共用方式為


適用於 Microsoft Sentinel 的 Netskope (使用 Azure Functions) 連接器

Netskope Cloud Security Platform 連接器提供將 Netskope 記錄和事件內嵌至 Microsoft Sentinel 的功能。 連接器提供 Microsoft Sentinel 中 Netskope 平臺事件和警示的可見度,以改善監視和調查功能。

這是自動產生的內容。 如需變更,請連絡解決方案提供者。

連線 or 屬性

連線 or 屬性 描述
應用程式設定 apikey
workspaceID
workspaceKey
uri
timeInterval
logTypes
logAnalyticsUri (選擇性)
Azure 函式應用程式程式代碼 https://raw.githubusercontent.com/Azure/Azure-Sentinel/master/Solutions/Netskope/Data%20Connectors/Netskope/AzureFunctionNetskope/run.ps1
Log Analytics 數據表(s) Netskope_CL
數據收集規則支援 目前不支援
支援者: Netskope

查詢範例

前10位使用者

Netskope

| summarize count() by SrcUserName 

| top 10 by count_

前10個警示

Netskope

| where isnotempty(AlertName) 

| summarize count() by AlertName 

| top 10 by count_

必要條件

若要與 Netskope 整合 (使用 Azure Functions) 請確定您有:

廠商安裝指示

注意

此連接器會使用 Azure Functions 連線到 Netskope,將記錄提取至 Microsoft Sentinel。 這可能會導致額外的數據擷取成本。 如需詳細資訊, 請參閱 Azure Functions 定價頁面

注意

此數據連接器取決於以 Kusto 函式為基礎的剖析器,以如預期般運作,這會部署為解決方案的一部分。 若要在 Log Analytics 中檢視函式程式代碼,請開啟 Log Analytics/Microsoft Sentinel Logs 刀鋒視窗,按兩下 [函式],然後搜尋別名 Netskope 並載入函式程式代碼,或按兩下 這裡,在查詢的第二行輸入 Netskope 裝置的主機名(s),以及記錄數據流的任何其他唯一標識符。 在解決方案安裝/更新之後,函式通常需要 10-15 分鐘才能啟動。

(選擇性步驟)安全地將工作區和 API 授權金鑰或令牌儲存在 Azure 金鑰保存庫 中。 Azure 金鑰保存庫 提供安全的機制來儲存和擷取密鑰值。 請遵循這些指示,搭配 Azure 函式應用程式使用 Azure 金鑰保存庫。

步驟 1 - Netskope API 的設定步驟

請遵循 Netskope 所提供的這些指示 來取得 API 令牌。 注意: 需要 Netskope 帳戶

步驟 2 - 從下列兩個部署選項中選擇一個,以部署連接器和相關聯的 Azure 函式

重要事項: 部署 Netskope 連接器之前,請具有工作區標識碼和工作區主鍵(可從下列內容複製),以及可供使用 Netskope API 授權令牌。

選項 1 - Azure Resource Manager (ARM) 範本

此方法會使用ARM Tempate提供Netskope連接器的自動化部署。

  1. 按兩下下方的 [ 部署至 Azure ] 按鈕。

    部署至 Azure

  2. 選取慣用 的訂用帳戶資源群組位置

  3. 輸入工作區標識碼工作區密鑰、API 金鑰URI

  • 針對值使用下列架構 urihttps://<Tenant Name>.goskope.com 以您的網域取代 <Tenant Name>
  • 默認 的時間間隔 設定為提取最後五分鐘的數據。 如果需要修改時間間隔,建議您據以變更函式應用程式定時器觸發程式(在function.json檔案中,部署后)以防止重疊的數據擷取。
  • 默認 的記錄類型 設定為提取所有 6 個可用的記錄類型 (alert, page, application, audit, infrastructure, network),移除任何不需要。
  • 注意:如果使用上述任何值的 Azure 金鑰保存庫 秘密,請使用@Microsoft.KeyVault(SecretUri={Security Identifier})架構取代字串值。 如需詳細資訊,請參閱 金鑰保存庫 參考檔
  1. 標示為 [我同意上述條款及條件] 的複選框。
  2. 按兩下 [ 購買 ] 以部署。
  3. 成功部署連接器之後,請下載 Kusto 函式將數據欄位正規化。 請依照步驟 使用 Kusto 函式別名 Netskope

選項 2 - 手動部署 Azure Functions

此方法提供使用 Azure Function 手動部署 Netskope 連接器的逐步指示。

1.建立函式應用程式

  1. 從 Azure 入口網站流覽至 [函式應用程式],然後選取 [ + 新增]。
  2. 在 [ 基本] 索引 標籤中,確定運行時間堆疊已設定為 Powershell Core
  3. 在 [ 裝載] 索引標籤中,確定已選取 [ 取用][無伺服器] 方案類型。
  4. 視需要進行其他偏好的組態變更,然後按兩下 [ 建立]。

2.匯入函式應用程式程式代碼

  1. 在新建立的 [函式應用程式] 中,選取 左窗格中的 [函式 ],然後按兩下 [ + 新增]。
  2. 選取 [ 定時器觸發程式]。
  3. 視需要輸入唯一的函式 名稱 並修改cron排程。 預設值設定為每隔 5 分鐘執行函式應用程式一次。 (注意:定時器觸發程序應該符合 timeInterval 下列值,以避免重迭的數據),按兩下 建立
  4. 按兩下左窗格上的 [ 程序代碼+ 測試 ]。
  5. 複製函 式應用程式程式代碼 並貼到函式應用程式 run.ps1 編輯器中。
  6. 按一下 [檔案] 。

3.設定函式應用程式

  1. 在函式應用程式中,選取 [函式應用程式名稱],然後選取 [ 設定]。
  2. 在 [ 應用程式設定] 索引標籤中,選取 [+ 新增應用程式設定]。
  3. 個別新增下列七個 (7) 個應用程式設定,其個別字串值(區分大小寫):apikey workspaceID workspaceKey uri timeInterval logTypes logAnalyticsUri (選擇性)
  • 輸入對應至您區域的 URI。 值 uri 必須遵循下列架構: https://<Tenant Name>.goskope.com - 不需要將子參數新增至 Uri,函式應用程式會以適當的格式動態附加參數。
  • timeInterval (以分鐘為單位) 設定為 的預設值 5 ,以對應至每 5 分鐘的預設定時器觸發程式。 如果需要修改時間間隔,建議您據以變更函數應用程式定時器觸發程式,以防止重疊的數據擷取。
  • logTypes將 設定為 alert, page, application, audit, infrastructure, network - 此清單代表所有 avaliable 記錄類型。 根據記錄需求選取記錄類型,以單一逗號分隔每個記錄類型。
  • 注意:如果使用 Azure 金鑰保存庫,請使用@Microsoft.KeyVault(SecretUri={Security Identifier})架構取代字串值。 如需詳細資訊,請參閱 金鑰保存庫 參考檔
  • 使用 logAnalyticsUri 覆寫專用雲端的記錄分析 API 端點。 例如,針對公用雲端,將值保留空白;針對 Azure GovUS 雲端環境,請以下列格式指定值: https://<CustomerId>.ods.opinsights.azure.us。 4.輸入所有應用程式設定後,按兩下 [ 儲存]。 5.成功部署連接器之後,請下載 Kusto 函式來正規化數據欄位。 請依照步驟 使用 Kusto 函式別名 Netskope

下一步

如需詳細資訊,請移至 Azure Marketplace 中的相關解決方案