適用於 Microsoft Sentinel 的異常安全性（使用 Azure Functions）連接器

異常安全性數據連接器提供使用異常安全性 Rest API 將威脅和案例記錄擷取到 Microsoft Sentinel 的功能。

這是自動產生的內容。如需變更，請連絡解決方案提供者。

連線 or 屬性

連線 or 屬性	描述
應用程式設定	SENTINEL_WORKSPACE_ID SENTINEL_SHARED_KEY ABNORMAL_SECURITY_REST_API_TOKEN logAnalyticsUri （選擇性）（新增函數應用程式所需的任何其他設定）將值設定 `uri` 為： `<add uri value>`
Azure 函式應用程式程式代碼	https://aka.ms/sentinel-abnormalsecurity-functionapp
Log Analytics 數據表（s）	ABNORMAL_THREAT_MESSAGES_CL ABNORMAL_CASES_CL
數據收集規則支援	目前不支援
支援者：	異常安全性

所有異常安全性威脅記錄

ABNORMAL_THREAT_MESSAGES_CL

| sort by TimeGenerated desc

所有異常安全性案例記錄

ABNORMAL_CASES_CL

| sort by TimeGenerated desc

若要與 AbnormalSecurity 整合（使用 Azure Functions）請確定您有：

Microsoft.Web/sites 許可權：需要 Azure Functions 的讀取和寫入許可權，才能建立函式應用程式。請參閱檔以深入瞭解 Azure Functions。
異常安全性 API 令牌：需要異常安全性 API 令牌。請參閱檔以深入瞭解異常安全性 API。 注意： 需要異常安全性帳戶

注意

此連接器會使用 Azure Functions 連線到異常安全性的 REST API，以將記錄提取至 Microsoft Sentinel。這可能會導致額外的數據擷取成本。如需詳細資訊，請參閱 Azure Functions 定價頁面。

步驟 1 - 異常安全性 API 的設定步驟

請遵循異常安全性所提供的這些指示來設定 REST API 整合。 注意： 需要異常安全性帳戶

步驟 2 - 從下列兩個部署選項中選擇一個，以部署連接器和相關聯的 Azure 函式

重要事項：部署異常安全性數據連接器之前，請具有工作區標識符和工作區主鍵（可從下列內容複製），以及可供使用異常安全性 API 授權令牌。

選項 1 - Azure Resource Manager （ARM）範本

此方法提供使用ARM範本自動部署異常安全性連接器。

按兩下下方的 [ 部署至 Azure ] 按鈕。
選取慣用 的訂用帳戶、 資源群組 和位置。
輸入 Microsoft Sentinel 工作區識別碼、 Microsoft Sentinel 共用密鑰 和 異常安全性 REST API 密鑰。

默認 的時間間隔 設定為提取最後五分鐘的數據。如果需要修改時間間隔，建議您據以變更函式應用程式定時器觸發程式（在function.json檔案中，部署后）以防止重疊的數據擷取。

選項 2 - 手動部署 Azure Functions

使用下列逐步指示，透過 Azure Functions 手動部署異常安全性數據連接器（透過 Visual Studio Code 進行部署）。

1.部署函式應用程式

注意： 您必須準備 VS 程式代碼以進行 Azure 函式開發。

下載 Azure 函式應用程式檔案。將封存解壓縮到本機開發計算機。
啟動 VS Code。在主功能表中選擇 [檔案]，然後選取 [開啟資料夾]。
從擷取的檔案中選取最上層資料夾。
選擇 [活動] 列中的 Azure 圖示，然後在 [Azure： Functions ] 區域中，選擇 [ 部署至函式應用程式 ] 按鈕。如果您尚未登入，請選擇 [活動] 列中的 Azure 圖示，然後在 [Azure： Functions ] 區域中，選擇 [登入 Azure 如果您已經登入]，請移至下一個步驟。
提示中會提供下列資訊：

a. 選取資料夾：從您的工作區選擇一個資料夾，或瀏覽至其中一個包含您函數應用程式的資料夾。

b. 選取 [訂用帳戶： 選擇要使用的訂用帳戶]。

c. 在 Azure 中選取 [建立新的函式應用程式] （不要選擇 [進階] 選項）

d. 輸入函數應用程式的全域唯一名稱：鍵入 URL 路徑中的有效名稱。您輸入的名稱會進行驗證，以確定該名稱在 Azure Functions 中是唯一的。（例如 AbnormalSecurityXX）。

e. 選取運行時間： 選擇 Python 3.8。

f. 選取新資源的位置。為了獲得更好的效能和較低的成本，請選擇 Microsoft Sentinel 所在的相同區域。
部署將會開始。建立函式應用程式並套用部署套件之後，即會顯示通知。
移至 Azure 入口網站以取得函式應用程式設定。

2.設定函式應用程式

在函式應用程式中，選取 [函式應用程式名稱]，然後選取 [ 設定]。
在 [ 應用程式設定] 索引標籤中，選取 [+ 新增應用程式設定]。
個別新增下列每個應用程式設定，其各自的字串值（區分大小寫）：SENTINEL_WORKSPACE_ID SENTINEL_SHARED_KEY ABNORMAL_SECURITY_REST_API_TOKEN logAnalyticsUri （選擇性）（新增函數應用程式所需的任何其他設定）將值設定 uri 為： <add uri value>

注意：如果使用上述任何值的 Azure 金鑰保存庫秘密，請使用@Microsoft.KeyVault(SecretUri={Security Identifier})架構取代字串值。如需進一步的詳細數據，請參閱 Azure 金鑰保存庫參考檔。

使用 logAnalyticsUri 覆寫專用雲端的記錄分析 API 端點。例如，針對公用雲端，將值保留空白;針對 Azure GovUS 雲端環境，請以下列格式指定值： https://<CustomerId>.ods.opinsights.azure.us.