Поддерживается:1Password

Соединитель CCF 1Password позволяет пользователю принимать события 1Password Audit, Signin & ItemUsage в Microsoft Sentinel.

Таблицы Log Analytics:

Поддержка правил сбора данных:DCR преобразования рабочей области

Необходимые условия:

• Токен API 1Пароль. Требуется маркер API 1Password. Сведения о создании маркера API см. в документации по 1Password .

Инструкции по настройке:

ШАГ 1. Создание маркера API 1Password:

Инструкции по этому шагу см. в документации по 1Password .

ШАГ 2. Выберите правильный базовый URL-адрес:

Существует несколько серверов 1Password, на которых могут размещаться события. Правильный сервер зависит от вашей лицензии и региона. Следуйте документации по 1Password , чтобы выбрать правильный сервер. Введите базовый URL-адрес, отображаемый в документации (включая "https://" и без конечного "/").

ШАГ 3. Введите сведения о 1Password:

Введите базовый URL-адрес 1Password & токена API ниже:

• Базовый URL-адрес: (введите базовый URL-адрес)
• Токен API: (введите маркер API)
• Включение и отключение подключения

Поддерживается:1Password

Решение 1Password для Microsoft Sentinel позволяет принимать попытки входа, использование элементов и события аудита из учетной записи 1Password Business с помощью API отчетов о событиях 1Password. Это позволяет отслеживать и исследовать события в 1Password в Microsoft Sentinel наряду с другими приложениями и службами, которые использует ваша организация.

Используемые базовые технологии Майкрософт:

Это решение зависит от следующих технологий, некоторые из которых могут находиться в состоянии предварительной версии или нести дополнительные затраты на прием или эксплуатацию:

• Функции Azure

Таблицы Log Analytics:

Поддержка правил сбора данных:DCR преобразования рабочей области

Необходимые условия:

• Разрешения Microsoft.Web/sites: требуются разрешения на чтение и запись для Функции Azure для создания приложения-функции. Дополнительные сведения см. в разделе Функции Azure.
• 1 Токен API событийПароль. Требуется маркер API событий 1Password. Дополнительные сведения см. в разделе API 1Password.

Примечание: Требуется учетная запись 1Password Business

Инструкции по настройке:

ПРИМЕЧАНИЕ: Этот соединитель использует Функции Azure для подключения к 1Password для извлечения журналов в Microsoft Sentinel. Это может привести к дополнительным затратам на прием данных из Azure. Дополнительные сведения см. на странице цен на Функции Azure.

(Необязательный шаг) Безопасное хранение ключей авторизации рабочей области и API или маркеров в Azure Key Vault. Azure Key Vault предоставляет безопасный механизм хранения и извлечения значений ключей. Следуйте этим инструкциям, чтобы использовать Azure Key Vault с приложением-функцией Azure.

ШАГ 1. Действия по настройке ДЛЯ API отчетов о событиях 1Password

Следуйте этим инструкциям , предоставленным 1Password, чтобы получить маркер API отчетов о событиях. Примечание: Требуется учетная запись 1Password Business

ШАГ 2. Развертывание функцииApp с помощью кнопки DeployToAzure для создания таблицы, dcr и связанной функции Azure

ВАЖНО: Перед развертыванием соединителя 1Password необходимо создать пользовательскую таблицу.

Вариант 1. Шаблон Azure Resource Manager (ARM)

Этот метод обеспечивает автоматическое развертывание соединителя 1Password с помощью tempate ARM.

1. Нажмите кнопку Развернуть в Azure ниже.

   aka.ms

2. Выберите предпочтительную подписку, группу ресурсов и расположение.

3. Введите имя рабочей области, имя рабочей области, ключ API событий 1Пароль и универсальный код ресурса (URI).

• Интервал времени по умолчанию — пять (5) минут. Если вы хотите изменить интервал, можно соответствующим образом настроить триггер таймера приложения-функции (в файле function.json после развертывания), чтобы предотвратить перекрывающийся прием данных.
• Примечание. При использовании секретов Azure Key Vault для любого из приведенных выше значений используйте схему@Microsoft.KeyVault(SecretUri={Security Identifier})вместо строковых значений. Дополнительные сведения см. в документации по Key Vault.

4. Установите флажок С меткой Я принимаю указанные выше условия.
5. Щелкните Приобрести , чтобы развернуть.

Поддерживается:аномальная безопасность

Соединитель данных Abnormal Security предоставляет возможность приема журналов угроз и случаев в Microsoft Sentinel с помощью REST API аномальной безопасности.

Таблицы Log Analytics:

Поддержка правил сбора данных: В настоящее время не поддерживается

Необходимые условия:

• Разрешения Microsoft.Web/sites: требуются разрешения на чтение и запись для Функции Azure для создания приложения-функции. Дополнительные сведения см. в разделе Функции Azure.
• Маркер аномального API безопасности. Требуется маркер аномального API безопасности. Дополнительные сведения см. в разделе Аномальные API безопасности. Примечание: Требуется аномальная учетная запись безопасности

Инструкции по настройке:

ПРИМЕЧАНИЕ: Этот соединитель использует Функции Azure для подключения к REST API аномальной безопасности для извлечения журналов в Microsoft Sentinel. Это может привести к дополнительным затратам на прием данных. Дополнительные сведения см. на странице цен на Функции Azure.

Шаг 1. Действия по настройке для аномального API безопасности

Чтобы настроить интеграцию REST API, следуйте этим инструкциям, приведенным в статье Аномальная безопасность. Примечание: Требуется аномальная учетная запись безопасности

ШАГ 2. Выберите один из следующих двух вариантов развертывания, чтобы развернуть соединитель и связанную функцию Azure

ВАЖНО: Перед развертыванием соединителя данных "Аномальная безопасность" необходимо иметь идентификатор рабочей области и первичный ключ рабочей области (можно скопировать из следующего кода), а также маркер авторизации аномальных API безопасности, доступный.

• Идентификатор рабочей области: <переменное значение, указанное во время установки>
• Первичный ключ: <значение переменной, указанное во время установки>

Вариант 1. Шаблон Azure Resource Manager (ARM)

Этот метод обеспечивает автоматическое развертывание соединителя аномальной безопасности с помощью шаблона ARM.

1. Нажмите кнопку Развернуть в Azure ниже.

   aka.ms

2. Выберите предпочтительную подписку, группу ресурсов и расположение.

3. Введите идентификатор рабочей области Microsoft Sentinel, Microsoft Sentinel общий ключ и аномальный ключ REST API безопасности.

• Интервал времени по умолчанию устанавливается для извлечения последних пяти (5) минут данных. Если необходимо изменить интервал времени, рекомендуется соответствующим образом изменить триггер таймера приложения-функции (в файле function.json после развертывания), чтобы предотвратить прием перекрывающихся данных.

4. Установите флажок С меткой Я принимаю указанные выше условия.
5. Щелкните Приобрести , чтобы развернуть.

Вариант 2. Развертывание Функции Azure вручную

Используйте следующие пошаговые инструкции, чтобы вручную развернуть соединитель данных "Аномальная безопасность" с помощью Функции Azure (развертывание через Visual Studio Code).

1. Развертывание приложения-функции

ПРИМЕЧАНИЕ: Вам потребуется подготовить код VS для разработки функций Azure.

1. Скачайте файл приложения-функции Azure. Извлеките архив на локальный компьютер разработки.

2. Запустите VS Code. Выберите Файл в главном меню и выберите Открыть папку.

3. Выберите папку верхнего уровня из извлеченных файлов.

4. Щелкните значок Azure на панели действий, а затем в области Azure: Функции нажмите кнопку Развернуть в приложении-функции. Если вы еще не вошли в систему, щелкните значок Azure на панели действий, а затем в области Azure: Функции выберите Войти в Azure Если вы уже вошли в систему, перейдите к следующему шагу.

5. Укажите следующие сведения в запросах:

   А. Выберите папку: Выберите папку из рабочей области или перейдите к папке, содержащей приложение-функцию.

   Б. Выберите Подписка: Выберите подписку для использования.

   c. Выберите Создать приложение-функцию в Azure (не выбирайте параметр Дополнительно)

   d. Введите глобально уникальное имя приложения-функции: Введите допустимое имя в URL-пути. Введенное имя проверяется, чтобы убедиться, что оно уникально в Функции Azure. (например, AbnormalSecurityXX).

   e. Выберите среду выполнения: Выберите Python 3.8.

   f. Выберите расположение для новых ресурсов. Для повышения производительности и снижения затрат выберите тот же регион, где находится Microsoft Sentinel.

6. Начнется развертывание. После создания приложения-функции и применения пакета развертывания отображается уведомление.

7. Перейдите на портал Azure для настройки приложения-функции.

8. Настройка приложения-функции

9. В приложении-функции выберите имя приложения-функции и выберите Конфигурация.

10. На вкладке Параметры приложения выберите + Новый параметр приложения.

11. Добавьте каждый из следующих параметров приложения по отдельности с соответствующими строковыми значениями (с учетом регистра): SENTINEL_WORKSPACE_ID SENTINEL_SHARED_KEY ABNORMAL_SECURITY_REST_API_TOKEN logAnalyticsUri (необязательно) (добавьте любые другие параметры, необходимые приложению-функции). Задайте для этого значения следующее uri : <add uri value>

Примечание. При использовании секретов Azure Key Vault для любого из приведенных выше значений используйте схему@Microsoft.KeyVault(SecretUri={Security Identifier})вместо строковых значений. Дополнительные сведения см. в документации по Azure Key Vault.

• Используйте logAnalyticsUri, чтобы переопределить конечную точку API Log Analytics для выделенного облака. Например, для общедоступного облака оставьте значение пустым; для Azure облачной среды GovUS укажите значение в следующем формате:https://<CustomerId>.ods.opinsights.azure.us.

4. После ввода всех параметров приложения нажмите кнопку Сохранить.

Поддерживается корпорациейМайкрософт

Agent 365 соединитель данных предоставляет более подробные сведения о действиях агента ИИ, предоставляя данные телеметрии агента ИИ из Agent 365, AI Foundry и Copilot в озере данных Microsoft Sentinel для изучения поведения агента, использования инструментов и выполнения с рабочими процессами охоты, графа и MCP. Данные из этого соединителя используются для изучения поведения агента ИИ, использования инструментов и выполнения в Microsoft Sentinel. Если вы включили эти рабочие процессы, деактивация этого соединителя предотвратит выполнение этих исследований.

Таблицы Log Analytics:

Поддержка правил сбора данных: В настоящее время не поддерживается

Инструкции по настройке:

Поддерживается:AIShield

Соединитель AIShield позволяет пользователям подключаться к журналам пользовательского механизма защиты AIShield с помощью Microsoft Sentinel, что позволяет создавать динамические панели мониторинга, книги, записные книжки и специализированные оповещения для улучшения исследования и предупреждения атак на системы ИИ. Она дает пользователям больше сведений о безопасности активов ИИ своей организации и улучшает возможности операций по обеспечению безопасности систем ИИ. AIShield.GuArdIan анализирует созданное LLM-содержимое для выявления и устранения вредоносного содержимого, защиты от нарушений на основе законодательства, политики, ролей и использования

Таблицы Log Analytics:

Поддержка правил сбора данных: В настоящее время не поддерживается

Необходимые условия:

• Примечание. Пользователи должны были использовать предложение SaaS AIShield для анализа уязвимостей и развертывания пользовательских механизмов защиты, созданных вместе с их ресурсом ИИ. Щелкните здесь , чтобы узнать больше или связаться.

Инструкции по настройке:

ПРИМЕЧАНИЕ: Этот соединитель данных зависит от средства синтаксического анализа на основе функции Kusto, которая будет работать должным образом AIShield, которая развертывается с решением Microsoft Sentinel.

ВАЖНО: Перед развертыванием соединителя AIShield необходимо иметь идентификатор рабочей области и первичный ключ рабочей области (можно скопировать из следующего кода).

• Идентификатор рабочей области: <переменное значение, указанное во время установки>
• Первичный ключ: <значение переменной, указанное во время установки>

Поддерживается корпорациейМайкрософт

Соединитель данных Alibaba Cloud ActionTrail позволяет извлекать события actiontrail, хранящиеся в простой службе журналов Alibaba Cloud, и хранить их в Microsoft Sentinel через REST API SLS. Соединитель позволяет извлекать события для оценки потенциальных рисков безопасности, мониторинга совместной работы, а также диагностики и устранения неполадок с конфигурацией.

Таблицы Log Analytics:

Поддержка правил сбора данных:DCR преобразования рабочей области

Необходимые условия:

• Учетные данные и разрешения REST API SLS. Для выполнения вызовов API требуются AliCloudAccessKeyId и AliCloudAccessKeySecret . Инструкция политики ОЗУ с действием atleast log:GetLogStoreLogs над ресурсом acs:log:{#regionId}:{#accountId}:project/{#ProjectName}/logstore/{#LogstoreName} необходима, чтобы предоставить пользователю ОЗУ разрешения на вызов этой операции.

Инструкции по настройке:

Настройка доступа к API SLS AliCloud

Перед использованием API необходимо подготовить учетную запись удостоверений и пару ключей доступа для эффективного доступа к API.

1. Рекомендуется использовать пользователя управления доступом к ресурсам (ОЗУ) для вызова операций API. Дополнительные сведения см. в статье Создание пользователя ОЗУ и авторизация пользователя ОЗУ для доступа к простой службе журналов.
2. Получите пару ключей доступа для пользователя ОЗУ. Дополнительные сведения см. в разделе Получение пары ключей доступа.

Обратите внимание на сведения о паре ключей доступа для следующего шага.

Добавление ActionTrail Logstore

Чтобы включить соединитель Alibaba Cloud ActionTrail для Microsoft Sentinel, щелкните добавить ActionTrail Logstore, заполните форму конфигурацией среды Alibaba Cloud и нажмите кнопку Подключить.

• Сетка соединителей данных (настройка на портале)

Поддерживается корпорациейМайкрософт

Соединитель данных Alibaba Cloud Networking предоставляет возможность приема сетевых данных Alibaba Cloud в Microsoft Sentinel с помощью REST API простой службы журналов (SLS). Дополнительные сведения см. в документации по API . Соединитель позволяет получать журналы потоков VPC, журналы WAF и журналы шлюза API из Alibaba Cloud.

Таблицы Log Analytics:

Поддержка правил сбора данных: В настоящее время не поддерживается

Необходимые условия:

• Доступ к API Alibaba Cloud SLS. Доступ к простой службе журналов Alibaba Cloud требуется для API SLS.

Инструкции по настройке:

Настройка доступа к API SLS AliCloud

Перед использованием API необходимо подготовить учетную запись удостоверений и пару ключей доступа для эффективного доступа к API.

1. Рекомендуется использовать пользователя управления доступом к ресурсам (ОЗУ) для вызова операций API. Дополнительные сведения см. в статье Создание пользователя ОЗУ и авторизация пользователя ОЗУ для доступа к простой службе журналов.
2. Получите пару ключей доступа для пользователя ОЗУ. Дополнительные сведения см. в разделе Получение пары ключей доступа.

Обратите внимание на сведения о паре ключей доступа для следующего шага.

• Сетка соединителей данных (настройка на портале)

Поддерживается корпорациейМайкрософт

Соединитель данных AliCloud предоставляет возможность извлекать журналы из облачных приложений с помощью облачного API и хранить события в Microsoft Sentinel через REST API. Соединитель позволяет извлекать события для оценки потенциальных рисков безопасности, мониторинга совместной работы, а также диагностики и устранения неполадок с конфигурацией.

Таблицы Log Analytics:

Поддержка правил сбора данных: В настоящее время не поддерживается

Необходимые условия:

• Разрешения Microsoft.Web/sites: требуются разрешения на чтение и запись для Функции Azure для создания приложения-функции. Дополнительные сведения см. в разделе Функции Azure.
• Учетные данные и разрешения REST API. Для выполнения вызовов API требуются AliCloudAccessKeyId и AliCloudAccessKey .

Инструкции по настройке:

ПРИМЕЧАНИЕ: Этот соединитель использует Функции Azure для подключения к API Хранилище BLOB-объектов Azure для извлечения журналов в Microsoft Sentinel. Это может привести к дополнительным затратам на прием данных и хранение данных в Хранилище BLOB-объектов Azure затраты. Дополнительные сведения см. на странице цен на Функции Azure и на странице цен Хранилище BLOB-объектов Azure.

