Trovare il connettore dati Microsoft Sentinel

Si applica a: Microsoft Sentinel in the Microsoft Defender portal, Microsoft Sentinel in the Azure portal

Questo articolo elenca tutti i connettori dati predefiniti supportati e i collegamenti ai passaggi di distribuzione di ogni connettore.

Importante

Si noti che Microsoft Sentinel connettori dati sono attualmente in anteprima. Le condizioni aggiuntive per l'anteprima Azure includono termini legali aggiuntivi che si applicano alle funzionalità Azure in versione beta, in anteprima o in altro modo non ancora rilasciate nella disponibilità generale.
Dopo il 31 marzo 2027, Microsoft Sentinel non sarà più supportato nel portale di Azure e sarà disponibile solo nel portale di Microsoft Defender. Tutti i clienti che usano Microsoft Sentinel nel portale di Azure verranno reindirizzati al portale di Defender e useranno Microsoft Sentinel solo nel portale di Defender. A partire da luglio 2025, molti nuovi clienti vengono caricati e reindirizzati automaticamente al portale di Defender. Se si usa ancora Microsoft Sentinel nel portale di Azure, è consigliabile iniziare a pianificare la transizione al portale di Defender per garantire una transizione senza problemi e sfruttare appieno l'esperienza di operazioni di sicurezza unificata offerta da Microsoft Defender. Per altre informazioni, vedere It's Time to Move: Ritiro della portale di Azure di Microsoft Sentinel per una maggiore sicurezza.

I connettori dati sono disponibili come parte delle offerte seguenti:

Soluzioni: molti connettori dati vengono distribuiti come parte di Microsoft Sentinel soluzione insieme al contenuto correlato, ad esempio regole di analisi, cartelle di lavoro e playbook. Per altre informazioni, vedere il catalogo delle soluzioni Microsoft Sentinel.
Connettori community: altri connettori dati sono forniti dalla community di Microsoft Sentinel e sono disponibili nel Marketplace Azure. La documentazione per i connettori dati della community è responsabilità dell'organizzazione che ha creato il connettore.
Connettori personalizzati: se si dispone di un'origine dati non elencata o attualmente supportata, è anche possibile creare un connettore personalizzato personalizzato. Per altre informazioni, vedere Risorse per la creazione di connettori Microsoft Sentinel personalizzati.

Nota

Per informazioni sulla disponibilità delle funzionalità nei cloud del governo degli Stati Uniti, vedere le tabelle Microsoft Sentinel in Disponibilità delle funzionalità cloud per i clienti del governo degli Stati Uniti.

Prerequisiti del connettore dati

Ogni connettore dati ha un proprio set di prerequisiti. I prerequisiti possono includere autorizzazioni specifiche per l'area di lavoro, la sottoscrizione o i criteri Azure. Potrebbe anche essere necessario soddisfare altri requisiti per l'origine dati del partner a cui ci si sta connettendo.

I prerequisiti per ogni connettore dati sono elencati in questo articolo e nella pagina del connettore dati pertinente in Microsoft Sentinel.

Azure connettori dati basati su AMA (Monitor Agent) richiedono una connessione Internet dal sistema in cui è installato l'agente. Abilitare la porta 443 in uscita per consentire una connessione tra il sistema in cui è installato l'agente e Microsoft Sentinel.

Connettori Syslog e Common Event Format (CEF)

La raccolta dei log da molte appliance e dispositivi di sicurezza è supportata dai connettori dati Syslog tramite AMA o Common Event Format (CEF) tramite AMA in Microsoft Sentinel. Per inoltrare i dati all'area di lavoro Log Analytics per Microsoft Sentinel, completare i passaggi descritti in Inserire messaggi syslog e CEF per Microsoft Sentinel con l'agente di monitoraggio Azure. Questi passaggi includono l'installazione della soluzione Microsoft Sentinel per un dispositivo o un'appliance di sicurezza dall'hub contenuto in Microsoft Sentinel. Configurare quindi Syslog tramite AMA o CEF (Common Event Format) tramite il connettore dati AMA appropriato per la soluzione Microsoft Sentinel installata. Completare l'installazione configurando il dispositivo o l'appliance di sicurezza. Per istruzioni su come configurare il dispositivo o l'appliance di sicurezza, vedere uno degli articoli seguenti:

Per altre informazioni o per informazioni non disponibili per l'appliance o il dispositivo, contattare il provider di soluzioni.

Log personalizzati tramite il connettore AMA

Filtrare e inserire i log in formato file di testo dalle applicazioni di rete o di sicurezza installate nei computer Windows o Linux usando il connettore Log personalizzati tramite AMA in Microsoft Sentinel. Per altre informazioni, vedere gli articoli seguenti:

connettori dati Sentinel

Nota

Nella tabella seguente sono elencati i connettori dati disponibili nell'hub contenuto Microsoft Sentinel. I connettori sono supportati dal fornitore del prodotto. Per il supporto, vedere il collegamento Supportato da .

Consiglio

Per un elenco delle tabelle inserite in Microsoft Sentinel e dei connettori che le inserivano, vedere Microsoft Sentinel tabelle e i connettori associati.

1Password

Supportato da:1Password

La soluzione 1Password per Microsoft Sentinel consente di inserire i tentativi di accesso, l'utilizzo degli elementi e gli eventi di controllo dall'account 1Password Business usando l'API 1Password Events Reporting. In questo modo è possibile monitorare e analizzare gli eventi in 1Password in Microsoft Sentinel insieme agli altri servizi e applicazioni usati dall'organizzazione.

Tecnologie Microsoft sottostanti usate:

Questa soluzione dipende dalle tecnologie seguenti e alcune delle quali possono essere in stato di anteprima o possono comportare costi operativi o di inserimento aggiuntivi:

Funzioni di Azure

Tabelle di Log Analytics:

Tabella	Supporto DCR	Inserimento solo lago
`OnePasswordEventLogs_CL`	No	No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Microsoft. Permessi web/siti: Sono necessari permessi di lettura e scrittura per Funzioni di Azure per creare una Function App. Per altre informazioni, vedere Funzioni di Azure.
1Password Event API Token: È richiesto un token API 1Password Events. Per altre informazioni, vedere l'API 1Password.

Nota: È necessario un account 1Password Business

Istruzioni per l'installazione:

NOTA: Questo connettore usa Funzioni di Azure per connettersi a 1Password per eseguire il pull dei log in Microsoft Sentinel. Ciò potrebbe comportare costi aggiuntivi per l'inserimento di dati da Azure. Per informazioni dettagliate, controllare la pagina dei prezzi Funzioni di Azure.

(Passaggio facoltativo) Archiviare in modo sicuro le chiavi o i token di autorizzazione api e dell'area di lavoro in Azure Key Vault. Azure Key Vault fornisce un meccanismo sicuro per archiviare e recuperare i valori delle chiavi. Seguire queste istruzioni per usare Azure Key Vault con un'app per le funzioni Azure.

PASSAGGIO 1 - Procedura di configurazione per l'API 1Password Events Reporting

Seguire queste istruzioni fornite da 1Password per ottenere un token DELL'API Segnalazione eventi. Nota: È necessario un account 1Password Business

PASSAGGIO 2: Distribuire functionApp usando il pulsante DeployToAzure per creare la tabella, il dcr e la funzione Azure associata

IMPORTANTE: Prima di distribuire il connettore 1Password, è necessario creare una tabella personalizzata.

Opzione 1 - Azure Resource Manager (ARM) Template:

Questo metodo fornisce una distribuzione automatizzata del connettore 1Password usando un modello ARM.

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms
Selezionare la sottoscrizione, il gruppo di risorse e la località preferiti.
Immettere il nome dell'area di lavoro, il nome dell'area di lavoro, la chiave API degli eventi 1Password e l'URI.
- L'intervallo di tempo predefinito è impostato su cinque (5) minuti. Se si vuole modificare l'intervallo, è possibile modificare il trigger timer dell'app per le funzioni di conseguenza (nel file function.json, dopo la distribuzione) per impedire l'inserimento di dati sovrapposti.
- Nota: se si usano Azure Key Vault segreti per uno dei valori precedenti, usare lo@Microsoft.KeyVault(SecretUri={Security Identifier})schema al posto dei valori stringa. Per altre informazioni, vedere Key Vault documentazione di riferimento.
Contrassegnare la casella di controllo con l'etichetta Accetto i termini e le condizioni indicati sopra.
Fare clic su Acquista per distribuire.

1Password (serverless)

Supportato da:1Password

Il connettore CCF 1Password consente all'utente di inserire gli eventi 1Password Audit, Signin & ItemUsage in Microsoft Sentinel.

Tabelle di Log Analytics:

Tabella	Supporto DCR	Inserimento solo lago
`OnePasswordEventLogs_CL`	No	No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

1Token API della password: È richiesto un token API 1Password. Vedere la documentazione di 1Password su come creare un token API.

Istruzioni per l'installazione:

PASSAGGIO 1 - Creare un token API 1Password:

Per indicazioni su questo passaggio, seguire la documentazione di 1Password .

PASSAGGIO 2 - Scegliere l'URL di base corretto:

Esistono più server 1Password che potrebbero ospitare gli eventi. Il server corretto dipende dalla licenza e dall'area. Seguire la documentazione di 1Password per scegliere il server corretto. Immettere l'URL di base visualizzato dalla documentazione (incluso "https://" e senza un '/' finale.

PASSAGGIO 3 - Immettere 1Password Details:STEP 3 - Enter your 1Password Details:

Immettere l'URL di base 1Password & token API di seguito:

URL base: (Inserisci il tuo URL base)
API Token: (Inserisci il tuo API Token)
Abilitare/disabilitare la connessione

Protezione API 42Crunch (Connettore Push tramite Codeless Connector Framework)

Supportato da:Microsoft Corporation

Collega la protezione API 42Crunch a Microsoft Sentinel tramite l'interfaccia Monitoraggio di Azure DCE/DCR REST API. L'integrazione utilizza container Docker (API Firewall e Log Forwarder) per inoltrare i log del traffico API a Microsoft Sentinel per il rilevamento e l'analisi delle minacce.

Tabelle di Log Analytics:

Tabella	Supporto DCR	Inserimento solo lago
`FortyTwoCrunchAPIProtectionV2`	No	No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Microsoft. Insights/dataCollectionEndpoints: Data Collection Endpoint è necessario affinché il moderno connettore push possa ricevere dati dal sistema di sicurezza esterno.
Microsoft. Insights/dataCollectionRules: La Data Collection Rule è necessaria per definire lo schema e le trasformazioni dei dati in arrivo.
Microsoft. Autorizzazione/ruolo Assegnazioni: L'assegnazione di ruolo è necessaria per concedere all'applicazione Entra i permessi di inviare dati alla Data Collection Rule.
Requisito del firewall API 42Crunch: I container Firewall API 42Crunch e Log Forwarder Docker devono essere distribuiti e in esecuzione. Ottieni il token API Firewall (42C_FIREWALL_TOKEN) e l'URL della piattaforma (42C_PLATFORM_URL) dalla piattaforma 42Crunch a https://platform.42crunch.com. Le istruzioni complete per il deployment sono disponibili su https://github.com/42Crunch/azure-sentinel-integration.

Istruzioni per l'installazione:

1. Creare risorse di Resource Manager e fornire le autorizzazioni necessarie

Questo connettore riceve dati da sistemi di sicurezza esterni che inviano i log a Microsoft Sentinel. Il sistema esterno deve essere configurato per inviare i dati grezzi degli eventi all'API di Microsoft Sentinel Ingestion. Cliccando su Deploy avvierà la creazione di tabelle Log Analytics e di una Data Collection Rule (DCR). Verrà quindi creata un'applicazione Entra, verrà collegato il DCR e verrà impostato il segreto immesso nell'applicazione. Questa configurazione consente di inviare i dati in modo sicuro al DCR usando un token di Entra.

Scopri di più sul processo di installazione dei connettori

Azure Resource Deployment

Il processo di implementazione creerà le seguenti risorse:

Log Analytics tabella(i) personalizzate/e
Endpoint raccolta dati (DCE)
Regola di raccolta dati
Entra ID Registrazione
Assegnazioni di ruoli per l'ingestione di dati

Valori di configurazione

Dopo il deployment, copia i seguenti valori per configurare il tuo sistema di sicurezza esterno:

ID Tenant (ID Directory):<Valore variabile fornito al momento dell'installazione>
ID Domanda di Registrazione Entra App:<Valore variabile fornito al momento dell'installazione>
Segreto per la registrazione dell'app Entra:<Valore variabile fornito al momento dell'installazione>
URL dell'endpoint di raccolta dati:<Valore variabile fornito al momento dell'installazione>
ID immutabile della regola di raccolta dati:<Valore variabile fornito al momento dell'installazione>
Nome del flusso (FortyTwoCrunchAPIProtectionV2):<Valore variabile fornito al momento dell'installazione>

Nota: Mantieni questi valori sicuri. Ti serviranno per configurare il tuo sistema di sicurezza esterno.

2. Configura il tuo sistema esterno per inviare i log:

Usa i seguenti parametri per configurare il tuo sistema di sicurezza esterno per inviare i log allo spazio di lavoro.

Passaggi di configurazione

Accedi all'interfaccia di configurazione del tuo sistema di sicurezza esterno.
Naviga nelle impostazioni di inoltro, integrazione o SIEM.
Seleziona Monitoraggio di Azure o Microsoft Sentinel come destinazione.
Seleziona Data Collection Endpoint come metodo di autenticazione.
Configura i campi richiesti usando i valori del passaggio precedente:
- ID inquilino: Copia da quanto sopra
- ID applicazione (client): Copia da quanto sopra
- Segreto del cliente: Copia da quanto sopra
- Endpoint di raccolta dati: Copia da quanto sopra
- ID immutabile della regola di raccolta dati: Copia da quanto sopra
- Nome dello streaming: Copia il nome appropriato del corso d'acqua sopra
Salva la configurazione e abilita/avvia il forwarder.

Validation

Nota: I dati appariranno nella tabella FortyTwoCrunchAPIProtectionV2 nel tuo spazio di lavoro Log Analytics entro pochi minuti.

Per verificare che i dati vengano ricevuti, esegui la seguente query nel tuo spazio di lavoro Log Analytics:

FortyTwoCrunchAPIProtectionV2
| where TimeGenerated > ago(1h)
| take 10

Troubleshooting

Se i dati non compaiono:

Verifica che i valori di configurazione siano corretti
Controlla che il forwarder/integrazione sia abilitato e in esecuzione
Rivedi i log nel tuo sistema di sicurezza esterno per eventuali errori
Assicurati la connettività di rete dal tuo sistema ad Azure
Verifica che l'applicazione Entra abbia i permessi corretti

Dopo aver distribuito le risorse Azure, configura il container Docker 42Crunch Log Forwarder per inviare i dati agli endpoint DCE/DCR distribuiti invece dell'API legacy HTTP Data Collector.

Aggiornare le variabili ambientali Docker Compose / Helm Chart

Sostituire le variabili legacy WORKSPACE_ID e WORKSPACE_KEY di ambiente con la nuova configurazione DCE/DCR:

environment:
Legacy (remove these):
- WORKSPACE_ID=<workspace-id>
- WORKSPACE_KEY=<primary-key>

New CCF Push Connector configuration:
  - DCE_ENDPOINT=<data-collection-endpoint-url>
  - DCR_IMMUTABLE_ID=<data-collection-rule-immutable-id>
  - DCR_STREAM_NAME=Custom-FortyTwoCrunchAPIProtectionV2_CL

42Crunch platform credentials (unchanged):
  - 42C_FIREWALL_TOKEN=<your-firewall-token>
  - 42C_PLATFORM_URL=<your-platform-url>

L'URL dell'endpoint DCE e l'ID immutabile del DCR vengono visualizzati dopo il deployment delle risorse ARM nello Step 1. Per dettagli completi sulla configurazione, consulta la documentazione di integrazione 42Crunch Microsoft Sentinel.

Importante: Stato della connessione

Questo è un connettore basato su push: riceve dati dal 42Crunch Log Forwarder e non mantiene una connessione di polling attiva. Il connettore risulta Connected quando i dati sono stati ricevuti negli ultimi 7 giorni.

Disinstalla il connettore:

Usa questo script PowerShell per eliminare l'istanza del connettore.

Elimina l'istanza del connettore

Esegui i seguenti comandi PowerShell per rimuovere l'istanza del connettore dati:

$sub = "<subscription-id>"
$rg  = "<resource-group-name>"
$ws  = "<workspace-name>"
$connectorName = "FortyTwoCrunchAPIProtection"
$armEndpoint = (az cloud show --query endpoints.resourceManager -o tsv).TrimEnd('/')

Write-Host "Deleting $connectorName..." -NoNewline
az rest --method DELETE --uri "$armEndpoint/subscriptions/$sub/resourceGroups/$rg/providers/Microsoft.OperationalInsights/workspaces/$ws/providers/Microsoft.SecurityInsights/dataConnectors/$connectorName`?api-version=2024-09-01"
Write-Host " Done" -ForegroundColor Green

NOTA: Sostituisci <subscription-id>, <resource-group-name>, e <workspace-name> con i tuoi veri valori di Azure prima di eseguire lo script.

Questo rimuove l'istanza del connettore push. I dati storici nel tuo spazio di lavoro Log Analytics saranno conservati.

Sicurezza anomala (Push)

Supportato da:Sicurezza anomala

Il connettore Abnormal Security invia eventi di sicurezza in tempo reale (minacce, casi, log di audit, rapporti di caselle di abuso, cambiamenti di postura, casi ATO, remedi e casi di fornitore) dalla piattaforma cloud di sicurezza email di Abnormal in Microsoft Sentinel utilizzando il modello Codeless Connector Framework (CCF) Push. Gli eventi vengono instradati verso tabelle di tipo per evento che corrispondono alla convenzione di denominazione dei connettori legacy, consentendo una migrazione senza interruzioni.

Tabelle di Log Analytics:

Tabella	Supporto DCR	Inserimento solo lago
`ABNORMAL_SECURITY_THREAT_LOG_CL`	No	No
`ABNORMAL_SECURITY_CASE_CL`	No	No
`ABNORMAL_SECURITY_AUDIT_LOG_CL`	No	No
`ABNORMAL_SECURITY_ABUSE_MAILBOX_CL`	No	No
`ABNORMAL_SECURITY_POSTURE_CHANGE_CL`	No	No
`ABNORMAL_SECURITY_ATO_CASE_CL`	No	No
`ABNORMAL_SECURITY_REMEDIATION_CL`	No	No
`ABNORMAL_SECURITY_VENDOR_CASE_CL`	No	No
`ABNORMAL_SECURITY_LOGS_CL`	No	No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Microsoft Entra: Permesso di creare una registrazione di un'app in Microsoft Entra ID. In genere richiede Entra ruolo sviluppatore di applicazioni ID o superiore.
Microsoft Azure: Permesso di assegnare il ruolo di Monitoring Metrics Publisher sulla regola di raccolta dati (DCR). In genere richiede Azure ruolo Proprietario controllo degli accessi in base al ruolo o Amministratore accesso utente.
Sicurezza anomala: Abbonamento attivo Abnormal Security con accesso alle impostazioni di integrazione SIEM.

Istruzioni per l'installazione:

1. Dispiegare le risorse del connettore:

Questo connettore consente ad Abnormal Security di inviare eventi di sicurezza in tempo reale direttamente a Microsoft Sentinel tramite l'API di Ingestione Monitoraggio di Azure.

Configurazione automatica

Cliccando su Distribuire si creerà:

9 tabelle log personalizzate per routing per tipo evento
Regola di raccolta dati (DCR) con 9 flussi
Data Collection Endpoint (DCE) per l'ingestione
Applicazione Microsoft Entra con credenziali OAuth
Assegnazioni obbligatorie di ruoli IAM (Monitoring Metrics Publisher)

Questo consente ad Abnormal Security di inviare in modo sicuro gli eventi utilizzando le credenziali client OAuth 2.0.

2. Configurare la sicurezza anomala:

Usa i seguenti parametri per configurare l'integrazione di Microsoft Sentinel nell'Abnormal Security Portal.

ID Tenant (ID Directory):<variable value provided at install time>
ID applicazione (client):<variable value provided at install time>
Segreto client:<variable value provided at install time>
URI dell'endpoint raccolta dati:<variable value provided at install time>
ID immutabile della regola di raccolta dati:<variable value provided at install time>

Configura nel portale di sicurezza anomala

Accedi al Portale di Sicurezza Anomala
Naviga su Impostazioni > Integrazioni > SIEM
Select Microsoft Sentinel (Monitoraggio di Azure CCF)
Inserisci tutti e 7 i valori dall'alto
Clicca su Verifica Credenziali per testare la connessione
Clicca su Salva e Abilita l'integrazione Instradamento multi-tabella: Gli eventi vengono automaticamente instradati verso tabelle per tipo di evento (ad esempio, log delle minacce ? ABNORMAL_SECURITY_THREAT_LOG_CL, casi ? ABNORMAL_SECURITY_CASE_CL). I tipi di eventi sconosciuti vanno alla tabella ABNORMAL_SECURITY_LOGS_CLdi riserva.

3. Verifica dell'ingestione dei dati:

Conferma che gli eventi stanno passando da Sicurezza Anomala a Sentinella.

Aspetta 5-10 minuti dopo aver abilitato l'integrazione, poi esegui questa query KQL:

Unione ABNORMAL_SECURITY_THREAT_LOG_CL, ABNORMAL_SECURITY_CASE_CL, ABNORMAL_SECURITY_AUDIT_LOG_CL, ABNORMAL_SECURITY_ABUSE_MAILBOX_CL, ABNORMAL_SECURITY_POSTURE_CHANGE_CL, ABNORMAL_SECURITY_ATO_CASE_CL, ABNORMAL_SECURITY_REMEDIATION_CL, ABNORMAL_SECURITY_VENDOR_CASE_CL, ABNORMAL_SECURITY_LOGS_CL | dove TimeGenerated > ago(1h) | estendere event_type = tostring(abx_metadata.event_type) | riassumere count() di event_type | ordinare di count_ desc

Se non compaiono dati dopo 15 minuti, verifica le credenziali nell'Abnormal Security Portal e controlla Monitoraggio di Azure per errori di ingestione.

AbnormalSecurity (usando Funzioni di Azure)

Supportato da:Sicurezza anomala

Il connettore dati di sicurezza anomala offre la possibilità di inserire i log delle minacce e dei casi in Microsoft Sentinel usando l'API Rest di sicurezza anomala.

Tabelle di Log Analytics:

Tabella	Supporto DCR	Inserimento solo lago
`ABNORMAL_THREAT_MESSAGES_CL`	No	No
`ABNORMAL_CASES_CL`	No	No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Microsoft. Permessi web/siti: Sono necessari permessi di lettura e scrittura per Funzioni di Azure per creare una Function App. Per altre informazioni, vedere Funzioni di Azure.
Abnormal API Sicurezza Token: È richiesto un Abnormal API Sicurezza Token. Per altre informazioni, vedere Anomalia API Sicurezza. Nota: È necessario un account di sicurezza anomalo

Istruzioni per l'installazione:

NOTA: Questo connettore usa Funzioni di Azure per connettersi all'API REST di Sicurezza anomala per eseguire il pull dei log in Microsoft Sentinel. Ciò potrebbe comportare costi aggiuntivi per l'inserimento di dati. Per informazioni dettagliate, controllare la pagina dei prezzi Funzioni di Azure.

PASSAGGIO 1 - Passaggi di configurazione per il API Sicurezza anomalo

Seguire queste istruzioni fornite da Sicurezza anomala per configurare l'integrazione dell'API REST. Nota: È necessario un account di sicurezza anomalo

PASSAGGIO 2- Scegliere UNO tra le due opzioni di distribuzione seguenti per distribuire il connettore e la funzione Azure associata

IMPORTANTE: Prima di distribuire il connettore dati Di sicurezza anomala, avere l'ID area di lavoro e la chiave primaria dell'area di lavoro (che possono essere copiati da quanto segue), nonché il token di autorizzazione di API Sicurezza anomalo, immediatamente disponibile.

ID dello spazio di lavoro:<Valore variabile fornito al momento dell'installazione>
Chiave primaria:<Valore variabile fornito al momento dell'installazione>

Opzione 1 - Azure Resource Manager (ARM) Template:

Questo metodo fornisce una distribuzione automatizzata del connettore di sicurezza anomala usando un modello di Resource Manager.

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms
Selezionare la sottoscrizione, il gruppo di risorse e la località preferiti.
Immettere l'ID area di lavoro Microsoft Sentinel, Microsoft Sentinel chiave condivisa e la chiave API REST di sicurezza anomala.
- L'intervallo di tempo predefinito è impostato per eseguire il pull degli ultimi cinque (5) minuti di dati. Se l'intervallo di tempo deve essere modificato, è consigliabile modificare il trigger timer dell'app per le funzioni di conseguenza (nel file function.json, dopo la distribuzione) per evitare l'inserimento di dati sovrapposti.
Contrassegnare la casella di controllo con l'etichetta Accetto i termini e le condizioni indicati sopra.
Fare clic su Acquista per distribuire.

Opzione 2 - Distribuzione manuale di Funzioni di Azure:

Usare le istruzioni dettagliate seguenti per distribuire manualmente il connettore dati di sicurezza anomala con Funzioni di Azure (distribuzione tramite Visual Studio Code).

