalShadowsSecret DigitalShadowsURL HistoricalDays DCE_URL DCR_IMMUTABLE_ID STREAM_NAME ClassificationFilterOperation HighVariabilityClassifications FUNCTION_NAME (Fonksiyon Uygulaması için gereken diğer ayarları ekleyin) Değeri şu şekilde ayarlayınDigitalShadowsURL: https://api.searchlight.app/v1 Değeri şu HighVariabilityClassifications şekilde ayarlayınexposed-credential,marked-document: Değeri ClassificationFilterOperation şu şekilde ayarlayın: exclude exclude function app veya include include function app için Değeri Veri Toplama Uç nokta logs-ingestion URI'ye ayarlayın DCE_URL (örneğin https://<dce-name>.<region>-1.ingest.monitor.azure.com). Değeri DCR_IMMUTABLE_ID Veri Toplama Kuralı'nın değişmez kimliğine ayarlayın (DCR genel bakış blade'inde şu şekilde Immutable IDgörünür). Değeri şu STREAM_NAME şekilde ayarlayın: Custom-DigitalShadows_V2_CL

Not: Yukarıdaki değerlerden herhangi biri için Azure Key Vault gizli dizileri kullanıyorsanız, dize değerleri yerine şemayı kullanın@Microsoft.KeyVault(SecretUri={Security Identifier}). Diğer ayrıntılar için Azure Key Vault başvuru belgelerine bakın. 4. Tüm uygulama ayarları girildikten sonra, kaydet'e tıklayın.



DNS

Tarafından desteklenir:Microsoft Corporation

DNS günlük bağlayıcısı, araştırmayı geliştirmek için DNS analiz ve denetim günlüklerinizi Microsoft Sentinel ve diğer ilgili verilere kolayca bağlamanızı sağlar.

DNS günlük toplamayı etkinleştirdiğinizde:

  • Kötü amaçlı etki alanı adlarını çözümlemeye çalışan istemcileri belirleyin.
  • Eski kaynak kayıtlarını tanımlama.
  • Sık sorgulanan etki alanı adlarını ve konuşkan DNS istemcilerini belirleyin.
  • DNS sunucularında istek yükünü görüntüleyin.
  • Dinamik DNS kayıt hatalarını görüntüleyin.

Daha fazla bilgi için Microsoft Sentinel belgelerine bakın.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
DnsEvents Evet Evet
DnsInventory Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

DomainTools Tehdit İstihbaratı Alan Girişi

Desteklenen:DomainTools

DomainTools CCF Alan Veri Bağlayıcısı, birden fazla DomainTools API'sinden tehdit istihbaratı alan verilerini alır — Yeni Gözlemlenen Alan Alan Alan (NOD), Yeni Gözlemlenen Alan Adları (NOH) ve Alan Keşfi dahil olmak üzere — ve bunları analiz ve tespit için Microsoft Sentinel'e aktarır

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
DomainToolsThreatIntelDomains_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • DomainTools API Anahtarı Gereklidir: DomainTools Gerçek Zamanlı Besleme API'lerine erişmek için DomainTools API Anahtarına ihtiyacımız var

Kurulum Yönergeleri:

DomainTools API'sini Configure Et

DomainTools API anahtarınızı girin, akışları seçin ve oturum kimliği ile anket penceresi verin. Üst seçenek isteğe bağlı.

  • API Anahtarı: (DomainTools API Anahtarınızı Girin)
  • Oturum Kimliği: (mySOC)
  • Dakikalar içinde Sorgu Penceresi: (10)
  • Üst (isteğe bağlı): (100)
  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



Doppel Veri Bağlayıcısı

Tarafından desteklenir:Doppel

Veri bağlayıcısı, Doppel olayları ve uyarıları için Microsoft Sentinel üzerine kurulmuştur ve alınan güvenlik olayı verilerini özel sütunlar halinde ayrıştıran DCR tabanlı alım süresi dönüşümlerini destekler, böylece sorguların yeniden ayrıştırması gerekmez ve böylece daha iyi performans elde edilir.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
DoppelTable_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • Microsoft Entra Kiracı Kimliği, İstemci Kimliği ve İstemci Gizli Anahtarı: Microsoft Entra ID, uygulamanızın kimliğini doğrulamak için bir İstemci Kimliği ve İstemci Gizli Anahtarı gerektirir. Ayrıca, Entra kayıtlı uygulamaya Bir Kaynak Grubu İzleme Ölçümleri Yayımcısı rolü atamak için Genel Yönetici/Sahip düzeyi erişimi gerekir.
  • Çalışma Alanı Kimliği, DCE-URI, DCR-ID gerektirir: Yapılandırma için Log Analytics Çalışma Alanı Kimliği, DCE Günlükleri Alma URI'si ve DCR Sabit Kimliği almanız gerekir.

Kurulum Yönergeleri:

Doppel Web Kancasını Yapılandırma

Doppel ve Endpoint içindeki Web Kancasını Microsoft Sentinel'da veri gönderme izinleriyle yapılandırın.

Uygulamayı Microsoft Entra ID'a kaydetme

  1. Microsoft Entra ID sayfasını açın:

    • Microsoft Entra ID kayıt sayfasını yeni bir sekmede açmak için sağlanan bağlantıya tıklayın.
    • Yönetici düzeyinde izinlere sahip bir hesapla oturum açtığınızdan emin olun.

  2. Yeni Uygulama Oluştur:

    • Microsoft Entra ID portalında sol taraftaki sekmede bahsedilen Uygulama kayıtları seçin.
    • + Yeni kayıt'a tıklayın.
    • Aşağıdaki alanları doldurun:
  • Ad: Uygulama için bir ad girin (örneğin, "Doppel Uygulaması").
  • Desteklenen hesap türleri: Yalnızca bu kuruluş dizinindeki Hesaplar'ı seçin (Yalnızca Varsayılan Dizin - Tek kiracı).
  • Yeniden yönlendirme URI'si: Aksi belirtilmedikçe bu değeri boş bırakın.
    • Uygulamayı oluşturmak için Kaydet'e tıklayın.

  1. Uygulama ve Kiracı Kimliklerini Kopyalama:

    • Uygulama kaydedildikten sonra Genel Bakış sayfasında Uygulama (istemci) Kimliği ve Dizin (kiracı) Kimliği değerlerini not edin. Tümleştirme için bunlara ihtiyacınız olacaktır.

  2. İstemci Gizli Anahtarı Oluşturma:

    • Sertifikalar & gizli dizileri bölümünde + Yeni istemci gizli dizisi'ne tıklayın.
    • Bir açıklama ekleyin (örneğin, 'Doppel Gizli Dizisi') ve bir süre sonu ayarlayın (örneğin, 1 yıl).
    • Ekle'ye tıklayın.
    • İstemci gizli anahtarı değerini hemen kopyalayın, aksi takdirde yeniden gösterilmez.

Uygulamaya "İzleme Ölçümleri Yayımcısı" Rolünü atama

  1. Kaynak Grubunu Azure portalı'nda açın:

    • Uygulamanın veri göndermesini istediğiniz Log Analytics Çalışma Alanı ve Veri Toplama Kurallarını (DCR) içeren Kaynak Grubuna gidin.

  2. Rolü Atayın:

    • Kaynak Grubu menüsünde, sol taraftaki sekmede belirtilen Erişim denetimine (IAM) tıklayın.
    • + Ekle'ye tıklayın ve Rol ataması ekle'yi seçin.
    • Rol açılan listesinde İzleme Ölçümleri Yayımcısı rolünü arayın ve seçin.
    • Erişim ata'nın altında kullanıcı, grup veya hizmet sorumlusu Azure AD seçin.
    • Seç alanında, kayıtlı uygulamanızı ada veya istemci kimliğine göre arayın.
    • Rolü uygulamaya atamak için Kaydet'e tıklayın.

ARM Şablonunu Dağıtma

  1. Çalışma Alanı Kimliğini alın:

    • Rolü atadıktan sonra Çalışma Alanı Kimliğine ihtiyacınız olacaktır.
    • Kaynak Grubu'nda Log Analytics Çalışma Alanı'na gidin.
    • Genel Bakış bölümünde, Çalışma Alanı ayrıntıları'nın altındaki Çalışma Alanı Kimliği alanını bulun.
    • Çalışma Alanı Kimliğini kopyalayın ve sonraki adımlarda kullanışlı tutun.

  2. Azure Dağıt Düğmesine tıklayın:

    • portal.azure.com.
    • Bu işlem, dağıtımı başlatmak için doğrudan Azure portal götürür.

  3. Parametreleri Gözden Geçirme ve Özelleştirme:

    • Özel dağıtım sayfasında doğru aboneliğe ve kaynak grubuna dağıtım yaptığınızdan emin olun.
    • Çalışma alanı adı, çalışma alanı kimliği ve çalışma alanı konumu gibi parametreleri doldurun.

  4. Kaynakları dağıtmak için Gözden Geçir + Oluştur'a ve ardından Oluştur'a tıklayın.

DCE, DCR ve Log Analytics Tablo Kurulumunu Doğrulama

  1. Veri Toplama Uç Noktasını (DCE) denetleyin:

    • Dağıtıldıktan sonra Azure portal > Veri Toplama Uç Noktaları'na gidin.
    • DoppelDCE uç noktasının başarıyla oluşturulduğunu doğrulayın.
    • Web kancası URL'sini oluşturmak için buna ihtiyacınız olduğundan DCE Günlükleri Alma URI'sini kopyalayın.

  2. Veri Toplama Kuralı (DCR) Kurulumunu Onaylayın:

    • Azure portalı > Veri Toplama Kuralları'na gidin.
    • DoppelDCR kuralının mevcut olduğundan emin olun.
    • Web kancası URL'si için gerek duyacağınız için Genel Bakış sayfasından DCR'nin Sabit Kimliğini kopyalayın.

  3. Log Analytics Tablosunu Doğrulama:

    • Log Analytics Çalışma Alanınıza gidin (Microsoft Sentinel bağlı).
    • Tablolar bölümünde, DoppelTable_CL tablosunun başarıyla oluşturulduğunu ve veri almaya hazır olduğunu doğrulayın.

Doppel Uyarılarını Microsoft Sentinel ile Tümleştirme

  1. Gerekli Bilgileri Toplayın:
    • Tümleştirme için gereken aşağıdaki ayrıntıları toplayın:
  • Veri Toplama Uç Noktası Kimliği (DCE-ID)
  • Veri Toplama Kuralı Kimliği (DCR-ID)
  • Microsoft Entra Kimlik Bilgileri: Kiracı Kimliği, İstemci Kimliği ve İstemci Gizli Anahtarı.

  1. Doppel Desteği ile eşgüdümlü:

    • Toplanan DCE-ID, DCR-ID ve Microsoft Entra kimlik bilgilerini Doppel desteğiyle paylaşın.
    • Web kancası kurulumunu etkinleştirmek için Doppel kiracısında bu ayrıntıları yapılandırmak için yardım isteyin.

  2. Doppel Tarafından Web Kancası Kurulumu:

    • Doppel, web kancasını yapılandırmak için sağlanan Kaynak Kimliklerini ve kimlik bilgilerini kullanır.
    • Bu web kancası, Uyarıların Doppel'den Microsoft Sentinel'a iletilmesine olanak sağlar.

  3. Microsoft Sentinel Uyarı Teslimi'nin doğrulanması:

    • Doppel uyarılarının başarıyla Microsoft Sentinel iletildiğinden emin olun.
    • Microsoft Sentinel çalışma kitabının uyarı istatistikleriyle güncelleştirildiğini doğrulayın ve sorunsuz veri tümleştirmesi sağlayın.



Ejderha Copilot

Tarafından desteklenir:Microsoft

Microsoft Dragon Copilot, klinisyen etkileşimlerini yakalayıp işleyerek yapılandırılmış klinik dokümantasyon ve etkinlik kayıtları oluşturan yapay zeka tabanlı bir klinik asistandır. Sohbet, ortam ve üretken yapay zekayı kullanarak klinik iş akışlarını kolaylaştırıyor, dokümantasyon verimliliğini artırıyor ve sağlık profesyonelleri için – klinisyenler, hemşireler ve radyologlar dahil – uygulanabilir içgörüler sunuyor. Dragon Copilot etkinlik günlükleri, yönetici ve kullanıcı düzeyindeki olayları (örneğin, etkileşimler, üretilen çıktılar ve sistem eylemleri) temsil eder; bu bağlayıcıyı Dragon Copilot iş yükü için idari, denetim ve operasyonel kayıtlar için merkezi alım noktası yapar. Microsoft Sentinel entegrasyon bağlamında, Dragon Copilot kullanıcı etkileşimlerini ve sistem tarafından oluşturulan çıktıları temsil eden denetim ve etkinlik sinyalleri yayımlar. Bu sinyaller, sağlık iş akışlarında güvenlik izleme, uyumluluk denetimi ve operasyonel görünürlüğü sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
DragonCopilot Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Kiracı İzinleri: Çalışma alanının kiracısı üzerinde 'Güvenlik Yöneticisi' veya 'Genel Yönetici'.

Kurulum Yönergeleri:

Dragon Copilot audit logs'larını Microsoft Sentinel'e bağla

Bu bağlayıcı, Dragon Copilot denetim kayıtlarınızı almak için Office Management API'sini kullanır. Günlükler mevcut Microsoft Sentinel çalışma alanınızda depolanır ve işlenir. Verileri DragonCopilot tablosunda bulabilirsiniz.

  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



Cloud Sitestore aracılığıyla Dragos Bildirimleri

Tarafından desteklenir:Dragos Inc

Dragos Platformu, rakipsiz endüstriyel siber güvenlik uzmanlığı tarafından oluşturulan kapsamlı bir Operasyonel Teknoloji (OT) siber tehdit algılaması sunan lider Endüstriyel Siber Güvenlik platformudur. Bu çözüm, güvenlik analistlerinin endüstriyel ortamlarında gerçekleşen olası siber güvenlik olaylarını önceliklendirebilmesi için Dragos Platformu bildirim verilerinin Microsoft Sentinel'de görüntülenmesini sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
DragosAlerts_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Dragos Sitestore API erişimi: İzni olan notification:read bir Sitestore kullanıcı hesabı. Bu hesabın Sentinel için sağlanabilir bir API anahtarına da sahip olması gerekir.

Kurulum Yönergeleri:

Microsoft Sentinel Dragos Sitestore'nuza bağlanmasına izin vermek için lütfen aşağıdaki bilgileri sağlayın.

  • Dragos Sitestore Ana Bilgisayar Adı: (dragossitestore.example.com)
  • Dragos Sitestore API Anahtar Kimliği: (API anahtarı kimliğini girin.)
  • Dragos Sitestore API Anahtar Gizli Anahtarı: (API anahtarı gizli dizisini girin)
  • En Düşük Bildirim Önem Derecesi. Geçerli değerler 0-5 (dahil) değerleridir. En yüksek önem derecesinden küçük veya eşit olduğundan emin olun.: (En düşük önem derecesini girin (tüm bildirimler için 0 önerilir))
  • En Yüksek Bildirim Önem Derecesi. Geçerli değerler 0-5 (dahil) değerleridir. En düşük önem derecesinden büyük veya eşit olduğundan emin olun.: (En yüksek önem derecesini girin (tüm bildirimler için 5 önerilir))
  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



Druva Olayları Bağlayıcısı

Tarafından desteklenir:Druva Inc

Druva API'lerinden Druva olaylarını alma özelliği sağlar

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
DruvaSecurityEvents_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Druva API Erişimi: Druva API'sinde kimlik doğrulaması için bir istemci kimliği ve istemci gizli dizisi gerekir

Kurulum Yönergeleri:

Not: Druva Rest API'ye bağlanmak için yapılandırmalar

1. Adım: Druva konsolundan kimlik bilgileri oluşturma. Adımlar için bu belgeyi arayın:- https://help.druva.com/en/articles/8580838-create-and-manage-api-credentials

2. Adım: Konak adını girin. Genel bulut için apis.druva.com

3. Adım: İstemci kimliğini ve istemci gizli anahtarı girin

Microsoft Sentinel günlükleri toplamaya başlamak için Druva API'sine bağlanma

Gerekli değerleri sağlayın:

  • Ana bilgisayar adı: (Örnek: apis.druva.com)



Dynamics 365 Finance ve İşlemler

Tarafından desteklenir:Microsoft Corporation

Dynamics 365 for Finance and Operations, işletmelerin günlük operasyonlarını yönetmelerine yardımcı olmak için finansal ve operasyonel özellikleri birleştiren kapsamlı bir Kurumsal Kaynak Planlama (ERP) çözümüdür. İşletmelerin iş akışlarını kolaylaştırmasını, görevleri otomatikleştirmesini ve operasyonel performansla ilgili içgörüler elde etmelerini sağlayan bir dizi özellik sunar.

Dynamics 365 Finance ve İşlemler veri bağlayıcısı Dynamics 365 Finance ve İşlemler yönetici etkinlikleri ile denetim günlüklerinin yanı sıra kullanıcı iş süreci ve uygulama etkinlikleri günlüklerini Microsoft Sentinel alır.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
FinanceOperationsActivity_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Microsoft Entra uygulama kaydı: Dynamics 365 Finance ve İşlemlere erişmek için kullanılan uygulama istemci kimliği ve gizli dizi.

Kurulum Yönergeleri:

Finans ve İşlemler bağlantısı için Microsoft Entra uygulama kaydı (istemci kimliği ve gizli dizi) gerekir. Ayrıca Microsoft Entra kiracı kimliğine ve Finance Operations Organization URL'sine de ihtiyacınız olacaktır.

Veri toplamayı etkinleştirmek için Dynamics 365 Finance ve İşlemler'de Veritabanı Günlüğü varlığını görüntüleme izinlerine sahip bir rol oluşturun. Bu rolü, Microsoft Entra uygulama kaydının istemci kimliğine eşlenmiş ayrılmış bir Finans ve İşlemler kullanıcısına atayın. İşlemi tamamlamak için şu adımları izleyin:

1. Adım - Uygulama kaydını Microsoft Entra

  1. Microsoft Entra portalına gidin.
  2. Uygulamalar'ın altında Uygulama Kayıtları'ne tıklayın ve yeni bir uygulama kaydı oluşturun (tüm varsayılan değerleri değiştirmeyin).
  3. Yeni uygulama kaydını açın ve yeni bir gizli dizi oluşturun.
  4. Kiracı Kimliği, Uygulama (istemci) Kimliği ve İstemci gizli dizisini daha sonra kullanmak üzere saklayın.

2. Adım - Finans ve operasyonlarda veri toplama için rol oluşturma

  1. Finans ve İşlemler portalında Çalışma Alanları > Sistem yönetimi'ne gidin ve Güvenlik Yapılandırması'na tıklayın
  2. Roller'in altında Yeni oluştur'a tıklayın ve yeni role veritabanı günlük görüntüleyicisi gibi bir ad verin.
  3. Rol listesinden yeni rolü seçin ve Ayrıcalıklar'a ve Başvuru ekle'den daha fazla seçeneğine tıklayın.
  4. Ayrıcalık listesinden Veritabanı günlüğü Varlık Görünümü'nü seçin.
  5. Rolü yayımlamak için Yayımlanmamış nesneler'e ve ardından Tümünü yayımla'ya tıklayın.

3. Adım - Finans ve operasyonlarda veri toplama için kullanıcı oluşturma

  1. Finans ve İşlemler portalında Modüller > Sistem yönetimi'ne gidin ve Kullanıcılar'a tıklayın
  2. Yeni bir kullanıcı oluşturun ve önceki adımda oluşturulan rolü kullanıcıya atayın.

4. Adım - Microsoft Entra uygulamasını Finans ve operasyonlara kaydetme

  1. F&O portalında Sistem yönetimi > Kurulumu > Microsoft Entra uygulamalarına (Active Directory uygulamaları Azure) gidin
  2. Tabloda yeni bir giriş oluşturun. İstemci Kimliği alanına 1. Adımda kayıtlı uygulamanın uygulama kimliğini girin.
  3. Ad alanına uygulama için bir ad girin.
  4. Kullanıcı Kimliği alanında, önceki adımda oluşturulan kullanıcı kimliğini seçin.

Dyanmics 365 Finance and Operations etkinliklerini Microsoft Sentinel bağlama

İstemci kimlik bilgilerini kullanarak bağlanma

Kuruluşlar

Her satır bir Finans ve İşlemler bağlantısını temsil eder

  • Veri Bağlayıcıları Kılavuzu (portalda yapılandır)



Dynamics365

Tarafından desteklenir:Microsoft Corporation

Dynamics 365 Common Data Service (CDS) etkinlikleri bağlayıcısı yönetici, kullanıcı ve destek etkinliklerinin yanı sıra Microsoft Social Engagement günlük olayları hakkında içgörü sağlar. DYNAMICS 365 CRM günlüklerini Microsoft Sentinel bağlayarak bu verileri çalışma kitaplarında görüntüleyebilir, özel uyarılar oluşturmak için kullanabilir ve araştırma sürecinizi geliştirebilirsiniz.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
Dynamics365Activity Evet Hayır

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Dynatrace Saldırıları V2

Tarafından desteklenir:Dynatrace

Bu bağlayıcı, algılanan saldırıları Microsoft Sentinel Log Analytics'e almak için Dynatrace Saldırıları REST API'sini kullanır

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
DynatraceAttacksV2_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • Dynatrace kiracısı (örn. xyz.dynatrace.com): Uygulama Güvenliği etkinleştirilmiş geçerli bir Dynatrace kiracısı gerekir, Dynatrace platformu hakkında daha fazla bilgi edinin.
  • Dynatrace Erişim Belirteci: Dynatrace Erişim Belirteci gerekir; belirtecin Okuma saldırıları (attacks.read) kapsamı olmalıdır.

Kurulum Yönergeleri:

Microsoft Sentinel için Dynatrace Saldırı Olayları

Dynatrace Uygulama Güvenliğini Yapılandırma ve Etkinleştirme. Erişim belirteci oluşturmak için bu yönergeleri izleyin.

  • Dynatrace kiracısı (örn. xyz.dynatrace.com): ({{dynatraceEnvironmentUrl}})
  • Dynatrace Erişim Belirteci: ({{dynatraceAccessToken}})
  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



Dynatrace Saldırıları V3

Tarafından desteklenir:Dynatrace

Bu bağlayıcı, tespit edilen uygulama güvenlik saldırılarını Microsoft Sentinel Log Analytics'ye aktarmak için Dynatrace DQL Depolama Sorgusu API'sini kullanır.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
DynatraceAttacksV3_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • Dynatrace SaaS ortamı (örneğin xyz.apps.dynatrace.com):Uygulama Güvenliği etkinleştirilmiş bir Dynatrace SaaS ortamına (xxx.apps.dynatrace.com) ihtiyacınız var. Klasik Dynatrace ortamları (xxx.live.dynatrace.com) desteklenmez.
  • Dynatrace Platform Token: storage:buckets:read ve storage:security.events:read kapsamlarına sahip bir Dynatrace platform tokenına ihtiyacınız var. Talimatlar için Dynatrace platform tokenlerine bakınız.

Kurulum Yönergeleri:

Microsoft Sentinel için Dynatrace Saldırı Olayları

Dynatrace Uygulama Güvenliğini Yapılandırma ve Etkinleştirme.

  1. Bu talimatları takip ederek storage:buckets:read ve storage:security.events:read kapsamlarıyla bir platform belirteci oluşturun.
  2. Dynatrace SaaS ortam URL'nizi xyz.apps.dynatrace.com formatında kullanın.
  • Dynatrace environment (ex. xyz.apps.dynatrace.com): ({{dynatraceEnvironmentUrl}})
  • Dynatrace Platform Token: ({{dynatracePlatformToken}})
  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



Dynatrace Denetim Günlükleri V2

Tarafından desteklenir:Dynatrace

Bu bağlayıcı kiracı denetim günlüklerini Microsoft Sentinel Log Analytics'e almak için Dynatrace Denetim Günlükleri REST API'sini kullanır

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
DynatraceAuditLogsV2_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • Dynatrace kiracısı (ör. xyz.dynatrace.com):Dynatrace platformu hakkında daha fazla bilgi edinmek için geçerli bir Dynatrace Kiracısına ihtiyacınız vardır Ücretsiz denemenizi başlatın.
  • Dynatrace Erişim Belirteci: Dynatrace Erişim Belirteci gerekir; belirtecin Okuma denetim günlükleri (auditLogs.read) kapsamı olmalıdır.

Kurulum Yönergeleri:

Denetim Günlüğü Olaylarını Microsoft Sentinel

Dynatrace Denetim Günlüğünü etkinleştirin. Erişim belirteci oluşturmak için bu yönergeleri izleyin.

  • Dynatrace kiracısı (örn. xyz.dynatrace.com): ({{dynatraceEnvironmentUrl}})
  • Dynatrace Erişim Belirteci: ({{dynatraceAccessToken}})
  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



Dynatrace Audit Logs V3

Tarafından desteklenir:Dynatrace

Bu bağlayıcı, kiracı denetim logu olaylarını Microsoft Sentinel Log Analytics'ye aktarmak için Dynatrace DQL Depolama Sorgusu API'sini kullanır.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
DynatraceAuditLogsV3_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • Dynatrace SaaS ortamı (örneğin xyz.apps.dynatrace.com): Bir Dynatrace SaaS ortamına ihtiyacınız var (xxx.apps.dynatrace.com). Klasik Dynatrace ortamları (xxx.live.dynatrace.com) desteklenmez.
  • Dynatrace Platform Token: Storage:buckets:read ve storage:system:read dürbünlerine sahip bir Dynatrace platform tokenına ihtiyacınız var. Talimatlar için Dynatrace platform tokenlerine bakınız.

Kurulum Yönergeleri:

Denetim Günlüğü Olaylarını Microsoft Sentinel

Dynatrace Denetim Günlüğünü etkinleştirin.

  1. Bu talimatları takip ederek storage:buckets:read ve storage:system:read kapsamlarıyla bir platform token oluşturun.
  2. Dynatrace SaaS ortam URL'nizi xyz.apps.dynatrace.com formatında kullanın. Klasik Dynatrace ortamları (xxx.live.dynatrace.com) desteklenmemektedir.
  • Dynatrace environment (ex. xyz.apps.dynatrace.com): ({{dynatraceEnvironmentUrl}})
  • Dynatrace Platform Token: ({{dynatracePlatformToken}})
  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



Dynatrace Sorunları V2

Tarafından desteklenir:Dynatrace

Bu bağlayıcı, sorun olaylarını Microsoft Sentinel Log Analytics'e almak için Dynatrace Sorunu REST API'sini kullanır

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
DynatraceProblemsV2_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Dynatrace kiracısı (ör. xyz.dynatrace.com):Dynatrace platformu hakkında daha fazla bilgi edinmek için geçerli bir Dynatrace Kiracısına ihtiyacınız vardır Ücretsiz denemenizi başlatın.
  • Dynatrace Erişim Belirteci: Dynatrace Erişim Belirteci gerekir; belirtecin Okuma sorunları (problems.read) kapsamı olmalıdır.

Kurulum Yönergeleri:

Sorun Olaylarını Microsoft Sentinel Için Dynatrace

Erişim belirteci oluşturmak için bu yönergeleri izleyin.

  • Dynatrace kiracısı (örn. xyz.dynatrace.com): ({{dynatraceEnvironmentUrl}})
  • Dynatrace Erişim Belirteci: ({{dynatraceAccessToken}})
  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



Dynatrace Sorunları V3

Tarafından desteklenir:Dynatrace

Bu bağlayıcı, Davis AI problem olaylarını Microsoft Sentinel Log Analytics'e aktarmak için Dynatrace DQL Depolama Sorgusu API'sini kullanır.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
DynatraceProblemsV3_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • Dynatrace SaaS ortamı (örneğin xyz.apps.dynatrace.com): Bir Dynatrace SaaS ortamına ihtiyacınız var (xxx.apps.dynatrace.com). Klasik Dynatrace ortamları (xxx.live.dynatrace.com) desteklenmez.
  • Dynatrace Platform Token: Storage:buckets:read ve storage:events:read kapsamlarına sahip bir Dynatrace platform tokenına ihtiyacınız var. Talimatlar için Dynatrace platform tokenlerine bakınız.

Kurulum Yönergeleri:

Sorun Olaylarını Microsoft Sentinel Için Dynatrace

  1. Bu talimatları takip ederek storage:buckets:read ve storage:events:read kapsamlarıyla bir platform belirteçeği oluşturun.
  2. Dynatrace SaaS ortam URL'nizi xyz.apps.dynatrace.com formatında kullanın. Klasik Dynatrace ortamları (xxx.live.dynatrace.com) desteklenmemektedir.
  • Dynatrace environment (ex. xyz.apps.dynatrace.com): ({{dynatraceEnvironmentUrl}})
  • Dynatrace Platform Token: ({{dynatracePlatformToken}})
  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



Dynatrace Çalışma Zamanı Güvenlik Açıkları V2

Tarafından desteklenir:Dynatrace

Bu bağlayıcı, algılanan çalışma zamanı güvenlik açıklarını Microsoft Sentinel Log Analytics'e almak için Dynatrace Güvenlik Sorunu REST API'sini kullanır.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
DynatraceSecurityProblemsV2_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • Dynatrace kiracısı (örn. xyz.dynatrace.com): Uygulama Güvenliği etkinleştirilmiş geçerli bir Dynatrace kiracısı gerekir, Dynatrace platformu hakkında daha fazla bilgi edinin.
  • Dynatrace Erişim Belirteci: Dynatrace Erişim Belirteci gerekir; belirtecin Okuma güvenlik sorunları (securityProblems.read) kapsamı olmalıdır.

Kurulum Yönergeleri:

Microsoft Sentinel Için Dinamik Güvenlik Açıkları Olayları

Dynatrace Uygulama Güvenliğini Yapılandırma ve Etkinleştirme. Erişim belirteci oluşturmak için bu yönergeleri izleyin.

  • Dynatrace kiracısı (örn. xyz.dynatrace.com): ({{dynatraceEnvironmentUrl}})
  • Dynatrace Erişim Belirteci: ({{dynatraceAccessToken}})
  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



Dynatrace Çalışma Zamanı Zayıflıkları V3

Tarafından desteklenir:Dynatrace

Bu bağlayıcı, tespit edilen çalışma zamanı açıklıklarını Microsoft Sentinel Log Analytics'e aktarmak için Dynatrace DQL Depolama Sorgusu API'sini kullanır.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
DynatraceSecurityProblemsV3_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • Dynatrace SaaS ortamı (örneğin xyz.apps.dynatrace.com):Uygulama Güvenliği etkinleştirilmiş bir Dynatrace SaaS ortamına (xxx.apps.dynatrace.com) ihtiyacınız var. Klasik Dynatrace ortamları (xxx.live.dynatrace.com) desteklenmez.
  • Dynatrace Platform Token: storage:buckets:read ve storage:security.events:read kapsamlarına sahip bir Dynatrace platform tokenına ihtiyacınız var. Talimatlar için Dynatrace platform tokenlerine bakınız.

Kurulum Yönergeleri:

Microsoft Sentinel Için Dinamik Güvenlik Açıkları Olayları

Dynatrace Uygulama Güvenliğini Yapılandırma ve Etkinleştirme.

  1. Bu talimatları takip ederek storage:buckets:read ve storage:security.events:read kapsamlarıyla bir platform belirteci oluşturun.
  2. Dynatrace SaaS ortam URL'nizi xyz.apps.dynatrace.com formatında kullanın.
  3. İçerik Merkezi Microsoft Sentinel →de Dynatrace çözümünü bulun ve Dynatrace Çalışma Zamanı Güvenlik Açıklarını Birleştir kuralını etkinleştirin. Bu, ham güvenlik açığı olaylarını analitik kuralları ve ayrıştırıcı tarafından kullanılan tabloya birleştirmek için gereklidir.
  • Dynatrace environment (ex. xyz.apps.dynatrace.com): ({{dynatraceEnvironmentUrl}})
  • Dynatrace Platform Token: ({{dynatracePlatformToken}})
  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



Çıkış Savunması

Destekli:egress1589289169584

Egress Defend denetim bağlayıcısı, Egress Defend Verilerini Microsoft Sentinel'e aktarma yeteneği sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
EgressDefend_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Egress API Token: Denetim kayıtlarını Microsoft Sentinel'e aktarmak için bir Egress API tokenı gereklidir.

Kurulum Yönergeleri:

Egress Defend'i Microsoft Sentinel ile bağlayın

Egress Defend API URl, Egress Domain ve API token'ınızı girin.



Çıkış Savunması v2

Destekli:egress1589289169584

Egress Defend denetim bağlayıcısı, Logs Ingestion API (DCR tabanlı) aracılığıyla Egress Defend denetim verilerini Microsoft Sentinel'e alır. Egress Defend V1/events API'sinden alır ve olayları EgressDefend_v4_CL tabloya yerleştirir.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
EgressDefend_v4_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • Çıkış Savunma API erişimi: Microsoft Sentinel'e denetim kayıtlarını almak için bir Egress Defend API URL, müşteri alan adresi ve API anahtarı gereklidir.

Kurulum Yönergeleri:

Egress Defend'i Microsoft Sentinel'e bağla

Egress Defend API URL'nizi, Egress alan adını ve API anahtarınızı girin, ardından Connect'e tıklayın.

  • API URL:
  • Alan adı:
  • API Anahtarı:
  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



Elastik Aracı

Tarafından desteklenir:Microsoft Corporation

Elastik Aracı veri bağlayıcısı, Elastik Aracı günlüklerini, ölçümlerini ve güvenlik verilerini Microsoft Sentinel alma özelliği sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
ElasticAgentEvent Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • Bağlantı gerekiyorsa özel önkoşullar ekleyin - değilse gümrükleri silin: Herhangi bir özel önkoşul için açıklama

Kurulum Yönergeleri:

NOT: Bu veri bağlayıcısı, Microsoft Sentinel Çözümü ile dağıtılan beklenen ElasticAgentEvent gibi çalışması için Kusto İşlevine dayalı ayrıştırıcıya bağlıdır.

NOT: Bu veri bağlayıcısı Elastic Agent 7.14 kullanılarak geliştirilmiştir.

1. Aracıyı Linux veya Windows için yükleme ve ekleme

Aracıyı Elastik Aracı günlüklerinin iletildiği Sunucuya yükleyin.

Linux veya Windows sunucularında dağıtılan Elastik Aracılardan gelen günlükler Linux veya Windows aracıları tarafından toplanır.

Linux aracısının yükleneceği yeri seçin:

Azure Linux Sanal Makinesine aracı yükleme

Aracıyı yüklenecek makineyi seçin ve bağlan'a tıklayın.

  • Yükleme Aracısı: <Yükleme zamanında sağlanan değişken değeri>

aracıyı Azure Linux olmayan bir Makineye yükleme

Aracıyı ilgili makineye indirin ve yönergeleri izleyin.

  • Yükleme Aracısı: <Yükleme zamanında sağlanan değişken değeri>

Windows aracısının yükleneceği yeri seçin:

Azure Windows Sanal Makinesi'ne aracı yükleme

Aracıyı yüklenecek makineyi seçin ve bağlan'a tıklayın.

  • Yükleme Aracısı: <Yükleme zamanında sağlanan değişken değeri>

aracıyı Azure olmayan bir Windows Makinesine yükleme

Aracıyı ilgili makineye indirin ve yönergeleri izleyin.

  • Yükleme Aracısı: <Yükleme zamanında sağlanan değişken değeri>

2. Elastik Aracıyı Yapılandırma (Tek Başına)

Logstash çıktısı almak için Elastik Aracı'yı yapılandırmak için yönergeleri izleyin

3. Logstash'i Microsoft Logstash Çıkış Eklentisi kullanacak şekilde yapılandırma

Logstash'i microsoft-logstash-output-azure-loganalytics eklentisini kullanacak şekilde yapılandırma adımlarını izleyin:

3.1) Eklentinin zaten yüklü olup olmadığını denetleyin: ./logstash-plugin list | grep 'azure-loganalytics' (eklenti yüklüyse 3.3. adıma gidin)

3.2) Eklentiyi yükle: ./logstash-plugin install microsoft-logstash-output-azure-loganalytics

3.3) Logstash'i eklentiyi kullanacak şekilde yapılandırma

4. Günlük alımını doğrulama

Bağlantınızı doğrulamak için yönergeleri izleyin:

Günlüklerin 3.3. adımda (örneğin ElasticAgentLogs_CL) belirtilen özel tablo kullanılarak alınılıp alınmadığını denetlemek için Log Analytics'i açın.

Bağlantının verileri çalışma alanınıza aktarması yaklaşık 30 dakika sürebilir.



Elastik Aracı (Kodsuz Bağlayıcı Çerçevesi aracılığıyla)

Tarafından desteklenir:Microsoft Corporation

Elastik Aracı veri bağlayıcısı Elasticsearch'ten Elastik Aracı tarafından toplanan sistem ölçümlerini, günlüklerini ve telemetri verilerini Microsoft Sentinel almanızı sağlar. Bu bağlayıcı birden çok veri akışını (CPU, bellek, işlem, dosya sistemi, ağ, yük, çalışma süresi, aracı ölçümleri ve günlükler) sorgulamak için API anahtarı kimlik doğrulaması ile Elasticsearch Arama API'sini kullanır. Verimli sorgu yürütme için DCR tabanlı alım süresi dönüşümlerini destekler. Daha fazla bilgi için API belgelerine bakın: https://www.elastic.co/docs/api/doc/elasticsearch/operation/operation-search

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
ElasticAgentLogsV2_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Kurulum Yönergeleri:

1. Ön koşullar

Gerekli erişime ve yapılandırmaya sahip olduğunuzdan emin olun.

Önkoşullar

  • Elasticsearch dağıtımı (kendi kendine yönetilen veya Elastik Bulut)
  • Sistem tümleştirmesi etkin olarak dağıtılan Elastik Aracı
  • Günlükler ve ölçümler için aracı izleme etkinleştirildi
  • Tüm dizinlerde okuma izinlerine sahip Elasticsearch API anahtarı
  • Microsoft Sentinel'den Elasticsearch uç noktanıza ağ bağlantısı

Gerekli Endeksler

Bağlayıcı aşağıdaki Elasticsearch dizinlerini sorgular:

Ölçüm:

  • metrics-system.cpu-* - CPU ölçümleri
  • metrics-system.memory-* - Bellek ölçümleri
  • metrics-system.process-* - İşlem ölçümleri
  • metrics-system.filesystem-* - Dosya sistemi ölçümleri
  • metrics-system.network-* - Ağ ölçümleri
  • metrics-system.load-*- Sistem yükü (yalnızca Linux)
  • metrics-system.uptime-* - Sistem çalışma süresi
  • metrics-elastic_agent.* - Aracı telemetrisi

Günlük:

  • logs-elastic_agent-* - Aracı günlükleri

2. Elasticsearch Bağlantılarını Yapılandırma

Veri toplamak için bir veya daha fazla Elasticsearch bağlantısı ekleyin.

Elasticsearch Bağlantıları

Farklı Elasticsearch dağıtımlarından veri toplamak için birden çok bağlantı ekleyebilirsiniz. Her bağlantı kendi Elasticsearch URL'sini ve API anahtarını gerektirir.

API Anahtarı Oluşturma

  1. Kibana'da Stack Management > API Anahtarları'na gidin
  2. API anahtarı oluştur'a tıklayın
  3. Bir ad ayarlayın ve izinleri yapılandırın:
    • Okuma erişimi metrics-system.*
    • Okuma erişimi metrics-elastic_agent.*
    • Okuma erişimi logs-elastic_agent-*
  4. Base64 kodlu API anahtar değerini kopyalama
  • Veri Bağlayıcıları Kılavuzu (portalda yapılandır)



Ermes Browser Güvenlik Olayları

Tarafından desteklenir:Ermes Cyber Security S.p.A.

Ermes Browser Güvenlik Olayları

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
ErmesBrowserSecurityEvents_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Ermes İstemci Kimliği ve İstemci Gizli Anahtarı: Ermes'te API erişimini etkinleştirin. Daha fazla bilgi için lütfen Ermes Siber Güvenlik desteğine başvurun.

Kurulum Yönergeleri:

Ermes Browser Güvenlik Olaylarını Microsoft Sentinel Bağlama

OAuth2 kimlik bilgilerini kullanarak bağlanma



ESET Koruma Platformu (Azure İşlevleri kullanarak)

Tarafından desteklenir:ESET Enterprise Integrations

ESET Protect Platform veri bağlayıcısı, kullanıcıların sağlanan Integration REST API'sini kullanarak ESET Koruma Platformu'ndan algılama verileri eklemesine olanak tanır. Tümleştirme REST API'si zamanlanmış Azure İşlev Uygulaması olarak çalışır.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
IntegrationTable_CL Evet Evet
IntegrationTableIncidents_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Microsoft.Web/sites izinleri: İşlev Uygulaması oluşturmak için Azure İşlevleri okuma ve yazma izinleri gereklidir. Daha fazla bilgi için bkz. Azure İşlevleri.
  • Microsoft Entra ID'da bir uygulamayı kaydetme izni: Bir uygulamayı Microsoft Entra kiracınıza kaydetmek için yeterli izinler gereklidir.
  • Kayıtlı uygulamaya rol atama izni: Microsoft Entra ID'de kayıtlı uygulamaya İzleme Ölçümleri Yayımcısı rolünü atama izni gereklidir.

Kurulum Yönergeleri:

NOT: ESET Protect Platform veri bağlayıcısı, algılama günlüklerini Microsoft Sentinel çekmek için Eset Connect API aracılığıyla ESET Koruma Platformu'na bağlanmak için Azure İşlevleri kullanır. Bu işlem ek veri alımı maliyetlerine neden olabilir. Azure İşlevleri fiyatlandırma sayfasında ayrıntılara bakın.

NOT: ESET PROTECT Platform ve Microsoft Sentinel tümleştirmesinin en yeni sürümü yalnızca algılama günlüklerini değil, yeni oluşturulan olayları da çeker. Tümleştirmeniz 20.06.2025'in öncesinde ayarlandıysa, lütfen bu adımları izleyerek güncelleştirin.

1. Adım - API kullanıcısı oluşturma

Oturum Açma ve Parola ile bir ESET Connect API Kullanıcı hesabı oluşturmak için bu yönergeyi kullanın.

2. Adım - Kayıtlı uygulama oluşturma

Yeni uygulama kaydetme yönergelerindeki adımları izleyerek Microsoft Entra ID kayıtlı bir uygulama oluşturun.

3. Adım - Azure Resource Manager (ARM) şablonunu kullanarak ESET Platformu Koruma veri bağlayıcısını dağıtma

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.ms

  2. Microsoft Sentinel ile ilişkili Log Analytics çalışma alanının adını seçin. Log Analytics çalışma alanının Kaynak Grubu ile aynı Kaynak Grubunu seçin.

  3. Kayıtlı uygulamanın parametrelerini Microsoft Entra ID yazın: Azure İstemci Kimliği, Azure İstemci Gizli Anahtarı, Azure Kiracı Kimliği, Nesne Kimliği. Azure portalda Nesne Kimliği'ni bulmak için Microsoft Entra ID -> Yönet (sol taraftaki menüde) - Kurumsal uygulamalar ->> Nesne Kimliği sütunu (kayıtlı uygulama adınızın yanındaki değer) yolunu izleyebilirsiniz.

  4. 1. Adımda elde edilen ESET Connect API kullanıcı hesabı Oturum Açma ve Parola bilgilerini sağlayın.

  5. Algılamaların alındığı bir veya daha fazla ESET ürününü (ESET PROTECT, ESET Inspect, ESET Cloud Office Security) seçin.



Exchange Security Insights Şirket İçi Toplayıcısı

Tarafından desteklenir:Community

Microsoft Sentinel Analizi için Exchange Şirket İçi Güvenlik yapılandırmasını göndermek için kullanılan bağlayıcı

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
ESIExchangeConfig_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • Kuruluş Yönetimi rolüne sahip Hizmet Hesabı: Betiği zamanlanmış görev olarak başlatan hizmet Hesabının gerekli tüm güvenlik bilgilerini alabilmesi için Kuruluş Yönetimi olması gerekir.
  • Ayrıntılı belgeler: >NOT: Yükleme yordamı ve kullanımıyla ilgili ayrıntılı belgelere buradan ulaşabilirsiniz

Kurulum Yönergeleri:

1. ESI Toplayıcı Betiğini Exchange Yönetici PowerShell konsolu olan bir sunucuya yükleyin

Bu, Microsoft Sentinel'da içerik göndermek için Exchange Bilgileri toplayacak betiktir.

Betik Dağıtımı

ESI Toplayıcısı'nın en son sürümünü indirin

En son sürüme şuradan ulaşabilirsiniz: https://aka.ms/ESI-ExchangeCollector-Script. İndirilmesi gereken dosya CollectExchSecIns.zip

Betik klasörünü kopyalama

İçeriğin sıkıştırmasını açın ve Exchange PowerShell Cmdlet'lerinin bulunduğu bir sunucuda betik klasörünü kopyalayın.

PS1 Betiklerinin engellemesini kaldırma

Her PS1 Betiğine sağ tıklayın ve Özellikler sekmesine gidin. Betik engellendi olarak işaretlenmişse engelini kaldırın. PowerShell kullanarak sıkıştırması açılan klasörde bulunan 'Unblock-File ' Cmdlet'ini de kullanabilirsiniz.

**Ağ Erişimini Yapılandırma **

Betiğin Azure Analytics (*.ods.opinsights.azure.com) ile iletişim kuraadığından emin olun.

2. ESI Toplayıcı Betiğini Yapılandırma

Sunucunun yerel yöneticisi olduğundan emin olun. Toplayıcıyı yapılandırmak için 'Yönetici Olarak Çalıştır' modunda 'setup.ps1' betiğini başlatın. Log Analytics (Microsoft Sentinel) Çalışma Alanı bilgilerini doldurun. Ortam adını doldurun veya boş bırakın. Varsayılan olarak, Varsayılan analiz olarak 'Def' öğesini seçin. Diğer seçenekler belirli kullanım içindir.

  • Çalışma Alanı Kimliği: <Yükleme zamanında sağlanan değişken değeri>
  • Birincil Anahtar: <Yükleme zamanında sağlanan değişken değeri>

3. ESI Toplayıcı Betiğini zamanlayın (yükleme sırasında izin verilmediği veya yoksayıldığı için Yükleme Betiği tarafından yapılmadıysa)

Exchange yapılandırmasını Microsoft Sentinel göndermek için betiğin zamanlanması gerekir. Betiği günde bir kez zamanlamanızı öneririz. Betiği başlatmak için kullanılan hesabın Kuruluş Yönetimi grubunun üyesi olması gerekir

NOT: Bu veri bağlayıcısı, kusto işlevini temel alan ayrıştırıcının beklendiği gibi çalışmasına bağlıdır. Ayrıştırıcılar çözümle otomatik olarak dağıtılır. Kusto İşlevleri diğer adını oluşturmak için adımları izleyin: ExchangeAdminAuditLogs

Çözüm dağıtımı sırasında ayrıştırıcılar otomatik olarak dağıtılır. El ile dağıtmak istiyorsanız aşağıdaki adımları izleyin

El ile Ayrıştırıcı Dağıtımı

1. Ayrıştırıcı dosyasını indirin

ExchangeAdminAuditLogs dosyasının en son sürümü

2. Ayrıştırıcı ExchangeAdminAuditLogs işlevi oluşturma

Microsoft Sentinel log analytics'inizin 'Günlükler' gezgininde dosyanın içeriğini Günlük gezginine kopyalayın

3. Ayrıştırıcı ExchangeAdminAuditLogs işlevini kaydetme

Kaydet düğmesine tıklayın. Bu ayrıştırıcı için parametre gerekmez. Yeniden kaydet'e tıklayın.



Exchange Security Insights Online Collector (Azure İşlevleri kullanarak)

Tarafından desteklenir:Community

Microsoft Sentinel Analizi için Exchange Online Güvenlik yapılandırmasını göndermek için kullanılan bağlayıcı

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
ESIExchangeOnlineConfig_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Microsoft.Web/sites izinleri: İşlev Uygulaması oluşturmak için Azure İşlevleri okuma ve yazma izinleri gereklidir. Daha fazla bilgi için bkz. Azure İşlevleri.
  • microsoft.automation/automationaccounts izinleri: Runbook ile Azure Otomasyonu oluşturmak için okuma ve yazma izinleri gereklidir. Daha fazla bilgi için bkz . Otomasyon Hesabı.
  • Microsoft.Graph izinleri: Exchange Online atamalarına bağlı kullanıcı/grup bilgilerini almak için Groups.Read, Users.Read ve Auditing.Read izinleri gereklidir. Daha fazla bilgi edinmek için belgelere bakın.
  • Exchange Online izinleri: Exchange Online Güvenlik Yapılandırmasını almak için Exchange.ManageAsApp izni ve Genel Okuyucu veya Güvenlik Okuyucusu Rolü gereklidir.Daha fazla bilgi edinmek için belgelere bakın.
  • (İsteğe bağlı) Günlük Depolama izinleri: Günlükleri depolamak için Otomasyon Hesabı Yönetilen kimliğine veya Uygulama Kimliğine bağlı bir depolama hesabına Depolama Blobu Veri Katkıda Bulunanı zorunludur. Daha fazla bilgi edinmek için belgelere bakın.

Kurulum Yönergeleri:

NOT - GÜNCELLE

Not:

NOT - GÜNCELLE:

Toplayıcıyı Sürüm 7.6.0.0 veya daha yüksek bir sürüme güncelleştirmenizi öneririz. Toplayıcı Betik Güncelleştirmesi yordamı burada bulunabilir: ESI Çevrimiçi Toplayıcı Güncelleştirmesi

NOT: Bu veri bağlayıcısı, kusto işlevini temel alan ayrıştırıcının beklendiği gibi çalışmasına bağlıdır. Kusto İşlevleri diğer adını oluşturmak için her Ayrıştırıcının adımlarını izleyin: ExchangeConfiguration ve **ExchangeEnvironmentList STEP 1 - Ayrıştırıcı dağıtımı**

Ayrıştırıcı dağıtımı (Microsoft Exchange Güvenlik Çözümü kullanılırken Ayrıştırıcılar otomatik olarak dağıtılır)

1. Ayrıştırıcı dosyalarını indirme

ExchangeConfiguration.yaml ve ExchangeEnvironmentList.yaml dosyalarının en son sürümü

2. Ayrıştırıcı ExchangeConfiguration işlevi oluşturma

Microsoft Sentinel log analytics'inizin 'Günlükler' gezgininde dosyanın içeriğini Günlük gezginine kopyalayın

3. Ayrıştırıcı ExchangeConfiguration işlevini kaydetme

Kaydet düğmesine tıklayın. Ayrıştırıcı dosyasının üst bilgisinde istenen parametreleri tanımlayın. Yeniden kaydet'e tıklayın.

4. Ayrıştırıcı ExchangeEnvironmentList için aynı adımları yeniden oluşturun

'ExchangeEnvironmentList.yaml' dosyasının içeriğiyle 2. ve 3. adımı yeniden oluşturun

NOT: Bu bağlayıcı, Güvenlik analizini Microsoft Sentinel çekmek üzere 'Exchange Online' öğesine bağlanmak için Azure Otomasyonu kullanır. Bu, ek veri alımı maliyetlerine neden olabilir. Ayrıntılar için Azure Otomasyonu fiyatlandırma sayfasına bakın.

ADIM 2 - Bağlayıcıyı ve ilişkili Azure Otomasyonu dağıtmak için aşağıdaki iki dağıtım seçeneğinden Bİrİ'ni seçin

ÖNEMLİ: 'ESI Exchange Online Güvenlik Yapılandırması' bağlayıcısını dağıtmadan önce Çalışma Alanı Kimliği ve Çalışma Alanı Birincil Anahtarına (aşağıdakilerden kopyalanabilir) ve Exchange Online kiracı adına (contoso.onmicrosoft.com) sahip olun.

  • Çalışma Alanı Kimliği: <Yükleme zamanında sağlanan değişken değeri>
  • Birincil Anahtar: <Yükleme zamanında sağlanan değişken değeri>

Seçenek 1 - Azure Resource Manager (ARM) Şablonu

'ESI Exchange Online Güvenlik Yapılandırması' bağlayıcısının otomatik dağıtımı için bu yöntemi kullanın.

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.ms

  2. Tercih edilen Abonelik, Kaynak Grubu ve Konum'a tıklayın.

  3. Çalışma Alanı Kimliği, Çalışma Alanı Anahtarı, Kiracı Adı, 've/veya Diğer gerekli alanlar' girin.

  4. Yukarıda belirtilen hüküm ve koşulları kabul ediyorum etiketli onay kutusunu işaretleyin.

  5. Dağıtmak için Satın Al'a tıklayın.

Seçenek 2 - Azure Otomasyonu El ile Dağıtımı

'ESI Exchange Online Güvenlik Yapılandırması' bağlayıcısını Azure Otomasyonu ile el ile dağıtmak için aşağıdaki adım adım yönergeleri kullanın.

C. Azure Otomasyonu Hesabı Oluşturma

  1. Azure portalı'ndan Azure Otomasyonu Hesabı'na gidin.
  2. Üst kısımdaki + Ekle'ye tıklayın.
  3. Temel Bilgiler sekmesinde gerekli alanları doldurun ve Azure Otomasyonu bir ad verin.
  4. Gelişmiş ve Ağ ve Etiketler Sekmelerinde, özelleştirmeniz gerekmiyorsa alanları varsayılan olarak bırakın.
  5. 'Diğer tercih edilebilir yapılandırma değişikliklerini yap', gerekirse Oluştur'a tıklayın.

B. Exchange Online Yönetim Modülü, Microsoft Graph (Kimlik Doğrulaması, Kullanıcı ve Grup) Modülleri Ekleme

  1. Otomasyon Hesabı sayfasında Modüller'i seçin.
  2. Gözat galerisine tıklayın ve ExchangeOnlineManagement modülünde arama yapın.
  3. Seçin ve Seç'e tıklayın.
  4. Çalışma Zamanı sürüm alanında Sürüm 5.1'i seçin ve İçeri Aktar düğmesine tıklayın. Şu modüller için adımı yineleyin: 'Microsoft.Graph.Authentication', 'Microsoft.Graph.Users' ve 'Microsoft.Graph.Groups. Dikkat, sonraki modülleri işlemeden önce Microsoft.Graph.Authentication yüklemesini beklemeniz gerekir

C. Runbook İçeriğini İndirme

  1. ESI Collector'ın en son sürümünü indirin. En son sürüm burada bulunabilir: https://aka.ms/ESI-ExchangeCollector-Script
  2. JSON dosyasını ve sonraki adım için PS1 dosyasını bulmak için dosyanın sıkıştırmasını açın.

D. Runbook oluşturun

  1. Otomasyon Hesabı sayfasında Runbook'lar düğmesini seçin.
  2. Runbook oluştur'a tıklayın ve bunu PowerShell, Çalışma Zamanı Sürüm 5.1 runbook türüyle 'ESI-Collector' olarak adlandırıp 'Oluştur'a tıklayın.
  3. Runbook penceresinde önceki adımın PS1 dosyasının içeriğini içeri aktarın.
  4. Yayımla'ya tıklayın

E. GlobalConfiguration Değişkeni Oluşturma

  1. Otomasyon Hesabı sayfasında Değişkenler düğmesini seçin.
  2. Değişken Ekle'ye tıklayın ve bunu Dize türüyle 'GlobalConfiguration' olarak adlandırın.
  3. 'Değer' alanında, önceki adımın JSON dosyasının içeriğini kopyalayın.
  4. İçeriğin içinde WorkspaceID ve WorkspaceKey değerlerini değiştirin.
  5. 'Oluştur' düğmesine tıklayın.

F. TenantName Değişkeni Oluşturma

  1. Otomasyon Hesabı sayfasında Değişkenler düğmesini seçin.
  2. Değişken Ekle'ye tıklayın ve bunu Dize türüyle 'TenantName' olarak adlandırın.
  3. 'Değer' alanında, Exchange Online kiracı adını yazın.
  4. 'Oluştur' düğmesine tıklayın.

G. LastDateTracking Değişkeni Oluşturma

  1. Otomasyon Hesabı sayfasında Değişkenler düğmesini seçin.
  2. Değişken Ekle'ye tıklayın ve 'LastDateTracking' adını Dize türünde verin.
  3. 'Değer' alanına 'Asla' yazın.
  4. 'Oluştur' düğmesine tıklayın.

H. Runbook Zamanlaması Oluşturma

  1. Otomasyon Hesabı sayfasında Runbook düğmesini seçin ve oluşturduğunuz runbook'a tıklayın.
  2. Zamanlamalar ve Zamanlama ekle düğmesine tıklayın.
  3. Zamanla'ya tıklayın, Zamanlama Ekle'ye tıklayın ve adlandırin. Her 1 günde bir yinelenen değer'i seçin, 'Oluştur'a tıklayın.
  4. 'Parametreleri yapılandır ve ayarları çalıştır'a tıklayın. Tümünü boş bırakın ve Tamam ve Tamam'a yeniden tıklayın.

3. ADIM - Yönetilen Kimlik Hesabına Microsoft Graph İzni ve Exchange Online İzni Atama

Exchange Online bilgileri toplamak ve Kullanıcı bilgilerini ve yönetici gruplarının üye listesini alabilmek için otomasyon hesabının birden çok izne ihtiyacı vardır.

Betiklere Göre İzin Atama

C. İzin Betiğini İndir

İzin Güncelleştirmesi betiği

B. Azure Otomasyonu Yönetilen Kimlik GUID'sini alın ve indirilen betike ekleyin

  1. Kimlik Bölümünde Otomasyon Hesabınıza gidin. Yönetilen Kimliğinizin Guid değerini bulabilirsiniz.
  2. $MI_ID = "XXXXXXXXXXXXX" içindeki GUID değerini Yönetilen Kimliğinizin GUID değeriyle değiştirin.

C. Betiği Genel Yönetici hesabıyla başlatma

Bu betiğin dikkatine, Microsoft Graph ile kiracınıza erişmek için MSGraph Modülleri ve Yönetici Onayı gerekir. Betik Yönetilen kimliğe 3 izin ekler: 1. ManageAsApp izni 2'yi Exchange Online. Microsoft Graph API 3'te User.Read.All. Microsoft Graph API'da Group.Read.All

D. Rol Ataması Exchange Online

  1. Genel Yönetici olarak Roller ve Yöneticiler'e gidin.
  2. Genel Okuyucu rolü veya Güvenlik Okuyucusu'na tıklayın ve 'Ödev ekle'ye tıklayın.
  3. 'Üye seçilmedi' seçeneğine tıklayın ve Otomasyon hesabınızın adından başlayarak Yönetilen Kimlik hesabınızın Adı'nı 'ESI-Collector' gibi arayın. Seçin ve 'Seç'e tıklayın.
  4. İleri'ye tıklayın ve Ata'ya tıklayarak atamayı doğrulayın.



ExtraHop Algılamaları Veri Bağlayıcısı

Tarafından desteklenir:ExtraHop Desteği

ExtraHop Algılamaları Veri Bağlayıcısı, algılama verilerini ExtraHop RevealX'tan web kancası yükleri aracılığıyla Microsoft Sentinel aktarmanıza olanak tanır. Veriler, veri toplama kuralı (DCR) aracılığıyla Azure İzleme Günlüğü Alımı API'si kullanılarak alınır.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
ExtraHop_Detections_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Azure Abonelik: Azure Bir uygulamayı Microsoft Entra ID'a kaydetmek, bir Veri Toplama Uç Noktası, Veri Toplama Kuralı oluşturmak ve gerekli rolleri atamak için sahip rolüne sahip abonelik gereklidir.
  • Microsoft Entra Uygulama Kaydı: İstemci Gizli Anahtarı ile Microsoft Entra ID Uygulama Kaydı (Hizmet Sorumlusu) gereklidir. Dağıtımın Günlük Alımı API'si aracılığıyla günlükleri yayımlamak için gerekli rolü atayabilmesi için uygulamanın Nesne Kimliği sağlanmalıdır.
  • Microsoft.Web/sites izinleri: İşlev Uygulaması oluşturmak için Azure İşlevleri okuma ve yazma izinleri gereklidir. Daha fazla bilgi için bkz. Azure İşlevleri.
  • ExtraHop RevealX izinleri: ExtraHop RevealX sisteminizde aşağıdakiler gereklidir:
  1. RevealX sisteminizin üretici yazılımı sürüm 9.9.2 veya üzerini çalıştırıyor olması gerekir.
  2. RevealX sisteminizin ExtraHop Cloud Services bağlı olması gerekir.
  3. Kullanıcı hesabınızın RevealX 360'ta Sistem Yönetimi ayrıcalıklarına veya RevealX Enterprise'da Tam Yazma ayrıcalıklarına sahip olması gerekir.

Kurulum Yönergeleri:

NOT: Bu bağlayıcı Azure İşlevleri kullanarak ExtraHop web kancası yüklerini alır ve Azure İzleme Günlüğü Alımı API'sini (DCR tabanlı alım) kullanarak bunları Microsoft Sentinel alır. Bu, eski Log Analytics HTTP Veri Toplayıcı API'sinin yerini alır. Bu, ek veri alımı maliyetlerine neden olabilir. Ayrıntılar için Azure İşlevleri fiyatlandırma sayfasına bakın.

(İsteğe Bağlı Adım) API kimlik bilgilerini Azure Key Vault güvenli bir şekilde depolayın. Azure Key Vault, anahtar değerlerini depolamak ve almak için güvenli bir mekanizma sağlar. Azure İşlev Uygulaması ile Azure Key Vault kullanmak için bu yönergeleri izleyin.

NOT: Bu veri bağlayıcısı, çözümün bir parçası olarak dağıtılan kusto işlevini temel alan ayrıştırıcının beklendiği gibi çalışmasına bağlıdır. İşlev kodunu Log Analytics'te görüntülemek için Log Analytics/Microsoft Sentinel Günlükleri dikey penceresini açın, İşlevler'e tıklayın ve ExtraHopDetections diğer adını arayın ve işlev kodunu yükleyin veya buraya tıklayın. Çözümün yüklenmesi/güncelleştirildikten sonra işlevin etkinleştirilmesi genellikle 10-15 dakika sürer.

Yapılandırma:

ADIM 1 - Microsoft Entra ID'da Uygulama için Uygulama Kaydı adımları

Bu tümleştirme için Azure portal bir Uygulama kaydı gerekir. Microsoft Entra ID'da yeni uygulama oluşturmak için bu bölümdeki adımları izleyin:

  1. Azure portalda oturum açın.
  2. Microsoft Entra ID arayın ve seçin.
  3. Yönet'in altında Yeni kayıt'ı Uygulama kayıtları > seçin.
  4. Uygulamanız için görünen bir Ad girin (ör. ExtraHopSentinelConnector).
  5. İlk uygulama kaydını tamamlamak için Kaydet'i seçin.
  6. Kayıt tamamlandığında, Azure portal uygulama kaydının Genel Bakış bölmesini görüntüler. Uygulama (istemci) kimliğini ve Kiracı Kimliğini görürsünüz. ExtraHop Veri Bağlayıcısı'nın yürütülmesi için yapılandırma parametreleri olarak istemci kimliği ve Kiracı Kimliği gereklidir.

Başvuru bağlantısı:/azure/active-directory/develop/quickstart-register-app

ADIM 2 - Microsoft Entra ID'de uygulama için istemci gizli dizisi ekleme

Bazen uygulama parolası olarak adlandırılan istemci gizli dizisi, ExtraHop Veri Bağlayıcısı'nın yürütülmesi için gereken bir dize değeridir. Yeni bir İstemci Gizli Anahtarı oluşturmak için bu bölümdeki adımları izleyin:

  1. Azure portal, Uygulama kayıtları uygulamanızı seçin.
  2. Sertifikalar & gizli diziler > İstemci gizli dizileri Yeni istemci gizli dizisi'ni >seçin.
  3. Gizli anahtarınız için bir açıklama ekleyin.
  4. Gizli dizi için bir süre sonu seçin veya özel bir yaşam süresi belirtin. Sınır 24 aydır.
  5. Ekle'yi seçin.
  6. Gizli anahtarın değerini istemci uygulama kodunuzda kullanmak üzere kaydedin. Bu gizli dizi değeri, siz bu sayfadan ayrıldıktan sonra bir daha görüntülenmez. Gizli dizi değeri, ExtraHop Veri Bağlayıcısı'nın yürütülmesi için yapılandırma parametresi olarak gereklidir.

Başvuru bağlantısı:/azure/active-directory/develop/quickstart-register-app#add-a-client-secret

3. ADIM - uygulamanızın Nesne Kimliğini Microsoft Entra ID

Uygulama kaydınızı oluşturduktan sonra Nesne Kimliğini almak için bu bölümdeki adımları izleyin:

  1. Microsoft Entra ID gidin.
  2. Soldaki menüden Kurumsal uygulamalar'ı seçin.
  3. Yeni oluşturduğunuz uygulamayı listede bulun (sağladığınız ada göre arama yapabilirsiniz).
  4. Uygulamaya tıklayın.
  5. Genel bakış sayfasında Nesne Kimliğini kopyalayın. Bu, ARM şablonu rol atamanız için gereken AzureEntraObjectID değeridir .

ADIM 4 - ExtraHop Veri Bağlayıcısı Dağıtma

ÖNEMLİ: ExtraHop Veri bağlayıcısını dağıtmadan önce, Microsoft Entra ID Uygulama Kaydı ayrıntılarını (İstemci Kimliği, İstemci Gizli Anahtarı, Kiracı Kimliği ve Nesne Kimliği) hazır olarak kullanılabilir duruma getirin.

ExtraHop Algılamaları Veri Bağlayıcısı'nı dağıtma:

ExtraHop Algılama verileri bağlayıcısının otomatik dağıtımı için bu yöntemi kullanın.

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.ms

  2. Tercih edilen Abonelik, Kaynak Grubu ve Bölge'yi seçin.

  3. Aşağıdaki bilgileri girin:

    a. FunctionName - İşlev Uygulaması adını girin (tüm ilgili kaynakları adlandırmak için kullanılır). 1-11 karakter uzunluğunda olmalıdır. Varsayılan: ExtraHop

    b. Konum - Veri toplama kurallarının ve veri toplama uç noktalarının dağıtılacağı konum

    c. WorkspaceName - Log Analytics çalışma alanının Microsoft Sentinel Çalışma Alanı Adını girin

    d. AzureClientId - Uygulama kaydı sırasında oluşturduğunuz Azure İstemci Kimliğini girin

    e. AzureClientSecret - İstemci gizli dizisini oluştururken oluşturduğunuz Azure gizli dizisini girin

    f. AzureEntraObjectID - Microsoft Entra Uygulamanızın Nesne kimliğini girin

    G. TenantId - Microsoft Entra ID kiracı kimliğini girin

    H. DetectionsTableName - ExtraHop Algılama günlüklerini depolamak için kullanılan tablonun adını girin. Varsayılan değer 'ExtraHop_Detections'

    i. LogLevel - Hata Ayıklama, Bilgi, Hata, Uyarı'dan günlük düzeyi veya günlük önem derecesi değerini seçin. Varsayılan olarak Bilgi olarak ayarlanır

    J. AppInsightsWorkspaceResourceID - 29 Şubat 2024'e kadar kullanımdan kaldırılan Klasik Application Insights'ı Log Analytic Çalışma Alanına geçirin. 'Kaynak Kimliği' özellik değerine sahip 'Log Analytic Workspace-->Properties' dikey penceresini kullanın. Bu, '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}' biçiminde olan tam bir resourceId'dir.

  4. Yukarıda belirtilen hüküm ve koşulları kabul ediyorum etiketli onay kutusunu işaretleyin.

  5. Dağıtmak için Satın Al'a tıklayın.

ADIM 5 - Dağıtım Sonrası

Başarılı bir dağıtımdan sonra ExtraHop RevealX'tan Microsoft Sentinel web kancası bağlantısını yapılandırın.

1) İşlev Uygulaması uç noktasını alma

  1. Azure işlevine genel bakış sayfasına gidin ve İşlevler sekmesine tıklayın.
  2. ExtraHopHttpStarter adlı işleve tıklayın.
  3. İşlev URL'sini Al'a gidin ve varsayılan (İşlev anahtarı) altında bulunan işlev URL'sini kopyalayın.
  4. Kopyalanan işlev URL'sindeki {functionname} öğesini ExtraHopDetectionsOrchestrator ile değiştirin.

2) Microsoft Sentinel için bağlantı yapılandırma ve RevealX'ten web kancası yük ölçütlerini belirtme

ExtraHop sisteminizden, Microsoft Sentinel ile ExtraHop RevealX arasında bağlantı kurmak ve web kancası verilerini Microsoft Sentinel gönderecek algılama bildirim kuralları oluşturmak için Microsoft Sentinel tümleştirmesini yapılandırın. Ayrıntılı yönergeler için bkz. ExtraHop RevealX'ı Microsoft Sentinel SIEM ile tümleştirme.

Bildirim kuralları yapılandırıldıktan ve Microsoft Sentinel web kancası verilerini aldıktan sonra İşlev Uygulaması tetikler ve Log Analytics çalışma alanı özel tablosundan ExtraHop algılamalarını görüntüleyebilirsiniz. Verilerin normalleştirilmiş görünümü için ExtraHopDetections ayrıştırıcı işlevini kullanın.



F5 BIG-IP

Tarafından desteklenir:F5 Networks

F5 güvenlik duvarı bağlayıcısı, F5 günlüklerinizi kolayca Microsoft Sentinel bağlamanıza, panoları görüntülemenize, özel uyarılar oluşturmanıza ve araştırmayı geliştirmenize olanak tanır. Bu, kuruluşunuzun ağı hakkında daha fazla içgörü sağlar ve güvenlik işlemi özelliklerinizi geliştirir.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
F5Telemetry_LTM_CL Evet Evet
F5Telemetry_system_CL Evet Evet
F5Telemetry_ASM_CL Hayır Hayır

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Kurulum Yönergeleri:

F5 BIGIP'i yapılandırma ve bağlama

F5 BIGIP'inizi bağlamak için sistemin API uç noktasına bir JSON bildirimi göndermeniz gerekir. Bunun nasıl yapılacağını açıklayan yönergeler için bkz. F5 BGIP'yi Microsoft Sentinel ile tümleştirme.

  • Çalışma Alanı Kimliği: <Yükleme zamanında sağlanan değişken değeri>
  • Birincil Anahtar: <Yükleme zamanında sağlanan değişken değeri>



Feedly IoC

Tarafından desteklenir:Feedly Inc

Feedly IoC veri bağlayıcısı, Feedly API'den Compromise Indicators'u Microsoft Sentinel'deki yerel ThreatIntelIndicators tablosuna alır. Göstergeler, Microsoft Sentinel tehdit-istihbarat eşleştirme, analitik ve avlanma süreçlerine diğer TIP entegrasyonlarıyla aynı şekilde (örneğin Upload Indicators API üzerinden Recorded Future) katıldıkları şekilde SourceSystem == "Feedly" etiketlenir.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
ThreatIntelIndicators Evet Hayır

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Feedly API erişimi: Feedly API'sine erişim gereklidir. Almak istediğiniz IoC akışlarına erişimi olan bir Feedly API belirtecine ihtiyacınız vardır. ADRESINDE API belirtecinizi oluşturma https://feedly.com/i/team/api

Kurulum Yönergeleri:

Microsoft Sentinel'de IoCs toplamaya başlamak için Feedly'ye bağlanın

  1. https://feedly.com/i/team/api adresine gidin ve bağlayıcı için yeni bir API belirteci oluşturun.
  2. Microsoft Sentinel'de, Feedly API Anahtarı ve Akış ID'lerinizi girin, ardından Bağla' tuşuna tıklayın.
  3. Göstergeler, SourceSystem Feedly ile yerel ThreatIntelIndicators tablosuna yazılır. Onları şu şekilde sorgulayın: ThreatIntelIndicators | burada SourceSystem == "Feedly"
  • Feedly API Anahtarı: (Feedly API belirtecinizi girin)
  • Feedly Stream kimlikleri: (streamId1,streamId2,streamId3)
  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



Microsoft 365 için filewall

Desteklenen:Filewall

Filewall'dan Microsoft Sentinel'e (Exchange, SharePoint, OneDrive ve Teams) olayları alın.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
FilewallExchange_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Filewall API erişimi: Filewall API anahtarı gereklidir.

Kurulum Yönergeleri:

Bağlantı ekle tuşuna tıklayın, Filewall API anahtarınızı yapıştırın ve Bağla'na tıklayın. Bu, 4 anket bağlantısı oluşturacak (Exchange, SharePoint, OneDrive, Teams).

  • Veri Bağlayıcıları Kılavuzu (portalda yapılandır)



FireCompass Riskleri

Desteklenen:FireCompass

FireCompass veri bağlayıcısı, FireCompass API'sinden risk ve güvenlik açığı verilerinin Microsoft Sentinel'e aktarılmasına olanak tanır. Veri bağlayıcısı, Microsoft Sentinel Codeless Connector Framework üzerine inşa edilmiştir.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
FCRisks_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Kurulum Yönergeleri:

FireCompass API için yapılandırma adımları FireCompass platformundan API Token'ınızı oluşturun ve aşağıya yapıştırarak bağlayıcıyı doğrulamak için yapıştırın.

  • FIRECOMPASS Yönetim URL'si: (https://example.FIRECOMPASSTEST.net/)
  • API uç nokta yolu: (/internal_risks/v1/risk)
  • FireCompass API Token: (API Token'ı Girin)
  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



Flare Anında İletme Bağlayıcısı

Tarafından desteklenir:Flare

Flare bağlayıcısı, tehdit bilgileri ve açığa çıkarma verilerini Flare'den Microsoft Sentinel alma özelliği sağlar. Flare, sızdırılan kimlik bilgileri, kullanıma sunulan bulut kovaları, darkweb bahsetmeleri ve daha fazlası gibi insan hatası veya kötü amaçlı saldırılar nedeniyle şirketinizin dijital varlıklarını genel kullanıma sunar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
FireworkV2_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Microsoft Entra: Microsoft Entra ID'da uygulama kaydı oluşturma izni.
  • Microsoft Azure: Veri toplama kuralında (DCR) İzleme Ölçümleri Yayımcısı rolü atama izni.
  • Flare: Flare'da Microsoft Sentinel tümleştirmesini yapılandırma izni.

Kurulum Yönergeleri:

1. ARM Kaynakları Oluşturma ve Gerekli İzinleri Sağlama

Bu bağlayıcı, Flare'ın tehditlere maruz kalma verilerini Microsoft Sentinel göndermesini sağlar. Flare'da veri iletme etkinleştirildiğinde ham olay verileri Microsoft Sentinel Alma API'sine güvenli bir şekilde gönderilir.

Otomatik Yapılandırma ve Entra Uygulaması ile Güvenli Veri Alımı "Dağıt" seçeneğine tıklanırken Log Analytics tabloları ve Veri Toplama Kuralı (DCR) oluşturulur. Ardından bir Entra uygulaması oluşturur, DCR'yi buna bağlar ve uygulamaya girilen gizli diziyi ayarlar. Bu kurulum, verilerin Entra belirteci kullanılarak DCR'ye güvenli bir şekilde gönderilmesini sağlar.

2. Flare'ı Günlükleri Microsoft Sentinel Gönderecek Şekilde Yapılandırma

Flare'ı çalışma alanınıza günlük gönderecek şekilde yapılandırmak için aşağıdaki parametreleri kullanın.

  • Entra Uygulama (İstemci) Kimliği: <yükleme zamanında sağlanan değişken değeri>
  • Entra Dizin (Kiracı) Kimliği: <yükleme zamanında sağlanan değişken değeri>
  • Entra Uygulama Kaydı Gizli Anahtarı: <yükleme zamanında sağlanan değişken değeri>
  • Günlük Alımı URL'si: <yükleme zamanında sağlanan değişken değeri>

3. Uyarı Kanalını Flare'de Yapılandırma

Kuruluş yöneticisi olarak, Flare'da bir Uyarı Kanalını Sentinel'e veri gönderecek şekilde yapılandırabilirsiniz.

  1. Flare üzerinde kimlik doğrulaması
  2. Yeni bir uyarı kanalı oluşturmak için uyarılar sayfasına erişin.
  3. 'Microsoft Sentinel' öğesini seçin ve formdaki yukarıdaki alanları kopyalayın.

Diğer ayrıntılar için Flare belgelerine bakın.



Forcepoint DLP

Tarafından desteklenir:Community

Forcepoint DLP (Veri Kaybı Önleme) bağlayıcısı, DLP olay verilerini Forcepoint DLP'den Microsoft Sentinel gerçek zamanlı olarak otomatik olarak dışarı aktarmanızı sağlar. Bu, kullanıcı etkinlikleri ve veri kaybı olaylarının görünürlüğünü zenginleştirir, Azure iş yükleri ve diğer akışlardan gelen verilerle daha fazla bağıntı sağlar ve Microsoft Sentinel içindeki Çalışma Kitapları ile izleme özelliğini geliştirir.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
ForcepointDLPEvents_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Kurulum Yönergeleri:

Bu bağlayıcıyı yapılandırmak üzere Microsoft Sentinel için Forcepoint DLP belgelerindeki adım adım yönergeleri izleyin.

  • Çalışma Alanı Kimliği: <Yükleme zamanında sağlanan değişken değeri>
  • Birincil Anahtar: <Yükleme zamanında sağlanan değişken değeri>



Forescout

Tarafından desteklenir:Microsoft Corporation

Forescout veri bağlayıcısı, Forescout olaylarını Microsoft Sentinel'e alma özelliği sağlar. Daha fazla bilgi için Forescout belgelerine bakın.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
ForescoutEvent Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Kurulum Yönergeleri:

NOT: Bu veri bağlayıcısı, Microsoft Sentinel Çözümü ile dağıtılan ForescoutEvent'in beklendiği gibi çalışması için Kusto İşlevine dayalı ayrıştırıcıya bağlıdır.

NOT: Bu veri bağlayıcısı Forescout Syslog Eklentisi sürümü kullanılarak geliştirilmiştir: v3.6

1. Aracıyı Linux veya Windows için yükleme ve ekleme

Aracıyı Forescout günlüklerinin iletildiği Sunucuya yükleyin.

Linux veya Windows sunucularında dağıtılan Forescout Server günlükleri Linux veya Windows aracıları tarafından toplanır.

Linux aracısının yükleneceği yeri seçin:

Azure Linux Sanal Makinesine aracı yükleme

Aracıyı yüklenecek makineyi seçin ve bağlan'a tıklayın.

  • Yükleme Aracısı: <Yükleme zamanında sağlanan değişken değeri>

aracıyı Azure Linux olmayan bir Makineye yükleme

Aracıyı ilgili makineye indirin ve yönergeleri izleyin.

  • Yükleme Aracısı: <Yükleme zamanında sağlanan değişken değeri>

Windows aracısının yükleneceği yeri seçin:

Azure Windows Sanal Makinesi'ne aracı yükleme

Aracıyı yüklenecek makineyi seçin ve bağlan'a tıklayın.

  • Yükleme Aracısı: <Yükleme zamanında sağlanan değişken değeri>

aracıyı Azure olmayan bir Windows Makinesine yükleme

Aracıyı ilgili makineye indirin ve yönergeleri izleyin.

  • Yükleme Aracısı: <Yükleme zamanında sağlanan değişken değeri>

2. Toplanacak günlükleri yapılandırın

Toplamak istediğiniz tesisleri ve önem derecelerini yapılandırın.

  1. Çalışma alanı gelişmiş ayarları Yapılandırma'nın altında Veri'yi ve ardından Syslog'ı seçin.
  2. Aşağıdaki yapılandırmayı makinelerime uygula'yı seçin ve tesisleri ve önem derecelerini seçin.
  3. Kaydet'e tıklayın.
  • Yükleme Aracısı: <Yükleme zamanında sağlanan değişken değeri>

3. Forescout olay iletmeyi yapılandırma

Forescout günlüklerini Microsoft Sentinel almak için aşağıdaki yapılandırma adımlarını izleyin.

  1. Yapılandıracak Aleti seçin.
  2. Uyarıları Forescout platformundan syslog sunucusuna iletmek için bu yönergeleri izleyin.
  3. Syslog Tetikleyicileri sekmesinde ayarları yapılandırın.



Fortinet FortiNDR Bulutu

Tarafından desteklenir:Fortinet

Fortinet FortiNDR Bulut veri bağlayıcısı, FortiNDR Bulut API'sini kullanarak Fortinet FortiNDR Bulut verilerini Microsoft Sentinel alma özelliği sağlar

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
FortinetFortiNdrCloudRaw_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • Microsoft.Web/sites izinleri: İşlev Uygulaması oluşturmak için Azure İşlevleri okuma ve yazma izinleri gereklidir. Daha fazla bilgi için bkz. Azure İşlevleri.
  • Meta Akış Kimlik Bilgileri: Olay verilerini almak için AWS Erişim Anahtarı Kimliği, AWS Gizli Erişim Anahtarı, FortiNDR Bulut Hesabı Kodu gereklidir.
  • API Kimlik Bilgileri: Algılama verilerini almak için FortiNDR Bulut API Belirteci, FortiNDR Bulut Hesabı UUID gereklidir.

Kurulum Yönergeleri:

NOT: Bu bağlayıcı, FortiNDR Cloud API'den logları güvenli bir şekilde Microsoft Sentinel'e çekmek için Azure İşlevleri üzerinden kurumsal uygulama entegrasyon modeli kullanır. Bu dağıtım, veri alımı ve hesaplama maliyetleri getirebilir. Ayrıntılar için Azure İşlevleri fiyatlandırma sayfasına bakın.

(Isteğe bağlı adım) API yetkilendirme anahtar(lar)ını veya token(ler)ini Azure Key Vault'ta güvenli bir şekilde depolayın. Azure Key Vault, anahtar değerlerini depolamak ve almak için güvenli bir mekanizma sağlar. Azure İşlev Uygulaması ile Azure Key Vault kullanmak için bu yönergeleri izleyin.

NOT: Bu bağlayıcı alanları normalleştirmek için Kusto İşlevi'ne dayalı ayrıştırıcı kullanır. Kusto işlev diğer adı Fortinet_FortiNDR_Cloud oluşturmak için bu adımları izleyin.

ADIM 1 - Bağlayıcıyı ve ilgili Azure Fonksiyonunu dağıtın

ÖNEMLI: Fortinet FortiNDR Bulut bağlayıcısını dağıtmadan önce, aşağıdaki değeri kolayca erişilebilir hale getirin.

  • Çalışma Alanı Kimliği: <Yükleme zamanında sağlanan değişken değeri>

STEP 2 - Azure Resource Manager (ARM) Template

Fortinet FortiNDR Bulut bağlayıcısının otomatik dağıtımı için bu yöntemi kullanın.

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.ms

  2. Tercih edilen Abonelik, Kaynak Grubu ve Konum'a tıklayın.

  3. Dağıtmak için Oluştur'a tıklayın.



Fortra Agari Veri Bağlayıcısı (Kodsuz Bağlayıcı Çerçevesi aracılığıyla)

Tarafından desteklenir:Microsoft Corporation

Fortra Agari Veri Bağlayıcısı, Fortra Agari Marka Koruma (BP) ve Oltalama Savunması (APD) API'lerinden logların Microsoft Sentinel'e aktarılmasına olanak tanır. Verimli sorgu yürütme için DCR tabanlı alım süresi dönüşümlerini destekler. Daha fazla bilgi için Agari API belgelerine bakın .

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
AgariBPAlertsLog_CL Hayır Hayır
AgariAPDPolicyLog_CL Hayır Hayır
AgariAPDTCLog_CL Hayır Hayır
AgariBPThreatFeedSubs_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Kurulum Yönergeleri:

Agari API bağlantıları

Bağımsız Agari kiracı bağlantılarını ekleyin ve yönetin.

  • Veri Bağlayıcıları Kılavuzu (portalda yapılandır)



Gambit Güvenlik Politikası Sorunları (Push)

Desteklenen:Gambit Security

Gambit Güvenlik bağlantısı, kaynaklar, etkilenen sistem ve politika bağlamıyla zenginleştirilmiş Gambit Güvenlik politikası sorunlarını Microsoft Sentinel'e aktarma yeteneği sunar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
GambitPoliciesIssues_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • Microsoft Entra: Microsoft Entra ID'da uygulama kaydı oluşturma izni. Genellikle Entra Kimliği Uygulama Geliştirici rolü veya üzeri gerekir.
  • Microsoft Azure: Veri toplama kuralında (DCR) İzleme Ölçümleri Yayımcısı rolü atama izni. Genellikle Azure RBAC Sahibi veya Kullanıcı Erişimi Yöneticisi rolü gerektirir

Kurulum Yönergeleri:

1. ARM Kaynakları Oluşturma ve Gerekli İzinleri Sağlama

Bu bağlayıcı, Gambit Security'nin politika sorunlarını Microsoft Sentinel Ingestion API'si üzerinden yönlendirdiği Log Analytics tablosu ve Veri Toplama Kuralı (DCR)'yi sağlar.

Entra Uygulaması ile Otomatik Yapılandırma ve Güvenli Veri Alımı "Dağıt" seçeneğine tıklanması Log Analytics tablolarının ve veri toplama kuralının (DCR) oluşturulmasını tetikler. Ardından bir Entra uygulaması oluşturur, DCR'yi buna bağlar ve uygulamaya girilen gizli diziyi ayarlar. Bu kurulum, verilerin Entra belirteci kullanılarak DCR'ye güvenli bir şekilde gönderilmesini sağlar.

2. Günlüklerinizi çalışma alanına gönderme

Politika sorunlarını çalışma alanına gönderecek şekilde Gambit Güvenliği'ni yapılandırmak için aşağıdaki parametreleri kullanın.

  • Kiracı Kimliği (Dizin Kimliği): <Yükleme zamanında sağlanan değişken değeri>
  • Entra Uygulama Kaydı Uygulama Kimliği: <yükleme zamanında sağlanan değişken değeri>
  • Entra Uygulama Kaydı Gizli Anahtarı: <yükleme zamanında sağlanan değişken değeri>
  • Veri Toplama Uç Noktası Uri'si: <yükleme zamanında sağlanan değişken değeri>
  • Veri Toplama Kuralı Sabit Kimliği: <yükleme zamanında sağlanan değişken değer>
  • Politika Sorunları Akış Adı: <kurulum zamanında sağlanan değişken değer>



Garrison ULTRA Uzak Günlükleri (Azure İşlevleri kullanarak)

Tarafından desteklenir:Garrison

Garrison ULTRA Uzak Günlükler bağlayıcısı, Garrison ULTRA Uzak Günlüklerini Microsoft Sentinel almanızı sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
Garrison_ULTRARemoteLogs_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • Garrison ULTRA: Bu veri bağlayıcısını kullanmak için etkin bir Garrison ULTRA lisansına sahip olmanız gerekir.

Kurulum Yönergeleri:

Dağıtım - Azure Resource Manager (ARM) Şablonu

Bu adımlar, ARM Tempate kullanarak Garrison ULTRA Uzak Günlükler veri bağlayıcısının otomatik dağıtımını özetler.

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    portal.azure.com

  2. Kaynak Grubu, Microsoft Sentinel Çalışma Alanı ve alım yapılandırmaları gibi gerekli ayrıntıları sağlayın

NOT: Bu kaynakların dağıtımı için yeni bir Kaynak Grubu oluşturmanız önerilir. 3. Yukarıda belirtilen hüküm ve koşulları kabul ediyorum etiketli onay kutusunu işaretleyin. 4. Dağıtmak için Satın Al'a tıklayın.



GCP Bulut Çalıştırması (Kodsuz Bağlayıcı Çerçevesi aracılığıyla)

Tarafından desteklenir:Microsoft Corporation

GCP Cloud Run veri bağlayıcısı, Pub/Sub kullanarak Bulut Çalıştırması istek günlüklerini Microsoft Sentinel alma özelliği sağlar. Diğer ayrıntılar için Bulut Çalıştırması'na Genel Bakış'a bakın.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
GCPCloudRun Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Kurulum Yönergeleri:

**GCP Cloud Run'ı Microsoft Sentinel'a bağlama **

  • Kiracı Kimliği: GcP ortamında Terraform yapılandırmasında giriş olarak kullanılan benzersiz bir tanımlayıcı.: <Yükleme zamanında sağlanan değişken değeri>
  1. Bulut Çalıştırma günlüklerini etkinleştirme Google Bulut Konsolu'nda, daha önce etkinleştirilmemişse bulut günlüğünü etkinleştirin ve değişiklikleri kaydedin. Cloud Run hizmetlerinizi günlüğe kaydetme etkin olarak dağıtın veya güncelleştirin.

Başvuru Bağlantısı: Belgelere bağlantı

  1. Yeni toplayıcıları bağlama GCP Bulut Çalıştırma İstek Günlüklerini Microsoft Sentinel etkinleştirmek için Yeni toplayıcı ekle düğmesine tıklayın, açılır pencerede gerekli bilgileri sağlayın ve Bağlan'a tıklayın.



GCP Cloud SQL (Kodsuz Bağlayıcı Çerçevesi aracılığıyla)

Tarafından desteklenir:Microsoft Corporation

GCP Cloud SQL veri bağlayıcısı, GCP Cloud SQL API'sini kullanarak Denetim günlüklerini Microsoft Sentinel alma özelliği sağlar. Daha fazla bilgi için GCP bulut SQL Denetim Günlükleri belgelerine bakın.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
GCPCloudSQL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Kurulum Yönergeleri:

GCP Cloud SQL'i Microsoft Sentinel bağlama

  • Kiracı Kimliği: GCP ortamında terraform yapılandırmasında giriş olarak kullanılan benzersiz tanımlayıcı.: <Yükleme zamanında sağlanan değişken değeri>

  1. Google Cloud Console'da, daha önce etkinleştirilmemişse Cloud SQL API'sini etkinleştirin ve değişiklikleri kaydedin.

  2. Yeni toplayıcıları bağlama GCP Cloud SQL Günlüklerini Microsoft Sentinel için etkinleştirmek için Yeni toplayıcı ekle düğmesine tıklayın, bağlam bölmesinde gerekli bilgileri doldurun ve Bağlan'a tıklayın.



GCP Pub/Alt Denetim Günlükleri

Tarafından desteklenir:Microsoft Corporation

Microsoft Sentinel bağlayıcısından alınan Google Cloud Platform (GCP) denetim günlükleri, üç tür denetim günlüğü yakalamanızı sağlar: yönetici etkinlik günlükleri, veri erişim günlükleri ve saydamlık günlüklerine erişim. Google bulut denetim günlükleri, uygulayıcıların Google Cloud Platform (GCP) kaynakları genelinde erişimi izlemek ve olası tehditleri algılamak için kullanabileceği bir iz kaydeder.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
GCPAuditLogs Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Kurulum Yönergeleri:

  • Kiracı Kimliği: GcP ortamında Terraform yapılandırmasında giriş olarak kullanılan benzersiz bir tanımlayıcı.: <Yükleme zamanında sağlanan değişken değeri>
  1. Yeni toplayıcıları bağlama GCP Denetim Günlüklerini Microsoft Sentinel için etkinleştirmek için Yeni toplayıcı ekle düğmesine tıklayın, bağlam bölmesinde gerekli bilgileri doldurun ve Bağlan'a tıklayın.



GCP Pub/Sub Load Balancer Günlükleri (Kodsuz Bağlayıcı Çerçevesi aracılığıyla).

Tarafından desteklenir:Microsoft Corporation

Google Cloud Platform (GCP) Load Balancer günlükleri, hem gelen hem de giden etkinlikleri yakalayarak ağ trafiği hakkında ayrıntılı içgörüler sağlar. Bu günlükler, erişim desenlerini izlemek ve GCP kaynakları arasında olası güvenlik tehditlerini tanımlamak için kullanılır. Ayrıca bu günlükler GCP Web Uygulaması Güvenlik Duvarı (WAF) günlüklerini de içerir ve riskleri etkili bir şekilde algılama ve azaltma yeteneğini geliştirir.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
GCPLoadBalancerLogs_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Kurulum Yönergeleri:

  • Kiracı Kimliği: GcP ortamında Terraform yapılandırmasında giriş olarak kullanılan benzersiz bir tanımlayıcı.: <Yükleme zamanında sağlanan değişken değeri>
  1. Load Balancer günlüklerini etkinleştirme GCP hesabınızda Load Balancer bölümüne gidin. Burada [Arka Uç Hizmeti] -> [Düzenle] bölümüne geçebilirsiniz. [Günlük] bölümündeki [Arka Uç Hizmeti] bölümüne girdiğinizde [Günlükleri Etkinleştir] onay kutusunu etkinleştirin. Kuralı açtıktan sonra Günlükler bölümünün altındaki iki durumlu düğmeyi Açık olarak değiştirin ve değişiklikleri kaydedin.

Daha fazla bilgi için: Belgelere bağlantı

  1. Yeni toplayıcıları bağlama GCP Load Balancer Günlüklerini Microsoft Sentinel için etkinleştirmek için Yeni toplayıcı ekle düğmesine tıklayın, bağlam bölmesinde gerekli bilgileri doldurun ve Bağlan'a tıklayın.



GCP Pub/Sub VPC Akış Günlükleri (Kodsuz Bağlayıcı Çerçevesi aracılığıyla)

Tarafından desteklenir:Microsoft Corporation

Google Cloud Platform (GCP) VPC Akış Günlükleri, ağ trafiği etkinliğini VPC düzeyinde yakalamanıza olanak tanıyarak erişim desenlerini izlemenize, ağ performansını analiz etmenizi ve GCP kaynakları genelinde olası tehditleri algılamanıza olanak tanır.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
GCPVPCFlow Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Kurulum Yönergeleri:

  • Kiracı Kimliği: GcP ortamında Terraform yapılandırmasında giriş olarak kullanılan benzersiz bir tanımlayıcı.: <Yükleme zamanında sağlanan değişken değeri>
  1. VPC Akış Günlüklerini etkinleştirme GCP hesabınızda VPC ağ bölümüne gidin. İzlemek istediğiniz alt ağı seçin ve Günlük bölümünde Akış Günlükleri'ni etkinleştirin.

Daha fazla bilgi için: Google Cloud Belgeleri

  1. Yeni toplayıcıları bağlama GCP VPC Akış Günlüklerini Microsoft Sentinel için etkinleştirmek için Yeni toplayıcı ekle düğmesine tıklayın, bağlam bölmesinde gerekli bilgileri doldurun ve Bağlan'a tıklayın.



Gigamon AMX Bağlayıcısı

Tarafından desteklenir:Gigamon

Gigamon bağlayıcısı, gigamon'dan ham olay verilerini Microsoft Sentinel okuma özelliği sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
GigamonV2_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • Microsoft Entra: Microsoft Entra ID'da uygulama kaydı oluşturma izni. Genellikle Entra Kimliği Uygulama Geliştirici rolü veya üzeri gerekir.
  • Microsoft Azure: Veri toplama kuralında (DCR) İzleme Ölçümleri Yayımcısı rolü atama izni. Genellikle Azure RBAC Sahibi veya Kullanıcı Erişimi Yöneticisi rolü gerektirir

Kurulum Yönergeleri:

1. ARM Kaynakları Oluşturma ve Gerekli İzinleri Sağlama

Bu bağlayıcı, Gigamon CCF'nin Bir Microsoft Analytics Çalışma Alanında kullandığı tablolardaki verileri okur. Gigamon CCF'de veri iletme seçeneği etkinse ham olay verileri Microsoft Sentinel Alma API'sine gönderilir.

Entra Uygulaması ile Otomatik Yapılandırma ve Güvenli Veri Alımı "Dağıt" seçeneğine tıklanması Log Analytics tablolarının ve veri toplama kuralının (DCR) oluşturulmasını tetikler. Ardından bir Entra uygulaması oluşturur, DCR'yi buna bağlar ve uygulamaya girilen gizli diziyi ayarlar. Bu kurulum, verilerin Entra belirteci kullanılarak DCR'ye güvenli bir şekilde gönderilmesini sağlar.

2. Günlüklerinizi çalışma alanına gönderme

Makinenizi günlükleri çalışma alanına gönderecek şekilde yapılandırmak için aşağıdaki parametreleri kullanın.

  • Kiracı Kimliği (Dizin Kimliği): <Yükleme zamanında sağlanan değişken değeri>
  • Entra Uygulama Kaydı Uygulama Kimliği: <yükleme zamanında sağlanan değişken değeri>
  • Entra Uygulama Kaydı Gizli Anahtarı: <yükleme zamanında sağlanan değişken değeri>
  • Veri Toplama Uç Noktası Uri'si: <yükleme zamanında sağlanan değişken değeri>
  • Veri Toplama Kuralı Sabit Kimliği: <yükleme zamanında sağlanan değişken değer>
  • Etkinlik Stream Adı: <yükleme zamanında sağlanan değişken değeri>
  • Tehdit Stream Adı: <yükleme zamanında sağlanan değişken değeri>



GitHub (Web kancalarını kullanarak)

Tarafından desteklenir:Microsoft Corporation

GitHub web kancası veri bağlayıcısı, GitHub web kancası olaylarını kullanarak GitHub abone olunan olayları Microsoft Sentinel alma özelliği sağlar. Bağlayıcı, olası güvenlik risklerini incelemeye, ekibinizin işbirliği kullanımını analiz etmeye, yapılandırma sorunlarını tanılamaya ve daha fazlasına yardımcı olan olayları Microsoft Sentinel alma olanağı sağlar.

Not: Github Denetim günlüklerini almak istiyorsanız lütfen "Veri Bağlayıcıları" galerisinden GitHub Kurumsal Denetim Günlüğü Bağlayıcısı'na bakın.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
githubscanaudit_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Microsoft.Web/sites izinleri: İşlev Uygulaması oluşturmak için Azure İşlevleri okuma ve yazma izinleri gereklidir. Daha fazla bilgi için bkz. Azure İşlevleri.

Kurulum Yönergeleri:

NOT: Bu bağlayıcı http tetikleyicisi tabanlı Azure İşlevi üzerine kurulmuştur. Ayrıca github'ın web kancası özelliği aracılığıyla bağlanacağı ve abone olunan olayları Microsoft Sentinel'a göndereceği bir uç nokta sağlar. Bu, ek veri alımı maliyetlerine neden olabilir. Ayrıntılar için Azure İşlevleri fiyatlandırma sayfasına bakın.

(İsteğe Bağlı Adım) Çalışma alanını ve API yetkilendirme anahtarlarını veya belirteçlerini Azure Key Vault güvenli bir şekilde depolayın. Azure Key Vault, anahtar değerlerini depolamak ve almak için güvenli bir mekanizma sağlar. Azure İşlev Uygulaması ile Azure Key Vault kullanmak için bu yönergeleri izleyin.

Bağlayıcıyı ve ilişkili Azure İşlevini dağıtmak için aşağıdaki iki dağıtım seçeneğinden Bİr'i seçin

ÖNEMLİ: Github Web Kancası bağlayıcısını dağıtmadan önce Çalışma Alanı Kimliği ve Çalışma Alanı Birincil Anahtarına sahip olun (aşağıdakilerden kopyalanabilir).

  • Çalışma Alanı Kimliği: <Yükleme zamanında sağlanan değişken değeri>
  • Birincil Anahtar: <Yükleme zamanında sağlanan değişken değeri>

Seçenek 1 - Azure Resource Manager (ARM) Şablonu

ARM Tempate kullanarak GitHub veri bağlayıcısının otomatik dağıtımı için bu yöntemi kullanın.

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.ms

  2. Tercih edilen Abonelik, Kaynak Grubu ve Konum'a tıklayın.

NOT: Aynı kaynak grubunda Windows ve Linux uygulamalarını aynı bölgede karıştırıp dağıtamazsınız. 3. Yukarıda belirtilen hüküm ve koşulları kabul ediyorum etiketli onay kutusunu işaretleyin. 5. Dağıtmak için Satın Al'a tıklayın.

Seçenek 2 - Azure İşlevleri El ile Dağıtımı

GitHub web kancası veri bağlayıcısını Azure İşlevleri (Visual Studio Code aracılığıyla dağıtım) ile el ile dağıtmak için aşağıdaki adım adım yönergeleri kullanın.

1. Adım - İşlev Uygulaması Dağıtma

  1. Azure İşlev Uygulaması dosyasını indirin. Arşivi yerel geliştirme bilgisayarınıza ayıklayın.
  2. VSCode kullanarak Azure İşlevleri uygulamasını dağıtmak için işlev uygulaması el ile dağıtım yönergelerini izleyin.
  3. İşlev uygulamasının başarıyla dağıtılmasından sonra, bunu yapılandırmak için sonraki adımları izleyin.

2. Adım - İşlev Uygulamasını Yapılandırma

  1. İşlev Uygulaması yapılandırması için Azure portalı'na gidin.
  2. İşlev Uygulamasında İşlev Uygulaması Adı'nı ve ardından Yapılandırma'yı seçin.
  3. Uygulama ayarları sekmesinde Yeni uygulama ayarı'nı seçin.
  4. İlgili dize değerleriyle (büyük/küçük harfe duyarlı) aşağıdaki uygulama ayarlarının her birini tek tek ekleyin: WorkspaceID WorkspaceKey logAnalyticsUri (isteğe bağlı) - Ayrılmış bulut için log Analytics API uç noktasını geçersiz kılmak için logAnalyticsUri kullanın. Örneğin, genel bulut için değeri boş bırakın; Azure GovUS bulut ortamı için değeri şu biçimde belirtin: https://<CustomerId>.ods.opinsights.azure.us.
  5. Tüm uygulama ayarları girildikten sonra Kaydet'e tıklayın.

Dağıtım Sonrası adımları

ADIM 1 - Azure İşlev url'sini almak için

  1. Azure işleve Genel Bakış sayfasına gidin ve sol dikey penceredeki "İşlevler"e tıklayın.
  2. "GithubwebhookConnector" adlı işleve tıklayın.
  3. "GetFunctionurl" bölümüne gidin ve işlev url'sini kopyalayın.

ADIM 2 - Web Kancasını Github Organization'a yapılandırma

  1. GitHub'a gidin, hesabınızı açın ve "Kuruluşlarınız" seçeneğine tıklayın.
  2. Ayarlar'a tıklayın.
  3. "Web Kancaları" seçeneğine tıklayın ve yük URL'si metin kutusu altında yukarıdaki 1. ADIM'dan kopyalanan işlev uygulaması URL'sini girin.
  4. İçerik türünü "application/json" olarak seçin.
  5. Olaylara abone olun ve "Web Kancası Ekle" seçeneğine tıklayın

Şimdi github Web Kancası yapılandırmasıyla işimiz bitti. Github olayları tetiklendiğinde ve 20 ila 30 dakika gecikmeden sonra (LogAnalytics'in kaynakları ilk kez çalıştırması için bir anlaşma olacağı için), Github'dan "githubscanaudit_CL" adlı LogAnalytics çalışma alanı tablosuna tüm işlem olaylarını görebilmeniz gerekir.

Diğer ayrıntılar için buraya tıklayın



GitHub (Web Kancalarını kullanarak) V2

Tarafından desteklenir:Microsoft Corporation

GitHub web kancası veri bağlayıcısı (V2), abone olunan GitHub olayları GitHub web kancası olaylarını kullanarak Microsoft Sentinel alma özelliği sağlar. Bu bağlayıcı, Yönetilen Kimlik kimlik doğrulamasıyla Azure İzleyici GünlükLeri Alma API'sini (CLv2) kullanır ve Microsoft CLv2 ile değiştirdiği CLv1 HTTP Veri Toplayıcı API'sini (ODS uç noktası) kullanan özgün GitHub (Web Kancalarını kullanarak) bağlayıcısının atanmış ardılıdır.

Olaylar tabloya GitHubAdvancedSecurityAlerts_CL yazılır. githubscanaudit Ayrıştırıcı işlevi hem eski githubscanaudit_CL tablo hem de yeni GitHubAdvancedSecurityAlerts_CL tablo genelinde birleşik bir görünüm sağlar, böylece tüm mevcut çalışma kitapları, analiz kuralları ve tehdit avcılığı sorguları değiştirilmeden çalışmaya devam eder.

Not: Şu anda özgün GitHub (Web kancalarını kullanarak) bağlayıcısını kullanıyorsanız, her iki bağlayıcı da yan yana çalışabilir. Yinelenen veri alımını önlemek için, V2'nin düzgün çalıştığını onayladıktan sonra özgün V1 İşlev Uygulamasını durdurun. Bu bağlayıcı sayfasının alt kısmındaki geçiş yönergelerine bakın.

Not: GitHub Denetim günlüklerini almayı planlıyorsanız, "Veri Bağlayıcıları" galerisinden GitHub Kurumsal Denetim Günlüğü Bağlayıcısı'na bakın.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
GitHubAdvancedSecurityAlerts_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Microsoft.Web/sites izinleri: İşlev Uygulaması oluşturmak için Azure İşlevleri okuma ve yazma izinleri gereklidir. Daha fazla bilgi için bkz. Azure İşlevleri.
  • Microsoft. Yetkilendirme/roleAssignments izinleri: Kaynak grubu kapsamında rol atamaları oluşturma izinleri gereklidir. Bu, İşlev Uygulamasının Yönetilen Kimliğine Veri Toplama Kuralında İzleme Ölçümleri Publisher rolü vermek için gereklidir.

Kurulum Yönergeleri:

NOT: Bu bağlayıcı, Yönetilen Kimlik kimlik doğrulaması ile Günlük Alımı API'si (CLv2) kullanılarak HTTP tetikleyicisi tabanlı Azure İşlevi üzerine kurulmuştur. Çalışma Alanı Anahtarı yapılandırmaya gerek yoktur; kimlik doğrulaması, İşlev Uygulamasının sistem tarafından atanan yönetilen kimliği tarafından otomatik olarak işlenir. Bu, ek veri alımı maliyetlerine neden olabilir. Ayrıntılar için Azure İşlevleri fiyatlandırma sayfasına bakın.

(İsteğe Bağlı Adım) GitHub Web Kancası Gizli Dizisini Azure Key Vault güvenli bir şekilde depolayın. Azure İşlev Uygulaması ile Azure Key Vault kullanmak için bu yönergeleri izleyin.

Bağlayıcıyı ve ilişkili Azure İşlevini dağıtmak için aşağıdaki iki dağıtım seçeneğinden Bİr'i seçin

ÖNEMLİ: Github Web Kancası V2 bağlayıcısını dağıtmadan önce Log Analytics Çalışma Alanı Adı'nı hazır bulundurun. Bağlayıcı kaynakları (İşlev Uygulaması, DCE, DCR, tablo) aynı kaynak grubuna dağıtılmalıdır Log Analytics çalışma alanı olarak.

  • Çalışma Alanı Adı: <yükleme zamanında sağlanan değişken değeri>

Seçenek 1 - Azure Resource Manager (ARM) Şablonu

ARM Şablonu kullanarak GitHub V2 veri bağlayıcısının otomatik dağıtımı için bu yöntemi kullanın.

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    portal.azure.com

  2. Abonelik ve Kaynak Grubunu seçin; Log Analytics çalışma alanınızla aynı kaynak grubuna dağıtın.

NOT: Windows ve Linux uygulamalarını aynı bölge ve kaynak grubunda karıştıramazsınız. 3. Log Analytics çalışma alanınızın adı olan WorkspaceName değerini girin (tam kaynak kimliğini girin). 4. yük imzası doğrulamasını etkinleştirmek için isteğe bağlı olarak bir GithubWebhookSecret girin. 5. Yukarıda belirtilen hüküm ve koşulları kabul ediyorum etiketli onay kutusunu işaretleyin. 6. Dağıtmak için Satın Al'a tıklayın.

Seçenek 2 - Azure İşlevleri El ile Dağıtımı

GitHub V2 web kancası veri bağlayıcısını Azure İşlevleri ile el ile dağıtmak için aşağıdaki adım adım yönergeleri kullanın.

1. Adım - İşlev Uygulaması Dağıtma

  1. Azure İşlev Uygulaması dosyasını indirin. Arşivi yerel geliştirme bilgisayarınıza ayıklayın.
  2. VSCode kullanarak Azure İşlevleri uygulamasını dağıtmak için işlev uygulaması el ile dağıtım yönergelerini izleyin.
  3. İşlev uygulamasının başarıyla dağıtılmasından sonra, bunu yapılandırmak için sonraki adımları izleyin.

2. Adım - İşlev Uygulamasını Yapılandırma

  1. İşlev Uygulaması yapılandırması için Azure portalı'na gidin.
  2. İşlev Uygulamasında İşlev Uygulaması Adı'nı ve ardından Yapılandırma'yı seçin.
  3. Uygulama ayarları sekmesinde Yeni uygulama ayarı'nı seçin.
  4. Aşağıdaki uygulama ayarlarının her birini ilgili dize değerleriyle (büyük/küçük harfe duyarlı) tek tek ekleyin: DCE_ENDPOINT - Veri Toplama Uç Noktanızın günlük alma uç noktası DCR_RULE_ID - Veri Toplama Kuralınızın sabit Kimliği DCR_STREAM_NAME - GithubWebhookSecret Custom-GitHubAdvancedSecurityAlerts_CL (isteğe bağlı) - Yük doğrulaması için GitHub web kancası gizli diziniz
  5. Tüm uygulama ayarları girildikten sonra Kaydet'e tıklayın.
  6. İşlev Uygulamasında Sistem Tarafından Atanan Yönetilen Kimlik'in etkinleştirildiğinden emin olun.
  7. Yönetilen Kimliğe Veri Toplama Kuralınızda İzleme Ölçümleri Publisher rolü verin.

Dağıtım Sonrası adımları

ADIM 1 - Azure İşlev url'sini almak için

  1. Azure işleve Genel Bakış sayfasına gidin ve sol dikey penceredeki "İşlevler"e tıklayın.
  2. "GithubWebhookConnectorV2" adlı işleve tıklayın.
  3. "GetFunctionurl" bölümüne gidin ve işlev url'sini kopyalayın.

ADIM 2 - Web Kancasını Github Organization'a yapılandırma

  1. GitHub'a gidin, hesabınızı açın ve "Kuruluşlarınız" seçeneğine tıklayın.
  2. Ayarlar'a tıklayın.
  3. "Web Kancaları" seçeneğine tıklayın ve yük URL'si metin kutusu altında yukarıdaki 1. ADIM'dan kopyalanan işlev uygulaması URL'sini girin.
  4. İçerik türünü "application/json" olarak seçin.
  5. Olaylara abone olun ve "Web Kancası Ekle" seçeneğine tıklayın

Şimdi GitHub Web Kancası V2 yapılandırmasıyla işimiz bitti. GitHub olaylar tetiklendiğinde, 5 ila 10 dakika gecikmeden sonra, adlı GitHubAdvancedSecurityAlerts_CLLogAnalytics çalışma alanı tablosunda GitHub tüm işlem olaylarını görebilmeniz gerekir. githubscanaudit Hem eski githubscanaudit_CL hem de yeni GitHubAdvancedSecurityAlerts_CL tablolardaki verileri içeren birleşik bir görünüm için ayrıştırıcı işlevini kullanın.

⚠️ ÖNEMLİ: GitHub Web Kancası V1'den V2'ye geçiş

Şu anda özgün GitHub (Web kancalarını kullanarak) bağlayıcısı (githubscanaudit_CLtablo) kullanıyorsanız, var olan verileri kesintiye uğratmadan veya çalışma kitaplarını ve analiz kurallarını bozmadan V2'ye geçiş yapmak için bu adımları izleyin. Başlamadan önce: Her iki bağlayıcı da yan yana çalışabilir. V1 verileri içindegithubscanaudit_CL, V2 verileri ise içinde yer alırGitHubAdvancedSecurityAlerts_CL. githubscanaudit() Ayrıştırıcı işlevi, geçiş sırasında ve sonrasında tüm çalışma kitapları, analiz kuralları ve tehdit avcılığı sorguları değişmeden çalışmaya devam etmek için her iki tabloyu da bir araya getirir. Geçiş Adımları:

  1. V1 ile birlikte V2'yi dağıtın. GitHub Web Kancası V2 İşlev Uygulamasını dağıtmak için yukarıdaki tüm adımları tamamlayın. V1'i henüz kaldırmayın.

  2. V2'nin olayları aldığını doğrulayın. GitHub Kuruluş ayarlarınızdaki (Ayarlar → Web Kancaları) yeni V2 İşlev Uygulaması URL'sine işaret eden GitHub web kancası yük URL'sini güncelleştirin. Bazı GitHub olayları tetikler ve verilerin 5-10 dakika içinde göründüğünü GitHubAdvancedSecurityAlerts_CL onaylayın.

  3. Birleşik ayrıştırıcıyı doğrulayın. hem V1 hem de V2 verilerinin aynı şema altında göründüğünü onaylamak için Log Analytics'da çalıştırıngithubscanaudit() | sort by TimeGenerated desc | take 50.

  4. V1 İşlev Uygulamasını devre dışı bırakın. V2'nin çalıştığı onaylandıktan sonra, yinelenen olay alımını önlemek için özgün V1 İşlev Uygulamasını durdurun:

    • Azure portal, özgün GitHub Web Kancası V1 İşlev Uygulaması'na gidin.
    • Yürütmeyi durdurmak için Genel Bakış'ın altında Durdur'a tıklayın.
    • İsteğe bağlı olarak, GitHub web kancası yük URL'sini yalnızca V2 uç noktasına işaret eden şekilde güncelleştirin.

  5. V1 verilerini koruyun. githubscanaudit_CL Tablo verileri, Log Analytics çalışma alanı bekletme ilkenize tabidir. Eylem gerekmez; geçmiş V1 verileri, bekletme ayarlarınıza göre yaşlanıncaya kadar üzerinden githubscanaudit() sorgulanabilir olmaya devam eder.

⚠✔ Uyarı: V2'nin tamamen çalışır durumda olduğunu ve artık geri almanız gerekmediğini doğrulaya kadar V1 İşlev Uygulaması kaynaklarını silmeyin. Her ikisini de aynı anda çalıştırmak aynı anda GitHub yalnızca bir web kancası URL'si etkin olduğu sürece yinelenen alma işlemine neden olur.



GitHub Kurumsal Denetim Günlüğü (Azure Depolama aracılığıyla)

Tarafından desteklenir:Microsoft Corporation

GitHub denetim günlüğü bağlayıcısı, neredeyse gerçek zamanlı gecikme süresiyle Azure Blob Depolama GitHub Kurumsal denetim günlüklerini Microsoft Sentinel alır. GitHub, denetim günlüklerini neredeyse gerçek zamanlı olarak Blob Depolama akışla aktarır ve bağlayıcı 5 dakikada bir (varsayılan yoklama aralığı) blob tarafından oluşturulan yeni bildirimler için Azure Depolama Kuyruğunu yoklar. GitHub denetim günlüklerini Microsoft Sentinel bağlayarak bu verileri çalışma kitaplarında görüntüleyebilir, özel uyarılar oluşturabilir ve araştırma sürecinizi geliştirebilirsiniz.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
GitHubAuditLogsV3_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Microsoft Entra ID - Yönetici Onayı (kiracı başına bir kerelik): Bağlayıcı, depolama hesabınıza erişmek için Microsoft ScubaSentinelToStorageProd kurumsal uygulamasını kullanır. Bu uygulama kiracınızda daha önce onaylanmamışsa, devam etmeden önce aşağıdaki rollerden birine sahip bir kullanıcının bağlayıcı sayfasında 'Kiracı genelinde yönetici onayı ver' seçeneğine tıklaması gerekir:
  • Bulut Uygulaması Yöneticisi(gerekli en düşük rol)
  • Uygulama Yöneticisi
  • Genel Yönetici

Not: Bu, kiracı başına tek seferlik bir eylemdir. Hizmet sorumlusu zaten varsa (scubaSentinelToStorageProd kullanan başka bir bağlayıcı daha önce bu kiracıda yapılandırıldıysa), hizmet sorumlusu kimliği otomatik olarak doldurulur ve hiçbir eylem gerekmez.

  • Abonelik izinleri: Bağlayıcının veri akışı kaynaklarını dağıtmak için aşağıdaki izinlere ihtiyacınız vardır:
  • Event Grid, depolama kuyrukları, DCR ve ilgili bağlayıcı kaynaklarını dağıtmak için abonelikte veya kaynak grubunda katkıda bulunan rolü.
  • Depolama Hesabında Sahip veya Kullanıcı Erişim Yöneticisi rolü - Microsoft Sentinel servis prensibine ve Create seçildiğinde Event Grid sistem konağının yönetilen kimliğine RBAC rollerini atamak.
  • Depolama Hesabında Sahip veya Event Grid Katkıcı rolü - Event Grid sistem konularını oluşturmak veya güncellemek, sistem tarafından atanan kimliği etkinleştirmek ve etkinlik aboneliklerini oluşturmak veya güncellemek için.

Not: Kaynak sağlayıcısının Microsoft.EventGrid depolama hesabını içeren aboneliğe kayıtlı olması gerekir.

  • Depolama Hesabı Gereksinimleri: Azure Blob Depolama hesabı aşağıdaki gereksinimleri karşılamalıdır:
  • Azure Data Lake Storage 2. Nesil (hiyerarşik ad alanı etkin) - standart depolama hesapları desteklenmez.
  • GitHub Kurumsal denetim günlüğü akışını alacak şekilde yapılandırılmış bir blob kapsayıcısı.
  • Depolama Hesabı Ağ Yapılandırması: Ip tabanlı ağ kuralları (seçili ağlar / IPv4 CIDR), Azure Depolama güvenlik duvarı kısıtlamaları ve sınırlamaları nedeniyle bu bağlayıcı için desteklenmez:
  • IP ağ kurallarının, depolama hesabıyla aynı Azure bölgeden gelen istekler üzerinde hiçbir etkisi yoktur.
  • BU hizmetler iletişim için özel Azure IP adresleri kullandığından, IP ağ kuralları aynı bölgede dağıtılan Azure hizmetlere erişimi kısıtlayamaz.
  • Sanal ağ hizmet uç noktası kuralları eşleştirilmiş bir bölgedeki istemciler için geçerli değildir.

Seçenekler:

  • Ağ kısıtlaması gerekmiyor mu? Depolama hesabının Ağ dikey penceresini Tüm ağlardan Etkin olarak ayarlayın.
  • Erişimi kısıtlamanız mı gerekiyor? Scuba IPv4 adreslerini beyaz listeye almak için Ağ Güvenlik Çevresi (NSP) kullanın. Not: Şu anda NSP gelen kuralları için yalnızca IPv4 adresleri desteklenmektedir; IPv6 desteklenmez. Hizmet etiketlerini desteklemek için NSP ekibiyle devam eden bir çalışma var ve bu da gelecekte el ile IP yönetimi gereksinimini ortadan kaldıracak.

Önemli: ağ kurallarını GitHub IP aralıklarına göre yapılandırmayın. GitHub, denetim günlüğü akışının kaynağı olarak kararlı IP aralıkları sağlamaz ve bu IP'ler bildirimde bulunmaksızın değişebilir.

  • Olay Grid teslimat kimliği: Bağlayıcı, yeni veya mevcut bir Event Grid sistem konusunda sistem tarafından atanan yönetilen bir kimlik etkinleştirir. Bir konu adı sağlandığında, bağlayıcı konuyu güncellemeden önce okur; etiketlerini, eklenmiş kullanıcı tarafından atanan kimlikleri ve zaten etkinleştirilmiş sistem tarafından atanan prensip korunur. Bağlayıcı, konunun sistem tarafından atanan kimliğini kullanarak oluşturulan etkinlik aboneliğini her zaman oluşturur veya günceller; aboneliğin teslimat yapılandırması ve filtreleri konnektör tarafından yönetilir.

Hedef depolama hesabında bu kimliğe Depolama Kuyruğu Veri Mesajı Göndericisivermek için Oluştur seçeneğini seçin veya Event Grid Depolama Kuyruğu teslimatı için gerekli olduğunda kimlik zaten bu izne sahipken gönderici izni oluşturmayı atlamak için Mevcut Kullan'ı kullanın. Yeni bir konu veya yeni etkinleştirilmiş sistem tarafından atanan bir kimlik için Create kullanın. Hesap kapsamlı gönderici erişimi, o hesaptaki kuyruklara mesaj eklemeye olanak tanır; mesajları okumak veya silmek ya da bloblara erişmek mümkün değildir. Bu kimlik, mevcut ScubaSentinelToStorageProd koleksiyoncu uygulamasından ayrıdır; uygulama, değişmeden kalmaya devam eder ve lekeleri okumaya ve kuyruk mesajlarını tüketmeye devam eder. Mevcut bir konu, seçilen depolama hesabına ait olmalıdır.

Network Security Perimeter (NSP) kullanımı isteğe bağlıdır. Depolama hesabınız Zorunlu NSP'deyse, Event Grid konusunun aboneliğinden ve Scuba servisinin IPv4 aralıklarından gelen trafiğe izin verin; bu da Ağ güvenliğini etkinleştir bölümünde açıklanmıştır. Konnektör NSP'yi etkinleştirmez veya kurallarını, bağlantılarını veya erişim modunu değiştirmez.

Sistem tarafından atanan kimlik ek bir ücret içermez ve dağıtım scripti, konteyner örneği veya geçici depolama hesabı gerektirmez. Normal Olay Grid, Depolama ve Microsoft Sentinel ücretleri hâlâ geçerlidir.

  • Depolama Hesabı Rol Atamaları: Aşağıdaki Azure RBAC rolleri, blob kapsayıcınızı içeren Depolama Hesabı'nda Microsoft Sentinel kurumsal uygulama hizmet sorumlusuna (aşağıda görüntülenir) atanmalıdır:
  • Depolama Blobu Veri Okuyucusu - Kapsayıcıdan blob verilerini okumak için gereklidir.
  • Depolama Kuyruğu Verileri Katkıda Bulunanı - Bildirim ve teslim edilemeyen ileti kuyruğu iletilerini yönetmek için gereklidir.

Bu rolleri atamak için: Depolama Hesabı ->Access Control (IAM) ->Rol ataması ekle'ye gidin, aşağıda gösterilen hizmet sorumlusu kimliğini arayın ve her iki rolü de atayın.

  • Blob kapsayıcınızda GitHub denetim günlüklerini toplama: Azure Blob Depolama kapsayıcınızda denetim günlüğü akışını yapılandırmak için GitHub belgelerindeki adımları izleyin.

  • SAS token oluşturmak için rehber izlenirken, iki imza yöntemi desteklenir: Hesap anahtarı ve Kullanıcı devre anahtarı.

Hesap anahtarı yöntemi için, önce bir Stored Access Policy oluşturulmasını ve ardından bu politikaya bağlı SAS'ın oluşturulmasını öneririz.

SAS'ı bir poliçeye bağlamak, sunucu tarafında süresi bitmesini ve izinlerini değiştirmenizi veya iptal etmenize olanak tanır. Bu, tokenı yeniden çıkarmak yerine politikayı güncelleyerek sorunsuz bir dönüşüm sağlar.

Kurulum Yönergeleri:

GitHub Denetim Günlüklerini Microsoft Sentinel bağlama

GitHub Audit Log blob bağlantılarını eklemek ve yönetmek için bağlantı ızgarasını kullanın.

  • Veri Bağlayıcıları Kılavuzu (portalda yapılandır)

Blob Yaşam Döngüsü İlkesi (Önerilen)

Sınırsız depolama büyümesini önlemek için depolama hesabınızda bir yaşam döngüsü yönetimi ilkesi yapılandırarak saklama süresi (örneğin, 7 gün) sonrasında blobları otomatik olarak silin. Bağlayıcı denetim günlüklerini Microsoft Sentinel aldıktan sonra kaynak bloblara artık ihtiyaç duyulmaz.

Kapsayıcınız kapsamında bir yaşam döngüsü kuralı oluşturmak için:

  1. Depolama Hesabınız -> Veri yönetimi -> Yaşam döngüsü yönetimi'ne gidin.
  2. Kural ekle'ye tıklayın ve yapılandırın:
    • Kural adı: örneğin, github-audit-cleanup
    • Kural kapsamı: Filtre içeren blobları sınırla'yı seçin ve Ön ek eşleşmesini kapsayıcınızın adıyla ( örneğin) my-container/ayarlayın. Bu, kuralın yalnızca bu kapsayıcıdaki bloblar için geçerli olmasını sağlar.
    • Blob türü: Blok blobları.
    • Temel bloblar: En son 7 günden daha önce değiştirilmiş blobları silin (gerektiği şekilde ayarlayın).
  3. Kuralı kayıt edin.

Not: Her depolama hesabının birden çok kural içerebilen tek bir yönetim ilkesi vardır. Her kural, ön ek filtreleri aracılığıyla belirli bir kapsayıcıyı hedefleyebilir. Zaten bir yaşam döngüsü ilkeniz varsa, yeni bir kural oluşturmak yerine var olan ilkeye yeni bir kural ekleyin.

Referans

Azure Depolama bağlayıcısını günlükleri Microsoft Sentinel akışla aktaracak şekilde ayarlama hakkında ayrıntılı yönergeler için bkz. Azure Depolama bağlayıcıyı ayarlama.

Troubleshooting

Veri alımıyla ilgili sorunlarla karşılaşırsanız:

  • Yönetilen Kimlik Yetkilendirme Hatası - Event Grid sistem konusu'nun mevcut sistem tarafından atanan prensibinin, yalnızca bildirim kuyruğunda değil, hedef depolama hesabı kapsamında Depolama Kuyruğu Veri Mesajı Göndericisi olduğunu doğrulayın. O hibi oluşturmak için mevcut atlamaları kullanın; izinleri keşfetmez veya onarmaz. Bu, bağlantı formunda gösterilen Microsoft Sentinel hizmet prensibi değildir. RBAC yayılması: Connect Managed Identity Authorization Error ile başarısız olursa, yaklaşık beş dakika bekle ve aynı değerlerle tekrar dene. Çoğaltma süresi on dakikaya kadar sürebilir.

  • Tekrar denerken aynı konuyu ve kimliği koruyun. Konuyu yeniden yaratmak veya kimliğini değiştirmek farklı bir ilke yaratır ve yeni bir hibe gerektirir. Hata doğru hesap kapsamlı izin ile devam ederse, başarısız işlemin istek kimliğini ve destek için UTC zaman damgasını koruyun.

  • Event Grid abonelik oluşturma dahili bir hata ile başarısız olur veya göründükten sonra kaybolur - Başarısız dağıtım işlemini ve depolama hesabındaki Zorunlu NSP'yi kontrol edin. Event Grid, depolama hesabında Depolama Kuyruğu Veri Mesajı Gönderici erişimi ve NSP gelen abonelik kuralı ile sistem tarafından atanan yönetilen kimlik teslimatı kullanmalıdır. Abonelik, provisioning sırasında ortaya çıkabilir ve provisioning başarısız olursa geri alınabilir; bu, mutlaka tekrarlanmış bir kaynağın var olduğu anlamına gelmez. NSP tanı kayıtlarını inceleyin ve hata devam ederse destek için Event Grid istek kimliği ve UTC zaman damgasını koruyun.

  • Sistem durumu özelliğini etkinleştirme - Bağlayıcı sistem durumu özelliği etkinleştirilmemişse bağlayıcının durumunu izlemek ve sorunları erken algılamak için etkinleştirin.

  • Tanılama günlüklerini etkinleştirme - Sistem durumu sorunlarını tanımlamaya ve gidermeye yardımcı olmak için hem Depolama Hesabı hem de Event Grid kaynakları için tanılama günlüklerini etkinleştirmeyi göz önünde bulundurun .

  • Diğer ayrıntılar için bkz. Azure Depolama Blob bağlayıcısı sorunlarını giderme.



GitHub Enterprise Denetim Günlüğü (Kodsuz Bağlayıcı Çerçevesi aracılığıyla)

Tarafından desteklenir:Microsoft Corporation

GitHub denetim günlüğü bağlayıcısı, GitHub günlüklerini Microsoft Sentinel alma özelliği sağlar. GitHub denetim günlüklerini Microsoft Sentinel bağlayarak bu verileri çalışma kitaplarında görüntüleyebilir, özel uyarılar oluşturmak için kullanabilir ve araştırma sürecinizi geliştirebilirsiniz.

Not: GitHub abonesi olayları Microsoft Sentinel almak istiyorsanız lütfen "Veri Bağlayıcıları" galerisindeki GitHub (Web Kancalarını kullanarak) Bağlayıcısı'na bakın.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
GitHubAuditLogsV2_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • GitHub API'sinin kişisel erişim belirteci: Kurumsal denetim günlüğünde yoklamayı etkinleştirmek için kimliği doğrulanmış kullanıcının bir Enterprise yöneticisi olduğundan ve kapsamına sahip bir GitHub kişisel erişim belirtecine read:audit_log (klasik) sahip olduğundan emin olun.
  • GitHub Enterprise türü: Bu bağlayıcı yalnızca GitHub Enterprise Cloud ile çalışır; GitHub Enterprise Server'ı desteklemez.

Kurulum Yönergeleri:

GitHub Kurumsal Düzeyinde Denetim Günlüğü'nü Microsoft Sentinel bağlama

GitHub denetim günlüklerini etkinleştirin. Kişisel erişim belirtecinizi oluşturmak veya bulmak için bu kılavuzu izleyin.

  • Veri Bağlayıcıları Kılavuzu (portalda yapılandır)



Google ApigeeX (Codeless Connector Framework aracılığıyla)

Tarafından desteklenir:Microsoft Corporation

Google ApigeeX veri bağlayıcısı, Google Apigee API'sini kullanarak Denetim günlüklerini Microsoft Sentinel alma özelliği sağlar. Daha fazla bilgi için Google Apigee API belgelerine bakın.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
GCPApigee Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Kurulum Yönergeleri:

**Google ApigeeX'i Microsoft Sentinel bağlama **

  • Kiracı Kimliği: GcP ortamında Terraform yapılandırmasında giriş olarak kullanılan benzersiz bir tanımlayıcı.: <Yükleme zamanında sağlanan değişken değeri>

  1. ApigeeX günlüklerini etkinleştirme Google Cloud Console'da Apigee API'yi (önceden etkinleştirilmemişse) etkinleştirin ve değişiklikleri kaydedin.

  2. Yeni toplayıcıları bağlama ApigeeX Günlüklerini Microsoft Sentinel için etkinleştirmek için Yeni toplayıcı ekle düğmesine tıklayın, açılır pencerede gerekli bilgileri sağlayın ve Bağlan'a tıklayın.



Google Cloud Platform CDN (Codeless Connector Framework aracılığıyla)

Tarafından desteklenir:Microsoft Corporation

Google Cloud Platform CDN veri bağlayıcısı, Bulut CDN Denetim günlüklerini ve Bulut CDN Trafik günlüklerini İşlem Altyapısı API'sini kullanarak Microsoft Sentinel alma özelliği sağlar. Diğer ayrıntılar için Ürüne genel bakış belgesine bakın.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
GCPCDN Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Kurulum Yönergeleri:

**GCP CDN'yi Microsoft Sentinel bağlama **

  • Kiracı Kimliği: GcP ortamında Terraform yapılandırmasında giriş olarak kullanılan benzersiz bir tanımlayıcı.: <Yükleme zamanında sağlanan değişken değeri>
  1. CDN günlüklerini etkinleştirme Google Cloud Console'da daha önce etkinleştirilmemişse bulut günlüğünü etkinleştirin ve değişiklikleri kaydedin. Aşağıda sağlanan bağlantıya göre arka uçlar oluşturmak için Bulut CDN bölümüne gidin ve Kaynak ekle'ye tıklayın.

Başvuru Bağlantısı: Belgelere bağlantı

  1. Yeni toplayıcıları bağlama GCP Bulut CDN Günlüklerini Microsoft Sentinel için etkinleştirmek için Yeni toplayıcı ekle düğmesine tıklayın, açılır pencerede gerekli bilgileri sağlayın ve Bağlan'a tıklayın.