(Необязательный шаг) Безопасное хранение ключей авторизации рабочей области и API или маркеров в Azure Key Vault. Azure Key Vault предоставляет безопасный механизм хранения и извлечения значений ключей. Следуйте этим инструкциям, чтобы использовать Azure Key Vault с приложением-функцией Azure.

ПРИМЕЧАНИЕ: Этот соединитель данных зависит от средства синтаксического анализа, основанного на функции Kusto, которая будет работать должным образом в AliCloud, развернутом с решением Microsoft Sentinel.

Шаг 1. Шаги по настройке API AliCloud

Следуйте инструкциям, чтобы получить учетные данные.

1. Получите идентификаторы AliCloudAccessKeyId и AliCloudAccessKey: войдите в учетную запись, щелкните AccessKey Management и нажмите кнопку Просмотреть секрет.
2. Сохраните учетные данные для использования в соединителе данных.

ШАГ 2. Выберите один из следующих двух вариантов развертывания, чтобы развернуть соединитель и связанную функцию Azure

ВАЖНО: Перед развертыванием соединителя данных AliCloud у вас есть идентификатор рабочей области и первичный ключ рабочей области (их можно скопировать из следующего кода).

• Идентификатор рабочей области: <переменное значение, указанное во время установки>
• Первичный ключ: <значение переменной, указанное во время установки>

Вариант 1. Шаблон Azure Resource Manager (ARM)

Используйте этот метод для автоматического развертывания соединителя данных AliCloud с помощью шаблона ARM.

1. Нажмите кнопку Развернуть в Azure ниже.

   aka.ms

2. Выберите предпочтительную подписку, группу ресурсов и расположение.

ПРИМЕЧАНИЕ: В одной группе ресурсов нельзя смешивать приложения Windows и Linux в одном регионе. Выберите существующую группу ресурсов без приложений Windows или создайте новую группу ресурсов. 3. Введите WorkspaceID, WorkspaceKey, AliCloudAccessKeyId, AliCloudAccessKey, AliCloudProjects и AppInsightsWorkspaceResourceID и разверните. 4. Установите флажок Я принимаю указанные выше условия. 5. Щелкните Приобрести , чтобы развернуть.

Вариант 2. Развертывание Функции Azure вручную

Используйте следующие пошаговые инструкции, чтобы вручную развернуть соединитель данных AliCloud с помощью Функции Azure (развертывание через Visual Studio Code).

1. Развертывание приложения-функции

ПРИМЕЧАНИЕ: Вам потребуется подготовить код VS для разработки функций Azure.

1. Скачайте файл приложения-функции Azure. Извлеките архив на локальный компьютер разработки.

2. Запустите VS Code. Выберите Файл в главном меню и выберите Открыть папку.

3. Выберите папку верхнего уровня из извлеченных файлов.

4. Щелкните значок Azure на панели действий, а затем в области Azure: Функции нажмите кнопку Развернуть в приложении-функции. Если вы еще не вошли в систему, щелкните значок Azure на панели действий, а затем в области Azure: Функции выберите Войти в Azure Если вы уже вошли в систему, перейдите к следующему шагу.

5. Укажите следующие сведения в запросах:

   А. Выберите папку: Выберите папку из рабочей области или перейдите к папке, содержащей приложение-функцию.

   Б. Выберите Подписка: Выберите подписку для использования.

   c. Выберите Создать приложение-функцию в Azure (не выбирайте параметр Дополнительно)

   d. Введите глобально уникальное имя приложения-функции: Введите допустимое имя в URL-пути. Введенное имя проверяется, чтобы убедиться, что оно уникально в Функции Azure. (например, AliCloudXXXXX).

   e. Выберите среду выполнения: Выберите Python 3.11.

   f. Выберите расположение для новых ресурсов. Для повышения производительности и снижения затрат выберите тот же регион, где находится Microsoft Sentinel.

6. Начнется развертывание. После создания приложения-функции и применения пакета развертывания отображается уведомление.

7. Перейдите на портал Azure для настройки приложения-функции.

8. Настройка приложения-функции

9. В приложении-функции выберите имя приложения-функции и выберите Конфигурация.

10. На вкладке Параметры приложения выберите Новый параметр приложения.

11. Добавьте каждый из следующих параметров приложения по отдельности с соответствующими строковыми значениями (с учетом регистра): WorkspaceID WorkspaceKey AliCloudAccessId AliCloudAccessKey AliCloudProjects AppInsightsWorkspaceResourceID

• Используйте logAnalyticsUri, чтобы переопределить конечную точку API Log Analytics для выделенного облака. Например, для общедоступного облака оставьте значение пустым; для Azure облачной среды GovUS укажите значение в следующем формате: https://<CustomerId>.ods.opinsights.azure.us.

4. После ввода всех параметров приложения нажмите кнопку Сохранить.

Поддерживается корпорациейМайкрософт

В процессе установки отображаются инструкции по подключению к AWS и потоковой передаче журналов CloudTrail в Microsoft Sentinel. Дополнительные сведения см. в документации по Microsoft Sentinel.

Таблицы Log Analytics:

Поддержка правил сбора данных:DCR преобразования рабочей области

Поддерживается корпорациейМайкрософт

Этот соединитель данных позволяет интегрировать журналы AWS CloudFront с Microsoft Sentinel для поддержки расширенного обнаружения угроз, исследования и мониторинга безопасности. Используя Amazon S3 для хранения журналов и Amazon SQS для очереди сообщений, соединитель надежно приемлет журналы доступа CloudFront в Microsoft Sentinel

Таблицы Log Analytics:

Поддержка правил сбора данных:DCR преобразования рабочей области

Инструкции по настройке:

Прием журналов AWS CloudFront в Microsoft Sentinel

Список обязательных ресурсов:

• Поставщик веб-удостоверений Open ID Connect (OIDC)
• Роль IAM
• Amazon S3 Bucket
• Amazon SQS
• Конфигурация AWS CloudFront

1. Развертывание AWS CloudFormation. Чтобы настроить доступ в AWS, были созданы два шаблона для настройки среды AWS для отправки журналов из контейнера S3 в рабочую область Log Analytics.

Для каждого шаблона создайте Stack в AWS:

1. Перейдите к AWS CloudFormation Stacks.
2. Выберите параметр "Указать шаблон", а затем "Отправить файл шаблона", щелкнув "Выбрать файл" и выбрав соответствующий файл шаблона CloudFormation, указанный ниже. щелкните "Выбрать файл" и выберите скачанный шаблон.
3. Нажмите кнопки "Далее" и "Создать стек".

• Шаблон 1. Развертывание проверки подлинности OpenID Connect: <значение переменной, указанное во время установки>
• Шаблон 2. Развертывание ресурсов AWSCloudFront: <переменное значение, указанное во время установки>

2. Подключение новых сборщиков. Чтобы включить AWS S3 для Microsoft Sentinel, нажмите кнопку Добавить новый сборщик, заполните необходимые сведения в области контекста и нажмите кнопку Подключить.

• Сетка соединителей данных (настройка на портале)

Поддерживается корпорациейМайкрософт

Соединитель AWS Elastic Load Balanceing (ELB) для Microsoft Sentinel позволяет принимать журналы доступа и журналы потоков из AWS Application Load Balancers (ALB), сетевой подсистемы балансировки нагрузки (NLB) и подсистем балансировки нагрузки шлюза (GLB) в Microsoft Sentinel. Эти журналы содержат подробные сведения о запросах, обрабатываемых подсистемами балансировки нагрузки и потоками трафика VPC, обеспечивая мониторинг безопасности, обнаружение угроз и анализ трафика.

Таблицы Log Analytics:

Поддержка правил сбора данных: В настоящее время не поддерживается

Необходимые условия:

• Aws IAM Role ARN и SQS Queue: требуется ARN роли AWS IAM с доступом между учетными записями и URL-адрес очереди SQS , настроенный для уведомлений о событиях S3. Инструкции по настройке см. в документации по соединителю AWS ELB .

Инструкции по настройке:

1. Развертывание AWS CloudFormation. Чтобы настроить доступ к AWS, используйте шаблоны CloudFormation, чтобы настроить среду для отправки журналов из ALB, NLB и GLB в рабочую область Log Analytics.

Этапы развертывания:

1. Перейдите в раздел Шаблоны формирования облака и скачайте файлы шаблонов JSON.
2. Перейдите к AWS CloudFormation Stacks.
3. Сначала разверните шаблон OIDCWebIdProvider.json (пропустите, если у вас уже есть поставщик OIDC для Microsoft Sentinel).
4. Затем разверните шаблон AWSS3ELB.json с параметрами.
5. Запишите следующие значения из выходных данных стека:
   • IAMRoleArn
   • ALBSQSQueueURL
   • NLBSQSQueueURL
   • NLBFlowLogsSQSQueueURL
   • GLBFlowLogsSQSQueueURL

Конфигурация после развертывания:

После успешного развертывания стека CloudFormation:

• Перейдите на вкладку Ресурсы в стеке.
• Найдите имя созданного контейнера S3.
• В контейнере S3 вручную создайте следующие папки:
  • ALBLogs
  • NLBAccessLogs
  • NLBFlowLogs
  • GLBFlowLogs

Отправка журналов:

После создания папки настройте службы AWS для отправки журналов в соответствующие папки:

• Журналы доступа к подсистеме балансировки нагрузки —>ALBLogs/
• Журналы доступа к NLB ->NLBAccessLogs/
• Журналы потоков балансировки нагрузки —>NLBFlowLogs/
• Журналы потоков GLB —>GLBFlowLogs/

Эти журналы будут приниматься в соответствующие таблицы в рабочей области Log Analytics.

Сопоставление таблиц:

• Журналы доступа к подсистеме балансировки нагрузки —>AWSALBAccessLogsData
• Журналы доступа к NLB ->AWSNLBAccessLogsData
• Журналы потоков NLB и GLB .>AWSELBFlowLogsData

Примечание:AWSELBFlowLogsData В таблице столбец с именем LogType указывает, является ли строка из журналов потоков NLB или журналов потоков GLB.

2. Подключить новые сборщики. Чтобы включить соединитель, щелкните Добавить новый сборщик, введите необходимые сведения и нажмите кнопку Подключить.

• Сетка соединителей данных (настройка на портале)

Поддерживается корпорациейМайкрософт

Этот соединитель данных позволяет принимать журналы брандмауэра сети AWS в Microsoft Sentinel для расширенного обнаружения угроз и мониторинга безопасности. Используя Amazon S3 и Amazon SQS, соединитель пересылает журналы сетевого трафика, оповещения об обнаружении вторжений и события брандмауэра в Microsoft Sentinel, обеспечивая анализ в режиме реального времени и корреляцию с другими данными безопасности.

Таблицы Log Analytics:

Поддержка правил сбора данных:DCR преобразования рабочей области

Инструкции по настройке:

Прием журналов AWS NetworkFirewall в Microsoft Sentinel

Список обязательных ресурсов:

• Поставщик веб-удостоверений Open ID Connect (OIDC)
• Роль IAM
• Amazon S3 Bucket
• Amazon SQS
• Конфигурация AWSNetworkFirewall
• Следуйте этим инструкциям для конфигурации соединителя данных AWS NetworkFirewall.

1. Развертывание AWS CloudFormation. Чтобы настроить доступ в AWS, были созданы два шаблона для настройки среды AWS для отправки журналов из контейнера S3 в рабочую область Log Analytics.

Для каждого шаблона создайте Stack в AWS:

1. Перейдите к AWS CloudFormation Stacks.
2. Выберите параметр "Указать шаблон", а затем "Отправить файл шаблона", щелкнув "Выбрать файл" и выбрав соответствующий файл шаблона CloudFormation, указанный ниже. щелкните "Выбрать файл" и выберите скачанный шаблон.
3. Нажмите кнопки "Далее" и "Создать стек".

• Шаблон 1. Развертывание проверки подлинности OpenID Connect: <значение переменной, указанное во время установки>
• Шаблон 2. Развертывание ресурсов AWSNetworkFirewall: <значение переменной, указанное во время установки>

2. Подключение новых сборщиков. Чтобы включить AWS S3 для Microsoft Sentinel, нажмите кнопку Добавить новый сборщик, заполните необходимые сведения в области контекста и нажмите кнопку Подключить.

• Сетка соединителей данных (настройка на портале)

Поддерживается корпорациейМайкрософт

Этот соединитель позволяет принимать журналы служб AWS, собранные в контейнерах AWS S3, для Microsoft Sentinel. В настоящее время поддерживаются следующие типы данных:

• AWS CloudTrail
• Журналы потоков VPC
• AWS GuardDuty
• AWSCloudWatch

Дополнительные сведения см. в документации по Microsoft Sentinel.

Таблицы Log Analytics:

Поддержка правил сбора данных:DCR преобразования рабочей области

Необходимые условия:

• Среда. Необходимо определить и настроить следующие ресурсы AWS: S3, simple Queue Service (SQS), роли IAM и политики разрешений, а также службы AWS, журналы которых требуется собрать.

Инструкции по настройке:

1. Настройка среды AWS

Существует два варианта настройки среды AWS для отправки журналов из контейнера S3 в рабочую область Log Analytics:

Настройка с помощью скрипта PowerShell (рекомендуется)

• Запуск скрипта для настройки среды: <значение переменной, указанное во время установки>
• Внешняя идентификация (идентификатор рабочей области):< значение переменной, указанное во время установки.>

Настройка вручную

Выполните инструкции по следующей ссылке, чтобы настроить среду: Подключение AWS S3 к Microsoft Sentinel

2. Добавление подключения

Поддерживается корпорациейМайкрософт

Этот соединитель позволяет принимать журналы DNS AWS Route 53 в Microsoft Sentinel для улучшения видимости и обнаружения угроз. Он поддерживает журналы запросов Сопоставителя DNS, поступающие непосредственно из контейнеров AWS S3, в то время как общедоступные журналы запросов DNS и журналы аудита route 53 можно принимать с помощью соединителей AWS CloudWatch и CloudTrail Microsoft Sentinel. Приводятся подробные инструкции по настройке каждого типа журнала. Используйте этот соединитель для мониторинга активности DNS, обнаружения потенциальных угроз и улучшения состояния безопасности в облачных средах.

Таблицы Log Analytics:

Поддержка правил сбора данных:DCR преобразования рабочей области

Инструкции по настройке:

AWS Route53

Этот соединитель позволяет принимать журналы DNS AWS Route 53 в Microsoft Sentinel, обеспечивая улучшенную видимость действий DNS и укрепляя возможности обнаружения угроз. Он поддерживает прямой прием журналов запросов Сопоставителя DNS из контейнеров AWS S3, а общедоступные журналы запросов DNS и журналы аудита маршрута 53 можно принимать через соединители AWS CloudWatch и CloudTrail Microsoft Sentinel. Подробные инструкции по настройке приведены для каждого типа журнала. Используйте этот соединитель для мониторинга трафика DNS, выявления потенциальных угроз и улучшения состояния облачной безопасности.

Вы можете принимать следующие типы журналов из маршрута AWS 53 в Microsoft Sentinel:

1. Журналы запросов сопоставителя маршрута 53
2. Маршрут 53 для журналов запросов общедоступных размещенных зон (через соединитель Microsoft Sentinel CloudWatch)
3. Журналы аудита маршрута 53 (через соединитель Microsoft Sentinel CloudTrail)

Прием журналов запросов Сопоставителя Route53 в Microsoft Sentinel

Список обязательных ресурсов:

• Поставщик веб-удостоверений Open ID Connect (OIDC)
• Роль IAM
• Amazon S3 Bucket
• Amazon SQS
• Конфигурация ведения журнала запросов сопоставителя маршрута 53
• VPC для связи с конфигурацией журнала запросов сопоставителя Route53

1. Развертывание AWS CloudFormation. Чтобы настроить доступ в AWS, были созданы два шаблона для настройки среды AWS для отправки журналов из контейнера S3 в рабочую область Log Analytics.

Для каждого шаблона создайте Stack в AWS:

1. Перейдите к AWS CloudFormation Stacks.
2. Выберите параметр "Указать шаблон", а затем "Отправить файл шаблона", щелкнув "Выбрать файл" и выбрав соответствующий файл шаблона CloudFormation, указанный ниже. щелкните "Выбрать файл" и выберите скачанный шаблон.
3. Нажмите кнопки "Далее" и "Создать стек".