Distribuire un'app per le funzioni

NOTA: Sarà necessario preparare vs code per lo sviluppo di funzioni Azure.
1. Scaricare il file dell'app per le funzioni Azure. Estrarre l'archivio nel computer di sviluppo locale.
2. Avviare VS Code. Scegliere File nel menu principale e selezionare Apri cartella.
3. Selezionare la cartella di primo livello dai file estratti.
4. Scegliere l'icona Azure nella barra attività, quindi nell'area Azure: Funzioni scegliere il pulsante Distribuisci nell'app per le funzioni.
  - Se non sei già connesso, scegli l'icona Azure nella barra Attività, poi nell'area Azure: Funzioni, scegli Accedi ad Azure
  - Se si è già connessi, passare al passaggio successivo.
5. Fornire le informazioni seguenti alle richieste:
  1. Selezionare la cartella: Scegliere una cartella dall'area di lavoro o passare a una cartella contenente l'app per le funzioni.
  2. Selezionare Sottoscrizione: Scegliere la sottoscrizione da usare.
  3. Selezionare Crea nuova app per le funzioni in Azure (non scegliere l'opzione Avanzate)
  4. Immettere un nome univoco globale per l'app per le funzioni: Digitare un nome valido in un percorso URL. Il nome digitato viene convalidato per assicurarsi che sia univoco in Funzioni di Azure. (ad esempio AbnormalSecurityXX).
  5. Selezionare un runtime: Scegliere Python 3.11.
  6. Selezionare una posizione per le nuove risorse. Per ottenere prestazioni migliori e costi inferiori, scegliere la stessa area in cui si trova Microsoft Sentinel.
6. Verrà avviata la distribuzione. Una notifica viene visualizzata dopo la creazione dell'app per le funzioni e l'applicazione del pacchetto di distribuzione.
7. Passare a portale di Azuree per la configurazione dell'app per le funzioni.
Configurare l'app per le funzioni
1. Nell'app per le funzioni selezionare nome dell'app per le funzioni e selezionare Configurazione.
2. Nella scheda Impostazioni applicazione selezionare + Nuova impostazione applicazione.
3. Aggiungere ognuna delle impostazioni dell'applicazione seguenti singolarmente, con i rispettivi valori stringa (con distinzione tra maiuscole e minuscole):
  - SENTINEL_WORKSPACE_ID
  - SENTINEL_SHARED_KEY
  - ABNORMAL_SECURITY_REST_API_TOKEN
  - logAnalyticsUri (opzionale)
  (aggiungere qualsiasi altra impostazione richiesta dall'App Funzione) Imposta il uri valore a: <add uri value>
  
  Nota: se si usano Azure Key Vault segreti per uno dei valori precedenti, usare lo@Microsoft.KeyVault(SecretUri={Security Identifier})schema al posto dei valori stringa. Per altri dettagli, vedere Azure Key Vault documentazione di riferimento.
  - Usare logAnalyticsUri per eseguire l'override dell'endpoint DELL'API log analytics per il cloud dedicato. Ad esempio, per il cloud pubblico, lasciare il valore vuoto; per Azure ambiente cloud GovUS, specificare il valore nel formato seguente:https://<CustomerId>.ods.opinsights.azure.us.
4. Dopo aver immesso tutte le impostazioni dell'applicazione, fare clic su Salva.

Agente 365

Supportato da:Microsoft

Agent 365 connettore dati offre informazioni più dettagliate sull'attività dell'agente di intelligenza artificiale grazie all'inserimento dei dati di telemetria degli agenti di intelligenza artificiale da Agent 365, ai Foundry e Copilot nel data lake Microsoft Sentinel per analizzare il comportamento degli agenti, l'utilizzo degli strumenti e l'esecuzione con flussi di lavoro di ricerca, grafici e MCP. I dati di questo connettore vengono usati per analizzare il comportamento dell'agente di intelligenza artificiale, l'utilizzo degli strumenti e l'esecuzione in Microsoft Sentinel. Se questi flussi di lavoro sono stati abilitati, la disattivazione di questo connettore impedirà l'esecuzione di tali indagini.

Tabelle di Log Analytics:

Tabella	Supporto DCR	Inserimento solo lago

Supporto delle regole di raccolta dati: Attualmente non supportato

Istruzioni per l'installazione:

Connettore Airlock Digital (tramite Il framework del connettore codeless)

Supportato da:Microsoft Corporation

Il connettore Airlock Digital raccoglie i log di esecuzione e controllo delle applicazioni dal server Airlock Digital, fornendo visibilità sulle esecuzioni di file, sulle attività del server e sui riepiloghi degli eventi di sicurezza in Microsoft Sentinel.

Tabelle di Log Analytics:

Tabella	Supporto DCR	Inserimento solo lago
`AirlockDigitalExecutionHistories`	No	No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Chiave API digitale del portello di aria: API Key con accesso di lettura agli endpoint di loging. Genera dall'interfaccia utente Web di Airlock Digital: chiavi API delle impostazioni > del menu > utente.

Istruzioni per l'installazione:

1. Configurare l'accesso digitale all'API della camera di decompressione:

Specificare i dettagli di connessione API per Airlock Digital

Prima di iniziare:

Accesso al server Airlock Digital
Chiave API da Airlock Digital (chiavi API delle impostazioni > del menu > utente)
Il server deve essere accessibile da Azure (assicurarsi che il firewall consenta le connessioni)

URL di base: Immettere l'URL del server Airlock Digital. La porta predefinita è 3129 per l'API REST. Esempio: https://airlock.company.com:3129.

URL base: (https://server.name:3129)
API Key: (Inserisci la chiave digitale della camera d'aria)

2. Connettiti e inizia la raccolta dati:

Fare clic su Connetti per avviare l'inserimento di log Airlock Digital

Il connettore raccoglie:

Storie delle Esecuzioni: Eventi di esecuzione del file inclusi esecuzioni bloccate, auditate e affidabili con hash file, publisher e dati utente
Attività del server: Azioni amministrative, cambiamenti alle policy, check-in degli agenti e aggiornamenti del repository
Riepilogo attività file: statistiche aggregate sull'attività dei file, sugli eventi di sicurezza e sulle tendenze di esecuzione Aggiornamento dati: I log vengono recuperati ogni 5 minuti. I dati devono essere visualizzati entro 5-10 minuti dalla connessione.
- Abilitare/disabilitare la connessione

AIShield

Supportato da:AIShield

Il connettore AIShield consente agli utenti di connettersi con i log del meccanismo di difesa personalizzato AIShield con Microsoft Sentinel, consentendo la creazione di dashboard dinamici, cartelle di lavoro, notebook e avvisi personalizzati per migliorare l'indagine e contrastare gli attacchi ai sistemi di intelligenza artificiale. Offre agli utenti maggiori informazioni sulla sicurezza degli asset di intelligenza artificiale dell'organizzazione e migliora le funzionalità di sicurezza dei sistemi di intelligenza artificiale. AIShield.GuArdIan analizza il contenuto generato da LLM per identificare e attenuare i contenuti dannosi, proteggendo da violazioni legali, politiche, basate su ruoli e basate sull'utilizzo

Tabelle di Log Analytics:

Tabella	Supporto DCR	Inserimento solo lago
`AIShield_CL`	No	No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Nota: Gli utenti avrebbero dovuto utilizzare l'offerta SaaS di AIShield per condurre analisi delle vulnerabilità e implementare meccanismi di difesa personalizzati generati insieme al loro asset di intelligenza artificiale. Clicca qui per saperne di più o contattaci.

Istruzioni per l'installazione:

NOTA: Questo connettore dati dipende da un parser basato su una funzione Kusto per funzionare come previsto aiShield distribuito con la soluzione Microsoft Sentinel.

IMPORTANTE: Prima di distribuire AIShield Connector, fare in modo che l'ID area di lavoro e la chiave primaria dell'area di lavoro siano copiati da quanto segue.

ID dello spazio di lavoro:<variable value provided at install time>
Chiave primaria:<variable value provided at install time>

Eventi di sicurezza Akamai (tramite Codeless Connector Framework)

Supportato da:Microsoft Corporation

Il connettore Akamai SIEM assorbe gli eventi di sicurezza del firewall delle applicazioni web (WAF) dall'API di integrazione SIEM di Akamai in Microsoft Sentinel. Il connettore raccoglie dati dettagliati sugli eventi di sicurezza, inclusi informazioni sugli attacchi, contesto geografico e metadati di richiesta/risposta HTTP. L'autenticazione utilizza Akamai EdgeGrid: fornisci le tue tre credenziali EdgeGrid (client_token, access_token, client_secret) più il nome host API dal tuo file .edgerc. L'runtime della piattaforma calcola una nuova intestazione di autorizzazione firmata da HMAC-SHA-256 su ogni richiesta di interrogazione secondo la specifica EdgeGrid.

Tabelle di Log Analytics:

Tabella	Supporto DCR	Inserimento solo lago
`AkamaiSIEMEvent`	No	No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Akamai EdgeGrid API Credentials:ClientToken, Access Token e Client Secret sono necessari per l'autenticazione EdgeGrid HMAC-SHA-256. Queste credenziali sono generate dall'Akamai Control Center sotto Identity &>Access API Client.

Istruzioni per l'installazione:

Passo 1 - Abilita la raccolta dati per SIEM presso Akamai Security Center

Attiva l'integrazione SIEM nella configurazione di sicurezza di Akamai e annota l'ID di configurazione Web Security.

Accedi al Centro di Sicurezza Akamai.
Seleziona la configurazione di sicurezza e apri la sezione Integrazione SIEM .
Imposta la raccolta dati su SIEM su On.
Sotto Attiva integrazione SIEM per, seleziona le politiche di sicurezza da monitorare (oppure scegli Tutte le politiche di sicurezza).
Scegli una versione dell'evento SIEM (è consigliata la versione 01 di SIEM).
Copia l'ID di Configurazione della Sicurezza Web mostrato sulla pagina - ti servirà nel Passo 3 qui sotto.

Passo 2 - Provisionare le credenziali API EdgeGrid

Crea un client API Akamai EdgeGrid con il ruolo Manage SIEM e scarica il file di credenziali .edgerc.

Nel Centro di Controllo Akamai, vai su Identità e Utenti di Accesso>.
Crea un nuovo utente (o seleziona un account di servizio esistente) e assegna il ruolo Gestisci SIEM .
Vai su Identità & Accesso > API Client e clicca Crea client > API Velocemente.
Seleziona il servizio API SIEM e concedi l'accesso READ.
Clicca su Crea e poi scarica per salvare il .edgerc file.
Il .edgerc file contiene i quattro valori che inserirai nel Passo 3:

[default]
client_secret = <your-client-secret>
host = <your-host>.luna.akamaiapis.net
access_token = akab-<your-access-token>
client_token = akab-<your-client-token>

La piattaforma del connettore calcola un nuovo header di autorizzazione firmato da HMAC-SHA-256 su ogni sondaggio - non è necessario firmare nulla manualmente.

Passo 3 - Collega Akamai SIEM a Microsoft Sentinel

Supporto multi-inquilino: Questo connettore supporta l'assorbimento di eventi di sicurezza da più configurazioni di sicurezza Akamai in parallelo. Clicca su Aggiungi Connessione una volta per configurazione, fornendo le credenziali EdgeGrid, il nome host e l'ID di configurazione di quella configurazione. Ogni connessione viene tracciata e gestita indipendentemente nella griglia sottostante.

Griglia connettori dati (configurare nel portale)

Alibaba Cloud ActionTrail (tramite Codeless Connector Framework)

Supportato da:Microsoft Corporation

Il connettore dati ActionTrail di Alibaba Cloud offre la possibilità di recuperare gli eventi actiontrail archiviati in Alibaba Cloud Simple Log Service e archiviarli in Microsoft Sentinel tramite l'API REST SLS. Il connettore consente il recupero degli eventi per valutare i potenziali rischi per la sicurezza, monitorare la collaborazione e diagnosticare e risolvere i problemi di configurazione.

Tabelle di Log Analytics:

Tabella	Supporto DCR	Inserimento solo lago
`AliCloudActionTrailLogs_CL`	No	No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Credenziali/permessi API REST SLS:AliCloudAccessKeyId e AliCloudAccessKeySecret sono necessari per effettuare chiamate API. Per concedere a un utente ram le autorizzazioni per chiamare questa operazione, è necessaria l'istruzione dei criteri RAM con l'azione di almeno log:GetLogStoreLogs una risorsa acs:log:{#regionId}:{#accountId}:project/{#ProjectName}/logstore/{#LogstoreName} .

Istruzioni per l'installazione:

Configura l'accesso all'API SLS di AliCloud:

Prima di usare l'API, è necessario preparare l'account di identità e la coppia di chiavi di accesso per accedere in modo efficace all'API.

È consigliabile usare un utente di Gestione accesso alle risorse (RAM) per chiamare le operazioni API. Per altre informazioni, vedere Creare un utente ram e autorizzare l'utente ram ad accedere a Simple Log Service.
Ottenere la coppia di chiavi di accesso per l'utente ram. Per informazioni dettagliate, vedere Ottenere la coppia di chiavi di accesso.

Prendere nota dei dettagli della coppia di chiavi di accesso per il passaggio successivo.

Aggiungi ActionTrail Logstore:

Per abilitare il connettore Alibaba Cloud ActionTrail per Microsoft Sentinel, fare clic su aggiungi ActionTrail Logstore, compilare il modulo con la configurazione dell'ambiente Alibaba Cloud e fare clic su Connetti.

Griglia connettori dati (configurare nel portale)

Alibaba Cloud Networking Data Connector (tramite Codeless Connector Framework)

Supportato da:Microsoft Corporation

Il connettore dati Alibaba Cloud Networking offre la possibilità di inserire i dati di rete di Alibaba Cloud in Microsoft Sentinel tramite l'API REST Simple Log Service (SLS). Per altre informazioni, vedere la documentazione dell'API . Il connettore offre la possibilità di ottenere log dei flussi VPC, log WAF e log del gateway API da Alibaba Cloud.

Tabelle di Log Analytics:

Tabella	Supporto DCR	Inserimento solo lago
`AlibabaCloudVPCFlowLogs`	No	No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Accesso API Alibaba Cloud SLS: L'accesso al servizio Simple Log Service di Alibaba Cloud è richiesto per l'API SLS.

Istruzioni per l'installazione:

Configura l'accesso all'API SLS di AliCloud:

Prima di usare l'API, è necessario preparare l'account di identità e la coppia di chiavi di accesso per accedere in modo efficace all'API.

È consigliabile usare un utente di Gestione accesso alle risorse (RAM) per chiamare le operazioni API. Per altre informazioni, vedere Creare un utente ram e autorizzare l'utente ram ad accedere a Simple Log Service.
Ottenere la coppia di chiavi di accesso per l'utente ram. Per informazioni dettagliate, vedere Ottenere la coppia di chiavi di accesso.

Prendere nota dei dettagli della coppia di chiavi di accesso per il passaggio successivo.

Griglia connettori dati (configurare nel portale)

AliCloud (usando Funzioni di Azure)

Supportato da:Microsoft Corporation

Il connettore dati AliCloud offre la possibilità di recuperare i log dalle applicazioni cloud usando l'API Cloud e archiviare gli eventi in Microsoft Sentinel tramite l'API REST. Il connettore consente il recupero degli eventi per valutare i potenziali rischi per la sicurezza, monitorare la collaborazione e diagnosticare e risolvere i problemi di configurazione.

Tabelle di Log Analytics:

Tabella	Supporto DCR	Inserimento solo lago
`AliCloud_CL`	No	No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Microsoft. Permessi web/siti: Sono necessari permessi di lettura e scrittura per Funzioni di Azure per creare una Function App. Per altre informazioni, vedere Funzioni di Azure.
Credenziali/permessi API REST:AliCloudAccessKeyId e AliCloudAccessKey sono necessari per effettuare chiamate API.

Istruzioni per l'installazione:

NOTA: Questo connettore usa Funzioni di Azure per connettersi all'API Archiviazione BLOB di Azure per eseguire il pull dei log in Microsoft Sentinel. Ciò potrebbe comportare costi aggiuntivi per l'inserimento dei dati e per l'archiviazione dei dati nei costi di Archiviazione BLOB di Azure. Per informazioni dettagliate, controllare la pagina dei prezzi Funzioni di Azure e Archiviazione BLOB di Azure pagina dei prezzi.

NOTA: Questo connettore dati dipende da un parser basato su una funzione Kusto per funzionare come previsto AliCloud che viene distribuito con la soluzione Microsoft Sentinel.

PASSAGGIO 1 - Passaggi di configurazione per l'API AliCloud

Seguire le istruzioni per ottenere le credenziali.

Ottieni AliCloudAccessKeyId e AliCloudAccessKey: accedi all'account, clicca su Gestione AccessKey e poi su Visualizza segreto.
Salvare le credenziali per l'uso nel connettore dati.

PASSAGGIO 2- Scegliere UNO tra le due opzioni di distribuzione seguenti per distribuire il connettore e la funzione Azure associata

IMPORTANTE: Prima di distribuire il connettore dati AliCloud, fare in modo che l'ID area di lavoro e la chiave primaria dell'area di lavoro siano copiati da quanto segue.

ID dello spazio di lavoro:<variable value provided at install time>
Chiave primaria:<variable value provided at install time>

Opzione 1 - Modello Azure Resource Manager (ARM)

Usare questo metodo per la distribuzione automatizzata del connettore dati AliCloud usando un modello arm.

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms
Selezionare la sottoscrizione, il gruppo di risorse e la località preferiti.

NOTA: All'interno dello stesso gruppo di risorse, non è possibile combinare app Windows e Linux nella stessa area. Selezionare un gruppo di risorse esistente senza app di Windows o creare un nuovo gruppo di risorse.
Immettere WorkspaceID, WorkspaceKey, AliCloudAccessKeyId, AliCloudAccessKey, AliCloudProjects e AppInsightsWorkspaceResourceID e distribuire.
Contrassegnare la casella di controllo con l'etichetta Accetto i termini e le condizioni indicati sopra.
Fare clic su Acquista per distribuire.

Opzione 2 - Distribuzione manuale di Funzioni di Azure

Usare le istruzioni dettagliate seguenti per distribuire manualmente il connettore dati AliCloud con Funzioni di Azure (distribuzione tramite Visual Studio Code).

Distribuire un'app per le funzioni

NOTA: Sarà necessario preparare vs code per lo sviluppo di funzioni Azure.
1. Scaricare il file dell'app per le funzioni Azure. Estrarre l'archivio nel computer di sviluppo locale.
2. Avviare VS Code. Scegliere File nel menu principale e selezionare Apri cartella.
3. Selezionare la cartella di primo livello dai file estratti.
4. Scegliere l'icona Azure nella barra attività, quindi nell'area Azure: Funzioni scegliere il pulsante Distribuisci nell'app per le funzioni.
  - Se non sei già connesso, scegli l'icona Azure nella barra Attività, poi nell'area Azure: Funzioni, scegli Accedi ad Azure:
  - Se si è già connessi, passare al passaggio successivo.
5. Specificare le informazioni seguenti alle richieste:
  1. Selezionare la cartella: Scegliere una cartella dall'area di lavoro o passare a una cartella contenente l'app per le funzioni.
  2. Selezionare Sottoscrizione: Scegliere la sottoscrizione da usare.
  3. Selezionare Crea nuova app per le funzioni in Azure (non scegliere l'opzione Avanzate)
  4. Immettere un nome univoco globale per l'app per le funzioni: Digitare un nome valido in un percorso URL. Il nome digitato viene convalidato per assicurarsi che sia univoco in Funzioni di Azure. (ad esempio AliCloudXXXXX).
  5. Selezionare un runtime: Scegliere Python 3.11.
  6. Selezionare una posizione per le nuove risorse. Per ottenere prestazioni migliori e costi inferiori, scegliere la stessa area in cui si trova Microsoft Sentinel.
6. Verrà avviata la distribuzione. Una notifica viene visualizzata dopo la creazione dell'app per le funzioni e l'applicazione del pacchetto di distribuzione.
7. Passare a portale di Azuree per la configurazione dell'app per le funzioni.
Configurare l'app per le funzioni
1. Nell'app per le funzioni selezionare nome dell'app per le funzioni e selezionare Configurazione.
2. Nella scheda Impostazioni applicazione selezionare Nuova impostazione applicazione.
3. Aggiungere ognuna delle impostazioni dell'applicazione seguenti singolarmente, con i rispettivi valori stringa (con distinzione tra maiuscole e minuscole):
  - WorkspaceID
  - WorkspaceKey
  - AliCloudAccessKeyId
  - AliCloudAccessKey
  - AliCloudProjects
  - AppInsightsWorkspaceResourceID
  Usare logAnalyticsUri per eseguire l'override dell'endpoint DELL'API log analytics per il cloud dedicato. Ad esempio, per il cloud pubblico, lasciare il valore vuoto; per Azure ambito cloud GovUS, specificare il valore nel formato seguente: https://<CustomerId>.ods.opinsights.azure.us.
4. Dopo aver immesso tutte le impostazioni dell'applicazione, fare clic su Salva.

Amazon Web Services

Supportato da:Microsoft Corporation

Durante il processo di installazione vengono visualizzate le istruzioni per connettersi ad AWS e trasmettere i log di CloudTrail in Microsoft Sentinel. Per altre informazioni, vedere la documentazione Microsoft Sentinel.

Tabelle di Log Analytics:

Tabella	Supporto DCR	Inserimento solo lago
`AWSCloudTrail`	Sì	Sì

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

CloudFront di Amazon Web Services (tramite Codeless Connector Framework) (anteprima)

Supportato da:Microsoft Corporation

Questo connettore dati consente l'integrazione dei log di AWS CloudFront con Microsoft Sentinel per supportare il rilevamento avanzato delle minacce, l'analisi e il monitoraggio della sicurezza. Usando Amazon S3 per l'archiviazione log e Amazon SQS per l'accodamento dei messaggi, il connettore inserisce in modo affidabile i log di accesso di CloudFront in Microsoft Sentinel

Tabelle di Log Analytics:

Tabella	Supporto DCR	Inserimento solo lago
`AWSCloudFront_AccessLog_CL`	No	No

Supporto delle regole di raccolta dati: Attualmente non supportato

Istruzioni per l'installazione:

Assunzione dei log AWS CloudFront in Microsoft Sentinel:

Elenco delle risorse necessarie:

Provider di identità Web OIDC (Open ID Connect)
Ruolo IAM
Bucket di Amazon S3
Amazon SQS
Configurazione di AWS CloudFront

Implementazione di AWS CloudFormation

Per configurare l'accesso in AWS, sono stati generati due modelli per configurare l'ambiente AWS per inviare i log da un bucket S3 all'area di lavoro Log Analytics.

Per ogni modello, creare Stack in AWS:
1. Passare ad AWS CloudFormation Stacks.
2. Scegliere l'opzione "Specifica modello", quindi "Carica un file modello" facendo clic su "Scegli file" e selezionando il file del modello CloudFormation appropriato fornito di seguito. fare clic su "Scegli file" e selezionare il modello scaricato.
3. Fare clic su "Avanti" e su "Crea stack".
  - Modello 1: Implementazione dell'autenticazione OpenID Connect:<variable value provided at install time>
  - Modello 2: Implementazione delle risorse AWSCloudFront:<variable value provided at install time>
Connettere nuovi agenti di raccolta

Per abilitare AWS S3 per Microsoft Sentinel, fare clic sul pulsante Aggiungi nuovo agente di raccolta, compilare le informazioni necessarie nel riquadro di contesto e fare clic su Connetti.
- Griglia connettori dati (configurare nel portale)

Bilanciamento del carico elastico di Amazon Web Services (tramite Codeless Connector Framework)

Supportato da:Microsoft Corporation

Il connettore AWS Elastic Load Balancing (ELB) per Microsoft Sentinel consente di inserire i log di accesso e i log di flusso da AWS Application Load Balancers (ALB), Network Load Balancers (NLB) e Gateway Load Balancers (GLB) in Microsoft Sentinel. Questi log forniscono informazioni dettagliate sulle richieste elaborate dai servizi di bilanciamento del carico e dai flussi di traffico VPC, abilitando il monitoraggio della sicurezza, il rilevamento delle minacce e l'analisi del traffico.

Tabelle di Log Analytics:

Tabella	Supporto DCR	Inserimento solo lago
`AWSALBAccessLogsData`	No	No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

AWS IAM Role ARN e SQS Queue: È necessario un ARN AWS IAM Role con accesso cross-account e un URL della coda SQS configurato per le notifiche di eventi S3. Per istruzioni sulla configurazione, vedere la documentazione del connettore AWS ELB .

Istruzioni per l'installazione:

Implementazione di AWS CloudFormation

Per configurare l'accesso in AWS, usare i modelli CloudFormation per configurare l'ambiente per inviare i log da ALB, bilanciamento carico di rete e bilanciamento del carico di rete all'area di lavoro Log Analytics.

Passaggi di distribuzione:
1. Passare a Cloud Formation Templates (Modelli di formazione cloud) e scaricare i file del modello JSON.
2. Passare ad AWS CloudFormation Stacks.
3. Distribuire prima di tutto il modello OIDCWebIdProvider.json (ignorare se si dispone già di un provider OIDC per Microsoft Sentinel).
4. Distribuire quindi il modello AWSS3ELB.json con i parametri.
5. Prendere nota dei valori seguenti dagli output dello stack:
  - IAMRoleArn
  - ALBSQSQueueURL
  - NLBSQSQueueURL
  - NLBFlowLogsSQSQueueURL
  - GLBFlowLogsSQSQueueURL
Configurazione post-implementazione: Una volta che lo stack CloudFormation è stato implementato con successo:
- Passare alla scheda Risorse nello stack.
- Individuare il nome del bucket S3 creato.
- Nel bucket S3 creare manualmente le cartelle seguenti:
  - ALBLogs
  - NLBAccessLogs
  - NLBFlowLogs
  - GLBFlowLogs
Invio dei registri: Dopo la creazione delle cartelle, configura i tuoi servizi AWS per inviare i log alle cartelle appropriate:
- Log di accesso ALB ->ALBLogs/
- Log di accesso di Bilanciamento carico di rete ->NLBAccessLogs/
- Log di flusso bilanciamento carico di rete ->NLBFlowLogs/
- Log del flusso GLB ->GLBFlowLogs/
Questi log verranno inseriti nelle tabelle corrispondenti nell'area di lavoro Log Analytics.

Mappatura delle tabelle:
- Log di accesso ALB ->AWSALBAccessLogsData
- Log di accesso di Bilanciamento carico di rete ->AWSNLBAccessLogsData
- Log dei flussi di Bilanciamento carico di rete e Bilanciamento carico di rete ->AWSELBFlowLogsData
Nota:AWSELBFlowLogsData Nella tabella, una colonna denominata LogType indicherà se una riga proviene dai log di flusso di Bilanciamento carico di rete o dai log di flusso del bilanciamento del carico di rete.
Connettere nuovi agenti di raccolta

Per abilitare il connettore, fare clic su Aggiungi nuovo agente di raccolta, immettere i dettagli necessari e fare clic su Connetti.
- Griglia connettori dati (configurare nel portale)

Amazon Web Services NetworkFirewall (tramite Codeless Connector Framework)

Supportato da:Microsoft Corporation

Questo connettore dati consente di inserire i log di AWS Network Firewall in Microsoft Sentinel per il rilevamento avanzato delle minacce e il monitoraggio della sicurezza. Sfruttando Amazon S3 e Amazon SQS, il connettore inoltra i log del traffico di rete, gli avvisi di rilevamento delle intrusioni e gli eventi del firewall per Microsoft Sentinel, abilitando l'analisi in tempo reale e la correlazione con altri dati di sicurezza

Tabelle di Log Analytics:

Tabella	Supporto DCR	Inserimento solo lago
`AWSNetworkFirewallFlow`	Sì	Sì

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

Istruzioni per l'installazione:

Assunzione dei log AWS NetworkFirewall in Microsoft Sentinel:

Elenco delle risorse necessarie:

Provider di identità Web OIDC (Open ID Connect)
Ruolo IAM
Bucket di Amazon S3
Amazon SQS
Configurazione di AWSNetworkFirewall
Seguire queste istruzioni per la configurazione del connettore aws NetworkFirewall Data

Implementazione di AWS CloudFormation

Per configurare l'accesso in AWS, sono stati generati due modelli per configurare l'ambiente AWS per inviare i log da un bucket S3 all'area di lavoro Log Analytics.