Google Cloud Platform Cloud IDS (Kodsuz Bağlayıcı Çerçevesi aracılığıyla)

Tarafından desteklenir:Microsoft Corporation

Google Cloud Platform IDS veri bağlayıcısı, Cloud IDS Trafik günlüklerini, Tehdit günlüklerini ve Denetim günlüklerini Google Cloud IDS API'sini kullanarak Microsoft Sentinel alma özelliği sağlar. Daha fazla bilgi için Cloud IDS API belgelerine bakın.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
GCPIDS Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Kurulum Yönergeleri:

**GCP Cloud IDS'yi Microsoft Sentinel bağlama **

  • Kiracı Kimliği: GcP ortamında Terraform yapılandırmasında giriş olarak kullanılan benzersiz bir tanımlayıcı.: <Yükleme zamanında sağlanan değişken değeri>
  1. IDS günlüklerini etkinleştirme Google Cloud Console'da, daha önce etkinleştirilmemişse Cloud IDS API'sini etkinleştirin. Bir IDS Uç Noktası oluşturun ve değişiklikleri kaydedin.

IDS uç noktası oluşturma ve yapılandırma hakkında daha fazla bilgi için: Belgelere bağlantı

  1. Yeni toplayıcıları bağlama GCP IDS Günlüklerini Microsoft Sentinel için etkinleştirmek için Yeni toplayıcı ekle düğmesine tıklayın, açılır pencerede gerekli bilgileri sağlayın ve Bağlan'a tıklayın.



Google Cloud Platform Bulut İzleme (Kodsuz Bağlayıcı Çerçevesi aracılığıyla)

Tarafından desteklenir:Microsoft Corporation

Google Cloud Platform Bulut İzleme veri bağlayıcısı, Google Bulut İzleme API'sini kullanarak İzleme günlüklerini Google Cloud'dan Microsoft Sentinel alır. Daha fazla ayrıntı için Bulut İzleme API'si belgelerine bakın.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
GCPMonitoring Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Kurulum Yönergeleri:

Google Cloud Platform Bulut İzleme'yi Microsoft Sentinel bağlama

  1. GCP İzleme Tümleştirmesini Ayarlama Günlükleri GCP Bulut İzleme'den Google bulutunun Sentinel Proje Kimliğine getirmek için gereklidir.

  2. Google Cloud Monitoring'den günlükleri toplamak için Ölçüm Türünü seçin ve gerekli Ölçüm türünü sağlayın.

Diğer ayrıntılar için bkz. Google Cloud Metrics.

  1. OAuth Kimlik Bilgileri Oauth istemci kimliğini ve istemci gizli dizisini getirmek için bu belgelere bakın.

  2. Sentinel bağlanın Google Cloud'dan Microsoft Sentinel'a izleme günlüklerini çekmeye başlamak için Bağlan'a tıklayın.

  • GCP Proje Kimliği:
  • Ölçüm Türü:
  • Veri Bağlayıcıları Kılavuzu (portalda yapılandır)



Google Cloud Platform İşlem Altyapısı (Kodsuz Bağlayıcı Çerçevesi aracılığıyla)

Tarafından desteklenir:Microsoft Corporation

Google Cloud Platform compute Engine veri bağlayıcısı, Google Cloud Compute Engine API'sini kullanarak İşlem Motoru Denetim günlüklerini Microsoft Sentinel alma özelliği sağlar. Daha fazla bilgi için Cloud Compute Engine API belgelerine bakın.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
GCPComputeEngine Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Kurulum Yönergeleri:

**GCP İşlem Altyapısını Microsoft Sentinel bağlama **

  • Kiracı Kimliği: GcP ortamında Terraform yapılandırmasında giriş olarak kullanılan benzersiz bir tanımlayıcı.: <Yükleme zamanında sağlanan değişken değeri>

  1. İşlem Altyapısı günlüklerini etkinleştirme Google Bulut Konsolu'nda, daha önce etkinleştirilmemişse İşlem Altyapısı API'sini etkinleştirin ve değişiklikleri kaydedin.

  2. Yeni toplayıcıları bağlama İşlem Altyapısı Günlüklerini Microsoft Sentinel için etkinleştirmek için Yeni toplayıcı ekle düğmesine tıklayın, açılır pencerede gerekli bilgileri sağlayın ve Bağlan'a tıklayın.



Google Cloud Platform DNS (Kodsuz Bağlayıcı Çerçevesi aracılığıyla)

Tarafından desteklenir:Microsoft Corporation

Google Cloud Platform DNS veri bağlayıcısı, Google Cloud DNS API'sini kullanarak Bulut DNS Sorgu günlüklerini ve Bulut DNS Denetim günlüklerini Microsoft Sentinel alma özelliği sağlar. Daha fazla bilgi için Bulut DNS API'si belgelerine bakın.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
GCPDNS Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Kurulum Yönergeleri:

**GCP DNS'yi Microsoft Sentinel bağlama **

NOT: hem Azure İşlevi hem de CCF bağlayıcısı aynı anda çalışıyorsa, tablolarda yinelenen veriler doldurulur.

  • Kiracı Kimliği: GcP ortamında Terraform yapılandırmasında giriş olarak kullanılan benzersiz bir tanımlayıcı.: <Yükleme zamanında sağlanan değişken değeri>
  1. DNS günlüklerini etkinleştirme Google Bulut Konsolu'nda Bulut DNS Bölümü'ne gidin. Daha önce etkinleştirilmemişse bulut günlüğünü etkinleştirin ve değişiklikleri kaydedin. Burada, mevcut bölgeleri yönetebilir veya yeni bir bölge oluşturup izlemek istediğiniz bölge için ilkeler oluşturabilirsiniz.

Daha fazla bilgi için: Belgelere bağlantı

  1. Yeni toplayıcıları bağlama GCP DNS Günlüklerini Microsoft Sentinel için etkinleştirmek için Yeni toplayıcı ekle düğmesine tıklayın, açılır pencerede gerekli bilgileri sağlayın ve Bağlan'a tıklayın.



Google Cloud Platform IAM (Codeless Connector Framework aracılığıyla)

Tarafından desteklenir:Microsoft Corporation

Google Cloud Platform IAM veri bağlayıcısı, Google Cloud içindeki Kimlik ve Erişim Yönetimi (IAM) etkinlikleriyle ilgili Denetim günlüklerini Google IAM API'sini kullanarak Microsoft Sentinel alma olanağı sağlar. Daha fazla bilgi için GCP IAM API belgelerine bakın.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
GCPIAM Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Kurulum Yönergeleri:

GCP IAM'yi Microsoft Sentinel bağlama

NOT: hem Azure İşlevi hem de CCF bağlayıcısı paralel çalışıyorsa, tablolarda yinelenen veriler doldurulur.

  • Kiracı Kimliği: GcP ortamında Terraform yapılandırmasında giriş olarak kullanılan benzersiz bir tanımlayıcı.: <Yükleme zamanında sağlanan değişken değeri>
  1. IAM günlüklerini etkinleştirmek için GCP hesabınızda IAM bölümüne gidin. Buradan, yeni bir kullanıcı oluşturabilir veya izlemek istediğiniz mevcut bir kullanıcının rolünü değiştirebilirsiniz. Değişikliklerinizi kaydettiğinizden emin olun..

Daha fazla bilgi için: Belgelere bağlantı

  1. Yeni toplayıcıları bağlama GCPIAM Günlüklerini Microsoft Sentinel için etkinleştirmek için Yeni toplayıcı ekle düğmesine tıklayın, bağlam bölmesinde gerekli bilgileri doldurun ve Bağlan'a tıklayın.



Google Cloud Platform NAT (Kodsuz Bağlayıcı Çerçevesi aracılığıyla)

Tarafından desteklenir:Microsoft Corporation

Google Cloud Platform NAT veri bağlayıcısı, İşlem Altyapısı API'sini kullanarak Bulut NAT Denetim günlüklerini ve Bulut NAT Trafik günlüklerini Microsoft Sentinel alma özelliği sağlar. Diğer ayrıntılar için Ürüne genel bakış belgesine bakın.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
GCPNATAudit Evet Evet
GCPNAT Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Kurulum Yönergeleri:

**GCP NAT'yi Microsoft Sentinel bağlama **

  • Kiracı Kimliği: GcP ortamında Terraform yapılandırmasında giriş olarak kullanılan benzersiz bir tanımlayıcı.: <Yükleme zamanında sağlanan değişken değeri>
  1. NAT günlüklerini etkinleştirme Google Bulut Konsolu'nda, daha önce etkinleştirilmemişse bulut günlüğünü etkinleştirin ve değişiklikleri kaydedin. Aşağıda sağlanan bağlantıya göre arka uçlar oluşturmak için Cloud NAT bölümüne gidin ve Kaynak ekle'ye tıklayın.

Başvuru Bağlantısı: Belgelere bağlantı

  1. Yeni toplayıcıları bağlama GCP Bulut NAT Günlüklerini Microsoft Sentinel için etkinleştirmek için Yeni toplayıcı ekle düğmesine tıklayın, açılır pencerede gerekli bilgileri sağlayın ve Bağlan'a tıklayın.



Google Cloud Platform Resource Manager (Codeless Connector Framework aracılığıyla)

Tarafından desteklenir:Microsoft Corporation

Google Cloud Platform Resource Manager veri bağlayıcısı, Cloud Resource Manager API'sini kullanarak Resource Manager Yönetici Etkinliği ve Veri Erişim Denetimi günlüklerini Microsoft Sentinel alma özelliği sağlar. Diğer ayrıntılar için Ürüne genel bakış belgesine bakın.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
GCPResourceManager Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Kurulum Yönergeleri:

**GCP Resource Manager Microsoft Sentinel bağlama **

  • Kiracı Kimliği: GcP ortamında Terraform yapılandırmasında giriş olarak kullanılan benzersiz bir tanımlayıcı.: <Yükleme zamanında sağlanan değişken değeri>

  1. Resource Manager günlüklerini etkinleştirme Google Cloud Console'da, daha önce etkinleştirilmemişse bulut kaynak yöneticisi API'sini etkinleştirin ve değişiklikleri kaydedin. Kaynak hiyerarşisindeki tüm günlükleri görmek için hesabınız için kuruluş düzeyinde IAM izinlerine sahip olduğundan emin olun. Bu bağlantıda sağlanan her düzeyde IAM ile erişim denetimi için farklı IAM izinleri için belge bağlantılarına başvurabilirsiniz

  2. Yeni toplayıcıları bağlama GCP Resource Manager Günlüklerini Microsoft Sentinel için etkinleştirmek için Yeni toplayıcı ekle düğmesine tıklayın, açılır pencerede gerekli bilgileri sağlayın ve Bağlan'a tıklayın.



Google Kubernetes Engine (Codeless Connector Framework aracılığıyla)

Tarafından desteklenir:Microsoft Corporation

Google Kubernetes Engine (GKE) Günlükleri küme etkinliğini, iş yükü davranışını ve güvenlik olaylarını yakalamanıza olanak tanıyarak Kubernetes iş yüklerini izlemenize, performansı analiz etmenizi ve GKE kümelerindeki olası tehditleri algılamanıza olanak tanır.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
GKEAudit Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Kurulum Yönergeleri:

  • Kiracı Kimliği: GcP ortamında Terraform yapılandırmasında giriş olarak kullanılan benzersiz bir tanımlayıcı.: <Yükleme zamanında sağlanan değişken değeri>

  1. Kubernetes Altyapısı Günlüğünü Etkinleştirme GCP hesabınızda Kubernetes Altyapısı bölümüne gidin. Kümeleriniz için Bulut Günlüğünü etkinleştirin. Bulut Günlüğü'nde API sunucusu, zamanlayıcı, denetleyici yöneticisi, HPA kararı ve uygulama günlükleri gibi almak istediğiniz belirli günlüklerin etkili izleme ve güvenlik analizi için etkinleştirildiğinden emin olun.

  2. Yeni toplayıcıları bağlama GKE Günlüklerini Microsoft Sentinel için etkinleştirmek için Yeni toplayıcı ekle düğmesine tıklayın, bağlam bölmesinde gerekli bilgileri doldurun ve Bağlan'a tıklayın.



Google Güvenlik Komut Merkezi

Tarafından desteklenir:Microsoft Corporation

Google Cloud Platform (GCP) Güvenlik Komut Merkezi, Sentinel bağlayıcısından alınan Google Cloud için kapsamlı bir güvenlik ve risk yönetimi platformudur. Kuruluşunuzun güvenlik ve veri saldırısı yüzeyi hakkında içgörü elde etmeye yardımcı olmak için varlık envanteri ve bulma, güvenlik açığı ve tehdit algılama, risk azaltma ve düzeltme gibi özellikler sunar. Bu tümleştirme, bulgular ve varlıklarla ilgili görevleri daha etkili bir şekilde gerçekleştirmenizi sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
GoogleCloudSCC Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Kurulum Yönergeleri:

  1. GCP ortamınızı ayarlama Şu GCP kaynaklarını tanımlamış ve yapılandırmış olmanız gerekir: konu başlığı, konu için abonelik, iş yükü kimlik havuzu, iş yükü kimlik sağlayıcısı ve abonelikten alma ve kullanma izinlerine sahip hizmet hesabı. Terraform, kaynakları oluşturan IAM için API sağlar. Terraform betiklerine bağlantı.
  • Kiracı Kimliği: GcP ortamında Terraform yapılandırmasında giriş olarak kullanılan benzersiz bir tanımlayıcı.: <Yükleme zamanında sağlanan değişken değeri>
  1. Yeni toplayıcıları bağlama GCP SCC'yi Microsoft Sentinel için etkinleştirmek için Yeni toplayıcı ekle düğmesine tıklayın, bağlam bölmesinde gerekli bilgileri doldurun ve Bağlan'a tıklayın.



Google Tehdit İstihbaratı İlgi Sistemi Uyarıları

Desteklenen: Google

Google Threat Intelligence (virustotal) veri bağlayıcısı, GTI Relevance System Alerts'i Microsoft Sentinel'e alır. Bağlayıcı, GTI Relevance System Alerts API'sini yapılandırılabilir bir takvim üzerinde sorar ve Relevance System Alerts verilerini RelevanceSystemAlerts_CL özel tabloda saklar; böylece güvenlik analistleri tehditleri araştırır, olayları ilişkilendirir ve Microsoft Sentinel çalışma alanında istihbarat odaklı uyarılara yanıt verir.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
RelevanceSystemAlerts_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Azure Aboneliği: Microsoft Entra ID'de bir uygulamayı kaydetmek ve katkıcı rolünü kaynak grubundaki uygulamaya atamak için sahip rolü olan bir Azure Aboneliği gereklidir.
  • Microsoft.Web/sites izinleri: İşlev Uygulaması oluşturmak için Azure İşlevleri okuma ve yazma izinleri gereklidir. Daha fazla bilgi için bkz. Azure İşlevleri.
  • Google Tehdit İstihbaratı API Anahtarı: Google Tehdit İstihbaratı API anahtarı ve proje kimliği gereklidir. API anahtarı nasıl alınacağını öğrenmek için GTI dokümantasyonuna bakabilirsiniz.

Kurulum Yönergeleri:

NOT: Bu bağlayıcı, Google Threat Intelligence Alerts API'sini yapılandırılabilir bir takvim üzerinde sormak ve GTI İlgi Sistemi Uyarılarını Microsoft Sentinel'daki RelevanceSystemAlerts_CL özel tabloya aktarmak için Azure Fonksiyon Uygulaması (Timer Trigger, Python 3.12) kullanır. Bu, ek veri alımı maliyetlerine neden olabilir. Ayrıntılar için Azure İşlevleri fiyatlandırma sayfasına bakın.

ADIM 1 - Google Threat Intelligence API kimlik bilgilerini edinin

  1. Google Threat Intelligence portalına (virustotal) giriş yapın.
  2. GTI project ayarlarınıza gidin ve Project ID'yi kopyalayın.
  3. Projeniz için bir API Anahtarı oluşturun ve güvenli bir şekilde kopyalayın.

ADIM 2 - Microsoft Entra ID'da Uygulama için Uygulama Kaydı adımları

Bu tümleştirme için Azure portal bir Uygulama kaydı gerekir. Microsoft Entra ID'da yeni uygulama oluşturmak için bu bölümdeki adımları izleyin:

  1. Azure portalda oturum açın.
  2. Microsoft Entra ID arayın ve seçin.
  3. Yönet'in altında Yeni kayıt'ı Uygulama kayıtları > seçin.
  4. Uygulamanız için bir gösterim adı girin (örneğin RelevanceSystemAlertsSentinelConnector).
  5. İlk uygulama kaydını tamamlamak için Kaydet'i seçin.
  6. Kayıt tamamlandığında, Azure portal uygulama kaydının Genel Bakış bölmesini görüntüler. Uygulama (istemci) kimliğini ve Dizin (Kiracı) Kimliğini kopyalayın — bunlar yapılandırma parametreleri olarak gereklidir.

Başvuru bağlantısı:/azure/active-directory/develop/quickstart-register-app

ADIM 3 - Microsoft Entra ID'de uygulama için bir istemci sırrı ekleyin

Bazen uygulama şifresi olarak adlandırılan istemci sırrı, konnektör için gereken bir dizim değeridir. Yeni bir İstemci Gizli Anahtarı oluşturmak için bu bölümdeki adımları izleyin:

  1. Azure portal, Uygulama kayıtları uygulamanızı seçin.
  2. Sertifikalar & gizli diziler > İstemci gizli dizileri Yeni istemci gizli dizisi'ni >seçin.
  3. Gizli anahtarınız için bir açıklama ekleyin.
  4. Gizli dizi için bir süre sonu seçin veya özel bir yaşam süresi belirtin. Sınır 24 aydır.
  5. Ekle'yi seçin.
  6. AzureClientSecret parametresi olarak kullanılmak üzere sırrın değerini kaydet. Bu gizli dizi değeri, siz bu sayfadan ayrıldıktan sonra bir daha görüntülenmez.

Başvuru bağlantısı:/azure/active-directory/develop/quickstart-register-app#add-a-client-secret

ADIM 4 - Microsoft Entra ID'de uygulamanızın Object ID'sini alın

Uygulama kaydınızı oluşturduktan sonra, Nesne Kimliği'ni almak için bu bölümdeki adımları takip edin:

  1. Microsoft Entra ID gidin.
  2. Soldaki menüden Kurumsal uygulamalar'ı seçin.
  3. Yeni oluşturduğunuz uygulamayı listede bulun (verdiğiniz isimle aramayın).
  4. Uygulamaya tıklayın.
  5. Genel bakış sayfasında Nesne Kimliği'ni kopyalayın. Bu, ARM şablon rol ataması için gereken AzureEntraObjectID'dir.

ADIM 5 - Bağlayıcıyı ve ilgili Azure Function Uygulamasını dağıtın

Azure Resource Manager (ARM) Şablonu

Bu yöntemi, GTI Relevance System Alerts konnektörünün otomatik olarak ARM Şablonu kullanılarak dağıtılması için kullanın.

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.msaka.ms

  2. Tercih edilen Abonelik, Kaynak Grubu ve Konum'a tıklayın.

  3. Aşağıdaki bilgileri girin:

    a. FunctionName - Azure Function Uygulaması için benzersiz bir isim girin (en fazla 11 karakter). Örnek: GTIRSAlerts

    b. Konum - Function Uygulaması ve destekleyici kaynaklar için Azure bölgesi. Varsayılan olarak kaynak grubu konumu kullanılır. Örnek: eastus

    c. WorkspaceName - Microsoft Sentinel Log Analytics çalışma alanı adını girin. Örnek: MyWorkspace

    d. AppInsightsWorkspaceResourceID - Application Insights için Log Analytics çalışma alanının tam nitelikli kaynak kimliğini girin. Biçim: /subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}

    e. AzureTenantID - STEP 2'de elde edilen Azure Tenant (Directory) ID'sini girin. Örnek: xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx

    f. AzureClientID - STEP 2'de elde edilen Uygulama (İstemci) Kimliğini girin. Örnek: xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx

    G. AzureClientSecret - STEP 3'te elde edilen istemci sırrı değerini girin.

    H. AzureEntraObjectID - STEP 4'te elde ettiğiniz Microsoft Entra uygulamanızın Nesne ID'sini girin. Örnek: xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx

    i. GTIProjectId - STEP 1'de elde edilen Google Threat Intelligence proje ID'sini girin. Örnek: my-gti-project-id. Nasıl başlayacağınızı öğrenmek için GTI dokümantasyonuna bakın.

    J. GTIApiKey - STEP 1'de elde edilen Google Threat Intelligence API anahtarını girin.

    Kahraman. GTIRelevanceSystemAlertsTableName - GTI Relevance System Alerts için özel tablonun adını girin. Eki _CL otomatik olarak eklenir. Maksimum 52 karakter (bu ek, _CL Log Analytics'in 57 karakterli tablo adı sınırına da dahil edilir). Varsayılan: RelevanceSystemAlerts

    L. StartDate - (İsteğe bağlı) Başlama tarih saatini formatında yyyy-mm-ddTHH:MM:SS[.fff]Z girin. Örnek: 2026-05-20T15:43:51Z. Geçmiş bir tarih olmalı. Sağlanmazsa, son 7 günün verileri alınır.

    M. GTIFilterExpression - (İsteğe bağlı) Hangi uyarıların alındığını daraltmak için bir GTI API filtre ifadesi girin. Örnek: state = "NEW". Her türlü audit.update_time koşul otomatik olarak kaldırılır — konnektör bu filtreyi dahili olarak yönetir. İfadeniz, kontrol noktası filtresiyle birleştirilir.AND

    n. Schedule - Zamanlayıcı tetikleme programı için geçerli bir Quartz Cron ifadesi girin. Varsayılan: 0 */10 * * * * (her 10 dakikada bir).

    o. LogLevel - Function App için log seviyesini ayarlayın. İzin verilen değerler: Debug, Info, Warning, Error. Varsayılan: Info.

    P. KeyVaultName - Tokenların saklanacağı keyvault'un adını girin.

  4. Yukarıda belirtilen hüküm ve koşulları kabul ediyorum etiketli onay kutusunu işaretleyin.

  5. Dağıtmak için Satın Al'a tıklayın.

ADIM 6 - Keyvault oluşturma

Yeni bir Keyvault oluşturmak için bu yönergeleri izleyin.

  1. Azure portal Anahtar kasaları'na gidin ve Oluştur'a tıklayın.
  2. Abonelik, Kaynak Grubu seçin ve anahtar kasanın benzersiz adını verin.

7. ADIM - Keyvault'ta Erişim İlkesi Oluşturma

Keyvault'ta erişim ilkesi oluşturmak için bu yönergeleri izleyin.

  1. Keyvaults'a gidin, keyvault'unuzu seçin, sol taraftaki panelde Erişim ilkeleri'ne gidin, oluştur'a tıklayın.
  2. Gizli dizi izinleri & tüm anahtarları seçin. İleri'ye tıklayın.
  3. Ana bölümde, STEP - 5'te dağıtılmış fonksiyon uygulaması adını arayın. İleri'ye tıklayın.

Not: Key Vault'un Erişim Yapılandırmasında İzin modelinin 'Vault erişim politikası' olarak ayarlandığından emin olun

ADIM 8 - Veri Alımını Doğrulayın

Dağıtımdan sonra, verilerin Microsoft Sentinel'e aktarıldığını doğrulayın:

  1. Microsoft Sentinel → Logs'a gidin.
  2. Aşağıdaki sorguyu çalıştırın:
RelevanceSystemAlerts_CL
| sort by TimeGenerated desc
| limit 10
  1. Veriler, ilk fonksiyon çalıştırıldığından sonra 5–10 dakika içinde görünmelidir.
  2. Veri bağlayıcıları sayfasındaki konnektör durumu, son 30 gün içinde veri alındığında Bağlı olduğunu gösterir.

Sorun Giderme Konnektörü Bağlantısı Kesildiğini gösteriyor

  • Function Uygulamasının çalıştığını doğrulayın: Azure portal → Function App → Genel Bakış → Durum Çalışıyor olmalı.
  • Son 30 gün içinde alınan verilerin alındığını doğrulayın.
  • Application Insights kayıtlarını hatalar için inceleyin.

Kimlik doğrulama hataları (401 / 403)

  • Function App → Configuration → Application settings'te AzureClientID, AzureClientSecret ve AzureTenantID'nin doğru olduğunu doğrulayın.
  • İstemci sırrının süresi dolmadığından emin olun.
  • Uygulama Kaydı'nın yeterli izinlere sahip olduğunu doğrulayın.

RelevanceSystemAlerts_CL tabloda veri yok

  • Function App → Functions → RelevanceSystemAlerts → Monitor'da çalıştırma hatalarını kontrol edin.
  • GTI API anahtarı ve proje kimliğinin geçerli olduğunu doğrulayın.
  • Kaynak API'nin Azure'dan erişilebilip olduğunu doğrulayın.
  • Application Insights izlerini inceleyin:
traces
| where timestamp > ago(1h)
| order by timestamp desc
| take 50

Hız sınırı hataları (429)

  • Bağlayıcı, üstel geriye çekilme ile otomatik olarak yeniden deneme yapar. Hatalar devam ederse, Schedule cron aralığını artırarak anket sıklığını azaltın.



Google Tehdit İstihbaratı Zayıflıkları (CCF)

Desteklenen: Google

Google Threat Intelligence (GTI) Zayıflıklar veri bağlayıcısı, Google Threat Intelligence (VirusTotal) Collections API'sinden Zayıflık toplama nesnelerini Codeless Connector Framework (CCF) kullanarak Microsoft Sentinel'e alır — dağıtmak için Azure Fonksiyonu veya ajanı yoktur.

Bağlayıcı, GTI API anahtarınızla (başlıkta gönderilen x-apikey ) kimlik doğrulama yapar, sorguyu her zaman 'ye collection_type:vulnerabilitykadar kapsama alır, son modifikasyon tarihine göre yükselen şekilde sıralar (önce değiştirilen nesneler) ve her döngü yalnızca önceki anketten sonra değiştirilmiş güvenlik açıklarını geri aldığı bir dönen zaman penceresinde anket yapar. Aramayı geliştirmek için isteğe bağlı bir serbest biçimli filtre sağlanabilir (örneğin risk_rating:Critical, cvss_3x_base_score:4+).

Alınan veriler GTI_Vulnerabilities_CL tablosuna düşer ve DCR tabanlı alım süresi dönüşümlerini destekler, böylece zenginleştirilmiş alanlar (risk derecelendirmesi, CVSS puanları, istismar durumu) hızlı sorgulama için kullanılabilir hale gelir.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
GTI_Vulnerabilities_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Google Threat Intelligence / VirusTotal hesabı: Aktif bir Google Threat Intelligence (VirusTotal) hesabı gereklidir. Güvenlik açığı beslemesi, GTI Koleksiyonlar API'sinin bir parçasıdır ve güvenlik açığı koleksiyonlarını içeren bir abonelik/ayrıcalıklar gerektirir.
  • Google Threat Intelligence API Anahtarı: Koleksiyonlar API'sine erişimi olan geçerli bir GTI / VirusTotal API anahtarı. Anahtar, 'x-apikey' istek başlığında gönderilir. Bunu bir sır olarak kabul edin — bir güvenli iplik olarak saklanır ve giriş sonrası asla görüntülenmez.

Kurulum Yönergeleri:

Önkoşullar

Bağlanmadan önce aşağıdaki şeylerin yerinde olduğundan emin olun.

Başlamadan önce

  1. Bu çalışma alanı üzerindeki izinler — veri bağlantısını oluşturmak için Microsoft Sentinel çalışma alanında okuma ve yazma izinleri gerekir.
  2. Koleksiyonlar API'sine ve güvenlik açığı koleksiyonlarına erişimi olan bir Google Threat Intelligence (VirusTotal) hesabı . Eğer güvenlik açığı verisini görmüyorsanız, aboneliğinizi/ayrıcalıklarınızı GTI yöneticinizle doğrulayın.
  3. Bir GTI API anahtarı — onu oluşturmak için bir sonraki adımı görün. Anahtar, her isteğe başlıkta gönderilir x-apikey .

1. Google Threat Intelligence API anahtarınızı oluşturun

Bağlayıcının kimlik doğrulamak için kullandığı API anahtarını edinin.

API anahtarınızı alma

  1. Hesabınıza ( https://www.virustotal.com veya Google Threat Intelligence portalınızdan) giriş yapın.
  2. Sağ üst köşedeki avatarınıza tıklayın ve API anahtarını seçin ya da doğrudan API anahtar sayfasına gidin.
  3. O sayfada gösterilen API anahtarını kopyalayın. Bu tek bir değer konnektörün ihtiyacı olan tek şeydir.

Aynı anahtar, GTI referansında Liste güvenlik açıları bölümünde belgelenmiştir.

Not: API anahtarınızı gizli tutun. Anahtara sahip herkes GTI API'sini sizin adınıza sorgulayabilir ve kotanızı tüketebilir. Bir anahtar açığa çıkarsa, API anahtar sayfasından yeniden oluştur ve bağlayıcıyı güncelleyin. Konnektör anahtarı bir secure string olarak saklar — bağlandıktan sonra tekrar görüntülenmez.

Not: API kotası ve oran sınırları: GTI/VirusTotal, abonelik seviyenize bağlı dakika başına ve günlük istek kotalarını uygular. Bağlayıcı sayfa başına 40 nesne talep eder ve kendini (~4 istek/saniye) sınırlar. HTTP 429 (hız sınırı) hatalarına ulaşırsanız, aşağıda daha uzun bir Anket aralığı seçin ve/veya Zayıflık filtresiyle sonuç kümesini daraltın.

2. Google Threat Intelligence Zayıflıklarını Microsoft Sentinel'e Bağlayın

Aşağıdaki değerleri girin ve Bağla'yı seçin. Bağlantı her zaman sorguyu kapsama alır collection_type:vulnerability ve son modifikasyon tarihi artan (önce değiştirilen nesneler) göre sıralar.

Bağlantı ayarları

  • GTI API Anahtarı: (Google Threat Intelligence API anahtarınızı yapıştırın (x-apikey başlığında gönderilen))

Not: Zorunludur. API anahtarı GTI / VirusTotal API anahtar sayfasından kopyalandı. Her istekte 'x-apikey' başlığında gönderilir.

  • Güvenlik açığı filtresi (isteğe bağlı): (ör. risk_rating:Kritik cvss_3x_base_score:4+)

Not: İsteğe bağlı. Tüketimi daraltmak için zorunlu 'collection_type:vulnerability' filtresine eklenen bir GTI arama ifadesi. Örnekler: 'risk_rating:Kritik', 'cvss_3x_base_score:4+', 'exploitation_state:Onaylandı'. Tüm savunmasızlık nesnelerini almak için boşluk bırakın. Birden fazla koşulu boşluklarla ayırın.

Not: Zorunludur. Sentinel'in GTI API'sini ne sıklıkla sorguladığı. Her anket, bu aralıkla eşit bir zaman penceresi kullanır, böylece hiçbir güvenlik açığı atlanmaz veya çift sayılmaz. Eğer oran sınırlıysanız veya sadece periyodik güncellemelere ihtiyacınız varsa, daha uzun bir aralık seçin.

  • Bağlantıyı Etkinleştir/Devre Dışı Bırak

3. Verilerin aktığını doğrulayın

Bağlantı kurduktan sonra, güvenlik açıklarının alındığını doğrulayın.

Bağlantıyı doğrulama

İlk başarılı anketten sonra verilerin ortaya çıkması ~30 dakikaya kadar sürebilir. Bir kez gerçekleştiğinde:

  1. Bu sayfada, GTI_Vulnerabilities_CL veri türü son alınan veri zaman damgasını gösterir ve durum yeşile döner.

  2. Satırların geldiğini doğrulamak için bu sorguyu Logs'ta çalıştırın:

    GTI_Vulnerabilities_CL | summarize Count = count(), Latest = max(TimeGenerated)

  3. Zenginleştirilmiş tarlalardan bir örnek inceleyin:

    GTI_Vulnerabilities_CL | project TimeGenerated, Name, RiskRating, ExploitationState, Cvss3xBaseScore | sort by TimeGenerated desc | take 20

Isteğe bağlı — bağlayıcı sağlığı: Microsoft Sentinel → ayarlarını etkinleştirin → Sağlık ve Audit'i her anket başına durum kaydetmeniz için. Ardından şunu çalıştırın:

SentinelHealth | where TimeGenerated > ago(24h) | where SentinelResourceType == "Data connector" | project TimeGenerated, SentinelResourceName, Status, Description, Reason | order by TimeGenerated desc

Not: 30+ dakika sonra veri yok mu? Bunu kontrol et: (1) API anahtarı geçerli ve hız sınırı yok (HTTP 401/429), (2) hesabınızın güvenlik açığı koleksiyonlarına erişimi var ve (3) girdiğiniz herhangi bir Zafikörlük filtresi o kadar dar değildir ki hiçbir nesneyle eşleşir. Değeri düzelttikten sonra tekrar denemek için bağlantıyı kapatıp tekrar bağlayın.



Google Çalışma Alanı Etkinlikleri (Kodsuz Bağlayıcı Çerçevesi aracılığıyla)

Tarafından desteklenir:Microsoft Corporation

Google Workspace Activities veri bağlayıcısı, Gmail denetim olayları dahil olmak üzere Aktivite Olaylarını Google Workspace API'sinden Microsoft Sentinel'e aktarma yeteneği sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
GoogleWorkspaceReports Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Google Workspace API erişimi: OAuth üzerinden Google Workspace etkinlikler API'sine erişim gereklidir.

Kurulum Yönergeleri:

Google Workspace'e bağlanın

Bağımsız Google Workspace kiracı bağlantılarını ekleyin ve yönetin.

Google Raporlar API'sine yönelik yapılandırma adımları

  1. Google Cloud Console'da Admin SDK API'sini etkinleştirin.
  2. OAuth onay ekranını yapılandırın.
  3. Bir web uygulaması için OAuth 2.0 İstemci Kimliği oluşturun.
  4. Bağlantı formunda gösterilen yönlendirme URI'sini ekleyin.
  5. Admin SDK denetimi kapsamını ekleyin.

Not: Her Google Workspace kiracısı için ayrı bir bağlantı alias oluşturun.

  • Veri Bağlayıcıları Kılavuzu (portalda yapılandır)



GravityZone Veri Bağlayıcısı

Tarafından desteklenir:Bitdefender SRL

Bu bağlayıcı, Bitdefender GravityZone ile Olay Anında İletme Hizmeti API'sini kullanarak Microsoft Sentinel arasında tümleştirmeye olanak tanır. Yapılandırıldıktan sonra, tüm GravityZone olay türlerini doğrudan Microsoft Sentinel çalışma alanınıza akışla aktarır ve bunlar tabloda günlük GzSecurityEvents_CL olarak depolanır.

EDR, XDR, fidye yazılımı azaltma, ağ korumalı alanı ve Exchange kötü amaçlı yazılım olayları gibi önemli olay kategorileri NRT GravityZone Olay Uyarıları analiz kuralı aracılığıyla otomatik olarak ilişkilendirilebilir ve olaylar oluşturabilir.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
GzSecurityEvents_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Azure Uygulaması Kaydı: Aşağıdaki ayrıntıları içeren Uygulama Kaydı Microsoft Entra Dizin (Kiracı) Kimliği, Uygulama (İstemci) Kimliği, Yönetilen Hizmet Sorumlusu Nesne Kimliği (uygulamanın Kurumsal Uygulamalar girişinden), İstemci Gizli Anahtarı (Sertifikalar & gizli dizileri altında oluşturulur).
  • GravityZone Bulut Hesabı: Olay Anında İletme Hizmeti uç noktası için oluşturulan API anahtarına sahip bir GravityZone Bulut hesabı.
  • Kılavuzumuzu okuyun: Tümleştirmeyi ayarlamak için bu adım adım makaleyi izleyin. Müşteri | Ortak

Kurulum Yönergeleri:

  1. Aşağıdaki Azure dağıt düğmesine tıklayın ve gerekli parametreleri doldurun.

aka.ms

  1. Veri Toplama Uç Noktasındangz-sentinel-dce URL'sini toplama

  2. Veri Toplama Kuralındangz-sentinel-dcrSabit Kimliği Toplama

  3. GravityZone Cloud hesabınıza gidin ve Hesabım'a gidin. Olay Anında İletme Hizmeti izinleriyle bir API anahtarı oluşturun .

  4. Bu makaleyi kullanarak Olay Anında İletme Hizmeti ayarlarınızı yapılandırın. Müşteri | ortaklar. Data Connector'ın başarıyla dağıtıldıktan & GravityZone Olay Anında İletme Hizmeti'nin başarıyla kurulumundan sonra sistemin Etkinlik Günlüğü verilerini neredeyse gerçek zamanlı olarak alacağını lütfen unutmayın. Veri iletimi ile Microsoft Sentinel Günlükleri bölümündeki görünümü arasında kısa bir gecikme oluşabilir.



GreyNoise Tehdit Bilgileri

Tarafından desteklenir:GreyNoise

Bu Veri Bağlayıcısı günde bir kez GreyNoise göstergelerini indirmek için bir Azure İşlev uygulaması yükler ve bunları Microsoft Sentinel'daki ThreatIntelIndicators tablosuna ekler.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
ThreatIntelIndicators Evet Hayır

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Microsoft.Web/sites izinleri: İşlev Uygulaması oluşturmak için Azure İşlevleri okuma ve yazma izinleri gereklidir. Daha fazla bilgi için bkz. Azure İşlevleri.
  • GreyNoise API Anahtarı: GreyNoise API Anahtarınızı buradan alın.

Kurulum Yönergeleri:

**Aşağıdaki adımları izleyerek GreyNoise Threat Intelligence'ı Microsoft Sentinel bağlayabilirsiniz: **

Aşağıdaki adımlar bir Azure AAD uygulaması oluşturur, GreyNoise API anahtarını alır ve değerleri bir Azure İşlev Uygulama Yapılandırması kaydeder.

1. API Anahtarınızı GreyNoise Görselleştiricisi'nden alın.

GreyNoise Görselleştiricisi'nden API anahtarı oluşturma https://docs.greynoise.io/docs/using-the-greynoise-api

2. Azure AD kiracınızda bir Azure Active Directory (AAD) uygulaması oluşturun ve Kiracı Kimliği ile İstemci Kimliği'ne sahip olursunuz. Ayrıca, Microsoft Sentinel örneğinle ilişkilendirilmiş Log Analytics Çalışma Alanı Kimliğini alın (aşağıda gösterilmelidir).

Azure AAD uygulamanızı oluşturmak ve İstemci Kimliğinizi ve Kiracı Kimliğinizi kaydetmek için buradaki yönergeleri izleyin: /azure/sentinel/connect-threat-intelligence-upload-api#instructions NOT: İstemci gizli dizinizi oluşturmak için 5. adımı bekleyin.

  • Çalışma Alanı Kimliği: <Yükleme zamanında sağlanan değişken değeri>

3. AAD uygulamasına Microsoft Sentinel Katkıda Bulunan Rolü atayın.

Microsoft Sentinel Katkıda Bulunan Rolü eklemek için buradaki yönergeleri izleyin: /azure/sentinel/connect-threat-intelligence-upload-api#assign-a-role-to-the-application

4. MS Graph API karşıya yükleme göstergeleri API'sine erişimini etkinleştirmek için AAD izinlerini belirtin.

AAD Uygulamasına 'ThreatIndicators.ReadWrite.OwnedBy' iznini eklemek için bu bölümü izleyin: /azure/sentinel/connect-threat-intelligence-tip#specify-the-permissions-required-by-the-application. AAD Uygulamanıza döndüğünüzde, yeni eklediğiniz izinler için yönetici onayı verdiğinizden emin olun. Son olarak, 'Belirteçler ve API'ler' bölümünde bir istemci gizli dizisi oluşturun ve kaydedin. 6. Adımda ihtiyacınız olacaktır.

5. Tehdit Bilgileri Karşıya Yükleme Göstergeleri API'sini (Önizleme) içeren Tehdit Bilgileri (Yeni) Çözümünü (v3.0.14 veya üzeri) dağıtın

Bu Çözüm için Microsoft Sentinel Content Hub'a bakın ve Microsoft Sentinel örneğine yükleyin. Bu adımda herhangi bir yapılandırma yapmanız gerekmediğini unutmayın.

6. Azure İşlevini dağıtma

Azure dağıt düğmesine tıklayın.

aka.ms

Her parametre için uygun değerleri doldurun. GREYNOISE_CLASSIFICATIONS parametresi için tek geçerli değerlerin virgülle ayrılmış olması gereken zararsız, kötü amaçlı ve/veya bilinmeyen değerler olduğunu unutmayın.

7. Göstergeleri Sentinel gönderme

6. Adımda yüklenen işlev uygulaması, GreyNoise GNQL API'sini günde bir kez sorgular ve STIX 2.1 biçiminde bulunan her göstergeyi Microsoft Karşıya Yükleme Tehdit Bilgileri Göstergeleri API'sine gönderir. Sonraki günün sorgusunda bulunamazsa her göstergenin süresi oluşturma işleminden itibaren yaklaşık 24 saat içinde sona erer. Bu durumda TI Göstergesinin Geçerlilik Süresi 24 saat daha uzatılır ve bu da Microsoft Sentinel etkin kalmasını sağlar.

GreyNoise API'si ve GreyNoise Sorgu Dili (GNQL) hakkında daha fazla bilgi için buraya tıklayın.



Halcyon Connector (v2)

Tarafından desteklenir:Halcyon

Halcyon bağlayıcısı, Halcyon'dan Microsoft Sentinel'a veri gönderme özelliği sağlar. Bu v2 konnektör, Halcyon Olaylarını içeri HalcyonEventsV2_CL alır ve Alert Güncellemelerini içine HalcyonAlertUpdatesV2_CLalır.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
HalcyonEventsV2_CL Evet Evet
HalcyonAlertUpdatesV2_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Microsoft Entra Oluşturma İzinleri: Microsoft Entra ID'de uygulama kaydı oluşturma izinleri. Genellikle Entra Kimliği Uygulama Geliştirici rolü veya üzeri gerekir.
  • Rol Atama İzinleri: Veri toplama kuralına (DCR) İzleme Ölçümleri Yayımcısı rolü atamak için gereken izinleri yazın. Genellikle kaynak grubu düzeyinde Sahip veya Kullanıcı Erişimi Yöneticisi rolü gerekir.

Kurulum Yönergeleri:

1. ARM Kaynakları Oluşturma ve Gerekli İzinleri Sağlama

"Dağıt" tuşuna tıklanınca Log Analytics tablo (HalcyonEventsV2_CL ve HalcyonAlertUpdatesV2_CL) ve bir Veri Toplama Kuralı (DCR) oluşturulur, ardından DCR'ye bağlı bir Entra uygulaması oluşturulur ve gerekli izinleri sağlar. Yapılandırıldıktan sonra, Halcyon Olaylar ve Uyarı Güncellemelerini DCR uç noktasına gönderir ve bunları HalcyonEventsV2_CL ve HalcyonAlertUpdatesV2_CL tablolarına alır.

Entra Uygulaması ile Otomatik Yapılandırma ve Güvenli Veri Alımı "Dağıt" seçeneğine tıklanması Log Analytics tablolarının ve veri toplama kuralının (DCR) oluşturulmasını tetikler. Ardından bir Entra uygulaması oluşturur, DCR'yi buna bağlar ve uygulamaya girilen gizli diziyi ayarlar. Bu kurulum, verilerin Entra belirteci kullanılarak DCR'ye güvenli bir şekilde gönderilmesini sağlar.

2. Halcyon Platformu'nda tümleştirmenizi yapılandırma

Halcyon Platformu'nda tümleştirmenizi yapılandırmak için aşağıdaki parametreleri kullanın.

  • Dizin Kimliği (Kiracı Kimliği): <yükleme zamanında sağlanan değişken değeri>
  • Entra Uygulama Kaydı Uygulama Kimliği (İstemci Kimliği): <yükleme zamanında sağlanan değişken değeri>
  • Entra Uygulama Kayıt Gizli Anahtarı (Kimlik Bilgisi Gizli Anahtarı) (BU SIR BU SAYFADAN AYRILDIKTEN SONRA GÖRÜNMEZ): <yükleme zamanında sağlanan değişken değeri>
  • Veri Toplama Uç Noktası (URL): <yükleme zamanında sağlanan değişken değeri>
  • Veri Toplama Kuralı Kimliği (Kural Kimliği): <yükleme zamanında sağlanan değişken değeri>



Holm Security Data Connector

Tarafından desteklenir:Holm Security

Holm Security veri bağlayıcısı, REST API üzerinden Microsoft Sentinel'e Holm Security varlık verilerini aktarma yeteneği sağlar. Bağlayıcı, Holm Security'den web ve ağ varlıkları verilerini alma imkanı sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
web_assets_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

Kurulum Yönergeleri:

1. Yapılandırma

Tokenınızı Holm Security kullanıcı profilinizden edinin. Ayrıntılar için bkz. https://se-api.holmsecurity.com/docs/v2/#section/Authentication

2. Bağlan

Holm Security konnektörünü etkinleştirin.

  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



Idira Denetimi

Destekli:Idira Destek

Idira Audit veri bağlayıcısı, Microsoft Sentinel'in REST API üzerinden Idira Audit hizmetinden güvenlik olay loglarını ve diğer olayları almasını sağlar. Bu tümleştirme olası güvenlik risklerini algılamanıza, kullanıcı etkinliğini izlemenize, işbirliği düzenlerini analiz etmenize, yapılandırma sorunlarını gidermenize ve ortamınızla ilgili daha ayrıntılı içgörüler edinmenize yardımcı olur.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
CyberArk_AuditEvents_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Idira Denetim Hizmet Platformu: Idira Denetim platformunda gerekli yapılandırmaları gerçekleştirmek için erişim

Kurulum Yönergeleri:

Microsoft Sentinel'de etkinlik günlüklerini toplamaya başlamak için Idira Audit API'sine bağlanın

Microsoft Sentinel'i Idira Audit ile entegre etmek ve Microsoft Sentinel içinde sistem ve kullanıcı faaliyetlerinin merkezi izlenmesini sağlamak için aşağıdaki adımları izleyin. Ayrıca Idira Denetim belgelerine bakabilir ve 5. Adıma kadar takip edebilirsiniz.

Adım1: Yeni SIEM tümleştirmesi oluşturma

  1. İdira portalında, Administration.
  2. öğesini seçinMy environment>Integrations>Export to SIEM.
  3. SIEM tümleştirmeleri sayfasında Create>Create SIEM integration
  4. Create a SIEM integration Sayfada, Kimlik Yönetimi'nde Identity Administration OAuth sunucusu web'i oluşturmak için bağlantıyı seçin. 2. Adım: Kimlik Yönetimi'nde OAuth2 sunucusu web uygulaması oluşturma
  5. Sayfada Identity Administration , soldaki menüden Apps & Widgets>Web Apps
  6. Sekmeden Add Web Apps bir OAuth2 server tür web uygulaması seçin Custom ve oluşturun.
  7. IdiraAuditforMicrosoftSentinel ve ApplicationID alanlarına girinName.
  8. Tokens Sekmesinde, alandaki değerin Token Type olduğundan jwtR256 ve yalnızca yetkilendirme yönteminin Client Creds seçili olduğundan emin olun.
  9. Sekmesine Add tıklayın Scope ve girinisp.audit.events:read.
  10. Advanced Sekmesinde, aşağıdaki betiği kopyalayıp yapıştırın ve kaydet'e tıklayın.
		setClaim('tenant_id', TenantData.Get("CybrTenantID"));
		setClaim('aud', 'cyberark.isp.audit');
  1. öğesine tıklayın Save. 3. Adım: Kimlik Yönetimi'nde hizmet kullanıcısı oluşturma
  2. öğesine gidin Core Services>Usersve öğesini seçin Add User.
  3. Account bölümüne ve Login name değerini Display name olarak MicrosoftSentinelgirin. Yeni bir parola ekleyin veya parolayı otomatik olarak oluşturun.
  4. öğesini seçin OAuth confidential client.
  5. Application Settings sekmesinde öğesine tıklayınAdd.
  6. IdiraAuditforMicrosoftSentinel Uygulamayı seçin. Bu, web hizmetinde oluşturduğunuz addır. 4. Adım: Hizmet kullanıcısına web uygulaması izinleri verme
  7. Oluşturduğunuz web uygulamasına IdiraAuditforMicrosoftSentinel gidin.
  8. Permissions Sekmesinde, kullanıcınızı Add bulmak için öğesine tıklayın MicrosoftSentinel ve sonra öğesine tıklayınAdd.
  9. Kullanıcı için aşağıdaki izinleri ayarlayın:
    • Grant
    • Görünüm
    • Çalıştır
    • 5. Adımı otomatik olarak dağıtma: Tümleştirme açıklamasını tanımlama
  10. Administration adresine gidin.
  11. öğesini seçinMy environment>Integrations>Export to SIEM.
  12. öğesini seçin Create>Create SIEM integration.
  13. Adı olarak Microsoft Sentinel Integration girin ve isteğe bağlı olarak bir açıklama ekleyin.
  14. öğesine tıklayın Apply. Adım 6: Idira Denetim Hizmetini Microsoft Sentinel Veri Bağlantısına Bağlayın

Not: Önceki adımlarda kaydettiğiniz tüm detayları kopyalayın ve Idira Denetim servisiyle iletişime geçin.

  • OAuth2 Sunucusu Uygulama Adı: (ör. AuditforMicrosoftSentinel)
  • Denetim API Anahtarı: (API Anahtarı Denetim hizmetinden alınabilir)
  • Kimlik Uç Noktası: (örn. kln9281.id.cyberark.cloud)
  • Denetim API'si Temel URL'si: (örn. org-test.audit.cyberark.cloud)
  • Sorgu Filtresi Eylemini Denetleme (İsteğe Bağlı): (örneğin, {"op":"include","params":["cloud.core.login","cloud.core.mfasummary"]})
  • Sorgu Filtresi Uygulama Kodunu Denetleme (İsteğe Bağlı): (örneğin, {"op":"include","params":["IDP","CMS"]})
  • Denetim Sorgusu Filtresi Denetim Türü (İsteğe Bağlı): (örn. {"op":"include","params":["Failure"]})



Microsoft Exchange Sunucularının IIS Günlükleri

Tarafından desteklenir:Community

[Seçenek 5] - Azure İzleyici Aracısı'nı kullanma - Windows aracısını kullanarak Microsoft Sentinel çalışma alanınıza bağlı Windows makinelerinden tüm IIS Günlüklerini akışla aktarabilirsiniz. Bu bağlantı özel uyarılar oluşturmanıza ve araştırmayı geliştirmenize olanak tanır.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
W3CIISLog Evet Hayır

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Azure Log Analytics kullanım dışı bırakılacaktır ve Azure olmayan VM'lerden veri toplamak için Arc Azure önerilir. Daha fazla bilgi edinin
  • Ayrıntılı belgeler: >NOT: Yükleme yordamı ve kullanımıyla ilgili ayrıntılı belgelere buradan ulaşabilirsiniz

Kurulum Yönergeleri:

NOT: Bu çözüm, seçenekleri temel alır. Bu, bazı seçenekler çok yüksek hacimli veriler oluşturaaabildiği için hangi verilerin alınacağını seçmenize olanak tanır. Ne toplamak istediğinize bağlı olarak, Çalışma Kitaplarınızda, Analiz Kurallarınızda, Tehdit Avcılığı özelliklerinizde dağıtacağınız seçenekleri belirlersiniz. Her seçenek birbirinden bağımsızdır. Her seçenek hakkında daha fazla bilgi edinmek için: 'Microsoft Exchange Güvenliği' wiki

Bu Veri Bağlayıcısı, wiki'nin 5. seçeneğidir .

1. Microsoft Sentinel için günlükleri toplamak için gereken aracıları indirip yükleyin

Sunucu türü (Exchange Sunucuları, Exchange Sunucuları'na bağlı Etki Alanı Denetleyicileri veya tüm Etki Alanı Denetleyicileri) dağıtmak istediğiniz seçeneğe bağlıdır.

İzleyici Aracılarını Dağıtma

Bu adım yalnızca Exchange Sunucularınızı/Etki Alanı Denetleyicilerinizi ilk kez eklediğinizde gereklidir Azure Arc Aracısını Dağıtın Daha fazla bilgi edinin

[Seçenek 5] Exchange Sunucularının IIS günlükleri

Exchange Sunucularının IIS günlüklerinin akışının nasıl yapılacağını seçme

Veri toplama kuralını etkinleştirme

IIS günlükleri yalnızca Windows aracılarından toplanır.

Seçenek 1 - Azure Resource Manager (ARM) Şablonu (Tercih Edilen Yöntem)

DCE ve DCR'nin otomatik dağıtımı için bu yöntemi kullanın.

C. DCE Oluşturma (Exchange Sunucuları için henüz oluşturulmadıysa)

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.ms

  2. Tercih edilen Abonelik, Kaynak Grubu ve Konum'a tıklayın.

  3. DCE'nin önerilen adını değiştirebilirsiniz.

  4. Dağıtmak için Oluştur'a tıklayın.

B. Veri Bağlantısı Kuralını Dağıtma

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.ms

  2. Tercih edilen Abonelik, Kaynak Grubu ve Konum'a tıklayın.

  3. 've/veya Diğer gerekli alanlar' Çalışma Alanı Kimliğini girin.

  4. Yukarıda belirtilen hüküm ve koşulları kabul ediyorum etiketli onay kutusunu işaretleyin.

  5. Dağıtmak için Satın Al'a tıklayın.

Seçenek 2 - Azure Otomasyonu El ile Dağıtımı

Bir Veri Toplama Kuralını el ile dağıtmak için aşağıdaki adım adım yönergeleri kullanın.

C. DCE Oluşturma (Exchange Sunucuları için henüz oluşturulmadıysa)

  1. Azure portalı'ndan Azure Veri toplama Uç Noktası'na gidin.
  2. Üst kısımdaki + Oluştur'a tıklayın.
  3. Temel Bilgiler sekmesinde gerekli alanları doldurun ve DCE'ye bir ad verin.
  4. 'Diğer tercih edilebilir yapılandırma değişikliklerini yap', gerekirse Oluştur'a tıklayın.

B. DCR oluşturma, IIS günlüğü yazma

  1. Azure portalı'ndan Azure Veri toplama kurallarına gidin.
  2. Üst kısımdaki + Oluştur'a tıklayın.
  3. Temel Bilgiler sekmesinde gerekli alanları doldurun, Platform türü olarak Windows'ı seçin ve DCR'ye bir ad verin. Oluşturulan DCE'yi seçin.
  4. Kaynaklar sekmesinde Exchange Sunucuları'nı girin.
  5. 'Toplama ve teslim etme' bölümünde bir Veri Kaynağı türü 'IIS günlükleri' ekleyin (IIS Günlükleri yolu varsayılan olarak yapılandırılmışsa bir yol girmeyin). 'Veri kaynağı ekle' seçeneğine tıklayın
  6. 'Diğer tercih edilebilir yapılandırma değişikliklerini yap', gerekirse Oluştur'a tıklayın.

DCR'yi tüm Exchange Sunucularına atama

Tüm Exchange Sunucularınızı DCR'ye ekleme



Illumio Insights

Tarafından desteklenir:Illumio

Illumio Insights Connector, Illumio Insights'tan iş yükü ve güvenlik grafiği verilerini Azure Microsoft Sentinel Veri Gölü göndererek tehdit tespiti, yan hareket analizi ve gerçek zamanlı soruşturma için derin bağlam sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
IllumioInsights_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Kurulum Yönergeleri:

Illumio Insights Connector için yapılandırma adımları

Önkoşullar

  • Geçerli kimlik bilgileriyle Illumio Konsoluna Kaydolma ve Oturum Açma
  • Illumio Insights satın alın veya Illumio Insights için ücretsiz deneme başlatın

1. Adım: Hizmet Hesabını Kaydetme

  1. → Hizmet Hesaplarına Erişmek → Illumio Konsolu'na gidin
  2. Kiracı için hizmet hesabı oluşturma
  3. Bir hizmet hesabı oluşturduktan sonra istemci kimlik bilgilerini alırsınız
  4. auth_username (Illumio Insights API Anahtarı) ve Gizli (API Secret) Kopyalayın Adım 2: İstemci Kimlik Bilgilerini Sentinel Hesabına Ekle
  • Kiracı kimlik doğrulaması için Sentinel Hesabına API anahtarını ve gizli dizisini ekleme
  • Bu kimlik bilgileri Illumio SaaS API'sine yapılan çağrıların kimliğini doğrulamak için kullanılır

Lütfen aşağıdaki gerekli alanları Illumio Konsolundan alınan kimlik bilgileriyle doldurun:

  • Illumio Insights Api Anahtarı: (api_XXXXXX)
  • Api Gizli Dizisi: (API Gizli Dizisi)
  • Illumio Tenant Id: ({IllumioTenantId - Optional})
  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



Illumio Insights Grafiği

Tarafından desteklenir:Illumio

Illumio Insights Graph bağlayıcısı, Illumio Insights Agent tarafından oluşturulan yapay zeka tabanlı tehdit keşif ve anormallik raporlarını yayınlar. Leveraging the MITRE ATT& CK çerçevesi, bu raporlar ortaya çıkan tehditler ve riskli davranışlar hakkında yüksek hassasiyetli içgörülerin doğrudan Veri Gölü'e sunulmasını sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
IllumioInsightsGraph Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Kurulum Yönergeleri:

1. Yapılandırma

Illumio Insights Graph bağlayıcısını yapılandırın.

Bu veri bağlayıcısının işe alımdan sonra en son raporu almak için 24 saat sürebileceği

Illumio Insights Grafik Bağlantısı için yapılandırma adımları

Önkoşullar

  • Geçerli kimlik bilgileriyle Illumio Konsoluna Kaydolma ve Oturum Açma
  • Illumio Insights satın alın veya Illumio Insights için ücretsiz deneme başlatın
  • Illumio Insights Agent'i Etkinleştirin

1. Adım: Hizmet Hesabını Kaydetme

  1. → Hizmet Hesaplarına Erişmek → Illumio Konsolu'na gidin
  2. Kiracı için hizmet hesabı oluşturma
  3. Bir hizmet hesabı oluşturduktan sonra istemci kimlik bilgilerini alırsınız
  4. auth_username (Illumio Insights API Anahtarı) ve Gizli (API Secret) Kopyalayın Adım 2: İstemci Kimlik Bilgilerini Sentinel Hesabına Ekle
  • Kiracı kimlik doğrulaması için Sentinel Hesabına API anahtarını ve gizli dizisini ekleme
  • Bu kimlik bilgileri Illumio SaaS API'sine yapılan çağrıların kimliğini doğrulamak için kullanılır

Lütfen aşağıdaki gerekli alanları Illumio Konsolundan alınan kimlik bilgileriyle doldurun:

  • Illumio Insights Api Anahtarı: (api_XXXXXX)
  • Api Gizli Dizisi: (API Gizli Dizisi)
  • Illumio Tenant ID: ({IllumioTenantId - Optional})

2. Bağlan

Illumio Insights Graph bağlayıcısını etkinleştirin.

  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



Illumio Insights Özeti

Tarafından desteklenir:Illumio

Illumio Insights Özet bağlayıcısı, Illumio Insights Agent tarafından oluşturulan yapay zeka destekli tehdit keşif ve anomali raporlarını yayımlar. Leveraging the MITRE ATT& CK çerçevesi, bu raporlar ortaya çıkan tehditler ve riskli davranışlar hakkında yüksek hassasiyetli içgörülerin doğrudan Veri Gölü'e sunulmasını sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
IllumioInsightsSummary_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Kurulum Yönergeleri:

1. Yapılandırma

Illumio Insights Özet bağlayıcısını yapılandırın.

Bu veri bağlayıcısının işe alımdan sonra en son raporu almak için 24 saat sürebileceği

Illumio Insights Özet Bağlayıcısı için yapılandırma adımları

Önkoşullar

  • Geçerli kimlik bilgileriyle Illumio Konsoluna Kaydolma ve Oturum Açma
  • Illumio Insights satın alın veya Illumio Insights için ücretsiz deneme başlatın
  • Illumio Insights Agent'i Etkinleştirin

1. Adım: Hizmet Hesabını Kaydetme

  1. → Hizmet Hesaplarına Erişmek → Illumio Konsolu'na gidin
  2. Kiracı için hizmet hesabı oluşturma
  3. Bir hizmet hesabı oluşturduktan sonra istemci kimlik bilgilerini alırsınız
  4. auth_username (Illumio Insights API Anahtarı) ve Gizli (API Secret) Kopyalayın Adım 2: İstemci Kimlik Bilgilerini Sentinel Hesabına Ekle
  • Kiracı kimlik doğrulaması için Sentinel Hesabına API anahtarını ve gizli dizisini ekleme
  • Bu kimlik bilgileri Illumio SaaS API'sine yapılan çağrıların kimliğini doğrulamak için kullanılır

Lütfen aşağıdaki gerekli alanları Illumio Konsolundan alınan kimlik bilgileriyle doldurun:

  • Illumio Insights Api Anahtarı: (api_XXXXXX)
  • Api Gizli Dizisi: (API Gizli Dizisi)
  • Illumio Tenant ID: ({IllumioTenantId - Optional})

2. Bağlan

Illumio Insights Özet bağlayıcısını etkinleştirin.

  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



Illumio SaaS (Azure İşlevleri kullanarak)

Tarafından desteklenir:Illumio

Illumio bağlayıcısı olayları Microsoft Sentinel alma özelliği sağlar. Bağlayıcı, AWS S3 demetinden denetlenebilir ve akış olaylarını alma olanağı sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
Illumio_Auditable_Events_CL Evet Evet
Illumio_Flow_Events_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Microsoft.Web/sites izinleri: İşlev Uygulaması oluşturmak için Azure İşlevleri okuma ve yazma izinleri gereklidir. Daha fazla bilgi için bkz. Azure İşlevleri.
  • SQS ve AWS S3 hesabı kimlik bilgileri/izinleri: AWS_SECRET, AWS_REGION_NAME, AWS_KEYQUEUE_URL gereklidir. Illumio tarafından sağlanan s3 demeti kullanıyorsanız Illumio desteğine başvurun. İsteğiniz üzerine aws S3 demet adını, AWS SQS url'sini ve bunlara erişmek için AWS kimlik bilgilerini sağlayacaktır.
  • Bilgi api anahtarı ve gizli dizi: ILLUMIO_API_KEY, bir çalışma kitabının SaaS PCE'ye bağlantı oluşturması ve API yanıtlarını getirmesi için ILLUMIO_API_SECRET gereklidir.

Kurulum Yönergeleri:

NOT: Bu bağlayıcı, günlükleri Microsoft Sentinel çekmek üzere AWS SQS /S3'e bağlanmak için Azure İşlevleri kullanır. Bu, ek veri alımı maliyetlerine neden olabilir. Ayrıntılar için Azure İşlevleri fiyatlandırma sayfasına bakın.

(İsteğe Bağlı Adım) API yetkilendirme anahtarlarını veya belirteçlerini Azure Key Vault güvenli bir şekilde depolayın. Azure Key Vault, anahtar değerlerini depolamak ve almak için güvenli bir mekanizma sağlar. Azure İşlev Uygulaması ile Azure Key Vault kullanmak için bu yönergeleri izleyin.

Önkoşullar

  1. AWS SQS'nin akış ve denetlenebilir olay günlüklerinin çekileceği s3 demeti için yapılandırıldığından emin olun. Illumio demet sağlarsa lütfen sqs url'si, s3 demet adı ve aws kimlik bilgileri için Illumio desteğine başvurun.
  2. AAD uygulamasını kaydetme - DCR'nin (Veri toplama kuralı) verileri log analytics'e almak üzere kimlik doğrulaması yapması için Entra uygulama kullanmanız gerekir. 1. AAD Kiracı Kimliği, AAD İstemci Kimliği ve AAD İstemci Gizli Anahtarı'nı almak için buradaki yönergeleri (1-5 arası adımlar) izleyin.
  3. Log Analytics çalışma alanı oluşturduğunuzdan emin olun. Dağıtıldığı adı ve bölgeyi not edin.

Deployment

Aşağıdaki seçeneklerden yaklaşımlardan birini seçin. Azure kaynaklarını dağıtmak için aşağıdaki ARM şablonunu kullanın veya işlev uygulamasını el ile dağıtın.

1. Azure Resource Manager (ARM) Şablonu

ARM Tempate kullanarak Azure kaynaklarının otomatik dağıtımı için bu yöntemi kullanın.

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.ms

  2. Microsoft Sentinel Çalışma Alanı, AWS kimlik bilgileri, Azure AD Uygulama ayrıntıları ve alım yapılandırmaları gibi gerekli ayrıntıları sağlayın

NOT: İşlev uygulamasının ve ilişkili kaynakların dağıtımı için yeni bir Kaynak Grubu oluşturmanız önerilir. 3. Yukarıda belirtilen hüküm ve koşulları kabul ediyorum etiketli onay kutusunu işaretleyin. 4. Dağıtmak için Satın Al'a tıklayın.

2. Ölçeği işlemek için ek işlev uygulamaları dağıtma

ARM Tempate kullanarak ek işlev uygulamalarının otomatik dağıtımı için bu yöntemi kullanın.

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.ms

3. Azure İşlevleri El ile Dağıtımı

Visual Studio Code aracılığıyla dağıtım.

  1. İşlev Uygulaması Dağıtma

  2. Azure İşlev Uygulaması dosyasını indirin. Arşivi yerel geliştirme bilgisayarınıza ayıklayın.

  3. VSCode kullanarak Azure İşlevleri uygulamasını dağıtmak için işlev uygulaması el ile dağıtım yönergelerini izleyin.

  4. İşlev uygulamasının başarıyla dağıtılmasından sonra, bunu yapılandırmak için sonraki adımları izleyin.

  5. İşlev Uygulamasını Yapılandırma

  6. Gerekli tüm ortam değişkenlerini ayarlamak için belge <ekleme bağlantısını> izleyin ve Kaydet'e tıklayın. Ayarlar kaydedildikten sonra işlev uygulamasını yeniden başlattığınızdan emin olun.



Imperva Cloud WAF (Azure İşlevleri kullanarak)

Tarafından desteklenir:Microsoft Corporation

Imperva Cloud WAF veri bağlayıcısı, REST API aracılığıyla Web Uygulaması Güvenlik Duvarı olayları Microsoft Sentinel tümleştirme ve alma özelliği sağlar. Daha fazla bilgi için Günlük tümleştirme belgelerine bakın. Bağlayıcı olası güvenlik risklerini değerlendirmek, işbirliğini izlemek ve yapılandırma sorunlarını tanılamak ve gidermek için olay alma olanağı sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
ImpervaWAFCloud_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Microsoft.Web/sites izinleri: İşlev Uygulaması oluşturmak için Azure İşlevleri okuma ve yazma izinleri gereklidir. Daha fazla bilgi için bkz. Azure İşlevleri.
  • REST API Kimlik Bilgileri/izinleri: API için ImpervaAPIID, ImpervaAPIKey, ImpervaLogServerURI gereklidir. Daha fazla bilgi için bkz . Kurulum Günlüğü Tümleştirme işlemi. Tüm gereksinimleri denetleyin ve kimlik bilgilerini alma yönergelerini izleyin . Bu bağlayıcının CEF günlük olay biçimini kullandığını lütfen unutmayın. Günlük biçimi hakkında daha fazla bilgi.

Kurulum Yönergeleri:

NOT: Bu bağlayıcı, günlüklerini Microsoft Sentinel çekmek üzere Imperva Bulut API'sine bağlanmak için Azure İşlevleri kullanır. Bu, ek veri alımı maliyetlerine neden olabilir. Ayrıntılar için Azure İşlevleri fiyatlandırma sayfasına bakın.

(İsteğe Bağlı Adım) Çalışma alanını ve API yetkilendirme anahtarlarını veya belirteçlerini Azure Key Vault güvenli bir şekilde depolayın. Azure Key Vault, anahtar değerlerini depolamak ve almak için güvenli bir mekanizma sağlar. Azure İşlevleri Uygulaması ile Azure Key Vault kullanmak için bu yönergeleri izleyin.

**NOT:**Bu veri bağlayıcısı, Microsoft Sentinel Çözümü ile dağıtılan beklenen ImpervaWAFCloud gibi çalışması için Kusto İşlevine dayalı ayrıştırıcıya bağlıdır.

ADIM 1 - Günlük Tümleştirmesi için yapılandırma adımları

Kimlik bilgilerini almak için yönergeleri izleyin.

ADIM 2 - Bağlayıcıyı ve ilişkili Azure İşlevleri dağıtmak için aşağıdaki iki dağıtım seçeneğinden Bİrİ'ni seçin

ÖNEMLİ: Çalışma Alanı veri bağlayıcısını dağıtmadan önce Çalışma Alanı Kimliği ve Çalışma Alanı Birincil Anahtarına sahip olun (aşağıdakilerden kopyalanabilir).

  • Çalışma Alanı Kimliği: <Yükleme zamanında sağlanan değişken değeri>
  • Birincil Anahtar: <Yükleme zamanında sağlanan değişken değeri>

Seçenek 1 - Azure Resource Manager (ARM) Şablonu

Arm Şablonu kullanarak Imperva Cloud WAF veri bağlayıcısının otomatik dağıtımı için bu yöntemi kullanın.

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.ms

  2. Tercih edilen Abonelik, Kaynak Grubu ve Konum'a tıklayın.

NOT: Aynı kaynak grubunda, Aynı bölgedeki Windows ve Linux uygulamalarını karıştıramazsınız. Içinde Windows uygulamaları olmayan mevcut kaynak grubunu seçin veya yeni kaynak grubu oluşturun. 3. ImpervaAPIID, ImpervaAPIKey, ImpervaLogServerURI girin ve dağıtın. 4. Yukarıda belirtilen hüküm ve koşulları kabul ediyorum etiketli onay kutusunu işaretleyin. 5. Dağıtmak için Satın Al'a tıklayın.

Seçenek 2 - Azure İşlevleri El ile Dağıtımı

Imperva Cloud WAF veri bağlayıcısını Azure İşlevleri (Visual Studio Code aracılığıyla dağıtım) ile el ile dağıtmak için aşağıdaki adım adım yönergeleri kullanın.

  1. İşlev Uygulaması Dağıtma

NOT: VS kodunu Azure işlevlerin geliştirilmesi için hazırlamanız gerekir.

  1. Azure İşlevleri Uygulama dosyasını indirin. Arşivi yerel geliştirme bilgisayarınıza ayıklayın.

  2. VS Code'ı başlatın. Ana menüde Dosya'yı ve ardından Klasörü Aç'ı seçin.

  3. Ayıklanan dosyalardan en üst düzey klasörü seçin.

  4. Etkinlik çubuğunda Azure simgesini seçin, ardından Azure: İşlevler alanında İşlev uygulamasına dağıt düğmesini seçin. Henüz oturum açmadıysanız, Etkinlik çubuğunda Azure simgesini seçin, ardından Azure: İşlevler alanında Oturum aç'ı seçerek Azure Oturum açtıysanız sonraki adıma geçin.

  5. İstemlerde aşağıdaki bilgileri sağlayın:

    a. Klasör seçin: Çalışma alanınızdan bir klasör seçin veya işlev uygulamanızı içeren klasöre göz atın.

    b. Abonelik'i seçin: Kullanılacak aboneliği seçin.

    c. Azure'de yeni İşlev Uygulaması oluştur'u seçin (Gelişmiş seçeneğini belirleme)

    d. İşlev uygulaması için genel olarak benzersiz bir ad girin: URL yolunda geçerli bir ad yazın. Yazdığınız ad, Azure İşlevleri benzersiz olduğundan emin olmak için doğrulanır. (örn. ImpervaCloudXXXXXX).

    e. Çalışma zamanı seçin: Python 3.11'i seçin.

    f. Yeni kaynaklar için bir konum seçin. Daha iyi performans ve düşük maliyetler için Microsoft Sentinel bulunduğu bölgeyi seçin.

  6. Dağıtım başlar. İşlev uygulamanız oluşturulduktan ve dağıtım paketi uygulandıktan sonra bir bildirim görüntülenir.

  7. İşlev Uygulaması yapılandırması için Azure portalı'na gidin.

  8. İşlev Uygulamasını Yapılandırma

  9. İşlev Uygulamasında İşlev Uygulaması Adı'nı ve ardından Yapılandırma'yı seçin.

  10. Uygulama ayarları sekmesinde Yeni uygulama ayarı'nı seçin.

  11. Aşağıdaki uygulama ayarlarının her birini ilgili dize değerleriyle (büyük/küçük harfe duyarlı) tek tek ekleyin: ImpervaAPIID ImpervaAPIKey ImpervaLogServerURI WorkspaceID WorkspaceKey logAnalyticsUri (isteğe bağlı)

  • Ayrılmış bulut için log analytics API uç noktasını geçersiz kılmak için logAnalyticsUri kullanın. Örneğin, genel bulut için değeri boş bırakın; Azure GovUS bulut ortamı için değeri şu biçimde belirtin: https://<CustomerId>.ods.opinsights.azure.us.
  1. Tüm uygulama ayarları girildikten sonra Kaydet'e tıklayın.



Imperva Cloud WAF (Kodsuz Bağlayıcı Çerçevesi aracılığıyla)

Tarafından desteklenir:Microsoft Corporation

Imperva WAF Bulut veri bağlayıcısı, SQS bildirimleriyle AWS S3 aracılığıyla Imperva Günlük Tümleştirmesini kullanarak günlükleri Microsoft Sentinel alma özelliği sağlar. Bağlayıcı, tehdit algılama ve araştırma için erişim günlükleri ve güvenlik uyarıları da dahil olmak üzere CEF biçimli WAF olaylarını ayrıştırır. Daha fazla bilgi için Imperva WAF Bulut Günlüğü Tümleştirmesi'ne bakın.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
ImpervaWAFCloud Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • AWS IAM Rolu: Hesaplar arası güven politikasına sahip bir AWS IAM rolü gereklidir.

Kurulum Yönergeleri:

**Imperva WAF Cloud'u Microsoft Sentinel bağlama

**

NOT: Bu bağlayıcı, AWS S3 demetinden Imperva Cloud WAF günlüklerini getirir

Imperva'dan veri toplamak için aşağıdaki kaynakları yapılandırmanız gerekir

  1. AWS Rolü ARN Imperva'dan veri toplamak için AWS Rol ARN'sine ihtiyacınız olacaktır.

  2. AWS SQS Kuyruk URL'si Imperva'dan veri toplamak için AWS SQS Kuyruk URL'si gerekir.

AWS Rolü ARN'sini, SQS Kuyruğu URL'sini alma ve Amazon S3 demetine Imperva günlük iletmeyi yapılandırmaya yönelik ayrıntılı adımlar için Bağlayıcı Kurulum Kılavuzu'na bakın.

  • Veri Bağlayıcıları Kılavuzu (portalda yapılandır)



AMA aracılığıyla Infoblox Bulut Veri Bağlayıcısı

Tarafından desteklenir:Infoblox

Infoblox Cloud Data Connector, Infoblox verilerinizi Microsoft Sentinel kolayca bağlamanıza olanak tanır. Günlüklerinizi Microsoft Sentinel bağlayarak, her günlük için arama & bağıntı, uyarı ve tehdit bilgileri zenginleştirmelerinden yararlanabilirsiniz.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
CommonSecurityLog Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Kurulum Yönergeleri:

ÖNEMLİ: Bu Microsoft Sentinel veri bağlayıcısı, Infoblox Cloud Services Portalı'nda (CSP) bir Infoblox Veri Bağlayıcısı konağı oluşturulduğunu ve yapılandırıldığını varsayar. Infoblox Veri Bağlayıcısı, Threat Defense'in bir özelliği olduğundan uygun bir Threat Defense aboneliğine erişim gereklidir. Daha fazla bilgi ve lisans gereksinimleri için bu hızlı başlangıç kılavuzuna bakın.

1. Syslog aracı yapılandırmasını Linux

Ortak Olay Biçimi (CEF) Syslog iletilerinizi toplamak ve bunları Microsoft Sentinel iletmek için Linux aracısını yükleyin ve yapılandırın.

Tüm bölgelerdeki verilerin seçili çalışma alanında depolanacağına dikkat edin

1.1 Linux makinesi seçme veya oluşturma

Microsoft Sentinel güvenlik çözümünüz ile bu makinenin şirket içi ortamınızda, Azure veya diğer bulutlarda olabileceğini Microsoft Sentinel ara sunucu olarak kullanacağı bir Linux makinesi seçin veya oluşturun.

1.2 CEF toplayıcısını Linux makinesine yükleyin

Linux makinenize Microsoft Monitoring Agent'ı yükleyin ve makineyi gerekli bağlantı noktasını dinleyecek ve iletileri Microsoft Sentinel çalışma alanınıza iletecek şekilde yapılandırın. CEF toplayıcısı 514 TCP numaralı bağlantı noktasında CEF iletilerini toplar.

  1. Aşağıdaki komutu kullanarak makinenizde Python olduğundan emin olun: python -version.

  2. Makinenizde yükseltilmiş izinlere (sudo) sahip olmanız gerekir.

  • CEF toplayıcısını yüklemek ve uygulamak için aşağıdaki komutu çalıştırın:: <yükleme zamanında sağlanan değişken değeri>

2. Infoblox'ı, Syslog aracısına iletmek üzere Infoblox Bulut Veri Bağlayıcısı'na Syslog verileri gönderecek şekilde yapılandırın

Infoblox CDC'yi Linux Syslog aracısı aracılığıyla Microsoft Sentinel veri gönderecek şekilde yapılandırmak için aşağıdaki adımları izleyin.

  1. Entegrasyonlar > Veri Bağlayıcılarına gidin.
  2. En üstteki Hedef Yapılandırma sekmesine tıklayın.
  3. Syslog Oluştur'a >tıklayın.
  • Ad: Yeni Hedefe Microsoft-Sentinel-Destination gibi anlamlı bir ad verin.
  • Açıklama: İsteğe bağlı olarak anlamlı bir açıklama verin.
  • Durum: Durumu Etkin olarak ayarlayın.
  • Biçim: Biçimi CEF olarak ayarlayın.
  • FQDN/IP: Linux aracısının yüklü olduğu Linux cihazın IP adresini girin.
  • Bağlantı noktası: Bağlantı noktası numarasını 514 olarak bırakın.
  • Protokol: Uygunsa istenen protokolü ve CA sertifikayı seçin.
  • Kaydet & Kapat'a tıklayın.
  1. Üst kısımdaki Trafik Akışı Yapılandırması sekmesine tıklayın.
  2. Oluştur'a tıklayın.
  • Ad: Yeni Trafik Akışına Microsoft-Sentinel-Flow gibi anlamlı bir ad verin.
  • Açıklama: İsteğe bağlı olarak anlamlı bir açıklama verin.
  • Durum: Durumu Etkin olarak ayarlayın.
  • Hizmet Örneği bölümünü genişletin.
  • Hizmet Örneği: Veri Bağlayıcısı hizmetinin etkinleştirildiği istediğiniz Hizmet Örneğini seçin.
  • Kaynak Yapılandırması bölümünü genişletin.
  • Kaynak: Infoblox Cloud Source'u seçin.
  • Toplamak istediğiniz tüm günlük türlerini seçin. Şu anda desteklenen günlük türleri şunlardır:
  • Tehdit Savunması Sorgu/Yanıt Günlüğü
  • Tehdit Savunması Tehdit Akışları Günlüğe Isabet Etti
  • DDI Sorgu/Yanıt Günlüğü
  • DDI DHCP Kira Günlüğü
  • Hedef Yapılandırma bölümünü genişletin.
  • Yeni oluşturduğunuz Hedef'i seçin.
  • Kaydet & Kapat'a tıklayın.
  1. Yapılandırmanın etkinleştirilmesi için biraz zaman tanıyın.

3. Bağlantıyı doğrulama

Bağlantınızı doğrulamak için yönergeleri izleyin:

Günlüklerin CommonSecurityLog şeması kullanılarak alınp alınmadığını denetlemek için Log Analytics'i açın.

Bağlantının verileri çalışma alanınıza aktarması yaklaşık 20 dakika sürebilir.

Günlükler alınmazsa aşağıdaki bağlantı doğrulama betiğini çalıştırın:

  1. Aşağıdaki komutu kullanarak makinenizde Python olduğundan emin olun: python -version

  2. Makinenizde yükseltilmiş izinlere (sudo) sahip olmanız gerekir

  • Bağlantınızı doğrulamak için aşağıdaki komutu çalıştırın:: <yükleme zamanında sağlanan değişken değeri>

**4. Makinenizin güvenliğini sağlama **

Makinenin güvenliğini kuruluşunuzun güvenlik ilkesine göre yapılandırdığından emin olun

Daha fazla bilgi edinin >



REST API aracılığıyla Infoblox Veri Bağlayıcısı

Tarafından desteklenir:Infoblox

Infoblox Veri Bağlayıcısı, Infoblox TIDE verilerinizi ve Dossier verilerinizi Microsoft Sentinel ile kolayca bağlamanızı sağlar. Verilerinizi Microsoft Sentinel bağlayarak, her bir günlük için arama & bağıntı, uyarı ve tehdit bilgileri zenginleştirme avantajlarından yararlanabilirsiniz.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
dossier_whois_CL Hayır Hayır
dossier_whitelist_CL Hayır Hayır
dossier_tld_risk_CL Hayır Hayır
dossier_threat_actor_CL Hayır Hayır
dossier_rpz_feeds_records_CL Hayır Hayır
dossier_rpz_feeds_CL Hayır Hayır
dossier_nameserver_matches_CL Hayır Hayır
dossier_nameserver_CL Hayır Hayır
dossier_malware_analysis_v3_CL Hayır Hayır
dossier_inforank_CL Hayır Hayır
dossier_infoblox_web_cat_CL Hayır Hayır
dossier_geo_CL Hayır Hayır
dossier_dns_CL Hayır Hayır
dossier_atp_threat_CL Hayır Hayır
dossier_atp_CL Hayır Hayır
dossier_ptr_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • Azure Abonelik: Azure Bir uygulamayı Microsoft Entra ID kaydetmek ve kaynak grubundaki uygulamaya katkıda bulunan rolü atamak için sahip rolüne sahip abonelik gereklidir.
  • Microsoft.Web/sites izinleri: İşlev Uygulaması oluşturmak için Azure İşlevleri okuma ve yazma izinleri gereklidir. Daha fazla bilgi için bkz. Azure İşlevleri.
  • REST API Kimlik Bilgileri/izinleri: Infoblox API Anahtarı gereklidir. Rest API başvurusunda API hakkında daha fazla bilgi edinmek için belgelere bakın

Kurulum Yönergeleri:

NOT: Bu bağlayıcı, TIDE için Tehdit Göstergeleri oluşturmak ve Dossier verilerini Microsoft Sentinel çekmek üzere Infoblox API'sine bağlanmak için Azure İşlevleri kullanır. Bu, ek veri alımı maliyetlerine neden olabilir. Ayrıntılar için Azure İşlevleri fiyatlandırma sayfasına bakın.

(İsteğe Bağlı Adım) Çalışma alanını ve API yetkilendirme anahtarlarını veya belirteçlerini Azure Key Vault güvenli bir şekilde depolayın. Azure Key Vault, anahtar değerlerini depolamak ve almak için güvenli bir mekanizma sağlar. Azure İşlev Uygulaması ile Azure Key Vault kullanmak için bu yönergeleri izleyin.

ADIM 1 - Microsoft Entra ID'da Uygulama için Uygulama Kaydı adımları

Bu tümleştirme için Azure portal bir Uygulama kaydı gerekir. Microsoft Entra ID'da yeni uygulama oluşturmak için bu bölümdeki adımları izleyin:

  1. Azure portalda oturum açın.
  2. Microsoft Entra ID arayın ve seçin.
  3. Yönet'in altında Yeni kayıt'ı Uygulama kayıtları > seçin.
  4. Uygulamanız için bir görünen Ad girin.
  5. İlk uygulama kaydını tamamlamak için Kaydet'i seçin.
  6. Kayıt tamamlandığında, Azure portal uygulama kaydının Genel Bakış bölmesini görüntüler. Uygulama (istemci) ID ve Kiracı Kimliği görülür. İstemci Kimliği ve Kiracı Kimliği, AzureClientId ve AzureTenantId yapılandırma parametreleri olarak gereklidir; bu parametreler, bağlantının Fonksiyon Uygulamaları tarafından Log Ingestion API'ye (Dossier verileri için) ve Microsoft Sentinel Threat Intelligence Indicators API'sine (TIDE verileri için) kimlik doğrulama için kullanılır.

Başvuru bağlantısı:/azure/active-directory/develop/quickstart-register-app

ADIM 2 - Microsoft Entra ID'de uygulama için istemci gizli dizisi ekleme

Bazen uygulama şifresi olarak adlandırılan istemci sırrı, bağlayıcının Log Ingestion API'si ve Microsoft Sentinel Threat Intelligence Indicators API'sine kimlik doğrulaması için ihtiyaç duyduğu bir dizi değeridir. Yeni bir İstemci Gizli Anahtarı oluşturmak için bu bölümdeki adımları izleyin:

  1. Azure portal, Uygulama kayıtları uygulamanızı seçin.
  2. Sertifikalar & gizli diziler > İstemci gizli dizileri Yeni istemci gizli dizisi'ni >seçin.
  3. Gizli anahtarınız için bir açıklama ekleyin.
  4. Gizli dizi için bir süre sonu seçin veya özel bir yaşam süresi belirtin. Sınır 24 aydır.
  5. Ekle'yi seçin.
  6. Gizli anahtarın değerini istemci uygulama kodunuzda kullanmak üzere kaydedin. Bu gizli dizi değeri, siz bu sayfadan ayrıldıktan sonra bir daha görüntülenmez. Gizli değer, AzureClientSecret yapılandırma parametresi olarak gereklidir.

Başvuru bağlantısı:/azure/active-directory/develop/quickstart-register-app#add-a-client-secret

3. ADIM - Microsoft Entra ID'de uygulamaya Katkıda Bulunan rolü atama

Bu rol, bağlayıcının Fonksiyon Uygulamalarının Microsoft Sentinel Threat Intelligence Indicators API üzerinden TIDE verilerinden Tehdit İstihbarat Göstergeleri oluşturabilmesi için gereklidir. Rolü atamak için bu bölümdeki adımları izleyin:

  1. Azure portal Kaynak Grubu'na gidin ve kaynak grubunuzu seçin.
  2. Sol panelden Erişim denetimine (IAM) gidin.
  3. Ekle'ye tıklayın ve rol ataması ekle'yi seçin.
  4. Rol olarak Katkıda Bulunan'ı seçin ve İleri'ye tıklayın.
  5. Erişim ata bölümünde öğesini seçinUser, group, or service principal.
  6. Üye ekle'ye tıklayın ve oluşturduğunuz uygulama adınızı yazın ve seçin.
  7. Şimdi Gözden Geçir + ata'ya tıklayın ve sonra yeniden Gözden Geçir + ata'ya tıklayın.

Başvuru bağlantısı:/azure/role-based-access-control/role-assignments-portal

ADIM 4 - Uygulama kaydının Nesne Kimliğini bulun

Bu bağlayıcı, Dossier ve TIDE verilerini Log Ingestion API aracılığıyla Sentinel'e alır; bu da uygulama kaydının (Step 1'de oluşturulan aynı cihaz) her Veri Toplama Kuralı'nda Monitoring Metrics Publisher rolünün olmasını gerektirir. Bu rol atama, dağıtım sırasında ARM şablonu tarafından otomatik olarak verilir - elle atamanıza gerek yoktur - ancak şablonun dağıtım parametresi olarak uygulamanın Nesne ID'si (Kurumsal Uygulama / Hizmet Ana nesne ID'si, Uygulama/İstemci Kimliği değil) gerekir.

  1. Azure portalında Microsoft Entra Id'yi arayın ve seçin.
  2. Yönet bölümünden Kurumsal uygulamaları seçin.
  3. Step 1'de oluşturduğunuz uygulama kaydını arayın ve seçin.
  4. Genel Bakış panelinde gösterilen Nesne Kimliği'ni kopyalayın - bu, dağıtım sırasında AzureEntraObjectID olarak girilecek değerdir.

Not: Bu değer dağıtım sırasında eksikse veya yanlışsa, rol ataması sessizce erişim izni vermez ve Dossier/TIDE verileri çalışma alanında görünmez, Fonksiyon Uygulamaları hatasız çalışsa bile.

ADIM 5 - Infoblox API Kimlik Bilgilerini Oluşturma Adımları

Infoblox API Anahtarı oluşturmak için bu yönergeleri izleyin. Infoblox Cloud Services Portalı'nda bir API Anahtarı oluşturun ve sonraki adımda güvenli bir yere kopyalayın. API anahtarları oluşturma yönergelerini burada bulabilirsiniz.

Azure Resource Manager (ARM) Şablonu

Infoblox Data bağlayıcısının otomatik dağıtımı için bu yöntemi kullanın.

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.ms

  2. Tercih edilen Abonelik, Kaynak Grubu ve Konum'a tıklayın.

  3. Aşağıdaki bilgileri girin: Workspace ID Workspace (Log Analytics workspace resource name) Data Collection Endpoint/Rule Location (Default: Resource Group location, with workspace region ile eşleşmeli) Azure Tenant ID Azure Client Id Azure Client Secret Azure Entra Object ID (4. adımdan itibaren) Infoblox API Token Infoblox Base URL Historical Data Cutoff Date Log Level (default: info) Confidence (default: 80) Threat Level (default: 80) App Insights workspace resource ID

  4. Yukarıda belirtilen hüküm ve koşulları kabul ediyorum etiketli onay kutusunu işaretleyin.

  5. Dağıtmak için Satın Al'a tıklayın.

Not: Veri Toplama Uç Noktası/Veri Toplama Kuralları ve bunlardaki Monitoring Metrics Publisher rol ataması bu şablon tarafından otomatik olarak oluşturulur ve bağlanır - dağıtımdan sonra manuel DCR veya rol atama adımları gerekmez.



Infoblox IQ for Threat Defense Insight Data Connector via AMA

Tarafından desteklenir:Infoblox

Infoblox IQ for Threat Defense Insight Data Connector, Infoblox IQ for Threat Defense Insight verilerinizi Microsoft Sentinel ile kolayca bağlamanızı sağlar. Günlüklerinizi Microsoft Sentinel bağlayarak, her günlük için arama & bağıntı, uyarı ve tehdit bilgileri zenginleştirmelerinden yararlanabilirsiniz.

Bu veri bağlayıcısı, Infoblox IQ for Threat Defense Insight CDC'yi yeni Azure İzleyici Agent kullanarak Log Analytics Workspace'inize giriş yapar. Burada yeni Azure İzleyici Aracısını kullanarak alma hakkında daha fazla bilgi edinin. Microsoft bu Veri Bağlayıcısı'nın kullanılmasını önerir.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
CommonSecurityLog Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Azure olmayan VM'lerden veri toplamak için Azure Arc yüklü ve etkin olmalıdır. Daha fazla bilgi edinin
  • AMA aracılığıyla Ortak Olay Biçimi (CEF) ve AMA veri bağlayıcıları aracılığıyla Syslog yüklenmelidir. Daha fazla bilgi edinin

Kurulum Yönergeleri:

Çalışma Alanı Anahtarları

Playbook'ları bu çözümün bir parçası olarak kullanmak için, kolaylık sağlamak için aşağıda Çalışma Alanı Kimliğinizi ve Çalışma Alanı Birincil Anahtarınızı bulun.

  • Çalışma Alanı Kimliği: <Yükleme zamanında sağlanan değişken değeri>

Çözümleyicileri

Bu veri bağlayıcısı, Microsoft Sentinel Çözümü ile dağıtılan InfobloxCDC_SOCInsights olarak adlandırılan beklendiği gibi çalışması için Kusto İşlevini temel alan ayrıştırıcıya bağlıdır.

Tehdit Savunması için Infoblox IQ

Bu veri bağlayıcısı, Threat Defense için Infoblox IQ'ya erişiminiz olduğunu varsayar. Daha fazla bilgiyi burada bulabilirsiniz.

Infoblox Bulut Veri Bağlayıcısı

Bu veri bağlayıcısı, Infoblox Cloud Services Portalı'nda (CSP) bir Infoblox Veri Bağlayıcısı konağı oluşturulduğunu ve yapılandırıldığını varsayar. Infoblox Veri Bağlayıcısı, Infoblox Threat Defense'in bir özelliği olduğundan, uygun bir Infoblox Threat Defense aboneliğine erişim gereklidir. Daha fazla bilgi ve lisans gereksinimleri için bu hızlı başlangıç kılavuzuna bakın.

Bu veri bağlayıcısını yapılandırmak için aşağıdaki adımları izleyin

C. AMA veri bağlayıcısı aracılığıyla Ortak Olay Biçimini (CEF) yapılandırma

Not: CEF günlükleri yalnızca Linux Aracılarından toplanır

  1. Microsoft Sentinel çalışma alanı > Veri bağlayıcıları dikey pencerenize gidin.

  2. AMA veri bağlayıcısı aracılığıyla Ortak Olay Biçimi 'ni (CEF) arayın ve açın.

  3. Günlük yinelemesine neden olabileceğinden gerekli günlükleri toplamak için yapılandırılmış mevcut DCR olmadığından emin olun. Yeni bir DCR (Veri Toplama Kuralı) oluşturun.

    Not: AMA aracı v1.27'nin en azından yüklenmesi önerilir. Günlük yinelemesine neden olabileceği için daha fazla bilgi edinin ve yinelenen DCR olmadığından emin olun.

  4. Makinede CEF toplayıcısını yapılandırmak için AMA veri bağlayıcısı aracılığıyla Ortak Olay Biçimi (CEF) sayfasında sağlanan komutu çalıştırın.

B. Infoblox Bulut Hizmetleri Portalı içinde, Infoblox'u CEF Syslog verilerini Infoblox Cloud Data Connector'a gönderecek şekilde yapılandırın ve böylece Syslog ajanına iletebilirsiniz

Infoblox CDC'yi Linux Syslog aracısı aracılığıyla Microsoft Sentinel veri gönderecek şekilde yapılandırmak için aşağıdaki adımları izleyin.

  1. Entegrasyonlar > Veri Bağlayıcılarına gidin.
  2. En üstteki Hedef Yapılandırma sekmesine tıklayın.
  3. Syslog Oluştur'a >tıklayın.
  • Ad: Yeni Hedefe Microsoft-Sentinel-Destination gibi anlamlı bir ad verin.
  • Açıklama: İsteğe bağlı olarak anlamlı bir açıklama verin.
  • Durum: Durumu Etkin olarak ayarlayın.
  • Biçim: Biçimi CEF olarak ayarlayın.
  • FQDN/IP: Linux aracısının yüklü olduğu Linux cihazın IP adresini girin.
  • Bağlantı noktası: Bağlantı noktası numarasını 514 olarak bırakın.
  • Protokol: Uygunsa istenen protokolü ve CA sertifikayı seçin.
  • Kaydet & Kapat'a tıklayın.
  1. Üst kısımdaki Trafik Akışı Yapılandırması sekmesine tıklayın.
  2. Oluştur'a tıklayın.
  • Ad: Yeni Trafik Akışına Microsoft-Sentinel-Flow gibi anlamlı bir ad verin.
  • Açıklama: İsteğe bağlı olarak anlamlı bir açıklama verin.
  • Durum: Durumu Etkin olarak ayarlayın.
  • Hizmet Örneği bölümünü genişletin.
  • Hizmet Örneği: Veri Bağlayıcısı hizmetinin etkinleştirildiği istediğiniz Hizmet Örneğini seçin.
  • Kaynak Yapılandırması bölümünü genişletin.
  • Kaynak: Infoblox Cloud Source'u seçin.
  • Tehdit Savunma Logu Türü için IQ'yu seçin.
  • Hedef Yapılandırma bölümünü genişletin.
  • Yeni oluşturduğunuz Hedef'i seçin.
  • Kaydet & Kapat'a tıklayın.
  1. Yapılandırmanın etkinleştirilmesi için biraz zaman tanıyın.

C. Bağlantıyı doğrulama

Bağlantınızı doğrulamak için yönergeleri izleyin:

Günlüklerin CommonSecurityLog şeması kullanılarak alınp alınmadığını denetlemek için Log Analytics'i açın.

Bağlantının verileri çalışma alanınıza aktarması yaklaşık 20 dakika sürebilir.

Günlükler alınmazsa aşağıdaki bağlantı doğrulama betiğini çalıştırın:

  1. Aşağıdaki komutu kullanarak makinenizde Python olduğundan emin olun: python -version

  2. Makinenizde yükseltilmiş izinlere (sudo) sahip olmanız gerekir

  • Bağlantınızı doğrulamak için aşağıdaki komutu çalıştırın:: <yükleme zamanında sağlanan değişken değeri>

**2. Makinenizin güvenliğini sağlama **

Makinenin güvenliğini kuruluşunuzun güvenlik ilkesine göre yapılandırdığından emin olun

Daha fazla bilgi edinin >



Infoblox IQ for Threat Defense Insight Data Connector via REST API

Tarafından desteklenir:Infoblox

Infoblox IQ for Threat Defense Insight Data Connector, Infoblox IQ for Threat Defense Insight verilerinizi Microsoft Sentinel ile kolayca bağlamanızı sağlar. Günlüklerinizi Microsoft Sentinel bağlayarak, her günlük için arama & bağıntı, uyarı ve tehdit bilgileri zenginleştirmelerinden yararlanabilirsiniz.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
InfobloxInsight_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Kurulum Yönergeleri:

Çözümleyicileri

Bu veri bağlayıcısı, Microsoft Sentinel Çözümü ile dağıtılan InfobloxInsight adlı beklendiği gibi çalışması için Kusto İşlevini temel alan bir ayrıştırıcıya bağlıdır.

Tehdit Savunması için Infoblox IQ

Bu veri bağlayıcısı, Threat Defense için Infoblox IQ'ya erişiminiz olduğunu varsayar. Daha fazla bilgiyi burada bulabilirsiniz.

Bu veri bağlayıcısını yapılandırmak için aşağıdaki adımları izleyin

1. Infoblox API Anahtarı oluşturma ve güvenli bir yere kopyalama

Infoblox Cloud Services Portalı'nda bir API Anahtarı oluşturun ve sonraki adımda güvenli bir yere kopyalayın. API anahtarları oluşturma yönergelerini burada bulabilirsiniz.

2. Infoblox-IQ-for-TD-Get-Insights-API oyun kitabını yapılandırın

Bu çözümle birlikte dağıtılan Infoblox-IQ-for-TD-Get-Insights-API oyun kitabını oluşturun ve yapılandırın. Bilgi Blox API anahtarınızı ve Log Analytics Çalışma Alanı Adını uygun parametrelere girin.



InfoSecGlobal Veri Bağlayıcısı

Tarafından desteklenir:InfoSecGlobal

InfoSec Crypto Analytics ile tümleştirmek ve doğrudan Microsoft Sentinel gönderilen verileri almak için bu veri bağlayıcısını kullanın.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
InfoSecAnalytics_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Kurulum Yönergeleri:

InfoSecGlobal Crypto Analytics Veri Bağlayıcısı

  1. Veriler Logstash aracılığıyla Microsoft Sentinel gönderilir
  2. Gerekli Logstash yapılandırması Crypto Analytics yüklemesine dahil edilir
  3. Crypto Analytics yüklemesi ile sağlanan belgeler, Microsoft Sentinel'a veri göndermeyi etkinleştirmeyi açıklar
  • Çalışma Alanı Kimliği: <Yükleme zamanında sağlanan değişken değeri>
  • Birincil Anahtar: <Yükleme zamanında sağlanan değişken değeri>



IONIX Güvenlik Günlükleri (Kodsuz Bağlayıcı Çerçevesi aracılığıyla)

Tarafından desteklenir:IONIX

IONIX bağlayıcısı, Kodsuz Bağlayıcı Çerçevesi (CCF) kullanarak eylem öğelerini IONIX Saldırı Yüzeyi Yönetimi platformunuzdan Microsoft Sentinel'a almanızı sağlar. Eylem öğeleri, düzeltme gerektiren güvenlik bulgularını ve güvenlik açıklarını temsil eder.

Bu bağlayıcı IONIX API'sini otomatik olarak yoklar ve verileri CyberpionActionItems_CL tablosuna yazar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
CyberpionActionItems_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • IONIX API Belirteci: IONIX Portalı'ndan bir API belirteci gereklidir. > Ayarlar API'sinde bir tane oluşturun.

Kurulum Yönergeleri:

IONIX'i Microsoft Sentinel'a bağlama

Bu bağlayıcı, eylem öğelerini otomatik olarak yoklayıp Microsoft Sentinel almak için IONIX API'sini kullanır. IONIX Portalınızdan bir API belirtecine ihtiyacınız vardır.

  • IONIX API Belirteci: (IONIX Ayarları > API'sinden JWT API belirtecinizi girin)
  • IONIX Hesap Adı: (cyberpion)
  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



IPinfo Kötüye Kullanım Veri Bağlayıcısı

Tarafından desteklenir:IPinfo

Bu IPinfo veri bağlayıcısı, standard_abuse veri kümelerini indirmek ve Microsoft Sentinel özel günlük tablosuna eklemek için bir Azure İşlev uygulaması yükler

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
Ipinfo_Abuse_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • Microsoft.Web/sites izinleri: İşlev Uygulaması oluşturmak için Azure İşlevleri okuma ve yazma izinleri gereklidir. Daha fazla bilgi için bkz. Azure İşlevleri.
  • IPinfo API Belirteci: IPinfo API Belirtecinizi buradan alın.

Kurulum Yönergeleri:

1. API Belirtecini alma

IPinfo API Belirtecinizi buradan alın.

2. Azure AD kiracınızda bir Azure Active Directory (AAD) uygulaması oluşturun

Azure AD kiracınızda bir Azure Active Directory (AAD) uygulaması oluşturun ve Kiracı Kimliği, İstemci Kimliği ve İstemci Gizli Anahtarı alın: Bu Bağlantıyı kullanın.

3. AAD uygulamasına Microsoft Sentinel Katkıda Bulunan Rolü atayın.

Az önce oluşturduğunuz AAD uygulamasını, "Microsoft Sentinel" eklendiği "Log Analytic Çalışma Alanı" için kullandığınız aynı "Kaynak Grubu" içindeki Katkıda Bulunan (Ayrıcalıklı yönetici rolleri) ve İzleme Ölçümleri Yayımcısı'na (İş işlevi rolleri) atayın: Bu Bağlantıyı kullanın.

4. Çalışma Alanı Kaynak Kimliğini Alma

'Kaynak Kimliği' özellik değerine sahip Log Analytic Workspace -> Özellikler dikey penceresini kullanın. Bu, '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}' biçiminde olan tam bir resourceId değeridir.

5. Azure İşlevini dağıtma

Arm Tempate kullanarak IPinfo veri bağlayıcısının otomatik dağıtımı için bunu kullanın.

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.ms

  2. Tercih edilen Abonelik, Kaynak Grubu ve Konum'a tıklayın.

  3. RESOURCE_ID, IPINFO_TOKEN, TENANT_ID, CLIENT_ID CLIENT_SECRET girin.

Azure İşlevleri El ile Dağıtımı

IPinfo veri bağlayıcısını Azure İşlevleri (Visual Studio Code aracılığıyla dağıtım) ile el ile dağıtmak için aşağıdaki adım adım yönergeleri kullanın.

1. Adım - İşlev Uygulaması Dağıtma

  1. Azure İşlev Uygulaması dosyasını indirin. arşivi yerel geliştirme bilgisayarınıza Azure İşlev Uygulaması'na ayıklayın.
  2. VSCode kullanarak gelişmiş seçeneği kullanarak Barındırma İşlevleri Premium veya App service planı kullanarak İşlev Uygulaması oluşturun.
  3. VSCode kullanarak Azure İşlevleri uygulamasını dağıtmak için işlev uygulaması el ile dağıtım yönergelerini izleyin.
  4. İşlev uygulamasının başarıyla dağıtılmasından sonra, uygulamayı yapılandırmak için sonraki adımları izleyin.

2. Adım - İşlev Uygulamasını Yapılandırma

  1. İşlev Uygulaması yapılandırması için Azure portalı'na gidin.
  2. İşlev Uygulamasında İşlev Uygulaması Adı'nı ve ardından Ayarlar -> Yapılandırma veya Ortam değişkenleri'ni seçin.
  3. Uygulama ayarları sekmesinde + Yeni uygulama ayarı'nı seçin.
  4. Aşağıdaki uygulama ayarlarının her birini ilgili dize değerleriyle (büyük/küçük harfe duyarlı) tek tek ekleyin: RESOURCE_ID IPINFO_TOKEN TENANT_ID CLIENT_ID CLIENT_SECRET RETENTION_IN_DAYS TOTAL_RETENTION_IN_DAYS SCHEDULE LOCATION
  5. Tüm uygulama ayarları girildikten sonra Kaydet'e tıklayın.



IPinfo ASN Veri Bağlayıcısı

Tarafından desteklenir:IPinfo

Bu IPinfo veri bağlayıcısı, standard_ASN veri kümelerini indirmek ve Microsoft Sentinel'deki özel günlük tablosuna eklemek için bir Azure İşlev uygulaması yükler

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
Ipinfo_ASN_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • Microsoft.Web/sites izinleri: İşlev Uygulaması oluşturmak için Azure İşlevleri okuma ve yazma izinleri gereklidir. Daha fazla bilgi için bkz. Azure İşlevleri.
  • IPinfo API Belirteci: IPinfo API Belirtecinizi buradan alın.

Kurulum Yönergeleri:

1. API Belirtecini alma

IPinfo API Belirtecinizi buradan alın.

2. Azure AD kiracınızda bir Azure Active Directory (AAD) uygulaması oluşturun

Azure AD kiracınızda bir Azure Active Directory (AAD) uygulaması oluşturun ve Kiracı Kimliği, İstemci Kimliği ve İstemci Gizli Anahtarı alın: Bu Bağlantıyı kullanın.

3. AAD uygulamasına Microsoft Sentinel Katkıda Bulunan Rolü atayın.

Az önce oluşturduğunuz AAD uygulamasını, "Microsoft Sentinel" eklendiği "Log Analytic Çalışma Alanı" için kullandığınız aynı "Kaynak Grubu" içindeki Katkıda Bulunan (Ayrıcalıklı yönetici rolleri) ve İzleme Ölçümleri Yayımcısı'na (İş işlevi rolleri) atayın: Bu Bağlantıyı kullanın.

4. Çalışma Alanı Kaynak Kimliğini Alma

'Kaynak Kimliği' özellik değerine sahip Log Analytic Workspace -> Özellikler dikey penceresini kullanın. Bu, '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}' biçiminde olan tam bir resourceId değeridir.

5. Azure İşlevini dağıtma

Arm Tempate kullanarak IPinfo veri bağlayıcısının otomatik dağıtımı için bunu kullanın.

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.ms

  2. Tercih edilen Abonelik, Kaynak Grubu ve Konum'a tıklayın.

  3. RESOURCE_ID, IPINFO_TOKEN, TENANT_ID, CLIENT_ID CLIENT_SECRET girin.

Azure İşlevleri El ile Dağıtımı

IPinfo veri bağlayıcısını Azure İşlevleri (Visual Studio Code aracılığıyla dağıtım) ile el ile dağıtmak için aşağıdaki adım adım yönergeleri kullanın.

1. Adım - İşlev Uygulaması Dağıtma

  1. Azure İşlev Uygulaması dosyasını indirin. arşivi yerel geliştirme bilgisayarınıza Azure İşlev Uygulaması'na ayıklayın.
  2. VSCode kullanarak gelişmiş seçeneği kullanarak Barındırma İşlevleri Premium veya App service planı kullanarak İşlev Uygulaması oluşturun.
  3. VSCode kullanarak Azure İşlevleri uygulamasını dağıtmak için işlev uygulaması el ile dağıtım yönergelerini izleyin.
  4. İşlev uygulamasının başarıyla dağıtılmasından sonra, uygulamayı yapılandırmak için sonraki adımları izleyin.

2. Adım - İşlev Uygulamasını Yapılandırma

  1. İşlev Uygulaması yapılandırması için Azure portalı'na gidin.
  2. İşlev Uygulamasında İşlev Uygulaması Adı'nı ve ardından Ayarlar -> Yapılandırma veya Ortam değişkenleri'ni seçin.
  3. Uygulama ayarları sekmesinde + Yeni uygulama ayarı'nı seçin.
  4. Aşağıdaki uygulama ayarlarının her birini ilgili dize değerleriyle (büyük/küçük harfe duyarlı) tek tek ekleyin: RESOURCE_ID IPINFO_TOKEN TENANT_ID CLIENT_ID CLIENT_SECRET RETENTION_IN_DAYS TOTAL_RETENTION_IN_DAYS SCHEDULE LOCATION
  5. Tüm uygulama ayarları girildikten sonra Kaydet'e tıklayın.



IPinfo Taşıyıcı Veri Bağlayıcısı

Tarafından desteklenir:IPinfo

Bu IPinfo veri bağlayıcısı, standard_carrier veri kümelerini indirmek ve Microsoft Sentinel'da özel günlük tablosuna eklemek için bir Azure İşlev uygulaması yükler

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
Ipinfo_Carrier_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • Microsoft.Web/sites izinleri: İşlev Uygulaması oluşturmak için Azure İşlevleri okuma ve yazma izinleri gereklidir. Daha fazla bilgi için bkz. Azure İşlevleri.
  • IPinfo API Belirteci: IPinfo API Belirtecinizi buradan alın.

Kurulum Yönergeleri:

1. API Belirtecini alma

IPinfo API Belirtecinizi buradan alın.

2. Azure AD kiracınızda bir Azure Active Directory (AAD) uygulaması oluşturun

Azure AD kiracınızda bir Azure Active Directory (AAD) uygulaması oluşturun ve Kiracı Kimliği, İstemci Kimliği ve İstemci Gizli Anahtarı alın: Bu Bağlantıyı kullanın.

3. AAD uygulamasına Microsoft Sentinel Katkıda Bulunan Rolü atayın.

Az önce oluşturduğunuz AAD uygulamasını, "Microsoft Sentinel" eklendiği "Log Analytic Çalışma Alanı" için kullandığınız aynı "Kaynak Grubu" içindeki Katkıda Bulunan (Ayrıcalıklı yönetici rolleri) ve İzleme Ölçümleri Yayımcısı'na (İş işlevi rolleri) atayın: Bu Bağlantıyı kullanın.

4. Çalışma Alanı Kaynak Kimliğini Alma

'Kaynak Kimliği' özellik değerine sahip Log Analytic Workspace -> Özellikler dikey penceresini kullanın. Bu, '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}' biçiminde olan tam bir resourceId değeridir.

5. Azure İşlevini dağıtma

Arm Tempate kullanarak IPinfo veri bağlayıcısının otomatik dağıtımı için bunu kullanın.

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.ms

  2. Tercih edilen Abonelik, Kaynak Grubu ve Konum'a tıklayın.

  3. RESOURCE_ID, IPINFO_TOKEN, TENANT_ID, CLIENT_ID CLIENT_SECRET girin.

Azure İşlevleri El ile Dağıtımı

IPinfo veri bağlayıcısını Azure İşlevleri (Visual Studio Code aracılığıyla dağıtım) ile el ile dağıtmak için aşağıdaki adım adım yönergeleri kullanın.

1. Adım - İşlev Uygulaması Dağıtma

  1. Azure İşlev Uygulaması dosyasını indirin. arşivi yerel geliştirme bilgisayarınıza Azure İşlev Uygulaması'na ayıklayın.
  2. VSCode kullanarak gelişmiş seçeneği kullanarak Barındırma İşlevleri Premium veya App service planı kullanarak İşlev Uygulaması oluşturun.
  3. VSCode kullanarak Azure İşlevleri uygulamasını dağıtmak için işlev uygulaması el ile dağıtım yönergelerini izleyin.
  4. İşlev uygulamasının başarıyla dağıtılmasından sonra, uygulamayı yapılandırmak için sonraki adımları izleyin.

2. Adım - İşlev Uygulamasını Yapılandırma

  1. İşlev Uygulaması yapılandırması için Azure portalı'na gidin.
  2. İşlev Uygulamasında İşlev Uygulaması Adı'nı ve ardından Ayarlar -> Yapılandırma veya Ortam değişkenleri'ni seçin.
  3. Uygulama ayarları sekmesinde + Yeni uygulama ayarı'nı seçin.
  4. Aşağıdaki uygulama ayarlarının her birini ilgili dize değerleriyle (büyük/küçük harfe duyarlı) tek tek ekleyin: RESOURCE_ID IPINFO_TOKEN TENANT_ID CLIENT_ID CLIENT_SECRET RETENTION_IN_DAYS TOTAL_RETENTION_IN_DAYS SCHEDULE LOCATION
  5. Tüm uygulama ayarları girildikten sonra Kaydet'e tıklayın.



IPinfo Şirket Veri Bağlayıcısı

Tarafından desteklenir:IPinfo

Bu IPinfo veri bağlayıcısı, standard_company veri kümelerini indirmek ve Microsoft Sentinel'daki özel günlük tablosuna eklemek için bir Azure İşlev uygulaması yükler

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
Ipinfo_Company_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • Microsoft.Web/sites izinleri: İşlev Uygulaması oluşturmak için Azure İşlevleri okuma ve yazma izinleri gereklidir. Daha fazla bilgi için bkz. Azure İşlevleri.
  • IPinfo API Belirteci: IPinfo API Belirtecinizi buradan alın.

Kurulum Yönergeleri:

1. API Belirtecini alma

IPinfo API Belirtecinizi buradan alın.

2. Azure AD kiracınızda bir Azure Active Directory (AAD) uygulaması oluşturun

Azure AD kiracınızda bir Azure Active Directory (AAD) uygulaması oluşturun ve Kiracı Kimliği, İstemci Kimliği ve İstemci Gizli Anahtarı alın: Bu Bağlantıyı kullanın.

3. AAD uygulamasına Microsoft Sentinel Katkıda Bulunan Rolü atayın.

Az önce oluşturduğunuz AAD uygulamasını, "Microsoft Sentinel" eklendiği "Log Analytic Çalışma Alanı" için kullandığınız aynı "Kaynak Grubu" içindeki Katkıda Bulunan (Ayrıcalıklı yönetici rolleri) ve İzleme Ölçümleri Yayımcısı'na (İş işlevi rolleri) atayın: Bu Bağlantıyı kullanın.

4. Çalışma Alanı Kaynak Kimliğini Alma

'Kaynak Kimliği' özellik değerine sahip Log Analytic Workspace -> Özellikler dikey penceresini kullanın. Bu, '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}' biçiminde olan tam bir resourceId değeridir.

5. Azure İşlevini dağıtma

Arm Tempate kullanarak IPinfo veri bağlayıcısının otomatik dağıtımı için bunu kullanın.

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.ms

  2. Tercih edilen Abonelik, Kaynak Grubu ve Konum'a tıklayın.

  3. RESOURCE_ID, IPINFO_TOKEN, TENANT_ID, CLIENT_ID CLIENT_SECRET girin.

Azure İşlevleri El ile Dağıtımı

IPinfo veri bağlayıcısını Azure İşlevleri (Visual Studio Code aracılığıyla dağıtım) ile el ile dağıtmak için aşağıdaki adım adım yönergeleri kullanın.

1. Adım - İşlev Uygulaması Dağıtma

  1. Azure İşlev Uygulaması dosyasını indirin. arşivi yerel geliştirme bilgisayarınıza Azure İşlev Uygulaması'na ayıklayın.
  2. VSCode kullanarak gelişmiş seçeneği kullanarak Barındırma İşlevleri Premium veya App service planı kullanarak İşlev Uygulaması oluşturun.
  3. VSCode kullanarak Azure İşlevleri uygulamasını dağıtmak için işlev uygulaması el ile dağıtım yönergelerini izleyin.
  4. İşlev uygulamasının başarıyla dağıtılmasından sonra, uygulamayı yapılandırmak için sonraki adımları izleyin.

2. Adım - İşlev Uygulamasını Yapılandırma

  1. İşlev Uygulaması yapılandırması için Azure portalı'na gidin.
  2. İşlev Uygulamasında İşlev Uygulaması Adı'nı ve ardından Ayarlar -> Yapılandırma veya Ortam değişkenleri'ni seçin.
  3. Uygulama ayarları sekmesinde + Yeni uygulama ayarı'nı seçin.
  4. Aşağıdaki uygulama ayarlarının her birini ilgili dize değerleriyle (büyük/küçük harfe duyarlı) tek tek ekleyin: RESOURCE_ID IPINFO_TOKEN TENANT_ID CLIENT_ID CLIENT_SECRET RETENTION_IN_DAYS TOTAL_RETENTION_IN_DAYS SCHEDULE LOCATION
  5. Tüm uygulama ayarları girildikten sonra Kaydet'e tıklayın.



IPinfo Çekirdek Veri Bağlayıcısı

Tarafından desteklenir:IPinfo

Bu IPinfo veri bağlayıcısı, Çekirdek veri kümelerini indirmek ve Microsoft Sentinel'daki özel günlük tablosuna eklemek için bir Azure İşlev uygulaması yükler

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
Ipinfo_CORE_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • Microsoft.Web/sites izinleri: İşlev Uygulaması oluşturmak için Azure İşlevleri okuma ve yazma izinleri gereklidir. Daha fazla bilgi için bkz. Azure İşlevleri.
  • IPinfo API Belirteci: IPinfo API Belirtecinizi buradan alın.

Kurulum Yönergeleri:

1. API Belirtecini alma

IPinfo API Belirtecinizi buradan alın.

2. Azure AD kiracınızda bir Azure Active Directory (AAD) uygulaması oluşturun

Azure AD kiracınızda bir Azure Active Directory (AAD) uygulaması oluşturun ve Kiracı Kimliği, İstemci Kimliği ve İstemci Gizli Anahtarı alın: Bu Bağlantıyı kullanın.

3. AAD uygulamasına Microsoft Sentinel Katkıda Bulunan Rolü atayın.

Az önce oluşturduğunuz AAD uygulamasını, "Microsoft Sentinel" eklendiği "Log Analytic Çalışma Alanı" için kullandığınız aynı "Kaynak Grubu" içindeki Katkıda Bulunan (Ayrıcalıklı yönetici rolleri) ve İzleme Ölçümleri Yayımcısı'na (İş işlevi rolleri) atayın: Bu Bağlantıyı kullanın.

4. Çalışma Alanı Kaynak Kimliğini Alma

'Kaynak Kimliği' özellik değerine sahip Log Analytic Workspace -> Özellikler dikey penceresini kullanın. Bu, '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}' biçiminde olan tam bir resourceId değeridir.

5. Azure İşlevini dağıtma

Arm Tempate kullanarak IPinfo veri bağlayıcısının otomatik dağıtımı için bunu kullanın.

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.ms

  2. Tercih edilen Abonelik, Kaynak Grubu ve Konum'a tıklayın.

  3. RESOURCE_ID, IPINFO_TOKEN, TENANT_ID, CLIENT_ID CLIENT_SECRET girin.

Azure İşlevleri El ile Dağıtımı

IPinfo veri bağlayıcısını Azure İşlevleri (Visual Studio Code aracılığıyla dağıtım) ile el ile dağıtmak için aşağıdaki adım adım yönergeleri kullanın.

1. Adım - İşlev Uygulaması Dağıtma

  1. Azure İşlev Uygulaması dosyasını indirin. arşivi yerel geliştirme bilgisayarınıza Azure İşlev Uygulaması'na ayıklayın.
  2. VSCode kullanarak gelişmiş seçeneği kullanarak Barındırma İşlevleri Premium veya App service planı kullanarak İşlev Uygulaması oluşturun.
  3. VSCode kullanarak Azure İşlevleri uygulamasını dağıtmak için işlev uygulaması el ile dağıtım yönergelerini izleyin.
  4. İşlev uygulamasının başarıyla dağıtılmasından sonra, uygulamayı yapılandırmak için sonraki adımları izleyin.

2. Adım - İşlev Uygulamasını Yapılandırma

  1. İşlev Uygulaması yapılandırması için Azure portalı'na gidin.
  2. İşlev Uygulamasında İşlev Uygulaması Adı'nı ve ardından Ayarlar -> Yapılandırma veya Ortam değişkenleri'ni seçin.
  3. Uygulama ayarları sekmesinde + Yeni uygulama ayarı'nı seçin.
  4. Aşağıdaki uygulama ayarlarının her birini ilgili dize değerleriyle (büyük/küçük harfe duyarlı) tek tek ekleyin: RESOURCE_ID IPINFO_TOKEN TENANT_ID CLIENT_ID CLIENT_SECRET RETENTION_IN_DAYS TOTAL_RETENTION_IN_DAYS SCHEDULE LOCATION
  5. Tüm uygulama ayarları girildikten sonra Kaydet'e tıklayın.



IPinfo Ülke ASN Veri Bağlayıcısı

Tarafından desteklenir:IPinfo

Bu IPinfo veri bağlayıcısı, country_asn veri kümelerini indirmek ve Microsoft Sentinel'daki özel günlük tablosuna eklemek için bir Azure İşlev uygulaması yükler

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
Ipinfo_Country_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • Microsoft.Web/sites izinleri: İşlev Uygulaması oluşturmak için Azure İşlevleri okuma ve yazma izinleri gereklidir. Daha fazla bilgi için bkz. Azure İşlevleri.
  • IPinfo API Belirteci: IPinfo API Belirtecinizi buradan alın.

Kurulum Yönergeleri:

1. API Belirtecini alma

IPinfo API Belirtecinizi buradan alın.

2. Azure AD kiracınızda bir Azure Active Directory (AAD) uygulaması oluşturun

Azure AD kiracınızda bir Azure Active Directory (AAD) uygulaması oluşturun ve Kiracı Kimliği, İstemci Kimliği ve İstemci Gizli Anahtarı alın: Bu Bağlantıyı kullanın.

3. AAD uygulamasına Microsoft Sentinel Katkıda Bulunan Rolü atayın.

Az önce oluşturduğunuz AAD uygulamasını, "Microsoft Sentinel" eklendiği "Log Analytic Çalışma Alanı" için kullandığınız aynı "Kaynak Grubu" içindeki Katkıda Bulunan (Ayrıcalıklı yönetici rolleri) ve İzleme Ölçümleri Yayımcısı'na (İş işlevi rolleri) atayın: Bu Bağlantıyı kullanın.

4. Çalışma Alanı Kaynak Kimliğini Alma

'Kaynak Kimliği' özellik değerine sahip Log Analytic Workspace -> Özellikler dikey penceresini kullanın. Bu, '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}' biçiminde olan tam bir resourceId değeridir.

5. Azure İşlevini dağıtma

Arm Tempate kullanarak IPinfo veri bağlayıcısının otomatik dağıtımı için bunu kullanın.

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.ms

  2. Tercih edilen Abonelik, Kaynak Grubu ve Konum'a tıklayın.

  3. RESOURCE_ID, IPINFO_TOKEN, TENANT_ID, CLIENT_ID CLIENT_SECRET girin.

Azure İşlevleri El ile Dağıtımı

IPinfo veri bağlayıcısını Azure İşlevleri (Visual Studio Code aracılığıyla dağıtım) ile el ile dağıtmak için aşağıdaki adım adım yönergeleri kullanın.

1. Adım - İşlev Uygulaması Dağıtma

  1. Azure İşlev Uygulaması dosyasını indirin. arşivi yerel geliştirme bilgisayarınıza Azure İşlev Uygulaması'na ayıklayın.
  2. VSCode kullanarak gelişmiş seçeneği kullanarak Barındırma İşlevleri Premium veya App service planı kullanarak İşlev Uygulaması oluşturun.
  3. VSCode kullanarak Azure İşlevleri uygulamasını dağıtmak için işlev uygulaması el ile dağıtım yönergelerini izleyin.
  4. İşlev uygulamasının başarıyla dağıtılmasından sonra, uygulamayı yapılandırmak için sonraki adımları izleyin.

2. Adım - İşlev Uygulamasını Yapılandırma

  1. İşlev Uygulaması yapılandırması için Azure portalı'na gidin.
  2. İşlev Uygulamasında İşlev Uygulaması Adı'nı ve ardından Ayarlar -> Yapılandırma veya Ortam değişkenleri'ni seçin.
  3. Uygulama ayarları sekmesinde + Yeni uygulama ayarı'nı seçin.
  4. Aşağıdaki uygulama ayarlarının her birini ilgili dize değerleriyle (büyük/küçük harfe duyarlı) tek tek ekleyin: RESOURCE_ID IPINFO_TOKEN TENANT_ID CLIENT_ID CLIENT_SECRET RETENTION_IN_DAYS TOTAL_RETENTION_IN_DAYS SCHEDULE LOCATION
  5. Tüm uygulama ayarları girildikten sonra Kaydet'e tıklayın.



IPinfo Etki Alanı Veri Bağlayıcısı

Tarafından desteklenir:IPinfo

Bu IPinfo veri bağlayıcısı, standard_domain veri kümelerini indirmek ve Microsoft Sentinel'daki özel günlük tablosuna eklemek için bir Azure İşlev uygulaması yükler

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
Ipinfo_Domain_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • Microsoft.Web/sites izinleri: İşlev Uygulaması oluşturmak için Azure İşlevleri okuma ve yazma izinleri gereklidir. Daha fazla bilgi için bkz. Azure İşlevleri.
  • IPinfo API Belirteci: IPinfo API Belirtecinizi buradan alın.

Kurulum Yönergeleri:

1. API Belirtecini alma

IPinfo API Belirtecinizi buradan alın.

2. Azure AD kiracınızda bir Azure Active Directory (AAD) uygulaması oluşturun

Azure AD kiracınızda bir Azure Active Directory (AAD) uygulaması oluşturun ve Kiracı Kimliği, İstemci Kimliği ve İstemci Gizli Anahtarı alın: Bu Bağlantıyı kullanın.

3. AAD uygulamasına Microsoft Sentinel Katkıda Bulunan Rolü atayın.

Az önce oluşturduğunuz AAD uygulamasını, "Microsoft Sentinel" eklendiği "Log Analytic Çalışma Alanı" için kullandığınız aynı "Kaynak Grubu" içindeki Katkıda Bulunan (Ayrıcalıklı yönetici rolleri) ve İzleme Ölçümleri Yayımcısı'na (İş işlevi rolleri) atayın: Bu Bağlantıyı kullanın.

4. Çalışma Alanı Kaynak Kimliğini Alma

'Kaynak Kimliği' özellik değerine sahip Log Analytic Workspace -> Özellikler dikey penceresini kullanın. Bu, '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}' biçiminde olan tam bir resourceId değeridir.

5. Azure İşlevini dağıtma

Arm Tempate kullanarak IPinfo veri bağlayıcısının otomatik dağıtımı için bunu kullanın.

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.ms

  2. Tercih edilen Abonelik, Kaynak Grubu ve Konum'a tıklayın.

  3. RESOURCE_ID, IPINFO_TOKEN, TENANT_ID, CLIENT_ID CLIENT_SECRET girin.

Azure İşlevleri El ile Dağıtımı

IPinfo veri bağlayıcısını Azure İşlevleri (Visual Studio Code aracılığıyla dağıtım) ile el ile dağıtmak için aşağıdaki adım adım yönergeleri kullanın.

1. Adım - İşlev Uygulaması Dağıtma

  1. Azure İşlev Uygulaması dosyasını indirin. arşivi yerel geliştirme bilgisayarınıza Azure İşlev Uygulaması'na ayıklayın.
  2. VSCode kullanarak gelişmiş seçeneği kullanarak Barındırma İşlevleri Premium veya App service planı kullanarak İşlev Uygulaması oluşturun.
  3. VSCode kullanarak Azure İşlevleri uygulamasını dağıtmak için işlev uygulaması el ile dağıtım yönergelerini izleyin.
  4. İşlev uygulamasının başarıyla dağıtılmasından sonra, uygulamayı yapılandırmak için sonraki adımları izleyin.

2. Adım - İşlev Uygulamasını Yapılandırma

  1. İşlev Uygulaması yapılandırması için Azure portalı'na gidin.
  2. İşlev Uygulamasında İşlev Uygulaması Adı'nı ve ardından Ayarlar -> Yapılandırma veya Ortam değişkenleri'ni seçin.
  3. Uygulama ayarları sekmesinde + Yeni uygulama ayarı'nı seçin.
  4. Aşağıdaki uygulama ayarlarının her birini ilgili dize değerleriyle (büyük/küçük harfe duyarlı) tek tek ekleyin: RESOURCE_ID IPINFO_TOKEN TENANT_ID CLIENT_ID CLIENT_SECRET RETENTION_IN_DAYS TOTAL_RETENTION_IN_DAYS SCHEDULE LOCATION
  5. Tüm uygulama ayarları girildikten sonra Kaydet'e tıklayın.



IPinfo Iplocation Veri Bağlayıcısı

Tarafından desteklenir:IPinfo

Bu IPinfo veri bağlayıcısı, standard_location veri kümelerini indirmek ve Microsoft Sentinel'daki özel günlük tablosuna eklemek için bir Azure İşlev uygulaması yükler

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
Ipinfo_Location_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • Microsoft.Web/sites izinleri: İşlev Uygulaması oluşturmak için Azure İşlevleri okuma ve yazma izinleri gereklidir. Daha fazla bilgi için bkz. Azure İşlevleri.
  • IPinfo API Belirteci: IPinfo API Belirtecinizi buradan alın.

Kurulum Yönergeleri:

1. API Belirtecini alma

IPinfo API Belirtecinizi buradan alın.

2. Azure AD kiracınızda bir Azure Active Directory (AAD) uygulaması oluşturun

Azure AD kiracınızda bir Azure Active Directory (AAD) uygulaması oluşturun ve Kiracı Kimliği, İstemci Kimliği ve İstemci Gizli Anahtarı alın: Bu Bağlantıyı kullanın.

3. AAD uygulamasına Microsoft Sentinel Katkıda Bulunan Rolü atayın.

Az önce oluşturduğunuz AAD uygulamasını, "Microsoft Sentinel" eklendiği "Log Analytic Çalışma Alanı" için kullandığınız aynı "Kaynak Grubu" içindeki Katkıda Bulunan (Ayrıcalıklı yönetici rolleri) ve İzleme Ölçümleri Yayımcısı'na (İş işlevi rolleri) atayın: Bu Bağlantıyı kullanın.

4. Çalışma Alanı Kaynak Kimliğini Alma

'Kaynak Kimliği' özellik değerine sahip Log Analytic Workspace -> Özellikler dikey penceresini kullanın. Bu, '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}' biçiminde olan tam bir resourceId değeridir.

5. Azure İşlevini dağıtma

Arm Tempate kullanarak IPinfo veri bağlayıcısının otomatik dağıtımı için bunu kullanın.

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.ms

  2. Tercih edilen Abonelik, Kaynak Grubu ve Konum'a tıklayın.

  3. RESOURCE_ID, IPINFO_TOKEN, TENANT_ID, CLIENT_ID CLIENT_SECRET girin.

Azure İşlevleri El ile Dağıtımı

IPinfo veri bağlayıcısını Azure İşlevleri (Visual Studio Code aracılığıyla dağıtım) ile el ile dağıtmak için aşağıdaki adım adım yönergeleri kullanın.

1. Adım - İşlev Uygulaması Dağıtma

  1. Azure İşlev Uygulaması dosyasını indirin. arşivi yerel geliştirme bilgisayarınıza Azure İşlev Uygulaması'na ayıklayın.
  2. VSCode kullanarak gelişmiş seçeneği kullanarak Barındırma İşlevleri Premium veya App service planı kullanarak İşlev Uygulaması oluşturun.
  3. VSCode kullanarak Azure İşlevleri uygulamasını dağıtmak için işlev uygulaması el ile dağıtım yönergelerini izleyin.
  4. İşlev uygulamasının başarıyla dağıtılmasından sonra, uygulamayı yapılandırmak için sonraki adımları izleyin.

2. Adım - İşlev Uygulamasını Yapılandırma

  1. İşlev Uygulaması yapılandırması için Azure portalı'na gidin.
  2. İşlev Uygulamasında İşlev Uygulaması Adı'nı ve ardından Ayarlar -> Yapılandırma veya Ortam değişkenleri'ni seçin.
  3. Uygulama ayarları sekmesinde + Yeni uygulama ayarı'nı seçin.
  4. Aşağıdaki uygulama ayarlarının her birini ilgili dize değerleriyle (büyük/küçük harfe duyarlı) tek tek ekleyin: RESOURCE_ID IPINFO_TOKEN TENANT_ID CLIENT_ID CLIENT_SECRET RETENTION_IN_DAYS TOTAL_RETENTION_IN_DAYS SCHEDULE LOCATION
  5. Tüm uygulama ayarları girildikten sonra Kaydet'e tıklayın.



