Udostępnij przez

Łączenie usługi Microsoft Sentinel ze źródłem danych za pomocą usługi Azure Functions

Usługi Azure Functions można używać w połączeniu z różnymi językami kodowania, takimi jak PowerShell lub Python, aby utworzyć łącznik bezserwerowy do punktów końcowych interfejsu API REST zgodnych źródeł danych. Aplikacje funkcji platformy Azure umożliwiają następnie łączenie usługi Microsoft Sentinel z interfejsem API REST źródła danych w celu ściągnięcia dzienników.

W tym artykule opisano sposób konfigurowania usługi Microsoft Sentinel na potrzeby korzystania z aplikacji funkcji platformy Azure. Może być również konieczne skonfigurowanie systemu źródłowego, a linki do informacji specyficznych dla dostawcy i produktu możesz znaleźć na stronie każdego łącznika danych w portalu lub w sekcji poświęconej łącznikom danych usługi Microsoft Sentinel w dokumentacji.

Uwaga

  • Po pozyskaniu danych przez usługę Microsoft Sentinel, są one przechowywane w geograficznej lokalizacji obszaru roboczego, w którym działa Microsoft Sentinel.

    W przypadku długoterminowego przechowywania można również przechowywać dane w typach dzienników, takich jak dzienniki pomocnicze. Aby uzyskać więcej informacji, zobacz Plany przechowywania dzienników w usłudze Microsoft Sentinel.

  • Użycie usługi Azure Functions do pozyskiwania danych do usługi Microsoft Sentinel może spowodować dodatkowe koszty pozyskiwania danych. Aby uzyskać więcej informacji, zobacz stronę cennika usługi Azure Functions.

Wymagania wstępne

Upewnij się, że masz następujące uprawnienia i poświadczenia przed użyciem usługi Azure Functions, aby połączyć usługę Microsoft Sentinel ze źródłem danych i ściągnąć jego dzienniki do usługi Microsoft Sentinel:

  • Musisz mieć uprawnienia do odczytu i zapisu w obszarze roboczym usługi Microsoft Sentinel.

  • Musisz mieć uprawnienia do odczytu do kluczy współdzielonych dla obszaru roboczego. Dowiedz się więcej o kluczach obszaru roboczego.

  • Aby utworzyć aplikację funkcji, musisz mieć uprawnienia do odczytu i zapisu w usłudze Azure Functions. Dowiedz się więcej o usłudze Azure Functions.

  • Do uzyskiwania dostępu do interfejsu API produktu będą również potrzebne poświadczenia — nazwa użytkownika i hasło, token, klucz lub inna kombinacja. Mogą być również potrzebne inne informacje o interfejsie API, takie jak identyfikator URI punktu końcowego.

    Aby uzyskać więcej informacji, zobacz dokumentację usługi, z którą nawiązujesz połączenie, i sekcję dotyczącą usługi na stronie dokumentacji łączników danych usługi Microsoft Sentinel.

  • Zainstaluj rozwiązanie, które zawiera łącznik oparty na Azure Functions z Content Hub w programie Microsoft Sentinel. Aby uzyskać więcej informacji, zobacz Odnajdywanie gotowej zawartości usługi Microsoft Sentinel i zarządzanie nią.

Konfigurowanie i łączenie źródła danych

Uwaga

  • Klucze autoryzacyjne obszaru roboczego i interfejsu API lub tokeny można bezpiecznie przechowywać w Azure Key Vault. Usługa Azure Key Vault zapewnia bezpieczny mechanizm przechowywania i pobierania wartości kluczy. Postępuj zgodnie z tymi instrukcjami , aby używać usługi Azure Key Vault z aplikacją funkcji platformy Azure.

  • Niektóre łączniki danych zależą od analizatora opartego na funkcji Kusto, która działa zgodnie z oczekiwaniami. Zobacz sekcję dotyczącą Twojej usługi na referencyjnej stronie łączników danych Microsoft Sentinel, aby uzyskać odnośniki do instrukcji dotyczących tworzenia funkcji Kusto i aliasu.