Per ogni template, crea uno stack in AWS:
1. Passare ad AWS CloudFormation Stacks.
2. Scegliere l'opzione "Specifica modello", quindi "Carica un file modello" facendo clic su "Scegli file" e selezionando il file del modello CloudFormation appropriato fornito di seguito. fare clic su "Scegli file" e selezionare il modello scaricato.
3. Fare clic su "Avanti" e su "Crea stack".
  - Modello 1: Implementazione dell'autenticazione OpenID Connect:<variable value provided at install time>
  - Modello 2: Distribuzione delle risorse AWSNetworkFirewall:<variable value provided at install time>
Connettere nuovi agenti di raccolta

Per abilitare AWS S3 per Microsoft Sentinel, fare clic sul pulsante Aggiungi nuovo agente di raccolta, compilare le informazioni necessarie nel riquadro di contesto e fare clic su Connetti.
- Griglia connettori dati (configurare nel portale)

Amazon Web Services S3

Supportato da:Microsoft Corporation

Questo connettore consente di inserire i log del servizio AWS, raccolti nei bucket AWS S3, per Microsoft Sentinel. I tipi di dati attualmente supportati sono:

AWS CloudTrail
Log di flusso VPC
AWS GuardDuty
AWSCloudWatch

Per altre informazioni, vedere la documentazione Microsoft Sentinel.

Tabelle di Log Analytics:

Tabella	Supporto DCR	Inserimento solo lago
`AWSGuardDuty`	Sì	Sì
`AWSVPCFlow`	Sì	Sì
`AWSCloudTrail`	Sì	Sì
`AWSCloudWatch`	Sì	Sì

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

Prerequisiti:

Ambiente: Devi avere definite e configurate le seguenti risorse AWS: S3, Simple Queue Service (SQS), ruoli e politiche di permessi IAM, e i servizi AWS i cui log vuoi raccogliere.

Istruzioni per l'installazione:

1. Configura il tuo ambiente AWS:

Sono disponibili due opzioni per configurare l'ambiente AWS per inviare i log da un bucket S3 all'area di lavoro Log Analytics:

Configurazione con uno script PowerShell (consigliato):

Esegui uno script per configurare l'ambiente:<variable value provided at install time>
ID esterno (ID dello spazio di lavoro):<variable value provided at install time>

Configurazione manuale:

Seguire le istruzioni nel collegamento seguente per configurare l'ambiente: Connettere AWS S3 a Microsoft Sentinel

2. Aggiungere connessione:

Amazon Web Services S3 DNS Route53 (tramite Codeless Connector Framework)

Supportato da:Microsoft Corporation

Questo connettore consente l'inserimento dei log DNS di AWS Route 53 in Microsoft Sentinel per una visibilità avanzata e il rilevamento delle minacce. Supporta i log delle query del resolver DNS inseriti direttamente dai bucket AWS S3, mentre i log delle query DNS pubblici e i log di controllo di Route 53 possono essere inseriti usando i connettori AWS CloudWatch e CloudTrail di Microsoft Sentinel. Sono disponibili istruzioni complete per guidare l'utente nella configurazione di ogni tipo di log. Sfruttare questo connettore per monitorare l'attività DNS, rilevare potenziali minacce e migliorare il comportamento di sicurezza negli ambienti cloud.

Tabelle di Log Analytics:

Tabella	Supporto DCR	Inserimento solo lago
`AWSRoute53Resolver`	Sì	Sì

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

Istruzioni per l'installazione:

AWS Route53:

Questo connettore consente l'inserimento dei log DNS di AWS Route 53 in Microsoft Sentinel, offrendo visibilità migliorata sull'attività DNS e potenziando le funzionalità di rilevamento delle minacce. Supporta l'inserimento diretto dei log di query del resolver DNS dai bucket AWS S3, mentre i log di query DNS pubblici e i log di controllo route 53 possono essere inseriti tramite i connettori AWS CloudWatch e CloudTrail di Microsoft Sentinel. Per ogni tipo di log sono disponibili istruzioni dettagliate per l'installazione. Usare questo connettore per monitorare il traffico DNS, identificare potenziali minacce e migliorare il comportamento di sicurezza del cloud.

È possibile inserire il tipo di log seguente da AWS Route 53 a Microsoft Sentinel:

Log delle query del resolver route 53
Log di query delle zone ospitate pubbliche di Route 53 (tramite Microsoft Sentinel connettore CloudWatch)
Log di controllo della route 53 (tramite Microsoft Sentinel connettore CloudTrail)

Ingerimento dei log di query di Route53 Resolver in Microsoft Sentinel:

Elenco delle risorse necessarie:

Provider di identità Web OIDC (Open ID Connect)
Ruolo IAM
Bucket di Amazon S3
Amazon SQS
Configurazione della registrazione delle query del resolver route 53
VPC da associare alla configurazione del log di query del resolver Route53

Implementazione di AWS CloudFormation

Per configurare l'accesso in AWS, sono stati generati due modelli per configurare l'ambiente AWS per inviare i log da un bucket S3 all'area di lavoro Log Analytics.

Per ogni modello, creare Stack in AWS:
1. Passare ad AWS CloudFormation Stacks.
2. Scegliere l'opzione "Specifica modello", quindi "Carica un file modello" facendo clic su "Scegli file" e selezionando il file del modello CloudFormation appropriato fornito di seguito. fare clic su "Scegli file" e selezionare il modello scaricato.
3. Fare clic su "Avanti" e su "Crea stack".
  - Modello 1: Implementazione dell'autenticazione OpenID Connect:<variable value provided at install time>
  - Modello 2: Distribuzione delle risorse AWS Route53:<variable value provided at install time>
Connettere nuovi agenti di raccolta

Per abilitare Amazon Web Services S3 DNS Route53 per Microsoft Sentinel, fare clic sul pulsante Aggiungi nuovo agente di raccolta, compilare le informazioni necessarie nel riquadro di contesto e fare clic su Connetti.
- Griglia connettori dati (configurare nel portale)

Ingerire i log di query delle zone pubbliche ospitate dalla Route 53 (tramite il connettore Microsoft Sentinel CloudWatch):

I log delle query della zona ospitata pubblica vengono esportati nel servizio CloudWatch in AWS. È possibile usare il connettore "Amazon Web Services S3" per inserire i log di CloudWatch da AWS a Microsoft Sentinel.

Passo 1: Configura la registrazione per le query DNS pubbliche:

Accedere alla console di gestione AWS e aprire la console di Route 53 in AWS Route 53.
Passare alla route 53 > Zone ospitate.
Scegliere la zona ospitata pubblica per cui si vuole configurare la registrazione delle query.
Nel riquadro Dettagli zona ospitata fare clic su "Configura registrazione query".
Scegliere un gruppo di log esistente o creare un nuovo gruppo di log.
Scegliere Crea.

Passo 2: Configura il connettore dati Amazon Web Services S3 per AWS CloudWatch:

I log di AWS CloudWatch possono essere esportati in un bucket S3 usando la funzione lambda. Per inserire query DNS pubbliche da AWS CloudWatch a S3 bucket e quindi per Microsoft Sentinel, seguire le istruzioni fornite nel connettore Amazon Web Services S3.

Assunzione dei log di audit della Route 53 (tramite Microsoft Sentinel CloudTrail connector):

I log di controllo della route 53, ad esempio i log relativi alle azioni eseguite dall'utente, dal ruolo o dal servizio AWS nella route 53 possono essere esportati in un bucket S3 tramite il servizio AWS CloudTrail. È possibile usare il connettore "Amazon Web Services S3" per inserire i log di CloudTrail da AWS a Microsoft Sentinel.

Passo 1: Configura la logging per i log di audit AWS Route 53:

Accedere a AWS Management Console e aprire la console CloudTrail in AWS CloudTrail
Se non si dispone di un trail esistente, fare clic su "Crea traccia"
Immettere un nome per la traccia nel campo Nome trail.
Selezionare Crea nuovo bucket S3 (è anche possibile scegliere di usare un bucket S3 esistente).
Lasciare le altre impostazioni come predefinite e fare clic su Avanti.
Selezionare Tipo di evento e assicurarsi che sia selezionata l'opzione Eventi di gestione.
Selezionare attività API, 'Read' e 'Write'
Fare clic su Avanti.
Esaminare le impostazioni e fare clic su "Crea traccia".

Passo 2: Configura il connettore dati Amazon Web Services S3 per AWS CloudTrail:

Per inserire i log di controllo e gestione da AWS CloudTrail a Microsoft Sentinel, seguire le istruzioni fornite nel connettore Amazon Web Services S3

Amazon Web Services S3 WAF

Supportato da:Microsoft Corporation

Questo connettore consente di inserire i log WAF AWS, raccolti in bucket AWS S3, per Microsoft Sentinel. I log WAF di AWS sono record dettagliati del traffico analizzato dagli elenchi di controllo di accesso Web(ACL), essenziali per mantenere la sicurezza e le prestazioni delle applicazioni Web. Questi log contengono informazioni quali l'ora in cui AWS WAF ha ricevuto la richiesta, le specifiche della richiesta e l'azione eseguita dalla regola corrispondente alla richiesta.

Tabelle di Log Analytics:

Tabella	Supporto DCR	Inserimento solo lago
`AWSWAF`	Sì	Sì

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

Istruzioni per l'installazione:

Implementazione di AWS CloudFormation

Per configurare l'accesso in AWS, sono stati generati due modelli per configurare l'ambiente AWS per inviare i log da un bucket S3 all'area di lavoro Log Analytics.

Per ogni modello, creare Stack in AWS:
1. Passare ad AWS CloudFormation Stacks.
2. Scegliere l'opzione "Specifica modello", quindi "Carica un file modello" facendo clic su "Scegli file" e selezionando il file del modello CloudFormation appropriato fornito di seguito. fare clic su "Scegli file" e selezionare il modello scaricato.
3. Fare clic su "Avanti" e su "Crea stack".
  - Modello 1: Implementazione dell'autenticazione OpenID Connect:<variable value provided at install time>
  - Modello 2: Implementazione delle risorse AWS WAF:<variable value provided at install time>
Connettere nuovi agenti di raccolta

Per abilitare AWS S3 per Microsoft Sentinel, fare clic sul pulsante Aggiungi nuovo agente di raccolta, compilare le informazioni necessarie nel riquadro di contesto e fare clic su Connetti.
- Griglia connettori dati (configurare nel portale)

Anvilogico

Supportato da:Anvilogic

Il connettore dati Anvilogic consente di eseguire il pull di eventi di interesse generati nel cluster Anvilogic ADX nel Microsoft Sentinel

Tabelle di Log Analytics:

Tabella	Supporto DCR	Inserimento solo lago
`Anvilogic_Alerts_CL`	No	No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

ID client e segreto client di registrazione dell'applicazione Anvilogic: Per accedere all'ADX di Anvilogic richiediamo l'id del client e il secret del client dalla registrazione dell'app Anvilogic

Istruzioni per l'installazione:

Connettiti con Anvilogic per iniziare a raccogliere eventi di interesse su Microsoft Sentinel:

Completare il modulo per inserire gli avvisi anvilogici nel Microsoft Sentinel

Endpoint del token: (https://login[.]Microsoftonline[.]com/<tenant_id>/oauth2/v2.0/token)
Ambito Anvilogic ADX: (<avl_adx_uri>/.default)
Anvilogic ADX Request URI: (<avl_adx_uri>/v2/rest/query)

Protezione API

Supportato da:Microsoft Corporation

Collega la protezione API 42Crunch a Log Analytics di Azure tramite l'interfaccia REST API

Tabelle di Log Analytics:

Tabella	Supporto DCR	Inserimento solo lago
`apifirewall_log_1_CL`	No	No

Supporto delle regole di raccolta dati: Attualmente non supportato

Istruzioni per l'installazione:

Passaggio 1: Leggere la documentazione dettagliata

Il processo di installazione è documentato in grande dettaglio nell'integrazione Microsoft Sentinel del repository GitHub. L'utente dovrebbe consultare ulteriormente questo repository per comprendere l'installazione e il debug dell'integrazione.

Passaggio 2: Recuperare le credenziali di accesso all'area di lavoro

Il primo passaggio di installazione consiste nel recuperare sia l'ID area di lavoro che la chiave primaria dalla piattaforma Microsoft Sentinel. Copiare i valori mostrati di seguito e salvarli per la configurazione dell'integrazione del server d'inoltro del log api.

ID dello spazio di lavoro:<Valore variabile fornito al momento dell'installazione>
Chiave primaria:<Valore variabile fornito al momento dell'installazione>

Passo 3: Installa la protezione 42Crunch e il speditore di tronchi

Il passo successivo è installare la protezione 42Crunch e il forward di log per proteggere la tua API. Entrambi i componenti sono disponibili come contenitori dal repository 42Crunch. L'installazione esatta dipenderà dal tuo ambiente, consulta la documentazione di protezione 42Crunch per tutti i dettagli. Di seguito sono descritti due scenari di installazione comuni:

Installazione tramite Docker Compose

La soluzione può essere installata utilizzando un file composite Docker.

Installazione tramite carte di timone

La soluzione può essere installata utilizzando una tabella di helm.

Passo 4: Testare l'ingestione dei dati

Per testare l'ingestione dei dati, l'utente dovrebbe distribuire l'applicazione httpbin di esempio insieme alla protezione 42Crunch e al forward di log descritti in dettaglio qui.

4.1 Installa il campione

L'applicazione di esempio può essere installata localmente utilizzando un file composite Docker che installerà il server API httpbin, la protezione API 42Crunch e il log forwarder Microsoft Sentinel. Imposta le variabili di ambiente come richiesto usando i valori copiati dal passo 2.

4.2 Esegui il campione

Verfify la protezione API è collegata alla piattaforma 42Crunch, e poi esercita l'API localmente sul localhost alla porta 8080 usando Postman, curl o simili. Dovresti vedere una combinazione di chiamate API che passano e falliscono.

4.3 Verifica l'ingestione dei dati su Log Analytics

Dopo circa 20 minuti accedi allo spazio di lavoro Log Analytics della tua installazione Microsoft Sentinel e trova la sezione Log personalizzati per verificare che esista una tabella apifirewall_log_1_CL. Usare le query di esempio per esaminare i dati.

Sicurezza Cloud ARGOS

Supportato da:ARGOS Cloud Security

L'integrazione di ARGOS Cloud Security per Microsoft Sentinel consente di avere tutti gli eventi di sicurezza cloud importanti in un'unica posizione. In questo modo è possibile creare facilmente dashboard, avvisi ed eventi correlati in più sistemi. Nel complesso, ciò migliorerà il comportamento di sicurezza dell'organizzazione e la risposta agli eventi imprevisti di sicurezza.

Tabelle di Log Analytics:

Tabella	Supporto DCR	Inserimento solo lago
`ARGOS_CL`	No	No

Supporto delle regole di raccolta dati: Attualmente non supportato

Istruzioni per l'installazione:

1. Abbonati ad ARGOS:

Assicurarsi di essere già proprietari di una sottoscrizione ARGOS. In caso contrario, passare a ARGOS Cloud Security e iscriversi ad ARGOS.

In alternativa, è anche possibile acquistare ARGOS tramite Azure Marketplace.

2. Configurare l'integrazione di Sentinel da ARGOS:

Configurare ARGOS per inoltrare eventuali nuovi rilevamenti all'area di lavoro Sentinel fornendo ARGOS con l'ID dell'area di lavoro e la chiave primaria.

Non è necessario distribuire alcuna infrastruttura personalizzata.

Immettere le informazioni nella pagina di configurazione argos Sentinel.

I nuovi rilevamenti verranno inoltrati automaticamente.

Altre informazioni sull'integrazione

ID dello spazio di lavoro:<variable value provided at install time>
Chiave primaria:<variable value provided at install time>

Attività degli avvisi di Armis (usando Funzioni di Azure)

Supportato da:Armis Corporation

Il connettore Armis Alerts Activities consente di inserire gli avvisi e le attività di Armis in Microsoft Sentinel tramite l'API REST di Armis. Per altre informazioni, vedere la documentazione https://<YourArmisInstance>.armis.com/api/v1/docs dell'API. Il connettore consente di ottenere informazioni sugli avvisi e sulle attività dalla piattaforma Armis e di identificare e assegnare priorità alle minacce nell'ambiente. Armis usa l'infrastruttura esistente per individuare e identificare i dispositivi senza dover distribuire agenti.

Tabelle di Log Analytics:

Tabella	Supporto DCR	Inserimento solo lago
`Armis_Alerts_CL`	No	No
`Armis_Activities_CL`	No	No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Microsoft. Permessi web/siti: Sono necessari permessi di lettura e scrittura per Funzioni di Azure per creare una Function App. Per altre informazioni, vedere Funzioni di Azure.
Credenziali/permessi API REST:È richiesta la chiave segreta Armis. Per altre informazioni sull'API, vedere la documentazione https://<YourArmisInstance>.armis.com/api/v1/doc

Istruzioni per l'installazione:

NOTA: Questo connettore usa Funzioni di Azure per connettersi all'API Armis per eseguire il pull dei log in Microsoft Sentinel. Ciò potrebbe comportare costi aggiuntivi per l'inserimento di dati. Per informazioni dettagliate, controllare la pagina dei prezzi Funzioni di Azure.

NOTA: Questo connettore dati dipende da un parser basato su una funzione Kusto per funzionare come previsto che viene distribuito come parte della soluzione. Per visualizzare il codice della funzione in Log Analytics, aprire il pannello Log Analytics/Microsoft Sentinel Log, fare clic su Funzioni e cercare l'alias ArmisActivities/ArmisAlerts e caricare il codice della funzione. L'attivazione della funzione richiede in genere 10-15 minuti dopo l'installazione/aggiornamento della soluzione.

PASSAGGIO 1 - Passaggi di configurazione per l'API Armis

Seguire queste istruzioni per creare una chiave privata dell'API Armis.

Accedere all'istanza di Armis
Passare a Impostazioni -> Gestione API
Se la chiave privata non è già stata creata, premere il pulsante Crea per creare il tasto segreto
Per accedere al tasto segreto, premere il pulsante Mostra
La chiave privata può ora essere copiata e usata durante la configurazione del connettore Armis Alerts Activities

PASSAGGIO 2 - Procedura di registrazione dell'app per l'applicazione in Microsoft Entra ID

Questa integrazione richiede una registrazione dell'app nel portale di Azure. Seguire i passaggi descritti in questa sezione per creare una nuova applicazione in Microsoft Entra ID:

Accedere al portale di Azure.
Cercare e selezionare Microsoft Entra ID.
In Gestisci selezionare Registrazioni app > Nuova registrazione.
Immettere un nome visualizzato per l'applicazione.
Selezionare Registra per completare la registrazione iniziale dell'app.
Al termine della registrazione, il portale di Azure visualizza il riquadro Panoramica della registrazione dell'app. Verranno visualizzati l'ID applicazione (client) e l'ID tenant. L'ID client e l'ID tenant sono necessari come parametri di configurazione per l'esecuzione di Armis Alerts Activities Data Connector.

Collegamento di riferimento:/azure/active-directory/develop/quickstart-register-app

PASSAGGIO 3 - Aggiungere un segreto client per l'applicazione in Microsoft Entra ID

A volte chiamato password dell'applicazione, un segreto client è un valore stringa necessario per l'esecuzione di Armis Alerts Activities Data Connector. Seguire i passaggi descritti in questa sezione per creare un nuovo segreto client:

Nel portale di Azure selezionare l'applicazione in Registrazioni app.
Selezionare Certificati & segreti > client Segreti > client Nuovo segreto client.
Aggiungere una descrizione per il segreto client.
Selezionare una scadenza per il segreto o specificare una durata personalizzata. Il limite è di 24 mesi.
Selezionare Aggiungi.
Registrare il valore del segreto da usare nel codice dell'applicazione client. Questo valore del segreto non viene mai più visualizzato dopo aver lasciato questa pagina. Il valore del segreto è obbligatorio come parametro di configurazione per l'esecuzione di Armis Alerts Activities Data Connector.

Collegamento di riferimento:/azure/active-directory/develop/quickstart-register-app#add-a-client-secret

PASSAGGIO 4 - Assegnare il ruolo collaboratore all'applicazione in Microsoft Entra ID

Seguire i passaggi descritti in questa sezione per assegnare il ruolo:

Nella portale di Azure passare al gruppo di risorse e selezionare il gruppo di risorse.
Passare a Controllo di accesso (IAM) dal pannello sinistro.
Fare clic su Aggiungi e quindi selezionare Aggiungi assegnazione di ruolo.
Selezionare Collaboratore come ruolo e fare clic su Avanti.
In Assegna accesso a selezionare User, group, or service principal.
Fare clic su Aggiungi membri e digitare il nome dell'app creato e selezionarlo.
Fare ora clic su Rivedi e assegna e quindi fare di nuovo clic su Rivedi e assegna.

Collegamento di riferimento:/azure/role-based-access-control/role-assignments-portal

PASSAGGIO 5 - Creare un keyvault

Seguire queste istruzioni per creare un nuovo keyvault.

Nella portale di Azure passare agli insiemi di credenziali delle chiavi. Fare clic su Crea.
Selezionare Sottoscrizione, Gruppo di risorse e specificare il nome univoco di keyvault.

NOTA: creare un insieme di credenziali delle chiavi separato per ogni chiave API all'interno di un'area di lavoro.

PASSAGGIO 6 - Creare criteri di accesso in Keyvault

Seguire queste istruzioni per creare criteri di accesso in Keyvault.

Passare a keyvaults, selezionare il keyvault, passare a Criteri di accesso nel pannello a sinistra. Fare clic su Crea.
Selezionare tutte le chiavi & le autorizzazioni dei segreti. Fare clic su Avanti.
Nella sezione Principal cercare in base al nome dell'applicazione generato in STEP - 2. Fare clic su Avanti.

NOTA: Assicurati che il modello di permessi nella configurazione di accesso di Key Vault sia impostato su 'Politica di accesso al vault':

PASSAGGIO 7- Scegliere UNO tra le due opzioni di distribuzione seguenti per distribuire il connettore e la funzione Azure associata

IMPORTANTE: Prima di distribuire il connettore dati Armis Alerts Activities, avere l'ID dell'area di lavoro e la chiave primaria dell'area di lavoro (che possono essere copiati dai seguenti) immediatamente disponibili.., nonché le chiavi di autorizzazione dell'API Armis

ID dello spazio di lavoro:<variable value provided at install time>
Chiave primaria:<variable value provided at install time>

Opzione 1 - Azure Resource Manager (ARM) Template:

Usare questo metodo per la distribuzione automatica del connettore Armis.

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms aka.ms
Selezionare la sottoscrizione, il gruppo di risorse e la località preferiti.
Inserisci le informazioni seguenti: Nome Funzione ID Workspace Chiave Workspace Armis Chiave Segreta Armis URL Armis (https://<armis-instance>.armis.com/api/v1/) Tabella di Avviso Armis Nome Attività Severità (Default: Basso) Armis Schedule KeyVault Name Azure Client ID Client Secret Tenant Azure
Contrassegnare la casella di controllo con l'etichetta Accetto i termini e le condizioni indicati sopra.
Fare clic su Acquista per distribuire.

Opzione 2 - Distribuzione manuale di Funzioni di Azure:

Usare le istruzioni dettagliate seguenti per distribuire manualmente il connettore dati Armis Alerts Activities con Funzioni di Azure (distribuzione tramite Visual Studio Code).

Distribuire un'app per le funzioni

NOTA: Sarà necessario preparare vs code per lo sviluppo di funzioni Azure.
1. Scaricare il file dell'app per le funzioni Azure. Estrarre l'archivio nel computer di sviluppo locale.
2. Avviare VS Code. Scegliere File nel menu principale e selezionare Apri cartella.
3. Selezionare la cartella di primo livello dai file estratti.
4. Scegliere l'icona Azure nella barra attività, quindi nell'area Azure: Funzioni scegliere il pulsante Distribuisci nell'app per le funzioni.
  - Se non sei già connesso, scegli l'icona Azure nella barra Attività, poi nell'area Azure: Funzioni, scegli Accedi ad Azure:
  - Se si è già connessi, passare al passaggio successivo.
5. Fornire le informazioni seguenti alle richieste:
  1. Selezionare la cartella: Scegliere una cartella dall'area di lavoro o passare a una cartella contenente l'app per le funzioni.
  2. Selezionare Sottoscrizione: Scegliere la sottoscrizione da usare.
  3. Selezionare Crea nuova app per le funzioni in Azure (non scegliere l'opzione Avanzate)
  4. Immettere un nome univoco globale per l'app per le funzioni: Digitare un nome valido in un percorso URL. Il nome digitato viene convalidato per assicurarsi che sia univoco in Funzioni di Azure. (ad esempio ARMISXXXXX).
  5. Selezionare un runtime: Scegliere Python 3.11
  6. Selezionare una posizione per le nuove risorse. Per ottenere prestazioni migliori e costi inferiori, scegliere la stessa area in cui si trova Microsoft Sentinel.
6. Verrà avviata la distribuzione. Una notifica viene visualizzata dopo la creazione dell'app per le funzioni e l'applicazione del pacchetto di distribuzione.
7. Passare a portale di Azuree per la configurazione dell'app per le funzioni.
Configurare l'app per le funzioni
1. Nell'app per le funzioni selezionare nome dell'app per le funzioni e selezionare Configurazione.
2. Nella scheda Impostazioni applicazione selezionare + Nuova impostazione applicazione.
3. Aggiungi ciascuna delle seguenti impostazioni applicative individualmente, con i rispettivi valori (a discrezione della maiuscola): ID Workspace Chiave Workspace Armis Chiave Segreta Armis URL Armis (https://<armis-instance>.armis.com/api/v1/) Nome Tabella di Allerta Armis Nome Tabella Attività Severità (Default: Basso) Armis Schedule KeyNome Vault Azure ID Client Azure Client Secret Tenant ID logAnalyticsUri (opzionale)
Usare logAnalyticsUri per eseguire l'override dell'endpoint DELL'API log analytics per il cloud dedicato. Ad esempio, per il cloud pubblico, lasciare il valore vuoto; per Azure ambito cloud GovUS, specificare il valore nel formato seguente: https://<CustomerId>.ods.opinsights.azure.us.
1. Dopo aver immesso tutte le impostazioni dell'applicazione, fare clic su Salva.

