Интеграция Splunk с Microsoft Defender для Интернета вещей

В этой статье описывается, как интегрировать Splunk с Microsoft Defender для Интернета вещей, чтобы просматривать сведения о Splunk и Defender для Интернета вещей в одном месте.

Совместное просмотр информации Defender для Интернета вещей и Splunk предоставляет аналитикам SOC многомерное представление о специализированных протоколах OT и устройствах IIoT, развернутых в промышленных средах, а также аналитике поведения с поддержкой ICS для быстрого обнаружения подозрительного или аномального поведения.

Если вы выполняете интеграцию со Splunk, рекомендуется использовать собственную надстройку безопасности OT Splunk для Splunk. Дополнительные сведения см. в разделе:

Надстройка безопасности OT для Splunk поддерживается как для облачной, так и для локальной интеграции.

Интеграция на основе облака

Совет

Интеграция безопасности на основе облака обеспечивает ряд преимуществ по сравнению с локальными решениями, такими как централизованное, простое управление датчиками и централизованный мониторинг безопасности.

Другие преимущества включают мониторинг в режиме реального времени, эффективное использование ресурсов, повышение масштабируемости и надежности, улучшенную защиту от угроз безопасности, упрощенное обслуживание и обновления, а также простую интеграцию со сторонними решениями.

Чтобы интегрировать подключенный к облаку датчик со Splunk, рекомендуется использовать надстройку безопасности OT для Splunk.

Локальные интеграции

Если вы работаете с локально управляемым датчиком с воздушным зазором, вы также можете настроить датчик для отправки файлов системного журнала непосредственно в Splunk или использовать Встроенный API Defender для Интернета вещей.

Дополнительные сведения см. в разделе:

Локальная интеграция (устаревшая версия)

В этом разделе описывается интеграция Defender для Интернета вещей и Splunk с помощью устаревшего приложения CyberX ICS Threat Monitoring for Splunk .

Важно!

Устаревшее приложение CyberX ICS Threat Monitoring for Splunk поддерживается до октября 2024 г. с помощью датчика версии 23.1.3 и не будет поддерживаться в следующих основных версиях программного обеспечения.

Клиентам, использующим устаревшее приложение CyberX ICS Threat Monitoring for Splunk, рекомендуется использовать один из следующих методов:

Microsoft Defender для Интернета вещей официально называется CyberX. Ссылки на CyberX относятся к Defender для Интернета вещей.

Предварительные условия

Перед началом работы убедитесь, что у вас есть следующие предварительные требования:

Предварительные условия Описание
Требования к версии Для запуска приложения требуются следующие версии:
— Defender для Интернета вещей версии 2.4 и более поздних.
— Splunkbase версии 11 и выше.
— Splunk Enterprise версии 7.2 и выше.
Требования к разрешениям Убедитесь, что у вас есть:
— доступ к датчику OT Defender для Интернета вещей в качестве пользователя Администратор.
— пользователь Splunk с ролью пользователя Администратор уровня.

Примечание.

Приложение Splunk можно установить локально (Splunk Enterprise) или запустить в облаке (Splunk Cloud). Интеграция Splunk вместе с Defender для Интернета вещей поддерживает только Splunk Enterprise.

Скачивание приложения Defender для Интернета вещей в Splunk

Чтобы получить доступ к приложению Defender для Интернета вещей в Splunk, необходимо скачать приложение из хранилища приложений Splunkbase.

Чтобы получить доступ к приложению Defender для Интернета вещей в Splunk, выполните следующие действия:

  1. Перейдите к хранилищу приложений Splunkbase .

  2. Найдите CyberX ICS Threat Monitoring for Splunk.

  3. Выберите приложение CyberX ICS Threat Monitoring for Splunk.

  4. НАЖМИТЕ КНОПКУ ВХОД ДЛЯ СКАЧИВАНИЯ.

Дальнейшие действия