Microsoft Sentinel için Vectra XDR (Azure İşlevleri kullanarak) bağlayıcısı

Makale
04/29/2024

Vectra XDR bağlayıcısı Vectra REST API aracılığıyla Vectra Algılamaları, Denetimler, Varlık Puanlama, Kilitleme ve Sistem Durumu verilerini Microsoft Sentinel'e alma özelliği sunar. Daha fazla bilgi için API belgelerine https://support.vectra.ai/s/article/KB-VS-1666 bakın.

Bu, otomatik olarak oluşturulan içeriktir. Değişiklikler için çözüm sağlayıcısına başvurun.

Bağlan or öznitelikleri

Bağlan or özniteliği	Açıklama
Azure işlev uygulaması kodu	https://aka.ms/sentinel-VectraXDR-functionapp
Kusto işlev diğer adı	VectraDetections
Kusto işlev url'si	https://aka.ms/sentinel-VectraDetections-parser
Log Analytics tabloları	Detections_Data_CL Audits_Data_CL Entity_Scoring_Data_CL Lockdown_Data_CL Health_Data_CL
Veri toplama kuralları desteği	Şu anda desteklenmiyor
Destekleyen:	Vectra Desteği

Sorgu örnekleri

Vectra Algılama Olayları - Tüm Algılama Olayları.

Detections_Data_CL

| sort by TimeGenerated desc

Vectra Denetim Olayları - Tüm Denetim Olayları.

Audits_Data_CL

| sort by TimeGenerated desc

Vectra Varlık Puanlama Olayları - Tüm Varlık Puanlama Olayları.

Entity_Scoring_Data_CL

| sort by TimeGenerated desc

Vectra Kilitleme Olayları - Tüm Kilitleme Olayları.

Lockdown_Data_CL

| sort by TimeGenerated desc

Vectra Health Olayları - Tüm Sistem Durumu Olayları.

Health_Data_CL

| sort by TimeGenerated desc

Önkoşullar

Vectra XDR ile tümleştirmek için (Azure İşlevleri kullanarak) aşağıdakilere sahip olduğunuzdan emin olun:

Microsoft.Web/sites izinleri: İşlev Uygulaması oluşturmak için Azure İşlevleri okuma ve yazma izinleri gereklidir. Azure İşlevleri hakkında daha fazla bilgi edinmek için belgelere bakın.
REST API Kimlik Bilgileri/izinleri: Sistem Durumu, Varlık Puanlaması, Algılamalar, Kilitleme ve Denetim verileri toplama için Vectra İstemci Kimliği ve İstemci Gizli Anahtarı gereklidir. üzerinde API hakkında daha fazla bilgi edinmek için belgelere https://support.vectra.ai/s/article/KB-VS-1666bakın.

Satıcı yükleme yönergeleri

Not

Bu bağlayıcı, günlüklerini Microsoft Sentinel'e çekmek üzere Vectra API'sine bağlanmak için Azure İşlevleri kullanır. Bu ek veri alımı maliyetlerine neden olabilir. Ayrıntılar için Azure İşlevleri fiyatlandırma sayfasına bakın.

(İsteğe Bağlı Adım) Azure Key Vault'ta çalışma alanını ve API yetkilendirme anahtarlarını veya belirteçlerini güvenli bir şekilde depolayın. Azure Key Vault, anahtar değerlerini depolamak ve almak için güvenli bir mekanizma sağlar. Azure Key Vault'u bir Azure İşlev Uygulaması ile kullanmak için bu yönergeleri izleyin.

Not

Bu veri bağlayıcısı, kusto işlevini temel alan ayrıştırıcının beklendiği gibi çalışmasına bağlıdır. Kusto işlevleri diğer adı, VectraDetections, VectraAudits, VectraEntityScoring, VectraLockdown ve VectraHealth oluşturmak için Algılama Ayrıştırıcısı, Denetim Ayrıştırıcısı, Varlık Puanlama Ayrıştırıcısı, Kilitleme Ayrıştırıcısı ve Sistem Durumu Ayrıştırıcısı için bu adımları izleyin.

ADIM 1 - Vectra API Kimlik Bilgileri için yapılandırma adımları

Vectra İstemci Kimliği ve İstemci Gizli Anahtarı oluşturmak için bu yönergeleri izleyin.

Vectra portalınızda oturum açın
Yönet -> API İstemcileri'ne gidin
YENI bir istemci oluşturmak için API İstemcileri sayfasından 'API İstemcisi Ekle'yi seçin.
İstemci Adı ekleyin, Rol'e tıklayın ve istemci kimlik bilgilerinizi almak için Kimlik Bilgileri Oluştur'a tıklayın.
Güvenli tutma için İstemci Kimliğinizi ve Gizli Anahtarınızı kaydettiğinizden emin olun. Vectra API'sinden erişim belirteci almak için bu iki bilgi parçasına ihtiyacınız olacaktır. Tüm Vectra API uç noktalarına istek göndermek için erişim belirteci gereklidir.

ADIM 2 - Bağlayıcıyı ve ilişkili Azure İşlevini dağıtmak için aşağıdaki iki dağıtım seçeneğinden birini seçin

ÖNEMLİ: Vectra veri bağlayıcısını dağıtmadan önce, Çalışma Alanı Kimliği ve Çalışma Alanı Birincil Anahtarı 'nın (aşağıdakilerden kopyalanabilir) yanı sıra Vectra API Yetkilendirme Kimlik Bilgileri'ne de sahip olun.

Seçenek 1 - Azure Resource Manager (ARM) Şablonu

Vectra bağlayıcısının otomatik dağıtımı için bu yöntemi kullanın.

Aşağıdaki Azure'a Dağıt düğmesine tıklayın.
Tercih edilen Abonelik, Kaynak Grubu ve Konum'a tıklayın.
Aşağıdaki bilgileri girin:
- İşlev Adı
- Çalışma Alanı Kimliği
- Çalışma Alanı Anahtarı
- Vectra Temel URL'si https://<vectra-portal-url>
- Vectra İstemci Kimliği - Sistem Durumu
- Vectra İstemci Gizli Anahtarı - Sistem Durumu
- Vectra İstemci Kimliği - Varlık Puanlaması
- Vectra İstemci Gizli Anahtarı - Varlık Puanlaması
- Vectra İstemci Kimliği - Algılamalar
- Vectra İstemci Gizli Anahtarı - Algılamalar
- Vectra İstemci Kimliği - Denetimler
- Vectra İstemci Gizli Anahtarı - Denetimler
- Vectra İstemci Kimliği - Kilitleme
- Vectra İstemci Gizli Anahtarı - Kilitleme
- StartTime (AA/GG/YYYY HH:MM:SS Biçiminde)
- Denetimler Tablo Adı
- Algılamalar Tablo Adı
- Varlık Puanlama Tablo Adı
- Kilitleme Tablo Adı
- Sistem Durumu Tablo Adı
- Günlük Düzeyi (Varsayılan: BİlGİ)
- Kilitleme Zamanlaması
- Sistem Durumu Zamanlaması
- Algılama Zamanlaması
- Denetim Zamanlaması
- Varlık Puanlama Zamanlaması
Yukarıda belirtilen hüküm ve koşulları kabul ediyorum etiketli onay kutusunu işaretleyin.
Dağıtmak için Satın Al'a tıklayın.

Seçenek 2 - Azure İşlevleri El ile Dağıtımı

Vectra veri bağlayıcısını Azure İşlevleri (Visual Studio Code aracılığıyla dağıtım) ile el ile dağıtmak için aşağıdaki adım adım yönergeleri kullanın.

1. İşlev Uygulaması Dağıtma

NOT: VS kodunu Azure işlev geliştirme için hazırlamanız gerekir.

Azure İşlev Uygulaması dosyasını indirin. Arşivi yerel geliştirme bilgisayarınıza ayıklayın.
VS Code’u başlatın. Ana menüde Dosya'yı ve ardından Klasörü Aç'ı seçin.
Ayıklanan dosyalardan en üst düzey klasörü seçin.
Etkinlik çubuğunda Azure simgesini seçin, ardından Azure: İşlevler alanında İşlev uygulamasına dağıt düğmesini seçin. Henüz oturum açmadıysanız Etkinlik çubuğunda Azure simgesini seçin, ardından Azure: İşlevler alanında Azure'da oturum aç'ı seçin. Zaten oturum açtıysanız sonraki adıma gidin.
İstemlerde aşağıdaki bilgileri sağlayın:

a. Klasör seçin: Çalışma alanınızdan bir klasör seçin veya işlev uygulamanızı içeren bir klasöre göz atın.

b. Abonelik: Kullanılacak aboneliği seçin.

c. Azure'da yeni İşlev Uygulaması oluştur'u seçin (Gelişmiş seçeneğini belirleme)

d. İşlev uygulaması için genel olarak benzersiz bir ad girin: URL yolunda geçerli bir ad yazın. Yazdığınız ad, Azure İşlevleri benzersiz olduğundan emin olmak için doğrulanır. (ör. VECTRAXXXXXX).

e. Çalışma zamanı seçin: Python 3.8 veya üzerini seçin.

f. Yeni kaynaklar için bir konum seçin. Daha iyi performans ve daha düşük maliyetler için Microsoft Sentinel'in bulunduğu bölgeyi seçin.
Dağıtım başlar. İşlev uygulamanız oluşturulduktan sonra bir bildirim görüntülenir ve dağıtım paketi uygulanır.
İşlev Uygulaması yapılandırması için Azure Portal'a gidin.

2. İşlev Uygulamasını Yapılandırma

İşlev Uygulamasında İşlev Uygulaması Adı'nı ve ardından Yapılandırma'yı seçin.
Uygulama ayarları sekmesinde + Yeni uygulama ayarı'nı seçin.
Aşağıdaki uygulama ayarlarının her birini ilgili değerleriyle (büyük/küçük harfe duyarlı) tek tek ekleyin:
- Çalışma Alanı Kimliği
- Çalışma Alanı Anahtarı
- Vectra Temel URL'si https://<vectra-portal-url>
- Vectra İstemci Kimliği - Sistem Durumu
- Vectra İstemci Gizli Anahtarı - Sistem Durumu
- Vectra İstemci Kimliği - Varlık Puanlaması
- Vectra İstemci Gizli Anahtarı - Varlık Puanlaması
- Vectra İstemci Kimliği - Algılamalar
- Vectra İstemci Gizli Anahtarı - Algılamalar
- Vectra İstemci Kimliği - Denetimler
- Vectra İstemci Gizli Anahtarı - Denetimler
- Vectra İstemci Kimliği - Kilitleme
- Vectra İstemci Gizli Anahtarı - Kilitleme
- StartTime (AA/GG/YYYY HH:MM:SS Biçiminde)
- Denetimler Tablo Adı
- Algılamalar Tablo Adı
- Varlık Puanlama Tablo Adı
- Kilitleme Tablo Adı
- Sistem Durumu Tablo Adı
- Günlük Düzeyi (Varsayılan: BİlGİ)
- Kilitleme Zamanlaması
- Sistem Durumu Zamanlaması
- Algılama Zamanlaması
- Denetim Zamanlaması
- Varlık Puanlama Zamanlaması
- logAnalyticsUri (isteğe bağlı)

Ayrılmış bulut için log analytics API uç noktasını geçersiz kılmak için logAnalyticsUri kullanın. Örneğin, genel bulut için değeri boş bırakın; Azure GovUS bulut ortamı için değeri şu biçimde belirtin: https://<CustomerId>.ods.opinsights.azure.us.

Tüm uygulama ayarları girildikten sonra Kaydet'e tıklayın.

Sonraki adımlar

Daha fazla bilgi için Azure Market ilgili çözüme gidin.

Share via