Использование STIX/TAXII для импорта и экспорта аналитики угроз в Microsoft Sentinel

STIX и TAXII — самые распространённые открытые стандарты для обмена разведданными об угрозах. Microsoft Sentinel имеет встроенные разъёмы, которые используют эти стандарты для импорта и экспорта данных об угрозах.

Используйте коннектор данных Threat Intelligence – TAXII для извлечения индикаторов угроз с серверов TAXII 2.0 или 2.1. Для отправки данных об угрозах на внешние платформы настройте коннектор Threat Intelligence – TAXII Export для экспорта TAXII 2.1.

В этой статье показано, как настроить как импорт, так и экспорт с помощью серверов TAXII.

Узнайте больше о информации об угрозах и лентах TAXII в Microsoft Sentinel.

Дополнительные сведения см. в статье Подключение платформы аналитики угроз (TIP) к Microsoft Sentinel.

Предварительные условия

Перед началом работы убедитесь, что у вас есть следующие предварительные требования:

• Чтобы установить, обновить и удалить автономное содержимое или решения в центре содержимого, вам потребуется роль участника Microsoft Sentinel на уровне группы ресурсов.
• Необходимо иметь корневой URI API TAXII 2.0 или TAXII 2.1 и идентификатор коллекции.

Получение корневого каталога и идентификатора коллекции API сервера TAXII

Серверы TAXII 2.x публикуют корневые URL API, то есть URL-адреса, на которых размещаются коллекции данных о киберугрозах. Как правило, корневой каталог API и идентификатор коллекции можно найти на страницах документации поставщика аналитики угроз, на котором размещен сервер TAXII.

Установка решения аналитики угроз в Microsoft Sentinel

Для импорта или экспорта индикаторов угроз с сервером TAXII установите решение Threat Intelligence:

1. Для Microsoft Sentinel в портал Azure в разделе Управление содержимым выберите Центр содержимого.

   Для Microsoft Sentinel на портале Defender выберите Microsoft Sentinel>Управление содержимым>Центр содержимого.

2. Найдите и выберите решение Аналитика угроз .

3. Нажмите кнопку Установка и обновление .

Чтобы управлять частями решения, смотрите раздел «Обнаружить и развернуть готовый контент».

Включите соединитель данных Threat Intelligence — TAXII

Чтобы настроить соединитель данных TAXII, выполните следующие действия:

1. Выберите меню Соединители данных .

2. Найдите и выберите соединитель данных Аналитика угроз — TAXII , а затем выберите Открыть страницу соединителя.

   

3. В текстовом поле имени Friendly введите имя этой коллекции серверов TAXII.

4. Заполните корневый URL API, идентификатор коллекции, имя пользователя (если нужно) и пароль (если нужно).

5. Выберите группу индикаторов и частоту опросов.

6. Нажмите Добавить.

   

Вы получите подтверждение успешного подключения к серверу TAXII. Повторите последний шаг столько раз, сколько нужно подключиться к нескольким коллекциям с одного или нескольких серверов TAXII.

Через несколько минут индикаторы угроз должны начать поступать в рабочее пространство Microsoft Sentinel. Найдите новые индикаторы на панели Аналитика угроз . Вы можете получить доступ к панели разведки угроз из меню Microsoft Sentinel.

Список разрешенных IP-адресов для клиента TAXII Microsoft Sentinel

Для некоторых серверов TAXII, таких как FS-ISAC, требуется сохранить IP-адреса клиента Microsoft Sentinel TAXII в списке разрешенных. Большинство серверов TAXII не имеют этого требования.

При необходимости следующие IP-адреса являются адресами, которые необходимо включить в список разрешенных:

Включение соединителя данных для аналитики угроз — TAXII Export data

Чтобы настроить соединитель экспорта Threat Intelligence — TAXII:

1. Убедитесь, что у вас есть последнее решение для разведки угроз. Для подробностей см. раздел «Установить решение для разведки угроз в Microsoft Sentinel».

2. Выберите меню Соединители данных .

3. Выберите разъём разведки угроз — экспорт данных TAXII. Затем выберите страницу Open connector в боковой панели.

   

4. В области Конфигурация на странице Аналитика угроз — экспорт TAXII :

   • В текстовом поле «Friendly name (for server) введите имя этого сервера.
   • Заполните корневый URL API и идентификатор коллекции. Для подробностей смотрите в разделе «Получить корень API сервера TAXII и идентификатор коллекции».
   • В выпадающем меню «Тип аутентификации » выберите ключ «Базовая аутентификация » или API. Затем введите свои учетные данные.
   • Выберите «Включить правила», чтобы применить правила страницы соединителя ко всем экспортируемым данным угрозы.

   Например, вы можете:

   • Портал Defender
   • Портал Azure

   

   Примечание.

   Редактирование существующих соединителей в настоящее время не поддерживается. Чтобы изменить конфигурацию сервера TAXII или его правил, переустановите соединитель экспорта TAXII.

5. Выберите Добавить , чтобы добавить сервер.

Список разрешенных IP-адресов для коннектора Threat Intelligence — TAXII Export

Добавьте следующие IP-адреса в список разрешенных, чтобы операции экспорта не блокировались:

Связанные материалы

Из этой статьи вы узнали, как подключить Microsoft Sentinel к каналам аналитики угроз с помощью протокола TAXII. Дополнительные сведения о работе с аналитикой угроз в Microsoft Sentinel см. в следующих статьях:

• Работа с аналитикой угроз Microsoft Sentinel