Поделиться через

Подключение Microsoft Sentinel к источнику данных с помощью функций Azure

Функции Azure можно использовать в сочетании с различными языками программирования, такими как PowerShell или Python, для создания бессерверного соединителя для конечных точек REST API совместимых источников данных. Затем приложения-функции Azure позволяют подключать Microsoft Sentinel к REST API источника данных для извлечения журналов.

В этой статье описывается настройка Microsoft Sentinel для использования приложений-функций Azure. Вам также может потребоваться настроить исходную систему, и вы можете найти ссылки на сведения о поставщиках и продуктах на странице каждого соединителя данных на портале или раздел службы на странице ссылок на соединители данных Microsoft Sentinel .

Note

  • После приема в Microsoft Sentinel данные хранятся в географическом расположении рабочей области, в которой выполняется Microsoft Sentinel.

    Для долгосрочного хранения также может потребоваться хранить данные в типах журналов, таких как вспомогательные журналы. Дополнительные сведения см. в планах хранения журналов в Microsoft Sentinel.

  • Использование Функций Azure для приема данных в Microsoft Sentinel может привести к дополнительным затратам на прием данных. Дополнительные сведения см. на странице цен на Функции Azure .

Prerequisites

Убедитесь, что у вас есть следующие разрешения и учетные данные перед использованием Функций Azure для подключения Microsoft Sentinel к источнику данных и извлечения журналов в Microsoft Sentinel:

Настройка и подключение источника данных

Note

  • Вы можете безопасно хранить рабочие области и ключи авторизации API или маркеры в Azure Key Vault. Azure Key Vault предоставляет безопасный механизм для хранения и извлечения значений ключей. Следуйте этим инструкциям , чтобы использовать Azure Key Vault с приложением-функцией Azure.

  • Некоторые соединители данных зависят от средства синтаксического анализа на основе функции Kusto для работы должным образом. См. раздел службы на странице справки по соединителям данных Microsoft Sentinel для ссылок на инструкции по созданию функции Kusto и псевдонима.

Шаг 1. Получение учетных данных API исходной системы

Следуйте инструкциям исходной системы, чтобы получить свои учетные данные API, ключи авторизации и токены. Скопируйте и вставьте их в текстовый файл для последующего копирования.

Вы можете найти подробные сведения о нужных учетных данных и ссылки на инструкции продукта по поиску или созданию, на странице соединителя данных на портале и в разделе для службы на странице справки по соединителям данных Microsoft Sentinel .

Также может потребоваться настроить ведение журнала или другие параметры в исходной системе. Вы найдете соответствующие инструкции вместе с этими инструкциями в предыдущем абзаце.

Шаг 2. Развертывание соединителя и связанного приложения-функции Azure

Выбор варианта развертывания

Этот метод обеспечивает автоматическое развертывание соединителя на основе функций Azure с помощью шаблона ARM.

  1. На портале Microsoft Sentinel выберите соединители данных. Выберите соединитель на основе функций Azure в списке, а затем откройте страницу соединителя.

  2. В разделе "Конфигурация" скопируйте идентификатор рабочей области Microsoft Sentinel и первичный ключ и вставьте их в сторону.

  3. Выберите Развернуть в Azure. (Возможно, вам придется прокрутить вниз, чтобы найти кнопку.)

  4. Откроется экран пользовательского развертывания .

    • Выберите подписку, группу ресурсов и регион , в котором необходимо развернуть приложение-функцию.

    • Введите учетные данные API, ключи авторизации и маркеры, сохраненные на шаге 1 выше.

    • Введите идентификатор рабочей области Microsoft Sentinel и ключ рабочей области (первичный ключ), скопированный и отложенный.

      Note

      При использовании секретов Azure Key Vault для любого из указанных выше значений используйте схему @Microsoft.KeyVault(SecretUri={Security Identifier}) вместо строковых значений. Дополнительные сведения см. в документации по Key Vault.

    • Заполните все другие поля в форме на экране пользовательского развертывания . На портале или на странице справки по соединителям данных Microsoft Sentinel см. страницу соединителей данных Microsoft Sentinel .

    • Выберите Review + create. После завершения проверки нажмите кнопку "Создать".

Поиск данных

После успешного подключения данные отображаются в журналах в customLogs, в таблицах, перечисленных в разделе для службы на странице ссылок соединителей данных Microsoft Sentinel.

Чтобы запросить данные, введите одно из этих имен таблиц или соответствующий псевдоним функции Kusto в окне запроса.

Перейдите на вкладку "Дальнейшие действия " на странице соединителя для некоторых полезных примеров запросов.

Проверка подключения

До тех пор, пока журналы не будут отображаться в Log Analytics, может потребоваться до 20 минут.

Дальнейшие шаги

В этом документе вы узнали, как подключить Microsoft Sentinel к источнику данных с помощью соединителей на основе функций Azure. Ознакомьтесь с дополнительными сведениями о Microsoft Sentinel в следующих статьях:

  • Last updated on