IPinfo Iplocation Genişletilmiş Veri Bağlayıcısı

Tarafından desteklenir:IPinfo

Bu IPinfo veri bağlayıcısı, standard_location_extended veri kümelerini indirmek ve Microsoft Sentinel'deki özel günlük tablosuna eklemek için bir Azure İşlev uygulaması yükler

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
Ipinfo_Location_extended_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • Microsoft.Web/sites izinleri: İşlev Uygulaması oluşturmak için Azure İşlevleri okuma ve yazma izinleri gereklidir. Daha fazla bilgi için bkz. Azure İşlevleri.
  • IPinfo API Belirteci: IPinfo API Belirtecinizi buradan alın.

Kurulum Yönergeleri:

1. API Belirtecini alma

IPinfo API Belirtecinizi buradan alın.

2. Azure AD kiracınızda bir Azure Active Directory (AAD) uygulaması oluşturun

Azure AD kiracınızda bir Azure Active Directory (AAD) uygulaması oluşturun ve Kiracı Kimliği, İstemci Kimliği ve İstemci Gizli Anahtarı alın: Bu Bağlantıyı kullanın.

3. AAD uygulamasına Microsoft Sentinel Katkıda Bulunan Rolü atayın.

Az önce oluşturduğunuz AAD uygulamasını, "Microsoft Sentinel" eklendiği "Log Analytic Çalışma Alanı" için kullandığınız aynı "Kaynak Grubu" içindeki Katkıda Bulunan (Ayrıcalıklı yönetici rolleri) ve İzleme Ölçümleri Yayımcısı'na (İş işlevi rolleri) atayın: Bu Bağlantıyı kullanın.

4. Çalışma Alanı Kaynak Kimliğini Alma

'Kaynak Kimliği' özellik değerine sahip Log Analytic Workspace -> Özellikler dikey penceresini kullanın. Bu, '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}' biçiminde olan tam bir resourceId değeridir.

5. Azure İşlevini dağıtma

Arm Tempate kullanarak IPinfo veri bağlayıcısının otomatik dağıtımı için bunu kullanın.

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.ms

  2. Tercih edilen Abonelik, Kaynak Grubu ve Konum'a tıklayın.

  3. RESOURCE_ID, IPINFO_TOKEN, TENANT_ID, CLIENT_ID CLIENT_SECRET girin.

Azure İşlevleri El ile Dağıtımı

IPinfo veri bağlayıcısını Azure İşlevleri (Visual Studio Code aracılığıyla dağıtım) ile el ile dağıtmak için aşağıdaki adım adım yönergeleri kullanın.

1. Adım - İşlev Uygulaması Dağıtma

  1. Azure İşlev Uygulaması dosyasını indirin. arşivi yerel geliştirme bilgisayarınıza Azure İşlev Uygulaması'na ayıklayın.
  2. VSCode kullanarak gelişmiş seçeneği kullanarak Barındırma İşlevleri Premium veya App service planı kullanarak İşlev Uygulaması oluşturun.
  3. VSCode kullanarak Azure İşlevleri uygulamasını dağıtmak için işlev uygulaması el ile dağıtım yönergelerini izleyin.
  4. İşlev uygulamasının başarıyla dağıtılmasından sonra, uygulamayı yapılandırmak için sonraki adımları izleyin.

2. Adım - İşlev Uygulamasını Yapılandırma

  1. İşlev Uygulaması yapılandırması için Azure portalı'na gidin.
  2. İşlev Uygulamasında İşlev Uygulaması Adı'nı ve ardından Ayarlar -> Yapılandırma veya Ortam değişkenleri'ni seçin.
  3. Uygulama ayarları sekmesinde + Yeni uygulama ayarı'nı seçin.
  4. Aşağıdaki uygulama ayarlarının her birini ilgili dize değerleriyle (büyük/küçük harfe duyarlı) tek tek ekleyin: RESOURCE_ID IPINFO_TOKEN TENANT_ID CLIENT_ID CLIENT_SECRET RETENTION_IN_DAYS TOTAL_RETENTION_IN_DAYS SCHEDULE LOCATION
  5. Tüm uygulama ayarları girildikten sonra Kaydet'e tıklayın.



IPinfo Plus Veri Bağlayıcısı

Tarafından desteklenir:IPinfo

Bu IPinfo veri bağlayıcısı, Artı veri kümelerini indirmek ve Microsoft Sentinel'daki özel günlük tablosuna eklemek için bir Azure İşlev uygulaması yükler

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
Ipinfo_PLUS_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • Microsoft.Web/sites izinleri: İşlev Uygulaması oluşturmak için Azure İşlevleri okuma ve yazma izinleri gereklidir. Daha fazla bilgi için bkz. Azure İşlevleri.
  • IPinfo API Belirteci: IPinfo API Belirtecinizi buradan alın.

Kurulum Yönergeleri:

1. API Belirtecini alma

IPinfo API Belirtecinizi buradan alın.

2. Azure AD kiracınızda bir Azure Active Directory (AAD) uygulaması oluşturun

Azure AD kiracınızda bir Azure Active Directory (AAD) uygulaması oluşturun ve Kiracı Kimliği, İstemci Kimliği ve İstemci Gizli Anahtarı alın: Bu Bağlantıyı kullanın.

3. AAD uygulamasına Microsoft Sentinel Katkıda Bulunan Rolü atayın.

Az önce oluşturduğunuz AAD uygulamasını, "Microsoft Sentinel" eklendiği "Log Analytic Çalışma Alanı" için kullandığınız aynı "Kaynak Grubu" içindeki Katkıda Bulunan (Ayrıcalıklı yönetici rolleri) ve İzleme Ölçümleri Yayımcısı'na (İş işlevi rolleri) atayın: Bu Bağlantıyı kullanın.

4. Çalışma Alanı Kaynak Kimliğini Alma

'Kaynak Kimliği' özellik değerine sahip Log Analytic Workspace -> Özellikler dikey penceresini kullanın. Bu, '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}' biçiminde olan tam bir resourceId değeridir.

5. Azure İşlevini dağıtma

Arm Tempate kullanarak IPinfo veri bağlayıcısının otomatik dağıtımı için bunu kullanın.

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.ms

  2. Tercih edilen Abonelik, Kaynak Grubu ve Konum'a tıklayın.

  3. RESOURCE_ID, IPINFO_TOKEN, TENANT_ID, CLIENT_ID CLIENT_SECRET girin.

Azure İşlevleri El ile Dağıtımı

IPinfo veri bağlayıcısını Azure İşlevleri (Visual Studio Code aracılığıyla dağıtım) ile el ile dağıtmak için aşağıdaki adım adım yönergeleri kullanın.

1. Adım - İşlev Uygulaması Dağıtma

  1. Azure İşlev Uygulaması dosyasını indirin. arşivi yerel geliştirme bilgisayarınıza Azure İşlev Uygulaması'na ayıklayın.
  2. VSCode kullanarak gelişmiş seçeneği kullanarak Barındırma İşlevleri Premium veya App service planı kullanarak İşlev Uygulaması oluşturun.
  3. VSCode kullanarak Azure İşlevleri uygulamasını dağıtmak için işlev uygulaması el ile dağıtım yönergelerini izleyin.
  4. İşlev uygulamasının başarıyla dağıtılmasından sonra, uygulamayı yapılandırmak için sonraki adımları izleyin.

2. Adım - İşlev Uygulamasını Yapılandırma

  1. İşlev Uygulaması yapılandırması için Azure portalı'na gidin.
  2. İşlev Uygulamasında İşlev Uygulaması Adı'nı ve ardından Ayarlar -> Yapılandırma veya Ortam değişkenleri'ni seçin.
  3. Uygulama ayarları sekmesinde + Yeni uygulama ayarı'nı seçin.
  4. Aşağıdaki uygulama ayarlarının her birini ilgili dize değerleriyle (büyük/küçük harfe duyarlı) tek tek ekleyin: RESOURCE_ID IPINFO_TOKEN TENANT_ID CLIENT_ID CLIENT_SECRET RETENTION_IN_DAYS TOTAL_RETENTION_IN_DAYS SCHEDULE LOCATION
  5. Tüm uygulama ayarları girildikten sonra Kaydet'e tıklayın.



IPinfo Gizlilik Veri Bağlayıcısı

Tarafından desteklenir:IPinfo

Bu IPinfo veri bağlayıcısı, standard_privacy veri kümelerini indirmek ve Microsoft Sentinel'deki özel günlük tablosuna eklemek için bir Azure İşlev uygulaması yükler

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
Ipinfo_Privacy_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • Microsoft.Web/sites izinleri: İşlev Uygulaması oluşturmak için Azure İşlevleri okuma ve yazma izinleri gereklidir. Daha fazla bilgi için bkz. Azure İşlevleri.
  • IPinfo API Belirteci: IPinfo API Belirtecinizi buradan alın.

Kurulum Yönergeleri:

1. API Belirtecini alma

IPinfo API Belirtecinizi buradan alın.

2. Azure AD kiracınızda bir Azure Active Directory (AAD) uygulaması oluşturun

Azure AD kiracınızda bir Azure Active Directory (AAD) uygulaması oluşturun ve Kiracı Kimliği, İstemci Kimliği ve İstemci Gizli Anahtarı alın: Bu Bağlantıyı kullanın.

3. AAD uygulamasına Microsoft Sentinel Katkıda Bulunan Rolü atayın.

Az önce oluşturduğunuz AAD uygulamasını, "Microsoft Sentinel" eklendiği "Log Analytic Çalışma Alanı" için kullandığınız aynı "Kaynak Grubu" içindeki Katkıda Bulunan (Ayrıcalıklı yönetici rolleri) ve İzleme Ölçümleri Yayımcısı'na (İş işlevi rolleri) atayın: Bu Bağlantıyı kullanın.

4. Çalışma Alanı Kaynak Kimliğini Alma

'Kaynak Kimliği' özellik değerine sahip Log Analytic Workspace -> Özellikler dikey penceresini kullanın. Bu, '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}' biçiminde olan tam bir resourceId değeridir.

5. Azure İşlevini dağıtma

Arm Tempate kullanarak IPinfo veri bağlayıcısının otomatik dağıtımı için bunu kullanın.

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.ms

  2. Tercih edilen Abonelik, Kaynak Grubu ve Konum'a tıklayın.

  3. RESOURCE_ID, IPINFO_TOKEN, TENANT_ID, CLIENT_ID CLIENT_SECRET girin.

Azure İşlevleri El ile Dağıtımı

IPinfo veri bağlayıcısını Azure İşlevleri (Visual Studio Code aracılığıyla dağıtım) ile el ile dağıtmak için aşağıdaki adım adım yönergeleri kullanın.

1. Adım - İşlev Uygulaması Dağıtma

  1. Azure İşlev Uygulaması dosyasını indirin. arşivi yerel geliştirme bilgisayarınıza Azure İşlev Uygulaması'na ayıklayın.
  2. VSCode kullanarak gelişmiş seçeneği kullanarak Barındırma İşlevleri Premium veya App service planı kullanarak İşlev Uygulaması oluşturun.
  3. VSCode kullanarak Azure İşlevleri uygulamasını dağıtmak için işlev uygulaması el ile dağıtım yönergelerini izleyin.
  4. İşlev uygulamasının başarıyla dağıtılmasından sonra, uygulamayı yapılandırmak için sonraki adımları izleyin.

2. Adım - İşlev Uygulamasını Yapılandırma

  1. İşlev Uygulaması yapılandırması için Azure portalı'na gidin.
  2. İşlev Uygulamasında İşlev Uygulaması Adı'nı ve ardından Ayarlar -> Yapılandırma veya Ortam değişkenleri'ni seçin.
  3. Uygulama ayarları sekmesinde + Yeni uygulama ayarı'nı seçin.
  4. Aşağıdaki uygulama ayarlarının her birini ilgili dize değerleriyle (büyük/küçük harfe duyarlı) tek tek ekleyin: RESOURCE_ID IPINFO_TOKEN TENANT_ID CLIENT_ID CLIENT_SECRET RETENTION_IN_DAYS TOTAL_RETENTION_IN_DAYS SCHEDULE LOCATION
  5. Tüm uygulama ayarları girildikten sonra Kaydet'e tıklayın.



IPinfo Gizlilik Genişletilmiş Veri Bağlayıcısı

Tarafından desteklenir:IPinfo

Bu IPinfo veri bağlayıcısı, standard_privacy veri kümelerini indirmek ve Microsoft Sentinel'deki özel günlük tablosuna eklemek için bir Azure İşlev uygulaması yükler

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
Ipinfo_Privacy_extended_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • Microsoft.Web/sites izinleri: İşlev Uygulaması oluşturmak için Azure İşlevleri okuma ve yazma izinleri gereklidir. Daha fazla bilgi için bkz. Azure İşlevleri.
  • IPinfo API Belirteci: IPinfo API Belirtecinizi buradan alın.

Kurulum Yönergeleri:

1. API Belirtecini alma

IPinfo API Belirtecinizi buradan alın.

2. Azure AD kiracınızda bir Azure Active Directory (AAD) uygulaması oluşturun

Azure AD kiracınızda bir Azure Active Directory (AAD) uygulaması oluşturun ve Kiracı Kimliği, İstemci Kimliği ve İstemci Gizli Anahtarı alın: Bu Bağlantıyı kullanın.

3. AAD uygulamasına Microsoft Sentinel Katkıda Bulunan Rolü atayın.

Az önce oluşturduğunuz AAD uygulamasını, "Microsoft Sentinel" eklendiği "Log Analytic Çalışma Alanı" için kullandığınız aynı "Kaynak Grubu" içindeki Katkıda Bulunan (Ayrıcalıklı yönetici rolleri) ve İzleme Ölçümleri Yayımcısı'na (İş işlevi rolleri) atayın: Bu Bağlantıyı kullanın.

4. Çalışma Alanı Kaynak Kimliğini Alma

'Kaynak Kimliği' özellik değerine sahip Log Analytic Workspace -> Özellikler dikey penceresini kullanın. Bu, '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}' biçiminde olan tam bir resourceId değeridir.

5. Azure İşlevini dağıtma

Arm Tempate kullanarak IPinfo veri bağlayıcısının otomatik dağıtımı için bunu kullanın.

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.ms

  2. Tercih edilen Abonelik, Kaynak Grubu ve Konum'a tıklayın.

  3. RESOURCE_ID, IPINFO_TOKEN, TENANT_ID, CLIENT_ID CLIENT_SECRET girin.

Azure İşlevleri El ile Dağıtımı

IPinfo veri bağlayıcısını Azure İşlevleri (Visual Studio Code aracılığıyla dağıtım) ile el ile dağıtmak için aşağıdaki adım adım yönergeleri kullanın.

1. Adım - İşlev Uygulaması Dağıtma

  1. Azure İşlev Uygulaması dosyasını indirin. arşivi yerel geliştirme bilgisayarınıza Azure İşlev Uygulaması'na ayıklayın.
  2. VSCode kullanarak gelişmiş seçeneği kullanarak Barındırma İşlevleri Premium veya App service planı kullanarak İşlev Uygulaması oluşturun.
  3. VSCode kullanarak Azure İşlevleri uygulamasını dağıtmak için işlev uygulaması el ile dağıtım yönergelerini izleyin.
  4. İşlev uygulamasının başarıyla dağıtılmasından sonra, uygulamayı yapılandırmak için sonraki adımları izleyin.

2. Adım - İşlev Uygulamasını Yapılandırma

  1. İşlev Uygulaması yapılandırması için Azure portalı'na gidin.
  2. İşlev Uygulamasında İşlev Uygulaması Adı'nı ve ardından Ayarlar -> Yapılandırma veya Ortam değişkenleri'ni seçin.
  3. Uygulama ayarları sekmesinde + Yeni uygulama ayarı'nı seçin.
  4. Aşağıdaki uygulama ayarlarının her birini ilgili dize değerleriyle (büyük/küçük harfe duyarlı) tek tek ekleyin: RESOURCE_ID IPINFO_TOKEN TENANT_ID CLIENT_ID CLIENT_SECRET RETENTION_IN_DAYS TOTAL_RETENTION_IN_DAYS SCHEDULE LOCATION
  5. Tüm uygulama ayarları girildikten sonra Kaydet'e tıklayın.



IPinfo ResProxy Veri Bağlayıcısı

Tarafından desteklenir:IPinfo

Bu IPinfo veri bağlayıcısı, ResProxy veri kümelerini indirmek ve Microsoft Sentinel'deki özel günlük tablosuna eklemek için bir Azure İşlev uygulaması yükler

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
Ipinfo_RESIDENTIAL_PROXY_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • Microsoft.Web/sites izinleri: İşlev Uygulaması oluşturmak için Azure İşlevleri okuma ve yazma izinleri gereklidir. Daha fazla bilgi için bkz. Azure İşlevleri.
  • IPinfo API Belirteci: IPinfo API Belirtecinizi buradan alın.

Kurulum Yönergeleri:

1. API Belirtecini alma

IPinfo API Belirtecinizi buradan alın.

2. Azure AD kiracınızda bir Azure Active Directory (AAD) uygulaması oluşturun

Azure AD kiracınızda bir Azure Active Directory (AAD) uygulaması oluşturun ve Kiracı Kimliği, İstemci Kimliği ve İstemci Gizli Anahtarı alın: Bu Bağlantıyı kullanın.

3. AAD uygulamasına Microsoft Sentinel Katkıda Bulunan Rolü atayın.

Az önce oluşturduğunuz AAD uygulamasını, "Microsoft Sentinel" eklendiği "Log Analytic Çalışma Alanı" için kullandığınız aynı "Kaynak Grubu" içindeki Katkıda Bulunan (Ayrıcalıklı yönetici rolleri) ve İzleme Ölçümleri Yayımcısı'na (İş işlevi rolleri) atayın: Bu Bağlantıyı kullanın.

4. Çalışma Alanı Kaynak Kimliğini Alma

'Kaynak Kimliği' özellik değerine sahip Log Analytic Workspace -> Özellikler dikey penceresini kullanın. Bu, '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}' biçiminde olan tam bir resourceId değeridir.

5. Azure İşlevini dağıtma

Arm Tempate kullanarak IPinfo veri bağlayıcısının otomatik dağıtımı için bunu kullanın.

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.ms

  2. Tercih edilen Abonelik, Kaynak Grubu ve Konum'a tıklayın.

  3. RESOURCE_ID, IPINFO_TOKEN, TENANT_ID, CLIENT_ID CLIENT_SECRET girin.

Azure İşlevleri El ile Dağıtımı

IPinfo veri bağlayıcısını Azure İşlevleri (Visual Studio Code aracılığıyla dağıtım) ile el ile dağıtmak için aşağıdaki adım adım yönergeleri kullanın.

1. Adım - İşlev Uygulaması Dağıtma

  1. Azure İşlev Uygulaması dosyasını indirin. arşivi yerel geliştirme bilgisayarınıza Azure İşlev Uygulaması'na ayıklayın.
  2. VSCode kullanarak gelişmiş seçeneği kullanarak Barındırma İşlevleri Premium veya App service planı kullanarak İşlev Uygulaması oluşturun.
  3. VSCode kullanarak Azure İşlevleri uygulamasını dağıtmak için işlev uygulaması el ile dağıtım yönergelerini izleyin.
  4. İşlev uygulamasının başarıyla dağıtılmasından sonra, uygulamayı yapılandırmak için sonraki adımları izleyin.

2. Adım - İşlev Uygulamasını Yapılandırma

  1. İşlev Uygulaması yapılandırması için Azure portalı'na gidin.
  2. İşlev Uygulamasında İşlev Uygulaması Adı'nı ve ardından Ayarlar -> Yapılandırma veya Ortam değişkenleri'ni seçin.
  3. Uygulama ayarları sekmesinde + Yeni uygulama ayarı'nı seçin.
  4. Aşağıdaki uygulama ayarlarının her birini ilgili dize değerleriyle (büyük/küçük harfe duyarlı) tek tek ekleyin: RESOURCE_ID IPINFO_TOKEN TENANT_ID CLIENT_ID CLIENT_SECRET RETENTION_IN_DAYS TOTAL_RETENTION_IN_DAYS SCHEDULE LOCATION
  5. Tüm uygulama ayarları girildikten sonra Kaydet'e tıklayın.



IPinfo RIRWHOIS Veri Bağlayıcısı

Tarafından desteklenir:IPinfo

Bu IPinfo veri bağlayıcısı, RIRWHOIS veri kümelerini indirmek ve Microsoft Sentinel'deki özel günlük tablosuna eklemek için bir Azure İşlev uygulaması yükler

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
Ipinfo_RIRWHOIS_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • Microsoft.Web/sites izinleri: İşlev Uygulaması oluşturmak için Azure İşlevleri okuma ve yazma izinleri gereklidir. Daha fazla bilgi için bkz. Azure İşlevleri.
  • IPinfo API Belirteci: IPinfo API Belirtecinizi buradan alın.

Kurulum Yönergeleri:

1. API Belirtecini alma

IPinfo API Belirtecinizi buradan alın.

2. Azure AD kiracınızda bir Azure Active Directory (AAD) uygulaması oluşturun

Azure AD kiracınızda bir Azure Active Directory (AAD) uygulaması oluşturun ve Kiracı Kimliği, İstemci Kimliği ve İstemci Gizli Anahtarı alın: Bu Bağlantıyı kullanın.

3. AAD uygulamasına Microsoft Sentinel Katkıda Bulunan Rolü atayın.

Az önce oluşturduğunuz AAD uygulamasını, "Microsoft Sentinel" eklendiği "Log Analytic Çalışma Alanı" için kullandığınız aynı "Kaynak Grubu" içindeki Katkıda Bulunan (Ayrıcalıklı yönetici rolleri) ve İzleme Ölçümleri Yayımcısı'na (İş işlevi rolleri) atayın: Bu Bağlantıyı kullanın.

4. Çalışma Alanı Kaynak Kimliğini Alma

'Kaynak Kimliği' özellik değerine sahip Log Analytic Workspace -> Özellikler dikey penceresini kullanın. Bu, '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}' biçiminde olan tam bir resourceId değeridir.

5. Azure İşlevini dağıtma

Arm Tempate kullanarak IPinfo veri bağlayıcısının otomatik dağıtımı için bunu kullanın.

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.ms

  2. Tercih edilen Abonelik, Kaynak Grubu ve Konum'a tıklayın.

  3. RESOURCE_ID, IPINFO_TOKEN, TENANT_ID, CLIENT_ID CLIENT_SECRET girin.

Azure İşlevleri El ile Dağıtımı

IPinfo veri bağlayıcısını Azure İşlevleri (Visual Studio Code aracılığıyla dağıtım) ile el ile dağıtmak için aşağıdaki adım adım yönergeleri kullanın.

1. Adım - İşlev Uygulaması Dağıtma

  1. Azure İşlev Uygulaması dosyasını indirin. arşivi yerel geliştirme bilgisayarınıza Azure İşlev Uygulaması'na ayıklayın.
  2. VSCode kullanarak gelişmiş seçeneği kullanarak Barındırma İşlevleri Premium veya App service planı kullanarak İşlev Uygulaması oluşturun.
  3. VSCode kullanarak Azure İşlevleri uygulamasını dağıtmak için işlev uygulaması el ile dağıtım yönergelerini izleyin.
  4. İşlev uygulamasının başarıyla dağıtılmasından sonra, uygulamayı yapılandırmak için sonraki adımları izleyin.

2. Adım - İşlev Uygulamasını Yapılandırma

  1. İşlev Uygulaması yapılandırması için Azure portalı'na gidin.
  2. İşlev Uygulamasında İşlev Uygulaması Adı'nı ve ardından Ayarlar -> Yapılandırma veya Ortam değişkenleri'ni seçin.
  3. Uygulama ayarları sekmesinde + Yeni uygulama ayarı'nı seçin.
  4. Aşağıdaki uygulama ayarlarının her birini ilgili dize değerleriyle (büyük/küçük harfe duyarlı) tek tek ekleyin: RESOURCE_ID IPINFO_TOKEN TENANT_ID CLIENT_ID CLIENT_SECRET RETENTION_IN_DAYS TOTAL_RETENTION_IN_DAYS SCHEDULE LOCATION
  5. Tüm uygulama ayarları girildikten sonra Kaydet'e tıklayın.



IPinfo RWHOIS Veri Bağlayıcısı

Tarafından desteklenir:IPinfo

Bu IPinfo veri bağlayıcısı RWHOIS veri kümelerini indirmek ve Microsoft Sentinel'deki özel günlük tablosuna eklemek için bir Azure İşlev uygulaması yükler

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
Ipinfo_RWHOIS_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • Microsoft.Web/sites izinleri: İşlev Uygulaması oluşturmak için Azure İşlevleri okuma ve yazma izinleri gereklidir. Daha fazla bilgi için bkz. Azure İşlevleri.
  • IPinfo API Belirteci: IPinfo API Belirtecinizi buradan alın.

Kurulum Yönergeleri:

1. API Belirtecini alma

IPinfo API Belirtecinizi buradan alın.

2. Azure AD kiracınızda bir Azure Active Directory (AAD) uygulaması oluşturun

Azure AD kiracınızda bir Azure Active Directory (AAD) uygulaması oluşturun ve Kiracı Kimliği, İstemci Kimliği ve İstemci Gizli Anahtarı alın: Bu Bağlantıyı kullanın.

3. AAD uygulamasına Microsoft Sentinel Katkıda Bulunan Rolü atayın.

Az önce oluşturduğunuz AAD uygulamasını, "Microsoft Sentinel" eklendiği "Log Analytic Çalışma Alanı" için kullandığınız aynı "Kaynak Grubu" içindeki Katkıda Bulunan (Ayrıcalıklı yönetici rolleri) ve İzleme Ölçümleri Yayımcısı'na (İş işlevi rolleri) atayın: Bu Bağlantıyı kullanın.

4. Çalışma Alanı Kaynak Kimliğini Alma

'Kaynak Kimliği' özellik değerine sahip Log Analytic Workspace -> Özellikler dikey penceresini kullanın. Bu, '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}' biçiminde olan tam bir resourceId değeridir.

5. Azure İşlevini dağıtma

Arm Tempate kullanarak IPinfo veri bağlayıcısının otomatik dağıtımı için bunu kullanın.

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.ms

  2. Tercih edilen Abonelik, Kaynak Grubu ve Konum'a tıklayın.

  3. RESOURCE_ID, IPINFO_TOKEN, TENANT_ID, CLIENT_ID CLIENT_SECRET girin.

Azure İşlevleri El ile Dağıtımı

IPinfo veri bağlayıcısını Azure İşlevleri (Visual Studio Code aracılığıyla dağıtım) ile el ile dağıtmak için aşağıdaki adım adım yönergeleri kullanın.

1. Adım - İşlev Uygulaması Dağıtma

  1. Azure İşlev Uygulaması dosyasını indirin. arşivi yerel geliştirme bilgisayarınıza Azure İşlev Uygulaması'na ayıklayın.
  2. VSCode kullanarak gelişmiş seçeneği kullanarak Barındırma İşlevleri Premium veya App service planı kullanarak İşlev Uygulaması oluşturun.
  3. VSCode kullanarak Azure İşlevleri uygulamasını dağıtmak için işlev uygulaması el ile dağıtım yönergelerini izleyin.
  4. İşlev uygulamasının başarıyla dağıtılmasından sonra, uygulamayı yapılandırmak için sonraki adımları izleyin.

2. Adım - İşlev Uygulamasını Yapılandırma

  1. İşlev Uygulaması yapılandırması için Azure portalı'na gidin.
  2. İşlev Uygulamasında İşlev Uygulaması Adı'nı ve ardından Ayarlar -> Yapılandırma veya Ortam değişkenleri'ni seçin.
  3. Uygulama ayarları sekmesinde + Yeni uygulama ayarı'nı seçin.
  4. Aşağıdaki uygulama ayarlarının her birini ilgili dize değerleriyle (büyük/küçük harfe duyarlı) tek tek ekleyin: RESOURCE_ID IPINFO_TOKEN TENANT_ID CLIENT_ID CLIENT_SECRET RETENTION_IN_DAYS TOTAL_RETENTION_IN_DAYS SCHEDULE LOCATION
  5. Tüm uygulama ayarları girildikten sonra Kaydet'e tıklayın.



IPinfo WHOIS ASN Veri Bağlayıcısı

Tarafından desteklenir:IPinfo

Bu IPinfo veri bağlayıcısı, WHOIS_ASN veri kümelerini indirmek ve Microsoft Sentinel'daki özel günlük tablosuna eklemek için bir Azure İşlev uygulaması yükler

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
Ipinfo_WHOIS_ASN_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • Microsoft.Web/sites izinleri: İşlev Uygulaması oluşturmak için Azure İşlevleri okuma ve yazma izinleri gereklidir. Daha fazla bilgi için bkz. Azure İşlevleri.
  • IPinfo API Belirteci: IPinfo API Belirtecinizi buradan alın.

Kurulum Yönergeleri:

1. API Belirtecini alma

IPinfo API Belirtecinizi buradan alın.

2. Azure AD kiracınızda bir Azure Active Directory (AAD) uygulaması oluşturun

Azure AD kiracınızda bir Azure Active Directory (AAD) uygulaması oluşturun ve Kiracı Kimliği, İstemci Kimliği ve İstemci Gizli Anahtarı alın: Bu Bağlantıyı kullanın.

3. AAD uygulamasına Microsoft Sentinel Katkıda Bulunan Rolü atayın.

Az önce oluşturduğunuz AAD uygulamasını, "Microsoft Sentinel" eklendiği "Log Analytic Çalışma Alanı" için kullandığınız aynı "Kaynak Grubu" içindeki Katkıda Bulunan (Ayrıcalıklı yönetici rolleri) ve İzleme Ölçümleri Yayımcısı'na (İş işlevi rolleri) atayın: Bu Bağlantıyı kullanın.

4. Çalışma Alanı Kaynak Kimliğini Alma

'Kaynak Kimliği' özellik değerine sahip Log Analytic Workspace -> Özellikler dikey penceresini kullanın. Bu, '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}' biçiminde olan tam bir resourceId değeridir.

5. Azure İşlevini dağıtma

Arm Tempate kullanarak IPinfo veri bağlayıcısının otomatik dağıtımı için bunu kullanın.

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.ms

  2. Tercih edilen Abonelik, Kaynak Grubu ve Konum'a tıklayın.

  3. RESOURCE_ID, IPINFO_TOKEN, TENANT_ID, CLIENT_ID CLIENT_SECRET girin.

Azure İşlevleri El ile Dağıtımı

IPinfo veri bağlayıcısını Azure İşlevleri (Visual Studio Code aracılığıyla dağıtım) ile el ile dağıtmak için aşağıdaki adım adım yönergeleri kullanın.

1. Adım - İşlev Uygulaması Dağıtma

  1. Azure İşlev Uygulaması dosyasını indirin. arşivi yerel geliştirme bilgisayarınıza Azure İşlev Uygulaması'na ayıklayın.
  2. VSCode kullanarak gelişmiş seçeneği kullanarak Barındırma İşlevleri Premium veya App service planı kullanarak İşlev Uygulaması oluşturun.
  3. VSCode kullanarak Azure İşlevleri uygulamasını dağıtmak için işlev uygulaması el ile dağıtım yönergelerini izleyin.
  4. İşlev uygulamasının başarıyla dağıtılmasından sonra, uygulamayı yapılandırmak için sonraki adımları izleyin.

2. Adım - İşlev Uygulamasını Yapılandırma

  1. İşlev Uygulaması yapılandırması için Azure portalı'na gidin.
  2. İşlev Uygulamasında İşlev Uygulaması Adı'nı ve ardından Ayarlar -> Yapılandırma veya Ortam değişkenleri'ni seçin.
  3. Uygulama ayarları sekmesinde + Yeni uygulama ayarı'nı seçin.
  4. Aşağıdaki uygulama ayarlarının her birini ilgili dize değerleriyle (büyük/küçük harfe duyarlı) tek tek ekleyin: RESOURCE_ID IPINFO_TOKEN TENANT_ID CLIENT_ID CLIENT_SECRET RETENTION_IN_DAYS TOTAL_RETENTION_IN_DAYS SCHEDULE LOCATION
  5. Tüm uygulama ayarları girildikten sonra Kaydet'e tıklayın.



IPinfo WHOIS MNT Veri Bağlayıcısı

Tarafından desteklenir:IPinfo

Bu IPinfo veri bağlayıcısı, WHOIS_MNT veri kümelerini indirmek ve Microsoft Sentinel'daki özel günlük tablosuna eklemek için bir Azure İşlev uygulaması yükler

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
Ipinfo_WHOIS_MNT_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • Microsoft.Web/sites izinleri: İşlev Uygulaması oluşturmak için Azure İşlevleri okuma ve yazma izinleri gereklidir. Daha fazla bilgi için bkz. Azure İşlevleri.
  • IPinfo API Belirteci: IPinfo API Belirtecinizi buradan alın.

Kurulum Yönergeleri:

1. API Belirtecini alma

IPinfo API Belirtecinizi buradan alın.

2. Azure AD kiracınızda bir Azure Active Directory (AAD) uygulaması oluşturun

Azure AD kiracınızda bir Azure Active Directory (AAD) uygulaması oluşturun ve Kiracı Kimliği, İstemci Kimliği ve İstemci Gizli Anahtarı alın: Bu Bağlantıyı kullanın.

3. AAD uygulamasına Microsoft Sentinel Katkıda Bulunan Rolü atayın.

Az önce oluşturduğunuz AAD uygulamasını, "Microsoft Sentinel" eklendiği "Log Analytic Çalışma Alanı" için kullandığınız aynı "Kaynak Grubu" içindeki Katkıda Bulunan (Ayrıcalıklı yönetici rolleri) ve İzleme Ölçümleri Yayımcısı'na (İş işlevi rolleri) atayın: Bu Bağlantıyı kullanın.

4. Çalışma Alanı Kaynak Kimliğini Alma

'Kaynak Kimliği' özellik değerine sahip Log Analytic Workspace -> Özellikler dikey penceresini kullanın. Bu, '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}' biçiminde olan tam bir resourceId değeridir.

5. Azure İşlevini dağıtma

Arm Tempate kullanarak IPinfo veri bağlayıcısının otomatik dağıtımı için bunu kullanın.

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.ms

  2. Tercih edilen Abonelik, Kaynak Grubu ve Konum'a tıklayın.

  3. RESOURCE_ID, IPINFO_TOKEN, TENANT_ID, CLIENT_ID CLIENT_SECRET girin.

Azure İşlevleri El ile Dağıtımı

IPinfo veri bağlayıcısını Azure İşlevleri (Visual Studio Code aracılığıyla dağıtım) ile el ile dağıtmak için aşağıdaki adım adım yönergeleri kullanın.

1. Adım - İşlev Uygulaması Dağıtma

  1. Azure İşlev Uygulaması dosyasını indirin. arşivi yerel geliştirme bilgisayarınıza Azure İşlev Uygulaması'na ayıklayın.
  2. VSCode kullanarak gelişmiş seçeneği kullanarak Barındırma İşlevleri Premium veya App service planı kullanarak İşlev Uygulaması oluşturun.
  3. VSCode kullanarak Azure İşlevleri uygulamasını dağıtmak için işlev uygulaması el ile dağıtım yönergelerini izleyin.
  4. İşlev uygulamasının başarıyla dağıtılmasından sonra, uygulamayı yapılandırmak için sonraki adımları izleyin.

2. Adım - İşlev Uygulamasını Yapılandırma

  1. İşlev Uygulaması yapılandırması için Azure portalı'na gidin.
  2. İşlev Uygulamasında İşlev Uygulaması Adı'nı ve ardından Ayarlar -> Yapılandırma veya Ortam değişkenleri'ni seçin.
  3. Uygulama ayarları sekmesinde + Yeni uygulama ayarı'nı seçin.
  4. Aşağıdaki uygulama ayarlarının her birini ilgili dize değerleriyle (büyük/küçük harfe duyarlı) tek tek ekleyin: RESOURCE_ID IPINFO_TOKEN TENANT_ID CLIENT_ID CLIENT_SECRET RETENTION_IN_DAYS TOTAL_RETENTION_IN_DAYS SCHEDULE LOCATION
  5. Tüm uygulama ayarları girildikten sonra Kaydet'e tıklayın.



IPinfo WHOIS NET Veri Bağlayıcısı

Tarafından desteklenir:IPinfo

Bu IPinfo veri bağlayıcısı, WHOIS_NET veri kümelerini indirmek ve Microsoft Sentinel'deki özel günlük tablosuna eklemek için bir Azure İşlev uygulaması yükler

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
Ipinfo_WHOIS_NET_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • Microsoft.Web/sites izinleri: İşlev Uygulaması oluşturmak için Azure İşlevleri okuma ve yazma izinleri gereklidir. Daha fazla bilgi için bkz. Azure İşlevleri.
  • IPinfo API Belirteci: IPinfo API Belirtecinizi buradan alın.

Kurulum Yönergeleri:

1. API Belirtecini alma

IPinfo API Belirtecinizi buradan alın.

2. Azure AD kiracınızda bir Azure Active Directory (AAD) uygulaması oluşturun

Azure AD kiracınızda bir Azure Active Directory (AAD) uygulaması oluşturun ve Kiracı Kimliği, İstemci Kimliği ve İstemci Gizli Anahtarı alın: Bu Bağlantıyı kullanın.

3. AAD uygulamasına Microsoft Sentinel Katkıda Bulunan Rolü atayın.

Az önce oluşturduğunuz AAD uygulamasını, "Microsoft Sentinel" eklendiği "Log Analytic Çalışma Alanı" için kullandığınız aynı "Kaynak Grubu" içindeki Katkıda Bulunan (Ayrıcalıklı yönetici rolleri) ve İzleme Ölçümleri Yayımcısı'na (İş işlevi rolleri) atayın: Bu Bağlantıyı kullanın.

4. Çalışma Alanı Kaynak Kimliğini Alma

'Kaynak Kimliği' özellik değerine sahip Log Analytic Workspace -> Özellikler dikey penceresini kullanın. Bu, '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}' biçiminde olan tam bir resourceId değeridir.

5. Azure İşlevini dağıtma

Arm Tempate kullanarak IPinfo veri bağlayıcısının otomatik dağıtımı için bunu kullanın.

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.ms

  2. Tercih edilen Abonelik, Kaynak Grubu ve Konum'a tıklayın.

  3. RESOURCE_ID, IPINFO_TOKEN, TENANT_ID, CLIENT_ID CLIENT_SECRET girin.

Azure İşlevleri El ile Dağıtımı

IPinfo veri bağlayıcısını Azure İşlevleri (Visual Studio Code aracılığıyla dağıtım) ile el ile dağıtmak için aşağıdaki adım adım yönergeleri kullanın.

1. Adım - İşlev Uygulaması Dağıtma

  1. Azure İşlev Uygulaması dosyasını indirin. arşivi yerel geliştirme bilgisayarınıza Azure İşlev Uygulaması'na ayıklayın.
  2. VSCode kullanarak gelişmiş seçeneği kullanarak Barındırma İşlevleri Premium veya App service planı kullanarak İşlev Uygulaması oluşturun.
  3. VSCode kullanarak Azure İşlevleri uygulamasını dağıtmak için işlev uygulaması el ile dağıtım yönergelerini izleyin.
  4. İşlev uygulamasının başarıyla dağıtılmasından sonra, uygulamayı yapılandırmak için sonraki adımları izleyin.

2. Adım - İşlev Uygulamasını Yapılandırma

  1. İşlev Uygulaması yapılandırması için Azure portalı'na gidin.
  2. İşlev Uygulamasında İşlev Uygulaması Adı'nı ve ardından Ayarlar -> Yapılandırma veya Ortam değişkenleri'ni seçin.
  3. Uygulama ayarları sekmesinde + Yeni uygulama ayarı'nı seçin.
  4. Aşağıdaki uygulama ayarlarının her birini ilgili dize değerleriyle (büyük/küçük harfe duyarlı) tek tek ekleyin: RESOURCE_ID IPINFO_TOKEN TENANT_ID CLIENT_ID CLIENT_SECRET RETENTION_IN_DAYS TOTAL_RETENTION_IN_DAYS SCHEDULE LOCATION
  5. Tüm uygulama ayarları girildikten sonra Kaydet'e tıklayın.



IPinfo WHOIS ORG Veri Bağlayıcısı

Tarafından desteklenir:IPinfo

Bu IPinfo veri bağlayıcısı, WHOIS_ORG veri kümelerini indirmek ve Microsoft Sentinel'daki özel günlük tablosuna eklemek için bir Azure İşlev uygulaması yükler

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
Ipinfo_WHOIS_ORG_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • Microsoft.Web/sites izinleri: İşlev Uygulaması oluşturmak için Azure İşlevleri okuma ve yazma izinleri gereklidir. Daha fazla bilgi için bkz. Azure İşlevleri.
  • IPinfo API Belirteci: IPinfo API Belirtecinizi buradan alın.

Kurulum Yönergeleri:

1. API Belirtecini alma

IPinfo API Belirtecinizi buradan alın.

2. Azure AD kiracınızda bir Azure Active Directory (AAD) uygulaması oluşturun

Azure AD kiracınızda bir Azure Active Directory (AAD) uygulaması oluşturun ve Kiracı Kimliği, İstemci Kimliği ve İstemci Gizli Anahtarı alın: Bu Bağlantıyı kullanın.

3. AAD uygulamasına Microsoft Sentinel Katkıda Bulunan Rolü atayın.

Az önce oluşturduğunuz AAD uygulamasını, "Microsoft Sentinel" eklendiği "Log Analytic Çalışma Alanı" için kullandığınız aynı "Kaynak Grubu" içindeki Katkıda Bulunan (Ayrıcalıklı yönetici rolleri) ve İzleme Ölçümleri Yayımcısı'na (İş işlevi rolleri) atayın: Bu Bağlantıyı kullanın.

4. Çalışma Alanı Kaynak Kimliğini Alma

'Kaynak Kimliği' özellik değerine sahip Log Analytic Workspace -> Özellikler dikey penceresini kullanın. Bu, '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}' biçiminde olan tam bir resourceId değeridir.

5. Azure İşlevini dağıtma

Arm Tempate kullanarak IPinfo veri bağlayıcısının otomatik dağıtımı için bunu kullanın.

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.ms

  2. Tercih edilen Abonelik, Kaynak Grubu ve Konum'a tıklayın.

  3. RESOURCE_ID, IPINFO_TOKEN, TENANT_ID, CLIENT_ID CLIENT_SECRET girin.

Azure İşlevleri El ile Dağıtımı

IPinfo veri bağlayıcısını Azure İşlevleri (Visual Studio Code aracılığıyla dağıtım) ile el ile dağıtmak için aşağıdaki adım adım yönergeleri kullanın.

1. Adım - İşlev Uygulaması Dağıtma

  1. Azure İşlev Uygulaması dosyasını indirin. arşivi yerel geliştirme bilgisayarınıza Azure İşlev Uygulaması'na ayıklayın.
  2. VSCode kullanarak gelişmiş seçeneği kullanarak Barındırma İşlevleri Premium veya App service planı kullanarak İşlev Uygulaması oluşturun.
  3. VSCode kullanarak Azure İşlevleri uygulamasını dağıtmak için işlev uygulaması el ile dağıtım yönergelerini izleyin.
  4. İşlev uygulamasının başarıyla dağıtılmasından sonra, uygulamayı yapılandırmak için sonraki adımları izleyin.

2. Adım - İşlev Uygulamasını Yapılandırma

  1. İşlev Uygulaması yapılandırması için Azure portalı'na gidin.
  2. İşlev Uygulamasında İşlev Uygulaması Adı'nı ve ardından Ayarlar -> Yapılandırma veya Ortam değişkenleri'ni seçin.
  3. Uygulama ayarları sekmesinde + Yeni uygulama ayarı'nı seçin.
  4. Aşağıdaki uygulama ayarlarının her birini ilgili dize değerleriyle (büyük/küçük harfe duyarlı) tek tek ekleyin: RESOURCE_ID IPINFO_TOKEN TENANT_ID CLIENT_ID CLIENT_SECRET RETENTION_IN_DAYS TOTAL_RETENTION_IN_DAYS SCHEDULE LOCATION
  5. Tüm uygulama ayarları girildikten sonra Kaydet'e tıklayın.



IPinfo WHOIS POC Veri Bağlayıcısı

Tarafından desteklenir:IPinfo

Bu IPinfo veri bağlayıcısı, WHOIS_POC veri kümelerini indirmek ve Microsoft Sentinel'daki özel günlük tablosuna eklemek için bir Azure İşlev uygulaması yükler

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
Ipinfo_WHOIS_POC_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • Microsoft.Web/sites izinleri: İşlev Uygulaması oluşturmak için Azure İşlevleri okuma ve yazma izinleri gereklidir. Daha fazla bilgi için bkz. Azure İşlevleri.
  • IPinfo API Belirteci: IPinfo API Belirtecinizi buradan alın.

Kurulum Yönergeleri:

1. API Belirtecini alma

IPinfo API Belirtecinizi buradan alın.

2. Azure AD kiracınızda bir Azure Active Directory (AAD) uygulaması oluşturun

Azure AD kiracınızda bir Azure Active Directory (AAD) uygulaması oluşturun ve Kiracı Kimliği, İstemci Kimliği ve İstemci Gizli Anahtarı alın: Bu Bağlantıyı kullanın.

3. AAD uygulamasına Microsoft Sentinel Katkıda Bulunan Rolü atayın.

Az önce oluşturduğunuz AAD uygulamasını, "Microsoft Sentinel" eklendiği "Log Analytic Çalışma Alanı" için kullandığınız aynı "Kaynak Grubu" içindeki Katkıda Bulunan (Ayrıcalıklı yönetici rolleri) ve İzleme Ölçümleri Yayımcısı'na (İş işlevi rolleri) atayın: Bu Bağlantıyı kullanın.

4. Çalışma Alanı Kaynak Kimliğini Alma

'Kaynak Kimliği' özellik değerine sahip Log Analytic Workspace -> Özellikler dikey penceresini kullanın. Bu, '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}' biçiminde olan tam bir resourceId değeridir.

5. Azure İşlevini dağıtma

Arm Tempate kullanarak IPinfo veri bağlayıcısının otomatik dağıtımı için bunu kullanın.

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.ms

  2. Tercih edilen Abonelik, Kaynak Grubu ve Konum'a tıklayın.

  3. RESOURCE_ID, IPINFO_TOKEN, TENANT_ID, CLIENT_ID CLIENT_SECRET girin.

Azure İşlevleri El ile Dağıtımı

IPinfo veri bağlayıcısını Azure İşlevleri (Visual Studio Code aracılığıyla dağıtım) ile el ile dağıtmak için aşağıdaki adım adım yönergeleri kullanın.

1. Adım - İşlev Uygulaması Dağıtma

  1. Azure İşlev Uygulaması dosyasını indirin. arşivi yerel geliştirme bilgisayarınıza Azure İşlev Uygulaması'na ayıklayın.
  2. VSCode kullanarak gelişmiş seçeneği kullanarak Barındırma İşlevleri Premium veya App service planı kullanarak İşlev Uygulaması oluşturun.
  3. VSCode kullanarak Azure İşlevleri uygulamasını dağıtmak için işlev uygulaması el ile dağıtım yönergelerini izleyin.
  4. İşlev uygulamasının başarıyla dağıtılmasından sonra, uygulamayı yapılandırmak için sonraki adımları izleyin.

2. Adım - İşlev Uygulamasını Yapılandırma

  1. İşlev Uygulaması yapılandırması için Azure portalı'na gidin.
  2. İşlev Uygulamasında İşlev Uygulaması Adı'nı ve ardından Ayarlar -> Yapılandırma veya Ortam değişkenleri'ni seçin.
  3. Uygulama ayarları sekmesinde + Yeni uygulama ayarı'nı seçin.
  4. Aşağıdaki uygulama ayarlarının her birini ilgili dize değerleriyle (büyük/küçük harfe duyarlı) tek tek ekleyin: RESOURCE_ID IPINFO_TOKEN TENANT_ID CLIENT_ID CLIENT_SECRET RETENTION_IN_DAYS TOTAL_RETENTION_IN_DAYS SCHEDULE LOCATION
  5. Tüm uygulama ayarları girildikten sonra Kaydet'e tıklayın.



Island Enterprise Browser V2

Tarafından desteklenir:Island

Island Enterprise Browser V2 Veri Bağlayıcısı, kullanıcı olaylarını, yönetici olaylarını ve sistem olaylarını tek bir bağlayıcı içinde almanızı sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
Island_UserEvents_V2_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Ada API Anahtarı: Ada API anahtarı gereklidir. Api Anahtarını Ada Yönetim Konsolu aracılığıyla oluşturun. Daha fazla bilgi için resmi Ada belgelerine bakın.

Kurulum Yönergeleri:

Ada'yı Microsoft Sentinel'a bağlama

API URL'si ve API Anahtarı, Ada Yönetim Konsolu aracılığıyla kullanılabilir. Daha fazla bilgi için resmi Ada belgelerine bakın.

  • API URL'si: (API URL'si)
  • API Anahtarı: (Anahtar)
  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



Jamf Koruma Anında İletme Bağlayıcısı

Tarafından desteklenir:Jamf Software, LLC

Jamf Protect bağlayıcısı, Microsoft Sentinel'da Jamf Protect'ten ham olay verilerini okuma özelliği sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
jamfprotecttelemetryv2_CL Evet Evet
jamfprotectunifiedlogs_CL Evet Evet
jamfprotectalerts_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Microsoft Entra: Microsoft Entra ID'da uygulama kaydı oluşturma izni. Genellikle Entra Kimliği Uygulama Geliştirici rolü veya üzeri gerekir.
  • Microsoft Azure: Veri toplama kuralında (DCR) İzleme Ölçümleri Yayımcısı rolü atama izni. Genellikle Azure RBAC Sahibi veya Kullanıcı Erişimi Yöneticisi rolü gerektirir

Kurulum Yönergeleri:

1. ARM Kaynakları Oluşturma ve Gerekli İzinleri Sağlama

Bu bağlayıcı Jamf Protect'in Bir Microsoft Analytics Çalışma Alanında kullandığı tablolardaki verileri okur. Jamf Protect'te veri iletme seçeneği etkinleştirilirse ham olay verileri Microsoft Sentinel Alma API'sine gönderilir.

Entra Uygulaması ile Otomatik Yapılandırma ve Güvenli Veri Alımı "Dağıt" seçeneğine tıklanması Log Analytics tablolarının ve veri toplama kuralının (DCR) oluşturulmasını tetikler. Ardından bir Entra uygulaması oluşturur, DCR'yi buna bağlar ve uygulamaya girilen gizli diziyi ayarlar. Bu kurulum, verilerin Entra belirteci kullanılarak DCR'ye güvenli bir şekilde gönderilmesini sağlar.

2. Günlüklerinizi çalışma alanına gönderme

Makinenizi günlükleri çalışma alanına gönderecek şekilde yapılandırmak için aşağıdaki parametreleri kullanın.

  • Kiracı Kimliği (Dizin Kimliği): <Yükleme zamanında sağlanan değişken değeri>
  • Entra Uygulama Kaydı Uygulama Kimliği: <yükleme zamanında sağlanan değişken değeri>
  • Entra Uygulama Kaydı Gizli Anahtarı: <yükleme zamanında sağlanan değişken değeri>
  • Veri Toplama Uç Noktası Uri'si: <yükleme zamanında sağlanan değişken değeri>
  • Veri Toplama Kuralı Sabit Kimliği: <yükleme zamanında sağlanan değişken değer>
  • Birleşik Günlükler Stream Adı: <yükleme zamanında sağlanan değişken değeri>
  • Telemetri Stream Adı: <yükleme zamanında sağlanan değişken değeri>
  • Uyarılar Stream Adı: <yükleme zamanında sağlanan değişken değeri>



JoeSandboxThreatIntelligence (Azure İşlevleri kullanarak)

Tarafından desteklenir:Stefan Bühlmann

JoeSandboxThreatIntelligence bağlayıcısı, JoeSandbox'a yapılan tüm gönderimler için tehdit bilgilerini otomatik olarak oluşturur ve besler, bu da Sentinel tehdit algılama ve olay yanıtını geliştirir. Bu sorunsuz tümleştirme, ekiplerin ortaya çıkan tehditleri proaktif olarak ele almalarını sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
ThreatIntelIndicators Evet Hayır

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Azure Aboneliği: Azure Bir uygulamayı azure active directory() hizmetine kaydetmek ve kaynak grubundaki uygulamaya katkıda bulunan rolü atamak için sahip rolüne sahip abonelik gereklidir.
  • Microsoft.Web/sites izinleri: İşlev Uygulaması oluşturmak için Azure İşlevleri okuma ve yazma izinleri gereklidir. Daha fazla bilgi için bkz. Azure İşlevleri.
  • REST API Kimlik Bilgileri/izinleri: JoeSandbox API Anahtarı gereklidir.

Kurulum Yönergeleri:

NOT: Bu bağlayıcı, JoeSandbox Tehdit GÇC'lerini Microsoft Sentinel çekmek üzere JoeSandbox API'sine bağlanmak için Azure İşlevleri kullanır. Bu, veri alımı ve verilerin Azure Blob Depolama maliyetlerde depolanması için ek maliyetlere neden olabilir. Ayrıntılar için Azure İşlevleri fiyatlandırma sayfasına ve Azure Blob Depolama fiyatlandırma sayfasına bakın.

(İsteğe Bağlı Adım) Çalışma alanını ve API yetkilendirme anahtarlarını veya belirteçlerini Azure Key Vault güvenli bir şekilde depolayın. Azure Key Vault, anahtar değerlerini depolamak ve almak için güvenli bir mekanizma sağlar. Azure İşlev Uygulaması ile Azure Key Vault kullanmak için bu yönergeleri izleyin.

  • Çalışma Alanı Kimliği: <Yükleme zamanında sağlanan değişken değeri>
  • Birincil Anahtar: <Yükleme zamanında sağlanan değişken değeri>

Seçenek 1 - Esnek Tüketim Planı için Azure Resource Manager (ARM) Şablonu

Arm Şablonu kullanarak veri bağlayıcısının otomatik dağıtımı için bu yöntemi kullanın.

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.ms

  2. Tercih edilen Abonelik, Kaynak Grubu ve Konum'a tıklayın.

  3. Uygulama Kimliği, Kiracı Kimliği,İstemci Gizli Anahtarı, JoeSandbox API Anahtarı, JoeSandbox İlk Getirme Tarihi, TimeInterval girin ve dağıtın.

  4. Yukarıda belirtilen hüküm ve koşulları kabul ediyorum etiketli onay kutusunu işaretleyin.

  5. Dağıtmak için Satın Al'a tıklayın.

Seçenek 2 - Premium Plan için Azure Resource Manager (ARM) Şablonu

Arm Şablonu kullanarak veri bağlayıcısının otomatik dağıtımı için bu yöntemi kullanın.

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.ms

  2. Tercih edilen Abonelik, Kaynak Grubu ve Konum'a tıklayın.

  3. Uygulama Kimliği, Kiracı Kimliği,İstemci Gizli Anahtarı, JoeSandbox API Anahtarı, JoeSandbox İlk Getirme Tarihi, TimeInterval girin ve dağıtın.

  4. Yukarıda belirtilen hüküm ve koşulları kabul ediyorum etiketli onay kutusunu işaretleyin.

  5. Dağıtmak için Satın Al'a tıklayın.



Keeper Güvenliği Anında İletme Bağlayıcısı

Tarafından desteklenir:Keeper Security

Keeper Security bağlayıcısı, Microsoft Sentinel'da Keeper Security'den ham olay verilerini okuma özelliği sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
KeeperSecurityEventNewLogs_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Microsoft Entra: Microsoft Entra ID'da uygulama kaydı oluşturma izni. Genellikle Entra Kimliği Uygulama Geliştirici rolü veya üzeri gerekir.
  • Microsoft Azure: Veri toplama kuralında (DCR) İzleme Ölçümleri Yayımcısı rolü atama izni. Genellikle Azure RBAC Sahibi veya Kullanıcı Erişimi Yöneticisi rolü gerektirir

Kurulum Yönergeleri:

1. ARM Kaynakları Oluşturma ve Gerekli İzinleri Sağlama

Bu bağlayıcı, Keeper Security'nin Bir Microsoft Analytics Çalışma Alanında kullandığı tablolardaki verileri okur. Keeper Security'de veri iletme seçeneği etkinleştirilirse ham olay verileri Microsoft Sentinel Alma API'sine gönderilir.

Entra Uygulaması ile Otomatik Yapılandırma ve Güvenli Veri Alımı "Dağıt" seçeneğine tıklanması Log Analytics tablolarının ve veri toplama kuralının (DCR) oluşturulmasını tetikler. Ardından bir Entra uygulaması oluşturur, DCR'yi buna bağlar ve uygulamaya girilen gizli diziyi ayarlar. Bu kurulum, verilerin Entra belirteci kullanılarak DCR'ye güvenli bir şekilde gönderilmesini sağlar.

2. Günlüklerinizi çalışma alanına gönderme

Makinenizi günlükleri çalışma alanına gönderecek şekilde yapılandırmak için aşağıdaki parametreleri kullanın.

  • Kiracı Kimliği (Dizin Kimliği): <Yükleme zamanında sağlanan değişken değeri>
  • Entra Uygulama Kaydı Uygulama Kimliği: <yükleme zamanında sağlanan değişken değeri>
  • Entra Uygulama Kaydı Gizli Anahtarı: <yükleme zamanında sağlanan değişken değeri>
  • Veri Toplama Uç Noktası Uri'si: <yükleme zamanında sağlanan değişken değeri>
  • Veri Toplama Kuralı Sabit Kimliği: <yükleme zamanında sağlanan değişken değer>
  • Olay Günlükleri Stream Adı: <yükleme zamanında sağlanan değişken değeri>

3. Güncelleştirme Keeper Yönetici Konsolu

Microsoft Sentinel veri iletmeyi etkinleştirmek için Keeper Yönetici Konsolu'nu Azure bağlantı ayrıntılarıyla yapılandırın.

Keeper Yönetici Konsolunda Azure İzleyici Günlüklerini Yapılandırma

Keeper Yönetici Konsolu'nda Keeper Yöneticisi olarak oturum açın. Ardından Raporlama & Uyarıları'na gidin ve günlükleri Azure İzle'yi seçin.

Yukarıdaki 2. Adım'dan Yönetici Konsolu'na aşağıdaki bilgileri sağlayın:

  • Azure Kiracı Kimliği: Bunu Azure "Abonelikler" alanından bulabilirsiniz.
  • Uygulama (istemci) kimliği: Bu, Uygulama kaydı (KeeperLogging) genel bakış ekranında bulunur
  • İstemci Gizli Anahtarı Değeri: Bu, uygulama kayıt gizli dizilerinden gelen İstemci Gizli Anahtarı Değeridir.
  • Uç nokta URL'si: Bu, aşağıdaki belirli biçimde oluşturulmuş bir URL'dir: https://<collection_url>/dataCollectionRules/<dcr_id>/streams/<table>?api-version=2023-01-01

Uç Nokta URL'sini derlemek için:

  • <Koleksiyon URL'si> Bu, yukarıdaki 2. Adımdan gelir
  • < >DCR_ID Veri Toplayıcı Kuralı'ndan "Sabit Kimlik" değerini kopyalayın; örneğindcr-xxxxxxx
  • Bu, Azure tarafından oluşturulan tablo adıdır; örneğinCustom-KeeperSecurityEventNewLogs

    Örnek: https://<Collection_URL>/dataCollectionRules/<DCR_ID>/streams/Custom-KeeperSecurityEventNewLogs?api-version=2023-01-01



    LastPass Enterprise - Raporlama (CCF Yoklama)

    Destekleyen:Kolektif Danışmanlık

    LastPass Enterprise bağlayıcısı, Microsoft Sentinel'de LastPass raporlama (denetim) günlüklerine özellik sağlar. Bağlayıcı, LastPass'ta oturum açma işlemleri ve etkinlik (parolaları okuma ve kaldırma gibi) hakkında görünürlük sağlar.

    Log Analytics tabloları:

    Tablo DCR desteği Yalnızca göl alımı
    LastPassNativePoller_CL Evet Evet

    Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

    Önkoşullar:

    • LastPass API Anahtarı ve CID: LastPass API anahtarı ve CID gereklidir. Daha fazla bilgi için bkz. LastPass API'si.

    Kurulum Yönergeleri:

    LastPass Enterprise'ı Microsoft Sentinel'a bağlama

    LastPass Sağlama API Anahtarını sağlayın.



Lookout Mobil Tehdit Algılama Bağlayıcısı (Kodsuz Bağlayıcı Çerçevesi aracılığıyla) (Önizleme)

Tarafından desteklenir:Lookout

Lookout Mobil Tehdit Algılama veri bağlayıcısı, mobil güvenlik riskleriyle ilgili olayları Mobil Risk API'sini kullanarak Microsoft Sentinel alma özelliği sağlar. Daha fazla bilgi için API belgelerine bakın. Bu bağlayıcı, mobil cihazlarda algılanan olası güvenlik risklerini incelemenize yardımcı olur.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
LookoutMtdV2_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Kurulum Yönergeleri:

Lookout Mobile Threat Defense bağlayıcısını Microsoft Sentinel bağlama

Lookout'a bağlanmadan önce aşağıdaki önkoşulların tamamlandığından emin olun.

  1. Mobil Tehdit Algılama API'sinde ApiKey gereklidir. API hakkında daha fazla bilgi edinmek için belgelere bakın. Tüm gereksinimleri denetleyin ve kimlik bilgilerini alma yönergelerini izleyin.
  • API anahtarı: (API anahtarınızı girin )
  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



Luminar ICS ve Sızdırılan Kimlik Bilgileri (Azure İşlevleri kullanarak)

Tarafından desteklenir:Cognyte Luminar

Luminar IOC'ler ve Sızdırılan Kimlik Bilgileri bağlayıcısı, akıllı IOC verilerinin ve Luminar tarafından tanımlanan müşteriyle ilgili sızdırılan kayıtların tümleştirilmesine olanak tanır.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
ThreatIntelligenceIndicator Evet Hayır

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Azure Aboneliği: Azure Bir uygulamayı azure active directory() hizmetine kaydetmek ve kaynak grubundaki uygulamaya katkıda bulunan rolü atamak için sahip rolüne sahip abonelik gereklidir.
  • Microsoft.Web/sites izinleri: İşlev Uygulaması oluşturmak için Azure İşlevleri okuma ve yazma izinleri gereklidir. Daha fazla bilgi için bkz. Azure İşlevleri.
  • REST API Kimlik Bilgileri/izinleri: Luminar İstemci Kimliği, Luminar İstemci Gizli Anahtarı ve Luminar Hesap Kimliği gereklidir.

Kurulum Yönergeleri:

NOT: Bu bağlayıcı, Luminar ICS'lerini ve Sızdırılan Kimlik Bilgilerini Microsoft Sentinel çekmek üzere Cognyte Luminar API'sine bağlanmak için Azure İşlevleri kullanır. Bu, veri alımı ve verilerin Azure Blob Depolama maliyetlerde depolanması için ek maliyetlere neden olabilir. Ayrıntılar için Azure İşlevleri fiyatlandırma sayfasına ve Azure Blob Depolama fiyatlandırma sayfasına bakın.

(İsteğe Bağlı Adım) Çalışma alanını ve API yetkilendirme anahtarlarını veya belirteçlerini Azure Key Vault güvenli bir şekilde depolayın. Azure Key Vault, anahtar değerlerini depolamak ve almak için güvenli bir mekanizma sağlar. Azure İşlev Uygulaması ile Azure Key Vault kullanmak için bu yönergeleri izleyin.

  • Çalışma Alanı Kimliği: <Yükleme zamanında sağlanan değişken değeri>
  • Birincil Anahtar: <Yükleme zamanında sağlanan değişken değeri>

Seçenek 1 - Azure Resource Manager (ARM) Şablonu

Arm Şablonu kullanarak veri bağlayıcısının otomatik dağıtımı için bu yöntemi kullanın.

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.ms

  2. Tercih edilen Abonelik, Kaynak Grubu ve Konum'a tıklayın.

  3. Uygulama Kimliği, Kiracı Kimliği,İstemci Gizli Anahtarı, Luminar API İstemci Kimliği, Luminar API Hesap Kimliği, Luminar API İstemci Gizli Anahtarı, Sınır, TimeInterval ve dağıtımı girin.

  4. Yukarıda belirtilen hüküm ve koşulları kabul ediyorum etiketli onay kutusunu işaretleyin.

  5. Dağıtmak için Satın Al'a tıklayın.

Seçenek 2 - Azure İşlevleri El ile Dağıtımı

Cognyte Luminar veri bağlayıcısını Azure İşlevleri ile el ile dağıtmak için aşağıdaki adım adım yönergeleri kullanın (Visual Studio Code aracılığıyla dağıtım).

  1. İşlev Uygulaması Dağıtma

NOT:VS kodunu Azure işlev geliştirme için hazırlamanız gerekir.

  1. Azure İşlev Uygulaması dosyasını indirin. Arşivi yerel geliştirme bilgisayarınıza ayıklayın.

  2. VS Code'ı başlatın. Ana menüde Dosya'yı ve ardından Klasörü Aç'ı seçin.

  3. Ayıklanan dosyalardan en üst düzey klasörü seçin.

  4. Etkinlik çubuğunda Azure simgesini seçin, ardından Azure: İşlevler alanında İşlev uygulamasına dağıt düğmesini seçin. Henüz oturum açmadıysanız, Etkinlik çubuğunda Azure simgesini seçin, ardından Azure: İşlevler alanında Oturum aç'ı seçerek Azure Oturum açtıysanız sonraki adıma geçin.

  5. İstemlerde aşağıdaki bilgileri sağlayın:

    a. Klasör seçin: Çalışma alanınızdan bir klasör seçin veya işlev uygulamanızı içeren klasöre göz atın.

    b. Abonelik'i seçin: Kullanılacak aboneliği seçin.

    c. Azure'de yeni İşlev Uygulaması oluştur'u seçin (Gelişmiş seçeneğini belirleme)

    d. İşlev uygulaması için genel olarak benzersiz bir ad girin: URL yolunda geçerli bir ad yazın. Yazdığınız ad, Azure İşlevleri benzersiz olduğundan emin olmak için doğrulanır. (örn. CognyteLuminarXXX).

    e. Çalışma zamanı seçin: Python 3.11'i seçin.

    f. Yeni kaynaklar için bir konum seçin. Daha iyi performans ve düşük maliyetler için Microsoft sentinel'in bulunduğu bölgeyi seçin.

  6. Dağıtım başlar. İşlev uygulamanız oluşturulduktan ve dağıtım paketi uygulandıktan sonra bir bildirim görüntülenir.

  7. İşlev Uygulaması yapılandırması için Azure portalı'na gidin.

  8. İşlev Uygulamasını Yapılandırma

  9. İşlev Uygulamasında İşlev Uygulaması Adı'nı ve ardından Yapılandırma'yı seçin.

  10. Uygulama ayarları sekmesinde + Yeni uygulama ayarı'nı seçin.

  11. İlgili dize değerleriyle (büyük/küçük harfe duyarlı) aşağıdaki uygulama ayarlarının her birini tek tek ekleyin: Uygulama Kimliği Kiracı Kimliği İstemci Gizli Anahtarı Luminar API İstemci Kimliği Luminar API Hesap Kimliği Luminar API İstemci Gizli Sınır TimeInterval - Ayrılmış bulut için log Analytics API uç noktasını geçersiz kılmak için logAnalyticsUri kullanın. Örneğin, genel bulut için değeri boş bırakın; Azure GovUS bulut ortamı için değeri aşağıdaki biçimde belirtin:https://<CustomerId>.ods.opinsights.azure.us

  12. Tüm uygulama ayarları girildikten sonra Kaydet'e tıklayın.



MailGuard 365

Tarafından desteklenir:MailGuard 365

MailGuard 365 Microsoft 365 için Gelişmiş Email Güvenliği. Microsoft marketine özel mailguard 365, kimlik avı, fidye yazılımı ve gelişmiş BEC saldırıları gibi gelişmiş e-posta tehditlerine karşı gelişmiş koruma için Microsoft 365 güvenliği (Defender dahil) ile tümleşiktir.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
MailGuard365_Threats_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Kurulum Yönergeleri:

MailGuard 365'i yapılandırma ve bağlama

  1. MailGuard 365 Konsolu'nda gezinti çubuğunda Ayarlar'a tıklayın.
  2. Tümleştirmeler sekmesine tıklayın.
  3. Etkinleştir Microsoft Sentinel tıklayın.
  4. Aşağıdaki alanlardan çalışma alanı kimliğinizi ve birincil anahtarınızı girin, Son'a tıklayın.
  5. Ek yönergeler için lütfen MailGuard 365 desteğine başvurun.
  • Çalışma Alanı Kimliği: <Yükleme zamanında sağlanan değişken değeri>
  • Birincil Anahtar: <Yükleme zamanında sağlanan değişken değeri>



Secure Practice tarafından MailRisk

Tarafından desteklenir:Güvenli Uygulama

MailRisk by Secure Practice bağlayıcısı, MailRisk API'sinden Microsoft Sentinel e-posta tehdit bilgileri verilerini almanızı sağlar. Bu bağlayıcı bildirilen e-postalar, risk değerlendirmeleri ve e-posta tehditleriyle ilgili güvenlik olayları hakkında görünürlük sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
MailRiskEventEmails_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • API kimlik bilgileri: Yönetici portalındaki ayarlarda oluşturulan Güvenli Uygulama API anahtar çiftiniz de gereklidir. açıklamasıyla Microsoft Sentinelyeni bir anahtar çifti oluşturun.

Kurulum Yönergeleri:

1. Güvenli Uygulama API'si Kimlik Bilgilerini Alma

Güvenli Uygulama hesabınızda oturum açın ve henüz yapmadıysanız bir API Anahtarı ve API Gizli Anahtarı oluşturun.

2. MailRisk API'sine bağlanma

Güvenli Uygulama API'nizin kimlik bilgilerini aşağıya girin. Kimlik bilgileri güvenli bir şekilde depolanır ve API isteklerinin kimliğini doğrulamak için kullanılır.

  • API Anahtarı: (Güvenli Uygulama API Anahtarınızı girin)
  • API Gizli Anahtarı: (Güvenli Uygulama API Gizli Dizinizi Girin)
  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



meshStack Olay Günlükleri

Tarafından desteklenir:meshcloud GmbH

meshStack Olay Günlükleri bağlayıcısı, meshStack platform olaylarını Microsoft Sentinel alma özelliği sağlar. meshStack olay günlüklerini Microsoft Sentinel bağlayarak bu verileri çalışma kitaplarında görüntüleyebilir, özel uyarılar oluşturmak için kullanabilir ve bulut platformu idaresi, denetimi ve uyumluluk izlemesi için araştırma sürecinizi geliştirebilirsiniz.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
meshStackEventLogs_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • meshStack OAuth2 API Anahtarı: 'Yönetici: Herhangi bir Çalışma Alanında Olay Günlüklerini Listeleme' iznine sahip geçerli bir meshStack API Anahtarı gereklidir. Access Control API Anahtarları altında > meshStack Yönetici Panelinde API Anahtarını oluşturun. API Anahtarı, kimlik doğrulaması için OAuth2 kimlik bilgileri (client_id olarak Anahtar Kimliği ve client_secret olarak Anahtar Gizli Anahtarı) sağlar. Not: API Anahtarı bir çalışma alanına bağlıdır ancak tüm çalışma alanlarındaki olaylara erişebilir.
  • meshStack Örneği: Olaylar API'sinin etkinleştirildiği bir meshStack örneğine erişim.

Kurulum Yönergeleri:

meshStack Olay Günlüklerini Microsoft Sentinel bağlama

API Anahtarı'ndan meshStack örneği API URL'nizi ve OAuth2 kimlik bilgilerinizi girin. API URL biçimi şu şekilde olmalıdır: https://your-meshstack-instance.io. 'Yönetici: Herhangi bir Çalışma Alanında Olay Günlüklerini Listeleme' izniyle meshStack'te (Yönetici Panel > Access Control > API Anahtarları) bir API Anahtarı oluşturun. API Anahtarı, OAuth2 kimlik doğrulaması için bir Anahtar Kimliği (client_id) ve Anahtar Gizli Anahtarı (client_secret) sağlar.

  • meshStack API URL'si: (https://your-meshstack-instance.io)
  • İstemci Kimliği (Anahtar Kimliği): (API Anahtarından Anahtar Kimliğini Girin)
  • İstemci Gizli Anahtarı (Anahtar Gizli Anahtarı): (API Anahtarından Anahtar Gizli Anahtarı Girin)
  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



Microsoft 365 (eski adıyla Office 365)

Tarafından desteklenir:Microsoft Corporation

Microsoft 365 (eski adıyla Office 365) etkinlik günlüğü bağlayıcısı, devam eden kullanıcı etkinlikleri hakkında içgörü sağlar. Dosya indirmeleri, gönderilen erişim istekleri, grup olaylarında yapılan değişiklikler, set-posta kutusu ve eylemleri gerçekleştiren kullanıcının ayrıntıları gibi işlemlerin ayrıntılarını alırsınız. Microsoft 365 günlüklerini Microsoft Sentinel bağlayarak bu verileri kullanarak panoları görüntüleyebilir, özel uyarılar oluşturabilir ve araştırma sürecinizi geliştirebilirsiniz. Daha fazla bilgi için Microsoft Sentinel belgelerine bakın.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
OfficeActivity Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Microsoft 365 İç Risk Yönetimi

Tarafından desteklenir:Microsoft Corporation

Microsoft 365 Insider Risk Management, microsoft 365'te kuruluşunuzdaki kötü amaçlı ve yanlışlıkla kullanılabilecek etkinlikleri algılamanıza, araştırmanıza ve eyleme geçirmenize olanak tanıyarak iç riskleri en aza indirmenize yardımcı olan bir uyumluluk çözümüdür. Kuruluşunuzdaki risk analistleri, kullanıcıların kuruluşunuzun uyumluluk standartlarıyla uyumlu olduğundan emin olmak için hızlı bir şekilde uygun eylemler gerçekleştirebilir.

Insider risk ilkeleri şunları yapmanızı sağlar:

  • kuruluşunuzda tanımlamak ve algılamak istediğiniz risk türlerini tanımlayın.
  • gerekirse servis taleplerini Microsoft Advanced eDiscovery'e aktarma dahil olmak üzere yanıt olarak hangi eylemlerin gerçekleştirilmesi gerektiğine karar verin.

Bu çözüm, Microsoft 365 Uyumluluk Merkezi'ndeki Insider Risk Management çözümünde Office müşterileri tarafından görülebilen uyarılar üretir. Insider Risk Management hakkında daha fazla bilgi edinin.

Bu uyarılar, bu bağlayıcıyla Microsoft Sentinel içeri aktarılarak bunları daha geniş bir kurumsal tehdit bağlamında görmenizi, araştırmanızı ve yanıtlamanızı sağlar. Daha fazla bilgi için Microsoft Sentinel belgelerine bakın.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
SecurityAlert Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Microsoft Active-Directory Etki Alanı Denetleyicileri Güvenlik Olay Günlükleri

Tarafından desteklenir:Community

[Seçenek 3 & 4] - Azure İzleyici Aracısını Kullanma -Windows aracısını kullanarak Microsoft Sentinel çalışma alanınıza bağlı Windows makinelerinden bir bölümü veya tüm Etki Alanı Denetleyicileri Güvenlik Olayı günlüklerini akışla aktarabilirsiniz. Bu bağlantı özel uyarılar oluşturmanıza ve araştırmayı geliştirmenize olanak tanır.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
SecurityEvent Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Azure Log Analytics kullanım dışı bırakılacaktır ve Azure olmayan VM'lerden veri toplamak için Arc Azure önerilir. Daha fazla bilgi edinin
  • Ayrıntılı belgeler: >NOT: Yükleme yordamı ve kullanımıyla ilgili ayrıntılı belgelere buradan ulaşabilirsiniz

Kurulum Yönergeleri:

NOT: Bu çözüm, seçenekleri temel alır. Bu, bazı seçenekler çok yüksek hacimli veriler oluşturaaabildiği için hangi verilerin alınacağını seçmenize olanak tanır. Ne toplamak istediğinize bağlı olarak, Çalışma Kitaplarınızda, Analiz Kurallarınızda, Tehdit Avcılığı özelliklerinizde dağıtacağınız seçenekleri belirlersiniz. Her seçenek birbirinden bağımsızdır. Her seçenek hakkında daha fazla bilgi edinmek için: 'Microsoft Exchange Güvenliği' wiki

Bu Veri Bağlayıcısı, wiki'nin 3 ve 4. seçeneğidir .

1. Microsoft Sentinel için günlükleri toplamak için gereken aracıları indirip yükleyin

Sunucu türü (Exchange Sunucuları, Exchange Sunucuları'na bağlı Etki Alanı Denetleyicileri veya tüm Etki Alanı Denetleyicileri) dağıtmak istediğiniz seçeneğe bağlıdır.

İzleyici Aracılarını Dağıtma

Bu adım yalnızca Exchange Sunucularınızı/Etki Alanı Denetleyicilerinizi ilk kez eklediğinizde gereklidir Azure Arc Aracısını Dağıtın Daha fazla bilgi edinin

Etki Alanı Denetleyicilerinin güvenlik günlükleri

Etki Alanı Denetleyicilerinin Güvenlik günlüklerinin akışının nasıl yapılacağını seçin. Seçenek 3'i uygulamak istiyorsanız, exchange sunucularıyla aynı sitede DC'yi seçmeniz yeterlidir. Seçenek 4'i uygulamak istiyorsanız, ormanınızın tüm DC'lerini seçebilirsiniz.

[Seçenek 3] Sonraki adım için yalnızca Exchange Sunucuları ile aynı sitedeki Etki Alanı Denetleyicilerini listeleme

Bu, alınan veri miktarını sınırlar ancak bazı olaylar algılanamaz.

[Seçenek 4] Sonraki adım için Active-Directory Ormanınızın tüm Etki Alanı Denetleyicilerini listeleme

Bu, tüm güvenlik olaylarının toplanmasına olanak tanır

Güvenlik Olay günlüğü koleksiyonu

Veri Toplama Kuralları - Güvenlik Olay günlükleri

Güvenlik Günlükleri için veri toplama kuralını etkinleştirme Güvenlik Olayları günlükleri yalnızca Windows aracılarından toplanır.

  1. Kaynaklar sekmesinde seçili DC'leri ekleyin.
  2. Güvenlik günlüğü düzeyini seçin

Ortak düzey , gereken en düşük düzeydir. Lütfen DCR tanımında 'Ortak' veya 'Tüm Güvenlik Olayları' seçeneğini belirleyin.

  • Yükleme Aracısı: <Yükleme zamanında sağlanan değişken değeri>



aracı kimliklerini Microsoft

Tarafından desteklenir:Microsoft Corporation

Microsoft Aracı Kimlikleri bağlayıcısı, aracı ve aracı şema kimliklerinin merkezi bir görünümünü sağlar. Sahipliği anlamanıza, ilişkileri analiz edip kimlik varlıklarını etkinlik ve risk sinyalleriyle ilişkilendirmenize yardımcı olan aracı kimliklerini ve varlık verilerini alır ve izler. Bu da graflar aracılığıyla zenginleştirilmiş araştırmalara, geliştirilmiş idareye, risk değerlendirmesine ve güvenlik duruşlarına yol açar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Kurulum Yönergeleri:



Microsoft Copilot

Tarafından desteklenir:Microsoft

Microsoft Sentinel'deki Microsoft Copilot günlükleri bağlayıcısı, gelişmiş tehdit algılama, araştırma ve yanıt için Copilot tarafından oluşturulan etkinlik günlüklerinin M365 Copilot ve Security Copilot'den Microsoft Sentinel sorunsuz bir şekilde alımını sağlar. Kullanım verileri ve sistem yanıtları gibi Microsoft Copilot hizmetlerden telemetri toplar ve Microsoft Sentinel'a veri alır ve güvenlik ekiplerinin kötüye kullanımı izlemesine, anomalileri algılamasına ve kuruluş ilkeleriyle uyumluluğu sürdürmesine olanak tanır.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
CopilotActivity Hayır Evet

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • Kiracı İzinleri: Çalışma alanının kiracısı üzerinde 'Güvenlik Yöneticisi' veya 'Genel Yönetici'.

Kurulum Yönergeleri:

Microsoft Copilot denetim günlüklerini Microsoft Sentinel bağlama

Bu bağlayıcı, Microsoft Copilot denetim günlüklerinizi almak için Office Yönetim API'sini kullanır. Günlükler mevcut Microsoft Sentinel çalışma alanınızda depolanır ve işlenir. Verileri CopilotActivity tablosunda bulabilirsiniz.

  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



Microsoft Dataverse

Tarafından desteklenir:Microsoft Corporation

Microsoft Dataverse, kuruluşların iş uygulamaları tarafından kullanılan verileri depolamasına ve yönetmesine olanak tanıyan ölçeklenebilir ve güvenli bir veri platformudur. Microsoft Dataverse veri bağlayıcısı Dataverse'i alma ve Microsoft Sentinel oturum açma Microsoft Purview Denetim CRM etkinlik günlüklerini Dynamics 365 olanağı sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
DataverseActivity Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Kiracı İzinleri: Çalışma alanının kiracısı üzerinde 'Güvenlik Yöneticisi' veya 'Genel Yönetici'.
  • Micorosft Purview Denetimi: Microsoft Purview Denetim (Standart veya Premium) etkinleştirilmelidir.
  • Production Dataverse: Etkinlik günlüğü yalnızca Üretim ortamlarında kullanılabilir. Korumalı alan gibi diğer türler etkinlik günlüğünü desteklemez.
  • Dataverse Denetim Ayarları: Denetim ayarlarının hem genel hem de varlık/tablo düzeyinde yapılandırılması gerekir. Daha fazla bilgi için bkz. Dataverse denetim ayarları.

Kurulum Yönergeleri:

Microsoft Dataverse denetim günlüklerini Microsoft Sentinel bağlama

Bu bağlayıcı, Dataverse denetim günlüklerinizi almak için Office Yönetim API'sini kullanır. Günlükler mevcut Microsoft Sentinel çalışma alanınızda depolanır ve işlenir. Verileri DataverseActivity tablosunda bulabilirsiniz.

  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



Microsoft Defender for Cloud Apps

Tarafından desteklenir:Microsoft Corporation

Microsoft Defender for Cloud Apps bağlantı kurarak bulut uygulamalarınıza görünürlük elde eder, siber tehditleri tanımlamak ve bunlarla mücadele etmek ve verilerinizin nasıl ilerlettiğini denetlemek için gelişmiş analizler elde edersiniz.

  • Ağınızdaki gölge BT bulut uygulamalarını belirleyin.
  • Koşullara ve oturum bağlamlarına göre erişimi denetleme ve sınırlama.
  • Veri paylaşımı ve veri kaybı önleme için yerleşik veya özel ilkeler kullanın.
  • Fidye yazılımı etkinliği, imkansız seyahat, şüpheli e-posta iletme kuralları ve dosyaların toplu indirilmesi gibi Microsoft davranış analizi ve anomali algılama özellikleriyle yüksek riskli kullanımı belirleyin ve olağan dışı kullanıcı etkinlikleri için uyarılar alın.
  • Dosyaların toplu olarak indirilmesi

Şimdi dağıtın >

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
SecurityAlert​ Hayır Hayır
McasShadowItReporting​ Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Uç Nokta için Microsoft Defender

Tarafından desteklenir:Microsoft Corporation

Uç Nokta için Microsoft Defender, gelişmiş tehditleri önlemek, algılamak, araştırmak ve yanıtlamak için tasarlanmış bir güvenlik platformudur. Platform, bir kuruluşta şüpheli güvenlik olayları görüldüğünde uyarılar oluşturur. Güvenlik olaylarını etkili bir şekilde analiz edebilmeniz için Uç Nokta için Microsoft Defender oluşturulan uyarıları Microsoft Sentinel getirin. Anında yanıt için kurallar oluşturabilir, panolar oluşturabilir ve playbook'lar yazabilirsiniz. Daha fazla bilgi için Microsoft Sentinel belgelerine bakın>.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
SecurityAlert Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Kimlik için Microsoft Defender

Tarafından desteklenir:Microsoft Corporation

Olaylara ve kullanıcı analizine görünürlük sağlamak için Kimlik için Microsoft Defender bağlanın. Kimlik için Microsoft Defender gelişmiş tehditleri, güvenliği aşılmış kimlikleri ve kuruluşunuza yönelik kötü amaçlı insider eylemlerini tanımlar, algılar ve araştırmanıza yardımcı olur. Kimlik için Microsoft Defender, Hibrit ortamlardaki gelişmiş saldırıları algılamaya çalışan SecOp analistlerinin ve güvenlik uzmanlarının şunları sağlar:

  • Öğrenme tabanlı analizle kullanıcıları, varlık davranışını ve etkinlikleri izleme
  • Active Directory'de depolanan kullanıcı kimliklerini ve kimlik bilgilerini koruma
  • Sonlandırma zinciri boyunca şüpheli kullanıcı etkinliklerini ve gelişmiş saldırıları belirleme ve araştırma
  • Hızlı önceliklendirme için basit bir zaman çizelgesinde net olay bilgileri sağlayın

Şimdi deneyin >

Şimdi dağıtın >

Daha fazla bilgi için Microsoft Sentinel belgelerine bakın>.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
SecurityAlert Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

IoT için Microsoft Defender

Tarafından desteklenir:Microsoft Corporation

IoT uyarıları için Microsoft Defender Microsoft Sentinel bağlayarak IoT güvenliğiniz hakkında içgörüler elde edin. Uyarı eğilimleri, en önemli uyarılar ve önem derecesine göre uyarı dökümü dahil olmak üzere kullanıma yönelik uyarı ölçümlerini ve verilerini alabilirsiniz. IoT hub'larınız için sağlanan öneriler hakkında, önem derecesine göre en önemli öneriler ve öneriler de dahil olmak üzere bilgi de alabilirsiniz. Daha fazla bilgi için Microsoft Sentinel belgelerine bakın.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
SecurityAlert Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Office 365 için Microsoft Defender (Önizleme)

Tarafından desteklenir:Microsoft Corporation

Office 365 için Microsoft Defender, kuruluşunuzu e-posta iletileri, bağlantılar (URL'ler) ve işbirliği araçları tarafından ortaya konan kötü amaçlı tehditlere karşı korur. Office 365 uyarıları için Microsoft Defender Microsoft Sentinel alarak, e-posta ve URL tabanlı tehditler hakkındaki bilgileri daha geniş risk analizinize ekleyebilir ve buna göre yanıt senaryoları oluşturabilirsiniz.

Aşağıdaki uyarı türleri içeri aktarılır:

  • Kötü amaçlı olabilecek bir URL tıklaması algılandı
  • Teslimden sonra kaldırılan kötü amaçlı yazılım içeren iletileri Email
  • Kimlik avı URL'lerini içeren Email iletileri teslim sonrasında kaldırıldı
  • kullanıcı tarafından kötü amaçlı yazılım veya kimlik avı olarak bildirilen Email
  • Şüpheli e-posta gönderme desenleri algılandı
  • Kullanıcının e-posta göndermesi kısıtlandı

Bu uyarılar** Office Güvenlik ve Uyumluluk Merkezi**nde Office müşterileri tarafından görülebilir.

Daha fazla bilgi için Microsoft Sentinel belgelerine bakın.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
SecurityAlert Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Microsoft Defender Tehdit Analizi

Tarafından desteklenir:Microsoft Corporation

Microsoft Sentinel, izleme, uyarı ve avcılığı etkinleştirmek için Microsoft tarafından oluşturulan tehdit bilgilerini içeri aktarma olanağı sağlar. Microsoft Defender Tehdit Analizi'dan (MDTI) Microsoft Sentinel'a Risk Göstergeleri'ni (ICS) aktarmak için bu veri bağlayıcısını kullanın. Tehdit göstergeleri IP adreslerini, etki alanlarını, URL'leri ve dosya karmalarını vb. içerebilir.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
ThreatIntelligenceIndicator Evet Hayır

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Microsoft Defender XDR

Tarafından desteklenir:Microsoft Corporation

Microsoft Defender XDR uç noktayı, kimliği, e-postayı ve uygulamaları koruyan ve gelişmiş tehditleri algılamanıza, önlemenize, araştırmanıza ve otomatik olarak yanıtlamanıza yardımcı olan birleşik, yerel olarak tümleşik, önceden ve ihlal sonrası kurumsal savunma paketidir.

Microsoft Defender XDR paketi şunları içerir:

  • Uç Nokta için Microsoft Defender
  • Kimlik için Microsoft Defender
  • Office 365 için Microsoft Defender
  • Tehdit & Güvenlik Açığı Yönetimi
  • Bulut Uygulamaları için Microsoft Defender

Daha fazla bilgi için Microsoft Sentinel belgelerine bakın.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
SecurityIncident Evet Evet
SecurityAlert Evet Evet
DeviceEvents Evet Evet
EmailEvents Evet Evet
IdentityLogonEvents Evet Evet
CloudAppEvents Evet Evet
AlertEvidence Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Microsoft Entra ID

Tarafından desteklenir:Microsoft Corporation

Denetim ve Oturum Açma günlüklerini Microsoft Sentinel bağlayarak Microsoft Entra ID senaryolar hakkında içgörüler elde ederek Microsoft Entra ID hakkında içgörüler elde edin. Oturum açma günlüklerimizi kullanarak uygulama kullanımı, koşullu erişim ilkeleri, eski kimlik doğrulaması ile ilgili ayrıntılar hakkında bilgi edinebilirsiniz. Denetim günlükleri tablomuzu kullanarak Self Servis Parola Sıfırlama (SSPR) kullanımınız, kullanıcı, grup, rol, uygulama yönetimi gibi Microsoft Entra ID Yönetimi etkinlikleri hakkında bilgi edinebilirsiniz. Daha fazla bilgi için Microsoft Sentinel belgelerine bakın.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
SigninLogs Evet Evet
AuditLogs Evet Evet
AADNonInteractiveUserSignInLogs Evet Evet
AADServicePrincipalSignInLogs Evet Evet
AADManagedIdentitySignInLogs Evet Evet
AADProvisioningLogs Evet Evet
ADFSSignInLogs Evet Evet
AADUserRiskEvents Evet Evet
AADRiskyUsers Evet Evet
NetworkAccessTraffic Evet Evet
AADRiskyServicePrincipals Evet Evet
AADServicePrincipalRiskEvents Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Microsoft Entra ID Varlıkları

Tarafından desteklenir:Microsoft Corporation

Entra Kimlik varlıkları veri bağlayıcısı, varlık bilgileriyle ayrıntıları tamamlayarak etkinlik verileri hakkında daha zengin içgörüler sağlar. Bu bağlayıcıdaki veriler Purview'da veri riski grafları oluşturmak için kullanılır. Bu grafikleri etkinleştirdiyseniz, bu Bağlayıcıyı devre dışı bırakmak grafiklerin derlenmesini engeller. Veri riski grafiği hakkında bilgi edinin.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Kurulum Yönergeleri:



Microsoft Entra ID Koruması

Tarafından desteklenir:Microsoft Corporation

Microsoft Entra ID Koruması, risk kullanıcılarını, risk olaylarını ve güvenlik açıklarını bir araya getirerek riski hemen düzeltme ve gelecekteki olayları otomatik olarak düzeltmek için ilkeler ayarlama olanağı sağlar. Hizmet, Microsoft'un tüketici kimliklerini koruma deneyimi üzerine kurulmuştur ve günde 13 milyardan fazla oturum açma işleminden gelen sinyalden muazzam bir doğruluk elde eder. Panoları görüntülemek, özel uyarılar oluşturmak ve araştırmayı geliştirmek için Microsoft Microsoft Entra ID Koruması uyarılarını Microsoft Sentinel ile tümleştirin. Daha fazla bilgi için Microsoft Sentinel belgelerine bakın.

Microsoft Entra ID Premium P1/P2 edinin

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
SecurityAlert Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Olay Günlüklerine Göre Microsoft Exchange Yönetici Denetim Günlükleri

Tarafından desteklenir:Community

[Seçenek 1] - Azure İzleyici Aracısı'nı kullanma - Windows aracısını kullanarak Microsoft Sentinel çalışma alanınıza bağlı Windows makinelerinden tüm Exchange Denetim olaylarını akışla aktarabilirsiniz. Bu bağlantı panoları görüntülemenizi, özel uyarılar oluşturmanızı ve araştırmayı geliştirmenizi sağlar. Bu, Şirket İçi Exchange ortamınızla ilgili güvenlik içgörüleri sağlamak için Microsoft Exchange Güvenlik Çalışma Kitapları tarafından kullanılır

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
Event Evet Hayır

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Azure Log Analytics kullanım dışı bırakılacaktır ve Azure olmayan VM'lerden veri toplamak için Arc Azure önerilir. Daha fazla bilgi edinin
  • Ayrıntılı belgeler: >NOT: Yükleme yordamı ve kullanımıyla ilgili ayrıntılı belgelere buradan ulaşabilirsiniz

Kurulum Yönergeleri:

NOT: Bu çözüm, seçenekleri temel alır. Bu, bazı seçenekler çok yüksek hacimli veriler oluşturaaabildiği için hangi verilerin alınacağını seçmenize olanak tanır. Ne toplamak istediğinize bağlı olarak, Çalışma Kitaplarınızda, Analiz Kurallarınızda, Tehdit Avcılığı özelliklerinizde dağıtacağınız seçenekleri belirlersiniz. Her seçenek birbirinden bağımsızdır. Her seçenek hakkında daha fazla bilgi edinmek için: 'Microsoft Exchange Güvenliği' wiki

Bu Veri Bağlayıcısı, wiki'nin 1. seçeneğidir .

1. Microsoft Sentinel için günlükleri toplamak için gereken aracıları indirip yükleyin

Sunucu türü (Exchange Sunucuları, Exchange Sunucuları'na bağlı Etki Alanı Denetleyicileri veya tüm Etki Alanı Denetleyicileri) dağıtmak istediğiniz seçeneğe bağlıdır.

İzleyici Aracılarını Dağıtma

Bu adım yalnızca Exchange Sunucularınızı/Etki Alanı Denetleyicilerinizi ilk kez eklediğinizde gereklidir Azure Arc Aracısını Dağıtın Daha fazla bilgi edinin

2. [Seçenek 1] MS Exchange Yönetim Günlüğü koleksiyonu - MS Exchange Yönetici Veri Toplama Kurallarına göre olay günlüklerini denetleme

MS Exchange Yönetici Denetimi olay günlükleri Veri Toplama Kuralları (DCR) kullanılarak toplanır ve exchange ortamında yürütülen tüm Yönetim Cmdlet'lerinin depolanmasına olanak tanır.

DCR

Veri Toplama Kuralları Dağıtımı

Veri toplama kuralını etkinleştirme Microsoft Exchange Yönetici Denetim Olayları günlükleri yalnızca Windows aracılarından toplanır.

Seçenek 1 - Azure Resource Manager (ARM) Şablonu (Tercih Edilen)

DCR'nin otomatik dağıtımı için bu yöntemi kullanın.

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.ms

  2. Tercih edilen Abonelik, Kaynak Grubu ve Konum'a tıklayın.

  3. Çalışma Alanı Adı 've/veya Diğer gerekli alanlar' girin.

  4. Yukarıda belirtilen hüküm ve koşulları kabul ediyorum etiketli onay kutusunu işaretleyin.

  5. Dağıtmak için Satın Al'a tıklayın.

Seçenek 2 - Azure Otomasyonu El ile Dağıtımı

Bir Veri Toplama Kuralını el ile dağıtmak için aşağıdaki adım adım yönergeleri kullanın.

C. DCR oluşturma, Olay günlüğü yazma

  1. Azure portalı'ndan Azure Veri toplama kurallarına gidin.
  2. Üst kısımdaki + Oluştur'a tıklayın.
  3. Temel Bilgiler sekmesinde gerekli alanları doldurun, Platform türü olarak Windows'ı seçin ve DCR'ye bir ad verin.
  4. Kaynaklar sekmesinde Exchange Sunucuları'nı girin.
  5. 'Topla ve teslim et' bölümünde bir Veri Kaynağı türü 'Windows Olay günlükleri' ekleyin ve 'Özel' seçeneğini belirleyin, ifade olarak 'MSExchange Management' yazın ve Ekleyin.
  6. 'Diğer tercih edilebilir yapılandırma değişikliklerini yap', gerekirse Oluştur'a tıklayın.

DCR'yi tüm Exchange Sunucularına atama

Tüm Exchange Sunucularınızı DCR'ye ekleme

NOT: Bu veri bağlayıcısı, kusto işlevini temel alan ayrıştırıcının beklendiği gibi çalışmasına bağlıdır. Ayrıştırıcılar çözümle otomatik olarak dağıtılır. Kusto İşlevleri diğer adını oluşturmak için adımları izleyin: ExchangeAdminAuditLogs

Çözüm dağıtımı sırasında ayrıştırıcılar otomatik olarak dağıtılır. El ile dağıtmak istiyorsanız aşağıdaki adımları izleyin

El ile Ayrıştırıcı Dağıtımı

1. Ayrıştırıcı dosyasını indirin

ExchangeAdminAuditLogs dosyasının en son sürümü

2. Ayrıştırıcı ExchangeAdminAuditLogs işlevi oluşturma

Microsoft Sentinel log analytics'inizin 'Günlükler' gezgininde dosyanın içeriğini Günlük gezginine kopyalayın

3. Ayrıştırıcı ExchangeAdminAuditLogs işlevini kaydetme

Kaydet düğmesine tıklayın. Bu ayrıştırıcı için parametre gerekmez. Yeniden kaydet'e tıklayın.



Microsoft Exchange HTTP Proxy Günlükleri

Tarafından desteklenir:Community

[Seçenek 7] - Azure İzleyici Aracısı'nı kullanma - Windows aracısını kullanarak Microsoft Sentinel çalışma alanınıza bağlı Windows makinelerinden HTTP Proxy günlüklerini ve Güvenlik Olayı günlüklerini akışla aktarabilirsiniz. Bu bağlantı özel uyarılar oluşturmanıza ve araştırmayı geliştirmenize olanak tanır. Daha fazla bilgi edinin

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
ExchangeHttpProxy_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Azure Log Analytics kullanım dışı bırakılacaktır: Azure Log Analytics, Azure olmayan VM'lerden veri toplamak için kullanım dışı bırakılacaktır Azure Arc önerilir. Daha fazla bilgi edinin
  • Ayrıntılı belgeler: >NOT: Yükleme yordamı ve kullanımıyla ilgili ayrıntılı belgelere buradan ulaşabilirsiniz

Kurulum Yönergeleri:

NOT: Bu çözüm, seçenekleri temel alır. Bu, bazı seçenekler çok yüksek hacimli veriler oluşturaaabildiği için hangi verilerin alınacağını seçmenize olanak tanır. Ne toplamak istediğinize bağlı olarak, Çalışma Kitaplarınızda, Analiz Kurallarınızda, Tehdit Avcılığı özelliklerinizde dağıtacağınız seçenekleri belirlersiniz. Her seçenek birbirinden bağımsızdır. Her seçenek hakkında daha fazla bilgi edinmek için: 'Microsoft Exchange Güvenliği' wiki

Bu Veri Bağlayıcısı, wiki'nin 7. seçeneğidir .

1. Microsoft Sentinel için günlükleri toplamak için gereken aracıları indirip yükleyin

Sunucu türü (Exchange Sunucuları, Exchange Sunucuları'na bağlı Etki Alanı Denetleyicileri veya tüm Etki Alanı Denetleyicileri) dağıtmak istediğiniz seçeneğe bağlıdır.

İzleyici Aracılarını Dağıtma

Bu adım yalnızca Exchange Sunucularınızı/Etki Alanı Denetleyicilerinizi ilk kez eklediğinizde gereklidir Azure Arc Aracısını Dağıtın Daha fazla bilgi edinin

2. [Seçenek 7] Exchange Sunucularının HTTP Proxy'si

Exchange Sunucularının HTTP Proxy'si akışının nasıl yapılacağını seçme

Veri Toplama Kuralları - Azure İzleyici Aracısı kullanıldığında

Veri toplama kuralını etkinleştirme İleti İzleme yalnızca Windows aracılarından toplanır.

Seçenek 1 - Azure Resource Manager (ARM) Şablonu (Tercih Edilen Yöntem)

DCE ve DCR'nin otomatik dağıtımı için bu yöntemi kullanın.

C. DCE Oluşturma (Exchange Sunucuları için henüz oluşturulmadıysa)

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.ms

  2. Tercih edilen Abonelik, Kaynak Grubu ve Konum'a tıklayın.

  3. DCE'nin önerilen adını değiştirebilirsiniz.

  4. Dağıtmak için Oluştur'a tıklayın.

B. Veri Bağlantısı Kuralını Dağıtma

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.ms

  2. Tercih edilen Abonelik, Kaynak Grubu ve Konum'a tıklayın.

  3. 've/veya Diğer gerekli alanlar' Çalışma Alanı Kimliğini girin.

  4. Yukarıda belirtilen hüküm ve koşulları kabul ediyorum etiketli onay kutusunu işaretleyin.

  5. Dağıtmak için Satın Al'a tıklayın.

Seçenek 2 - Azure Otomasyonu El ile Dağıtımı

Bir Veri Toplama Kuralını el ile dağıtmak için aşağıdaki adım adım yönergeleri kullanın.

Özel Tablo Oluşturma - Açıklama

Özel Tablo, Azure portalı kullanılarak oluşturulamaz. Arm şablonu, PowerShell Betiği veya burada açıklanan başka bir yöntem kullanmanız gerekir.

ARM Şablonu Kullanarak Özel Tablo Oluşturma

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.ms

  2. Tercih edilen Abonelik, Kaynak Grubu, Konum ve Analitik Çalışma Alanı Adı'nı seçin.

  3. Dağıtmak için Oluştur'a tıklayın.

Cloud Shell'da PowerShell kullanarak Özel Tablo oluşturma

  1. Azure portalı'ndan bir Cloud Shell açın.
  2. Aşağıdaki betiği kopyalayıp yapıştırın ve Cloud Shell yürüterek tabloyu oluşturun. $tableParams = @' { "properties": { "schema": { "name": "ExchangeHttpProxy_CL", "columns": [ { "name": "AccountForestLatencyBreakup", "type": "string" }, { "name": "ActivityContextLifeTime", "type": "string" }, { "name": "ADLatency", "type": "string" }, { "name": "AnchorMailbox", "type": "string" }, { "name": "AuthenticatedUser", "type": "string" }, { "name": "AuthenticationType", "type": "string" }, { "name": "AuthModulePerfContext", "type": "string" }, { "name": "BackEndCookie", "type": "string" }, { "name": "BackEndGenericInfo", "type": "string" }, { "name": "BackendProcessingLatency", "type": "string" }, { "name": "BackendReqInitLatency", "type": "string" }, { "name": "BackendReqStreamLatency", "type": "string" }, { "name": "BackendRespInitLatency", "type": "string" }, { "name": "BackendRespStreamLatency", "type": "string" }, { "name": "BackEndStatus", "type": "string" }, { "name": "BuildVersion", "type": "string" }, { "name": "CalculateTargetBackEndLatency", "type": "string" }, { "name": "ClientIpAddress", "type": "string" }, { "name": "ClientReqStreamLatency", "type": "string" }, { "name": "ClientRequestId", "type": "string" }, { "name": "ClientRespStreamLatency", "type": "string" }, { "name": "CoreLatency", "type": "string" }, { "name": "DatabaseGuid", "type": "string" }, { "name": "EdgeTraceId", "type": "string" }, { "name": "ErrorCode", "type": "string" }, { "name": "GenericErrors", "type": "string" }, { "name": "GenericInfo", "type": "string" }, { "name": "GlsLatencyBreakup", "type": "string" }, { "name": "HandlerCompletionLatency", "type": "string" }, { "name": "HandlerToModuleSwitchingLatency", "type": "string" }, { "name": "HttpPipelineLatency", "type": "string" }, { "name": "HttpProxyOverhead", "type": "string" }, { "name": "HttpStatus", "type": "string" }, { "name": "IsAuthenticated", "type": "string" }, { "name": "KerberosAuthHeaderLatency", "type": "string" }, { "name": "MajorVersion", "type": "string" }, { "name": "Method", "type": "string" }, { "name": "MinorVersion", "type": "string" }, { "name": "ModuleToHandlerSwitchingLatency", "type": "string" }, { "name": "Organization", "type": "string" }, { "name": "PartitionEndpointLookupLatency", "type": "string" }, { "name": "Protocol", "type": "string" }, { "name": "ProtocolAction", "type": "string" }, { "name": "ProxyAction", "type": "string" }, { "name": "ProxyTime", "type": "string" }, { "name": "RequestBytes", "type": "string" }, { "name": "RequestHandlerLatency", "type": "string" }, { "name": "RequestId", "type": "string" }, { "name": "ResourceForestLatencyBreakup", "type": "string" }, { "name": "ResponseBytes", "type": "string" }, { "name": "RevisionVersion", "type": "string" }, { "name": "RouteRefresherLatency", "type": "string" }, { "name": "RoutingHint", "type": "string" }, { "name": "RoutingLatency", "type": "string" }, { "name": "RoutingStatus", "type": "string" }, { "name": "RoutingType", "type": "string" }, { "name": "ServerHostName", "type": "string" }, { "name": "ServerLocatorHost", "type": "string" }, { "name": "ServerLocatorLatency", "type": "string" }, { "name": "SharedCacheLatencyBreakup", "type": "string" }, { "name": "TargetOutstandingRequests", "type": "string" }, { "name": "TargetServer", "type": "string" }, { "name": "TargetServerVersion", "type": "string" }, { "name": "TotalAccountForestLatency", "type": "string" }, { "name": "TotalGlsLatency", "type": "string" }, { "name": "TotalRequestTime", "type": "string" }, { "name": "TotalResourceForestLatency", "type": "string" }, { "name": "TotalSharedCacheLatency", "type": "string" }, { "name": "UrlHost", "type": "string" }, { "name": "UrlQuery", "type": "string" }, { "name": "UrlStem", "type": "string" }, { "name": "UserADObjectGuid", "type": "string" }, { "name": "UserAgent", "type": "string" }, { "name": "TimeGenerated", "type": "datetime" }, { "name": "FilePath", "type": "string" } ] } } ' @
  3. Aşağıdaki parametreleri kopyalayın, değiştirin, yapıştırın ve kendi değerlerinizle yürütun: $SubscriptionID = 'YourGUID' $ResourceGroupName = 'YourResourceGroupName' $WorkspaceName = 'YourWorkspaceName'
  4. Tabloyu oluşturmak için Aşağıdaki Cmdlet'i yürütebilirsiniz: Invoke-AzRestMethod -Path "/subscriptions/$SubscriptionID/resourcegroups/$ResourceGroupName/providers/microsoft.operationalinsights/workspaces/$WorkspaceName/tables/ExchangeHttpProxy_CL?api-version=2021-12-01-preview" -Method PUT -payload $tableParams

C. DCE Oluşturma (Exchange Sunucuları için henüz oluşturulmadıysa)

  1. Azure portalı'ndan Azure Veri toplama Uç Noktası'na gidin.
  2. Üst kısımdaki + Oluştur'a tıklayın.
  3. Temel Bilgiler sekmesinde gerekli alanları doldurun ve DCE'ye bir ad verin.
  4. 'Diğer tercih edilebilir yapılandırma değişikliklerini yap', gerekirse Oluştur'a tıklayın.

B. DCR oluşturma, Özel günlük yazma

  1. Azure portalı'ndan Azure Veri toplama kurallarına gidin.
  2. 'Oluştur' düğmesine tıklayın.
  3. 'Temel Bilgiler' sekmesinde DCR-Option7-HTTPProxyLogs gibi Kural adını doldurun, daha önce oluşturulan uç noktayla 'Veri Toplama Uç Noktası'nı seçin ve diğer parametreleri doldurun.
  4. Kaynaklar sekmesinde Exchange Sunucularınızı ekleyin.
  5. Topla ve Teslim Et'e bir Veri Kaynağı türü 'Özel Metin günlükleri' ekleyin ve şu dosya desenini girin: 'C:\Program Files\Microsoft\Exchange Server\V15\Logging\HttpProxy\Autodiscover*.log','C:\Program Files\Microsoft\Exchange Server\V15\Logging\HttpProxy\Eas*.log','C:\Program Files\ Microsoft\Exchange Server\V15\Logging\HttpProxy\Ecp*.log','C:\Program Files\Microsoft\Exchange Server\V15\Logging\HttpProxy\1Ews*.log','C:\Program Files\Microsoft\Exchange Server\V15\Logging\HttpProxy\Mapi*.log','C:\Program Files\ Microsoft\Exchange Server\V15\Logging\HttpProxy\Oab*.log','C:\Program Files\Microsoft\Exchange Server\V15\Logging\HttpProxy\Owa*.log','C:\Program Files\Microsoft\Exchange Server\V15\Logging\HttpProxy\OwaCalendar*.log','C:\Program Files\Microsoft\Exchange Server\V15\Logging\HttpProxy\PowerShell*.log','C:\Program Files\Microsoft\Exchange Server\V15\Logging\HttpProxy\RpcHttp*.log'
  6. Tablo Adı'nda 'ExchangeHttpProxy_CL' yazın.
  7. Dönüştür alanına aşağıdaki KQL isteğini girin: kaynak | extend d = split(RawData,',') | extend DateTime=todatetime(d[0]),RequestId=tostring(d[1]) ,MajorVersion=tostring(d[2]) ,MinorVersion=tostring(d[3]) ,BuildVersion=tostring(d[4]) ,RevisionVersion=tostring(d[5]) ,ClientRequestId=tostring(d[6]) ,Protocol=tostringing(d[7]) ,UrlHost=tostring(d[8]) ,UrlStem=tostring(d[9]) ,ProtocolAction=tostring(d[10]) ,AuthenticationType=tostring(d[11]) ,IsAuthenticated=tostring(d[12]) ,AuthenticatedUser=tostring(d[13]) , , Organization=tostring(d[14]) ,AnchorMailbox=tostring(d[15]) ,UserAgent=tostring(d[16]) ,ClientIpAddress=tostring(d [17]) ,ServerHostName=tostring(d[18]) ,HttpStatus=tostring(d[19]) ,BackEndStatus=tostring(d[20]) ) ,ErrorCode=tostring(d[21]) ,Method=tostring(d[22]) ,ProxyAction=tostring(d[23]) ,TargetServer=tostring(d [24]) ,TargetServerVersion=tostring(d[25]) ,RoutingType=tostring(d[26]) ,RoutingHint=tostring(d[27]) , BackEndCookie=tostring(d[28]) ,ServerLocatorHost=tostring(d[29]) ,ServerLocatorLatency=tostring(d[30]) ,RequestBytes=tostring(d[31]) ,ResponseBytes=tostring(d[32]) ,TargetOutstandingRequests=tostring(d[33]) ,AuthModulePerfContext=tostring(d[34]) ,HttpPipelineLatency=tostring(d[35]) ,CalculateTargetBackEndLatency=tostring(d[36]) ,GlsLatencyBreakup=tostring(d[37]) ,TotalGlsLatency=tostring(d[38]) ,AccountForestLatencyBreakup=tostring(d[39]) , TotalAccountForestLatency=tostring(d[40]) ,ResourceForestLatencyBreakup=tostring(d[41]) ,TotalResourceForestLatency=tostring(d[42]) ,ADLatency=tostring(d[43]) ,SharedCacheLatencyBreakup=tostring(d[44]) ,TotalSharedCacheLatency=tostring(d[[44]) 45]) ,ActivityContextLifeTime=tostring(d[46]) ,ModuleToHandlerSwitchingLatency=tostring(d[47]) ,ClientReqStreamLatency=tostring(d[48]) ,BackendReqInitLatency=tostring(d[49]) ,BackendReqStreamLatency=tostring(d[50]) , BackendProcessingLatency=tostring(d[51]) ,BackendRespInitLatency=tostring(d[52]) ,BackendRespStreamLatency=tostring(d[53)]) ,ClientRespStreamLatency=tostring(d[54]) ,KerberosAuthHeaderLatency=tostring(d[55]) ,HandlerCompletionLatency=tostring(d[54)56]) ,RequestHandlerLatency=tostring(d[57]) ,HandlerToModuleSwitchingLatency=tostring(d[58]) ,ProxyTime=tostring(d[59]) ,CoreLatency=tostring(d[60]) ,RoutingLatency=tostring(d[61]) ,HttpProxyOverhead=tostring(d[62]) , TotalRequestTime=tostring(d[63]) ,RouteRefresherLatency=tostring(d[64]) ,UrlQuery=tostring(d[65]) ,BackEndGenericInfo=tostring(d[66]) ,GenericInfo=tostring(d[67]) ,GenericErrors=tostring(d[64]) 68]) ,EdgeTraceId=tostring(d[69]) ,DatabaseGuid=tostring(d[70]) ,UserADObjectGuid=tostring(d[71]) ,PartitionEndpointLookupLatency=tostring(d[72]) ,RoutingStatus=tostring(d[73]) | extend TimeGenerated = DateTime | project-away d,RawData,DateTime | project-away d,RawData,DateTime ve 'Hedef'e tıklayın.
  8. 'Hedef'te bir hedef ekleyin ve daha önce Özel Tablo oluşturduğunuz Çalışma Alanını seçin
  9. 'Veri kaynağı ekle'ye tıklayın.
  10. Diğer gerekli parametreleri ve etiketleri doldurun ve DCR'yi oluşturun

DCR'yi tüm Exchange Sunucularına atama

Tüm Exchange Sunucularınızı DCR'ye ekleme



Microsoft Exchange Günlükleri ve Olayları

Tarafından desteklenir:Community

[Seçenek 2] - Azure İzleyici Aracısı'nı kullanma - Windows aracısını kullanarak Microsoft Sentinel çalışma alanınıza bağlı Windows makinelerinden tüm Exchange Güvenliği & Uygulama Olayı günlüklerini akışla aktarabilirsiniz. Bu bağlantı özel uyarılar oluşturmanıza ve araştırmayı geliştirmenize olanak tanır.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
Event Evet Hayır

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Azure Log Analytics kullanım dışı bırakılacaktır: Azure Log Analytics, Azure olmayan VM'lerden veri toplamak için kullanım dışı bırakılacaktır Azure Arc önerilir. Daha fazla bilgi edinin
  • Ayrıntılı belgeler: >NOT: Yükleme yordamı ve kullanımıyla ilgili ayrıntılı belgelere buradan ulaşabilirsiniz

Kurulum Yönergeleri:

NOT: Bu çözüm, seçenekleri temel alır. Bu, bazı seçenekler çok yüksek hacimli veriler oluşturaaabildiği için hangi verilerin alınacağını seçmenize olanak tanır. Ne toplamak istediğinize bağlı olarak, Çalışma Kitaplarınızda, Analiz Kurallarınızda, Tehdit Avcılığı özelliklerinizde dağıtacağınız seçenekleri belirlersiniz. Her seçenek birbirinden bağımsızdır. Her seçenek hakkında daha fazla bilgi edinmek için: 'Microsoft Exchange Güvenliği' wiki

Bu Veri Bağlayıcısı, wiki'nin 2. seçeneğidir .

1. Microsoft Sentinel için günlükleri toplamak için gereken aracıları indirip yükleyin

Sunucu türü (Exchange Sunucuları, Exchange Sunucuları'na bağlı Etki Alanı Denetleyicileri veya tüm Etki Alanı Denetleyicileri) dağıtmak istediğiniz seçeneğe bağlıdır.

İzleyici Aracılarını Dağıtma

Bu adım yalnızca Exchange Sunucularınızı/Etki Alanı Denetleyicilerinizi ilk kez eklediğinizde gereklidir Azure Arc Aracısını Dağıtın Daha fazla bilgi edinin

2. [Seçenek 2] Exchange Sunucularının Güvenlik/Uygulama/Sistem günlükleri

Exchange Sunucularının Güvenlik/Uygulama/Sistem günlükleri Veri Toplama Kuralları (DCR) kullanılarak toplanır.

Güvenlik Olay günlüğü koleksiyonu

Veri Toplama Kuralları - Güvenlik Olay günlükleri

Güvenlik Günlükleri için veri toplama kuralını etkinleştirme Güvenlik Olayları günlükleri yalnızca Windows aracılarından toplanır.

  1. Kaynaklar sekmesine Exchange Sunucuları ekleyin.
  2. Güvenlik günlüğü düzeyini seçin

Ortak düzey , gereken en düşük düzeydir. Lütfen DCR tanımında 'Ortak' veya 'Tüm Güvenlik Olayları' seçeneğini belirleyin.

  • Yükleme Aracısı: <Yükleme zamanında sağlanan değişken değeri>

Uygulama ve Sistem Olay günlüğü koleksiyonu

Veri toplama kuralını etkinleştirme

Uygulama ve Sistem Olayları günlükleri yalnızca Windows aracılarından toplanır.

Seçenek 1 - Azure Resource Manager (ARM) Şablonu (Tercih edilen yöntem)

DCR'nin otomatik dağıtımı için bu yöntemi kullanın.

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.ms

  2. Tercih edilen Abonelik, Kaynak Grubu ve Konum'a tıklayın.

  3. Çalışma Alanı Adı 've/veya Diğer gerekli alanlar' girin.

  4. Yukarıda belirtilen hüküm ve koşulları kabul ediyorum etiketli onay kutusunu işaretleyin.

  5. Dağıtmak için Satın Al'a tıklayın.

Seçenek 2 - Azure Otomasyonu El ile Dağıtımı

Bir Veri Toplama Kuralını el ile dağıtmak için aşağıdaki adım adım yönergeleri kullanın.

C. DCR oluşturma, Olay günlüğü yazma

  1. Azure portalı'ndan Azure Veri toplama kurallarına gidin.
  2. Üst kısımdaki + Oluştur'a tıklayın.
  3. Temel Bilgiler sekmesinde gerekli alanları doldurun, Platform türü olarak Windows'ı seçin ve DCR'ye bir ad verin.
  4. Kaynaklar sekmesinde Exchange Sunucuları'nı girin.
  5. 'Toplama ve teslim et' bölümünde bir Veri Kaynağı türü 'Windows Olay günlükleri' ekleyin ve 'Temel' seçeneğini belirleyin.
  6. Uygulama için 'Kritik', 'Hata' ve 'Uyarı'yı seçin. Sistem için Kritik/Hata/Uyarı/Bilgi'yi seçin.
  7. 'Diğer tercih edilebilir yapılandırma değişikliklerini yap', gerekirse Oluştur'a tıklayın.

DCR'yi tüm Exchange Sunucularına atama

Tüm Exchange Sunucularınızı DCR'ye ekleme



Microsoft Exchange İleti İzleme Günlükleri

Tarafından desteklenir:Community

[Seçenek 6] - Azure İzleyici Aracısı'nı kullanma - Windows aracısını kullanarak Microsoft Sentinel çalışma alanınıza bağlı Windows makinelerinden tüm Exchange İleti İzleme akışını yapabilirsiniz. Bu günlükler, Exchange ortamınızdaki iletilerin akışını izlemek için kullanılabilir. Bu veri bağlayıcısı , Microsoft Exchange Güvenliği wiki'sinin 6. seçeneğini temel alır.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
MessageTrackingLog_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Azure Log Analytics kullanım dışı bırakılacaktır: Azure Log Analytics, Azure olmayan VM'lerden veri toplamak için kullanım dışı bırakılacaktır Azure Arc önerilir. Daha fazla bilgi edinin
  • Ayrıntılı belgeler: >NOT: Yükleme yordamı ve kullanımıyla ilgili ayrıntılı belgelere buradan ulaşabilirsiniz

Kurulum Yönergeleri:

NOT: Bu çözüm, seçenekleri temel alır. Bu, bazı seçenekler çok yüksek hacimli veriler oluşturaaabildiği için hangi verilerin alınacağını seçmenize olanak tanır. Ne toplamak istediğinize bağlı olarak, Çalışma Kitaplarınızda, Analiz Kurallarınızda, Tehdit Avcılığı özelliklerinizde dağıtacağınız seçenekleri belirlersiniz. Her seçenek birbirinden bağımsızdır. Her seçenek hakkında daha fazla bilgi edinmek için: 'Microsoft Exchange Güvenliği' wiki

Bu Veri Bağlayıcısı, wiki'nin 6. seçeneğidir .

1. Microsoft Sentinel için günlükleri toplamak için gereken aracıları indirip yükleyin

Sunucu türü (Exchange Sunucuları, Exchange Sunucuları'na bağlı Etki Alanı Denetleyicileri veya tüm Etki Alanı Denetleyicileri) dağıtmak istediğiniz seçeneğe bağlıdır.

İzleyici Aracılarını Dağıtma

Bu adım yalnızca Exchange Sunucularınızı/Etki Alanı Denetleyicilerinizi ilk kez eklediğinizde gereklidir Azure Arc Aracısını Dağıtın Daha fazla bilgi edinin

2. Exchange Sunucularının İleti İzlemesi

Exchange Sunucularının İleti İzleme akışının nasıl yapılacağını seçme

Veri Toplama Kuralları - Azure İzleyici Aracısı kullanıldığında

Veri toplama kuralını etkinleştirme İleti İzleme yalnızca Windows aracılarından toplanır.

Seçenek 1 - Azure Resource Manager (ARM) Şablonu

DCE ve DCR'nin otomatik dağıtımı için bu yöntemi kullanın.

C. DCE Oluşturma (Exchange Sunucuları için henüz oluşturulmadıysa)

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.ms

  2. Tercih edilen Abonelik, Kaynak Grubu ve Konum'a tıklayın.

  3. DCE'nin önerilen adını değiştirebilirsiniz.

  4. Dağıtmak için Oluştur'a tıklayın.

B. Veri Bağlantı Kuralı ve Özel Tablo Dağıtma

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.ms

  2. Tercih edilen Abonelik, Kaynak Grubu ve Konum'a tıklayın.

  3. 've/veya Diğer gerekli alanlar' Çalışma Alanı Kimliğini girin.

  4. Yukarıda belirtilen hüküm ve koşulları kabul ediyorum etiketli onay kutusunu işaretleyin.

  5. Dağıtmak için Satın Al'a tıklayın.

Seçenek 2 - Azure Otomasyonu El ile Dağıtımı

Bir Veri Toplama Kuralını el ile dağıtmak için aşağıdaki adım adım yönergeleri kullanın.

Özel Tablo Oluşturma - Açıklama

Özel Tablo, Azure portalı kullanılarak oluşturulamaz. Arm şablonu, PowerShell Betiği veya burada açıklanan başka bir yöntem kullanmanız gerekir.

ARM Şablonu Kullanarak Özel Tablo Oluşturma

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.ms

  2. Tercih edilen Abonelik, Kaynak Grubu, Konum ve Analitik Çalışma Alanı Adı'nı seçin.

  3. Dağıtmak için Oluştur'a tıklayın.

Cloud Shell'da PowerShell kullanarak Özel Tablo oluşturma

  1. Azure portalı'ndan bir Cloud Shell açın.
  2. Aşağıdaki betiği kopyalayıp yapıştırın ve Cloud Shell yürüterek tabloyu oluşturun. $tableParams = @' { "properties": { "schema": { "name": "MessageTrackingLog_CL", "columns": [ { "name": "directionality", "type": "string" }, { "name": "reference", "type": "string" }, { "name": "source", "type": "string" }, { "name": "TimeGenerated", "type": "datetime" }, { "name": "clientHostname", "type": "string" }, { "name": "clientIP", "type": "string" }, { "name": "connectorId", "type": "string" }, { "name": "customData", "type": "string" }, { "name": "eventId", "type": "string" }, { "name": "internalMessageId", "type": "string" }, { "name": "logId", "type": "string" }, { "name": "messageId", "type": "string" }, { "name": "messageInfo", "type": "string" }, { "name": "messageSubject", "type": "string" }, { "name": "networkMessageId", "type": "string" }, { "name": "originalClientIp", "type": "string" }, { "name": "originalServerIp", "type": "string" }, { "name": "recipientAddress", "type": "string" }, { "name": "recipientCount", "type": "string" }, { "name": "recipientStatus", "type": "string" }, { "name": "relatedRecipientAddress", "type": "string" }, { "name": "returnPath", "type": "string" }, { "name": "senderAddress", "type": "string" }, { "name": "senderHostname", "type": "string" }, { "name": "serverIp", "type": "string" }, { "name": "sourceContext", "type": "string" }, { "name": "schemaVersion", "type": "string" }, { "name": "messageTrackingTenantId", "type": "string" }, { "name": "totalBytes", "type": "string" }, { "name": "transportTrafficType", "type": "string" }, { "name": "FilePath", "type": "string" } ] } } } ' @
  3. Aşağıdaki parametreleri kopyalayın, değiştirin, yapıştırın ve kendi değerlerinizle yürütun: $SubscriptionID = 'YourGUID' $ResourceGroupName = 'YourResourceGroupName' $WorkspaceName = 'YourWorkspaceName'
  4. Tabloyu oluşturmak için Aşağıdaki Cmdlet'i yürütebilirsiniz: Invoke-AzRestMethod -Path "/subscriptions/$SubscriptionID/resourcegroups/$ResourceGroupName/providers/microsoft.operationalinsights/workspaces/$WorkspaceName/tables/MessageTrackingLog_CL?api-version=2021-12-01-preview" -Method PUT -payload $tableParams

C. DCE Oluşturma (Exchange Sunucuları için henüz oluşturulmadıysa)

  1. Azure portalı'ndan Azure Veri toplama Uç Noktası'na gidin.
  2. Üst kısımdaki + Oluştur'a tıklayın.
  3. Temel Bilgiler sekmesinde gerekli alanları doldurun ve DCE'ye ESI-ExchangeServers gibi bir ad verin.
  4. 'Diğer tercih edilebilir yapılandırma değişikliklerini yap', gerekirse Oluştur'a tıklayın.

B. DCR oluşturma, Özel günlük yazma

  1. Azure portalı'ndan Azure Veri toplama kurallarına gidin.
  2. 'Oluştur' düğmesine tıklayın.
  3. 'Temel Bilgiler' sekmesinde DCR-Option6-MessageTrackingLogs gibi Kural adını doldurun, daha önce oluşturulan uç noktayla 'Veri Toplama Uç Noktası'nı seçin ve diğer parametreleri doldurun.
  4. Kaynaklar sekmesinde Exchange Sunucularınızı ekleyin.
  5. Topla ve Teslim'e bir Veri Kaynağı türü 'Özel Metin günlükleri' ekleyin ve Tablo Adı'nda 'MessageTrackingLog_CL' dosya desenine 'C:\Program Files\Microsoft\Exchange Server\V15\TransportRoles\Logs\MessageTracking*.log' girin. Dönüştürme alanına 6.in aşağıdaki KQL isteğini girin: kaynak | extend d = split(RawData,',') | extend TimeGenerated =todatetime(d[0]) ,clientIP =tostring(d[1]) ,clientHostname =tostring(d[2]) ,serverIp=tostring(d[3]) ,senderHostname=tostring(d[4]) ,sourceContext=tostring(d[5]) ,connectorId =tostring(d[6]) ,source=tostring(d[7]) ,eventId =tostring(d[8]) ,internalMessageId =tostring(d[9]) ,messageId =tostring(d[10]) ,networkMessageId =tostring(d[11]) ,recipientAddress=tostring(d[12]) ,recipientStatus=tostring(d[13]) , totalBytes=tostring(d[14]) ,recipientCount=tostring(d[15]) ,relatedRecipientAddress=tostring(d[16]) ,reference=tostring(d [17]) ,messageSubject =tostring(d[18]) ,senderAddress=tostring(d[19]) ,returnPath=tostring(d[20]) ,,messageInfo =tostring(d[21]) ,directionality=tostring(d[22]) ,messageTrackingTenantId =tostring(d[23]) ,originalClientIp =tostring(d[24]) ,originalServerIp =tostring(d[25]) ,customData=tostring(d[26]) ,transportTrafficType =tostring(d[27]) , logId =tostring(d[28]) ,schemaVersion=tostring(d[29]) | project-away d,RawData ve 'Hedef' seçeneğine tıklayın.
  6. 'Hedef'te bir hedef ekleyin ve daha önce Özel Tablo oluşturduğunuz Çalışma Alanını seçin
  7. 'Veri kaynağı ekle'ye tıklayın.
  8. Diğer gerekli parametreleri ve etiketleri doldurun ve DCR'yi oluşturun

DCR'yi tüm Exchange Sunucularına atama

Tüm Exchange Sunucularınızı DCR'ye ekleme



Microsoft Power Automate

Tarafından desteklenir:Microsoft Corporation

Power Automate, kullanıcıların dosyaları eşitlemek, bildirim almak, veri toplamak ve daha fazlası için uygulamalar ve hizmetler arasında otomatik iş akışları oluşturmasına yardımcı olan bir Microsoft hizmetidir. El ile gerçekleştirilen, tekrarlanan görevleri azaltarak ve üretkenliği artırarak görev otomasyonunu basitleştirir. Power Automate veri bağlayıcısı, Microsoft Sentinel oturum açma Microsoft Purview Denetim Power Automate etkinlik günlüklerini alma özelliği sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
PowerAutomateActivity Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Kiracı İzinleri: Çalışma alanının kiracısı üzerinde 'Güvenlik Yöneticisi' veya 'Genel Yönetici'.
  • Micorosft Purview Denetimi: Microsoft Purview Denetim (Standart veya Premium) etkinleştirilmelidir.

Kurulum Yönergeleri:

Microsoft Power Automate denetim günlüklerini Microsoft Sentinel bağlama

Bu bağlayıcı, Power Automate denetim günlüklerinizi almak için Office Yönetim API'sini kullanır. Günlükler mevcut Microsoft Sentinel çalışma alanınızda depolanır ve işlenir. Verileri PowerAutomateActivity tablosunda bulabilirsiniz.

  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



Microsoft Power Platform Yönetici Etkinliği

Tarafından desteklenir:Microsoft Corporation

Microsoft Power Platform, hem vatandaş hem de profesyonel geliştiricilerin en az kodlamayla özel uygulamalar oluşturulmasını, iş akışlarının otomasyonunu ve veri analizini mümkün kılarak iş süreçlerini kolaylaştırmasını sağlayan düşük kodlu/kodsuz bir pakettir. Power Platform Yönetici veri bağlayıcısı, Microsoft Sentinel oturum açma Microsoft Purview Denetim Power Platform yönetici etkinlik günlüklerini alma özelliği sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
PowerPlatformAdminActivity Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Kiracı İzinleri: Çalışma alanının kiracısı üzerinde 'Güvenlik Yöneticisi' veya 'Genel Yönetici'.
  • Micorosft Purview Denetimi: Microsoft Purview Denetim (Standart veya Premium) etkinleştirilmelidir.

Kurulum Yönergeleri:

Microsoft Power Platform Yönetici Etkinlik denetim günlüklerini Microsoft Sentinel bağlama

Bu bağlayıcı, Power Platform yöneticisi denetim günlüklerinizi almak için Office Yönetim API'sini kullanır. Günlükler mevcut Microsoft Sentinel çalışma alanınızda depolanır ve işlenir. Verileri PowerPlatformAdminActivity tablosunda bulabilirsiniz.