• Шаблон 1. Развертывание проверки подлинности OpenID Connect: <значение переменной, указанное во время установки>
• Шаблон 2. Развертывание ресурсов AWS Route53: <значение переменной, указанное во время установки>

2. Подключение новых сборщиков. Чтобы включить Amazon Web Services S3 DNS Route53 для Microsoft Sentinel, нажмите кнопку Добавить новый сборщик, заполните необходимые сведения в области контекста и нажмите кнопку Подключить.

• Сетка соединителей данных (настройка на портале)

Прием журналов запросов общедоступных размещенных зон маршрута 53 (через Microsoft Sentinel соединитель CloudWatch)

Журналы запросов общедоступной размещенной зоны экспортируются в службу CloudWatch в AWS. Мы можем использовать соединитель Amazon Web Services S3 для приема журналов CloudWatch из AWS в Microsoft Sentinel.

Шаг 1. Настройка ведения журнала для общедоступных запросов DNS

1. Войдите в консоль управления AWS и откройте консоль Route 53 по адресу AWS Route 53.
2. Перейдите к маршруту 53 > Размещенные зоны.
3. Выберите общедоступную размещенную зону, для которой нужно настроить ведение журнала запросов.
4. В области Сведения о размещенной зоне щелкните "Настройка ведения журнала запросов".
5. Выберите существующую группу журналов или создайте новую группу журналов.
6. Выберите пункт Создать.

Шаг 2. Настройка соединителя данных Amazon Web Services S3 для AWS CloudWatch

Журналы AWS CloudWatch можно экспортировать в контейнер S3 с помощью лямбда-функции. Чтобы принимать общедоступные DNS-запросы из AWS CloudWatchS3 в контейнер, а затем Microsoft Sentinel, следуйте инструкциям, приведенным в соединителе Amazon Web Services S3.

Прием журналов аудита маршрута 53 (через соединитель Microsoft Sentinel CloudTrail)

Журналы аудита маршрута 53, т. е. журналы, связанные с действиями, выполняемыми пользователем, ролью или службой AWS в маршруте 53, можно экспортировать в контейнер S3 с помощью службы AWS CloudTrail. Мы можем использовать соединитель Amazon Web Services S3 для приема журналов CloudTrail из AWS в Microsoft Sentinel.

Шаг 1. Настройка ведения журнала для журналов аудита AWS Route 53

1. Войдите в консоль управления AWS и откройте консоль CloudTrail в AWS CloudTrail.
2. Если у вас нет существующего следа, щелкните "Создать след".
3. Введите имя для следа в поле Имя следа.
4. Выберите Создать новый контейнер S3 (вы также можете использовать существующий контейнер S3).
5. Оставьте остальные параметры по умолчанию и нажмите кнопку Далее.
6. Выберите Тип события, убедитесь, что выбран параметр События управления.
7. Выберите действие API, "Чтение" и "Запись".
8. Нажмите кнопку "Далее".
9. Просмотрите параметры и нажмите кнопку "Создать след".

Шаг 2. Настройка соединителя данных Amazon Web Services S3 для AWS CloudTrail

Чтобы принимать журналы аудита и управления из AWS CloudTrail Microsoft Sentinel, следуйте инструкциям в соединителе Amazon Web Services S3.

Поддерживается корпорациейМайкрософт

Этот соединитель позволяет принимать журналы AWS WAF, собранные в контейнерах AWS S3, для Microsoft Sentinel. Журналы AWS WAF — это подробные записи трафика, которые анализируются списками управления доступом (ACL), которые необходимы для обеспечения безопасности и производительности веб-приложений. Эти журналы содержат такие сведения, как время получения запроса AWS WAF, особенности запроса и действия, предпринятые правилом, с которым совпадает запрос.

Таблицы Log Analytics:

Поддержка правил сбора данных:DCR преобразования рабочей области

Инструкции по настройке:

1. Развертывание AWS CloudFormation. Чтобы настроить доступ в AWS, были созданы два шаблона для настройки среды AWS для отправки журналов из контейнера S3 в рабочую область Log Analytics.

Для каждого шаблона создайте Stack в AWS:

1. Перейдите к AWS CloudFormation Stacks.
2. Выберите параметр "Указать шаблон", а затем "Отправить файл шаблона", щелкнув "Выбрать файл" и выбрав соответствующий файл шаблона CloudFormation, указанный ниже. щелкните "Выбрать файл" и выберите скачанный шаблон.
3. Нажмите кнопки "Далее" и "Создать стек".

• Шаблон 1. Развертывание проверки подлинности OpenID Connect: <значение переменной, указанное во время установки>
• Шаблон 2. Развертывание ресурсов AWS WAF: <значение переменной, указанное во время установки>

2. Подключение новых сборщиков. Чтобы включить AWS S3 для Microsoft Sentinel, нажмите кнопку Добавить новый сборщик, заполните необходимые сведения в области контекста и нажмите кнопку Подключить.

• Сетка соединителей данных (настройка на портале)

Поддерживается:Anvilogic

Соединитель данных Anvilogic позволяет извлекать интересующие события, созданные в кластере Anvilogic ADX, в Microsoft Sentinel

Таблицы Log Analytics:

Поддержка правил сбора данных: В настоящее время не поддерживается

Необходимые условия:

• Идентификатор клиента и секрет клиента для регистрации приложения Anvilogic: для доступа к Anvilogic ADX требуется идентификатор клиента и секрет клиента из регистрации приложения Anvilogic.

Инструкции по настройке:

Подключитесь к Anvilogic, чтобы начать сбор интересующих событий в Microsoft Sentinel

Заполните форму для приема оповещений Anvilogic в Microsoft Sentinel

• Конечная точка токена: (https://login[.]microsoftonline[.]com/<tenant_id>/oauth2/v2.0/token)
• Область Anvilogic ADX: (<avl_adx_uri>/.default)
• Anvilogic ADX Request URI: (<avl_adx_uri>/v2/rest/query)

Поддерживается:ARGOS Cloud Security

Интеграция ARGOS Cloud Security для Microsoft Sentinel позволяет выполнять все важные события безопасности в облаке в одном месте. Это позволяет легко создавать панели мониторинга, оповещения и коррелировать события в нескольких системах. В целом это улучшит состояние безопасности вашей организации и реагирование на инциденты безопасности.

Таблицы Log Analytics:

Поддержка правил сбора данных: В настоящее время не поддерживается

Инструкции по настройке:

1. Подписка на ARGOS

Убедитесь, что у вас уже есть подписка ARGOS. Если это не так, перейдите по адресу ARGOS Cloud Security и зарегистрируйтесь в ARGOS.

Кроме того, вы также можете приобрести ARGOS через Azure Marketplace.

2. Настройка интеграции Sentinel из ARGOS

Настройте ARGOS для перенаправления новых обнаружений в рабочую область Sentinel путем предоставления ARGOS идентификатора рабочей области и первичного ключа.

Нет необходимости развертывать настраиваемую инфраструктуру.

Введите эти сведения на странице конфигурации ARGOS Sentinel.

Новые обнаружения будут переадресованы автоматически.

Дополнительные сведения об интеграции

• Идентификатор рабочей области: <переменное значение, указанное во время установки>
• Первичный ключ: <значение переменной, указанное во время установки>

Поддерживается корпорациейArmis

Соединитель Действий оповещений Armis предоставляет возможность приема оповещений и действий Armis в Microsoft Sentinel с помощью REST API Armis. Дополнительные сведения см. в документации https://<YourArmisInstance>.armis.com/api/v1/docs по API. Соединитель предоставляет возможность получать сведения об оповещениях и действиях с платформы Armis, а также выявлять и определять приоритеты угроз в вашей среде. Armis использует существующую инфраструктуру для обнаружения и идентификации устройств без необходимости развертывания агентов.

Таблицы Log Analytics:

Поддержка правил сбора данных: В настоящее время не поддерживается

Необходимые условия:

• Разрешения Microsoft.Web/sites: требуются разрешения на чтение и запись для Функции Azure для создания приложения-функции. Дополнительные сведения см. в разделе Функции Azure.
• Учетные данные и разрешения REST API: требуется секретный ключ Armis . Дополнительные сведения об API см. в документации по https://<YourArmisInstance>.armis.com/api/v1/doc

Инструкции по настройке:

ПРИМЕЧАНИЕ: Этот соединитель использует Функции Azure для подключения к API Armis для извлечения журналов в Microsoft Sentinel. Это может привести к дополнительным затратам на прием данных. Дополнительные сведения см. на странице цен на Функции Azure.

(Необязательный шаг) Безопасное хранение ключей авторизации рабочей области и API или маркеров в Azure Key Vault. Azure Key Vault предоставляет безопасный механизм хранения и извлечения значений ключей. Следуйте этим инструкциям, чтобы использовать Azure Key Vault с приложением-функцией Azure.

ПРИМЕЧАНИЕ: Этот соединитель данных зависит от средства синтаксического анализа на основе функции Kusto, которая будет работать должным образом, которая развертывается в составе решения. Чтобы просмотреть код функции в Log Analytics, откройте колонку Log Analytics/Microsoft Sentinel Журналы, щелкните Функции и найдите псевдоним ArmisActivities/ArmisAlerts и загрузите код функции. Обычно для активации функции требуется 10–15 минут после установки или обновления решения.

Шаг 1. Шаги по настройке API Armis

Следуйте этим инструкциям, чтобы создать секретный ключ API Armis.

1. Войдите в экземпляр Armis
2. Перейдите в раздел Параметры —> Управление API
3. Если секретный ключ еще не создан, нажмите кнопку Создать, чтобы создать секретный ключ.
4. Чтобы получить доступ к секретной клавише, нажмите кнопку Показать.
5. Теперь секретный ключ можно скопировать и использовать во время настройки соединителя действий оповещений Armis.

Шаг 2. Шаги регистрации приложения для приложения в Microsoft Entra ID

Для этой интеграции требуется регистрация приложения в портал Azure. Выполните действия, описанные в этом разделе, чтобы создать приложение в Microsoft Entra ID:

1. Войдите на портал Azure.
2. Найдите и выберите Microsoft Entra ID.
3. В разделе Управление выберите Регистрация приложений > Новая регистрация.
4. Введите отображаемое имя приложения.
5. Выберите Зарегистрировать , чтобы завершить начальную регистрацию приложения.
6. После завершения регистрации портал Azure отобразит панель Обзор регистрации приложения. Вы увидите идентификатор приложения (клиента) и идентификатор клиента. Идентификатор клиента и идентификатор клиента необходимы в качестве параметров конфигурации для выполнения соединителя данных действий оповещений Armis.

Ссылка на ссылку:/azure/active-directory/develop/quickstart-register-app

ШАГ 3. Добавление секрета клиента для приложения в Microsoft Entra ID

Секрет клиента, который иногда называется паролем приложения, — это строковое значение, необходимое для выполнения соединителя данных действий оповещений Armis. Выполните действия, описанные в этом разделе, чтобы создать секрет клиента.

1. В портал Azure в Регистрация приложений выберите свое приложение.
2. Выберите Сертификаты & секреты >> клиента Новый секрет клиента.
3. Добавьте описание секрета клиента.
4. Выберите срок действия секрета или укажите пользовательское время существования. Ограничение составляет 24 месяца.
5. Нажмите Добавить.
6. Запишите значение секрета для использования в коде клиентского приложения. Это значение секрета больше не отображается после того, как вы покинете эту страницу. Значение секрета требуется в качестве параметра конфигурации для выполнения соединителя данных действий оповещений Armis.

Ссылка на ссылку:/azure/active-directory/develop/quickstart-register-app#add-a-client-secret

ШАГ 4. Назначение роли участника приложения в Microsoft Entra ID

Выполните действия, описанные в этом разделе, чтобы назначить роль:

1. В портал Azure перейдите к группе ресурсов и выберите свою группу ресурсов.
2. Перейдите в раздел Управление доступом (IAM) на левой панели.
3. Щелкните Добавить и выберите Добавить назначение ролей.
4. Выберите Участник в качестве роли и нажмите кнопку Далее.
5. В разделе Назначение доступа выберитеUser, group, or service principal .
6. Щелкните Добавить участников и введите имя созданного приложения и выберите его.
7. Теперь щелкните Проверить и назначить, а затем снова щелкните Проверить и назначить.

Ссылка на ссылку:/azure/role-based-access-control/role-assignments-portal

ШАГ 5. Создание хранилища ключей

Следуйте этим инструкциям, чтобы создать хранилище ключей.

1. В портал Azure перейдите к хранилищам ключей. Нажмите "Создать".
2. Выберите Подраздел, Группа ресурсов и укажите уникальное имя keyvault.

ПРИМЕЧАНИЕ. Создайте отдельное хранилище ключей для каждого ключа API в одной рабочей области.

ШАГ 6. Создание политики доступа в хранилище ключей

Следуйте этим инструкциям, чтобы создать политику доступа в Keyvault.

1. Перейдите к keyvaults, выберите свое хранилище ключей, перейдите в раздел Политики доступа на левой боковой панели. Нажмите "Создать".
2. Выберите все ключи & разрешения на секреты. Нажмите кнопку Далее.
3. В разделе субъекта выполните поиск по имени приложения, которое было создано в шаге 2. Нажмите кнопку Далее.

ПРИМЕЧАНИЕ. Убедитесь, что для модели разрешений в конфигурации доступа Key Vault задано значение "Политика доступа к хранилищу".

ШАГ 7. Выберите один из следующих двух вариантов развертывания, чтобы развернуть соединитель и связанную функцию Azure.

ВАЖНО: Перед развертыванием соединителя данных действий оповещений Armis необходимо иметь доступные идентификатор рабочей области и первичный ключ рабочей области (можно скопировать из следующего раздела). ., а также ключи авторизации API Armis.

• Идентификатор рабочей области: <переменное значение, указанное во время установки>
• Первичный ключ: <значение переменной, указанное во время установки>

Вариант 1. Шаблон Azure Resource Manager (ARM)

Используйте этот метод для автоматического развертывания соединителя Armis.

1. Нажмите кнопку Развернуть в Azure ниже.

   aka.msaka.ms

2. Выберите предпочтительную подписку, группу ресурсов и расположение.

3. Введите следующие сведения: Имя функции Идентификатор рабочей области Ключ Рабочей области Armis Секретный ключ Armis URL-адрес (https://< armis-instance.armis.com/api/v1/>) Имя таблицы оповещений Armis
   Серьезность таблицы действий Armis (по умолчанию: low) Armis Schedule KeyVault name Azure идентификатор клиента Azure идентификатор клиента секрета клиента

4. Установите флажок С меткой Я принимаю указанные выше условия.

5. Щелкните Приобрести , чтобы развернуть.

Вариант 2. Развертывание Функции Azure вручную

Используйте следующие пошаговые инструкции, чтобы вручную развернуть соединитель данных Действий оповещений Armis с помощью Функции Azure (развертывание через Visual Studio Code).

1. Развертывание приложения-функции

ПРИМЕЧАНИЕ: Вам потребуется подготовить код VS для разработки функций Azure.

1. Скачайте файл приложения-функции Azure. Извлеките архив на локальный компьютер разработки.

2. Запустите VS Code. Выберите Файл в главном меню и выберите Открыть папку.

3. Выберите папку верхнего уровня из извлеченных файлов.

4. Щелкните значок Azure на панели действий, а затем в области Azure: Функции нажмите кнопку Развернуть в приложении-функции. Если вы еще не вошли в систему, щелкните значок Azure на панели действий, а затем в области Azure: Функции выберите Войти в Azure Если вы уже вошли в систему, перейдите к следующему шагу.

5. Укажите следующие сведения в запросах:

   А. Выберите папку: Выберите папку из рабочей области или перейдите к папке, содержащей приложение-функцию.

   Б. Выберите Подписка: Выберите подписку для использования.

   c. Выберите Создать приложение-функцию в Azure (не выбирайте параметр Дополнительно)

   d. Введите глобально уникальное имя приложения-функции: Введите допустимое имя в URL-пути. Введенное имя проверяется, чтобы убедиться, что оно уникально в Функции Azure. (например, ARMISXXXXXX).

   e. Выберите среду выполнения: Выбор Python 3.11

   f. Выберите расположение для новых ресурсов. Для повышения производительности и снижения затрат выберите тот же регион, где находится Microsoft Sentinel.

6. Начнется развертывание. После создания приложения-функции и применения пакета развертывания отображается уведомление.

