Usare Funzioni di Azure per connettere Microsoft Sentinel all'origine dati

Il metodo di distribuzione del template ARM fornisce un deployment automatizzato del tuo connettore basato su funzioni Azure.

1. Nel portale Microsoft Sentinel selezionare Connettori dati. Selezionare il connettore basato su Funzioni di Azure dall'elenco e quindi aprire la pagina Del connettore.

2. In Configurazione copiare l'ID dell'area di lavoro Microsoft Sentinel e la chiave primaria e incollarli da parte.

3. Selezionare Distribuisci per Azure. Potrebbe essere necessario scorrere verso il basso per trovare il pulsante.

4. Verrà visualizzata la schermata Distribuzione personalizzata .

   • Selezionare una sottoscrizione, un gruppo di risorse e un'area in cui distribuire l'app per le funzioni.

   • Inserisci le credenziali API / chiavi di autorizzazione / token che hai salvato. Ottieni le credenziali API del tuo sistema sorgente.

   • Immetti l'ID dell'area di lavoro di Microsoft Sentinel e la chiave dell'area di lavoro (chiave primaria) che hai copiato e messo da parte.

     Nota

     Se si usano i segreti di Azure Key Vault per uno qualsiasi dei valori sopra indicati, utilizzare lo schema @Microsoft.KeyVault(SecretUri={Security Identifier}) al posto dei valori di tipo stringa. Per altre informazioni, vedere Usare riferimenti Key Vault per Servizio app di Azure e Funzioni di Azure.

   • Completare tutti gli altri campi del modulo nella schermata Distribuzione personalizzata . Consulta la pagina del connettore dati nel portale o la sezione del tuo servizio nella pagina di riferimento ai connettori dati di Microsoft Sentinel.

   • Seleziona Rivedi + Crea. Al termine della convalida, selezionare Crea.

Usare le istruzioni dettagliate seguenti per distribuire manualmente i connettori basati su Funzioni di Azure che usano funzioni di PowerShell.

1. Nel portale Microsoft Sentinel selezionare Connettori dati. Selezionare il connettore basato su Funzioni di Azure dall'elenco e quindi aprire la pagina Del connettore.

2. In Configurazione copiare l'ID dell'area di lavoro Microsoft Sentinel e la chiave primaria e incollarli da parte.

3. Creare un'app per le funzioni

   1. Nel portale di Azure cercare e selezionare App per le funzioni.

   2. Nella pagina App per le funzioni selezionare Crea. Si aprirà la procedura guidata Crea app per le funzioni.

   3. Nella scheda Nozioni di base :

      • Selezionare una sottoscrizione e un gruppo di risorse.
      • Assegnare un nome all'app per le funzioni.
      • Impostare Stack di runtime su Powershell Core.
      • Selezionare il numero di versione appropriato.
      • Selezionare l'area in cui si vuole distribuire e quindi selezionare Avanti: Hosting.

   4. Nella scheda Hosting :

      • Scegliere l'account di archiviazione da usare o crearne uno nuovo.
      • Tipo di piano: selezionare Consumo (serverless).

   5. Apportare tutte le altre modifiche di configurazione necessarie, quindi selezionare Rivedi e crea.

   6. Attendere il messaggio "Convalida superata", quindi selezionare Crea.

   7. Al termine della distribuzione, selezionare Vai alla risorsa.

4. Importa codice app per le funzioni

   1. Nell'app per le funzioni appena creata selezionare Funzioni dal menu di spostamento.

   2. Nella pagina Funzioni selezionare + Aggiungi.

   3. Nel pannello Aggiungi funzione selezionare il trigger Timer .

   4. Immettere un nome univoco per la funzione e immettere un'espressione cron per specificare la pianificazione. L'intervallo predefinito è ogni 5 minuti.

   5. Dopo aver creato la funzione, selezionare Codice e test nel riquadro sinistro.

   6. Scaricare il codice della Function Apprun.ps1 fornito dal fornitore del sistema di origine e copiarlo e incollarlo nell'editor, sostituendo il contenuto predefinito. È possibile trovare il link per il download nella pagina del connettore o nella sezione del servizio nella pagina di riferimento ai connettori dati di Microsoft Sentinel.