  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



Microsoft PowerBI

Tarafından desteklenir:Microsoft Corporation

Microsoft PowerBI, ilişkili olmayan veri kaynaklarınızı tutarlı, görsel açıdan çevreleyici ve etkileşimli içgörülere dönüştürmek için birlikte çalışan bir yazılım hizmetleri, uygulamalar ve bağlayıcı koleksiyonudur. Verileriniz bir Excel elektronik tablosu, bulut tabanlı ve şirket içi karma veri ambarlarından oluşan bir koleksiyon veya başka türde bir veri deposu olabilir. Bu bağlayıcı, PowerBI denetim günlüklerini Microsoft Sentinel akışla aktarmanıza olanak tanıyarak PowerBI ortamınızdaki kullanıcı etkinliklerini izlemenizi sağlar. Denetim verilerini tarih aralığına, kullanıcıya, panoya, rapora, veri kümesine ve etkinlik türüne göre filtreleyebilirsiniz.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
PowerBIActivity Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Microsoft Project

Tarafından desteklenir:Microsoft

Microsoft Project (MSP), bir proje yönetimi yazılımı çözümüdür. Planınıza bağlı olarak, Microsoft Project projeleri planlamanıza, görevler atamanıza, kaynakları yönetmenize, rapor oluşturmanıza ve daha birçok işlem yapmanıza olanak tanır. Bu bağlayıcı, proje etkinliklerinizi izlemek için Azure Project denetim günlüklerinizi Microsoft Sentinel akışla aktarmanıza olanak tanır.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
ProjectActivity Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Microsoft Purview

Tarafından desteklenir:Microsoft Corporation

Microsoft Sentinel veri duyarlılığını zenginleştirmeyi etkinleştirmek için Microsoft Purview'a bağlanın. Microsoft Purview taramalarından veri sınıflandırma ve duyarlılık etiketi günlükleri çalışma kitapları, analiz kuralları ve daha fazlası aracılığıyla alınıp görselleştirilebilir. Daha fazla bilgi için Microsoft Sentinel belgelerine bakın.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
PurviewDataSensitivityLogs Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Kurulum Yönergeleri:

Microsoft Purview'u Microsoft Sentinel'a bağlama

Azure portalı'nın içinde Purview kaynağınıza gidin:

  1. Arama çubuğunda Purview hesaplarını arayın.
  2. Sentinel ile ayarlanmasını istediğiniz hesabı seçin.

Microsoft Purview kaynağınızın içinde: 3. Tanılama Ayarları'nı seçin. 4. + Tanılama ayarı ekle'yi seçin. 5. Tanılama ayarı dikey penceresinde :

  • Günlük Kategorisini DataSensitivityLogEvent olarak seçin.
  • Log Analytics'e Gönder'i seçin.
  • Günlük hedef çalışma alanını seçin. Bu, Microsoft Sentinel tarafından kullanılan çalışma alanıyla aynı olmalıdır.
  • Kaydet'e tıklayın.



Microsoft Purview Bilgi Koruması

Tarafından desteklenir:Microsoft Corporation

Microsoft Purview Bilgi Koruması, hassas bilgileri nerede olursa olsun keşfetmenize, sınıflandırmanıza, korumanıza ve yönetmenize yardımcı olur. Bu özelliklerin kullanılması verilerinizi tanımanıza, hassas öğeleri tanımlamanıza ve verilerinizi daha iyi korumak için nasıl kullanıldıklarına dair görünürlük kazanmanıza olanak tanır. Duyarlılık etiketleri, koruma eylemleri sağlayan, şifreleme, erişim kısıtlamaları ve görsel işaretler uygulayan temel özelliktir. Panoları görüntülemek, özel uyarılar oluşturmak ve araştırmayı geliştirmek için Microsoft Purview Bilgi Koruması günlükleri Microsoft Sentinel ile tümleştirin. Daha fazla bilgi için Microsoft Sentinel belgelerine bakın.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
MicrosoftPurviewInformationProtection Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Mimecast Denetimi

Tarafından desteklenir:Mimecast

Mimecast Audit için veri bağlayıcısı, müşterilere Microsoft Sentinel içindeki denetim ve kimlik doğrulama olaylarıyla ilgili güvenlik olaylarına görünürlük sağlar. Veri bağlayıcısı, analistlerin kullanıcı etkinliğiyle ilgili içgörüleri görüntülemesine, olay bağıntısına yardımcı olması ve özel uyarı özellikleriyle birlikte araştırma yanıt sürelerini azaltmasına olanak sağlayan önceden oluşturulmuş panolar sağlar.
Bağlayıcıya dahil edilen Mimecast ürünleri şunlardır: Denetim

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
Audit_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Azure Abonelik: Azure Bir uygulamayı Microsoft Entra ID kaydetmek ve kaynak grubundaki uygulamaya katkıda bulunan rolü atamak için sahip rolüne sahip abonelik gereklidir.
  • Microsoft.Web/sites izinleri: İşlev Uygulaması oluşturmak için Azure İşlevleri okuma ve yazma izinleri gereklidir. Daha fazla bilgi için bkz. Azure İşlevleri.
  • REST API Kimlik Bilgileri/izinleri: Rest API başvurusunda API hakkında daha fazla bilgi edinmek için belgelere bakın

Kurulum Yönergeleri:

NOT: Bu bağlayıcı, günlüklerini Microsoft Sentinel çekmek üzere bir Mimecast API'sine bağlanmak için Azure İşlevleri kullanır. Bu, ek veri alımı maliyetlerine neden olabilir. Ayrıntılar için Azure İşlevleri fiyatlandırma sayfasına bakın.

(İsteğe Bağlı Adım) Çalışma alanını ve API yetkilendirme anahtarlarını veya belirteçlerini Azure Key Vault güvenli bir şekilde depolayın. Azure Key Vault, anahtar değerlerini depolamak ve almak için güvenli bir mekanizma sağlar. Azure İşlev Uygulaması ile Azure Key Vault kullanmak için bu yönergeleri izleyin.

Yapılandırma:

ADIM 1 - Mimecast API'sinin yapılandırma adımları

Azure portal --- Uygulama kayıtları --->> [your_app] --- Sertifikalar &> gizli diziler ---> Yeni istemci gizli dizisine gidin ve yeni bir gizli dizi oluşturun (Daha sonra önizlemesini yapamayacağınız için Değeri hemen güvenli bir yere kaydedin)

ADIM 2 - Mimecast API Bağlayıcısı Dağıtma

ÖNEMLİ: Mimecast API bağlayıcısını dağıtmadan önce, Mimecast API yetkilendirme anahtarlarını veya Belirteci hazır bir şekilde kullanabilirsiniz.

ADIM 3 - Microsoft Entra ID'da Uygulama için Uygulama Kaydı adımları

Bu tümleştirme için Azure portal bir Uygulama kaydı gerekir. Microsoft Entra ID'da yeni uygulama oluşturmak için bu bölümdeki adımları izleyin:

  1. Azure portalda oturum açın.
  2. Microsoft Entra ID arayın ve seçin.
  3. Yönet'in altında Yeni kayıt'ı Uygulama kayıtları > seçin.
  4. Uygulamanız için bir görünen Ad girin.
  5. İlk uygulama kaydını tamamlamak için Kaydet'i seçin.
  6. Kayıt tamamlandığında, Azure portal uygulama kaydının Genel Bakış bölmesini görüntüler. Uygulama (istemci) kimliğini ve Kiracı Kimliğini görürsünüz. İstemci kimliği ve Kiracı Kimliği, TenableVM Veri Bağlayıcısı'nın yürütülmesi için yapılandırma parametreleri olarak gereklidir.

Başvuru bağlantısı:/azure/active-directory/develop/quickstart-register-app

4. ADIM - Microsoft Entra ID'da uygulama için istemci gizli dizisi ekleme

Bazen uygulama parolası olarak adlandırılan istemci gizli dizisi, TenableVM Veri Bağlayıcısı'nın yürütülmesi için gereken bir dize değeridir. Yeni bir İstemci Gizli Anahtarı oluşturmak için bu bölümdeki adımları izleyin:

  1. Azure portal, Uygulama kayıtları uygulamanızı seçin.
  2. Sertifikalar & gizli diziler > İstemci gizli dizileri Yeni istemci gizli dizisi'ni >seçin.
  3. Gizli anahtarınız için bir açıklama ekleyin.
  4. Gizli dizi için bir süre sonu seçin veya özel bir yaşam süresi belirtin. Sınır 24 aydır.
  5. Ekle'yi seçin.
  6. Gizli anahtarın değerini istemci uygulama kodunuzda kullanmak üzere kaydedin. Bu gizli dizi değeri, siz bu sayfadan ayrıldıktan sonra bir daha görüntülenmez. Gizli dizi değeri, TenableVM Veri Bağlayıcısı'nın yürütülmesi için yapılandırma parametresi olarak gereklidir.

Başvuru bağlantısı:/azure/active-directory/develop/quickstart-register-app#add-a-client-secret

5. ADIM - uygulamanızın Nesne Kimliğini Microsoft Entra ID

Uygulama kaydınızı oluşturduktan sonra Nesne Kimliğini almak için bu bölümdeki adımları izleyin:

  1. Microsoft Entra ID gidin.
  2. Soldaki menüden Kurumsal uygulamalar'ı seçin.
  3. Yeni oluşturduğunuz uygulamayı listede bulun (sağladığınız ada göre arama yapabilirsiniz).
  4. Uygulamaya tıklayın.
  5. Genel bakış sayfasında Nesne Kimliğini kopyalayın. Bu, ARM şablonu rol atamanız için gereken AzureEntraObjectId değeridir .

Mimecast Denetim Verileri Bağlayıcısı'nı dağıtma:

Mimecast Denetim Verileri bağlayıcısının otomatik dağıtımı için bu yöntemi kullanın.

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.msaka.ms

  2. Tercih edilen Abonelik, Kaynak Grubu ve Bölge'yi seçin.

  3. Aşağıdaki bilgileri girin:

    a. Konum - Veri toplama kurallarının ve veri toplama uç noktalarının dağıtılacağı konum

    b. WorkspaceName - Log Analytics çalışma alanının Microsoft Sentinel Çalışma Alanı Adını girin

    c. AzureClientID - Uygulama kaydı sırasında oluşturduğunuz Azure İstemci Kimliğini girin

    d. AzureClientSecret - İstemci gizli dizisini oluştururken oluşturduğunuz Azure gizli dizisini girin

    e. AzureTenantID - Azure Active Directory'nizin Azure Kiracı Kimliğini girin

    f. AzureEntraObjectID - Microsoft Entra Uygulamanızın Nesne kimliğini girin

    G. MimecastBaseURL - Mimecast API 2.0'ın Temel URL'sini girin (örn. https://api.services.mimecast.com)

    H. MimecastClientID - Kimlik doğrulaması için Mimecast İstemci Kimliğini girin

    i. MimecastClientSecret - Kimlik doğrulaması için Mimecast İstemci Gizli Anahtarı girin

    J. MimecastAuditTableName - Denetim verilerini depolamak için kullanılan tablonun adını girin. Varsayılan değer 'Denetim'

    Kahraman. StartDate - Başlangıç tarihini 'yy-mm-dd' biçiminde girin. Tarih belirtmezseniz, son 60 güne ait veriler otomatik olarak getirilir. Tarihin geçmişte olduğundan ve düzgün biçimlendirildiğinden emin olun

    L. Zamanlama - Lütfen geçerli bir Quartz cron-ifadesi girin. (Örnek: 0 0 */1 * * *) Değeri boş tutmayın, en düşük değer 10 dakikadır

    M. LogLevel - Lütfen günlük düzeyi veya günlük önem derecesi değeri ekleyin. Varsayılan olarak BİlGİ olarak ayarlanır

    n. AppInsightsWorkspaceResourceId - 29 Şubat 2024'e kadar kullanımdan kaldırılan Klasik Application Insights'ı Log Analytic Çalışma Alanına geçirin. 'Kaynak Kimliği' özellik değerine sahip 'Log Analytic Workspace-->Properties' dikey penceresini kullanın. Bu, '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}' biçiminde olan tam bir resourceId'dir.

  4. Yukarıda belirtilen hüküm ve koşulları kabul ediyorum etiketli onay kutusunu işaretleyin.

  5. Dağıtmak için Satın Al'a tıklayın.



Mimecast Denetim & Kimlik Doğrulaması (Azure İşlevleri kullanarak)

Tarafından desteklenir:Mimecast

Mimecast Denetim & Kimlik Doğrulaması için veri bağlayıcısı, müşterilere Microsoft Sentinel içindeki denetim ve kimlik doğrulama olaylarıyla ilgili güvenlik olaylarına görünürlük sağlar. Veri bağlayıcısı, analistlerin kullanıcı etkinliğiyle ilgili içgörüleri görüntülemesine, olay bağıntısına yardımcı olması ve özel uyarı özellikleriyle birlikte araştırma yanıt sürelerini azaltmasına olanak sağlayan önceden oluşturulmuş panolar sağlar.
Bağlayıcıya dahil edilen Mimecast ürünleri şunlardır: Denetim & Kimlik Doğrulaması

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
MimecastAudit_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • Microsoft.Web/sites izinleri: İşlev Uygulaması oluşturmak için Azure İşlevleri okuma ve yazma izinleri gereklidir. Daha fazla bilgi için bkz. Azure İşlevleri.
  • Mimecast API kimlik bilgileri: Tümleştirmeyi yapılandırmak için aşağıdaki bilgi parçalarına sahip olmanız gerekir:
  • mimecastEmail: Ayrılmış bir Mimecast yönetici kullanıcısının Email adresi
  • mimecastPassword: Ayrılmış Mimecast yönetici kullanıcısının parolası
  • mimecastAppId: Mimecast ile kaydedilen Mimecast Microsoft Sentinel uygulamasının API Uygulama Kimliği
  • mimecastAppKey: Mimecast ile kaydedilen Mimecast Microsoft Sentinel uygulamasının API Uygulama Anahtarı
  • mimecastAccessKey: Ayrılmış Mimecast yönetici kullanıcısı için Erişim Anahtarı
  • mimecastSecretKey: Ayrılmış Mimecast yönetici kullanıcısı için Gizli Anahtar
  • mimecastBaseURL: Mimecast Bölgesel API Temel URL'si

Mimecast Uygulama Kimliği, Uygulama Anahtarı ve ayrılmış Mimecast yönetici kullanıcısı için Erişim Anahtarı ve Gizli Anahtarlar, Mimecast Yönetim Konsolu aracılığıyla edinilebilir: Yönetim | Hizmetler | API ve Platform Tümleştirmeleri.

Her bölge için Mimecast API'si Temel URL'si burada belgelenmiştir: https://integrations.mimecast.com/documentation/api-overview/global-base-urls/

  • Kaynak grubu: Kullanacağınız abonelikle oluşturulmuş bir kaynak grubuna sahip olmanız gerekir.
  • İşlevler uygulaması: Bu bağlayıcının kullanması için kayıtlı bir Azure Uygulaması olması gerekir
  1. Uygulama Kimliği
  2. Kiracı Kimliği
  3. İstemci Kimliği
  4. İstemci Gizli Anahtarı

Kurulum Yönergeleri:

NOT: Bu bağlayıcı, günlüklerini Microsoft Sentinel çekmek üzere bir Mimecast API'sine bağlanmak için Azure İşlevleri kullanır. Bu, ek veri alımı maliyetlerine neden olabilir. Ayrıntılar için Azure İşlevleri fiyatlandırma sayfasına bakın.

(İsteğe Bağlı Adım) Çalışma alanını ve API yetkilendirme anahtarlarını veya belirteçlerini Azure Key Vault güvenli bir şekilde depolayın. Azure Key Vault, anahtar değerlerini depolamak ve almak için güvenli bir mekanizma sağlar. Azure İşlev Uygulaması ile Azure Key Vault kullanmak için bu yönergeleri izleyin.

Yapılandırma:

ADIM 1 - Mimecast API'sinin yapılandırma adımları

Azure portal --- Uygulama kayıtları --->> [your_app] --- Sertifikalar &> gizli diziler ---> Yeni istemci gizli dizisine gidin ve yeni bir gizli dizi oluşturun (Daha sonra önizlemesini yapamayacağınız için Değeri hemen güvenli bir yere kaydedin)

ADIM 2 - Mimecast API Bağlayıcısı Dağıtma

ÖNEMLİ: Mimecast API bağlayıcısını dağıtmadan önce, Çalışma Alanı Kimliği ve Çalışma Alanı Birincil Anahtarına (aşağıdakilerden kopyalanabilir) ve mimecast API yetkilendirme anahtarlarını veya Belirtecini hazır olarak kullanabilirsiniz.

  • Çalışma Alanı Kimliği: <Yükleme zamanında sağlanan değişken değeri>
  • Birincil Anahtar: <Yükleme zamanında sağlanan değişken değeri>

Mimecast Denetim & Kimlik Doğrulama Veri Bağlayıcısı'nı dağıtın:

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.ms

  2. Tercih edilen Abonelik, Kaynak Grubu ve Konum'a tıklayın.

  3. Aşağıdaki alanları girin:

  • appName: Azure platformunda uygulama için kimlik olarak kullanılacak benzersiz dize
  • objectId: Azure portal ---> Azure Active Directory --- profil -----> nesne kimliği --->> daha fazla bilgi
  • appInsightsLocation(default): westeurope
  • mimecastEmail: Bu integraion için ayrılmış kullanıcının Email adresi
  • mimecastPassword: Ayrılmış kullanıcı için parola
  • mimecastAppId: Mimecast ile kaydedilen Microsoft Sentinel uygulamasından uygulama kimliği
  • mimecastAppKey: Mimecast ile kaydedilen Microsoft Sentinel uygulamasından Uygulama Anahtarı
  • mimecastAccessKey: Ayrılmış Mimecast kullanıcısı için Erişim Anahtarı
  • mimecastSecretKey: Ayrılmış Mimecast kullanıcısı için Gizli Anahtar
  • mimecastBaseURL: Bölgesel Mimecast API'si Temel URL'si
  • activeDirectoryAppId: Uygulama Kimliği ---> Uygulama kayıtları ---> [your_app] Azure portal --->
  • activeDirectoryAppSecret: Azure portal ---> Uygulama kayıtları ---> [your_app] --- Sertifikalar &> gizli diziler ---> [your_app_secret]
  • workspaceId: Azure portal ---> Log Analytics Çalışma Alanları ---> [Çalışma alanınız] --- Aracılar --->> Çalışma Alanı Kimliği (veya yukarıdan workspaceId değerini kopyalayabilirsiniz)
  • workspaceKey:> Azure portal --- Log Analytics Çalışma Alanları ---> [Çalışma alanınız] ---> Aracılar ---> Birincil Anahtar (veya yukarıdan workspaceKey kopyalayabilirsiniz)
  • AppInsightsWorkspaceResourceID : [Çalışma alanınız] --- Özellikler ---> Kaynak Kimliği ---> Log> Analytics Çalışma Alanları Azure portal --->

Not: Yukarıdaki değerlerden herhangi biri için Azure Key Vault gizli dizileri kullanıyorsanız, dize değerleri yerine şemayı kullanın@Microsoft.KeyVault(SecretUri={Security Identifier}). Daha fazla ayrıntı için Key Vault başvuru belgelerine bakın.

  1. Yukarıda belirtilen hüküm ve koşulları kabul ediyorum etiketli onay kutusunu işaretleyin.

  2. Dağıtmak için Satın Al'a tıklayın.

  3. [your_resource_group>] ---> [your_resource_group] ---> [appName](tür: Depolama hesabı)>> --- Depolama Gezgini --- BLOB KAPSAYICILARI ---> Denetim denetim noktaları ---> makinenizde checkpoint.txt adlı boş dosyayı karşıya yükleme ve oluşturma Azure portal --- kaynak gruplarına gidin ve karşıya yüklemek üzere seçin (bu işlem SIEM günlükleri için date_range tutarlı bir durumda depolanması için yapılır)



Mimecast Farkındalık Eğitimi

Tarafından desteklenir:Mimecast

Mimecast Farkındalık Eğitimi için veri bağlayıcısı, müşterilere Microsoft Sentinel içindeki Hedeflenen Tehdit Koruması denetim teknolojileriyle ilgili güvenlik olaylarına görünürlük sağlar. Veri bağlayıcısı, analistlerin e-posta tabanlı tehditlerle ilgili içgörüleri görüntülemesine, olay bağıntısına yardımcı olması ve özel uyarı özellikleriyle birlikte araştırma yanıt sürelerini azaltmasına olanak sağlayan önceden oluşturulmuş panolar sağlar.
Bağlayıcıya dahil edilen Mimecast ürünleri şunlardır:

  • Performans Ayrıntıları
  • Güvenli Puan Ayrıntıları
  • Kullanıcı Verileri
  • İzleme Listesi Ayrıntıları

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
Awareness_Performance_Details_CL Evet Evet
Awareness_SafeScore_Details_CL Evet Evet
Awareness_User_Data_CL Evet Evet
Awareness_Watchlist_Details_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Azure Abonelik: Azure Bir uygulamayı Microsoft Entra ID kaydetmek ve kaynak grubundaki uygulamaya katkıda bulunan rolü atamak için sahip rolüne sahip abonelik gereklidir.
  • Microsoft.Web/sites izinleri: İşlev Uygulaması oluşturmak için Azure İşlevleri okuma ve yazma izinleri gereklidir. Daha fazla bilgi için bkz. Azure İşlevleri.
  • REST API Kimlik Bilgileri/izinleri: Rest API başvurusunda API hakkında daha fazla bilgi edinmek için belgelere bakın

Kurulum Yönergeleri:

Kaynak Grubu

Kullanacağınız abonelikle oluşturulmuş bir kaynak grubuna sahip olmanız gerekir.

İşlevler uygulaması

Bu bağlayıcının kullanması için kayıtlı bir Azure Uygulaması olması gerekir

  1. Uygulama Kimliği
  2. Kiracı Kimliği
  3. İstemci Kimliği
  4. İstemci Gizli Anahtarı
  5. nesne kimliğini Entra

NOT: Bu bağlayıcı, günlüklerini Microsoft Sentinel çekmek üzere bir Mimecast API'sine bağlanmak için Azure İşlevleri kullanır. Bu, ek veri alımı maliyetlerine neden olabilir. Ayrıntılar için Azure İşlevleri fiyatlandırma sayfasına bakın.

(İsteğe Bağlı Adım) Çalışma alanını ve API yetkilendirme anahtarlarını veya belirteçlerini Azure Key Vault güvenli bir şekilde depolayın. Azure Key Vault, anahtar değerlerini depolamak ve almak için güvenli bir mekanizma sağlar. Azure İşlev Uygulaması ile Azure Key Vault kullanmak için bu yönergeleri izleyin.

ADIM 1 - Microsoft Entra ID'da Uygulama için Uygulama Kaydı adımları

Bu tümleştirme için Azure portal bir Uygulama kaydı gerekir. Microsoft Entra ID'da yeni uygulama oluşturmak için bu bölümdeki adımları izleyin:

  1. Azure portalda oturum açın.
  2. Microsoft Entra ID arayın ve seçin.
  3. Yönet'in altında Yeni kayıt'ı Uygulama kayıtları > seçin.
  4. Uygulamanız için bir görünen Ad girin.
  5. İlk uygulama kaydını tamamlamak için Kaydet'i seçin.
  6. Kayıt tamamlandığında, Azure portal uygulama kaydının Genel Bakış bölmesini görüntüler. Uygulama (istemci) kimliğini ve Kiracı Kimliğini görürsünüz. Mimecast Veri Bağlayıcısı'nın yürütülmesi için yapılandırma parametreleri olarak istemci kimliği ve Kiracı Kimliği gereklidir.

Başvuru bağlantısı:/azure/active-directory/develop/quickstart-register-app

ADIM 2 - Microsoft Entra ID'de uygulama için istemci gizli dizisi ekleme

Bazen uygulama parolası olarak adlandırılan istemci gizli dizisi, Mimecast Veri Bağlayıcısı'nın yürütülmesi için gereken bir dize değeridir. Yeni bir İstemci Gizli Anahtarı oluşturmak için bu bölümdeki adımları izleyin:

  1. Azure portal, Uygulama kayıtları uygulamanızı seçin.
  2. Sertifikalar & gizli diziler > İstemci gizli dizileri Yeni istemci gizli dizisi'ni >seçin.
  3. Gizli anahtarınız için bir açıklama ekleyin.
  4. Gizli dizi için bir süre sonu seçin veya özel bir yaşam süresi belirtin. Sınır 24 aydır.
  5. Ekle'yi seçin.
  6. Gizli anahtarın değerini istemci uygulama kodunuzda kullanmak üzere kaydedin. Bu gizli dizi değeri, siz bu sayfadan ayrıldıktan sonra bir daha görüntülenmez. Gizli dizi değeri, Mimecast Veri Bağlayıcısı'nın yürütülmesi için yapılandırma parametresi olarak gereklidir.

Başvuru bağlantısı:/azure/active-directory/develop/quickstart-register-app#add-a-client-secret

3. ADIM - uygulamanızın Nesne Kimliğini Microsoft Entra ID

Uygulama kaydınızı oluşturduktan sonra Nesne Kimliğini almak için bu bölümdeki adımları izleyin:

  1. Microsoft Entra ID gidin.
  2. Soldaki menüden Kurumsal uygulamalar'ı seçin.
  3. Yeni oluşturduğunuz uygulamayı listede bulun (sağladığınız ada göre arama yapabilirsiniz).
  4. Uygulamaya tıklayın.
  5. Genel bakış sayfasında Nesne Kimliğini kopyalayın. Bu, ARM şablonu rol atamanız için gereken AzureEntraObjectId değeridir .

ADIM 4 - Mimecast API Bağlayıcısı Dağıtma

ÖNEMLİ: Mimecast API bağlayıcısını dağıtmadan önce, Mimecast API yetkilendirme anahtarlarını veya Belirteci hazır bir şekilde kullanabilirsiniz.

Azure Resource Manager (ARM) Şablonu

Mimecast Farkındalık Eğitim Verileri bağlayıcısının otomatik dağıtımı için bu yöntemi kullanın.

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.msaka.ms

  2. Tercih edilen Abonelik, Kaynak Grubu ve Bölge'yi seçin.

  3. Aşağıdaki bilgileri girin:

    a. Konum - Veri toplama kurallarının ve veri toplama uç noktalarının dağıtılacağı konum

    b. WorkspaceName - Log Analytics çalışma alanının Microsoft Sentinel Çalışma Alanı Adını girin

    c. AzureClientID - Uygulama kaydı sırasında oluşturduğunuz Azure İstemci Kimliğini girin

    d. AzureClientSecret - İstemci gizli dizisini oluştururken oluşturduğunuz Azure gizli dizisini girin

    e. AzureTenantID - Azure Active Directory'nizin Azure Kiracı Kimliğini girin

    f. AzureEntraObjectID - Microsoft Entra Uygulamanızın Nesne kimliğini girin

    G. MimecastBaseURL - Mimecast API 2.0'ın Temel URL'sini girin (örn. https://api.services.mimecast.com)

    H. MimecastClientID - Kimlik doğrulaması için Mimecast İstemci Kimliğini girin

    i. MimecastClientSecret - Kimlik doğrulaması için Mimecast İstemci Gizli Anahtarı girin

    J. MimecastAwarenessPerformanceDetailsTableName - Farkındalık Performansı Ayrıntıları verilerini depolamak için kullanılan tablonun adını girin. Varsayılan değer 'Awareness_Performance_Details'

    Kahraman. MimecastAwarenessUserDataTableName - Farkındalık Kullanıcı Verileri verilerini depolamak için kullanılan tablonun adını girin. Varsayılan değer 'Awareness_User_Data'

    L. MimecastAwarenessWatchlistDetailsTableName - Farkındalık İzleme Listesi Ayrıntıları verilerini depolamak için kullanılan tablonun adını girin. Varsayılan değer 'Awareness_Watchlist_Details'

    M. MimecastAwarenessSafeScoreDetailsTableName - Awareness SafeScore Details verilerini depolamak için kullanılan tablonun adını girin. Varsayılan değer 'Awareness_SafeScore_Details'

    n. StartDate - Başlangıç tarihini 'yy-mm-dd' biçiminde girin. Tarih belirtmezseniz, son 60 güne ait veriler otomatik olarak getirilir. Tarihin geçmişte olduğundan ve düzgün biçimlendirildiğinden emin olun

    o. Zamanlama - Lütfen geçerli bir Quartz cron-ifadesi girin. (Örnek: 0 0 */1 * * *) Değeri boş tutmayın, en düşük değer 10 dakikadır

    P. LogLevel - Lütfen günlük düzeyi veya günlük önem derecesi değeri ekleyin. Varsayılan olarak BİlGİ olarak ayarlanır

    q. AppInsightsWorkspaceResourceId - 29 Şubat 2024'e kadar kullanımdan kaldırılan Klasik Application Insights'ı Log Analytic Çalışma Alanına geçirin. 'Kaynak Kimliği' özellik değerine sahip 'Log Analytic Workspace-->Properties' dikey penceresini kullanın. Bu, '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}' biçiminde olan tam bir resourceId'dir.

  4. Yukarıda belirtilen hüküm ve koşulları kabul ediyorum etiketli onay kutusunu işaretleyin.

  5. Dağıtmak için Satın Al'a tıklayın.



Mimecast Cloud Entegre

Tarafından desteklenir:Mimecast

Mimecast Cloud Integrated için veri bağlayıcısı, müşterilere Microsoft Sentinel içindeki Bulut Tümleşik denetim teknolojileriyle ilgili güvenlik olaylarına görünürlük sağlar. Veri bağlayıcısı, analistlerin e-posta tabanlı tehditlerle ilgili içgörüleri görüntülemesine, olay bağıntısına yardımcı olması ve özel uyarı özellikleriyle birlikte araştırma yanıt sürelerini azaltmasına olanak sağlayan önceden oluşturulmuş panolar sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
Cloud_Integrated_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Azure Abonelik: Azure Bir uygulamayı Microsoft Entra ID kaydetmek ve kaynak grubundaki uygulamaya katkıda bulunan rolü atamak için sahip rolüne sahip abonelik gereklidir.
  • Microsoft.Web/sites izinleri: İşlev Uygulaması oluşturmak için Azure İşlevleri okuma ve yazma izinleri gereklidir. Daha fazla bilgi için bkz. Azure İşlevleri.
  • REST API Kimlik Bilgileri/izinleri: Rest API başvurusunda API hakkında daha fazla bilgi edinmek için belgelere bakın

Kurulum Yönergeleri:

Kaynak Grubu

Kullanacağınız abonelikle oluşturulmuş bir kaynak grubuna sahip olmanız gerekir.

İşlevler uygulaması

Bu bağlayıcının kullanması için kayıtlı bir Azure Uygulaması olması gerekir

  1. Uygulama Kimliği
  2. Kiracı Kimliği
  3. İstemci Kimliği
  4. İstemci Gizli Anahtarı

NOT: Bu bağlayıcı, günlüklerini Microsoft Sentinel çekmek üzere bir Mimecast API'sine bağlanmak için Azure İşlevleri kullanır. Bu, ek veri alımı maliyetlerine neden olabilir. Ayrıntılar için Azure İşlevleri fiyatlandırma sayfasına bakın.

(İsteğe Bağlı Adım) Çalışma alanını ve API yetkilendirme anahtarlarını veya belirteçlerini Azure Key Vault güvenli bir şekilde depolayın. Azure Key Vault, anahtar değerlerini depolamak ve almak için güvenli bir mekanizma sağlar. Azure İşlev Uygulaması ile Azure Key Vault kullanmak için bu yönergeleri izleyin.

Yapılandırma:

ADIM 1 - Mimecast API'sinin yapılandırma adımları

Azure portal --- Uygulama kayıtları --->> [your_app] --- Sertifikalar &> gizli diziler ---> Yeni istemci gizli dizisine gidin ve yeni bir gizli dizi oluşturun (Daha sonra önizlemesini yapamayacağınız için Değeri hemen güvenli bir yere kaydedin)

ADIM 2 - Mimecast API Bağlayıcısı Dağıtma

ÖNEMLİ: Mimecast API bağlayıcısını dağıtmadan önce, Mimecast API yetkilendirme anahtarlarını veya Belirteci hazır bir şekilde kullanabilirsiniz.

ADIM 3 - Microsoft Entra ID'da Uygulama için Uygulama Kaydı adımları

Bu tümleştirme için Azure portal bir Uygulama kaydı gerekir. Microsoft Entra ID'da yeni uygulama oluşturmak için bu bölümdeki adımları izleyin:

  1. Azure portalda oturum açın.
  2. Microsoft Entra ID arayın ve seçin.
  3. Yönet'in altında Yeni kayıt'ı Uygulama kayıtları > seçin.
  4. Uygulamanız için bir görünen Ad girin.
  5. İlk uygulama kaydını tamamlamak için Kaydet'i seçin.
  6. Kayıt tamamlandığında, Azure portal uygulama kaydının Genel Bakış bölmesini görüntüler. Uygulama (istemci) kimliğini ve Kiracı Kimliğini görürsünüz. İstemci kimliği ve Kiracı Kimliği, TenableVM Veri Bağlayıcısı'nın yürütülmesi için yapılandırma parametreleri olarak gereklidir.

Başvuru bağlantısı:/azure/active-directory/develop/quickstart-register-app

4. ADIM - Microsoft Entra ID'da uygulama için istemci gizli dizisi ekleme

Bazen uygulama parolası olarak adlandırılan istemci gizli dizisi, TenableVM Veri Bağlayıcısı'nın yürütülmesi için gereken bir dize değeridir. Yeni bir İstemci Gizli Anahtarı oluşturmak için bu bölümdeki adımları izleyin:

  1. Azure portal, Uygulama kayıtları uygulamanızı seçin.
  2. Sertifikalar & gizli diziler > İstemci gizli dizileri Yeni istemci gizli dizisi'ni >seçin.
  3. Gizli anahtarınız için bir açıklama ekleyin.
  4. Gizli dizi için bir süre sonu seçin veya özel bir yaşam süresi belirtin. Sınır 24 aydır.
  5. Ekle'yi seçin.
  6. Gizli anahtarın değerini istemci uygulama kodunuzda kullanmak üzere kaydedin. Bu gizli dizi değeri, siz bu sayfadan ayrıldıktan sonra bir daha görüntülenmez. Gizli dizi değeri, TenableVM Veri Bağlayıcısı'nın yürütülmesi için yapılandırma parametresi olarak gereklidir.

Başvuru bağlantısı:/azure/active-directory/develop/quickstart-register-app#add-a-client-secret

5. ADIM - uygulamanızın Nesne Kimliğini Microsoft Entra ID

Uygulama kaydınızı oluşturduktan sonra Nesne Kimliğini almak için bu bölümdeki adımları izleyin:

  1. Microsoft Entra ID gidin.
  2. Soldaki menüden Kurumsal uygulamalar'ı seçin.
  3. Yeni oluşturduğunuz uygulamayı listede bulun (sağladığınız ada göre arama yapabilirsiniz).
  4. Uygulamaya tıklayın.
  5. Genel bakış sayfasında Nesne Kimliğini kopyalayın. Bu, ARM şablonu rol atamanız için gereken AzureEntraObjectId değeridir .

Azure Resource Manager (ARM) Şablonu

Mimecast Bulut Tümleşik Veri bağlayıcısının otomatik dağıtımı için bu yöntemi kullanın.

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.msaka.ms

  2. Tercih edilen Abonelik, Kaynak Grubu ve Bölge'yi seçin.

  3. Aşağıdaki bilgileri girin:

    a. Konum - Veri toplama kurallarının ve veri toplama uç noktalarının dağıtılacağı konum

    b. WorkspaceName - Log Analytics çalışma alanının Microsoft Sentinel Çalışma Alanı Adını girin

    c. AzureClientID - Uygulama kaydı sırasında oluşturduğunuz Azure İstemci Kimliğini girin

    d. AzureClientSecret - İstemci gizli dizisini oluştururken oluşturduğunuz Azure gizli dizisini girin

    e. AzureTenantID - Azure Active Directory'nizin Azure Kiracı Kimliğini girin

    f. AzureEntraObjectID - Microsoft Entra Uygulamanızın Nesne kimliğini girin

    G. MimecastBaseURL - Mimecast API 2.0'ın Temel URL'sini girin (örn. https://api.services.mimecast.com)

    H. MimecastClientID - Kimlik doğrulaması için Mimecast İstemci Kimliğini girin

    i. MimecastClientSecret - Kimlik doğrulaması için Mimecast İstemci Gizli Anahtarı girin

    J. MimecastCITableName - Bulutla Tümleşik verileri depolamak için kullanılan tablonun adını girin. Varsayılan değer 'Cloud_Integrated'

    Kahraman. StartDate - Başlangıç tarihini 'yy-mm-dd' biçiminde girin. Tarih belirtmezseniz, son 60 güne ait veriler otomatik olarak getirilir. Tarihin geçmişte olduğundan ve düzgün biçimlendirildiğinden emin olun

    L. Zamanlama - Lütfen geçerli bir Quartz cron-ifadesi girin. (Örnek: 0 0 */1 * * *) Değeri boş tutmayın, en düşük değer 10 dakikadır

    M. LogLevel - Lütfen günlük düzeyi veya günlük önem derecesi değeri ekleyin. Varsayılan olarak BİlGİ olarak ayarlanır

    n. AppInsightsWorkspaceResourceId - 29 Şubat 2024'e kadar kullanımdan kaldırılan Klasik Application Insights'ı Log Analytic Çalışma Alanına geçirin. 'Kaynak Kimliği' özellik değerine sahip 'Log Analytic Workspace-->Properties' dikey penceresini kullanın. Bu, '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}' biçiminde olan tam bir resourceId'dir.

  4. Yukarıda belirtilen hüküm ve koşulları kabul ediyorum etiketli onay kutusunu işaretleyin.

  5. Dağıtmak için Satın Al'a tıklayın.



Microsoft için Mimecast Intelligence - Microsoft Sentinel (Azure İşlevleri kullanarak)

Tarafından desteklenir:Mimecast

Microsoft için Mimecast Intelligence veri bağlayıcısı, analistlerin e-posta tabanlı tehditlere ilişkin içgörüleri görüntülemesine, olay bağıntısına yardımcı olması ve araştırma yanıt sürelerini azaltmasına olanak sağlayan önceden oluşturulmuş panolarla Mimecast'ın e-posta denetleme teknolojilerinden seçilmiş bölgesel tehdit bilgileri sağlar.
Mimecast ürünleri ve özellikleri gerekli:

  • Mimecast Güvenli E-posta Geçidi
  • Mimecast Tehdit İstihbaratı

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
ThreatIntelligenceIndicator Evet Hayır

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Microsoft.Web/sites izinleri: İşlev Uygulaması oluşturmak için Azure İşlevleri okuma ve yazma izinleri gereklidir. Daha fazla bilgi için bkz. Azure İşlevleri.
  • Mimecast API kimlik bilgileri: Tümleştirmeyi yapılandırmak için aşağıdaki bilgi parçalarına sahip olmanız gerekir:
  • mimecastEmail: Ayrılmış bir Mimecast yönetici kullanıcısının Email adresi
  • mimecastPassword: Ayrılmış Mimecast yönetici kullanıcısının parolası
  • mimecastAppId: Mimecast ile kaydedilen Mimecast Microsoft Sentinel uygulamasının API Uygulama Kimliği
  • mimecastAppKey: Mimecast ile kaydedilen Mimecast Microsoft Sentinel uygulamasının API Uygulama Anahtarı
  • mimecastAccessKey: Ayrılmış Mimecast yönetici kullanıcısı için Erişim Anahtarı
  • mimecastSecretKey: Ayrılmış Mimecast yönetici kullanıcısı için Gizli Anahtar
  • mimecastBaseURL: Mimecast Bölgesel API Temel URL'si

Mimecast Uygulama Kimliği, Uygulama Anahtarı ve ayrılmış Mimecast yönetici kullanıcısı için Erişim Anahtarı ve Gizli Anahtarlar, Mimecast Yönetim Konsolu aracılığıyla edinilebilir: Yönetim | Hizmetler | API ve Platform Tümleştirmeleri.

Her bölge için Mimecast API'si Temel URL'si burada belgelenmiştir: https://integrations.mimecast.com/documentation/api-overview/global-base-urls/

  • Kaynak grubu: Kullanacağınız abonelikle oluşturulmuş bir kaynak grubuna sahip olmanız gerekir.
  • İşlevler uygulaması: Bu bağlayıcının kullanması için kayıtlı bir Azure Uygulaması olması gerekir
  1. Uygulama Kimliği
  2. Kiracı Kimliği
  3. İstemci Kimliği
  4. İstemci Gizli Anahtarı

Kurulum Yönergeleri:

NOT: Bu bağlayıcı, günlüklerini Microsoft Sentinel çekmek üzere bir Mimecast API'sine bağlanmak için Azure İşlevleri kullanır. Bu, ek veri alımı maliyetlerine neden olabilir. Ayrıntılar için Azure İşlevleri fiyatlandırma sayfasına bakın.

(İsteğe Bağlı Adım) Çalışma alanını ve API yetkilendirme anahtarlarını veya belirteçlerini Azure Key Vault güvenli bir şekilde depolayın. Azure Key Vault, anahtar değerlerini depolamak ve almak için güvenli bir mekanizma sağlar. Azure İşlev Uygulaması ile Azure Key Vault kullanmak için bu yönergeleri izleyin.

Yapılandırma:

ADIM 1 - Mimecast API'sinin yapılandırma adımları

Azure portal --- Uygulama kayıtları --->> [your_app] --- Sertifikalar &> gizli diziler ---> Yeni istemci gizli dizisine gidin ve yeni bir gizli dizi oluşturun (Daha sonra önizlemesini yapamayacağınız için Değeri hemen güvenli bir yere kaydedin)

ADIM 2 - Mimecast API Bağlayıcısı Dağıtma

ÖNEMLİ: Mimecast API bağlayıcısını dağıtmadan önce, Çalışma Alanı Kimliği ve Çalışma Alanı Birincil Anahtarına (aşağıdakilerden kopyalanabilir) ve mimecast API yetkilendirme anahtarlarını veya Belirtecini hazır olarak kullanabilirsiniz.

  • Çalışma Alanı Kimliği: <Yükleme zamanında sağlanan değişken değeri>
  • Birincil Anahtar: <Yükleme zamanında sağlanan değişken değeri>

Microsoft için Mimecast Intelligence'i etkinleştirme - Microsoft Sentinel Bağlayıcısı:

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.ms

  2. Tercih edilen Abonelik, Kaynak Grubu ve Konum'a tıklayın.

  3. Aşağıdaki alanları girin:

  • appName: Azure platformunda uygulama için kimlik olarak kullanılacak benzersiz dize
  • objectId: Azure portal ---> Azure Active Directory --- profil -----> nesne kimliği --->> daha fazla bilgi
  • appInsightsLocation(default): westeurope
  • mimecastEmail: Bu integraion için ayrılmış kullanıcının Email adresi
  • mimecastPassword: Ayrılmış kullanıcı için parola
  • mimecastAppId: Mimecast ile kaydedilen Microsoft Sentinel uygulamasından uygulama kimliği
  • mimecastAppKey: Mimecast ile kaydedilen Microsoft Sentinel uygulamasından Uygulama Anahtarı
  • mimecastAccessKey: Ayrılmış Mimecast kullanıcısı için Erişim Anahtarı
  • mimecastSecretKey: Ayrılmış Mimecast kullanıcısı için Gizli Anahtar
  • mimecastBaseURL: Bölgesel Mimecast API'si Temel URL'si
  • activeDirectoryAppId: Uygulama Kimliği ---> Uygulama kayıtları ---> [your_app] Azure portal --->
  • activeDirectoryAppSecret: Azure portal ---> Uygulama kayıtları ---> [your_app] --- Sertifikalar &> gizli diziler ---> [your_app_secret]
  • workspaceId: Azure portal ---> Log Analytics Çalışma Alanları ---> [Çalışma alanınız] --- Aracılar --->> Çalışma Alanı Kimliği (veya yukarıdan workspaceId değerini kopyalayabilirsiniz)
  • workspaceKey:> Azure portal --- Log Analytics Çalışma Alanları ---> [Çalışma alanınız] ---> Aracılar ---> Birincil Anahtar (veya yukarıdan workspaceKey kopyalayabilirsiniz)
  • AppInsightsWorkspaceResourceID : [Çalışma alanınız] --- Özellikler ---> Kaynak Kimliği ---> Log> Analytics Çalışma Alanları Azure portal --->

Not: Yukarıdaki değerlerden herhangi biri için Azure Key Vault gizli dizileri kullanıyorsanız, dize değerleri yerine şemayı kullanın@Microsoft.KeyVault(SecretUri={Security Identifier}). Daha fazla ayrıntı için Key Vault başvuru belgelerine bakın.

  1. Yukarıda belirtilen hüküm ve koşulları kabul ediyorum etiketli onay kutusunu işaretleyin.

  2. Dağıtmak için Satın Al'a tıklayın.

  3. [your_resource_group>] ---> [appName](tür: Depolama hesabı) ---> Azure portal --- Kaynak gruplarına gidin --- Depolama Gezgini --->> BLOB KAPSAYICILARI ---> TIR denetim noktaları ---> makinenizde checkpoint.txt adlı boş dosyayı karşıya yükleyip oluşturun ve karşıya yüklemek için seçin (bu işlem, TIR günlükleri için date_range tutarlı durumda depolanması için yapılır)

Ek yapılandırma:

Tehdit Bilgileri Platformları Veri Bağlayıcısı'na bağlanın. Bağlayıcı sayfasındaki yönergeleri izleyin ve bağlan düğmesine tıklayın.



Mimecast Güvenli E-posta Geçidi

Tarafından desteklenir:Mimecast

Mimecast Secure Email Gateway veri bağlayıcısı, Güvenli Email Ağ Geçidi'nden kolayca günlük toplamaya olanak sağlayarak Microsoft Sentinel içinde e-posta içgörülerini ve kullanıcı etkinliğini ortaya çıkarmasını sağlar. Veri bağlayıcısı, analistlerin e-posta tabanlı tehditlerle ilgili içgörüleri görüntülemesine, olay bağıntısına yardımcı olması ve özel uyarı özellikleriyle birlikte araştırma yanıt sürelerini azaltmasına olanak sağlayan önceden oluşturulmuş panolar sağlar. Mimecast ürünleri ve özellikleri gerekli:

  • Mimecast Cloud Gateway
  • Mimecast Veri Sızıntısı Önleme

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
Seg_Cg_CL Evet Evet
Seg_Dlp_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Azure Abonelik: Azure Bir uygulamayı Microsoft Entra ID kaydetmek ve kaynak grubundaki uygulamaya katkıda bulunan rolü atamak için sahip rolüne sahip abonelik gereklidir.
  • Microsoft.Web/sites izinleri: İşlev Uygulaması oluşturmak için Azure İşlevleri okuma ve yazma izinleri gereklidir. Daha fazla bilgi için bkz. Azure İşlevleri.
  • REST API Kimlik Bilgileri/izinleri: Rest API başvurusunda API hakkında daha fazla bilgi edinmek için belgelere bakın

Kurulum Yönergeleri:

NOT: Bu bağlayıcı, günlüklerini Microsoft Sentinel çekmek üzere bir Mimecast API'sine bağlanmak için Azure İşlevleri kullanır. Bu, ek veri alımı maliyetlerine neden olabilir. Ayrıntılar için Azure İşlevleri fiyatlandırma sayfasına bakın.

(İsteğe Bağlı Adım) Çalışma alanını ve API yetkilendirme anahtarlarını veya belirteçlerini Azure Key Vault güvenli bir şekilde depolayın. Azure Key Vault, anahtar değerlerini depolamak ve almak için güvenli bir mekanizma sağlar. Azure İşlev Uygulaması ile Azure Key Vault kullanmak için bu yönergeleri izleyin.

Yapılandırma:

ADIM 1 - Mimecast API'sinin yapılandırma adımları

Azure portal --- Uygulama kayıtları --->> [your_app] --- Sertifikalar &> gizli diziler ---> Yeni istemci gizli dizisine gidin ve yeni bir gizli dizi oluşturun (Daha sonra önizlemesini yapamayacağınız için Değeri hemen güvenli bir yere kaydedin)

**ADIM 2 - Mimecast API Bağlayıcısı Dağıtma

ÖNEMLİ: Mimecast API bağlayıcısını dağıtmadan önce, Mimecast API yetkilendirme anahtarlarını veya Belirteci hazır bir şekilde kullanabilirsiniz.

ADIM 3 - Microsoft Entra ID'da Uygulama için Uygulama Kaydı adımları

Bu tümleştirme için Azure portal bir Uygulama kaydı gerekir. Microsoft Entra ID'da yeni uygulama oluşturmak için bu bölümdeki adımları izleyin:

  1. Azure portalda oturum açın.
  2. Microsoft Entra ID arayın ve seçin.
  3. Yönet'in altında Yeni kayıt'ı Uygulama kayıtları > seçin.
  4. Uygulamanız için bir görünen Ad girin.
  5. İlk uygulama kaydını tamamlamak için Kaydet'i seçin.
  6. Kayıt tamamlandığında, Azure portal uygulama kaydının Genel Bakış bölmesini görüntüler. Uygulama (istemci) kimliğini ve Kiracı Kimliğini görürsünüz. İstemci kimliği ve Kiracı Kimliği, TenableVM Veri Bağlayıcısı'nın yürütülmesi için yapılandırma parametreleri olarak gereklidir.

Başvuru bağlantısı:/azure/active-directory/develop/quickstart-register-app

4. ADIM - Microsoft Entra ID'da uygulama için istemci gizli dizisi ekleme

Bazen uygulama parolası olarak adlandırılan istemci gizli dizisi, TenableVM Veri Bağlayıcısı'nın yürütülmesi için gereken bir dize değeridir. Yeni bir İstemci Gizli Anahtarı oluşturmak için bu bölümdeki adımları izleyin:

  1. Azure portal, Uygulama kayıtları uygulamanızı seçin.
  2. Sertifikalar & gizli diziler > İstemci gizli dizileri Yeni istemci gizli dizisi'ni >seçin.
  3. Gizli anahtarınız için bir açıklama ekleyin.
  4. Gizli dizi için bir süre sonu seçin veya özel bir yaşam süresi belirtin. Sınır 24 aydır.
  5. Ekle'yi seçin.
  6. Gizli anahtarın değerini istemci uygulama kodunuzda kullanmak üzere kaydedin. Bu gizli dizi değeri, siz bu sayfadan ayrıldıktan sonra bir daha görüntülenmez. Gizli dizi değeri, TenableVM Veri Bağlayıcısı'nın yürütülmesi için yapılandırma parametresi olarak gereklidir.

Başvuru bağlantısı:/azure/active-directory/develop/quickstart-register-app#add-a-client-secret

5. ADIM - uygulamanızın Nesne Kimliğini Microsoft Entra ID

Uygulama kaydınızı oluşturduktan sonra Nesne Kimliğini almak için bu bölümdeki adımları izleyin:

  1. Microsoft Entra ID gidin.
  2. Soldaki menüden Kurumsal uygulamalar'ı seçin.
  3. Yeni oluşturduğunuz uygulamayı listede bulun (sağladığınız ada göre arama yapabilirsiniz).
  4. Uygulamaya tıklayın.
  5. Genel bakış sayfasında Nesne Kimliğini kopyalayın. Bu, ARM şablonu rol atamanız için gereken AzureEntraObjectId değeridir .

Mimecast Secure Email Ağ Geçidi Veri Bağlayıcısı'nı dağıtın:

Mimecast Secure Email Gateway Data bağlayıcısının otomatik dağıtımı için bu yöntemi kullanın.

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.msaka.ms

  2. Tercih edilen Abonelik, Kaynak Grubu ve Bölge'yi seçin.

  3. Aşağıdaki bilgileri girin:

    a. Konum - Veri toplama kurallarının ve veri toplama uç noktalarının dağıtılacağı konum

    b. WorkspaceName - Log Analytics çalışma alanının Microsoft Sentinel Çalışma Alanı Adını girin

    c. AzureClientID - Uygulama kaydı sırasında oluşturduğunuz Azure İstemci Kimliğini girin

    d. AzureClientSecret - İstemci gizli dizisini oluştururken oluşturduğunuz Azure gizli dizisini girin

    e. AzureTenantID - Azure Active Directory'nizin Azure Kiracı Kimliğini girin

    f. AzureEntraObjectID - Microsoft Entra Uygulamanızın Nesne kimliğini girin

    G. MimecastBaseURL - Mimecast API 2.0'ın Temel URL'sini girin (örn. https://api.services.mimecast.com)

    H. MimecastClientID - Kimlik doğrulaması için Mimecast İstemci Kimliğini girin

    i. MimecastClientSecret - Kimlik doğrulaması için Mimecast İstemci Gizli Anahtarı girin

    J. MimecastCGTableName - CG verilerini depolamak için kullanılan tablonun adını girin. Varsayılan değer 'Seg_Cg'

    Kahraman. MimecastDLPTableName - DLP verilerini depolamak için kullanılan tablonun adını girin. Varsayılan değer 'Seg_Dlp'

    L. StartDate - Başlangıç tarihini 'yy-mm-dd' biçiminde girin. Tarih belirtmezseniz, son 60 güne ait veriler otomatik olarak getirilir. Tarihin geçmişte olduğundan ve düzgün biçimlendirildiğinden emin olun

    M. Zamanlama - Lütfen geçerli bir Quartz cron-ifadesi girin. (Örnek: 0 0 */1 * * *) Değeri boş tutmayın, en düşük değer 10 dakikadır

    n. LogLevel - Lütfen günlük düzeyi veya günlük önem derecesi değeri ekleyin. Varsayılan olarak BİlGİ olarak ayarlanır

    o. AppInsightsWorkspaceResourceId - 29 Şubat 2024'e kadar kullanımdan kaldırılan Klasik Application Insights'ı Log Analytic Çalışma Alanına geçirin. 'Kaynak Kimliği' özellik değerine sahip 'Log Analytic Workspace-->Properties' dikey penceresini kullanın. Bu, '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}' biçiminde olan tam bir resourceId'dir.

  4. Yukarıda belirtilen hüküm ve koşulları kabul ediyorum etiketli onay kutusunu işaretleyin.

  5. Dağıtmak için Satın Al'a tıklayın.



Mimecast Secure Email Gateway (Azure İşlevleri kullanarak)

Tarafından desteklenir:Mimecast

Mimecast Secure Email Gateway veri bağlayıcısı, Güvenli Email Ağ Geçidi'nden kolayca günlük toplamaya olanak sağlayarak Microsoft Sentinel içinde e-posta içgörülerini ve kullanıcı etkinliğini ortaya çıkarmasını sağlar. Veri bağlayıcısı, analistlerin e-posta tabanlı tehditlerle ilgili içgörüleri görüntülemesine, olay bağıntısına yardımcı olması ve özel uyarı özellikleriyle birlikte araştırma yanıt sürelerini azaltmasına olanak sağlayan önceden oluşturulmuş panolar sağlar. Mimecast ürünleri ve özellikleri gerekli:

  • Mimecast Güvenli E-posta Geçidi
  • Mimecast Veri Sızıntısı Önleme

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
MimecastSIEM_CL Hayır Hayır
MimecastDLP_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • Microsoft.Web/sites izinleri: İşlev Uygulaması oluşturmak için Azure İşlevleri okuma ve yazma izinleri gereklidir. Daha fazla bilgi için bkz. Azure İşlevleri.
  • Mimecast API kimlik bilgileri: Tümleştirmeyi yapılandırmak için aşağıdaki bilgi parçalarına sahip olmanız gerekir:
  • mimecastEmail: Ayrılmış bir Mimecast yönetici kullanıcısının Email adresi
  • mimecastPassword: Ayrılmış Mimecast yönetici kullanıcısının parolası
  • mimecastAppId: Mimecast ile kaydedilen Mimecast Microsoft Sentinel uygulamasının API Uygulama Kimliği
  • mimecastAppKey: Mimecast ile kaydedilen Mimecast Microsoft Sentinel uygulamasının API Uygulama Anahtarı
  • mimecastAccessKey: Ayrılmış Mimecast yönetici kullanıcısı için Erişim Anahtarı
  • mimecastSecretKey: Ayrılmış Mimecast yönetici kullanıcısı için Gizli Anahtar
  • mimecastBaseURL: Mimecast Bölgesel API Temel URL'si

Mimecast Uygulama Kimliği, Uygulama Anahtarı ve ayrılmış Mimecast yönetici kullanıcısı için Erişim Anahtarı ve Gizli Anahtarlar, Mimecast Yönetim Konsolu aracılığıyla edinilebilir: Yönetim | Hizmetler | API ve Platform Tümleştirmeleri.

Her bölge için Mimecast API'si Temel URL'si burada belgelenmiştir: https://integrations.mimecast.com/documentation/api-overview/global-base-urls/

  • Kaynak grubu: Kullanacağınız abonelikle oluşturulmuş bir kaynak grubuna sahip olmanız gerekir.
  • İşlevler uygulaması: Bu bağlayıcının kullanması için kayıtlı bir Azure Uygulaması olması gerekir
  1. Uygulama Kimliği
  2. Kiracı Kimliği
  3. İstemci Kimliği
  4. İstemci Gizli Anahtarı

Kurulum Yönergeleri:

NOT: Bu bağlayıcı, günlüklerini Microsoft Sentinel çekmek üzere bir Mimecast API'sine bağlanmak için Azure İşlevleri kullanır. Bu, ek veri alımı maliyetlerine neden olabilir. Ayrıntılar için Azure İşlevleri fiyatlandırma sayfasına bakın.

(İsteğe Bağlı Adım) Çalışma alanını ve API yetkilendirme anahtarlarını veya belirteçlerini Azure Key Vault güvenli bir şekilde depolayın. Azure Key Vault, anahtar değerlerini depolamak ve almak için güvenli bir mekanizma sağlar. Azure İşlev Uygulaması ile Azure Key Vault kullanmak için bu yönergeleri izleyin.

Yapılandırma:

ADIM 1 - Mimecast API'sinin yapılandırma adımları

Azure portal --- Uygulama kayıtları --->> [your_app] --- Sertifikalar &> gizli diziler ---> Yeni istemci gizli dizisine gidin ve yeni bir gizli dizi oluşturun (Daha sonra önizlemesini yapamayacağınız için Değeri hemen güvenli bir yere kaydedin)

ADIM 2 - Mimecast API Bağlayıcısı Dağıtma

ÖNEMLİ: Mimecast API bağlayıcısını dağıtmadan önce, Çalışma Alanı Kimliği ve Çalışma Alanı Birincil Anahtarına (aşağıdakilerden kopyalanabilir) ve mimecast API yetkilendirme anahtarlarını veya Belirtecini hazır olarak kullanabilirsiniz.

  • Çalışma Alanı Kimliği: <Yükleme zamanında sağlanan değişken değeri>
  • Birincil Anahtar: <Yükleme zamanında sağlanan değişken değeri>

Mimecast Secure Email Ağ Geçidi Veri Bağlayıcısı'nı dağıtın:

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.ms

  2. Tercih edilen Abonelik, Kaynak Grubu ve Konum'a tıklayın.

  3. Aşağıdaki alanları girin:

  • appName: Azure platformunda uygulama için kimlik olarak kullanılacak benzersiz dize
  • objectId: Azure portal ---> Azure Active Directory --- profil -----> nesne kimliği --->> daha fazla bilgi
  • appInsightsLocation(default): westeurope
  • mimecastEmail: Bu integraion için ayrılmış kullanıcının Email adresi
  • mimecastPassword: Ayrılmış kullanıcı için parola
  • mimecastAppId: Mimecast ile kaydedilen Microsoft Sentinel uygulamasından uygulama kimliği
  • mimecastAppKey: Mimecast ile kaydedilen Microsoft Sentinel uygulamasından Uygulama Anahtarı
  • mimecastAccessKey: Ayrılmış Mimecast kullanıcısı için Erişim Anahtarı
  • mimecastSecretKey: Ayrılmış Mimecast kullanıcısı için Gizli Anahtar
  • mimecastBaseURL: Bölgesel Mimecast API'si Temel URL'si
  • activeDirectoryAppId: Uygulama Kimliği ---> Uygulama kayıtları ---> [your_app] Azure portal --->
  • activeDirectoryAppSecret: Azure portal ---> Uygulama kayıtları ---> [your_app] --- Sertifikalar &> gizli diziler ---> [your_app_secret]
  • workspaceId: Azure portal ---> Log Analytics Çalışma Alanları ---> [Çalışma alanınız] --- Aracılar --->> Çalışma Alanı Kimliği (veya yukarıdan workspaceId değerini kopyalayabilirsiniz)
  • workspaceKey:> Azure portal --- Log Analytics Çalışma Alanları ---> [Çalışma alanınız] ---> Aracılar ---> Birincil Anahtar (veya yukarıdan workspaceKey kopyalayabilirsiniz)
  • AppInsightsWorkspaceResourceID : [Çalışma alanınız] --- Özellikler ---> Kaynak Kimliği ---> Log> Analytics Çalışma Alanları Azure portal --->

Not: Yukarıdaki değerlerden herhangi biri için Azure Key Vault gizli dizileri kullanıyorsanız, dize değerleri yerine şemayı kullanın@Microsoft.KeyVault(SecretUri={Security Identifier}). Daha fazla ayrıntı için Key Vault başvuru belgelerine bakın.

  1. Yukarıda belirtilen hüküm ve koşulları kabul ediyorum etiketli onay kutusunu işaretleyin.

  2. Dağıtmak için Satın Al'a tıklayın.

  3. [your_resource_group>] ---> [appName](tür: Depolama hesabı) ---> Azure portal --- Kaynak gruplarına gidin --->> DEPOLAMA GEZGINI --- BLOB KAPSAYICILARI ---> SIEM denetim noktaları ---> makinenizde checkpoint.txt adlı boş dosyayı karşıya yükleme ve oluşturma dlp-checkpoint.txt ve karşıya yükleme için seçin (bu işlem SIEM günlükleri için date_range tutarlı durumda depolanması için yapılır)



Mimecast Hedefli Tehdit Koruması

Tarafından desteklenir:Mimecast

Mimecast Hedefli Tehdit Koruması için veri bağlayıcısı, müşterilere Microsoft Sentinel içindeki Hedefli Tehdit Koruması denetim teknolojileriyle ilgili güvenlik olaylarına görünürlük sağlar. Veri bağlayıcısı, analistlerin e-posta tabanlı tehditlerle ilgili içgörüleri görüntülemesine, olay bağıntısına yardımcı olması ve özel uyarı özellikleriyle birlikte araştırma yanıt sürelerini azaltmasına olanak sağlayan önceden oluşturulmuş panolar sağlar.
Bağlayıcıya dahil edilen Mimecast ürünleri şunlardır:

  • URL Koruması
  • Kimliğe Bürünme Koruması
  • Ek Koruması

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
Ttp_Url_CL Evet Evet
Ttp_Attachment_CL Evet Evet
Ttp_Impersonation_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Azure Abonelik: Azure Bir uygulamayı Microsoft Entra ID kaydetmek ve kaynak grubundaki uygulamaya katkıda bulunan rolü atamak için sahip rolüne sahip abonelik gereklidir.
  • Microsoft.Web/sites izinleri: İşlev Uygulaması oluşturmak için Azure İşlevleri okuma ve yazma izinleri gereklidir. Daha fazla bilgi için bkz. Azure İşlevleri.
  • REST API Kimlik Bilgileri/izinleri: Rest API başvurusunda API hakkında daha fazla bilgi edinmek için belgelere bakın

Kurulum Yönergeleri:

Kaynak Grubu

Kullanacağınız abonelikle oluşturulmuş bir kaynak grubuna sahip olmanız gerekir.

İşlevler uygulaması

Bu bağlayıcının kullanması için kayıtlı bir Azure Uygulaması olması gerekir

  1. Uygulama Kimliği
  2. Kiracı Kimliği
  3. İstemci Kimliği
  4. İstemci Gizli Anahtarı

NOT: Bu bağlayıcı, günlüklerini Microsoft Sentinel çekmek üzere bir Mimecast API'sine bağlanmak için Azure İşlevleri kullanır. Bu, ek veri alımı maliyetlerine neden olabilir. Ayrıntılar için Azure İşlevleri fiyatlandırma sayfasına bakın.

(İsteğe Bağlı Adım) Çalışma alanını ve API yetkilendirme anahtarlarını veya belirteçlerini Azure Key Vault güvenli bir şekilde depolayın. Azure Key Vault, anahtar değerlerini depolamak ve almak için güvenli bir mekanizma sağlar. Azure İşlev Uygulaması ile Azure Key Vault kullanmak için bu yönergeleri izleyin.

ADIM 1 - Microsoft Entra ID'da Uygulama için Uygulama Kaydı adımları

Bu tümleştirme için Azure portal bir Uygulama kaydı gerekir. Microsoft Entra ID'da yeni uygulama oluşturmak için bu bölümdeki adımları izleyin:

  1. Azure portalda oturum açın.
  2. Microsoft Entra ID arayın ve seçin.
  3. Yönet'in altında Yeni kayıt'ı Uygulama kayıtları > seçin.
  4. Uygulamanız için bir görünen Ad girin.
  5. İlk uygulama kaydını tamamlamak için Kaydet'i seçin.
  6. Kayıt tamamlandığında, Azure portal uygulama kaydının Genel Bakış bölmesini görüntüler. Uygulama (istemci) kimliğini ve Kiracı Kimliğini görürsünüz. Mimecast Veri Bağlayıcısı'nın yürütülmesi için yapılandırma parametreleri olarak istemci kimliği ve Kiracı Kimliği gereklidir.

Başvuru bağlantısı:/azure/active-directory/develop/quickstart-register-app

ADIM 2 - Microsoft Entra ID'de uygulama için istemci gizli dizisi ekleme

Bazen uygulama parolası olarak adlandırılan istemci gizli dizisi, Mimecast Veri Bağlayıcısı'nın yürütülmesi için gereken bir dize değeridir. Yeni bir İstemci Gizli Anahtarı oluşturmak için bu bölümdeki adımları izleyin:

  1. Azure portal, Uygulama kayıtları uygulamanızı seçin.
  2. Sertifikalar & gizli diziler > İstemci gizli dizileri Yeni istemci gizli dizisi'ni >seçin.
  3. Gizli anahtarınız için bir açıklama ekleyin.
  4. Gizli dizi için bir süre sonu seçin veya özel bir yaşam süresi belirtin. Sınır 24 aydır.
  5. Ekle'yi seçin.
  6. Gizli anahtarın değerini istemci uygulama kodunuzda kullanmak üzere kaydedin. Bu gizli dizi değeri, siz bu sayfadan ayrıldıktan sonra bir daha görüntülenmez. Gizli dizi değeri, Mimecast Veri Bağlayıcısı'nın yürütülmesi için yapılandırma parametresi olarak gereklidir.

Başvuru bağlantısı:/azure/active-directory/develop/quickstart-register-app#add-a-client-secret

3. ADIM - uygulamanızın Nesne Kimliğini Microsoft Entra ID

Uygulama kaydınızı oluşturduktan sonra Nesne Kimliğini almak için bu bölümdeki adımları izleyin:

  1. Microsoft Entra ID gidin.
  2. Soldaki menüden Kurumsal uygulamalar'ı seçin.
  3. Yeni oluşturduğunuz uygulamayı listede bulun (sağladığınız ada göre arama yapabilirsiniz).
  4. Uygulamaya tıklayın.
  5. Genel bakış sayfasında Nesne Kimliğini kopyalayın. Bu, ARM şablonu rol atamanız için gereken AzureEntraObjectId değeridir .

ADIM 4 - Mimecast API Bağlayıcısı Dağıtma

ÖNEMLİ: Mimecast API bağlayıcısını dağıtmadan önce, Mimecast API yetkilendirme anahtarlarını veya Belirteci hazır bir şekilde kullanabilirsiniz.

Azure Resource Manager (ARM) Şablonu

Mimecast Hedefli Tehdit Koruması Verileri bağlayıcısının otomatik dağıtımı için bu yöntemi kullanın.

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.msaka.ms

  2. Tercih edilen Abonelik, Kaynak Grubu ve Bölge'yi seçin.

  3. Aşağıdaki bilgileri girin:

    a. Konum - Veri toplama kurallarının ve veri toplama uç noktalarının dağıtılacağı konum

    b. WorkspaceName - Log Analytics çalışma alanının Microsoft Sentinel Çalışma Alanı Adını girin

    c. AzureClientID - Uygulama kaydı sırasında oluşturduğunuz Azure İstemci Kimliğini girin

    d. AzureClientSecret - İstemci gizli dizisini oluştururken oluşturduğunuz Azure gizli dizisini girin

    e. AzureTenantID - Azure Active Directory'nizin Azure Kiracı Kimliğini girin

    f. AzureEntraObjectID - Microsoft Entra Uygulamanızın Nesne kimliğini girin

    G. MimecastBaseURL - Mimecast API 2.0'ın Temel URL'sini girin (örn. https://api.services.mimecast.com)

    H. MimecastClientID - Kimlik doğrulaması için Mimecast İstemci Kimliğini girin

    i. MimecastClientSecret - Kimlik doğrulaması için Mimecast İstemci Gizli Anahtarı girin

    J. StartDate - Başlangıç tarihini 'yy-mm-dd' biçiminde girin. Tarih belirtmezseniz, son 60 güne ait veriler otomatik olarak getirilir. Tarihin geçmişte olduğundan ve düzgün biçimlendirildiğinden emin olun

    Kahraman. MimecastTTPAttachmentTableName - TTP Eki verilerini depolamak için kullanılan tablonun adını girin. Varsayılan değer 'Ttp_Attachment'

    L. MimecastTTPImpersonationTableName - TTP Kimliğe Bürünme verilerini depolamak için kullanılan tablonun adını girin. Varsayılan değer 'Ttp_Impersonation'

    M. MimecastTTPUrlTableName - TTP Eki verilerini depolamak için kullanılan tablonun adını girin. Varsayılan değer 'Ttp_Url'

    n. Zamanlama - Lütfen geçerli bir Quartz cron-ifadesi girin. (Örnek: 0 0 */1 * * *) Değeri boş tutmayın, en düşük değer 10 dakikadır

    L. LogLevel - Lütfen günlük düzeyi veya günlük önem derecesi değeri ekleyin. Varsayılan olarak BİlGİ olarak ayarlanır

    o. AppInsightsWorkspaceResourceId - 29 Şubat 2024'e kadar kullanımdan kaldırılan Klasik Application Insights'ı Log Analytic Çalışma Alanına geçirin. 'Kaynak Kimliği' özellik değerine sahip 'Log Analytic Workspace-->Properties' dikey penceresini kullanın. Bu, '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}' biçiminde olan tam bir resourceId'dir.

  4. Yukarıda belirtilen hüküm ve koşulları kabul ediyorum etiketli onay kutusunu işaretleyin.

  5. Dağıtmak için Satın Al'a tıklayın.



Mimecast Hedefli Tehdit Koruması (Azure İşlevleri kullanarak)

Tarafından desteklenir:Mimecast

Mimecast Hedefli Tehdit Koruması için veri bağlayıcısı, müşterilere Microsoft Sentinel içindeki Hedefli Tehdit Koruması denetim teknolojileriyle ilgili güvenlik olaylarına görünürlük sağlar. Veri bağlayıcısı, analistlerin e-posta tabanlı tehditlerle ilgili içgörüleri görüntülemesine, olay bağıntısına yardımcı olması ve özel uyarı özellikleriyle birlikte araştırma yanıt sürelerini azaltmasına olanak sağlayan önceden oluşturulmuş panolar sağlar.
Bağlayıcıya dahil edilen Mimecast ürünleri şunlardır:

  • URL Koruması
  • Kimliğe Bürünme Koruması
  • Ek Koruması

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
MimecastTTPUrl_CL Hayır Hayır
MimecastTTPAttachment_CL Hayır Hayır
MimecastTTPImpersonation_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • Microsoft.Web/sites izinleri: İşlev Uygulaması oluşturmak için Azure İşlevleri okuma ve yazma izinleri gereklidir. Daha fazla bilgi için bkz. Azure İşlevleri.
  • REST API Kimlik Bilgileri/izinleri: Tümleştirmeyi yapılandırmak için aşağıdaki bilgi parçalarına sahip olmanız gerekir:
  • mimecastEmail: Ayrılmış bir Mimecast yönetici kullanıcısının Email adresi
  • mimecastPassword: Ayrılmış Mimecast yönetici kullanıcısının parolası
  • mimecastAppId: Mimecast ile kaydedilen Mimecast Microsoft Sentinel uygulamasının API Uygulama Kimliği
  • mimecastAppKey: Mimecast ile kaydedilen Mimecast Microsoft Sentinel uygulamasının API Uygulama Anahtarı
  • mimecastAccessKey: Ayrılmış Mimecast yönetici kullanıcısı için Erişim Anahtarı
  • mimecastSecretKey: Ayrılmış Mimecast yönetici kullanıcısı için Gizli Anahtar
  • mimecastBaseURL: Mimecast Bölgesel API Temel URL'si

Mimecast Uygulama Kimliği, Uygulama Anahtarı ve ayrılmış Mimecast yönetici kullanıcısı için Erişim Anahtarı ve Gizli Anahtarlar, Mimecast Yönetim Konsolu aracılığıyla edinilebilir: Yönetim | Hizmetler | API ve Platform Tümleştirmeleri.

Her bölge için Mimecast API'si Temel URL'si burada belgelenmiştir: https://integrations.mimecast.com/documentation/api-overview/global-base-urls/

Kurulum Yönergeleri:

Kaynak Grubu

Kullanacağınız abonelikle oluşturulmuş bir kaynak grubuna sahip olmanız gerekir.

İşlevler uygulaması

Bu bağlayıcının kullanması için kayıtlı bir Azure Uygulaması olması gerekir

  1. Uygulama Kimliği
  2. Kiracı Kimliği
  3. İstemci Kimliği
  4. İstemci Gizli Anahtarı

NOT: Bu bağlayıcı, günlüklerini Microsoft Sentinel çekmek üzere bir Mimecast API'sine bağlanmak için Azure İşlevleri kullanır. Bu, ek veri alımı maliyetlerine neden olabilir. Ayrıntılar için Azure İşlevleri fiyatlandırma sayfasına bakın.

(İsteğe Bağlı Adım) Çalışma alanını ve API yetkilendirme anahtarlarını veya belirteçlerini Azure Key Vault güvenli bir şekilde depolayın. Azure Key Vault, anahtar değerlerini depolamak ve almak için güvenli bir mekanizma sağlar. Azure İşlev Uygulaması ile Azure Key Vault kullanmak için bu yönergeleri izleyin.

Yapılandırma:

ADIM 1 - Mimecast API'sinin yapılandırma adımları

Azure portal --- Uygulama kayıtları --->> [your_app] --- Sertifikalar &> gizli diziler ---> Yeni istemci gizli dizisine gidin ve yeni bir gizli dizi oluşturun (Daha sonra önizlemesini yapamayacağınız için Değeri hemen güvenli bir yere kaydedin)

ADIM 2 - Mimecast API Bağlayıcısı Dağıtma

ÖNEMLİ: Mimecast API bağlayıcısını dağıtmadan önce, Çalışma Alanı Kimliği ve Çalışma Alanı Birincil Anahtarına (aşağıdakilerden kopyalanabilir) ve mimecast API yetkilendirme anahtarlarını veya Belirtecini hazır olarak kullanabilirsiniz.

  • Çalışma Alanı Kimliği: <Yükleme zamanında sağlanan değişken değeri>
  • Birincil Anahtar: <Yükleme zamanında sağlanan değişken değeri>

Mimecast Hedefli Tehdit Koruması Veri Bağlayıcısı'nı dağıtın:

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.ms

  2. Tercih edilen Abonelik, Kaynak Grubu ve Konum'a tıklayın.

  3. Aşağıdaki alanları girin:

  • appName: Azure platformunda uygulama için kimlik olarak kullanılacak benzersiz dize
  • objectId: Azure portal ---> Azure Active Directory --- profil -----> nesne kimliği --->> daha fazla bilgi
  • appInsightsLocation(default): westeurope
  • mimecastEmail: Bu integraion için ayrılmış kullanıcının Email adresi
  • mimecastPassword: Ayrılmış kullanıcı için parola
  • mimecastAppId: Mimecast ile kaydedilen Microsoft Sentinel uygulamasından uygulama kimliği
  • mimecastAppKey: Mimecast ile kaydedilen Microsoft Sentinel uygulamasından Uygulama Anahtarı
  • mimecastAccessKey: Ayrılmış Mimecast kullanıcısı için Erişim Anahtarı
  • mimecastSecretKey: Ayrılmış Mimecast kullanıcısı için Gizli Anahtar
  • mimecastBaseURL: Bölgesel Mimecast API'si Temel URL'si
  • activeDirectoryAppId: Uygulama Kimliği ---> Uygulama kayıtları ---> [your_app] Azure portal --->
  • activeDirectoryAppSecret: Azure portal ---> Uygulama kayıtları ---> [your_app] --- Sertifikalar &> gizli diziler ---> [your_app_secret]
  • workspaceId: Azure portal ---> Log Analytics Çalışma Alanları ---> [Çalışma alanınız] --- Aracılar --->> Çalışma Alanı Kimliği (veya yukarıdan workspaceId değerini kopyalayabilirsiniz)
  • workspaceKey:> Azure portal --- Log Analytics Çalışma Alanları ---> [Çalışma alanınız] ---> Aracılar ---> Birincil Anahtar (veya yukarıdan workspaceKey kopyalayabilirsiniz)
  • AppInsightsWorkspaceResourceID : [Çalışma alanınız] --- Özellikler ---> Kaynak Kimliği ---> Log> Analytics Çalışma Alanları Azure portal --->

Not: Yukarıdaki değerlerden herhangi biri için Azure Key Vault gizli dizileri kullanıyorsanız, dize değerleri yerine şemayı kullanın@Microsoft.KeyVault(SecretUri={Security Identifier}). Daha fazla ayrıntı için Key Vault başvuru belgelerine bakın.

  1. Yukarıda belirtilen hüküm ve koşulları kabul ediyorum etiketli onay kutusunu işaretleyin.

  2. Dağıtmak için Satın Al'a tıklayın.

  3. [your_resource_group>] ---> [your_resource_group] ---> [appName](tür: Depolama hesabı)>> --- Depolama Gezgini --- BLOB KAPSAYICILARI ---> TTP denetim noktaları ---> makinenizde attachment-checkpoint.txt, impersonation-checkpoint.txt, url-checkpoint.txt adlı boş dosyaları karşıya yükleme ve oluşturma Azure portal --- kaynak gruplarına gidin ve bunları karşıya yüklemek için seçin (bu işlem TTP günlükleri için date_range tutarlı durumda depolanması için yapılır)



MISP2Sentinel

Tarafından desteklenir:Community

Bu çözüm, TEHDIT göstergelerini MISP'ten Karşıya Yükleme Göstergeleri REST API'sini kullanarak otomatik olarak Microsoft Sentinel göndermenize olanak tanıyan MISP2Sentinel bağlayıcısını yükler. Çözümü yükledikten sonra Çözüm yönetme görünümündeki yönergeleri izleyerek bu veri bağlayıcısını yapılandırın ve etkinleştirin.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
ThreatIntelligenceIndicator Evet Hayır

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Kurulum Yönergeleri:

Yükleme ve kurulum yönergeleri

MISP'yi Microsoft Sentinel bağlayıcısına yüklemek ve yapılandırmak için bu GitHub deposundaki belgeleri kullanın:

https://github.com/cudeso/misp2sentinel



MongoDB Atlas Günlükleri

Tarafından desteklenir:MongoDB

MongoDBAtlas Logs bağlayıcısı MongoDB Atlas veritabanı günlüklerini MongoDB Atlas Yönetim API'si aracılığıyla Microsoft Sentinel'a yükleme olanağı sağlar. Daha fazla bilgi için API belgelerine bakın. Bağlayıcı, belirtilen konaklar ve belirtilen proje için bir dizi veritabanı günlük iletisi alma olanağı sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
MDBALogTable_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Microsoft.Web/sites izinleri: İşlev Uygulaması oluşturmak için Azure İşlevleri okuma ve yazma izinleri gereklidir. Daha fazla bilgi için bkz. Azure İşlevleri.
  • REST API Kimlik Bilgileri/izinleri: MongoDB Atlas hizmet hesabı İstemci Kimliği ve İstemci Gizli Anahtarı gereklidir. Daha fazla bilgi için bkz. hizmet hesabı oluşturma

Kurulum Yönergeleri:

NOT: Bu bağlayıcı, günlüklerini Microsoft Sentinel çekmek üzere 'MongoDB Atlas'a bağlanmak için Azure İşlevleri kullanır. Bu, ek veri alımı maliyetlerine neden olabilir. Ayrıntılar için Azure İşlevleri fiyatlandırma sayfasına bakın.

(İsteğe Bağlı Adım) Çalışma alanını ve API yetkilendirme anahtarlarını veya belirteçlerini Azure Key Vault güvenli bir şekilde depolayın. Azure Key Vault, anahtar değerlerini depolamak ve almak için güvenli bir mekanizma sağlar. Azure İşlev Uygulaması ile Azure Key Vault kullanmak için bu yönergeleri izleyin.

Bağlayıcıyı dağıtmadan önce çalışma alanının Microsoft Sentinel eklendiğinden emin olun.

ADIM 1 - 'MongoDB Atlas Yönetim API'sinin yapılandırma adımları

  1. MongoDB Atlas hizmet hesabı oluşturmak için bu yönergeleri izleyin.
  2. Oluşturduğunuz İstemci Kimliği ve İstemci Gizli Anahtarı'nı, ayrıca sonraki adımlar için gereken Grup Kimliğini (Proje) ve her Küme Kimliğini (Konak Adı) kopyalayın.
  3. Diğer ayrıntılar için MongoDB Atlas API belgelerine bakın .
  4. İstemci gizli dizisi bağlayıcıya bir Azure anahtar kasası aracılığıyla veya doğrudan bağlayıcıya geçirilebilir.
  5. Anahtar kasası seçeneğini kullanmak istiyorsanız, mongodb-client-secret adlı bir gizli dizi ve gizli anahtarınız gizli dizi değeri olarak kaydedilmiş bir Kasa Erişim İlkesi kullanarak bir anahtar kasası oluşturun.

ADIM 2 - 'MongoDB Atlas Günlükleri' bağlayıcısını ve ilişkili Azure İşlevini dağıtma

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    portal.azure.com

3. ADIM - Bağlayıcı parametrelerini ayarlama

  1. Tercih edilen Aboneliği ve mevcut bir Kaynak Grubunu seçin.
  2. Kaynak grubuna ait mevcut bir Log Analytics Çalışma Alanı Kaynak Kimliğini girin.
  3. İleri'ye tıklayın.
  4. MongoDB Grup Kimliği'ni, her biri ayrı bir satırda yer alan en fazla 10 MongoDB Küme Kimliği listesini ve MongoDB İstemci Kimliği'ni girin.
  5. Kimlik Doğrulama Yöntemi için İstemci Gizli Anahtarı'nı seçin ve istemci gizli anahtarı değerinize veya Key Vault kopyalayıp anahtar kasanızın adına kopyalayın. İleri'ye tıklayın.
  6. MongoDB filtrelerini gözden geçirin. En az bir kategoriden günlükleri seçin. İleri'ye tıklayın.
  7. Zamanlamayı gözden geçirin. İleri'ye tıklayın.
  8. Ayarları gözden geçirin ve Oluştur'a tıklayın.



MuleSoft Cloudhub

Tarafından desteklenir:Microsoft Corporation

MuleSoft Cloudhub veri bağlayıcısı, Cloudhub API'sini kullanarak Cloudhub uygulamalarından günlükleri alma ve REST API aracılığıyla Microsoft Sentinel daha fazla olay alma özelliği sağlar. Bağlayıcı olası güvenlik risklerini değerlendirmek, işbirliğini izlemek ve yapılandırma sorunlarını tanılamak ve gidermek için olay alma olanağı sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
MuleSoft_Cloudhub_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • Microsoft.Web/sites izinleri: İşlev Uygulaması oluşturmak için Azure İşlevleri okuma ve yazma izinleri gereklidir. Daha fazla bilgi için bkz. Azure İşlevleri.
  • REST API Kimlik Bilgileri/izinleri: API çağrıları yapmak için MuleSoftEnvId, MuleSoftAppName, MuleSoftUsername ve MuleSoftPassword gereklidir.

Kurulum Yönergeleri:

NOT: Bu bağlayıcı, günlükleri Microsoft Sentinel çekmek üzere Azure Blob Depolama API'sine bağlanmak için Azure İşlevleri kullanır. Bu, veri alımı ve verilerin Azure Blob Depolama maliyetlerde depolanması için ek maliyetlere neden olabilir. Ayrıntılar için Azure İşlevleri fiyatlandırma sayfasına ve Azure Blob Depolama fiyatlandırma sayfasına bakın.

(İsteğe Bağlı Adım) Çalışma alanını ve API yetkilendirme anahtarlarını veya belirteçlerini Azure Key Vault güvenli bir şekilde depolayın. Azure Key Vault, anahtar değerlerini depolamak ve almak için güvenli bir mekanizma sağlar. Azure İşlev Uygulaması ile Azure Key Vault kullanmak için bu yönergeleri izleyin.

NOT: Bu veri bağlayıcısı, Microsoft Sentinel Çözümü ile dağıtılan beklenen MuleSoftCloudhub gibi çalışması için Kusto İşlevini temel alan ayrıştırıcıya bağlıdır.

Not: Bu veri bağlayıcısı, CloudHub 2.0 uygulamasının değil Platform API'sini kullanarak yalnızca CloudHub uygulamasının günlüklerini getirir

ADIM 1 - MuleSoft Cloudhub API'sinin yapılandırma adımları

Kimlik bilgilerini almak için yönergeleri izleyin.

  1. Belgeleri kullanarak MuleSoftEnvId, MuleSoftAppName, MuleSoftUsername ve MuleSoftPassword'u edinin.
  2. Veri bağlayıcısında kullanmak için kimlik bilgilerini kaydedin.

ADIM 2 - Bağlayıcıyı ve ilişkili Azure İşlevini dağıtmak için aşağıdaki iki dağıtım seçeneğinden Bİrİ'ni seçin

ÖNEMLİ: MuleSoft Cloudhub veri bağlayıcısını dağıtmadan önce Çalışma Alanı Kimliği ve Çalışma Alanı Birincil Anahtarına sahip olun (aşağıdakilerden kopyalanabilir).

  • Çalışma Alanı Kimliği: <Yükleme zamanında sağlanan değişken değeri>
  • Birincil Anahtar: <Yükleme zamanında sağlanan değişken değeri>

Seçenek 1 - Azure Resource Manager (ARM) Şablonu

Arm Tempate kullanarak MuleSoft Cloudhub veri bağlayıcısının otomatik dağıtımı için bu yöntemi kullanın.

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.ms

  2. Tercih edilen Abonelik, Kaynak Grubu ve Konum'a tıklayın.

NOT: Aynı kaynak grubunda, Aynı bölgedeki Windows ve Linux uygulamalarını karıştıramazsınız. Içinde Windows uygulamaları olmayan mevcut kaynak grubunu seçin veya yeni kaynak grubu oluşturun. 3. MuleSoftEnvId, MuleSoftAppName, MuleSoftUsername ve MuleSoftPassword girin ve dağıtın. 4. Yukarıda belirtilen hüküm ve koşulları kabul ediyorum etiketli onay kutusunu işaretleyin. 5. Dağıtmak için Satın Al'a tıklayın.

Seçenek 2 - Azure İşlevleri El ile Dağıtımı

MuleSoft Cloudhub veri bağlayıcısını Azure İşlevleri (Visual Studio Code aracılığıyla dağıtım) ile el ile dağıtmak için aşağıdaki adım adım yönergeleri kullanın.

  1. İşlev Uygulaması Dağıtma

NOT: VS kodunu Azure işlev geliştirme için hazırlamanız gerekir.

  1. Azure İşlev Uygulaması dosyasını indirin. Arşivi yerel geliştirme bilgisayarınıza ayıklayın.

  2. VS Code'ı başlatın. Ana menüde Dosya'yı ve ardından Klasörü Aç'ı seçin.

  3. Ayıklanan dosyalardan en üst düzey klasörü seçin.

  4. Etkinlik çubuğunda Azure simgesini seçin, ardından Azure: İşlevler alanında İşlev uygulamasına dağıt düğmesini seçin. Henüz oturum açmadıysanız, Etkinlik çubuğunda Azure simgesini seçin, ardından Azure: İşlevler alanında Oturum aç'ı seçerek Azure Oturum açtıysanız sonraki adıma geçin.

  5. İstemlerde aşağıdaki bilgileri sağlayın:

    a. Klasör seçin: Çalışma alanınızdan bir klasör seçin veya işlev uygulamanızı içeren klasöre göz atın.

    b. Abonelik'i seçin: Kullanılacak aboneliği seçin.

    c. Azure'de yeni İşlev Uygulaması oluştur'u seçin (Gelişmiş seçeneğini belirleme)

    d. İşlev uygulaması için genel olarak benzersiz bir ad girin: URL yolunda geçerli bir ad yazın. Yazdığınız ad, Azure İşlevleri benzersiz olduğundan emin olmak için doğrulanır. (örneğin, MuleSoftXXXXXX).

    e. Çalışma zamanı seçin: Python 3.11'i seçin.

    f. Yeni kaynaklar için bir konum seçin. Daha iyi performans ve düşük maliyetler için Microsoft Sentinel bulunduğu bölgeyi seçin.

  6. Dağıtım başlar. İşlev uygulamanız oluşturulduktan ve dağıtım paketi uygulandıktan sonra bir bildirim görüntülenir.

  7. İşlev Uygulaması yapılandırması için Azure portalı'na gidin.

  8. İşlev Uygulamasını Yapılandırma

  9. İşlev Uygulamasında İşlev Uygulaması Adı'nı ve ardından Yapılandırma'yı seçin.

  10. Uygulama ayarları sekmesinde Yeni uygulama ayarı'nı seçin.

  11. İlgili dize değerleriyle (büyük/küçük harfe duyarlı) aşağıdaki uygulama ayarlarının her birini tek tek ekleyin: MuleSoftEnvId MuleSoftAppName MuleSoftUsername MuleSoftPassword WorkspaceID WorkspaceKey logAnalyticsUri (isteğe bağlı)

  • Ayrılmış bulut için log analytics API uç noktasını geçersiz kılmak için logAnalyticsUri kullanın. Örneğin, genel bulut için değeri boş bırakın; Azure GovUS bulut ortamı için değeri şu biçimde belirtin: https://<CustomerId>.ods.opinsights.azure.us.
  1. Tüm uygulama ayarları girildikten sonra Kaydet'e tıklayın.



Mulesoft CloudHub Alerts Connector (Codeless Connector Framework aracılığıyla)

Tarafından desteklenir:Microsoft Corporation

Mulesoft CloudHub veri bağlayıcısı, Mulesoft CloudHub'dan uyarıları CloudHub REST API v2 üzerinden Microsoft Sentinel'e aktarmanızı sağlar. Bu bağlayıcı, ABD Ticari Bulutu, AB Bulutu, Devlet Bulutu ve yerel dağıtımlar dahil olmak üzere farklı Mulesoft bölgeleri ve dağıtım ortamlarını karşılayacak yapılandırılabilir uç noktaları destekler. Multi-stream desteği kullanıyor, böylece birden fazla Mulesoft ortamına aynı anda bağlanabiliyorsun. Veri toplamaya başlamak için Anypoint Platform kimlik bilgileriniz, ortam kimliğiniz ve isteğe bağlı uygulama adı filtrenizi konnektörle konfigüre edin. Alınan uyarıları sorgulamak için ayrıştırıcı MuleSoftCloudhub kullanın. CloudHub API'leri hakkında daha fazla bilgi için Mulesoft CloudHub API dokümantasyonuna bakınız.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
MulesoftCloudhubAlerts_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Mulesoft CloudHub API erişimi: Mulesoft CloudHub API erişimi ve okuma izni gereklidir.

Kurulum Yönergeleri:

1. Mulesoft CloudHub Bağlantıları

Mulesoft CloudHub ortamlarınıza bağlantıları yönetin

Önkoşullar

Bu konnektörü yapılandırmadan önce, şunları olduğundan emin olun:

  1. Uygun izinlere sahip Mulesoft Anypoint Platform Hesabı
  2. İzlemek istediğiniz CloudHub ortamına Ortam Erişimi
  3. API Erişim Kimlik Bilgileri (kullanıcı adı ve şifre)
  4. Mulesoft CloudHub konsolunuzdan Ortam Kimliği

Çevre Kimliğinizi Bulmak

  1. Anypoint Platformuna Giriş
  2. Erişim Yönetim > Ortamlarına Gidin
  3. Hedef ortamınızı seçin
  4. Ortam Kimliği'ni URL veya ortam detaylarından kopyalayın

Not: Bu konnektör, CloudHub API'sine okuma erişimi gerektirir. Gerekli izinlere sahip değilseniz Mulesoft yöneticinizle iletişime geçin.

  • Veri Bağlayıcıları Kılavuzu (portalda yapılandır)

2. İzleyin ve Doğrulayın

Veri alımını izleyin ve bağlantıyı doğrulayın

Bağlantı Sonrası Adımlar

  1. Bağlantı Durumunu İzle: Veri konnektörleri sayfasında konnektör durumunu kontrol edin
  2. Validate Veri Akışı: Veri toplandığını doğrulamak için sağlanan örnek sorguları kullanın
  3. Review Logs: Azure İzleyici logs'ta bağlantı veya authentication sorunu olup olmadığını kontrol et

Veri Toplama Takvimi

  • Uyarılar: Uç noktadan /v2/alerts itibaren her 5 dakikada bir sorgulama yapılıyor

Beklenen Zaman Çizelgesi

  • İlk Veriler: İlk verilerin ortaya çıkması için 10-15 dakika bekleyin
  • Uyarı Verileri: Tabloda MuleSoftCloudhub mevcuttur

Troubleshooting

  • Kimlik doğrulama hataları: Kimlik bilgilerini ve ortam erişimini doğrulayın

  • Veri yok: Belirtilen ortamda uyarıların var olduğundan emin olun

  • Kısmi veri: Ortam kimliği ve uygulama filtre ayarlarını kontrol edin

    Not: Örnek Sorgu: MuleSoftCloudhub | where TimeGenerated > ago(24h) | summarize count() by EventSeverity



MuleSoft CloudHub Logları (Kodsuz Bağlantı Çerçevesi Üzerinden Push Connector)

Tarafından desteklenir:Microsoft Corporation

MuleSoft CloudHub, uygulama loglarını doğrudan MuleSoft CloudHub'dan Log4j HTTP eklentisi aracılığıyla almak için push-tabanlı bağlayıcı. Bu bağlayıcı, müşterilerin MuleSoft'un önerdiği gibi logları gerçek zamanlı akışına olanak tanır; böylece API hız sınırları ve tekrarlanan veri sorunları önlenir. MuleSoft uygulamalarınızı, verilen Log4j HTTP eklenti yapılandırmasıyla Microsoft Sentinel'e logları akış olarak yapılandırmak için yapılandırın.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
MuleSoftCloudhubLogs Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • Microsoft. Insights/dataCollectionEndpoints: Modern push connector'un harici güvenlik sisteminden veri alabilmesi için Veri Toplama Uç noktası gereklidir.
  • Microsoft. Insights/dataCollectionRules: Gelen veriler için şemayı ve dönüşümleri tanımlamak için Veri Toplama Kuralı gereklidir.
  • Microsoft. Yetkilendirme/RoleAssignments: Rol atama, Entra uygulamasına veri gönderme izinlerini vermek için gereklidir.

Kurulum Yönergeleri:

1. ARM Kaynakları Oluşturma ve Gerekli İzinleri Sağlama

Bu bağlayıcı, harici güvenlik sistemlerinden veri alır ve günlükleri Microsoft Sentinel'e gönderir. Harici sistem, ham olay verilerini Microsoft Sentinel Ingestion API'sine gönderecek şekilde yapılandırılmalıdır. Deploy tuşuna tıklamak, Log Analytics tablolarının ve bir Veri Toplama Kuralı (DCR) oluşturulmasını tetikler. Ardından bir Entra uygulaması oluşturur, DCR'yi buna bağlar ve uygulamaya girilen gizli diziyi ayarlar. Bu kurulum, verilerin Entra belirteci kullanılarak DCR'ye güvenli bir şekilde gönderilmesini sağlar.

Konnektör kurulum süreci hakkında daha fazla bilgi edinin

Azure Resource Deployment

Dağıtım süreci aşağıdaki kaynakları oluşturacaktır:

  • Log Analytics özel tablo(lar)
  • Veri Toplama Uç Noktası (DCE)
  • Veri Toplama Kuralı (DCR)
  • Entra ID Başvuru Kaydı
  • Veri alımı için rol atamaları

Yapılandırma Değerleri

Dağıtımdan sonra, harici güvenlik sisteminizi yapılandırmak için aşağıdaki değerleri kopyalayın:

  • Kiracı Kimliği (Dizin Kimliği): <Yükleme zamanında sağlanan değişken değeri>
  • Entra Uygulama Kaydı Uygulama Kimliği: <yükleme zamanında sağlanan değişken değeri>
  • Entra Uygulama Kaydı Gizli Anahtarı: <yükleme zamanında sağlanan değişken değeri>
  • Veri Toplama Uç Noktası URL'si: <kurulum zamanında sağlanan değişken değeri>
  • Veri Toplama Kuralı Sabit Kimliği: <yükleme zamanında sağlanan değişken değer>
  • Stream Name (MuleSoftCloudhubLogs):< kurulum zamanında sağlanan değişken değer>

Not: Bu değerleri güvenli tutun. Dış güvenlik sisteminizi yapılandırmak için onlara ihtiyacınız olacak.

2. Dış sisteminizi logları itecek şekilde yapılandırın

Aşağıdaki parametreleri kullanarak harici güvenlik sisteminizi logları çalışma alanına gönderecek şekilde yapılandırmak için kullanın.

Yapılandırma Adımları

  1. Dış güvenlik sisteminizin yapılandırma arayüzüne erişin.
  2. Veri yönlendirme, entegrasyon veya SIEM ayarlarına gidin.
  3. Destination olarak Azure İzleyici veya Microsoft Sentinel seçin.
  4. Doğrulama yöntemi olarak Veri Toplama Uç Noktası seçin.
  5. Önceki adımdaki değerlerle gerekli alanları yapılandırın:
    • Kiracı Kimliği: Yukarıdan kopya
    • Uygulama (İstemci) Kimliği: Yukarıdan kopyalayın
    • İstemci Gizri: Yukarıdan kopyalayın
    • Veri Toplama Uç Noktası: Yukarıdan kopyalayın
    • Veri Toplama Kuralı Değişmez ID: Yukarıdan kopyala
    • Akarsu Adı: Yukarıdan uygun akarsu adını kopyalayın
  6. Konfigürasyonu kaydedin ve yönlendiriciyi etkinleştirin/başlatın.

Validation

Not: Veriler, birkaç dakika içinde Log Analytics çalışma alanınızdaki MuleSoftCloudhubLogs tablosunda görünecektir.

Verilerin alındığını doğrulamak için, Log Analytics çalışma alanınızda aşağıdaki sorguyu çalıştırın:

MuleSoftCloudhubLogs
| where TimeGenerated > ago(1h)
| take 10

Troubleshooting

Veri görünmüyorsa:

  • Konfigürasyon değerlerinin doğru olduğundan emin olun
  • Yönlendirici/entegrasyonun etkin ve çalıştığını kontrol edin
  • Dış güvenlik sisteminizdeki kayıtları herhangi bir hata için inceleyin
  • Sisteminizden Azure'a ağ bağlantısını sağlayın
  • Entra uygulamasının doğru izinlere sahip olduğundan emin olun



NC Koruması

Tarafından desteklenir:archTIS

NC Koruma Veri Bağlayıcısı (archtis.com), kullanıcı etkinlik günlüklerini ve olaylarını Microsoft Sentinel alma özelliği sağlar. Bağlayıcı, izleme ve araştırma özelliklerini geliştirmek için kullanıcı etkinlik günlüklerini ve olaylarını Microsoft Sentinel NC Koruması'na görünürlük sağlar

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
NCProtectUAL_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

Kurulum Yönergeleri:

  1. Azure Kiracınıza NC Koruması yükleme
  2. NC Koruma Yönetimi sitesinde oturum açın
  3. Sol taraftaki gezinti menüsünden Genel -> Kullanıcı Etkinliği İzleme'yi seçin
  4. SIEM'yi Etkinleştir onay kutusunu işaretleyin ve Yapılandır düğmesine tıklayın
  5. Uygulama olarak Microsoft Sentinel seçin ve aşağıdaki bilgileri kullanarak yapılandırmayı tamamlayın
  6. Bağlantıyı etkinleştirmek için Kaydet'e tıklayın
  • Çalışma Alanı Kimliği: <Yükleme zamanında sağlanan değişken değeri>
  • Birincil Anahtar: <Yükleme zamanında sağlanan değişken değeri>



Netskope AI SecOps

Tarafından desteklenir:Netskope

Netskope AI SecOps bağlayıcısı, AI SecOps vaka ve risk puanlama olaylarını (vaka yaşam döngüsü, soruşturma zenginleştirmesi ve varlık risk puanı değişiklikleri) Codeless Connector Framework (CCF) Push pattern ve Azure İzleyici Logs Ingestion API'si kullanarak doğrudan Microsoft Sentinel'e gönderir. Olaylar tabloya yazılır NetskopeAISecOps_CL ; sütunu Data sorgu zamanında fonksiyonla NetskopeAISecOpsEvents ayrıştırın.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
NetskopeAISecOps_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • Microsoft Entra: Microsoft Entra ID'da uygulama kaydı oluşturma izni. Genellikle Entra Kimliği Uygulama Geliştirici rolü veya üzeri gerekir.
  • Microsoft Azure: Veri toplama kuralında (DCR) Monitoring Metrics Publisher rolünü atama izni. Genellikle Azure RBAC Sahibi veya Kullanıcı Erişimi Yöneticisi rolü gerektirir.
  • Netskope AI SecOps admin konsolu: Netskope kiracının AI SecOps ayarlarında giden bir olay hedefi yapılandırma izni.

Kurulum Yönergeleri:

1. ARM Kaynakları Oluşturma ve Gerekli İzinleri Sağlama

Bu bağlayıcı, Netskope kiracınızın AI SecOps modülünün, vaka ve risk puanlama olaylarını Azure İzleyici Logs Ingestion API üzerinden doğrudan Microsoft Sentinel'e göndermesini sağlar.

Entra uygulamasıyla otomatik yapılandırma ve güvenli veri alımı "Push connector resources" seçeneğine tıklamak, Log Analytics tablosunun oluşturulmasını ve veri toplama kuralı (DCR) ile veri toplama uç noktasının (DCE) oluşturulmasını NetskopeAISecOps_CL tetikler. Daha sonra Microsoft Entra uygulaması kaydı oluşturacak, DCR'yi ona bağlayacak ve uygulamada girilen sırrı ayarlıyor. Bu kurulum, Netskope'un bir Entra tokenı kullanarak AI SecOps olaylarını güvenli bir şekilde DCR'ye göndermesini sağlar.

2. Netskope AI SecOps yönetici konsolunda etkinlik hedefini yapılandırmak

Aşağıdaki değerleri Netskope AI SecOps admin konsolunda Microsoft Sentinel hedefi için Outbound webhook'a kopyalayın (Auth type: OAuth2 istemci credentials). Alanlar, webhook formuyla aynı sırayla listelenmiştir. Konsol adımları için Netskope Community rehberine bakabilirsiniz.

NOT: Token URL, bu çalışma alanının konuşlandırıldığı Azure bulutunun (ticari veya devlet) Microsoft Entra yetkisi için oluşturulur, bu yüzden tam olarak gösterildiği gibi kopyalayın.

  • Hedef URL (Veri Toplama Uç Noktası):< kurulum zamanında sağlanan değişken değer>
  • Token URL:< kurulum zamanında sağlanan değişken değer>
  • İstemci Kimliği (Entra Application ID): <kurulum zamanında sağlanan değişken değer>
  • İstemci sırrı (Entra uygulama gizli değeri): <kurulum zamanında sağlanan değişken değer>
  • Kapsam: <kurulum zamanında sağlanan değişken değer>
  • Kiracı Kimliği (Dizin Kimliği): <Yükleme zamanında sağlanan değişken değeri>
  • Veri Toplama Kuralı Sabit Kimliği: <yükleme zamanında sağlanan değişken değer>
  • Stream Adı: <yükleme zamanında sağlanan değişken değeri>



Netskope Uyarıları ve Olayları

Tarafından desteklenir:Netskope

Netskope Güvenlik Uyarıları ve Olayları

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
NetskopeAlerts_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Netskope kuruluş url'si: Netskope veri bağlayıcısı, kuruluşunuzun url'sini sağlamanızı gerektirir. Netskope portalında oturum açarak kuruluşunuzun url'sini bulabilirsiniz.
  • Netskope API anahtarı: Netskope veri bağlayıcısı geçerli bir API anahtarı sağlamanızı gerektirir. Netskope belgelerini izleyerek bir tane oluşturabilirsiniz.

Kurulum Yönergeleri:

ADIM 1 - Netskope API anahtarı oluşturun.

Bu adımla ilgili yönergeler için Netskope belgelerini izleyin.

ADIM 2 - Netskope ürün Ayrıntılarınızı girin

Netskope kuruluş url'nizi & API Belirtecinizi aşağıya girin:

  • Kuruluş Url'si: (Kuruluşunuzun url'sini girin)
  • API Anahtarı: (API Anahtarınızı Girin)

İSTEĞE BAĞLI: API'nin kullandığı Indeks'i belirtin.

Dizini yapılandırmak isteğe bağlıdır ve yalnızca gelişmiş senaryolarda gereklidir. Netskope olayları almak için bir dizin kullanır. Bazı gelişmiş durumlarda (olayı birden çok Microsoft Sentinel çalışma alanında kullanmak veya dizini yalnızca son verileri almak için önceden yönlendirmek), müşteri dizin üzerinde doğrudan denetim sahibi olmak isteyebilir.

  • Dizin: (NetskopeCCF)

3. ADIM - Bağlan'a tıklayın

Yukarıdaki tüm alanların doğru doldurulduğunu doğrulayın. Netskope'u Microsoft Sentinel bağlamak için Bağlan'a basın.

  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



Netskope Client Status

Tarafından desteklenir:Netskope

Netskope Client Status bağlayıcısı, Netskope istemci cihaz durum kayıtlarını (kurulum, bağlantı, sağlık ve son görülen duruş olayları) Codeless Connector Framework (CCF) REST API poller aracılığıyla Microsoft Sentinel'e alır. Veriler, Netskope API'si tarafından CSV olarak sunulur ve tabloda NetskopeClientStatus_CL depolanır. Sayım kodları orijinal sütunlarında korunur ve tüketilirken bitişik insan tarafından okunabilir *_name sütunlara çevrilir.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
NetskopeClientStatus_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • Netskope kuruluş url'si: Netskope veri bağlayıcısı, kuruluşunuzun url'sini sağlamanızı gerektirir. Netskope portalında oturum açarak kuruluşunuzun url'sini bulabilirsiniz.
  • Netskope API anahtarı: Netskope veri bağlayıcısı geçerli bir API anahtarı sağlamanızı gerektirir. Netskope belgelerini izleyerek bir tane oluşturabilirsiniz.
  • Netskope İstemci Durumu Yinelemecisi: Diğer Netskope Uyarıları ve Olayları veri türlerinden farklı olarak, İstemci Durumu yalnızca Netskope'un REST API v2 Management-API iterator uç noktaları aracılığıyla görünür. Bu veri türü için varsayılan veya otomatik oluşturulmuş bir indeks yoktur — bağlantı kurmadan önce yinelemeyi kendiniz oluşturmalısınız; Netskope yineleci uç noktaları dokümantasyonuna bakınız.

Kurulum Yönergeleri:

ADIM 1 - Netskope API anahtarı oluşturun.

Bu adımla ilgili yönergeler için Netskope belgelerini izleyin.

ADIM 2 - Bir İstemci Durumu Yinelemesi Oluştur

İstemci Durumu, diğer Netskope olay türlerinin kullandığı paylaşılan index= konvansiyonu desteklemez — Microsoft Sentinel'in bu veri tipi için özel bir yineleme oluşturmanız gerekir. Netskope REST API v2 iterator uç noktalarını kullanarak, Create Iterator API'yi bir kez çağırın (örneğin POST https://<your-org>/api/v2/dataexport/iterator/<a-name-you-choose>?eventtype=clientstatus API token'ınızla) ve kullandığınız iterator adını/kimliğini kaydedin — aşağıya gireceksiniz. Yineleyici yönetimi, anket yaptığınız olaylardan ayrı bir API yüzeyi olduğu için, bağlantılı Netskope dokümantasyonuna karşı tam istek şeklini doğrulayın.

ADIM 3 - Netskope ürününüzü Detaylar Girin

Netskope organizasyon URL'nizi, API Token'ınızı ve Step 2'de oluşturduğunuz İstemci Durum Iterator ID'nizi girin:

  • Kuruluş Url'si: (Kuruluşunuzun url'sini girin)
  • API Anahtarı: (API Anahtarınızı Girin)
  • İstemci Durum Iterator IDsi: (Step 2'de oluşturduğunuz iterator adını/ID'sini girin)

ADIM 4 - Bağla tıklayın

Yukarıdaki tüm alanların doğru doldurulduğunu doğrulayın. Netskope'u Microsoft Sentinel bağlamak için Bağlan'a basın.

  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



Netskope Veri Bağlayıcısı

Tarafından desteklenir:Netskope

Netskope veri bağlayıcısı aşağıdaki özellikleri sağlar:

  1. NetskopeToAzureStorage :
  • Netskope'dan Netskope Uyarıları ve Olayları verilerini alın ve Azure depolama alanına alın. 2. StorageToSentinel :
  • Azure depolama alanından Netskope Uyarıları ve Olayları verilerini alın ve Log Analytics çalışma alanında özel günlük tablosuna alın. 3. WebTxMetrics :
  • Netskope'dan WebTxMetrics verilerini alın ve Log Analytics çalışma alanında özel günlük tablosuna alın.

REST API'lerinin diğer ayrıntıları için aşağıdaki belgelere bakın:

  1. Netskope API belgeleri:

https://docs.netskope.com/en/netskope-help/admin-console/rest-api/rest-api-v2-overview-312207/2. Azure depolama belgeleri: /azure/storage/common/storage-introduction 3. Microsoft log analytics belgeleri: /azure/azure-monitor/logs/log-analytics-overview

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
alertscompromisedcredentialdata_CL Hayır Hayır
alertsctepdata_CL Hayır Hayır
alertsdlpdata_CL Hayır Hayır
alertsmalsitedata_CL Hayır Hayır
alertsmalwaredata_CL Hayır Hayır
alertspolicydata_CL Hayır Hayır
alertsquarantinedata_CL Hayır Hayır
alertsremediationdata_CL Hayır Hayır
alertssecurityassessmentdata_CL Hayır Hayır
alertsubadata_CL Hayır Hayır
eventsapplicationdata_CL Hayır Hayır
eventsauditdata_CL Hayır Hayır
eventsconnectiondata_CL Hayır Hayır
eventsincidentdata_CL Hayır Hayır
eventsnetworkdata_CL Hayır Hayır
eventspagedata_CL Hayır Hayır
Netskope_WebTx_metrics_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • Azure Aboneliği: Azure Bir uygulamayı azure active directory() hizmetine kaydetmek ve kaynak grubundaki uygulamaya katkıda bulunan rolü atamak için sahip rolüne sahip abonelik gereklidir.
  • Microsoft.Web/sites izinleri: İşlev Uygulaması oluşturmak için Azure İşlevleri okuma ve yazma izinleri gereklidir. Daha fazla bilgi için bkz. Azure İşlevleri.
  • REST API Kimlik Bilgileri/izinleri: Netskope Kiracısı ve Netskope API Belirteci gereklidir. Rest API başvurusunda API hakkında daha fazla bilgi edinmek için belgelere bakın

Kurulum Yönergeleri:

NOT: Bu bağlayıcı, Uyarılar ve Olaylar verilerini özel günlük tablosuna çekmek üzere Netskope API'lerine bağlanmak için Azure İşlevleri kullanır. Ayrıntılar için Azure İşlevleri fiyatlandırma sayfasına bakın.

(İsteğe Bağlı Adım) Çalışma alanını ve API yetkilendirme anahtarlarını veya belirteçlerini Azure Key Vault güvenli bir şekilde depolayın. Azure Key Vault, anahtar değerlerini depolamak ve almak için güvenli bir mekanizma sağlar. Azure İşlev Uygulaması ile Azure Key Vault kullanmak için bu yönergeleri izleyin.

ADIM 1 - Microsoft Entra ID'da Uygulama için Uygulama Kaydı adımları

Bu tümleştirme için Azure portal bir Uygulama kaydı gerekir. Microsoft Entra ID'da yeni uygulama oluşturmak için bu bölümdeki adımları izleyin:

  1. Azure portalda oturum açın.
  2. Microsoft Entra ID arayın ve seçin.
  3. Yönet'in altında Yeni kayıt'ı Uygulama kayıtları > seçin.
  4. Uygulamanız için bir görünen Ad girin.
  5. İlk uygulama kaydını tamamlamak için Kaydet'i seçin.
  6. Kayıt tamamlandığında, Azure portal uygulama kaydının Genel Bakış bölmesini görüntüler. Uygulama (istemci) kimliğini ve Kiracı Kimliğini görürsünüz. İstemci kimliği ve Kiracı Kimliği, TriggersSync playbook'unun yürütülmesi için yapılandırma parametreleri olarak gereklidir.

Başvuru bağlantısı:/azure/active-directory/develop/quickstart-register-app

ADIM 2 - Microsoft Entra ID'de uygulama için istemci gizli dizisi ekleme

Bazen uygulama parolası olarak adlandırılan istemci gizli dizisi, TriggersSync playbook'unun yürütülmesi için gereken bir dize değeridir. Yeni bir İstemci Gizli Anahtarı oluşturmak için bu bölümdeki adımları izleyin:

  1. Azure portal, Uygulama kayıtları uygulamanızı seçin.
  2. Sertifikalar & gizli diziler > İstemci gizli dizileri Yeni istemci gizli dizisi'ni >seçin.
  3. Gizli anahtarınız için bir açıklama ekleyin.
  4. Gizli dizi için bir süre sonu seçin veya özel bir yaşam süresi belirtin. Sınır 24 aydır.
  5. Ekle'yi seçin.
  6. Gizli anahtarın değerini istemci uygulama kodunuzda kullanmak üzere kaydedin. Bu gizli dizi değeri, siz bu sayfadan ayrıldıktan sonra bir daha görüntülenmez. Gizli dizi değeri, TriggersSync playbook'unun yürütülmesi için yapılandırma parametresi olarak gereklidir.

Başvuru bağlantısı:/azure/active-directory/develop/quickstart-register-app#add-a-client-secret

3. ADIM - Microsoft Entra ID'de uygulamaya Katkıda Bulunan rolü atama

Rolü atamak için bu bölümdeki adımları izleyin:

  1. Azure portal Kaynak Grubu'na gidin ve kaynak grubunuzu seçin.
  2. Sol panelden Erişim denetimine (IAM) gidin.
  3. Ekle'ye tıklayın ve rol ataması ekle'yi seçin.
  4. Rol olarak Katkıda Bulunan'ı seçin ve İleri'ye tıklayın.
  5. Erişim ata bölümünde öğesini seçinUser, group, or service principal.
  6. Üye ekle'ye tıklayın ve oluşturduğunuz uygulama adınızı yazın ve seçin.
  7. Şimdi Gözden Geçir + ata'ya tıklayın ve sonra yeniden Gözden Geçir + ata'ya tıklayın.

Başvuru bağlantısı:/azure/role-based-access-control/role-assignments-portal

ADIM 4 - Netskope hesabı için Kimlik Bilgileri oluşturma/alma adımları

Netskope Konak Adı ve Netskope API Belirteci oluşturmak/almak için bu bölümdeki adımları izleyin:

  1. Netskope Kiracınızda oturum açın ve sol gezinti çubuğundaki Ayarlar menüsüne gidin.
  2. Araçlar'a ve ardından REST API v2'ye tıklayın
  3. Şimdi yeni belirteç düğmesine tıklayın. Ardından belirteç adı, süre sonu süresi ve veri getirmek istediğiniz uç noktaları ister.
  4. Bu işlem tamamlandıktan sonra kaydet düğmesine tıklayın, belirteç oluşturulur. Belirteci kopyalayın ve daha fazla kullanım için güvenli bir yere kaydedin.

5. ADIM - Netskope Uyarıları ve Olay Verileri Toplama için azure işlevlerini oluşturma adımları

ÖNEMLİ: Netskope veri bağlayıcısını dağıtmadan önce, Çalışma Alanı Kimliği ve Çalışma Alanı Birincil Anahtarı'na (aşağıdakilerden kopyalanabilir) ve Netskope API Yetkilendirme Anahtarlarına sahip olun.

  • Çalışma Alanı Kimliği: <Yükleme zamanında sağlanan değişken değeri>
  • Birincil Anahtar: <Yükleme zamanında sağlanan değişken değeri>

ARM şablonunu kullanarak Netskope olaylarının ve uyarı verilerinin Sentinel alımı için işlev uygulamalarını dağıtın.

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.ms

  2. Tercih edilen Abonelik, Kaynak Grubu ve Konum'a tıklayın.

  3. Aşağıdaki bilgileri girin: Netskope HostName Netskope API Belirteci Uyarıları ve Olay Düzeyi Çalışma Alanı Kimliği Çalışma Alanı Anahtarı'nı getirmek istediğiniz uç nokta için Uyarılar ve Olaylar türleri açılan listesinde Evet'i seçin

  4. Gözden Geçir+Oluştur'a tıklayın.

  5. Doğrulamadan sonra dağıtmak için Oluştur'a tıklayın.



Netskope Web İşlemleri (Blob Depolama vasite)

Tarafından desteklenir:Netskope

Netskope Web İşlemleri veri bağlayıcısı, Netskope Log Streaming (NLS) özelliği kullanılarak Netskope'dan web işlem günlüklerinin Microsoft Sentinel'e aktarılmasını sağlar. Web işlem kayıtları, Netskope tarafından işlenen tüm web trafiğine ayrıntılı görünürlük sağlar; kullanıcı etkinliği, uygulama kullanımı, URL kategorileri, politika eylemleri ve ağ meta verileri dahil.

Bu bağlayıcı, Netskope'un depolama hesabınıza aktığı logları almak için Azure Blob Depolama ve Event Grid kullanıyor.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
NetskopeWebTransactions_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Abonelik izinleri: Veri akışı kaynaklarını oluşturmak için izinlere ihtiyacınız vardır:
  • Depolama kuyrukları (bildirim kuyruğu ve ölü mektup kuyruru)
  • Event Grid konusu ve abonelik ('blob created event' bildirimleri göndermek için)
  • Role assignments (Microsoft Sentinel uygulamasının blob konteyner ve storage queue'larına erişim vermesi için)
  • Netskope Log Streaming Yapılandırması: Netskope Log Streaming (NLS) Web İşlem günlüklerini Azure Blob Depolama konteynerinize gönderecek şekilde yapılandırın. Kurulum talimatları için Netskope NLS dokümantasyonunu takip edin.

Kurulum Yönergeleri:

Netskope Web İşlem Loglarını Microsoft Sentinel'e Bağla

Microsoft Sentinel için Netskope Web İşlem Günlüklerini etkinleştirmek için, aşağıda gerekli bilgileri girin ve Connect'e tıklayın.

Prerequisites:

  1. Configure Netskope NLS to send Web Transaction logs to an Azure Blob Depolama container
  2. Depolama hesabında gerekli izinlere sahip olduğundan emin olun
  • Blob Container URLsi:
  • Blob Klasör Adı (İsteğe Bağlı): (Loglar konteyner kökündeyse boş bırakın)
  • Depolama Hesabı Konumu: (örneğin, eastus)
  • Depolama Hesabı Kaynak Grubu Adı:
  • Depolama Hesabı Abonelik Kimliği:
  • Olay Grid Konu Adı (varsa): (Yeni konu oluşturmak için boş bırakın)
  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



Ağ Güvenlik Grupları

Tarafından desteklenir:Microsoft Corporation

Azure ağ güvenlik grupları (NSG), Azure bir sanal ağdaki Azure kaynaklardan gelen ve gelen ağ trafiğini filtrelemenize olanak tanır. Ağ güvenlik grubu, bir sanal ağ alt ağına, ağ arabirimine veya her ikisine yönelik trafiğe izin veren veya trafiği reddeden kurallar içerir.

NSG için günlüğe kaydetmeyi etkinleştirdiğinizde, aşağıdaki türlerdeki kaynak günlüğü bilgilerini toplayabilirsiniz:

  • Olay: NSG kurallarının MAC adresine göre VM'lere uygulandığı girişler günlüğe kaydedilir.
  • Kural sayacı: Trafiği reddetmek veya trafiğe izin vermek için her NSG kuralının kaç kez uygulandığına ilişkin girdiler içerir. Bu kuralların durumu her 300 saniyede bir toplanır.

Bu bağlayıcı, NSG tanılama günlüklerinizi Microsoft Sentinel akışla aktarmanıza olanak tanıyarak tüm örneklerinizdeki etkinlikleri sürekli olarak izlemenizi sağlar. Daha fazla bilgi için Microsoft Sentinel belgelerine bakın.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
AzureDiagnostics Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

NordPass

Tarafından desteklenir:NordPass

NordPass'ı API aracılığıyla Microsoft Sentinel SIEM ile tümleştirmek, Etkinlik Günlüğü verilerini NordPass'tan Microsoft Sentinel'a otomatik olarak aktarmanıza ve öğe etkinliği, tüm oturum açma girişimleri ve güvenlik bildirimleri gibi gerçek zamanlı içgörüler elde etmenize olanak sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
NordPassEventLogs_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Azure İşlevleri dağıtabilmeniz için kaynak grubunun ve Log Analytics çalışma alanının oluşturulduğundan ve aynı bölgede bulunduğundan emin olun.
  • Oluşturulan Log Analytics çalışma alanına Microsoft Sentinel ekleyin.
  • Azure İşlevleri tümleştirmesini tamamlamak için NordPass Yönetici Paneli'nde bir Microsoft Sentinel API URL'si ve belirteci oluşturun. Bunun için NordPass Enterprise hesabına ihtiyacınız olduğunu lütfen unutmayın.
  • Önemli: Bu bağlayıcı, Etkinlik Günlüklerini NordPass'tan Microsoft Sentinel almak için Azure İşlevleri kullanır. Bu, ek veri alımı maliyetlerine neden olabilir. Daha fazla bilgi için Azure İşlevleri fiyatlandırma sayfasına bakın.

Kurulum Yönergeleri:

Microsoft Sentinel kurulumuna devam etmek için

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.ms

  2. Başarılı dağıtımdan sonra sistemin etkinlik günlüğü verilerini varsayılan olarak her 1 dakikada bir çektiğini lütfen unutmayın.



NordStellar (İtme)

Tarafından desteklenir:NordStellar

NordStellar bağlayıcısı, Kodsuz Bağlayıcı Çerçevesi (CCF) Anında İletme desenini kullanarak NordStellar platformundan gerçek zamanlı tehdit bilgileri ve pozlama olaylarını Microsoft Sentinel iter. Tüm olay türleri, DCR'nin KQL dönüşümü ile çıkarılan ortak sütunlar (EventTime, EventId, EventType, TagsModuleAssetTypeRiskLevelAssetValue) ile tek bir birleşik NordStellar_CL tabloya yönlendirilir; tipe özgü yük ise dinamik Details bir sütunda korunur.

Desteklenen olay türleri:

  • Sızdırılan Veriler (module: LEAKED_DATA): DATA_BREACH, COMBO_LIST, MALWARE_INFECTION, CONSUMER_CREDENTIAL
  • Koyu Web İzleme (module: DARK_WEB_MONITORING): DARK_WEB_FORUM_POST, DARK_WEB_TELEGRAM_POST, DARK_WEB_RANSOMWARE_POST, DARK_WEB_MARKETPLACE_POST
  • Etki Alanı Çömelme (module: DOMAIN_SQUATTING): DOMAIN_PERMUTATION
  • Saldırı Surface (module: ATTACK_SURFACE): ATTACK_SURFACE_WEB_APPLICATION_VULNERABILITY, ATTACK_SURFACE_NETWORK_SERVICE_VULNERABILITY,ATTACK_SURFACE_DNS_VULNERABILITY

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
NordStellar_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Microsoft Entra: Microsoft Entra ID'da uygulama kaydı oluşturma izni. Genellikle Entra Kimliği Uygulama Geliştirici rolü veya üzeri gerekir.
  • Microsoft Azure: Veri toplama kuralında (DCR) İzleme Ölçümleri Yayımcısı rolü atama izni. Genellikle Azure RBAC Sahibi veya Kullanıcı Erişimi Yöneticisi rolü gerektirir.
  • NordStellar: Tümleştirme için giden web kancalarını yapılandırma iznine sahip Active NordStellar kiracısı.

Kurulum Yönergeleri:

1. Bağlayıcı kaynaklarını dağıtma

Bu bağlayıcı, NordStellar'ın gerçek zamanlı tehdit bilgileri ve açığa çıkarma olaylarını doğrudan Azure İzleyici Alım API'sini kullanarak Microsoft Sentinel göndermesini sağlar.

Otomatik yapılandırma Dağıt'a tıklanması şunları oluşturur:

  • Özel Log Analytics tablosuNordStellar_CL
  • Tek bir akış Custom-NordStellar ve ortak alanları yükselten ve içindeki türe özgü yükü koruyan bir KQL dönüşümüne sahip veri toplama kuralı (DCR) Details
  • Veri Alımı için kullanılan Veri Toplama Uç Noktası (DCE)
  • OAuth 2.0 istemci kimlik bilgilerine sahip bir Microsoft Entra uygulaması
  • DCR'de gerekli Monitoring Metrics Publisher rol ataması

Daha sonra aşağıda döndürülen kimlik bilgileri NordStellar portalında yapılandırılır ve böylece olaylar güvenli bir şekilde gönderilebilir.

2. NordStellar'ı yapılandırma

NordStellar portalında Microsoft Sentinel tümleştirmesini yapılandırmak için aşağıdaki parametreleri kullanın.

  • Kiracı Kimliği (Dizin Kimliği): <Yükleme zamanında sağlanan değişken değeri>
  • Uygulama (İstemci) Kimliği: <Yükleme zamanında sağlanan değişken değeri>
  • İstemci Gizli Anahtarı: <yükleme zamanında sağlanan değişken değeri>
  • Veri Toplama Uç Noktası URI'si: <yükleme zamanında sağlanan değişken değeri>
  • Veri Toplama Kuralı Sabit Kimliği: <yükleme zamanında sağlanan değişken değer>
  • Akış Adı: <Yükleme zamanında> sağlanan değişken değeri Telli zarf NordStellar, kapsamı {DCE URI}/dataCollectionRules/{DCR Immutable ID}/streams/Custom-NordStellar?api-version=2023-01-01için bir OAuth taşıyıcı belirteci ile bir JSON dizisiNIN https://monitor.azure.com//.default POST'unu göndermelidir.

Her öğe, özgün web kancası olayını ince bir zarf içinde sarmalar:

[
  {
    "time": "2026-04-27T10:30:00Z",
    "event": {
      "id": "...",
      "type": "DATA_BREACH",
      "module": "LEAKED_DATA",
      "risk_level": "HIGH",
      "date_added": "...",
      "tags": ["NAME"],
      "asset": { "type": "EMAIL", "value": "user@company.com" }
    }
  }
]

DCR'nin KQL dönüşümü, , type, risk_levelmoduleasset.valueasset_valueasset.type/source_type/, ve tags ve tipli sütunlara dönüştürür.id TimeGenerated Tarihsel olayların tutma kontrolüyle asla düşürülmemesi için alım zamanına ayarlanmıştır, oysa orijinal olay zaman damgası (detected_at saldırı yüzeyi/alan alanı permütasyonu için) date_added korunur EventTime. Diğer her şey dinamik Details sütunda korunur.

3. Veri alımını doğrulama

Olayların NordStellar'dan Sentinel'e aktığını doğrulayın.

Tümleştirmeyi etkinleştirdikten sonra 5-10 dakika bekleyin, ardından bu KQL sorgusunu Microsoft Sentinel çalışma alanınızda çalıştırın:

NordStellar_CL
| where TimeGenerated > ago(1h)
| summarize count() by EventType, Module
| order by count_ desc

15 dakika sonra hiçbir veri görünmüyorsa NordStellar portalında kimlik bilgilerini doğrulayın ve DCR'de veri alımı hataları için Azure İzleyici denetleyin.



Obsidian Veri Paylaşım Bağlantısı

Tarafından desteklenir:Obsidian Security

Obsidian Datasharing bağlayıcısı, Microsoft Sentinel'da Obsidian Datasharing'den ham olay verilerini okuma özelliği sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
ObsidianActivity_CL Hayır Hayır
ObsidianThreat_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • Microsoft Entra: Microsoft Entra ID'da uygulama kaydı oluşturma izni. Genellikle Entra Kimliği Uygulama Geliştirici rolü veya üzeri gerekir.
  • Microsoft Azure: Veri toplama kuralında (DCR) İzleme Ölçümleri Yayımcısı rolü atama izni. Genellikle Azure RBAC Sahibi veya Kullanıcı Erişimi Yöneticisi rolü gerektirir

Kurulum Yönergeleri:

1. ARM Kaynakları Oluşturma ve Gerekli İzinleri Sağlama

Bu bağlayıcı, Obsidian Datasharing'in Microsoft Analytics Çalışma Alanında kullandığı tablolardaki verileri okur. Obsidian Datasharing'de veri iletme seçeneği etkinleştirildiyse ham olay verileri Microsoft Sentinel Alma API'sine gönderilir.

Entra Uygulaması ile Otomatik Yapılandırma ve Güvenli Veri Alımı "Dağıt" seçeneğine tıklanması Log Analytics tablolarının ve veri toplama kuralının (DCR) oluşturulmasını tetikler. Ardından bir Entra uygulaması oluşturur, DCR'yi buna bağlar ve uygulamaya girilen gizli diziyi ayarlar. Bu kurulum, verilerin Entra belirteci kullanılarak DCR'ye güvenli bir şekilde gönderilmesini sağlar.

2. Günlüklerinizi çalışma alanına gönderme

Makinenizi günlükleri çalışma alanına gönderecek şekilde yapılandırmak için aşağıdaki parametreleri kullanın.

  • Kiracı Kimliği (Dizin Kimliği): <Yükleme zamanında sağlanan değişken değeri>
  • Entra Uygulama Kaydı Uygulama Kimliği: <yükleme zamanında sağlanan değişken değeri>
  • Entra Uygulama Kaydı Gizli Anahtarı: <yükleme zamanında sağlanan değişken değeri>
  • Veri Toplama Uç Noktası Uri'si: <yükleme zamanında sağlanan değişken değeri>
  • Veri Toplama Kuralı Sabit Kimliği: <yükleme zamanında sağlanan değişken değer>
  • Etkinlik Stream Adı: <yükleme zamanında sağlanan değişken değeri>
  • Tehdit Stream Adı: <yükleme zamanında sağlanan değişken değeri>



Okta Tek Sign-On (Kodsuz Bağlayıcı Çerçevesi aracılığıyla)

Tarafından desteklenir:Microsoft Corporation

Okta Tek Sign-On (SSO) veri bağlayıcısı, Denetim ve olay günlüklerini Okta Sysem Günlük API'sinden Microsoft Sentinel alma özelliği sağlar. Veri bağlayıcısı Microsoft Sentinel Kodsuz Bağlayıcı Çerçevesi'ni kullanır ve olayları getirmek için Okta Sistem Günlüğü API'sini kullanır. Bağlayıcı, alınan güvenlik olayı verilerini özel sütunlar halinde ayrıştıran DCR tabanlı alma süresi dönüştürmelerini destekler, böylece sorguların yeniden ayrıştırması gerekmez ve böylece daha iyi performans elde edilir.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
OktaSSO Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • Okta API Belirteci: Okta API belirteci. Okta Sistem Günlüğü API'si hakkında daha fazla bilgi edinmek için belgelere bakın oluşturmak için aşağıdaki yönergeleri izleyin.

Kurulum Yönergeleri:

Microsoft Sentinel için Okta Tek Sign-On etkinleştirmek için aşağıdaki gerekli bilgileri sağlayın ve Bağlan'a tıklayın.

