共用方式為

透過適用於 Microsoft Sentinel 的舊版代理程式連接器的 [已淘汰] Illumio Core

  • 發行項

Illumio Core 資料連接器提供將 Illumio Core 記錄內嵌至 Microsoft Sentinel 的功能。

連接器屬性

連接器屬性 描述
記錄分析資料表 CommonSecurityLog (IllumioCore)
資料收集規則支援 工作區轉換 DCR
支援者 Microsoft

查詢範例

前 10 大事件類型

IllumioCoreEvent

| where isnotempty(EventType)
 
| summarize count() by EventType

| top 10 by count_

廠商安裝指示

注意：此資料連接器取決於以 Kusto 函數為基礎的剖析器，如預期般運作，部署為解決方案的一部分。 若要在 Log Analytics 中檢視函式程式碼，請開啟 [Log Analytics/Microsoft Sentinel 記錄] 刀鋒視窗，按一下 [函式] 並搜尋別名 IllumioCoreEvent，然後載入函式程式碼，或按一下這裡。在解決方案安裝/更新之後，函式通常需要 10-15 分鐘才能啟用，並將 Illumio Core 事件對應至 Microsoft Sentinel 資訊模型 (ASIM)。

  1. Linux Syslog 代理程式的設定

安裝並設定 Linux 代理程式以收集常見事件格式 (CEF) 的 Syslog 訊息，然後將這些訊息轉送至 Microsoft Sentinel。

請注意，所有區域的資料皆會儲存在選取的工作區中

1.1 選取或建立 Linux 電腦

選取或建立 Linux 機器，Microsoft Sentinel 將使用此機器做為您的安全性解決方案與 Microsoft Sentinel 之間的 Proxy。此機器可以在您的內部部署環境、Azure 或其他雲端中。

1.2 在 Linux 電腦上安裝 CEF 收集器

在 Linux 機器上安裝 Microsoft Monitoring Agent，將該機器設定為在必要的連接埠上接聽並將訊息轉送至您的 Microsoft Sentinel 工作區。 CEF 收集器會在連接埠 514 TCP 上收集 CEF 訊息。

  1. 請使用下列命令 python -version，確定您的機器上有 Python。
  1. 您在機器上必須具有更高的權限 (sudo)。

請執行下列命令安裝及套用 CEF 收集器:

sudo wget -O cef_installer.py https://raw.githubusercontent.com/Azure/Azure-Sentinel/master/DataConnectors/CEF/cef_installer.py&&sudo python cef_installer.py {0} {1}

  1. 設定 Ilumio Core 以使用 CEF 傳送記錄

2.1 設定事件格式

  1. 從 PCE Web 主控台功能表，選擇 [設定] > [事件設定] 來檢視目前的設定。

  2. 按一下 [編輯] 以變更設定。

  3. 將 [事件格式] 設定為 CEF。

  4. (選擇性) 設定 [事件嚴重性] 和 [保留期間]。

2.2 設定事件轉送至外部 syslog 伺服器

  1. 從 PCE Web 主控台功能表，選擇 [設定] > [事件設定]。

  2. 按一下新增。

  3. 按一次 [新增存放庫]。

  4. 完成 [新增存放庫] 對話方塊。

  5. 按一下 [確定] 以儲存事件轉送組態。

  6. 驗證連線

依照指示驗證您的連線：

開啟 Log Analytics，檢查是否使用 CommonSecurityLog 結構描述接收記錄。

連線將資料串流至您的工作區可能需要 20 分鐘的時間。

若未收到記錄，請執行下列連線驗證指令碼：

  1. 請使用下列命令 python -version，確定您的機器上有 Python
  1. 您在機器上必須具有更高的權限 (sudo)

請執行下列命令驗證您的連線：

sudo wget -O cef_troubleshoot.py https://raw.githubusercontent.com/Azure/Azure-Sentinel/master/DataConnectors/CEF/cef_troubleshoot.py&&sudo python cef_troubleshoot.py {0}

  1. 保護您的機器

請務必根據組織的安全性原則設定機器的安全性

深入了解>

下一步

如需詳細資訊，請移至 Azure Marketplace 中的相關解決方案。