你当前正在访问 Microsoft Azure Global Edition 技术文档网站。如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。

适用于 Microsoft Sentinel 的 Netskope Data Connector（使用 Azure Functions）连接器

项目
06/04/2024

Netskope 数据连接器提供以下功能：

NetskopeToAzureStorage：从 Netskope 获取 Netskope Alerts 和 Events 数据，并将其发布到 Azure 存储。
StorageToSentinel：从 Azure 存储获取 Netskope Alerts 和 Events 数据，并将其发布到 Log Analytics 工作区中的自定义日志表。
WebTxMetrics：从 Netskope 获取 WebTxMetrics 数据，并将其发布到 Log Analytics 工作区中的自定义日志表。

有关 REST API 的更多详细信息，请参阅以下文档：

这是自动生成的内容。有关更改，请联系解决方案提供商。

连接器属性

连接器属性	说明
Log Analytics 表	alertscompromisedcredentialdata_CL alertsctepdata_CL alertsdlpdata_CL alertsmalsitedata_CL alertsmalwaredata_CL alertspolicydata_CL alertsquarantinedata_CL alertsremediationdata_CL alertssecurityassessmentdata_CL alertsubadata_CL eventsapplicationdata_CL eventsauditdata_CL eventsconnectiondata_CL eventsincidentdata_CL eventsnetworkdata_CL eventspagedata_CL Netskope_WebTx_metrics_CL
数据收集规则支持	目前不支持
支持的服务	Netskope

查询示例

Netskope CompromisedCredential Alerts 数据

alertscompromisedcredentialdata_CL

| sort by TimeGenerated desc

Netskope CTEP Alerts 数据

alertsctepdata_CL

| sort by TimeGenerated desc

Netskope DLP Alerts 数据

alertsdlpdata_CL

| sort by TimeGenerated desc

Netskope Malsite Alerts 数据

alertsmalsitedata_CL

| sort by TimeGenerated desc

Netskope Malware Alerts 数据

alertsmalwaredata_CL

| sort by TimeGenerated desc

Netskope Policy Alerts 数据

alertspolicydata_CL

| sort by TimeGenerated desc

Netskope Quarantine Alerts 数据

alertsquarantinedata_CL

| sort by TimeGenerated desc

Netskope Remediation Alerts 数据

alertsremediationdata_CL

| sort by TimeGenerated desc

Netskope SecurityAssessment Alerts 数据

alertssecurityassessmentdata_CL

| sort by TimeGenerated desc

Netskope Uba Alerts 数据

alertsubadata_CL

| sort by TimeGenerated desc

Netskope Application Events 数据。

eventsapplicationdata_CL

| sort by TimeGenerated desc

Netskope Audit Events 数据

eventsauditdata_CL

| sort by TimeGenerated desc

Netskope Connection Events 数据

eventsconnectiondata_CL

| sort by TimeGenerated desc

Netskope Incident Events 数据

eventsincidentdata_CL

| sort by TimeGenerated desc

Netskope Network Events 数据

eventsnetworkdata_CL

| sort by TimeGenerated desc

Netskope Page Events 数据

eventspagedata_CL

| sort by TimeGenerated desc

Netskope WebTransactions Metrics 数据

Netskope_WebTx_metrics_CL

| sort by TimeGenerated desc

先决条件

若要与 Netskope Data Connector（使用 Azure Functions）集成，请确保满足以下条件：

Azure 订阅：需要具有所有者角色的 Azure 订阅才能在 Azure Active Directory() 中注册应用程序并将贡献者角色分配给资源组中的应用程序。
Microsoft.Web/sites 权限：必须对 Azure Functions 拥有读写权限才能创建函数应用。请参阅文档以详细了解 Azure Functions。
REST API 凭据/权限：需要 Netskope 租户和 Netskope API 令牌。请参阅 Rest API 参考上的文档以了解 API 的详细信息