   7. Seleziona Salva.

5. Configurare l'app per le funzioni

   1. Nella pagina dell'app per le funzioni, seleziona Configurazione sotto Impostazioni nel menu di navigazione.

   2. Nella scheda Impostazioni applicazione selezionare + Nuova impostazione applicazione.

   3. Aggiungi le impostazioni dell'applicazione richieste per il tuo prodotto una per una, con i rispettivi valori stringa sensibili alle maiuscole/minuscole. Consultare la pagina del connettore dati o la sezione relativa al proprio servizio nella pagina Riferimento ai connettori dati di Microsoft Sentinel.

      Consiglio

      Se applicabile, usare l'impostazione dell'applicazione logAnalyticsUri per eseguire l'override dell'endpoint dell'API log analytics se si usa un cloud dedicato. Quindi, ad esempio, se si usa il cloud pubblico, lasciare il valore vuoto; per Azure ambito cloud GovUS, specificare il valore nel formato seguente: https://<CustomerId>.ods.opinsights.azure.us.

Usare le istruzioni dettagliate seguenti per distribuire manualmente i connettori basati su Funzioni di Azure che usano funzioni Python. Questo tipo di distribuzione richiede Visual Studio Code.

1. Nel portale Microsoft Sentinel selezionare Connettori dati. Selezionare il connettore basato su Funzioni di Azure dall'elenco e quindi aprire la pagina Del connettore.

2. In Configurazione copiare l'ID dell'area di lavoro Microsoft Sentinel e la chiave primaria e incollarli da parte.

3. Distribuire un'app per le funzioni

   Nota

   Sarà necessario preparare Visual Studio Code (VS Code) per lo sviluppo di funzioni Azure.

   1. Scaricare il file dell'app Funzioni di Azure mediante il collegamento fornito nella pagina del connettore dati e nella sezione relativa al servizio nella pagina di riferimento ai connettori dati di Microsoft Sentinel. Estrarre l'archivio nel computer di sviluppo locale.

   2. Avviare VS Code. Nella barra dei menu selezionare File > Apri cartella....

   3. Selezionare la cartella di primo livello dai file estratti dall'archivio.

   4. Scegliere l'icona Azure nella barra attività di VS Code (a sinistra). Quindi, nell'area Azure: Funzioni, scegli il pulsante Distribuisci nell'app per le funzioni.

      Nota

      Se non si è già effettuato l'accesso, selezionare l'icona di Azure nella barra delle attività. Quindi, nell'area Azure: Funzioni scegliere Accedi a Azure.
      Se si è già connessi, passare al passaggio successivo.

   5. Fornite le seguenti informazioni quando richiesto:

      • Seleziona cartella: scegliere una cartella dall'area di lavoro o passare a una cartella che contiene l'app per le funzioni.
      • Selezionare la sottoscrizione: scegliere la sottoscrizione da usare.
      • Selezionare Crea nuova app per le funzioni in Azure. Non scegliere l'opzione Avanzate .
      • Immettere un nome univoco globale per l'app per le funzioni: assegnare all'app per le funzioni un nome valido in un percorso URL. Il nome scelto verrà convalidato per assicurarsi che sia univoco in Funzioni di Azure.
      • Selezionare un runtime: scegliere Python 3.8.

   6. Verrà avviata la distribuzione. Dopo la creazione dell'app per le funzioni e dopo l'applicazione del pacchetto di distribuzione viene visualizzata una notifica.

   7. Torna alla pagina della tua Function App per la configurazione.

4. Configurare l'app per le funzioni

   1. Nella pagina dell'app per le funzioni, seleziona Configurazione sotto Impostazioni nel menu di navigazione.

   2. Nella scheda Impostazioni applicazione selezionare + Nuova impostazione applicazione.

   3. Aggiungi le impostazioni dell'applicazione richieste per il tuo prodotto una per una, con i rispettivi valori stringa sensibili alle maiuscole/minuscole. Per sapere quali impostazioni dell'applicazione aggiungere, vedere la pagina del connettore dati o la sezione relativa al proprio servizio nella pagina Riferimento ai connettori dati di Microsoft Sentinel.

      • Se applicabile, usare l'impostazione dell'applicazione logAnalyticsUri per eseguire l'override dell'endpoint dell'API log analytics se si usa un cloud dedicato. Quindi, ad esempio, se si usa il cloud pubblico, lasciare il valore vuoto; per Azure ambito cloud GovUS, specificare il valore nel formato seguente: https://<CustomerId>.ods.opinsights.azure.us.