  • Veri Bağlayıcıları Kılavuzu (portalda yapılandır)



Onapsis Defend: Intel & Eşleşmeyen SAP Tehdit Algılamayı Microsoft Sentinel Ile Tümleştirme

Tarafından desteklenir:Onapsis

Benzersiz açıklara, sıfır güne ve tehdit aktörü etkinliğine derin görünürlükle güvenlik ekiplerini güçlendirin; şüpheli kullanıcı veya insider davranışı; hassas veri indirmeleri; güvenlik denetimi ihlalleri; ve daha fazlası - hepsi Onapsis'teki SAP uzmanları tarafından zenginleştirilmiş.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
Onapsis_Defend_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Microsoft Entra: Microsoft Entra ID'da uygulama kaydı oluşturma izni. Genellikle Entra Kimliği Uygulama Geliştirici rolü veya üzeri gerekir.
  • Microsoft Azure: Veri toplama kurallarında İzleme Ölçümleri Yayımcısı rolü atama izni. Genellikle Azure RBAC Sahibi veya Kullanıcı Erişimi Yöneticisi rolü gerektirir.

Kurulum Yönergeleri:

1. ARM Kaynakları Oluşturma ve Gerekli İzinleri Sağlama

Veri toplama kuralı (DCR) ve veri toplama uç noktası (DCE) kaynakları oluşturacağız. Ayrıca bir Microsoft Entra uygulama kaydı oluşturacak ve gerekli izinleri ona atayacağız.

Azure kaynaklarının otomatik dağıtımı "Anında iletme bağlayıcısı kaynaklarını dağıt" seçeneğine tıklanması DCR ve DCE kaynaklarının oluşturulmasını tetikler. Ardından istemci gizli anahtarıyla bir Microsoft Entra uygulama kaydı oluşturur ve DCR üzerinde izinler verir. Bu kurulum, verilerin OAuth v2 istemci kimlik bilgileri kullanılarak DCR'ye güvenli bir şekilde gönderilmesini sağlar.

2. Onapsis Savunma Tümleştirmesi'nde veri toplama uç noktası ayrıntılarını ve kimlik doğrulama bilgilerini koruyun

Veri toplama uç noktası URL'sini ve kimlik doğrulama bilgilerini Onapsis Defend Tümleştirme yöneticisiyle paylaşarak Onapsis Savunma Tümleştirmesini veri toplama uç noktasına veri gönderecek şekilde yapılandırın.

  • Kiracı Kimliği | Kiracı Kimliği:< yükleme zamanında sağlanan değişken değeri olarak yapılandırmak için bu değeri kullanın>
  • Entra Uygulama Kimliği | İstemci Kimliği<: yükleme zamanında sağlanan değişken değeri için bu değeri kullanın>
  • Entra Uygulama Gizli Dizisi | Belirteç için bu değeri kullanın: <yükleme zamanında sağlanan değişken değeri>
  • LogIngestionURL | URL parametresi için şu değeri kullanın: <yükleme zamanında sağlanan değişken değeri>
  • DCR Sabit Kimliği | DCR_ID parametresi için bu değeri kullanın: <yükleme zamanında sağlanan değişken değeri>



OneLogin IAM Platformu (Kodsuz Bağlayıcı Çerçevesi aracılığıyla)

Tarafından desteklenir:Microsoft Corporation

OneLogin veri bağlayıcısı, OneLogin Olayları API'sini ve OneLogin Kullanıcıları API'sini kullanarak yaygın OneLogin IAM Platformu olaylarını REST API aracılığıyla Microsoft Sentinel alma özelliği sağlar. Bağlayıcı olası güvenlik risklerini değerlendirmek, işbirliğini izlemek ve yapılandırma sorunlarını tanılamak ve gidermek için olay alma olanağı sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
OneLoginEventsV2_CL Evet Evet
OneLoginUsersV2_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • OneLogin IAM API Kimlik Bilgileri: API Kimlik Bilgileri oluşturmak için burada sağlanan belge bağlantısını izleyin, Buraya tıklayın. API kimlik bilgilerini oluşturmak için hesap sahibi veya yönetici hesap türüne sahip olduğundan emin olun. API Kimlik Bilgilerini oluşturduktan sonra İstemci Kimliğinizi ve gizli anahtarınızı alırsınız.

Kurulum Yönergeleri:

OneLogin IAM Platform'u Microsoft Sentinel bağlama

OneLogin IAM'den Microsoft Sentinel veri almak için, aşağıdaki Etki Alanı Ekle düğmesine tıklamanız ve ardından ayrıntıları doldurmak için bir açılır pencere almanız, gerekli bilgileri sağlamanız ve Bağlan'a tıklamanız gerekir. Kılavuzda bağlı etki alanı uç noktalarını görebilirsiniz.

  • Veri Bağlayıcıları Kılavuzu (portalda yapılandır)



OneTrust

Tarafından desteklenir:OneTrust, LLC

Microsoft Sentinel için OneTrust bağlayıcısı, hassas verilerin Google Cloud ve oneTrust tarafından desteklenen diğer veri kaynakları genelinde nerede bulunduğuna veya düzeltildiğine ilişkin neredeyse gerçek zamanlı görünürlüğe sahip olma özelliği sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
OneTrustMetadataV3_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Microsoft Entra: Microsoft Entra ID'da uygulama kaydı oluşturma izni. Genellikle Entra Kimliği Uygulama Geliştirici rolü veya üzeri gerekir.
  • Microsoft Azure: Veri toplama kuralında (DCR) İzleme Ölçümleri Yayımcısı rolü atama izni. Genellikle Azure RBAC Sahibi veya Kullanıcı Erişimi Yöneticisi rolü gerektirir

Kurulum Yönergeleri:

1. ARM Kaynakları Oluşturma ve Gerekli İzinleri Sağlama

Bu bağlayıcı, OneTrust'ın Microsoft Analytics Çalışma Alanı'nda kullandığı tablolardaki verileri okur. OneTrust'ın veri iletme seçeneği etkinse ham olay verileri Microsoft Sentinel Alma API'sine gönderilebilir.

Entra Uygulaması ile Otomatik Yapılandırma ve Güvenli Veri Alımı "Dağıt" seçeneğine tıklanması Log Analytics tablolarının ve veri toplama kuralının (DCR) oluşturulmasını tetikler. Ardından bir Entra uygulaması oluşturur, DCR'yi buna bağlar ve uygulamaya girilen gizli diziyi ayarlar. Bu kurulum, verilerin Entra belirteci kullanılarak DCR'ye güvenli bir şekilde gönderilmesini sağlar.

2. Günlüklerinizi çalışma alanına gönderme

Makinenizi günlükleri çalışma alanına gönderecek şekilde yapılandırmak için aşağıdaki parametreleri kullanın.

  • Kiracı Kimliği (Dizin Kimliği): <Yükleme zamanında sağlanan değişken değeri>
  • Entra Uygulama Kaydı Uygulama Kimliği: <yükleme zamanında sağlanan değişken değeri>
  • Entra Uygulama Kaydı Gizli Anahtarı: <yükleme zamanında sağlanan değişken değeri>
  • Veri Toplama Uç Noktası Uri'si: <yükleme zamanında sağlanan değişken değeri>
  • Veri Toplama Kuralı Sabit Kimliği: <yükleme zamanında sağlanan değişken değer>
  • OneTrust Metadata Stream Name: <yükleme zamanında sağlanan değişken değeri>



OpenAI (Kodsuz Bağlayıcı Çerçevesi aracılığıyla)

Tarafından desteklenir:Microsoft Corporation

OpenAI veri bağlayıcısı denetim günlüklerini, sohbet tamamlama verilerini veya her ikisini de OpenAI kuruluşunuzdan OpenAI API'sini kullanarak Microsoft Sentinel almanızı sağlar. Her veri türü ayrı bir REST API poller kullanır ve farklı bir API anahtar türü gerektirir: denetim günlükleri (kullanıcı eylemleri, API anahtar yönetimi, kuruluş değişiklikleri, güvenlik olayları) kuruluş düzeyinde bir yönetici API anahtarı gerektirirken, sohbet tamamlamaları (model kullanımı, belirteç tüketimi, performans ölçümleri) proje düzeyinde bir API anahtarı gerektirir. Bir veya her iki veri türünü bağımsız olarak yapılandırabilirsiniz. Denetim günlükleri özel OpenAIAuditLogs_CL tablosuna toplanır (OpenAIAuditLogs ayrıştırıcısı tarafından diğer ad kullanılır). Sohbet tamamlamaları, güvenlik izleme, uyumluluk analizi ve kullanım izleme için ASimAgentEventLogs standart ASIM tablosuna (OpenAIChatCompletions ayrıştırıcısı tarafından diğer adıyla) normalleştirilir. Daha fazla bilgi için OpenAI API belgelerine bakın.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
OpenAIAuditLogs Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • OpenAI API erişimi: Her veri türü farklı bir API anahtar türü gerektirir. Denetim günlükleri için kuruluş düzeyinde yönetici API anahtarı gereklidir; bunlar OpenAI kuruluş ayarlarınızda oluşturulabilir. Sohbet tamamlamaları için proje düzeyinde bir API anahtarı gereklidir; bunlar OpenAI panosundaki belirli bir proje altında oluşturulabilir. Denetim günlüklerini, sohbet tamamlamalarını veya her ikisini de bağımsız olarak yapılandırabilirsiniz.

Kurulum Yönergeleri:

Bağlantı Bilgileri

OpenAI'nin API'sinden veri toplamak için kullanılan bağlantılarla ilgili ayrıntılar.

  • Denetim Günlükleri (OpenAIAuditLogs):
  • Kuruluş düzeyinde yönetici API anahtarlarını kullanın.
  • OpenAI kuruluş ayarlarınızda denetim günlüğü etkinleştirilmelidir. Kuruluş sahipleri, denetim günlüğünü etkinleştirmek için OpenAI'lere Organization settings>Data controls>Data retention gidebilir.
  • OpenAI denetim günlüğü etkinleştirildikten sonra OpenAI desteğine başvurmadan devre dışı bırakılamaz.
  • Sohbet Tamamlamaları (ASimAgentEventLogs):
  • Proje düzeyinde API anahtarlarını kullanın.
  • Yalnızca parametresi ayarlanmış store şekilde oluşturulan true sohbet tamamlamaları toplanır.
  • Sohbet tamamlamaları ASimAgentEventLogs ASIM standart tablosunda normalleştirilir.
  • Bu bağlayıcı etkinken depolanan sohbet tamamlamalarını silmek, veri toplama durumunu sıfırlamak için bağlantıyı kesmenizi ve yeniden bağlanmanızı gerektirebilir.

OpenAI Denetim Günlükleri Bağlantısı Ekle

OpenAI API'sinden denetim günlükleri verilerini toplamak için OpenAI API kimlik bilgilerinizi girin.

OpenAI Sohbet Tamamlamaları Bağlantısı Ekle

OpenAI API'sinden sohbet tamamlama verilerini toplamak için OpenAI API kimlik bilgilerinizi girin.

  • Veri Bağlayıcıları Kılavuzu (portalda yapılandır)



Oracle Bulut Altyapısı (Kodsuz Bağlayıcı Çerçevesi aracılığıyla)

Tarafından desteklenir:Microsoft Corporation

Oracle Bulut Altyapısı (OCI) veri bağlayıcısı, OCI Akış REST API'sini kullanarak OCI günlüklerini OCI Stream'den Microsoft Sentinel alma özelliği sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
OCI_LogsV2_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • OCI Akış API'sine erişim: BIR API İmzalama Anahtarları aracılığıyla OCI Akış API'sine erişim gereklidir.
  • OCI IAM Politikası: API imzalama anahtarıyla ilişkili OCI kullanıcısının OCI Akışından veri tüketmek için yeterli IAM iznine sahip olması gerekir. API anahtarı yalnızca kimlik doğrulama sağlar; Yetkilendirme için IAM politikası gereklidir. En azından, yapılandırın: Grup <grubu adının> bölme <>bölümünde akış-pull kullanmasına izin verin.

Kurulum Yönergeleri:

Microsoft Sentinel'da Olay günlüklerini toplamaya başlamak için OCI Akış API'sine bağlanma

  1. OCI konsolunda oturum açın ve gezinti menüsüne erişin.
  2. Gezinti menüsünde "Analytics & AI" -> "Streaming" seçeneğine gidin.
  3. "Stream Oluştur"a tıklayın.
  4. Mevcut bir "Stream Havuzu" seçin veya yeni bir havuz oluşturun.
  5. Aşağıdaki ayrıntıları girin:
    • "Stream Adı"
    • "Bekletme"
    • "Bölüm Sayısı"
    • "Toplam Yazma Hızı"
    • "Toplam Okuma Hızı" (veri hacminize göre)
  6. Gezinti menüsünde "Günlük" -> "Hizmet Bağlayıcıları" seçeneğine gidin.
  7. "Hizmet Bağlayıcısı Oluştur"a tıklayın.
  8. Aşağıdaki ayrıntıları girin:
    • "Bağlayıcı Adı"
    • "Açıklama"
    • "Kaynak Bölmesi"
  9. "Kaynak": "Günlük" öğesini seçin.
  10. "Hedef": "Akış"ı seçin.
  11. (İsteğe bağlı) Yalnızca gerekli günlüklerin akışını yapmak için "Günlük Grubu", "Filtreler" yapılandırın veya bir "özel arama sorgusu" kullanın.
  12. Daha önce oluşturulan akışı seçerek "Hedef" öğesini yapılandırın.
  13. "Oluştur"a tıklayın.
  14. Özel Anahtar ve API Anahtarı Yapılandırma Dosyası oluşturmak için belgeleri izleyin. Pem Dosyasını kaydedin, tümceciği geçirin (İsteğe bağlı, API imzalama anahtarı çiftini oluşturmak için OCI konsolu kullanılırken ayarlanmaz) ve bağlanırken kullanmak üzere güvenli bir yerde parmak izi.
  • Veri Bağlayıcıları Kılavuzu (portalda yapılandır)



Orca Güvenlik Uyarıları

Tarafından desteklenir:Orca Güvenliği

Orca Güvenlik Uyarıları bağlayıcısı, Uyarı günlüklerini kolayca Microsoft Sentinel dışarı aktarmanıza olanak tanır.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
OrcaAlerts_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Kurulum Yönergeleri:

Orca Güvenlik Uyarıları günlüklerini Microsoft Sentinel ile tümleştirme yönergelerini izleyin.

  • Çalışma Alanı Kimliği: <Yükleme zamanında sağlanan değişken değeri>
  • Birincil Anahtar: <Yükleme zamanında sağlanan değişken değeri>



Orca Güvenlik Uyarıları (Microsoft Entra ID vasite)

Tarafından desteklenir:Orca Güvenliği

Orca Güvenlik Uyarıları bağlayıcısı, Orca bulut güvenlik uyarılarını Microsoft Sentinel'e aktarmanızı sağlar. Orca, bir Microsoft Entra ID uygulaması kullanarak bir Veri Toplama Uç noktasının Logs Ingestion API'sine uyarılar gönderir ve eski Log Analytics Shared Key doğrulamasının yerini alır.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
OrcaAlerts_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Microsoft Entra ID: Microsoft Entra ID'de uygulama kaydı oluşturma izni (otomatik oluşturulan uygulama kullanılıyorsa). Genellikle Uygulama Geliştiricisi rolü veya daha üzerini gerektirir.
  • Microsoft Azure: Azure kaynaklarını (DCE, DCR, tablo) oluşturma ve yapılandırma ile RBAC rollerini atama izni. Genellikle Katkıda Bulunan ve Kullanıcı Erişim Yöneticisi rolleri gerektirir.
  • Orca Güvenliği: Microsoft Sentinel entegrasyonunu yapılandırmak için Orca Güvenlik platformuna erişim.

Kurulum Yönergeleri:

1. Bağlayıcı kaynaklarını dağıtma

Microsoft Entra ID doğrulaması kullanarak Logs Ingestion API üzerinden Orca Güvenlik uyarılarını almak için gereken Azure kaynaklarını dağıtın.

Dağıtım seçeneğinizi belirtin

Orca Security Alerts Connector'u Dağıt tuşuna tıklamak otomatik olarak şunları oluşturur:

  • Veri Toplama Uç Noktası (DCE)
  • Orca uyarı akışıyla birlikte Veri Toplama Kuralı (DCR)
  • Log Analytics masa (OrcaAlerts_CL)
  • Bir istemci sırrına sahip bir Microsoft Entra uygulaması
  • DCR'deki rol ataması (Monitoring Metrics Publisher)

Dağıtımdan sonra: Kiracı Kimliği, İstemci Kimliği, İstemci Gizliliği, DCE URI ve DCR Değiştirilmeyen Kimliği otomatik olarak aşağıda doldurulur ve Orca platformuna kopyalayıp yapıştırılır.

Seçenek B: Önceden var olan bir Microsoft Entra uygulamasını (BYOA) kullanmak

Orca Security Alerts Connector'u Dağıt tuşuna tıklanınca, DCE, DCR ve tablo ile göz ardı edebileceğiniz bir Entra uygulaması oluşturulur. Gerekli ek adımlar:

  1. Mevcut Entra uygulamanızın hizmet prensibine, oluşturulan DCR'da Monitoring Metrics Publisher rolünü atayın.
  2. Kendi uygulamanızın İsteci Kimliği ve Müşteri Sırrını kullanın (aşağıda otomatik oluşturulanları görmezden gelin).
  3. Aşağıdan DCE URI, DCR Değişmez ID ve Akış Adını kullanın.

Başlamak için Dağıt'a tıklayın:

2. Orca Güvenlik entegrasyonunu yapılandırın

Aşağıdaki değerleri Orca Security platformundaki Microsoft Sentinel entegrasyon ayarlarına kopyalayın.

Seçenek A (otomatik oluşturulan uygulama) için: aşağıdaki otomatik doldurulan tüm değerleri kullanın. Seçenek B için (önceden var olan uygulama): Aşağıdaki DCE URI, DCR Immutable ID ve Stream Name'yi kullanın, ancak kendi uygulamanızın Kiracı Kimliği, İstemci ID'si ve Client Secret'ı kullanın.

Azure yapılandırma değerleri:

  • Kiracı Kimliği: <Yükleme zamanında sağlanan değişken değeri>
  • Uygulama (İstemci) Kimliği: <Yükleme zamanında sağlanan değişken değeri>
  • İstemci Gizli Anahtarı: <yükleme zamanında sağlanan değişken değeri>
  • Veri Toplama Uç Noktası (DCE) URI'si: <yükleme zamanında sağlanan değişken değeri>
  • Veri Toplama Kuralı (DCR) Sabit Kimliği: <yükleme zamanında sağlanan değişken değeri>
  • Stream Adı: <yükleme zamanında sağlanan değişken değeri>

Orca Güvenlik platformunda yapılandırma

  1. Orca Güvenlik konsolunuza giriş yapın.
  2. Settings > Integrations > Microsoft Sentinel'e gidin.
  3. Yukarıdaki yapılandırma değerlerini yapıştırın (Tenant ID, Application (Client) ID, Client Secret, DCE URI, DCR Immutable ID ve Stream Name).
  4. Entegrasyonu tamamlamak için Kaydet'e tıklayın.

3. Veri alımını doğrulama

Orca Security'den Microsoft Sentinel'e uyarıların geldiğini doğrulayın.

Doğrulama adımları

  1. Orca Güvenliği'nde uyarıyı tetikleyin veya bekleyin.
  2. Verilerin Microsoft Sentinel'de görünmesini 5-10 dakika bekleyin.
  3. Uyarıları doğrulamak için aşağıdaki sorguyu çalıştırın:
OrcaAlerts_CL
| take 10
  1. Bağlantıyı denetleyin:
OrcaAlerts_CL
| summarize LastLogReceived = max(TimeGenerated)
| project IsConnected = LastLogReceived > ago(30d)

Veri gelirse ve IsConnected doğru dönerse, konnektör doğru şekilde yapılandırılır.



Palo Alto Cortex XDR

Tarafından desteklenir:Microsoft Corporation

Palo Alto Cortex XDR veri bağlayıcısı, Palo Alto Cortex XDR API'sinden günlüklerin Microsoft Sentinel alınmasına olanak tanır. Veri bağlayıcısı Microsoft Sentinel Kodsuz Bağlayıcı Çerçevesi'ni üzerine kurulmuştur. Günlükleri getirmek için Palo Alto Cortex XDR API'sini kullanır ve alınan güvenlik verilerini özel bir tabloya ayrıştıran DCR tabanlı alım süresi dönüşümlerini destekler, böylece sorguların yeniden ayrıştırması gerekmez ve böylece daha iyi performans elde edilir.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
PaloAltoCortexXDR_Incidents_CL Evet Evet
PaloAltoCortexXDR_Endpoints_CL Evet Evet
PaloAltoCortexXDR_Audit_Management_CL Evet Evet
PaloAltoCortexXDR_Audit_Agent_CL Evet Evet
PaloAltoCortexXDR_Alerts_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Kurulum Yönergeleri:

Palo Alto Cortex XDR API'sinin yapılandırma adımları Kimlik bilgilerini almak için yönergeleri izleyin. API anahtarı oluşturmak için bu kılavuzu da izleyebilirsiniz.

  1. API URL 1.1'i alın. Yönetici kullanıcı kimlik bilgileri 1.2 ile Palo Alto Cortex XDR [Yönetim Konsolu] oturumu açın. [Yönetim Konsolu]'nda [Ayarlar] -> [Yapılandırmalar] 1.3'e tıklayın. [Tümleştirmeler] altında [API Anahtarları] öğesine tıklayın. 1.4. [Ayarlar] Sayfasında sağ üst köşedeki [API URL'sini Kopyala] seçeneğine tıklayın.

  2. API Belirteci 2.1'i alın. Palo Alto Cortex XDR [Yönetim Konsolu]nda Yönetici kullanıcı kimlik bilgileri 2.2 ile oturum açın. [Yönetim Konsolu] içinde [Ayarlar] -> [Yapılandırmalar] 2.3'e tıklayın. [Tümleştirmeler] altında [API Anahtarları] öğesine tıklayın. 2.4. [Ayarlar] Sayfasında sağ üst köşedeki [Yeni Anahtar] seçeneğine tıklayın. 2.5. Güvenlik düzeyini, rolü seçin, Standart'ı seçin ve [Oluştur] 2.6'ya tıklayın. API Belirtecini kopyalayın; oluşturulduktan sonra [API Belirteci Kimliği] Kimlik sütununun altında bulunabilir

  • Temel API URL'si: (https://api-example.xdr.au.paloaltonetworks.com)
  • API Anahtar Kimliği: (API Kimliği)
  • API Belirteci: (API Belirteci)
  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



Palo Alto Cortex Xpanse (Codeless Connector Framework aracılığıyla)

Tarafından desteklenir:Microsoft Corporation

Palo Alto Cortex Xpanse veri bağlayıcısı uyarı verilerini Microsoft Sentinel alır.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
CortexXpanseAlerts_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Kurulum Yönergeleri:

Palo Alto Xpanse'i Microsoft Sentinel'a bağlama

Palo Alto Cortex Xpanse'ten Microsoft Sentinel veri almak için Etki Alanı Ekle'ye tıklayın. Açılır pencerede gerekli ayrıntıları doldurun ve Bağlan'a tıklayın. Aşağıdaki kılavuzda bağlı etki alanı uç noktalarını görürsünüz. Kimlik Doğrulama Kimliği ve API Anahtarını almak için Cortex Xpanse portalında Ayarlar → Yapılandırma → Tümleştirmeleri → API Anahtarları'na gidin ve yeni kimlik bilgileri oluşturun.

  • Veri Bağlayıcıları Kılavuzu (portalda yapılandır)



Palo Alto Prisma Cloud CSPM (Codeless Connector Framework aracılığıyla)

Tarafından desteklenir:Microsoft Corporation

Palo Alto Prisma Bulut CSPM veri bağlayıcısı, Palo Alto Prisma Bulut CSPM örneğine bağlanmanızı ve Uyarıları () denetim günlüklerini(https://pan.dev/prisma-cloud/api/cspm/alerts/https://pan.dev/prisma-cloud/api/cspm/audit-logs/) Microsoft Sentinel & almanızı sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
PaloAltoPrismaCloudAlertV2_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Kurulum Yönergeleri:

Palo Alto Prisma Cloud CSPM Olaylarını Microsoft Sentinel bağlama

Prisma Bulut Erişim Anahtarı, Gizli Anahtar ve Temel URL'yi edinme hakkında daha fazla bilgi edinmek için lütfenbağlayıcı öğreticisine bakın, aşağıdaki gerekli bilgileri sağlayın ve Bağlan'a tıklayın.

  • Prisma Bulut Erişim Anahtarı: (Erişim Anahtarı Girin)
  • Prisma Bulut Gizli Anahtarı: (Gizli Anahtar Girin)
  • Prisma Bulut Tabanı URL'si: (https://api2.eu.prismacloud.io)
  • Bağlantıyı Etkinleştir/Devre Dışı Bırak
  • Veri Bağlayıcıları Kılavuzu (portalda yapılandır)



Palo Alto Prisma Cloud CWPP (REST API kullanarak)

Tarafından desteklenir:Microsoft Corporation

Palo Alto Prisma Cloud CWPP veri bağlayıcısı, Palo Alto Prisma Cloud CWPP örneğine bağlanmanızı ve uyarıları Microsoft Sentinel almanızı sağlar. Veri bağlayıcısı, Microsoft Sentinel Codeless Connector Framework'te oluşturulur ve güvenlik olaylarını getirmek için Prisma Bulut API'sini kullanır ve alınan güvenlik olayı verilerini özel sütunlar halinde ayrıştıran DCR tabanlı alım süresi dönüştürmelerini destekler, böylece sorguların yeniden ayrıştırması gerekmez ve böylece daha iyi performans elde edilir.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
PrismaCloudCompute_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

Kurulum Yönergeleri:

Palo Alto Prisma Cloud CWPP Güvenlik Olaylarını Microsoft Sentinel'a bağlama

Microsoft Sentinel için Palo Alto Prisma Cloud CWPP Güvenlik Olaylarını etkinleştirmek için aşağıdaki gerekli bilgileri sağlayın ve Bağlan'a tıklayın.

  • Konsolun yolu: (europe-west3.cloud.twistlock.com/{sasid})
  • Prisma Erişim Anahtarı (API): (Prisma Erişim Anahtarı (API))
  • Gizli Dizi: (Gizli Dizi)
  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



Panoralar

Desteklenen:Panorays

Panorays veri bağlayıcısı, şirket bulgularının Panorays API'sinden Microsoft Sentinel'e aktarılmasına olanak tanır.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
PanoraysCompanyFindingPOC_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Kurulum Yönergeleri:

Panorays API için yapılandırma adımları



Pathlock Inc.: SAP için Tehdit Algılama ve Yanıt

Tarafından desteklenir:Pathlock Inc.

SAP için Microsoft Sentinel Çözümü ile Pathlock Tehdit Algılama ve Yanıt (TD&R) tümleştirmesi, SAP güvenlik olaylarında birleşik, gerçek zamanlı görünürlük sağlayarak kuruluşların tüm SAP manzaralarında tehditleri algılamasına ve üzerinde işlem gerçekleştirmesine olanak tanır. Bu kullanıma hazır tümleştirme, Güvenlik İşlem Merkezleri'nin (SOC) SAP'ye özgü uyarıları kuruluş genelindeki telemetriyle ilişkilendirmesine olanak tanır ve BT güvenliğini iş süreçleriyle bağlayan eyleme dönüştürülebilir zeka oluşturur.

Pathlock'un bağlayıcısı SAP için amaca yöneliktir ve varsayılan olarak yalnızca güvenlikle ilgili olayları iletir ve gerektiğinde tüm günlük kaynaklarını iletme esnekliğini korurken veri hacmini ve kirliliği en aza indirir. Her olay iş süreci bağlamı ile zenginleştirilmiştir ve SAP analizi için Microsoft Sentinel Çözümün operasyonel desenleri gerçek tehditlerden ayırt etmesine ve gerçekten önemli olan şeylere öncelik vermesine olanak sağlar.

Bu duyarlık odaklı yaklaşım, güvenlik ekiplerinin hatalı pozitif sonuçları önemli ölçüde azaltmasına, araştırmalara odaklanmasına ve ortalama algılama süresini (MTTD) ve ortalama yanıt verme süresini (MTTR) hızlandırmasına yardımcı olur. Pathlock kitaplığı 70'ten fazla günlük kaynağında 1.500'den fazla SAP'ye özgü algılama imzasından oluşur, çözüm karmaşık saldırı davranışlarını, yapılandırma zayıflıklarını ve erişim anomalilerini ortaya çıkarır.

Pathlock, iş bağlamı zekasını gelişmiş analizlerle birleştirerek kuruluşların karmaşıklık veya yedekli izleme katmanları eklemeden algılama doğruluğunu güçlendirmesine, yanıt eylemlerini kolaylaştırmalarına ve SAP ortamlarında sürekli denetim sağlamalarına olanak tanır.

Bu bağlayıcının nasıl kurulacağına dair ayrıntılı rehberlik için Pathlock yardım portalına bakınız.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
ABAPAuditLog Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Microsoft Entra: Microsoft Entra ID'da uygulama kaydı oluşturma izni. Genellikle Entra Kimliği Uygulama Geliştirici rolü veya üzeri gerekir.
  • Microsoft Azure: Veri toplama kurallarında İzleme Ölçümleri Yayımcısı rolü atama izni. Genellikle Azure RBAC Sahibi veya Kullanıcı Erişimi Yöneticisi rolü gerektirir.

Kurulum Yönergeleri:

1. ARM Kaynakları Oluşturma ve Gerekli İzinleri Sağlama

Veri toplama kuralı (DCR) ve veri toplama uç noktası (DCE) kaynakları oluşturacağız. Ayrıca bir Microsoft Entra uygulama kaydı oluşturacak ve gerekli izinleri ona atayacağız.

Azure kaynaklarının otomatik dağıtımı "Anında iletme bağlayıcısı kaynaklarını dağıt" seçeneğine tıklanması DCR ve DCE kaynaklarının oluşturulmasını tetikler. Ardından istemci gizli anahtarıyla bir Microsoft Entra uygulama kaydı oluşturur ve DCR üzerinde izinler verir. Bu kurulum, verilerin OAuth v2 istemci kimlik bilgileri kullanılarak DCR'ye güvenli bir şekilde gönderilmesini sağlar.

2. Pathlock'un Siber Güvenlik Uygulama Denetimlerinin merkezi örneğinizde veri toplama uç noktası ayrıntılarını ve kimlik doğrulama bilgilerini koruyun: Tehdit Algılama ve Yanıt

Veri toplama uç noktasına veri göndermek için Tehdit Algılama ve Yanıt'ta tak çalıştır iletmeyi yapılandırmak için veri toplama uç noktası URL'sini ve kimlik doğrulama bilgilerini Pathlock yöneticisiyle paylaşın. Detaylı dağıtım rehberliği için Pathlock yardım portalına bakınız. Destek gerekiyorsa Pathlock ile iletişime geçmekten çekinmeyin.

  • LogIngestionAPI kimlik bilgisinde Kiracı Kimliği olarak yapılandırmak için bu değeri kullanın.: <yükleme zamanında sağlanan değişken değeri>
  • Entra Uygulama Kimliği: <yükleme zamanında sağlanan değişken değeri>
  • Entra Uygulama Gizli Anahtarı: <yükleme zamanında sağlanan değişken değeri>
  • IFlow'u dağıtırken LogsIngestionURL parametresini yapılandırmak için bu değeri kullanın.< Yükleme zamanında sağlanan değişken değeri>
  • DCR Sabit Kimliği: <yükleme zamanında sağlanan değişken değeri>



Çevre 81 Etkinlik Günlükleri

Tarafından desteklenir:Çevre 81

Çevre 81 Etkinlik Günlükleri bağlayıcısı, panoları görüntülemek, özel uyarılar oluşturmak ve araştırmayı geliştirmek için Çevre 81 etkinlik günlüklerinizi kolayca Microsoft Sentinel bağlamanıza olanak tanır.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
Perimeter81_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Kurulum Yönergeleri:

Aşağıdaki değerleri not edin ve Çevre 81 etkinlik günlüklerinizi Microsoft Sentinel bağlamak için buradaki yönergeleri izleyin.

  • Çalışma Alanı Kimliği: <Yükleme zamanında sağlanan değişken değeri>
  • Birincil Anahtar: <Yükleme zamanında sağlanan değişken değeri>



Fosfor Cihazları

Tarafından desteklenir:Fosfor Inc.

FosforLu Cihaz Bağlayıcısı, Fosfor REST API'si aracılığıyla cihaz veri günlüklerini Microsoft Sentinel alma özelliği sağlar. Bağlayıcı, Fosfor'a kayıtlı cihazlara görünürlük sağlar. Bu Veri Bağlayıcısı, ilgili uyarıların yanı sıra cihaz bilgilerini de çeker.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
Phosphorus_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • REST API Kimlik Bilgileri/izinleri: Fosfor API Anahtarı gereklidir. Lütfen Kullanıcıyla ilişkilendirilmiş API Anahtarının Ayarları Yönet izinlerinin etkinleştirildiğinden emin olun.

Ayarları Yönet izinlerini etkinleştirmek için bu yönergeleri izleyin.

  1. Fosfor Uygulamasında oturum açın
  2. 'Ayarlar' -> 'Gruplar' seçeneğine gidin
  3. Tümleştirme kullanıcısının bir parçası olduğu Grubu seçin
  4. 'Ürün Eylemleri' seçeneğine gidin ve> 'Ayarları Yönet' iznini açın.

Kurulum Yönergeleri:

ADIM 1 - Fosfor API'sinin yapılandırma adımları

Fosfor API anahtarı oluşturmak için bu yönergeleri izleyin.

  1. Fosfor örneğinizde oturum açın
  2. Ayarlar -> API'ye gidin
  3. API anahtarı henüz oluşturulmadıysa, API anahtarını oluşturmak için Ekle düğmesine basın
  4. API anahtarı artık Fosfor Cihazı bağlayıcı yapılandırması sırasında kopyalanabilir ve kullanılabilir

Fosfor Uygulamasını Microsoft Sentinel ile bağlama

ADIM 2 - Aşağıdaki ayrıntıları doldurun

ÖNEMLİ: Fosfor Cihazı veri bağlayıcısını dağıtmadan önce, Fosfor Örneği Etki Alanı Adı'nın yanı sıra Fosfor API'leri Anahtarlarını da kullanıma hazır hale geçirin



Ping One (Kodsuz Bağlayıcı Çerçevesi aracılığıyla)

Tarafından desteklenir:Microsoft Corporation

Bu bağlayıcı, denetim etkinlik günlüklerini PingOne Identity platformundan Kodsuz Bağlayıcı Çerçevesi kullanarak Microsoft Sentinel alır.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
PingOne_AuditActivitiesV2_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Kurulum Yönergeleri:

Ping One bağlayıcısını Microsoft Sentinel bağlama

PingOne'a bağlanmadan önce aşağıdaki önkoşulların tamamlandığından emin olun. İstemci kimlik bilgilerini ve ortam kimliğini alma da dahil olmak üzere ayrıntılı kurulum yönergeleri için belgeye bakın.

  1. İstemci Kimlik Bilgileri İstemci kimliğiniz ve gizli anahtarınız da dahil olmak üzere istemci kimlik bilgilerine ihtiyacınız olacaktır.

  2. Ortam Kimliği
    Belirteç oluşturmak ve denetim etkinlikleri uç noktasından günlükleri toplamak için

  • Veri Bağlayıcıları Kılavuzu (portalda yapılandır)



Prancer Veri Bağlayıcısı

Tarafından desteklenir:Prancer PenSuiteAI Tümleştirmesi

Prancer Veri Bağlayıcısı, Microsoft Sentinel aracılığıyla işlenmek üzere Prancer (CSPM)[https://docs.prancer.io/web/CSPM/] ve PAC verilerini alma özelliği sağlar. Daha fazla bilgi için Prancer Belgeleri'ne bakın.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
prancer_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • Bağlantı gerekiyorsa özel önkoşullar ekleyin - değilse gümrükleri silin: Herhangi bir özel önkoşul için açıklama

Kurulum Yönergeleri:

NOT: Bu bağlayıcı, günlükleri Microsoft sentinel'e çekmek üzere Prancer REST API'sine bağlanmak için Azure İşlevleri kullanır. Bu, ek veri alımı maliyetlerine neden olabilir. Ayrıntılar için Azure İşlevleri fiyatlandırma sayfasına bakın.

1. ADIM: Azure bulut bağlayıcısı ile tarama ayarlamak için Prancer Belge Sitesi'ndeki belgeleri izleyin.

2. ADIM: Tarama oluşturulduktan sonra tarama için 'Üçüncü Bölüm Tümleştirmeleri' menüsüne gidin ve Sentinel seçin.

3. ADIM: Oluşturma, yapılandırma sihirbazını izleyerek sonuçların Azure nereye gönderileceğini seçin.

4. ADIM: Veriler işlenmek üzere Microsoft Sentinel beslenmeye başlamalıdır.



Premium Microsoft Defender Tehdit Analizi

Tarafından desteklenir:Microsoft Corporation

Microsoft Sentinel, izleme, uyarı ve avcılığı etkinleştirmek için Microsoft tarafından oluşturulan tehdit bilgilerini içeri aktarma olanağı sağlar. Bu veri bağlayıcısını Kullanarak Risk Göstergelerini (ICS) Premium Microsoft Defender Tehdit Analizi'dan (MDTI) Microsoft Sentinel'a aktarın. Tehdit göstergeleri IP adreslerini, etki alanlarını, URL'leri ve dosya karmalarını vb. içerebilir. Not: Bu ücretli bir bağlayıcıdır. Verileri kullanmak ve almak için lütfen İş Ortağı Merkezi'nden "MDTI API Erişimi" SKU'su satın alın.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
ThreatIntelligenceIndicator Evet Hayır

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

PRODAFT USTA - Hesap Ele Geçirme Önleme (Codeless Connector Framework aracılığıyla)

Destekli:PRODAFT

PRODAFT USTA Hesap Ele Geçirme Önleme veri bağlayıcısı, PRODAFT USTA platformundan ele salınmış kimlik bilgisi biletlerini Microsoft Sentinel'e alır. Hassas değerler alındığında sansürlenir: açık metin şifreleri asla saklanmaz — sadece şifre güç sinyalleri (puan ve uzunluk) triaj için saklanır.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
PRODAFTUstaCompromisedCredentials_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • PRODAFT USTA API anahtarı: Hesap Devralmayı Önleme uç noktasına erişimi olan uzun ömürlü bir PRODAFT USTA API anahtarı gereklidir.

Kurulum Yönergeleri:

PRODAFT USTA Account Takeover Prevention ile Microsoft Sentinel

USTA temel URL'nizi ve uzun ömürlü bir API anahtarınızı girin, ardından Connect'i seçin. Bağlantı cihazı, başlık ile USTA'ya Authorization: Bearer <api-key> doğrulanır ve her dakika anketler yapar. Bağlantı süresinden önceki geçmişi yüklemek için, bu çözümle birlikte gelen PRODAFTUstaATP-Backfill oyun kitabını dağıtın.

  • USTA Temel URL: (https://usta.prodaft.com)
  • API Anahtarı: (USTA API anahtarınızı girin)
  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



PRODAFT USTA - IOC Tehdit İstihbaratı

Destekli:PRODAFT

PRODAFT USTA IoC Threat Intelligence connector, PRODAFT USTA platformundan Microsoft Sentinel'in Threat Intelligence'ına STIX göstergeleri olarak Upload STIX Objects API aracılığıyla ulaşım göstergelerini (zararlı URL'ler, kötü amaçlı yazılım hash'ları ve oltalama siteleri) alır. Alım, bu çözümle birlikte gelen ithalat oyun kitapları tarafından yapılır (her IoC akışı için bir tane); bir kayıt çözüm ip_addressestaşırsa, bu adresler aynı gösterge desenine gözlemlenebilirler ipv4-addr/ipv6-addr gibi eklenir; göstergeler, Tehdit İstihbarı blade'inde ve ThreatIntelIndicators tabloda her besleme SourceSystem başına — PRODAFT USTA - Malicious URLs, PRODAFT USTA - Malware Hashes ve PRODAFT USTA - Phishing Sites — görünür, böylece SourceSystem startswith 'PRODAFT USTA' her USTA göstergesini seçer. Çözümü yükledikten sonra, Manage solution görünümündeki rehberliği takip ederek içe aktarma oyun kitaplarını dağıtın ve yetkileyin.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
ThreatIntelIndicators Evet Hayır

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Playbooklar için çalışma alanı rol atamaları: Her içe aktarma ve geri doldurma playbook, sistem tarafından atanan yönetilen bir kimlik kullanır; bu da Upload STIX Objects API'sini çağırmak için çalışma alanında Microsoft Sentinel Katkıcı rolünü gerektirir. Üç içe aktarma planı ayrıca tablodan alınma işaretini ThreatIntelIndicators okur ve bu nedenle çalışma alanında Log Analytics Reader'e ihtiyaç duyar — Microsoft Sentinel katkı Microsoft.OperationalInsights/workspaces/read programı, okuma işlemi kapsamaz.
  • PRODAFT USTA API anahtarı: Security Intelligence IoC uç noktalarına erişimi olan uzun ömürlü bir PRODAFT USTA API anahtarı gereklidir.

Kurulum Yönergeleri:

1. Temel Tehdit İstihbarat çözümünü kur

Bu konnektör, tablodaki göstergeleri ThreatIntelIndicators ve Tehdit İstihbarat bıçağını işaret eder. Önce İçerik merkezinden Microsoft Tehdit İstihbarat çözümünü yükleyin, böylece blade ve kaynaktan bağımsız TI-map analitik kuralları kullanılabilir olur.

2. PRODAFT USTA ithalat playbooklarını dağıtın

Bu çözüm, her besleme için üç saatlik içe aktarma oyun kitabı — PRODAFTUstaIoC-ImportMaliciousUrls, PRODAFTUstaIoC-ImportMalwareHashes ve PRODAFTUstaIoC-ImportPhishingSites — ayrıca yükleme geçmişi için her besleme için eşleşen talep üzerine geri doldurma playbook (PRODAFTUstaIoC-BackfillMaliciousUrls, -BackfillMalwareHashes, -BackfillPhishingSites) sunar. Bunları Manage solution view'den (veya Automation blade'den) dağıtın, USTA temel URL'nizi, USTA API anahtarınızı ve Microsoft Sentinel çalışma alanınızın adını verin.

3. Oyun kitaplarının yönetilen kimliğini yetkileyin

Her oyun kitabı, sistem tarafından atanan yönetilen bir kimlik kullanır. Log Analytics çalışma alanında erişim kontrolü (IAM) → → Rol ataması ekle — IAM'i çalışma alanında açın, Logic App'te değil, yoksa atama oyun kitabına göre kapsamlıdır ve çalışma alanı erişimi vermez — bu kimliği Katkıda Bulunan Microsoft Sentinel verin (her oyun kitabının Upload STIX Objects çağrısı için gereklidir) ve üç içe aktarma oyun kitabı için ayrıca Log Analytics Reader (filigran sorgusu için gereklidir — bu olmadan çalışma açık Microsoft.OperationalInsights/workspaces/readolduğunda başarısız AuthorizationFailed olur) verin. Verildikten sonra, oyun kitapları USTA'yı saat başı sorar ve yeni göstergeler gönderir; ilk göstergeler geldiğinde bağlantı Bağlı gösterir.



PRODAFT USTA - Ödeme Kartı Dolandırıcılığı Zekâtı (Kodsuz Bağlayıcı Çerçevesi aracılığıyla)

Destekli:PRODAFT

PRODAFT USTA Ödeme Kartı Dolandırıcılığı Zekası veri bağlayıcısı, PRODAFT USTA platformundan tehlikeye girmiş ödeme kartı biletlerini Microsoft Sentinel'e aktarır. Hassas değerler alındığında sansürlenir: tam kart numarası (PAN) asla saklanmaz — sadece BIN (ilk 6), son 4 rakam, kart markası ve uzunluğu triage için korunur.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
PRODAFTUstaCompromisedCards_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • PRODAFT USTA API anahtarı: Ödeme Kartı Dolandırıcılığı İstihbarı uç noktasına erişimi olan uzun ömürlü bir PRODAFT USTA API anahtarı gereklidir.

Kurulum Yönergeleri:

PRODAFT USTA Ödeme Kartı Dolandırıcılık Zekası'nı Microsoft Sentinel'e Bağlayın

USTA temel URL'nizi ve uzun ömürlü bir API anahtarınızı girin, ardından Connect'i seçin. Bağlantı cihazı, başlık ile USTA'ya Authorization: Bearer <api-key> doğrulanır ve her dakika anketler yapar. Bağlantı süresinden önceki geçmişi yüklemek için, bu çözümle birlikte gelen PRODAFTUstaPCFI-Backfill oyun rehberini dağıtın.

  • USTA Temel URL: (https://usta.prodaft.com)
  • API Anahtarı: (USTA API anahtarınızı girin)
  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



İsteğe Bağlı ProofPoint Email Güvenliği (Kodsuz Bağlayıcı Çerçevesi aracılığıyla)

Tarafından desteklenir:Proofpoint, Inc.

proofpoint On Demand Email Security veri bağlayıcısı, İsteğe Bağlı Proofpoint Email Koruması verilerini alma olanağı sağlar, kullanıcıların ileti izlenebilirliğini denetlemesine, e-posta etkinliğini, tehditlerini ve saldırganlar ve kötü niyetli insider'lar tarafından veri sızdırmasını izlemesine olanak tanır. Bağlayıcı, kuruluşunuzdaki olayları hızlandırılmış bir şekilde gözden geçirme, son etkinlikler için saatlik artışlarla olay günlüğü dosyalarını alma olanağı sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
ProofpointPODMailLog_CL Evet Evet
ProofpointPODMessage_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Websocket API Kimlik Bilgileri/izinleri: ProofpointClusterID ve ProofpointToken gereklidir. Daha fazla bilgi için bkz. API.

Kurulum Yönergeleri:

Proofpoint POD Websocket API'sinin yapılandırma adımları

PoD Günlük API'si aynı anda birden fazla oturum için aynı belirtecin kullanılmasına izin vermez, bu nedenle belirtecinizin hiçbir yerde kullanılmadığından emin olun.

Proofpoint Websocket API hizmeti, Uzak Syslog İletme lisansı gerektirir. PoD Günlük API'sini etkinleştirme ve denetleme ile ilgili belgelere bakın. Küme kimliğinizi ve güvenlik belirtecinizi sağlamanız gerekir.

  1. Küme kimliği 1.1'i alın. Yönetici kullanıcı kimlik bilgileriyle [Yönetim Konsolu] yazım denetleme noktasında oturum açın

    1.2. Yönetim Konsolu'nda küme kimliği sağ üst köşede görüntülenir.

  2. API belirteci 2.1'i alın. Yönetici kullanıcı kimlik bilgileriyle [Yönetim Konsolu] yazım denetleme noktasında oturum açın

2.2. Yönetim Konsolu'nda Ayarlar -> API Anahtar Yönetimi'ne tıklayın

2.3. API Anahtar Yönetimi altında PoD Günlüğü sekmesine tıklayın.

2.4. Yeni bir API anahtarı alın veya oluşturun.

  • Küme Kimliği: (cluster_id)
  • API Anahtarı: (API Anahtarı)
  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



İsteğe Bağlı ProofPoint Email Güvenliği (Kodsuz Bağlayıcı Çerçevesi aracılığıyla)

Tarafından desteklenir:Microsoft Corporation

proofpoint On Demand Email Security veri bağlayıcısı, İsteğe Bağlı Proofpoint Email Koruması verilerini alma olanağı sağlar, kullanıcıların ileti izlenebilirliğini denetlemesine, e-posta etkinliğini, tehditlerini ve saldırganlar ve kötü niyetli insider'lar tarafından veri sızdırmasını izlemesine olanak tanır. Bağlayıcı, kuruluşunuzdaki olayları hızlandırılmış bir şekilde gözden geçirme, son etkinlikler için saatlik artışlarla olay günlüğü dosyalarını alma olanağı sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
ProofpointPODMailLog_CL Evet Evet
ProofpointPODMessage_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Websocket API Kimlik Bilgileri/izinleri: ProofpointClusterID ve ProofpointToken gereklidir. Daha fazla bilgi için bkz. API.

Kurulum Yönergeleri:

Proofpoint POD Websocket API'sinin yapılandırma adımları

PoD Günlük API'si aynı anda birden fazla oturum için aynı belirtecin kullanılmasına izin vermez, bu nedenle belirtecinizin hiçbir yerde kullanılmadığından emin olun.

Proofpoint Websocket API hizmeti, Uzak Syslog İletme lisansı gerektirir. PoD Günlük API'sini etkinleştirme ve denetleme ile ilgili belgelere bakın. Küme kimliğinizi ve güvenlik belirtecinizi sağlamanız gerekir.

  1. Küme kimliği 1.1'i alın. Yönetici kullanıcı kimlik bilgileriyle [Yönetim Konsolu] yazım denetleme noktasında oturum açın

    1.2. Yönetim Konsolu'nda küme kimliği sağ üst köşede görüntülenir.

  2. API belirteci 2.1'i alın. Yönetici kullanıcı kimlik bilgileriyle [Yönetim Konsolu] yazım denetleme noktasında oturum açın

2.2. Yönetim Konsolu'nda Ayarlar -> API Anahtar Yönetimi'ne tıklayın

2.3. API Anahtar Yönetimi altında PoD Günlüğü sekmesine tıklayın.

2.4. Yeni bir API anahtarı alın veya oluşturun.

  • Küme Kimliği: (cluster_id)
  • API Anahtarı: (API Anahtarı)
  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



Proofpoint TAP (Kodsuz Bağlayıcı Çerçevesi aracılığıyla)

Tarafından desteklenir:Proofpoint, Inc.

Proofpoint Hedefli Saldırı Koruması (TAP) bağlayıcısı, Proofpoint TAP günlüklerini ve olaylarını Microsoft Sentinel alma özelliği sağlar. Bağlayıcı, panoları görüntülemek, özel uyarılar oluşturmak ve izleme ve araştırma özelliklerini geliştirmek için Microsoft Sentinel İleti ve Tıklama olayları hakkında görünürlük sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
ProofPointTAPMessagesDeliveredV2_CL Evet Evet
ProofPointTAPMessagesBlockedV2_CL Evet Evet
ProofPointTAPClicksPermittedV2_CL Evet Evet
ProofPointTAPClicksBlockedV2_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Proofpoint TAP API Anahtarı: Proofpoint'in SIEM API'sine erişmek için Bir Proofpoint TAP API hizmet sorumlusu ve gizli dizisi gerekir. Daha fazla bilgi için bkz . Proofpoint SIEM API'si.

Kurulum Yönergeleri:

Proofpoint TAP API'sinin yapılandırma adımları

  1. Proofpoint TAP panosunda oturum açın
  2. Ayarlar'a gidin ve Bağlı Uygulamalar sekmesine gidin
  3. Yeni Kimlik Bilgisi Oluştur'a tıklayın
  4. Bir ad girin ve Oluştur'a tıklayın
  5. Hizmet Sorumlusu ve Gizli Dizi değerlerini kopyalama

NOT: Bu bağlayıcı, Microsoft Sentinel Çözümü ile dağıtılan beklenen ProofpointTAPEvent işlevinin çalışması için Kusto İşlevini temel alan bir ayrıştırıcıya bağlıdır.

  • Hizmet Sorumlusu: (123456)
  • Gizli dizi: (123456)
  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



Proofpoint TAP (Kodsuz Bağlayıcı Çerçevesi aracılığıyla)

Tarafından desteklenir:Microsoft Corporation

Proofpoint Hedefli Saldırı Koruması (TAP) bağlayıcısı, Proofpoint TAP günlüklerini ve olaylarını Microsoft Sentinel alma özelliği sağlar. Bağlayıcı, panoları görüntülemek, özel uyarılar oluşturmak ve izleme ve araştırma özelliklerini geliştirmek için Microsoft Sentinel İleti ve Tıklama olayları hakkında görünürlük sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
ProofPointTAPMessagesDeliveredV2_CL Evet Evet
ProofPointTAPMessagesBlockedV2_CL Evet Evet
ProofPointTAPClicksPermittedV2_CL Evet Evet
ProofPointTAPClicksBlockedV2_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Proofpoint TAP API Anahtarı: Proofpoint'in SIEM API'sine erişmek için Bir Proofpoint TAP API hizmet sorumlusu ve gizli dizisi gerekir. Daha fazla bilgi için bkz . Proofpoint SIEM API'si.

Kurulum Yönergeleri:

Proofpoint TAP API'sinin yapılandırma adımları

  1. Proofpoint TAP panosunda oturum açın
  2. Ayarlar'a gidin ve Bağlı Uygulamalar sekmesine gidin
  3. Yeni Kimlik Bilgisi Oluştur'a tıklayın
  4. Bir ad girin ve Oluştur'a tıklayın
  5. Hizmet Sorumlusu ve Gizli Dizi değerlerini kopyalama

NOT: Bu bağlayıcı, Microsoft Sentinel Çözümü ile dağıtılan beklenen ProofpointTAPEvent işlevinin çalışması için Kusto İşlevini temel alan bir ayrıştırıcıya bağlıdır.

  • Hizmet Sorumlusu: (123456)
  • Gizli dizi: (123456)
  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



QscoutAppEventsConnector (Kodsuz Bağlayıcı Çerçevesi aracılığıyla)

Tarafından desteklenir:Quokka

Qscout uygulama olaylarını Microsoft Sentinel alma

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
QscoutAppEvents_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • Qscout Kuruluş Kimliği: API, Qscout'ta kuruluşunuzun kimliğini gerektirir.
  • Qscout Kuruluş API Anahtarı: API, Qscout'ta kuruluşunuzun API anahtarını gerektirir.

Kurulum Yönergeleri:

NOT: Bu bağlayıcı, Qscout uygulama olayları akışına bağlanmak ve verileri Microsoft Sentinel almak için Kodsuz Bağlayıcı Çerçevesi 'ni (CCF) kullanır

Aşağıdaki gerekli değerleri sağlayın:

  • Qscout Kuruluş Kimliği: (123456)
  • Qscout Kuruluş API Anahtarı: (abcdxyz)
  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



Qualys Bilgi Bankası (Kodsuz Bağlayıcı Çerçevesi aracılığıyla)

Tarafından desteklenir:Microsoft Corporation

Qualys API'sinin 4.0 sürümünü kullanarak Qualys Bilgi Bankası Güvenlik Açığı Verilerini Microsoft Sentinel alın.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
QualysKnowledgeBase Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Qualys API erişimi: Bilgi Bankası uç noktalarına okuma erişimi olan bir Qualys Kullanıcı Hesabı gerektirir.

Kurulum Yönergeleri:

1. Adım: Kimlik Bilgilerini Ayarlama Qualys Bilgi Bankası'ndan veri alımını etkinleştirmek için Qualys API kimlik bilgilerinizi sağlayın.

Qualys VM'den veri toplamak için aşağıdaki kaynakları sağlamanız gerekir:

  • API Kimlik Bilgileri: Bilgi Bankası API'sine okuma erişimi olan bir hesabın kullanıcı adı ve parolası. Gereken tam izinleri Qualys API belgelerinde bulabilirsiniz.

  • API Sunucusu URL'si: Bölgenize özgü Qualys API sunucusu URL'si. Bölgeniz için tam API sunucusu URL'sini burada bulabilirsiniz

  • API Server URL'si: (API Server URL'sini girin)

  • Kullanıcı adı: (Qualys kullanıcı adını girin)

  • Parola: (Qualys parolanızı veya belirtecinizi girin) 2. Adım: İsteğe Bağlı Filtreleri Ayarlama

Hangi güvenlik açıklarının alınacaklarını özelleştirmek için isteğe bağlı filtreleri yapılandırın. Qualys API belgelerinde kullanılabilir filtreler hakkında daha fazla bilgi edinin.

2a. Düzeltme Eki Durumuna Göre Filtrele Yalnızca düzeltme eki uygulanabilir veya düzeltme eki uygulanabilir olmayan güvenlik açıklarını göstermeyi seçin.

2b. Bulma Yöntemine ve Kimlik Doğrulama Türlerine Göre Filtrele Yalnızca belirli bir bulma yöntemine atanmış veya belirli kimlik doğrulama türlerine sahip güvenlik açıklarını almayı seçin.

  • Bulma Kimlik Doğrulama Türleri: (örneğin, Windows, Oracle, Unix, SNMP (virgülle ayrılmış)) 3. Adım: Yapılandırma ayarlarınızı gözden geçirin ve etkinleştirin ve bağlayıcının Qualys Bilgi Bankası verilerini Microsoft Sentinel almaya başlamasını sağlayın.

  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



Qualys VM KnowledgeBase (Azure İşlevleri kullanarak)

Tarafından desteklenir:Microsoft Corporation

Qualys Güvenlik Açığı Yönetimi (VM) KnowledgeBase (KB) bağlayıcısı, Qualys KB'deki en son güvenlik açığı verilerini Microsoft Sentinel alma özelliği sağlar.

Bu veriler , Qualys Güvenlik Açığı Yönetimi (VM) veri bağlayıcısı tarafından bulunan güvenlik açığı algılamalarını ilişkilendirmek ve zenginleştirmek için kullanılabilir.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
QualysKB_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Microsoft.Web/sites izinleri: İşlev Uygulaması oluşturmak için Azure İşlevleri okuma ve yazma izinleri gereklidir. Daha fazla bilgi için bkz. Azure İşlevleri.
  • Qualys API Anahtarı: Qualys VM API'sinde kullanıcı adı ve parola gereklidir. Daha fazla bilgi için bkz . Qualys VM API'si.

Kurulum Yönergeleri:

NOT: Bu veri bağlayıcısı, çözümün bir parçası olarak dağıtılan kusto işlevini temel alan ayrıştırıcının beklendiği gibi çalışmasına bağlıdır. Log Analytics'te işlev kodunu görüntülemek için Log Analytics/Microsoft Sentinel Günlükleri dikey penceresini açın, İşlevler'e tıklayın ve QualysVM Bilgi Bankası diğer adını arayın ve işlev kodunu yükleyin veya buraya tıklayın. Sorgunun ikinci satırında QualysVM Bilgi Bankası cihazlarınızın ana bilgisayar adlarını ve günlük akışının diğer benzersiz tanımlayıcılarını girin. Çözümün yüklenmesi/güncelleştirildikten sonra işlevin etkinleştirilmesi genellikle 10-15 dakika sürer.

Bu veri bağlayıcısı, kusto işlevini temel alan ayrıştırıcının beklendiği gibi çalışmasına bağlıdır. Kusto işlev diğer adı QualysKB'yi kullanma adımlarını izleyin

(İsteğe Bağlı Adım) Çalışma alanını ve API yetkilendirme anahtarlarını veya belirteçlerini Azure Key Vault güvenli bir şekilde depolayın. Azure Key Vault, anahtar değerlerini depolamak ve almak için güvenli bir mekanizma sağlar. Azure İşlev Uygulaması ile Azure Key Vault kullanmak için bu yönergeleri izleyin.

ADIM 1 - Qualys API'sinin yapılandırma adımları

  1. Qualys Güvenlik Açığı Yönetimi konsolunda bir yönetici hesabıyla oturum açın, Kullanıcılar sekmesini ve Kullanıcılar alt sekmesini seçin.
  2. Yeni açılan menüsüne tıklayın ve Kullanıcılar'ı seçin.
  3. API hesabı için bir kullanıcı adı ve parola oluşturun.
  4. Kullanıcı Rolleri sekmesinde hesap rolünün Yönetici olarak ayarlandığından ve GUI ve API'ye erişime izin verildiğinden emin olun
  5. Yönetici hesabının oturumunu kapatın ve doğrulama için yeni API kimlik bilgileriyle konsolda oturum açın, ardından API hesabında oturumu kapatın.
  6. Bir yönetici hesabı kullanarak konsolda yeniden oturum açın ve API hesaplarını Kullanıcı Rolleri'nde değiştirerek GUI'ye erişimi kaldırın.
  7. Tüm değişiklikleri kaydedin.

ADIM 2 - Bağlayıcıyı ve ilişkili Azure İşlevini dağıtmak için aşağıdaki iki dağıtım seçeneğinden Bİrİ'ni seçin

ÖNEMLİ: Qualys KB bağlayıcısını dağıtmadan önce Çalışma Alanı Kimliği ve Çalışma Alanı Birincil Anahtarına (aşağıdakilerden kopyalanabilir) ve Qualys API kullanıcı adı ve parolasına sahip olun.

  • Çalışma Alanı Kimliği: <Yükleme zamanında sağlanan değişken değeri>
  • Birincil Anahtar: <Yükleme zamanında sağlanan değişken değeri>

Seçenek 1 - Azure Resource Manager (ARM) Şablonu

Arm Tempate kullanarak Qualys KB bağlayıcısının otomatik dağıtımı için bu yöntemi kullanın.

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.msaka.ms

  2. Tercih edilen Abonelik, Kaynak Grubu ve Konum'a tıklayın.

  3. Çalışma Alanı Kimliği, Çalışma Alanı Anahtarı, API Kullanıcı Adı, API Parolası girin, URI'yi ve ek URI Filtre Parametrelerini güncelleştirin (Bu değer her parametre arasında bir "&" simgesi içermelidir ve boşluk içermemelidir)

  • Bölgenize karşılık gelen URI'yi girin. API Server URL'lerinin tam listesine buradan ulaşabilirsiniz
  • Not: Yukarıdaki değerlerden herhangi biri için Azure Key Vault gizli dizileri kullanıyorsanız, dize değerleri yerine şemayı kullanın@Microsoft.KeyVault(SecretUri={Security Identifier}). Daha fazla ayrıntı için Key Vault başvuru belgelerine bakın.
  1. Yukarıda belirtilen hüküm ve koşulları kabul ediyorum etiketli onay kutusunu işaretleyin.
  2. Dağıtmak için Satın Al'a tıklayın.
  • Not: Depolama hesabı adı alındığından dağıtım başarısız olduysa İşlev Adı'nı benzersiz bir değerle değiştirin ve yeniden dağıtın.

Seçenek 2 - Azure İşlevleri El ile Dağıtımı

Bu yöntem, Qualys KB bağlayıcısını Azure İşlevi ile el ile dağıtmak için adım adım yönergeler sağlar.

1. Adım - İşlev Uygulaması Dağıtma

  1. Azure İşlev Uygulaması dosyasını indirin. Arşivi yerel geliştirme bilgisayarınıza ayıklayın.
  2. VSCode kullanarak Azure İşlevleri uygulamasını dağıtmak için işlev uygulaması el ile dağıtım yönergelerini izleyin.
  3. İşlev uygulamasının başarıyla dağıtılmasından sonra, bunu yapılandırmak için sonraki adımları izleyin.

2. Adım - İşlev Uygulamasını Yapılandırma

  1. İşlev Uygulaması yapılandırması için Azure portalı'na gidin.
  2. İşlev Uygulamasında İşlev Uygulaması Adı'nı ve ardından Yapılandırma'yı seçin.
  3. Uygulama ayarları sekmesinde + Yeni uygulama ayarı'nı seçin.
  4. Aşağıdaki yedi (7) uygulama ayarının her birini ilgili dize değerleriyle (büyük/küçük harfe duyarlı) tek tek ekleyin: apiUsername apiPassword workspaceID çalışma alanıKey uri filtresiParameters logAnalyticsUri (isteğe bağlı)
  • Bölgenize karşılık gelen URI'yi girin. API Sunucusu URL'lerinin tam listesine buradan ulaşabilirsiniz. Değerin uri aşağıdaki şemayı izlemesi gerekir: https://<API Server>/api/2.0
  • Değişkeni için filterParameters URI'ye eklenmesi gereken tüm ek filtre parametrelerini ekleyin. Değer filterParameter her parametre arasında bir "&" simgesi içermeli ve boşluk içermemelidir.
  • Not: Azure Key Vault kullanıyorsanız, dize değerleri yerine şemayı kullanın@Microsoft.KeyVault(SecretUri={Security Identifier}). Daha fazla ayrıntı için Key Vault başvuru belgelerine bakın.
  • Temsilci olarak atanan bulut için log analytics API uç noktasını geçersiz kılmak için logAnalyticsUri kullanın. Örneğin, genel bulut için değeri boş bırakın; Azure GovUS bulut ortamı için değeri şu biçimde belirtin: https://<CustomerId>.ods.opinsights.azure.us.
  1. Tüm uygulama ayarları girildikten sonra Kaydet'e tıklayın.



Qualys Güvenlik Açığı Yönetimi (Kodsuz Bağlayıcı Çerçevesi aracılığıyla)

Tarafından desteklenir:Microsoft Corporation

Qualys Güvenlik Açığı Yönetimi (VM) veri bağlayıcısı, Qualys API aracılığıyla güvenlik açığı konak algılama verilerini Microsoft Sentinel alma özelliği sağlar. Bağlayıcı, vulerability taramalarından konak algılama verilerine görünürlük sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
QualysHostDetectionV3_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • API erişimi ve rolleri: Qualys VM kullanıcısının Okuyucu veya üzeri bir rolü olduğundan emin olun. Rol Okuyucu ise, hesap için API erişiminin etkinleştirildiğinden emin olun. Denetçi rolünün API'ye erişmesi desteklenmez. Daha fazla ayrıntı için Qualys VM Konak Algılama API'sine ve Kullanıcı rolü Karşılaştırma belgesine bakın.

Kurulum Yönergeleri:

Qualys Güvenlik Açığı Yönetimi'ni Microsoft Sentinel bağlama

NOT: QualysHostDetectionV3_CL ham ana bilgisayar anlık görüntülerini saklar ve değişmeden tekrarlanan algılamalar içerebilir. Tespit seviyesindeki kayıtlar için QualysHostDetection ayrıştırıcısını kullanın. Ayrıştırıcı DetectionList'i genişletir, tekrarlanan değişmemiş sürümleri kaldırır ve durum, zaman damgası ve ilgili içerik değişikliklerini korur.

Qualys VM'den veri toplamak için aşağıdaki kaynakları sağlamanız gerekir

  1. API Kimlik Bilgileri Qualys VM'sinden veri toplamak için Kullanıcı Adınız ve Parolanız da dahil olmak üzere Qualys API kimlik bilgilerine ihtiyacınız olacaktır.

  2. API Sunucusu URL'si Qualys VM'sinden veri toplamak için bölgenize özgü Qualys API sunucusu URL'sine ihtiyacınız olacaktır. Bölgeniz için tam API sunucusu URL'sini burada bulabilirsiniz

  1. Kesme Sınırı Her API çağrısı için alınacak maksimum konak algılama kayıt sayısını yapılandırın. Önerilen: 1000 (Yeterlilik varsayımı). Daha düşük değerler yanıt boyutunu azaltır ve büyük ortamlar veya yavaş API sunucuları için daha güvenlidir, ancak daha fazla sayfalı çağrı gerektirir. Daha yüksek değerler, özellikle büyük ortamlarda yanıt boyutunu ve risk API zaman aşımını artırır. 500'ün altındaki değerler, büyük dağıtımlarda işlem sınırlarını aşan aşırı sayfalaşmaya neden olabilir.

Zaman aşımına bağlı sınır: İzin verilen maksimum API zaman aşımı 5 dakika (300 saniye) olur. Bu platformun maksimumudur ve yükseltilemez. Büyük ortamlar için Kesinti Sınırını düşürün her API yanıtını bu sınır içinde tutmak için.

  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



AMA aracılığıyla Radiflow iSID

Tarafından desteklenir:Radiflow

iSID, her biri belirli bir ağ etkinliği türüyle ilgili benzersiz bir özellik sunan birden çok güvenlik paketi kullanarak topoloji ve davranış değişiklikleri için dağıtılmış ICS ağlarının kesintiye uğramadan izlenmesini sağlar

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
RadiflowEvent Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Kurulum Yönergeleri:

NOT: Bu veri bağlayıcısı, Microsoft Sentinel Çözümü ile dağıtılan [RadiflowEvent] adlı kusto işlevini temel alan ayrıştırıcıya bağlıdır.

1. Veri bağlayıcısını yapılandırma adımlarını izleyin

A. Adım. AMA veri bağlayıcısı aracılığıyla Ortak Olay Biçimini (CEF) yapılandırma

Not:- CEF günlükleri yalnızca Linux Aracılarından toplanır

  1. Microsoft Sentinel çalışma alanı ---> yapılandırma ---> Veri bağlayıcısı dikey penceresine gidin.

  2. "AMA aracılığıyla Ortak Olay Biçimi (CEF)" veri bağlayıcısını arayın ve açın.

  3. Gerekli günlük olanaklarını toplamak için yapılandırılmış mevcut bir DCR olup olmadığını denetleyin, Yeni bir DCR (Veri Toplama Kuralı) oluşturun.

    Not:- AMA aracısının en az 1,27 sürümünü yüklemeniz önerilir Daha fazla bilgi edinin ve günlük uyumsuzluğuna neden olabileceğinden yinelenen DCR olmadığından emin olun.

  4. MAKINEde CEF toplayıcısını yapılandırmak için CEF aracılığıyla AMA veri bağlayıcısı sayfasında sağlanan komutu çalıştırın.

Adım B. ISID'yi CEF kullanarak günlük gönderecek şekilde yapılandırma

CEF kullanarak günlük iletmeyi yapılandırma:

  1. Yapılandırma menüsünün Sistem Bildirimleri bölümüne gidin.

  2. Syslog'un altında +Ekle'yi seçin.

  3. Yeni Syslog Sunucusu iletişim kutusunda adı, uzak sunucu IP'sini, Bağlantı Noktasını, Aktarım'ı belirtin ve Biçim - CEF'yi seçin.

  4. Syslog Ekle iletişim kutusundan çıkmak için Uygula'ya basın.

Adım C. Bağlantıyı doğrulama

Bağlantınızı doğrulamak için yönergeleri izleyin:

Günlüklerin CommonSecurityLog şeması kullanılarak alınp alınmadığını denetlemek için Log Analytics'i açın.

Bağlantının verileri çalışma alanınıza aktarması yaklaşık 20 dakika sürebilir.

Günlükler alınmazsa aşağıdaki bağlantı doğrulama betiğini çalıştırın:

  1. Aşağıdaki komutu kullanarak makinenizde Python olduğundan emin olun: python --version

  2. Makinenizde yükseltilmiş izinlere (sudo) sahip olmanız gerekir

  • Bağlantınızı doğrulamak için aşağıdaki komutu çalıştırın:: <yükleme zamanında sağlanan değişken değeri>

**2. Makinenizin güvenliğini sağlama **

Makinenin güvenliğini kuruluşunuzun güvenlik ilkesine göre yapılandırdığından emin olun

Daha fazla bilgi edinin >



Rapid7 Insight Platform Güvenlik Açığı Yönetim Raporları (Azure İşlevleri kullanarak)

Tarafından desteklenir:Microsoft Corporation

Rapid7 Insight VM Raporu veri bağlayıcısı, Rapid7 Insight platformundan (bulutta yönetilen) REST API aracılığıyla Tarama raporlarını ve güvenlik açığı verilerini Microsoft Sentinel alma özelliği sağlar. Daha fazla bilgi için API belgelerine bakın. Bağlayıcı olası güvenlik risklerini değerlendirmek, işbirliğini izlemek ve yapılandırma sorunlarını tanılamak ve gidermek için olay alma olanağı sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
NexposeInsightVMCloud_assets_CL Evet Evet
NexposeInsightVMCloud_vulnerabilities_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Microsoft.Web/sites izinleri: İşlev Uygulaması oluşturmak için Azure İşlevleri okuma ve yazma izinleri gereklidir. Daha fazla bilgi için bkz. Azure İşlevleri.
  • REST API Kimlik Bilgileri: REST API için InsightVMAPIKey gereklidir. Daha fazla bilgi için bkz. API. Tüm gereksinimleri denetleyin ve kimlik bilgilerini alma yönergelerini izleyin

Kurulum Yönergeleri:

NOT: Bu bağlayıcı, günlüklerini Microsoft Sentinel çekmek üzere Insight VM API'sine bağlanmak için Azure İşlevleri kullanır. Bu, ek veri alımı maliyetlerine neden olabilir. Ayrıntılar için Azure İşlevleri fiyatlandırma sayfasına bakın.

(İsteğe Bağlı Adım) Çalışma alanını ve API yetkilendirme anahtarlarını veya belirteçlerini Azure Key Vault güvenli bir şekilde depolayın. Azure Key Vault, anahtar değerlerini depolamak ve almak için güvenli bir mekanizma sağlar. Azure İşlev Uygulaması ile Azure Key Vault kullanmak için bu yönergeleri izleyin.

NOT: Bu veri bağlayıcısı, Microsoft Sentinel Çözümü ile dağıtılan Beklenen InsightVMAssets ve InsightVMVulnerabilities gibi çalışması için Kusto İşlevini temel alan ayrıştırıcılara bağlıdır.

ADIM 1 - Insight VM Bulutu için yapılandırma adımları

Kimlik bilgilerini almak için yönergeleri izleyin.

ADIM 2 - Bağlayıcıyı ve ilişkili Azure İşlevini dağıtmak için aşağıdaki iki dağıtım seçeneğinden Bİrİ'ni seçin

ÖNEMLİ: Çalışma Alanı veri bağlayıcısını dağıtmadan önce Çalışma Alanı Kimliği ve Çalışma Alanı Birincil Anahtarına sahip olun (aşağıdakilerden kopyalanabilir).

  • Çalışma Alanı Kimliği: <Yükleme zamanında sağlanan değişken değeri>
  • Birincil Anahtar: <Yükleme zamanında sağlanan değişken değeri>

Seçenek 1 - Azure Resource Manager (ARM) Şablonu

ARM Tempate kullanarak Rapid7 Insight Güvenlik Açığı Yönetim Raporu veri bağlayıcısının otomatik dağıtımı için bu yöntemi kullanın.

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.ms

  2. Tercih edilen Abonelik, Kaynak Grubu ve Konum'a tıklayın.

NOT: Aynı kaynak grubunda, Aynı bölgedeki Windows ve Linux uygulamalarını karıştıramazsınız. Içinde Windows uygulamaları olmayan mevcut kaynak grubunu seçin veya yeni kaynak grubu oluşturun. 3. InsightVMAPIKey girin, InsightVMCloudRegion'u seçin ve dağıtın. 4. Yukarıda belirtilen hüküm ve koşulları kabul ediyorum etiketli onay kutusunu işaretleyin. 5. Dağıtmak için Satın Al'a tıklayın.

Seçenek 2 - Azure İşlevleri El ile Dağıtımı

Rapid7 Insight Vulnerability Management Report veri bağlayıcısını Azure İşlevleri (Visual Studio Code aracılığıyla dağıtım) ile el ile dağıtmak için aşağıdaki adım adım yönergeleri kullanın.

1. Adım - İşlev Uygulaması Dağıtma

  1. Azure İşlev Uygulaması dosyasını indirin. Arşivi yerel geliştirme bilgisayarınıza ayıklayın.
  2. VSCode kullanarak Azure İşlevleri uygulamasını dağıtmak için işlev uygulaması el ile dağıtım yönergelerini izleyin.
  3. İşlev uygulamasının başarıyla dağıtılmasından sonra, bunu yapılandırmak için sonraki adımları izleyin.

2. Adım - İşlev Uygulamasını Yapılandırma

  1. İşlev Uygulaması yapılandırması için Azure portalı'na gidin.
  2. İşlev Uygulamasında İşlev Uygulaması Adı'nı ve ardından Yapılandırma'yı seçin.
  3. Uygulama ayarları sekmesinde Yeni uygulama ayarı'nı seçin.
  4. Aşağıdaki uygulama ayarlarının her birini ilgili dize değerleriyle (büyük/küçük harfe duyarlı) tek tek ekleyin:
    InsightVMAPIKey InsightVMCloudRegion WorkspaceID WorkspaceKey logAnalyticsUri (isteğe bağlı)
  • Ayrılmış bulut için log analytics API uç noktasını geçersiz kılmak için logAnalyticsUri kullanın. Örneğin, genel bulut için değeri boş bırakın; Azure GovUS bulut ortamı için değeri şu biçimde belirtin: https://<CustomerId>.ods.opinsights.azure.us.
  1. Tüm uygulama ayarları girildikten sonra Kaydet'e tıklayın.



Rapid7 Insight Platform Güvenlik Açığı Yönetim Raporları (Kodsuz Bağlayıcı Çerçevesi aracılığıyla)

Tarafından desteklenir:Microsoft Corporation

Rapid7 Insight VM Raporu veri bağlayıcısı, Rapid7 Insight platformundan (bulutta yönetilen) REST API aracılığıyla Tarama raporlarını ve güvenlik açığı verilerini Microsoft Sentinel alma özelliği sağlar. Daha fazla bilgi için API belgelerine bakın. Bağlayıcı olası güvenlik risklerini değerlendirmek, işbirliğini izlemek ve yapılandırma sorunlarını tanılamak ve gidermek için olay alma olanağı sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
Rapid7InsightVMCloudAssets Evet Evet
Rapid7InsightVMCloudVulnerabilities Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • REST API Kimlik Bilgileri: REST API için InsightVMAPIKey gereklidir. Daha fazla bilgi için bkz. API. Tüm gereksinimleri denetleyin ve kimlik bilgilerini alma yönergelerini izleyin

Kurulum Yönergeleri:

Rapid7 InsightVM bağlayıcısını yapılandırmak için yönergeleri izleyin.

Not: Not: Bu veri bağlayıcısı, Microsoft Sentinel Çözümü ile dağıtılan Beklenen InsightVMAssets ve InsightVMVulnerabilities gibi çalışması için Kusto İşlevine dayalı ayrıştırıcılara bağlıdır.

1. Rapid7 Insight VM bulutu için yapılandırma adımları

Kimlik bilgilerini almak için yönergeleri izleyin.

  1. Rapid7 InsightVM'de bir API Anahtarı oluşturun.
  2. Bölgenizi ve API Anahtarınızı not edin.
  • Bölge: (biz, ab vb.)
  • API Anahtarı: (API Anahtarı) Önemli: Rapid7 v4 API uç noktası beklenen tüm logları tutarlı şekilde döndürmeyebilir. Sonuçları iyileştirmek için, tarama aralığınızın ötesinde uygun bir tampon ile sorgulama penceresini ayarlayın. Örneğin, taramalar her 60 dakikada bir çalıştırılırsa, sorgu penceresini 75 dakikaya ayarlayın. Optimal tampon çevrenize bağlıdır ve gerektiğinde ayarlanmalıdır. Bu API güvenilirliği sorununu çözmek için Rapid7 destek ekibiyle aktif olarak çalışıyoruz.

2. Bağlan

Rapid7 Insight VM bağlayıcısını etkinleştirin.

  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



Kaydedilmiş Gelecek - Kütük Yutma

Desteklenen:Recorded Future Support Team

Kayıtlı Gelecekteki verileri Log Ingestion API'si aracılığıyla Microsoft Sentinel'e aktarır. Oyun kitabı uyarılarını yazar RecordedFuturePlaybookAlerts_V2_CL, klasik uyarılar RecordedFutureClassicAlerts_V2_CL, tehdit haritası verilerini ve RecordedFutureThreatMap_V2_CLRecordedFutureThreatMapMalware_V2_CL, sandbox sonuçlarını ise RecordedFutureSandboxResults_V2_CLyazar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
RecordedFuturePlaybookAlerts_V2_CL Evet Evet
RecordedFutureClassicAlerts_V2_CL Evet Evet
RecordedFutureThreatMap_V2_CL Evet Evet
RecordedFutureThreatMapMalware_V2_CL Evet Evet
RecordedFutureSandboxResults_V2_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Azure Aboneliği: Data Connectors altyapısını dağıtmak için gerekli Contributor ve Log Analytics Contributor izinlerini izlemek. Sahip veya Rol Tabanlı Access Control Yöneticisi, otomatik rol atamalı oyun kitaplarını dağıtmak zorundadır.
  • Kayıtlı Gelecek API Tokenı: Playbook'larda kullanılan Kayıtlı Gelecek Özel Bağlayıcıyı yetkilendirmek için bir Kayıtlı Gelecek API tokenı gereklidir.

Kurulum Yönergeleri:

Adım 1 — Data Connectors altyapısını dağıtın

Paylaşılan Veri Toplama Uç noktası (DCE), Veri Toplama Kuralları (DCR'ler), Log Analytics tabloları ve bu bağlayıcı tanım kutusunu dağıtır. Bunu Log Analytics Workspace'inizle aynı kaynak grubuna dağıtın.

aka.ms

Adım 2 — Kaydedilmiş Gelecekteki Özel Bağlayıcıyı Dağıtın

Özel konnektör, Recorded Future API'sine doğru kimlik doğrulamasını yönetir. Bir kez kullan — oyun kitaplarında paylaşılıyor.

aka.ms

Adım 3 — Oyun kitaplarını kur

Kullanım alanınıza göre bir veya daha fazla oyun kitabını kullanın. Manuel yapılandırmaya gerek yoktur — her oyun kitabı Step 1'de kurulan Data Connectors altyapısına otomatik olarak bağlanır.



Kayıtlı Gelecek Kimliği - Playbook Alert İthalatçı

Desteklenen:Recorded Future Support Team

Kaydedilmiş Gelecekteki Kimlik Playbook uyarılarını Microsoft Sentinel'e aktarıyor. Masadaki RFI_PlaybookAlertResults_V2_CL Analitik Kurallar aracılığıyla olay oluşturulmasını etkinleştirir. Tam kurulum detayları için readme sayfasına bakınız.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
RFI_PlaybookAlertResults_V2_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Azure Aboneliği: Step 1 (Data Connectors altyapısı) kaynak grubunda Monitoring Contributor ve Log Analytics Contributor gerektirir. Adım 3 (oyun kitabı), otomatik rol ataması (create_role_assignment=true) ile dağıtım sırasında Sahibi veya Rol Tabanlı Access Control Yöneticisi gerektirir, aksi takdirde Katkıda Bulunan yeterli olur.
  • Kayıtlı Gelecek API Tokenı: Playbook tarafından kullanılan RFI Özel Bağlayıcısını yetkilendirmek için Kayıtlı Gelecek Kimliği API belirtekosu gereklidir.

Kurulum Yönergeleri:

Adım 1 — Data Connectors altyapısını dağıtın

Paylaşılan Veri Toplama Uç Noktası (DCE), Veri Toplama Kuralı (DCR), Log Analytics tablosu (RFI_PlaybookAlertResults_V2_CL) ve bu bağlayıcı tanım kutusunu dağıtır.

portal.azure.com

Adım 2 — RFI-CustomConnector'ı Dağıt

Özel konnektör, Recorded Future API'sine doğru kimlik doğrulamasını yönetir. Bir kez dağıtın — oyun kitabı tarafından paylaşılıyor.

portal.azure.com

Adım 3 — RFI-Playbook-Alert-Importer-LAW'u Dağıtın

Kayıtlı Gelecekteki Kimlik Playbook uyarılarını içe aktaran ve bunları Managed Identity kullanarak Log Analytics tablosuna yazan Logic uygulamasını dağıtır. Kuruluşunuzun manuel rol ataması gerektirip gerektirmediğini belirleyin create_role_assignment=false (yukarıdaki izinlere bakınız). Dağıtımdan sonra bağlayıcıları yetkileyin ve Logic App'i etkinleştirin.

portal.azure.com

Adım 4 — Analiz Kuralını Dağıt

Tablodan RFI_PlaybookAlertResults_V2_CL Microsoft Sentinel olayları oluşturur. Kural ayrıca Microsoft Sentinel → Yapılandırma → Analitik → Kural Şablonları altında da mevcuttur.

portal.azure.com



Red Sift Olayları (CCF Anında İletme)

Tarafından desteklenir:Red Sift

Red Sift bağlayıcısı, DCE + DCR ile CCF anında iletme modelini kullanarak Red Sift kimlik doğrulamasını ve e-posta adli olaylarını Microsoft Sentinel alma özelliği sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
RedSiftAuth_CL Hayır Hayır
RedSiftEmailForensics_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • Microsoft Entra: Microsoft Entra ID'da uygulama kaydı oluşturma izni. Genellikle Entra Kimliği Uygulama Geliştirici rolü veya üzeri gerekir.
  • Microsoft Azure: Veri toplama kuralında (DCR) İzleme Ölçümleri Yayımcısı rolü atama izni. Genellikle Azure RBAC Sahibi veya Kullanıcı Erişimi Yöneticisi rolü gerektirir.

Kurulum Yönergeleri:

1. ARM Kaynakları Oluşturma ve Gerekli İzinleri Sağlama

OAuth istemci kimlik bilgileri için kullanılan DCE, DCR, özel tablo ve Entra uygulama kaydını dağıtın.

Entra Uygulaması ile Otomatik Yapılandırma ve Güvenli Veri Alımı "Dağıt" seçeneğine tıklanması Log Analytics tablolarının ve veri toplama kuralının (DCR) oluşturulmasını tetikler. Ardından bir Entra uygulaması oluşturur, DCR'yi buna bağlar ve uygulamaya girilen gizli diziyi ayarlar. Bu kurulum, verilerin Entra belirteci kullanılarak DCR'ye güvenli bir şekilde gönderilmesini sağlar.

2. Red Sift web kancasını yapılandırma

Red Sift'i olayları Microsoft Sentinel gönderecek şekilde yapılandırmak için aşağıdaki parametreleri kullanın. Her olay türü için uygun akış adını kullanın.

  • Kiracı Kimliği (Dizin Kimliği): <Yükleme zamanında sağlanan değişken değeri>
  • Entra Uygulama Kaydı Uygulama Kimliği: <yükleme zamanında sağlanan değişken değeri>
  • Entra Uygulama Kaydı Gizli Anahtarı: <yükleme zamanında sağlanan değişken değeri>
  • Veri Toplama Uç Noktası Uri'si: <yükleme zamanında sağlanan değişken değeri>
  • Veri Toplama Kuralı Sabit Kimliği: <yükleme zamanında sağlanan değişken değer>
  • Kimlik Doğrulama Olayları Stream Adı: <yükleme zamanında sağlanan değişken değeri>
  • Email Adli Olaylar Stream Adı: <yükleme zamanında sağlanan değişken değeri>



RSA Id Plus Yönetici Günlükleri Bağlayıcısı

Tarafından desteklenir:RSA Destek Ekibi

RSA Id Plus AdminLogs Bağlayıcısı, Bulut Yönetici Konsolu Denetim Olaylarını Bulut Yönetici API'lerini kullanarak Microsoft Sentinel alma özelliği sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
RSAIDPlus_AdminLogs_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • RSA Kimliği Artı API Kimlik Doğrulaması: Yönetici API'lerine erişmek için istemcinin Eski Yönetim API'si anahtarıyla imzalanmış geçerli bir Base64URL kodlanmış JWT belirteci gereklidir.

Kurulum Yönergeleri:

NOT: Bu bağlayıcı, günlükleri Microsoft Sentinel çekmek için RSA ID Plus Cloud Yönetici API'lerine bağlanmak için Kodsuz Bağlayıcı Çerçevesi 'ni (CCF) kullanır.

1. ADIM - Bulut Yönetici Konsolunda Eski Yönetici API İstemcisi Oluşturma.

Bu sayfada belirtilen adımları izleyin.

ADIM 2 - Base64URL kodlu JWT Belirtecini oluşturun.

'Eski Yönetim API'si' başlığı altında bu sayfada belirtilen adımları izleyin.

3. ADIM - Yönetici olay günlüklerini Microsoft Sentinel almaya başlamak için Bulut Yönetici API'sini yapılandırın.

Aşağıdaki gerekli değerleri sağlayın:

  • Yönetici API URL'si: (https://< tenantName.access.securid.com/AdminInterface/restapi/v1/adminlog/exportLogs>)
  • JWT Belirteci: (JWT Belirtecinizi girin)

4. ADIM - Bağlan'a tıklayın

Yukarıdaki tüm alanların doğru doldurulduğunu doğrulayın. Bağlayıcıyı başlatmak için Bağlan'a basın.

  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



Rubrik Security Cloud veri bağlayıcısı (Azure İşlevleri kullanarak)

Tarafından desteklenir:Rubrik

Rubrik Security Cloud veri bağlayıcısı, güvenlik operasyonları ekiplerinin Rubrik'in Veri Gözlemlenebilirliği hizmetlerindeki içgörüleri Microsoft Sentinel tümleştirmesine olanak tanır. İçgörüler fidye yazılımı ve toplu silme ile ilişkili anormal dosya sistemi davranışını belirlemeyi, fidye yazılımı saldırısının patlama yarıçapını değerlendirmeyi ve olası olayları önceliklendirmek ve daha hızlı araştırmak için hassas veri işleçlerini içerir.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
Rubrik_Anomaly_Data_CL Evet Evet
Rubrik_Ransomware_Data_CL Evet Evet
Rubrik_ThreatHunt_Data_CL Evet Evet
Rubrik_Events_Data_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Microsoft.Web/sites izinleri: İşlev Uygulaması oluşturmak için Azure İşlevleri okuma ve yazma izinleri gereklidir. Daha fazla bilgi için bkz. Azure İşlevleri.

Kurulum Yönergeleri:

NOT: Bu bağlayıcı, günlüklerini Microsoft Sentinel göndererek Rubrik web kancasına bağlanmak için Azure İşlevleri kullanır. Bu, ek veri alımı maliyetlerine neden olabilir. Ayrıntılar için Azure İşlevleri fiyatlandırma sayfasına bakın.

(İsteğe Bağlı Adım) Çalışma alanını ve API yetkilendirme anahtarlarını veya belirteçlerini Azure Key Vault güvenli bir şekilde depolayın. Azure Key Vault, anahtar değerlerini depolamak ve almak için güvenli bir mekanizma sağlar. Azure İşlev Uygulaması ile Azure Key Vault kullanmak için bu yönergeleri izleyin.

ADIM 1 - Bağlayıcıyı ve ilişkili Azure İşlevini dağıtmak için aşağıdaki iki dağıtım seçeneğinden Bİrİ'ni seçin

ÖNEMLİ: Rubrik Microsoft Sentinel veri bağlayıcısını dağıtmadan önce, Çalışma Alanı Kimliği ve Çalışma Alanı Birincil Anahtarı'nı (aşağıdakilerden kopyalanabilir) hazır...

  • Çalışma Alanı Kimliği: <Yükleme zamanında sağlanan değişken değeri>
  • Birincil Anahtar: <Yükleme zamanında sağlanan değişken değeri>

Seçenek 1 - Azure Resource Manager (ARM) Şablonu

Rubrik bağlayıcısının otomatik dağıtımı için bu yöntemi kullanın.

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.ms

  2. Tercih edilen Abonelik, Kaynak Grubu ve Konum'a tıklayın.

  3. Aşağıdaki bilgileri girin: İşlev Adı Çalışma Alanı Kimliği Çalışma Alanı Anahtarı AnomalileriTableName RansomwareAnalysisTableName ThreatHuntsTableName EventsTableName LogLevel

  4. Yukarıda belirtilen hüküm ve koşulları kabul ediyorum etiketli onay kutusunu işaretleyin.

  5. Dağıtmak için Satın Al'a tıklayın.

Seçenek 2 - Azure İşlevleri El ile Dağıtımı

Rubrik Microsoft Sentinel veri bağlayıcısını Azure İşlevleri (Visual Studio Code aracılığıyla dağıtım) ile el ile dağıtmak için aşağıdaki adım adım yönergeleri kullanın.

  1. İşlev Uygulaması Dağıtma

NOT: VS kodunu Azure işlev geliştirme için hazırlamanız gerekir.

  1. Azure İşlev Uygulaması dosyasını indirin. Arşivi yerel geliştirme bilgisayarınıza ayıklayın.

  2. VS Code'ı başlatın. Ana menüde Dosya'yı ve ardından Klasörü Aç'ı seçin.

  3. Ayıklanan dosyalardan en üst düzey klasörü seçin.

  4. Etkinlik çubuğunda Azure simgesini seçin, ardından Azure: İşlevler alanında İşlev uygulamasına dağıt düğmesini seçin. Henüz oturum açmadıysanız, Etkinlik çubuğunda Azure simgesini seçin, ardından Azure: İşlevler alanında Oturum aç'ı seçerek Azure Oturum açtıysanız sonraki adıma geçin.

  5. İstemlerde aşağıdaki bilgileri sağlayın:

    a. Klasör seçin: Çalışma alanınızdan bir klasör seçin veya işlev uygulamanızı içeren klasöre göz atın.

    b. Abonelik'i seçin: Kullanılacak aboneliği seçin.

    c. Azure'de yeni İşlev Uygulaması oluştur'u seçin (Gelişmiş seçeneğini belirleme)

    d. İşlev uygulaması için genel olarak benzersiz bir ad girin: URL yolunda geçerli bir ad yazın. Yazdığınız ad, Azure İşlevleri benzersiz olduğundan emin olmak için doğrulanır. (örneğin, RubrikXXXXXX).

    e. Çalışma zamanı seçin: Python 3.8 veya üzerini seçin.

    f. Yeni kaynaklar için bir konum seçin. Daha iyi performans ve düşük maliyetler için Microsoft Sentinel bulunduğu bölgeyi seçin.

  6. Dağıtım başlar. İşlev uygulamanız oluşturulduktan ve dağıtım paketi uygulandıktan sonra bir bildirim görüntülenir.

  7. İşlev Uygulaması yapılandırması için Azure portalı'na gidin.

  8. İşlev Uygulamasını Yapılandırma

  9. İşlev Uygulamasında İşlev Uygulaması Adı'nı ve ardından Yapılandırma'yı seçin.

  10. Uygulama ayarları sekmesinde + Yeni uygulama ayarı'nı seçin.

  11. Aşağıdaki uygulama ayarlarının her birini ilgili değerleriyle (büyük/küçük harfe duyarlı) tek tek ekleyin: WorkspaceID WorkspaceKey AnomaliesTableName RansomwareAnalysisTableName ThreatHuntsTableName EventsTableName LogLevel logAnalyticsUri (isteğe bağlı)

  • Ayrılmış bulut için log analytics API uç noktasını geçersiz kılmak için logAnalyticsUri kullanın. Örneğin, genel bulut için değeri boş bırakın; Azure GovUS bulut ortamı için değeri şu biçimde belirtin: https://< CustomerId.ods.opinsights.azure.us>.
  1. Tüm uygulama ayarları girildikten sonra Kaydet'e tıklayın.

Dağıtım Sonrası adımları

1) İşlev uygulaması uç noktasını alma

  1. Azure işlevine Genel Bakış sayfasına gidin ve "İşlevler" sekmesine tıklayın.
  2. "RubrikHttpStarter" adlı işleve tıklayın.
  3. "GetFunctionurl" bölümüne gidin ve işlev url'sini kopyalayın.

2) Microsoft Sentinel'a veri göndermek için RubrikSecurityCloud'da bir web kancası ekleyin.

Olay bilgilerini almaya başlamak için Rubrik Kullanıcı Kılavuzu yönergelerini izleyerek Web Kancası Ekleme

  1. web kancası Sağlayıcısı olarak Microsoft Sentinel seçin
  2. İstenen Web Kancası adını girin
  3. Kopyalanan İşlev url'sinden URL bölümünü web kancası URL uç noktası olarak girin ve Rubrik Microsoft Sentinel Çözümü için {functionname} yerine "RubrikAnomalyOrchestrator" yazın
  4. Anomali olarak EventType'ı seçin
  5. Aşağıdaki önem derecelerini seçin: Kritik, Uyarı, Bilgilendirici
  6. "RubrikEventsOrchestrator" çalıştırılırken isterseniz birden çok günlük türü seçin
  7. Anomali Algılama Analizi, Tehdit Avı ve Diğer Olaylar için web kancaları eklemek için aynı adımları yineleyin.

NOT: Anomali Algılama Analizi, Tehdit Avı ve Diğer Olaylar için web kancaları eklerken, kopyalanan işlev url'sinde {functionname} yerine sırasıyla "RubrikRansomwareOrchestrator", "RubrikThreatHuntOrchestrator" ve "RubrikEventsOrchestrator" değerlerini yazın.

Artık rubrik Web kancası yapılandırmasıyla işimiz bitti. Web kancası olayları tetikledikten sonra, "Rubrik_Anomaly_Data_CL", "Rubrik_Ransomware_Data_CL", "Rubrik_ThreatHunt_Data_CL" ve "Rubrik_Events_Data_CL" adlı ilgili LogAnalytics çalışma alanı tablosunda Anomali, Anomali Algılama Analizi, Tehdit Avı olaylarını ve Diğer Olayları görebilmeniz gerekir.



Rubrik Security Cloud Protection Status (Codeless Connector Framework kullanılarak)

Tarafından desteklenir:Rubrik

Rubrik Security Cloud Protection Status veri bağlayıcısı, RSC'den koruma ve uyumluluk durumu bilgilerini Microsoft Sentinel'e aktarmanızı sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
RubrikProtectionStatus_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Kurulum Yönergeleri:

1. Rubrik Güvenlik Bulut Kimlik Bilgilerini Girin

Veri toplamayı mümkün kılmak için RSC API kimlik bilgilerinizi verin.

Yapılandırma Adımları:

  1. RSC URL - Kuruluşunuzun RSC URL'si (örneğin, https://your-org.my.rubrik.com)
  2. İstemci Kimliği - RSC'den hizmet hesabı istemci kimliği (format: client|xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx)
  3. İstemci Gizli - RSC'den hizmet hesabı istemci gizliliği RSC'de hizmet hesabı oluşturmak için:

  • RSC → Ayarlar → Access Management → Service Accounts'a gidin

  • Uygun API izinleriyle yeni hizmet hesabı oluşturun

  • İstemci Kimliği ve İstemci Sırrı Dikkat Edilsin.

    • RSC URL: (https://your-org.my.rubrik.com)
    • İstemci Kimliği: (istemci|xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxxxxx)
    • İstemci Gizri: (İstemci Sırrı Girin)

2. Rubrik Security Cloud'a bağlanın

Veri alımını başlatmak için Bağa tıklayın.

  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



Rubrik Security Cloud Security Events (Push)

Tarafından desteklenir:Rubrik

Rubrik Security Cloud Security Events (Push) konnektörü, Codeless Connector Framework (CCF) Push deseni kullanılarak Rubrik Security Cloud'dan güvenlik olaylarını gerçek zamanlı olarak Microsoft Sentinel'e alır. Rubrik Security Cloud webhooks OAuth 2.0 ile authenticate eder ve olayları doğrudan Azure İzleyici Logs Ingestion API'sine gönderir, deploy veya işletmek için ara hesaplama yok. Olaylar, anomaliler, fidye yazılımı analizleri, tehdit avları ve diğer tüm olaylar için kategori tablolarına yönlendirilir.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
Rubrik_Anomaly_Data_CL Evet Evet
Rubrik_Ransomware_Data_CL Evet Evet
Rubrik_ThreatHunt_Data_CL Evet Evet
Rubrik_Events_Data_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Microsoft Entra: Microsoft Entra ID'da uygulama kaydı oluşturma izni. Genellikle Entra Kimliği Uygulama Geliştirici rolü veya üzeri gerekir.
  • Microsoft Azure: Veri toplama kuralında (DCR) İzleme Ölçümleri Yayımcısı rolü atama izni. Genellikle Azure RBAC Sahibi veya Kullanıcı Erişimi Yöneticisi rolü gerektirir.
  • Rubrik Güvenlik Bulutu: Rubrik Security Cloud'da web hookları oluşturma ve yönetme iznine sahip bir hesap.

Kurulum Yönergeleri:

1. Alım kaynaklarını dağıtın

Bu bağlantı, Rubrik Security Cloud'un güvenlik olaylarını doğrudan Microsoft Sentinel'e Azure İzleyici Logs Ingestion API üzerinden göndermesine olanak tanır.

Otomatik yapılandırma Deploy'u seçmek Log Analytics tablolarını ve bir Veri Toplama Kuralı (DCR) oluşturur, Microsoft Entra uygulamasını kaydeder, DCR'yi o uygulamaya bağlar ve gerekli rolü atar. Rubrik Security Cloud ise ortaya çıkan kimlik bilgilerini kullanarak olayları güvenli bir şekilde DCR'ye gönderir.

2. Bağlantı detaylarını toplayın

Dağıtım tamamlandıktan sonra bu değerleri kopyalayın. Rubrik Security Cloud'da web hook'ları oluştururken bunları gireceksiniz.

  • Kiracı Kimliği (Dizin Kimliği): <Yükleme zamanında sağlanan değişken değeri>
  • Entra Uygulama Kaydı Uygulama Kimliği: <yükleme zamanında sağlanan değişken değeri>
  • Entra Uygulama Kaydı Gizli Anahtarı: <yükleme zamanında sağlanan değişken değeri>
  • Veri Toplama Uç Noktası Uri'si: <yükleme zamanında sağlanan değişken değeri>
  • Veri Toplama Kuralı Sabit Kimliği: <yükleme zamanında sağlanan değişken değer>

3. Rubrik Security Cloud'da web hook'ları oluşturun

Her etkinlik kategorisi için bir web kancası oluşturun. Her webhook aynı Veri Toplama Uç noktasına gönderi yapar ancak farklı bir akışı hedefler ve bu da hedef tabloyu belirler.

Webhook Doğrulama Rubrik Security Cloud'da, her webhook'u Microsoft Sentinel sağlayıcısıyla oluşturun ve kimlik doğrulama türünü şu değerlerle OAuth 2.0'a ayarlayın:

Setting Value
İzin verme türü client_credentials
Belirteç URL'si <Microsoft Entra ID Token Endpoint>/<Tenant ID>/oauth2/v2.0/token
Müşteri Kimliği <Application ID>
istemci parolası <Application Secret>
Scope https://monitor.azure.com//.default

<Microsoft Entra ID Token Endpoint> Azure bulutunuz için Microsoft Entra ID kimlik doğrulama uç noktası ile değiştirin, <Tenant ID>ve , <Application ID><Application Secret> ve yukarıda oluşturulan uygulama kayıt değerleriyle değiştirin.

Webhook URL'leri

Her webhook için aşağıdaki URL'yi kullanın, <Data Collection Endpoint Uri> yukarıda <Stream Name> kopyalanan değerlerle ve <Data Collection Rule Immutable ID> o olay kategorisi için akışla birlikte kullanın:

<Data Collection Endpoint Uri>/dataCollectionRules/<Data Collection Rule Immutable ID>/streams/<Stream Name>?api-version=2023-01-01

Olay kategorisi Akarsu adı Hedef tablo
Anomali Custom-Rubrik_Anomaly_Data Rubrik_Anomaly_Data_CL
Fidye yazılımı analizi Custom-Rubrik_Ransomware_Data Rubrik_Ransomware_Data_CL
Tehdit avı Custom-Rubrik_ThreatHunt_Data Rubrik_ThreatHunt_Data_CL
Diğer tüm etkinlikler Custom-Rubrik_Events_Data Rubrik_Events_Data_CL

Her webhook'un olay türü ve şiddet filtrelerini eşleşme kategorisine göre kapsamlayın, böylece olaylar doğru tabloya yönlendirilsin.



SaaS Güvenliği

Tarafından desteklenir:Valence Security

REST API arabirimi aracılığıyla Log Analytics Azure Valence SaaS güvenlik platformunu bağlar

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
ValenceAlert_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Kurulum Yönergeleri:

1. Adım: Ayrıntılı belgeleri okuyun

Yükleme işlemi Valence Security'nin bilgi bankası ayrıntılı olarak belgelenmiştir. Kullanıcı, tümleştirmenin yüklenmesini ve hatalarını ayıklamayı anlamak için bu belgelere daha fazla başvurmalıdır.

2. Adım: Çalışma alanı erişim kimlik bilgilerini alma

İlk yükleme adımı, Microsoft Sentinel platformundan hem Çalışma Alanı Kimliğinizi hem de Birincil Anahtarınızı almaktır. Aşağıda gösterilen değerleri kopyalayın ve API günlük ileticisi tümleştirmesinin yapılandırması için kaydedin.

  • Çalışma Alanı Kimliği: <Yükleme zamanında sağlanan değişken değeri>
  • Birincil Anahtar: <Yükleme zamanında sağlanan değişken değeri>

3. Adım: Valence Güvenlik Platformu'nda Sentinel tümleştirmesini yapılandırma

Valence Security Platform yöneticisi olarak yapılandırma ekranına gidin, SIEM Tümleştirme kartında Bağlan'a tıklayın ve Microsoft Sentinel'yi seçin. Önceki adımdaki değerleri yapıştırın ve Bağlan'a tıklayın. Valence bağlantıyı test eder, böylece başarı bildirildiğinde bağlantı çalıştı.



SailPoint Identity Security Cloud (Codeless Connector Framework aracılığıyla)

Tarafından desteklenir:SailPoint

SailPoint Identity Security Cloud veri bağlayıcısı, REST API üzerinden Microsoft Sentinel'e arama olaylarını aktarma yeteneği sağlar. Bağlayıcı, müşterilere Identity Security Cloud kiracacılarından denetim bilgisi alma imkanı sağlar. Her biri benzersiz Kiracı Kimliği Kimliği ve alan adıyla tanımlanan birden fazla SailPoint Identity Security Cloud kiracısını aynı anda bağlamayı destekler - böylece tek bir Microsoft Sentinel çalışma alanından birden fazla ortamı (üretim, demo, ortak) izlemeyi kolaylaştırır. API kimlik doğrulama detayları için SailPoint Geliştirici Dokümantasyonu'na bakınız.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
SailPointISC_Events_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • SailPoint Kimlik Güvenliği Bulutu OAuth2 İstemci Kimlik Bilgileri: Kapsama sahip sp:search:read bir OAuth2 İstemci Kimliği ve İstemci Gizliliği gereklidir. SailPoint Kiracınızda bir Kişisel Erişim Tokenı (PAT) oluşturun. Adım adım talimatlar için lütfen Compass Topluluğumuzdaki dokümantasyonlara bakabilirsiniz.

Kurulum Yönergeleri:

Önkoşullar

  1. Kiracı Kimliğinizi ve Alan Adını Bulun Kiracı Kimliğiniz SailPoint URL'nizin alt alan adıdır.
Environment URL'niz Kiracı Kimliği Domain
Üretim https://acme.identitynow.com acme identitynow
Demo/Partner https://ta-partner19947.identitynow-demo.com ta-partner19947 identitynow-demo

Bağlantı cihazı şunları çağırır: https://{Tenant ID}.api.{Domain}.com/v2025/search/events

  1. Kişisel Erişim Tokenı (PAT) oluşturun.
  2. Identity Security Cloud kiracınıza giriş yapın. Profil adınıza sağ üst köşeye tıklayın ve açılır menüden Tercihler'i seçin.
  3. Sol taraftaki gezinme panelinde Kişisel Erişim Tokenları seçeneğini seçin.
  4. Yeni Token butonuna tıklayın.
  5. Bu token Ne için? alanında, bu tokenın nasıl kullanılacağına dair açık ve anlamlı bir açıklama girin.
  6. Son kullanma tarihi seçin.
  7. Satıcı Entegrasyonu açılır menüsünden SailPoint IdentityNow için Microsoft Microsoft Sentinel seçin.
  8. Arama API'sini sorgulamak için kapsam seçeneğini seçin sp:search:read .
  9. Token Oluştur tuşuna tıklayın. Hem İstemci Kimliğini hem de Sırrı hemen kopyalayıp güvenli bir şekilde kaydedin. Önemli: Sır sadece bir kez görüntülenir ve pencereyi kapattıktan sonra tekrar alınamaz.

SailPoint Kimlik Güvenliği Bulut Bağlantıları

SailPoint Identity Security Cloud kiracılarınıza bağlantılar ekleyin ve yönetin. Birden fazla kiracıyı aynı anda bağlayabilirsiniz.

  • Veri Bağlayıcıları Kılavuzu (portalda yapılandır)



Salesforce Denetim Günlükleri (Kodsuz Bağlayıcı Çerçevesi aracılığıyla)

Tarafından desteklenir:Microsoft Corporation

Salesforce Denetim Günlükleri veri bağlayıcısı, Salesforce kuruluşunuzdaki yönetim değişikliklerini ve yapılandırma değişikliklerini REST API aracılığıyla Microsoft Sentinel alma olanağı sağlar. Bağlayıcı, Kurulum Denetim İzi ve Oturum Açma Geçmişi olaylarını kuruluşunuzun yapılandırmasında yapılan değişiklikleri izleyen Microsoft Sentinel alma olanağı sağlayarak güvenlik ve uyumluluk görünürlüğünü korumanıza yardımcı olur.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
SalesforceAuditTrailV2_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Salesforce Service Cloud API erişimi: Bağlı Uygulama aracılığıyla Salesforce Service Cloud API'sine erişim gereklidir.

Kurulum Yönergeleri:

Salesforce'u Microsoft Sentinel bağlama

OAuth için Salesforce'ta Bağlı Uygulama Oluşturma ve OAuth 2.0 İstemci Kimlik Bilgileri Akışı için Bağlı Uygulama Yapılandırma'yı izleyerek Salesforce Hizmeti Bulut API'sine erişimi olan bir Bağlı Uygulama oluşturun. Bu yönergeler aracılığıyla Tüketici Anahtarı ve Tüketici Gizli Anahtarı'nı almanız gerekir. Salesforce Etki Alanı adı için Kurulum'a gidin, Hızlı Bul kutusuna Etki Alanım yazın ve etki alanı ayrıntılarınızı görüntülemek için Etki Alanım'ı seçin. Etki alanı adını sondaki eğik çizgi olmadan girdiğinizden emin olun (ör. https://your-domain.my.salesforce.com). Aşağıdaki formu bu bilgilerle doldurun.

Çözüm sürüm 3.6.0 ve sonraki sürümler ise Salesforce Audit kayıtları V2 tablolarını kullanır. Mevcut sorular için lütfen güncellenmiş ayrıştırıcı kullanın. Çözümün sürüm notlarına buradan bakabilirsiniz

Salesforce Bağlantılarını Yönetin

Salesforce bağlantılarını ekle, görüntüle ve sil

  • Veri Bağlayıcıları Kılavuzu (portalda yapılandır)



Salesforce Pazarlama Bulutu (Codeless Connector Framework aracılığıyla)

Tarafından desteklenir:Microsoft Corporation

Salesforce Marketing Cloud Audit Trail API'sinden denetim olaylarını ve güvenlik olaylarını toplar. Kullanıcı faaliyetleri, sistem değişiklikleri ve giriş olaylarına görünürlük sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
SalesforceMarketingCloudAuditEvents Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • Salesforce Marketing Cloud API erişimi: Yüklü Paket aracılığıyla Salesforce Marketing Cloud API'sine erişim gereklidir.

Kurulum Yönergeleri:

Salesforce Marketing Cloud'u Microsoft Sentinel'e bağla

Salesforce Marketing Cloud dokümantasyonunu takip ederek Veriler | İzleme Etkinliği | İzin kapsamını okuma. Kurulum bölümündeki Kurulu Paketler bölümünden kiracıya özel REST API ve Oto taban URL'lerinizi not edin.

Salesforce Bağlantılarını Yönetin

Salesforce bağlantılarını ekle, görüntüle ve sil

  • Veri Bağlayıcıları Kılavuzu (portalda yapılandır)



SalesForce Real-Time Olay İzleme Bağlayıcısı (Kodsuz Bağlayıcı Çerçevesi aracılığıyla)

Tarafından desteklenir:Microsoft Corporation

Salesforce Real-Time Olay İzleme (RTEM) Bağlayıcısı, Olay Depolama için Nesne kullanarak Salesforce gerçek zamanlı olaylarınızla ilgili bilgileri REST API aracılığıyla Microsoft Sentinel alma özelliği sağlar. Bağlayıcı, kuruluşunuzdaki olayları hızlandırılmış bir şekilde gözden geçirme, son etkinlikler için gerçek zamanlı olay verileri alma olanağı sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
SalesForceRealTimeEventMonitoring_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Salesforce Olay İzleme API'sine erişim: Bağlı uygulama aracılığıyla Salesforce Olay İzleme API'sine erişim gereklidir.

Kurulum Yönergeleri:

Microsoft Sentinel'da gerçek zamanlı olay izleme günlüklerini toplamaya başlamak için Salesforce Olay İzleme'ye bağlanın

Salesforce Olay İzleme API'sine erişimi olan bir Bağlı Uygulama oluşturmak için OAuth için Salesforce'ta Bağlı Uygulama Oluşturma ve OAuth 2.0 İstemci Kimlik Bilgileri Akışı için Bağlı Uygulama Yapılandırma'yı izleyin. Bu yönergeler aracılığıyla Tüketici Anahtarı ve Tüketici Gizli Anahtarı'nı almanız gerekir. Salesforce Etki Alanı adı için Kurulum'a gidin, Hızlı Bul kutusuna Etki Alanım yazın ve etki alanı ayrıntılarınızı görüntülemek için Etki Alanım'ı seçin. Etki alanı adını sondaki eğik çizgi olmadan girdiğinizden emin olun (ör. https://your-domain.my.salesforce.com). Aşağıdaki formu bu bilgilerle doldurun.

Gerekli Ek Abonelik: Bu bağlantının çalışması için Salesforce hesabınızda Salesforce Shield veya Salesforce Event Monitoring ek abonelikleri bulunmalıdır.

Salesforce Bağlantılarını Yönetin

Salesforce bağlantılarını ekle, görüntüle ve sil

  • Veri Bağlayıcıları Kılavuzu (portalda yapılandır)



Salesforce Service Cloud (Kodsuz Bağlayıcı Çerçevesi aracılığıyla)

Tarafından desteklenir:Microsoft Corporation

Salesforce Service Cloud veri bağlayıcısı, Salesforce operasyonel etkinliklerinizle ilgili bilgileri REST API aracılığıyla Microsoft Sentinel alma özelliği sağlar. Bağlayıcı, kuruluşunuzdaki olayları hızlandırılmış bir şekilde gözden geçirme, son etkinlikler için saatlik artışlarla olay günlüğü dosyalarını alma olanağı sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
SalesforceServiceCloudV3_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Salesforce Service Cloud API erişimi: Bağlı Uygulama aracılığıyla Salesforce Service Cloud API'sine erişim gereklidir.

Kurulum Yönergeleri:

Microsoft Sentinel'da olay günlüklerini toplamaya başlamak için Salesforce Service Cloud API'sine bağlanın

OAuth için Salesforce'ta Bağlı Uygulama Oluşturma ve OAuth 2.0 İstemci Kimlik Bilgileri Akışı için Bağlı Uygulama Yapılandırma'yı izleyerek Salesforce Hizmeti Bulut API'sine erişimi olan bir Bağlı Uygulama oluşturun. Bu yönergeler aracılığıyla Tüketici Anahtarı ve Tüketici Gizli Anahtarı'nı almanız gerekir. Salesforce Etki Alanı adı için Kurulum'a gidin, Hızlı Bul kutusuna Etki Alanım yazın ve etki alanı ayrıntılarınızı görüntülemek için Etki Alanım'ı seçin. Etki alanı adını sondaki eğik çizgi olmadan girdiğinizden emin olun (ör. https://your-domain.my.salesforce.com). Aşağıdaki formu bu bilgilerle doldurun.

Dikkat: Çözüm 3.2.0 ve sonraki sürümler SalesforceServiceCloudV3_CL tablosunu kullanır. Mevcut sorular için lütfen güncellenmiş ayrıştırıcı kullanın. Çözümün sürüm notlarına buradan bakabilirsiniz

Salesforce Bağlantılarını Yönetin

Salesforce bağlantılarını ekle, görüntüle ve sil

  • Veri Bağlayıcıları Kılavuzu (portalda yapılandır)



Samsung Knox Varlık Zekası

Tarafından desteklenir:Samsung Electronics Co., Ltd.

Samsung Knox Varlık Yönetim Bilgileri Veri Bağlayıcısı, Çalışma Kitabı şablonunu kullanarak özelleştirilmiş içgörüleri görüntülemek ve Analiz Kuralları şablonlarına göre olayları tanımlamak için mobil güvenlik olaylarınızı ve günlüklerinizi merkezileştirmenize olanak tanır.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
Samsung_Knox_Audit_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

Kurulum Yönergeleri:

Bu Veri Bağlayıcısı, Güvenlik olaylarını Samsung Knox Varlık Yönetim Bilgileri (KAI) çözümünden Microsoft Sentinel göndermek için Microsoft Günlük Alımı API'sini kullanır.

ADIM 1 - Entra Uygulaması oluşturma ve kaydetme

Not: Bu Veri Bağlayıcısı Sertifika tabanlı veya İstemci Gizli Anahtarı tabanlı kimlik doğrulamayı destekleyebilir. Sertifika tabanlı kimlik doğrulaması için KAI belge portalından Samsung CA imzalı sertifikayı (ortak anahtar) indirebilirsiniz. gizli dizi tabanlı istemci kimlik doğrulaması için, Entra uygulama kaydı sırasında gizli diziyi oluşturabilirsiniz. İstemci Gizli Anahtarı değerini oluşturulur oluşturulmaz kopyaladığınızdan emin olun.

ÖNEMLİ: Kiracı (Dizin) Kimliği ve İstemci (Uygulama) Kimliği değerlerini kaydedin. gizli dizi tabanlı istemci kimlik doğrulaması etkinleştirildiyse, Entra uygulamasıyla ilişkili gizli diziyi (Gizli Dizi Değeri) kaydedin.

2. ADIM - Aşağıdaki Azure Resource Manager (ARM) şablonunu kullanarak bu Veri Bağlayıcısı dağıtımını otomatikleştirin

ÖNEMLİ: Veri Bağlayıcısı'nı dağıtmadan önce, Microsoft Sentinel (aynı zamanda Log Analytics) örneğinizle ilişkili aşağıdaki Çalışma Alanı adını kopyalayın.

  • Çalışma Alanı Adı: <yükleme zamanında sağlanan değişken değeri>

  1. Samsung Knox Intelligence Çözümünü yüklemek için aşağıdaki düğmeye tıklayın.

    aka.ms\n2. Şu gerekli alanları sağlayın: Log Analytics Çalışma Alanı Adı, Log Analytics Çalışma Alanı Konumu, Log Analytics Çalışma Alanı Aboneliği (Kimlik) ve Log Analytics Çalışma Alanı Kaynak Grubu.

3. ADIM - Microsoft Sentinel Veri Toplama ayrıntılarını alma

ARM şablonu dağıtıldıktan sonra Veri Toplama Kuralları https://portal.azure.com/#browse/microsoft.insights%2Fdatacollectionrules? bölümüne gidin ve Sabit Kimlik (DCR) ve Veri Toplama Uç Noktası (DCE) ile ilişkili değerleri kaydedin.

ÖNEMLİ: Uçtan uca tümleştirmeyi etkinleştirmek için, Samsung Knox Varlık Yönetim Bilgileri portalında yapılandırma için Microsoft Sentinel DCE ve DCR ile ilgili bilgiler gereklidir (4. ADIM).

ADIM 1'de oluşturulan Entra Uygulamasının DCE'ye veri göndermek için oluşturulan DCR'yi kullanma izinlerine sahip olduğundan emin olun. İzinleri uygun şekilde atamak için lütfen /azure/azure-monitor/logs/tutorial-logs-ingestion-portal#assign-permissions-to-the-dcr bölümüne bakın.

4. ADIM - Microsoft Sentinel'ı Belirli Knox Güvenlik Olaylarını Uyarı olarak gönderecek şekilde yapılandırmak için Samsung Knox Varlık Yönetim Bilgileri çözümüne bağlanma

  1. Knox Varlık Yönetim Bilgileri yönetim portalında oturum açın ve Pano Ayarları'na gidin; bu, Portalın sağ üst köşesinde bulunur.

Not: Oturum açma kullanıcısının 'Güvenlik' ve 'Pano görünümünü ve veri toplamayı yönetme' izinlerine erişimi olduğundan emin olun.

  1. Microsoft Sentinel Tümleştirme ve Knox Güvenlik Günlükleri ayarlarını görüntülemek için Güvenlik sekmesine tıklayın.

  2. Güvenlik İşlemleri Tümleştirme sayfasında , 'Microsoft Sentinel Tümleştirmeyi Etkinleştir' seçeneğini açın ve gerekli alanlara uygun değerleri girin.

a. Kullanılan kimlik doğrulama yöntemine bağlı olarak, Entra uygulamasını kaydederken ADIM 1'den kaydedilen bilgilere bakın.

b. Microsoft Sentinel DCE ve DCR için 3. ADIM'dan kaydedilen bilgilere bakın.

  1. 'Bağlantıyı Test Et'e tıklayın ve bağlantının başarılı olduğundan emin olun.

  2. Kaydetmeden önce, Temel veya Gelişmiş yapılandırma (varsayılan: Temel) seçeneğini belirleyerek Knox Güvenlik Günlüklerini yapılandırın.

  3. Microsoft Sentinel tümleştirmesini tamamlamak için 'Kaydet'e tıklayın.



SAP BTP

Tarafından desteklenir:Microsoft Corporation

SAP İş Teknolojisi Platformu (SAP BTP), tek bir birleşik ortamda veri yönetimi, analiz, yapay zeka, uygulama geliştirme, otomasyon ve tümleştirmeyi bir araya getirir.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
SAPBTPAuditLog_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Denetim Alma API'si için İstemci Kimliği ve İstemci Gizli Anahtarı: BTP'de API erişimini etkinleştirin.

Kurulum Yönergeleri:

1. Adım - SAP BTP Denetim Alma API'sine yönelik yapılandırma adımları

SAP tarafından sağlanan adımları izleyin . Bkz. Cloud Foundry Ortamında Genel Hesaplar için Denetim Günlüğü Alma API'si. URL'yi (Denetim Alma API'si URL'si), uaa.url'yi (Kullanıcı Hesabı ve Kimlik Doğrulama Sunucusu url'si) ve ilişkili uaa.clientid değerini not alın.

NOT:Sağlanan araçları kullanarak BTP alt hesaplarını toplu olarak ekleyebilirsiniz.

SAP BTP'den Microsoft Sentinel olayları bağlama

OAuth istemci kimlik bilgilerini kullanarak bağlanma

Althesaplar

Her satır bağlı bir alt hesabı temsil eder

  • Veri Bağlayıcıları Kılavuzu (portalda yapılandır)



SAP Kurumsal Tehdit Tespiti, bulut sürümü

Tarafından desteklenir:SAP

SAP Enterprise Threat Detection, cloud edition (ETD) veri bağlayıcısı, etd'den Microsoft Sentinel güvenlik uyarılarının alımına olanak sağlayarak çapraz bağıntı, uyarı ve tehdit avcılığını destekler.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
SAPETDAlerts_CL Evet Evet
SAPETDInvestigations_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • ETD Alma API'si için İstemci Kimliği ve İstemci Gizli Anahtarı: ETD'de API erişimini etkinleştirin.

Kurulum Yönergeleri:

1. Adım - SAP ETD Denetim Alma API'sine yönelik yapılandırma adımları

SAP tarafından sağlanan adımları izleyerek ETD belgelerine bakın. URL'yi (Denetim Alma API'si URL'si), uaa.url'yi (Kullanıcı Hesabı ve Kimlik Doğrulama Sunucusu url'si) ve ilişkili uaa.clientid değerini not alın.

NOT: SAP tarafından sağlanan adımları izleyerek bir veya daha fazla ETD alt hesabı ekleyebilirsiniz. Her alt hesap için bir bağlantı ekleyin.

IPUCU: Ek bilgi için paylaşılan blog serisini kullanın.

SAP ETD'den Microsoft Sentinel olayları bağlama

OAuth istemci kimlik bilgilerini kullanarak bağlanma

ETD hesapları

Her satır bağlı bir ETD hesabını temsil eder

  • Veri Bağlayıcıları Kılavuzu (portalda yapılandır)



SAP LogServ (RISE), S/4HANA Cloud özel sürümü

Tarafından desteklenir:SAP

SAP LogServ, kayıtlı bir müşteri tarafından kullanılan tüm SAP sistemleri, uygulamaları ve ECS hizmetlerinden kayıtları toplayan ve depolayan ve ileden bir SAP Kurumsal Bulut Hizmetleri (ECS) hizmetidir. Bu bağlayıcı, bu logları neredeyse gerçek zamanlı olarak Microsoft Sentinel'e aktarır ve SAP uygulama katmanı algılamalarını HANA veritabanı, SAP Web Dispatcher, işletim sistemi, DNS ve Azure ağ akışları gibi altyapı loglarıyla tamamlar.

Standart log formatları, veri toplama kuralı tarafından otomatik olarak eşleşen Microsoft Sentinel tablolara yönlendirilir — Syslog, WindowsEvent / SecurityEvent ve ASIM normalize edilmiş tablolar ASimDnsActivityLogs, ASimWebSessionLogs ve ASimNetworkSessionLogs — oysa SAP'ye özgü loglar SAPLogServ_CL özel tabloda kalır. Bu loglar normalleştirilmiş, kaynaktan bağımsız tablolara yerleştirildiği için, Microsoft'un ilgili ASIM şemaları ve standart tablolar için gönderdiği kutudan çıkmış analitik kurallar ve avlama sorguları tarafından zaten kapsanıyorlar. Tekrarlanan uyarıları önlemek için, bu algılamalar bu çözümde kasıtlı olarak yeniden paketlenmemiştir ; Burada yalnızca LogServ'e özgü Syslog yükünün ayrıştırılmasını gerektiren HANA DB analitik kuralları gönderiliyor. Normalize edilmiş verinin, bu yerleşik içeriğin Gelişmiş Güvenlik Bilgi Modeli (ASIM) normalleştirme içeriğinde nasıl yeniden kullanıldığını öğrenin.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
SAPLogServ_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Microsoft Entra: Microsoft Entra ID'da uygulama kaydı oluşturma izni. Genellikle Entra Kimliği Uygulama Geliştirici rolü veya üzeri gerekir.
  • Microsoft Azure: Veri toplama kurallarında İzleme Ölçümleri Yayımcısı rolü atama izni. Genellikle Azure RBAC Sahibi veya Kullanıcı Erişimi Yöneticisi rolü gerektirir.
  • Microsoft Sentinel for SAP ajansız veri bağlayıcısı ve içerik paketi (60+ analitik kural, çalışma kitapları, ayrıştırıcılar ve daha fazlası): Microsoft Sentinel içerik merkezinden dağıtın. Ayrıntılar için buraya bakın

Kurulum Yönergeleri:

1. SAP için Microsoft Sentinel ajansız veri bağlayıcısı ve içeriğini dağıtın

LogServ, altyapı loglarını Microsoft Sentinel'e ekler. SAP için Microsoft Sentinel ajansız veri bağlayıcısı ve içeriğini dağıtmak, tüm SAP ortamınız için 60+ kutudan çıkmış tespit ve görselleştirme sunacaktır. Buradan başla.

Bu makaleden daha fazla bilgi edinin.

2. ARM kaynakları oluşturun ve gerekli izinleri sağlayın

Veri toplama kuralı (DCR) ve veri toplama uç noktası (DCE) kaynakları oluşturacağız. Ayrıca bir Microsoft Entra uygulama kaydı oluşturacak ve gerekli izinleri ona atayacağız.

Azure kaynaklarının otomatik dağıtımı "Anında iletme bağlayıcısı kaynaklarını dağıt" seçeneğine tıklanması DCR ve DCE kaynaklarının oluşturulmasını tetikler. Ardından istemci gizli anahtarıyla bir Microsoft Entra uygulama kaydı oluşturur ve DCR üzerinde izinler verir. Bu kurulum, verilerin OAuth v2 istemci kimlik bilgileri kullanılarak DCR'ye güvenli bir şekilde gönderilmesini sağlar.

3. SAP LogServ'de veri toplama uç nokta detaylarını ve kimlik doğrulama bilgilerini korumak

SAP LogServ'i veri toplama uç noktasına veri gönderecek şekilde yapılandırmak için veri toplama uç noktası URL'sini ve kimlik doğrulama bilgilerini SAP LogServ yöneticisiyle paylaşın.

Bu blog serisinden daha fazla bilgi edinin.

  • LogIngestionAPI kimlik bilgisinde Kiracı Kimliği olarak yapılandırmak için bu değeri kullanın.: <yükleme zamanında sağlanan değişken değeri>
  • Entra Uygulama Kimliği: <yükleme zamanında sağlanan değişken değeri>
  • Entra Uygulama Gizli Anahtarı: <yükleme zamanında sağlanan değişken değeri>
  • IFlow'u dağıtırken LogsIngestionURL parametresini yapılandırmak için bu değeri kullanın.< Yükleme zamanında sağlanan değişken değeri>
  • DCR Sabit Kimliği: <yükleme zamanında sağlanan değişken değeri>



SAP S/4HANA Cloud Public Edition

Tarafından desteklenir:SAP

SAP S/4HANA Cloud Public Edition (SAP ile BÜYÜME) veri bağlayıcısı SAP'nin güvenlik denetim günlüğünün SAP için Microsoft Sentinel Çözümü'ne alınıp çapraz bağıntı, uyarı ve tehdit avcılığını destekler. Alternatif kimlik doğrulama mekanizmaları mı arıyorsunuz? Buraya bakın.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
ABAPAuditLog Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Denetim Alma API'si için İstemci Kimliği ve İstemci Gizli Anahtarı: BTP'de API erişimini etkinleştirin.
  • SAP içerik paketi için Microsoft Sentinel (60'tan fazla analiz kuralı, çalışma kitabı, ayrıştırıcı ve daha fazlası): Microsoft Sentinel içerik hub'ından dağıtın.

Kurulum Yönergeleri:

1. Adım - SAP S/4HANA Cloud Public Edition için yapılandırma adımları

SAP S/4HANA Cloud Public Edition'a bağlanmak için şunları yapmanız gerekir:

  1. İletişim senaryosu SAP_COM_0750 için iletişim düzenlemesi yapılandırma

  2. SAP S/4HANA Cloud Public Edition kiracı API'si URL'si

  3. SAP S/4HANA Bulut sisteminiz için geçerli iletişim kullanıcısı (kullanıcı adı ve parola)

  4. OData hizmetleri aracılığıyla denetim günlüğü verilerine erişmek için uygun yetkilendirmeler

NOT: Bu bağlayıcı Temel kimlik doğrulamayı destekler. Alternatif kimlik doğrulama mekanizmaları mı arıyorsunuz? Buraya bakın

SAP S/4HANA Cloud Public Edition'dan SAP için Microsoft Sentinel Çözümüne olayları bağlama

Temel kimlik doğrulaması kullanarak bağlanma

S/4HANA Cloud Public Edition bağlantıları

Her satır bağlı bir S/4HANA Cloud Public Edition sistemini temsil eder

  • Veri Bağlayıcıları Kılavuzu (portalda yapılandır)



SAP için SecurityBridge Çözümü

Tarafından desteklenir:SecurityBridge

SecurityBridge, sap ortamlarında gerçek zamanlı izleme ve tehdit algılamayı etkinleştirerek Microsoft Sentinel ile sorunsuz bir şekilde tümleştirerek SAP güvenliğini geliştirir. Bu tümleştirme, Güvenlik İşlem Merkezleri'nin (SOC' ler) SAP güvenlik olaylarını diğer kurumsal verilerle birleştirmesine olanak sağlayarak tehdit ortamının birleşik bir görünümünü sağlar. AI destekli analizlerden ve Microsoft'un Security Copilot yararlanan SecurityBridge, ABAP kod tarama ve yapılandırma değerlendirmeleri de dahil olmak üzere SAP uygulamalarındaki gelişmiş saldırı düzenlerini ve güvenlik açıklarını tanımlar. Çözüm, ister şirket içinde, ister bulutta ister karma ortamlarda olsun karmaşık SAP ortamlarında ölçeklenebilir dağıtımları destekler. SecurityBridge, BT ve SAP güvenlik ekipleri arasındaki boşluğu köprüleyerek kuruluşların tehditleri proaktif olarak algılamasını, araştırmasını ve yanıtlamasını ve genel güvenlik duruşunu geliştirmesini sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
ABAPAuditLog Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Microsoft Entra: Microsoft Entra ID'da uygulama kaydı oluşturma izni. Genellikle Entra Kimliği Uygulama Geliştirici rolü veya üzeri gerekir.
  • Microsoft Azure: Veri toplama kurallarında İzleme Ölçümleri Yayımcısı rolü atama izni. Genellikle Azure RBAC Sahibi veya Kullanıcı Erişimi Yöneticisi rolü gerektirir.