7. Перейдите на портал Azure для настройки приложения-функции.

8. Настройка приложения-функции

9. В приложении-функции выберите имя приложения-функции и выберите Конфигурация.

10. На вкладке Параметры приложения выберите + Новый параметр приложения.

11. Добавьте каждый из следующих параметров приложения по отдельности с соответствующими значениями (с учетом регистра): Идентификатор рабочей области Ключ рабочей области Armis Секретный ключ URL-адрес Armis (https://< armis-instance.armis.com/api/v1/>) Armis Alert Table Name Armis Activity Name (Default: Low) Armis Schedule KeyVault Name Azure идентификатор клиента Azure client Secret Tenant Id logAnalyticsUri (необязательно)

• Используйте logAnalyticsUri, чтобы переопределить конечную точку API Log Analytics для выделенного облака. Например, для общедоступного облака оставьте значение пустым; для Azure облачной среды GovUS укажите значение в следующем формате: https://<CustomerId>.ods.opinsights.azure.us.

4. После ввода всех параметров приложения нажмите кнопку Сохранить.

Поддерживается корпорациейArmis

Соединитель устройств Armis предоставляет возможность приема устройств Armis в Microsoft Sentinel через REST API Armis. Дополнительные сведения см. в документации https://<YourArmisInstance>.armis.com/api/v1/docs по API. Соединитель предоставляет возможность получать сведения об устройстве с платформы Armis. Armis использует существующую инфраструктуру для обнаружения и идентификации устройств без необходимости развертывания агентов. Armis также может интегрироваться с существующими средствами управления безопасностью ИТ-& для идентификации и классификации каждого устройства, управляемого или неуправляемого в вашей среде.

Таблицы Log Analytics:

Поддержка правил сбора данных: В настоящее время не поддерживается

Необходимые условия:

• Разрешения Microsoft.Web/sites: требуются разрешения на чтение и запись для Функции Azure для создания приложения-функции. Дополнительные сведения см. в разделе Функции Azure.
• Учетные данные и разрешения REST API: требуется секретный ключ Armis . Дополнительные сведения об API см. в документации по https://<YourArmisInstance>.armis.com/api/v1/doc

Инструкции по настройке:

ПРИМЕЧАНИЕ: Этот соединитель использует Функции Azure для подключения к API Armis для извлечения журналов в Microsoft Sentinel. Это может привести к дополнительным затратам на прием данных. Дополнительные сведения см. на странице цен на Функции Azure.

(Необязательный шаг) Безопасное хранение ключей авторизации рабочей области и API или маркеров в Azure Key Vault. Azure Key Vault предоставляет безопасный механизм хранения и извлечения значений ключей. Следуйте этим инструкциям, чтобы использовать Azure Key Vault с приложением-функцией Azure.

ПРИМЕЧАНИЕ. Этот соединитель данных зависит от средства синтаксического анализа на основе функции Kusto, чтобы работать должным образом. Выполните следующие действия , чтобы создать псевдоним функций Kusto ArmisDevice.

Шаг 1. Шаги по настройке API Armis

Следуйте этим инструкциям, чтобы создать секретный ключ API Armis.

1. Войдите в экземпляр Armis
2. Перейдите в раздел Параметры —> Управление API
3. Если секретный ключ еще не создан, нажмите кнопку Создать, чтобы создать секретный ключ.
4. Чтобы получить доступ к секретной клавише, нажмите кнопку Показать.
5. Теперь секретный ключ можно скопировать и использовать во время настройки соединителя устройства Armis.

Шаг 2. Шаги регистрации приложения для приложения в Microsoft Entra ID

Для этой интеграции требуется регистрация приложения в портал Azure. Выполните действия, описанные в этом разделе, чтобы создать приложение в Microsoft Entra ID:

1. Войдите на портал Azure.
2. Найдите и выберите Microsoft Entra ID.
3. В разделе Управление выберите Регистрация приложений > Новая регистрация.
4. Введите отображаемое имя приложения.
5. Выберите Зарегистрировать , чтобы завершить начальную регистрацию приложения.
6. После завершения регистрации портал Azure отобразит панель Обзор регистрации приложения. Вы увидите идентификатор приложения (клиента) и идентификатор клиента. Идентификатор клиента и идентификатор клиента требуются в качестве параметров конфигурации для выполнения соединителя данных устройства Armis.

Ссылка на ссылку:/azure/active-directory/develop/quickstart-register-app

ШАГ 3. Добавление секрета клиента для приложения в Microsoft Entra ID

Секрет клиента, который иногда называется паролем приложения, является строковым значением, необходимым для выполнения соединителя данных устройства Armis. Выполните действия, описанные в этом разделе, чтобы создать секрет клиента.

1. В портал Azure в Регистрация приложений выберите свое приложение.
2. Выберите Сертификаты & секреты >> клиента Новый секрет клиента.
3. Добавьте описание секрета клиента.
4. Выберите срок действия секрета или укажите пользовательское время существования. Ограничение составляет 24 месяца.
5. Нажмите Добавить.
6. Запишите значение секрета для использования в коде клиентского приложения. Это значение секрета больше не отображается после того, как вы покинете эту страницу. Значение секрета требуется в качестве параметра конфигурации для выполнения соединителя данных устройства Armis.

Ссылка на ссылку:/azure/active-directory/develop/quickstart-register-app#add-a-client-secret

ШАГ 4. Назначение роли участника приложения в Microsoft Entra ID

Выполните действия, описанные в этом разделе, чтобы назначить роль:

1. В портал Azure перейдите к группе ресурсов и выберите свою группу ресурсов.
2. Перейдите в раздел Управление доступом (IAM) на левой панели.
3. Щелкните Добавить и выберите Добавить назначение ролей.
4. Выберите Участник в качестве роли и нажмите кнопку Далее.
5. В разделе Назначение доступа выберитеUser, group, or service principal .
6. Щелкните Добавить участников и введите имя созданного приложения и выберите его.
7. Теперь щелкните Проверить и назначить, а затем снова щелкните Проверить и назначить.

Ссылка на ссылку:/azure/role-based-access-control/role-assignments-portal

ШАГ 5. Создание хранилища ключей

Следуйте этим инструкциям, чтобы создать хранилище ключей.

1. В портал Azure перейдите к хранилищам ключей. Нажмите "Создать".
2. Выберите Подраздел, Группа ресурсов и укажите уникальное имя keyvault.

ПРИМЕЧАНИЕ. Создайте отдельное хранилище ключей для каждого ключа API в одной рабочей области.

ШАГ 6. Создание политики доступа в хранилище ключей

Следуйте этим инструкциям, чтобы создать политику доступа в Keyvault.

1. Перейдите к keyvaults, выберите свое хранилище ключей, перейдите в раздел Политики доступа на левой боковой панели. Нажмите "Создать".
2. Выберите все ключи & разрешения на секреты. Нажмите кнопку Далее.
3. В разделе субъекта выполните поиск по имени приложения, которое было создано в шаге 2. Нажмите кнопку Далее.

ПРИМЕЧАНИЕ. Убедитесь, что для модели разрешений в конфигурации доступа Key Vault задано значение "Политика доступа к хранилищу".

ШАГ 7. Выберите один из следующих двух вариантов развертывания, чтобы развернуть соединитель и связанную функцию Azure.

ВАЖНО: Перед развертыванием соединителя данных устройства Armis необходимо иметь доступные идентификатор рабочей области и первичный ключ рабочей области (можно скопировать из следующего раздела). ., а также ключи авторизации API Armis.

• Идентификатор рабочей области: <переменное значение, указанное во время установки>
• Первичный ключ: <значение переменной, указанное во время установки>

Вариант 1. Шаблон Azure Resource Manager (ARM)

Используйте этот метод для автоматического развертывания соединителя Armis.

1. Нажмите кнопку Развернуть в Azure ниже.

   aka.msaka.ms

2. Выберите предпочтительную подписку, группу ресурсов и расположение.

3. Введите следующие сведения: Имя функции Идентификатор рабочей области Ключ рабочей области Armis URL-адрес секретного ключа Armis (https://< armis-instance.armis.com/api/v1/>) Armis Device Table Name Armis Schedule KeyVault Name Azure идентификатор клиента Azure идентификатор клиента секрета клиента

4. Установите флажок С меткой Я принимаю указанные выше условия.

5. Щелкните Приобрести , чтобы развернуть.

Вариант 2. Развертывание Функции Azure вручную

Используйте следующие пошаговые инструкции, чтобы вручную развернуть соединитель данных устройства Armis с помощью Функции Azure (развертывание через Visual Studio Code).

1. Развертывание приложения-функции

ПРИМЕЧАНИЕ: Вам потребуется подготовить код VS для разработки функций Azure.

1. Скачайте файл приложения-функции Azure. Извлеките архив на локальный компьютер разработки.

2. Запустите VS Code. Выберите Файл в главном меню и выберите Открыть папку.

3. Выберите папку верхнего уровня из извлеченных файлов.

4. Щелкните значок Azure на панели действий, а затем в области Azure: Функции нажмите кнопку Развернуть в приложении-функции. Если вы еще не вошли в систему, щелкните значок Azure на панели действий, а затем в области Azure: Функции выберите Войти в Azure Если вы уже вошли в систему, перейдите к следующему шагу.

5. Укажите следующие сведения в запросах:

   А. Выберите папку: Выберите папку из рабочей области или перейдите к папке, содержащей приложение-функцию.

   Б. Выберите Подписка: Выберите подписку для использования.

   c. Выберите Создать приложение-функцию в Azure (не выбирайте параметр Дополнительно)

   d. Введите глобально уникальное имя приложения-функции: Введите допустимое имя в URL-пути. Введенное имя проверяется, чтобы убедиться, что оно уникально в Функции Azure. (например, ARMISXXXXXX).

   e. Выберите среду выполнения: Выбор Python 3.11

   f. Выберите расположение для новых ресурсов. Для повышения производительности и снижения затрат выберите тот же регион, где находится Microsoft Sentinel.

6. Начнется развертывание. После создания приложения-функции и применения пакета развертывания отображается уведомление.

7. Перейдите на портал Azure для настройки приложения-функции.

8. Настройка приложения-функции

9. В приложении-функции выберите имя приложения-функции и выберите Конфигурация.

10. На вкладке Параметры приложения выберите + Новый параметр приложения.

11. Добавьте каждый из следующих параметров приложения по отдельности с соответствующими значениями (с учетом регистра): Идентификатор рабочей области Ключ Рабочей области Armis СЕКРЕТНЫй ключ URL-адрес Armis (https://< armis-instance.armis.com/api/v1/>) Имя таблицы устройства Armis Schedule KeyVault Name Azure идентификатор клиента Azure идентификатор клиента Секретный идентификатор клиента logAnalyticsUri (необязательно)

• Используйте logAnalyticsUri, чтобы переопределить конечную точку API Log Analytics для выделенного облака. Например, для общедоступного облака оставьте значение пустым; для Azure облачной среды GovUS укажите значение в следующем формате: https://<CustomerId>.ods.opinsights.azure.us.

4. После ввода всех параметров приложения нажмите кнопку Сохранить.

Поддерживается:DEFEND Ltd.

Atlassian Beacon — это облачный продукт, созданный для интеллектуального обнаружения угроз на платформах Atlassian (Jira, Confluence и Atlassian Администратор). Это может помочь пользователям обнаруживать, исследовать и реагировать на рискованные действия пользователей для набора продуктов Atlassian. Решение представляет собой настраиваемый соединитель данных от КОМПАНИИ DEFENSE Ltd., который используется для визуализации оповещений, поступающих из Atlassian Beacon в Microsoft Sentinel через приложение логики.

Таблицы Log Analytics:

Поддержка правил сбора данных: В настоящее время не поддерживается

Инструкции по настройке:

1. Microsoft Sentinel

1. Перейдите к только что установленному приложению логики "Интеграция Atlassian Beacon"

2. Перейдите к конструктору приложений логики.

3. Разверните раздел "При получении HTTP-запроса"

4. Скопируйте "URL-адрес HTTP POST"

2. Atlassian Beacon

1. Вход в Atlassian Beacon с помощью учетной записи администратора

2. Перейдите к разделу "ПЕРЕСЫЛКА SIEM" в разделе ПАРАМЕТРЫ.

3. Вставьте скопированный URL-адрес из приложения логики в текстовое поле

4. Нажмите кнопку "Сохранить"

3. Тестирование и проверка

1. Вход в Atlassian Beacon с помощью учетной записи администратора

2. Перейдите к разделу "ПЕРЕСЫЛКА SIEM" в разделе ПАРАМЕТРЫ.

3. Нажмите кнопку "Тест" рядом с недавно настроенным веб-перехватчиком.

4. Перейдите к Microsoft Sentinel

5. Перейдите к только что установленному приложению логики

6. Проверьте наличие запуска приложения логики в разделе "Журнал запусков".

7. Проверьте наличие журналов под именем таблицы "atlassian_beacon_alerts_CL" в разделе "Журналы".

8. Если правило аналитики было включено, приведенное выше оповещение Тестово должно было создать инцидент в Microsoft Sentinel

Поддерживается корпорациейМайкрософт

Соединитель данных Atlassian Confluence Audit предоставляет возможность принимать события записей аудита Confluence в Microsoft Sentinel с помощью REST API. Дополнительные сведения см. в документации по API . Соединитель позволяет извлекать события для оценки потенциальных рисков безопасности, мониторинга совместной работы, а также диагностики и устранения неполадок с конфигурацией.

Таблицы Log Analytics:

Поддержка правил сбора данных:DCR преобразования рабочей области

Необходимые условия:

• Доступ к API Atlassian Confluence. Для получения доступа к API журналов аудита Confluence требуется разрешение на администрирование Confluence . Дополнительные сведения об API аудита см. в документации по API confluence .

Инструкции по настройке:

Подключитесь к API Atlassian Confluence, чтобы начать сбор журналов аудита в Microsoft Sentinel

Чтобы включить соединитель Atlassian Confluence для Microsoft Sentinel, щелкните, чтобы добавить организацию, заполните форму учетными данными среды Confluence и щелкните Подключиться. Чтобы создать маркер API, выполните следующие действия .

• Сетка соединителей данных (настройка на портале)

Поддерживается корпорациейМайкрософт

Соединитель данных Atlassian Jira Audit предоставляет возможность приема событий Jira Audit Records в Microsoft Sentinel с помощью REST API. Дополнительные сведения см. в документации по API . Соединитель позволяет извлекать события для оценки потенциальных рисков безопасности, мониторинга совместной работы, а также диагностики и устранения неполадок с конфигурацией.

Таблицы Log Analytics:

Поддержка правил сбора данных: В настоящее время не поддерживается

Необходимые условия:

• Разрешения Microsoft.Web/sites: требуются разрешения на чтение и запись для Функции Azure для создания приложения-функции. Дополнительные сведения см. в разделе Функции Azure.
• Учетные данные и разрешения REST API: для REST API требуется JiraAccessToken, JiraUsername . Дополнительные сведения см. в разделе API. Проверьте все требования и следуйте инструкциям по получению учетных данных.

Инструкции по настройке:

ПРИМЕЧАНИЕ: Этот соединитель использует Функции Azure для подключения к REST API Jira для извлечения журналов в Microsoft Sentinel. Это может привести к дополнительным затратам на прием данных. Дополнительные сведения см. на странице цен на Функции Azure.

(Необязательный шаг) Безопасное хранение ключей авторизации рабочей области и API или маркеров в Azure Key Vault. Azure Key Vault предоставляет безопасный механизм хранения и извлечения значений ключей. Следуйте этим инструкциям, чтобы использовать Azure Key Vault с приложением-функцией Azure.

ПРИМЕЧАНИЕ. Этот соединитель данных зависит от средства синтаксического анализа на основе функции Kusto, чтобы работать должным образом. Выполните следующие действия , чтобы создать псевдоним функций Kusto JiraAudit

ШАГ 1. Действия по настройке api Jira

Следуйте инструкциям, чтобы получить учетные данные.

ШАГ 2. Выберите один из следующих двух вариантов развертывания, чтобы развернуть соединитель и связанную функцию Azure

ВАЖНО: Перед развертыванием соединителя данных рабочей области у вас есть идентификатор рабочей области и первичный ключ рабочей области (можно скопировать из следующего кода).

• Идентификатор рабочей области: <переменное значение, указанное во время установки>
• Первичный ключ: <значение переменной, указанное во время установки>

Вариант 1. Шаблон Azure Resource Manager (ARM)

Используйте этот метод для автоматического развертывания соединителя данных Jira Audit с помощью tempate ARM.

1. Нажмите кнопку Развернуть в Azure ниже.

   aka.msaka.ms

2. Выберите предпочтительную подписку, группу ресурсов и расположение.

ПРИМЕЧАНИЕ: В одной группе ресурсов нельзя смешивать приложения Windows и Linux в одном регионе. Выберите существующую группу ресурсов без приложений Windows или создайте новую группу ресурсов. 3. Введите JiraAccessToken, JiraUsername, JiraHomeSiteName (часть короткого имени сайта, в качестве примера HOMESITENAME из https://community.atlassian.com) и разверните. 4. Установите флажок Я принимаю указанные выше условия. 5. Щелкните Приобрести , чтобы развернуть.

Вариант 2. Развертывание Функции Azure вручную

Используйте следующие пошаговые инструкции, чтобы вручную развернуть соединитель данных Jira Audit с Функции Azure (Развертывание через Visual Studio Code).

1. Развертывание приложения-функции

ПРИМЕЧАНИЕ: Вам потребуется подготовить код VS для разработки функций Azure.

1. Скачайте файл приложения-функции Azure. Извлеките архив на локальный компьютер разработки.

2. Запустите VS Code. Выберите Файл в главном меню и выберите Открыть папку.

3. Выберите папку верхнего уровня из извлеченных файлов.

4. Щелкните значок Azure на панели действий, а затем в области Azure: Функции нажмите кнопку Развернуть в приложении-функции. Если вы еще не вошли в систему, щелкните значок Azure на панели действий, а затем в области Azure: Функции выберите Войти в Azure Если вы уже вошли в систему, перейдите к следующему шагу.

5. Укажите следующие сведения в запросах:

   А. Выберите папку: Выберите папку из рабочей области или перейдите к папке, содержащей приложение-функцию.

   Б. Выберите Подписка: Выберите подписку для использования.

   c. Выберите Создать приложение-функцию в Azure (не выбирайте параметр Дополнительно)

   d. Введите глобально уникальное имя приложения-функции: Введите допустимое имя в URL-пути. Введенное имя проверяется, чтобы убедиться, что оно уникально в Функции Azure. (например, JiraAuditXXXXX).

   e. Выберите среду выполнения: Выберите Python 3.11.

   f. Выберите расположение для новых ресурсов. Для повышения производительности и снижения затрат выберите тот же регион, где находится Microsoft Sentinel.

6. Начнется развертывание. После создания приложения-функции и применения пакета развертывания отображается уведомление.

7. Перейдите на портал Azure для настройки приложения-функции.

8. Настройка приложения-функции

9. В приложении-функции выберите имя приложения-функции и выберите Конфигурация.

10. На вкладке Параметры приложения выберите Новый параметр приложения.

11. Добавьте каждый из следующих параметров приложения по отдельности с соответствующими строковыми значениями (с учетом регистра): JiraUsername JiraAccessToken JiraHomeSiteName WorkspaceID WorkspaceID LogAnalyticsUri (необязательно)

• Используйте logAnalyticsUri, чтобы переопределить конечную точку API Log Analytics для выделенного облака. Например, для общедоступного облака оставьте значение пустым; для Azure облачной среды GovUS укажите значение в следующем формате: https://<CustomerId>.ods.opinsights.azure.us.

3. После ввода всех параметров приложения нажмите кнопку Сохранить.

Поддерживается корпорациейМайкрософт

Соединитель данных Atlassian Jira Audit предоставляет возможность приема событий Jira Audit Records в Microsoft Sentinel с помощью REST API. Дополнительные сведения см. в документации по API . Соединитель позволяет извлекать события для оценки потенциальных рисков безопасности, мониторинга совместной работы, а также диагностики и устранения неполадок с конфигурацией.

Таблицы Log Analytics:

Поддержка правил сбора данных:DCR преобразования рабочей области

Необходимые условия:

• Доступ к API Atlassian Jira. Разрешение на администрирование Jira требуется для получения доступа к API журналов аудита Jira. Дополнительные сведения об API аудита см. в документации по API Jira .

Инструкции по настройке:

Чтобы включить соединитель Atlassian Jira для Microsoft Sentinel, щелкните, чтобы добавить организацию, заполните форму учетными данными среды Jira и щелкните Подключиться. Чтобы создать маркер API, выполните следующие действия .

• Сетка соединителей данных (настройка на портале)

Поддерживается корпорациейМайкрософт

Соединитель данных Auth0 позволяет принимать журналы из API Auth0 в Microsoft Sentinel. Соединитель данных создан на основе Microsoft Sentinel платформы соединителей без кода. Он использует API Auth0 для получения журналов и поддерживает преобразования времени приема на основе DCR, которые анализируют полученные данные безопасности в настраиваемую таблицу, чтобы запросы не нуждались в их повторном анализе, что приводит к повышению производительности.

Таблицы Log Analytics:

Поддержка правил сбора данных:DCR преобразования рабочей области

Инструкции по настройке:

Шаг 1. Шаги по настройке API управления Auth0

Следуйте инструкциям, чтобы получить учетные данные.

1. На панели мониторинга Auth0 перейдите в раздел [Приложения>]
2. Выберите приложение. Это должно быть приложение [между компьютерами], настроенным по крайней мере с разрешениями [read:logs] и [read:logs_users].
3. Копирование [домен, идентификатор клиента, секрет клиента]

• Базовый URL-адрес API: (https://example.auth0.com)
• Идентификатор клиента: (идентификатор клиента)
• Секрет клиента: (токен API)
• Включение и отключение подключения

Поддерживается корпорациейМайкрософт

Вы можете выполнять потоковую передачу журналов аудита с сервера SQL WebCTRL, размещенного на компьютерах Windows, подключенных к Microsoft Sentinel. Это подключение позволяет просматривать панели мониторинга, создавать настраиваемые оповещения и улучшать исследование. Это дает аналитические сведения о системах промышленного управления, которые отслеживаются или контролируются приложением WebCTRL BAS.

Таблицы Log Analytics:

Поддержка правил сбора данных:DCR преобразования рабочей области

Инструкции по настройке:

1. Установите и подключить агент Майкрософт для Windows.

Узнайте о настройке агента и подключении событий Windows.

Этот шаг можно пропустить, если вы уже установили агент Майкрософт для Windows

2. Настройка задачи Windows для чтения данных аудита и их записи в события Windows

Установите и настройте запланированную задачу Windows для чтения журналов аудита в SQL и записи их как событий Windows. Эти события Windows будут собираться агентом и пересылаться в Microsoft Sentinel.

Обратите внимание, что данные со всех компьютеров будут храниться в выбранной рабочей области.

2.1. Скопируйте файлы установки в расположение на сервере.

2.2 Обновите параметры скрипта ALC-WebCTRL-AuditPull.ps1 (скопированные на предыдущем шаге), такие как имя целевой базы данных и идентификатор события Windows. Дополнительные сведения см. в комментариях к скрипту.

2.3. Обновите параметры задач Windows в файлеALC-WebCTRL-AuditPullTaskConfig.xml , скопированном на предыдущем шаге, согласно требованию. Дополнительные сведения см. в комментариях к файлу.

2.4. Установка задач Windows с помощью обновленных конфигураций, скопированных на описанных выше шагах

• Выполните следующую команду в PowerShell из каталога, в который копируются файлы установки на шаге 2.1: <переменное значение, указанное во время установки.>

3. Проверка подключения

Следуйте инструкциям, чтобы проверить подключение.

Откройте Log Analytics, чтобы проверка, если журналы получены с помощью схемы событий.

Подключение может занять около 20 минут, пока подключение будет передавать данные в рабочую область.

Если журналы не получены, проверьте следующие действия на наличие проблем во время выполнения:

1. Убедитесь, что запланированная задача создана и находится в состоянии выполнения в планировщике задач Windows.

2. Проверка ошибок выполнения задач на вкладке "Журнал" в планировщике задач Windows для созданной задачи на шаге 2.4

3. Убедитесь, что таблица аудита SQL содержит новые записи во время выполнения запланированной задачи Windows.

Поддерживается корпорациейМайкрософт

Соединитель данных AWS EKS предоставляет возможность приема журналов аудита из Amazon Elastic Kubernetes Service в Microsoft Sentinel. Этот соединитель предназначен для журналов аудита EKS (формат JSON), которые содержат подробные сведения о запросах сервера API, решениях проверки подлинности и действиях кластера. Соединитель использует AWS SQS для получения уведомлений при экспорте новых файлов журнала аудита в S3, обеспечивая мониторинг безопасности и отслеживание соответствия требованиям для кластеров Kubernetes в режиме реального времени.

Таблицы Log Analytics:

Поддержка правил сбора данных: В настоящее время не поддерживается

Инструкции по настройке:

1. Развертывание AWS CloudFormation

Используйте предоставленные шаблоны CloudFormation, чтобы настроить среду AWS для отправки журналов из AWS EKS в рабочую область Log Analytics.

Развертывание шаблонов CloudFormation в AWS:

1. Перейдите к AWS CloudFormation Stacks.
2. Щелкните Создать стек и выберите С новыми ресурсами.
3. Выберите Отправить файл шаблона, а затем щелкните Выбрать файл, чтобы отправить соответствующий шаблон CloudFormation (Шаблон 1 и 2 ниже).
4. Следуйте инструкциям и нажмите кнопку Далее , чтобы завершить создание стека.
5. После создания стеков перейдите к разделу Выходные данные . Запустите скрипты на шагах 1 и 2 из раздела выходных данных. Он выполняет потоковую передачу журнала из eks в sqs.
6. В том же разделе выходных данных запишите url-адрес ARN роли и ОЧЕРЕДИ SQS , которые будут использоваться в соединителе connect.

• Шаблон 1. Развертывание поставщика проверки подлинности OpenID Connect: <переменное значение, указанное во время установки>
• Шаблон 2. Развертывание ресурсов AWS EKS: <переменное значение, указанное во время установки>

2. Подключение новых сборщиков

Чтобы включить соединитель AWS Security Hub для Microsoft Sentinel, нажмите кнопку Добавить новый сборщик, укажите необходимые сведения в области контекста и нажмите кнопку Подключить.

• SentinelRoleArn: (ARN роли AWS IAM для доступа между учетными записями (например, arn:aws:iam::123456789012:role/SentinelRole))
• SentinelSQSQueueURL: (полный URL-адрес очереди AWS EKS (например, https://sqs.region.amazonaws.com/account-id/queue-name))

3. Подключение

Включите соединитель AWS EKS.

• Включение и отключение подключения

Поддерживается корпорациейМайкрософт

Этот соединитель позволяет принимать журналы доступа к серверу AWS S3 в Microsoft Sentinel. Эти журналы содержат подробные записи о запросах, выполненных в контейнеры S3, включая тип запроса, доступ к ресурсу, сведения о запросе и сведения об ответе. Эти журналы полезны для анализа шаблонов доступа, отладки проблем и обеспечения соответствия требованиям безопасности.

Таблицы Log Analytics:

Поддержка правил сбора данных:DCR преобразования рабочей области

Необходимые условия:

• Среда. Необходимо определить и настроить следующие ресурсы AWS: контейнер S3, простая служба очередей (SQS), роли IAM и политики разрешений.

Инструкции по настройке:

1. Развертывание AWS CloudFormation. Чтобы настроить доступ в AWS, были созданы два шаблона для настройки среды AWS для отправки журналов из журналов доступа к серверу AWS S3 в рабочую область Log Analytics.

Развертывание шаблонов CloudFormation в AWS:

1. Перейдите к AWS CloudFormation Stacks.
2. Щелкните Создать стек и выберите С новыми ресурсами.
3. Выберите Отправить файл шаблона, а затем щелкните Выбрать файл, чтобы отправить соответствующий предоставленный шаблон CloudFormation.
4. Следуйте инструкциям и нажмите кнопку Далее , чтобы завершить создание стека.
5. После создания стеков запишите URL-адрес ARN роли и ОЧЕРЕДИ SQS.

• Шаблон 1. Развертывание поставщика проверки подлинности OpenID Connect: <переменное значение, указанное во время установки>
• Шаблон 2. Развертывание ресурсов AWS Server Access: <значение переменной, указанное во время установки>

2. Подключение новых сборщиков. Чтобы включить соединитель aws S3 Server Access Logs Connector для Microsoft Sentinel, нажмите кнопку Добавить новый сборщик, заполните необходимые сведения в области контекста и нажмите кнопку Подключить.

• Сетка соединителей данных (настройка на портале)

Поддерживается корпорациейМайкрософт

Этот соединитель позволяет принимать результаты AWS Security Hub, собранные в контейнерах AWS S3, в Microsoft Sentinel. Она помогает упростить процесс мониторинга оповещений системы безопасности и управления ими, интегрируя результаты AWS Security Hub с расширенными возможностями обнаружения угроз и реагирования на угрозы Microsoft Sentinel.

Таблицы Log Analytics:

Поддержка правил сбора данных:DCR преобразования рабочей области

Необходимые условия:

• Среда. Необходимо определить и настроить следующие ресурсы AWS: Центр безопасности AWS, Amazon Data Firehose, Amazon EventBridge, контейнер S3, простая служба очередей (SQS), роли IAM и политики разрешений.

Инструкции по настройке:

1. Развертывание AWS CloudFormation Используйте предоставленные шаблоны CloudFormation, чтобы настроить среду AWS для отправки журналов из AWS Security Hub в рабочую область Log Analytics.

Развертывание шаблонов CloudFormation в AWS:

1. Перейдите к AWS CloudFormation Stacks.
2. Щелкните Создать стек и выберите С новыми ресурсами.
3. Выберите Отправить файл шаблона, а затем щелкните Выбрать файл, чтобы отправить соответствующий предоставленный шаблон CloudFormation.
4. Следуйте инструкциям и нажмите кнопку Далее , чтобы завершить создание стека.
5. После создания стеков запишите URL-адрес ARN роли и ОЧЕРЕДИ SQS.

• Шаблон 1. Развертывание поставщика проверки подлинности OpenID Connect: <переменное значение, указанное во время установки>
• Шаблон 2. Развертывание ресурсов Центра безопасности AWS: <переменное значение, указанное во время установки>

2. Подключение новых сборщиков. Чтобы включить соединитель AWS Security Hub для Microsoft Sentinel, нажмите кнопку Добавить новый сборщик, заполните необходимые сведения в области контекста и нажмите кнопку Подключить.

• Сетка соединителей данных (настройка на портале)

Поддерживается корпорациейМайкрософт

журнал действий Azure — это журнал подписки, который предоставляет сведения о событиях уровня подписки, происходящих в Azure, включая события из Azure Resource Manager операционных данных, события работоспособности служб, операции записи, выполняемые с ресурсами в подписке, а также состояние действий, выполненных в Azure. Дополнительные сведения см. в документации по Microsoft Sentinel .

Таблицы Log Analytics:

Поддержка правил сбора данных: В настоящее время не поддерживается

Поддерживается корпорациейМайкрософт

учетная запись пакетная служба Azure — это уникально идентифицируемая сущность в пакетной службе. Большинство решений пакетной службы используют хранилище Azure для хранения файлов ресурсов и выходных файлов, поэтому каждая учетная запись пакетной службы обычно связана с соответствующей учетной записью хранения. Этот соединитель позволяет выполнять потоковую передачу пакетная служба Azure учетной записи диагностика журналов в Microsoft Sentinel, что позволяет непрерывно отслеживать действия. Дополнительные сведения см. в документации по Microsoft Sentinel.

Таблицы Log Analytics:

Поддержка правил сбора данных: В настоящее время не поддерживается

Необходимые условия:

• Политика: роль владельца, назначенная для каждого назначения политики область

Инструкции по настройке:

Подключение учетной записи пакетная служба Azure диагностика журналов в Sentinel.

Этот соединитель использует Политика Azure для применения единой конфигурации потоковой передачи журналов учетной записи пакетная служба Azure к коллекции экземпляров, определенной как область. Следуйте приведенным ниже инструкциям, чтобы создать и применить политику ко всем текущим и будущим экземплярам. Обратите внимание, что у вас уже может быть активная политика для этого типа ресурса.