Armis Devices (usando Funzioni di Azure)

Supportato da:Armis Corporation

Il connettore Armis Device consente di inserire Armis Devices in Microsoft Sentinel tramite l'API REST di Armis. Per altre informazioni, vedere la documentazione https://<YourArmisInstance>.armis.com/api/v1/docs dell'API. Il connettore offre la possibilità di ottenere informazioni sul dispositivo dalla piattaforma Armis. Armis usa l'infrastruttura esistente per individuare e identificare i dispositivi senza dover distribuire agenti. Armis può anche integrarsi con gli strumenti di gestione della sicurezza & IT esistenti per identificare e classificare ogni dispositivo, gestito o non gestito nell'ambiente.

Tabelle di Log Analytics:

Tabella	Supporto DCR	Inserimento solo lago
`Armis_Devices_CL`	No	No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Microsoft. Permessi web/siti: Sono necessari permessi di lettura e scrittura per Funzioni di Azure per creare una Function App. Per altre informazioni, vedere Funzioni di Azure.
Credenziali/permessi API REST:È richiesta la chiave segreta Armis. Per altre informazioni sull'API, vedere la documentazione https://<YourArmisInstance>.armis.com/api/v1/doc

Istruzioni per l'installazione:

NOTA: Questo connettore usa Funzioni di Azure per connettersi all'API Armis per eseguire il pull dei log in Microsoft Sentinel. Ciò potrebbe comportare costi aggiuntivi per l'inserimento di dati. Per informazioni dettagliate, controllare la pagina dei prezzi Funzioni di Azure.

NOTA: questo connettore dati dipende da un parser basato su una funzione Kusto per funzionare come previsto. Seguire questa procedura per creare l'alias delle funzioni Kusto, ArmisDevice:

PASSAGGIO 1 - Passaggi di configurazione per l'API Armis

Seguire queste istruzioni per creare una chiave privata dell'API Armis.

Accedere all'istanza di Armis
Passare a Impostazioni -> Gestione API
Se la chiave privata non è già stata creata, premere il pulsante Crea per creare il tasto segreto
Per accedere al tasto segreto, premere il pulsante Mostra
La chiave privata può ora essere copiata e usata durante la configurazione del connettore armis device

PASSAGGIO 2 - Procedura di registrazione dell'app per l'applicazione in Microsoft Entra ID

Questa integrazione richiede una registrazione dell'app nel portale di Azure. Seguire i passaggi descritti in questa sezione per creare una nuova applicazione in Microsoft Entra ID:

Accedere al portale di Azure.
Cercare e selezionare Microsoft Entra ID.
In Gestisci selezionare Registrazioni app > Nuova registrazione.
Immettere un nome visualizzato per l'applicazione.
Selezionare Registra per completare la registrazione iniziale dell'app.
Al termine della registrazione, il portale di Azure visualizza il riquadro Panoramica della registrazione dell'app. Verranno visualizzati l'ID applicazione (client) e l'ID tenant. L'ID client e l'ID tenant sono necessari come parametri di configurazione per l'esecuzione di Armis Device Data Connector.

Collegamento di riferimento:/azure/active-directory/develop/quickstart-register-app

PASSAGGIO 3 - Aggiungere un segreto client per l'applicazione in Microsoft Entra ID

A volte chiamato password dell'applicazione, un segreto client è un valore stringa necessario per l'esecuzione di Armis Device Data Connector. Seguire i passaggi descritti in questa sezione per creare un nuovo segreto client:

Nel portale di Azure selezionare l'applicazione in Registrazioni app.
Selezionare Certificati & segreti > client Segreti > client Nuovo segreto client.
Aggiungere una descrizione per il segreto client.
Selezionare una scadenza per il segreto o specificare una durata personalizzata. Il limite è di 24 mesi.
Selezionare Aggiungi.
Registrare il valore del segreto da usare nel codice dell'applicazione client. Questo valore del segreto non viene mai più visualizzato dopo aver lasciato questa pagina. Il valore del segreto è obbligatorio come parametro di configurazione per l'esecuzione di Armis Device Data Connector.

Collegamento di riferimento:/azure/active-directory/develop/quickstart-register-app#add-a-client-secret

PASSAGGIO 4 - Assegnare il ruolo collaboratore all'applicazione in Microsoft Entra ID

Seguire i passaggi descritti in questa sezione per assegnare il ruolo:

Nella portale di Azure passare al gruppo di risorse e selezionare il gruppo di risorse.
Passare a Controllo di accesso (IAM) dal pannello sinistro.
Fare clic su Aggiungi e quindi selezionare Aggiungi assegnazione di ruolo.
Selezionare Collaboratore come ruolo e fare clic su Avanti.
In Assegna accesso a selezionare User, group, or service principal.
Fare clic su Aggiungi membri e digitare il nome dell'app creato e selezionarlo.
Fare ora clic su Rivedi e assegna e quindi fare di nuovo clic su Rivedi e assegna.

Collegamento di riferimento:/azure/role-based-access-control/role-assignments-portal

PASSAGGIO 5 - Creare un keyvault

Seguire queste istruzioni per creare un nuovo keyvault.

Nella portale di Azure passare agli insiemi di credenziali delle chiavi. Fare clic su Crea.
Selezionare Sottoscrizione, Gruppo di risorse e specificare il nome univoco di keyvault.

NOTA: creare un insieme di credenziali delle chiavi separato per ogni chiave API all'interno di un'area di lavoro.

PASSAGGIO 6 - Creare criteri di accesso in Keyvault

Seguire queste istruzioni per creare criteri di accesso in Keyvault.

Passare a keyvaults, selezionare il keyvault, passare a Criteri di accesso nel pannello a sinistra. Fare clic su Crea.
Selezionare tutte le chiavi & le autorizzazioni dei segreti. Fare clic su Avanti.
Nella sezione Principal cercare in base al nome dell'applicazione generato in STEP - 2. Fare clic su Avanti.

NOTA: Assicurati che il modello di permessi nella configurazione di accesso di Key Vault sia impostato su 'Politica di accesso al vault':

PASSAGGIO 7- Scegliere UNO tra le due opzioni di distribuzione seguenti per distribuire il connettore e la funzione Azure associata

IMPORTANTE: Prima di distribuire il connettore dati del dispositivo Armis, avere l'ID dell'area di lavoro e la chiave primaria dell'area di lavoro (che possono essere copiati dai seguenti) immediatamente disponibili., nonché le chiavi di autorizzazione dell'API Armis

ID dello spazio di lavoro:<variable value provided at install time>
Chiave primaria:<variable value provided at install time>

Opzione 1 - Azure Resource Manager (ARM) Template:

Usare questo metodo per la distribuzione automatica del connettore Armis.

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms aka.ms
Selezionare la sottoscrizione, il gruppo di risorse e la località preferiti.
Inserisci le seguenti informazioni: Nome Funzione ID Workspace Chiave Armis Chiave Segreta Armis URL (https://<armis-instance>.armis.com/api/v1/) Tabella Dispositivo Armis Nome Schedule KeyVault Azure Client Id Tenant Segreto Azure
Contrassegnare la casella di controllo con l'etichetta Accetto i termini e le condizioni indicati sopra.
Fare clic su Acquista per distribuire.

Opzione 2 - Distribuzione manuale di Funzioni di Azure:

Usare le istruzioni dettagliate seguenti per distribuire manualmente il connettore dati di Armis Device con Funzioni di Azure (distribuzione tramite Visual Studio Code).

Distribuire un'app per le funzioni

NOTA: Sarà necessario preparare vs code per lo sviluppo di funzioni Azure.

Scaricare il file dell'app per le funzioni Azure. Estrarre l'archivio nel computer di sviluppo locale.
Avviare VS Code. Scegliere File nel menu principale e selezionare Apri cartella.
Selezionare la cartella di primo livello dai file estratti.
Scegliere l'icona Azure nella barra attività, quindi nell'area Azure: Funzioni scegliere il pulsante Distribuisci nell'app per le funzioni. Se non sei già connesso, scegli l'icona Azure nella barra Attività, poi nell'area Azure: Funzioni, scegli Accedi ad Azure: Se sei già connesso, passa al passo successivo.
Fornire le informazioni seguenti alle richieste:
1. Selezionare la cartella: Scegliere una cartella dall'area di lavoro o passare a una cartella contenente l'app per le funzioni.
2. Selezionare Sottoscrizione: Scegliere la sottoscrizione da usare.
3. Selezionare Crea nuova app per le funzioni in Azure (non scegliere l'opzione Avanzate)
4. Immettere un nome univoco globale per l'app per le funzioni: Digitare un nome valido in un percorso URL. Il nome digitato viene convalidato per assicurarsi che sia univoco in Funzioni di Azure. (ad esempio ARMISXXXXX).
5. Selezionare un runtime: Scegliere Python 3.11
6. Selezionare una posizione per le nuove risorse. Per ottenere prestazioni migliori e costi inferiori, scegliere la stessa area in cui si trova Microsoft Sentinel.
Verrà avviata la distribuzione. Una notifica viene visualizzata dopo la creazione dell'app per le funzioni e l'applicazione del pacchetto di distribuzione.
Passare a portale di Azuree per la configurazione dell'app per le funzioni.
Configurare l'app per le funzioni
Nell'app per le funzioni selezionare nome dell'app per le funzioni e selezionare Configurazione.
Nella scheda Impostazioni applicazione selezionare + Nuova impostazione applicazione.
Aggiungi ciascuna delle seguenti impostazioni applicative individualmente, con i rispettivi valori (distinto dalla maiuscola): ID Workspace Workspace Chiave Armis Chiave Segreta Armis URL Armis (https://<armis-instance>.armis.com/api/v1/) Nome Tabella Dispositivo Armis Schedule Nome KeyVault Azure ID Client Azure ID Tenant Segreto Client logAnalyticsUri (opzionale)

Usare logAnalyticsUri per eseguire l'override dell'endpoint DELL'API log analytics per il cloud dedicato. Ad esempio, per il cloud pubblico, lasciare il valore vuoto; per Azure ambito cloud GovUS, specificare il valore nel formato seguente: https://<CustomerId>.ods.opinsights.azure.us.

Dopo aver immesso tutte le impostazioni dell'applicazione, fare clic su Salva.

Avvisi di Atlassian Beacon

Supportato da:DEFEND Ltd.

Atlassian Beacon è un prodotto cloud progettato per il rilevamento intelligente delle minacce nelle piattaforme Atlassian (Jira, Confluence e Atlassian Amministrazione). Questo può aiutare gli utenti a rilevare, analizzare e rispondere alle attività utente rischiose per la suite di prodotti Atlassian. La soluzione è un connettore dati personalizzato di DEFEND Ltd. usato per visualizzare gli avvisi inseriti da Atlassian Beacon per Microsoft Sentinel tramite un'app per la logica.

Tabelle di Log Analytics:

Tabella	Supporto DCR	Inserimento solo lago
`atlassian_beacon_alerts_CL`	No	No

Supporto delle regole di raccolta dati: Attualmente non supportato

Istruzioni per l'installazione:

1. Microsoft Sentinel:

Passare all'app per la logica appena installata 'Atlassian Beacon Integration'
Passare a 'Progettazione app per la logica'
Espandere 'When a HTTP request is received' (Quando viene ricevuta una richiesta HTTP)
Copiare l'URL HTTP POST

2. Faro Atlassiano:

Accedere ad Atlassian Beacon usando un account amministratore
Passare a "INOLTRO SIEM" in IMPOSTAZIONI
Incollare l'URL copiato dall'app per la logica nella casella di testo
Fare clic sul pulsante 'Salva'

3. Test e Validazione:

Accedere ad Atlassian Beacon usando un account amministratore
Passare a "INOLTRO SIEM" in IMPOSTAZIONI
Fare clic sul pulsante "Test" accanto al webhook appena configurato
Passare a Microsoft Sentinel
Passare all'app per la logica appena installata
Controllare l'esecuzione dell'app per la logica in "Cronologia esecuzioni"
Verificare la presenza di log con il nome di tabella 'atlassian_beacon_alerts_CL' in 'Logs'
Se la regola analitica è stata abilitata, l'avviso test precedente dovrebbe aver creato un evento imprevisto in Microsoft Sentinel

Atlassian Confluence Audit (tramite Codeless Connector Framework)

Supportato da:Microsoft Corporation

Il connettore dati Atlassian Confluence Audit offre la possibilità di inserire gli eventi dei record di controllo di confluenza in Microsoft Sentinel tramite l'API REST. Per altre informazioni, vedere la documentazione dell'API . Il connettore consente il recupero degli eventi per valutare i potenziali rischi per la sicurezza, monitorare la collaborazione e diagnosticare e risolvere i problemi di configurazione.

Tabelle di Log Analytics:

Tabella	Supporto DCR	Inserimento solo lago
`ConfluenceAuditLogs_CL`	No	No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Accesso API Atlassian Confluence: È necessario il permesso di Adformer Confluence per accedere all'API dei logs di audit di Confluence. Per altre informazioni sull'API di controllo, vedere la documentazione dell'API Confluence .

Istruzioni per l'installazione:

Connettiti all'API di Atlassian Confluence per iniziare a raccogliere i log di audit in Microsoft Sentinel:

Per abilitare il connettore Atlassian Confluence per Microsoft Sentinel, fare clic per aggiungere un'organizzazione, compilare il modulo con le credenziali dell'ambiente Confluence e fare clic su Connetti. Seguire questa procedura per creare un token API.

Griglia connettori dati (configurare nel portale)

Controllo di Atlassian Jira (usando Funzioni di Azure)

Supportato da:Microsoft Corporation

Il connettore dati Atlassian Jira Audit offre la possibilità di inserire gli eventi di Jira Audit Records in Microsoft Sentinel tramite l'API REST. Per altre informazioni, vedere la documentazione dell'API . Il connettore consente il recupero degli eventi per valutare i potenziali rischi per la sicurezza, monitorare la collaborazione e diagnosticare e risolvere i problemi di configurazione.

Tabelle di Log Analytics:

Tabella	Supporto DCR	Inserimento solo lago
`Jira_Audit_CL`	No	No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Microsoft. Permessi web/siti: Sono necessari permessi di lettura e scrittura per Funzioni di Azure per creare una Function App. Per altre informazioni, vedere Funzioni di Azure.
Credenziali/permessi dell'API REST:JiraAccessToken, JiraUsername è richiesto per l'API REST. Per altre informazioni, vedere API. Controllare tutti i requisiti e seguire le istruzioni per ottenere le credenziali.

Istruzioni per l'installazione:

NOTA: Questo connettore usa Funzioni di Azure per connettersi all'API REST Jira per eseguire il pull dei log in Microsoft Sentinel. Ciò potrebbe comportare costi aggiuntivi per l'inserimento di dati. Per informazioni dettagliate, controllare la pagina dei prezzi Funzioni di Azure.

NOTA: questo connettore dati dipende da un parser basato su una funzione Kusto per funzionare come previsto. Seguire questa procedura per creare l'alias delle funzioni Kusto, JiraAudit:

PASSAGGIO 1 - Passaggi di configurazione per l'API Jira

Seguire le istruzioni per ottenere le credenziali.

PASSAGGIO 2- Scegliere UNO tra le due opzioni di distribuzione seguenti per distribuire il connettore e la funzione Azure associata

IMPORTANTE: Prima di distribuire il connettore dati dell'area di lavoro, fare in modo che l'ID dell'area di lavoro e la chiave primaria dell'area di lavoro siano copiati da quanto segue.

ID dello spazio di lavoro:<variable value provided at install time>
Chiave primaria:<variable value provided at install time>

Opzione 1 - Azure Resource Manager (ARM) Template:

Usare questo metodo per la distribuzione automatizzata del connettore dati Jira Audit usando un modello arm.

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms aka.ms
Selezionare la sottoscrizione, il gruppo di risorse e la località preferiti.

NOTA: All'interno dello stesso gruppo di risorse, non è possibile combinare app Windows e Linux nella stessa area. Selezionare un gruppo di risorse esistente senza app di Windows o creare un nuovo gruppo di risorse. 3. Immettere JiraAccessToken, JiraUsername, JiraHomeSiteName (parte del nome del sito breve, come esempio HOMESITENAME da https://community.atlassian.com) e distribuire. 4. Contrassegnare la casella di controllo etichettata Accetto i termini e le condizioni indicati sopra. 5. Fare clic su Acquista per distribuire.

Opzione 2 - Distribuzione manuale di Funzioni di Azure:

Usare le istruzioni dettagliate seguenti per distribuire manualmente il connettore dati Jira Audit con Funzioni di Azure (distribuzione tramite Visual Studio Code).

Distribuire un'app per le funzioni

NOTA: Sarà necessario preparare vs code per lo sviluppo di funzioni Azure.

Scaricare il file dell'app per le funzioni Azure. Estrarre l'archivio nel computer di sviluppo locale.
Avviare VS Code. Scegliere File nel menu principale e selezionare Apri cartella.
Selezionare la cartella di primo livello dai file estratti.
Scegliere l'icona Azure nella barra attività, quindi nell'area Azure: Funzioni scegliere il pulsante Distribuisci nell'app per le funzioni. Se non sei già connesso, scegli l'icona Azure nella barra Attività, poi nell'area Azure: Funzioni, scegli Accedi ad Azure: Se sei già connesso, passa al passo successivo.
Fornire le informazioni seguenti alle richieste:
1. Selezionare la cartella: Scegliere una cartella dall'area di lavoro o passare a una cartella contenente l'app per le funzioni.
2. Selezionare Sottoscrizione: Scegliere la sottoscrizione da usare.
3. Selezionare Crea nuova app per le funzioni in Azure (non scegliere l'opzione Avanzate)
4. Immettere un nome univoco globale per l'app per le funzioni: Digitare un nome valido in un percorso URL. Il nome digitato viene convalidato per assicurarsi che sia univoco in Funzioni di Azure. (ad esempio JiraAuditXXXXX).
5. Selezionare un runtime: Scegliere Python 3.11.
6. Selezionare una posizione per le nuove risorse. Per ottenere prestazioni migliori e costi inferiori, scegliere la stessa area in cui si trova Microsoft Sentinel.
Verrà avviata la distribuzione. Una notifica viene visualizzata dopo la creazione dell'app per le funzioni e l'applicazione del pacchetto di distribuzione.
Passare a portale di Azuree per la configurazione dell'app per le funzioni.
Configurare l'app per le funzioni
Nell'app per le funzioni selezionare nome dell'app per le funzioni e selezionare Configurazione.
Nella scheda Impostazioni applicazione selezionare Nuova impostazione applicazione.
Aggiungere ognuna delle impostazioni dell'applicazione seguenti singolarmente, con i rispettivi valori stringa (distinzione tra maiuscole e minuscole): JiraUsername JiraAccessToken JiraHomeSiteName WorkspaceID WorkspaceKey logAnalyticsUri (facoltativo)

Usare logAnalyticsUri per eseguire l'override dell'endpoint DELL'API log analytics per il cloud dedicato. Ad esempio, per il cloud pubblico, lasciare il valore vuoto; per Azure ambito cloud GovUS, specificare il valore nel formato seguente: https://<CustomerId>.ods.opinsights.azure.us.

Dopo aver immesso tutte le impostazioni dell'applicazione, fare clic su Salva.

Controllo di Atlassian Jira (tramite Codeless Connector Framework)

Supportato da:Microsoft Corporation

Tabelle di Log Analytics:

Tabella	Supporto DCR	Inserimento solo lago
`Jira_Audit_v2_CL`	No	No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Atlassian Jira API access: È necessario il permesso di Adadministered Jira per accedere all'API dei logs di Jira Audit. Per altre informazioni sull'API di controllo, vedere la documentazione dell'API Jira .

Istruzioni per l'installazione:

Per abilitare il connettore Atlassian Jira per Microsoft Sentinel, fare clic per aggiungere un'organizzazione, compilare il modulo con le credenziali dell'ambiente Jira e fare clic su Connetti. Seguire questa procedura per creare un token API.

Griglia connettori dati (configurare nel portale)

Eventi di audit dell'organizzazione Atlassian (tramite Codeless Connector Framework)

Supportato da:Microsoft

Il connettore dati Atlassian Organization Audit Events offre la capacità di integrare eventi di audit dell'organizzazione da Atlassian Cloud in Microsoft Sentinel tramite l'API Polling. Questo connettore consente un monitoraggio completo della sicurezza e audit di conformità su tutti i prodotti Atlassian Cloud, inclusi Jira (Software/Service Desk/Core), Confluence, Bitbucket, Trello, Opsgenie, Statuspage e Loom. Il connettore assorbe eventi di audit che coprono la gestione degli utenti, le attività di autenticazione, le modifiche al gruppo, le modifiche all'accesso al prodotto, le azioni amministrative e le modifiche alle policy. Con 180 giorni di conservazione dei dati in Atlassian Cloud, questo connettore offre visibilità sugli accessi concessi/revocati dagli utenti, fallimenti e successi di autenticazione, modifiche alla configurazione MFA, gestione dei token API, modifiche all'appartenenza ai gruppi, assegnazioni di licenze prodotto, aggiornamenti delle policy organizzative e attività di verifica del dominio. Il connettore utilizza l'autenticazione API Key con scope OAuth di sola lettura (leggi: events:admin) ed è ottimizzato per il sondaggio continuo con paginazione basata su cursore. Questo connettore è costruito su Microsoft Sentinel Codeless Connector Framework e supporta trasformazioni di tempo di ingestione basate su DCR per ottimizzare le prestazioni delle query. Consulta la documentazione dell'API Atlassian Organization Events per maggiori informazioni.

Tabelle di Log Analytics:

Tabella	Supporto DCR	Inserimento solo lago
`AtlassianAuditEvents`	No	No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Accesso API Atlassian Organization Events: È necessaria una chiave API con ambito OAuth in sola read:events:admin lettura per leggere gli eventi di audit dell'organizzazione. Consulta la documentazione dell'API Atlassian Organization Events per maggiori informazioni.

Istruzioni per l'installazione:

Prerequisiti

Prima di installare questo connettore, assicurati di avere quanto segue:

Accesso amministrativo dell'organizzazione Atlassian per creare una chiave API con l'ambito read:events:admin OAuth.
Il tuo ID di organizzazione Atlassian (un UUID).
Workspace Microsoft Sentinel con permessi di scrittura per configurare il connettore dati.

1. Crea una chiave API in Atlassian

Segui questi passaggi per creare una chiave API con i permessi richiesti:

Creare una chiave API

Navigare all'Amministrazione Atlassian
Seleziona la tua organizzazione (se ne hai più di uno)
Naviga nelle Impostazioni, poi seleziona le chiavi API
Fare clic su Crea chiave API
Configura la chiave API:
- Nome: Microsoft Sentinel Integration (o nome descrittivo)
- Scadenza: Data di scadenza impostata (massimo 1 anno dalla creazione)
- Ambitivi: Select read:events:admin (accesso in sola lettura agli eventi di audit)
Fare clic su Crea
IMPORTANTE: Copia immediatamente la chiave API - non verrà più mostrata

2. Ottieni il tuo ID organizzativo

Il tuo ID organizzazione è necessario per connettersi all'API Atlassian:

Localizza l'ID organizzazione Il tuo ID organizzazione è un UUID (ad esempio, 00000000-0000-0000-0000-000000000000)

Opzione 1: Dall'URL dell'Amministrazione Atlassian

Guarda l'URL nella tua console di amministrazione Atlassian
Formato: https://admin.atlassian.com/o/{orgId}/overview
Copia l'UUID tra /o/ e /overview

Opzione 2: Durante la creazione della chiave API

L'ID organizzazione viene visualizzato quando crei una chiave API
Copialo insieme alla tua chiave API

Esempio:00000000-0000-0000-0000-000000000000

3. Connettersi a Microsoft Sentinel

Aggiungi una connessione per ogni organizzazione Atlassian (tenant). Ogni connessione è identificata da un Alias di Connessione unico e può prendere di mira un URL base di organizzazioni o API diverso, così puoi assorbire eventi da più organizzazioni Atlassian fianco a fianco.

Griglia connettori dati (configurare nel portale)

Log di Auth0 (tramite Codeless Connector Framework)

Supportato da:Microsoft Corporation

Il connettore dati Auth0 consente di inserire i log dall'API Auth0 in Microsoft Sentinel. Il connettore dati è basato su Microsoft Sentinel Codeless Connector Framework. Usa l'API Auth0 per recuperare i log e supporta trasformazioni del tempo di inserimento basate su DCR che analizzano i dati di sicurezza ricevuti in una tabella personalizzata in modo che le query non debbano analizzarli di nuovo, con conseguente miglioramento delle prestazioni.

Tabelle di Log Analytics:

Tabella	Supporto DCR	Inserimento solo lago
`Auth0Logs_CL`	No	No

Supporto delle regole di raccolta dati: Attualmente non supportato

Istruzioni per l'installazione:

PASSAGGIO 1 - Procedura di configurazione per l'API di gestione di Auth0

Seguire le istruzioni per ottenere le credenziali.

Nel dashboard di Auth0 passare a [Applicazioni>]
Selezionare l'applicazione. Si tratta di un'applicazione [da computer a computer] configurata con almeno le autorizzazioni [read:logs] e [read:logs_users].
Copia [Domain, ClientID, Client Secret]

URL API di base: (https://example.auth0.com)
ID Cliente: (ID Client)
Segreto cliente: (API Token)
Abilitare/disabilitare la connessione

WebCTRL per la logica automatizzata

Supportato da:Microsoft Corporation

È possibile trasmettere i log di controllo dal server SQL WebCTRL ospitato nei computer Windows connessi al Microsoft Sentinel. Questa connessione consente di visualizzare i dashboard, creare avvisi personalizzati e migliorare l'analisi. In questo modo vengono fornite informazioni dettagliate sui sistemi di controllo industriale monitorati o controllati dall'applicazione WebCTRL BAS.