Kurulum Yönergeleri:

1. ARM Kaynakları Oluşturma ve Gerekli İzinleri Sağlama

Veri toplama kuralı (DCR) ve veri toplama uç noktası (DCE) kaynakları oluşturacağız. Ayrıca bir Microsoft Entra uygulama kaydı oluşturacak ve gerekli izinleri ona atayacağız.

Azure kaynaklarının otomatik dağıtımı "Anında iletme bağlayıcısı kaynaklarını dağıt" seçeneğine tıklanması DCR ve DCE kaynaklarının oluşturulmasını tetikler. Ardından istemci gizli anahtarıyla bir Microsoft Entra uygulama kaydı oluşturur ve DCR üzerinde izinler verir. Bu kurulum, verilerin OAuth v2 istemci kimlik bilgileri kullanılarak DCR'ye güvenli bir şekilde gönderilmesini sağlar.

2. SecurityBridge'de veri toplama uç noktası ayrıntılarını ve kimlik doğrulama bilgilerini koruyun

Veri toplama uç noktası URL'sini ve kimlik doğrulama bilgilerini SecurityBridge yöneticisiyle paylaşarak Securitybridge'i veri toplama uç noktasına veri gönderecek şekilde yapılandırın.

KB Sayfamızdan daha fazla bilgi edinin https://abap-experts.atlassian.net/wiki/spaces/SB/pages/4099309579/REST+Push+Interface

  • LogIngestionAPI kimlik bilgisinde Kiracı Kimliği olarak yapılandırmak için bu değeri kullanın.: <yükleme zamanında sağlanan değişken değeri>
  • Entra Uygulama Kimliği: <yükleme zamanında sağlanan değişken değeri>
  • Entra Uygulama Gizli Anahtarı: <yükleme zamanında sağlanan değişken değeri>
  • IFlow'u dağıtırken LogsIngestionURL parametresini yapılandırmak için bu değeri kullanın.< Yükleme zamanında sağlanan değişken değeri>
  • DCR Sabit Kimliği: <yükleme zamanında sağlanan değişken değeri>
  • SAP Stream kimliği için Sentinel: <yükleme zamanında sağlanan değişken değeri>
  • SecurityBridge_CL Stream Kimliği: <yükleme zamanında sağlanan değişken değeri>



Semperis Lightning (Codeless Connector Framework aracılığıyla)

Tarafından desteklenir:Semperis

Semperis Lightning bağlantısı, Semperis Lightning kimlik güvenlik verilerini Microsoft Sentinel'e aktarmak için Codeless Connector Framework'ü kullanır. Bir yapılandırılmış örnek, bir Semperis zone/API anahtarı çiftini temsil eder ve desteklenen akış için bir RestApiPoller'ı özel *V2_CL tablolara yerleştirir, böylece Azure İşlevleri bağlantısıyla birlikte çalışabilir.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
LightningTier0NodesV2_CL Hayır Hayır
LightningAttackPathsV2_CL Hayır Hayır
LightningAttackPathLinksV2_CL Hayır Hayır
LightningTier0AttackersV2_CL Hayır Hayır
LightningIndicatorExecutionsV2_CL Hayır Hayır
LightningIOEsMetadataV2_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • Semperis Lightning API anahtarı: Geçerli bir API anahtarı ve eşleşen Semperis bölgesi gereklidir. Anahtar bir şifre alanı olarak toplanır ve bu depoda saklanmaz.

Kurulum Yönergeleri:

Semperis Lightning bağlantılarını yönetin

Her Semperis kiracısı/bölge/API anahtarı çifti için bir örnek ekleyin.

Bu aday, CCF çoklu örnek ızgara/bağlam paneli desenini kullanır. Her örnek, ızgarada altı poller satırı olarak görünür. IOE yürütme sonuçları aktif değildir çünkü genel bağlayıcı her çalıştırma başına dinamik bir ikinci istek gerçekleştirir ve RestApiPoller bunu temsil edemez.

  • Veri Bağlayıcıları Kılavuzu (portalda yapılandır)



Semperis Şimşek Günlükleri

Tarafından desteklenir:Semperis

Semperis Lightning bağlayıcısı, Semperis Lightning kimlik güvenlik verilerini Microsoft Sentinel almak için Azure İşlevleri kullanır. Bağlayıcı bir Azure İşlevi dağıtır ve araştırma ve tehdit avcılığı için verileri özel Log Analytics tablolarına toplar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
LightningTier0Nodes_CL Hayır Hayır
LightningAttackPaths_CL Hayır Hayır
LightningIOEResults_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • Microsoft.Web/sites izinleri: İşlev Uygulaması oluşturmak için Azure İşlevleri okuma ve yazma izinleri gereklidir. Daha fazla bilgi için bkz. Azure İşlevleri.
  • Semperis Lightning API kimlik bilgileri: Bağlayıcının kimliğini Semperis Lightning olarak doğrulamak için bir Semperis Lightning API Anahtarı ve seçili Bölge (na veya eu) gerekir.

Kurulum Yönergeleri:

NOT: Bu bağlayıcı, Semperis Lightning'e bağlanmak ve verileri Microsoft Sentinel çekmek için Azure İşlevleri kullanır. Bu, ek veri alımı maliyetlerine neden olabilir. Ayrıntılar için Azure İşlevleri fiyatlandırma sayfasına bakın.

(İsteğe Bağlı Adım) Çalışma alanını ve API yetkilendirme anahtarlarını Azure Key Vault güvenli bir şekilde depolayın. Azure Key Vault, anahtar değerlerini depolamak ve almak için güvenli bir mekanizma sağlar. Azure İşlev Uygulaması ile Azure Key Vault kullanmak için bu yönergeleri izleyin.

Bağlayıcıyı dağıtmadan önce çalışma alanının Microsoft Sentinel eklendiğinden emin olun.

ADIM 1 - Semperis Lightning için erişimi yapılandırma

  1. Semperis Lightning kiracınızda oturum açın.
  2. Bağlayıcı erişimi için geçerli bir Semperis API Anahtarı oluşturun veya alın.
  3. Dağıtım sırasında kullanılmak üzere Semperis Bölgesi değerinizi (Kuzey Amerika için veya Avrupa için ab için) onaylayın.

ADIM 2 - 'Semperis Lightning Logs' bağlayıcısını ve ilişkili Azure İşlevini dağıtma

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.ms

3. ADIM - Bağlayıcı parametrelerini ayarlama

  1. Tercih edilen Aboneliği ve mevcut bir Kaynak Grubunu seçin.
  2. Kaynak grubuna ait mevcut bir Log Analytics Çalışma Alanı Kaynak Kimliğini girin.
  3. İleri'ye tıklayın.
  4. Semperis API Anahtarınızı girin ve Semperis Bölgesi'ni seçin.
  5. İsteğe bağlı olarak Bağlayıcı Zamanlamasını ayarlayın (varsayılan: 1 saatte bir).
  6. Ayarları gözden geçirin ve Oluştur'a tıklayın.



SentinelOne (Kodsuz Bağlayıcı Çerçevesi aracılığıyla)

Tarafından desteklenir:Microsoft Corporation

SentinelOne veri bağlayıcısı, SentinelOne API'sinden günlüklerin Microsoft Sentinel'a alımına olanak tanır. Veri bağlayıcısı Microsoft Sentinel Kodsuz Bağlayıcı Çerçevesi'ni üzerine kurulmuştur. Günlükleri getirmek için SentinelOne API'sini kullanır ve alınan güvenlik verilerini özel bir tabloya ayrıştıran DCR tabanlı alma süresi dönüşümlerini destekler, böylece sorguların yeniden ayrıştırması gerekmez ve böylece daha iyi performans elde edilir.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
SentinelOneActivities_CL Evet Evet
SentinelOneAgents_CL Evet Evet
SentinelOneGroups_CL Evet Evet
SentinelOneThreats_CL Evet Evet
SentinelOneAlerts_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Kurulum Yönergeleri:

SentinelOne API'sinin yapılandırma adımları Kimlik bilgilerini almak için yönergeleri izleyin. API anahtarı oluşturmak için kılavuzu da izleyebilirsiniz.

  1. SentinelOne Yönetim URL'si 1.1'i alın. Yönetici kullanıcı kimlik bilgileri 1.2 ile SentinelOne [Yönetim Konsolu] oturumu açın. [Yönetim Konsolu] içinde yukarıdaki URL bağlantısını URL yolu olmadan kopyalayın.

  2. API Belirteci 2.1'i alın. Yönetici kullanıcı kimlik bilgileri 2.2 ile SentinelOne [Yönetim Konsolu] oturumu açın. [Yönetim Konsolu] içinde [Ayarlar] 2.3'e tıklayın. [Ayarlar] görünümünde [KULLANICILAR] seçeneğine tıklayın. 2.4. [KULLANICILAR] sayfasında [Hizmet Kullanıcıları] - [>] -> [Yeni hizmet kullanıcısı oluştur] öğesine tıklayın. 2.5. [Sona erme tarihi] ve [kapsam] (siteye göre) öğesini seçin ve [Kullanıcı Oluştur] seçeneğine tıklayın. 2.6. [Hizmet Kullanıcısı] oluşturulduktan sonra sayfadan [API Belirteci] öğesini kopyalayın ve [Kaydet] tuşuna basın

  3. Yeni örnekleri bağlayın Microsoft Sentinel için SentinelOne bağlayıcısını etkinleştirmek için, Yeni örnek ekle butonuna tıklayın, bağlam panelinde gerekli bilgileri doldurun ve Bağla'ya tıklayın.

  • Veri Bağlayıcıları Kılavuzu (portalda yapılandır)



SentinelOne V2 (Codeless Connector Framework aracılığıyla)

Tarafından desteklenir:Microsoft Corporation

SentinelOne V2 veri bağlayıcısı, SentinelOne REST API'sinden Faaliyetler, Ajanlar, Gruplar ve Tehdit kayıtlarını ve SentinelOne Birleşik Uyarı Yönetimi (UAM) GraphQL API'sinden güvenlik uyarılarını Microsoft Sentinel'e alır. Microsoft Sentinel Codeless Connector Framework üzerine inşa edilmiştir ve DCR tabanlı alım zamanı dönüşümleri kullanır. Bkz: SentinelOne UAM GraphQL API

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
SentinelOneActivities_CL Evet Evet
SentinelOneAgents_CL Evet Evet
SentinelOneGroups_CL Evet Evet
SentinelOneThreats_CL Evet Evet
SentinelOneAlertsV2_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Kurulum Yönergeleri:

SentinelOne'u Microsoft Sentinel'e bağlayın

SentinelOne API bağlantınızı yapılandırın. Her örnek, tek bir SentinelOne Yönetim URL'si + API Token'ına karşılık gelir.

SentinelOne API'si için yapılandırma adımları Kimlik bilgilerini almak için aşağıdaki talimatları izleyin. Uyarılar SentinelOne Birleşik Uyarı Yönetimi GraphQL API'si aracılığıyla toplanır.

  1. SentinelOne Yönetim URL'si 1.1'i alın. Yönetici kullanıcı kimlik bilgileriyle SentinelOne Yönetim Konsolu'na giriş yapın. 1.2. Management Console'da URL bağlantısı URL yolu olmadan kopyalayın.

  2. API Belirteci 2.1'i alın. Yönetici kullanıcı kimlik bilgileriyle SentinelOne Yönetim Konsolu'na giriş yapın. 2.2. Yönetim Konsolu'nda Ayarlar'a tıklayın. 2.3. Ayarlar görünümünde KULLANICILAR sayfasına tıklayın. 2.4. KULLANICILAR sayfasında Hizmet Kullanıcıları -> İşlemler -> Yeni hizmet kullanıcısı oluştur seçeneğine tıklayın. 2.5. Son kullanma tarihi ve kapsamını (site boyunca) seçin ve Kullanıcı Oluştur'a tıklayın. 2.6. Hizmet Kullanıcısı oluşturulduktan sonra API Token'ı sayfadan kopyalayıp Kaydet tuşuna basın.

  3. Yeni örnekleri bağlayın Microsoft Sentinel için SentinelOne bağlayıcısını etkinleştirmek için, Yeni örnek ekle butonuna tıklayın, bağlam panelinde gerekli bilgileri doldurun ve Bağla'ya tıklayın.

  • Veri Bağlayıcıları Kılavuzu (portalda yapılandır)



Seraphic Web Güvenliği

Tarafından desteklenir:Seraphic Security

Seraphic Web Güvenliği veri bağlayıcısı, Seraphic Web Güvenliği olaylarını ve uyarılarını Microsoft Sentinel alma özelliği sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
SeraphicWebSecurity_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • Seraphic API anahtarı: Seraphic Web Güvenliği kiracınıza bağlı Microsoft Sentinel için API anahtarı. Kiracınız için bu API anahtarını almak için Seraphic Konsolunuzda Tümleştirmeler sayfasını ziyaret edin.

Kurulum Yönergeleri:

Seraphic Web Security'yi bağlama

Microsoft Sentinel için tümleştirme adını, Seraphic tümleştirme URL'sini ve çalışma alanı adınızı ekleyin:



ServiceNow CMDB (Codeless Connector Framework aracılığıyla)

Tarafından desteklenir:Microsoft Corporation

ServiceNow CMDB Veri Bağlantısı, ConfigurationName Yönetim Veritabanı (CMDB) ve Varlık Yönetimi kayıtlarının ServiceNow'dan Microsoft Sentinel'e alınmasına olanak tanır. Bu bağlayıcı, Varlık Yönetimi (alm_asset), Yapılandırma Öğeleri (cmdb_ci), Bilgisayar CI'leri (cmdb_ci_computer) ve Sunucu CI'leri (cmdb_ci_server) dahil olmak üzere belirlenen tablolar için ServiceNow Table API'den birden fazla kayıt alır. Bu bağlayıcı, Microsoft Sentinel Codeless Connector Framework üzerine inşa edilmiştir ve verimli sorgu yürütme için DCR tabanlı alım zaman dönüşümlerini destekler. Daha fazla bilgi için ServiceNow Table API dokümantasyonuna bakınız.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
ServiceNowCmdbCi Hayır Hayır
ServiceNowAlmAsset Hayır Hayır
ServiceNowCmdbCiServer Hayır Hayır
ServiceNowCmdbCiComputer Hayır Hayır
ServiceNowCmdbRelCi Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Kurulum Yönergeleri:

1. ServiceNow Yapılandırması

ServiceNow örnek bağlantınızı yapılandırın ve toplamak için bir CMDB tablosu seçin.

  • Veri Bağlayıcıları Kılavuzu (portalda yapılandır)



SilentPush Akışları

Desteklenen:SilentPush

Silent Push tehdit aktör akışlarını izlemek için yerel kodsuz veri bağlayıcısı. CSV formatında başlık satırıyla besleme dışına aktarmayı destekler (örneğin *_enriched.csv). Başlıksız açık metin gösterge listeleriyle uyumlu değildir (örneğin *_ips.txt, *_domains.txt) -- bunlar için SilentPush Export Enrichment oyun kitaplarını kullanın.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
SLP_Feeds_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

Kurulum Yönergeleri:

Silent Push'a bağlanın ve feed topla

Silent Push beslemelerini toplamaya başlamak için lütfen aşağıda gerekli bilgileri verin. Not: Seçtiğiniz besleme, başlık satırı olan bir CSV dosyası olarak dışa aktarılmalıdır (örneğin *_enriched.csv dışa aktarma) -- başlıksız düz metin gösterge listeleri (örneğin *_ips.txt, *_domains.txt) burada desteklenmez, bunlar için SilentPush Export Enrichment oyun kitaplarını kullanın.

  • API anahtarı: (SESSIZ-BAS-API-KEY)
  • Veri kaynağı: (organizasyon-ihracat)
  • Besleme dosya adı: (ör. 01234567-0123-4567-8901-012345678901_enriched.csv)
  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



Silverfort Yönetici Konsolu

Tarafından desteklenir:Silverfort

Silverfort ITDR Yönetici Konsolu bağlayıcı çözümü, Silverfort olaylarının alımına ve Microsoft Sentinel oturum açmasına olanak tanır. Silverfort, Ortak Olay Biçimi (CEF) kullanarak syslog tabanlı olaylar ve günlüğe kaydetme sağlar. Silverfort ITDR Yönetici Konsolu CEF verilerinizi Microsoft Sentinel'a ileterek Sentinels'in arama & silverfort verilerinde bağıntı, uyarı ve tehdit bilgileri zenginleştirmelerinden yararlanabilirsiniz. Daha fazla bilgi için lütfen Silverfort ile iletişime geçin veya Silverfort belgelerine bakın.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
CommonSecurityLog Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Kurulum Yönergeleri:

1. Syslog aracı yapılandırmasını Linux

Ortak Olay Biçimi (CEF) Syslog iletilerinizi toplamak ve bunları Microsoft Sentinel iletmek için Linux aracısını yükleyin ve yapılandırın.

Tüm bölgelerdeki verilerin seçili çalışma alanında depolanacağına dikkat edin

1.1 Linux makinesi seçme veya oluşturma

Microsoft Sentinel güvenlik çözümünüz ile bu makinenin şirket içi ortamınızda, Azure veya diğer bulutlarda olabileceğini Microsoft Sentinel ara sunucu olarak kullanacağı bir Linux makinesi seçin veya oluşturun.

1.2 CEF toplayıcısını Linux makinesine yükleyin

Linux makinenize Azure İzleme Aracısı'nı (AMA) yükleyin ve makineyi gerekli bağlantı noktasını dinleyecek ve iletileri Microsoft Sentinel çalışma alanınıza iletecek şekilde yapılandırın. CEF toplayıcısı 514 TCP numaralı bağlantı noktasında CEF iletilerini toplar.

  1. Aşağıdaki komutu kullanarak makinenizde Python olduğundan emin olun: python --version.

  2. Makinenizde yükseltilmiş izinlere (sudo) sahip olmanız gerekir.

  • CEF toplayıcısını yüklemek ve uygulamak için aşağıdaki komutu çalıştırın:: <yükleme zamanında sağlanan değişken değeri>

2. Ortak Olay Biçimi (CEF) günlüklerini Syslog aracısına iletme

Güvenlik çözümünüzü, Proxy makinesine CEF biçiminde Syslog iletileri gönderecek şekilde ayarlayın. Günlükleri makinenin IP adresindeki 514 TCP bağlantı noktasına gönderdiğinizden emin olun.

3. Bağlantıyı doğrulama

Bağlantınızı doğrulamak için yönergeleri izleyin:

Günlüklerin CommonSecurityLog şeması kullanılarak alınp alınmadığını denetlemek için Log Analytics'i açın.

Bağlantının verileri çalışma alanınıza aktarması yaklaşık 20 dakika sürebilir.

Günlükler alınmazsa aşağıdaki bağlantı doğrulama betiğini çalıştırın:

  1. Aşağıdaki komutu kullanarak makinenizde Python olduğundan emin olun: python -version

  2. Makinenizde yükseltilmiş izinlere (sudo) sahip olmanız gerekir

  • Bağlantınızı doğrulamak için aşağıdaki komutu çalıştırın:: <yükleme zamanında sağlanan değişken değeri>

**4. Makinenizin güvenliğini sağlama **

Makinenin güvenliğini kuruluşunuzun güvenlik ilkesine göre yapılandırdığından emin olun

Daha fazla bilgi edinin >



SlackAudit (Kodsuz Bağlayıcı Çerçevesi aracılığıyla)

Tarafından desteklenir:Microsoft Corporation

SlackAudit veri bağlayıcısı, REST API aracılığıyla Slack Denetim günlüklerini Microsoft Sentinel alma özelliği sağlar. Daha fazla bilgi için API belgelerine bakın.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
SlackAuditV2_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • UserName, SlackAudit API Anahtarı & Eylem Türü: Erişim Belirtecini Oluşturmak için Slack'te yeni bir uygulama oluşturun, ardından gerekli kapsamları ekleyin ve yeniden yönlendirme URL'sini yapılandırın. Erişim belirteci, kullanıcı adı ve eylem adı sınırı oluşturma hakkında ayrıntılı yönergeler için bağlantıya bakın.

Kurulum Yönergeleri:

**SlackAudit'i Microsoft Sentinel bağlama

**

SlackAudit'ten Microsoft Sentinel veri almak için, aşağıdaki Etki Alanı Ekle düğmesine tıklamanız ve ardından ayrıntıları doldurmak için bir açılır pencere almanız, gerekli bilgileri sağlamanız ve Bağlan'a tıklamanız gerekir. Kullanıcı adlarını ve kılavuzda bağlı eylemleri görebilirsiniz.

  • Veri Bağlayıcıları Kılavuzu (portalda yapılandır)



Snowflake (Codeless Connector Framework aracılığıyla)

Tarafından desteklenir:Microsoft Corporation

Snowflake veri bağlayıcısı Snowflake Oturum Açma Geçmişi Günlükleri, Sorgu Geçmişi Günlükleri, Kullanıcı Verme Günlükleri, Rol Verme Günlükleri, Yükleme Geçmişi Günlükleri, Gerçekleştirilmiş Görünüm Yenileme Geçmişi Günlükleri, Rol Günlükleri, Tablo Günlükleri, Tablo Depolama Ölçümleri Günlükleri, Kullanıcı Günlükleri'ni Snowflake SQL API'sini kullanarak Microsoft Sentinel alma özelliği sağlar. Daha fazla bilgi için Snowflake SQL API belgelerine bakın .

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
SnowflakeLoginV3_CL Hayır Hayır
SnowflakeQueryV3_CL Hayır Hayır
SnowflakeUserGrantV3_CL Hayır Hayır
SnowflakeRoleGrantV3_CL Hayır Hayır
SnowflakeLoadV3_CL Hayır Hayır
SnowflakeMaterializedViewV3_CL Hayır Hayır
SnowflakeRolesV3_CL Hayır Hayır
SnowflakeTablesV3_CL Hayır Hayır
SnowflakeTableStorageMetricsV3_CL Hayır Hayır
SnowflakeUsersV3_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Kurulum Yönergeleri:

Snowflake'i Microsoft Sentinel bağlama

Not: Not: Çözüm sürüm 3.2.0 ve sonraki sürümler SnowflakeV3 tablolarını kullanır (örneğin, SnowflakeQueryV3_CL, SnowflakeLoginV3_CL). Çözümleyiciler buna göre güncellendi.

NOT: Verilerin her alan için ayrı sütunlarda sunulduğundan emin olmak için Snowflake() işlevini kullanarak ayrıştırıcıyı yürütür

Snowflake'ten veri toplamak için aşağıdaki kaynakları sağlamanız gerekir

  1. Hesap Tanımlayıcısı Snowflake'ten veri toplamak için Snowflake Hesap Tanımlayıcısı gerekir.

  2. Programlı Erişim Belirteci Snowflake'ten veri toplamak için Snowflake Programlı Erişim Belirteci gerekir

Hesap Tanımlayıcısı ve Programlı Erişim Belirteci alma hakkında ayrıntılı yönergeler için bağlayıcı öğreticisine bakın.

  • Veri Bağlayıcıları Kılavuzu (portalda yapılandır)



SOC Prime Platform Denetim Günlükleri Veri Bağlayıcısı

Tarafından desteklenir:SOC Prime

SOC Prime Denetim Günlükleri veri bağlayıcısı, SOC Prime Platform API'sinden günlüklerin Microsoft Sentinel alınabilmesini sağlar. Veri bağlayıcısı Microsoft Sentinel Kodsuz Bağlayıcı Çerçevesi'ni üzerine kurulmuştur. SOC Prime platform denetim günlüklerini getirmek için SOC Prime Platform API'sini kullanır ve alınan güvenlik verilerini özel bir tabloya ayrıştıran DCR tabanlı alım süresi dönüşümlerini destekler ve böylece daha iyi performans sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
SOCPrimeAuditLogs_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Kurulum Yönergeleri:

SOC Prime Platform API'sinin yapılandırma adımları Kimlik bilgilerini almak için yönergeleri izleyin. Kişisel API anahtarı oluşturmak için de bu kılavuzu izleyebilirsiniz.

API Anahtarını Alma

  1. SOC Prime Platformu'nda oturum açın
  2. [Hesap] simgesine tıklayın -> [Platform Ayarları] -> [API]
  3. [Yeni Anahtar Ekle] öğesine tıklayın
  4. Görüntülenen kalıcıda anahtarınıza anlamlı bir ad verin, son kullanma tarihini ve anahtarın erişim sağladığı ürün API'lerini ayarlayın
  5. [Oluştur] öğesine tıklayın
  6. Anahtarı kopyalayın ve güvenli bir yere kaydedin. Bu kalıcıyı kapattıktan sonra bir daha görüntüleyemezsiniz
  • SOC Prime API Anahtarı: (API Anahtarı)
  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



Sonrai Veri Bağlayıcısı

Tarafından desteklenir:YOK

Sonrai Security ile tümleştirmek ve doğrudan Microsoft Sentinel gönderilen Sonrai biletlerini almak için bu veri bağlayıcısını kullanın.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
Sonrai_Tickets_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Kurulum Yönergeleri:

Sonrai Güvenlik Veri Bağlayıcısı

  1. Sonrai Güvenlik panosuna gidin.
  2. Sol alt panelde tümleştirmeler'e tıklayın.
  3. Kullanılabilir Tümleştirmeler listesinden Microsoft Sentinel'ı seçin.
  4. Aşağıda verilen bilgileri kullanarak formu doldurun.
  • Çalışma Alanı Kimliği: <Yükleme zamanında sağlanan değişken değeri>
  • Birincil Anahtar: <Yükleme zamanında sağlanan değişken değeri>



Sophos Endpoint Protection (Kodsuz Bağlayıcı Çerçevesi aracılığıyla)

Tarafından desteklenir:Microsoft Corporation

Sophos Endpoint Protection veri bağlayıcısı, Sophos olaylarını ve Sophos uyarılarını Microsoft Sentinel alma özelliği sağlar. Daha fazla bilgi için Sophos Central Yönetici belgelerine bakın.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
SophosEPEvents_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Sophos Endpoint Protection API erişimi: Hizmet sorumlusu aracılığıyla Sophos Endpoint Protection API'sine erişim gereklidir.

Kurulum Yönergeleri:

Microsoft Sentinel'de olay ve uyarı günlüklerini toplamaya başlamak için Sophos Endpoint Protection API'sine bağlanın

Sophos API'sine erişimi olan bir hizmet sorumlusu oluşturmak için Sophos yönergelerini izleyin. Hizmet Sorumlusu ReadOnly rolüne ihtiyaç duyar. Bu yönergeler aracılığıyla İstemci Kimliği, İstemci Gizli Anahtarı, Kiracı Kimliği ve veri bölgesini almanız gerekir. Formu bu bilgilerle doldurun.

  • Sophos Kiracı Kimliği: (Sophos Kiracı Kimliği)
  • Sophos Kiracı Veri Bölgesi: (eu01, eu02, us01, us02 veya us03)
  • Veri Bağlayıcıları Kılavuzu (portalda yapılandır)



StealthTalk Anormal Kimlik Doğrulama

Destekli:StealthTalk Destek

StealthTalk Anormal Kimlik Doğrulama bağlayıcısı, Logs Ingestion API aracılığıyla StealthTalk Enterprise messenger'dan dört sınıf anormal kullanıcı doğrulama olayını özel bir Log Analytics tablosuna alır.

Olay:

  • OffHoursLogin - kullanıcının yapılandırılmış çalışma saatleri dışında giriş yapın.
  • NewDeviceLogin - daha önce görünmemiş bir cihazdan giriş yapmak.
  • GeoAnomalyLogin - kullanıcının atadığı coğrafi bölgeyle eşleşmeyen bir ülke/şehirden giriş yapmak.
  • MultiFailLogin - ardışık birden fazla başarısız kimlik doğrulama denemesi.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
StealthTalkAnomalousAuth_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • StealthTalk Enterprise örneğin: Giden webhook'u Log Analytics çalışma alanına yapılandırmak için yönetici erişimine sahip deploy edilmiş bir StealthTalk Enterprise kiracısı.
  • Microsoft Entra Uygulama Kaydı: StealthTalk'un Logs Ingestion API'sine kimlik doğrulamak için kullandığı bir hizmet prensibi. Dağıtılan Veri Toplama Kuralında Monitoring Metrics Publisher rolünün olması gerekir.

Kurulum Yönergeleri:

ADIM 1 - Otomatik dağıtım girişim altyapısı (sadece inceleme)

Çözüm Microsoft Sentinel Content Hub üzerinden kurulduğunda, aşağıdaki kaynaklar otomatik olarak çalışma alanının kaynak grubuna entegre edilir:

  1. Özel log tablosuStealthTalkAnomalousAuth_CL (21 alanlık dere).
  2. Veri Toplama Uç NoktasıStealthTalk-Sentinel-DCE.
  3. Veri Toplama KuralıStealthTalk-Sentinel-DCR akış bildirmesi ve bire bir dönüşüm ile Custom-StealthTalkAnomalousAuth_CL .
  4. ASIM Authentication 0.1.3 ayrıştırıcılarını çalışma alanı kaydedilmiş arama fonksiyonları olarak kullanır: vimAuthenticationStealthTalk (filtreleme) ve ASimAuthenticationStealthTalk (filtrelememe).
  5. imAuthentication StealthTalk kaynağını çalışma alanı ASIM Authentication union'da kaydeden uzantılar ayrıştırıcısı (Microsoft'imAuthenticationun kaydedilmiş arama işlemini geçersiz kılarak StealthTalk vim ayrıştırıcısını da dahil eder).
  6. ASimDisabledParsers watchlist + Microsoft Sentinel onboarding state (idempotent).

Bu adımda Çözümü yüklemenin ötesinde kullanıcı hareketi gerekmez. Kalan adımlar ise StealthTalk'ı olayları dağıtılan DCR'ye itecek şekilde yapılandırır. Ön Şart: Microsoft'FullDeploymentAuthentication.jsonun ASIM Kimlik Doğrulama ayrıştırıcı paketi, bu Çözüm kurulmadan önce çalışma alanında dağıtılmalıdır.

ADIM 2 - DCE uç noktasını ve DCR Değişmez Kimliğini Yakalayın

Azure portalında, Step 1'de dağıtılan Veri Toplama Uç noktası ve Veri Toplama Kuralı kaynaklarını açın:

  • Veri Toplama Uç noktası özelliklerinden, Logs Ingestion uç noktası URI'sini kopyalayın (görünüşe göre https://stealthtalk-sentinel-dce-<suffix>.<region>.ingest.monitor.azure.com).
  • Veri Toplama Kuralı Genel Bakışı'ndan Değişmez ID'yi kopyalayın (görünüşe göre dcr-<guid>).

Her iki değeri de Step5'te StealthTalk yönetici konsoluna yapıştıracaksınız.

ADIM 3 - StealthTalk için Microsoft Entra Uygulaması Kaydı Oluşturun

Microsoft Entra kiracınızda yeni bir Uygulama Kaydı oluşturun. Bir istemci sırrı oluşturun (veya bir sertifika kullanın). Kiracı Kimliği, Uygulama (istemci) Kimliği ve Müşteri sırrına dikkat edin. StealthTalk, bu hizmet prensibini OAuth üzerinden Logs Ingestion API'sine kimlik doğrulaması için kullanır.

ADIM 4 - Uygulama Kaydına DCR'de Monitoring Metrics Publisher rolünü verin

Step 1 ->Erişim kontrolü (IAM) -> + Rol ataması ekle olarak dağıtılan Veri Toplama Kuralını açın.

  • Rol: Monitoring Metrics Publisher
  • Erişim atama: Kullanıcı, grup veya hizmet prensibi
  • Uygulama Kaydını 3. Adımdan seçin

RBAC rol atamaları Çözüm kurulum şablonu tarafından gerçekleştirilemediği için bu adım manuel olarak yapılır.

ADIM 5 - StealthTalk'ı olay gönderecek şekilde yapılandırın

StealthTalk yönetici konsolunda, Microsoft Sentinel/Log Analytics entegrasyonunu Adım 2 ve 3'te yakalanan değerlerle yapılandırın:

  • DCE uç noktası - Adım 2'den Logs Ingestion uç noktası URI
  • DCR Değişmez Kimliği - Adım 2'den itibaren
  • Akarsu adı - Custom-StealthTalkAnomalousAuth_CL
  • Kiracı Kimliği, Uygulama (istemci) Kimliği, İstemci gizliliği - Adım 3'ten itibaren

Kaydet ve bir test etkinliğini tetikle. StealthTalk konsolu, OAuth el sıkışmasının başarı/başarısızlığını ve ilk etkinlik teslimatını bildiriyor.

ADIM 6 - Alım ve ASIM normalizasyonunu doğrulayın

Yukarıdaki Örnek sorguları Logs bölümünde çalıştırın. Hepsi test etkinliklerinden birkaç dakika sonra sıraları geri göndermelidir:

  • Ham StealthTalkAnomalousAuth_CL masa doluydu.
  • ASIM birlik görünümü, imAuthentication() | where EventVendor == 'StealthTalk' ASIM Kimlik Doğrulama şemasına normalleştirilmiş aynı olayları döndürür.

Eğer ham tablo boşsa: StealthTalk konsolunun başarılı OAuth ve etkinlik teslimatı raporunu verdiğini doğrulayın ve Uygulama Kaydı'nın DCR'de Monitoring Metrics Publisher rolünü taşıdığını doğrulayın (Step 4). Ham tabloda satırlar varsa ama ASIM birliği boşsa: Microsoft'un FullDeploymentAuthentication.json ayrıştırıcı paketinin konuşlandırıldığını tekrar kontrol edin.

ADIM 7 - Analitik kuralları, avcı sorgularını, çalışma kitabını ve oyun kitabını etkinleştirin

Microsoft Sentinel Content hub'da StealthTalk Anormal Kimlik Doğrulama Çözümünü açın ve Yönet'e tıklayın. Dört Analitik Kural şablonunu, üç Avcı Sorgusu şablonunu, Çalışma Kitabını ve Microsoft Teams Playbook'u etkinleştirin. Playbook için, dağıtımdan sonra, sistem tarafından atanan yönetilen kimliğine çalışma alanında Microsoft Sentinel Responder rolünü verin ve Azure Security Insights hizmet sorumlusuna playbook'un kaynak grubunda Microsoft Sentinel Automation Katkıcı rolünü verin. Sonra Microsoft Sentinel'de, dört StealthTalk analitik kuralındaki olaylar için oyun kitabını çalıştıran bir Otomasyon Kuralı oluşturun.



Symantec Tümleşik Siber Savunma Değişimi

Tarafından desteklenir:Microsoft Corporation

Symantec ICDx bağlayıcısı, panoları görüntülemek, özel uyarılar oluşturmak ve araştırmayı geliştirmek için Symantec güvenlik çözümleri günlüklerinizi kolayca Microsoft Sentinel bağlamanıza olanak tanır. Bu, kuruluşunuzun ağı hakkında daha fazla içgörü sağlar ve güvenlik işlemi özelliklerinizi geliştirir.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
SymantecICDx_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Kurulum Yönergeleri:

Symantec ICDx'i yapılandırma ve bağlama

  1. ICDx gezinti çubuğunda Yapılandırma'ya tıklayın.
  2. Yapılandırma ekranının üst kısmında İleticiler'e tıklayın ve Microsoft Sentinel (Log Analytics) öğesinin yanındaki Ekle'ye tıklayın.
  3. Açılan Microsoft Sentinel (Log Analytics) penceresinde Gelişmiş Göster'e tıklayın. Gelişmiş özellikleri ayarlamak için belgelere bakın.
  4. İletici için bir ad ayarladığınızdan ve hedef Azure altında şu gerekli alanları ayarladığınızdan emin olun:
  • Çalışma Alanı Kimliği: Microsoft Sentinel portalı bağlayıcı sayfasından Çalışma Alanı Kimliğini yapıştırın.
  • Birincil Anahtar: Microsoft Sentinel portalı bağlayıcı sayfasından Birincil Anahtarı yapıştırın.
  • Özel Günlük Adı: Olayları ilettiğiniz Microsoft Azure portal Log Analytics çalışma alanına özel günlük adını yazın. Varsayılan değer SymantecICDx'tir.
  1. Kaydet'e tıklayın ve ileticiyi başlatmak için Seçenekler > Diğer'e gidin ve Başlat'a tıklayın.
  • Çalışma Alanı Kimliği: <Yükleme zamanında sağlanan değişken değeri>
  • Birincil Anahtar: <Yükleme zamanında sağlanan değişken değeri>



Synqly Tümleştirme Bağlayıcısı

Tarafından desteklenir:Synqly

Synqly bağlayıcısı, Azure Logs Ingestion API'si kullanarak Synqly entegrasyonlarından güvenlik olaylarını ve varlık varlıklarını Microsoft Sentinel'e taşıma yeteneği sağlar. Kayıtlar, Microsoft Sentinel analizleri, çalışma kitapları ve avlama sorgularıyla kullanılmak üzere otomatik olarak ASIM (Gelişmiş Güvenlik Bilgi Modeli) tablolarına normalleştirilir.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
union ASimAgentEventLogs, ASimAlertEventLogs, ASimAssetEntityLogs, ASimAuditEventLogs, ASimAuthenticationEventLogs, ASimDhcpEventLogs, ASimDnsActivityLogs, ASimFileEventLogs, ASimNetworkSessionLogs, ASimProcessEventLogs, ASimRegistryEventLogs, ASimUserManagementActivityLogs, ASimWebSessionLogs Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • Microsoft Entra ID: Uygulama kayıtları oluşturmak için Uygulama Geliştirici rolü (veya üzeri).
  • Microsoft Azure: DCR dağıtmak ve İzleme Ölçümleri Yayımcısı rolü atamak için kaynak grubunda Sahip veya Kullanıcı Erişimi Yöneticisi rolü.

Kurulum Yönergeleri:

1. ARM Kaynakları Oluşturma ve Gerekli İzinleri Sağlama

Bu bağlayıcı, Synqly entegrasyonlarından Microsoft Sentinel'e güvenlik olayları ve varlık varlıklarının push tabanlı alınmasını sağlar. Kayıtlar otomatik olarak ASIM (Gelişmiş Güvenlik Bilgi Modeli) tablolarına normalleştirilir.

Bağlayıcı Kaynaklarını Dağıtma "Dağıt" seçeneğine tıklayarak bir Veri Toplama Kuralı (DCR), Veri Toplama Uç Noktası (DCE) ve Microsoft Sentinel güvenli bir şekilde veri göndermek için gerekli izinlere sahip Entra uygulama oluşturur.

2. Ek İzinler Verme (Kullanım Örneğine Göre)

Synqly'yi Microsoft Sentinel ile nasıl kullanmayı planladığınıza bağlı olarak ek roller gerekebilir.

Havuz Bağlayıcısı (Yalnızca Yazma): Ek izin gerekmez. SIEM Bağlayıcısı (Okuma/Yazma): katkıda bulunan Microsoft Sentinel atama rolünü log analytics çalışma alanınızdaki Azure kullanıcı arabirimi aracılığıyla Entra uygulamasına ekleyin.

Ayrıntılı kurulum kılavuzları için Synqly belgelerine bakın.

3. Günlüklerinizi çalışma alanına gönderme

Synqly tümleştirmenize bu parametreleri sağlayın. Her kaydı desteklenen 13 ASIM şema tipinden biri için senkronize biçimlendirir: 12 olay şeması (AgentEvent, AlertEvent, AuditEvent, Authentication, DhcpEvent, Dns, FileEvent, NetworkSession, ProcessEvent, RegistryEvent, UserManagement ve WebSession) ve Asset varlık şeması (EntitySchema=Asset).

Önemli: Desteklenmeyen şema tiplerine sahip kayıtlar Azure tarafından sessizce kaldırılır. Beklenen veri görünmüyorsa, Synqly entegrasyon sağlayıcınızla kayıtların yukarıda listelenen desteklenen şema türlerinden birini kullandığını kontrol edin.

  • Kiracı Kimliği (Dizin Kimliği): <Yükleme zamanında sağlanan değişken değeri>
  • Entra Uygulama Kaydı Uygulama Kimliği: <yükleme zamanında sağlanan değişken değeri>
  • Entra Uygulama Kaydı Gizli Anahtarı: <yükleme zamanında sağlanan değişken değeri>
  • Veri Toplama Uç Noktası Uri'si: <yükleme zamanında sağlanan değişken değeri>
  • Veri Toplama Kuralı Sabit Kimliği: <yükleme zamanında sağlanan değişken değer>
  • Stream Adı: <yükleme zamanında sağlanan değişken değeri>

4. Uyarı Olaylarını Microsoft Sentinel uyarılarına Terfi Et (Isteğe Bağlı)

Çözüm, Synqly Alert Event analitiği kural şablonunu içerir. Alert Events, kural oluşturup etkinleştirene kadar kayıt olarak kalır.

Microsoft Sentinel > Analytics > Kuralı şablonlarına gidin, Synqly Alert Event'i bulun ve Kural Oluştur'u seçin. Varsayılan ayarları kullanın veya kuralı ortamınıza göre özelleştirin. Daha fazla bilgi edinin.



AMA aracılığıyla Syslog

Tarafından desteklenir:Microsoft Corporation

Syslog, Linux yaygın olarak kullanılan bir olay günlüğü protokolüdür. Uygulamalar yerel makinede depolanabilen veya bir Syslog toplayıcısına teslim edilebilen iletiler gönderir. Linux aracısı yüklendiğinde, yerel Syslog daemon'unu iletileri aracıya iletecek şekilde yapılandırılır. Aracı daha sonra iletiyi çalışma alanına gönderir.

Daha fazla bilgi edinin >

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
Syslog Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

TacitRed Güvenliği Aşılmış Kimlik Bilgileri

Tarafından desteklenir:Data443 Risk Azaltma, Inc.

Common Connector Framework (CCF) kullanarak TacitRed'den güvenliği aşılmış kimlik bilgileri bulgularını alma.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
TacitRed_Findings_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • TacitRed API Anahtarı: Azure Key Vault depolanan veya dağıtım zamanında sağlanan API anahtarı.

Kurulum Yönergeleri:

TacitRed Güvenliği Aşılmış Kimlik Bilgilerini Bağlama

TacitRed bağlayıcısını etkinleştirmek için aşağıda API anahtarınızı sağlayın ve Bağlan'a tıklayın.

Gelişmiş güvenlik için API anahtarını depolamak ve almak için Key Vault tümleştirmesini etkinleştirebilirsiniz.

  • TacitRed API Anahtarı: (TacitRed API anahtarınızı girin)
  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



Talon İçgörüleri

Tarafından desteklenir:Talon Security

Talon Güvenlik Günlükleri bağlayıcısı, panoları görüntülemek, özel uyarılar oluşturmak ve araştırmayı geliştirmek için Talon olaylarınızı ve denetim günlüklerinizi Microsoft Sentinel kolayca bağlamanıza olanak tanır.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
Talon_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Kurulum Yönergeleri:

Aşağıdaki değerleri not edin ve Talon Güvenlik olaylarınızı ve denetim günlüklerinizi Microsoft Sentinel bağlamak için buradaki yönergeleri izleyin.

  • Çalışma Alanı Kimliği: <Yükleme zamanında sağlanan değişken değeri>
  • Birincil Anahtar: <Yükleme zamanında sağlanan değişken değeri>



Tanium'un CCF Anında İletme Bağlayıcısı

Tarafından desteklenir:Tanium Inc.

Bu veri akışları, analistlerin olayları zenginleştirebilmesi, uç nokta riskini ve durumunu görselleştirmesi, araştırma ve yanıt iş akışlarını otomatikleştirmesi için çalışma kitapları ve playbook'lar Microsoft Sentinel. Tanium hakkında daha fazla ayrıntı için https://www.tanium.com/contact-us/

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
TaniumComplyCompliance_CL Evet Evet
TaniumComplyVulnerabilities_CL Evet Evet
TaniumDefenderHealth_CL Evet Evet
TaniumDiscoverUnmanagedAssets_CL Evet Evet
TaniumHighUptime_CL Evet Evet
TaniumPatchCoverageStatus_CL Evet Evet
TaniumPatchListApplicability_CL Evet Evet
TaniumPatchListCompliance_CL Evet Evet
TaniumSCCMClientHealth_CL Evet Evet
TaniumThreatResponse_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Microsoft Entra: Microsoft Entra ID'da uygulama kaydı oluşturma izni.
  • Microsoft Azure: Veri toplama kuralında (DCR) İzleme Ölçümleri Yayımcısı rolü atama izni.

Kurulum Yönergeleri:

1. ARM Kaynakları Oluşturma ve Gerekli İzinleri Sağlama

Bu bağlayıcı, Tanium Server'ınızın Temel Envanter verilerini Azure İzleme Alımı API'sini kullanarak doğrudan Microsoft Sentinel göndermesini sağlar.

Entra Uygulaması ile Otomatik Yapılandırma ve Güvenli Veri Alımı "Dağıt" seçeneğine tıklanması Log Analytics tablosunun ve veri toplama kuralının (DCR) oluşturulmasını tetikler. Ardından bir Entra uygulaması oluşturur, DCR'yi buna bağlar ve uygulamaya girilen gizli diziyi ayarlar. Bu kurulum, Tanium verilerinin Entra belirteci kullanılarak DCR'ye güvenli bir şekilde gönderilmesini sağlar.

2. Tanium Bağlantılarını Yapılandırma

Tanium Bağlantılarınızı çalışma alanına veri göndermek üzere yapılandırmak için aşağıdaki parametreleri kullanın.

  • Kiracı Kimliği (Dizin Kimliği): <Yükleme zamanında sağlanan değişken değeri>
  • Entra Uygulama Kaydı Uygulama Kimliği: <yükleme zamanında sağlanan değişken değeri>
  • Entra Uygulama Kaydı Gizli Anahtarı: <yükleme zamanında sağlanan değişken değeri>
  • Veri Toplama Uç Noktası Uri'si: <yükleme zamanında sağlanan değişken değeri>
  • Veri Toplama Kuralı Sabit Kimliği: <yükleme zamanında sağlanan değişken değer>
  • Uyumluluk Bulguları Günlükleri Stream Adı: <yükleme zamanında sağlanan değişken değeri>
  • Uyumluluk Güvenlik Açıkları Günlükleri Stream Adı: <yükleme zamanında sağlanan değişken değeri>
  • Defender Sistem Durumu Günlükleri Stream Adı: <yükleme zamanında sağlanan değişken değeri>
  • Yönetilmeyen Varlıkların Sistem Durumu Günlüklerini bulma Stream Adı: <yükleme zamanında sağlanan değişken değeri>
  • Yüksek Çalışma Süresi Günlükleri Stream Adı: <yükleme zamanında sağlanan değişken değeri>
  • Düzeltme Eki Kapsamı Durum Günlükleri Stream Adı: <yükleme zamanında sağlanan değişken değeri>
  • Düzeltme Eki Listesi Uygulanabilirlik Günlükleri Stream Adı: <yükleme zamanında sağlanan değişken değeri>
  • Düzeltme Eki Listesi Uyumluluk Günlükleri Stream Adı: <yükleme zamanında sağlanan değişken değeri>
  • SCCM İstemci Sistem Durumu Günlükleri Stream Adı: <yükleme zamanında sağlanan değişken değeri>
  • Tehdit Yanıtı Uyarıları Günlükleri Stream Adı: <yükleme zamanında sağlanan değişken değeri>

3. Tanium'da Bağlantı Oluşturma

veri bağlayıcısını Azure başarıyla dağıttıktan sonra, Bağlanma Modülü'ndeki Tanium sunucunuzda gerekli bağlantıyı oluşturun. Connect modülü hakkında daha fazla bilgi için bkz. Tanium Yardımı

  1. Bağlantı içeri aktarma dosyasını indirin.
  2. Yer tutucuları yukarıda görüntülenen parametrelerle değiştirin.
  3. Tanium Sunucunuzda Connect Modülünü açın.
  4. Yeni bağlantıları içeri aktarmak için içeri aktarma işlevini kullanın.



Team Cymru Scout Veri Bağlayıcısı (Azure İşlevleri kullanarak)

Tarafından desteklenir:Team Cymru

TeamCymruScout Veri Bağlayıcısı, kullanıcıların team Cymru Scout IP'sini, etki alanı ve hesap kullanım verilerini zenginleştirme amacıyla Microsoft Sentinel getirmesine olanak tanır.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
Cymru_Scout_Domain_Data_CL Hayır Hayır
Cymru_Scout_IP_Data_Foundation_CL Hayır Hayır
Cymru_Scout_IP_Data_Details_CL Hayır Hayır
Cymru_Scout_IP_Data_Communications_CL Hayır Hayır
Cymru_Scout_IP_Data_PDNS_CL Hayır Hayır
Cymru_Scout_IP_Data_Fingerprints_CL Hayır Hayır
Cymru_Scout_IP_Data_OpenPorts_CL Hayır Hayır
Cymru_Scout_IP_Data_x509_CL Hayır Hayır
Cymru_Scout_IP_Data_Summary_Details_CL Hayır Hayır
Cymru_Scout_IP_Data_Summary_PDNS_CL Hayır Hayır
Cymru_Scout_IP_Data_Summary_OpenPorts_CL Hayır Hayır
Cymru_Scout_IP_Data_Summary_Certs_CL Hayır Hayır
Cymru_Scout_IP_Data_Summary_Fingerprints_CL Hayır Hayır
Cymru_Scout_Account_Usage_Data_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • Microsoft.Web/sites izinleri: İşlev Uygulaması oluşturmak için Azure İşlevleri okuma ve yazma izinleri gereklidir. Daha fazla bilgi için bkz. Azure İşlevleri.
  • Kayıtlı uygulamaya rol atama izni: Microsoft Entra ID'de kayıtlı uygulamaya rol atama izni gereklidir.
  • Team Cymru Scout Kimlik Bilgileri/izinleri: Team Cymru Scout hesabı kimlik bilgileri (Kullanıcı adı, Parola) gereklidir.

Kurulum Yönergeleri:

NOT: Bu bağlayıcı, günlüklerini Microsoft Sentinel çekmek üzere Team Cymru Scout API'sine bağlanmak için Azure İşlevleri kullanır. Bu, ek veri alımı maliyetlerine neden olabilir. Ayrıntılar için Azure İşlevleri fiyatlandırma sayfasına bakın.

(İsteğe Bağlı Adım) Çalışma alanını ve API yetkilendirme anahtarlarını veya belirteçlerini Azure Key Vault güvenli bir şekilde depolayın. Azure Key Vault, anahtar değerlerini depolamak ve almak için güvenli bir mekanizma sağlar. Azure İşlev Uygulaması ile Azure Key Vault kullanmak için bu yönergeleri izleyin.

ADIM 1 - Team Cymru Scout API Anahtarı Oluşturma Adımları

Team Cymru Scout API Anahtarı oluşturmak için bu yönergeleri izleyin.

  1. Alternatif yetkilendirme biçimi olarak kullanılacak bir API anahtarı oluşturmak için API Anahtarları belgesine bakın.

ADIM 2 - Microsoft Entra ID'da Uygulama için Uygulama Kaydı adımları

Bu tümleştirme için Azure portal bir Uygulama kaydı gerekir. Microsoft Entra ID'da yeni uygulama oluşturmak için bu bölümdeki adımları izleyin:

  1. Azure portalda oturum açın.
  2. Microsoft Entra ID arayın ve seçin.
  3. Yönet'in altında Yeni kayıt'ı Uygulama kayıtları > seçin.
  4. Uygulamanız için bir görünen Ad girin.
  5. İlk uygulama kaydını tamamlamak için Kaydet'i seçin.
  6. Kayıt tamamlandığında, Azure portal uygulama kaydının Genel Bakış bölmesini görüntüler. Uygulama (istemci) kimliğini ve Kiracı Kimliğini görürsünüz. TeamCymruScout Veri Bağlayıcısı'nın yürütülmesi için yapılandırma parametreleri olarak istemci kimliği ve Kiracı Kimliği gereklidir.

Başvuru bağlantısı:/azure/active-directory/develop/quickstart-register-app

3. ADIM - Microsoft Entra ID'de uygulama için istemci gizli dizisi ekleme

Bazen uygulama parolası olarak adlandırılan istemci gizli dizisi, TeamCymruScout Veri Bağlayıcısı'nın yürütülmesi için gereken bir dize değeridir. Yeni bir İstemci Gizli Anahtarı oluşturmak için bu bölümdeki adımları izleyin:

  1. Azure portal, Uygulama kayıtları uygulamanızı seçin.
  2. Sertifikalar & gizli diziler > İstemci gizli dizileri Yeni istemci gizli dizisi'ni >seçin.
  3. Gizli anahtarınız için bir açıklama ekleyin.
  4. Gizli dizi için bir süre sonu seçin veya özel bir yaşam süresi belirtin. Sınır 24 aydır.
  5. Ekle'yi seçin.
  6. Gizli anahtarın değerini istemci uygulama kodunuzda kullanmak üzere kaydedin. Bu gizli dizi değeri, siz bu sayfadan ayrıldıktan sonra bir daha görüntülenmez. TeamCymruScout Veri Bağlayıcısı'nın yürütülmesi için yapılandırma parametresi olarak gizli dizi değeri gereklidir.

Başvuru bağlantısı:/azure/active-directory/develop/quickstart-register-app#add-a-client-secret

4. ADIM - uygulamanızın Nesne Kimliğini Microsoft Entra ID

Uygulama kaydınızı oluşturduktan sonra Nesne Kimliğini almak için bu bölümdeki adımları izleyin:

  1. Microsoft Entra ID gidin.
  2. Soldaki menüden Kurumsal uygulamalar'ı seçin.
  3. Yeni oluşturduğunuz uygulamayı listede bulun (sağladığınız ada göre arama yapabilirsiniz).
  4. Uygulamaya tıklayın.
  5. Genel bakış sayfasında Nesne Kimliğini kopyalayın. Bu, ARM şablonu rol atamanız için gereken AzureEntraObjectId değeridir .

ADIM 5 - Microsoft Entra ID'de uygulamaya Katkıda Bulunan rolü atama

Rolü atamak için bu bölümdeki adımları izleyin:

  1. Azure portal Kaynak Grubu'na gidin ve kaynak grubunuzu seçin.
  2. Sol panelden Erişim denetimine (IAM) gidin.
  3. Ekle'ye tıklayın ve rol ataması ekle'yi seçin.
  4. Rol olarak Katkıda Bulunan'ı seçin ve İleri'ye tıklayın.
  5. Erişim ata bölümünde öğesini seçinUser, group, or service principal.
  6. Üye ekle'ye tıklayın ve oluşturduğunuz uygulama adınızı yazın ve seçin.
  7. Şimdi Gözden Geçir + ata'ya tıklayın ve sonra yeniden Gözden Geçir + ata'ya tıklayın.

Başvuru bağlantısı:/azure/role-based-access-control/role-assignments-portal

ADIM 6 - İzleme Listesindeki dizinlerle csv'yi karşıya yükleme

İzleme listesinde göstergeler içeren csv dosyasını karşıya yüklemek için bu bölümdeki adımları izleyin:

  1. Azure portal Microsoft Sentinel gidin ve çalışma alanınızı seçin.
  2. Sol panelden Yapılandırma bölümünün altındaki İzleme Listesi'ne gidin.
  3. TeamCymruScoutDomainData'ya tıklayın ve ardından Güncelleştirme izleme listesinden Toplu güncelleştirme'yi seçin.
  4. Dosya girişini karşıya yükleme bölümünde etki alanı göstergeleriyle csv dosyalarınızı karşıya yükleyin ve İleri: Gözden Geçir+Oluştur'a tıklayın.
  5. Doğrulama başarılı olduktan sonra Güncelleştir'e tıklayın.
  6. Ip göstergeleri için TeamCymruScoutIPData izleme listesini güncelleştirmek için aynı adımları izleyin.

Başvuru bağlantısı:İzleme listesini toplu güncelleştirme

ADIM 7 - Bağlayıcıyı ve ilişkili Azure İşlevini dağıtmak için aşağıdaki iki dağıtım seçeneğinden Bİrİ'ni seçin

ÖNEMLİ: TeamCymruScout veri bağlayıcısını dağıtmadan önce, Çalışma Alanı Kimliği ve Çalışma Alanı Birincil Anahtarı(aşağıdakilerden kopyalanabilir) ve TeamCymruScout Kimlik Bilgileri'ne sahip olun.

Seçenek 1 - Azure Resource Manager (ARM) Şablonu

TeamCymruScout veri bağlayıcısının otomatik dağıtımı için bu yöntemi kullanın.

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.ms

  2. Tercih edilen Abonelik, Kaynak Grubu ve Konum'a tıklayın.

  3. Aşağıdaki bilgileri girin: Konum WorkspaceName İşlev Adı TeamCymruScoutBaseURL AuthenticationType Kullanıcı Adı Parolası APIKey IPValues DomainValues APIType AzureClientId AzureClientSecret TenantId AzureEntraObjectId IPTableName DomainTableName AccountUsageTableName Schedule AccountUsageSchedule LogLevel

  4. Yukarıda belirtilen hüküm ve koşulları kabul ediyorum etiketli onay kutusunu işaretleyin.

  5. Dağıtmak için Satın Al'a tıklayın.

Seçenek 2 - Azure İşlevleri El ile Dağıtımı

TeamCymruScout veri bağlayıcısını Azure İşlevleri (Visual Studio Code aracılığıyla dağıtım) ile el ile dağıtmak için aşağıdaki adım adım yönergeleri kullanın.

  1. İşlev Uygulaması Dağıtma

NOT: VS kodunu Azure işlev geliştirme için hazırlamanız gerekir.

  1. Azure İşlev Uygulaması dosyasını indirin. Arşivi yerel geliştirme bilgisayarınıza ayıklayın.

  2. VS Code'ı başlatın. Ana menüde Dosya'yı ve ardından Klasörü Aç'ı seçin.

  3. Ayıklanan dosyalardan en üst düzey klasörü seçin.

  4. Etkinlik çubuğunda Azure simgesini seçin, ardından Azure: İşlevler alanında İşlev uygulamasına dağıt düğmesini seçin. Henüz oturum açmadıysanız, Etkinlik çubuğunda Azure simgesini seçin, ardından Azure: İşlevler alanında Oturum aç'ı seçerek Azure Oturum açtıysanız sonraki adıma geçin.

  5. İstemlerde aşağıdaki bilgileri sağlayın:

    a. Klasör seçin: Çalışma alanınızdan bir klasör seçin veya işlev uygulamanızı içeren klasöre göz atın.

    b. Abonelik'i seçin: Kullanılacak aboneliği seçin.

    c. Azure'de yeni İşlev Uygulaması oluştur'u seçin (Gelişmiş seçeneğini belirleme)

    d. İşlev uygulaması için genel olarak benzersiz bir ad girin: URL yolunda geçerli bir ad yazın. Yazdığınız ad, Azure İşlevleri benzersiz olduğundan emin olmak için doğrulanır. (örn. CymruScoutXXXXX).

    e. Çalışma zamanı seçin: Python 3.12 veya üzerini seçin.

    f. Yeni kaynaklar için bir konum seçin. Daha iyi performans ve düşük maliyetler için Microsoft Sentinel bulunduğu bölgeyi seçin.

  6. Dağıtım başlar. İşlev uygulamanız oluşturulduktan ve dağıtım paketi uygulandıktan sonra bir bildirim görüntülenir.

  7. İşlev Uygulaması yapılandırması için Azure portalı'na gidin.

  8. İşlev Uygulamasını Yapılandırma

  9. İşlev Uygulamasında İşlev Uygulaması Adı'nı ve ardından Yapılandırma'yı seçin.

  10. Uygulama ayarları sekmesinde + Yeni uygulama ayarı'nı seçin.

  11. Aşağıdaki uygulama ayarlarının her birini kendi değerleriyle (büyük/küçük harfe duyarlı) tek tek ekleyin: CymruScoutBaseURL AuthenticationType TeamCymruScoutUsername TeamCymruScoutPassword APIKey IPValues DomainValues APIType AZURE_CLIENT_ID AZURE_CLIENT_SECRET AZURE_TENANT_ID IPTableName DomainTableName AccountUsageTableName Schedule AccountUsageSchedule LogLevel AZURE_DATA_COLLECTION_ENDPOINT AZURE_DATA_COLLECTION_RULE_ID_MAIN_TABLES AZURE_DATA_COLLECTION_RULE_ID_SUB_TABLES

  12. Tüm uygulama ayarları girildikten sonra Kaydet'e tıklayın.



Tartışılabilir Kimlik Açığlığı

Tarafından desteklenir:Tenable

Tenable Identity Exposure bağlayıcısı, Maruz Kalma Göstergeleri, Saldırı Göstergeleri ve iz akışı günlüklerinin Microsoft Sentinel alınmasına olanak tanır. Farklı çalışma kitapları ve veri ayrıştırıcıları, günlükleri daha kolay işlemenize ve Active Directory ortamınızı izlemenize olanak tanır. Analiz şablonları farklı olaylar, maruz kalmalar ve saldırılarla ilgili yanıtları otomatikleştirmenize olanak sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
Tenable_IE_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • TenableIE Yapılandırmasına Erişim: Syslog uyarı altyapısını yapılandırma izinleri

Kurulum Yönergeleri:

Bu veri bağlayıcısı, Microsoft Sentinel Çözümü ile dağıtılan kusto işlevinin beklendiği gibi çalışması için afad_parser bağlıdır.

1. Syslog sunucusunu yapılandırma

Öncelikle TenableIE'nin günlükleri göndereceği bir linux Syslog sunucusuna ihtiyacınız olacaktır. Genellikle Ubuntu üzerinde rsyslog çalıştırabilirsiniz. Daha sonra bu sunucuyu istediğiniz gibi yapılandırabilirsiniz, ancak TenableIE günlüklerinin ayrı bir dosyada çıkışını yapabilmeniz önerilir.

Rsyslog'u TenableIE IP adresinizden günlükleri kabul etmek için yapılandırın. Aşağıdaki seçeneklerden birini belirleyin:

Seçenek 1: AllowedSender yönergesi kullanma

Bu yapılandırma, hangi konakların günlükleri ağ düzeyinde syslog sunucunuza gönderebileceğini kısıtlar. Yetkisiz bağlantıları işlemeden önce reddederken daha güvenlidir.

  1. Yapılandırma dosyasını indirin: 80-tenable-allowedsender.conf
  2. Sudo modunda çalıştırın: sudo -i
  3. TenableIE IP adresinizi ayarlayın: export TENABLE_IE_IP={Enter your IP address}
  4. İndirilen yapılandırma dosyasındaki komutları yürütme
  5. Rsyslog'un yeniden başlatılması: systemctl restart rsyslog

Seçenek 2: Günlükleri kaynak IP'ye göre filtreleme (Birden çok syslog kaynağına sahip ortamlar için)

Bu yapılandırma tüm gelen günlükleri kabul eder ancak yalnızca belirtilen TenableIE IP adresinden gelen günlükleri işler. Aynı syslog sunucusuna günlük gönderen birden çok syslog sunucunuz veya uygulamanız olduğunda ve yalnızca TenableIE günlüklerini seçmeli olarak işlemek istediğinizde bu özellikle yararlıdır.

  1. Yapılandırma dosyasını indirin: 80-tenable-filter.conf
  2. Sudo modunda çalıştırın: sudo -i
  3. TenableIE IP adresinizi ayarlayın: export TENABLE_IE_IP={Enter your IP address}
  4. İndirilen yapılandırma dosyasındaki komutları yürütme
  5. Rsyslog'un yeniden başlatılması: systemctl restart rsyslog

2. Linux için Microsoft aracısını yükleme ve ekleme

OMS aracısı TenableIE syslog olaylarını alır ve Microsoft Sentinel içinde yayımlar:

Aracının yükleneceği yeri seçin:

Azure Linux Sanal Makinesine aracı yükleme

Aracıyı yüklenecek makineyi seçin ve bağlan'a tıklayın.

  • Yükleme Aracısı: <Yükleme zamanında sağlanan değişken değeri>

aracıyı Azure Linux olmayan bir Makineye yükleme

Aracıyı ilgili makineye indirin ve yönergeleri izleyin.

  • Yükleme Aracısı: <Yükleme zamanında sağlanan değişken değeri>

3. Syslog sunucusundaki aracı günlüklerini denetleyin

tail -f /var/opt/microsoft/omsagent/log/omsagent.log

4. Syslog sunucunuza günlük göndermek için TenableIE'yi yapılandırın

TenableIE portalınızda Sistem, Yapılandırma ve ardından Syslog'a gidin. Buradan Syslog sunucunuza doğru yeni bir Syslog uyarısı oluşturabilirsiniz.

Bu işlem tamamlandıktan sonra günlüklerin sunucunuzda ayrı bir dosyada doğru şekilde toplanıp toplanmadığını denetleyin (bunu yapmak için TenableIE'deki Syslog uyarı yapılandırmasındaki Yapılandırmayı test et düğmesini kullanabilirsiniz). Hızlı Başlangıç şablonunu kullandıysanız, Syslog sunucusu varsayılan olarak TLS olmadan UDP'de 514 ve TCP'de 1514 bağlantı noktasını dinler.

Not: Adım 1'in her iki yapılandırma seçeneği de syslog sunucusunu hem UDP hem de TCP bağlantıları için bağlantı noktası 514'te dinleyecek şekilde yapılandırılır.

5. Özel günlükleri yapılandırma

Aracıyı günlükleri toplayacak şekilde yapılandırın.

  1. Microsoft Sentinel yapılandırma - Ayarlar -> Çalışma alanı ayarları ->> Özel günlükler'e gidin.
  2. Özel günlük ekle'ye tıklayın.
  3. Syslog sunucusunu çalıştıran Linux makinesinden örnek bir TenableIE.log Syslog dosyasını karşıya yükleyin ve İleri'ye tıklayın
  4. Henüz geçerli değilse kayıt sınırlayıcısını Yeni Satır olarak ayarlayın ve İleri'ye tıklayın.
  5. Linux'ı seçin ve Syslog dosyasının dosya yolunu girin, + ve ardından İleri'ye tıklayın. Dosyanın /var/log/TenableIE.log varsayılan konumu, Tenable 3.1.0 sürümünüz <varsa, bu Linux dosya konumunu /var/log/AlsidForAD.logda eklemeniz gerekir.
  6. AdıTenable_IE_CL olarak ayarlayın (Azure adın sonuna otomatik olarak _CL ekler, yalnızca bir tane olmalıdır, adın Tenable_IE_CL_CL olmadığından emin olun).
  7. İleri'ye tıklayın, bir özgeçmiş görürsünüz ve ardından Oluştur'a tıklayın

6. Keyfini çıkarın!

Artık günlükleri Tenable_IE_CL tablosunda alabilmeniz gerekir; günlük verileri tüm sorgu örnekleri, çalışma kitapları ve analiz şablonları tarafından kullanılan afad_parser() işlevi kullanılarak ayrıştırılabilir.



Tenable Vulnerability Management (Azure İşlevleri kullanarak)

Tarafından desteklenir:Tenable

TVM veri bağlayıcısı, TVM REST API'lerini kullanarak Varlık, Güvenlik Açığı, Uyumluluk, WAS varlıkları ve WAS güvenlik açıkları verilerini Microsoft Sentinel alma olanağı sağlar. Daha fazla bilgi için API belgelerine bakın. Bağlayıcı, olası güvenlik risklerini incelemeye, bilgi işlem varlıklarınızla ilgili içgörü elde etmeye, yapılandırma sorunlarını tanılamaya ve daha fazlasına yardımcı olan veri alma olanağı sağlar

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
Tenable_VM_Asset_CL Evet Evet
Tenable_VM_Vuln_CL Evet Evet
Tenable_VM_Compliance_CL Evet Evet
Tenable_WAS_Asset_CL Evet Evet
Tenable_WAS_Vuln_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Microsoft.Web/sites izinleri: İşlev Uygulaması oluşturmak için Azure İşlevleri okuma ve yazma izinleri gereklidir. Daha fazla bilgi için bkz. Azure İşlevleri.
  • REST API Kimlik Bilgileri/izinleri: Tenable REST API'sine erişmek için hem TenableAccessKey hem de TenableSecretKey gereklidir. Daha fazla bilgi için bkz. API. Tüm gereksinimleri denetleyin ve kimlik bilgilerini alma yönergelerini izleyin .

Kurulum Yönergeleri:

NOT: Bu bağlayıcı, varlıkları, güvenlik açıklarını ve uyumluluğu (seçildiyse) düzenli aralıklarla Microsoft Sentinel çekmek için TenableVM API'sine bağlanmak için Azure Dayanıklı İşlevler kullanır. Bu, ek veri alımı maliyetlerine neden olabilir. Ayrıntılar için Azure İşlevleri fiyatlandırma sayfasına bakın.

(İsteğe Bağlı Adım) Çalışma alanını ve API yetkilendirme anahtarlarını veya belirteçlerini Azure Key Vault güvenli bir şekilde depolayın. Azure Key Vault, anahtar değerlerini depolamak ve almak için güvenli bir mekanizma sağlar. Azure İşlev Uygulaması ile Azure Key Vault kullanmak için bu yönergeleri izleyin.

NOT: Bu veri bağlayıcısı, güvenlik açıkları için TenableVM ayrıştırıcısına ve Microsoft Sentinel Çözümü ile dağıtılan Kusto İşlevini temel alan varlıklar için Bir TenableVM ayrıştırıcısına bağlıdır.

ADIM 1 - TenableVM için yapılandırma adımları

Gerekli API kimlik bilgilerini almak için yönergeleri izleyin.

ADIM 2 - Microsoft Entra ID'da Uygulama için Uygulama Kaydı adımları

Bu tümleştirme için Azure portal bir Uygulama kaydı gerekir. Microsoft Entra ID'da yeni uygulama oluşturmak için bu bölümdeki adımları izleyin:

  1. Azure portalda oturum açın.
  2. Microsoft Entra ID arayın ve seçin.
  3. Yönet'in altında Yeni kayıt'ı Uygulama kayıtları > seçin.
  4. Uygulamanız için bir görünen Ad girin.
  5. İlk uygulama kaydını tamamlamak için Kaydet'i seçin.
  6. Kayıt tamamlandığında, Azure portal uygulama kaydının Genel Bakış bölmesini görüntüler. Uygulama (istemci) kimliğini ve Kiracı Kimliğini görürsünüz. İstemci kimliği ve Kiracı Kimliği, TenableVM Veri Bağlayıcısı'nın yürütülmesi için yapılandırma parametreleri olarak gereklidir.

Başvuru bağlantısı:/azure/active-directory/develop/quickstart-register-app

3. ADIM - Microsoft Entra ID'de uygulama için istemci gizli dizisi ekleme

Bazen uygulama parolası olarak adlandırılan istemci gizli dizisi, TenableVM Veri Bağlayıcısı'nın yürütülmesi için gereken bir dize değeridir. Yeni bir İstemci Gizli Anahtarı oluşturmak için bu bölümdeki adımları izleyin:

  1. Azure portal, Uygulama kayıtları uygulamanızı seçin.
  2. Sertifikalar & gizli diziler > İstemci gizli dizileri Yeni istemci gizli dizisi'ni >seçin.
  3. Gizli anahtarınız için bir açıklama ekleyin.
  4. Gizli dizi için bir süre sonu seçin veya özel bir yaşam süresi belirtin. Sınır 24 aydır.
  5. Ekle'yi seçin.
  6. Gizli anahtarın değerini istemci uygulama kodunuzda kullanmak üzere kaydedin. Bu gizli dizi değeri, siz bu sayfadan ayrıldıktan sonra bir daha görüntülenmez. Gizli dizi değeri, TenableVM Veri Bağlayıcısı'nın yürütülmesi için yapılandırma parametresi olarak gereklidir.

Başvuru bağlantısı:/azure/active-directory/develop/quickstart-register-app#add-a-client-secret

4. ADIM - uygulamanızın Nesne Kimliğini Microsoft Entra ID

Uygulama kaydınızı oluşturduktan sonra Nesne Kimliğini almak için bu bölümdeki adımları izleyin:

  1. Microsoft Entra ID gidin.
  2. Soldaki menüden Kurumsal uygulamalar'ı seçin.
  3. Yeni oluşturduğunuz uygulamayı listede bulun (sağladığınız ada göre arama yapabilirsiniz).
  4. Uygulamaya tıklayın.
  5. Genel bakış sayfasında Nesne Kimliğini kopyalayın. Bu, ARM şablonu rol atamanız için gereken AzureEntraObjectId değeridir .

5. ADIM - Bağlayıcıyı ve ilişkili Azure İşlev Uygulamasını dağıtmak için aşağıdaki iki dağıtım seçeneğinden Bİrİ'ni seçin

Seçenek 1 - Azure Resource Manager (ARM) Şablonu

Arm Şablonu kullanarak TenableVM Güvenlik Açığı Yönetim Raporu veri bağlayıcısının otomatik dağıtımı için bu yöntemi kullanın.

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.msaka.ms

  2. Tercih edilen Abonelik, Kaynak Grubu, İşlevUygulama Adı ve Konum'a tıklayın.

  3. Aşağıdaki bilgileri girin:

    a. WorkspaceName - Log Analytics Çalışma Alanı'nın Çalışma Alanı Adını girin.

    b. TenableAccessKey - Tenable API'sini kullanmak için Erişim anahtarını girin.

    c. TenableSecretKey - Kimlik Doğrulaması için Tenable Gizli Anahtar girin.

    d. AzureClientID - Azure İstemci Kimliğini girin.

    e. AzureClientSecret - Azure İstemci Gizli Anahtarı girin.

    f. TenantID - Yukarıdaki adımlardan alınan Kiracı Kimliğini girin.

    G. AzureEntraObjectId - Yukarıdaki adımlardan alınan nesne kimliğini Azure girin.

    H. LowestSeveritytoStore - Depo için en düşük güvenlik açığı önem derecesi. İzin Verilen Değerler: Bilgi, Düşük, Orta, Yüksek, Kritik. Varsayılan değer Bilgi'dir.

    i. ComplianceDataIngestion - Tenable VM'den Uyumluluk verileri alımını etkinleştirmek istiyorsanız true'yu seçin. Varsayılan değer false'tur.

    J. WASAssetDataIngestion - Tenable VM'den WAS Varlığı veri alımını etkinleştirmek istiyorsanız true'yu seçin. Varsayılan değer false'tur.

    Kahraman. WASVulnerabilityDataIngestion - Tenable VM'den WAS Güvenlik Açığı veri alımını etkinleştirmek istiyorsanız true'yu seçin. Varsayılan değer false'tur.

    L. LowestSeveritytoStoreWAS - WAS için depolanan en düşük Güvenlik Açığı önem derecesi. İzin Verilen Değerler: Bilgi, Düşük, Orta, Yüksek, Kritik. Varsayılan değer Bilgi'dir.

    M. TenableExportScheduleInMinutes - Tenable VM'den yeni dışarı aktarma işi oluşturmak için dakikalar içinde zamanlayın. Varsayılan değer 1440'tır.

    n. AssetTableName - Varlık Verileri günlüklerini depolamak için kullanılan tablonun adını girin.

    o. VulnTableName - Güvenlik Açığı Veri günlüklerini depolamak için kullanılan tablonun adını girin.

    P. ComplianceTableName - Uyumluluk Verileri günlüklerini depolamak için kullanılan tablonun adını girin.

    q. WASAssetTableName - WAS Varlık Veri günlüklerini depolamak için kullanılan tablonun adını girin.

    r. WASVulnTableName - WAS Güvenlik Açığı Veri günlüklerini depolamak için kullanılan tablonun adını girin.

  4. Yukarıda belirtilen hüküm ve koşulları kabul ediyorum etiketli onay kutusunu işaretleyin.

  5. Dağıtmak için Satın Al'a tıklayın.

Seçenek 2 - Azure İşlevleri El ile Dağıtımı

TenableVM Güvenlik Açığı Yönetim Raporu veri bağlayıcısını Azure İşlevleri (Visual Studio Code aracılığıyla dağıtım) ile el ile dağıtmak için aşağıdaki adım adım yönergeleri kullanın.

  1. İşlev Uygulaması Dağıtma

NOT: VS kodunu Azure işlev geliştirme için hazırlamanız gerekir.

  1. Azure İşlev Uygulaması dosyasını indirin. Arşivi yerel geliştirme bilgisayarınıza ayıklayın.

  2. VS Code'ı başlatın. Ana menüde Dosya'yı ve ardından Klasörü Aç'ı seçin.

  3. Ayıklanan dosyalardan en üst düzey klasörü seçin.

  4. Etkinlik çubuğunda Azure simgesini seçin, ardından Azure: İşlevler alanında İşlev uygulamasına dağıt düğmesini seçin. Henüz oturum açmadıysanız, Etkinlik çubuğunda Azure simgesini seçin, ardından Azure: İşlevler alanında Oturum aç'ı seçerek Azure Oturum açtıysanız sonraki adıma geçin.

  5. İstemlerde aşağıdaki bilgileri sağlayın:

    a. Klasör seçin: Çalışma alanınızdan bir klasör seçin veya işlev uygulamanızı içeren klasöre göz atın.

    b. Abonelik'i seçin: Kullanılacak aboneliği seçin.

    c. Azure'de yeni İşlev Uygulaması oluştur'u seçin (Gelişmiş seçeneğini belirleme)

    d. İşlev uygulaması için genel olarak benzersiz bir ad girin: URL yolunda geçerli bir ad yazın. Yazdığınız ad, Azure İşlevleri benzersiz olduğundan emin olmak için doğrulanır. (örneğin TenableVMXXXXX).

    e. Çalışma zamanı seçin: Python 3.12'yi seçin.

    f. Yeni kaynaklar için bir konum seçin. Daha iyi performans ve düşük maliyetler için Microsoft Sentinel bulunduğu bölgeyi seçin.

  6. Dağıtım başlar. İşlev uygulamanız oluşturulduktan ve dağıtım paketi uygulandıktan sonra bir bildirim görüntülenir.

  7. İşlev Uygulaması yapılandırması için Azure portalı'na gidin.

  8. İşlev Uygulamasını Yapılandırma

  9. İşlev Uygulamasında İşlev Uygulaması Adı'nı ve ardından Yapılandırma'yı seçin.

  10. Uygulama ayarları sekmesinde Yeni uygulama ayarı'nı seçin.

  11. Aşağıdaki uygulama ayarlarının her birini ilgili dize değerleriyle (büyük/küçük harfe duyarlı) tek tek ekleyin:

    a. WorkspaceName - Log Analytics Çalışma Alanı'nın Çalışma Alanı Adını girin.

    b. TenableAccessKey - Tenable API'sini kullanmak için Erişim anahtarını girin.

    c. TenableSecretKey - Kimlik Doğrulaması için Tenable Gizli Anahtar girin.

    d. AzureClientID - Azure İstemci Kimliğini girin.

    e. AzureClientSecret - Azure İstemci Gizli Anahtarı girin.

    f. TenantID - Yukarıdaki adımlardan alınan Kiracı Kimliğini girin.

    G. AzureEntraObjectId - Yukarıdaki adımlardan alınan nesne kimliğini Azure girin.

    H. LowestSeveritytoStore - Depo için en düşük güvenlik açığı önem derecesi. İzin Verilen Değerler: Bilgi, Düşük, Orta, Yüksek, Kritik. Varsayılan değer Bilgi'dir.

    i. ComplianceDataIngestion - Tenable VM'den Uyumluluk verileri alımını etkinleştirmek istiyorsanız true'yu seçin. Varsayılan değer false'tur.

    J. WASAssetDataIngestion - Tenable VM'den WAS Varlığı veri alımını etkinleştirmek istiyorsanız true'yu seçin. Varsayılan değer false'tur.

    Kahraman. WASVulnerabilityDataIngestion - Tenable VM'den WAS Güvenlik Açığı veri alımını etkinleştirmek istiyorsanız true'yu seçin. Varsayılan değer false'tur.

    L. LowestSeveritytoStoreWAS - WAS için depolanan en düşük Güvenlik Açığı önem derecesi. İzin Verilen Değerler: Bilgi, Düşük, Orta, Yüksek, Kritik. Varsayılan değer Bilgi'dir.

    M. TenableExportScheduleInMinutes - Tenable VM'den yeni dışarı aktarma işi oluşturmak için dakikalar içinde zamanlayın. Varsayılan değer 1440'tır.

    n. AssetTableName - Varlık Verileri günlüklerini depolamak için kullanılan tablonun adını girin.

    o. VulnTableName - Güvenlik Açığı Veri günlüklerini depolamak için kullanılan tablonun adını girin.

    P. ComplianceTableName - Uyumluluk Verileri günlüklerini depolamak için kullanılan tablonun adını girin.

    q. WASAssetTableName - WAS Varlık Veri günlüklerini depolamak için kullanılan tablonun adını girin.

    r. WASVulnTableName - WAS Güvenlik Açığı Veri günlüklerini depolamak için kullanılan tablonun adını girin.

    S. PyTenableUAVendor - Değer Microsoft olarak ayarlanmalıdır.

    T. PyTenableUAProduct - Değer Microsoft Sentinel olarak ayarlanmalıdır.

    U. PyTenableUABuild - Değer 3.1.0 olarak ayarlanmalıdır.

  12. Tüm uygulama ayarları girildikten sonra Kaydet'e tıklayın.



Bulut için kiracı tabanlı Microsoft Defender

Tarafından desteklenir:Microsoft Corporation

Bulut için Microsoft Defender, Azure, hibrit ve çok bulutlu iş yüklerindeki tehditleri algılamanızı ve hızlı bir şekilde yanıtlamanızı sağlayan bir güvenlik yönetimi aracıdır. Bu bağlayıcı, MDC güvenlik uyarılarınızı Microsoft 365 Defender'dan Microsoft Sentinel'a akışla aktarmanıza olanak tanır. Böylece bulut kaynaklarınızdaki, cihazlarınızdaki ve kimliklerinizdeki noktaları birbirine bağlayan XDR bağıntılarının avantajlarından yararlanabilir ve çalışma kitaplarındaki verileri görüntüleyebilir, sorguları sorgulayabilir ve olayları araştırabilir ve yanıtlayabilirsiniz. Daha fazla bilgi için Microsoft Sentinel belgelerine bakın.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
SecurityAlert Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Kurulum Yönergeleri:

Bulut için Kiracı tabanlı Microsoft Defender Microsoft Sentinel bağlama

Bu bağlayıcıyı bağladıktan sonra, Bulut abonelikleri için tüm Microsoft Defender uyarıları bu Microsoft Sentinel çalışma alanına gönderilir.

Bulut için Microsoft Defender uyarılarınız Microsoft 365 Defender üzerinden akışa bağlanır. Uyarıların olaylara otomatik olarak gruplanmasından yararlanmak için Microsoft 365 Defender olay bağlayıcısını bağlayın. Olaylar, olaylar kuyruğunda görüntülenebilir.



TheHive (Kodsuz Bağlayıcı Çerçevesi aracılığıyla)

Tarafından desteklenir:Microsoft Corporation

TheHive veri bağlayıcısı, TheHive güvenlik olayı yanıt platformu verilerini REST API aracılığıyla Microsoft Sentinel alma özelliği sağlar. Daha fazla bilgi için API belgelerine bakın. Bağlayıcı, TheHive'den servis talepleri, görevler ve uyarılar alma ve bunları Microsoft Sentinel'de görselleştirme olanağı sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
TheHiveData Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • TheHive API erişimi: TheHive API Sürüm 4 ve üzeri erişim, TheHive API için gereklidir.

Kurulum Yönergeleri:

1. Yapılandırma

TheHive bağlayıcısını yapılandırmak için yönergeleri izleyin.

  • TheHive Temel URL'si: (TheHive örneği temel URL'si (ör. https://thehive.example.com)) TheHive kullanıcı profili ayarlarınızdan API Anahtarını alın. (veya bu amaç için oluşturulmuş adanmış bir kullanıcı)

  • Api Anahtarı: (TheHive API için API anahtarı)

2. Bağlan

TheHive bağlayıcısını etkinleştirin.

  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



Theom

Tarafından desteklenir:Microsoft

Theom Data Connector, kuruluşların Theom ortamlarını Microsoft Sentinel bağlamasına olanak tanır. Bu çözüm kullanıcıların veri güvenliği riskleriyle ilgili uyarılar almasına, olayları oluşturup zenginleştirmesine, istatistikleri denetlemesine ve Microsoft Sentinel'de SOAR playbook'larını tetiklemesine olanak tanır

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
TheomAlerts_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Kurulum Yönergeleri:

  1. Theom UI Konsolu'nda yan çubuktaki Yönet -> Uyarılar'a tıklayın.
  2. Sentinel sekmesini seçin.
  3. Yapılandırmayı etkinleştirmek için Etkin düğmesine tıklayın.
  4. Anahtarı farklı girin PrimaryAuthorization Token
  5. Farklı girin Endpoint URLhttps://<Workspace ID>.ods.opinsights.azure.com/api/logs?api-version=2016-04-01
  6. SAVE SETTINGS seçeneğine tıklayın
  • Çalışma Alanı Kimliği: <Yükleme zamanında sağlanan değişken değeri>
  • Birincil Anahtar: <Yükleme zamanında sağlanan değişken değeri>



Theom (Codeless Connector Framework aracılığıyla)

Tarafından desteklenir:Microsoft

Theom Data Connector, kuruluşların Theom ortamlarını Microsoft Sentinel bağlamasına olanak tanır. Bu çözüm, kullanıcıların veri güvenliği riskleri hakkında uyarılar almalarını, olaylar oluşturup zenginleştirmelerini, istatistikleri kontrol etmelerini ve Microsoft Sentinel'de SOAR oyun kitaplarını tetiklemelerini sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
TheomAlertsV2_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • Microsoft. Insights/dataCollectionEndpoints: Modern push connector'un harici güvenlik sisteminden veri alabilmesi için Veri Toplama Uç noktası gereklidir.
  • Microsoft. Insights/dataCollectionRules: Gelen veriler için şemayı ve dönüşümleri tanımlamak için Veri Toplama Kuralı gereklidir.
  • Microsoft. Yetkilendirme/RoleAssignments: Rol atama, Entra uygulamasına veri gönderme izinlerini vermek için gereklidir.

Kurulum Yönergeleri:

1. ARM Kaynakları Oluşturma ve Gerekli İzinleri Sağlama

Bu bağlayıcı, harici güvenlik sistemlerinden veri alır ve günlükleri Microsoft Sentinel'e gönderir. Harici sistem, ham olay verilerini Microsoft Sentinel Ingestion API'sine gönderecek şekilde yapılandırılmalıdır. Deploy tuşuna tıklamak, Log Analytics tablolarının ve bir Veri Toplama Kuralı (DCR) oluşturulmasını tetikler. Ardından bir Entra uygulaması oluşturur, DCR'yi buna bağlar ve uygulamaya girilen gizli diziyi ayarlar. Bu kurulum, verilerin Entra belirteci kullanılarak DCR'ye güvenli bir şekilde gönderilmesini sağlar.

Konnektör kurulum süreci hakkında daha fazla bilgi edinin

Azure Resource Deployment

Dağıtım süreci aşağıdaki kaynakları oluşturacaktır:

  • Log Analytics özel tablo(lar)
  • Veri Toplama Uç Noktası (DCE)
  • Veri Toplama Kuralı (DCR)
  • Entra ID Başvuru Kaydı
  • Veri alımı için rol atamaları

Yapılandırma Değerleri

Dağıtımdan sonra, harici güvenlik sisteminizi yapılandırmak için aşağıdaki değerleri kopyalayın:

  • Kiracı Kimliği (Dizin Kimliği): <Yükleme zamanında sağlanan değişken değeri>
  • Entra Uygulama Kaydı Uygulama Kimliği: <yükleme zamanında sağlanan değişken değeri>
  • Entra Uygulama Kaydı Gizli Anahtarı: <yükleme zamanında sağlanan değişken değeri>
  • Veri Toplama Uç Noktası URL'si: <kurulum zamanında sağlanan değişken değeri>
  • Veri Toplama Kuralı Sabit Kimliği: <yükleme zamanında sağlanan değişken değer>
  • Akış Adı (TheomAlertsV2):< kurulum zamanında sağlanan değişken değer>

Not: Bu değerleri güvenli tutun. Dış güvenlik sisteminizi yapılandırmak için onlara ihtiyacınız olacak.

2. Dış sisteminizi logları itecek şekilde yapılandırın

Aşağıdaki parametreleri kullanarak harici güvenlik sisteminizi logları çalışma alanına gönderecek şekilde yapılandırmak için kullanın.

Yapılandırma Adımları

  1. Dış güvenlik sisteminizin yapılandırma arayüzüne erişin.
  2. Veri yönlendirme, entegrasyon veya SIEM ayarlarına gidin.
  3. Destination olarak Azure İzleyici veya Microsoft Sentinel seçin.
  4. Doğrulama yöntemi olarak Veri Toplama Uç Noktası seçin.
  5. Önceki adımdaki değerlerle gerekli alanları yapılandırın:
    • Kiracı Kimliği: Yukarıdan kopya
    • Uygulama (İstemci) Kimliği: Yukarıdan kopyalayın
    • İstemci Gizri: Yukarıdan kopyalayın
    • Veri Toplama Uç Noktası: Yukarıdan kopyalayın
    • Veri Toplama Kuralı Değişmez ID: Yukarıdan kopyala
    • Akarsu Adı: Yukarıdan uygun akarsu adını kopyalayın
  6. Konfigürasyonu kaydedin ve yönlendiriciyi etkinleştirin/başlatın.

Validation

Not: Veriler, birkaç dakika içinde Log Analytics çalışma alanınızda TheomAlertsV2 tablosunda görünecektir.

Verilerin alındığını doğrulamak için, Log Analytics çalışma alanınızda aşağıdaki sorguyu çalıştırın:

TheomAlertsV2
| where TimeGenerated > ago(1h)
| take 10

Troubleshooting

Veri görünmüyorsa:

  • Konfigürasyon değerlerinin doğru olduğundan emin olun
  • Yönlendirici/entegrasyonun etkin ve çalıştığını kontrol edin
  • Dış güvenlik sisteminizdeki kayıtları herhangi bir hata için inceleyin
  • Sisteminizden Azure'a ağ bağlantısını sağlayın
  • Entra uygulamasının doğru izinlere sahip olduğundan emin olun

Configure the Theom Microsoft Sentinel Integration

Theom UI konsolunda, Yönet -> Uyarılar -> Microsoft Sentinel'e gidin, Aktif'e tıklayın ve Adım 1'deki değerlerle entegrasyonu yapılandırın:

Theom alanı Konnektör dağıtımından elde edilen değer
**Uç nokta URL'si Data Collection Endpoint Url**
**DCR Değiştirilmeyen ID Data Collection Rule Immutable ID**
Akarsu Adı Custom-TheomAlertsV2_CL
**Application (Client) ID Entra App Registration Application ID**
**Müşteri Sırrı Entra App Registration Secret**
**Kiracı Kimliği Entra Tenant ID**
Veri Kapsamları ROOT
Veri Biçimi JSON

Sonra Theom'da AYARLARI KAYDET tuşuna tıklayın.



Thinkst Canary

Destekli:Thinkst Applied Research

Thinkst Canary bağlayıcısı, Thinkst Canary honeypot ağınızdan güvenlik olaylarını Microsoft Sentinel'e aktarmanızı sağlar. Canary cihazları, SSH girişleri, RDP oturumları, HTTP istekleri, veritabanı sorguları, dosya paylaşımı erişimi ve Canarytoken tetikleyicileri gibi yetkisiz erişim girişimlerini tespit eder. Bu konnektör, analiz ve uyarı için tüm olay verilerini otomatik olarak çeker.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
ThinkstCanaryIncidents_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

Kurulum Yönergeleri:

Thinkst Canary'yi Microsoft Sentinel'e bağlayın

Thinkst Canary Konsol alan adınızı (örneğin yourhash.canary.tools'tan 'yourhash') ve API kimlik doğrulama token'ınızı sağlayın.

  • Canary Konsol Alanı: (yourhash)
  • API Kimlik Doğrulama Tokenı: (Canary API tokenınızı girin)
  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



Tehdit bilgileri - TAXII

Tarafından desteklenir:Microsoft Corporation

Microsoft Sentinel, tehdit bilgilerinizi kullanarak izleme, uyarı ve avcılık özelliklerini etkinleştirmek için TAXII 2.0 ve 2.1 veri kaynaklarıyla tümleşir. Desteklenen STIX nesne türlerini TAXII sunucularından Microsoft Sentinel göndermek için bu bağlayıcıyı kullanın. Tehdit göstergeleri IP adreslerini, etki alanlarını, URL'leri ve dosya karmalarını içerebilir. Daha fazla bilgi için Microsoft Sentinel belgelerine bakın>.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
ThreatIntelligenceIndicator Evet Hayır

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Tehdit Bilgileri Platformları

Tarafından desteklenir:Microsoft Corporation

Microsoft Sentinel, tehdit zekanızı kullanarak izleme, uyarı ve avlanmayı etkinleştirmek için Microsoft Graph Güvenlik API'si veri kaynaklarıyla tümleşir. Tehdit Analizi Platformunuzdan (TIP) Microsoft Sentinel tehdit göstergeleri göndermek için bu bağlayıcıyı kullanın; örneğin Threat Connect, Palo Alto Networks MindMeld, MISP veya diğer tümleşik uygulamalar. Tehdit göstergeleri IP adreslerini, etki alanlarını, URL'leri ve dosya karmalarını içerebilir. Daha fazla bilgi için Microsoft Sentinel belgelerine bakın>.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
ThreatIntelligenceIndicator Evet Hayır

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Tehdit Bilgileri Karşıya Yükleme API'si (Önizleme)

Tarafından desteklenir:Microsoft Corporation

Microsoft Sentinel Threat Connect, Palo Alto Networks MineMeld, MISP veya diğer tümleşik uygulamalar gibi Tehdit Zekası Platformunuzdan (TIP) tehdit zekası getirmek için bir veri düzlemi API'si sunar. Tehdit göstergeleri IP adreslerini, etki alanlarını, URL'leri, dosya karmalarını ve e-posta adreslerini içerebilir. Daha fazla bilgi için Microsoft Sentinel belgelerine bakın.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
ThreatIntelligenceIndicator Evet Hayır

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Kurulum Yönergeleri:

**Tehdit bilgileri veri kaynaklarınızı aşağıdakilerden biriyle Microsoft Sentinel bağlayabilirsiniz: **

Threat Connect, Palo Alto Networks MineMeld, MISP ve diğerleri gibi tümleşik bir Tehdit Analizi Platformu (TIP) kullanma.

Microsoft Sentinel veri düzlemi API'sini doğrudan başka bir uygulamadan çağırma.

  • Not: Veriler bir API çağrısı yapılarak alınacağından bağlayıcının 'Durumu' burada 'Bağlı' olarak gösterilmez.

**Tehdit Bilgilerinize Bağlanmak için Şu Adımları Izleyin: **

1. erişim belirtecini Microsoft Entra ID alma

API'lere istek göndermek için Microsoft Entra ID erişim belirteci almanız gerekir. Şu sayfada yönergeleri izleyebilirsiniz: /azure/databricks/dev-tools/api/latest/aad/app-aad-token#get-an-azure-ad-access-token

  • Not: Lütfen kapsam değeriyle Microsoft Entra ID erişim belirteci isteyin: [variables('managementUri')]

2. STIX nesnelerini Sentinel gönderme

Karşıya Yükleme API'mizi çağırarak desteklenen STIX nesne türlerini gönderebilirsiniz. API hakkında daha fazla bilgi için buraya tıklayın.

HTTP yöntemi: POST

Uç nokta: https://api.ti.sentinel.azure.com/workspaces/[WorkspaceID]/threatintelligence-stix-objects:upload?api-version=2024-02-01-preview

WorkspaceID: STIX nesnelerinin karşıya yüklendiği çalışma alanı.

Üst Bilgi Değeri 1: "Yetkilendirme" = "Taşıyıcı [Microsoft Entra ID 1. adımdan Erişim Belirteci]"

Üst Bilgi Değeri 2: "Content-Type" = "application/json"

Gövde: Gövde, STIX nesneleri dizisi içeren bir JSON nesnesidir.



Güvenlik Veri Bağlantısı (Kodsuz Bağlayıcı Çerçevesi aracılığıyla) iletim

Tarafından desteklenir:Transmit Security

Güvenlik veri aktarıcısı, REST API üzerinden Microsoft Sentinel'e Güvenlik Yayını etkinliği olaylarını aktarma yeteneği sağlar. Daha fazla bilgi için API belgelerine bakın. Bağlantı noktası, Transmit Security platformundan olay alma imkanı sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
TransmitSecurityActivity_V2_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • Güvenlik API'si erişimini iletin: Güvenlik API'si kimlik bilgilerini aktarma gereklidir: İstemci ID, İstemci Gizliliği, Token Uç Noktası ve Pull Endpoint.

Kurulum Yönergeleri:

Transmit Güvenlik API'si erişimini yapılandırma

API'yi kullanmadan önce, API kimlik bilgilerinizi Transmit Security platformundan almanız gerekir.

  1. Transmit Security admin konsolunuza giriş yapın.
  2. API kimlik bilgileri bölümüne gidin.
  3. Yeni bir API istemcisi oluşturun veya mevcut kimlik bilgilerini kullanın.
  4. Aşağıdakileri not edin:
    • Müşteri Kimliği
    • İstemci Gizli Anahtarı
    • Token Endpoint URL
    • Pull Endpoint URL (events API endpoint)

Bu belgeler bir sonraki adımda gerekli olacaktır.

  • Veri Bağlayıcıları Kılavuzu (portalda yapılandır)



Trellix Endpoint Security (Kodsuz Bağlayıcı Çerçevesi aracılığıyla)

Tarafından desteklenir:Microsoft Corporation

Trellix Endpoint Security veri bağlayıcısı, güvenlik olaylarını Trellix ePO'dan (ePolicy Orchestrator) Microsoft Sentinel almanıza olanak tanır. Bu bağlayıcı OAuth2 istemci kimlik bilgileri kimlik doğrulamasını kullanır ve tehdit algılamaları, çözümleyici bilgileri, kaynak ve hedef sistem ayrıntıları ve tehdit yanıtı eylemleri gibi kapsamlı uç nokta güvenlik verilerini toplamak için sayfalandırmayı otomatik olarak işler.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
TrellixEvents Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Kurulum Yönergeleri:

1. API Yapılandırması

Trellix ePO API bağlantınızı yapılandırın.

Kimlik doğrulaması için API anahtarınızı sağlayın. Bu, x-api-key üst bilgisinde gönderilir.

  • API Anahtarı: (API anahtarınızı girin)

Not: API anahtarı güvenli bir şekilde depolanır ve Trellix ePO API'siyle kimlik doğrulaması için kullanılır.

2. Kimlik Doğrulama Yapılandırması

OAuth2 kimlik doğrulama kimlik bilgilerini yapılandırın.

Not: OAuth2 kimlik doğrulaması API uç noktalarınıza güvenli erişim sağlar.

3. Bağlayıcıyı Etkinleştir

Trellix Endpoint Security bağlayıcısını etkinleştirme

Bağlayıcı Etkinleştirme

Yapılandırmanızı gözden geçirin ve bağlayıcının güvenlik olaylarını toplamaya başlamasını sağlayın.

  • Bağlantı Sonrası Bağlantıyı Etkinleştir/Devre Dışı Bırak

Bağlandıktan sonra , Veri bağlayıcıları sayfasında bağlayıcı durumunu izleyin. Veriler 5-10 dakika içinde görünmeye başlamalıdır.



Trend Micro Cloud App Security (using Azure İşlevleri)

Tarafından desteklenir:Microsoft Corporation

Trend Micro Cloud App Security veri bağlayıcısı, Cloud App Security'nin koruduğu hizmetlerin güvenlik olay kayıtlarını ve daha fazla olayın Log Retrieval API aracılığıyla Microsoft Sentinel'e alınmasını sağlar. Daha fazla bilgi için API dokümantasyonuna bakınız. Bağlayıcı olası güvenlik risklerini değerlendirmek, işbirliğini izlemek ve yapılandırma sorunlarını tanılamak ve gidermek için olay alma olanağı sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
TrendMicroCAS_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Microsoft.Web/sites izinleri: İşlev Uygulaması oluşturmak için Azure İşlevleri okuma ve yazma izinleri gereklidir. Daha fazla bilgi için bkz. Azure İşlevleri.
  • REST API Credentials/permissions: API çağrıları yapmak için TrendMicroCASToken ve TrendMicroCASServiceURL gereklidir. API hakkında daha fazla bilgi edinmek için belgelere bakın.

Kurulum Yönergeleri:

NOT: Bu bağlayıcı, günlükleri Microsoft Sentinel çekmek üzere Azure Blob Depolama API'sine bağlanmak için Azure İşlevleri kullanır. Bu, veri alımı ve verilerin Azure Blob Depolama maliyetlerde depolanması için ek maliyetlere neden olabilir. Ayrıntılar için Azure İşlevleri fiyatlandırma sayfasına ve Azure Blob Depolama fiyatlandırma sayfasına bakın.

(İsteğe Bağlı Adım) Çalışma alanını ve API yetkilendirme anahtarlarını veya belirteçlerini Azure Key Vault güvenli bir şekilde depolayın. Azure Key Vault, anahtar değerlerini depolamak ve almak için güvenli bir mekanizma sağlar. Azure İşlev Uygulaması ile Azure Key Vault kullanmak için bu yönergeleri izleyin.

NOT: Bu veri bağlayıcısı, beklenen TrendMicroCAS gibi çalışmak için Kusto Fonksiyonu tabanlı bir ayrıştırıcıya bağlıdır ve Microsoft Sentinel Çözümü ile birlikte dağıtılır.

ADIM 1 - Trend Micro Log Retrieval API'si için yapılandırma adımları

Kimlik bilgilerini almak için yönergeleri izleyin.

  1. Dokümantasyon kullanarak TrendMicroCASToken'i edinin.
  2. Veri bağlayıcısında kullanmak için kimlik bilgilerini kaydedin.

ADIM 2 - Bağlayıcıyı ve ilişkili Azure İşlevini dağıtmak için aşağıdaki iki dağıtım seçeneğinden Bİrİ'ni seçin

ÖNEMLI: Trend Micro Cloud App Security veri bağlayıcısını dağıtmadan önce, Workspace ID ve Workspace Primary Key'e sahip olun (aşağıdaki bağlantılardan kopyalanabilir).

  • Çalışma Alanı Kimliği: <Yükleme zamanında sağlanan değişken değeri>
  • Birincil Anahtar: <Yükleme zamanında sağlanan değişken değeri>

Seçenek 1 - Azure Resource Manager (ARM) Şablonu

Bu yöntemi, Trend Micro Cloud App Security veri bağlantısının ARM Tempate kullanılarak otomatik dağıtımı için kullanın.

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.ms

  2. Tercih edilen Abonelik, Kaynak Grubu ve Konum'a tıklayın.

NOT: Aynı kaynak grubunda, Aynı bölgedeki Windows ve Linux uygulamalarını karıştıramazsınız. Içinde Windows uygulamaları olmayan mevcut kaynak grubunu seçin veya yeni kaynak grubu oluşturun. 3. TrendMicroCASToken, TrendMicroCASServiceURL girin ve dağıtın. 4. Yukarıda belirtilen hüküm ve koşulları kabul ediyorum etiketli onay kutusunu işaretleyin. 5. Dağıtmak için Satın Al'a tıklayın.

Seçenek 2 - Azure İşlevleri El ile Dağıtımı

Trend Micro Cloud App Security veri bağlayıcısını Azure İşlevleri (Deployment via Visual Studio Code) ile manuel olarak dağıtmak için aşağıdaki adım adım talimatları kullanın.

  1. İşlev Uygulaması Dağıtma

NOT: VS kodunu Azure işlev geliştirme için hazırlamanız gerekir.

  1. Azure İşlev Uygulaması dosyasını indirin. Arşivi yerel geliştirme bilgisayarınıza ayıklayın.

  2. VS Code'ı başlatın. Ana menüde Dosya'yı ve ardından Klasörü Aç'ı seçin.

  3. Ayıklanan dosyalardan en üst düzey klasörü seçin.

  4. Etkinlik çubuğunda Azure simgesini seçin, ardından Azure: İşlevler alanında İşlev uygulamasına dağıt düğmesini seçin. Henüz oturum açmadıysanız, Etkinlik çubuğunda Azure simgesini seçin, ardından Azure: İşlevler alanında Oturum aç'ı seçerek Azure Oturum açtıysanız sonraki adıma geçin.

  5. İstemlerde aşağıdaki bilgileri sağlayın:

    a. Klasör seçin: Çalışma alanınızdan bir klasör seçin veya işlev uygulamanızı içeren klasöre göz atın.

    b. Abonelik'i seçin: Kullanılacak aboneliği seçin.

    c. Azure'de yeni İşlev Uygulaması oluştur'u seçin (Gelişmiş seçeneğini belirleme)

    d. İşlev uygulaması için genel olarak benzersiz bir ad girin: URL yolunda geçerli bir ad yazın. Yazdığınız ad, Azure İşlevleri benzersiz olduğundan emin olmak için doğrulanır. (örneğin TMCASXXXXX).

    e. Çalışma zamanı seçin: Python 3.11'i seçin.

    f. Yeni kaynaklar için bir konum seçin. Daha iyi performans ve düşük maliyetler için Microsoft Sentinel bulunduğu bölgeyi seçin.

  6. Dağıtım başlar. İşlev uygulamanız oluşturulduktan ve dağıtım paketi uygulandıktan sonra bir bildirim görüntülenir.

  7. İşlev Uygulaması yapılandırması için Azure portalı'na gidin.

  8. İşlev Uygulamasını Yapılandırma

  9. İşlev Uygulamasında İşlev Uygulaması Adı'nı ve ardından Yapılandırma'yı seçin.

  10. Uygulama ayarları sekmesinde Yeni uygulama ayarı'nı seçin.

  11. Aşağıdaki uygulama ayarlarının her birini ayrı ayrı ve ilgili dize değerleriyle (küçük harfe duyarlı) ekleyin: TrendMicroCASToken TrendMicroCASServiceURL WorkspaceID WorkspaceKey logAnalyticsUri (isteğe bağlı)

  • Ayrılmış bulut için log analytics API uç noktasını geçersiz kılmak için logAnalyticsUri kullanın. Örneğin, genel bulut için değeri boş bırakın; Azure GovUS bulut ortamı için değeri şu biçimde belirtin: https://<CustomerId>.ods.opinsights.azure.us.
  1. Tüm uygulama ayarları girildikten sonra Kaydet'e tıklayın.



Trend Micro Cloud App Security (Codeless Connector Framework aracılığıyla)

Tarafından desteklenir:Microsoft Corporation

Trend Micro Cloud App Security veri bağlayıcısı, Cloud App Security'nin koruduğu hizmetlerin güvenlik olay kayıtlarını SIEM API'si üzerinden Microsoft Sentinel'e alma yeteneği sağlar. Bağlayıcı, olası güvenlik risklerini incelemeye, ekibinizin iş birliği kullanımını analiz etmeye, yapılandırma sorunlarını teşhis etmeye ve daha fazlasını sağlayan olayları yakalama yeteneği sağlar. DCR tabanlı alım zamanı dönüşümlerini destekler; alınan güvenlik olayı verilerini özel sütunlara ayrıştırarak sorguların tekrar ayrıştırmasına gerek kalmaz ve böylece daha iyi performans sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
TrendMicroCASV2_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Trend Micro CAS API Token: Bir Trend Micro Cloud App Güvenlik API'si tokenı gereklidir. Daha fazla bilgi için Trend Micro CAS API'ye bakınız.

Kurulum Yönergeleri:

1. Trend Micro CAS Veri Akışlarını Yapılandırın

İzlemek istediğiniz bulut hizmeti ve etkinlik türü kombinasyonlarını seçerek bir veya daha fazla veri akışı ekleyin.

  • Veri Bağlayıcıları Kılavuzu (portalda yapılandır)



Trend Vision One (Azure İşlevleri kullanarak)

Tarafından desteklenir:Trend Micro

Trend Vision One bağlayıcısı, panoları görüntülemek, özel uyarılar oluşturmak ve izleme ve araştırma özelliklerini geliştirmek için Workbench uyarı verilerinizi kolayca Microsoft Sentinel bağlamanıza olanak tanır. Bu, kuruluşunuzun ağları/sistemleri hakkında daha fazla içgörü sağlar ve güvenlik işlemi özelliklerinizi geliştirir.

Trend Vision One bağlayıcısı şu bölgelerde Microsoft Sentinel desteklenir: Doğu Avustralya, Güneydoğu Avustralya, Güney Brezilya, Orta Kanada, Doğu Kanada, Orta Hindistan, Orta ABD, Doğu Asya, Doğu ABD, Doğu ABD 2, Orta Fransa, Doğu Japonya, Orta Kore, Orta Kuzey ABD, Kuzey Avrupa, Norveç Doğu, Güney Afrika Kuzey, Orta Güney ABD, Güneydoğu Asya, İsveç Orta, Kuzey İsviçre, BAE Kuzey, Güney Birleşik Krallık, Birleşik Krallık Batı, Batı Avrupa, Batı ABD, Batı ABD 2, Batı ABD 3.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
TrendMicro_XDR_WORKBENCH_CL Evet Evet
TrendMicro_XDR_RCA_Task_CL Hayır Hayır
TrendMicro_XDR_RCA_Result_CL Hayır Hayır
TrendMicro_XDR_OAT_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Microsoft.Web/sites izinleri: İşlev Uygulaması oluşturmak için Azure İşlevleri okuma ve yazma izinleri gereklidir. Daha fazla bilgi için bkz. Azure İşlevleri.
  • Trend Vision One API Belirteci: Trend Vision One API Belirteci gereklidir. Trend Vision One API'si hakkında daha fazla bilgi edinmek için belgelere bakın.

Kurulum Yönergeleri:

NOT: Bu bağlayıcı, günlüklerini Microsoft Sentinel çekmek üzere Trend Vision One API'sine bağlanmak için Azure İşlevleri kullanır. Bu, ek veri alımı maliyetlerine neden olabilir. Ayrıntılar için Azure İşlevleri fiyatlandırma sayfasına bakın.

(İsteğe Bağlı Adım) Çalışma alanını ve API yetkilendirme anahtarlarını veya belirteçlerini Azure Key Vault güvenli bir şekilde depolayın. Azure Key Vault, anahtar değerlerini depolamak ve almak için güvenli bir mekanizma sağlar. Azure İşlev Uygulaması ile Azure Key Vault kullanmak için bu yönergeleri izleyin.

ADIM 1 - Trend Vision One API'si için yapılandırma adımları

Hesap ve API kimlik doğrulama belirteci oluşturmak için bu yönergeleri izleyin.

ADIM 2 - Bağlayıcıyı ve ilişkili Azure İşlevini dağıtmak için aşağıdaki dağıtım seçeneğini kullanın

ÖNEMLİ: Trend Vision One bağlayıcısını dağıtmadan önce, Çalışma Alanı Kimliği ve Çalışma Alanı Birincil Anahtarına (aşağıdakilerden kopyalanabilir) ve Eğilim Görüntü İşleme One API Yetkilendirme Belirteci'ne sahip olun.

  • Çalışma Alanı Kimliği: <Yükleme zamanında sağlanan değişken değeri>
  • Birincil Anahtar: <Yükleme zamanında sağlanan değişken değeri>

Azure Resource Manager (ARM) Şablon Dağıtımı

Bu yöntem, ARM Tempate kullanarak Trend Vision One bağlayıcısının otomatik dağıtımını sağlar.

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.ms

  2. Tercih edilen Abonelik, Kaynak Grubu ve Konum'a tıklayın.

  3. Benzersiz bir İşlev Adı, Çalışma Alanı Kimliği, Çalışma Alanı Anahtarı, API Belirteci ve Bölge Kodu girin.

  • Not: Trend Vision One örneğinizin dağıtıldığı yere göre uygun bölge kodunu sağlayın: us, eu, au, in, sg, jp
  • Not: Yukarıdaki değerlerden herhangi biri için Azure Key Vault gizli dizileri kullanıyorsanız, dize değerleri yerine şemayı kullanın@Microsoft.KeyVault(SecretUri={Security Identifier}). Daha fazla ayrıntı için Key Vault başvuru belgelerine bakın.
  1. Yukarıda belirtilen hüküm ve koşulları kabul ediyorum etiketli onay kutusunu işaretleyin.
  2. Dağıtmak için Satın Al'a tıklayın.



TrendAI Vision One™ - OAT Algılamaları (Kodsuz Bağlayıcı Çerçevesi aracılığıyla)

Destekli:TrendAI

TrendAI Vision One™ OAT veri bağlayıcısı, TrendAI Vision One'dan™ Gözlemlenen Saldırı Teknikleri (OAT) tespitlerini Microsoft Sentinel'e alır. Tespitler arasında tam süreç ağaçları, dosya hash'ları, ağ göstergeleri ve MITRE ATT&CK eşlemeleri bulunur.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
TrendAI_XDR_OAT_V2_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Kurulum Yönergeleri:

⚠️ ÖNEMLİ: Token Döndürmesi ve Veri Kaybı

API token'ınız süresi dolduğunda veya rotasyon gerektirdiğinde, bu bağlantıyı yeni tokenla tekrar bağlayıp kesmeniz gerekir. Bağlantısı kesilen dönemde oluşturulan olaylar otomatik olarak toplanmayacak.

Veri kaybını en aza indirmek için:

  1. Mevcut API belirteçeği dolmadan yeni bir API token oluşturun

  2. Bağlantıyı kesme/yeniden bağlantı penceresini en aza indirin (saniyeler, saatler değil)

  3. Yeniden bağlantı kurduktan sonra, gerekirse, OAT Algılama API'si kullanarak boşluk dönemindeki olaylar için TrendAI Vision One API'sini manuel olarak sorgulayın

  4. TrendAI Vision One™ API Token'ınızı geri alın

  5. TrendAI Vision One™ Konsoluna Giriş Yapın

  6. API Anahtarları Yönetimi → Sayfasına Gidin

  7. Add API Key'e tıklayın, SIEM rolünü seçin ve token'ı kopyalayın

  • API Token: (TrendAI Vision One™ API tokenınızı buraya yapıştırın)
  • TMV1-Filter (İsteğe bağlı): ((riskLevel eq 'yüksek') ve (endpointName eq 'benim bilgisayarım'))
  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



TrendAI Vision One™ - Workbench Uyarıları (Codeless Connector Framework aracılığıyla)

Destekli:TrendAI

TrendAI Vision One™ Workbench veri bağlayıcısı, TrendAI Vision One'dan™ güvenlik uyarılarını Microsoft Sentinel'e alır.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
TrendAI_XDR_WORKBENCH_V2_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Kurulum Yönergeleri:

⚠️ ÖNEMLİ: Token Döndürmesi ve Veri Kaybı

API token'ınız süresi dolduğunda veya rotasyon gerektirdiğinde, bu bağlantıyı yeni tokenla tekrar bağlayıp kesmeniz gerekir. Bağlantısı kesilen dönemde oluşturulan olaylar otomatik olarak toplanmayacak.

Veri kaybını en aza indirmek için:

  1. Mevcut API belirteçeği dolmadan yeni bir API token oluşturun

  2. Bağlantıyı kesme/yeniden bağlantı penceresini en aza indirin (saniyeler, saatler değil)

  3. Yeniden bağlantı sağlandıktan sonra, gerekirse, Workbench Alerts API'si kullanarak boşluk dönemindeki olaylar için TrendAI Vision One API'sini manuel olarak sorgulayın

  4. TrendAI Vision One™ API Token'ınızı geri alın

  5. TrendAI Vision One™ Konsoluna Giriş Yapın

  6. API Anahtarları Yönetimi → Sayfasına Gidin

  7. Add API Key'e tıklayın, SIEM rolünü seçin ve token'ı kopyalayın

  • API Token: (TrendAI Vision One™ API tokenınızı buraya yapıştırın)
  • TMV1-Filter (İsteğe bağlı): (investigationStatus eq 'New' ve contains(impactScopeEntityValue,'nimda'))
  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



Tropico Güvenliği - Uyarılar

Tarafından desteklenir:TROPICO Security

OCSF Güvenlik Bulma biçiminde Tropico Güvenlik Platformu'ndan güvenlik uyarıları alın.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
{{graphQueriesTableName}} Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Kurulum Yönergeleri:

Tropico Security Platform'u bağlama

Tropico Ayarları'ndan salt okunur API anahtarınızı girin.

  • API Anahtarı: (trop_xxxx...)
  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



Tropico Security - Olaylar

Tarafından desteklenir:TROPICO Security

Tropico Güvenlik Platformu'ndan güvenlik olaylarını OCSF Güvenlik Bulma biçiminde alın.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
{{graphQueriesTableName}} Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Kurulum Yönergeleri:

Tropico Security Platform'u bağlama

Tropico Ayarları'ndan salt okunur API anahtarınızı girin.

  • API Anahtarı: (trop_xxxx...)
  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



Tropico Security - Olaylar

Tarafından desteklenir:TROPICO Security

Tropico Güvenlik Platformu'ndan saldırgan oturumu olaylarını alın.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
{{graphQueriesTableName}} Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Kurulum Yönergeleri:

Tropico Security Platform'u bağlama

Tropico Ayarları'ndan salt okunur API anahtarınızı girin.

  • API Anahtarı: (trop_xxxx...)
  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



Uniqkey Güvenlik Etkinlikleri

Desteklenen:Uniqkey

Uniqkey bağlayıcısı, Uniqkey iş şifre yönetim platformundan güvenlik ve denetim olaylarını Microsoft Sentinel'e aktarır. Etkinlikler, kimlik doğrulama, kimlik bilgilerine erişim, kimlik yönetimi yönetimi, paylaşım, politika yönetimi, tehdit tespiti ve organizasyonunuzdaki diğer idari faaliyetleri kapsar.

Önkoşullar:

  1. Aktif bir Uniqkey organizasyonu
  2. Uniqkey yöneticiniz tarafından oluşturulan bir Uniqkey SIEM entegrasyon API tokenı

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
UniqkeyEvents_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Uniqkey SIEM API token: Bir Uniqkey SIEM entegrasyon API tokenı gereklidir. Uniqkey yöneticiniz, Settings > Integrations > SIEM altında Uniqkey yönetici portalında bir tane oluşturabilir.

Kurulum Yönergeleri:

1. Uniqkey SIEM API tokenınızı edinin

  1. Uniqkey yönetici portalına yönetici olarak giriş yapın
  2. Settings > Entegrasyonlar > SIEM'e gidin
  3. Yeni bir API tokenı oluşturun
  4. Tokenı kopyalayın ve güvenli bir şekilde saklayın - bu, kuruluşunuzun etkinlik akışına okuma erişimi yetkisi verir. Her Uniqkey organizasyonu kendi tokenını kullanır.

2. Bağlan

Aşağıya Uniqkey SIEM API tokenınızı girin, ardından Connect'i seçin. Microsoft Sentinel, sizin adınıza Uniqkey olay uç noktasını sorgulamaya başlayacak.

  • Uniqkey SIEM API token: (API token'ınızı girin)
  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



Upwind Catalog Loader (Ingestion API)

Tarafından desteklenir:Upwind

Upwind Catalog Loader veri bağlayıcısı, Upwind bulut güvenlik platformundan hesaplama platform varlıklarını Azure Fonksiyonu ve Azure İzleyici Ingestion API (DCE/DCR) kullanılarak Microsoft Sentinel özel tablosuna alır.

Upwind, bulut duruşuyla canlı iş yükü bağlamı arasında bağıntı kurarak çalışma zamanı destekli bulut güvenliği sağlar. Bu bağlayıcı, Upwind envanter kataloğunuzu — AWS, GCP ve Azure üzerinden hesaplama platformu varlıklarını — doğrudan Microsoft Sentinel'e gönderiyor; böylece korelasyon, avlama ve olay zenginleştirmesi yapılıyor.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
UpwindCatalogAssets_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Microsoft.Web/sites izinleri: İşlev Uygulaması oluşturmak için Azure İşlevleri okuma ve yazma izinleri gereklidir. Daha fazla bilgi için bkz. Azure İşlevleri.
  • Upwind API Kimlik Bilgileri: Upwind API istemci kimliği ve istemci gizli dizisi gereklidir. Bunları Ayarlar → API Anahtarları altından Upwind platformunuzdan alın. İstemci kimlik bilgileri, taşıyıcı belirteci almak için kimlik https://auth.upwind.io/oauth/token doğrulaması yapmak için kullanılır.
  • Upwind Kuruluş Kimliği: Upwind Kuruluş Kimliğiniz gereklidir. Bunu Upwind platformunda Ayarlar → Kuruluş altında bulabilirsiniz.

Kurulum Yönergeleri:

NOT: Bu bağlayıcı, Azure İşlevleri ve Azure İzleyici Ingestion API (DCE/DCR) kullanarak Upwind katalog varlıklarını Microsoft Sentinel'e itiyor. ARM şablonu otomatik olarak Veri Toplama Uç Noktası, özel günlük tablosu (UpwindCatalogAssets_CL), Veri Toplama Kuralı ve rol ataması oluşturur. Bu, ek veri alımı maliyetlerine neden olabilir. Ayrıntılar için Azure İşlevleri fiyatlandırma sayfasını ve Azure İzleme fiyatlandırma sayfasını gözden geçirin.

(İsteğe bağlı) Upwind istemci sırrınızı Azure Key Vault'ta güvenli bir şekilde saklayın. KEY_VAULT_URI Key Vault alma özelliğini etkinleştirmek için UPWIND_SECRET_NAME uygulama ayarlarını ayarlayın. Key Vault konfigüre edilmemişse, fonksiyon uygulama ayarına geri UPWIND_CLIENT_SECRET dönecek.

1. ADIM – Upwind API kimlik bilgilerini alma

  1. Upwind platformunda oturum açın.
  2. Ayarlar → API Anahtarları'na gidin.
  3. Yeni bir API anahtarı oluşturun ve İstemci Kimliği ile İstemci Gizli Anahtarı'nı not edin.
  4. Ayarlar → Kuruluş'a gidin ve Kuruluş kimliğinizi not edin.

ADIM 2 – Azure İşlev Uygulamasını Dağıtma

Azure için Dağıt'a tıklayın ve parametreleri doldurun. Şablon otomatik olarak DCE, tablo, UpwindCatalogAssets_CL DCR, rol ataması ve İşlev Uygulaması oluşturur.

portal.azure.com

Doldurulacak parametreler:

Parametre Açıklama
WorkspaceName Log Analytics / Microsoft Sentinel çalışma alanınızın adı
WorkspaceResourceGroup (isteğe bağlı) Eğer dağıttığınız çalışma alanından farklıysa, o çalışma alanını içeren kaynak grubu
UpwindOrgId 1. Adım'dan Upwind Kuruluş Kimliği
UpwindClientId 1. Adım'dan Upwind API İstemci Kimliği
UpwindClientSecret 1. Adımdan Upwind API İstemci Gizli Anahtarı
AppInsightsWorkspaceResourceID Log Analytics çalışma alanının Tam Kaynak Kimliği ( Log Analytics çalışma alanından → Özellikler)
UpwindThreatLookbackMinutes (isteğe bağlı, varsayılan 90) Tehdit tespitleri, tehdit olayları, tehdit hikayeleri ve yapılandırma bulguları için dakikalar içinde geri dönük bakış penceresi
  • Çalışma Alanı Kimliği: <Yükleme zamanında sağlanan değişken değeri>



Utimaco Enterprise Secure Key Manager (ESKM)

Desteklenen:Utimaco

Utimaco ESKM bağlantısı, Utimaco Enterprise Secure Key Manager (ESKM)'den KMIP sunucu loglarını Microsoft Sentinel'e alır.

Temel kimlik doğrulamayı (kullanıcı adı/şifre) destekler.

Daha fazla bilgi için Utimaco ESKM Dokümantasyonu'nu ziyaret edin.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
UtimacoESKMKmipServerLogs_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • Utimaco ESKM Hesap Kimlik Bilgileri: ESKM yönetim API'sine kimlik doğrulaması için Utimaco ESKM hesap kimlik bilgileri (kullanıcı adı ve şifre) gereklidir. Utimaco ESKM Dokümantasyonuna bakınız.

Kurulum Yönergeleri:

Adım 1 - Ön Koşullar

Yönetim API'sine erişim izinleri olan bir Utimaco ESKM yönetim hesabınız olduğundan emin olun. ESKM cihazınızın temel URL'sine dikkat edin (genellikle https://<eskm-host>:8443).

Adım 2 - Utimaco ESKM'ye bağlanın

Aşağıda Utimaco ESKM yönetim API taban URL'nizi ve hesap kimlik bilgilerinizi ekleyin, ardından Bağla'na tıklayın.

  • API Temel URL: (https://< eskm-host>:8443)
  • Kullanıcı adı: (Kullanıcı adı girin)
  • Şifre: (Şifreyi gir)
  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



Vaikora AI Aracısı Davranış Sinyalleri

Tarafından desteklenir:Data443 Risk Azaltma, Inc.

Kodsuz Bağlayıcı Çerçevesi 'ni (CCF) kullanarak Vaikora API'sinden Microsoft Sentinel'a yapay zeka aracısı davranış sinyallerini alın. Ortamınızdaki şüpheli yapay zeka etkinliğini algılamak için aracı eylemlerini, ilke kararlarını, anomali puanlarını ve risk düzeylerini izleyin.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
Vaikora_AgentSignals_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Vaikora API Anahtarı: Eylemler uç noktasına okuma erişimi olan bir Vaikora API anahtarı (vk_xxxxx). Bunu Ayarlar > API Anahtarları altındaki Vaikora panonuzdan alın.

Kurulum Yönergeleri:

Vaikora AI Aracısı Davranış Sinyallerini Bağlama

Vaikora bağlayıcısını etkinleştirmek için aşağıdaki Vaikora API anahtarınızı girin ve Bağlan'a tıklayın. Aracı Kimliği isteğe bağlıdır; alma işlemini tek bir aracıyla kapsamak için kullanın veya anahtarın görebileceği tüm aracılardan eylemleri almak için boş bırakın.

API anahtarınız altındaki > bulunur. Aracı Kimliği, her aracının ayrıntı sayfasında gösterilen UUID'dir.

  • Vaikora API Anahtarı: (vk_xxxxxxxxxxxxxxxxxxxxxxxx)
  • Vaikora Aracı Kimliği (isteğe bağlı): (Tüm aracıları izlemek için boş bırakın)
  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



Valimail Yapılandırma Olaylarını Zorla

Tarafından desteklenir:Valimail

Valimail Yapılandırma Olayları veri bağlayıcısı, e-posta etki alanının yapılandırma olaylarının Valimail Raporlama API'sinden Microsoft Sentinel'a alımına olanak tanır. Veri bağlayıcısı Microsoft Sentinel Kodsuz Bağlayıcı Çerçevesi'ni üzerine kurulmuştur.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
ValimailEnforceEvents_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Kurulum Yönergeleri:

Valimail Olayları API'sinin yapılandırma adımları Raporlama API'sinin kimlik bilgileri kümesi oluşturmak için kılavuzdaki yönergeleri izleyin. Oluşturulan İstemci Kimliğini ve Uygulama Kimliği anahtarlarını depolayın.

  • İstemci Hesabı Bilgi Kutusu: (Hesap bilgi kutusu)
  • API İstemci Kimliği: (İstemci Kimliği Kimlik Bilgileri)
  • API Uygulama Kimliği: (Uygulama Kimliği Kimlik Bilgileri)
  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



Varonis Purview Anında İletme Bağlayıcısı

Tarafından desteklenir:Varonis

Varonis Purview bağlayıcısı, Varonis'ten Microsoft Purview'a kaynakları eşitleme özelliği sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
VaronisResources_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Microsoft Entra: Microsoft Entra ID'da uygulama kaydı oluşturma izni. Genellikle Entra Kimliği Uygulama Geliştirici rolü veya üzeri gerekir.
  • Microsoft Azure: Veri toplama kuralında (DCR) İzleme Ölçümleri Yayımcısı rolü atama izni. Genellikle Azure RBAC Sahibi veya Kullanıcı Erişimi Yöneticisi rolü gerektirir

Kurulum Yönergeleri:

1. Varonis Resoources alımını ayarlamak için bunu çalıştırın

Bu, verileri DCR'ye güvenli bir şekilde göndermek için gerekli Log Analytics tablolarını, Veri Toplama Kuralı'nı (DCR) ve bir Entra uygulamasını oluşturur.

Entra Uygulaması ile Otomatik Yapılandırma ve Güvenli Veri Alımı "Dağıt" seçeneğine tıklanması Log Analytics tablolarının ve veri toplama kuralının (DCR) oluşturulmasını tetikler. Ardından bir Entra uygulaması oluşturur, DCR'yi buna bağlar ve uygulamaya girilen gizli diziyi ayarlar. Bu kurulum, verilerin Entra belirteci kullanılarak DCR'ye güvenli bir şekilde gönderilmesini sağlar.

2. Günlüklerinizi çalışma alanına gönderme

Varonis tümleştirmeleri panonuzda Varonis Purview Bağlayıcısını yapılandırmak için aşağıdaki parametreleri kullanın.

  • Kiracı Kimliği (Dizin Kimliği): <Yükleme zamanında sağlanan değişken değeri>
  • Entra Uygulama Kaydı Uygulama Kimliği: <yükleme zamanında sağlanan değişken değeri>
  • Entra Uygulama Kaydı Gizli Anahtarı: <yükleme zamanında sağlanan değişken değeri>
  • Veri Toplama Uç Noktası Uri'si: <yükleme zamanında sağlanan değişken değeri>
  • Veri Toplama Kuralı Sabit Kimliği: <yükleme zamanında sağlanan değişken değer>
  • Kaynak Stream Adı: <yükleme zamanında sağlanan değişken değeri>



Varonis SaaS (Push)

Tarafından desteklenir:Varonis

Varonis SaaS konnektörü, Codeless Connector Framework (CCF) Push desenini kullanarak gerçek zamanlı DatAlert güvenlik uyarılarını doğrudan Microsoft Sentinel'e aktarma yeteneği sağlar. Varonis, veri erişimi için derin veri görünürlüğünü, sınıflandırma özelliklerini ve otomatik düzeltmeyi önceliklendirir. Bu bağlayıcı, uyarı şiddetini, olay türlerini, kullanıcı bilgilerini ve ilgili detayları analiz, uyarı ve görselleştirme için özel bir Log Analytics tablosuna aktarır.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
VaronisAlertsV2_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Microsoft Entra: Microsoft Entra ID'da uygulama kaydı oluşturma izni. Genellikle Entra Kimliği Uygulama Geliştirici rolü veya üzeri gerekir.
  • Microsoft Azure: Veri toplama kuralında (DCR) İzleme Ölçümleri Yayımcısı rolü atama izni. Genellikle Azure RBAC Sahibi veya Kullanıcı Erişimi Yöneticisi rolü gerektirir.

Kurulum Yönergeleri:

1. ARM Kaynakları Oluşturma ve Gerekli İzinleri Sağlama

Bu bağlayıcı, Varonis SaaS uygulamanızın DatAlert güvenlik uyarılarını Azure İzleyici Ingestion API'si üzerinden doğrudan Microsoft Sentinel'e göndermesini sağlar.

Entra Uygulaması ile Otomatik Yapılandırma ve Güvenli Veri Alımı. "Dağıt" tuşuna tıklamak, bir Log Analytics tablosu ve Veri Toplama Kuralı (DCR) oluşturulmasını tetikler. Ardından bir Entra uygulaması oluşturur, DCR'yi buna bağlar ve uygulamaya girilen gizli diziyi ayarlar. Bu kurulum, verilerin Entra belirteci kullanılarak DCR'ye güvenli bir şekilde gönderilmesini sağlar.

2. Varonis Uygulamanızı Yapılandırın

Varonis SaaS uygulamanızı DatAlert uyarılarını çalışma alanına gönderecek şekilde yapılandırmak için aşağıdaki parametreleri kullanın.

  • Kiracı Kimliği (Dizin Kimliği): <Yükleme zamanında sağlanan değişken değeri>
  • Entra Uygulama Kaydı Uygulama Kimliği: <yükleme zamanında sağlanan değişken değeri>
  • Entra Uygulama Kaydı Gizli Anahtarı: <yükleme zamanında sağlanan değişken değeri>
  • Veri Toplama Uç Noktası Uri'si: <yükleme zamanında sağlanan değişken değeri>
  • Veri Toplama Kuralı Sabit Kimliği: <yükleme zamanında sağlanan değişken değer>
  • Akış Adı: <kurulum sırasında> sağlanan değişken değer Varonis SaaS Uygulamasını Yapılandırma Yukarıdaki kimlik bilgileriyle Varonis SaaS uygulama yapılandırmanızı güncelleyerek DatAlert uyarısını Microsoft Sentinel'e yönlendirmeyi etkinleştirin.



