[사용되지 않음] Microsoft Sentinel용 레거시 코드리스 커넥터 만들기

이 이전 레거시 버전의 CCP를 기반으로 데이터 커넥터를 유지 관리하거나 업데이트해야 하는 경우 이 문서를 참조하세요.

CCP는 파트너, 고급 사용자 및 개발자에게 사용자 지정 커넥터를 만들고, 연결하고, Microsoft Sentinel에 데이터를 수집할 수 있는 기능을 제공합니다. CCP를 통해 만든 커넥터는 API, ARM 템플릿 또는 Microsoft Sentinel 콘텐츠 허브의 솔루션으로 배포할 수 있습니다.

CCP를 사용하여 만든 커넥터는 서비스 설치에 대한 요구 사항 없이 완전히 SaaS이며 Microsoft Sentinel의 상태 모니터링 및 전폭적인 지원을 포함합니다.

Microsoft Sentinel의 데이터 커넥터 페이지 모양에 대한 설정과 연결이 작동하는 방식을 정의하는 폴링 설정을 사용하여 JSON 구성을 정의하여 데이터 커넥터를 만듭니다.

다음 단계를 사용하여 CCP 커넥터를 만들고 Microsoft Sentinel에서 데이터 원본에 연결합니다.

이 문서에서는 API, ARM 템플릿 또는 Microsoft Sentinel 솔루션을 통해 커넥터를 배포하기 위한 CCP JSON 구성 및 절차에 사용되는 구문을 설명합니다.

필수 조건

커넥터를 빌드하기 전에 데이터 원본의 동작 방식과 Microsoft Sentinel을 연결하는 방법을 정확하게 이해하는 것이 좋습니다.

예를 들어 성공적인 연결에 필요한 인증, 페이지 매김 및 API 엔드포인트 유형을 알아야 합니다.

커넥터 JSON 구성 파일 만들기

사용자 지정 CCP 커넥터에는 배포에 필요한 두 개의 기본 JSON 섹션이 있습니다. 이러한 영역을 입력하여 커넥터가 Azure Portal에 표시되는 방법과 Microsoft Sentinel을 데이터 원본에 연결하는 방법을 정의합니다.

• connectorUiConfig; Microsoft Sentinel의 데이터 커넥터 페이지에 표시되는 시각적 요소 및 텍스트를 정의합니다. 자세한 내용은 커넥터의 사용자 인터페이스 구성을 참조하세요.

• pollingConfig; Microsoft Sentinel이 데이터 원본에서 데이터를 수집하는 방법을 정의합니다. 자세한 내용은 커넥터의 폴링 설정 구성을 참조하세요.

그런 다음 ARM을 통해 코드 없는 커넥터를 배포하는 경우 데이터 커넥터에 대한 ARM 템플릿에서 이러한 섹션을 래핑합니다.

다른 CCP 데이터 커넥터를 예제로 검토하거나 예제 템플릿 DataConnector_API_CCP_template.json(미리 보기)를 다운로드합니다.

커넥터의 사용자 인터페이스 구성

이 섹션에서는 데이터 커넥터 페이지의 사용자 인터페이스를 사용자 지정하는 데 사용할 수 있는 구성 옵션에 대해 설명합니다.

다음 이미지는 사용자 인터페이스의 주목할 만한 영역에 해당하는 숫자로 강조 표시된 샘플 데이터 커넥터 페이지를 보여 줍니다.

1. 제목입니다. 데이터 커넥터에 대해 표시되는 제목입니다.
2. 로고. 데이터 커넥터에 대해 표시되는 아이콘입니다. 이 사용자 지정은 솔루션의 일부로 배포할 때만 가능합니다.
3. 상태. 데이터 커넥터가 Microsoft Sentinel에 연결되어 있는지 여부를 나타냅니다.
4. 데이터 차트. 관련 쿼리와 지난 2주 동안 수집된 데이터의 양을 표시합니다.
5. 지침 탭. 사용자가 커넥터를 사용하도록 설정하기 전에 최소한의 유효성 검사 목록과 커넥터의 사용자 사용을 안내하는 지침이 포함된 필수 구성 요소 섹션이 포함되어 있습니다. 이 섹션에는 프로세스를 간소화하기 위해 텍스트, 단추, 폼, 테이블 및 기타 일반적인 위젯이 포함될 수 있습니다.
6. 다음 단계 탭 샘플 쿼리와 같이 이벤트 로그에서 데이터를 찾는 방법을 이해하는 데 유용한 정보가 포함되어 있습니다.

사용자 인터페이스를 connectorUiConfig 구성하는 데 필요한 섹션 및 구문은 다음과 같습니다.

이 모든 조각을 함께 배치하는 것은 복잡합니다. 커넥터 페이지 사용자 환경 유효성 검사 도구를 사용하여 함께 배치한 구성 요소를 테스트합니다.

데이터 유형

graphQueries

데이터 차트 창에서 지난 2주 동안의 데이터 수집을 표시하는 쿼리를 정의합니다.

모든 데이터 커넥터의 데이터 형식에 대해 하나의 쿼리를 제공하거나 각 데이터 형식에 대해 다른 쿼리를 제공합니다.

instructionSteps

이 섹션에서는 Microsoft Sentinel의 데이터 커넥터 페이지에 표시되는 지침 집합을 정의하는 매개 변수를 제공합니다.

지침

다양한 옵션을 매개 변수로 사용하고 더 많은 instructionSteps를 그룹에 중첩할 수 있는 명령 그룹을 표시합니다.

APIKey

자리 표시자 매개 변수를 사용하여 JSON 구성 파일 템플릿을 만들어 여러 커넥터에서 다시 사용하거나 현재 없는 데이터로 커넥터를 만들 수도 있습니다.

자리 표시자 매개 변수를 만들려면 다음 구문을 사용하여 CCP JSON 구성 파일의 지침 섹션에 명명된 userRequestPlaceHoldersInput 추가 배열을 정의합니다.

"instructions": [
                {
                  "parameters": {
                    "enable": "true",
                    "userRequestPlaceHoldersInput": [
                      {
                        "displayText": "Organization Name",
                        "requestObjectKey": "apiEndpoint",
                        "placeHolderName": "{{placeHolder}}"
                      }
                    ]
                  },
                  "type": "APIKey"
                }
              ]

매개 변수에는 userRequestPlaceHoldersInput 다음 특성이 포함됩니다.

복사 가능한 라벨

예제:

샘플 코드:

{
    "parameters": {
        "fillWith": [
            "WorkspaceId",
            "PrimaryKey"
            ],
        "label": "Here are some values you'll need to proceed.",
        "value": "Workspace is {0} and PrimaryKey is {1}"
    },
    "type": "CopyableLabel"
}

InfoMessage

인라인 정보 메시지의 예는 다음과 같습니다.

반면에, 다음 이미지는 인라인이 아닌 정보 메시지를 보여줍니다.

InstructionStepsGroup

확장 가능한 명령 그룹의 예는 다음과 같습니다.

자세한 예제는 Windows DNS 커넥터에 대한 구성 JSON을 참조하세요.

InstallAgent

일부 InstallAgent 형식은 단추로 표시되며 다른 유형은 링크로 표시됩니다. 다음은 두 가지 예입니다.

메타데이터

이 섹션에서는 설명 영역 아래의 데이터 커넥터 UI에 메타데이터를 제공합니다.

권한

자원 제공자

샘플 질의

다른 링크 옵션 구성

markdown을 사용하여 인라인 링크를 정의하려면 다음 예제를 사용합니다. 여기서는 지침 설명에 링크가 제공됩니다.

{
   "title": "",
   "description": "Make sure to configure the machine's security according to your organization's security policy\n\n\n[Learn more >](https://aka.ms/SecureCEF)"
}

링크를 ARM 템플릿으로 정의하려면 다음 예제를 가이드로 사용합니다.

{
   "title": "Azure Resource Manager (ARM) template",
   "description": "1. Click the **Deploy to Azure** button below.\n\n\t[![Deploy To Azure](https://aka.ms/deploytoazurebutton)]({URL to custom ARM template})"
}

데이터 커넥터 페이지 사용자 환경의 유효성 검사

다음 단계에 따라 커넥터 사용자 환경을 렌더링하고 유효성을 검사합니다.

1. 이 URL을 통해 테스트 유틸리티에 액세스할 수 있습니다. https://aka.ms/sentineldataconnectorvalidateurl
2. Microsoft Sentinel -> 데이터 커넥터로 이동
3. "가져오기" 단추를 클릭하고 데이터 커넥터의 섹션만 포함된 connectorUiConfig json 파일을 선택합니다.

이 유효성 검사 도구에 대한 자세한 내용은 GitHub 빌드 가이드의 커넥터 빌드 지침을 참조하세요.

커넥터의 폴링 설정을 구성하기

이 섹션에서는 코드 없는 데이터 커넥터에 대한 데이터 원본에서 데이터를 폴링하는 방법에 대한 구성을 설명합니다.

다음 코드는 CCP 구성 파일의 pollingConfig 섹션의 구문을 보여줍니다.

"pollingConfig": {
    "auth": {
    },
    "request": {
    },
    "response": {
    },
    "paging": {
    }
 }

섹션에는 pollingConfig 다음 속성이 포함됩니다.

자세한 내용은 Sample pollingConfig 코드를 참조하세요.

인증 구성

pollingConfig 구성의 섹션에는 authauthType 요소에 정의된 형식에 따라 다음 매개 변수가 포함됩니다.

기본 authType 매개 변수

APIKey authType 매개 변수

OAuth2 authType 매개 변수

Codeless Connector Platform은 OAuth 2.0 인증 코드 부여를 지원합니다.

인증 코드 부여 형식은 기밀 및 공용 클라이언트가 액세스 토큰에 대한 인증 코드를 교환하는 데 사용됩니다.

사용자가 리디렉션 URL을 통해 클라이언트로 돌아온 후 애플리케이션은 URL에서 인증 코드를 가져와 이를 사용하여 액세스 토큰을 요청합니다.

다음은 OAuth2 구성의 모양에 대한 예입니다.

"pollingConfig": {
    "auth": {
        "authType": "OAuth2",
        "authorizationEndpoint": "https://accounts.google.com/o/oauth2/v2/auth?access_type=offline&prompt=consent",
        "redirectionEndpoint": "https://portal.azure.com/TokenAuthorize",
        "tokenEndpoint": "https://oauth2.googleapis.com/token",
        "authorizationEndpointQueryParameters": {},
        "tokenEndpointHeaders": {
            "Accept": "application/json"
        },
        "TokenEndpointQueryParameters": {},
        "isClientSecretInHeader": false,
        "scope": "https://www.googleapis.com/auth/admin.reports.audit.readonly",
        "grantType": "authorization_code",
        "contentType": "application/x-www-form-urlencoded",
        "FlowName": "AuthCode"
    },

Session authType 매개 변수

구성 요청

pollingConfig 구성의 섹션에는 request 다음 매개 변수가 포함됩니다.

응답 구성

pollingConfig 구성의 섹션에는 response 다음 매개 변수가 포함됩니다.

다음 코드는 최상위 메시지에 대한 eventsJsonPaths 값의 예를 보여 줍니다.

"eventsJsonPaths": [
              "$"
            ]

페이징 구성

pollingConfig 구성의 섹션에는 paging 다음 매개 변수가 포함됩니다.

pollingConfig 샘플 코드

다음 코드는 CCP 구성 파일의 pollingConfig 섹션 예제를 보여 주는 코드입니다.

"pollingConfig": {
    "auth": {
        "authType": "APIKey",
        "APIKeyIdentifier": "token",
        "APIKeyName": "Authorization"
     },
     "request": {
        "apiEndpoint": "https://api.github.com/../{{placeHolder1}}/audit-log",
        "rateLimitQPS": 50,
        "queryWindowInMin": 15,
        "httpMethod": "Get",
        "queryTimeFormat": "yyyy-MM-ddTHH:mm:ssZ",
        "retryCount": 2,
        "timeoutInSeconds": 60,
        "headers": {
           "Accept": "application/json",
           "User-Agent": "Scuba"
        },
        "queryParameters": {
           "phrase": "created:{_QueryWindowStartTime}..{_QueryWindowEndTime}"
        }
     },
     "paging": {
        "pagingType": "LinkHeader",
        "pageSizeParaName": "per_page"
     },
     "response": {
        "eventsJsonPaths": [
          "$"
        ]
     }
}

Microsoft Sentinel에 커넥터 배포 및 데이터 수집 시작

사용자 인터페이스 및 폴링 구성을 포함하여 JSON 구성 파일을 만든 후 Microsoft Sentinel 작업 영역에 커넥터를 배포합니다.

1. 다음 옵션 중 하나를 사용하여 데이터 커넥터를 배포합니다.

   팁 (조언)

   ARM(Azure Resource Manager) 템플릿을 통해 배포하면 여러 값이 템플릿에 기본 제공되므로 API 호출에서 수동으로 정의할 필요가 없다는 장점이 있습니다.

