Соединитель Proofpoint On Demand Email Security (с помощью Функции Azure) для Microsoft Sentinel

Соединитель данных Proofpoint On Demand Email Security предоставляет возможность получения данных Proofpoint on Demand Email Protection, позволяет пользователям проверять трассировку сообщений, отслеживать действия электронной почты, угрозы и кражу данных злоумышленниками и злоумышленниками. Соединитель предоставляет возможность просматривать события в организации на ускоренной основе, получать файлы журналов событий почасового увеличения для последних действий.

Это автоматически сформированное содержимое. Для изменений обратитесь к поставщику решений.

Атрибуты соединителя

Примеры запросов

События последнего сообщения ProofpointPod

ProofpointPOD

| where EventType == 'message'

| sort by TimeGenerated desc

Последние события почтового журнала ProofpointPod

ProofpointPOD

| where EventType == 'maillog'

| sort by TimeGenerated desc

Необходимые компоненты

Чтобы интегрироваться с Proofpoint On Demand Email Security (с помощью Функции Azure), убедитесь, что у вас есть:

• Разрешения Microsoft.Web/sites: требуется разрешение на чтение и запись для Функции Azure для создания приложения-функции. Дополнительные сведения о Функции Azure см. в документации.
• Учетные данные и разрешения API Websocket: ProofpointClusterID, ProofpointToken требуется. Дополнительные сведения об API см. в документации.

Инструкции по установке поставщика

(Необязательный шаг) Безопасное хранение рабочих областей и ключей авторизации API в Azure Key Vault. Azure Key Vault предоставляет безопасный механизм для хранения и извлечения значений ключей. Выполните эти инструкции, чтобы использовать Azure Key Vault с приложением-функцией Azure.

Правильная работа этого соединителя данных зависит от средства синтаксического анализа на основе функции Kusto. Выполните следующие действия , чтобы создать псевдоним функций Kusto, ProofpointPod

ШАГ 1. Действия по настройке API Proofpoint Websocket

1. Для службы API Proofpoint Websocket требуется лицензия на удаленную пересылку системного журнала. См. документацию по включению и проверке API журнала PoD.
2. Необходимо указать идентификатор кластера и маркер безопасности.

ШАГ 2. Выберите ОДИН из следующих двух вариантов развертывания для развертывания соединителя и связанной функции Azure

ВАЖНО. Перед развертыванием соединителя данных proofpoint On Demand Email Security укажите идентификатор рабочей области и первичный ключ рабочей области (можно скопировать из следующего раздела), а также учетные данные API журнала Proofpoint POD, которые легко доступны.

Вариант 1. Шаблон Azure Resource Manager (ARM)

Используйте этот метод для автоматического развертывания соединителя данных proofpoint On Demand Email Security с помощью tempate ARM.

1. Нажмите кнопку Deploy to Azure (Развернуть в Azure) ниже.

   

2. Выберите предпочтительную подписку, группу ресурсов и расположение.

3. Введите идентификатор рабочей области, ключ рабочей области, proofpointClusterID, ProofpointToken и развертывание.

4. Пометьте флажок, помеченный как я согласен с условиями, указанными выше.

5. Нажмите кнопку " Купить" , чтобы развернуть.

Вариант 2. Развертывание Функции Azure вручную

Используйте следующие пошаговые инструкции по развертыванию соединителя данных проверки подлинности по запросу на электронную почту вручную с помощью Функции Azure (развертывание с помощью Visual Studio Code).

1. Развертывание приложения-функции

ПРИМЕЧАНИЕ.Вам потребуется подготовить VS Code для разработки функций Azure.

1. Скачайте файл приложения-функции Azure. Извлеките архив на локальный компьютер разработки.

2. Запустите VS Code. Выберите "Файл" в главном меню и выберите "Открыть папку".

3. Выберите папку верхнего уровня из извлеченных файлов.

4. Щелкните значок Azure на панели действий, а затем в области "Функции ", нажмите кнопку "Развернуть в приложении-функции ". Если вы еще не вошли, выберите значок Azure в строке действий, а затем в области "Функции Azure" выберите вход в Azure , если вы уже вошли, перейдите к следующему шагу.

5. Введите следующие сведения по соответствующим запросам:

   a. Выберите папку: выберите папку из рабочей области или перейдите к папке, содержащей приложение-функцию.

   b. Выберите подписку: выберите используемую подписку.

   c. Выберите "Создать приложение-функцию" в Azure (не выбирайте параметр "Дополнительно")

   d. Введите глобально уникальное имя приложения-функции: введите допустимое имя в URL-пути. Имя, которое вы вводите, проверяется, чтобы убедиться, что оно уникально в функциях Azure. (например, ProofpointXXXXXX).

   д) Выберите среду выполнения: выберите Python 3.11.

   f. Выберите расположение для новых ресурсов. Для повышения производительности и снижения затрат выберите тот же регион , где находится Microsoft Sentinel.

6. Начнется развертывание. После создания приложения-функции и применения пакета развертывания отобразится уведомление.

7. Перейдите на портал Azure для конфигурации приложения-функции.

2. Настройка приложения-функции

1. В приложении-функции выберите имя приложения-функции и выберите "Конфигурация".
2. На вкладке Параметры приложения выберите +Новый параметр приложения.
3. Добавьте каждый из следующих параметров приложения по отдельности с соответствующими строковыми значениями (с учетом регистра): ProofpointClusterID ProofpointToken WorkspaceKey logAnalyticsUri (необязательно)

• Используйте logAnalyticsUri, чтобы переопределить конечную точку API log analytics для выделенного облака. Например, для общедоступного облака оставьте значение пустым; Для облачной среды Azure GovUS укажите значение в следующем формате: https://<CustomerId>.ods.opinsights.azure.us

3. После ввода всех параметров приложения нажмите кнопку "Сохранить".

Следующие шаги

Дополнительные сведения см. в связанном решении в Azure Marketplace.