分享方式：

適用於 Microsoft Sentinel 的 GreyNoise Threat Intelligence (使用 Azure Functions) 連接器

  • 文章

此資料連接器會安裝 Azure 函式應用程式，以每天下載一次 GreyNoise 指標，並將其插入 Microsoft Sentinel 的 ThreatIntelligenceIndicator 資料表中。

這是自動產生的內容。 如需變更，請連絡解決方案提供者。

連接器屬性

連接器屬性 描述
記錄分析資料表 ThreatIntelligenceIndicator
資料收集規則支援 目前不支援
支援者 GreyNoise

查詢範例

所有威脅情報 API 指標

ThreatIntelligenceIndicator 
| where SourceSystem == 'GreyNoise'
| sort by TimeGenerated desc

必要條件

若要與 GreyNoise Threat Intelligence 整合 (使用 Azure Functions)，請確定您有：

廠商安裝指示

您可以依照下列步驟，將 GreyNoise Threat Intelligence 連線至 Microsoft Sentinel：

下列步驟會建立 Microsoft Entra ID 應用程式、擷取 GreyNoise API 金鑰，並將值儲存在 Azure 函式 應用程式組態 中。

  1. 從 GreyNoise 視覺化檢視擷取您的 API 金鑰。

從 GreyNoise 視覺化檢視產生 API 金鑰 https://docs.greynoise.io/docs/using-the-greynoise-api

  1. 在您的 Microsoft Entra ID 租使用者中，建立Microsoft Entra ID 應用程式，並取得租使用者標識碼和用戶端識別符。 此外，取得與您的Microsoft Sentinel 實例相關聯的Log Analytics工作區標識碼（應該如下所示）。

請遵循這裡的指示來建立您的 Microsoft Entra ID 應用程式，並儲存您的用戶端標識碼和租使用者標識碼：/azure/sentinel/connect-threat-intelligence-upload-api#指示注意：等到步驟 5 產生您的客戶端密碼。

  1. 將Microsoft Sentinel 參與者角色指派給Microsoft Entra ID 應用程式。

請依照這裡的指示新增Microsoft Sentinel 參與者角色：/azure/sentinel/connect-threat-intelligence-upload-api#assign-a-role-to-the-application

  1. 指定 Microsoft Entra 識別符許可權，以啟用 MS Graph API 對上傳指標 API 的存取。

請遵循本節，將 'ThreatIndicators.ReadWrite.OwnedBy' 許可權新增至 Microsoft Entra ID 應用程式：/azure/sentinel/connect-threat-intelligence-tip#specify-the-permissions-required-by-the-application。 回到您的 Microsoft Entra ID 應用程式，請確定您已為剛新增的許可權授與系統管理員同意。 最後，在 [權杖和 API] 區段中，產生用戶端密碼並加以儲存。 在步驟 6 會用到此資訊。

  1. 部署威脅情報 （預覽） 解決方案，其中包含威脅情報上傳指標 API （預覽）

請參閱此解決方案的 Microsoft Sentinel 內容中樞，並將其安裝在Microsoft Sentinel 實例中。

  1. 部署 Azure Function

按一下 [部署至 Azure] 按鈕。

部署至 Azure

為每個參數填入適當的值。 請注意，GREYNOISE_CLASSIFICATIONS參數的唯一有效值是良性、惡意和/或未知，必須以逗號分隔。

  1. 將指標傳送至 Sentinel

在步驟 6 中安裝的函式應用程式會每天查詢一次 GreyNoise GNQL API，並將 STIX 2.1 格式中的每個指標提交至 Microsoft 上傳威脅情報指標 API。 除非在下一天的查詢中找到，否則每個指標都會在建立后 24 小時內到期。 在此情況下，TI 指標的有效 直到 時間再延長 24 小時，這會在 Sentinel Microsoft保持作用中。

如需 GreyNoise API 和 GreyNoise 查詢語言 （GNQL） 的詳細資訊， 請按兩下這裡。

下一步

如需詳細資訊，請移至 Azure Marketplace 中的相關解決方案。