Vectra RUX Güvenlik Veri Bağlantısı (Kodsuz Bağlayıcı Çerçevesi aracılığıyla)

Tarafından desteklenir:Vectra Desteği

Vectra RUX veri bağlayıcısı, Vectra AI platformundan güvenlik verilerini REST API üzerinden Microsoft Sentinel'e Codeless Connector Framework (CCF) kullanarak aktarmanızı sağlar. Bu konnektör, OAuth2 istemci kimlik bilgilerini kullanarak 3 veri akışını destekler:
- Tespitler: Güvenlik tespitleri, triage duruma göre filtrelenir.
- Karantina: Varlık izolasyonu ve muhafaza durumu. Her 5 dakikada bir canlı durum kaydedilir.
- Varlıklar: Son modifikasyon zamanına göre sıralanmış olarak kademeli olarak alınan puanlama, atama ve zenginleştirme verilerine sahip host ve hesap varlıkları.

Bağlayıcı, Microsoft Sentinel Codeless Connector Framework üzerine inşa edilmiştir ve optimize edilmiş sorgu performansı için DCR tabanlı alım zaman dönüşümlerini destekler.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
Detections_Data_CCF_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Vectra RUX API erişimi: Her veri akışı için uygun izinlerle Vectra RUX API'sine erişim gereklidir.

Kurulum Yönergeleri:

1. Vectra RUX Bağlantısını Yapılandırmak

Vectra RUX'a bağlanın ve veri akışını seçin

Vectra RUX Veri Konnektör Yapılandırması

Vectra RUX bağlantınızı yapılandırın ve toplamak istediğiniz veri akışını seçin. Her akış, Vectra AI platformunuzdan farklı türde güvenlik verileri sağlar.

  • Veri Bağlayıcıları Kılavuzu (portalda yapılandır)

Not: Not: Bağlantı eklendikten sonra, Algılar akışı her 5 dakikada bir kalıcı bir kontrol noktası imleci (PersistentToken) kullanarak anketler yapar — konum bazlı, zamana göre değil. İmleç, pod yeniden başlatmalarına ve uzun sayfa çizimlerine dayanır; saat kayması veya yavaş sayfalar nedeniyle hiçbir olay sessizce atlanmaz. İlk anket tohumlama: detectionsStartingCheckpoint Bağlantı oluştururken mevcut olay konumunuzda alınmaya başlama değerini sağlayın, tarihin başından değil.

Not: Bağlantı eklerken Sorun Giderme Hızı Sınırları (HTTP 429 Hataları):

  • Temel Sebep: Vectra RUX, kötüye kullanımı önlemek için API isteklerini sınırlar
  • Çözüm: Her veri akışı bağlantısı için Vectra'da ayrı bir API istemcisi oluşturun
  • Doğrulama: Her konnektör örneğinin farklı clientId kimlik bilgilerini kullandığını kontrol edin
  • Dağıtım Stratejisi: OAuth2 isteği çarpışmalarını önlemek için birden fazla akış eklerken bağlantı oluşturma en az bir dakika daha kademeli hale getirilir

2. Veri Toplama Sürecini İzle ve Doğrulama

Veri alımını izleyin ve bağlantıyı doğrulayın

Yapılandırma Sonrası Adımlar

  1. Bağlantı Durumunu İzle: Veri bağlayıcıları sayfasında konnektör durumunu kontrol edin.

  2. Validate Veri Akışı: Toplanan veri sorgularını doğrulamak için sağlanan örnek sorguları kullanın.

  3. Bağlantı Sağlığını İnceleme (İsteğe Bağlı): Tablo, SentinelHealth her veri akışı için anket döngüsü başına durumu sağlar; kimlik doğrulama, ağ ve alım hatalarının hata nedenleri dahil olmak üzere. Varsayılan olarak etkin değildir. Etkinleştirmek için: →Sağlık ve Denetim → Microsoft Sentinel → Ayarlar sekmesine gidin ve veri bağlayıcıları için sağlık izleme seçeneğini açın. Tam talimatlar için Microsoft Sentinel için sağlık izlemeyi etkinleştir bölümüne bakınız. Etkinleştirildiğinde, bağlantı sorgusu durumunu kontrol etmek için aşağıdaki sorguyu çalıştırın:

    SentinelHealth | where TimeGenerated > ago(24h) | where SentinelResourceType == "Data connector" | project TimeGenerated, SentinelResourceName, Status, Description, Reason | order by TimeGenerated desc

Stream-Specific Notlar

  • Tespitler: Varsayılan olarak triage algılamaları filtreler (include_triaged=false).

    Not: PersistentToken Kontrol Noktası Modu (Algılamalar)

Algılama poller'ı PersistentToken ise — Vectra API'si tarafından geri dönen değer next_checkpoint CCF tarafından saklanır ve bir sonraki anket döngüsündeki gibi from=<checkpoint> geri iletilir. Bu konum tabanlı (monoton idtabanlı), zaman tabanlı değildir, bu yüzden yavaş sayfalama veya pod yeniden başlatma sessiz veri boşluklarına yol açamaz.

Soğuk başlatma davranışı: Konuşlandırmadan sonraki ilk ankette, CCF başlangıç imleci olarak gönderir from=<detectionsStartingCheckpoint> . Alım bu imleç pozisyonunda başlar, böylece tarihsel bir birikme alınmaz. İlk anket tamamlandığında, PersistentToken geri dönen next_checkpoint değeri sürdürür ve sonraki tüm anketler depolanan değeri otomatik olarak kullanır.



Vectra XDR (Azure İşlevleri kullanarak)

Tarafından desteklenir:Vectra Desteği

Vectra XDR bağlayıcısı Vectra REST API aracılığıyla Vectra Algılamaları, Denetimler, Varlık Puanlama, Kilitleme, Sistem Durumu ve Varlıklar verilerini Microsoft Sentinel alma özelliği sağlar. Daha fazla bilgi için API belgelerine https://support.vectra.ai/s/article/KB-VS-1666 bakın.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
Detections_Data_CL Evet Evet
Audits_Data_CL Evet Evet
Entity_Scoring_Data_CL Evet Evet
Lockdown_Data_CL Evet Evet
Health_Data_CL Evet Evet
Entities_Data_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Microsoft.Web/sites izinleri: İşlev Uygulaması oluşturmak için Azure İşlevleri okuma ve yazma izinleri gereklidir. Daha fazla bilgi için bkz. Azure İşlevleri.
  • REST API Kimlik Bilgileri/izinleri: Sistem Durumu, Varlık Puanlaması, Varlıklar, Algılamalar, Kilitleme ve Denetim verileri toplama için Vectra İstemci Kimliği ve İstemci Gizli Anahtarı gereklidir. üzerinde API hakkında daha fazla bilgi edinmek için belgelere https://support.vectra.ai/s/article/KB-VS-1666bakın.

Kurulum Yönergeleri:

NOT: Bu bağlayıcı, günlüklerini Microsoft Sentinel çekmek üzere Vectra API'sine bağlanmak için Azure İşlevleri kullanır. Bu, ek veri alımı maliyetlerine neden olabilir. Ayrıntılar için Azure İşlevleri fiyatlandırma sayfasına bakın.

(İsteğe Bağlı Adım) Çalışma alanını ve API yetkilendirme anahtarlarını veya belirteçlerini Azure Key Vault güvenli bir şekilde depolayın. Azure Key Vault, anahtar değerlerini depolamak ve almak için güvenli bir mekanizma sağlar. Azure İşlev Uygulaması ile Azure Key Vault kullanmak için bu yönergeleri izleyin.

NOT: Bu veri bağlayıcısı, kusto işlevini temel alan ayrıştırıcının beklendiği gibi çalışmasına bağlıdır. Kusto işlevleri diğer adı, VectraDetections, VectraAudits, VectraEntityScoring, VectraLockdown ve VectraHealth oluşturmak için Algılama Ayrıştırıcısı, Denetim Ayrıştırıcısı, Varlık PuanlamaAyrıştırıcısı, Kilitleme Ayrıştırıcısı ve Sistem Durumu Ayrıştırıcısı için bu adımları izleyin.

ADIM 1 - Vectra API Kimlik Bilgileri için yapılandırma adımları

Vectra İstemci Kimliği ve İstemci Gizli Anahtarı oluşturmak için bu yönergeleri izleyin.

  1. Vectra portalınızda oturum açın
  2. Yönet -> API İstemcileri'ne gidin
  3. YENI bir istemci oluşturmak için API İstemcileri sayfasından 'API İstemcisi Ekle'yi seçin.
  4. İstemci Adı ekleyin, Rol'e tıklayın ve istemci kimlik bilgilerinizi almak için Kimlik Bilgileri Oluştur'a tıklayın.
  5. Güvenli hale getirmek için İstemci Kimliğinizi ve Gizli Anahtarınızı kaydettiğinizden emin olun. Vectra API'sinden erişim belirteci almak için bu iki bilgiye ihtiyacınız olacaktır. Tüm Vectra API uç noktalarına istekte bulunmak için erişim belirteci gereklidir.

ADIM 2 - Microsoft Entra ID'da Uygulama için Uygulama Kaydı adımları

Bu tümleştirme için Azure portal bir Uygulama kaydı gerekir. Microsoft Entra ID'da yeni uygulama oluşturmak için bu bölümdeki adımları izleyin:

  1. Azure portalda oturum açın.
  2. Microsoft Entra ID arayın ve seçin.
  3. Yönet'in altında Yeni kayıt'ı Uygulama kayıtları > seçin.
  4. Uygulamanız için bir görünen Ad girin.
  5. İlk uygulama kaydını tamamlamak için Kaydet'i seçin.
  6. Kayıt tamamlandığında, Azure portal uygulama kaydının Genel Bakış bölmesini görüntüler. Uygulama (istemci) kimliğini ve Kiracı Kimliğini görürsünüz. İstemci kimliği ve Kiracı Kimliği, Vectra Veri Bağlayıcısı'nın yürütülmesi için yapılandırma parametreleri olarak gereklidir.

Başvuru bağlantısı:/azure/active-directory/develop/quickstart-register-app

3. ADIM - Microsoft Entra ID'de uygulama için istemci gizli dizisi ekleme

Bazen uygulama parolası olarak da adlandırılan istemci gizli dizisi, Vectra Veri Bağlayıcısı'nın yürütülmesi için gereken bir dize değeridir. Yeni bir İstemci Gizli Anahtarı oluşturmak için bu bölümdeki adımları izleyin:

  1. Azure portal, Uygulama kayıtları uygulamanızı seçin.
  2. Sertifikalar & gizli diziler > İstemci gizli dizileri Yeni istemci gizli dizisi'ni >seçin.
  3. Gizli anahtarınız için bir açıklama ekleyin.
  4. Gizli dizi için bir süre sonu seçin veya özel bir yaşam süresi belirtin. Sınır 24 aydır.
  5. Ekle'yi seçin.
  6. Gizli anahtarın değerini istemci uygulama kodunuzda kullanmak üzere kaydedin. Bu gizli dizi değeri, siz bu sayfadan ayrıldıktan sonra bir daha görüntülenmez. Gizli dizi değeri, Vectra Veri Bağlayıcısı'nın yürütülmesi için yapılandırma parametresi olarak gereklidir.

Başvuru bağlantısı:/azure/active-directory/develop/quickstart-register-app#add-a-client-secret

4. ADIM - uygulamanızın Nesne Kimliğini Microsoft Entra ID

Uygulama kaydınızı oluşturduktan sonra Nesne Kimliğini almak için bu bölümdeki adımları izleyin:

  1. Microsoft Entra ID gidin.
  2. Soldaki menüden Kurumsal uygulamalar'ı seçin.
  3. Yeni oluşturduğunuz uygulamayı listede bulun (sağladığınız ada göre arama yapabilirsiniz).
  4. Uygulamaya tıklayın.
  5. Genel bakış sayfasında Nesne Kimliğini kopyalayın. Bu, ARM şablonu rol atamanız için gereken AzureEntraObjectId değeridir .

ADIM 5 - Microsoft Entra ID'de uygulamaya Katkıda Bulunan rolü atama

Rolü atamak için bu bölümdeki adımları izleyin:

  1. Azure portal Kaynak Grubu'na gidin ve kaynak grubunuzu seçin.
  2. Sol panelden Erişim denetimine (IAM) gidin.
  3. Ekle'ye tıklayın ve rol ataması ekle'yi seçin.
  4. Rol olarak Katkıda Bulunan'ı seçin ve İleri'ye tıklayın.
  5. Erişim ata bölümünde öğesini seçinUser, group, or service principal.
  6. Üye ekle'ye tıklayın ve oluşturduğunuz uygulama adınızı yazın ve seçin.
  7. Şimdi Gözden Geçir + ata'ya tıklayın ve sonra yeniden Gözden Geçir + ata'ya tıklayın.

Başvuru bağlantısı:/azure/role-based-access-control/role-assignments-portal

ADIM 6 - Keyvault oluşturma

Yeni bir Keyvault oluşturmak için bu yönergeleri izleyin.

  1. Azure portal Anahtar kasaları'na gidin ve Oluştur'a tıklayın.
  2. Subsciption, Resource Group öğesini seçin ve keyvault öğesinin benzersiz adını sağlayın.

7. ADIM - Keyvault'ta Erişim İlkesi Oluşturma

Keyvault'ta erişim ilkesi oluşturmak için bu yönergeleri izleyin.

  1. Keyvaults'a gidin, keyvault'unuzu seçin, sol taraftaki panelde Erişim ilkeleri'ne gidin, oluştur'a tıklayın.
  2. Gizli dizi izinleri & tüm anahtarları seçin. İleri'ye tıklayın.
  3. Asıl bölümde, ADIM - 2'de oluşturulan uygulama adına göre arama. İleri'ye tıklayın.

Not: Key Vault Erişim Yapılandırmasındaki İzin modelinin 'Kasa erişim ilkesi' olarak ayarlandığından emin olun

8. ADIM - Bağlayıcıyı ve ilişkili Azure İşlevini dağıtmak için aşağıdaki iki dağıtım seçeneğinden Bİrİ'ni seçin

ÖNEMLİ: Vectra veri bağlayıcısını dağıtmadan önce Vectra API Yetkilendirme Kimlik Bilgileri'ni kullanıma hazır hale...

Seçenek 1 - Azure Resource Manager (ARM) Şablonu

Vectra bağlayıcısının otomatik dağıtımı için bu yöntemi kullanın.

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.msaka.ms

  2. Tercih edilen Abonelik, Kaynak Grubu ve Konum'a tıklayın.

  3. Aşağıdaki bilgileri girin: İşlev Adı Çalışma Alanı Adı Vectra Temel URL'si (https://< vectra-portal-url>) Vectra İstemci Kimliği - Health Vectra İstemci Gizli Anahtarı - Health Vectra İstemci Kimliği - Varlık Puanlama Vectra İstemci Gizli Anahtarı - Varlık Puanlama Vectra İstemci Kimliği - Algılamalar Vectra İstemci Gizli Anahtarı - Algılamalar Vectra İstemci Kimliği - Denetimler Vectra İstemci Gizli Anahtarı - Denetimler Vectra İstemci Kimliği - Vectra İstemci Gizli Anahtarını Kilitleme - Vectra İstemci Kimliğini Kilitleme - Host-Entity Vectra İstemci Gizli Anahtarı - Host-Entity Vectra İstemci Kimliği - Account-Entity Vectra İstemci Gizli Anahtarı - Account-Entity Key Vault Adı Azure İstemci Kimliği Azure İstemci Gizli Kiracı Kimliği Azure Entra ObjectID StartTime (MM/DD/YYYY SS:MM:SS Biçiminde) Puan Azaltma Denetimleri Tablo Adı Algılamaları Tablo Adı Tablo Adı Puanlama Tablo Adı Kilitleme Tablo Adı Sistem Durumu Tablo Adı Varlıklar Tablo Adı Algılama günlük düzeyinden Grup Ayrıntılarını Dışla (Varsayılan: BİlGİ) Kilitleme Sistem Durumu Zamanlaması Algılamaları Zamanlama Denetimleri Zamanlama Varlık Puanlama Zamanlama Varlıkları Zamanlaması

  4. Yukarıda belirtilen hüküm ve koşulları kabul ediyorum etiketli onay kutusunu işaretleyin.

  5. Dağıtmak için Satın Al'a tıklayın.

Seçenek 2 - Azure İşlevleri El ile Dağıtımı

Vectra veri bağlayıcısını Azure İşlevleri (Visual Studio Code aracılığıyla dağıtım) ile el ile dağıtmak için aşağıdaki adım adım yönergeleri kullanın.

  1. İşlev Uygulaması Dağıtma

NOT: VS kodunu Azure işlev geliştirme için hazırlamanız gerekir.

  1. Azure İşlev Uygulaması dosyasını indirin. Arşivi yerel geliştirme bilgisayarınıza ayıklayın.

  2. VS Code'ı başlatın. Ana menüde Dosya'yı ve ardından Klasörü Aç'ı seçin.

  3. Ayıklanan dosyalardan en üst düzey klasörü seçin.

  4. Etkinlik çubuğunda Azure simgesini seçin, ardından Azure: İşlevler alanında İşlev uygulamasına dağıt düğmesini seçin. Henüz oturum açmadıysanız, Etkinlik çubuğunda Azure simgesini seçin, ardından Azure: İşlevler alanında Oturum aç'ı seçerek Azure Oturum açtıysanız sonraki adıma geçin.

  5. İstemlerde aşağıdaki bilgileri sağlayın:

    a. Klasör seçin: Çalışma alanınızdan bir klasör seçin veya işlev uygulamanızı içeren klasöre göz atın.

    b. Abonelik'i seçin: Kullanılacak aboneliği seçin.

    c. Azure'de yeni İşlev Uygulaması oluştur'u seçin (Gelişmiş seçeneğini belirleme)

    d. İşlev uygulaması için genel olarak benzersiz bir ad girin: URL yolunda geçerli bir ad yazın. Yazdığınız ad, Azure İşlevleri benzersiz olduğundan emin olmak için doğrulanır. (örneğin, VECTRAXXXXXX).

    e. Çalışma zamanı seçin: Python 3.8 veya üzerini seçin.

    f. Yeni kaynaklar için bir konum seçin. Daha iyi performans ve düşük maliyetler için Microsoft Sentinel bulunduğu bölgeyi seçin.

  6. Dağıtım başlar. İşlev uygulamanız oluşturulduktan ve dağıtım paketi uygulandıktan sonra bir bildirim görüntülenir.

  7. İşlev Uygulaması yapılandırması için Azure portalı'na gidin.

  8. İşlev Uygulamasını Yapılandırma

  9. İşlev Uygulamasında İşlev Uygulaması Adı'nı ve ardından Yapılandırma'yı seçin.

  10. Uygulama ayarları sekmesinde + Yeni uygulama ayarı'nı seçin.

  11. Aşağıdaki uygulama ayarlarının her birini tek tek ekleyin, ilgili değerleriyle (büyük/küçük harfe duyarlı): Çalışma Alanı Kimliği Çalışma Alanı Anahtarı Vectra Temel URL'si (https://< vectra-portal-url>) Vectra İstemci Kimliği - Sistem Durumu Vectra İstemci Gizli Anahtarı - Sistem Durumu Vectra İstemci Kimliği - Varlık Puanlama VecTra İstemci Gizli Anahtarı - Varlık Puanlama Vectra İstemci Kimliği - Algılamalar Vectra İstemci Gizli Anahtarı - Algılamalar Vectra İstemci Kimliği - Denetimler Vectra İstemci Gizli Anahtarı - Denetimler Vectra İstemci Kimliği - Vectra İstemci Gizli Anahtarını Kilitleme - Kilitleme Vectra İstemci Kimliği - Host-Entity Vectra İstemci Gizli Anahtarı - Host-Entity Vectra İstemci Kimliği - Account-Entity Vectra İstemci Gizli Anahtarı - Account-Entity Key Vault Adı Azure İstemci Kimliği Azure İstemci Gizli Kiracı Kimliği StartTime (AA/GG/YYYY SS:DD:SS Biçiminde) Puan Azaltma Denetimlerini Ekle Tablo Adı Algılamaları Tablo Adı Varlık Puanlama Tablo Adı Kilitleme Tablo Adı Sistem Durumu Tablo Adı Varlıklar Tablo Adı Günlük Düzeyi (Varsayılan: BİlGİ) Kilitleme Sistem Durumu Zamanlaması Algılamaları Zamanlama Denetimleri Zamanlama Varlık Puanlama Zamanlama Varlıkları Zamanlama logAnalyticsUri (isteğe bağlı)

  • Ayrılmış bulut için log analytics API uç noktasını geçersiz kılmak için logAnalyticsUri kullanın. Örneğin, genel bulut için değeri boş bırakın; Azure GovUS bulut ortamı için değeri şu biçimde belirtin: https://<CustomerId>.ods.opinsights.azure.us.
  1. Tüm uygulama ayarları girildikten sonra Kaydet'e tıklayın.



Veeam Veri Bağlayıcısı (Azure İşlevleri kullanarak)

Tarafından desteklenir:Veeam Software

Veeam Data Connector, veeam telemetri verilerini birden çok özel tablodan Microsoft Sentinel almanızı sağlar.

Bağlayıcı kapsamlı izleme ve güvenlik analizi sağlamak için Veeam Backup & Çoğaltma, Veeam ONE ve Coveware platformlarıyla tümleştirmeyi destekler. Veriler Azure İşlevleri aracılığıyla toplanır ve ayrılmış Veri Toplama Kuralları (DCR) ve Veri Toplama Uç Noktaları (DCE) ile özel Log Analytics tablolarında depolanır.

Özel Tablolar Dahil:

  • VeeamMalwareEvents_CL: Veeam Backup & Çoğaltma'dan kötü amaçlı yazılım algılama olayları
  • VeeamSecurityComplianceAnalyzer_CL: Veeam yedekleme altyapısı bileşenlerinden toplanan Güvenlik & Uyumluluk Çözümleyicisi sonuçları
  • VeeamAuthorizationEvents_CL: Yetkilendirme ve kimlik doğrulama olayları
  • VeeamOneTriggeredAlarms_CL: Veeam ONE sunucularından tetiklenen alarmlar
  • VeeamCovewareFindings_CL: Coveware çözümünden güvenlik bulguları
  • VeeamSessions_CL: Veeam oturumları

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
VeeamMalwareEvents_CL Evet Evet
VeeamSecurityComplianceAnalyzer_CL Evet Evet
VeeamOneTriggeredAlarms_CL Evet Evet
VeeamAuthorizationEvents_CL Evet Evet
VeeamCovewareFindings_CL Evet Evet
VeeamSessions_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Microsoft.Web/sites izinleri: İşlev Uygulaması oluşturmak için Azure İşlevleri okuma ve yazma izinleri gereklidir. Daha fazla bilgi için bkz. Azure İşlevleri.
  • Veeam Altyapı Erişimi: Veeam Backup & Çoğaltma REST API'sine ve Veeam ONE izleme platformuna erişim gereklidir. Bu, doğru kimlik doğrulama kimlik bilgilerini ve ağ bağlantısını içerir.

Kurulum Yönergeleri:

NOT: Bu bağlayıcı, Veeam API'lerine bağlanmak ve verileri Microsoft Sentinel özel tablolara çekmek için Azure İşlevleri kullanır. Bu, ek veri alımı maliyetlerine neden olabilir. Ayrıntılar için Azure İşlevleri fiyatlandırma sayfasına bakın.

ADIM 1 - Veeam Veri Bağlayıcısı ve ilişkili Azure İşlevleri için dağıtım seçeneğini belirleyin

ÖNEMLİ: Veeam Data Connector'ı dağıtmadan önce Çalışma Alanı Adı'nı hazırlayın (aşağıdakilerden kopyalanabilir).

  • Çalışma Alanı Adı: <yükleme zamanında sağlanan değişken değeri>

Azure Resource Manager (ARM) Şablonu

Arm Şablonu kullanarak Veeam veri bağlayıcısının otomatik dağıtımı için bu yöntemi kullanın.

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    portal.azure.com

  2. Tercih edilen Abonelik, Kaynak Grubu ve Konum'a tıklayın.

  3. Microsoft Sentinel Çalışma Alanı Adını girin.

  4. Gözden Geçir + Oluştur, Oluştur'a tıklayın.



VersasecCms

Tarafından desteklenir:Versasec Desteği

VersasecCms veri bağlayıcısı, günlüklerin Microsoft Sentinel alınmasına olanak tanır.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
VersasecCmsSysLogs_CL Hayır Hayır
VersasecCmsErrorLogs_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Kurulum Yönergeleri:

Configuration

VersasecCms için kimlik bilgilerini girin.

  • Yönetim URL'si:
  • API Temel Yolu:
  • API Belirteci:
  • Yoklama Aralığı (Dakika):
  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



Microsoft Sentinel için VirtualMetric DataStream

Tarafından desteklenir:VirtualMetric

VirtualMetric DataStream bağlayıcısı, güvenlik telemetrisini Microsoft Sentinel almak için Veri Toplama Kuralları dağıtır.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
CommonSecurityLog Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Uygulama Kaydı veya Azure Yönetilen Kimlik: VirtualMetric DataStream, kimlik doğrulaması yapmak ve günlükleri Microsoft Sentinel göndermek için Entra kimliği gerektirir. İstemci Kimliği ve İstemci Gizli Anahtarı ile Uygulama Kaydı oluşturma veya kimlik bilgisi yönetimi olmadan gelişmiş güvenlik için Azure Yönetilen Kimlik'i kullanma arasında seçim yapabilirsiniz.
  • Kaynak Grubu Rol Ataması: Seçilen kimlik (Uygulama Kaydı veya Yönetilen Kimlik) şu rollere sahip Veri Toplama Uç Noktasını içeren kaynak grubuna atanmalıdır: İzleme Ölçümleri Yayımcısı (günlük alımı için) ve İzleme Okuyucusu (akış yapılandırmasını okumak için).

Kurulum Yönergeleri:

Microsoft Sentinel için VirtualMetric DataStream'i yapılandırma

Microsoft Sentinel veri göndermek için VirtualMetric DataStream'i yapılandırın.

Uygulamayı Microsoft Entra ID Kaydetme (İsteğe Bağlı)

Kimlik doğrulama yönteminizi seçin: A Seçeneği: Yönetilen Kimlik Azure Kullanma (Önerilen)

  • Kimlik doğrulaması için Azure Yönetilen Kimlik kullanmayı planlıyorsanız bu adımı atlayın.
  • Azure Yönetilen Kimlik, kimlik bilgilerini yönetmeden daha güvenli bir kimlik doğrulama yöntemi sağlar.

B Seçeneği: Hizmet Sorumlusu Uygulaması Kaydetme

  1. Microsoft Entra ID sayfasını açın:

    • Microsoft Entra ID kayıt sayfasını yeni bir sekmede açmak için sağlanan bağlantıya tıklayın.
    • Uygulama Yöneticisi veya Genel Yönetici izinlerine sahip bir hesapla oturum açtığınızdan emin olun.

  2. Yeni Uygulama Oluştur:

    • Microsoft Entra ID portalında sol taraftaki gezinti bölmesinden Uygulama kayıtları seçin.
    • + Yeni kayıt'a tıklayın.
    • Aşağıdaki alanları doldurun:
  • Ad: Uygulama için açıklayıcı bir ad girin (örneğin, "VirtualMetric ASIM Bağlayıcısı").
  • Desteklenen hesap türleri: Yalnızca bu kuruluş dizinindeki Hesaplar'ı seçin (Tek kiracı).
  • Yeniden yönlendirme URI'si: Bu değeri boş bırakın.
    • Uygulamayı oluşturmak için Kaydet'e tıklayın.

  1. Uygulama ve Kiracı Kimliklerini Kopyalama:

    • Uygulama kaydedildikten sonra Genel Bakış sayfasında Uygulama (istemci) Kimliği ve Dizin (kiracı) Kimliği değerlerini not edin. VirtualMetric DataStream yapılandırması için bunlara ihtiyacınız olacaktır.

  2. İstemci Gizli Anahtarı Oluşturma:

    • Sertifikalar & gizli dizileri bölümünde + Yeni istemci gizli dizisi'ne tıklayın.
    • Bir açıklama ekleyin (örneğin, 'VirtualMetric ASIM Gizli Dizisi') ve uygun bir sona erme süresi ayarlayın.
    • Ekle'ye tıklayın.
    • İstemci gizli anahtarı değerini hemen kopyalayın, aksi takdirde yeniden gösterilmez. Bunu VirtualMetric DataStream yapılandırması için güvenli bir şekilde depolayın.

Gerekli İzinleri Ata

Kaynak grubunda seçtiğiniz kimlik doğrulama yöntemine (Hizmet Sorumlusu veya Yönetilen Kimlik) gerekli rolleri atayın.

Hizmet Sorumlusu için (1. Adımı tamamladıysanız):

  1. Kaynak Grubunuz'a gidin:

    • Azure portalını açın ve Log Analytics Çalışma Alanınızı içeren ve Veri Toplama Kurallarının (DCR) dağıtılacağı Kaynak Grubuna gidin.

  2. İzleme Ölçümleri Yayımcısı Rolünü Atayın:

    • Kaynak Grubu'nda, sol taraftaki menüden Erişim denetimine (IAM) tıklayın.
    • + Ekle'ye tıklayın ve Rol ataması ekle'yi seçin.
    • Rol sekmesinde İzleme Ölçümleri Yayımcısı'nı arayın ve seçin.
    • Üyeler sekmesine gitmek için İleri'ye tıklayın.
    • Erişim ata'nın altında Kullanıcı, grup veya hizmet sorumlusu'na tıklayın.
    • + Üyeleri seç'e tıklayın ve kayıtlı uygulamanızı ada veya istemci kimliğine göre arayın.
    • Uygulamanızı seçin ve Seç'e tıklayın.
    • Ödevi tamamlamak için Gözden Geçir + ata'ya iki kez tıklayın.

  3. İzleme Okuyucusu Rolünü Atayın:

    • İzleme Okuyucusu rolünü atamak için aynı işlemi yineleyin:
    • + Ekle'ye tıklayın ve Rol ataması ekle'yi seçin.
    • Rol sekmesinde İzleme Okuyucusu'nı arayın ve seçin.
    • Yukarıdakiyle aynı üye seçim işlemini izleyin.
    • Ödevi tamamlamak için Gözden Geçir + ata'ya iki kez tıklayın. Azure Yönetilen Kimlik için:

  4. Yönetilen Kimliğinizi Oluşturma veya Tanımlama:

    • Sistem tarafından atanan Yönetilen Kimlik kullanıyorsanız: Azure kaynağınızda (VM, App Service vb.) etkinleştirin.
    • Kullanıcı Tarafından Atanan Yönetilen Kimlik kullanılıyorsa: Yoksa kaynak grubunuzda bir tane oluşturun.

  5. İzleme Ölçümleri Yayımcısı Rolünü Atayın:

    • Yukarıdaki adımların aynısını, ancak Üyeler sekmesinde izleyin:
    • Erişim ata'nın altında Yönetilen kimlik'i seçin.
    • + Üyeleri seç'e tıklayın ve uygun yönetilen kimlik türünü seçin ve kimliğinizi seçin.
    • Seç'e tıklayın, ardından tamamlamak için Gözden geçir + iki kez ata'ya tıklayın.

  6. İzleme Okuyucusu Rolünü Atayın:

    • İzleme Okuyucusu rolünü aynı yönetilen kimliğe atamak için işlemi yineleyin. Gerekli İzin Özeti: Atanan roller aşağıdaki özellikleri sağlar:
  • İzleme Ölçümleri Yayımcısı: Veri Toplama Uç Noktalarına (DCE) veri yazma ve Veri Toplama Kuralları (DCR) aracılığıyla telemetri gönderme
  • İzleme Okuyucusu: ASIM tablo alımı için akış yapılandırmasını okuma ve Log Analytics çalışma alanına erişme

Azure Altyapısını Dağıtma

ARM şablonumuzu kullanarak Microsoft Sentinel tablolar için gerekli Veri Toplama Uç Noktasını (DCE) ve Veri Toplama Kurallarını (DCR) dağıtın.

  1. Azure dağıtın:

    • Gerekli altyapıyı otomatik olarak dağıtmak için aşağıdaki Azure dağıt düğmesine tıklayın:
    • portal.azure.com
    • Bu işlem, dağıtımı başlatmak için doğrudan Azure portal götürür.

  2. Dağıtım Parametrelerini Yapılandırma:

    • Özel dağıtım sayfasında aşağıdaki ayarları yapılandırın:

    Proje ayrıntıları:

    • Abonelik: Açılan listeden Azure aboneliğinizi seçin
    • Kaynak grubu: Mevcut bir kaynak grubunu seçin veya Yeni oluştur'a tıklayarak yeni bir Örnek ayrıntıları oluşturun:
    • Bölge: Log Analytics çalışma alanınızın bulunduğu Azure bölgeyi seçin (ör. Batı Avrupa)
    • Çalışma alanı: Log Analytics çalışma alanı adınızı girin
    • DCE Adı: Veri Toplama Uç Noktası için bir ad belirtin (örneğin, "vmetric-dce")
    • DCR Adı Ön Eki: Veri Toplama Kuralları için bir ön ek sağlayın (örneğin, "vmetric-dcr")

  3. Dağıtımı tamamlayın:

    • Şablonu doğrulamak için Gözden Geçir + oluştur'a tıklayın.
    • Parametreleri gözden geçirin ve kaynakları dağıtmak için Oluştur'a tıklayın.
    • Dağıtımın tamamlanmasını bekleyin (genellikle 2-5 dakika sürer).

  4. Dağıtılan Kaynakları Doğrulama:

    • Dağıtımdan sonra aşağıdaki kaynakların oluşturulduğunu doğrulayın:
  • Veri Toplama Uç Noktası (DCE): Azure portal > İzleyici > Veri Toplama Uç Noktalarını Denetleyin
  • Veri Toplama Kuralları (DCR): Portal > İzleyici > Veri Toplama Kurallarını Azure Denetleyin
    • DCE Günlükleri Alma URI'sini DCE Genel Bakış sayfasından kopyalayın (biçim: https://<dce-name>.<region>.ingest.monitor.azure.com)
    • DCE Genel Bakış sayfasından DCE Kaynak Kimliğini kopyalayın (biçim: /subscriptions/<subscription-id>/resourceGroups/<resource-group-name>/providers/Microsoft.Insights/dataCollectionEndpoints/<dce-name>)
    • Her DCR için Genel Bakış sayfasındaki Sabit Kimliği not alın; VirtualMetric DataStream yapılandırması için bunlara ihtiyacınız olacaktır.

VirtualMetric DataStream Tümleştirmeyi Yapılandırma

Microsoft Sentinel tablolarına güvenlik telemetrisi göndermek için VirtualMetric DataStream'i ayarlayın.

  1. Access VirtualMetric DataStream Yapılandırması:

    • VirtualMetric DataStream yönetim konsolunuzda oturum açın.
    • Filo Yönetimi > Hedefleri bölümüne gidin.
    • Yeni hedef ekle düğmesine tıklayın.
    • Hedefi Microsoft Sentinel seçin.

  2. Genel Ayarları Yapılandır:

    • Ad: Hedefiniz için bir ad girin (örneğin, "cus01-ms-sentinel")
    • Açıklama: İsteğe bağlı olarak hedef yapılandırma için bir açıklama sağlayın

  3. Azure Kimlik Doğrulamasını Yapılandırma (1. Adıma göre seçin): Hizmet Sorumlusu Kimlik Doğrulaması için:

    • Azure için Yönetilen Kimlik: Devre Dışı Bırak
    • Kiracı Kimliği: Adım 1'den Dizin (kiracı) Kimliğini girin
    • İstemci Kimliği: Adım 1'den Uygulama (istemci) Kimliğini girin
    • İstemci Gizli Anahtarı: Azure Yönetilen Kimlik için 1. Adımdaki istemci gizli anahtarı değerini girin:
    • Azure için Yönetilen Kimlik: Etkin olarak ayarlayın

  4. Stream Özelliklerini Yapılandırma:

    • Uç nokta: Yapılandırma yönteminizi seçin:
  • El ile akış yapılandırması için: DCE Günlükleri Alma URI'sini girin (biçim: https://<dce-name>.<region>.ingest.monitor.azure.com)
  • Otomatik akış algılama için: DCE Kaynak Kimliğini girin (biçim: /subscriptions/<subscription-id>/resourceGroups/<resource-group-name>/providers/Microsoft.Insights/dataCollectionEndpoints/<dce-name>)
    • Akışlar: Otomatik akış algılama için Otomatik'i seçin veya gerekirse belirli akışları yapılandırın
  1. Microsoft Sentinel'de Veri Alımını Doğrulama:
    • Log Analytics Çalışma Alanınıza geri dönün
    • Verilerin alındığını onaylamak için ASIM tablolarında örnek sorgular çalıştırın: 
      ASimNetworkSessionLogs
| where TimeGenerated > ago(1h)
| take 10
    • Yeni veri kaynakları ve olay sayıları için Microsoft Sentinel Genel Bakış panosuna bakın.



Microsoft Sentinel veri gölü için VirtualMetric DataStream

Tarafından desteklenir:VirtualMetric

VirtualMetric DataStream bağlayıcısı, güvenlik telemetrisini Microsoft Sentinel veri gölüne almak için Veri Toplama Kuralları dağıtır.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
CommonSecurityLog Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Uygulama Kaydı veya yönetilen kimliği Azure: VirtualMetric DataStream, kimlik doğrulaması yapmak ve günlükleri Microsoft Sentinel data lake'e göndermek için Entra kimliği gerektirir. İstemci Kimliği ve İstemci Gizli Anahtarı ile Uygulama Kaydı oluşturma veya kimlik bilgisi yönetimi olmadan gelişmiş güvenlik için Azure Yönetilen Kimlik'i kullanma arasında seçim yapabilirsiniz.
  • Kaynak Grubu Rol Ataması: Seçilen kimlik (Uygulama Kaydı veya Yönetilen Kimlik) şu rollere sahip Veri Toplama Uç Noktasını içeren kaynak grubuna atanmalıdır: İzleme Ölçümleri Yayımcısı (günlük alımı için) ve İzleme Okuyucusu (akış yapılandırmasını okumak için).

Kurulum Yönergeleri:

Microsoft Sentinel veri gölü için VirtualMetric DataStream'i yapılandırma

Veri göndermek üzere Microsoft Sentinel data lake için VirtualMetric DataStream'i yapılandırın.

Uygulamayı Microsoft Entra ID Kaydetme (İsteğe Bağlı)

Kimlik doğrulama yönteminizi seçin: A Seçeneği: Yönetilen Kimlik Azure Kullanma (Önerilen)

  • Kimlik doğrulaması için Azure Yönetilen Kimlik kullanmayı planlıyorsanız bu adımı atlayın.
  • Azure Yönetilen Kimlik, kimlik bilgilerini yönetmeden daha güvenli bir kimlik doğrulama yöntemi sağlar.

B Seçeneği: Hizmet Sorumlusu Uygulaması Kaydetme

  1. Microsoft Entra ID sayfasını açın:

    • Microsoft Entra ID kayıt sayfasını yeni bir sekmede açmak için sağlanan bağlantıya tıklayın.
    • Uygulama Yöneticisi veya Genel Yönetici izinlerine sahip bir hesapla oturum açtığınızdan emin olun.

  2. Yeni Uygulama Oluştur:

    • Microsoft Entra ID portalında sol taraftaki gezinti bölmesinden Uygulama kayıtları seçin.
    • + Yeni kayıt'a tıklayın.
    • Aşağıdaki alanları doldurun:
  • Ad: Uygulama için açıklayıcı bir ad girin (örneğin, "VirtualMetric ASIM Bağlayıcısı").
  • Desteklenen hesap türleri: Yalnızca bu kuruluş dizinindeki Hesaplar'ı seçin (Tek kiracı).
  • Yeniden yönlendirme URI'si: Bu değeri boş bırakın.
    • Uygulamayı oluşturmak için Kaydet'e tıklayın.

  1. Uygulama ve Kiracı Kimliklerini Kopyalama:

    • Uygulama kaydedildikten sonra Genel Bakış sayfasında Uygulama (istemci) Kimliği ve Dizin (kiracı) Kimliği değerlerini not edin. VirtualMetric DataStream yapılandırması için bunlara ihtiyacınız olacaktır.

  2. İstemci Gizli Anahtarı Oluşturma:

    • Sertifikalar & gizli dizileri bölümünde + Yeni istemci gizli dizisi'ne tıklayın.
    • Bir açıklama ekleyin (örneğin, 'VirtualMetric ASIM Gizli Dizisi') ve uygun bir sona erme süresi ayarlayın.
    • Ekle'ye tıklayın.
    • İstemci gizli anahtarı değerini hemen kopyalayın, aksi takdirde yeniden gösterilmez. Bunu VirtualMetric DataStream yapılandırması için güvenli bir şekilde depolayın.

Gerekli İzinleri Ata

Kaynak grubunda seçtiğiniz kimlik doğrulama yöntemine (Hizmet Sorumlusu veya Yönetilen Kimlik) gerekli rolleri atayın.

Hizmet Sorumlusu için (1. Adımı tamamladıysanız):

  1. Kaynak Grubunuz'a gidin:

    • Azure portalını açın ve Log Analytics Çalışma Alanınızı içeren ve Veri Toplama Kurallarının (DCR) dağıtılacağı Kaynak Grubuna gidin.

  2. İzleme Ölçümleri Yayımcısı Rolünü Atayın:

    • Kaynak Grubu'nda, sol taraftaki menüden Erişim denetimine (IAM) tıklayın.
    • + Ekle'ye tıklayın ve Rol ataması ekle'yi seçin.
    • Rol sekmesinde İzleme Ölçümleri Yayımcısı'nı arayın ve seçin.
    • Üyeler sekmesine gitmek için İleri'ye tıklayın.
    • Erişim ata'nın altında Kullanıcı, grup veya hizmet sorumlusu'na tıklayın.
    • + Üyeleri seç'e tıklayın ve kayıtlı uygulamanızı ada veya istemci kimliğine göre arayın.
    • Uygulamanızı seçin ve Seç'e tıklayın.
    • Ödevi tamamlamak için Gözden Geçir + ata'ya iki kez tıklayın.

  3. İzleme Okuyucusu Rolünü Atayın:

    • İzleme Okuyucusu rolünü atamak için aynı işlemi yineleyin:
    • + Ekle'ye tıklayın ve Rol ataması ekle'yi seçin.
    • Rol sekmesinde İzleme Okuyucusu'nı arayın ve seçin.
    • Yukarıdakiyle aynı üye seçim işlemini izleyin.
    • Ödevi tamamlamak için Gözden Geçir + ata'ya iki kez tıklayın. Azure Yönetilen Kimlik için:

  4. Yönetilen Kimliğinizi Oluşturma veya Tanımlama:

    • Sistem tarafından atanan Yönetilen Kimlik kullanıyorsanız: Azure kaynağınızda (VM, App Service vb.) etkinleştirin.
    • Kullanıcı Tarafından Atanan Yönetilen Kimlik kullanılıyorsa: Yoksa kaynak grubunuzda bir tane oluşturun.

  5. İzleme Ölçümleri Yayımcısı Rolünü Atayın:

    • Yukarıdaki adımların aynısını, ancak Üyeler sekmesinde izleyin:
    • Erişim ata'nın altında Yönetilen kimlik'i seçin.
    • + Üyeleri seç'e tıklayın ve uygun yönetilen kimlik türünü seçin ve kimliğinizi seçin.
    • Seç'e tıklayın, ardından tamamlamak için Gözden geçir + iki kez ata'ya tıklayın.

  6. İzleme Okuyucusu Rolünü Atayın:

    • İzleme Okuyucusu rolünü aynı yönetilen kimliğe atamak için işlemi yineleyin. Gerekli İzin Özeti: Atanan roller aşağıdaki özellikleri sağlar:
  • İzleme Ölçümleri Yayımcısı: Veri Toplama Uç Noktalarına (DCE) veri yazma ve Veri Toplama Kuralları (DCR) aracılığıyla telemetri gönderme
  • İzleme Okuyucusu: ASIM tablo alımı için akış yapılandırmasını okuma ve Log Analytics çalışma alanına erişme

Azure Altyapısını Dağıtma

ARM şablonumuzu kullanarak veri gölü tablolarını Microsoft Sentinel için gerekli Veri Toplama Uç Noktasını (DCE) ve Veri Toplama Kurallarını (DCR) dağıtın.

  1. Azure dağıtın:

    • Gerekli altyapıyı otomatik olarak dağıtmak için aşağıdaki Azure dağıt düğmesine tıklayın:
    • portal.azure.com
    • Bu işlem, dağıtımı başlatmak için doğrudan Azure portal götürür.

  2. Dağıtım Parametrelerini Yapılandırma:

    • Özel dağıtım sayfasında aşağıdaki ayarları yapılandırın:

    Proje ayrıntıları:

    • Abonelik: Açılan listeden Azure aboneliğinizi seçin
    • Kaynak grubu: Mevcut bir kaynak grubunu seçin veya Yeni oluştur'a tıklayarak yeni bir Örnek ayrıntıları oluşturun:
    • Bölge: Log Analytics çalışma alanınızın bulunduğu Azure bölgeyi seçin (ör. Batı Avrupa)
    • Çalışma alanı: Log Analytics çalışma alanı adınızı girin
    • DCE Adı: Veri Toplama Uç Noktası için bir ad belirtin (örneğin, "vmetric-dce")
    • DCR Adı Ön Eki: Veri Toplama Kuralları için bir ön ek sağlayın (örneğin, "vmetric-dcr")

  3. Dağıtımı tamamlayın:

    • Şablonu doğrulamak için Gözden Geçir + oluştur'a tıklayın.
    • Parametreleri gözden geçirin ve kaynakları dağıtmak için Oluştur'a tıklayın.
    • Dağıtımın tamamlanmasını bekleyin (genellikle 2-5 dakika sürer).

  4. Dağıtılan Kaynakları Doğrulama:

    • Dağıtımdan sonra aşağıdaki kaynakların oluşturulduğunu doğrulayın:
  • Veri Toplama Uç Noktası (DCE): Azure portal > İzleyici > Veri Toplama Uç Noktalarını Denetleyin
  • Veri Toplama Kuralları (DCR): Portal > İzleyici > Veri Toplama Kurallarını Azure Denetleyin
    • DCE Günlükleri Alma URI'sini DCE Genel Bakış sayfasından kopyalayın (biçim: https://<dce-name>.<region>.ingest.monitor.azure.com)
    • DCE Genel Bakış sayfasından DCE Kaynak Kimliğini kopyalayın (biçim: /subscriptions/<subscription-id>/resourceGroups/<resource-group-name>/providers/Microsoft.Insights/dataCollectionEndpoints/<dce-name>)
    • Her DCR için Genel Bakış sayfasındaki Sabit Kimliği not alın; VirtualMetric DataStream yapılandırması için bunlara ihtiyacınız olacaktır.

VirtualMetric DataStream Tümleştirmeyi Yapılandırma

Microsoft Sentinel data lake tablolarına güvenlik telemetrisi göndermek için VirtualMetric DataStream'i ayarlayın.

  1. Access VirtualMetric DataStream Yapılandırması:

    • VirtualMetric DataStream yönetim konsolunuzda oturum açın.
    • Filo Yönetimi > Hedefleri bölümüne gidin.
    • Yeni hedef ekle düğmesine tıklayın.
    • Hedefi Microsoft Sentinel seçin.

  2. Genel Ayarları Yapılandır:

    • Ad: Hedefiniz için bir ad girin (örneğin, "cus01-ms-sentinel")
    • Açıklama: İsteğe bağlı olarak hedef yapılandırma için bir açıklama sağlayın

  3. Azure Kimlik Doğrulamasını Yapılandırma (1. Adıma göre seçin): Hizmet Sorumlusu Kimlik Doğrulaması için:

    • Azure için Yönetilen Kimlik: Devre Dışı Bırak
    • Kiracı Kimliği: Adım 1'den Dizin (kiracı) Kimliğini girin
    • İstemci Kimliği: Adım 1'den Uygulama (istemci) Kimliğini girin
    • İstemci Gizli Anahtarı: Azure Yönetilen Kimlik için 1. Adımdaki istemci gizli anahtarı değerini girin:
    • Azure için Yönetilen Kimlik: Etkin olarak ayarlayın

  4. Stream Özelliklerini Yapılandırma:

    • Uç nokta: Yapılandırma yönteminizi seçin:
  • El ile akış yapılandırması için: DCE Günlükleri Alma URI'sini girin (biçim: https://<dce-name>.<region>.ingest.monitor.azure.com)
  • Otomatik akış algılama için: DCE Kaynak Kimliğini girin (biçim: /subscriptions/<subscription-id>/resourceGroups/<resource-group-name>/providers/Microsoft.Insights/dataCollectionEndpoints/<dce-name>)
    • Akışlar: Otomatik akış algılama için Otomatik'i seçin veya gerekirse belirli akışları yapılandırın
  1. Microsoft Sentinel veri gölünde Veri Alımını doğrulama:
    • Log Analytics Çalışma Alanınıza geri dönün
    • Verilerin alındığını onaylamak için ASIM tablolarında örnek sorgular çalıştırın: 
      ASimNetworkSessionLogs
| where TimeGenerated > ago(1h)
| take 10
    • Yeni veri kaynakları ve olay sayıları için Microsoft Sentinel Genel Bakış panosuna bakın.



VirtualMetric Director Proxy

Tarafından desteklenir:VirtualMetric

VirtualMetric Director Proxy, VirtualMetric DataStream'i Microsoft Sentinel, Azure Veri Gezgini ve Azure Depolama gibi Azure hizmetleriyle güvenli bir şekilde köprü yapmak için bir Azure İşlev Uygulaması dağıtır.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
CommonSecurityLog Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Azure İşlev Uygulaması: Azure İşlev Uygulaması, Yönetici Ara Sunucusunu barındırmak için dağıtılmalıdır. İşlev Uygulamasını oluşturmak ve yönetmek için kaynak grubunuzdaki Microsoft.Web/sites kaynaklarında okuma, yazma ve silme izinleri gerekir.
  • VirtualMetric DataStream Yapılandırması: Yönetici Proxy'sine bağlanmak için VirtualMetric DataStream'in kimlik doğrulaması kimlik bilgileriyle yapılandırılmış olması gerekir. Yönetici Ara Sunucusu, VirtualMetric DataStream ile Azure hizmetleri arasında güvenli bir köprü görevi görür.
  • Hedef Azure Hizmetleri: Microsoft Sentinel Veri Toplama Uç Noktaları, Azure Veri Gezgini kümeleri veya Azure Depolama hesapları gibi hedef Azure hizmetlerinizi yapılandırın.

Kurulum Yönergeleri:

VirtualMetric Director Proxy'lerini dağıtma

VirtualMetric DataStream ile Microsoft Sentinel arasında güvenli bir proxy işlevi görecek Azure İşlev Uygulamasını dağıtın.

Önkoşullar ve Dağıtım Sırası

Önerilen Dağıtım Sırası:

En iyi yapılandırma için önce hedef bağlayıcıları dağıtmayı göz önünde bulundurun:

  1. Microsoft Sentinel Bağlayıcısını Dağıtma: Gerekli Veri Toplama Uç Noktalarını ve Kurallarını oluşturmak için önce Microsoft Sentinel bağlayıcısı için VirtualMetric DataStream'i dağıtın.

  2. data lake Connector Microsoft Sentinel dağıtma (isteğe bağlı): Microsoft Sentinel veri gölü tabloları kullanıyorsanız, Microsoft Sentinel data lake bağlayıcısı için VirtualMetric DataStream'i dağıtın.

  3. Yönetici Ara Sunucusunu Dağıtma (bu adım): Ardından, Yönetici Ara Sunucusu Microsoft Sentinel hedeflerinizle yapılandırılabilir. Not: Bu sipariş önerilir ancak gerekli değildir. Yönetici Proxy'sini bağımsız olarak dağıtabilir ve daha sonra hedeflerinizle yapılandırabilirsiniz.

Azure İşlev Uygulamasını Dağıtma

Azure Dağıt düğmesini kullanarak VirtualMetric Director Proxy Azure İşlev Uygulamasını dağıtın.

  1. Azure dağıtın:

    • İşlev Uygulamasını dağıtmak için aşağıdaki Azure dağıt düğmesine tıklayın:
    • portal.azure.com

  2. Dağıtım Parametrelerini Yapılandırma:

    • Abonelik: Azure aboneliğinizi seçin
    • Kaynak Grubu: Microsoft Sentinel çalışma alanınızla aynı kaynak grubunu seçin veya yeni bir tane oluşturun
    • Bölge: Azure bölgesini seçin (Microsoft Sentinel çalışma alanı bölgenizle eşleşmelidir)
    • İşlev Uygulaması Adı: İşlev Uygulaması için benzersiz bir ad sağlayın (örneğin, "vmetric-director-proxy")

  3. Dağıtımı Tamamla:

    • Parametreleri doğrulamak için Gözden Geçir + oluştur'a tıklayın
    • İşlev Uygulamasını dağıtmak için Oluştur'a tıklayın
    • Dağıtımın tamamlanmasını bekleyin (genellikle 3-5 dakika)
    • İşlev Uygulaması URL'sine dikkat edin: https://<function-app-name>.azurewebsites.net

İşlev Uygulaması İzinlerini Yapılandırma

Microsoft Sentinel kaynaklarına erişmek için İşlev Uygulamasının yönetilen kimliğine gerekli izinleri atayın.

  1. yönetilen kimliği System-Assigned etkinleştirme:

    • Azure portalında dağıtılan İşlev Uygulamanıza gidin
    • Ayarlar'ın altında Kimlik'e gidin
    • Sistem tarafından atanan kimlik için Durumu Açık duruma getirin
    • Kaydet'e tıklayın ve onaylayın

  2. Kaynak Grubu'na gidin:

    • Microsoft Sentinel çalışma alanınızı ve Veri Toplama Uç Noktalarını içeren kaynak grubuna gidin

  3. Gerekli Rolleri Ata:

    • Açık Erişim denetimi (IAM)
    • + Rol ataması ekle'ye > tıklayın
    • İşlev Uygulamasının sistem tarafından atanan yönetilen kimliğine aşağıdaki rolleri atayın:
  • Ölçüm Yayımcısını İzleme: Veri Toplama Uç Noktalarına veri göndermek için
  • İzleme Okuyucusu: Veri Toplama Kuralları yapılandırmasını okumak için

  1. İşlev Uygulaması Kimliği'ni seçin:

    • Üyeler sekmesinde Yönetilen kimlik'i seçin
    • İşlev Uygulaması'nı seçin ve dağıtılan Director Proxy İşlev Uygulamanızı seçin
    • Rol atamasını tamamlama

  2. İşlev Uygulaması Erişim Belirteci Alma (İşlev Anahtarı kimlik doğrulaması için isteğe bağlı):

    • İşlev Uygulamanıza gidin
    • İşlevler'in altında Uygulama anahtarları'na gidin
    • Varsayılan konak anahtarını kopyalama veya kimlik doğrulaması için yeni bir işlev anahtarı oluşturma

VirtualMetric DataStream Tümleştirmeyi Yapılandırma

Güvenlik telemetrisini Yönetici Ara Sunucusu aracılığıyla Microsoft Sentinel göndermek için VirtualMetric DataStream'i ayarlayın.

  1. Access VirtualMetric DataStream Yapılandırması:

    • VirtualMetric DataStream yönetim konsolunuzda oturum açın
    • Hedefler bölümüne gidin
    • Microsoft Sentinel Hedefleri'ne tıklayın
    • Yeni hedef ekle'ye tıklayın veya mevcut Microsoft Sentinel hedeflerini düzenleyin

  2. Genel Ayarları Yapılandır:

    • Ad: Hedefiniz için bir ad girin (örneğin, "sentinel-with-proxy")
    • Açıklama: İsteğe bağlı olarak hedef yapılandırma için bir açıklama sağlayın

  3. Azure Kimlik Doğrulamasını Yapılandırma: Hizmet Sorumlusu Kimlik Doğrulaması için:

    • Azure için Yönetilen Kimlik: Devre Dışı Bırak
    • Kiracı Kimliği: Azure Active Directory kiracı kimliğinizi girin
    • İstemci Kimliği: Hizmet sorumlusu uygulama kimliğinizi girin
    • İstemci Gizli Anahtarı: Azure Yönetilen Kimlik için hizmet sorumlusu istemci gizli dizinizi girin:
    • Azure için Yönetilen Kimlik: Etkin olarak ayarlayın

  4. Yönetici Ara Sunucusunu Yapılandırma (Azure Özellikler sekmesinde):

    • Uç Nokta Adresi: Adım 2'den İşlev Uygulaması URL'sini girin (biçim: https://<function-app-name>.azurewebsites.net)
    • Erişim Belirteci: Adım 3'ten İşlev Uygulaması ana bilgisayar anahtarını girin (Yönetilen Kimlik kullanılıyorsa isteğe bağlı)

  5. Stream Özelliklerini Yapılandırma:

    • Uç nokta: DCE Günlükleri Alma URI'sini girin (biçim: https://<dce-name>.<region>.ingest.monitor.azure.com)
    • Akışlar: Otomatik akış algılama için Otomatik'i seçin veya gerekirse belirli akışları yapılandırın

  6. Microsoft Sentinel'de Veri Alımını Doğrulama:

    • Log Analytics Çalışma Alanınıza geri dönün
    • Verilerin alındığını onaylamak için örnek sorgular çalıştırın: 
      CommonSecurityLog
| where TimeGenerated > ago(1h)
| take 10
    • Yeni veri kaynakları ve olay sayıları için Microsoft Sentinel Genel Bakış panosunu gözden geçirin



VMRayThreatIntelligence (Azure İşlevleri kullanarak)

Tarafından desteklenir:VMRay

VMRayThreatIntelligence bağlayıcısı, VMRay'e yapılan tüm gönderimler için tehdit bilgilerini otomatik olarak oluşturur ve besler; böylece Sentinel tehdit algılama ve olay yanıtı iyileştirilir. Bu sorunsuz tümleştirme, ekiplerin ortaya çıkan tehditleri proaktif olarak ele almalarını sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
ThreatIntelligenceIndicator Evet Hayır

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Azure Aboneliği: Azure Bir uygulamayı azure active directory() hizmetine kaydetmek ve kaynak grubundaki uygulamaya katkıda bulunan rolü atamak için sahip rolüne sahip abonelik gereklidir.
  • Microsoft.Web/sites izinleri: İşlev Uygulaması oluşturmak için Azure İşlevleri okuma ve yazma izinleri gereklidir. Daha fazla bilgi için bkz. Azure İşlevleri.
  • REST API Kimlik Bilgileri/izinleri: VMRay API Anahtarı gereklidir.

Kurulum Yönergeleri:

NOT: Bu bağlayıcı, VMRay Tehdit GÇ'lerini Microsoft Sentinel çekmek üzere VMRay API'sine bağlanmak için Azure İşlevleri kullanır. Bu, veri alımı ve verilerin Azure Blob Depolama maliyetlerde depolanması için ek maliyetlere neden olabilir. Ayrıntılar için Azure İşlevleri fiyatlandırma sayfasına ve Azure Blob Depolama fiyatlandırma sayfasına bakın.

(İsteğe Bağlı Adım) Çalışma alanını ve API yetkilendirme anahtarlarını veya belirteçlerini Azure Key Vault güvenli bir şekilde depolayın. Azure Key Vault, anahtar değerlerini depolamak ve almak için güvenli bir mekanizma sağlar. Azure İşlev Uygulaması ile Azure Key Vault kullanmak için bu yönergeleri izleyin.

  • Çalışma Alanı Kimliği: <Yükleme zamanında sağlanan değişken değeri>
  • Birincil Anahtar: <Yükleme zamanında sağlanan değişken değeri>

VMRay Tehdit Bilgileri Bağlayıcısı'nı dağıtma

  1. Gerekli tüm önkoşullara sahip olduğunuzdan emin olun: İstemci Kimliği, Kiracı Kimliği, İstemci Gizli Anahtarı, VMRay API Anahtarı ve VMRay Temel URL'si.

  2. İstemci Kimliği, İstemci Gizli Anahtarı ve Kiracı Kimliği'ni almak için şu yönergeleri izleyin

  3. Esnek Tüketim Planı için aşağıdaki Azure dağıt düğmesine tıklayın:

    aka.ms

  4. Premium Plan için aşağıdaki Azure dağıt düğmesine tıklayın:

    aka.ms.



AWS S3 aracılığıyla VMware Carbon Black Cloud (Kodsuz Bağlayıcı Çerçevesi aracılığıyla)

Tarafından desteklenir:Microsoft

AWS S3 aracılığıyla VMware Carbon Black Cloud veri bağlayıcısı, AWS S3 aracılığıyla izleme listesi, uyarılar, kimlik doğrulama ve uç nokta olaylarını alma ve bunları ASIM normalleştirilmiş tablolarına akışla aktarma özelliği sağlar. Bağlayıcı olası güvenlik risklerini değerlendirmek, işbirliğini izlemek ve yapılandırma sorunlarını tanılamak ve gidermek için olay alma olanağı sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
CarbonBlack_Alerts_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • Ortam: Şu AWS kaynaklarını tanımlayıp yapılandırmış olmanız gerekir: S3, Basit Kuyruk Hizmeti (SQS), IAM rolleri ve izin ilkeleri
  • Ortam: Aws S3 demetlerine iletilen bir Veri oluşturmak için karbon siyah hesabına ve gerekli izinlere sahip olmanız gerekir. Daha fazla bilgi için bkz . Karbon Siyah Veri İleticisi Belgeleri

Kurulum Yönergeleri:

  1. AWS CloudFormation Dağıtımı AWS'ye erişimi yapılandırmak için AWS ortamını S3 demetinden Log Analytics Çalışma Alanınıza günlük gönderecek şekilde ayarlamak için iki şablon oluşturulmuştur.

Her şablon için AWS'de Stack oluşturun:

  1. AWS CloudFormation Stacks'e gidin
  2. AWS'de 'Şablon dosyasını karşıya yükle' seçeneğini belirleyin ve 'Dosya seç'e tıklayın. İndirilen şablonu seçme
  3. 'İleri' ve 'Yığın oluştur' seçeneğine tıklayın
  • Şablon 1: OpenID connect kimlik doğrulaması dağıtımı: <yükleme zamanında sağlanan değişken değeri>
  • Şablon 2: AWS Carbon Black kaynakları dağıtımı: <Yükleme zamanında> sağlanan değişken değer 'Şablon 2: AWS Carbon Black kaynak dağıtımı' şablonunu dağıtırken birkaç parametre sağlamanız gerekir
  • Yığın Adı: Seçtiğiniz bir yığın adı (AWS'deki yığınlar listesinde görünür)
  • Rol Adı: 'OIDC_' ön eki ile başlamalıdır, varsayılan değere sahiptir.
  • Demet Adı: Seçtiğiniz demet adı, zaten bir demetiniz varsa adı buraya yapıştırın
  • CreateNewBucket: Bu bağlayıcı için kullanmak istediğiniz bir demet zaten varsa, bu seçenek için 'false' seçeneğini belirleyin, aksi takdirde bu yığından 'Demet Adı' içine girdiğiniz adı içeren bir demet oluşturulur.
  • Bölge: Burası, Carbon Black'in haritasını temel alan AWS kaynaklarının bölgesidir. Daha fazla bilgi için lütfen Carbon Black belgelerine bakın.
  • SQSQueuePrefix: Yığın birden çok kuyruk oluşturur; bu ön ek her birine eklenir.
  • WorkspaceID: Aşağıda sağlanan Çalışma Alanı Kimliğini kullanın.
  • Çalışma Alanı Kimliği: <Yükleme zamanında> sağlanan değişken değeri Dağıtım tamamlandıktan sonra 'Çıkışlar' sekmesine gidin; şunları görürsünüz: Rol ARN'si, S3 demeti ve 4 SQS kaynağı oluşturuldu. Bir sonraki adımda Carbon Black'in veri ileticilerini ve veri bağlayıcısını yapılandırırken bu kaynaklara ihtiyacınız olacaktır.

  1. Carbon Black veri ileticisi yapılandırması Tüm AWS kaynakları oluşturulduktan sonra, olayları Microsoft Sentinel almak üzere AWS demetlerine iletmek üzere Carbon Black'i yapılandırmanız gerekir. Carbon Black'in 'Veri İleticiler' oluşturma belgelerini izleyin Önerilen ilk seçeneği kullanın. Demet adı girmeniz istendiğinde, önceki adımda oluşturulan demeti kullanın. Her iletici için 'S3 ön eki' eklemeniz gerekecektir, lütfen şu eşlemeyi kullanın:

    Olay türü S3 ön eki
    Uyarı karbon-siyah-bulut ileticisi/Uyarılar
    Kimlik Doğrulama Olayları carbon-black-cloud-forwarder/Auth
    Uç Nokta Olayları karbon-siyah-bulut ileticisi/Uç Nokta
    İzleme Listesi İsabet carbon-black-cloud-forwarder/watchlist

2.1. Veri ileticinizi test etme (İsteğe bağlı) Veri ileticinin beklendiği gibi yapılandırıldığını doğrulamak için, Carbon Black'in portalında yeni oluşturduğunuz veri ileticisini arayın ve 'Eylemler' sütununun altındaki 'Test İleticisi' düğmesine tıklayın; bu işlem S3 Demetinde bir 'HealthCheck' dosyası oluşturur ve hemen göründüğünü görmeniz gerekir.

  1. Yeni toplayıcıları bağlama AWS S3'ün Microsoft Sentinel için etkinleştirilmesi için 'Yeni toplayıcı ekle' düğmesine tıklayın, gerekli bilgileri doldurun, 1. adımda ARN rolü ve SQS URL'si oluşturulur, doğru SQS URL'sini girmeniz ve açılan listeden uygun olay türünü seçmeniz gerektiğini unutmayın; örneğin Uyarı olaylarını almak istiyorsanız Uyarılar SQS URL'sini kopyalamanız ve 'Uyarılar' olay türünü seçmeniz gerekir açılan menü
  • Veri Bağlayıcıları Kılavuzu (portalda yapılandır)



VMware Workspace ONE (Kodsuz Bağlayıcı Çerçevesi aracılığıyla)

Tarafından desteklenir:Microsoft

VMware Workspace ONE bağlayıcısı, kayıtlı cihaz envanterini ve yüklü uygulama ayrıntılarını Workspace ONE Birleşik Uç Nokta Yönetimi (UEM) platformundan Microsoft Sentinel alır. iOS, Android, Windows ve macOS tarafından yönetilen cihazlarda cihaz uyumluluğu izlemeyi, uyumlu olmayan uç nokta algılamayı ve yetkisiz uygulama bulmayı destekler.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
VMwareWorkspaceOneDevices Hayır Hayır
VMwareWorkspaceOneDeviceApps Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Kurulum Yönergeleri:

VMware Workspace ONE'ı Microsoft Sentinel bağlama

Önkoşullar

Bağlanmadan önce şunları sağlayın:

  1. Etkin bir VMware Çalışma Alanı ONE UEM (Omnissa) kiracınız var
  2. Gruplar ve Ayarlar - Yapılandırmalar> -> OAuth İstemci Yönetimi'nde OAuth İstemcisi oluşturmak için yönetici erişiminiz var
  3. OAuth İstemcisi rolü şunları içermelidir: REST API Cihazları Okuma, REST API MDM Cihazları, REST API Uygulamaları Okuma

Kimlik Doğrulama Kurulumu

One UEM Çalışma Alanında OAuth İstemcisi oluşturma:

  1. Gruplar ve Ayarlar -> Yapılandırmalar'a gidin ve OAuth araması yapın
  2. OAuth İstemci Yönetimi'ni seçin -> Ekle'ye tıklayın
  3. Bir Ad girin (örn. MicrosoftSentinelConnector), cihaz/uygulama okuma izinleriyle bir rol atayın, Durumu Etkin olarak ayarlayın ve Kaydet'e tıklayın
  4. İstemci Kimliğini ve Gizli Anahtarı hemen kopyalayın ; iletişim kutusu kapatıldıktan sonra alınamaz

Bölgeye Göre Kimlik Doğrulama URL'si

Çalışma Alanı ONE kiracınızın veri merkezi bölgesiyle eşleşen Kimlik Doğrulama URL'sini seçin:

Region Kimlik Doğrulama URL'si
Birleşik Devletler / Kanada https://na.uemauth.vmwservices.com
Birleşik Krallık / Almanya https://emea.uemauth.vmwservices.com
Avustralya / APAC https://apac.uemauth.vmwservices.com
UAT Ortamı https://uat.uemauth.vmwservices.com
  • Veri Bağlayıcıları Kılavuzu (portalda yapılandır)



AMA aracılığıyla Windows DNS Olayları

Tarafından desteklenir:Microsoft Corporation

Windows DNS günlük bağlayıcısı, Azure İzleme aracısını (AMA) kullanarak windows DNS sunucularınızdaki tüm analiz günlüklerini kolayca filtrelemenize ve Microsoft Sentinel çalışma alanınıza akışla aktarmanıza olanak tanır. Bu verilerin Microsoft Sentinel olması, aşağıdakiler gibi sorunları ve güvenlik tehditlerini belirlemenize yardımcı olur:

  • Kötü amaçlı etki alanı adları çözümlenmeye çalışılıyor.
  • Eski kaynak kayıtları.
  • Sık sorgulanan etki alanı adları ve konuşkan DNS istemcileri.
  • DNS sunucusunda gerçekleştirilen saldırılar.

Windows DNS sunucularınıza yönelik aşağıdaki içgörüleri Microsoft Sentinel alabilirsiniz:

  • Tüm günlükler tek bir yerde merkezileştirilir.
  • DNS sunucularında istek yükü.
  • Dinamik DNS kayıt hataları.

Windows DNS olayları Gelişmiş SIEM Bilgi Modeli (ASIM) tarafından desteklenir ve ASimDnsActivityLogs tablosuna veri akışı yapar. Daha fazla bilgi edinin.

Daha fazla bilgi için Microsoft Sentinel belgelerine bakın.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
ASimDnsActivityLogs Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Windows Güvenlik Duvarı

Tarafından desteklenir:Microsoft Corporation

Windows Güvenlik Duvarı, sisteminize İnternet'ten gelen bilgileri filtreleyen ve zararlı olabilecek programları engelleyen bir Microsoft Windows uygulamasıdır. Yazılım çoğu programın güvenlik duvarı üzerinden iletişim kurmasını engeller. Kullanıcılar, güvenlik duvarı üzerinden iletişim kurmasına izin vermek için izin verilen programlar listesine bir program ekler. Genel ağ kullanırken, Windows Güvenlik Duvarı bilgisayarınıza bağlanmaya yönelik tüm istenmeyen girişimleri engelleyerek sistemin güvenliğini de sağlayabilir. Daha fazla bilgi için Microsoft Sentinel belgelerine bakın.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı

Veri toplama kuralı desteği: Şu anda desteklenmiyor

AMA aracılığıyla Windows Güvenlik Duvarı Olayları

Tarafından desteklenir:Microsoft Corporation

Windows Güvenlik Duvarı, sisteminize İnternet'ten gelen bilgileri filtreleyen ve zararlı olabilecek programları engelleyen bir Microsoft Windows uygulamasıdır. Güvenlik duvarı yazılımı çoğu programın güvenlik duvarı üzerinden iletişim kurmasını engeller. Makinelerinizden toplanan Windows Güvenlik Duvarı uygulama günlüklerinizin akışını yapmak için Azure İzleyici aracısını (AMA) kullanarak bu günlükleri Microsoft Sentinel çalışma alanına akışla aktarın.

AMA'nın günlükleri toplaması için oluşturulan veri toplama kuralıyla (DCR) bağlantılı olması için yapılandırılmış bir veri toplama uç noktası (DCE) gerekir. Bu bağlayıcı için, çalışma alanıyla aynı bölgede otomatik olarak bir DCE oluşturulur. Aynı bölgede depolanan bir DCE'yi zaten kullanıyorsanız, varsayılan oluşturulan DCE'yi değiştirebilir ve mevcut DCE'nizi API aracılığıyla kullanabilirsiniz. DCE'ler kaynaklarınızda kaynak adında SentinelDCE ön eki ile bulunabilir.

Daha fazla bilgi için aşağıdaki makalelere bakın:

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Windows İletilen Olaylar

Tarafından desteklenir:Microsoft Corporation

tüm Windows Olay İletme (WEF) günlüklerini Azure İzleyici Aracısı (AMA) kullanarak Microsoft Sentinel çalışma alanınıza bağlı Windows Sunucularından akışla aktarabilirsiniz. Bu bağlantı panoları görüntülemenizi, özel uyarılar oluşturmanızı ve araştırmayı geliştirmenizi sağlar. Bu, kuruluşunuzun ağı hakkında daha fazla içgörü sağlar ve güvenlik işlemi özelliklerinizi geliştirir. Daha fazla bilgi için Microsoft Sentinel belgelerine bakın.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
WindowsEvent Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

AMA aracılığıyla olayları Windows Güvenliği

Tarafından desteklenir:Microsoft Corporation

Windows aracısını kullanarak Microsoft Sentinel çalışma alanınıza bağlı Windows makinelerinden tüm güvenlik olaylarının akışını yapabilirsiniz. Bu bağlantı panoları görüntülemenizi, özel uyarılar oluşturmanızı ve araştırmayı geliştirmenizi sağlar. Bu, kuruluşunuzun ağı hakkında daha fazla içgörü sağlar ve güvenlik işlemi özelliklerinizi geliştirir. Daha fazla bilgi için Microsoft Sentinel belgelerine bakın.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
SecurityEvent Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

Kurulum Yönergeleri:

Veri toplama kuralını etkinleştirme

Güvenlik Olayları kayıtları yalnızca Windows ajanlarından toplanır.

  • Yükleme Aracısı: <Yükleme zamanında sağlanan değişken değeri>



WithSecure Elements (CCF)

Tarafından desteklenir:WithSecure

WithSecure Elements güvenlik olayları, Microsoft Sentinel'in Codeless Connector Framework (CCF) üzerinden alınır — Azure Function, Storage Account veya Key Vault yönetilmeyen tam SaaS dağıtımı.

Bağlayıcı, WithSecure Elements güvenlik olayları API'sini sorar ve normalleştirilmiş olayları WsSecurityEvents_CL Log Analytics tablosunda saklar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
WsSecurityEvents_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • WithSecure Elements API istemci kimlik bilgileri: İstemci kimlik bilgileri gereklidir. Detaylar için kullanıcı rehberine bakınız.

Kurulum Yönergeleri:

WithSecure Elements API kimlik bilgileri oluşturun

Öğeler API'si kimlik bilgileri oluşturmak için kullanıcı kılavuzunu izleyin. İstemci kimliğini ve müşteri sırrını güvenli bir yerde sakla.

Secure Elements ile Microsoft Sentinel'e Connect

Elements API URL'sini, önceki adımda oluşturduğunuz istemci kimliği ve istemci sırrıyla birlikte ekleyin, ardından Connect'e tıklayarak olayları almaya başlayın.



WithSecure Elements API'si (Azure İşlevi)

Tarafından desteklenir:WithSecure

[Kullanımdan kaldırıldı] Bu Azure Fonksiyon tabanlı bağlayıcı artık kullanımdan dolayı kullanılmamaktadır ve aktif olarak bakıma sunulmamaktadır. Lütfen Azure Fonksiyonu dağıtıp sürdürmeye gerek kalmadan aynı veri alımını sağlayan WithSecure Elements via Codeless Connector Framework (CCF) çözümünü kullanın. Yeni dağıtımlar CCF çözümünü kullanmalıdır.

WithSecure Elements, riski, karmaşıklığı ve verimsizliği azaltmak için tasarlanmış birleştirilmiş bulut tabanlı siber güvenlik platformudur.

Güvenliğinizi uç noktalarınızdan bulut uygulamalarınıza yükseltin. Hedefli saldırılardan sıfır günlük fidye yazılımına kadar her tür siber tehdide karşı kendinizi kollayın.

WithSecure Elements, tümü tek bir güvenlik merkezi aracılığıyla yönetilen ve izlenen güçlü tahmine dayalı, önleyici ve duyarlı güvenlik özelliklerini birleştirir. Modüler yapımız ve esnek fiyatlandırma modellerimiz size gelişme özgürlüğü verir. Uzmanlığımız ve içgörülerimiz sayesinde her zaman güçleneceksiniz ve asla yalnız kalmayacaksınız.

Microsoft Sentinel tümleştirmesi sayesinde, WithSecure Elements çözümündeki güvenlik olayları verilerini diğer kaynaklardan alınan verilerle ilişkilendirerek ortamınızın tamamına zengin bir genel bakış sağlayabilir ve tehditlere daha hızlı tepki vekleyebilirsiniz.

Bu çözümle Azure İşlev kiracınıza dağıtılır ve WithSecure Elements güvenlik olayları için düzenli aralıklarla yoklama yapılır.

Daha fazla bilgi için şu adreste bulunan web sitemizi ziyaret edin: https://www.withsecure.com.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
WsSecurityEvents_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

Kurulum Yönergeleri:

1. WithSecure Elements API kimlik bilgileri oluşturma

Öğeler API'si kimlik bilgileri oluşturmak için kullanıcı kılavuzunu izleyin. Kimlik bilgilerini güvenli bir yere kaydedin.

2. Microsoft Entra uygulama oluşturma

Yeni Microsoft Entra uygulaması ve kimlik bilgileri oluşturun. Dizin (kiracı) Kimliği, Nesne Kimliği, Uygulama (istemci) Kimliği ve İstemci Gizli Anahtarı (istemci kimlik bilgileri alanından) yönergeleri izleyin ve değerleri depolayın. gizli diziyi güvenli bir yerde depolamayı unutmayın.

3. İşlev Uygulamasını Dağıtma

NOT: Bu bağlayıcı, WithSecure Öğeleri'nden günlükleri çekmek için Azure İşlevleri kullanır. Bu, ek veri alımı maliyetlerine neden olabilir. Ayrıntılar için Azure İşlevleri fiyatlandırma sayfasına bakın.

(İsteğe Bağlı Adım) Microsoft Entra istemci kimlik bilgilerini ve WithSecure Elements API istemci kimlik bilgilerini Azure Key Vault güvenli bir şekilde depolayın. Azure Key Vault, anahtar değerlerini depolamak ve almak için güvenli bir mekanizma sağlar. Azure İşlev Uygulaması ile Azure Key Vault kullanmak için bu yönergeleri izleyin.

ÖNEMLİ: WithSecure Elements bağlayıcısını dağıtmadan önce Çalışma Alanı Adı'na (aşağıdakilerden kopyalanabilir), Microsoft Entra (Dizin (kiracı) Kimliği, Nesne Kimliği, Uygulama (istemci) Kimliği ve İstemci Gizli Anahtarı) verilerinin yanı sıra WithSecure Elements istemci kimlik bilgilerine de sahip olun.

  • Çalışma Alanı Adı: <yükleme zamanında sağlanan değişken değeri>

Bağlayıcıyla ilgili tüm kaynakları dağıtma

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.ms

  2. Tercih edilen Abonelik, Kaynak Grubu ve Konum'a tıklayın.

  3. Çalışma Alanı Kimliği, Entra İstemci Kimliği, Entra İstemci Gizli Anahtarı, Entra Kiracı Kimliği, Öğeler API İstemci Kimliği, Öğeler API İstemci Gizli Anahtarı girin.

Not: Yukarıdaki değerlerden herhangi biri için Azure Key Vault gizli dizileri kullanıyorsanız, dize değerleri yerine şemayı kullanın@Microsoft.KeyVault(SecretUri={Security Identifier}). Daha fazla ayrıntı için Key Vault başvuru belgelerine bakın. 4. İsteğe bağlı alanları da doldurabilirsiniz: Öğeler API'si URL'si, Altyapı, Altyapı Grubu. Özel bir durumunuz yoksa, Öğeler API'si URL'sinin varsayılan değerini kullanın. Altyapı ve Altyapı Grubu , güvenlik olayları istek parametreleriyle eşlenir, yalnızca belirli bir altyapı veya altyapı grubundan gelen olaylarla ilgileniyorsanız, tüm güvenlik olaylarının alanlardan varsayılan değerlerle ayrılmasını istiyorsanız bu parametreleri doldurun. 5. Yukarıda belirtilen hüküm ve koşulları kabul ediyorum etiketli onay kutusunu işaretleyin. 6. Dağıtmak için Satın Al'a tıklayın.



Wiz for Microsoft Sentinel

Tarafından desteklenir:Wiz

Wiz entegrasyonu, Wiz Sorunları, Algılamalar ve Denetim Loglarını gerçek zamanlı olarak Microsoft Sentinel'e gönderiyor. Wiz, Wiz servis prensibini kullanarak bir Veri Toplama Uç noktasına veri gönderir, yani barındıracak Azure Fonksiyonu ve yönetilecek paylaşılan anahtarlar yoktur. Bu bağlayıcı, o hizmet yöneticisine ihtiyaç duyduğu en az ayrıcalıklı RBAC'ı sağlar; Wiz ardından veri toplama kuralını ve tablolarını oluşturur ve entegrasyonu Wiz portalında yapılandırdıktan sonra push'a başlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
WizIssuesV3_CL Evet Evet
WizDetectionsV3_CL Evet Evet
WizAuditLogsV3_CL Hayır Hayır

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Abonelik izinleri: Abonelikte Sahip veya Kullanıcı Erişim Yöneticisi, özel rol tanımını oluşturmak için gereklidir (Microsoft. Yetkilendirme/rolTanımlar/yazma).
  • Microsoft Entra izinleri: Microsoft Entra ID'de Wiz servis prensibini okuma (ve eğer Wiz kurumsal uygulaması henüz onaylanmamışsa oluşturma) izni.

Kurulum Yönergeleri:

ADIM 1 - Wiz servisinin ana nesne kimliğini alın

ARM, Microsoft Entra nesnesini çözemiyor, bu yüzden Wiz servisi ana nesne ID'sini sağlıyorsunuz. Azure Cloud Shell'te (yerel kurulum gerekmiyor; hizmet prensibi oluşturmak için Microsoft Entra ID'de kurumsal uygulamaları kaydetmek için izin gerekiyor) aşağıdaki satırı çalıştırın — nesne ID'sini yazdırır, eğer henüz kiracınızda mevcut değilse önce servis prensipi oluşturulur:

az ad sp show --id ae69b94b-e367-4660-9b35-cfb4b5966728 --query id -o tsv 2>/dev/null \
  || az ad sp create --id ae69b94b-e367-4660-9b35-cfb4b5966728 --query id -o tsv

ADIM 2 - Wiz'e RBAC'ı Ver

Özel rol ve atamayı, bu çalışma alanı barındıran kaynak grubuna dağıtın. Step 1'den nesne kimliğini yapıştırın (ve isteğe bağlı olarak Veri Toplama Uç Noktası kaynak kimliğini).

  1. Wiz RBAC rolünü Deploy (Deploy the Wiz RBAC) seçeneğine tıklayın:

    portal.azure.com

  2. Bu çalışma alanını barındıran Abonelik ve Kaynak grubunu seçin.

  3. wizPrincipalObjectId (Step 1'den) girin; isteğe bağlı olarak dataCollectionEndpointId.

  4. Gözden geçirin ve oluşturun.

  • Çalışma Alanı Kaynak Kimliği: <kurulum zamanında sağlanan değişken değer>

ADIM 3 - Wiz'de entegrasyonu yapılandırmak

Wiz'de, Settings > Integrations >> Add Microsoft Sentinel'e gidin. Kiracı Kimliğinizi, Çalışma Alanı Kaynak Kimliğinizi ve Veri Toplama Uç Nokta Kaynak ID'nizi yapıştırın, Dağıtım tamamlandı işaretini işaretleyin ve kaydedin. Wiz daha sonra veri toplama kuralı ve tabloları oluşturur ve Sorunlar, Algılamalar ve Denetim Günlüklerini bu çalışma alanına göndermeye başlar.



Workday Kullanıcı Etkinliği (Codeless Connector Framework aracılığıyla)

Tarafından desteklenir:Microsoft Corporation

Workday Kullanıcı Etkinliği veri bağlayıcısı, Kullanıcı Etkinlik Günlüklerini Workday API'sinden Microsoft Sentinel alma özelliği sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
ASimAuditEventLogs Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Workday Kullanıcı Aktivite API'si erişimi: OAuth üzerinden Workday kullanıcı aktivite API'sine erişim gereklidir. API İstemcisi şu kapsama sahip olmalıdır: Sistem ve Sistem Denetimi izinlerine sahip bir hesap tarafından yetkilendirilmesi gerekir.

Kurulum Yönergeleri:

Workday'i Microsoft Sentinel'e bağla

  1. Workday'de "Kiracı Kurulumunu Düzenle - Güvenlik" görevine erişin, "OAuth 2.0 Ayarları" bölümünü doğrulayın, "OAuth 2.0 İstemcileri Etkin" onay kutusunun işaretlendiğinden emin olun.
  2. Workday'de "Kiracı Kurulumunu Düzenle - Sistem" görevine erişin, "Kullanıcı Etkinliği Günlüğü" bölümünü doğrulayın, "Kullanıcı Etkinlik Günlüğünü Etkinleştir" onay kutusunun işaretlendiğinden emin olun.
  3. Workday'de "API İstemcisini Kaydet" görevine erişin.
  4. İstemci Adını tanımlayın, "İstemci Verme Türü"nü seçin: "Yetkilendirme Kodu Verme" ve ardından "Erişim Belirteci Türü": "Taşıyıcı"
  5. Aşağıdaki formda bulunan "Yeniden Yönlendirme URI'sini" girin
  6. "Kapsam (Fonksiyonel Alanlar)" bölümünde "Sistem"i seçin ve alttaki OK'ya tıklayın.
  7. Sayfadan uzaklaşmadan önce İstemci Kimliği ve gizli dizisini kopyalayın ve güvenli bir şekilde depolayın.
  8. Sentinel'de, bağlayıcı sayfasında - gerekli Token, Authorization ve User Activity Endpoints'leri, ayrıca önceki adımdan Client ID ve Client Secret'ı ile birlikte sağlan. Ardından "Bağlan"a tıklayın. Tam uç nokta değerlerini Workday kiracınızda "API İstemcilerini Gör" raporunda bulabilirsiniz; sunucu ortama göre farklılık gösterir (örneğin, uygulama kiracıları için wd3-impl-services1.workday.com ve üretim kiracıları için services1.myworkday.com).
  9. API istemcisinin OAuth2 kimlik doğrulamasını ve yetkilendirmesini tamamlamak için bir Workday açılır penceresi görüntülenir. Burada Workday'de "Sistem Denetimi" izinlerine sahip Workday hesabı için kimlik bilgilerini sağlamanız gerekir (Workday hesabı veya Tümleştirme Sistemi Kullanıcısı olabilir).
  10. Bu işlem tamamlandıktan sonra, API istemcinizi yetkilendirmek için ileti görüntülenir
  • Bağlantı takma ad: (Üretim veya İpli)

Not: Bu Workday bağlantısını tanımlamak için benzersiz bir takma ad girin. Önemli: Her kiracı/alan adı için farklı takma adlar kullanın. Mevcut bir bağlantıyı güncellemek için aynı takma adı kullanın veya silip yeniden oluşturun.

  • Token Uç Noktası: (Örnek, https://{workdayServicesHost}/ccx/oauth2/{tenantName}/token)
  • Yetkilendirme Uç Noktası: (Örnek, https://{workdayHost}/{tenantName}/authorize)
  • Kullanıcı Etkinlik Kayıtları Uç Noktası (/activityLogging ile biter): (Örnek, https://{workdayServicesHost}/ccx/api/privacy/v1/{tenantName}/activityLogging)
  • Veri Bağlayıcıları Kılavuzu (portalda yapılandır)



Facebook çalışma alanı (Azure İşlevleri kullanarak)

Tarafından desteklenir:Microsoft Corporation

Workplace veri bağlayıcısı, yaygın Workplace olaylarını Web Kancaları aracılığıyla Microsoft Sentinel alma özelliği sağlar. Web kancaları, özel tümleştirme uygulamalarının Çalışma Alanı'ndaki olaylara abone olmasını ve güncelleştirmeleri gerçek zamanlı olarak almasını sağlar. Çalışma Alanı'nda bir değişiklik gerçekleştiğinde, olay bilgilerini içeren bir HTTPS POST isteği geri arama veri bağlayıcısı URL'sine gönderilir. Daha fazla bilgi için Web kancaları belgelerine bakın. Bağlayıcı olası güvenlik risklerini değerlendirmek, işbirliğini izlemek ve yapılandırma sorunlarını tanılamak ve gidermek için olay alma olanağı sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
Workplace_Facebook_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • Microsoft.Web/sites izinleri: İşlev Uygulaması oluşturmak için Azure İşlevleri okuma ve yazma izinleri gereklidir. Daha fazla bilgi için bkz. Azure İşlevleri.
  • Web Kancaları Kimlik Bilgileri/izinleri: WorkplaceAppSecret, WorkplaceVerifyToken, Geri Çağırma URL'si, çalışan Web kancaları için gereklidir. Web kancalarını yapılandırma, izinleri yapılandırma hakkında daha fazla bilgi edinmek için belgelere bakın.

Kurulum Yönergeleri:

NOT: Bu veri bağlayıcısı, günlüklerini Microsoft Sentinel çekmek üzere günlükleri olan POST isteklerini beklemek için HTTP Tetikleyicisine dayalı Azure İşlevleri kullanır. Bu, ek veri alımı maliyetlerine neden olabilir. Ayrıntılar için Azure İşlevleri fiyatlandırma sayfasına bakın.

(İsteğe Bağlı Adım) Çalışma alanını ve API yetkilendirme anahtarlarını veya belirteçlerini Azure Key Vault güvenli bir şekilde depolayın. Azure Key Vault, anahtar değerlerini depolamak ve almak için güvenli bir mekanizma sağlar. Azure İşlevleri Uygulaması ile Azure Key Vault kullanmak için bu yönergeleri izleyin.

NOT: Bu veri bağlayıcısı, çözümün bir parçası olarak dağıtılan kusto işlevini temel alan ayrıştırıcının beklendiği gibi çalışmasına bağlıdır. İşlev kodunu Log Analytics'te görüntülemek için Log Analytics/Microsoft Sentinel Günlükleri dikey penceresini açın, İşlevler'e tıklayın ve WorkplaceFacebook diğer adını arayın ve işlev kodunu yükleyin veya sorgunun ikinci satırına tıklayın, Workplace Facebook cihazlarınızın ana bilgisayar adlarını ve günlük akışının diğer benzersiz tanımlayıcılarını girin. Çözümün yüklenmesi/güncelleştirildikten sonra işlevin etkinleştirilmesi genellikle 10-15 dakika sürer.

ADIM 1 - Çalışma Alanı için yapılandırma adımları

Web Kancalarını yapılandırmak için yönergeleri izleyin.

  1. Yönetici kullanıcı kimlik bilgileriyle Çalışma Alanı'nda oturum açın.
  2. Yönetici panelinde Tümleştirmeler'e tıklayın.
  3. Tümleştirmeler görünümünde Özel tümleştirme oluştur'a tıklayın
  4. Adı ve açıklamayı girin ve Oluştur'a tıklayın.
  5. Tümleştirme ayrıntıları panelinde Uygulama gizli dizisini ve kopyalama'yı gösterin.
  6. Tümleştirme izinleri yatay penceresinde tüm okuma izinlerini ayarlayın. Ayrıntılar için izin sayfasına bakın.
  7. Şimdi Azure İşlevini Dağıtma adımlarını (Seçenek 1 veya 2'de listelenmiştir) izlemek için ADIM 2'ye geçin.
  8. İstenen parametreleri girin ve ayrıca tercih edilen bir Belirteç girin. Bu Belirteci kopyalayın / Yaklaşan adım için not edin.
  9. Azure İşlevleri dağıtımı başarıyla tamamlandıktan sonra İşlev Uygulaması sayfasını açın, uygulamanızı seçin, İşlevler'e gidin, İşlev URL'sini Al'a tıklayın ve bunu kopyalayın / Yaklaşan adım için not edin.
  10. Facebook'den Workplace'e Geri dön. Her Sekmedeki Web kancalarını yapılandır panelinde Geri Arama URL'sini yukarıdaki 9. noktaya kopyaladığınız değerle ayarlayın ve Belirteci, Azure İşlevleri dağıtımının 2. adımı sırasında elde edilen 8. noktaya kopyaladığınız değerle doğrulayın.
  11. Kaydet'e tıklayın.

ADIM 2 - Bağlayıcıyı ve ilişkili Azure İşlevleri dağıtmak için aşağıdaki iki dağıtım seçeneğinden Bİrİ'ni seçin

ÖNEMLİ: Çalışma Alanı veri bağlayıcısını dağıtmadan önce Çalışma Alanı Kimliği ve Çalışma Alanı Birincil Anahtarına sahip olun (aşağıdakilerden kopyalanabilir).

  • Çalışma Alanı Kimliği: <Yükleme zamanında sağlanan değişken değeri>
  • Birincil Anahtar: <Yükleme zamanında sağlanan değişken değeri>

Seçenek 1 - Azure Resource Manager (ARM) Şablonu

ARM Tempate kullanarak Workplace veri bağlayıcısının otomatik dağıtımı için bu yöntemi kullanın.

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.msaka.ms

  2. Tercih edilen Abonelik, Kaynak Grubu ve Konum'a tıklayın.

NOT: Aynı kaynak grubunda, Aynı bölgedeki Windows ve Linux uygulamalarını karıştıramazsınız. Içinde Windows uygulamaları olmayan mevcut kaynak grubunu seçin veya yeni kaynak grubu oluşturun. 3. WorkplaceVerifyToken (herhangi bir ifade olabilir, 1. ADIM için kopyalayıp kaydedebilir), WorkplaceAppSecret ve deploy girin. 4. Yukarıda belirtilen hüküm ve koşulları kabul ediyorum etiketli onay kutusunu işaretleyin. 5. Dağıtmak için Satın Al'a tıklayın. 6. Açık İşlev Uygulaması sayfasını dağıtdıktan sonra uygulamanızı seçin, İşlevler'e gidin ve İşlev Url'sini al'a tıklayın kopyalayın ve 1. ADIM'dan p.7'yi izleyin.

Seçenek 2 - Azure İşlevleri El ile Dağıtımı

Sophos Endpoint Protection veri bağlayıcısını Azure İşlevleri (Visual Studio Code aracılığıyla dağıtım) ile el ile dağıtmak için aşağıdaki adım adım yönergeleri kullanın.

1. Adım - İşlev Uygulaması Dağıtma

NOT: VS kodunu Azure işlev geliştirme için hazırlamanız gerekir.

  1. Azure İşlev Uygulaması dosyasını indirin. Arşivi yerel geliştirme bilgisayarınıza ayıklayın.
  2. VSCode kullanarak Azure İşlevleri uygulamasını dağıtmak için işlev uygulaması el ile dağıtım yönergelerini izleyin.
  3. İşlev uygulamasının başarıyla dağıtılmasından sonra, bunu yapılandırmak için sonraki adımları izleyin.

2. Adım - İşlev Uygulamasını Yapılandırma

  1. İşlev Uygulamasında İşlev Uygulaması Adı'nı ve ardından Yapılandırma'yı seçin.
  2. Uygulama ayarları sekmesinde Yeni uygulama ayarı'nı seçin.
  3. İlgili dize değerleriyle (büyük/küçük harfe duyarlı) aşağıdaki uygulama ayarlarını tek tek ekleyin: WorkplaceAppSecret WorkplaceVerifyToken WorkspaceID WorkspaceKey logAnalyticsUri (isteğe bağlı)
  • Ayrılmış bulut için log analytics API uç noktasını geçersiz kılmak için logAnalyticsUri kullanın. Örneğin, genel bulut için değeri boş bırakın; Azure GovUS bulut ortamı için değeri şu biçimde belirtin: https://<CustomerId>.ods.opinsights.azure.us.
  1. Tüm uygulama ayarları girildikten sonra Kaydet'e tıklayın.



XBOW Güvenlik Platformu (Azure İşlevi aracılığıyla)

Tarafından desteklenir:XBOW

XBOW veri bağlayıcısı, XBOW Güvenlik Platformu'ndan varlık anlık görüntülerini, güvenlik açığı bulgularını ve değerlendirme etkinliğini Microsoft Sentinel alır. bir Azure İşlevi XBOW API'sini bir zamanlayıcıda yoklar ve varlık JSON anlık görüntülerini XbowAssets_CLiçine , zenginleştirilmiş bulgulara (kanıt, PoC tarifleri, etki ve azaltmalarla) ve XbowFindings_CL (DCE/DCR) XbowAssessments_CLkullanarak değerlendirme yaşam döngüsü olaylarını içine gönderir.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
XbowAssets_CL Hayır Hayır
XbowFindings_CL Hayır Hayır
XbowAssessments_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • XBOW API Belirteci: XBOW Kişisel Erişim Belirteci gereklidir. XBOW konsolundaAyarlar > Kişisel Erişim Belirteçleri altında bir tane oluşturun. Belirteci izlemek istediğiniz kuruluşun kapsamına ekleyin.
  • XBOW Kuruluş Kimliği: XBOW hesabınızdaki Kuruluş Kimliği. Bunu XBOW konsol URL'sinde veya API aracılığıyla bulun.
  • Microsoft.Web/sites izinleri: İşlev Uygulaması oluşturmak için Azure İşlevleri okuma ve yazma izinleri gereklidir. Daha fazla bilgi için bkz. Azure İşlevleri.
  • Gerekirse özel önkoşullar, aksi takdirde bu gümrük etiketini silin: Özel önkoşullar için açıklama
  • Azure AD Uygulama Kaydı: Azure AD Uygulama Kaydı (hizmet sorumlusu) gerekir. Veri Toplama Kuralı'nda (DCR) İzleme Ölçümleri Yayımcısı rolünü dağıtımdan sonra bu Uygulama Kaydına el ile atamanız gerekir.

Kurulum Yönergeleri:

NOT: Bu bağlayıcı XBOW varlıklarını, bulgularını ve değerlendirmelerini Microsoft Sentinel almak için Azure İşlevleri ve Azure İzleme Alımı API'sini (DCE/DCR) kullanır. ARM şablonu otomatik olarak Veri Toplama Uç Noktası, özel günlük tabloları (XbowAssets_CL, XbowFindings_CLve XbowAssessments_CL), Veri Toplama Kuralı ve İşlev Uygulaması oluşturur. Bu, ek veri alımı maliyetlerine neden olabilir. Ayrıntılar için Azure İşlevleri fiyatlandırma sayfasını ve Azure İzleme fiyatlandırma sayfasını gözden geçirin.

(İsteğe Bağlı Adım) XBOW API Belirteci ve Uygulama Kaydı kimlik bilgilerinizi Azure Key Vault güvenli bir şekilde depolayın. Azure İşlev Uygulaması ile Azure Key Vault başvuruları kullanmak için bu yönergeleri izleyin.

ADIM 1 – XBOW API Belirteci Oluşturma

  1. Yönetici erişimiyle XBOW konsolunda oturum açın.
  2. Profil simgenize (sağ üst) tıklayın ve Ayarlar'ı seçin.
  3. Sol kenar çubuğunda Kişisel Erişim Belirteçleri'ne tıklayın.
  4. Yeni belirteç oluştur'a tıklayın, bir ad girin ve kuruluş kapsamını seçin.
  5. Belirtecinizi kopyalayın ve güvenli bir şekilde depolayın; bir daha gösterilmez.
  6. Kuruluşunuzu görüntülerken XBOW konsolundan veya URL'den Kuruluş Kimliğinizi not edin.

ADIM 2 – Azure AD Uygulama Kaydı Oluşturma ve DCR Rolü Verme

  1. Azure portalı'ndaAzure Active Directory > Uygulama kayıtları > Yeni kayıt'a gidin.
  2. Bir ad (ör. Xbow-Sentinel-Connector) girin ve kaydolun.
  3. Sertifikalar & gizli diziler altında yeni bir istemci gizli dizisi oluşturun. Kiracı Kimliği, İstemci Kimliği ve İstemci Gizli Anahtarı'nı not edin.
  4. Aşağıdaki 3. Adımı kullanarak bağlayıcıyı dağıtın ve buraya dönün.
  5. Dağıtılan Veri Toplama Kuralı'nı açın (dağıtım çıkışlarından veya kaynak grubunda arayarak).
  6. Erişim denetimi (IAM) > Rol ataması ekle'ye gidin.
  7. Rol İzleme Ölçümleri Yayımcısı'nı seçin.
  8. Yukarıda oluşturulan Uygulama Kaydı'na (hizmet sorumlusu) erişim atayın.
  9. Alımı doğrulamadan önce RBAC yayılması için birkaç dakika bekleyin.

ADIM 3 – Azure İşlev Uygulamasını Dağıtma

Azure için Dağıt'a tıklayın ve parametreleri doldurun. Şablon otomatik olarak Veri Toplama Uç Noktası, XbowAssets_CL, XbowFindings_CLve tabloları, Veri Toplama Kuralı ve XbowAssessments_CL İşlev Uygulaması oluşturur.

aka.ms

Doldurulacak parametreler:

Parametre Açıklama
WorkspaceName Log Analytics / Microsoft Sentinel çalışma alanınızın adı
XbowApiToken 1. Adımdan XBOW Kişisel Erişim Belirteci
XbowOrgId 1. Adımdan XBOW Kuruluş Kimliği
TenantId 2. Adımdan Kiracı Kimliğini Azure AD
ClientId 2. Adımdan Uygulama Kaydı İstemci Kimliği
ClientSecret 2. Adımdan Uygulama Kaydı İstemci Gizli Anahtarı
AppInsightsWorkspaceResourceID Log Analytics çalışma alanının Tam Kaynak Kimliği ( Log Analytics çalışma alanı > Özellikleri'nden)
FunctionAppLocation İşlev Uygulaması kaynakları için isteğe bağlı Azure bölgesi (varsayılan olarak Kaynak Grubu konumuna ayarlanır)
  • Çalışma Alanı Kimliği: <Yükleme zamanında sağlanan değişken değeri>



Sıfır Ağlar Segmenti (Anında İletme)

Tarafından desteklenir:Zero Networks

Sıfır Ağlar Segmenti anında iletme bağlayıcısı, Sıfır Ağların Denetimleri, Ağ Etkinliklerini, Kimlik Etkinliklerini ve RPC Etkinliklerini doğrudan Microsoft Sentinel gerçek zamanlı olarak göndermesine olanak tanır. Bir Veri Toplama Kuralı (DCR) ve Microsoft Entra uygulaması oluşturmak için bağlayıcıyı dağıtın; ardından Zero Networks uygulamanızı olayları göndermek için bağlantı ayrıntılarıyla yapılandırın.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
ZNAudit_CL Evet Evet
ZNNetworkActivity_CL Evet Evet
ZNIdentityActivity_CL Evet Evet
ZNRPCActivity_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Microsoft Entra: Microsoft Entra ID'da uygulama kaydı oluşturma izni. Genellikle Entra Kimliği Uygulama Geliştirici rolü veya üzeri gerekir.
  • Microsoft Azure: Veri toplama kuralında (DCR) İzleme Ölçümleri Yayımcısı rolü atama izni. Genellikle Azure RBAC Sahibi veya Kullanıcı Erişimi Yöneticisi rolü gerektirir.

Kurulum Yönergeleri:

1. ARM Kaynakları Oluşturma ve Gerekli İzinleri Sağlama

Log Analytics tablosu, Veri Toplama Kuralı (DCR), Veri Toplama Uç Noktası (DCE) ve Microsoft Entra uygulaması oluşturmak için anında iletme bağlayıcısını dağıtın. Ardından Sıfır Ağlar uygulamanızı bağlantı ayrıntılarıyla yapılandırın.

Otomatik Yapılandırma "Dağıt" seçeneğine tıklanması bir DCR ve DCE oluşturur, ardından istemci gizli anahtarıyla bir Microsoft Entra uygulama kaydı oluşturur ve DCR üzerinde izinler verir. Uygulamanız daha sonra OAuth 2.0 istemci kimlik bilgilerini kullanarak verileri güvenli bir şekilde gönderebilir.

2. Sıfır Ağ Uygulamanızı Yapılandırma

Sıfır Ağlar uygulamanızı Denetimler, Ağ Etkinlikleri, Kimlik Etkinlikleri ve RPC Etkinlikleri'ni Microsoft Sentinel göndermek üzere yapılandırmak için aşağıdaki değerleri kullanın.

  • Kiracı Kimliği (Dizin Kimliği): <Yükleme zamanında sağlanan değişken değeri>
  • Entra Uygulama Kimliği: <yükleme zamanında sağlanan değişken değeri>
  • Entra Uygulama Gizli Anahtarı: <yükleme zamanında sağlanan değişken değeri>
  • Veri Toplama Uç Noktası URI'si: <yükleme zamanında sağlanan değişken değeri>
  • Veri Toplama Kuralı Sabit Kimliği: <yükleme zamanında sağlanan değişken değer>
  • Stream: Denetimler: <Yükleme zamanında sağlanan değişken değeri>
  • Stream: Ağ Etkinlikleri: <Yükleme zamanında sağlanan değişken değeri>
  • Stream: Kimlik Etkinlikleri: <yükleme zamanında sağlanan değişken değeri>
  • Stream: RPC Etkinlikleri: <yükleme zamanında sağlanan değişken değeri>



Sıfır Ağlar Segment Denetimi

Tarafından desteklenir:Zero Networks

Sıfır Ağlar Segment Denetimi veri bağlayıcısı, REST API aracılığıyla sıfır ağ denetimi olaylarını Microsoft Sentinel alma özelliği sağlar. Bu veri bağlayıcısı yerel Microsoft Sentinel yoklama özelliğini kullanır.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
ZNSegmentAuditNativePoller_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Sıfır Ağlar API Belirteci: REST API için ZeroNetworksAPIToken gereklidir. API Kılavuzu'na bakın ve kimlik bilgilerini alma yönergelerini izleyin.

Kurulum Yönergeleri:

Sıfır Ağları Microsoft Sentinel bağlama

Sıfır Ağlar API'si URL'sini (örneğin portal.zeronetworks.com) girin. Bağlayıcı otomatik olarak https:// ve /api/v1/audit ekler. Ardından API anahtarınızı sağlayın ve Bağlan'a tıklayın.

  • Sıfır Ağlar API'si URL'si: (portal.zeronetworks.com)
  • ApiKey: (ApiKey)
  • Bağlantıyı Etkinleştir/Devre Dışı Bırak
  • Veri Bağlayıcıları Kılavuzu (portalda yapılandır)



ZeroFox Uyarıları

Tarafından desteklenir:ZeroFox

ZeroFox API'sinden uyarılar toplar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
ZeroFoxAlertPoller_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • ZeroFox Tümleştirmeleri API Anahtarı: ZeroFox Tümleştirmeleri API Anahtarı gereklidir. adresinden integrations@zerofox.comisteyin.

Kurulum Yönergeleri:

ZeroFox'u Microsoft Sentinel bağlama

Bağlayıcıyı etkinleştirmek için aşağıdaki gerekli bilgileri sağlayın ve Bağlan'a tıklayın.

  • ZeroFox Integrations API Anahtarınızı sağlayın: (ZeroFox Integrations API Anahtarı)
  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



ZeroFox CTI

Tarafından desteklenir:ZeroFox

ZeroFox CTI veri bağlayıcıları, farklı ZeroFox siber tehdit bilgileri uyarılarını Microsoft Sentinel alma özelliği sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
ZeroFox_CTI_advanced_dark_web_CL Hayır Hayır
ZeroFox_CTI_botnet_CL Hayır Hayır
ZeroFox_CTI_breaches_CL Hayır Hayır
ZeroFox_CTI_C2_CL Hayır Hayır
ZeroFox_CTI_compromised_credentials_CL Hayır Hayır
ZeroFox_CTI_credit_cards_CL Hayır Hayır
ZeroFox_CTI_dark_web_CL Hayır Hayır
ZeroFox_CTI_discord_CL Hayır Hayır
ZeroFox_CTI_disruption_CL Hayır Hayır
ZeroFox_CTI_email_addresses_CL Hayır Hayır
ZeroFox_CTI_exploits_CL Hayır Hayır
ZeroFox_CTI_irc_CL Hayır Hayır
ZeroFox_CTI_malware_CL Hayır Hayır
ZeroFox_CTI_national_ids_CL Hayır Hayır
ZeroFox_CTI_phishing_CL Hayır Hayır
ZeroFox_CTI_phone_numbers_CL Hayır Hayır
ZeroFox_CTI_ransomware_CL Hayır Hayır
ZeroFox_CTI_telegram_CL Hayır Hayır
ZeroFox_CTI_threat_actors_CL Hayır Hayır
ZeroFox_CTI_vulnerabilities_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • Microsoft.Web/sites izinleri: İşlev Uygulaması oluşturmak için Azure İşlevleri okuma ve yazma izinleri gereklidir. Daha fazla bilgi için bkz. Azure İşlevleri.
  • ZeroFox API Kimlik Bilgileri/izinleri: ZeroFox Kullanıcı Adı, ZeroFox Kişisel Erişim Belirteci , ZeroFox CTI REST API için gereklidir.

Kurulum Yönergeleri:

NOT: Bu bağlayıcı, günlükleri Microsoft Sentinel çekmek üzere ZeroFox CTI REST API'sine bağlanmak için Azure İşlevleri kullanır. Bu, ek veri alımı maliyetlerine neden olabilir. Ayrıntılar için Azure İşlevleri fiyatlandırma sayfasına bakın.

(İsteğe Bağlı Adım) Çalışma alanını ve API yetkilendirme anahtarlarını veya belirteçlerini Azure Key Vault güvenli bir şekilde depolayın. Azure Key Vault, anahtar değerlerini depolamak ve almak için güvenli bir mekanizma sağlar. Azure İşlev Uygulaması ile Azure Key Vault kullanmak için bu yönergeleri izleyin.

ADIM 1 - ZeroFox kimlik bilgilerinin alınması:

Günlüğe kaydetmeyi ayarlamak ve kimlik bilgilerini almak için bu yönergeleri izleyin.

  1. ZeroFox'un web sitesinde oturum açın. kullanıcı adınızı ve parolanızı kullanarak 2 - Ayarlar düğmesine tıklayın ve Veri Bağlayıcıları Bölümü'ne gidin. 3 - KULLANıCı adınız ile birlikte kullanılacak kişisel erişim belirtecini almak için API DATA FEEDS sekmesini seçin ve sayfanın en altına gidin, API Bilgileri kutusunda Sıfırla'yı<< seçin>>.

ADIM 2 - Azure Resource Manager şablonunu kullanarak Azure İşlevi veri bağlayıcılarını dağıtın:

ÖNEMLİ: ZeroFox CTI veri bağlayıcısını dağıtmadan önce Çalışma Alanı Kimliği'ne ve Çalışma Alanı Birincil Anahtarına (aşağıdakilerden kopyalanabilir) sahip olun.

  • Çalışma Alanı Kimliği: <Yükleme zamanında sağlanan değişken değeri>
  • Birincil Anahtar: <Yükleme zamanında sağlanan değişken değeri>

Kaynakları dağıtım için hazırlama.

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.ms

  2. Tercih edilen Abonelik, Kaynak Grubu, Log analytics Çalışma Alanı ve Konum'a tıklayın.

  3. Çalışma Alanı Kimliği, Çalışma Alanı Anahtarı, ZeroFox Kullanıcı Adı, ZeroFox Kişisel Erişim Belirteci girin

  5. Dağıtmak için Gözden Geçir + Oluştur'a tıklayın.



ZeroFox Enterprise - Gelişmiş Karanlık Web

Tarafından desteklenir:ZeroFox

ZeroFox API'sinden gelişmiş karanlık web verilerini Microsoft Sentinel'e toplar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
ZeroFoxAdvancedDarkWeb_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • ZeroFox Kişisel Erişim Belirteci (PAT): Bir ZeroFox PAT gereklidir. Bunu Veri Bağlayıcıları > Veri Akışları'nda alabilirsiniz.

Kurulum Yönergeleri:

ZeroFox'u Microsoft Sentinel bağlama

Bağlayıcıyı etkinleştirmek için aşağıdaki gerekli bilgileri sağlayın ve Bağlan'a tıklayın.

  • ZeroFox hesabınızın kullanıcı adını verin: (Zerofox Hesap adı)
  • ZeroFox PAT' nizi sağlayın: (Zerofox PAT)
  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



ZeroFox Enterprise - Uyarılar (CCF Yoklama)

Tarafından desteklenir:ZeroFox

ZeroFox API'sinden uyarılar toplar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
ZeroFoxAlertPoller_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • ZeroFox Kişisel Erişim Belirteci (PAT): Bir ZeroFox PAT gereklidir. Bunu Veri Bağlayıcıları > Veri Akışları'nda alabilirsiniz.

Kurulum Yönergeleri:

ZeroFox'u Microsoft Sentinel bağlama

ZeroFox'u Microsoft Sentinel bağlama

  • ZeroFox PAT' nizi sağlayın: (Zerofox PAT)
  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



ZeroFox Enterprise - Botnet

Tarafından desteklenir:ZeroFox

ZeroFox API'sinden botnet verilerini Microsoft Sentinel'e toplar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
ZeroFoxBotnet_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • ZeroFox Kişisel Erişim Belirteci (PAT): Bir ZeroFox PAT gereklidir. Bunu Veri Bağlayıcıları > Veri Akışları'nda alabilirsiniz.

Kurulum Yönergeleri:

ZeroFox'u Microsoft Sentinel bağlama

Bağlayıcıyı etkinleştirmek için aşağıdaki gerekli bilgileri sağlayın ve Bağlan'a tıklayın.

  • ZeroFox hesabınızın kullanıcı adını verin: (Zerofox Hesap adı)
  • ZeroFox PAT' nizi sağlayın: (Zerofox PAT)
  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



ZeroFox Enterprise - Botnet Sızdırılmış Kimlik Bilgileri

Tarafından desteklenir:ZeroFox

ZeroFox API'sinden botnet tehlikesi edilmiş kimlik bilgilerini Microsoft Sentinel'e toplar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
ZeroFoxBotnetCC_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • ZeroFox Kişisel Erişim Belirteci (PAT): Bir ZeroFox PAT gereklidir. Bunu Veri Bağlayıcıları > Veri Akışları'nda alabilirsiniz.

Kurulum Yönergeleri:

ZeroFox'u Microsoft Sentinel bağlama

Bağlayıcıyı etkinleştirmek için aşağıdaki gerekli bilgileri sağlayın ve Bağlan'a tıklayın.

  • ZeroFox hesabınızın kullanıcı adını verin: (Zerofox Hesap adı)
  • ZeroFox PAT' nizi sağlayın: (Zerofox PAT)
  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



ZeroFox Enterprise - İhlaller

Tarafından desteklenir:ZeroFox

ZeroFox API'sinden Microsoft Sentinel'e ihlal verilerini toplar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
ZeroFoxBreaches_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • ZeroFox Kişisel Erişim Belirteci (PAT): Bir ZeroFox PAT gereklidir. Bunu Veri Bağlayıcıları > Veri Akışları'nda alabilirsiniz.

Kurulum Yönergeleri:

ZeroFox'u Microsoft Sentinel bağlama

Bağlayıcıyı etkinleştirmek için aşağıdaki gerekli bilgileri sağlayın ve Bağlan'a tıklayın.

  • ZeroFox hesabınızın kullanıcı adını verin: (Zerofox Hesap adı)
  • ZeroFox PAT' nizi sağlayın: (Zerofox PAT)
  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



ZeroFox Enterprise - Ele Girmiş Kimlik Bilgileri

Tarafından desteklenir:ZeroFox

ZeroFox API'sinden ele salınmış kimlik bilgilerini Microsoft Sentinel'e toplar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
ZeroFoxCompromisedCredentials_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • ZeroFox Kişisel Erişim Belirteci (PAT): Bir ZeroFox PAT gereklidir. Bunu Veri Bağlayıcıları > Veri Akışları'nda alabilirsiniz.

Kurulum Yönergeleri:

ZeroFox'u Microsoft Sentinel bağlama

Bağlayıcıyı etkinleştirmek için aşağıdaki gerekli bilgileri sağlayın ve Bağlan'a tıklayın.

  • ZeroFox hesabınızın kullanıcı adını verin: (Zerofox Hesap adı)
  • ZeroFox PAT' nizi sağlayın: (Zerofox PAT)
  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



ZeroFox Enterprise - Kredi Kartları

Tarafından desteklenir:ZeroFox

ZeroFox API'sinden kredi kartı verilerini Microsoft Sentinel'e toplar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
ZeroFoxCreditCards_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • ZeroFox Kişisel Erişim Belirteci (PAT): Bir ZeroFox PAT gereklidir. Bunu Veri Bağlayıcıları > Veri Akışları'nda alabilirsiniz.

Kurulum Yönergeleri:

ZeroFox'u Microsoft Sentinel bağlama

Bağlayıcıyı etkinleştirmek için aşağıdaki gerekli bilgileri sağlayın ve Bağlan'a tıklayın.

  • ZeroFox hesabınızın kullanıcı adını verin: (Zerofox Hesap adı)
  • ZeroFox PAT' nizi sağlayın: (Zerofox PAT)
  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



ZeroFox Enterprise - Karanlık Web

Tarafından desteklenir:ZeroFox

ZeroFox API'sinden Microsoft Sentinel'e karanlık web verilerini toplar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
ZeroFoxDarkWeb_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • ZeroFox Kişisel Erişim Belirteci (PAT): Bir ZeroFox PAT gereklidir. Bunu Veri Bağlayıcıları > Veri Akışları'nda alabilirsiniz.

Kurulum Yönergeleri:

ZeroFox'u Microsoft Sentinel bağlama

Bağlayıcıyı etkinleştirmek için aşağıdaki gerekli bilgileri sağlayın ve Bağlan'a tıklayın.

  • ZeroFox hesabınızın kullanıcı adını verin: (Zerofox Hesap adı)
  • ZeroFox PAT' nizi sağlayın: (Zerofox PAT)
  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



ZeroFox Enterprise - Discord

Tarafından desteklenir:ZeroFox

ZeroFox API'sinden Microsoft Sentinel'e discord verilerini toplar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
ZeroFoxDiscord_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • ZeroFox Kişisel Erişim Belirteci (PAT): Bir ZeroFox PAT gereklidir. Bunu Veri Bağlayıcıları > Veri Akışları'nda alabilirsiniz.

Kurulum Yönergeleri:

ZeroFox'u Microsoft Sentinel bağlama

Bağlayıcıyı etkinleştirmek için aşağıdaki gerekli bilgileri sağlayın ve Bağlan'a tıklayın.

  • ZeroFox hesabınızın kullanıcı adını verin: (Zerofox Hesap adı)
  • ZeroFox PAT' nizi sağlayın: (Zerofox PAT)
  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



ZeroFox Enterprise - Bozulma

Tarafından desteklenir:ZeroFox

ZeroFox API'sinden Microsoft Sentinel'e kesinti verilerini toplar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
ZeroFoxDisruption_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • ZeroFox Kişisel Erişim Belirteci (PAT): Bir ZeroFox PAT gereklidir. Bunu Veri Bağlayıcıları > Veri Akışları'nda alabilirsiniz.

Kurulum Yönergeleri:

ZeroFox'u Microsoft Sentinel bağlama

Bağlayıcıyı etkinleştirmek için aşağıdaki gerekli bilgileri sağlayın ve Bağlan'a tıklayın.

  • ZeroFox hesabınızın kullanıcı adını verin: (Zerofox Hesap adı)
  • ZeroFox PAT' nizi sağlayın: (Zerofox PAT)
  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



ZeroFox Enterprise - E-posta Adresleri

Tarafından desteklenir:ZeroFox

ZeroFox API'sinden e-posta adresi verilerini Microsoft Sentinel'e toplar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
ZeroFoxEmailAddresses_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • ZeroFox Kişisel Erişim Belirteci (PAT): Bir ZeroFox PAT gereklidir. Bunu Veri Bağlayıcıları > Veri Akışları'nda alabilirsiniz.

Kurulum Yönergeleri:

ZeroFox'u Microsoft Sentinel bağlama

Bağlayıcıyı etkinleştirmek için aşağıdaki gerekli bilgileri sağlayın ve Bağlan'a tıklayın.

  • ZeroFox hesabınızın kullanıcı adını verin: (Zerofox Hesap adı)
  • ZeroFox PAT' nizi sağlayın: (Zerofox PAT)
  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



ZeroFox Enterprise - Exploitler

Tarafından desteklenir:ZeroFox

ZeroFox API'sinden verileri Microsoft Sentinel'e toplar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
ZeroFoxExploits_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • ZeroFox Kişisel Erişim Belirteci (PAT): Bir ZeroFox PAT gereklidir. Bunu Veri Bağlayıcıları > Veri Akışları'nda alabilirsiniz.

Kurulum Yönergeleri:

ZeroFox'u Microsoft Sentinel bağlama

Bağlayıcıyı etkinleştirmek için aşağıdaki gerekli bilgileri sağlayın ve Bağlan'a tıklayın.

  • ZeroFox hesabınızın kullanıcı adını verin: (Zerofox Hesap adı)
  • ZeroFox PAT' nizi sağlayın: (Zerofox PAT)
  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



ZeroFox Enterprise - Göstergeler

Tarafından desteklenir:ZeroFox

ZeroFox API'den Microsoft Sentinel'e gösterge verilerini toplar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
ZeroFoxIndicators_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • ZeroFox Kişisel Erişim Belirteci (PAT): Bir ZeroFox PAT gereklidir. Bunu Veri Bağlayıcıları > Veri Akışları'nda alabilirsiniz.

Kurulum Yönergeleri:

ZeroFox'u Microsoft Sentinel bağlama

Bağlayıcıyı etkinleştirmek için aşağıdaki gerekli bilgileri sağlayın ve Bağlan'a tıklayın.

  • ZeroFox hesabınızın kullanıcı adını verin: (Zerofox Hesap adı)
  • ZeroFox PAT' nizi sağlayın: (Zerofox PAT)
  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



ZeroFox Enterprise - Önemli Olaylar

Tarafından desteklenir:ZeroFox

ZeroFox API'sinden Microsoft Sentinel'e anahtar olay verilerini toplar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
ZeroFoxKeyIncidents_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • ZeroFox Kişisel Erişim Belirteci (PAT): Bir ZeroFox PAT gereklidir. Bunu Veri Bağlayıcıları > Veri Akışları'nda alabilirsiniz.

Kurulum Yönergeleri:

ZeroFox'u Microsoft Sentinel bağlama

Bağlayıcıyı etkinleştirmek için aşağıdaki gerekli bilgileri sağlayın ve Bağlan'a tıklayın.

  • ZeroFox hesabınızın kullanıcı adını verin: (Zerofox Hesap adı)
  • ZeroFox PAT' nizi sağlayın: (Zerofox PAT)
  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



ZeroFox Enterprise - Ulusal Kimlikler

Tarafından desteklenir:ZeroFox

ZeroFox API'sinden ulusal kimlik verilerini Microsoft Sentinel'e toplar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
ZeroFoxNationalIds_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • ZeroFox Kişisel Erişim Belirteci (PAT): Bir ZeroFox PAT gereklidir. Bunu Veri Bağlayıcıları > Veri Akışları'nda alabilirsiniz.

Kurulum Yönergeleri:

ZeroFox'u Microsoft Sentinel bağlama

Bağlayıcıyı etkinleştirmek için aşağıdaki gerekli bilgileri sağlayın ve Bağlan'a tıklayın.

  • ZeroFox hesabınızın kullanıcı adını verin: (Zerofox Hesap adı)
  • ZeroFox PAT' nizi sağlayın: (Zerofox PAT)
  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



ZeroFox Enterprise - Fiziksel Tehditler

Tarafından desteklenir:ZeroFox

ZeroFox API'sinden fiziksel tehdit verilerini Microsoft Sentinel'e toplar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
ZeroFoxPhysicalThreats_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • ZeroFox Kişisel Erişim Belirteci (PAT): Bir ZeroFox PAT gereklidir. Bunu Veri Bağlayıcıları > Veri Akışları'nda alabilirsiniz.

Kurulum Yönergeleri:

ZeroFox'u Microsoft Sentinel bağlama

Bağlayıcıyı etkinleştirmek için aşağıdaki gerekli bilgileri sağlayın ve Bağlan'a tıklayın.

  • ZeroFox hesabınızın kullanıcı adını verin: (Zerofox Hesap adı)
  • ZeroFox PAT' nizi sağlayın: (Zerofox PAT)
  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



ZeroFox Enterprise - Telegram

Tarafından desteklenir:ZeroFox

ZeroFox API'sinden Microsoft Sentinel'e telgraf verilerini toplar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
ZeroFoxTelegram_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • ZeroFox Kişisel Erişim Belirteci (PAT): Bir ZeroFox PAT gereklidir. Bunu Veri Bağlayıcıları > Veri Akışları'nda alabilirsiniz.

Kurulum Yönergeleri:

ZeroFox'u Microsoft Sentinel bağlama

Bağlayıcıyı etkinleştirmek için aşağıdaki gerekli bilgileri sağlayın ve Bağlan'a tıklayın.

  • ZeroFox hesabınızın kullanıcı adını verin: (Zerofox Hesap adı)
  • ZeroFox PAT' nizi sağlayın: (Zerofox PAT)
  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



ZeroFox Enterprise - Zayıflıklar

Tarafından desteklenir:ZeroFox

ZeroFox API'sinden Microsoft Sentinel'e güvenlik açığı verilerini toplar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
ZeroFoxVulnerabilities_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • ZeroFox Kişisel Erişim Belirteci (PAT): Bir ZeroFox PAT gereklidir. Bunu Veri Bağlayıcıları > Veri Akışları'nda alabilirsiniz.

Kurulum Yönergeleri:

ZeroFox'u Microsoft Sentinel bağlama

Bağlayıcıyı etkinleştirmek için aşağıdaki gerekli bilgileri sağlayın ve Bağlan'a tıklayın.

  • ZeroFox hesabınızın kullanıcı adını verin: (Zerofox Hesap adı)
  • ZeroFox PAT' nizi sağlayın: (Zerofox PAT)
  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



Zimperium Mobil Tehdit Savunma CCF

Tarafından desteklenir:Zimperium

Zimperium Mobile Threat Defense bağlayıcısı, panoları görüntülemek, özel uyarılar oluşturmak ve araştırmayı geliştirmek için Zimperium tehdit günlüğünü Microsoft Sentinel bağlamanızı sağlar. Bu, kuruluşunuzun mobil tehdit ortamı hakkında daha fazla içgörü sağlar ve güvenlik işlemi özelliklerinizi geliştirir.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
ZimperiumThreatLogV2_CL Evet Evet
ZimperiumMitigationLogV2_CL Evet Evet
ZimperiumIncidentLog_CL Evet Evet
ZimperiumIncidentMitigationLog_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Microsoft Entra: Microsoft Entra ID'da uygulama kaydı oluşturma izni. Genellikle Entra Kimliği Uygulama Geliştirici rolü veya üzeri gerekir.
  • Microsoft Azure: Veri toplama kuralında (DCR) İzleme Ölçümleri Yayımcısı rolü atama izni. Genellikle Azure RBAC Sahibi veya Kullanıcı Erişimi Yöneticisi rolü gerektirir.

Kurulum Yönergeleri:

1. ARM Kaynakları Oluşturma ve Gerekli İzinleri Sağlama

Bu konnektör, Zimperium MTD uygulamanızın cihaz tehditlerini Azure İzleyici Ingestion API üzerinden doğrudan Microsoft Sentinel'e göndermesini sağlar.

Entra Uygulaması ile Otomatik Yapılandırma ve Güvenli Veri Alımı. "Dağıt" tuşuna tıklamak, bir Log Analytics tablosu ve Veri Toplama Kuralı (DCR) oluşturulmasını tetikler. Ardından bir Entra uygulaması oluşturur, DCR'yi buna bağlar ve uygulamaya girilen gizli diziyi ayarlar. Bu kurulum, verilerin Entra belirteci kullanılarak DCR'ye güvenli bir şekilde gönderilmesini sağlar.

2. Zimperium MTD'yi yapılandırın ve bağlayın

  1. zConsole'da, navigasyon çubuğunda Hesap Yönetimi'ne tıklayın.
  2. Veri Dışa Aktarma yan sekmesine tıklayın.
  3. Add Data Export Configuration butonuna tıklayın.
  4. Konfigürasyonu oluşturun:
  • İsim: Bu konfigürasyonu tanımlamak için isim.
  • Açıklama: Bu konfigürasyonu tanımlamak için açıklama.
  • Veri Türü: Dışa aktarmak istediğiniz veriye bağlı olarak Threats veya Incidents olarak veri tipini seçin.
  • Varış Tipi: Mevcut varış tiplerinden Microsoft Sentinel'i seçin.
  • Şiddet Kriterleri: Microsoft Sentinel'e iletmek istediğiniz tehdit verileri için bir filtre seviyesi seçin. ( Not: Bu alan yalnızca tehdit veri tipi için geçerlidir)
  • Takım Kriterleri: Bu, takımlara göre veri filtrelemek için isteğe bağlı bir kritendir.
    • Dış İzleme Kimliği 1: Bu, dışa aktarılan veriler için eşleştirmek üzere isteğe bağlı bir kriterdir.
  • Dış İzleme Kimliği 2: Bu, dışa aktarılan veriler için eşleştirilecek isteğe bağlı bir kriterdir.
  • Kiracı Kimliği: Aşağıdaki alanlardan girin.
  • Entra Uygulaması Kayıt Başvuru Kimliği: Aşağıdaki alanlardan girin.
  • Entra Uygulaması Kayıt Sırrı: Aşağıdaki alanlardan girin.
  • Veri Toplama Uç Noktası URI: Aşağıdaki alanlardan girin.
  • Veri Toplama Kuralı Değişmez Kimliği: Aşağıdaki alanlardan girin.
  • Yapılandırmayı Kaydet'e tıklayın.
  1. Ek yönergeler için lütfen Zimperium müşteri destek portalına bakın.
  • Kiracı Kimliği (Dizin Kimliği): <Yükleme zamanında sağlanan değişken değeri>
  • Entra Uygulama Kaydı Uygulama Kimliği: <yükleme zamanında sağlanan değişken değeri>
  • Entra Uygulama Kaydı Gizli Anahtarı: <yükleme zamanında sağlanan değişken değeri>
  • Veri Toplama Uç Noktası Uri'si: <yükleme zamanında sağlanan değişken değeri>
  • Veri Toplama Kuralı Sabit Kimliği: <yükleme zamanında sağlanan değişken değer>



Yakınlaştırma Raporları Bağlayıcısı (Kodsuz Bağlayıcı Çerçevesi aracılığıyla)

Tarafından desteklenir:Microsoft Corporation

Yakınlaştırma Raporları veri bağlayıcısı, Zoom REST API v2 aracılığıyla Yakınlaştırma Raporları verilerini Microsoft Sentinel almanızı sağlayarak kuruluşunuz genelinde Yakınlaştırma kullanımını izlemenize ve denetlemenize olanak tanır. Bu bağlayıcı, kimlik doğrulaması için sunucudan sunucuya OAuth hesabı kimlik bilgilerini kullanır ve toplantı istatistikleri ve kullanım ölçümleri için Günlük Kullanım Raporları, etkin/etkin olmayan kullanıcı konak bilgileri için Kullanıcı Raporları, telefon kullanım istatistikleri için Telefon Raporları, bulut depolama ve kayıt kullanımı için Bulut Kayıt Kullanım Raporları, yönetim işlemleri için İşlem Günlükleri ve denetim izi gibi birden çok rapor türünün alımını destekler. ve Kullanıcı oturum açma/oturum kapatma etkinlikleri için Etkinlik Günlükleri. Her rapor türü, NextPageToken kullanılarak otomatik sayfalandırma desteğine sahip ayrı bir yoklama yapılandırmasında toplanır. Veri bağlayıcısı Microsoft Sentinel Kodsuz Bağlayıcı Çerçevesi'ni temel alır ve iyileştirilmiş sorgu performansı için DCR tabanlı alım süresi dönüşümlerini destekler.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
ZoomV2_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Yakınlaştırma API'sine erişim: Hesap kimlik bilgileriyle Zoom REST API v2 erişimi

Kurulum Yönergeleri:

1. Yakınlaştırma Yapılandırması

Sunucudan Sunucuya OAuth Uygulamasını yapılandırma ve kimlik bilgilerini toplama

1. Adım: Yakınlaştırma Sunucusundan Sunucuya OAuth Uygulamasını ayarlayın, Uygulama oluşturma'yı izleyin. Lütfen uygulamanıza Raporlar ile ilgili kapsamlar eklediğinizden emin olun:

  • report:read:list_users:admin
  • report:read:cloud_recording:admin
  • report:read:daily_usage:admin
  • report:read:operation_logs:admin
  • report:read:telephone:admin
  • report:read:user_activities:admin

Daha fazla bilgi için bkz. Sunucudan Sunucuya OAuth Belgeleri ve Raporlar API'leri.