Stream диагностика журналы из учетной записи пакетная служба Azure в большом масштабе

**Запустите мастер назначения Политика Azure и следуйте инструкциям. **

1. На вкладке Основные сведения нажмите кнопку с тремя точками в разделе Область, чтобы выбрать подписку.
2. На вкладке Параметры выберите рабочую область Microsoft Sentinel в раскрывающемся списке Рабочая область Log Analytics и оставьте пометку "True" все категории журналов, которые вы хотите принять.
3. Чтобы применить политику к существующим ресурсам, пометьте поле Создание задачи исправления проверка на вкладке Исправление.

Поддерживается:Palo Alto Networks

Cloud Next-Generation Firewall by Palo Alto Networks , Azure native ISV Service, — это Брандмауэр нового поколения Palo Alto Networks (NGFW), предоставляемый как облачная служба на Azure. Вы можете обнаружить cloud NGFW в Azure Marketplace и использовать его в виртуальных сетях Azure. С помощью Cloud NGFW вы можете получить доступ к основным возможностям NGFW, таким как app-ID, технологии фильтрации URL-адресов. Он обеспечивает предотвращение и обнаружение угроз с помощью облачных служб безопасности и подписей защиты от угроз. Соединитель позволяет легко подключать журналы Cloud NGFW к Microsoft Sentinel, просматривать панели мониторинга, создавать настраиваемые оповещения и улучшать исследование. Это дает вам больше сведений о сети вашей организации и улучшает возможности операций безопасности. Дополнительные сведения см. в документации по cloud NGFW для Azure.

Таблицы Log Analytics:

Поддержка правил сбора данных:DCR преобразования рабочей области

Инструкции по настройке:

Подключение Cloud NGFW от Palo Alto Networks к Microsoft Sentinel

Включите параметры журнала во всех облачных NGFWs от Palo Alto Networks.

Внутри ресурса CLOUD NGFW:

1. На домашней странице перейдите в раздел Параметры журнала .
2. Убедитесь, что установлен флажок Включить параметры журнала .
3. В раскрывающемся списке Параметры журнала выберите нужную рабочую область Log Analytics.
4. Подтвердите выбранные параметры и конфигурации.
5. Нажмите кнопку Сохранить , чтобы применить параметры.

Поддерживается корпорациейМайкрософт

Когнитивный поиск Azure — это облачная служба поиска, которая предоставляет разработчикам инфраструктуру, API-интерфейсы и инструменты для создания расширенного интерфейса поиска по частному разнородному содержимому в веб-, мобильных и корпоративных приложениях. Этот соединитель позволяет выполнять потоковую передачу журналов Когнитивный поиск Azure диагностика в Microsoft Sentinel, что позволяет непрерывно отслеживать действия.

Таблицы Log Analytics:

Поддержка правил сбора данных: В настоящее время не поддерживается

Необходимые условия:

• Политика: роль владельца, назначенная для каждого назначения политики область

Инструкции по настройке:

Подключите журналы Когнитивный поиск Azure диагностика к Sentinel.

Этот соединитель использует Политика Azure для применения единого Когнитивный поиск Azure конфигурации потоковой передачи журналов к коллекции экземпляров, определенных как область. Следуйте приведенным ниже инструкциям, чтобы создать и применить политику ко всем текущим и будущим экземплярам. Обратите внимание, что у вас уже может быть активная политика для этого типа ресурса.

Stream диагностика журналы из Когнитивный поиск Azure в большом масштабе

**Запустите мастер назначения Политика Azure и следуйте инструкциям. **

1. На вкладке Основные сведения нажмите кнопку с тремя точками в разделе Область, чтобы выбрать подписку.
2. На вкладке Параметры выберите рабочую область Microsoft Sentinel в раскрывающемся списке Рабочая область Log Analytics и оставьте пометку "True" все категории журналов, которые вы хотите принять.
3. Чтобы применить политику к существующим ресурсам, пометьте поле Создание задачи исправления проверка на вкладке Исправление.

Поддерживается корпорациейМайкрософт

Подключитесь к журналам защиты от атак DDoS Azure Standard через журналы диагностики общедоступных IP-адресов. Помимо основной защиты от атак DDoS на платформе, Azure защита от атак DDoS Standard предоставляет расширенные возможности защиты от атак DDoS. Он автоматически настраивается для защиты определенных ресурсов Azure. Защита просто включается во время создания новых виртуальных сетей. Это также можно сделать после создания и не требует изменений приложений или ресурсов. Дополнительные сведения см. в документации по Microsoft Sentinel.

Таблицы Log Analytics:

Поддержка правил сбора данных: В настоящее время не поддерживается

Поддерживается корпорациейМайкрософт

Соединитель данных журналов аудита Azure DevOps позволяет принимать события аудита из Azure DevOps в Microsoft Sentinel. Этот соединитель данных построен с помощью платформы соединителя без кода Microsoft Sentinel, что обеспечивает беспроблемную интеграцию. Он использует API журналов аудита Azure DevOps для получения подробных событий аудита и поддерживает преобразования времени приема на основе DCR. Эти преобразования позволяют анализировать полученные данные аудита в настраиваемую таблицу во время приема, повышая производительность запросов, устраняя необходимость в дополнительном синтаксическом анализе. С помощью этого соединителя вы можете получить улучшенный обзор среды DevOps Azure и упростить операции по обеспечению безопасности.

Таблицы Log Analytics:

Поддержка правил сбора данных:DCR преобразования рабочей области

Необходимые условия:

• Azure Предварительные требования к DevOps. Убедитесь в следующем:
  1. Зарегистрируйте приложение Entra в центре Microsoft Entra Администратор в разделе Регистрация приложений.
  2. В разделе "Разрешения API" добавьте разрешения в "Azure DevOps - vso.auditlog".
  3. В разделе "Сертификаты & секреты" создайте "Секрет клиента".
  4. В разделе "Проверка подлинности" добавьте приведенный ниже URI перенаправления в соответствующее поле.
  5. В параметрах Azure DevOps включите журнал аудита и задайте параметр Просмотр журнала аудита для пользователя. Azure Аудит DevOps.
  6. Убедитесь, что пользователю, назначенному для подключения к соединителю данных, явно задано разрешение Просмотр журналов аудита значение Разрешить всегда. Это разрешение необходимо для успешного приема журналов. Если разрешение отозвано или не предоставлено, прием данных завершится ошибкой или прерван.

Инструкции по настройке:

**Подключитесь к Azure DevOps, чтобы начать сбор журналов аудита в Microsoft Sentinel. **

1. Введите приложение, которое вы зарегистрировали.
2. В разделе "Обзор" скопируйте идентификатор приложения (клиента).
3. Нажмите кнопку "Конечные точки" и скопируйте значение "Конечная точка авторизации OAuth 2.0 (версия 2)" и значение "Конечная точка токена OAuth 2.0 (версия 2)".
4. В разделе "Сертификаты & секреты" скопируйте значение "Секрет клиента" и сохраните его безопасно.
5. Укажите необходимые сведения ниже и нажмите кнопку "Подключить".

• Конечная точка токена: ([concat(variables('_loginUrl'), '/{TenantId}/oauth2/v2.0/token'])
• Конечная точка авторизации: ([concat(variables('_loginUrl'), '/{TenantId}/oauth2/v2.0/authorize'])
• Конечная точка API: (https://auditservice.dev.azure.com/{organizationName}/_apis/audit/auditlog?api-version=7.2-preview)

Поддерживается корпорациейМайкрософт

Центры событий Azure — это платформа потоковой передачи больших данных и служба приема событий. Он может получать и обрабатывать миллионы событий в секунду. Этот соединитель позволяет выполнять потоковую передачу журналов концентратора событий Azure диагностика в Microsoft Sentinel, что позволяет непрерывно отслеживать действия.

Таблицы Log Analytics:

Поддержка правил сбора данных: В настоящее время не поддерживается

Необходимые условия:

• Политика: роль владельца, назначенная для каждого назначения политики область

Инструкции по настройке:

Подключите диагностика журналы концентратора событий Azure к Sentinel.

Этот соединитель использует Политика Azure для применения единой конфигурации потоковой передачи журналов концентратора событий Azure к коллекции экземпляров, определенной как область. Следуйте приведенным ниже инструкциям, чтобы создать и применить политику ко всем текущим и будущим экземплярам. Обратите внимание, что у вас уже может быть активная политика для этого типа ресурса.

Stream диагностика журналы из концентратора событий Azure в большом масштабе

**Запустите мастер назначения Политика Azure и следуйте инструкциям. **

1. На вкладке Основные сведения нажмите кнопку с тремя точками в разделе Область, чтобы выбрать подписку.
2. На вкладке Параметры выберите рабочую область Microsoft Sentinel в раскрывающемся списке Рабочая область Log Analytics и оставьте пометку "True" все категории журналов, которые вы хотите принять.
3. Чтобы применить политику к существующим ресурсам, пометьте поле Создание задачи исправления проверка на вкладке Исправление.

Поддерживается корпорациейМайкрософт

Подключение к Брандмауэр Azure. Брандмауэр Azure — это управляемая облачная служба безопасности сети, которая защищает ресурсы Azure виртуальная сеть. Это брандмауэр как услуга с полным отслеживанием состояния со встроенным высоким уровнем доступности и неограниченной масштабируемостью облака. Дополнительные сведения см. в документации по Microsoft Sentinel.

Таблицы Log Analytics:

Поддержка правил сбора данных:DCR преобразования рабочей области

Поддерживается корпорациейМайкрософт

Azure Key Vault — это облачная служба для безопасного хранения секретов и доступа к ним. Секрет — это все, к чему требуется жестко управлять доступом, например ключи API, пароли, сертификаты или криптографические ключи. Этот соединитель позволяет выполнять потоковую передачу журналов Azure Key Vault диагностика в Microsoft Sentinel, что позволяет непрерывно отслеживать действия во всех экземплярах. Дополнительные сведения см. в документации по Microsoft Sentinel.

Таблицы Log Analytics:

Поддержка правил сбора данных: В настоящее время не поддерживается

Поддерживается корпорациейМайкрософт

Служба Azure Kubernetes (AKS) — это полностью управляемая служба оркестрации контейнеров с открытым кодом, которая позволяет развертывать, масштабировать и администрировать контейнеры Docker и приложения на основе контейнеров в среде кластера. Этот соединитель позволяет выполнять потоковую передачу журналов Служба Azure Kubernetes (AKS) диагностика в Microsoft Sentinel, что позволяет непрерывно отслеживать действия во всех экземплярах. Дополнительные сведения см. в документации по Microsoft Sentinel.

Таблицы Log Analytics:

Поддержка правил сбора данных: В настоящее время не поддерживается

Поддерживается корпорациейМайкрософт

Azure Logic Apps — это облачная платформа для создания и запуска автоматизированных рабочих процессов, которые интегрируют приложения, данные, службы и системы. Этот соединитель позволяет выполнять потоковую передачу журналов Azure Logic Apps диагностика в Microsoft Sentinel, что позволяет непрерывно отслеживать действия.

Таблицы Log Analytics:

Поддержка правил сбора данных: В настоящее время не поддерживается

Необходимые условия:

• Политика: роль владельца, назначенная для каждого назначения политики область

Инструкции по настройке:

Подключите журналы Logic Apps диагностика к Sentinel.

Этот соединитель использует Политика Azure для применения единой конфигурации потоковой передачи журналов Logic Apps Azure к коллекции экземпляров, определенных как область. Следуйте приведенным ниже инструкциям, чтобы создать и применить политику ко всем текущим и будущим экземплярам. Обратите внимание, что у вас уже может быть активная политика для этого типа ресурса.

Stream диагностика журналов из Azure Logic Apps в большом масштабе

**Запустите мастер назначения Политика Azure и следуйте инструкциям. **

1. На вкладке Основные сведения нажмите кнопку с тремя точками в разделе Область, чтобы выбрать подписку.
2. На вкладке Параметры выберите рабочую область Microsoft Sentinel в раскрывающемся списке Рабочая область Log Analytics и оставьте пометку "True" все категории журналов, которые вы хотите принять.
3. Чтобы применить политику к существующим ресурсам, пометьте поле Создание задачи исправления проверка на вкладке Исправление.

Поддерживается корпорациейМайкрософт

соединитель Azure Resource Graph предоставляет более подробную информацию о событиях Azure, дополняя сведения о Azure подписках и Azure ресурсах.

Таблицы Log Analytics:

Поддержка правил сбора данных: В настоящее время не поддерживается

Необходимые условия:

• Политика: разрешение роли владельца для подписок Azure

Инструкции по настройке:

Подключение Azure Resource Graph к Microsoft Sentinel

Поддерживается корпорациейМайкрософт

Служебная шина Azure — это полностью управляемый корпоративный брокер сообщений с очередями сообщений и разделами публикации и подписки (в пространстве имен). Этот соединитель позволяет выполнять потоковую передачу журналов Служебная шина Azure диагностика в Microsoft Sentinel, что позволяет непрерывно отслеживать действия.

Таблицы Log Analytics:

Поддержка правил сбора данных: В настоящее время не поддерживается

Необходимые условия:

• Политика: роль владельца, назначенная для каждого назначения политики область

Инструкции по настройке:

Подключите журналы Служебная шина Azure диагностика к Sentinel.

Этот соединитель использует Политика Azure для применения одной конфигурации потоковой передачи журналов Служебная шина Azure к коллекции экземпляров, определенной как область. Следуйте приведенным ниже инструкциям, чтобы создать и применить политику ко всем текущим и будущим экземплярам. Обратите внимание, что у вас уже может быть активная политика для этого типа ресурса.

Stream диагностика журналы из Служебная шина Azure в большом масштабе

**Запустите мастер назначения Политика Azure и следуйте инструкциям. **

1. На вкладке Основные сведения нажмите кнопку с тремя точками в разделе Область, чтобы выбрать подписку.
2. На вкладке Параметры выберите рабочую область Microsoft Sentinel в раскрывающемся списке Рабочая область Log Analytics и оставьте пометку "True" все категории журналов, которые вы хотите принять.
3. Чтобы применить политику к существующим ресурсам, пометьте поле Создание задачи исправления проверка на вкладке Исправление.

Поддерживается корпорациейМайкрософт

Azure SQL — это полностью управляемое ядро СУБД "платформа как услуга" (PaaS), которое обрабатывает большинство функций управления базами данных, таких как обновление, исправление, резервное копирование и мониторинг, без необходимости привлечения пользователей. Этот соединитель позволяет выполнять потоковую передачу журналов аудита и диагностики баз данных Azure SQL в Microsoft Sentinel, что позволяет непрерывно отслеживать действия во всех экземплярах.

Таблицы Log Analytics:

Поддержка правил сбора данных: В настоящее время не поддерживается

Поддерживается корпорациейМайкрософт

Azure учетная запись хранения — это облачное решение для современных сценариев хранения данных. Он содержит все объекты данных: большие двоичные объекты, файлы, очереди, таблицы и диски. Этот соединитель позволяет выполнять потоковую передачу Azure учетных записей хранения диагностика журналов в рабочую область Microsoft Sentinel, что позволяет непрерывно отслеживать действия во всех экземплярах и обнаруживать вредоносные действия в организации. Дополнительные сведения см. в документации по Microsoft Sentinel.

Таблицы Log Analytics:

Поддержка правил сбора данных:DCR преобразования рабочей области

Необходимые условия:

• Политика: роль владельца, назначенная для каждого назначения политики область

Инструкции по настройке:

Подключите учетную запись хранения Azure диагностика к Sentinel.

Этот соединитель использует набор политик Azure для применения конфигурации потоковой передачи журналов к коллекции экземпляров, определенных как область. Следуйте приведенным ниже инструкциям, чтобы создать и применить политики ко всем текущим и будущим экземплярам. Чтобы максимально эффективно использовать журнал диагностики учетной записи хранения из учетной записи хранения Azure, рекомендуется включить ведение журнала диагностики из всех служб в учетной записи хранения Azure — BLOB-объектов, очередей, таблиц и файлов. Обратите внимание, что у вас уже может быть активная политика для этого типа ресурса.

Stream диагностика журналы из учетной записи хранения Azure в большом масштабе

**Запустите мастер назначения Политика Azure и следуйте инструкциям. **

1. На вкладке Основные сведения нажмите кнопку с тремя точками в разделе Область, чтобы выбрать подписку.
2. На вкладке Параметры выберите рабочую область Microsoft Sentinel в раскрывающемся списке Рабочая область Log Analytics и оставьте пометку "True" все категории журналов, которые вы хотите принять.
3. Чтобы применить политику к существующим ресурсам, пометьте поле Создание задачи исправления проверка на вкладке Исправление.