供应商安装说明

注意

此连接器使用 Azure Functions 连接到 Netskope API，将其 Alerts 和 Events 数据拉取到自定义日志表中。有关详细信息，请参阅 Azure Functions 定价页。

（可选步骤）将工作区和 API 授权密钥或令牌安全地存储在 Azure 密钥保管库中。 Azure Key Vault 提供了一种存储和检索键值的安全机制。按照这些说明，将 Azure Key Vault 与 Azure 函数应用结合使用。

步骤 1 - Microsoft Entra ID 中应用程序的应用注册步骤

此集成需要在 Azure 门户中进行应用注册。请按照本部分中的步骤在 Microsoft Entra ID 中创建新应用程序：

登录 Azure 门户。
搜索并选择 Microsoft Entra ID。
在“管理”下，选择“应用注册”>“新建注册”。
输入应用程序的显示名称。
选择“注册”，完成初始应用注册。
注册完成后，Azure 门户会显示应用注册的“概述”窗格。你可以看到“应用程序(客户端) ID”和“租户 ID”。执行 TriggersSync playbook 时，需要客户端 ID 和租户 ID 作为配置参数。

参考链接：/azure/active-directory/develop/quickstart-register-app

步骤 2 - 在 Microsoft Entra ID 中为应用程序添加客户端密码

客户端密码有时称为应用程序密码，是执行 TriggersSync playbook 所需的字符串值。请按照本部分中的步骤创建新的客户端密码：

在 Azure 门户中的“应用注册”中，选择你的应用程序。
选择“证书和机密”>“客户端密码”>“新建客户端密码”。
添加客户端机密的说明。
选择机密的过期时间，或指定自定义的生存期。限制为 24 个月。
选择添加。
记录机密的值，以便在客户端应用程序代码中使用。退出此页面后，此机密值永不再显示。 机密值是必需的，将作为执行 TriggersSync playbook 的配置参数。

参考链接：/azure/active-directory/develop/quickstart-register-app#add-a-client-secret

步骤 3 - 在 Microsoft Entra ID 中为应用程序分配参与者角色

请按照本部分中的步骤分配角色：

在 Azure 门户中，转到“资源组”并选择相应资源组。
从左侧面板转到“访问控制(IAM)”。
单击“添加”，然后选择“添加角色分配”。
选择“参与者”作为角色，然后单击“下一步”。
在“将访问权限分配给”中选择 User, group, or service principal。
单击“添加成员”，然后在键入你创建的应用名称并选择该应用。
现在，单击“查看 + 分配”，然后再次单击“查看 + 分配”。

参考链接：/azure/role-based-access-control/role-assignments-portal

步骤 4 - 为 Netskope 帐户创建/获取凭据的步骤

按照本部分中的步骤创建/获取 Netskope 主机名和 Netskope API 令牌：

登录到“Netskope 租户”，然后转到左侧导航栏上的“设置”菜单。
单击“工具”，然后单击“REST API v2”
现在，单击“新建令牌”按钮。然后，系统将询问令牌名称、有效期和要从中提取数据的终结点。
完成后，单击“保存”按钮，将生成令牌。复制令牌并将其保存在安全的位置，以便将来使用。

步骤 5 - 为 Netskope Alerts 和 Events 数据收集创建 Azure 函数的步骤

重要说明：部署 Netskope 数据连接器之前，请准备好工作区 ID 和工作区主密钥（可从以下位置复制）以及 Netskope API 授权密钥。

使用 ARM 模板部署函数应用，以便将 Netskope Alerts 和 Events 数据引入 Sentinel。

单击下面的“部署到 Azure” 按钮。
选择首选的“订阅”、“资源组”和“位置”。
输入以下信息：Netskope 主机名、Netskope API 令牌。在要获取警报和事件日志级别工作区 ID 工作区密钥的终结点的“警报和事件类型”下拉菜单中选择“是”
单击“查看 + 创建”。
验证后，单击“创建”进行部署。

后续步骤

有关详细信息，请转到 Azure 市场中的相关解决方案。

通过