2. Adım: Uygulama Kimlik Bilgilerinizi Alma

Uygulama kimlik bilgilerinizi (Hesap Kimliği, İstemci Kimliği ve Gizli Anahtar) Zoom Uygulama Marketi'nde sayfanızda Personal app management bulun

Güvenlik Notları

  • Hesap Kimliği, İstemci Kimliği ve İstemci Gizli Anahtarını güvenli bir şekilde depolama

  • Gelişmiş güvenlik için kimlik bilgilerini düzenli olarak döndürme

    • İstemci Kimliği: (Zoom Uygulaması İstemci Kimliği)
    • İstemci Gizli Anahtarı: (Yakınlaştırma Uygulaması İstemci Gizli Dizisi)
    • Hesap Kimliği: (Yakınlaştırma Hesabı Kimliğiniz)
    • Belirteç Temel URL'si: (https://zoom.us/oauth/token)
    • API Temel URL'si: (https://api.zoom.us/v2)

2. Bağlan

Yakınlaştırma Raporları bağlayıcısını etkinleştirme

Bağlayıcıyı etkinleştirme

2. Adımda bulunan Yakınlaştırma Uygulaması kimlik bilgilerinizi gözden geçirin, ardından bağlayıcının Yakınlaştırma Raporları verilerini toplamaya başlamasını etkinleştirin.

Izleme

Şu sorguları kullanarak veri gelişini denetleyin:

Tüm rapor türlerini denetleyin:

ZoomV2_CL
| where TimeGenerated > ago(30m)
| summarize Records = count() by EventType

Belirli bir rapor türünü denetleyin:

ZoomV2_CL
| where EventType == 'dates'
| where TimeGenerated > ago(1h)
| limit 10

Bağlayıcı durumunu izleme:

ZoomV2_CL
| where TimeGenerated > ago(24h)
| summarize LastRecord = max(TimeGenerated), RecordCount = count() by EventType
| order by LastRecord desc
  • Bağlantıyı Etkinleştir/Devre Dışı Bırak



Zscaler İnternet Erişimi Bulutu NSS Denetim Günlüğü Anında İletme Bağlayıcısı

Tarafından desteklenir:Zscaler

Zscaler bağlayıcısı, zia denetim günlüğü verilerini Microsoft Sentinel okuma özelliği sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
CommonSecurityLog Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Microsoft Entra: Microsoft Entra ID'da uygulama kaydı oluşturma izni. Genellikle Entra Kimliği Uygulama Geliştirici rolü veya üzeri gerekir.
  • Microsoft Azure: Veri toplama kuralında (DCR) İzleme Ölçümleri Yayımcısı rolü atama izni. Genellikle Azure RBAC Sahibi veya Kullanıcı Erişimi Yöneticisi rolü gerektirir

Kurulum Yönergeleri:

1. ARM Kaynakları Oluşturma ve Gerekli İzinleri Sağlama

Bu bağlayıcı, Zscaler'ın Microsoft Analytics Çalışma Alanında kullandığı tablolardan verileri okur. Zscaler'da Bulut NSS seçeneği etkinleştirilirse ham olay verileri Microsoft Sentinel Alma API'sine gönderilir.

Entra Uygulaması ile Otomatik Yapılandırma ve Güvenli Veri Alımı "Dağıt" seçeneğine tıklanması Log Analytics tablolarının ve veri toplama kuralının (DCR) oluşturulmasını tetikler. Ardından bir Entra uygulaması oluşturur, DCR'yi buna bağlar ve uygulamaya girilen gizli diziyi ayarlar. Bu kurulum, verilerin Entra belirteci kullanılarak DCR'ye güvenli bir şekilde gönderilmesini sağlar.

2. Günlüklerinizi çalışma alanına gönderme

Makinenizi günlükleri çalışma alanına gönderecek şekilde yapılandırmak için aşağıdaki parametreleri kullanın.

  • Kiracı Kimliği (Dizin Kimliği): <Yükleme zamanında sağlanan değişken değeri>
  • Entra Uygulama Kaydı Uygulama Kimliği: <yükleme zamanında sağlanan değişken değeri>
  • Entra Uygulama Kaydı Gizli Anahtarı: <yükleme zamanında sağlanan değişken değeri>
  • Veri Toplama Uç Noktası Uri'si: <yükleme zamanında sağlanan değişken değeri>
  • Veri Toplama Kuralı Sabit Kimliği: <yükleme zamanında sağlanan değişken değer>



Zscaler İnternet Erişimi Bulutu NSS CASB Etkinlik Günlüğü Anında İletme Bağlayıcısı

Tarafından desteklenir:Zscaler

Zscaler bağlayıcısı, Microsoft Sentinel ZIA CASB Etkinlik günlüğü verilerini okuma özelliği sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
CommonSecurityLog Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Microsoft Entra: Microsoft Entra ID'da uygulama kaydı oluşturma izni. Genellikle Entra Kimliği Uygulama Geliştirici rolü veya üzeri gerekir.
  • Microsoft Azure: Veri toplama kuralında (DCR) İzleme Ölçümleri Yayımcısı rolü atama izni. Genellikle Azure RBAC Sahibi veya Kullanıcı Erişimi Yöneticisi rolü gerektirir

Kurulum Yönergeleri:

1. ARM Kaynakları Oluşturma ve Gerekli İzinleri Sağlama

Bu bağlayıcı, Zscaler'ın Microsoft Analytics Çalışma Alanında kullandığı tablolardan verileri okur. Zscaler'da Bulut NSS seçeneği etkinleştirilirse ham olay verileri Microsoft Sentinel Alma API'sine gönderilir.

Entra Uygulaması ile Otomatik Yapılandırma ve Güvenli Veri Alımı "Dağıt" seçeneğine tıklanması Log Analytics tablolarının ve veri toplama kuralının (DCR) oluşturulmasını tetikler. Ardından bir Entra uygulaması oluşturur, DCR'yi buna bağlar ve uygulamaya girilen gizli diziyi ayarlar. Bu kurulum, verilerin Entra belirteci kullanılarak DCR'ye güvenli bir şekilde gönderilmesini sağlar.

2. Günlüklerinizi çalışma alanına gönderme

Makinenizi günlükleri çalışma alanına gönderecek şekilde yapılandırmak için aşağıdaki parametreleri kullanın.

  • Kiracı Kimliği (Dizin Kimliği): <Yükleme zamanında sağlanan değişken değeri>
  • Entra Uygulama Kaydı Uygulama Kimliği: <yükleme zamanında sağlanan değişken değeri>
  • Entra Uygulama Kaydı Gizli Anahtarı: <yükleme zamanında sağlanan değişken değeri>
  • Veri Toplama Uç Noktası Uri'si: <yükleme zamanında sağlanan değişken değeri>
  • Veri Toplama Kuralı Sabit Kimliği: <yükleme zamanında sağlanan değişken değer>



Zscaler İnternet Erişimi Bulutu NSS CASB Bulut Depolama Günlüğü Anında İletme Bağlayıcısı

Tarafından desteklenir:Zscaler

Zscaler bağlayıcısı, Microsoft Sentinel ZIA CASB Bulut Depolama günlük verilerini okuma özelliği sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
CommonSecurityLog Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Microsoft Entra: Microsoft Entra ID'da uygulama kaydı oluşturma izni. Genellikle Entra Kimliği Uygulama Geliştirici rolü veya üzeri gerekir.
  • Microsoft Azure: Veri toplama kuralında (DCR) İzleme Ölçümleri Yayımcısı rolü atama izni. Genellikle Azure RBAC Sahibi veya Kullanıcı Erişimi Yöneticisi rolü gerektirir

Kurulum Yönergeleri:

1. ARM Kaynakları Oluşturma ve Gerekli İzinleri Sağlama

Bu bağlayıcı, Zscaler'ın Microsoft Analytics Çalışma Alanında kullandığı tablolardan verileri okur. Zscaler'da Bulut NSS seçeneği etkinleştirilirse ham olay verileri Microsoft Sentinel Alma API'sine gönderilir.

Entra Uygulaması ile Otomatik Yapılandırma ve Güvenli Veri Alımı "Dağıt" seçeneğine tıklanması Log Analytics tablolarının ve veri toplama kuralının (DCR) oluşturulmasını tetikler. Ardından bir Entra uygulaması oluşturur, DCR'yi buna bağlar ve uygulamaya girilen gizli diziyi ayarlar. Bu kurulum, verilerin Entra belirteci kullanılarak DCR'ye güvenli bir şekilde gönderilmesini sağlar.

2. Günlüklerinizi çalışma alanına gönderme

Makinenizi günlükleri çalışma alanına gönderecek şekilde yapılandırmak için aşağıdaki parametreleri kullanın.

  • Kiracı Kimliği (Dizin Kimliği): <Yükleme zamanında sağlanan değişken değeri>
  • Entra Uygulama Kaydı Uygulama Kimliği: <yükleme zamanında sağlanan değişken değeri>
  • Entra Uygulama Kaydı Gizli Anahtarı: <yükleme zamanında sağlanan değişken değeri>
  • Veri Toplama Uç Noktası Uri'si: <yükleme zamanında sağlanan değişken değeri>
  • Veri Toplama Kuralı Sabit Kimliği: <yükleme zamanında sağlanan değişken değer>



Zscaler İnternet Erişimi Bulutu NSS CASB İşbirliği Günlüğü Anında İletme Bağlayıcısı

Tarafından desteklenir:Zscaler

Zscaler bağlayıcısı, ZIA CASB İşbirliği günlük verilerini Microsoft Sentinel okuma özelliği sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
CommonSecurityLog Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Microsoft Entra: Microsoft Entra ID'da uygulama kaydı oluşturma izni. Genellikle Entra Kimliği Uygulama Geliştirici rolü veya üzeri gerekir.
  • Microsoft Azure: Veri toplama kuralında (DCR) İzleme Ölçümleri Yayımcısı rolü atama izni. Genellikle Azure RBAC Sahibi veya Kullanıcı Erişimi Yöneticisi rolü gerektirir

Kurulum Yönergeleri:

1. ARM Kaynakları Oluşturma ve Gerekli İzinleri Sağlama

Bu bağlayıcı, Zscaler'ın Microsoft Analytics Çalışma Alanında kullandığı tablolardan verileri okur. Zscaler'da Bulut NSS seçeneği etkinleştirilirse ham olay verileri Microsoft Sentinel Alma API'sine gönderilir.

Entra Uygulaması ile Otomatik Yapılandırma ve Güvenli Veri Alımı "Dağıt" seçeneğine tıklanması Log Analytics tablolarının ve veri toplama kuralının (DCR) oluşturulmasını tetikler. Ardından bir Entra uygulaması oluşturur, DCR'yi buna bağlar ve uygulamaya girilen gizli diziyi ayarlar. Bu kurulum, verilerin Entra belirteci kullanılarak DCR'ye güvenli bir şekilde gönderilmesini sağlar.

2. Günlüklerinizi çalışma alanına gönderme

Makinenizi günlükleri çalışma alanına gönderecek şekilde yapılandırmak için aşağıdaki parametreleri kullanın.

  • Kiracı Kimliği (Dizin Kimliği): <Yükleme zamanında sağlanan değişken değeri>
  • Entra Uygulama Kaydı Uygulama Kimliği: <yükleme zamanında sağlanan değişken değeri>
  • Entra Uygulama Kaydı Gizli Anahtarı: <yükleme zamanında sağlanan değişken değeri>
  • Veri Toplama Uç Noktası Uri'si: <yükleme zamanında sağlanan değişken değeri>
  • Veri Toplama Kuralı Sabit Kimliği: <yükleme zamanında sağlanan değişken değer>



Zscaler İnternet Erişimi Bulutu NSS CASB CRM Günlük Anında İletme Bağlayıcısı

Tarafından desteklenir:Zscaler

Zscaler bağlayıcısı, Microsoft Sentinel ZIA CASB CRM günlük verilerini okuma özelliği sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
CommonSecurityLog Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Microsoft Entra: Microsoft Entra ID'da uygulama kaydı oluşturma izni. Genellikle Entra Kimliği Uygulama Geliştirici rolü veya üzeri gerekir.
  • Microsoft Azure: Veri toplama kuralında (DCR) İzleme Ölçümleri Yayımcısı rolü atama izni. Genellikle Azure RBAC Sahibi veya Kullanıcı Erişimi Yöneticisi rolü gerektirir

Kurulum Yönergeleri:

1. ARM Kaynakları Oluşturma ve Gerekli İzinleri Sağlama

Bu bağlayıcı, Zscaler'ın Microsoft Analytics Çalışma Alanında kullandığı tablolardan verileri okur. Zscaler'da Bulut NSS seçeneği etkinleştirilirse ham olay verileri Microsoft Sentinel Alma API'sine gönderilir.

Entra Uygulaması ile Otomatik Yapılandırma ve Güvenli Veri Alımı "Dağıt" seçeneğine tıklanması Log Analytics tablolarının ve veri toplama kuralının (DCR) oluşturulmasını tetikler. Ardından bir Entra uygulaması oluşturur, DCR'yi buna bağlar ve uygulamaya girilen gizli diziyi ayarlar. Bu kurulum, verilerin Entra belirteci kullanılarak DCR'ye güvenli bir şekilde gönderilmesini sağlar.

2. Günlüklerinizi çalışma alanına gönderme

Makinenizi günlükleri çalışma alanına gönderecek şekilde yapılandırmak için aşağıdaki parametreleri kullanın.

  • Kiracı Kimliği (Dizin Kimliği): <Yükleme zamanında sağlanan değişken değeri>
  • Entra Uygulama Kaydı Uygulama Kimliği: <yükleme zamanında sağlanan değişken değeri>
  • Entra Uygulama Kaydı Gizli Anahtarı: <yükleme zamanında sağlanan değişken değeri>
  • Veri Toplama Uç Noktası Uri'si: <yükleme zamanında sağlanan değişken değeri>
  • Veri Toplama Kuralı Sabit Kimliği: <yükleme zamanında sağlanan değişken değer>



Zscaler Internet Access Cloud NSS CASB E-posta Günlüğü Anında İletme Bağlayıcısı

Tarafından desteklenir:Zscaler

Zscaler bağlayıcısı, Microsoft Sentinel ZIA CASB E-posta günlük verilerini okuma özelliği sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
CommonSecurityLog Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Microsoft Entra: Microsoft Entra ID'da uygulama kaydı oluşturma izni. Genellikle Entra Kimliği Uygulama Geliştirici rolü veya üzeri gerekir.
  • Microsoft Azure: Veri toplama kuralında (DCR) İzleme Ölçümleri Yayımcısı rolü atama izni. Genellikle Azure RBAC Sahibi veya Kullanıcı Erişimi Yöneticisi rolü gerektirir

Kurulum Yönergeleri:

1. ARM Kaynakları Oluşturma ve Gerekli İzinleri Sağlama

Bu bağlayıcı, Zscaler'ın Microsoft Analytics Çalışma Alanında kullandığı tablolardan verileri okur. Zscaler'da Bulut NSS seçeneği etkinleştirilirse ham olay verileri Microsoft Sentinel Alma API'sine gönderilir.

Entra Uygulaması ile Otomatik Yapılandırma ve Güvenli Veri Alımı "Dağıt" seçeneğine tıklanması Log Analytics tablolarının ve veri toplama kuralının (DCR) oluşturulmasını tetikler. Ardından bir Entra uygulaması oluşturur, DCR'yi buna bağlar ve uygulamaya girilen gizli diziyi ayarlar. Bu kurulum, verilerin Entra belirteci kullanılarak DCR'ye güvenli bir şekilde gönderilmesini sağlar.

2. Günlüklerinizi çalışma alanına gönderme

Makinenizi günlükleri çalışma alanına gönderecek şekilde yapılandırmak için aşağıdaki parametreleri kullanın.

  • Kiracı Kimliği (Dizin Kimliği): <Yükleme zamanında sağlanan değişken değeri>
  • Entra Uygulama Kaydı Uygulama Kimliği: <yükleme zamanında sağlanan değişken değeri>
  • Entra Uygulama Kaydı Gizli Anahtarı: <yükleme zamanında sağlanan değişken değeri>
  • Veri Toplama Uç Noktası Uri'si: <yükleme zamanında sağlanan değişken değeri>
  • Veri Toplama Kuralı Sabit Kimliği: <yükleme zamanında sağlanan değişken değer>



Zscaler İnternet Erişimi Bulutu NSS CASB Dosya Paylaşım Günlüğü Anında İletme Bağlayıcısı

Tarafından desteklenir:Zscaler

Zscaler bağlayıcısı, Microsoft Sentinel ZIA CASB Dosya Paylaşımı günlük verilerini okuma özelliği sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
CommonSecurityLog Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Microsoft Entra: Microsoft Entra ID'da uygulama kaydı oluşturma izni. Genellikle Entra Kimliği Uygulama Geliştirici rolü veya üzeri gerekir.
  • Microsoft Azure: Veri toplama kuralında (DCR) İzleme Ölçümleri Yayımcısı rolü atama izni. Genellikle Azure RBAC Sahibi veya Kullanıcı Erişimi Yöneticisi rolü gerektirir

Kurulum Yönergeleri:

1. ARM Kaynakları Oluşturma ve Gerekli İzinleri Sağlama

Bu bağlayıcı, Zscaler'ın Microsoft Analytics Çalışma Alanında kullandığı tablolardan verileri okur. Zscaler'da Bulut NSS seçeneği etkinleştirilirse ham olay verileri Microsoft Sentinel Alma API'sine gönderilir.

Entra Uygulaması ile Otomatik Yapılandırma ve Güvenli Veri Alımı "Dağıt" seçeneğine tıklanması Log Analytics tablolarının ve veri toplama kuralının (DCR) oluşturulmasını tetikler. Ardından bir Entra uygulaması oluşturur, DCR'yi buna bağlar ve uygulamaya girilen gizli diziyi ayarlar. Bu kurulum, verilerin Entra belirteci kullanılarak DCR'ye güvenli bir şekilde gönderilmesini sağlar.

2. Günlüklerinizi çalışma alanına gönderme

Makinenizi günlükleri çalışma alanına gönderecek şekilde yapılandırmak için aşağıdaki parametreleri kullanın.

  • Kiracı Kimliği (Dizin Kimliği): <Yükleme zamanında sağlanan değişken değeri>
  • Entra Uygulama Kaydı Uygulama Kimliği: <yükleme zamanında sağlanan değişken değeri>
  • Entra Uygulama Kaydı Gizli Anahtarı: <yükleme zamanında sağlanan değişken değeri>
  • Veri Toplama Uç Noktası Uri'si: <yükleme zamanında sağlanan değişken değeri>
  • Veri Toplama Kuralı Sabit Kimliği: <yükleme zamanında sağlanan değişken değer>



Zscaler İnternet Erişimi Bulutu NSS CASB ITSM Günlük Gönderme Bağlayıcısı

Tarafından desteklenir:Zscaler

Zscaler bağlayıcısı, zia CASB ITSM günlük verilerini Microsoft Sentinel okuma özelliği sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
CommonSecurityLog Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Microsoft Entra: Microsoft Entra ID'da uygulama kaydı oluşturma izni. Genellikle Entra Kimliği Uygulama Geliştirici rolü veya üzeri gerekir.
  • Microsoft Azure: Veri toplama kuralında (DCR) İzleme Ölçümleri Yayımcısı rolü atama izni. Genellikle Azure RBAC Sahibi veya Kullanıcı Erişimi Yöneticisi rolü gerektirir

Kurulum Yönergeleri:

1. ARM Kaynakları Oluşturma ve Gerekli İzinleri Sağlama

Bu bağlayıcı, Zscaler'ın Microsoft Analytics Çalışma Alanında kullandığı tablolardan verileri okur. Zscaler'da Bulut NSS seçeneği etkinleştirilirse ham olay verileri Microsoft Sentinel Alma API'sine gönderilir.

Entra Uygulaması ile Otomatik Yapılandırma ve Güvenli Veri Alımı "Dağıt" seçeneğine tıklanması Log Analytics tablolarının ve veri toplama kuralının (DCR) oluşturulmasını tetikler. Ardından bir Entra uygulaması oluşturur, DCR'yi buna bağlar ve uygulamaya girilen gizli diziyi ayarlar. Bu kurulum, verilerin Entra belirteci kullanılarak DCR'ye güvenli bir şekilde gönderilmesini sağlar.

2. Günlüklerinizi çalışma alanına gönderme

Makinenizi günlükleri çalışma alanına gönderecek şekilde yapılandırmak için aşağıdaki parametreleri kullanın.

  • Kiracı Kimliği (Dizin Kimliği): <Yükleme zamanında sağlanan değişken değeri>
  • Entra Uygulama Kaydı Uygulama Kimliği: <yükleme zamanında sağlanan değişken değeri>
  • Entra Uygulama Kaydı Gizli Anahtarı: <yükleme zamanında sağlanan değişken değeri>
  • Veri Toplama Uç Noktası Uri'si: <yükleme zamanında sağlanan değişken değeri>
  • Veri Toplama Kuralı Sabit Kimliği: <yükleme zamanında sağlanan değişken değer>



Zscaler İnternet Erişimi Bulutu NSS CASB Depo Günlüğü Anında İletme Bağlayıcısı

Tarafından desteklenir:Zscaler

Zscaler bağlayıcısı, ZIA CASB Deposu günlük verilerini Microsoft Sentinel okuma özelliği sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
CommonSecurityLog Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Microsoft Entra: Microsoft Entra ID'da uygulama kaydı oluşturma izni. Genellikle Entra Kimliği Uygulama Geliştirici rolü veya üzeri gerekir.
  • Microsoft Azure: Veri toplama kuralında (DCR) İzleme Ölçümleri Yayımcısı rolü atama izni. Genellikle Azure RBAC Sahibi veya Kullanıcı Erişimi Yöneticisi rolü gerektirir

Kurulum Yönergeleri:

1. ARM Kaynakları Oluşturma ve Gerekli İzinleri Sağlama

Bu bağlayıcı, Zscaler'ın Microsoft Analytics Çalışma Alanında kullandığı tablolardan verileri okur. Zscaler'da Bulut NSS seçeneği etkinleştirilirse ham olay verileri Microsoft Sentinel Alma API'sine gönderilir.

Entra Uygulaması ile Otomatik Yapılandırma ve Güvenli Veri Alımı "Dağıt" seçeneğine tıklanması Log Analytics tablolarının ve veri toplama kuralının (DCR) oluşturulmasını tetikler. Ardından bir Entra uygulaması oluşturur, DCR'yi buna bağlar ve uygulamaya girilen gizli diziyi ayarlar. Bu kurulum, verilerin Entra belirteci kullanılarak DCR'ye güvenli bir şekilde gönderilmesini sağlar.

2. Günlüklerinizi çalışma alanına gönderme

Makinenizi günlükleri çalışma alanına gönderecek şekilde yapılandırmak için aşağıdaki parametreleri kullanın.

  • Kiracı Kimliği (Dizin Kimliği): <Yükleme zamanında sağlanan değişken değeri>
  • Entra Uygulama Kaydı Uygulama Kimliği: <yükleme zamanında sağlanan değişken değeri>
  • Entra Uygulama Kaydı Gizli Anahtarı: <yükleme zamanında sağlanan değişken değeri>
  • Veri Toplama Uç Noktası Uri'si: <yükleme zamanında sağlanan değişken değeri>
  • Veri Toplama Kuralı Sabit Kimliği: <yükleme zamanında sağlanan değişken değer>



Zscaler Internet Access Cloud NSS DNS Günlüğü Anında İletme Bağlayıcısı

Tarafından desteklenir:Zscaler

Zscaler bağlayıcısı, Microsoft Sentinel'da ZIA DNS günlük verilerini okuma özelliği sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
CommonSecurityLog Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Microsoft Entra: Microsoft Entra ID'da uygulama kaydı oluşturma izni. Genellikle Entra Kimliği Uygulama Geliştirici rolü veya üzeri gerekir.
  • Microsoft Azure: Veri toplama kuralında (DCR) İzleme Ölçümleri Yayımcısı rolü atama izni. Genellikle Azure RBAC Sahibi veya Kullanıcı Erişimi Yöneticisi rolü gerektirir

Kurulum Yönergeleri:

1. ARM Kaynakları Oluşturma ve Gerekli İzinleri Sağlama

Bu bağlayıcı, Zscaler'ın Microsoft Analytics Çalışma Alanında kullandığı tablolardan verileri okur. Zscaler'da Bulut NSS seçeneği etkinleştirilirse ham olay verileri Microsoft Sentinel Alma API'sine gönderilir.

Entra Uygulaması ile Otomatik Yapılandırma ve Güvenli Veri Alımı "Dağıt" seçeneğine tıklanması Log Analytics tablolarının ve veri toplama kuralının (DCR) oluşturulmasını tetikler. Ardından bir Entra uygulaması oluşturur, DCR'yi buna bağlar ve uygulamaya girilen gizli diziyi ayarlar. Bu kurulum, verilerin Entra belirteci kullanılarak DCR'ye güvenli bir şekilde gönderilmesini sağlar.

2. Günlüklerinizi çalışma alanına gönderme

Makinenizi günlükleri çalışma alanına gönderecek şekilde yapılandırmak için aşağıdaki parametreleri kullanın.

  • Kiracı Kimliği (Dizin Kimliği): <Yükleme zamanında sağlanan değişken değeri>
  • Entra Uygulama Kaydı Uygulama Kimliği: <yükleme zamanında sağlanan değişken değeri>
  • Entra Uygulama Kaydı Gizli Anahtarı: <yükleme zamanında sağlanan değişken değeri>
  • Veri Toplama Uç Noktası Uri'si: <yükleme zamanında sağlanan değişken değeri>
  • Veri Toplama Kuralı Sabit Kimliği: <yükleme zamanında sağlanan değişken değer>



Zscaler İnternet Erişimi BulutU NSS E-posta DLP Günlüğü Anında İletme Bağlayıcısı

Tarafından desteklenir:Zscaler

Zscaler bağlayıcısı, zia e-posta DLP günlük verilerini Microsoft Sentinel okuma özelliği sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
CommonSecurityLog Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Microsoft Entra: Microsoft Entra ID'da uygulama kaydı oluşturma izni. Genellikle Entra Kimliği Uygulama Geliştirici rolü veya üzeri gerekir.
  • Microsoft Azure: Veri toplama kuralında (DCR) İzleme Ölçümleri Yayımcısı rolü atama izni. Genellikle Azure RBAC Sahibi veya Kullanıcı Erişimi Yöneticisi rolü gerektirir

Kurulum Yönergeleri:

1. ARM Kaynakları Oluşturma ve Gerekli İzinleri Sağlama

Bu bağlayıcı, Zscaler'ın Microsoft Analytics Çalışma Alanında kullandığı tablolardan verileri okur. Zscaler'da Bulut NSS seçeneği etkinleştirilirse ham olay verileri Microsoft Sentinel Alma API'sine gönderilir.

Entra Uygulaması ile Otomatik Yapılandırma ve Güvenli Veri Alımı "Dağıt" seçeneğine tıklanması Log Analytics tablolarının ve veri toplama kuralının (DCR) oluşturulmasını tetikler. Ardından bir Entra uygulaması oluşturur, DCR'yi buna bağlar ve uygulamaya girilen gizli diziyi ayarlar. Bu kurulum, verilerin Entra belirteci kullanılarak DCR'ye güvenli bir şekilde gönderilmesini sağlar.

2. Günlüklerinizi çalışma alanına gönderme

Makinenizi günlükleri çalışma alanına gönderecek şekilde yapılandırmak için aşağıdaki parametreleri kullanın.

  • Kiracı Kimliği (Dizin Kimliği): <Yükleme zamanında sağlanan değişken değeri>
  • Entra Uygulama Kaydı Uygulama Kimliği: <yükleme zamanında sağlanan değişken değeri>
  • Entra Uygulama Kaydı Gizli Anahtarı: <yükleme zamanında sağlanan değişken değeri>
  • Veri Toplama Uç Noktası Uri'si: <yükleme zamanında sağlanan değişken değeri>
  • Veri Toplama Kuralı Sabit Kimliği: <yükleme zamanında sağlanan değişken değer>



Zscaler İnternet Erişimi BulutU NSS Uç Noktası DLP Günlük Gönderme Bağlayıcısı

Tarafından desteklenir:Zscaler

Zscaler bağlayıcısı, Microsoft Sentinel ZIA Uç Noktası DLP günlük verilerini okuma özelliği sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
CommonSecurityLog Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Microsoft Entra: Microsoft Entra ID'da uygulama kaydı oluşturma izni. Genellikle Entra Kimliği Uygulama Geliştirici rolü veya üzeri gerekir.
  • Microsoft Azure: Veri toplama kuralında (DCR) İzleme Ölçümleri Yayımcısı rolü atama izni. Genellikle Azure RBAC Sahibi veya Kullanıcı Erişimi Yöneticisi rolü gerektirir

Kurulum Yönergeleri:

1. ARM Kaynakları Oluşturma ve Gerekli İzinleri Sağlama

Bu bağlayıcı, Zscaler'ın Microsoft Analytics Çalışma Alanında kullandığı tablolardan verileri okur. Zscaler'da Bulut NSS seçeneği etkinleştirilirse ham olay verileri Microsoft Sentinel Alma API'sine gönderilir.

Entra Uygulaması ile Otomatik Yapılandırma ve Güvenli Veri Alımı "Dağıt" seçeneğine tıklanması Log Analytics tablolarının ve veri toplama kuralının (DCR) oluşturulmasını tetikler. Ardından bir Entra uygulaması oluşturur, DCR'yi buna bağlar ve uygulamaya girilen gizli diziyi ayarlar. Bu kurulum, verilerin Entra belirteci kullanılarak DCR'ye güvenli bir şekilde gönderilmesini sağlar.

2. Günlüklerinizi çalışma alanına gönderme

Makinenizi günlükleri çalışma alanına gönderecek şekilde yapılandırmak için aşağıdaki parametreleri kullanın.

  • Kiracı Kimliği (Dizin Kimliği): <Yükleme zamanında sağlanan değişken değeri>
  • Entra Uygulama Kaydı Uygulama Kimliği: <yükleme zamanında sağlanan değişken değeri>
  • Entra Uygulama Kaydı Gizli Anahtarı: <yükleme zamanında sağlanan değişken değeri>
  • Veri Toplama Uç Noktası Uri'si: <yükleme zamanında sağlanan değişken değeri>
  • Veri Toplama Kuralı Sabit Kimliği: <yükleme zamanında sağlanan değişken değer>



Zscaler İnternet Erişimi BulutU NSS Güvenlik Duvarı Günlüğü Gönderme Bağlayıcısı

Tarafından desteklenir:Zscaler

Zscaler bağlayıcısı, zia güvenlik duvarı günlük verilerini Microsoft Sentinel okuma özelliği sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
CommonSecurityLog Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Microsoft Entra: Microsoft Entra ID'da uygulama kaydı oluşturma izni. Genellikle Entra Kimliği Uygulama Geliştirici rolü veya üzeri gerekir.
  • Microsoft Azure: Veri toplama kuralında (DCR) İzleme Ölçümleri Yayımcısı rolü atama izni. Genellikle Azure RBAC Sahibi veya Kullanıcı Erişimi Yöneticisi rolü gerektirir

Kurulum Yönergeleri:

1. ARM Kaynakları Oluşturma ve Gerekli İzinleri Sağlama

Bu bağlayıcı Jamf Protect'in Bir Microsoft Analytics Çalışma Alanında kullandığı tablolardaki verileri okur. Jamf Protect'te veri iletme seçeneği etkinleştirilirse ham olay verileri Microsoft Sentinel Alma API'sine gönderilir.

Entra Uygulaması ile Otomatik Yapılandırma ve Güvenli Veri Alımı "Dağıt" seçeneğine tıklanması Log Analytics tablolarının ve veri toplama kuralının (DCR) oluşturulmasını tetikler. Ardından bir Entra uygulaması oluşturur, DCR'yi buna bağlar ve uygulamaya girilen gizli diziyi ayarlar. Bu kurulum, verilerin Entra belirteci kullanılarak DCR'ye güvenli bir şekilde gönderilmesini sağlar.

2. Günlüklerinizi çalışma alanına gönderme

Makinenizi günlükleri çalışma alanına gönderecek şekilde yapılandırmak için aşağıdaki parametreleri kullanın.

  • Kiracı Kimliği (Dizin Kimliği): <Yükleme zamanında sağlanan değişken değeri>
  • Entra Uygulama Kaydı Uygulama Kimliği: <yükleme zamanında sağlanan değişken değeri>
  • Entra Uygulama Kaydı Gizli Anahtarı: <yükleme zamanında sağlanan değişken değeri>
  • Veri Toplama Uç Noktası Uri'si: <yükleme zamanında sağlanan değişken değeri>
  • Veri Toplama Kuralı Sabit Kimliği: <yükleme zamanında sağlanan değişken değer>



Zscaler Internet Access Cloud NSS Tünel Günlüğü Anında İletme Bağlayıcısı

Tarafından desteklenir:Zscaler

Zscaler bağlayıcısı, Microsoft Sentinel'da ZIA tünel günlüğü verilerini okuma özelliği sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
CommonSecurityLog Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Microsoft Entra: Microsoft Entra ID'da uygulama kaydı oluşturma izni. Genellikle Entra Kimliği Uygulama Geliştirici rolü veya üzeri gerekir.
  • Microsoft Azure: Veri toplama kuralında (DCR) İzleme Ölçümleri Yayımcısı rolü atama izni. Genellikle Azure RBAC Sahibi veya Kullanıcı Erişimi Yöneticisi rolü gerektirir

Kurulum Yönergeleri:

1. ARM Kaynakları Oluşturma ve Gerekli İzinleri Sağlama

Bu bağlayıcı, Zscaler'ın Microsoft Analytics Çalışma Alanında kullandığı tablolardan verileri okur. Zscaler'da Bulut NSS seçeneği etkinleştirilirse ham olay verileri Microsoft Sentinel Alma API'sine gönderilir.

Entra Uygulaması ile Otomatik Yapılandırma ve Güvenli Veri Alımı "Dağıt" seçeneğine tıklanması Log Analytics tablolarının ve veri toplama kuralının (DCR) oluşturulmasını tetikler. Ardından bir Entra uygulaması oluşturur, DCR'yi buna bağlar ve uygulamaya girilen gizli diziyi ayarlar. Bu kurulum, verilerin Entra belirteci kullanılarak DCR'ye güvenli bir şekilde gönderilmesini sağlar.

2. Günlüklerinizi çalışma alanına gönderme

Makinenizi günlükleri çalışma alanına gönderecek şekilde yapılandırmak için aşağıdaki parametreleri kullanın.

  • Kiracı Kimliği (Dizin Kimliği): <Yükleme zamanında sağlanan değişken değeri>
  • Entra Uygulama Kaydı Uygulama Kimliği: <yükleme zamanında sağlanan değişken değeri>
  • Entra Uygulama Kaydı Gizli Anahtarı: <yükleme zamanında sağlanan değişken değeri>
  • Veri Toplama Uç Noktası Uri'si: <yükleme zamanında sağlanan değişken değeri>
  • Veri Toplama Kuralı Sabit Kimliği: <yükleme zamanında sağlanan değişken değer>



Zscaler İnternet Erişimi BulutU NSS Web Günlüğü Anında İletme Bağlayıcısı

Tarafından desteklenir:Zscaler

Zscaler bağlayıcısı, zia web günlüğü verilerini Microsoft Sentinel okuma özelliği sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
CommonSecurityLog Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Microsoft Entra: Microsoft Entra ID'da uygulama kaydı oluşturma izni. Genellikle Entra Kimliği Uygulama Geliştirici rolü veya üzeri gerekir.
  • Microsoft Azure: Veri toplama kuralında (DCR) İzleme Ölçümleri Yayımcısı rolü atama izni. Genellikle Azure RBAC Sahibi veya Kullanıcı Erişimi Yöneticisi rolü gerektirir

Kurulum Yönergeleri:

1. ARM Kaynakları Oluşturma ve Gerekli İzinleri Sağlama

Bu bağlayıcı Jamf Protect'in Bir Microsoft Analytics Çalışma Alanında kullandığı tablolardaki verileri okur. Jamf Protect'te veri iletme seçeneği etkinleştirilirse ham olay verileri Microsoft Sentinel Alma API'sine gönderilir.

Entra Uygulaması ile Otomatik Yapılandırma ve Güvenli Veri Alımı "Dağıt" seçeneğine tıklanması Log Analytics tablolarının ve veri toplama kuralının (DCR) oluşturulmasını tetikler. Ardından bir Entra uygulaması oluşturur, DCR'yi buna bağlar ve uygulamaya girilen gizli diziyi ayarlar. Bu kurulum, verilerin Entra belirteci kullanılarak DCR'ye güvenli bir şekilde gönderilmesini sağlar.

2. Günlüklerinizi çalışma alanına gönderme

Makinenizi günlükleri çalışma alanına gönderecek şekilde yapılandırmak için aşağıdaki parametreleri kullanın.

  • Kiracı Kimliği (Dizin Kimliği): <Yükleme zamanında sağlanan değişken değeri>
  • Entra Uygulama Kaydı Uygulama Kimliği: <yükleme zamanında sağlanan değişken değeri>
  • Entra Uygulama Kaydı Gizli Anahtarı: <yükleme zamanında sağlanan değişken değeri>
  • Veri Toplama Uç Noktası Uri'si: <yükleme zamanında sağlanan değişken değeri>
  • Veri Toplama Kuralı Sabit Kimliği: <yükleme zamanında sağlanan değişken değer>



Kullanım dışı Sentinel veri bağlayıcıları

Not

Aşağıdaki tabloda kullanım dışı bırakılmış ve eski veri bağlayıcıları listelenmiştir. Kullanım dışı bağlayıcılar artık desteklenmiyor.

[Kullanım dışı] Auth0 Günlükleri (Azure İşlevi kullanarak) (Azure İşlevleri kullanarak)

Tarafından desteklenir:Microsoft Corporation

Auth0 Günlükleri (Azure İşlev kullanarak) veri bağlayıcısı, Auth0 günlük olaylarını Microsoft Sentinel alma özelliği sağlar

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
Auth0AM_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Microsoft.Web/sites izinleri: İşlev Uygulaması oluşturmak için Azure İşlevleri okuma ve yazma izinleri gereklidir. Daha fazla bilgi için bkz. Azure İşlevleri.
  • REST API Kimlik Bilgileri/izinleri: API belirteci gereklidir. Daha fazla bilgi için bkz. API belirteci

Kurulum Yönergeleri:

NOT: Bu bağlayıcı, günlüklerini Microsoft Sentinel çekmek üzere Auth0 Yönetim API'lerine bağlanmak için Azure İşlevleri kullanır. Bu, ek veri alımı maliyetlerine neden olabilir. Ayrıntılar için Azure İşlevleri fiyatlandırma sayfasına bakın.

(İsteğe Bağlı Adım) Çalışma alanını ve API yetkilendirme anahtarlarını veya belirteçlerini Azure Key Vault güvenli bir şekilde depolayın. Azure Key Vault, anahtar değerlerini depolamak ve almak için güvenli bir mekanizma sağlar. Azure İşlev Uygulaması ile Azure Key Vault kullanmak için bu yönergeleri izleyin.

1. ADIM - Auth0 Yönetim API'sinin yapılandırma adımları

Kimlik bilgilerini almak için yönergeleri izleyin.

  1. Auth0 Panosu'nda Uygulamalar Uygulamaları'na >gidin.
  2. Uygulamanızı seçin. Bu, en az okuma:günlükler ve okuma:logs_users izinleriyle yapılandırılmış bir "Makineden Makineye" Uygulaması olmalıdır.
  3. Etki Alanı, İstemci Kimliği, İstemci Gizli Dizilerini Kopyalama

ADIM 2 - Bağlayıcıyı ve ilişkili Azure İşlevini dağıtmak için aşağıdaki iki dağıtım seçeneğinden Bİrİ'ni seçin

ÖNEMLİ: Auth0 Erişim Yönetimi veri bağlayıcısını dağıtmadan önce Çalışma Alanı Kimliği ve Çalışma Alanı Birincil Anahtarına sahip olun (aşağıdakilerden kopyalanabilir).

  • Çalışma Alanı Kimliği: <Yükleme zamanında sağlanan değişken değeri>
  • Birincil Anahtar: <Yükleme zamanında sağlanan değişken değeri>

Seçenek 1 - Azure Resource Manager (ARM) Şablonu

ARM Şablonu kullanarak Auth0 Erişim Yönetimi veri bağlayıcısının otomatik dağıtımı için bu yöntemi kullanın.

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.ms

  2. Tercih edilen Abonelik, Kaynak Grubu ve Konum'a tıklayın.

NOT: Aynı kaynak grubunda, Aynı bölgedeki Windows ve Linux uygulamalarını karıştıramazsınız. Içinde Windows uygulamaları olmayan mevcut kaynak grubunu seçin veya yeni kaynak grubu oluşturun. 3. Domain, ClientID, Client Secret, AzureSentinelWorkspaceId, AzureSentinelSharedKey girin. 4. Yukarıda belirtilen hüküm ve koşulları kabul ediyorum etiketli onay kutusunu işaretleyin. 5. Dağıtmak için Satın Al'a tıklayın.

Seçenek 2 - Azure İşlevleri El ile Dağıtımı

Auth0 Erişim Yönetimi veri bağlayıcısını Azure İşlevleri (Visual Studio Code aracılığıyla dağıtım) ile el ile dağıtmak için aşağıdaki adım adım yönergeleri kullanın.

  1. İşlev Uygulaması Dağıtma

NOT: VS kodunu Azure işlev geliştirme için hazırlamanız gerekir.

  1. Azure İşlev Uygulaması dosyasını indirin. Arşivi yerel geliştirme bilgisayarınıza ayıklayın.

  2. VS Code'ı başlatın. Ana menüde Dosya'yı ve ardından Klasörü Aç'ı seçin.

  3. Ayıklanan dosyalardan en üst düzey klasörü seçin.

  4. Etkinlik çubuğunda Azure simgesini seçin, ardından Azure: İşlevler alanında İşlev uygulamasına dağıt düğmesini seçin. Henüz oturum açmadıysanız, Etkinlik çubuğunda Azure simgesini seçin, ardından Azure: İşlevler alanında Oturum aç'ı seçerek Azure Oturum açtıysanız sonraki adıma geçin.

  5. İstemlerde aşağıdaki bilgileri sağlayın:

    a. Klasör seçin: Çalışma alanınızdan bir klasör seçin veya işlev uygulamanızı içeren klasöre göz atın.

    b. Abonelik'i seçin: Kullanılacak aboneliği seçin.

    c. Azure'de yeni İşlev Uygulaması oluştur'u seçin (Gelişmiş seçeneğini belirleme)

    d. İşlev uygulaması için genel olarak benzersiz bir ad girin: URL yolunda geçerli bir ad yazın. Yazdığınız ad, Azure İşlevleri benzersiz olduğundan emin olmak için doğrulanır. (örneğin, Auth0AMXXXXXX).

    e. Çalışma zamanı seçin: Python 3.11'i seçin.

    f. Yeni kaynaklar için bir konum seçin. Daha iyi performans ve düşük maliyetler için Microsoft Sentinel bulunduğu bölgeyi seçin.

  6. Dağıtım başlar. İşlev uygulamanız oluşturulduktan ve dağıtım paketi uygulandıktan sonra bir bildirim görüntülenir.

  7. İşlev Uygulaması yapılandırması için Azure portalı'na gidin.

  8. İşlev Uygulamasını Yapılandırma

  9. İşlev Uygulamasında İşlev Uygulaması Adı'nı ve ardından Yapılandırma'yı seçin.

  10. Uygulama ayarları sekmesinde Yeni uygulama ayarı'nı seçin.

  11. Aşağıdaki uygulama ayarlarının her birini ilgili dize değerleriyle (büyük/küçük harfe duyarlı) tek tek ekleyin: ETKİALANI CLIENT_ID CLIENT_SECRET WorkspaceID WorkspaceKey logAnalyticsUri (isteğe bağlı)

  • Ayrılmış bulut için log analytics API uç noktasını geçersiz kılmak için logAnalyticsUri kullanın. Örneğin, genel bulut için değeri boş bırakın; Azure GovUS bulut ortamı için değeri şu biçimde belirtin: https://<CustomerId>.ods.opinsights.azure.us.
  1. Tüm uygulama ayarları girildikten sonra Kaydet'e tıklayın.



[Kullanımdan kaldırıldı] Box Events (using Azure Function) (using Azure İşlevleri)

Tarafından desteklenir:Microsoft Corporation

Box veri bağlayıcısı, Box REST API'sini kullanarak Box kuruluşunun olaylarını Microsoft Sentinel alma özelliği sağlar. Daha fazla bilgi için Box belgelerine bakın.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
BoxEvents_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • Microsoft.Web/sites izinleri: İşlev Uygulaması oluşturmak için Azure İşlevleri okuma ve yazma izinleri gereklidir. Daha fazla bilgi için bkz. Azure İşlevleri.
  • Box API Kimlik Bilgileri: Box REST API JWT kimlik doğrulaması için kutu yapılandırması JSON dosyası gereklidir. Daha fazla bilgi için bkz. JWT kimlik doğrulaması.

Kurulum Yönergeleri:

NOT: Bu bağlayıcı, günlükleri Microsoft Sentinel çekmek üzere Box REST API'sine bağlanmak için Azure İşlevleri kullanır. Bu, ek veri alımı maliyetlerine neden olabilir. Ayrıntılar için Azure İşlevleri fiyatlandırma sayfasına bakın.

(İsteğe Bağlı Adım) Çalışma alanını ve API yetkilendirme anahtarlarını veya belirteçlerini Azure Key Vault güvenli bir şekilde depolayın. Azure Key Vault, anahtar değerlerini depolamak ve almak için güvenli bir mekanizma sağlar. Azure İşlev Uygulaması ile Azure Key Vault kullanmak için bu yönergeleri izleyin.

NOT: Bu bağlayıcı, Microsoft Sentinel Çözümü ile dağıtılan Beklenen BoxEvents olarak çalışması için Kusto İşlevine dayalı ayrıştırıcıya bağlıdır.

ADIM 1 - Box olayları koleksiyonunun yapılandırması

JWT kimlik doğrulamasını ayarlama ve kimlik bilgileriyle JSON dosyası alma belgelerine bakın.

ADIM 2 - Bağlayıcıyı ve ilişkili Azure İşlevini dağıtmak için aşağıdaki iki dağıtım seçeneğinden Bİrİ'ni seçin

ÖNEMLİ: Box veri bağlayıcısını dağıtmadan önce Çalışma Alanı Kimliği ve Çalışma Alanı Birincil Anahtarına (aşağıdakilerden kopyalanabilir) ve Box JSON yapılandırma dosyasına sahip olun.

  • Çalışma Alanı Kimliği: <Yükleme zamanında sağlanan değişken değeri>
  • Birincil Anahtar: <Yükleme zamanında sağlanan değişken değeri>

Seçenek 1 - Azure Resource Manager (ARM) Şablonu

ARM Tempate kullanarak Box veri bağlayıcısının otomatik dağıtımı için bu yöntemi kullanın.

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.ms

  2. Tercih edilen Abonelik, Kaynak Grubu ve Konum'a tıklayın.

  3. AzureSentinelWorkspaceId, AzureSentinelSharedKey, BoxConfigJSON girin

  4. Yukarıda belirtilen hüküm ve koşulları kabul ediyorum etiketli onay kutusunu işaretleyin.

  5. Dağıtmak için Satın Al'a tıklayın.

Seçenek 2 - Azure İşlevleri El ile Dağıtımı

Box veri bağlayıcısını Azure İşlevleri ile el ile dağıtmak için aşağıdaki adım adım yönergeleri kullanın (Visual Studio Code aracılığıyla dağıtım).

1. Adım - İşlev Uygulaması Dağıtma

  1. Azure İşlev Uygulaması dosyasını indirin. Arşivi yerel geliştirme bilgisayarınıza ayıklayın.
  2. VSCode kullanarak Azure İşlevleri uygulamasını dağıtmak için işlev uygulaması el ile dağıtım yönergelerini izleyin.
  3. İşlev uygulamasının başarıyla dağıtılmasından sonra, bunu yapılandırmak için sonraki adımları izleyin.

2. Adım - İşlev Uygulamasını Yapılandırma

  1. İşlev Uygulaması yapılandırması için Azure portalı'na gidin.
  2. İşlev Uygulamasında İşlev Uygulaması Adı'nı ve ardından Yapılandırma'yı seçin.
  3. Uygulama ayarları sekmesinde + Yeni uygulama ayarı'nı seçin.
  4. Aşağıdaki uygulama ayarlarının her birini ilgili dize değerleriyle (büyük/küçük harfe duyarlı) tek tek ekleyin: AzureSentinelWorkspaceId AzureSentinelSharedKey BOX_CONFIG_JSON logAnalyticsUri (isteğe bağlı)
  • Ayrılmış bulut için log analytics API uç noktasını geçersiz kılmak için logAnalyticsUri kullanın. Örneğin, genel bulut için değeri boş bırakın; Azure GovUS bulut ortamı için değeri şu biçimde belirtin: https://<CustomerId>.ods.opinsights.azure.us.
  1. Tüm uygulama ayarları girildikten sonra Kaydet'e tıklayın.



[Kullanımdan kaldırıldı] Dynatrace V1'e Saldırdı

Tarafından desteklenir:Dynatrace

Bu bağlayıcı, algılanan saldırıları Microsoft Sentinel Log Analytics'e almak için Dynatrace Saldırıları REST API'sini kullanır

NOT: Bu konnektör artık kullanılmamış durumdadır ve gelecekteki bir sürümde kaldırılacaktır. Lütfen bunun yerine Dynatrace Attacks V2 konnektörünü kullanın.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
DynatraceAttacks_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • Dynatrace kiracısı (örn. xyz.dynatrace.com): Uygulama Güvenliği etkinleştirilmiş geçerli bir Dynatrace kiracısı gerekir, Dynatrace platformu hakkında daha fazla bilgi edinin.
  • Dynatrace Erişim Belirteci: Dynatrace Erişim Belirteci gerekir; belirtecin Okuma saldırıları (attacks.read) kapsamı olmalıdır.

Kurulum Yönergeleri:

Microsoft Sentinel için Dynatrace Saldırı Olayları

Dynatrace Uygulama Güvenliğini Yapılandırma ve Etkinleştirme. Erişim belirteci oluşturmak için bu yönergeleri izleyin.



[Kullanımdan kaldırıldı] Dynatrace Denetim Kayıtları V1

Tarafından desteklenir:Dynatrace

Bu bağlayıcı kiracı denetim günlüklerini Microsoft Sentinel Log Analytics'e almak için Dynatrace Denetim Günlükleri REST API'sini kullanır

NOT: Bu konnektör artık kullanılmamış durumdadır ve gelecekteki bir sürümde kaldırılacaktır. Lütfen bunun yerine Dynatrace Audit Logs V2 konnektörünü kullanın.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
DynatraceAuditLogs_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Dynatrace kiracısı (ör. xyz.dynatrace.com):Dynatrace platformu hakkında daha fazla bilgi edinmek için geçerli bir Dynatrace Kiracısına ihtiyacınız vardır Ücretsiz denemenizi başlatın.
  • Dynatrace Erişim Belirteci: Dynatrace Erişim Belirteci gerekir; belirtecin Okuma denetim günlükleri (auditLogs.read) kapsamı olmalıdır.

Kurulum Yönergeleri:

Denetim Günlüğü Olaylarını Microsoft Sentinel

Dynatrace Denetim Günlüğünü etkinleştirin. Erişim belirteci oluşturmak için bu yönergeleri izleyin.



[Kullanımdan kaldırıldı] Dynatrace Sorunları V1

Tarafından desteklenir:Dynatrace

Bu bağlayıcı, sorun olaylarını Microsoft Sentinel Log Analytics'e almak için Dynatrace Sorunu REST API'sini kullanır

NOT: Bu konnektör artık kullanılmamış durumdadır ve gelecekteki bir sürümde kaldırılacaktır. Lütfen bunun yerine Dynatrace Problems V2 konnektörünü kullanın.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
DynatraceProblems_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • Dynatrace kiracısı (ör. xyz.dynatrace.com):Dynatrace platformu hakkında daha fazla bilgi edinmek için geçerli bir Dynatrace Kiracısına ihtiyacınız vardır Ücretsiz denemenizi başlatın.
  • Dynatrace Erişim Belirteci: Dynatrace Erişim Belirteci gerekir; belirtecin Okuma sorunları (problems.read) kapsamı olmalıdır.

Kurulum Yönergeleri:

Sorun Olaylarını Microsoft Sentinel Için Dynatrace

Erişim belirteci oluşturmak için bu yönergeleri izleyin.



[Kullanımdan kaldırıldı] Dynatrace Çalışma Zamanı Güvenlik Açıkları V1

Tarafından desteklenir:Dynatrace

Bu bağlayıcı, algılanan çalışma zamanı güvenlik açıklarını Microsoft Sentinel Log Analytics'e almak için Dynatrace Güvenlik Sorunu REST API'sini kullanır.

NOT: Bu konnektör artık kullanılmamış durumdadır ve gelecekteki bir sürümde kaldırılacaktır. Lütfen bunun yerine Dynatrace Runtime Vulnerabilities V2 konnektörünü kullanın.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
DynatraceSecurityProblems_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • Dynatrace kiracısı (örn. xyz.dynatrace.com): Uygulama Güvenliği etkinleştirilmiş geçerli bir Dynatrace kiracısı gerekir, Dynatrace platformu hakkında daha fazla bilgi edinin.
  • Dynatrace Erişim Belirteci: Dynatrace Erişim Belirteci gerekir; belirtecin Okuma güvenlik sorunları (securityProblems.read) kapsamı olmalıdır.

Kurulum Yönergeleri:

Microsoft Sentinel Için Dinamik Güvenlik Açıkları Olayları

Dynatrace Uygulama Güvenliğini Yapılandırma ve Etkinleştirme. Erişim belirteci oluşturmak için bu yönergeleri izleyin.



[Kullanım dışı] GitHub Enterprise Denetim Günlüğü

Tarafından desteklenir:Microsoft Corporation

GitHub denetim günlüğü bağlayıcısı, GitHub günlüklerini Microsoft Sentinel alma özelliği sağlar. GitHub denetim günlüklerini Microsoft Sentinel bağlayarak bu verileri çalışma kitaplarında görüntüleyebilir, özel uyarılar oluşturmak için kullanabilir ve araştırma sürecinizi geliştirebilirsiniz.

Not: GitHub abonesi olayları Microsoft Sentinel almak istiyorsanız lütfen "Veri Bağlayıcıları" galerisindeki GitHub (Web Kancalarını kullanarak) Bağlayıcısı'na bakın.

NOT: Bu veri bağlayıcısı kullanım dışı bırakıldı, kullanım dışı bırakılan HTTP Veri Toplayıcı API'siyle alımın yerini alan çözümde bulunan CCF veri bağlayıcısına geçmeyi göz önünde bulundurun.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
GitHubAuditLogPolling_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • GitHub API'sinin kişisel erişim belirteci: Kuruluş denetim günlüğünde yoklamayı etkinleştirmek için bir GitHub kişisel erişim belirtecine ihtiyacınız vardır. 'read:org' kapsamına sahip klasik bir belirteç veya 'Yönetim: Salt okunur' kapsamına sahip ayrıntılı bir belirteç kullanabilirsiniz.
  • GitHub Enterprise türü: Bu bağlayıcı yalnızca GitHub Enterprise Cloud ile çalışır; GitHub Enterprise Server'ı desteklemez.

Kurulum Yönergeleri:

GitHub Enterprise Kuruluş düzeyinde Denetim Günlüğü'nü Microsoft Sentinel bağlama

GitHub denetim günlüklerini etkinleştirin. Kişisel erişim belirtecinizi oluşturmak veya bulmak için bu kılavuzu izleyin.



[Kullanım dışı] IONIX Güvenlik Günlükleri (Anında İletme)

Tarafından desteklenir:IONIX

⚠️ Bu bağlayıcı kullanım dışıdır ve Haziran 2026'da kaldırılacaktır. Lütfen IONIX portalında el ile yapılandırma gerektirmeden otomatik günlük yoklama sağlayan yeni 'IONIX Güvenlik Günlükleri (Kodsuz Bağlayıcı Çerçevesi aracılığıyla)' bağlayıcısını kullanın.

IONIX Güvenlik Günlükleri veri bağlayıcısı günlükleri doğrudan IONIX sisteminden Sentinel alır. Bağlayıcı, kullanıcıların verilerini görselleştirmesine, uyarılar ve olaylar oluşturmasına ve güvenlik araştırmalarını iyileştirmesine olanak tanır.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
CyberpionActionItems_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

Kurulum Yönergeleri:

IONIX Güvenlik Uyarılarını Sentinel ile tümleştirmek için yönergeleri izleyin.

  • Çalışma Alanı Kimliği: <Yükleme zamanında sağlanan değişken değeri>
  • Birincil Anahtar: <Yükleme zamanında sağlanan değişken değeri>



[Kullanım dışı] Uyanık

Tarafından desteklenir:Lookout

Lookout veri bağlayıcısı, Lookout olaylarını Mobil Risk API'sini kullanarak Microsoft Sentinel alma özelliği sağlar. Daha fazla bilgi için API belgelerine bakın. Lookout veri bağlayıcısı, olası güvenlik risklerini ve daha fazlasını incelemeye yardımcı olan olayları alma olanağı sağlar.

NOT: Bu veri bağlayıcısı kullanım dışı bırakıldı, kullanım dışı bırakılan HTTP Veri Toplayıcı API'siyle alımın yerini alan çözümde bulunan CCF veri bağlayıcısına geçmeyi göz önünde bulundurun.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
Lookout_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • Microsoft.Web/sites izinleri: İşlev Uygulaması oluşturmak için Azure İşlevleri okuma ve yazma izinleri gereklidir. Daha fazla bilgi için bkz. Azure İşlevleri.
  • Mobil Risk API'sinde Kimlik Bilgileri/izinleri: Mobil Risk API'sindeEnterpriseName & ApiKey gereklidir. Daha fazla bilgi için bkz. API. Tüm gereksinimleri denetleyin ve kimlik bilgilerini alma yönergelerini izleyin .

Kurulum Yönergeleri:

NOT: Bu Lookout veri bağlayıcısı, olaylarını Microsoft Sentinel çekmek üzere Mobil Risk API'sine bağlanmak için Azure İşlevleri kullanır. Bu, ek veri alımı maliyetlerine neden olabilir. Ayrıntılar için Azure İşlevleri fiyatlandırma sayfasına bakın.

NOT: Bu veri bağlayıcısı, Microsoft Sentinel Çözümü ile dağıtılan beklenen LookoutEvents gibi çalışması için Kusto İşlevini temel alan ayrıştırıcıya bağlıdır.

ADIM 1 - Mobil Risk API'sinin yapılandırma adımları

Kimlik bilgilerini almak için yönergeleri izleyin.

ADIM 2 - Lookout veri bağlayıcısını ve ilişkili Azure İşlevini dağıtmak için aşağıdaki yönergeleri izleyin

ÖNEMLİ:Lookout veri bağlayıcısının dağıtımına başlamadan önce Çalışma Alanı Kimliği ve Çalışma Alanı Anahtarı'nın hazır olduğundan emin olun (aşağıdakilerden kopyalanabilir).

  • Çalışma Alanı Kimliği: <Yükleme zamanında sağlanan değişken değeri>
  • Çalışma Alanı Anahtarı: <Yükleme zamanında sağlanan değişken değeri>

Azure Resource Manager (ARM) Şablonu

ARM Şablonu kullanarak Lookout veri bağlayıcısının otomatik dağıtımı için aşağıdaki adımları izleyin.

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.ms

  2. Tercih edilen Abonelik, Kaynak Grubu ve Bölge'yi seçin.

NOT: Aynı kaynak grubunda, Aynı bölgedeki Windows ve Linux uygulamalarını karıştıramazsınız. Içinde Windows uygulamaları olmayan mevcut kaynak grubunu seçin veya yeni kaynak grubu oluşturun. 3. İşlev Adı, Çalışma Alanı Kimliği,Çalışma Alanı Anahtarı, Kurumsal Ad & API Anahtarı girin ve dağıtın. 4. Dağıtmak için Oluştur'a tıklayın.



[Kullanım dışı] Microsoft Exchange Günlükleri ve Olayları

Tarafından desteklenir:Community

Kullanım dışı bırakıldı, 'ESI-Opt' veri bağlantılarını kullanın. Windows aracısını kullanarak Microsoft Sentinel çalışma alanınıza bağlı Windows makinelerinden tüm Exchange Denetim olaylarını, IIS Günlüklerini, HTTP Proxy günlüklerini ve Güvenlik Olayı günlüklerini akışla aktarabilirsiniz. Bu bağlantı panoları görüntülemenizi, özel uyarılar oluşturmanızı ve araştırmayı geliştirmenizi sağlar. Bu, Şirket İçi Exchange ortamınızla ilgili güvenlik içgörüleri sağlamak için Microsoft Exchange Güvenlik Çalışma Kitapları tarafından kullanılır

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
Event Evet Hayır
SecurityEvent Evet Evet
W3CIISLog Evet Hayır
MessageTrackingLog_CL Evet Evet
ExchangeHttpProxy_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Azure Log Analytics kullanım dışı bırakılacaktır ve Azure olmayan VM'lerden veri toplamak için Arc Azure önerilir. Daha fazla bilgi edinin
  • Ayrıntılı belgeler: >NOT: Yükleme yordamı ve kullanımıyla ilgili ayrıntılı belgelere buradan ulaşabilirsiniz

Kurulum Yönergeleri:

NOT: Bu çözüm, seçenekleri temel alır. Bu, bazı seçenekler çok yüksek hacimli veriler oluşturaaabildiği için hangi verilerin alınacağını seçmenize olanak tanır. Ne toplamak istediğinize bağlı olarak, Çalışma Kitaplarınızda, Analiz Kurallarınızda, Tehdit Avcılığı özelliklerinizde dağıtacağınız seçenekleri belirlersiniz. Her seçenek birbirinden bağımsızdır. Her seçenek hakkında daha fazla bilgi edinmek için: 'Microsoft Exchange Güvenliği' wiki

1. Microsoft Sentinel için günlükleri toplamak için gereken aracıları indirip yükleyin

Sunucu türü (Exchange Sunucuları, Exchange Sunucuları'na bağlı Etki Alanı Denetleyicileri veya tüm Etki Alanı Denetleyicileri) dağıtmak istediğiniz seçeneğe bağlıdır.

İzleyici Aracılarını Dağıtma

Bu adım yalnızca Exchange Sunucularınızı/Etki Alanı Denetleyicilerinizi ilk kez eklediğinizde gereklidir

Günlükleri toplamak için sunucularınıza yüklemek istediğiniz aracıyı seçin:

[Tercih edilen] Azure Arc aracılığıyla Aracıyı Azure İzleme

Azure Arc Aracısını Dağıtma Daha fazla bilgi edinin

Azure Log Analytics Aracısı yükleme (08.31.2024 tarihinde kullanım dışı)

  1. Azure Log Analytics Aracısı'nı indirin ve aşağıdaki bağlantıda dağıtım yöntemini seçin.
  • Yükleme Aracısı: <Yükleme zamanında sağlanan değişken değeri>

2. Belirtilen seçenekleri izleyerek log injestion dağıtma

[Seçenek 1] MS Exchange Yönetim Günlüğü koleksiyonu

MS Exchange Yönetici Denetim olay günlüklerinin akışının nasıl yapılacağını seçme

MS Exchange Yönetici Denetim olay günlükleri

Veri Toplama Kuralları - Azure İzleyici Aracısı kullanıldığında

Veri toplama kuralını etkinleştirme Microsoft Exchange Yönetici Denetim Olayları günlükleri yalnızca Windows aracılarından toplanır.

Seçenek 1 - Azure Resource Manager (ARM) Şablonu

DCR'nin otomatik dağıtımı için bu yöntemi kullanın.

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.ms

  2. Tercih edilen Abonelik, Kaynak Grubu ve Konum'a tıklayın.

  3. Çalışma Alanı Adı 've/veya Diğer gerekli alanlar' girin.

  4. Yukarıda belirtilen hüküm ve koşulları kabul ediyorum etiketli onay kutusunu işaretleyin.

  5. Dağıtmak için Satın Al'a tıklayın.

Seçenek 2 - Azure Otomasyonu El ile Dağıtımı

Bir Veri Toplama Kuralını el ile dağıtmak için aşağıdaki adım adım yönergeleri kullanın.

C. DCR oluşturma, Olay günlüğü yazma

  1. Azure portalı'ndan Azure Veri toplama kurallarına gidin.
  2. Üst kısımdaki + Oluştur'a tıklayın.
  3. Temel Bilgiler sekmesinde gerekli alanları doldurun, Platform türü olarak Windows'ı seçin ve DCR'ye bir ad verin.
  4. Kaynaklar sekmesinde Exchange Sunucuları'nı girin.
  5. 'Topla ve teslim et' bölümünde bir Veri Kaynağı türü 'Windows Olay günlükleri' ekleyin ve 'Özel' seçeneğini belirleyin, ifade olarak 'MSExchange Management' yazın ve Ekleyin.
  6. 'Diğer tercih edilebilir yapılandırma değişikliklerini yap', gerekirse Oluştur'a tıklayın.

DCR'yi tüm Exchange Sunucularına atama

Tüm Exchange Sunucularınızı DCR'ye ekleme

Veri Toplama Kuralları - Eski Azure Log Analytics Aracısı kullanıldığında

Toplanacak günlükleri yapılandırma

Toplamak istediğiniz Olayları ve önem derecelerini yapılandırın.

  1. Çalışma alanı Eski aracı yönetimi'nin altında Windows Olay günlükleri'ne tıklayın.
  2. Windows olay günlüğü ekle'ye tıklayın ve günlük adı olarak MSExchange Management yazın.
  3. Hata, Uyarı ve Bilgi türlerini toplama
  4. Kaydet'e tıklayın.
  • Yükleme Aracısı: <Yükleme zamanında sağlanan değişken değeri>

[Seçenek 2] Exchange Sunucularının Güvenlik/Uygulama/Sistem günlükleri

Exchange Sunucularının Güvenlik/Uygulama/Sistem günlüklerinin akışının nasıl yapılacağını seçme

Güvenlik Olay günlüğü koleksiyonu

Veri Toplama Kuralları - Güvenlik Olay günlükleri

Güvenlik Günlükleri için veri toplama kuralını etkinleştirme Güvenlik Olayları günlükleri yalnızca Windows aracılarından toplanır.

  1. Kaynaklar sekmesine Exchange Sunucuları ekleyin.
  2. Güvenlik günlüğü düzeyini seçin

Ortak düzey , gereken en düşük düzeydir. Lütfen DCR tanımında 'Ortak' veya 'Tüm Güvenlik Olayları' seçeneğini belirleyin.

  • Yükleme Aracısı: <Yükleme zamanında sağlanan değişken değeri>

Uygulama ve Sistem Olay günlüğü koleksiyonu

Veri Toplama Kuralları - Azure İzleyici Aracısı kullanıldığında

Veri toplama kuralını etkinleştirme Uygulama ve Sistem Olayları günlükleri yalnızca Windows aracılarından toplanır.

Seçenek 1 - Azure Resource Manager (ARM) Şablonu

DCR'nin otomatik dağıtımı için bu yöntemi kullanın.

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.ms

  2. Tercih edilen Abonelik, Kaynak Grubu ve Konum'a tıklayın.

  3. Çalışma Alanı Adı 've/veya Diğer gerekli alanlar' girin.

  4. Yukarıda belirtilen hüküm ve koşulları kabul ediyorum etiketli onay kutusunu işaretleyin.

  5. Dağıtmak için Satın Al'a tıklayın.

Seçenek 2 - Azure Otomasyonu El ile Dağıtımı

Bir Veri Toplama Kuralını el ile dağıtmak için aşağıdaki adım adım yönergeleri kullanın.

C. DCR oluşturma, Olay günlüğü yazma

  1. Azure portalı'ndan Azure Veri toplama kurallarına gidin.
  2. Üst kısımdaki + Oluştur'a tıklayın.
  3. Temel Bilgiler sekmesinde gerekli alanları doldurun, Platform türü olarak Windows'ı seçin ve DCR'ye bir ad verin.
  4. Kaynaklar sekmesinde Exchange Sunucuları'nı girin.
  5. 'Toplama ve teslim et' bölümünde bir Veri Kaynağı türü 'Windows Olay günlükleri' ekleyin ve 'Temel' seçeneğini belirleyin.
  6. Uygulama için 'Kritik', 'Hata' ve 'Uyarı'yı seçin. Sistem için Kritik/Hata/Uyarı/Bilgi'yi seçin.
  7. 'Diğer tercih edilebilir yapılandırma değişikliklerini yap', gerekirse Oluştur'a tıklayın.

DCR'yi tüm Exchange Sunucularına atama

Tüm Exchange Sunucularınızı DCR'ye ekleme

Veri Toplama Kuralları - Eski Azure Log Analytics Aracısı kullanıldığında

Toplanacak günlükleri yapılandırma

Toplamak istediğiniz Olayları ve önem derecelerini yapılandırın.

  1. Çalışma alanı gelişmiş ayarları Yapılandırma'nın altında Veri'yi ve ardından Windows Olay günlükleri'ne tıklayın.
  2. Windows olay günlüğü ekle'ye tıklayın ve Uygulama'yı günlük adı olarak arayın.
  3. Windows olay günlüğü ekle'ye tıklayın ve Sistem'i günlük adı olarak arayın.
  4. Hata Topla (tümü için), Uyarı (tümü için) ve Bilgi (Sistem için) türleri
  5. Kaydet'e tıklayın.
  • Yükleme Aracısı: <Yükleme zamanında sağlanan değişken değeri>

[Seçenek 3 ve 4] Etki Alanı Denetleyicilerinin güvenlik günlükleri

Etki Alanı Denetleyicilerinin Güvenlik günlüklerinin akışının nasıl yapılacağını seçin. Seçenek 3'i uygulamak istiyorsanız, exchange sunucularıyla aynı sitede DC'yi seçmeniz yeterlidir. Seçenek 4'i uygulamak istiyorsanız, ormanınızın tüm DC'lerini seçebilirsiniz.

[Seçenek 3] Sonraki adım için yalnızca Exchange Sunucuları ile aynı sitedeki Etki Alanı Denetleyicilerini listeleme

Bu, alınan veri miktarını sınırlar ancak bazı olaylar algılanamaz.

[Seçenek 4] Sonraki adım için Active-Directory Ormanınızın tüm Etki Alanı Denetleyicilerini listeleme

Bu, tüm güvenlik olaylarının toplanmasına olanak tanır

Güvenlik Olay günlüğü koleksiyonu

Veri Toplama Kuralları - Güvenlik Olay günlükleri

Güvenlik Günlükleri için veri toplama kuralını etkinleştirme Güvenlik Olayları günlükleri yalnızca Windows aracılarından toplanır.

  1. Kaynaklar sekmesinde seçili DC'leri ekleyin.
  2. Güvenlik günlüğü düzeyini seçin

Ortak düzey , gereken en düşük düzeydir. Lütfen DCR tanımında 'Ortak' veya 'Tüm Güvenlik Olayları' seçeneğini belirleyin.

  • Yükleme Aracısı: <Yükleme zamanında sağlanan değişken değeri>

[Seçenek 5] Exchange Sunucularının IIS günlükleri

Exchange Sunucularının IIS günlüklerinin akışının nasıl yapılacağını seçme

Veri Toplama Kuralları - Azure İzleyici Aracısı kullanıldığında

Veri toplama kuralını etkinleştirme IIS günlükleri yalnızca Windows aracılarından toplanır.

Seçenek 1 - Azure Resource Manager (ARM) Şablonu

DCE ve DCR'nin otomatik dağıtımı için bu yöntemi kullanın.

C. DCE Oluşturma (Exchange Sunucuları için henüz oluşturulmadıysa)

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.ms

  2. Tercih edilen Abonelik, Kaynak Grubu ve Konum'a tıklayın.

  3. DCE'nin önerilen adını değiştirebilirsiniz.

  4. Dağıtmak için Oluştur'a tıklayın.

B. Veri Bağlantısı Kuralını Dağıtma

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.ms

  2. Tercih edilen Abonelik, Kaynak Grubu ve Konum'a tıklayın.

  3. 've/veya Diğer gerekli alanlar' Çalışma Alanı Kimliğini girin.

  4. Yukarıda belirtilen hüküm ve koşulları kabul ediyorum etiketli onay kutusunu işaretleyin.

  5. Dağıtmak için Satın Al'a tıklayın.

Seçenek 2 - Azure Otomasyonu El ile Dağıtımı

Bir Veri Toplama Kuralını el ile dağıtmak için aşağıdaki adım adım yönergeleri kullanın.

C. DCE Oluşturma (Exchange Sunucuları için henüz oluşturulmadıysa)

  1. Azure portalı'ndan Azure Veri toplama Uç Noktası'na gidin.
  2. Üst kısımdaki + Oluştur'a tıklayın.
  3. Temel Bilgiler sekmesinde gerekli alanları doldurun ve DCE'ye bir ad verin.
  4. 'Diğer tercih edilebilir yapılandırma değişikliklerini yap', gerekirse Oluştur'a tıklayın.

B. DCR oluşturma, IIS günlüğü yazma

  1. Azure portalı'ndan Azure Veri toplama kurallarına gidin.
  2. Üst kısımdaki + Oluştur'a tıklayın.
  3. Temel Bilgiler sekmesinde gerekli alanları doldurun, Platform türü olarak Windows'ı seçin ve DCR'ye bir ad verin. Oluşturulan DCE'yi seçin.
  4. Kaynaklar sekmesinde Exchange Sunucuları'nı girin.
  5. 'Toplama ve teslim etme' bölümünde bir Veri Kaynağı türü 'IIS günlükleri' ekleyin (IIS Günlükleri yolu varsayılan olarak yapılandırılmışsa bir yol girmeyin). 'Veri kaynağı ekle' seçeneğine tıklayın
  6. 'Diğer tercih edilebilir yapılandırma değişikliklerini yap', gerekirse Oluştur'a tıklayın.

DCR'yi tüm Exchange Sunucularına atama

Tüm Exchange Sunucularınızı DCR'ye ekleme

Veri Toplama Kuralları - Eski Azure Log Analytics Aracısı kullanıldığında

Toplanacak günlükleri yapılandırma

Toplamak istediğiniz Olayları ve önem derecelerini yapılandırın.

  1. Çalışma alanı gelişmiş ayarları Yapılandırma'nın altında Veri'yi ve ardından IIS Günlükleri'yi seçin.
  2. W3C biçimli IIS günlük dosyalarını toplama seçeneğini işaretleyin
  3. Kaydet'e tıklayın.
  • Yükleme Aracısı: <Yükleme zamanında sağlanan değişken değeri>

[Seçenek 6] Exchange Sunucularının İleti İzlemesi

Exchange Sunucularının İleti İzleme akışının nasıl yapılacağını seçme

Veri Toplama Kuralları - Azure İzleyici Aracısı kullanıldığında

Veri toplama kuralını etkinleştirme İleti İzleme yalnızca Windows aracılarından toplanır.

Not: Dikkat, İzleyici Aracısı'ndaki özel günlükler Önizleme aşamasındadır. Dağıtım şu an için beklendiği gibi çalışmıyor (Mart 2023).

Seçenek 1 - Azure Resource Manager (ARM) Şablonu

DCE ve DCR'nin otomatik dağıtımı için bu yöntemi kullanın.

C. DCE Oluşturma (Exchange Sunucuları için henüz oluşturulmadıysa)

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.ms

  2. Tercih edilen Abonelik, Kaynak Grubu ve Konum'a tıklayın.

  3. DCE'nin önerilen adını değiştirebilirsiniz.

  4. Dağıtmak için Oluştur'a tıklayın.

B. Veri Bağlantı Kuralı ve Özel Tablo Dağıtma

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.ms

  2. Tercih edilen Abonelik, Kaynak Grubu ve Konum'a tıklayın.

  3. 've/veya Diğer gerekli alanlar' Çalışma Alanı Kimliğini girin.

  4. Yukarıda belirtilen hüküm ve koşulları kabul ediyorum etiketli onay kutusunu işaretleyin.

  5. Dağıtmak için Satın Al'a tıklayın.

Seçenek 2 - Azure Otomasyonu El ile Dağıtımı

Bir Veri Toplama Kuralını el ile dağıtmak için aşağıdaki adım adım yönergeleri kullanın.

C. DCE Oluşturma (Exchange Sunucuları için henüz oluşturulmadıysa)

  1. Azure portalı'ndan Azure Veri toplama Uç Noktası'na gidin.
  2. Üst kısımdaki + Oluştur'a tıklayın.
  3. Temel Bilgiler sekmesinde gerekli alanları doldurun ve DCE'ye ESI-ExchangeServers gibi bir ad verin.
  4. 'Diğer tercih edilebilir yapılandırma değişikliklerini yap', gerekirse Oluştur'a tıklayın.

B. Özel DCR Tablosu Oluşturma

  1. Örnek dosyayı Microsoft Sentinel GitHub'dan indirin.

  2. Azure portalı'ndan Çalışma Alanı Analizi'ne gidin ve hedef Çalışma Alanınızı seçin.

  3. 'Tablolar'a tıklayın, üstteki + Oluştur'a tıklayın ve Yeni Özel günlük (DCR Tabanlı) öğesini seçin.

  4. Temel Bilgiler sekmesinde Tablo adına MessageTrackingLog yazın, DCR-Option6-MessageTrackingLogs (örneğin) adlı bir Veri Toplama kuralı oluşturun ve daha önce oluşturulan Veri koleksiyonu Uç Noktasını seçin.

  5. Şema ve Dönüştürme sekmesinde indirilen örnek dosyayı seçin ve Dönüştürme Düzenleyicisi'ne tıklayın.

  6. Dönüştürme alanına şu KQL isteğini girin: kaynak | extend TimeGenerated = todatetime(['date-time']) | extend clientHostname = ['client-hostname'], clientIP = ['client-ip'], connectorId = ['connector-id'], customData = ['custom-data'], eventId = ['event-id'], internalMessageId = ['internal-message-id'], logId = ['log-id'], messageId = ['message-id'], messageInfo = ['message-info'], messageSubject = ['message-subject'], networkMessageId = ['network-message-id'], originalClientIp = ['original-client-ip'], originalServerIp = ['original-server-ip'], recipientAddress= ['recipient-address'], recipientCount= ['recipient-count'], recipientStatus= ['recipient-status'], relatedRecipientAddress= ['related-recipient-address'], returnPath= ['return-path'], senderAddress= ['sender-address'], senderHostname= ['server-hostname'], serverIp= ['server-ip'], sourceContext= ['source-context'], schemaVersion=['schema-version'], messageTrackingTenantId = ['tenant-id'], totalBytes = ['total-bytes'], transportTrafficType = ['transport-traffic-type'] | project-away ['client-ip'], ['client-hostname'], ['connector-id'], ['custom-data'], ['date-time'], ['event-id'], ['internal-message-id'], ['log-id'], ['message-id'], ['message-info'], ['message-subject'], ['network-message-id'], ['original-client-ip'], ['original-server-ip'], ['recipient-address'], ['recipient-count'], ['recipient-status'], ['related-recipient-address'], ['return-path'], ['sender-address'], ['server-hostname'], ['server-ip'], ['source-context'], [' schema-version'], ['tenant-id'], ['total-bytes'], ['transport-traffic-type']

  7. 'Çalıştır'a ve 'Uygula'ya tıklayın.

  8. İleri'ye ve ardından Oluştur'a tıklayın.

C. Oluşturulan DCR'yi değiştirme, Özel Günlük Yazma

  1. Azure portalı'ndan Azure Veri toplama kurallarına gidin.
  2. DCR-Option6-MessageTrackingLogs gibi önceden oluşturulmuş DCR'yi seçin.
  3. Kaynaklar sekmesinde Exchange Sunucuları'nı girin.
  4. Veri Kaynakları'nda bir Veri Kaynağı türü 'Özel Metin günlükleri' ekleyin ve Tablo Adı'nda 'MessageTrackingLog_CL' dosya desenine 'C:\Program Files\Microsoft\Exchange Server\V15\TransportRoles\Logs\MessageTracking*.log' girin. Dönüştürme alanına şu KQL isteğini girin: kaynak | extend TimeGenerated = todatetime(['date-time']) | extend clientHostname = ['client-hostname'], clientIP = ['client-ip'], connectorId = ['connector-id'], customData = ['custom-data'], eventId = ['event-id'], internalMessageId = ['internal-message-id'], logId = ['log-id'], messageId = ['message-id'], messageInfo = ['message-info'], messageSubject = ['message-subject'], networkMessageId = ['network-message-id'], originalClientIp 6.in = ['original-client-ip'], originalServerIp = ['original-server-ip'], recipientAddress= ['recipient-address'], recipientCount= ['recipient-count'], recipientStatus= ['recipient-status'], relatedRecipientAddress= ['related-recipient-address'], returnPath= ['return-path'], senderAddress= ['sender-address'], senderHostname= ['server-hostname'], serverIp= ['server-ip'], sourceContext= ['source-context'], schemaVersion=['schema-version'], messageTrackingTenantId = ['tenant-id'], totalBytes = ['total-bytes'], transportTrafficType = ['transport-traffic-type'] | project-away ['client-ip'], ['client-hostname'], ['connector-id'], ['custom-data'], ['date-time'], ['event-id'], ['internal-message-id'], ['log-id'], ['message-id'], ['message-info'], ['message-subject'], ['network-message-id'], ['original-client-ip'], ['original-server-ip'], ['recipient-address'], ['recipient-count'], ['recipient-status'], ['related-recipient-address'], ['return-path'], ['sender-address'], ['server-hostname'], ['server-ip'], ['source-context'], [' schema-version'], ['tenant-id'], ['total-bytes'], ['transport-traffic-type']
  5. 'Veri kaynağı ekle'ye tıklayın.

DCR'yi tüm Exchange Sunucularına atama

Tüm Exchange Sunucularınızı DCR'ye ekleme

Veri Toplama Kuralları - Eski Azure Log Analytics Aracısı kullanıldığında

Toplanacak günlükleri yapılandırma

  1. Çalışma alanı Ayarları bölümü altında Tablolar'ı seçin, + Oluştur'a tıklayın ve Yeni özel günlük (MMA Tabanlı) seçeneğine tıklayın.
  2. Örnek dosya MessageTracking Sample'ı seçin ve İleri'ye tıklayın
  3. Windows yazın ve C:\Program Files\Microsoft\Exchange Server\V15\TransportRoles\Logs\MessageTracking*.log yolunu girin. İleri'yi tıklatın.
  4. Tablo adı olarak MessageTrackingLog yazın ve İleri'ye tıklayın.
  5. Kaydet'e tıklayın.
  • Yükleme Aracısı: <Yükleme zamanında sağlanan değişken değeri>

[Seçenek 7] Exchange Sunucularının HTTP Proxy'si

Exchange Sunucularının HTTP Proxy'si akışının nasıl yapılacağını seçme

Veri Toplama Kuralları - Azure İzleyici Aracısı kullanıldığında

Veri toplama kuralını etkinleştirme İleti İzleme yalnızca Windows aracılarından toplanır.

Not: Dikkat, İzleyici Aracısı'ndaki özel günlükler Önizleme aşamasındadır. Dağıtım şu an için beklendiği gibi çalışmıyor (Mart 2023).

Seçenek 1 - Azure Resource Manager (ARM) Şablonu

DCE ve DCR'nin otomatik dağıtımı için bu yöntemi kullanın.

C. DCE Oluşturma (Exchange Sunucuları için henüz oluşturulmadıysa)

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.ms

  2. Tercih edilen Abonelik, Kaynak Grubu ve Konum'a tıklayın.

  3. DCE'nin önerilen adını değiştirebilirsiniz.

  4. Dağıtmak için Oluştur'a tıklayın.

B. Veri Bağlantısı Kuralını Dağıtma

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.ms

  2. Tercih edilen Abonelik, Kaynak Grubu ve Konum'a tıklayın.

  3. 've/veya Diğer gerekli alanlar' Çalışma Alanı Kimliğini girin.

  4. Yukarıda belirtilen hüküm ve koşulları kabul ediyorum etiketli onay kutusunu işaretleyin.

  5. Dağıtmak için Satın Al'a tıklayın.

Seçenek 2 - Azure Otomasyonu El ile Dağıtımı

Bir Veri Toplama Kuralını el ile dağıtmak için aşağıdaki adım adım yönergeleri kullanın.

C. DCE Oluşturma (Exchange Sunucuları için henüz oluşturulmadıysa)

  1. Azure portalı'ndan Azure Veri toplama Uç Noktası'na gidin.
  2. Üst kısımdaki + Oluştur'a tıklayın.
  3. Temel Bilgiler sekmesinde gerekli alanları doldurun ve DCE'ye bir ad verin.
  4. 'Diğer tercih edilebilir yapılandırma değişikliklerini yap', gerekirse Oluştur'a tıklayın.

B. Özel DCR Tablosu Oluşturma

  1. Örnek dosyayı Microsoft Sentinel GitHub'dan indirin.
  2. Azure portalı'ndan Çalışma Alanı Analizi'ne gidin ve hedef Çalışma Alanınızı seçin.
  3. 'Tablolar'a tıklayın, üstteki + Oluştur'a tıklayın ve Yeni Özel günlük (DCR Tabanlı) öğesini seçin.
  4. Temel Bilgiler sekmesinde, Tablo adına ExchangeHttpProxy yazın, DCR-Option7-HTTPProxyLogs (örneğin) adlı bir Veri Toplama kuralı oluşturun ve daha önce oluşturulan Veri toplama Uç Noktasını seçin.
  5. Şema ve Dönüştürme sekmesinde indirilen örnek dosyayı seçin ve Dönüştürme Düzenleyicisi'ne tıklayın.
  6. Dönüştürme alanına aşağıdaki KQL isteğini girin: *source | extend TimeGenerated = todatetime(DateTime) | project-away DateTime
  1. 'Çalıştır'a ve 'Uygula'ya tıklayın.
  2. İleri'ye ve ardından Oluştur'a tıklayın.

C. Oluşturulan DCR'yi değiştirme, Özel Günlük Yazma

  1. Azure portalı'ndan Azure Veri toplama kurallarına gidin.
  2. DCR-Option7-HTTPProxyLogs gibi önceden oluşturulmuş DCR'yi seçin.
  3. Kaynaklar sekmesinde Exchange Sunucuları'nı girin.
  4. Veri Kaynakları'nda bir Veri Kaynağı türü 'Özel Metin günlükleri' ekleyin ve Tablo Adı'nda 'ExchangeHttpProxy_CL' dosya desenine 'C:\Program Files\Microsoft\Exchange Server\V15\Logging\HttpProxy\Autodiscover*.log' girin. Dönüştürme 6.in şu KQL isteğini girin: source | extend TimeGenerated = todatetime(DateTime) | project-away DateTime
  5. 'Veri kaynağı ekle'ye tıklayın.

DCR'yi tüm Exchange Sunucularına atama

Tüm Exchange Sunucularınızı DCR'ye ekleme

Veri Toplama Kuralları - Eski Azure Log Analytics Aracısı kullanıldığında

Toplanacak günlükleri yapılandırma

  1. Çalışma alanı Ayarları bölümü altında Tablolar'ı seçin, + Oluştur'a tıklayın ve Yeni özel günlük (MMA Tabanlı) seçeneğine tıklayın.
  2. Örnek dosya MessageTracking Sample'ı seçin ve İleri'ye tıklayın
  3. Windows yazın ve C:\Program Files\Microsoft\Exchange Server\V15\Logging\HttpProxy\Autodiscover*.log, C:\Program Files\Microsoft\Exchange Server\V15\Logging\HttpProxy\Eas*.log, C:\Program Files\Microsoft\Exchange Server\V15\Logging\HttpProxy\Ecp*.log, C:\Program Files\Microsoft\Exchange Server\V15\Logging\HttpProxy\Ews*.log, C:\Program Files\Microsoft\Exchange Server\V15\Logging\HttpProxy\Mapi*.log, C:\Program Files\Microsoft\Exchange Server\V15\ Logging\HttpProxy\Oab*.log, C:\Program Files\Microsoft\Exchange Server\V15\Logging\HttpProxy\Owa*.log, C:\Program Files\Microsoft\Exchange Server\V15\Logging\HttpProxy\OwaCalendar*.log, C:\Program Files\Microsoft\Exchange Server\V15\Logging\HttpProxy\PowerShell*.log ve C:\Program Files\Microsoft\Exchange Server\V15\Logging\HttpProxy\RpcHttp*.log. İleri'yi tıklatın.
  4. Tablo adı olarak ExchangeHttpProxy yazın ve İleri'ye tıklayın.
  5. Kaydet'e tıklayın.
  • Yükleme Aracısı: <Yükleme zamanında sağlanan değişken değeri>

NOT: Bu veri bağlayıcısı, kusto işlevini temel alan ayrıştırıcının beklendiği gibi çalışmasına bağlıdır. Ayrıştırıcılar çözümle otomatik olarak dağıtılır. Kusto İşlevleri diğer adını oluşturmak için adımları izleyin: ExchangeAdminAuditLogs

Çözüm dağıtımı sırasında ayrıştırıcılar otomatik olarak dağıtılır. El ile dağıtmak istiyorsanız aşağıdaki adımları izleyin

El ile Ayrıştırıcı Dağıtımı

1. Ayrıştırıcı dosyasını indirin

ExchangeAdminAuditLogs dosyasının en son sürümü

2. Ayrıştırıcı ExchangeAdminAuditLogs işlevi oluşturma

Microsoft Sentinel log analytics'inizin 'Günlükler' gezgininde dosyanın içeriğini Günlük gezginine kopyalayın

3. Ayrıştırıcı ExchangeAdminAuditLogs işlevini kaydetme

Kaydet düğmesine tıklayın. Bu ayrıştırıcı için parametre gerekmez. Yeniden kaydet'e tıklayın.



[Kullanımdan kaldırıldı] Netskope Web İşlemleri Veri Bağlayıcısı (Azure Function kullanılarak)

Tarafından desteklenir:Netskope

Netskope Web İşlemleri veri bağlayıcısı, Google Pubsublite'dan Netskope Web İşlemleri verilerini çekmek, verileri işlemek ve işlenen verileri Log Analytics'e almak için bir docker görüntüsünün işlevselliğini sağlar. Bu veri bağlayıcısının bir parçası olarak Log Analytics'te biri Web İşlemleri verileri, diğeri yürütme sırasında karşılaşılan hatalar için olmak üzere iki tablo oluşturulacaktır.

Web İşlemleriyle ilgili diğer ayrıntılar için aşağıdaki belgelere bakın:

  1. Netskope Web İşlemleri belgeleri:

https://docs.netskope.com/en/netskope-help/data-security/transaction-events/netskope-transaction-events/

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
NetskopeWebtxData_CL Hayır Hayır
NetskopeWebtxErrors_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • Azure Abonelik: Azure Bir uygulamayı Microsoft Entra ID kaydetmek ve kaynak grubundaki uygulamaya katkıda bulunan rolü atamak için sahip rolüne sahip abonelik gereklidir.
  • Microsoft.Compute izinleri: Azure VM'ler için okuma ve yazma izinleri gereklidir. Daha fazla bilgi için bkz. VM'leri Azure.
  • TransactionEvents Kimlik Bilgileri ve İzinleri: Netskope Kiracısı ve Netskope API Belirteci gereklidir. Daha fazla bilgi için bkz . İşlem Olayları.
  • Microsoft.Web/sites izinleri: İşlev Uygulaması oluşturmak için Azure İşlevleri okuma ve yazma izinleri gereklidir. Daha fazla bilgi için bkz. Azure İşlevleri.

Kurulum Yönergeleri:

NOT: Bu bağlayıcı, sanal makineye dağıtılacak bir docker görüntüsü kullanarak Netskope Web İşlemleri verilerini alma işlevini sağlar (VM'Azure/Şirket İçi VM). Ayrıntılar için Azure VM fiyatlandırma sayfasına bakın.

(İsteğe Bağlı Adım) Çalışma alanını ve API yetkilendirme anahtarlarını veya belirteçlerini Azure Key Vault güvenli bir şekilde depolayın. Azure Key Vault, anahtar değerlerini depolamak ve almak için güvenli bir mekanizma sağlar. Azure İşlev Uygulaması ile Azure Key Vault kullanmak için bu yönergeleri izleyin.

ADIM 1 - Netskope hesabı için Kimlik Bilgileri oluşturma/alma adımları

Netskope Konak Adı ve Netskope API Belirteci oluşturmak/almak için bu bölümdeki adımları izleyin:

  1. Netskope Kiracınızda oturum açın ve sol gezinti çubuğundaki Ayarlar menüsüne gidin.
  2. Araçlar'a ve ardından REST API v2'ye tıklayın
  3. Şimdi yeni belirteç düğmesine tıklayın. Ardından belirteç adı, süre sonu süresi ve veri getirmek istediğiniz uç noktaları ister.
  4. Bu işlem tamamlandıktan sonra kaydet düğmesine tıklayın, belirteç oluşturulur. Belirteci kopyalayın ve daha fazla kullanım için güvenli bir yere kaydedin.

ADIM 2 - Netskope Web İşlemleri verilerini almak için docker tabanlı veri bağlayıcısını dağıtmak için aşağıdaki iki dağıtım seçeneğinden birini seçin

ÖNEMLİ: Netskope veri bağlayıcısını dağıtmadan önce, Çalışma Alanı Kimliği ve Çalışma Alanı Birincil Anahtarı'nın (aşağıdakilerden kopyalanabilir) yanı sıra Netskope API Yetkilendirme Anahtarlarının da (belirteçte işlem olayları için izinler olduğundan emin olun]) hazır olarak kullanılabilir duruma getirin.

  • Çalışma Alanı Kimliği: <Yükleme zamanında sağlanan değişken değeri>
  • Birincil Anahtar: <Yükleme zamanında sağlanan değişken değeri>

Seçenek 1 - VM dağıtmak için Azure Resource Manager (ARM) Şablonu Kullanma [Önerilen]

ARM şablonunu kullanarak bir Azure VM dağıtın, önkoşulları yükleyin ve yürütmeyi başlatın.

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.ms

  2. Tercih edilen Abonelik, Kaynak Grubu ve Konum'a tıklayın.

  3. Aşağıdaki bilgileri girin: Docker Görüntü Adı (mgulledge/netskope-microsoft-sentinel-plugin:netskopewebtransactions) Netskope HostName Netskope API Belirteci Arama Zaman Damgası (Pubsublite işaretçisini aramak istediğiniz dönem zaman damgası boş bırakılabilir) Çalışma Alanı Kimliği Çalışma Alanı Anahtar Geri Alma Yeniden Deneme Sayısı (Yürütmeyi yeniden başlatmadan önce belirteçle ilgili hataların yeniden deneme sayısı.)
    Geri Çekilme Uyku Süresi (Yeniden denemeden önce uyunacak saniye sayısı) Boşta Kalma Zaman Aşımı (Yürütmeyi yeniden başlatmadan önce Web İşlemleri Verileri için beklenmesi gereken saniye sayısı) VM Adı Kimlik Doğrulama Türü Yönetici Parola veya Anahtar DNS Etiket Ön Eki Ubuntu İşletim Sistemi Sürüm Konumu VM Boyutu Alt Ağ Adı Ağ Güvenlik Grubu Adı Güvenlik Türü

  4. Gözden Geçir+Oluştur'a tıklayın.

  5. Doğrulamadan sonra dağıtmak için Oluştur'a tıklayın.

Seçenek 2 - Önceden oluşturulmuş sanal makinede El ile Dağıtım

Docker tabanlı veri bağlayıcısını önceden oluşturulmuş bir sanal makineye el ile dağıtmak için aşağıdaki adım adım yönergeleri kullanın.

  1. Docker'ı yükleme ve docker görüntüsü çekme

NOT: VM'nin Linux tabanlı (tercihen Ubuntu) olduğundan emin olun.

  1. Öncelikle sanal makineye SSH eklemeniz gerekir.

  2. Şimdi docker altyapısını yükleyin.

  3. Şimdi şu komutu kullanarak docker hub'ından docker görüntüsünü çekin: 'sudo docker pull mgulledge/netskope-microsoft-sentinel-plugin:netskopewebtransactions'.

  4. Docker görüntüsünü çalıştırmak için şu komutu kullanın: 'sudo docker run -it -v $(pwd)/docker_persistent_volume:/app mgulledge/netskope-microsoft-sentinel-plugin:netskopewebtransactions'. mgulledge/netskope-microsoft-sentinel-plugin:netskopewebtransactions öğesini görüntü kimliğiyle değiştirebilirsiniz. Burada docker_persistent_volume, dosyaların depolanacağı sanal makinede oluşturulacak klasörün adıdır.

  5. Parametreleri Yapılandırma

  6. Docker görüntüsü çalıştırıldıktan sonra gerekli parametreler istenir.

  7. Aşağıdaki uygulama ayarlarının her birini ilgili değerleriyle (büyük/küçük harfe duyarlı) tek tek ekleyin: Netskope HostName Netskope API Belirteci Arama Zaman Damgası (pubsublite işaretçisini aramak istediğiniz dönem zaman damgası boş bırakılabilir) Çalışma Alanı Kimliği Çalışma Alanı Anahtarı Geri Çekilme Yeniden Deneme Sayısı (Yürütmeyi yeniden başlatmadan önce belirteçle ilgili hataların yeniden deneme sayısı.)
    Geri Çekilme Uyku Süresi (Yeniden denemeden önce uyunacak saniye sayısı) Boşta Kalma Zaman Aşımı (Yürütmeyi yeniden başlatmadan önce Web İşlemleri Verileri için beklenmesi gereken saniye sayısı)

  8. Artık yürütme başlatıldı ancak etkileşimli modda olduğundan kabuk durdurulamaz. Arka plan işlemi olarak çalıştırmak için Ctrl+C tuşlarına basarak geçerli yürütmeyi durdurun ve şu komutu kullanın: 'sudo docker run -d -v $(pwd)/docker_persistent_volume:/app mgulledge/netskope-microsoft-sentinel-plugin:netskopewebtransactions'.

  9. Docker kapsayıcısını durdurma

  10. Çalışan docker kapsayıcılarını listelemek için 'sudo docker container ps' komutunu kullanın. Kapsayıcı kimliğinizi not edin.

  11. Şimdi şu komutu kullanarak kapsayıcıyı durdurun: 'sudo docker stop <container-id>'.



[Kullanım dışı] Sophos Endpoint Protection (Azure İşlevi kullanarak) (Azure İşlevleri kullanarak)

Tarafından desteklenir:Microsoft Corporation

Sophos Endpoint Protection veri bağlayıcısı, Sophos olaylarını Microsoft Sentinel alma özelliği sağlar. Daha fazla bilgi için Sophos Central Yönetici belgelerine bakın.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
SophosEP_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Microsoft.Web/sites izinleri: İşlev Uygulaması oluşturmak için Azure İşlevleri okuma ve yazma izinleri gereklidir. Daha fazla bilgi için bkz. Azure İşlevleri.
  • REST API Kimlik Bilgileri/izinleri: API belirteci gereklidir. Daha fazla bilgi için bkz. API belirteci

Kurulum Yönergeleri:

NOT: Bu bağlayıcı, günlüklerini Microsoft Sentinel çekmek üzere Sophos Central API'lerine bağlanmak için Azure İşlevleri kullanır. Bu, ek veri alımı maliyetlerine neden olabilir. Ayrıntılar için Azure İşlevleri fiyatlandırma sayfasına bakın.

(İsteğe Bağlı Adım) Çalışma alanını ve API yetkilendirme anahtarlarını veya belirteçlerini Azure Key Vault güvenli bir şekilde depolayın. Azure Key Vault, anahtar değerlerini depolamak ve almak için güvenli bir mekanizma sağlar. Azure İşlev Uygulaması ile Azure Key Vault kullanmak için bu yönergeleri izleyin.

NOT: Bu veri bağlayıcısı, Microsoft Sentinel Çözümü ile dağıtılan beklenen SophosEPEvent işlevinin çalışması için Kusto İşlevini temel alan ayrıştırıcıya bağlıdır.

ADIM 1 - Sophos Central API'sinin yapılandırma adımları

Kimlik bilgilerini almak için yönergeleri izleyin.

  1. Sophos Central Yönetici'da Genel Ayarlar > API Belirteç Yönetimi'ne gidin.
  2. Yeni belirteç oluşturmak için ekranın sağ üst köşesinden Belirteç ekle'ye tıklayın.
  3. Bir belirteç adı seçin ve Kaydet'e tıklayın. Bu belirtecin API Belirteci Özeti görüntülenir.
  4. API Erişim URL'nizi + Üst Bilgileri API Belirteci Özeti bölümünden panonuza kopyalamak için Kopyala'ya tıklayın.

ADIM 2 - Bağlayıcıyı ve ilişkili Azure İşlevini dağıtmak için aşağıdaki iki dağıtım seçeneğinden Bİrİ'ni seçin

ÖNEMLİ: Sophos Endpoint Protection veri bağlayıcısını dağıtmadan önce Çalışma Alanı Kimliği ve Çalışma Alanı Birincil Anahtarına sahip olun (aşağıdakilerden kopyalanabilir).

  • Çalışma Alanı Kimliği: <Yükleme zamanında sağlanan değişken değeri>
  • Birincil Anahtar: <Yükleme zamanında sağlanan değişken değeri>

Seçenek 1 - Azure Resource Manager (ARM) Şablonu

ARM Tempate kullanarak Sophos Endpoint Protection veri bağlayıcısının otomatik dağıtımı için bu yöntemi kullanın.

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.ms

  2. Tercih edilen Abonelik, Kaynak Grubu ve Konum'a tıklayın.

NOT: Aynı kaynak grubunda, Aynı bölgedeki Windows ve Linux uygulamalarını karıştıramazsınız. Içinde Windows uygulamaları olmayan mevcut kaynak grubunu seçin veya yeni kaynak grubu oluşturun. 3. Sophos API Erişim URL'si ve Üst Bilgileri, AzureSentinelWorkspaceId, AzureSentinelSharedKey girin. 4. Yukarıda belirtilen hüküm ve koşulları kabul ediyorum etiketli onay kutusunu işaretleyin. 5. Dağıtmak için Satın Al'a tıklayın.

Seçenek 2 - Azure İşlevleri El ile Dağıtımı

Sophos Endpoint Protection veri bağlayıcısını Azure İşlevleri (Visual Studio Code aracılığıyla dağıtım) ile el ile dağıtmak için aşağıdaki adım adım yönergeleri kullanın.

1. Adım - İşlev Uygulaması Dağıtma

NOT: VS kodunu Azure işlev geliştirme için hazırlamanız gerekir.

  1. Azure İşlev Uygulaması dosyasını indirin. Arşivi yerel geliştirme bilgisayarınıza ayıklayın.
  2. VSCode kullanarak Azure İşlevleri uygulamasını dağıtmak için işlev uygulaması el ile dağıtım yönergelerini izleyin.
  3. İşlev uygulamasının başarıyla dağıtılmasından sonra, bunu yapılandırmak için sonraki adımları izleyin.

2. Adım - İşlev Uygulamasını Yapılandırma

  1. İşlev Uygulaması yapılandırması için Azure portalı'na gidin.
  2. İşlev Uygulamasında İşlev Uygulaması Adı'nı ve ardından Yapılandırma'yı seçin.
  3. Uygulama ayarları sekmesinde Yeni uygulama ayarı'nı seçin.
  4. İlgili dize değerleriyle (büyük/küçük harfe duyarlı) aşağıdaki uygulama ayarlarının her birini tek tek ekleyin: SOPHOS_TOKEN WorkspaceID WorkspaceKey logAnalyticsUri (isteğe bağlı)
  • Ayrılmış bulut için log analytics API uç noktasını geçersiz kılmak için logAnalyticsUri kullanın. Örneğin, genel bulut için değeri boş bırakın; Azure GovUS bulut ortamı için değeri şu biçimde belirtin: https://<CustomerId>.ods.opinsights.azure.us.
  1. Tüm uygulama ayarları girildikten sonra Kaydet'e tıklayın.



[Kullanımdan kaldırıldı] Varonis SaaS

Tarafından desteklenir:Varonis

Varonis SaaS, Varonis Uyarılarını Microsoft Sentinel alma özelliği sağlar.

Varonis, veri erişimi için derin veri görünürlüğünü, sınıflandırma özelliklerini ve otomatik düzeltmeyi önceliklendirir. Varonis, verileriniz için tek bir öncelikli risk görünümü oluşturur, böylece içeriden gelen tehditlere ve siber saldırılara karşı riski proaktif ve sistematik olarak ortadan kaldırabilirsiniz.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
VaronisAlerts_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Microsoft.Web/sites izinleri: İşlev Uygulaması oluşturmak için Azure İşlevleri okuma ve yazma izinleri gereklidir. Daha fazla bilgi için bkz. Azure İşlevleri.

Kurulum Yönergeleri:

NOT: Bu bağlayıcı, uyarıları Microsoft Sentinel çekmek üzere Varonis DatAlert hizmetine bağlanmak için Azure İşlevleri kullanır. Bu, ek veri alımı maliyetlerine neden olabilir. Ayrıntılar için Azure İşlevleri fiyatlandırma sayfasına bakın.

Azure işlevi ve ilgili hizmetler yüklemesi için şunu kullanın:

portal.azure.com

ADIM 1 - Varonis DatAlert Uç Nokta API'sinin kimlik bilgilerini alın.

İstemci Kimliği ve API anahtarını oluşturmak için:

  1. Varonis Web Arabirimi'ni başlatın.
  2. Yapılandırma -> API Anahtarları'na gidin. API Anahtarları sayfası görüntülenir.
  3. API Anahtarı Oluştur'a tıklayın. Sağ tarafta Yeni API Anahtarı Ekle ayarları görüntülenir.
  4. Adı ve açıklamayı girin.
  5. Anahtar Oluştur düğmesine tıklayın.
  6. API anahtarı gizli dizisini kopyalayın ve kullanışlı bir konuma kaydedin. Yeniden kopyalayamazsınız.

Daha fazla bilgi için bkz. Varonis Belgeleri

ADIM 2 - Bağlayıcıyı ve ilişkili Azure İşlevini dağıtın.

  • Çalışma Alanı Adı: <yükleme zamanında sağlanan değişken değeri>

Arm Şablonu kullanarak veri bağlayıcısının otomatik dağıtımı için bu yöntemi kullanın.

  1. Azure dağıt düğmesine tıklayın.

    portal.azure.com

  2. Tercih edilen Abonelik, Kaynak Grubu, Bölge, Depolama Hesabı Türü'nü seçin.

  3. Log Analytics Çalışma Alanı Adı, Varonis FQDN, Varonis SaaS API Anahtarı girin.

  4. Gözden Geçir + Oluştur, Oluştur'a tıklayın.



[Kullanım dışı] VMware Carbon Black Cloud (Azure İşlevi kullanılarak) (Azure İşlevleri kullanarak)

Tarafından desteklenir:Microsoft

VMware Carbon Black Cloud bağlayıcısı, Karbon Siyahı verilerini Microsoft Sentinel alma özelliği sağlar. Bağlayıcı, panoları görüntülemek, özel uyarılar oluşturmak ve izleme ve araştırma özelliklerini geliştirmek için Microsoft Sentinel Denetim, Bildirim ve Olay günlüklerine görünürlük sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
CarbonBlackEvents_CL Hayır Hayır
CarbonBlackNotifications_CL Hayır Hayır
CarbonBlackAuditLogs_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

  • Microsoft.Web/sites izinleri: İşlev Uygulaması oluşturmak için Azure İşlevleri okuma ve yazma izinleri gereklidir. Daha fazla bilgi için bkz. Azure İşlevleri.
  • VMware Carbon Black API Anahtarları: Karbon Siyah API'leri ve/veya SIEM Düzeyi API Anahtarları gereklidir. Karbon Siyahı API'si hakkında daha fazla bilgi edinmek için belgelere bakın.
  • Denetim ve Olay günlükleri için Karbon Siyah API erişim düzeyi API Kimliği ve Anahtarı gereklidir.
  • Bildirim uyarıları için Karbon Siyah SIEM erişim düzeyi API Kimliği ve Anahtarı gereklidir.
  • Amazon S3 REST API Kimlik Bilgileri/izinleri: AMAZON S3 REST API'si için AWS Erişim Anahtarı Kimliği, AWS Gizli Erişim Anahtarı, AWS S3 Bucket Adı, AWS S3 Demetindeki Klasör Adı gereklidir.

Kurulum Yönergeleri:

NOT: Bu bağlayıcı, günlüklerini Microsoft Sentinel çekmek üzere VMware Carbon Black'e bağlanmak için Azure İşlevleri kullanır. Bu, ek veri alımı maliyetlerine neden olabilir. Ayrıntılar için Azure İşlevleri fiyatlandırma sayfasına bakın.

(İsteğe Bağlı Adım) Çalışma alanını ve API yetkilendirme anahtarlarını veya belirteçlerini Azure Key Vault güvenli bir şekilde depolayın. Azure Key Vault, anahtar değerlerini depolamak ve almak için güvenli bir mekanizma sağlar. Azure İşlev Uygulaması ile Azure Key Vault kullanmak için bu yönergeleri izleyin.

ADIM 1 - VMware Carbon Black API yapılandırma adımları

API Anahtarı oluşturmak için bu yönergeleri izleyin.

ADIM 2 - Bağlayıcıyı ve ilişkili Azure İşlevini dağıtmak için aşağıdaki iki dağıtım seçeneğinden Bİrİ'ni seçin

ÖNEMLİ: VMware Carbon Black bağlayıcısını dağıtmadan önce, Çalışma Alanı Kimliği ve Çalışma Alanı Birincil Anahtarına (aşağıdakilerden kopyalanabilir) ve VMware Carbon Black API Yetkilendirme Anahtarlarını(lar) hazır bulundurun.

  • Çalışma Alanı Kimliği: <Yükleme zamanında sağlanan değişken değeri>
  • Birincil Anahtar: <Yükleme zamanında sağlanan değişken değeri>

Seçenek 1 - Azure Resource Manager (ARM) Şablonu

Bu yöntem, bir ARM Şablonu kullanılarak VMware Carbon Black konnektörünün otomatik olarak dağıtılmasını sağlar.

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.msaka.ms

  2. Tercih edilen Abonelik, Kaynak Grubu ve Konum'a tıklayın.

  3. Çalışma Alanı Kimliği, Çalışma Alanı Anahtarı, Günlük Türleri, API Kimlikleri, API Anahtarları, Karbon Siyah Kuruluş Anahtarı, S3 Demet Adı, AWS Erişim Anahtarı Kimliği, AWS Gizli Erişim Anahtarı, EventPrefixFolderName,AlertPrefixFolderName girin ve URI'yi doğrulayın.

  • Bölgenize karşılık gelen URI'yi girin. API URL'lerinin tam listesi burada bulunabilir
  • Varsayılan Zaman Aralığı , verilerin son beş (5) dakikasını çekecek şekilde ayarlanır. Zaman aralığının değiştirilmesi gerekiyorsa, çakışan veri alımını önlemek için İşlev Uygulaması Zamanlayıcı Tetikleyicisi'nin uygun şekilde değiştirilmesi önerilir (function.json dosyasında dağıtım sonrası).
  • Carbon Black, Bildirim uyarılarını almak için ayrı bir API ID/Anahtar seti gerektirir. SIEM API Kimliği/Anahtar değerlerini girin veya gerekli değilse boş bırakın.
  • Not: Yukarıdaki değerlerden herhangi biri için Azure Key Vault gizli dizileri kullanıyorsanız, dize değerleri yerine şemayı kullanın@Microsoft.KeyVault(SecretUri={Security Identifier}). Daha fazla ayrıntı için Key Vault başvuru belgelerine bakın.
  1. Yukarıda belirtilen hüküm ve koşulları kabul ediyorum etiketli onay kutusunu işaretleyin.
  2. Dağıtmak için Satın Al'a tıklayın.

Seçenek 2 - Azure İşlevleri El ile Dağıtımı

VMware Carbon Black bağlayıcısını Azure İşlevleri ile el ile dağıtmak için aşağıdaki adım adım yönergeleri kullanın.

  1. İşlev Uygulaması Oluşturma

  2. Azure portalı'ndan İşlev Uygulaması'na gidin ve + Ekle'yi seçin.

  3. Temel Bilgiler sekmesinde Çalışma zamanı yığınının Powershell Core olarak ayarlandığından emin olun.

  4. Barındırma sekmesinde Tüketim (Sunucusuz) plan türünün seçili olduğundan emin olun.

  5. Gerekirse diğer tercih edilebilir yapılandırma değişikliklerini yapın ve Oluştur'a tıklayın.

  6. İşlev Uygulama Kodunu İçeri Aktar

  7. Yeni oluşturulan İşlev Uygulamasında sol bölmedeki İşlevler'i seçin ve + Ekle'ye tıklayın.

  8. Zamanlayıcı Tetikleyicisi'ne tıklayın.

  9. Benzersiz bir İşlev Adı girin ve gerekirse cron zamanlamasını değiştirin. Varsayılan değer, İşlev Uygulamasını 5 dakikada bir çalıştıracak şekilde ayarlanır. (Not: Zamanlayıcı tetikleyicisi, çakışan verileri önlemek için aşağıdaki değerle eşleşmelidir timeInterval ), Oluştur'a tıklayın.

  10. Sol bölmede Kod + Test'e tıklayın.

  11. İşlev Uygulama Kodu'nu kopyalayın ve İşlev Uygulaması run.ps1 düzenleyicisine yapıştırın.

  12. Kaydet'e tıklayın.

  13. İşlev Uygulamasını Yapılandırma

  14. İşlev Uygulamasında İşlev Uygulaması Adı'nı ve ardından Yapılandırma'yı seçin.

  15. Uygulama ayarları sekmesinde + Yeni uygulama ayarı'nı seçin.

  16. Aşağıdaki on üç uygulama ayarlarının her birini tek tek on altı (13-16) uygulama ayarına ekleyin, ilgili dize değerleriyle (büyük/küçük harfe duyarlı): apiId apiKey workspaceID workspaceKey uri timeInterval CarbonBlackOrgKey CarbonBlackLogTypes s3BucketName EventPrefixFolderName AlertPrefixFolderName AWSAccessKeyId AWSSecretAccessKey SIEMapiId (İsteğe bağlı) SIEMapiKey (İsteğe bağlı) logAnalyticsUri (isteğe bağlı)

  • Bölgenize karşılık gelen URI'yi girin. API URL'lerinin tam listesine buradan ulaşabilirsiniz. Değerin uri aşağıdaki şemayı izlemesi gerekir: https://<API URL>.conferdeploy.net - URI'ye bir zaman soneki eklemeniz gerekmez, İşlev Uygulaması saat değerini URI'ye dinamik olarak uygun biçimde ekler.
  • timeInterval (dakika cinsinden) değerini varsayılan değerine 5 ayarlayarak her 5 dakikanın varsayılan Zamanlayıcı Tetikleyicisine karşılık gelir. Zaman aralığının değiştirilmesi gerekiyorsa, çakışan veri alımını önlemek için İşlev Uygulaması Zamanlayıcı Tetikleyicisinin uygun şekilde değiştirilmesi önerilir.
  • Carbon Black, Bildirim uyarılarını almak için ayrı bir API ID/Anahtar seti gerektirir. SIEMapiId Gerekirse ve SIEMapiKey değerlerini girin veya gerekli değilse atlayın.
  • Not: Azure Key Vault kullanıyorsanız, dize değerleri yerine şemayı kullanın@Microsoft.KeyVault(SecretUri={Security Identifier}). Daha fazla ayrıntı için Key Vault başvuru belgelerine bakın.
  • Ayrılmış bulut için log analytics API uç noktasını geçersiz kılmak için logAnalyticsUri kullanın. Örneğin, genel bulut için değeri boş bırakın; Azure GovUS bulut ortamı için değeri aşağıdaki biçimde belirtin:https://<CustomerId>.ods.opinsights.azure.us
  1. Tüm uygulama ayarları girildikten sonra Kaydet'e tıklayın.



[Kullanımdan kaldırıldı] Zoom Reports (using Azure İşlevleri)

Tarafından desteklenir:Microsoft Corporation

Yakınlaştırma Raporları veri bağlayıcısı, REST API aracılığıyla Yakınlaştırma Raporları olaylarını Microsoft Sentinel alma özelliği sağlar. Daha fazla bilgi için API belgelerine bakın. Bağlayıcı olası güvenlik risklerini değerlendirmek, işbirliğini izlemek ve yapılandırma sorunlarını tanılamak ve gidermek için olay alma olanağı sağlar.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
Zoom_CL Hayır Hayır

Veri toplama kuralı desteği: Şu anda desteklenmiyor

Önkoşullar:

Kurulum Yönergeleri:

NOT: Bu bağlayıcı, günlüklerini Microsoft Sentinel çekmek üzere Yakınlaştırma API'sine bağlanmak için Azure İşlevleri kullanır. Bu, ek veri alımı maliyetlerine neden olabilir. Ayrıntılar için Azure İşlevleri fiyatlandırma sayfasına bakın.

(İsteğe Bağlı Adım) Çalışma alanını ve API yetkilendirme anahtarlarını veya belirteçlerini Azure Key Vault güvenli bir şekilde depolayın. Azure Key Vault, anahtar değerlerini depolamak ve almak için güvenli bir mekanizma sağlar. Azure İşlev Uygulaması ile Azure Key Vault kullanmak için bu yönergeleri izleyin.

NOT: Bu veri bağlayıcısı, çözümün bir parçası olarak dağıtılan kusto işlevini temel alan ayrıştırıcının beklendiği gibi çalışmasına bağlıdır. İşlev kodunu Log Analytics'te görüntülemek için Log Analytics/Microsoft Sentinel Günlükleri dikey penceresini açın, İşlevler'e tıklayın ve Diğer adı Zoom olarak arayın ve işlev kodunu yükleyin veya buraya tıklayın. Çözümün yüklenmesi/güncelleştirildikten sonra işlevin etkinleştirilmesi genellikle 10-15 dakika sürer.

ADIM 1 - Yakınlaştırma API'sine yönelik yapılandırma adımları

Kimlik bilgilerini almak için yönergeleri izleyin.

ADIM 2 - Bağlayıcıyı ve ilişkili Azure İşlevini dağıtmak için aşağıdaki iki dağıtım seçeneğinden Bİrİ'ni seçin

ÖNEMLİ: Yakınlaştırma Raporları veri bağlayıcısını dağıtmadan önce Çalışma Alanı Kimliği ve Çalışma Alanı Birincil Anahtarına sahip olun (aşağıdakilerden kopyalanabilir).

  • Çalışma Alanı Kimliği: <Yükleme zamanında sağlanan değişken değeri>
  • Birincil Anahtar: <Yükleme zamanında sağlanan değişken değeri>

Seçenek 1 - Azure Resource Manager (ARM) Şablonu

ARM Tempate kullanarak Yakınlaştırma Denetimi veri bağlayıcısının otomatik dağıtımı için bu yöntemi kullanın.

  1. Aşağıdaki Azure dağıt düğmesine tıklayın.

    aka.msaka.ms

  2. Tercih edilen Abonelik, Kaynak Grubu ve Bölge'yi seçin.

NOT: Aynı kaynak grubunda, Aynı bölgedeki Windows ve Linux uygulamalarını karıştıramazsınız. Içinde Windows uygulamaları olmayan mevcut kaynak grubunu seçin veya yeni kaynak grubu oluşturun. 3. AccountID, ClientID, ClientSecret, WorkspaceID, WorkspaceKey, İşlev Adı girin ve Gözden Geçir + oluştur'a tıklayın. 4. Son olarak dağıtmak için Oluştur'a tıklayın.

Seçenek 2 - Azure İşlevleri El ile Dağıtımı

Yakınlaştırma Raporları veri bağlayıcısını Azure İşlevleri (Visual Studio Code aracılığıyla dağıtım) ile el ile dağıtmak için aşağıdaki adım adım yönergeleri kullanın.

1. Adım - İşlev Uygulaması Dağıtma

NOT: VS kodunu Azure işlev geliştirme için hazırlamanız gerekir.

  1. Azure İşlev Uygulaması dosyasını indirin. Arşivi yerel geliştirme bilgisayarınıza ayıklayın.

  2. VS Code'ı başlatın. Ana menüde Dosya'yı ve ardından Klasörü Aç'ı seçin.

  3. Ayıklanan dosyalardan en üst düzey klasörü seçin.

  4. Etkinlik çubuğunda Azure simgesini seçin, ardından Azure: İşlevler alanında İşlev uygulamasına dağıt düğmesini seçin. Henüz oturum açmadıysanız, Etkinlik çubuğunda Azure simgesini seçin, ardından Azure: İşlevler alanında Oturum aç'ı seçerek Azure Oturum açtıysanız sonraki adıma geçin.

  5. İstemlerde aşağıdaki bilgileri sağlayın:

    a. Klasör seçin: Çalışma alanınızdan bir klasör seçin veya işlev uygulamanızı içeren klasöre göz atın.

    b. Abonelik'i seçin: Kullanılacak aboneliği seçin.

    c. Azure'de yeni İşlev Uygulaması oluştur'u seçin (Gelişmiş seçeneğini belirleme)

    d. İşlev uygulaması için genel olarak benzersiz bir ad girin: URL yolunda geçerli bir ad yazın. Yazdığınız ad, Azure İşlevleri benzersiz olduğundan emin olmak için doğrulanır. (örneğin, ZoomXXXXXX).

    e. Çalışma zamanı seçin: Python 3.11'i seçin.

    f. Yeni kaynaklar için bir konum seçin. Daha iyi performans ve düşük maliyetler için Microsoft Sentinel bulunduğu bölgeyi seçin.

  6. Dağıtım başlar. İşlev uygulamanız oluşturulduktan ve dağıtım paketi uygulandıktan sonra bir bildirim görüntülenir.

  7. İşlev Uygulaması yapılandırması için Azure portalı'na gidin

2. Adım - İşlev Uygulamasını Yapılandırma

  1. İşlev Uygulamasında İşlev Uygulaması Adı'nı ve ardından Yapılandırma'yı seçin.
  2. Uygulama ayarları sekmesinde Yeni uygulama ayarı'nı seçin.
  3. Aşağıdaki uygulama ayarlarının her birini ilgili dize değerleriyle (büyük/küçük harfe duyarlı) tek tek ekleyin: AccountID ClientID ClientSecret WorkspaceID WorkspaceKey logAnalyticsUri (isteğe bağlı) Ayrılmış bulut için log analytics API uç noktasını geçersiz kılmak için logAnalyticsUri kullanın. Örneğin, genel bulut için değeri boş bırakın; Azure GovUS bulut ortamı için değeri şu biçimde belirtin: https://<CustomerId>.ods.opinsights.azure.us.
  4. Tüm uygulama ayarları girildikten sonra Kaydet'e tıklayın.



Darktrace Connector for Microsoft Sentinel REST API (Legacy)

Tarafından desteklenir:Darktrace

Darktrace REST API bağlayıcısı, Darktrace'ten Microsoft Sentinel'e gerçek zamanlı olayları gönderir ve Microsoft Sentinel için Darktrace Çözümü ile kullanılmak üzere tasarlanmıştır. Bağlayıcı günlükleri "darktrace_model_alerts_CL" başlıklı özel bir günlük tablosuna yazar; Model İhlalleri, Yapay Zeka Analisti Olayları, Sistem Uyarıları ve Email Uyarıları alınabiliyor; Darktrace Sistem Yapılandırması sayfasında ek filtreler ayarlanabilir. Veriler Darktrace masters'tan Microsoft Sentinel'e gönderiliyor.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
darktrace_model_alerts_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Darktrace Önkoşulları: Bu Veri Bağlayıcısı'nı kullanmak için v5.2+ çalıştıran bir Darktrace ana şablonu gereklidir. Veriler, Darktrace ana şablonlarından HTTP'ler üzerinden Azure İzleyici HTTP Veri Toplayıcı API'sine gönderilir, bu nedenle Darktrace ana şablonundan Microsoft Sentinel REST API'sine giden bağlantı gereklidir.
  • Darktrace Verilerini Filtreleme: Yapılandırma sırasında, gönderilen veri miktarını veya türlerini kısıtlamak için Darktrace Sistem Yapılandırması sayfasında ek filtreleme ayarlamak mümkündür.
  • Darktrace Sentinel Çözümünü deneyin: Microsoft Sentinel için Darktrace Çözümünü yükleyerek bu bağlayıcıdan en iyi şekilde yararlanın. Bu, Darktrace Model İhlalleri ve Yapay Zeka Analisti olaylarından otomatik olarak uyarılar ve olaylar oluşturmak için uyarı verilerini ve analiz kurallarını görselleştirmeye yönelik çalışma kitapları sağlar.

Kurulum Yönergeleri:

  1. Ayrıntılı kurulum yönergelerini Darktrace Müşteri Portalı'nda bulabilirsiniz: https://customerportal.darktrace.com/product-guides/main/microsoft-sentinel-introduction
  2. Çalışma Alanı Kimliğini ve Birincil anahtarı not edin. Bu ayrıntıları Darktrace Sistem Yapılandırması sayfanıza girmeniz gerekir.
  • Çalışma Alanı Kimliği: <Yükleme zamanında sağlanan değişken değeri>
  • Birincil Anahtar: <Yükleme zamanında sağlanan değişken değeri>

Darktrace Yapılandırması

  1. Darktrace Sistem Yapılandırması sayfasında aşağıdaki adımları gerçekleştirin:
  2. Sistem Yapılandırma Sayfası'na gidin (Ana Menü > Yönetici > Sistem Yapılandırması)
  3. Modüller yapılandırmasına gidin ve "Microsoft Sentinel" yapılandırma kartına tıklayın
  4. "HTTPS (JSON)" öğesini seçin ve "Yeni" tuşuna tıklayın
  5. Gerekli ayrıntıları doldurun ve uygun filtreleri seçin
  6. Kimlik doğrulamayı deneyip test uyarısı göndermek için "Uyarı Ayarlarını Doğrula" seçeneğine tıklayın
  7. Test uyarısının alındığını doğrulamak için "Test Uyarılarını Ara" örnek sorgusunu çalıştırın



Island Enterprise Browser Yönetici Olayları (Eski)

Tarafından desteklenir:Island

Bu eski bir bağlayıcıdır ve artık önerilmez. Lütfen tek bir bağlayıcıdaki kullanıcı, yönetici ve sistem olaylarını destekleyen Island Enterprise Browser V2 Veri Bağlayıcısı'nı kullanın.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
Island_Admin_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Ada API Anahtarı: Ada API anahtarı gereklidir.

Kurulum Yönergeleri:

Ada'yı Microsoft Sentinel'a bağlama

Bu eski bir bağlayıcıdır. Tam kurulum yönergeleri için resmi Ada belgelerine bakın (Ada Yönetim Konsolu'nda oturum açmanız gerekir).



Island Enterprise Browser Kullanıcı Olayları (Eski)

Tarafından desteklenir:Island

Bu eski bir bağlayıcıdır ve artık önerilmez. Lütfen tek bir bağlayıcıdaki kullanıcı, yönetici ve sistem olaylarını destekleyen Island Enterprise Browser V2 Veri Bağlayıcısı'nı kullanın.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
Island_User_CL Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Önkoşullar:

  • Ada API Anahtarı: Ada API anahtarı gereklidir.

Kurulum Yönergeleri:

Ada'yı Microsoft Sentinel'a bağlama

Bu eski bir bağlayıcıdır. Tam kurulum yönergeleri için resmi Ada belgelerine bakın (Ada Yönetim Konsolu'nda oturum açmanız gerekir).



Eski Aracı Aracılığıyla Güvenlik Olayları

Tarafından desteklenir:Microsoft Corporation

Windows aracısını kullanarak Microsoft Sentinel çalışma alanınıza bağlı Windows makinelerinden tüm güvenlik olaylarının akışını yapabilirsiniz. Bu bağlantı panoları görüntülemenizi, özel uyarılar oluşturmanızı ve araştırmayı geliştirmenizi sağlar. Bu, kuruluşunuzun ağı hakkında daha fazla içgörü sağlar ve güvenlik işlemi özelliklerinizi geliştirir. Daha fazla bilgi için Microsoft Sentinel belgelerine bakın.

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
SecurityEvent Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Kurulum Yönergeleri:

1. Ajanı indirip kur

Güvenlik Olayları kayıtları yalnızca Windows ajanlarından toplanır.

Aracının yükleneceği yeri seçin:

Azure Windows Sanal Makinesi'ne aracı yükleme

Aracıyı ilgili makineye indirin ve yönergeleri izleyin.

  • Yükleme Aracısı: <Yükleme zamanında sağlanan değişken değeri>

Ajanı Azure Windows olmayan bir makineye kur

Ajanı kurmak için makineyi seçin ve ardından Bağla' seçeneğine tıklayın.

  • Yükleme Aracısı: <Yükleme zamanında sağlanan değişken değeri>

2. Hangi etkinlikleri yayınlayacağınızı seçin

  • Tüm etkinlikler - Tüm Windows güvenlik ve AppLocker etkinlikleri.
  • Common - Denetim amaçlı standart bir etkinlik seti.
  • Minimum - Potansiyel tehditleri gösterebilecek küçük bir dizi olay. Bu seçeneği etkinleştirdiğinizde, tam bir denetim izi oluşturamazsınız.
  • Hiçbiri - Güvenlik veya AppLocker etkinliği yok.



Bulut için abonelik tabanlı Microsoft Defender (Eski)

Tarafından desteklenir:Microsoft Corporation

Bulut için Microsoft Defender, Azure, hibrit ve çok bulutlu iş yüklerindeki tehditleri algılamanızı ve hızlı bir şekilde yanıtlamanızı sağlayan bir güvenlik yönetimi aracıdır. Bu bağlayıcı, güvenlik uyarılarınızı Bulut için Microsoft Defender'dan Microsoft Sentinel'a akışla aktarmanıza olanak tanır; böylece çalışma kitaplarındaki Defender verilerini görüntüleyebilir, uyarı oluşturmak için sorgulayabilir, olayları araştırıp yanıtlayabilirsiniz.

Daha fazla bilgi için>

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
SecurityAlert Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Eski Aracı aracılığıyla Syslog

Tarafından desteklenir:Microsoft Corporation

Syslog, Linux yaygın olarak kullanılan bir olay günlüğü protokolüdür. Uygulamalar yerel makinede depolanabilen veya bir Syslog toplayıcısına teslim edilebilen iletiler gönderir. Linux aracısı yüklendiğinde, yerel Syslog daemon'unu iletileri aracıya iletecek şekilde yapılandırılır. Aracı daha sonra iletiyi çalışma alanına gönderir.

Daha fazla bilgi edinin >

Log Analytics tabloları:

Tablo DCR desteği Yalnızca göl alımı
Syslog Evet Evet

Veri toplama kuralı desteği:Çalışma alanı dönüşümü DCR

Sonraki adımlar

Daha fazla bilgi için bkz.:

  • Son güncelleştirme: