Sentinel용 Lansweeper 앱(미리 보기)

MS Sentinel Platform의 Lansweeper 앱 통합은 조사 작업을 구현하고 최종 사용자가 아래에 언급된 작업의 조합으로 사용 사례를 구현할 수 있도록 합니다. 권한 부여: 논리 앱에서 권한 부여 토큰을 사용하여 Lansweeper API와의 연결을 인증합니다. 권한 있는 사이트 나열: 권한 있는 사이트 목록을 검색합니다. 헌트 IP 또는 헌트 MAC: 지정된 사이트 ID 및 IP 주소 또는 MAC 주소에 대한 Lansweeper 플랫폼에서 자산 세부 정보를 가져옵니다.

이 커넥터는 다음 제품 및 지역에서 사용할 수 있습니다.

MSFT Sentinel용 Lansweeper 앱을 사용하면 SOC 팀 구성원이 IT 자산 검색 및 식별의 Lansweeper 기능을 활용하여 Microsoft Logic App을 통해 자동화할 수 있습니다.

최종 사용자가 아래에 언급된 작업의 조합을 사용하여 가능한 Lansweeper 플랫폼에서 사용 사례를 구현할 수 있습니다.

인증: 사용자 지정 커넥터를 사용하여 논리 앱을 만듭니다. 논리 앱의 API 키를 사용하여 Lansweeper API와의 연결을 인증합니다.
권한 있는 사이트 나열: 권한 있는 사이트 목록을 검색합니다.
헌트 IP: 지정된 사이트 ID 및 IP 주소에 대한 Lansweeper 플랫폼에서 자산 세부 정보를 가져옵니다.
헌트 MAC: 지정된 사이트 ID 및 MAC 주소에 대한 Lansweeper 플랫폼의 자산 세부 정보를 제공합니다.

필수 조건

• Azure 구독
• Lansweeper API 권한 부여 토큰

Lansweeper API 연결에 대한 권한 부여 토큰을 가져오는 방법

개인 애플리케이션을 참조하여 Lansweeper API 권한 부여 토큰 가져오기

커넥터를 사용하는 방법

Steps

계속하려면 다음이 필요합니다.

1. 논리 앱 디자이너를 → Azure Logic App으로 이동합니다.
2. 요구 사항에 따라 트리거를 선택합니다.
3. 새 단계를 선택한 다음 작업 추가를 선택합니다.
4. Sentinel용 Lansweeper 앱 커넥터를 검색한 다음 해당 커넥터와 연결된 작업을 선택합니다.
5. 위 단계에서 생성한 연결 이름 및 API 키 토큰을 입력합니다. Lansweeper API 연결에 대한 권한 부여 토큰을 가져오는 방법.
6. 아래에 언급된 GraphQL 쿼리를 사용하여 권한 있는 사이트 나열, IP 사냥 및 MAC 사냥 작업을 수행합니다.

[권한 있는 사이트 나열]: 사이트 ID 가져오기

{
  authorizedSites
  {
    sites 
    {
      id
      name
    }
  }
}

[헌트 IP]: IP 주소를 사용하여 자산 세부 정보 가져오기

query getAssetResources 
{
  site(id: "{Site ID value}") 
  {
    assetResources
    (
      assetPagination: { limit: 20, page: {Currentpage value}, cursor: {Cursor value}}
      fields: 
      [
        "assetBasicInfo.name"
        "assetBasicInfo.userDomain"
        "assetBasicInfo.description"
        "assetBasicInfo.mac"
        "assetCustom.model"
        "batteries.availability"
        "graphicsCards.manufacturer"
        "networkAdapters.macAddress"
        "networks.ipAddressV4"
        "url"
      ]
      filters: 
      {
        conjunction: AND
        conditions: 
        [
          {
            operator: LIKE
            path: "assetBasicInfo.ipAddress"
            value: "{IP Address value}"
          }
        ]
      }
    ) 
    {
      total
      pagination 
      {
        limit
        current
        next
        page
      }
      items
    }
  }
}

• {사이트 ID 값}: 자산 세부 정보를 가져와야 하는 사이트 ID
• {Currentpage value}: 현재 페이지의 값으로 FIRST, LAST 또는 NEXT를 지정해야 합니다.
   현재 및 다음과 같은 필드에는 커서라고 하는 항목이 포함됩니다. 이러한 커서는 현재 페이지를 채워야 하는 요소를 나타냅니다.
   자세한 내용은 링크를 참조 하세요.
• {커서 값}: 이전 페이지는 커서 현재 및 페이지 PREV와 동일한 방식으로 가져올 수 있습니다.
   Currentpage 값을 FIRST 또는 LAST에 사용하는 경우 커서는 무시됩니다.
   자세한 내용은 링크를 참조 하세요.
• {IP 주소 값}: IP 주소를 조회하여 자산 세부 정보 가져오기

[헌트 MAC]: MAC 주소를 사용하여 자산 세부 정보 가져오기

query getAssetResources 
{
  site(id: "{Site ID value}") 
  {
    assetResources
    (
      assetPagination: { limit: 20, page: {Currentpage value}, cursor: {Cursor value}}
      fields: 
      [
        "assetBasicInfo.name"
        "assetBasicInfo.userDomain"
        "assetBasicInfo.description"
        "assetBasicInfo.mac"
        "assetCustom.model"
        "batteries.availability"
        "graphicsCards.manufacturer"
        "networkAdapters.macAddress"
        "networks.ipAddressV4"
        "url"
      ]
      filters: 
      {
        conjunction: AND
        conditions: 
        [
          {
            operator: LIKE
            path: "assetBasicInfo.mac"
            value: "{MAC Address value}"
          }
        ]
      }
    ) 
    {
      total
      pagination 
      {
        limit
        current
        next
        page
      }
      items
    }
  }
}

• {사이트 ID 값}: 자산 세부 정보를 가져와야 하는 사이트 ID
• {Currentpage value}: 현재 페이지의 값으로 FIRST, LAST 또는 NEXT를 지정해야 합니다.
   현재 및 다음과 같은 필드에는 커서라고 하는 항목이 포함됩니다. 이러한 커서는 현재 페이지를 채워야 하는 요소를 나타냅니다.
   자세한 내용은 링크를 참조 하세요.
• {커서 값}: 이전 페이지는 커서 현재 및 페이지 PREV와 동일한 방식으로 가져올 수 있습니다.
   Currentpage 값을 FIRST 또는 LAST에 사용하는 경우 커서는 무시됩니다.
   자세한 내용은 링크를 참조 하세요.
• {MAC 주소 값}: MAC 주소를 조회하여 자산 세부 정보 가져오기

연결을 만드는 중

커넥터는 다음 인증 유형을 지원합니다.

기본값

적용 가능: 모든 지역

연결을 만들기 위한 매개 변수입니다.

공유 가능한 연결이 아닙니다. 전원 앱이 다른 사용자와 공유되면 다른 사용자에게 새 연결을 명시적으로 만들라는 메시지가 표시됩니다.

제한 한도

동작

사이트 ID 및 자산 세부 정보 목록 가져오기