Krok 1: Uzyskaj poświadczenia API systemu źródłowego

Postępuj zgodnie z instrukcjami systemu źródłowego, aby uzyskać poświadczenia interfejsu API / klucze autoryzacji / tokeny. Skopiuj i wklej je do pliku tekstowego na później.

Szczegółowe informacje na temat dokładnych poświadczeń, których będziesz potrzebować, oraz linki do instrukcji Twojego produktu dotyczących ich znajdowania lub tworzenia, można znaleźć na stronie łącznika danych w portalu oraz w sekcji dla Twojej usługi na stronie referencyjnej łączników danych usługi Microsoft Sentinel.

Może być również konieczne skonfigurowanie rejestrowania lub innych ustawień w systemie źródłowym. Odpowiednie instrukcje znajdziesz razem z tymi w poprzednim akapicie.

Krok 2. Wdrażanie łącznika i skojarzonej aplikacji funkcji platformy Azure

Wybieranie opcji wdrożenia

Ta metoda umożliwia automatyczne wdrożenie łącznika opartego na platformie Azure Functions przy użyciu szablonu ARM.

  1. W portalu usługi Microsoft Sentinel wybierz pozycję Łączniki danych. Wybierz łącznik oparty na Azure Functions z listy, a następnie Otwórz stronę łącznika.

  2. W obszarze Konfiguracja skopiuj identyfikator obszaru roboczego usługi Microsoft Sentinel i klucz podstawowy i wklej je na bok.

  3. Wybierz pozycję Wdróż na platformie Azure. (Może być konieczne przewinięcie w dół, aby znaleźć przycisk).

  4. Pojawi się ekran niestandardowego wdrażania.

    • Wybierz subskrypcję, grupę zasobów i region, w którym chcesz wdrożyć aplikację funkcji.

    • Wprowadź poświadczenia interfejsu API / klucze autoryzacji / tokeny zapisane w kroku 1 powyżej.

    • Wprowadź identyfikator obszaru roboczego i klucz obszaru roboczego usługi Microsoft Sentinel (klucz podstawowy), które zostały skopiowane i odłożone na bok.

      Uwaga

      Jeśli używasz sekretów usługi Azure Key Vault dla dowolnej z powyższych wartości, użyj @Microsoft.KeyVault(SecretUri={Security Identifier}) schematu zamiast wartości ciągu. Aby uzyskać więcej informacji, zapoznaj się z dokumentacją referencyjną usługi Key Vault.

    • Uzupełnij wszystkie inne pola w formularzu na ekranie niestandardowe wdrożenie. Zobacz stronę swojego łącznika danych w portalu lub sekcję dotyczącą Twojej usługi na stronie referencyjnej łączników danych Microsoft Sentinel.

    • Wybierz pozycję Przejrzyj i utwórz. Po zakończeniu walidacji wybierz pozycję Utwórz.

Znajdowanie danych

Po pomyślnym nawiązaniu połączenia dane są wyświetlane w Dzienniki pod CustomLogs, w tabelach wymienionych w sekcji dotyczącej Twojej usługi na stronie odniesienie do łączników danych Microsoft Sentinel.

Aby wykonywać zapytania dotyczące danych, wprowadź jedną z tych nazw tabel — lub odpowiedni alias funkcji Kusto — w oknie zapytania.

Zobacz kartę Następne kroki na stronie łącznika, aby zapoznać się z przydatnymi przykładowymi zapytaniami.

Weryfikowanie łączności

Wyświetlenie dzienników w usłudze Log Analytics może potrwać do 20 minut.

Następne kroki

W tym dokumencie przedstawiono sposób łączenia usługi Microsoft Sentinel ze źródłem danych przy użyciu łączników opartych na usłudze Azure Functions. Aby dowiedzieć się więcej o usłudze Microsoft Sentinel, zobacz następujące artykuły:

  • Last updated on