Tabelle di Log Analytics:

Tabella	Supporto DCR	Inserimento solo lago
`Event`	Sì	No

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

Istruzioni per l'installazione:

1. Installare e integrare l'agente Microsoft per Windows:

Informazioni sulla configurazione dell'agente e sull'onboarding degli eventi di Windows.

È possibile ignorare questo passaggio se è già stato installato l'agente Microsoft per Windows

2. Configura il compito di Windows per leggere i dati di audit e scriverli negli eventi di Windows:

Installare e configurare l'attività pianificata di Windows per leggere i log di controllo in SQL e scriverli come eventi di Windows. Questi eventi di Windows verranno raccolti dall'agente e inoltrati a Microsoft Sentinel.

Si noti che i dati di tutti i computer verranno archiviati nell'area di lavoro selezionata

2.1 Copiare i file di installazione in un percorso nel server.

2.2 Aggiornare i parametri di script ALC-WebCTRL-AuditPull.ps1 (copiati nel passaggio precedente), ad esempio il nome del database di destinazione e l'ID evento di Windows. Per altri dettagli, fare riferimento ai commenti nello script.

2.3 Aggiornare le impostazioni delle attività di Windows nel file ALC-WebCTRL-AuditPullTaskConfig.xml copiato nel passaggio precedente in base alle esigenze. Per altri dettagli, fare riferimento ai commenti nel file.

2.4 Installare le attività di Windows usando le configurazioni aggiornate copiate nei passaggi precedenti

Esegui il seguente comando in powershell dalla directory dove vengono copiati i file di setup nel passo 2.1:<variable value provided at install time>

3. Validare la connessione:

Seguire le istruzioni per convalidare la connettività:

Aprire Log Analytics per verificare se i log vengono ricevuti usando lo schema eventi.

Potrebbero essere necessari circa 20 minuti prima che la connessione flussi i dati all'area di lavoro.

Se i log non vengono ricevuti, convalidare i passaggi seguenti per eventuali problemi di runtime:

Assicurarsi che l'attività pianificata sia stata creata e che sia in esecuzione nell'Utilità di pianificazione di Windows.
Verificare la presenza di errori di esecuzione delle attività nella scheda Cronologia dell'Utilità di pianificazione di Windows per l'attività appena creata nel passaggio 2.4
Assicurarsi che la tabella controllo SQL sia costituita da nuovi record durante l'esecuzione dell'attività pianificata di Windows.

Aws EKS Data Connector (tramite Codeless Connector Framework)

Supportato da:Microsoft Corporation

Il connettore dati AWS EKS offre la possibilità di inserire i log di controllo dal servizio Amazon Elastic Kubernetes in Microsoft Sentinel. Questo connettore è incentrato sui log di controllo del servizio Azure Kubernetes (formato JSON) che contengono informazioni dettagliate sulle richieste del server API, sulle decisioni di autenticazione e sulle attività del cluster. Il connettore usa AWS SQS per ricevere notifiche quando vengono esportati nuovi file di log di controllo in S3, garantendo il monitoraggio della sicurezza e della conformità in tempo reale per i cluster Kubernetes.

Tabelle di Log Analytics:

Tabella	Supporto DCR	Inserimento solo lago
`AWSEKSLogs_CL`	No	No

Supporto delle regole di raccolta dati: Attualmente non supportato

Istruzioni per l'installazione:

1. Distribuzione AWS CloudFormation:

Usare i modelli CloudFormation forniti per configurare l'ambiente AWS per l'invio di log da AWS EKS all'area di lavoro Log Analytics.

Distribuire i modelli CloudFormation in AWS:

Passare ad AWS CloudFormation Stacks.
Fare clic su Crea stack e selezionare Con nuove risorse.
Scegliere Carica un file modello, quindi fare clic su Scegli file per caricare il modello CloudFormation appropriato (modello 1 e 2 di seguito) fornito.
Seguire le istruzioni e fare clic su Avanti per completare la creazione dello stack.
Dopo aver creato gli stack, passare alla sezione Output. Eseguire gli script nei passaggi 1 e 2 della sezione di output e trasmettere il log da eks a sqs.
Nella stessa sezione output prendere nota dell'URL della coda di Role ARN e SQS che verranno usati nel connettore di connessione.

Modello 1: Implementazione del provider di autenticazione OpenID Connect:<variable value provided at install time>
Modello 2: Distribuzione delle risorse AWS EKS:<variable value provided at install time>

2. Collegare nuovi collezionisti:

Per abilitare AWS Security Hub Connector per Microsoft Sentinel, fare clic sul pulsante Aggiungi nuovo agente di raccolta, compilare le informazioni necessarie nel riquadro di contesto e fare clic su Connetti.

SentinelRoleArn: (L'ARN AWS IAM Role per l'accesso cross-account (ad esempio, arn:aws:iam:123456789012:role/SentinelRole))
SentinelSQSQueueURL: (L'URL completo della coda AWS EKS (ad esempio, https://sqs.region.amazonaws.com/account-id/queue-name))

3. Connetti:

Abilitare il connettore AWS EKS.

Abilitare/disabilitare la connessione

Log di accesso al server AWS S3 (tramite Codeless Connector Framework)

Supportato da:Microsoft Corporation

Questo connettore consente di inserire i log di accesso del server AWS S3 in Microsoft Sentinel. Questi log contengono record dettagliati per le richieste effettuate ai bucket S3, inclusi il tipo di richiesta, l'accesso alle risorse, le informazioni sul richiedente e i dettagli della risposta. Questi log sono utili per analizzare i modelli di accesso, eseguire il debug dei problemi e garantire la conformità alla sicurezza.

Tabelle di Log Analytics:

Tabella	Supporto DCR	Inserimento solo lago
`AWSS3ServerAccess`	Sì	Sì

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

Prerequisiti:

Ambiente: Devi avere definite e configurate le seguenti risorse AWS: S3 Bucket, Simple Queue Service (SQS), ruoli IAM e politiche di permessi.

Istruzioni per l'installazione:

AWS CloudFormation Deployment Per configurare l'accesso in AWS, sono stati generati due modelli per configurare l'ambiente AWS per inviare i log da un log di Accesso al server AWS S3 all'area di lavoro Log Analytics.

Distribuire i modelli CloudFormation in AWS:

Passare ad AWS CloudFormation Stacks.
Fare clic su Crea stack e selezionare Con nuove risorse.
Scegliere Carica un file modello, quindi fare clic su Scegli file per caricare il modello CloudFormation appropriato fornito.
Seguire le istruzioni e fare clic su Avanti per completare la creazione dello stack.
Dopo aver creato gli stack, prendere nota dell'URL della coda di Role ARN e SQS.

Modello 1: Implementazione del provider di autenticazione OpenID Connect:<variable value provided at install time>
Modello 2: Distribuzione delle risorse AWS Server Access:<variable value provided at install time>

Connettere nuovi agenti di raccolta Per abilitare AWS S3 Server Access Logs Connector per Microsoft Sentinel, fare clic sul pulsante Aggiungi nuovo agente di raccolta, compilare le informazioni necessarie nel riquadro di contesto e fare clic su Connetti.

Griglia connettori dati (configurare nel portale)

Risultati dell'hub di sicurezza AWS (tramite Codeless Connector Framework)

Supportato da:Microsoft Corporation

Questo connettore consente l'inserimento dei risultati dell'hub di sicurezza AWS, raccolti in bucket AWS S3, in Microsoft Sentinel. Consente di semplificare il processo di monitoraggio e gestione degli avvisi di sicurezza integrando i risultati dell'hub di sicurezza AWS con le funzionalità avanzate di rilevamento delle minacce e risposta di Microsoft Sentinel.

Tabelle di Log Analytics:

Tabella	Supporto DCR	Inserimento solo lago
`AWSSecurityHubFindings`	Sì	Sì

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

Prerequisiti:

Ambiente: Devi avere definite e configurate le seguenti risorse AWS: AWS Security Hub, Amazon Data Firehose, Amazon EventBridge, S3 Bucket, Simple Queue Service (SQS), ruoli e politiche di permessi IAM.

Istruzioni per l'installazione:

Aws CloudFormation Deployment Usare i modelli CloudFormation forniti per configurare l'ambiente AWS per l'invio dei log dall'hub di sicurezza AWS all'area di lavoro Log Analytics.

Distribuire i modelli CloudFormation in AWS:

Passare ad AWS CloudFormation Stacks.
Fare clic su Crea stack e selezionare Con nuove risorse.
Scegliere Carica un file modello, quindi fare clic su Scegli file per caricare il modello CloudFormation appropriato fornito.
Seguire le istruzioni e fare clic su Avanti per completare la creazione dello stack.
Dopo aver creato gli stack, prendere nota dell'URL della coda di Role ARN e SQS.

Modello 1: Implementazione del provider di autenticazione OpenID Connect:<variable value provided at install time>
Modello 2: Distribuzione delle risorse AWS Security Hub:<variable value provided at install time>

Connettere nuovi agenti di raccolta Per abilitare AWS Security Hub Connector per Microsoft Sentinel, fare clic sul pulsante Aggiungi nuovo agente di raccolta, compilare le informazioni necessarie nel riquadro di contesto e fare clic su Connetti.

Griglia connettori dati (configurare nel portale)

Attività Azure

Supportato da:Microsoft Corporation

Azure Log attività è un log di sottoscrizione che fornisce informazioni dettagliate sugli eventi a livello di sottoscrizione che si verificano in Azure, inclusi gli eventi da dati operativi Azure Resource Manager, gli eventi di integrità del servizio, le operazioni di scrittura eseguite sulle risorse nella sottoscrizione e lo stato delle attività eseguite in Azure. Per altre informazioni, vedere la documentazione di Microsoft Sentinel .

Tabelle di Log Analytics:

Tabella	Supporto DCR	Inserimento solo lago
`AzureActivity`	No	No

Supporto delle regole di raccolta dati: Attualmente non supportato

account Azure Batch

Supportato da:Microsoft Corporation

Azure Batch Account è un'entità identificata in modo univoco all'interno del servizio Batch. La maggior parte delle soluzioni Batch usa Azure Archiviazione per l'archiviazione di file di risorse e file di output, quindi ogni account Batch è in genere associato a un account di archiviazione corrispondente. Questo connettore consente di trasmettere i log di diagnostica dell'account Azure Batch in Microsoft Sentinel, consentendo di monitorare continuamente l'attività. Per altre informazioni, vedere la documentazione Microsoft Sentinel.

Tabelle di Log Analytics:

Tabella	Supporto DCR	Inserimento solo lago
`AzureDiagnostics`	No	No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Politica: Ruolo del proprietario assegnato per ogni ambito di assegnazione di policy

Istruzioni per l'installazione:

Collega i log diagnostici del tuo account Azure Batch a Sentinel:

Questo connettore usa Criteri di Azure per applicare una singola configurazione di log streaming dell'account Azure Batch a una raccolta di istanze, definita come ambito. Seguire le istruzioni seguenti per creare e applicare un criterio a tutte le istanze correnti e future. Si noti che potrebbe essere già presente un criterio attivo per questo tipo di risorsa.

Trasmetti i log diagnostici dal tuo account Azure Batch su scala:

Avvia la wizard Criteri di Azure Assignment e segui i passaggi. :

Nella scheda Informazioni di base fare clic sul pulsante con i tre puntini in Ambito per selezionare la sottoscrizione.
Nella scheda Parametri scegliere l'area di lavoro Microsoft Sentinel dall'elenco a discesa Dell'area di lavoro Log Analytics e lasciare contrassegnate come "True" tutte le categorie di log da inserire.
Per applicare i criteri alle risorse esistenti, contrassegnare la casella di controllo Crea un'attività di correzione nella scheda Correzione .

Azure CloudNGFW di Palo Alto Networks

Supportato da:Palo Alto Networks

Cloud Next-Generation Firewall di Palo Alto Networks, un servizio ISV nativo Azure, è Palo Alto Networks Next-Generation Firewall (NGFW) fornito come servizio nativo del cloud in Azure. È possibile individuare Cloud NGFW nel marketplace Azure e usarlo nelle reti virtuali (VNet) Azure. Con Cloud NGFW, è possibile accedere alle funzionalità principali di NGFW, ad esempio App-ID, tecnologie basate sul filtro DEGLI URL. Fornisce la prevenzione e il rilevamento delle minacce tramite servizi di sicurezza forniti dal cloud e firme di prevenzione delle minacce. Il connettore consente di connettere facilmente i log di Cloud NGFW con Microsoft Sentinel, visualizzare i dashboard, creare avvisi personalizzati e migliorare l'analisi. In questo modo è possibile ottenere maggiori informazioni sulla rete dell'organizzazione e migliorare le funzionalità delle operazioni di sicurezza. Per altre informazioni, vedere la documentazione di Cloud NGFW per Azure.

Tabelle di Log Analytics:

Tabella	Supporto DCR	Inserimento solo lago
`fluentbit_CL`	No	No

Supporto delle regole di raccolta dati: Attualmente non supportato

Istruzioni per l'installazione:

Connetti il Cloud NGFW di Palo Alto Networks a Microsoft Sentinel:

Abilitare le impostazioni di log in tutti i cloud NGFW di Palo Alto Networks.

All'interno della risorsa NGFW cloud:

Passare a Impostazioni log dalla home page.
Verificare che la casella di controllo Abilita impostazioni log sia selezionata.
Nell'elenco a discesa Impostazioni log scegliere l'area di lavoro Log Analytics desiderata.
Confermare le selezioni e le configurazioni.
Fare clic su Salva per applicare le impostazioni.

Ricerca cognitiva di Azure

Supportato da:Microsoft Corporation

Ricerca cognitiva di Azure è un servizio di ricerca cloud che offre agli sviluppatori infrastruttura, API e strumenti per la creazione di un'esperienza di ricerca avanzata su contenuti privati eterogenei in applicazioni Web, mobili ed aziendali. Questo connettore consente di trasmettere i log di diagnostica Ricerca cognitiva di Azure in Microsoft Sentinel, consentendo di monitorare continuamente l'attività.

Tabelle di Log Analytics:

Tabella	Supporto DCR	Inserimento solo lago
`AzureDiagnostics`	No	No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Politica: Ruolo del proprietario assegnato per ogni ambito di assegnazione di policy

Istruzioni per l'installazione:

Collega i tuoi log diagnostici di Ricerca cognitiva di Azure a Sentinel:

Questo connettore usa Criteri di Azure per applicare una singola configurazione di flusso di log Ricerca cognitiva di Azure a una raccolta di istanze, definita come ambito. Seguire le istruzioni seguenti per creare e applicare un criterio a tutte le istanze correnti e future. Si noti che potrebbe essere già presente un criterio attivo per questo tipo di risorsa.

Trasmetti i log diagnostici dal tuo Ricerca cognitiva di Azure su scala:

Avvia la wizard Criteri di Azure Assignment e segui i passaggi. :

Nella scheda Informazioni di base fare clic sul pulsante con i tre puntini in Ambito per selezionare la sottoscrizione.
Nella scheda Parametri scegliere l'area di lavoro Microsoft Sentinel dall'elenco a discesa Dell'area di lavoro Log Analytics e lasciare contrassegnate come "True" tutte le categorie di log da inserire.
Per applicare i criteri alle risorse esistenti, contrassegnare la casella di controllo Crea un'attività di correzione nella scheda Correzione .

protezione DDoS Azure

Supportato da:Microsoft Corporation

Connettersi ai log di Standard protezione DDoS Azure tramite i log di diagnostica degli indirizzi IP pubblici. Oltre alla protezione DDoS principale nella piattaforma, Azure protezione DDoS Standard offre funzionalità avanzate di mitigazione DDoS contro gli attacchi di rete. Viene ottimizzato automaticamente per proteggere le risorse Azure specifiche. La protezione è semplice da abilitare durante la creazione di nuove reti virtuali. Può anche essere eseguita dopo la creazione e non richiede alcuna modifica dell'applicazione o delle risorse. Per altre informazioni, vedere la documentazione Microsoft Sentinel.

Tabelle di Log Analytics:

Tabella	Supporto DCR	Inserimento solo lago
`AzureDiagnostics`	No	No

Supporto delle regole di raccolta dati: Attualmente non supportato

Azure log di controllo di DevOps (tramite Codeless Connector Framework)

Supportato da:Microsoft Corporation

Il connettore dati Azure DevOps Audit Logs consente di inserire eventi di controllo da Azure DevOps in Microsoft Sentinel. Questo connettore dati viene creato usando l'Microsoft Sentinel Codeless Connector Framework, garantendo un'integrazione senza problemi. Sfrutta l'API dei log di controllo Azure DevOps per recuperare eventi di controllo dettagliati e supporta le trasformazioni del tempo di inserimento basate su DCR. Queste trasformazioni consentono di analizzare i dati di controllo ricevuti in una tabella personalizzata durante l'inserimento, migliorando le prestazioni delle query eliminando la necessità di analisi aggiuntive. Usando questo connettore, è possibile ottenere una visibilità migliorata nell'ambiente Azure DevOps e semplificare le operazioni di sicurezza.

Tabelle di Log Analytics:

Tabella	Supporto DCR	Inserimento solo lago
`ADOAuditLogs_CL`	No	No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Prerequisito Azure DevOps: Si prega di assicurarsi i seguenti requisiti:
1. Registrare un'app Entra in Microsoft Entra Interfaccia di amministrazione in Registrazioni app.
2. In 'Autorizzazioni API' aggiungere autorizzazioni a 'Azure DevOps - vso.auditlog'.
3. In "Certificati e segreti" generare "Segreto client".
4. In "Autenticazione" aggiungere l'URI di reindirizzamento riportato di seguito nel campo corrispondente.
5. Nelle impostazioni di Azure DevOps abilitare il log di controllo e impostare Visualizza log di controllo per l'utente. Azure controllo DevOps.
6. Verificare che l'utente assegnato per connettere il connettore dati disponga dell'autorizzazione Visualizza log di controllo impostata in modo esplicito su Consenti in qualsiasi momento. Questa autorizzazione è essenziale per il corretto inserimento del log. Se l'autorizzazione viene revocata o non concessa, l'inserimento dei dati avrà esito negativo o verrà interrotto.

Istruzioni per l'installazione:

Connettiti ad Azure DevOps per iniziare a raccogliere i log di audit in Microsoft Sentinel:

Immettere l'app registrata.
Nella sezione "Panoramica" copiare l'ID applicazione (client).
Selezionare il pulsante "Endpoint" e copiare il valore "OAuth 2.0 authorization endpoint (v2)" e il valore "OAuth 2.0 token endpoint (v2)".
Nella sezione "Certificati & segreti" copiare il "valore segreto client" e archiviarlo in modo sicuro.
Specificare le informazioni necessarie di seguito e fare clic su "Connetti".
- Endpoint del token: ([concat(variables('_loginUrl'), '/{TenantId}/oauth2/v2.0/token')])
- Endpoint di autorizzazione: ([concat(variables('_loginUrl'), '/{TenantId}/oauth2/v2.0/authorize')])
- API Endpoint: (https://auditservice.dev.azure.com/{organizationName}/_apis/audit/auditlog?api-version=7.2-preview)

Hub eventi Azure

Supportato da:Microsoft Corporation

Hub eventi di Azure è una piattaforma di streaming di Big Data e un servizio di inserimento di eventi. Può ricevere ed elaborare milioni di eventi al secondo. Questo connettore consente di trasmettere i log di diagnostica dell'hub eventi di Azure in Microsoft Sentinel, consentendo di monitorare continuamente l'attività.

Tabelle di Log Analytics:

Tabella	Supporto DCR	Inserimento solo lago
`AzureDiagnostics`	No	No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Politica: Ruolo del proprietario assegnato per ogni ambito di assegnazione di policy

Istruzioni per l'installazione:

Collega i log diagnostici di Azure Event Hub a Sentinel:

Questo connettore usa Criteri di Azure per applicare una singola configurazione di streaming dei log dell'hub eventi Azure a una raccolta di istanze, definite come ambito. Seguire le istruzioni seguenti per creare e applicare un criterio a tutte le istanze correnti e future. Si noti che potrebbe essere già presente un criterio attivo per questo tipo di risorsa.

Trasmetti i log diagnostici dal tuo Azure Event Hub su larga scala:

Avvia la wizard Criteri di Azure Assignment e segui i passaggi. :

Nella scheda Informazioni di base fare clic sul pulsante con i tre puntini in Ambito per selezionare la sottoscrizione.
Nella scheda Parametri scegliere l'area di lavoro Microsoft Sentinel dall'elenco a discesa Dell'area di lavoro Log Analytics e lasciare contrassegnate come "True" tutte le categorie di log da inserire.
Per applicare i criteri alle risorse esistenti, contrassegnare la casella di controllo Crea un'attività di correzione nella scheda Correzione .

Firewall di Azure

Supportato da:Microsoft Corporation

Connettersi a Firewall di Azure. Firewall di Azure è un servizio di sicurezza di rete gestito basato sul cloud che protegge le risorse Azure Rete virtuale. Si tratta di un firewall con stato completo come servizio con disponibilità elevata predefinita e scalabilità cloud senza restrizioni. Per altre informazioni, vedere la documentazione Microsoft Sentinel.

Tabelle di Log Analytics:

Tabella	Supporto DCR	Inserimento solo lago
`AzureDiagnostics`	No	No
`AZFWApplicationRule`	Sì	Sì
`AZFWFlowTrace`	Sì	Sì
`AZFWFatFlow`	Sì	Sì
`AZFWNatRule`	Sì	Sì
`AZFWDnsQuery`	Sì	Sì
`AZFWIdpsSignature`	Sì	Sì
`AZFWInternalFqdnResolutionFailure`	Sì	Sì
`AZFWNetworkRule`	Sì	Sì
`AZFWThreatIntel`	Sì	Sì

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

Azure Key Vault

Supportato da:Microsoft Corporation

Azure Key Vault è un servizio cloud per archiviare e accedere in modo sicuro ai segreti. Un segreto è qualsiasi elemento a cui si vuole controllare strettamente l'accesso, ad esempio chiavi API, password, certificati o chiavi crittografiche. Questo connettore consente di trasmettere i log di diagnostica Azure Key Vault in Microsoft Sentinel, consentendo di monitorare continuamente l'attività in tutte le istanze. Per altre informazioni, vedere la documentazione Microsoft Sentinel.

Tabelle di Log Analytics:

Tabella	Supporto DCR	Inserimento solo lago
`AzureDiagnostics`	No	No

Supporto delle regole di raccolta dati: Attualmente non supportato

servizio Azure Kubernetes (servizio Azure Kubernetes)

Supportato da:Microsoft Corporation

servizio Azure Kubernetes è un servizio di orchestrazione dei contenitori completamente gestito open source che consente di distribuire, ridimensionare e gestire contenitori Docker e applicazioni basate su contenitori in un ambiente cluster. Questo connettore consente di trasmettere i log di diagnostica servizio Azure Kubernetes (AKS) in Microsoft Sentinel, consentendo di monitorare continuamente l'attività in tutte le istanze. Per altre informazioni, vedere la documentazione Microsoft Sentinel.

Tabelle di Log Analytics:

Tabella	Supporto DCR	Inserimento solo lago
`AzureDiagnostics`	No	No

Supporto delle regole di raccolta dati: Attualmente non supportato

app per la logica Azure

Supportato da:Microsoft Corporation

Azure App per la logica è una piattaforma basata sul cloud per la creazione e l'esecuzione di flussi di lavoro automatizzati che integrano app, dati, servizi e sistemi. Questo connettore consente di trasmettere i log di diagnostica di app per la logica Azure in Microsoft Sentinel, consentendo di monitorare continuamente l'attività.

Tabelle di Log Analytics:

Tabella	Supporto DCR	Inserimento solo lago
`AzureDiagnostics`	No	No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Politica: Ruolo del proprietario assegnato per ogni ambito di assegnazione di policy

Istruzioni per l'installazione:

Collega i tuoi log diagnostici di Logic Apps a Sentinel:

Questo connettore usa Criteri di Azure per applicare una singola configurazione di log streaming di App per la logica Azure a una raccolta di istanze, definite come ambito. Seguire le istruzioni seguenti per creare e applicare un criterio a tutte le istanze correnti e future. Si noti che potrebbe essere già presente un criterio attivo per questo tipo di risorsa.

Trasmetti i log diagnostici dalle tue App per la logica di Azure su larga scala:

Avvia la wizard Criteri di Azure Assignment e segui i passaggi. :

Nella scheda Informazioni di base fare clic sul pulsante con i tre puntini in Ambito per selezionare la sottoscrizione.
Nella scheda Parametri scegliere l'area di lavoro Microsoft Sentinel dall'elenco a discesa Dell'area di lavoro Log Analytics e lasciare contrassegnate come "True" tutte le categorie di log da inserire.
Per applicare i criteri alle risorse esistenti, contrassegnare la casella di controllo Crea un'attività di correzione nella scheda Correzione .

Azure Resource Graph

Supportato da:Microsoft Corporation

Azure Resource Graph connettore offre informazioni più dettagliate sugli eventi Azure integrando i dettagli sulle sottoscrizioni Azure e sulle risorse Azure.

Tabelle di Log Analytics:

Tabella	Supporto DCR	Inserimento solo lago

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Politica: Owner role permission sugli abbonamenti Azure

Istruzioni per l'installazione:

Connettere Azure Resource Graph a Microsoft Sentinel

bus di servizio di Azure

Supportato da:Microsoft Corporation

bus di servizio di Azure è un broker di messaggi aziendali completamente gestito con code di messaggi e argomenti publish-subscribe (in uno spazio dei nomi). Questo connettore consente di trasmettere i log di diagnostica bus di servizio di Azure in Microsoft Sentinel, consentendo di monitorare continuamente l'attività.

Tabelle di Log Analytics:

Tabella	Supporto DCR	Inserimento solo lago
`AzureDiagnostics`	No	No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Politica: Ruolo del proprietario assegnato per ogni ambito di assegnazione di policy

Istruzioni per l'installazione:

Collega i log di diagnostica di bus di servizio di Azure a Sentinel:

Questo connettore usa Criteri di Azure per applicare una singola configurazione di log streaming bus di servizio di Azure a una raccolta di istanze, definita come ambito. Seguire le istruzioni seguenti per creare e applicare un criterio a tutte le istanze correnti e future. Si noti che potrebbe essere già presente un criterio attivo per questo tipo di risorsa.