Stream диагностика журналы из службы BLOB-объектов хранилища Azure в большом масштабе

**Запустите мастер назначения Политика Azure и следуйте инструкциям. **

1. На вкладке Основные сведения нажмите кнопку с тремя точками в разделе Область, чтобы выбрать подписку.
2. На вкладке Параметры выберите рабочую область Microsoft Sentinel в раскрывающемся списке Рабочая область Log Analytics и оставьте пометку "True" все категории журналов, которые вы хотите принять.
3. Чтобы применить политику к существующим ресурсам, пометьте поле Создание задачи исправления проверка на вкладке Исправление.

Stream диагностика журналы из службы очередей хранилища Azure в большом масштабе

**Запустите мастер назначения Политика Azure и следуйте инструкциям. **

1. На вкладке Основные сведения нажмите кнопку с тремя точками в разделе Область, чтобы выбрать подписку.
2. На вкладке Параметры выберите рабочую область Microsoft Sentinel в раскрывающемся списке Рабочая область Log Analytics и оставьте пометку "True" все категории журналов, которые вы хотите принять.
3. Чтобы применить политику к существующим ресурсам, пометьте поле Создание задачи исправления проверка на вкладке Исправление.

Stream диагностика журналы из службы таблиц хранилища Azure в большом масштабе

**Запустите мастер назначения Политика Azure и следуйте инструкциям. **

1. На вкладке Основные сведения нажмите кнопку с тремя точками в разделе Область, чтобы выбрать подписку.
2. На вкладке Параметры выберите рабочую область Microsoft Sentinel в раскрывающемся списке Рабочая область Log Analytics и оставьте пометку "True" все категории журналов, которые вы хотите принять.
3. Чтобы применить политику к существующим ресурсам, пометьте поле Создание задачи исправления проверка на вкладке Исправление.

Stream диагностика журналы из файловой службы хранилища Azure в большом масштабе

**Запустите мастер назначения Политика Azure и следуйте инструкциям. **

1. На вкладке Основные сведения нажмите кнопку с тремя точками в разделе Область, чтобы выбрать подписку.
2. На вкладке Параметры выберите рабочую область Microsoft Sentinel в раскрывающемся списке Рабочая область Log Analytics и оставьте пометку "True" все категории журналов, которые вы хотите принять.
3. Чтобы применить политику к существующим ресурсам, пометьте поле Создание задачи исправления проверка на вкладке Исправление.

Поддерживается корпорациейМайкрософт

Azure Stream Analytics - это механизм для выполнения аналитики и комплексной обработки событий в режиме реального времени, предназначенный для одновременного анализа и обработки больших объемов данных с быстрой потоковой передачей из нескольких источников. Этот соединитель позволяет выполнять потоковую передачу Azure Stream Аналитики диагностика журналов в Microsoft Sentinel, что позволяет непрерывно отслеживать действия.

Таблицы Log Analytics:

Поддержка правил сбора данных: В настоящее время не поддерживается

Необходимые условия:

• Политика: роль владельца, назначенная для каждого назначения политики область

Инструкции по настройке:

Подключите журналы Azure Stream Analytics диагностика к Sentinel.

Этот соединитель использует Политика Azure для применения одной конфигурации потоковой передачи журналов Azure Stream Analytics к коллекции экземпляров, определенных как область. Следуйте приведенным ниже инструкциям, чтобы создать и применить политику ко всем текущим и будущим экземплярам. Обратите внимание, что у вас уже может быть активная политика для этого типа ресурса.

Stream диагностика журналов из Azure Stream Analytics в большом масштабе

**Запустите мастер назначения Политика Azure и следуйте инструкциям. **

1. На вкладке Основные сведения нажмите кнопку с тремя точками в разделе Область, чтобы выбрать подписку.
2. На вкладке Параметры выберите рабочую область Microsoft Sentinel в раскрывающемся списке Рабочая область Log Analytics и оставьте пометку "True" все категории журналов, которые вы хотите принять.
3. Чтобы применить политику к существующим ресурсам, пометьте поле Создание задачи исправления проверка на вкладке Исправление.

Поддерживается корпорациейМайкрософт

Подключитесь к Azure Брандмауэр веб-приложений (WAF) для Шлюз приложений, Front Door или CDN. Этот WAF защищает приложения от распространенных веб-уязвимостей, таких как внедрение кода SQL и межсайтовые скрипты, и позволяет настраивать правила, чтобы уменьшить количество ложных срабатываний. Инструкции по потоковой передаче журналов брандмауэра веб-приложения Майкрософт в Microsoft Sentinel отображаются в процессе установки. Дополнительные сведения см. в документации по Microsoft Sentinel.

Таблицы Log Analytics:

Поддержка правил сбора данных: В настоящее время не поддерживается

Поддерживается:Better Mobile Security Inc.

Соединитель BETTER MTD позволяет предприятиям подключать экземпляры Better MTD к Microsoft Sentinel, просматривать данные на панелях мониторинга, создавать настраиваемые оповещения, использовать их для запуска сборников схем и расширять возможности охоты на угрозы. Это дает пользователям больше сведений о мобильных устройствах своей организации и позволяет быстро анализировать текущее состояние безопасности мобильных устройств, что улучшает их общие возможности SecOps.

Таблицы Log Analytics:

Поддержка правил сбора данных: В настоящее время не поддерживается

Инструкции по настройке:

1. В консоли Better MTD щелкните Интеграция на боковой панели.
2. Выберите вкладку Другие .
3. Нажмите кнопку ДОБАВИТЬ УЧЕТНУЮ ЗАПИСЬ и выберите Microsoft Sentinel из доступных интеграций.
4. Создайте интеграцию:

• задайте ACCOUNT NAME описательное имя, которое идентифицирует интеграцию, а затем нажмите кнопку Далее.
• Введите и WORKSPACE IDPRIMARY KEY в полях ниже нажмите кнопку Сохранить.
• Нажмите кнопку Готово.

5. Настройка политики угроз (о каких инцидентах следует сообщать ):Microsoft Sentinel

• В консоли Better MTD щелкните Политики на боковой панели.
• Нажмите кнопку Изменить используемой политики.
• Для каждого типа инцидента, который требуется регистрировать, перейдите в поле Отправить в интеграции и выберите Sentinel

6. Дополнительные сведения см. в документации.

• Идентификатор рабочей области: <переменное значение, указанное во время установки>
• Первичный ключ: <значение переменной, указанное во время установки>

Поддерживается:BeyondTrust

Соединитель данных BeyondTrust Privilege Management Cloud позволяет принимать журналы аудита действий и журналы событий клиента из BeyondTrust PM Cloud в Microsoft Sentinel.

Этот соединитель использует Функции Azure для извлечения данных из API BeyondTrust PM Cloud и приема их в пользовательские таблицы Log Analytics.

Таблицы Log Analytics:

Поддержка правил сбора данных:DCR преобразования рабочей области

Необходимые условия:

• Разрешения Microsoft.Web/sites: требуются разрешения на чтение и запись для Функции Azure для создания приложения-функции. Дополнительные сведения см. в разделе Функции Azure.
• Учетные данные BeyondTrust PM Cloud API. Требуются идентификатор клиента И секрет клиента OAuth BeyondTrust PM Cloud. Для учетной записи API требуются следующие разрешения: аудит — только для чтения и отчеты — только для чтения.

Инструкции по настройке:

ПРИМЕЧАНИЕ: Этот соединитель использует Функции Azure для подключения к API BeyondTrust PM Cloud для извлечения журналов в Microsoft Sentinel. Это может привести к дополнительным затратам на прием данных. Дополнительные сведения см. на странице цен на Функции Azure.

ПРИМЕЧАНИЕ: Этот соединитель использует поток учетных данных клиента OAuth 2.0 для проверки подлинности с помощью API BeyondTrust PM Cloud.

ШАГ 1. Получение учетных данных Cloud API BeyondTrust PM

Создайте учетную запись API в экземпляре BeyondTrust PM Cloud с учетными данными API OAuth (идентификатор клиента и секрет клиента). Для учетной записи API требуются следующие разрешения:

• Аудит — только для чтения
• Отчеты — только для чтения

ШАГ 2. Развертывание соединителя и связанной функции Azure

Используйте этот метод для автоматического развертывания соединителя данных BeyondTrust PM Cloud с помощью шаблона ARM.

1. Нажмите кнопку Развернуть в Azure ниже.

   portal.azure.com

2. Выберите предпочтительную подписку, группу ресурсов (должна содержать рабочую область Log Analytics) и Расположение.

3. Введите необходимые параметры:

   • Имя рабочей области: имя рабочей области Log Analytics (например, beyondtrust-pmcloud).
   • BeyondTrust PM Cloud Base URL: URL-адрес вашего клиента (например, https://yourcompany.beyondtrustcloud.com)
   • BeyondTrust Client ID: Идентификатор клиента OAuth из шага 1
   • BeyondTrust Client Secret: OAuth Client Secret from Step 1
   • Интервал опроса аудита активности: как часто собирается аудит действий (по умолчанию: 15 минут)
   • Интервал опроса событий клиента: частота сбора событий клиента (по умолчанию: 5 минут)
   • Уровень журнала: уровень ведения журнала для устранения неполадок (по умолчанию: Information)
   • Исторические данные: время сбора данных при первом запуске (по умолчанию: 1 день)

4. Просмотрите дополнительные параметры (SKU плана размещения, тип учетной записи хранения) и при необходимости настройте их.

5. Установите флажок С меткой Я принимаю указанные выше условия.

6. Щелкните Приобрести , чтобы развернуть.

7. При развертывании создаются все необходимые ресурсы: приложение-функция, учетная запись хранения, конечная точка сбора данных, правила сбора данных и пользовательские таблицы Log Analytics.

8. Данные должны начаться в течение 15–30 минут после развертывания.

Поддерживается:BigID

Соединитель данных BigID DSPM предоставляет возможность приема bigID DSPM случаев с затронутыми объектами и сведениями из источников данных в Microsoft Sentinel.

Таблицы Log Analytics:

Поддержка правил сбора данных:DCR преобразования рабочей области

Необходимые условия:

• Доступ к API BigID DSPM. Требуется доступ к API DSPM BigID через токен BigID.

Инструкции по настройке:

Подключитесь к API DSPM BigID, чтобы начать сбор DSPM случаев BigID и затронутых объектов в Microsoft Sentinel

Укажите доменное имя BigID, например customer.bigid.cloud, и токен BigID. Создайте маркер в консоли BigID с помощью параметров —> Управление доступом —> Пользователи —> выберите Пользователь и создайте маркер.

• Полное доменное имя BigID: (полное доменное имя BigID)
• Токен BigID: (токен BigID)
• Включение и отключение подключения

Поддерживается корпорациейМайкрософт

Соединитель данных Bitglass предоставляет возможность получать журналы событий безопасности служб Bitglass и другие события в Microsoft Sentinel через REST API. Соединитель позволяет извлекать события для оценки потенциальных рисков безопасности, мониторинга совместной работы, а также диагностики и устранения неполадок с конфигурацией.

Таблицы Log Analytics:

Поддержка правил сбора данных: В настоящее время не поддерживается

Необходимые условия:

• Разрешения Microsoft.Web/sites: требуются разрешения на чтение и запись для Функции Azure для создания приложения-функции. Дополнительные сведения см. в разделе Функции Azure.
• Учетные данные и разрешения REST API. Для выполнения вызовов API требуются BitglassToken и BitglassServiceURL .

Инструкции по настройке:

ПРИМЕЧАНИЕ: Этот соединитель использует Функции Azure для подключения к API Хранилище BLOB-объектов Azure для извлечения журналов в Microsoft Sentinel. Это может привести к дополнительным затратам на прием данных и хранение данных в Хранилище BLOB-объектов Azure затраты. Дополнительные сведения см. на странице цен на Функции Azure и на странице цен Хранилище BLOB-объектов Azure.

(Необязательный шаг) Безопасное хранение ключей авторизации рабочей области и API или маркеров в Azure Key Vault. Azure Key Vault предоставляет безопасный механизм хранения и извлечения значений ключей. Следуйте этим инструкциям, чтобы использовать Azure Key Vault с приложением-функцией Azure.

ПРИМЕЧАНИЕ: Этот соединитель данных зависит от средства синтаксического анализа на основе функции Kusto, которая будет работать должным образом Bitglass, которая развертывается с решением Microsoft Sentinel.

ШАГ 1. Действия по настройке API извлечения журналов Bitglass

Следуйте инструкциям, чтобы получить учетные данные.

1. Обратитесь в службу поддержки Bitglass и получите ntation BitglassToken и BitglassServiceURL ].
2. Сохраните учетные данные для использования в соединителе данных.

ШАГ 2. Выберите один из следующих двух вариантов развертывания, чтобы развернуть соединитель и связанную функцию Azure

ВАЖНО: Перед развертыванием соединителя данных Bitglass у вас есть идентификатор рабочей области и первичный ключ рабочей области (можно скопировать из следующего кода).

• Идентификатор рабочей области: <переменное значение, указанное во время установки>
• Первичный ключ: <значение переменной, указанное во время установки>

Вариант 1. Шаблон Azure Resource Manager (ARM)

Используйте этот метод для автоматического развертывания соединителя данных Bitglass с помощью шаблона ARM.

1. Нажмите кнопку Развернуть в Azure ниже.

   aka.ms

2. Выберите предпочтительную подписку, группу ресурсов и расположение.

ПРИМЕЧАНИЕ: В одной группе ресурсов нельзя смешивать приложения Windows и Linux в одном регионе. Выберите существующую группу ресурсов без приложений Windows или создайте новую группу ресурсов. 3. Введите BitglassToken, BitglassServiceURL и разверните. 4. Установите флажок Я принимаю указанные выше условия. 5. Щелкните Приобрести , чтобы развернуть.

Вариант 2. Развертывание Функции Azure вручную

Используйте следующие пошаговые инструкции, чтобы вручную развернуть соединитель данных Bitglass с Функции Azure (развертывание через Visual Studio Code).

1. Развертывание приложения-функции

ПРИМЕЧАНИЕ: Вам потребуется подготовить код VS для разработки функций Azure.

1. Скачайте файл приложения-функции Azure. Извлеките архив на локальный компьютер разработки.

2. Запустите VS Code. Выберите Файл в главном меню и выберите Открыть папку.

3. Выберите папку верхнего уровня из извлеченных файлов.

4. Щелкните значок Azure на панели действий, а затем в области Azure: Функции нажмите кнопку Развернуть в приложении-функции. Если вы еще не вошли в систему, щелкните значок Azure на панели действий, а затем в области Azure: Функции выберите Войти в Azure Если вы уже вошли в систему, перейдите к следующему шагу.

5. Укажите следующие сведения в запросах:

   А. Выберите папку: Выберите папку из рабочей области или перейдите к папке, содержащей приложение-функцию.

   Б. Выберите Подписка: Выберите подписку для использования.

   c. Выберите Создать приложение-функцию в Azure (не выбирайте параметр Дополнительно)

   d. Введите глобально уникальное имя приложения-функции: Введите допустимое имя в URL-пути. Введенное имя проверяется, чтобы убедиться, что оно уникально в Функции Azure. (например, BitglassXXXXX).

   e. Выберите среду выполнения: Выберите Python 3.11.

   f. Выберите расположение для новых ресурсов. Для повышения производительности и снижения затрат выберите тот же регион, где находится Microsoft Sentinel.

6. Начнется развертывание. После создания приложения-функции и применения пакета развертывания отображается уведомление.

7. Перейдите на портал Azure для настройки приложения-функции.

8. Настройка приложения-функции

9. В приложении-функции выберите имя приложения-функции и выберите Конфигурация.

10. На вкладке Параметры приложения выберите Новый параметр приложения.

11. Добавьте каждый из следующих параметров приложения по отдельности с соответствующими строковыми значениями (с учетом регистра): BitglassToken BitglassServiceURL WorkspaceID WorkspaceIDKey logAnalyticsUri (необязательно)

• Используйте logAnalyticsUri, чтобы переопределить конечную точку API Log Analytics для выделенного облака. Например, для общедоступного облака оставьте значение пустым; для Azure облачной среды GovUS укажите значение в следующем формате: https://<CustomerId>.ods.opinsights.azure.us.

4. После ввода всех параметров приложения нажмите кнопку Сохранить.

