Подключение платформы аналитики угроз к Microsoft Sentinel

Многие организации используют решения платформы аналитики угроз (TIP) для агрегирования каналов индикаторов угроз из различных источников. Из агрегированного веб-канала данные курируются для применения к решениям безопасности, таким как сетевые устройства, решения EDR/XDR или решения для управления информационной безопасностью и событиями безопасности (SIEM), такие как Microsoft Sentinel. С помощью соединителя данных TIP эти решения можно использовать для импорта индикаторов угроз в Microsoft Sentinel.

Так как соединитель данных TIP работает с API tiIndicators Microsoft Graph Security для выполнения этого процесса, вы можете использовать соединитель для отправки индикаторов в Microsoft Sentinel (и в другие решения безопасности Майкрософт, такие как Defender XDR) из любого другого пользовательского tip, который может взаимодействовать с этим API.

Узнайте больше об аналитике угроз в Microsoft Sentinel и, в частности, о продуктах TIP, которые можно интегрировать с Microsoft Sentinel.

Предварительные условия

• Чтобы установить, обновить и удалить автономное содержимое или решения в центре содержимого, вам потребуется роль участника Microsoft Sentinel на уровне группы ресурсов.
• Чтобы предоставить разрешения продукту TIP или любому другому пользовательскому приложению, использующим прямую интеграцию с API индикаторов TI Microsoft Graph, необходимо иметь роль администратора безопасности Microsoft Entra или эквивалентные разрешения.
• Для хранения индикаторов угроз необходимо иметь разрешения на чтение и запись в рабочей области Microsoft Sentinel.

Инструкции

Чтобы импортировать индикаторы угроз в Microsoft Sentinel из интегрированного решения TIP или пользовательского решения для аналитики угроз, выполните следующие действия.

1. Получите идентификатор приложения и секрет клиента из Microsoft Entra ID.
2. Введите эти сведения в решение TIP или пользовательское приложение.
3. Включите соединитель данных TIP в Microsoft Sentinel.

Зарегистрируйтесь для получения идентификатора приложения и секрета клиента из Microsoft Entra ID

Независимо от того, работаете ли вы с подсказкой или пользовательским решением, API tiIndicators требует некоторых основных сведений, чтобы вы могли подключить к нему веб-канал и отправить ему индикаторы угроз. Вам потребуется следующее:

• Идентификатор приложения (клиента)
• Идентификатор каталога (клиента)
• Секрет клиента

Эти сведения можно получить от Microsoft Entra ID с помощью регистрации приложения, которая включает в себя следующие три шага:

• Зарегистрируйте приложение с помощью Microsoft Entra ID.
• Укажите разрешения, необходимые приложению для подключения к API tiIndicators Microsoft Graph и отправки индикаторов угроз.
• Получите согласие вашей организации на предоставление этих разрешений этому приложению.

Регистрация приложения с помощью Microsoft Entra ID

1. В портал Azure перейдите к Microsoft Entra ID.

2. В меню выберите Регистрация приложений, а затем — Новая регистрация.

3. Выберите имя для регистрации приложения, выберите Один клиент, а затем — Зарегистрировать.

   

4. На открываемом экране скопируйте значения идентификатора приложения (клиента) и идентификатора каталога (клиента). Эти два элемента потребуются позже, чтобы настроить подсказку или пользовательское решение для отправки индикаторов угроз в Microsoft Sentinel. Третий фрагмент необходимой информации, секрет клиента, приходит позже.

Укажите разрешения, необходимые приложению

1. Назад на главную страницу Microsoft Entra ID.

2. В меню выберите Регистрация приложений, а затем выберите только что зарегистрированное приложение.

3. В меню выберите Разрешения> APIДобавить разрешение.

4. На странице Выбор API выберите API Microsoft Graph . Затем выберите разрешения Microsoft Graph из списка.