Stream log diagnostici dal tuo bus di servizio di Azure su scala:

Avvia la wizard Criteri di Azure Assignment e segui i passaggi. :

Nella scheda Informazioni di base fare clic sul pulsante con i tre puntini in Ambito per selezionare la sottoscrizione.
Nella scheda Parametri scegliere l'area di lavoro Microsoft Sentinel dall'elenco a discesa Dell'area di lavoro Log Analytics e lasciare contrassegnate come "True" tutte le categorie di log da inserire.
Per applicare i criteri alle risorse esistenti, contrassegnare la casella di controllo Crea un'attività di correzione nella scheda Correzione .

database Azure SQL

Supportato da:Microsoft Corporation

Azure SQL è un motore di database PaaS (Platform-as-a-Service) completamente gestito che gestisce la maggior parte delle funzioni di gestione del database, ad esempio l'aggiornamento, l'applicazione di patch, i backup e il monitoraggio, senza richiedere il coinvolgimento degli utenti. Questo connettore consente di trasmettere i log di controllo e diagnostica dei database di Azure SQL in Microsoft Sentinel, consentendo di monitorare continuamente l'attività in tutte le istanze.

Tabelle di Log Analytics:

Tabella	Supporto DCR	Inserimento solo lago
`AzureDiagnostics`	No	No

Supporto delle regole di raccolta dati: Attualmente non supportato

account di archiviazione Azure

Supportato da:Microsoft Corporation

Azure account di archiviazione è una soluzione cloud per scenari di archiviazione dati moderni. Contiene tutti gli oggetti dati: BLOB, file, code, tabelle e dischi. Questo connettore consente di trasmettere Azure log di diagnostica degli account di archiviazione nell'area di lavoro Microsoft Sentinel, consentendo di monitorare continuamente l'attività in tutte le istanze e rilevare attività dannose nell'organizzazione. Per altre informazioni, vedere la documentazione Microsoft Sentinel.

Tabelle di Log Analytics:

Tabella	Supporto DCR	Inserimento solo lago
`AzureMetrics`	No	No
`StorageBlobLogs`	Sì	Sì
`StorageQueueLogs`	Sì	Sì
`StorageTableLogs`	Sì	Sì
`StorageFileLogs`	Sì	Sì

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

Prerequisiti:

Politica: Ruolo del proprietario assegnato per ogni ambito di assegnazione di policy

Istruzioni per l'installazione:

Collega i log diagnostici del tuo account Archiviazione di Azure a Sentinel:

Questo connettore usa un set di criteri di Azure per applicare una configurazione di flusso di log a una raccolta di istanze, definita come ambito. Seguire le istruzioni seguenti per creare e applicare criteri a tutte le istanze correnti e future. Per sfruttare al massimo la registrazione diagnostica dell'account di archiviazione dall'account di archiviazione Azure, è consigliabile abilitare la registrazione diagnostica da tutti i servizi all'interno dell'account di archiviazione Azure: BLOB, coda, tabella e file. Si noti che potrebbe essere già presente un criterio attivo per questo tipo di risorsa.

Trasmetti i log diagnostici dal tuo account Archiviazione di Azure su larga scala:

Avvia la wizard Criteri di Azure Assignment e segui i passaggi. :

Nella scheda Informazioni di base fare clic sul pulsante con i tre puntini in Ambito per selezionare la sottoscrizione.
Nella scheda Parametri scegliere l'area di lavoro Microsoft Sentinel dall'elenco a discesa Dell'area di lavoro Log Analytics e lasciare contrassegnate come "True" tutte le categorie di log da inserire.
Per applicare i criteri alle risorse esistenti, contrassegnare la casella di controllo Crea un'attività di correzione nella scheda Correzione .

Trasmetti i log diagnostici dal tuo servizio Archiviazione di Azure Blob su scala:

Avvia la wizard Criteri di Azure Assignment e segui i passaggi. :

Nella scheda Informazioni di base fare clic sul pulsante con i tre puntini in Ambito per selezionare la sottoscrizione.
Nella scheda Parametri scegliere l'area di lavoro Microsoft Sentinel dall'elenco a discesa Dell'area di lavoro Log Analytics e lasciare contrassegnate come "True" tutte le categorie di log da inserire.
Per applicare i criteri alle risorse esistenti, contrassegnare la casella di controllo Crea un'attività di correzione nella scheda Correzione .

Trasmetti log diagnostici dal tuo servizio Archiviazione di Azure Queue su larga scala:

Avvia la wizard Criteri di Azure Assignment e segui i passaggi. :

Nella scheda Informazioni di base fare clic sul pulsante con i tre puntini in Ambito per selezionare la sottoscrizione.
Nella scheda Parametri scegliere l'area di lavoro Microsoft Sentinel dall'elenco a discesa Dell'area di lavoro Log Analytics e lasciare contrassegnate come "True" tutte le categorie di log da inserire.
Per applicare i criteri alle risorse esistenti, contrassegnare la casella di controllo Crea un'attività di correzione nella scheda Correzione .

Trasmetti i log diagnostici dal tuo servizio Archiviazione di Azure Table su larga scala:

Avvia la wizard Criteri di Azure Assignment e segui i passaggi. :

Nella scheda Informazioni di base fare clic sul pulsante con i tre puntini in Ambito per selezionare la sottoscrizione.
Nella scheda Parametri scegliere l'area di lavoro Microsoft Sentinel dall'elenco a discesa Dell'area di lavoro Log Analytics e lasciare contrassegnate come "True" tutte le categorie di log da inserire.
Per applicare i criteri alle risorse esistenti, contrassegnare la casella di controllo Crea un'attività di correzione nella scheda Correzione .

Stream log di diagnostica dal tuo servizio Archiviazione di Azure File su larga scala:

Avvia la wizard Criteri di Azure Assignment e segui i passaggi. :

Nella scheda Informazioni di base fare clic sul pulsante con i tre puntini in Ambito per selezionare la sottoscrizione.
Nella scheda Parametri scegliere l'area di lavoro Microsoft Sentinel dall'elenco a discesa Dell'area di lavoro Log Analytics e lasciare contrassegnate come "True" tutte le categorie di log da inserire.
Per applicare i criteri alle risorse esistenti, contrassegnare la casella di controllo Crea un'attività di correzione nella scheda Correzione .

Analisi di flusso di Azure

Supportato da:Microsoft Corporation

Analisi di flusso di Azure è un motore di analisi ed elaborazione di eventi in tempo reale progettato per analizzare ed elaborare quantità elevate di dati trasmessi simultaneamente da più sorgenti. Questo connettore consente di trasmettere i log di diagnostica dell'hub di analisi Azure Stream in Microsoft Sentinel, consentendo di monitorare continuamente l'attività.

Tabelle di Log Analytics:

Tabella	Supporto DCR	Inserimento solo lago
`AzureDiagnostics`	No	No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Politica: Ruolo del proprietario assegnato per ogni ambito di assegnazione di policy

Istruzioni per l'installazione:

Collega i tuoi log diagnosticali di Analisi di flusso di Azure a Sentinel:

Questo connettore usa Criteri di Azure per applicare una singola configurazione di log streaming di Analisi di flusso di Azure a una raccolta di istanze, definita come ambito. Seguire le istruzioni seguenti per creare e applicare un criterio a tutte le istanze correnti e future. Si noti che potrebbe essere già presente un criterio attivo per questo tipo di risorsa.

Trasmetti i log diagnostici dal tuo Analisi di flusso di Azure su larga scala:

Avvia la wizard Criteri di Azure Assignment e segui i passaggi. :

Nella scheda Informazioni di base fare clic sul pulsante con i tre puntini in Ambito per selezionare la sottoscrizione.
Nella scheda Parametri scegliere l'area di lavoro Microsoft Sentinel dall'elenco a discesa Dell'area di lavoro Log Analytics e lasciare contrassegnate come "True" tutte le categorie di log da inserire.
Per applicare i criteri alle risorse esistenti, contrassegnare la casella di controllo Crea un'attività di correzione nella scheda Correzione .

Azure Web application firewall (WAF)

Supportato da:Microsoft Corporation

Connettersi al Azure Web application firewall (WAF) per gateway applicazione, frontdoor o rete CDN. Questo WAF protegge le applicazioni da vulnerabilità Web comuni, ad esempio sql injection e scripting intersito, e consente di personalizzare le regole per ridurre i falsi positivi. Durante il processo di installazione vengono visualizzate le istruzioni per trasmettere i log di Microsoft Web Application Firewall in Microsoft Sentinel. Per altre informazioni, vedere la documentazione Microsoft Sentinel.

Tabelle di Log Analytics:

Tabella	Supporto DCR	Inserimento solo lago
`AzureDiagnostics`	No	No

Supporto delle regole di raccolta dati: Attualmente non supportato

BETTER Mobile Threat Defense (MTD)

Supportato da:Better Mobile Security Inc.

Better MTD Connector consente alle aziende di connettere le istanze mtd migliori con Microsoft Sentinel, visualizzare i dati nei dashboard, creare avvisi personalizzati, usarlo per attivare playbook ed espandere le funzionalità di ricerca delle minacce. Ciò offre agli utenti maggiori informazioni sui dispositivi mobili dell'organizzazione e la possibilità di analizzare rapidamente l'attuale comportamento di sicurezza dei dispositivi mobili, migliorando così le funzionalità secOps complessive.

Tabelle di Log Analytics:

Tabella	Supporto DCR	Inserimento solo lago
`BetterMTDIncidentLog_CL`	No	No
`BetterMTDDeviceLog_CL`	No	No
`BetterMTDNetflowLog_CL`	No	No
`BetterMTDAppLog_CL`	No	No

Supporto delle regole di raccolta dati: Attualmente non supportato

Istruzioni per l'installazione:

In Better MTD Console (Migliore console MTD) fare clic su Integrazione sulla barra laterale.
Selezionare la scheda Altri .
Fare clic sul pulsante AGGIUNGI ACCOUNT e selezionare Microsoft Sentinel dalle integrazioni disponibili.
Creare l'integrazione:

imposta ACCOUNT NAME su un nome descrittivo che identifica l'integrazione e poi clicca su Next:
Inserisci il tuo WORKSPACE ID e PRIMARY KEY dai campi sottostanti, clicca su Salva:
Clicca Fatto:

Configurazione dei criteri di minaccia (quali eventi imprevisti devono essere segnalati a Microsoft Sentinel):

In Better MTD Console (Migliore console MTD) fare clic su Criteri sulla barra laterale
Fare clic sul pulsante Modifica dei criteri in uso.
Per ogni tipo di Incidente che vuoi registrare, vai nel campo Invia a Integrazioni e seleziona Sentinel:

Per altre informazioni, vedere la documentazione.

ID dello spazio di lavoro:<variable value provided at install time>
Chiave primaria:<variable value provided at install time>

BeyondTrust PM Cloud

Supportato da:BeyondTrust

Il connettore dati BeyondTrust Privilege Management Cloud offre la possibilità di inserire i log di controllo delle attività e i log eventi client da BeyondTrust PM Cloud in Microsoft Sentinel.

Questo connettore usa Funzioni di Azure per eseguire il pull dei dati dall'API cloud BeyondTrust PM e inserirli nelle tabelle di Log Analytics personalizzate.

Tabelle di Log Analytics:

Tabella	Supporto DCR	Inserimento solo lago
`BeyondTrustPM_ActivityAudits_CL`	No	No
`BeyondTrustPM_ClientEvents_CL`	No	No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Microsoft. Permessi web/siti: Sono necessari permessi di lettura e scrittura per Funzioni di Azure per creare una Function App. Per altre informazioni, vedere Funzioni di Azure.
BeyondTrust PM Cloud API Credenziali: Sono richiesti l'ID client e il client secret di BeyondTrust PM Cloud OAuth. L'account API richiede le autorizzazioni seguenti: Controllo - Sola lettura e Creazione di report - Sola lettura

Istruzioni per l'installazione:

NOTA: Questo connettore usa Funzioni di Azure per connettersi all'API cloud di BeyondTrust PM per eseguire il pull dei log in Microsoft Sentinel. Ciò potrebbe comportare costi aggiuntivi per l'inserimento di dati. Per informazioni dettagliate, controllare la pagina dei prezzi Funzioni di Azure.

NOTA: Questo connettore usa il flusso di credenziali client OAuth 2.0 per eseguire l'autenticazione con l'API cloud BeyondTrust PM.

PASSO 1 - Ottenere le credenziali BeyondTrust PM Cloud API:

Creare un account API nell'istanza di BeyondTrust PM Cloud con le credenziali dell'API OAuth (ID client e segreto client). L'account API richiede le autorizzazioni seguenti:

Controllo - Sola lettura
Creazione di report - Sola lettura

PASSO 2 - Distribuire il connettore e la funzione Azure associata:

Usare questo metodo per la distribuzione automatizzata del connettore dati BeyondTrust PM Cloud usando un modello di Resource Manager.

Fare clic sul pulsante Distribuisci in Azure di seguito.

portal.azure.com
Selezionare la sottoscrizione preferita, il gruppo di risorse (deve contenere l'area di lavoro Log Analytics) e la posizione.
Immettere i parametri necessari:
- Nome dello spazio di lavoro: Nome del tuo spazio di lavoro Log Analytics (ad esempio, beyondtrust-pmcloud)
- URL della base cloud di BeyondTrust PM: Il tuo URL del tenant (ad esempio, https://yourcompany.beyondtrustcloud.com)
- ID cliente BeyondTrust: ID client OAuth dal Passo 1
- BeyondTrust Client Secret: OAuth Client Secret dal Passo 1
- Audit delle attività Intervallo di sondaggio: Con quale frequenza raccogliere audit di attività (predefinito: 15 minuti)
- Intervallo di polling degli eventi clienti: Con quale frequenza raccogliere eventi client (predefinito: 5 minuti)
- Livello di Log: Livello di registrazione per la risoluzione dei problemi (predefinito: Informazioni)
- Periodo temporale dei dati storici: Quanto indietro raccogliere dati al primo ciclo (predefinito: 1 giorno)
Esaminare le impostazioni avanzate (SKU piano di hosting, tipo di account di archiviazione) e modificare se necessario.
Contrassegnare la casella di controllo con l'etichetta Accetto i termini e le condizioni indicati sopra.
Fare clic su Acquista per distribuire.
La distribuzione crea tutte le risorse necessarie: app per le funzioni, account di archiviazione, endpoint di raccolta dati, regole di raccolta dati e tabelle log analytics personalizzate.
Il flusso dei dati dovrebbe iniziare entro 15-30 minuti dalla distribuzione.

Connettore DSPM BigID

Supportato da:BigID

Il connettore bigid DSPM dati offre la possibilità di inserire bigID DSPM case con oggetti interessati e informazioni sull'origine dati in Microsoft Sentinel.

Tabelle di Log Analytics:

Tabella	Supporto DCR	Inserimento solo lago
`BigIDDSPMCatalog_CL`	No	No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Accesso API BigID DSPM: È necessario accedere all'API BigID DSPM tramite un BigID Token.

Istruzioni per l'installazione:

Connettiti all'API BigID DSPM per iniziare a raccogliere i casi DSPM BigID e gli oggetti interessati in Microsoft Sentinel:

Specificare il nome di dominio BigID, ad esempio "customer.bigid.cloud" e il token BigID. Generare un token nella console BigID tramite Impostazioni -> Gestione accessi -> Utenti:> selezionare Utente e generare un token.

BigID FQDN: (BigID FQDN)
Gettone BigID: (Token BigID)
Abilitare/disabilitare la connessione

Bitglass (usando Funzioni di Azure)

Supportato da:Microsoft Corporation

Il connettore dati Bitglass consente di recuperare i log eventi di sicurezza dei servizi Bitglass e altri eventi in Microsoft Sentinel tramite l'API REST. Il connettore consente il recupero degli eventi per valutare i potenziali rischi per la sicurezza, monitorare la collaborazione e diagnosticare e risolvere i problemi di configurazione.

Tabelle di Log Analytics:

Tabella	Supporto DCR	Inserimento solo lago
`BitglassLogs_CL`	No	No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Microsoft. Permessi web/siti: Sono necessari permessi di lettura e scrittura per Funzioni di Azure per creare una Function App. Per altre informazioni, vedere Funzioni di Azure.
Credenziali/permessi API REST:BitglassToken e BitglassServiceURL sono necessari per effettuare chiamate API.

Istruzioni per l'installazione:

NOTA: Questo connettore usa Funzioni di Azure per connettersi all'API Archiviazione BLOB di Azure per eseguire il pull dei log in Microsoft Sentinel. Ciò potrebbe comportare costi aggiuntivi per l'inserimento dei dati e per l'archiviazione dei dati nei costi di Archiviazione BLOB di Azure. Per informazioni dettagliate, controllare la pagina dei prezzi Funzioni di Azure e Archiviazione BLOB di Azure pagina dei prezzi.

NOTA: Questo connettore dati dipende da un parser basato su una funzione Kusto per funzionare come previsto Bitglass distribuito con la soluzione Microsoft Sentinel.

PASSAGGIO 1 - Passaggi di configurazione per l'API recupero log Bitglass

Seguire le istruzioni per ottenere le credenziali.

Contattare il supporto di Bitglass e ottenere la ntation BitglassToken e BitglassServiceURL .
Salvare le credenziali per l'uso nel connettore dati.

PASSAGGIO 2- Scegliere UNO tra le due opzioni di distribuzione seguenti per distribuire il connettore e la funzione Azure associata

IMPORTANTE: Prima di distribuire il connettore dati Bitglass, fare in modo che l'ID dell'area di lavoro e la chiave primaria dell'area di lavoro siano copiati da quanto segue.

ID dello spazio di lavoro:<variable value provided at install time>
Chiave primaria:<variable value provided at install time>

Opzione 1 - Azure Resource Manager (ARM) Template:

Usare questo metodo per la distribuzione automatizzata del connettore dati Bitglass usando un modello di Resource Manager.

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms
Selezionare la sottoscrizione, il gruppo di risorse e la località preferiti.

NOTA: All'interno dello stesso gruppo di risorse, non è possibile combinare app Windows e Linux nella stessa area. Selezionare un gruppo di risorse esistente senza app di Windows o creare un nuovo gruppo di risorse. 3. Immettere BitglassToken, BitglassServiceURL e distribuire. 4. Contrassegnare la casella di controllo etichettata Accetto i termini e le condizioni indicati sopra. 5. Fare clic su Acquista per distribuire.

Opzione 2 - Distribuzione manuale di Funzioni di Azure:

Usare le istruzioni dettagliate seguenti per distribuire manualmente il connettore dati Bitglass con Funzioni di Azure (distribuzione tramite Visual Studio Code).

Distribuire un'app per le funzioni

NOTA: Sarà necessario preparare vs code per lo sviluppo di funzioni Azure.

Scaricare il file dell'app per le funzioni Azure. Estrarre l'archivio nel computer di sviluppo locale.
Avviare VS Code. Scegliere File nel menu principale e selezionare Apri cartella.
Selezionare la cartella di primo livello dai file estratti.
Scegliere l'icona Azure nella barra attività, quindi nell'area Azure: Funzioni scegliere il pulsante Distribuisci nell'app per le funzioni. Se non sei già connesso, scegli l'icona Azure nella barra Attività, poi nell'area Azure: Funzioni, scegli Accedi ad Azure: Se sei già connesso, passa al passo successivo.
Fornire le informazioni seguenti alle richieste:
1. Selezionare la cartella: Scegliere una cartella dall'area di lavoro o passare a una cartella contenente l'app per le funzioni.
2. Selezionare Sottoscrizione: Scegliere la sottoscrizione da usare.
3. Selezionare Crea nuova app per le funzioni in Azure (non scegliere l'opzione Avanzate)
4. Immettere un nome univoco globale per l'app per le funzioni: Digitare un nome valido in un percorso URL. Il nome digitato viene convalidato per assicurarsi che sia univoco in Funzioni di Azure. (ad esempio BitglassXXXXX).
5. Selezionare un runtime: Scegliere Python 3.11.
6. Selezionare una posizione per le nuove risorse. Per ottenere prestazioni migliori e costi inferiori, scegliere la stessa area in cui si trova Microsoft Sentinel.
Verrà avviata la distribuzione. Una notifica viene visualizzata dopo la creazione dell'app per le funzioni e l'applicazione del pacchetto di distribuzione.
Passare a portale di Azuree per la configurazione dell'app per le funzioni.
Configurare l'app per le funzioni
Nell'app per le funzioni selezionare nome dell'app per le funzioni e selezionare Configurazione.
Nella scheda Impostazioni applicazione selezionare Nuova impostazione applicazione.
Aggiungere ognuna delle impostazioni dell'applicazione seguenti singolarmente, con i rispettivi valori stringa (distinzione tra maiuscole e minuscole): BitglassToken BitglassServiceURL WorkspaceID WorkspaceID LogAnalyticsUri (facoltativo)

Usare logAnalyticsUri per eseguire l'override dell'endpoint DELL'API log analytics per il cloud dedicato. Ad esempio, per il cloud pubblico, lasciare il valore vuoto; per Azure ambito cloud GovUS, specificare il valore nel formato seguente: https://<CustomerId>.ods.opinsights.azure.us.

Dopo aver immesso tutte le impostazioni dell'applicazione, fare clic su Salva.

Log eventi bitwarden

Supportato da:Bitwarden Inc

Questo connettore fornisce informazioni dettagliate sull'attività dell'organizzazione Bitwarden, ad esempio l'attività dell'utente (accesso, password modificata, 2fa e così via), l'attività di crittografia (creata, aggiornata, eliminata, condivisa e così via), l'attività di raccolta, l'attività dell'organizzazione e altro ancora.

Tabelle di Log Analytics:

Tabella	Supporto DCR	Inserimento solo lago
`BitwardenEventLogs`	No	No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

ID cliente Bitwarden e segreto cliente: La tua chiave API si trova nella console di amministrazione dell'organizzazione Bitwarden. Per altre informazioni, vedere la documentazione di Bitwarden .

Istruzioni per l'installazione:

Collega Bitwarden Event Logs a Microsoft Sentinel:

La chiave API è disponibile nella console di amministrazione dell'organizzazione Bitwarden. Per altre informazioni, vedere la documentazione di Bitwarden . I server Bitwarden self-hosted potrebbero dover riconfigurare l'URL dell'installazione.

URL identità Bitwarden: (https://identity.bitwarden.com)
URL API di Bitwarden: (https://api.bitwarden.com)

blacklens.io

Supportato dal supporto di:blacklens.io

Il connettore dati blacklens.io consente di inserire gli avvisi di Gestione superficie di attacco da blacklens.io in Microsoft Sentinel usando un'app per la logica basata su webhook e l'API di inserimento log di monitoraggio Azure.

Tabelle di Log Analytics:

Tabella	Supporto DCR	Inserimento solo lago
`blacklens_CL`	No	No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Abbonamento Azure: I permessi del Contributore o del Proprietario sul gruppo di risorse sono necessari per distribuire l'infrastruttura di ingestione dati (Data Collection Endpoint, Data Collection Rule, tabella personalizzata e Logic App).
blacklens.io Account: È necessario un account blacklens.io con capacità di integrazione webhook.

Istruzioni per l'installazione:

Passo 1 - Implementare l'infrastruttura di ingestione dati:

Questo passaggio distribuisce le risorse Azure necessarie: un endpoint di raccolta dati, una regola di raccolta dati, una tabella log analytics personalizzata (blacklens_CL) e un'app per la logica attivata da webhook.

Fare clic sul pulsante Distribuisci in Azure di seguito.

portal.azure.com
Selezionare la sottoscrizione, il gruppo di risorse e il percorso in cui si trova l'area di lavoro Microsoft Sentinel.
Immettere il nome dell'area di lavoro Log Analytics.
Fare clic su Rivedi e crea e quindi su Crea.

Passo 2 - Copia l'URL del webhook:

Al termine della distribuzione, fare clic sulla scheda Output nella pagina di distribuzione.
Copiare il valore webhookUrl .

In alternativa, passare a Panoramica di App >la-blacklens-alert-log-ingestion> per la logica e copiare l'URL del flusso di lavoro.

Passo 3 - Configura blacklens.io:

Accedere al portale di blacklens.io.
Passare alle impostazioni di integrazione del webhook.
Incollare l'URL del webhook copiato nel passaggio 2.
Salvare la configurazione.
Collegare l'integrazione del webhook ad almeno un criterio di notifica in modo che gli avvisi vengano inviati al webhook.

Dopo alcuni minuti, un evento imprevisto di test dovrebbe essere visualizzato in Microsoft Sentinel.

Eventi Box (tramite Codeless Connector Framework)

Supportato da:Microsoft Corporation

Il connettore dati Box consente di inserire gli eventi aziendali di Box in Microsoft Sentinel usando l'API REST Box. Per altre informazioni, vedere la documentazione di Box .

Tabelle di Log Analytics:

Tabella	Supporto DCR	Inserimento solo lago
`BoxEventsV2_CL`	No	No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Credenziali API di Box: L'API di Box richiede un ID client e un segreto client di Box App per autenticarsi. Per altre informazioni, vedere Concessione delle credenziali client
ID Box Enterprise: È necessario un Box Enterprise ID per effettuare la connessione. Vedere la documentazione per trovare l'ID enterprise

Istruzioni per l'installazione:

NOTA: Questo connettore usa Codeless Connecor Platform (CCF) per connettersi all'API REST Box per eseguire il pull dei log in Microsoft Sentinel.

NOTA: Questo connettore dipende da un parser basato sulla funzione Kusto per funzionare come previsto BoxEvents che viene distribuito con la soluzione Microsoft Sentinel.

PASSAGGIO 1 - Creare un'applicazione personalizzata Box

Vedere la documentazione per configurare l'autenticazione delle credenziali client

PASSAGGIO 2 - Acquisire i valori di ID client e segreto client

Potrebbe essere necessario configurare 2FA per recuperare il segreto.

PASSAGGIO 3 - Grab Box Enterprise ID da Box Amministrazione Console

Vedere la documentazione per trovare l'ID enterprise

Connettersi a Box per iniziare a raccogliere i log eventi in Microsoft Sentinel

Specificare i valori necessari di seguito:

ID Intrapresa della Scatola: (123456)

BV-ClaudeCompliance (tramite Codeless Connector Framework)

Supportato da:BlueVoyant

BV-ClaudeCompliance (tramite Codeless Connector Framework)

Questo connettore assorbe i dati API di ClaudeCompliance in Microsoft Sentinel tramite RestApiPoller.

