Поделиться через

Интеграция пробела в кибербезопасности (с использованием подключения Azure Functions) для Microsoft Sentinel

  • Статья

Благодаря интеграции API вы можете получить все вопросы, связанные с организациями CBS, через интерфейс RESTful.

Это автоматически сформированное содержимое. Для изменений обратитесь к поставщику решений.

Атрибуты соединителя

Атрибут соединителя Описание
Код приложения-функции Azure https://raw.githubusercontent.com/CTM360-Integrations/Azure-Sentinel/ctm360-HV-CBS-azurefunctionapp/Solutions/CTM360/Data%20Connectors/CBS/AzureFunctionCTM360_CBS.zip
Таблицы Log Analytics CBSLog_Azure_1_CL
Поддержка правил сбора данных В настоящий момент не поддерживается
Поддерживается Управление киберугрывами 360

Примеры запросов

Все логи

CBSLog_Azure_1_CL 

| take 10

Предварительные условия

Чтобы интегрироваться с Cyber Blind Spot Integration (с помощью функций Azure), убедитесь, что у вас есть:

Инструкции по установке от поставщика

Примечание.

Этот соединитель использует Функции Azure для подключения к CyberBlindSpot для извлечения журналов в Microsoft Sentinel. Это может привести к дополнительным затратам на прием данных. Сведения см. на странице с ценами на функции Azure.

(Необязательный шаг) Безопасное хранение рабочих областей и ключей авторизации API в Azure Key Vault. Azure Key Vault предоставляет безопасный механизм для хранения и извлечения значений ключей. Выполните эти инструкции, чтобы использовать Azure Key Vault с приложением-функцией Azure.

ШАГ 1. Действия по настройке ДЛЯ API CyberBlindSpot

Поставщик должен предоставить или связаться с подробными инструкциями по настройке конечной точки API CyberBlindSpot, чтобы функция Azure успешно выполнила проверку подлинности, получить ключ авторизации или маркер и извлечь журналы устройства в Microsoft Sentinel.

ШАГ 2. Выберите ОДИН из следующих двух вариантов развертывания для развертывания соединителя и связанной функции Azure

ВАЖНО. Перед развертыванием соединителя CyberBlindSpot укажите идентификатор рабочей области и первичный ключ рабочей области (можно скопировать из следующего раздела), а также ключи авторизации API CyberBlindSpot.

Вариант 1. Шаблон Azure Resource Manager (ARM)

Используйте этот метод для автоматического развертывания соединителя CyberBlindSpot.

  1. Нажмите кнопку Развернуть в Azure ниже.

    Развертывание в Azure Развернуть в Azure Gov

  2. Выберите предпочтительную подписку, группу ресурсов и расположение.

  3. Введите идентификатор рабочей области, ключ рабочей области, **API **, "и/или другие обязательные поля".

Примечание. Если вы используете секреты Azure Key Vault для любого из указанных выше значений, используйте схему@Microsoft.KeyVault(SecretUri={Security Identifier})вместо строковых значений. Дополнительные сведения см. в документации по Key Vault. 4. Помечайте флажок, помеченный я согласен с условиями, указанными выше. 5. Нажмите Купить, чтобы ввести в действие.

Вариант 2. Развертывание Функции Azure вручную

Используйте следующие пошаговые инструкции по развертыванию соединителя данных CBS CTM360 вручную с помощью Функции Azure (развертывание с помощью Visual Studio Code).

1. Развертывание приложения-функции

Примечание.

Вам потребуется подготовить VS Code для разработки функций Azure.

  1. Скачайте файл Azure Function App. Извлеките архив на локальный компьютер разработки.

  2. Запустите VS Code. Выберите "Файл" в главном меню и выберите "Открыть папку".

  3. Выберите папку верхнего уровня из извлеченных файлов.

  4. Щелкните значок Azure на панели активности, а затем в области "Функции" нажмите кнопку "Развернуть в приложение функций". Если вы еще не вошли, выберите значок Azure в строке действий, а затем в области "Функции Azure" выберите вход в Azure , если вы уже вошли, перейдите к следующему шагу.

  5. Введите следующие сведения по соответствующим запросам:

    a. Выберите папку: выберите папку из рабочей области или перейдите к папке, содержащей приложение-функцию.

    b. Выберите подписку: выберите используемую подписку.

    с. Выберите "Создать приложение-функцию" в Azure (не выбирайте параметр "Дополнительно")

    d. Введите глобально уникальное имя функционального приложения: введите имя, допустимое в URL. Имя, которое вы вводите, проверяется, чтобы убедиться, что оно уникально в функциях Azure. (например, CTIXYZ).

    д) Выберите среду выполнения: выберите Python 3.11.

    f. Выберите расположение для новых ресурсов. Для повышения производительности и снижения затрат выберите тот же регион , где находится Microsoft Sentinel.

  6. Начнется развертывание. После создания приложения-функции и применения пакета развертывания отобразится уведомление.

  7. Перейдите на портал Azure для конфигурации приложения-функции.

2. Настройка приложения-функции

  1. В приложении-функции выберите имя приложения-функции и выберите "Конфигурация".
  2. На вкладке Параметры приложения выберите +Новый параметр приложения.
  3. Добавьте каждый из следующих параметров приложения по отдельности с соответствующими строковыми значениями (с учетом регистра):
    CTM360AccountID WorkspaceID WorkspaceKey CTM360Key FUNCTION_NAME logAnalyticsUri — используйте logAnalyticsUri, чтобы переопределить конечную точку API log analytics для выделенного облака. Например, для общедоступного облака оставьте значение пустым; Для облачной среды Azure GovUS укажите значение в следующем формате: https://<CustomerId>.ods.opinsights.azure.us
  4. После ввода всех параметров приложения нажмите кнопку "Сохранить".

Следующие шаги

Дополнительные сведения см. в связанном решении в Azure Marketplace.