Использование STIX/TAXII для импорта и экспорта аналитики угроз в Microsoft Sentinel

Формат данных STIX и протокол TAXII являются наиболее широко принятыми отраслевыми стандартами для передачи аналитики угроз. Microsoft Sentinel поддерживает интеграцию с платформами аналитики угроз с помощью стандартов и предоставляет встроенные соединители для импорта и экспорта аналитики угроз.

Используйте соединитель данных TAXII для импорта индикаторов угроз из серверов TAXII 2.0 или 2.1 в рабочую область Sentinel. Чтобы совместно использовать аналитику угроз во внешнем режиме, настройте соединитель аналитики угроз — TAXII Export, который обеспечивает безопасный экспорт на основе стандартов на поддерживаемых платформах TAXII 2.1.

В этой статье рассматриваются оба процесса: подключение к веб-каналам STIX/TAXII для импорта и настройки экспорта на серверы TAXII.

Узнайте больше об аналитике угроз в Microsoft Sentinel и, в частности, о каналах аналитики угроз TAXII, которые можно интегрировать с Microsoft Sentinel.

Дополнительные сведения см. в статье "Подключение платформы аналитики угроз" (TIP) к Microsoft Sentinel.

Предварительные условия

• Чтобы установить, обновить и удалить автономное содержимое или решения в Центре контента, вам потребуется роль участника Microsoft Sentinel на уровне группы ресурсов.
• Необходимо иметь корневой URI API TAXII 2.0 или TAXII 2.1 и идентификатор коллекции.

Получите корень API сервера TAXII и идентификатор коллекции

Серверы TAXII 2.x рекламируют корневые API, которые являются URL-адресами, в которых размещаются коллекции разведывательной информации об угрозах. Обычно можно найти корневой каталог API и идентификатор коллекции на страницах документации поставщика аналитики угроз, на котором размещен сервер TAXII.

Установка решения аналитики угроз в Microsoft Sentinel

Чтобы импортировать индикаторы угроз в Microsoft Sentinel с сервера TAXII или экспортировать индикаторы угроз из Microsoft Sentinel, установите решение аналитики угроз:

1. Для Microsoft Sentinel в портал Azure в разделе "Управление содержимым" выберите центр контента.

   Для Microsoft Sentinel в портале Defender выберите Microsoft Sentinel>Управление содержимым>Центр содержимого.

2. Найдите и выберите решение аналитики угроз.

3. Нажмите кнопку "Установить и обновить".

Дополнительные сведения об управлении компонентами решения см. в разделе "Обнаружение и развертывание содержимого из коробки".

** Активируйте соединитель данных Threat Intelligence — TAXII

Чтобы настроить соединитель данных TAXII, выполните следующие действия.

1. Выберите меню соединителей данных .

2. Найдите и выберите соединитель данных Threat Intelligence - TAXII, затем выберите Открыть страницу соединителя.

   

3. Введите имя для этой коллекции сервера TAXII в текстовом поле «Дружественное имя». Заполните текстовые поля для корневого URL-адреса API, идентификатора коллекции, имени пользователя (при необходимости) и пароля (при необходимости). Выберите группу индикаторов и нужную частоту опроса. Выберите Добавить.

   

Необходимо получить подтверждение успешного установления подключения к серверу TAXII. Повторите последний шаг столько раз, сколько требуется подключиться к нескольким коллекциям с одного или нескольких серверов TAXII.

В течение нескольких минут индикаторы угроз должны начать поступать в эту рабочую область Microsoft Sentinel. Найдите новые индикаторы на панели аналитики угроз. Доступ к нему можно получить из меню Microsoft Sentinel.

Список разрешенных IP-адресов для клиента Microsoft Sentinel TAXII

На некоторых серверах TAXII, таких как FS-ISAC, имеются требования сохранять IP-адреса клиента TAXII Microsoft Sentinel в списке разрешенных адресов. Для большинства серверов TAXII это требование отсутствует.

При необходимости следующие IP-адреса — это адреса, которые необходимо включить в список разрешений:

Включить соединитель экспорта данных TAXII для анализа угроз

Чтобы настроить соединитель данных TAXII, выполните следующие действия.

1. Убедитесь, что у вас есть последняя версия решения аналитики угроз в Microsoft Sentinel. Дополнительные сведения см. в разделе "Установка решения аналитики угроз" в Microsoft Sentinel.

2. Выберите меню соединителей данных .

3. Выберите коннектор данных Threat intelligence - TAXII Export, а затем на боковой панели выберите Открыть страницу соединителя.

   

4. В области конфигурации на странице TAXII-экспорта аналитической информации об угрозах:

   • Введите имя для этой коллекции серверов TAXII в текстовом поле "Понятное имя" (для сервера).
   • Заполните текстовые поля для корневого URL-адреса API, идентификатора коллекции. Дополнительные сведения см. в разделе "Получение корневого API и идентификатора коллекции" API сервера TAXII.
   • Выберите обычную проверку подлинности или ключ API в раскрывающемся списке типа проверки подлинности и укажите соответствующие сведения о проверке подлинности.
   • Выберите "Включить правила ", чтобы применить правила, описанные на странице соединителя, ко всем экспортируемым аналитикам угроз.

   Рассмотрим пример.

   • Портал Defender
   • Портал Azure

   

   Примечание.

   Изменение существующих соединителей в настоящее время не поддерживается. Чтобы изменить конфигурацию сервера TAXII или его правил, переустановите соединитель.

5. Нажмите кнопку "Добавить ", чтобы добавить сервер.

Список разрешенных IP-адресов для соединителя экспорта TAXII "Аналитика угроз"

Добавьте эти IP-адреса в список разрешений, чтобы убедиться, что операции экспорта не блокируются:

Связанный контент

Из этой статьи вы узнали, как подключить Microsoft Sentinel к источникам данных об угрозах с помощью протокола TAXII. Дополнительные сведения о работе с аналитикой угроз в Microsoft Sentinel см. в следующих статьях:

• Работа с аналитикой угроз Microsoft Sentinel