Поддерживается:Bitwarden Inc

Этот соединитель предоставляет сведения о действиях bitwarden организации, таких как действия пользователя (вход, изменение пароля, 2fa и т. д.), действия шифра (создание, обновление, удаление, совместное использование и т. д.), действия сбора данных, действия организации и многое другое.

Таблицы Log Analytics:

Поддержка правил сбора данных: В настоящее время не поддерживается

Необходимые условия:

• Bitwarden Client Id and Client Secret: ключ API можно найти в консоли администрирования bitwarden организации. Дополнительные сведения см. в документации по Bitwarden .

Инструкции по настройке:

Подключение журналов событий Bitwarden к Microsoft Sentinel

Ключ API можно найти в консоли администрирования bitwarden организации. Дополнительные сведения см. в документации по Bitwarden . Локальным серверам Bitwarden может потребоваться перенастроить URL-адрес установки.

• Url-адрес bitwarden identity: (https://identity.bitwarden.com)
• Url-адрес API Bitwarden: (https://api.bitwarden.com)

Поддерживается:blacklens.io Support

Соединитель данных blacklens.io позволяет принимать оповещения об управлении атаками из blacklens.io в Microsoft Sentinel с помощью приложения логики на основе веб-перехватчика и API приема журналов мониторинга Azure.

Таблицы Log Analytics:

Поддержка правил сбора данных:DCR преобразования рабочей области

Необходимые условия:

• Azure подписка. Для развертывания инфраструктуры приема данных (конечная точка сбора данных, правило сбора данных, настраиваемая таблица и приложение логики) требуются разрешения участника или владельца в группе ресурсов.
• учетная запись blacklens.io. Требуется учетная запись blacklens.io с возможностями интеграции с веб-перехватчиком.

Инструкции по настройке:

Шаг 1. Развертывание инфраструктуры приема данных

На этом шаге развертываются необходимые Azure ресурсов: конечная точка сбора данных, правило сбора данных, настраиваемая таблица Log Analytics (blacklens_CL) и приложение логики с активацией веб-перехватчика.

1. Нажмите кнопку Развернуть в Azure ниже.

   portal.azure.com

2. Выберите подписку, группу ресурсов и расположение, где находится рабочая область Microsoft Sentinel.

3. Введите имя рабочей области Log Analytics.

4. Щелкните Просмотр и создание, а затем — Создать.

Шаг 2. Копирование URL-адреса веб-перехватчика

1. После успешного развертывания перейдите на вкладку Выходные данные на странице развертывания.
2. Скопируйте значение webhookUrl .

Кроме того, перейдите в раздел Обзор Logic Apps >la-blacklens-alert-log-ingestion> и скопируйте URL-адрес рабочего процесса.

Шаг 3. Настройка blacklens.io

1. Войдите на портал blacklens.io.
2. Перейдите к параметрам интеграции веб-перехватчиков.
3. Вставьте URL-адрес веб-перехватчика, скопированный на шаге 2.
4. Сохраните конфигурацию.
5. Свяжите интеграцию веб-перехватчика по крайней мере с одной политикой уведомлений , чтобы оповещения отправлялись в веб-перехватчик.

Через несколько минут в Microsoft Sentinel должен появиться тестовый инцидент.

Поддерживается корпорациейМайкрософт

Соединитель данных Box предоставляет возможность приема событий Box enterprise в Microsoft Sentinel с помощью REST API Box. Дополнительные сведения см. в документации по Box .

Таблицы Log Analytics:

Поддержка правил сбора данных: В настоящее время не поддерживается

Необходимые условия:

• Разрешения Microsoft.Web/sites: требуются разрешения на чтение и запись для Функции Azure для создания приложения-функции. Дополнительные сведения см. в разделе Функции Azure.
• Учетные данные API Box. Для проверки подлинности JWT в REST API Box требуется ФАЙЛ JSON конфигурации Box. Дополнительные сведения см. в статье Проверка подлинности JWT.

Инструкции по настройке:

ПРИМЕЧАНИЕ: Этот соединитель использует Функции Azure для подключения к REST API Box для извлечения журналов в Microsoft Sentinel. Это может привести к дополнительным затратам на прием данных. Дополнительные сведения см. на странице цен на Функции Azure.

(Необязательный шаг) Безопасное хранение ключей авторизации рабочей области и API или маркеров в Azure Key Vault. Azure Key Vault предоставляет безопасный механизм хранения и извлечения значений ключей. Следуйте этим инструкциям, чтобы использовать Azure Key Vault с приложением-функцией Azure.

ПРИМЕЧАНИЕ: Этот соединитель зависит от средства синтаксического анализа, основанного на функции Kusto, которая будет работать в соответствии с ожидаемыми событиями BoxEvents, развернутыми с решением Microsoft Sentinel.

ШАГ 1. Настройка коллекции событий Box

Сведения о настройке проверки подлинности JWT и получении JSON-файла с учетными данными см. в документации.

ШАГ 2. Выберите один из следующих двух вариантов развертывания, чтобы развернуть соединитель и связанную функцию Azure

ВАЖНО: Перед развертыванием соединителя данных Box укажите идентификатор рабочей области и первичный ключ рабочей области (можно скопировать из следующего кода), а также файл конфигурации Box JSON, доступный.

• Идентификатор рабочей области: <переменное значение, указанное во время установки>
• Первичный ключ: <значение переменной, указанное во время установки>

Вариант 1. Шаблон Azure Resource Manager (ARM)

Используйте этот метод для автоматического развертывания соединителя данных Box с помощью tempate ARM.

1. Нажмите кнопку Развернуть в Azure ниже.

   aka.ms

2. Выберите предпочтительную подписку, группу ресурсов и расположение.

3. Введите AzureSentinelWorkspaceId, AzureSentinelSharedKey, BoxConfigJSON.

4. Установите флажок С меткой Я принимаю указанные выше условия.

5. Щелкните Приобрести , чтобы развернуть.

Вариант 2. Развертывание Функции Azure вручную

Используйте следующие пошаговые инструкции, чтобы вручную развернуть соединитель данных Box с помощью Функции Azure (развертывание через Visual Studio Code).

Шаг 1. Развертывание приложения-функции

1. Скачайте файл приложения-функции Azure. Извлеките архив на локальный компьютер разработки.
2. Следуйте инструкциям по развертыванию приложения-функции вручную, чтобы развернуть приложение Функции Azure с помощью VSCode.
3. После успешного развертывания приложения-функции выполните следующие действия по его настройке.

Шаг 2. Настройка приложения-функции

1. Перейдите на портал Azure для настройки приложения-функции.
2. В приложении-функции выберите имя приложения-функции и выберите Конфигурация.
3. На вкладке Параметры приложения выберите + Новый параметр приложения.
4. Добавьте каждый из следующих параметров приложения по отдельности с соответствующими строковыми значениями (с учетом регистра): AzureSentinelWorkspaceId AzureSentinelSharedKey BOX_CONFIG_JSON logAnalyticsUri (необязательно)

• Используйте logAnalyticsUri, чтобы переопределить конечную точку API Log Analytics для выделенного облака. Например, для общедоступного облака оставьте значение пустым; для Azure облачной среды GovUS укажите значение в следующем формате: https://<CustomerId>.ods.opinsights.azure.us.

5. После ввода всех параметров приложения нажмите кнопку Сохранить.

Поддерживается корпорациейМайкрософт

Соединитель данных Box предоставляет возможность приема событий Box enterprise в Microsoft Sentinel с помощью REST API Box. Дополнительные сведения см. в документации по Box .

Таблицы Log Analytics:

Поддержка правил сбора данных:DCR преобразования рабочей области

Необходимые условия:

• Учетные данные API Box. Для проверки подлинности ДЛЯ API Box требуется идентификатор клиента приложения Box и секрет клиента. Дополнительные сведения см. в разделе Предоставление учетных данных клиента.
• Box Enterprise ID. Для подключения требуется Box Enterprise ID. Поиск идентификатора предприятия см. в документации.

Инструкции по настройке:

ПРИМЕЧАНИЕ: Этот соединитель использует платформу Connecor без кода (CCF) для подключения к REST API Box для извлечения журналов в Microsoft Sentinel.

ПРИМЕЧАНИЕ: Этот соединитель зависит от средства синтаксического анализа, основанного на функции Kusto, которая будет работать в соответствии с ожидаемыми событиями BoxEvents, развернутыми с решением Microsoft Sentinel.

ШАГ 1. Создание пользовательского приложения Box

Сведения о настройке проверки подлинности учетных данных клиента см. в документации.

ШАГ 2. Получение значений идентификатора клиента и секрета клиента

Для получения секрета может потребоваться настроить 2FA.

Шаг 3. Захват идентификатора Box Enterprise из консоли Box Администратор

Поиск идентификатора предприятия см. в документации.

Подключитесь к Box, чтобы начать сбор журналов событий в Microsoft Sentinel

Укажите следующие обязательные значения:

• Box Enterprise ID: (123456)

Поддерживается:Check Point

Соединитель данных CloudGuard позволяет принимать события безопасности из API CloudGuard в Microsoft Sentinel ™ с помощью платформы соединителя без кода Microsoft Sentinel. Соединитель поддерживает преобразования времени приема на основе DCR, которые анализируют входящие данные событий безопасности в пользовательские столбцы. Этот процесс предварительного анализа устраняет необходимость в синтаксическом анализе во время запроса, что приводит к повышению производительности запросов к данным.

Таблицы Log Analytics:

Поддержка правил сбора данных:DCR преобразования рабочей области

Необходимые условия:

• Ключ API CloudGuard. Чтобы создать ключ API, ознакомьтесь с приведенными здесь инструкциями.

Инструкции по настройке:

Подключение событий безопасности CloudGuard к Microsoft Sentinel

Чтобы включить соединитель CloudGuard для Microsoft Sentinel, введите необходимые сведения ниже и нажмите кнопку Подключить.

• Идентификатор ключа API: (api_key)
• Секрет ключа API: (api_secret)
• URL-адрес конечной точки CloudGuard: (например, https://api.dome9.com)
• Фильтр: (вставить фильтр из CloudGuard)
• Включение и отключение подключения

Поддерживается:Cyberint

Cyberint, Check Point компания, предоставляет интеграцию Microsoft Sentinel для оптимизации критически важных оповещений и внедрения обогащенной аналитики угроз из решения Infinity External Risk Management в Microsoft Sentinel. Это упрощает процесс отслеживания состояния билетов с помощью автоматической синхронизации обновлений в разных системах. Используя эту новую интеграцию для Microsoft Sentinel, существующие клиенты Cyberint и Microsoft Sentinel могут легко извлекать журналы на основе результатов Cyberint в Microsoft Sentinel платформу.

Таблицы Log Analytics:

Поддержка правил сбора данных:DCR преобразования рабочей области

Необходимые условия:

• Check Point ключ API Cyberint, URL-адрес Argos и имя клиента: требуется ключ API соединителя, URL-адрес Argos и имя клиента.

Инструкции по настройке:

Подключение оповещений о киберинте контрольных точек к Microsoft Sentinel

Чтобы включить соединитель, укажите необходимые сведения ниже и нажмите кнопку Подключить.

URL-адрес Argos — URL-адрес API Cyberint для вашего клиента (например, https://your_tenant.cyberint.io) Маркер API — маркер доступа к API Cyberint Имя клиента — имя компании (клиента), связанное со средами экземпляра Cyberint — список сред, разделенных запятыми для получения. Если пуст, все среды получаются.\n\nСерьезность — список серьезности, разделенный запятыми (низкий, средний, высокий, very_high). Если пуст, все уровни серьезности получаются.\n\nИнтервал опроса — как часто опрашивать новые оповещения в минутах (по умолчанию: 5)\n\nВключить вложения CSV в виде JSON — следует ли включать вложения CSV в качестве содержимого JSON в оповещениях (по умолчанию: false)

• URL-адрес Argos: (https://your_tenant.cyberint.io)
• Токен API: (маркер доступа API Cyberint)
• Имя клиента: (название компании (клиента), связанное с вашим экземпляром Cyberint)
• Среды: (список, разделенный запятыми (например, рабочая среда, промежуточная среда))
• Серьезность: (список с разделительной запятой (например, низкий, средний, высокий, very_high))
• Интервал опроса (в минутах): (частота опроса в минутах)
• Включить вложения CSV в виде JSON: (true или false)
• Включение и отключение подключения

Поддерживается:Cyberint

Cyberint, Check Point компания, обеспечивает интеграцию Microsoft Sentinel для приема индикаторов компрометации (IOCs) из решения Infinity External Risk Management в Microsoft Sentinel. Этот соединитель автоматически извлекает ежедневный веб-канал IOC, включая вредоносные IP-адреса, домены, URL-адреса и хэши файлов, дополненный контекстом угроз, таким как серьезность, достоверность и обнаруженные действия.

Таблицы Log Analytics:

Поддержка правил сбора данных:DCR преобразования рабочей области

Необходимые условия:

• Check Point ключ API Cyberint, URL-адрес Argos и имя клиента: требуется ключ API соединителя, URL-адрес Argos и имя клиента.

Инструкции по настройке:

Подключение Check Point канала IOC Cyberint к Microsoft Sentinel

Чтобы включить соединитель, укажите необходимые сведения ниже и нажмите кнопку Подключить.

URL-адрес Argos — URL-адрес API Cyberint для вашего клиента (например, https://your_tenant.cyberint.io) Маркер API — маркер доступа к API Cyberint Имя клиента — имя компании (клиента), связанное с вашим экземпляром Cyberint

• URL-адрес Argos: (https://your-company.cyberint.io)
• Токен API: (токен API)
• Имя клиента: (название компании (клиента), связанное с вашим экземпляром Cyberint)
• Включение и отключение подключения

Поддерживается корпорациейМайкрософт

Соединитель брандмауэра Cisco ASA позволяет легко подключать журналы Cisco ASA к Microsoft Sentinel, просматривать панели мониторинга, создавать пользовательские оповещения и улучшать исследование. Это дает вам больше сведений о сети вашей организации и улучшает возможности операций безопасности.

Таблицы Log Analytics:

Поддержка правил сбора данных:DCR преобразования рабочей области

Необходимые условия:

• Для сбора данных с виртуальных машин, отличных от Azure, на них должна быть установлена и включена Azure Arc. Подробнее

Инструкции по настройке:

Включение правила сбора данных

Журналы событий Cisco ASA/FTD собираются только из Linux агентов.

• Агент установки: <значение переменной, указанное во время установки>

Выполните следующую команду, чтобы установить и применить сборщик Cisco ASA/FTD:

• Значение: <значение переменной, указанное во время установки.>

Поддерживается корпорациейМайкрософт

Решение Cisco Cloud Security для Microsoft Sentinel позволяет принимать журналыCisco Secure Access и Cisco Umbrella, хранящиеся в Amazon S3, в Microsoft Sentinel с помощью REST API Amazon S3. Дополнительные сведения см. в документации по управлению журналами Cisco Cloud Security .

Таблицы Log Analytics:

Поддержка правил сбора данных:DCR преобразования рабочей области

Необходимые условия:

• Разрешения Microsoft.Web/sites: требуются разрешения на чтение и запись для Функции Azure для создания приложения-функции. Дополнительные сведения см. в разделе Функции Azure.
• Учетные данные и разрешения REST API Amazon S3. Для REST API Amazon S3 требуются идентификатор ключа доступа AWS, секретный ключ доступа AWS, имя контейнера AWS S3 .

Инструкции по настройке:

ПРИМЕЧАНИЕ: Этот соединитель использует Функции Azure для подключения к REST API Amazon S3 для извлечения журналов в Microsoft Sentinel. Это может привести к дополнительным затратам на прием данных. Дополнительные сведения см. на странице цен на Функции Azure.

ПРИМЕЧАНИЕ: Этот соединитель был обновлен для поддержки схемы журнала Cisco Cloud Security версии 14.

(Необязательный шаг) Безопасное хранение ключей авторизации рабочей области и API или маркеров в Azure Key Vault. Azure Key Vault предоставляет безопасный механизм хранения и извлечения значений ключей. Следуйте этим инструкциям, чтобы использовать Azure Key Vault с приложением Функции Azure.

ПРИМЕЧАНИЕ. Этот соединитель использует средство синтаксического анализа на основе функции Kusto для нормализации полей. Выполните следующие действия , чтобы создать псевдоним функции Kusto Cisco_Umbrella.