[已淘汰]透過舊版代理程式連接器的 Illumio Core for Microsoft Sentinel

  • 發行項

Illumio Core 資料連線器提供將 Illumio Core 記錄內嵌至 Microsoft Sentinel 的功能。

連線or 屬性

連線or 屬性 描述
Log Analytics 資料表（s） CommonSecurityLog （IllumioCore）
資料收集規則支援 工作區轉換 DCR
支援者 Microsoft

查詢範例

前 10 個事件種類

IllumioCoreEvent

| where isnotempty(EventType)
 
| summarize count() by EventType

| top 10 by count_

廠商安裝指示

注意： 此資料連線器取決於以 Kusto 函式為基礎的剖析器，以如預期般運作，這會部署為解決方案的一部分。 若要在 Log Analytics 中檢視函式程式碼，請開啟 Log Analytics/Microsoft Sentinel Logs 刀鋒視窗，按一下 [函式]，然後搜尋別名 IllumioCoreEvent 並載入函式程式碼，或按一下 這裡 。在解決方案安裝/更新之後，函式通常需要 10-15 分鐘才能啟動，並將 Illumio Core 事件對應至 Microsoft Sentinel 資訊模型 （ASIM）。

  1. Linux Syslog 代理程式設定

安裝並設定 Linux 代理程式以收集您的一般事件格式 （CEF） Syslog 訊息，並將其轉送至 Microsoft Sentinel。

請注意，所有區域的資料皆會儲存在選取的工作區中

1.1 選取或建立 Linux 電腦

選取或建立 Microsoft Sentinel 將作為安全性解決方案與 Microsoft Sentinel 之間 Proxy 的 Linux 電腦，此電腦可以位於內部部署環境、Azure 或其他雲端上。

1.2 在 Linux 電腦上安裝 CEF 收集器

在 Linux 電腦上安裝 Microsoft Monitoring Agent，並將機器設定為在必要的埠上接聽，並將訊息轉寄至您的 Microsoft Sentinel 工作區。 CEF 收集器會收集埠 514 TCP 上的 CEF 訊息。

  1. 使用下列命令確定您的電腦上有 Python：python -version。
  1. 您在機器上必須具有更高的權限 (sudo)。

請執行下列命令安裝及套用 CEF 收集器:

sudo wget -O cef_installer.py https://raw.githubusercontent.com/Azure/Azure-Sentinel/master/DataConnectors/CEF/cef_installer.py&&sudo python cef_installer.py {0} {1}

  1. 設定 Ilumio Core 以使用 CEF 傳送記錄

2.1 設定事件格式

  1. 從 PCE Web 主控台功能表中，選擇 [設定 > 事件設定 來檢視目前的設定。

  2. 按一下 [ 編輯 ] 以變更設定。

  3. 將事件格式 設定 為 CEF。

  4. （選擇性）設定 事件嚴重性和 保留期間 。

2.2 設定事件轉送至外部 syslog 伺服器

  1. 從 PCE Web 主控台功能表中，選擇 [設定 > 事件設定 ]。

  2. 按一下新增。

  3. 按一下 [ 新增存放庫 ]。

  4. 完成 [新增存放 庫 ] 對話方塊。

  5. 按一下 [ 確定 ] 以儲存事件轉送組態。

  6. 驗證連線

請遵循指示來驗證您的連線能力：

開啟 Log Analytics 以檢查記錄是否使用 CommonSecurityLog 架構接收。

連線將資料串流至您的工作區可能需要大約 20 分鐘的時間。

如果未收到記錄，請執行下列連線驗證腳本：

  1. 使用下列命令確定您的電腦上有 Python：python -version
  1. 您必須在機器上擁有更高的許可權 （sudo）

執行下列命令來驗證您的連線能力：

sudo wget -O cef_troubleshoot.py https://raw.githubusercontent.com/Azure/Azure-Sentinel/master/DataConnectors/CEF/cef_troubleshoot.py&&sudo python cef_troubleshoot.py {0}

  1. 保護您的機器

請務必根據組織的安全性原則來設定電腦的安全性

深入了解>

下一步

如需詳細資訊，請移至 Azure Marketplace 中的相關解決方案 。