Raccolta di dati

URL base dell'API: https://api.anthropic.com/
Autenticazione: APIKey
Conteggio degli endpoint: 1

Tables

ComplianceActivities ->BV_ClaudeCompliance_ComplianceActivities_CL

Query di esempio

BV_ClaudeCompliance_ComplianceActivities_CL
| take 10

Tabelle di Log Analytics:

Tabella	Supporto DCR	Inserimento solo lago
`BV_ClaudeCompliance_ComplianceActivities_CL`	No	No

Supporto delle regole di raccolta dati: Attualmente non supportato

Istruzioni per l'installazione:

Collega BV-ClaudeCompliance (tramite Codeless Connector Framework) a Microsoft Sentinel

Per ottenere una chiave API di conformità Claude, segui le istruzioni disponibili qui: Accedi all'API di conformità.

La chiave API creata deve includere l'ambito read:compliance_activities per una corretta ingestione dei dati.

Incolla il tasto qui sotto e seleziona Connetti.

Chiave API: (Inserisci la chiave API)
Abilitare/disabilitare la connessione

Check Point CloudGuard CNAPP Connector per Microsoft Sentinel

Supportato da:Check Point

Il connettore dati CloudGuard consente l'inserimento di eventi di sicurezza dall'API CloudGuard in Microsoft Sentinel ™, usando il framework del connettore codeless di Microsoft Sentinel. Il connettore supporta trasformazioni del tempo di inserimento basate su DCR che analizzano i dati degli eventi di sicurezza in ingresso in colonne personalizzate. Questo processo di pre-analisi elimina la necessità di analisi in tempo di query, con conseguente miglioramento delle prestazioni per le query sui dati.

Tabelle di Log Analytics:

Tabella	Supporto DCR	Inserimento solo lago
`CloudGuard_SecurityEvents_CL`	No	No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Chiave API di CloudGuard: Consulta le istruzioni fornite qui per generare una chiave API.

Istruzioni per l'installazione:

Connetti gli eventi di sicurezza CloudGuard a Microsoft Sentinel:

Per abilitare il connettore CloudGuard per Microsoft Sentinel, immettere le informazioni necessarie di seguito e selezionare Connetti.

ID chiave API: (api_key)
API Key Secret: (api_secret)
URL endpoint CloudGuard: (ad es. https://api.dome9.com)
Filtro: (Incolla il filtro da CloudGuard)
Abilitare/disabilitare la connessione

Check Point Cyberint Alerts Connector (tramite Codeless Connector Framework)

Supportato da:Cyberint

Cyberint, un'azienda Check Point, offre un'integrazione Microsoft Sentinel per semplificare gli avvisi critici e portare l'intelligence sulle minacce arricchita dalla soluzione Infinity External Risk Management in Microsoft Sentinel. Ciò semplifica il processo di rilevamento dello stato dei ticket con gli aggiornamenti di sincronizzazione automatica nei sistemi. Usando questa nuova integrazione per Microsoft Sentinel, i clienti esistenti di Cyberint e Microsoft Sentinel possono eseguire facilmente il pull dei log in base ai risultati di Cyberint nella piattaforma Microsoft Sentinel.

Tabelle di Log Analytics:

Tabella	Supporto DCR	Inserimento solo lago
`argsentdc_CL`	No	No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Chiave API di Check Point Cyberint, URL Argos e Nome Cliente: Sono necessari la chiave API del connettore, l'URL di Argos e il nome del cliente

Istruzioni per l'installazione:

Collega gli avvisi Checkpoint Cyberint a Microsoft Sentinel:

Per abilitare il connettore, specificare le informazioni necessarie di seguito e fare clic su Connetti.

URL Argos - URL dell'API Cyberint per il tenant (ad esempio https://your_tenant.cyberint.io) Token API - Token API Cyberint - Nome cliente del token di accesso dell'API Cyberint - Nome società (client) associato agli ambienti dell'istanza Cyberint : elenco delimitato da virgole degli ambienti da recuperare. Se vuoto, tutti gli ambienti vengono recuperati.\n\nGravità : elenco delimitato da virgole di gravità da recuperare (basso, medio, alto, very_high). Se vuoto, vengono recuperate tutte le gravità.\n\nIntervallo di polling - Frequenza di polling per i nuovi avvisi, in minuti (impostazione predefinita: 5)\n\nIncludere allegati CSV come JSON - Indica se includere allegati CSV come contenuto JSON negli avvisi (impostazione predefinita: false)

URL di Argos: (https://your_tenant.cyberint.io)
API Token: (Cyberint API access token)
Nome cliente: (Nome dell'azienda (cliente) associato alla tua istanza Cyberint)
Ambienti: (Elenco separato da virgola (ad esempio Produzione, Scena))
Gravità: (Elenco separato da virgole (ad esempio basso, medio, alto, very_high))
Intervallo di sondaggio (Minuti): (Frequenza di sondaggio in minuti)
Includere gli allegati CSV come JSON: (vero o falso)
Abilitare/disabilitare la connessione

Connettore IOC Check Point Cyberint

Supportato da:Cyberint

Cyberint, una società Check Point, offre un'integrazione Microsoft Sentinel per inserire gli indicatori di compromissione (IOC) dalla soluzione Infinity External Risk Management in Microsoft Sentinel. Questo connettore esegue automaticamente il pull del feed IOC giornaliero, inclusi indirizzi IP, domini, URL e hash di file dannosi, arricchiti con contesto di minaccia, ad esempio gravità, attendibilità e attività rilevata.

Tabelle di Log Analytics:

Tabella	Supporto DCR	Inserimento solo lago
`iocsent_CL`	No	No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Chiave API di Check Point Cyberint, URL Argos e Nome Cliente: Sono necessari la chiave API del connettore, l'URL di Argos e il nome del cliente

Istruzioni per l'installazione:

Collega il feed IOC di Check Point Cyberint a Microsoft Sentinel:

Per abilitare il connettore, specificare le informazioni necessarie di seguito e fare clic su Connetti.

URL Argos - URL dell'API Cyberint per il tenant (ad esempio https://your_tenant.cyberint.io) Token API - Nome cliente del token di accesso dell'API Cyberint - Nome società (client) associato all'istanza cyberint

URL di Argos: (https://your-company.cyberint.io)
Token API: (Token API)
Nome cliente: (Nome dell'azienda (cliente) associato alla tua istanza Cyberint)
Abilitare/disabilitare la connessione

Sicurezza delle email Check Point (tramite Codeless Connector Framework)

Supportato da:Microsoft Corporation

Il connettore dati Check Point Email Security (Harmony Email Collaboration) offre la capacità di integrare eventi di sicurezza e log di audit dalla piattaforma Email Security di Check Point in Microsoft Sentinel tramite l'API REST. Il connettore offre visibilità su minacce email avanzate, inclusi zero-day, phishing, appropriazione di account, perdite di dati e shadow IT discovery. Inserisce eventi di sicurezza, eccezioni anti-phishing, eccezioni anti-spam e log di audit in Microsoft Sentinel, aiutando le organizzazioni a mantenere la visibilità della sicurezza e della conformità.

Tabelle di Log Analytics:

Tabella	Supporto DCR	Inserimento solo lago
`CheckPointEmailSecurityEvents_CL`	No	No
`CheckPointEmailSecAntiPhishingExceptions_CL`	No	No
`CheckPointEmailSecuritySpamExceptions_CL`	No	No
`CheckPointEmailSecurityAuditLogs_CL`	No	No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Credenziali Check Point Email API Sicurezza: Sono necessarie due chiavi API separate del Portale Infinity di Check Point. Una chiave API Harmony Email & Collaboration (Client ID + , Client Secret) viene utilizzata per eventi di sicurezza ed eccezioni. Per i log di audit è richiesta una chiave API separata Logs as a Service (Audit Client ID + Audit Client Secret). Genera entrambi dal tuo Portale Infinity di Check Point sotto le Chiavi API delle Impostazioni > Globali.

Istruzioni per l'installazione:

Collega Check Point Email Security a Microsoft Sentinel

Per raccogliere dati da Check Point Email Security, è necessario fornire le seguenti credenziali:

1. API Base URL - L'URL base per il tuo tenant Check Point Email Security (specifico per regione).

2. ID Client - ID client della chiave API Harmony Email & Collaboration (utilizzata per eventi di sicurezza ed eccezioni).

3. Client Secret - Segreto (chiave di accesso) della chiave API Harmony Email & Collaboration.

4. ID Audit Client - ID client di un Log separato come chiave API di servizio (utilizzata per i log di audit).

5. Audit Client Secret - Chiave segreta (chiave di accesso) dei Logs come Servizio API.

Per ottenere queste credenziali, accedi al tuo Portale Check Point Infinity e accedi alla sezione Chiavi API sotto Impostazioni Globali. Crea una chiave API con il servizio Harmony Email & Collaboration per l'ID Client/Segreto, e una seconda chiave API con il servizio Logs as a Service per l'ID/Segreto del Client di Audit.

Supporto multi-tenant: Questo connettore supporta l'acquisizione di dati da più tenant di Check Point Email Security in parallelo. Clicca su Aggiungi Connessione una volta per tenant, fornendo l'URL base dell'API e le credenziali di quel tenant - ogni connessione viene tracciata e gestita indipendentemente nella griglia sottostante.

Griglia connettori dati (configurare nel portale)

Cisco ASA/FTD tramite AMA

Supportato da:Microsoft Corporation

Il connettore firewall Cisco ASA consente di connettere facilmente i log di Cisco ASA con Microsoft Sentinel, visualizzare i dashboard, creare avvisi personalizzati e migliorare l'analisi. In questo modo è possibile ottenere maggiori informazioni sulla rete dell'organizzazione e migliorare le funzionalità delle operazioni di sicurezza.

Tabelle di Log Analytics:

Tabella	Supporto DCR	Inserimento solo lago
`CommonSecurityLog`	Sì	Sì

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

Prerequisiti:

Per raccogliere dati da macchine virtuali non Azure, devono avere Azure Arc installato e abilitato. Altre informazioni

Istruzioni per l'installazione:

Abilita la regola di raccolta dati:

I log eventi di Cisco ASA/FTD vengono raccolti solo dagli agenti Linux.

Installare l'agente: <variable value provided at install time>

Eseguire il comando seguente per installare e applicare l'agente di raccolta Cisco ASA/FTD:

Valore: <variable value provided at install time>

Cisco Cloud Security (usando Funzioni di Azure)

Supportato da:Microsoft Corporation

La soluzione Cisco Cloud Security per Microsoft Sentinel consente di inserire i log di Cisco Secure Access e Cisco Umbrella archiviati in Amazon S3 in Microsoft Sentinel usando l'API REST di Amazon S3. Per altre informazioni, vedere la documentazione sulla gestione dei log di Cisco Cloud Security .

Tabelle di Log Analytics:

Tabella	Supporto DCR	Inserimento solo lago
`Cisco_Umbrella_dns_CL`	No	No
`Cisco_Umbrella_proxy_CL`	No	No
`Cisco_Umbrella_ip_CL`	No	No
`Cisco_Umbrella_cloudfirewall_CL`	No	No
`Cisco_Umbrella_firewall_CL`	No	No
`Cisco_Umbrella_dlp_CL`	No	No
`Cisco_Umbrella_ravpnlogs_CL`	No	No
`Cisco_Umbrella_audit_CL`	No	No
`Cisco_Umbrella_ztna_CL`	No	No
`Cisco_Umbrella_intrusion_CL`	No	No
`Cisco_Umbrella_ztaflow_CL`	No	No
`Cisco_Umbrella_fileevent_CL`	No	No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Microsoft. Permessi web/siti: Sono necessari permessi di lettura e scrittura per Funzioni di Azure per creare una Function App. Per altre informazioni, vedere Funzioni di Azure.
Credenziali/permessi API REST di Amazon S3:ID chiave di accesso AWS, chiave di accesso segreta AWS, nome bucket AWS S3 sono necessari per l'API REST di Amazon S3.

Istruzioni per l'installazione:

NOTA: Questo connettore usa Funzioni di Azure per connettersi all'API REST di Amazon S3 per eseguire il pull dei log in Microsoft Sentinel. Ciò potrebbe comportare costi aggiuntivi per l'inserimento di dati. Per informazioni dettagliate, controllare la pagina dei prezzi Funzioni di Azure.

NOTA: Questo connettore è stato aggiornato per supportare lo schema del log di Cisco Cloud Security versione 14.

NOTA: questo connettore usa un parser basato su una funzione Kusto per normalizzare i campi. Seguire questa procedura per creare l'alias della funzione Kusto Cisco_Umbrella.

PASSAGGIO 1 - Configurazione della raccolta di log di Cisco Cloud Security

Vedere la documentazione e seguire le istruzioni per configurare la registrazione e ottenere le credenziali.

PASSAGGIO 2: scegliere UNO tra le due opzioni di distribuzione seguenti per distribuire il connettore e il Funzioni di Azure associato

IMPORTANTE: Prima di distribuire il connettore dati Cisco Cloud Security, avere l'ID area di lavoro e la chiave primaria dell'area di lavoro (che possono essere copiati dal codice seguente), nonché le credenziali di autorizzazione dell'API REST amazon S3, immediatamente disponibili.

ID dello spazio di lavoro:<variable value provided at install time>

Chiave primaria:<variable value provided at install time>

Opzione 1 - Azure Resource Manager (ARM) Template:

Usare questo metodo per la distribuzione automatizzata del connettore dati Cisco Cloud Security usando un modello arm.

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms aka.ms

Selezionare la sottoscrizione, il gruppo di risorse e la località preferiti.

Immettere l'ID area di lavoro, la chiave dell'area di lavoro, S3Bucket, AWSAccessKeyId, AWSSecretAccessKey Nota: per S3Bucket usare il valore a cui Cisco fa riferimento come percorso dati del bucket S3 e aggiungere un/(barra in avanti) alla fine del valore

Contrassegnare la casella di controllo con l'etichetta Accetto i termini e le condizioni indicati sopra.

Fare clic su Acquista per distribuire.

Opzione 2 - Distribuzione manuale di Funzioni di Azure:

Usare le istruzioni dettagliate seguenti per distribuire manualmente il connettore dati Cisco Cloud Security con Funzioni di Azure (distribuzione tramite Visual Studio Code).

Passo 1 - Distribuire un'app di funzione:

NOTA: Sarà necessario preparare Visual Studio Code per lo sviluppo di Funzioni di Azure.

Scaricare il file dell'app Funzioni di Azure. Estrarre l'archivio nel computer di sviluppo locale.

Seguire le istruzioni di distribuzione manuale dell'app per le funzioni per distribuire l'app Funzioni di Azure usando VSCode.

Dopo aver completato la distribuzione dell'app per le funzioni, seguire i passaggi successivi per configurarla.

Passo 2 - Configura l'app Funzione:

Nell'app per le funzioni selezionare nome dell'app per le funzioni e selezionare Configurazione.

Nella scheda Impostazioni applicazione selezionare + Nuova impostazione applicazione.

Aggiungere ognuna delle impostazioni dell'applicazione seguenti singolarmente, con i rispettivi valori stringa (con distinzione tra maiuscole e minuscole): WorkspaceID WorkspaceKey S3Bucket AWSAccessKeyId AWSSecretAccessKey logAnalyticsUri (facoltativo)

Usare logAnalyticsUri per eseguire l'override dell'endpoint DELL'API log analytics per il cloud dedicato. Ad esempio, per il cloud pubblico, lasciare il valore vuoto; per Azure ambito cloud GovUS, specificare il valore nel formato seguente: https://<CustomerId>.ods.opinsights.azure.us.

Dopo aver immesso tutte le impostazioni dell'applicazione, fare clic su Salva.

Cisco Cloud Security (usando un piano Elastic Premium) (usando Funzioni di Azure)

Supportato da:Microsoft Corporation

Il connettore dati Cisco Umbrella offre la possibilità di inserire gli eventi Cisco Umbrella archiviati in Amazon S3 in Microsoft Sentinel usando l'API REST di Amazon S3. Per altre informazioni, vedere la documentazione sulla gestione dei log di Cisco Umbrella .

NOTA: Questo connettore dati usa il piano Premium Funzioni di Azure per abilitare le funzionalità di inserimento sicuro e comporta costi aggiuntivi. Altri dettagli sui prezzi sono disponibili qui.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

Cisco_Umbrella_dns_CL No No

Cisco_Umbrella_proxy_CL No No

Cisco_Umbrella_ip_CL No No

Cisco_Umbrella_cloudfirewall_CL No No

Cisco_Umbrella_firewall_CL No No

Cisco_Umbrella_dlp_CL No No

Cisco_Umbrella_ravpnlogs_CL No No

Cisco_Umbrella_audit_CL No No

Cisco_Umbrella_ztna_CL No No

Cisco_Umbrella_intrusion_CL No No

Cisco_Umbrella_ztaflow_CL No No

Cisco_Umbrella_fileevent_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Microsoft. Permessi web/siti: Sono necessari permessi di lettura e scrittura per Funzioni di Azure per creare una Function App. Per altre informazioni, vedere Funzioni di Azure.

Credenziali/permessi API REST di Amazon S3:ID chiave di accesso AWS, chiave di accesso segreta AWS, nome bucket AWS S3 sono necessari per l'API REST di Amazon S3.

Permessi Rete virtuale (per accesso privato): Per l'accesso agli account di archiviazione privata, sono necessari permessi Network Contributor su Rete virtuale e subnet. La subnet deve essere delegata a Microsoft.Web/serverFarms per l'integrazione della rete virtuale dell'app per le funzioni.

Istruzioni per l'installazione:

NOTA: Questo connettore usa Funzioni di Azure per connettersi all'API REST di Amazon S3 per eseguire il pull dei log in Microsoft Sentinel. Ciò potrebbe comportare costi aggiuntivi per l'inserimento di dati. Per informazioni dettagliate, controllare la pagina dei prezzi Funzioni di Azure.

NOTA: Questo connettore è stato aggiornato per supportare lo schema di log cisco umbrella versione 14.

(Passaggio facoltativo) Archiviare in modo sicuro le chiavi o i token di autorizzazione api e dell'area di lavoro in Azure Key Vault. Azure Key Vault fornisce un meccanismo sicuro per archiviare e recuperare i valori delle chiavi. Seguire queste istruzioni per usare Azure Key Vault con un'app Funzioni di Azure.

NOTA: questo connettore usa un parser basato su una funzione Kusto per normalizzare i campi. Seguire questa procedura per creare l'alias della funzione Kusto Cisco_Umbrella.

PASSAGGIO 1 - Prerequisiti di rete per l'accesso privato

IMPORTANTE: Quando si esegue la distribuzione con l'accesso all'account di archiviazione privato, verificare che siano soddisfatti i prerequisiti di rete seguenti:

Rete virtuale: Deve essere disponibile una Rete virtuale (VNet) esistente

Subnet: una subnet dedicata all'interno della rete virtuale deve essere delegata a Microsoft.Web/serverFarms per l'integrazione della rete virtuale dell'app per le funzioni

Delega della sottorete: Configura la delega della subnet usando portale di Azure, template ARM o interfaccia della riga di comando di Azure:

portale di Azure: Vai a Reti virtuali -> Seleziona la tua VNet -> Subnet -> Seleziona la subnet -> Delega la subnet al servizio -> Scegli Microsoft. Web/serverFarms:

Azure'interfaccia della riga di comando:az network vnet subnet update --resource-group <rg-name> --vnet-name <vnet-name> --name <subnet-name> --delegations Microsoft.Web/serverFarms

Endpoint privati: Il deployment creerà endpoint privati per i servizi di account di archiviazione (blob, file, coda, tabella) all'interno della stessa subnet

PASSAGGIO 2 - Configurazione della raccolta di log Cisco Umbrella

Vedere la documentazione e seguire le istruzioni per configurare la registrazione e ottenere le credenziali.

PASSAGGIO 3: scegliere UNO tra le due opzioni di distribuzione seguenti per distribuire il connettore e il Funzioni di Azure associato

IMPORTANTE: Prima di distribuire il connettore dati Cisco Umbrella, avere l'ID dell'area di lavoro e la chiave primaria dell'area di lavoro (possono essere copiati da quanto segue), nonché le credenziali di autorizzazione dell'API REST amazon S3, immediatamente disponibili.

ID dello spazio di lavoro:<variable value provided at install time>

Chiave primaria:<variable value provided at install time>

Opzione 1 - Azure Resource Manager (ARM) Template:

Usare questo metodo per la distribuzione automatizzata del connettore dati Cisco Umbrella usando un modello ARM.

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms aka.ms

Selezionare la sottoscrizione, il gruppo di risorse e la località preferiti.

Inserisci l'ID dello Spazio Lavoro, la Chiave dello Spazio, S3Bucket, AWSAccessKeyId, AWSSecretAccessKey:

Per la distribuzione dell'accesso privato: immettere anche existingVnetName, existingVnetResourceGroupName e existingSubnetName (assicurarsi che la subnet sia delegata a Microsoft.Web/serverFarms) Nota: Per S3Bucket usare il valore a cui Cisco fa riferimento come percorso dati del bucket S3 e aggiungere una barra / alla fine del valore

Contrassegnare la casella di controllo con l'etichetta Accetto i termini e le condizioni indicati sopra.

Fare clic su Acquista per distribuire.

Opzione 2 - Distribuzione manuale di Funzioni di Azure:

Usare le istruzioni dettagliate seguenti per distribuire manualmente il connettore dati Cisco Umbrella con Funzioni di Azure (distribuzione tramite Visual Studio Code).

Passo 1 - Distribuire un'app di funzione:

NOTA: Sarà necessario preparare Visual Studio Code per lo sviluppo di Funzioni di Azure.

Scaricare il file dell'app Funzioni di Azure. Estrarre l'archivio nel computer di sviluppo locale.

Seguire le istruzioni di distribuzione manuale dell'app per le funzioni per distribuire l'app Funzioni di Azure usando VSCode.

Dopo aver completato la distribuzione dell'app per le funzioni, seguire i passaggi successivi per configurarla.

Passo 2 - Configura l'app Funzione:

Nell'app per le funzioni selezionare nome dell'app per le funzioni e selezionare Configurazione.

Nella scheda Impostazioni applicazione selezionare + Nuova impostazione applicazione.

Aggiungere ognuna delle impostazioni dell'applicazione seguenti singolarmente, con i rispettivi valori stringa (con distinzione tra maiuscole e minuscole): WorkspaceID WorkspaceKey S3Bucket AWSAccessKeyId AWSSecretAccessKey logAnalyticsUri (facoltativo)

Usare logAnalyticsUri per eseguire l'override dell'endpoint DELL'API log analytics per il cloud dedicato. Ad esempio, per il cloud pubblico, lasciare il valore vuoto; per Azure ambito cloud GovUS, specificare il valore nel formato seguente: https://<CustomerId>.ods.opinsights.azure.us.

Dopo aver immesso tutte le impostazioni dell'applicazione, fare clic su Salva.

Cisco Duo Security (usando Funzioni di Azure)

Supportato da:Cisco Systems

Il connettore dati Cisco Duo Security offre la possibilità di inserire i log di autenticazione, i log di amministratore, i log di telefonia, i log di registrazione offline e gli eventi di Monitoraggio attendibilità in Microsoft Sentinel usando l'API cisco Duo Amministrazione. Per altre informazioni, vedere la documentazione dell'API .

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

CiscoDuo_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Microsoft. Permessi web/siti: Sono necessari permessi di lettura e scrittura per Funzioni di Azure per creare una Function App. Per altre informazioni, vedere Funzioni di Azure.

Credenziali Cisco Duo API: Credenziali API Cisco Duo con permesso È necessario concedere il log di lettura per l'API Cisco Duo. Per altre informazioni sulla creazione delle credenziali dell'API Cisco Duo, vedere la documentazione .

Istruzioni per l'installazione:

NOTA: Questo connettore usa Funzioni di Azure per connettersi all'API Cisco Duo per eseguire il pull dei log in Microsoft Sentinel. Ciò potrebbe comportare costi aggiuntivi per l'inserimento di dati. Per informazioni dettagliate, controllare la pagina dei prezzi Funzioni di Azure.

(Passaggio facoltativo) Archiviare in modo sicuro le chiavi o i token di autorizzazione api e dell'area di lavoro in Azure Key Vault. Azure Key Vault fornisce un meccanismo sicuro per archiviare e recuperare i valori delle chiavi. Seguire queste istruzioni per usare Azure Key Vault con un'app per le funzioni Azure.

NOTA: Questo connettore dati dipende da un parser basato su una funzione Kusto per funzionare come previsto CiscoDuo distribuito con la soluzione Microsoft Sentinel.

PASSAGGIO 1 - Ottenere le credenziali dell'API Cisco Duo Amministrazione

Seguire le istruzioni per ottenere la chiave di integrazione, la chiave privata e il nome host dell'API. Usare Concedere l'autorizzazione di lettura del log nel 4° passaggio delle istruzioni.

PASSAGGIO 2- Scegliere UNO tra le due opzioni di distribuzione seguenti per distribuire il connettore e la funzione Azure associata

IMPORTANTE: Prima di distribuire il connettore dati, fare in modo che l'ID dell'area di lavoro e la chiave primaria dell'area di lavoro (possono essere copiati da quanto segue), nonché Archiviazione BLOB di Azure stringa di connessione e il nome del contenitore, immediatamente disponibili.

ID dello spazio di lavoro:<variable value provided at install time>

Chiave primaria:<variable value provided at install time>

Opzione 1 - Azure Resource Manager (ARM) Template:

Usare questo metodo per la distribuzione automatizzata del connettore dati usando un modello di Resource Manager.

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms aka.ms

Selezionare la sottoscrizione, il gruppo di risorse e la località preferiti.

Entra in scena la chiave di integrazione Cisco Duo, la chiave segreta Cisco Duo, il nome host API Cisco Duo, i tipi di log Cisco Duo, l'ID dello spazio di lavoro Microsoft Sentinel, la chiave condivisa Microsoft Sentinel:

Contrassegnare la casella di controllo con l'etichetta Accetto i termini e le condizioni indicati sopra.

Fare clic su Acquista per distribuire.

Opzione 2 - Distribuzione manuale di Funzioni di Azure:

Usare le istruzioni dettagliate seguenti per distribuire manualmente il connettore dati con Funzioni di Azure (distribuzione tramite Visual Studio Code).