   • ARM 템플릿을 통해 배포
   • API를 통해 배포

   ARM 템플릿에서 JSON 구성 컬렉션을 래핑하여 커넥터를 배포합니다. 데이터 커넥터가 올바른 작업 영역에 배포되도록 하려면 ARM 템플릿에서 작업 영역을 정의하거나 ARM 템플릿을 배포할 때 작업 영역을 선택해야 합니다.

   1. 커넥터에 대한 ARM 템플릿 JSON 파일을 준비합니다. 예를 들어 다음 ARM 템플릿 JSON 파일을 참조하세요.

      • Slack 솔루션의 데이터 커넥터
      • GitHub 솔루션의 데이터 커넥터

   2. Azure Portal에서 사용자 지정 템플릿 배포를 검색합니다.

   3. 사용자 지정 배포 페이지의 편집기 >로드 파일에서 사용자 고유의 템플릿 빌드를선택합니다. 로컬 ARM 템플릿을 찾아 선택한 다음 변경 내용을 저장합니다.

   4. 구독 및 리소스 그룹을 선택한 다음, 사용자 지정 커넥터를 배포할 Log Analytics 작업 영역을 입력합니다.

   5. 검토 + 만들기를 선택하여 사용자 지정 커넥터를 Microsoft Sentinel에 배포합니다.

   6. Microsoft Sentinel에서 데이터 커넥터 페이지로 이동하여 새 커넥터를 검색합니다. 데이터 수집을 시작하도록 구성합니다.

   자세한 내용은 Azure Resource Manager 설명서에서 로컬 템플릿 배포 를 참조하세요.

2. 데이터 원본을 연결하고 Microsoft Sentinel에 데이터 수집을 시작하도록 데이터 커넥터를 구성합니다. 기본 제공 데이터 커넥터와 마찬가지로 포털을 통해 또는 API를 통해 데이터 원본에 연결할 수 있습니다.

   Azure Portal을 사용하여 연결하면 사용자 데이터가 자동으로 전송됩니다. API를 통해 연결하는 경우 API 호출에서 관련 인증 매개 변수를 보내야 합니다.

   • Azure Portal을 통해 연결
   • API를 통해 연결

   Microsoft Sentinel 데이터 커넥터 페이지에서 제공한 지침에 따라 데이터 커넥터에 연결합니다.

   Microsoft Sentinel의 데이터 커넥터 페이지는 CCP JSON 구성 파일의 요소에 있는 InstructionSteps 구성에 connectorUiConfig 의해 제어됩니다. 사용자 인터페이스 연결에 문제가 있는 경우 인증 유형에 대한 올바른 구성이 있는지 확인합니다.

3. Microsoft Sentinel에서 로그 페이지로 이동하여 데이터 원본의 로그가 작업 영역으로 흐르는지 확인합니다.

Microsoft Sentinel로 데이터가 들어오지 않는 경우, 데이터 원본 설명서 및 문제 해결 리소스를 확인하고, 구성 세부 사항과 연결 상태를 확인하세요. 자세한 내용은 데이터 커넥터의 상태 모니터링을 참조하세요.

커넥터 연결 끊기

커넥터의 데이터가 더 이상 필요하지 않은 경우 커넥터의 연결을 끊어 데이터 흐름을 중지합니다.

다음 방법 중 하나를 사용하십시오.

• Azure Portal: Microsoft Sentinel 데이터 커넥터 페이지에서 연결을 끊습니다.

• API: DISCONNECT API를 사용하여 빈 본문이 있는 PUT 호출을 다음 URL로 보냅니다.

  https://management.azure.com /subscriptions/{{SUB}}/resourceGroups/{{RG}}/providers/Microsoft.OperationalInsights/workspaces/{{WS-NAME}}/providers/Microsoft.SecurityInsights/dataConnectors/{{Connector_Id}}/disconnect?api-version=2021-03-01-preview
  

다음 단계

아직 하지 않으셨다면, 코드가 필요 없는 새 데이터 커넥터를 Microsoft Sentinel 커뮤니티와 공유하세요! 데이터 커넥터에 대한 솔루션을 만들고 Microsoft Sentinel Marketplace에서 공유합니다.

자세한 내용은 참조하세요.

• Microsoft Sentinel 솔루션 정보
• 데이터 커넥터 ARM 템플릿 참조