5. В командной строке Какой тип разрешений требуется приложению? выберите Разрешения приложения. Это разрешение является типом, используемым приложениями, которые проходят проверку подлинности с помощью идентификатора приложения и секретов приложения (ключей API).

6. Выберите ThreatIndicators.ReadWrite.OwnedBy, а затем выберите Добавить разрешения , чтобы добавить это разрешение в список разрешений приложения.

   

Получите согласие вашей организации на предоставление этих разрешений

1. Для предоставления согласия требуется привилегированная роль. Дополнительные сведения см. в разделе Предоставление согласия администратора на уровне клиента приложению.

   

2. После предоставления согласия приложению вы увидите зеленый проверка метку в разделе Состояние.

После регистрации приложения и предоставления разрешений необходимо получить секрет клиента для приложения.

1. Назад на главную страницу Microsoft Entra ID.

2. В меню выберите Регистрация приложений, а затем выберите только что зарегистрированное приложение.

3. В меню выберите Сертификаты & секреты. Затем выберите Новый секрет клиента , чтобы получить секрет (ключ API) для приложения.

   

4. Выберите Добавить, а затем скопируйте секрет клиента.

   Важно!

   Прежде чем покинуть этот экран, необходимо скопировать секрет клиента. Вы не сможете получить этот секрет снова, если уйдете с этой страницы. Это значение требуется при настройке tip или настраиваемого решения.

Ввод этих сведений в решение TIP или пользовательское приложение

Теперь у вас есть все три элемента информации, необходимые для настройки tip или настраиваемого решения для отправки индикаторов угроз в Microsoft Sentinel:

• Идентификатор приложения (клиента)
• Идентификатор каталога (клиента)
• Секрет клиента

При необходимости введите эти значения в конфигурацию интегрированного решения TIP или пользовательского решения.

1. Для целевого продукта укажите Azure Sentinel. (Указание Microsoft Sentinel приводит к ошибке.)

2. Для действия укажите оповещение.

После завершения настройки индикаторы угроз отправляются из tip или пользовательского решения через API tiIndicators Microsoft Graph, предназначенный для Microsoft Sentinel.

Включение соединителя данных TIP в Microsoft Sentinel

Последним шагом в процессе интеграции является включение соединителя данных TIP в Microsoft Sentinel. Включение соединителя позволяет Microsoft Sentinel получать индикаторы угроз, отправленные из подсказки или пользовательского решения. Эти индикаторы доступны для всех Microsoft Sentinel рабочих областей вашей организации. Чтобы включить соединитель данных TIP для каждой рабочей области, выполните следующие действия.

1. Для Microsoft Sentinel в портал Azure в разделе Управление содержимым выберите Центр содержимого.
   Для Microsoft Sentinel на портале Defender выберите Microsoft Sentinel>Центр содержимого управления> Клиентами.

2. Найдите и выберите решение Аналитика угроз .

3. Нажмите кнопку Установка и обновление .

   Дополнительные сведения об управлении компонентами решения см. в статье Обнаружение и развертывание готового содержимого.

4. Чтобы настроить соединитель данных TIP, выберитеСоединители данных конфигурации>.

5. Найдите и выберите соединитель данных Threat Intelligence Platform — BEING DEPRECATED , а затем выберите Открыть страницу соединителя.

6. Так как вы уже завершили регистрацию приложения и настроили подсказку или настраиваемое решение для отправки индикаторов угроз, остается только выбрать подключиться.

Через несколько минут индикаторы угроз должны начать поступать в эту рабочую область Microsoft Sentinel. Новые индикаторы можно найти на панели Аналитика угроз, доступ к которой можно получить из меню Microsoft Sentinel.

Связанные материалы

Из этой статьи вы узнали, как подключить tip к Microsoft Sentinel с помощью метода в пути для устаревания. Сведения о подключении tip с помощью рекомендуемого метода см. в статье Подключение tip с помощью API отправки.

• Узнайте, как получить представление о данных и потенциальных угрозах.
• Приступая к обнаружению угроз с помощью Microsoft Sentinel.