Использование STIX/TAXII для импорта и экспорта аналитики угроз в Microsoft Sentinel

Формат данных STIX и протокол TAXII являются наиболее распространенными отраслевыми стандартами для передачи аналитики угроз. Microsoft Sentinel поддерживает интеграцию с платформами аналитики угроз с использованием стандартов и предоставляет встроенные соединители для импорта и экспорта аналитики угроз.

Используйте соединитель данных Аналитика угроз — TAXII для импорта индикаторов угроз с серверов TAXII 2.0 или 2.1 в рабочую область Sentinel. Чтобы совместно использовать аналитику угроз извне, настройте соединитель аналитики угроз — TAXII Export, который обеспечивает безопасный экспорт на основе стандартов на поддерживаемые платформы TAXII 2.1.

В этой статье описаны оба процесса: подключение к каналам STIX/TAXII для импорта и настройки экспорта на серверы TAXII.

Узнайте больше об аналитике угроз в Microsoft Sentinel и, в частности, о каналах аналитики угроз TAXII, которые можно интегрировать с Microsoft Sentinel.

Дополнительные сведения см. в статье Подключение платформы аналитики угроз (TIP) к Microsoft Sentinel.

Предварительные условия

• Чтобы установить, обновить и удалить автономное содержимое или решения в центре содержимого, вам потребуется роль участника Microsoft Sentinel на уровне группы ресурсов.
• Необходимо иметь корневой URI API TAXII 2.0 или TAXII 2.1 и идентификатор коллекции.

Получение корневого каталога и идентификатора коллекции API сервера TAXII

Серверы TAXII 2.x объявляют корни API, которые представляют собой URL-адреса, на которых размещаются коллекции аналитики угроз. Как правило, корневой каталог API и идентификатор коллекции можно найти на страницах документации поставщика аналитики угроз, на котором размещен сервер TAXII.

Установка решения аналитики угроз в Microsoft Sentinel

Чтобы импортировать индикаторы угроз в Microsoft Sentinel с сервера TAXII или экспортировать индикаторы угроз из Microsoft Sentinel, установите решение аналитики угроз:

1. Для Microsoft Sentinel в портал Azure в разделе Управление содержимым выберите Центр содержимого.

   Для Microsoft Sentinel на портале Defender выберите Microsoft Sentinel>Центр содержимого управления> Клиентами.

2. Найдите и выберите решение Аналитика угроз .

3. Нажмите кнопку Установка и обновление .

Дополнительные сведения об управлении компонентами решения см. в статье Обнаружение и развертывание готового содержимого.

Включение соединителя данных аналитики угроз — TAXII

Чтобы настроить соединитель данных TAXII, выполните следующие действия:

1. Выберите меню Соединители данных .

2. Найдите и выберите соединитель данных Аналитика угроз — TAXII , а затем выберите Открыть страницу соединителя.

   

3. Введите имя для этой коллекции серверов TAXII в текстовом поле Понятное имя . Введите в текстовые поля корневой URL-адрес API, идентификатор коллекции, имя пользователя (при необходимости) и пароль (при необходимости). Выберите группу индикаторов и нужную частоту опроса. Нажмите Добавить.

   

Вы получите подтверждение успешного подключения к серверу TAXII. Повторите последний шаг столько раз, сколько нужно подключиться к нескольким коллекциям с одного или нескольких серверов TAXII.

Через несколько минут индикаторы угроз должны начать поступать в эту рабочую область Microsoft Sentinel. Найдите новые индикаторы на панели Аналитика угроз . Доступ к нему можно получить из меню Microsoft Sentinel.

Список разрешенных IP-адресов для клиента TAXII Microsoft Sentinel

Для некоторых серверов TAXII, таких как FS-ISAC, требуется сохранить IP-адреса клиента Microsoft Sentinel TAXII в списке разрешенных. Большинство серверов TAXII не имеют этого требования.

При необходимости следующие IP-адреса являются адресами, которые необходимо включить в список разрешенных:

Включение соединителя данных для аналитики угроз — TAXII Export data

Чтобы настроить соединитель данных TAXII, выполните следующие действия:

1. Убедитесь, что в Microsoft Sentinel установлена последняя версия решения аналитики угроз. Дополнительные сведения см. в статье Установка решения аналитики угроз в Microsoft Sentinel.

2. Выберите меню Соединители данных .

3. Выберите соединитель Аналитика угроз — TAXII Экспорт данных, а затем выберите открыть страницу соединителя в боковой области.

   

4. В области Конфигурация на странице Аналитика угроз — экспорт TAXII :

   • Введите имя для этой коллекции серверов TAXII в текстовом поле Понятное имя (для сервера).
   • Введите в текстовые поля корневой URL-адрес API идентификатор коллекции. Дополнительные сведения см. в статье Получение корневого каталога и идентификатора коллекции API сервера TAXII.
   • Выберите обычную проверку подлинности или ключ API в раскрывающемся списке Тип проверки подлинности и укажите соответствующие сведения о проверке подлинности.
   • Выберите Включить правила , чтобы применить правила, описанные на странице соединителя, ко всем экспортируемым средствам аналитики угроз.

   Например, вы можете:

   • Портал Defender
   • Портал Azure

   

   Примечание.

   Редактирование существующих соединителей в настоящее время не поддерживается. Чтобы изменить конфигурацию сервера TAXII или его правила, переустановите соединитель.

5. Выберите Добавить , чтобы добавить сервер.

Список разрешенных IP-адресов для соединителя аналитики угроз — TAXII Export

Добавьте следующие IP-адреса в список разрешенных, чтобы операции экспорта не блокировались:

Связанные материалы

Из этой статьи вы узнали, как подключить Microsoft Sentinel к каналам аналитики угроз с помощью протокола TAXII. Дополнительные сведения о работе с аналитикой угроз в Microsoft Sentinel см. в следующих статьях:

• Работа с аналитикой угроз Microsoft Sentinel