Passo 1 - Distribuire un'app di funzione:

Scaricare il file dell'app per le funzioni Azure. Estrarre l'archivio nel computer di sviluppo locale.

Seguire le istruzioni di distribuzione manuale dell'app per le funzioni per distribuire l'app Funzioni di Azure usando VSCode.

Dopo aver completato la distribuzione dell'app per le funzioni, seguire i passaggi successivi per configurarla.

Passo 2 - Configura l'app Funzione:

Nell'app per le funzioni selezionare nome dell'app per le funzioni e selezionare Configurazione.

Nella scheda Impostazioni applicazione selezionare + Nuova impostazione applicazione.

Aggiungere ognuna delle impostazioni dell'applicazione seguenti singolarmente, con i rispettivi valori stringa (con distinzione tra maiuscole e minuscole): CISCO_DUO_INTEGRATION_KEY CISCO_DUO_SECRET_KEY CISCO_DUO_API_HOSTNAME CISCO_DUO_LOG_TYPES WORKSPACE_ID SHARED_KEY logAnalyticsUri (facoltativo)

Usare logAnalyticsUri per eseguire l'override dell'endpoint DELL'API log analytics per il cloud dedicato. Ad esempio, per il cloud pubblico, lasciare il valore vuoto; per Azure ambito cloud GovUS, specificare il valore nel formato seguente: https://WORKSPACE_ID.ods.opinsights.azure.us.

Dopo aver immesso tutte le impostazioni dell'applicazione, fare clic su Salva.

Difesa contro le Minacce Email di Cisco (ETD)

Supportato da:N/D

Il connettore dati Cisco Email Threat Defense (ETD) offre la capacità di assorbire eventi di messaggio da Cisco ETD in Microsoft Sentinel utilizzando l'API di Esportazione Log.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

CiscoETDv2_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Credenziali API Cisco ETD: Le credenziali API Cisco ETD sono obbligatorie. Consulta la documentazione di autenticazione API Cisco ETD per maggiori informazioni.

Istruzioni per l'installazione:

Connettiti all'API Cisco ETD

Fornisci il tuo endpoint API Cisco ETD, l'ID Client, il Client Secret e la Chiave API. Queste credenziali possono essere ottenute dall'amministratore Cisco ETD o tramite la console di gestione Cisco ETD.

URL base dell'endpoint: (https://api.us.etd.cisco.com)

ID client: (inserisci OAuth2 ID client)

Client Secret: (Entra OAuth2 Client Secret)

Chiave API: (Inserisci la chiave API Cisco ETD)

Abilitare/disabilitare la connessione

Cisco ETD

Supportato da:N/D

Il connettore recupera i dati dall'API ETD per l'analisi delle minacce

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

CiscoETD_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Microsoft. Permessi web/siti: Sono necessari permessi di lettura e scrittura per Funzioni di Azure per creare una Function App. Per altre informazioni, vedere Funzioni di Azure.

API di difesa contro le minacce email, chiave API, ID client e segreto: Assicurati di avere la chiave API, l'ID Client e la chiave Segreta.

Istruzioni per l'installazione:

NOTA: Questo connettore usa Funzioni di Azure per connettersi all'API ETD per eseguire il pull dei log in Microsoft Sentinel.

Seguire la procedura di distribuzione per distribuire il connettore e la funzione Azure associata

IMPORTANTE: Prima di distribuire il connettore dati ETD, fare in modo che l'ID area di lavoro e la chiave primaria dell'area di lavoro siano copiati da quanto segue.

ID dello spazio di lavoro:<Valore variabile fornito al momento dell'installazione>

Chiave primaria:<Valore variabile fornito al momento dell'installazione>

Modello Azure Resource Manager (ARM)

Usare questo metodo per la distribuzione automatizzata del connettore dati ETD Cisco usando un modello arm.

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms

Selezionare la sottoscrizione, il gruppo di risorse e l'area preferiti.

Immettere WorkspaceID, SharedKey, ClientID, ClientSecret, ApiKey, Verdicts, ETD Region

Fare clic su Crea per distribuire.

Cisco Meraki Events (usando REST API) (tramite Codeless Connector Framework)

Supportato da:Microsoft Corporation

Il connettore Cisco Meraki consente di connettere facilmente gli eventi dell'organizzazione Cisco Meraki (eventi di sicurezza, modifiche di configurazione e richieste API) a Microsoft Sentinel. Il connettore dati usa l'API REST Cisco Meraki per recuperare i log e supporta trasformazioni del tempo di inserimento basate su DCR che analizzano i dati ricevuti e inserino in ASIM e tabelle personalizzate nell'area di lavoro Log Analytics. Questo connettore di dati trae vantaggio da funzionalità come il filtro dei tempi di inserimento basato su DCR e la normalizzazione dei dati.

Oltre agli eventi normalizzati ASIM, questo connettore inserisce anche l'inventario del Dashboard Cisco Meraki e i dati di sicurezza wireless in tabelle personalizzate - Organizzazioni, Client di Rete, Reti Organizzative e eventi Air Marshal wireless (punto di accesso rogue).

Schema ASIM supportato:

Sessione di rete

Sessione Web

Audit, evento

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

CiscoMerakiOrganizations_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Istruzioni per l'installazione:

Fasi di configurazione per l'API Cisco Meraki Dashboard

Segui le istruzioni qui sotto per ottenere le credenziali della tua API Cisco Meraki.

Accedi a Meraki Dashboard, naviga su Cisco Meraki Dashboard e accedi con il tuo account amministratore.

Genera chiave API

Naviga a API dell'organizzazione > e Webhook dal menu di navigazione a sinistra

Seleziona le chiavi API e accedi dalle schede più alte

Clicca su Genera nuova chiave API o usa una chiave esistente

Copia la chiave API e conservala in modo sicuro (verrà mostrata solo una volta)

Recupera l'ID dell'organizzazione

Quando sei connesso alla Dashboard di Meraki, guarda l'URL nel tuo browser

L'ID organizzazione appare nel percorso URL della dashboard come dashboard.meraki.com/o/<organizationId>/...

Copia l'ID dell'organizzazione per l'uso qui sotto

Requisiti di accesso all'API

La chiave API deve avere accesso in lettura a:

Impostazioni dell'organizzazione

Impostazioni di rete

Impostazioni wireless

Limite di tariffa: 10 richieste al secondo per organizzazione

Periodo massimo di revisione: 31 giorni

Connetti le organizzazioni Cisco Meraki a Microsoft Sentinel

Questo connettore supporta l'ingestione multi-inquilino. Aggiungere una connessione per ogni organizzazione Cisco Meraki; ogni connessione assorbe eventi per quell'organizzazione in parallelo. Usa la griglia qui sotto per rivedere le connessioni esistenti o aggiungerne una nuova.

Griglia connettori dati (configurare nel portale)

Endpoint sicuro Cisco (tramite Codeless Connector Framework)

Supportato da:Microsoft Corporation

Il connettore dati Cisco Secure Endpoint (in precedenza AMP per endpoint) offre la possibilità di inserire i log di controllo e gli eventi di Cisco Secure Endpoint in Microsoft Sentinel.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

CiscoSecureEndpointAuditLogsV2_CL No No

CiscoSecureEndpointEventsV2_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Credenziali/Regioni Cisco Secure Endpoint API: Per creare le credenziali API e comprendere le regioni, segui il link al documento fornito qui. Fare clic qui.

Istruzioni per l'installazione:

Collega Cisco Secure Endpoint a Microsoft Sentinel:

Per inserire i dati da Cisco Secure Endpoint a Microsoft Sentinel, è necessario fare clic sul pulsante Aggiungi account di seguito, quindi si ottiene un popup per compilare i dettagli come Email, Organizzazione, ID client, Chiave API e Area, fornire le informazioni necessarie e fare clic su Connetti. È possibile visualizzare le organizzazioni o i messaggi di posta elettronica connessi nella griglia seguente.

Griglia connettori dati (configurare nel portale)

Rete WAN definita dal software Cisco

Supportato da:Cisco Systems

Il connettore dati Cisco Software Defined WAN (SD-WAN) offre la possibilità di inserire i dati Syslog e Netflow di Cisco SD-WAN in Microsoft Sentinel.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

Syslog Sì Sì

CiscoSDWANNetflow_CL No No

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

Istruzioni per l'installazione:

Per inserire i dati Syslog e Netflow di Cisco SD-WAN in Microsoft Sentinel seguire la procedura seguente.

1. Passaggi per assorbire i dati Syslog su Microsoft Sentinel:

Azure'agente di monitoraggio verrà usato per raccogliere i dati syslog in Microsoft Sentinel. Per questo prima di tutto è necessario creare un server azure arc per la macchina virtuale da cui verranno inviati i dati syslog.

1.1 Passaggi per aggiungere Azure Arc Server:

In portale di Azure passare a Server - Azure Arc e fare clic su Aggiungi.

Selezionare Genera script nella sezione Aggiungi un singolo server. Un utente può anche generare script per più server.

Esaminare le informazioni nella pagina Prerequisiti e quindi selezionare Avanti.

Nella pagina Dettagli risorsa specificare la sottoscrizione e il gruppo di risorse del Microsoft Sentinel, area, sistema operativo e metodo di connettività. Quindi scegliere Avanti.

Nella pagina Tag esaminare i tag di posizione fisica predefiniti suggeriti e immettere un valore oppure specificare uno o più tag personalizzati per supportare gli standard. Quindi selezionare Avanti

Selezionare Scarica per salvare il file di script.

Dopo aver generato lo script, il passaggio successivo consiste nell'eseguirlo nel server di cui si vuole eseguire l'onboarding in Azure Arc.

Se è stata Azure macchina virtuale, seguire i passaggi indicati nel collegamento prima di eseguire lo script.

Eseguire lo script con il comando seguente: ./<ScriptName>.sh

Dopo aver installato l'agente e configurato per la connessione a Azure server abilitati per Arc, passare alla portale di Azure per verificare che il server sia connesso correttamente. Visualizzare il computer nella portale di Azure. Collegamento di riferimento:/azure/azure-arc/servers/learn/quick-enable-hybrid-vm

1.2 Passaggi per creare la regola di raccolta dati (DCR):

In portale di Azuree cercare Monitoraggio. In Impostazioni selezionare Regole raccolta dati e selezionare Crea.

Nel pannello Informazioni di base immettere nome regola, sottoscrizione, gruppo di risorse, area e tipo di piattaforma.

Selezionare Avanti: Risorse.

Selezionare Aggiungi risorse. Usare i filtri per trovare la macchina virtuale che si userà per raccogliere i log.

Selezionare la macchina virtuale. Selezionare Applica.

Selezionare Avanti: Raccogliere e recapitare.

Selezionare Aggiungi origine dati. In Tipo di origine dati selezionare Linux syslog.

Per Livello di log minimo lasciare i valori predefiniti LOG_DEBUG.

Selezionare Avanti: Destinazione.

Selezionare Aggiungi destinazione e aggiungere tipo di destinazione, sottoscrizione e account o spazio dei nomi.

Selezionare Aggiungi origine dati. Selezionare Avanti: Rivedi e crea.

Selezionare Crea. Attendere 20 minuti. In Microsoft Sentinel o Monitoraggio di Azure verificare che l'agente Monitoraggio di Azure sia in esecuzione nella macchina virtuale. Collegamento di riferimento:/azure/sentinel/forward-syslog-monitor-agent

2. Passaggi per integrare i dati Netflow su Microsoft Sentinel:

Per inserire i dati di Netflow in Microsoft Sentinel, è necessario installare e configurare Filebeat e Logstash nella macchina virtuale. Dopo la configurazione, la macchina virtuale sarà in grado di ricevere i dati netflow sulla porta configurata e tali dati verranno inseriti nell'area di lavoro di Microsoft Sentinel.

2.1 Installa filebeat e logstash:

Per l'installazione di filebeat e logstash con apt, vedere questo documento:

Filebeat: https://www.elastic.co/guide/en/beats/filebeat/current/setup-repositories.html.

Logstash: https://www.elastic.co/guide/en/logstash/current/installing-logstash.html.

Per l'installazione di filebeat e logstash per i passaggi linux basati su RedHat (yum) sono i seguenti:

Filebeat: https://www.elastic.co/guide/en/beats/filebeat/current/setup-repositories.html#_yum.

Logstash: https://www.elastic.co/guide/en/logstash/current/installing-logstash.html#_yum

2.2 Configura Filebeat per inviare eventi a Logstash:

Modificare filebeat.yml file: vi /etc/filebeat/filebeat.yml

Impostare come commento la sezione Output elasticsearch.

Rimuovere il commento Dalla sezione Logstash Output (rimuovere il commento solo da queste due righe):

output.logstash hosts: ["localhost:5044"]

Nella sezione Output Logstash, se si desidera inviare i dati diversi dalla porta predefinita, ad esempio la porta 5044, sostituire il numero di porta nel campo hosts. Nota: questa porta deve essere aggiunta nel file conf durante la configurazione di logstash.

Nella sezione "filebeat.inputs" impostare come commento la configurazione esistente e aggiungere la configurazione seguente:

- type: netflow max_message_size: 10KiB host: "0.0.0.0:2055" protocols: [ v5, v9, ipfix] expiration_timeout: 30m queue_size: 8192 custom_definitions: - /etc/filebeat/custom.yml detect_sequence_reset: true enabled: true

Nella sezione Input filebeat, se si desidera ricevere i dati diversi dalla porta predefinita, ad esempio la porta 2055, sostituire il numero di porta nel campo host.

Aggiungere il file custom.yml specificato all'interno della directory /etc/filebeat/.

Aprire la porta di input e output filebeat nel firewall.

Comando Esegui: firewall-cmd --zone=public --permanent --add-port=2055/udp

Comando Esegui: firewall-cmd --zone=public --permanent --add-port=5044/udp

Nota: se viene aggiunta una porta personalizzata per l'input/output filebeat, aprire tale porta nel firewall.

2.3 Configura Logstash per inviare eventi a Microsoft Sentinel:

Installare il plug-in Log Analytics di Azure:

Comando Esegui: sudo /usr/share/logstash/bin/logstash-plugin install microsoft-logstash-output-azure-loganalytics

Archiviare la chiave dell'area di lavoro Log Analytics nell'archivio chiavi Logstash. La chiave dell'area di lavoro è disponibile in portale di Azuree in Area di lavoro > Log analytics Selezionare l'area di lavoro > In Impostazioni selezionare > Agent Log Analytics agent instructions (Istruzioni dell'agente di Log Analytics).

Copiare la chiave primaria ed eseguire i comandi seguenti:

sudo /usr/share/logstash/bin/logstash-keystore --path.settings /etc/logstash create LogAnalyticsKey

sudo /usr/share/logstash/bin/logstash-keystore --path.settings /etc/logstash add LogAnalyticsKey

Creare il file /etc/logstash/cisco-netflow-to-sentinel.confdi configurazione :

input { beats { port => <port_number> #(Enter output port number which has been configured during filebeat configuration i.e. filebeat.yml file .) } } output { microsoft-logstash-output-azure-loganalytics { workspace_id => "<workspace_id>" workspace_key => "${LogAnalyticsKey}" custom_log_table_name => "CiscoSDWANNetflow" } }

Nota: se la tabella non è presente in Microsoft Sentinel, verrà creata una nuova tabella in sentinel.

2.4 Esegui filebeat:

Aprire un terminale ed eseguire il comando : systemctl start filebeat

Questo comando avvia l'esecuzione di filebeat in background. Per visualizzare i log arrestare il filebeat (systemctl stop filebeat), eseguire il comando seguente: filebeat run -e

2.5 Eseguire Logstash:

In un altro terminale eseguire il comando : /usr/share/logstash/bin/logstash --path.settings /etc/logstash -f /etc/logstash/cisco-netflow-to-sentinel.conf &

Questo comando avvierà l'esecuzione della logtash in background. Per visualizzare i log di logstash terminare il processo precedente ed eseguire il comando seguente: /usr/share/logstash/bin/logstash --path.settings /etc/logstash -f /etc/logstash/cisco-netflow-to-sentinel.conf

Cisco Umbrella (tramite Codeless Connector Framework)

Supportato da:Microsoft Corporation

La soluzione Cisco Cloud Security per Microsoft Sentinel consente di inserire i log Cisco Secure Access e Cisco Umbrella archiviati nel bucket Amazon S3 gestito da Cisco in Microsoft Sentinel usando l'API REST Amazon S3. Per altre informazioni, vedere la documentazione sulla gestione dei log di Cisco Cloud Security .

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

CiscoUmbrellaAdminAudit_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Credenziali/permessi dell'API REST di Amazon S3:La chiave di accesso AWS Secret, la chiave di accesso segrete AWS, il nome del bucket AWS S3 sono necessari per l'API REST di Amazon S3.

Istruzioni per l'installazione:

1. Configurazione della Cisco Cloud Security Logs Collection:

NOTA: Questo connettore è stato aggiornato per supportare lo schema del log di Cisco Cloud Security versione 15.

Vedere la documentazione e seguire le istruzioni per configurare la registrazione e ottenere le credenziali e le informazioni necessarie.

Dopo aver configurato il bucket S3 gestito da Cisco, verranno fornite tre informazioni: Percorso dati, Chiave di accesso e Chiave privata.

AVVISO: Per i bucket S3 gestiti da Cisco, la chiave privata scade ogni 90 giorni. L'utente è responsabile della rotazione della chiave privata nel dashboard Cisco e della riconnessione del connettore con la nuova chiave prima della scadenza.

Per chiave di accesso e chiave privata, è possibile incollarli negli input seguenti. Per gli altri campi obbligatori, verranno recuperati dal percorso dati.

Ad esempio, il percorso dati fornito da Cisco è cisco-managed-us-west-1/2003477-12345. Per il nome del bucket DI AWS S3, il nome del bucket S3 di input sarà cisco-managed-us-west-1. L'area bucket S3 sarà us-west-1. Il prefisso bucket S3 sarà 2003477-12345.

Per abilitare la raccolta basata su flusso, fare clic su Aggiungi nuovo agente di raccolta, scegliere un tipo di dati e specificare i dettagli di AWS.

Griglia connettori dati (configurare nel portale)

Citrix Analytics (tramite Codeless Connector Framework)

Supportato da:Citrix Systems, Inc.

L'integrazione di Citrix Analytics con Microsoft Sentinel ti aiuta a esportare i dati analizzati per gli eventi (SPA, Security) da Citrix Analytics nell'ambiente Microsoft Sentinel. Puoi creare dashboard personalizzate, analizzare dati da altre fonti insieme a quelli di Citrix Analytics e creare flussi di lavoro personalizzati usando Logic Apps per monitorare e mitigare gli eventi.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

CitrixAnalytics_SPA_Events_V1_CL No No

CitrixAnalytics_indicatorSummary_V1_CL No No

CitrixAnalytics_indicatorEventDetails_V1_CL No No

CitrixAnalytics_riskScoreChange_V1_CL No No

CitrixAnalytics_userProfile_V1_CL No No

CitrixAnalytics_CVAD_Events_V1_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Microsoft Entra: Permesso di creare una registrazione di un'app in Microsoft Entra ID. In genere richiede Entra ruolo sviluppatore di applicazioni ID o superiore.

Microsoft Azure: Permesso di assegnare il ruolo di Monitoring Metrics Publisher alle regole di raccolta dati. In genere richiede Azure ruolo Proprietario controllo degli accessi in base al ruolo o Amministratore accesso utente.

Licenze: Diritti a Citrix Analytics in Citrix Cloud. Si prega di consultare l'Accordo di Licenza Citrix Tool.

Istruzioni per l'installazione:

1. Creare risorse arm e effettuare il provisioning delle autorizzazioni necessarie

Clicca su Deploy per fornire le risorse Azure richieste (tabelle Log Analytics, Data Collection Rule e registrazione dell'app Entra) e abilita a Citrix Analytics di inviare i dati in modo sicuro in Microsoft Sentinel tramite l'API di ingestione Monitoraggio di Azure Logs.

La configurazione automatizzata e l'inserimento sicuro dei dati con Entra'applicazione facendo clic su "Distribuisci" attiveranno la creazione di tabelle di Log Analytics e di una regola di raccolta dati (DCR). Verrà quindi creata un'applicazione Entra, verrà collegato il DCR e verrà impostato il segreto immesso nell'applicazione. Questa configurazione consente di inviare i dati in modo sicuro al DCR usando un token di Entra.

2. Configura la tua integrazione nella Citrix Analytics Platform

Usa i seguenti parametri per configurare la tua integrazione nella piattaforma Citrix Analytics.

ID directory (ID inquilino):<Valore variabile fornito al momento dell'installazione>

ID Registrazione App Entra (ID Cliente):<Valore variabile fornito al momento dell'installazione>

Segreto della registrazione dell'app Entra (Segreto delle credenziali) (QUESTO SEGRETO NON SARÀ VISIBILE DOPO AVER LASCIATO QUESTA PAGINA):<Valore variabile fornito al momento dell'installazione>

Endpoint di raccolta dati (URL):<Valore variabile fornito al momento dell'installazione>

ID Immutabile della Regola di Raccolta Dati (ID Regole):<Valore variabile fornito al momento dell'installazione>

Claroty xDome

Supportato da:xDome Customer Support by

Claroty xDome offre funzionalità complete di sicurezza e gestione degli avvisi per ambienti sanitari e di rete industriale. È progettato per eseguire il mapping di più tipi di origine, identificare i dati raccolti e integrarli nei modelli di dati Microsoft Sentinel. Ciò si traduce nella possibilità di monitorare tutte le potenziali minacce negli ambienti sanitari e industriali in un'unica posizione, portando a un monitoraggio della sicurezza più efficace e a un comportamento di sicurezza più efficace.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

CommonSecurityLog Sì Sì

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

Istruzioni per l'installazione:

1. Configurazione dell'agente Linux Syslog:

Installare e configurare l'agente Linux per raccogliere i messaggi syslog CEF (Common Event Format) e inoltrarli a Microsoft Sentinel.

Si noti che i dati di tutte le aree verranno archiviati nell'area di lavoro selezionata

1.1 Seleziona o crea una macchina Linux:

Selezionare o creare un computer Linux che Microsoft Sentinel userà come proxy tra la soluzione di sicurezza e Microsoft Sentinel il computer può trovarsi nell'ambiente locale, Azure o in altri cloud.

1.2 Installa il collettore CEF sulla macchina Linux:

Installare Microsoft Monitoring Agent nel computer Linux e configurare il computer in modo che sia in ascolto sulla porta necessaria e inoltrare i messaggi all'area di lavoro Microsoft Sentinel. L'agente di raccolta CEF raccoglie i messaggi CEF sulla porta 514 TCP.

Assicurarsi di avere Python nel computer usando il comando seguente: python --version.

È necessario disporre di autorizzazioni elevate (sudo) nel computer.

Esegui il seguente comando per installare e applicare il collettore CEF:<variable value provided at install time>

2. Inoltrare i log del Common Event Format (CEF) all'agente Syslog:

Configurare l'integrazione di Claroty xDome - Microsoft Sentinel per raccogliere i messaggi syslog CEF (Common Event Format) e inoltrarli a Microsoft Sentinel.

3. Validare la connessione:

Seguire le istruzioni per convalidare la connettività:

Aprire Log Analytics per verificare se i log vengono ricevuti usando lo schema CommonSecurityLog.

Potrebbero essere necessari circa 20 minuti prima che la connessione flussi i dati all'area di lavoro.

Se i log non vengono ricevuti, eseguire lo script di convalida della connettività seguente:

Assicurarsi di avere Python nel computer usando il comando seguente: python --version

È necessario disporre di autorizzazioni elevate (sudo) nel computer

Esegui il seguente comando per convalidare la tua connettività:<variable value provided at install time>

4. Metti in sicurezza la tua macchina:

Assicurarsi di configurare la sicurezza del computer in base ai criteri di sicurezza dell'organizzazione

Ulteriori informazioni >

Cloudflare (anteprima) (usando Funzioni di Azure)

Supportato da:Cloudflare

Il connettore dati Cloudflare offre la possibilità di inserire i log di Cloudflare in Microsoft Sentinel usando Cloudflare Logpush e Archiviazione BLOB di Azure. Per altre informazioni, vedere la documentazione di Cloudflare .

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

Cloudflare_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Microsoft. Permessi web/siti: Sono necessari permessi di lettura e scrittura per Funzioni di Azure per creare una Function App. Per altre informazioni, vedere Funzioni di Azure.

Archiviazione BLOB di Azure stringa di connessione e nome container: Archiviazione BLOB di Azure stringa di connessione e nome container dove i log vengono inviati da Cloudflare Logpush. Per altre informazioni, vedere Creazione di Archiviazione BLOB di Azure contenitore.

Istruzioni per l'installazione:

NOTA: Questo connettore usa Funzioni di Azure per connettersi all'API Archiviazione BLOB di Azure per eseguire il pull dei log in Microsoft Sentinel. Ciò potrebbe comportare costi aggiuntivi per l'inserimento dei dati e per l'archiviazione dei dati nei costi di Archiviazione BLOB di Azure. Per informazioni dettagliate, controllare la pagina dei prezzi Funzioni di Azure e Archiviazione BLOB di Azure pagina dei prezzi.

(Passaggio facoltativo) Archiviare in modo sicuro le chiavi o i token di autorizzazione api e dell'area di lavoro in Azure Key Vault. Azure Key Vault fornisce un meccanismo sicuro per archiviare e recuperare i valori delle chiavi. Seguire queste istruzioni per usare Azure Key Vault con un'app per le funzioni Azure.

NOTA: Questo connettore dati dipende da un parser basato su una funzione Kusto per funzionare come previsto cloudflare che viene distribuito con la soluzione Microsoft Sentinel.

PASSAGGIO 1 - Configurazione di Cloudflare Logpush

Vedere la documentazione per configurare Cloudflare Logpush in Microsoft Azure

PASSAGGIO 2- Scegliere UNO tra le due opzioni di distribuzione seguenti per distribuire il connettore e la funzione Azure associata

IMPORTANTE: Prima di distribuire il connettore dati Cloudflare, è possibile copiare l'ID area di lavoro e la chiave primaria dell'area di lavoro (che possono essere copiati da quanto segue), nonché Archiviazione BLOB di Azure stringa di connessione e il nome del contenitore, immediatamente disponibili.

ID dello spazio di lavoro:<variable value provided at install time>

Chiave primaria:<variable value provided at install time>

Opzione 1 - Azure Resource Manager (ARM) Template:

Usare questo metodo per la distribuzione automatizzata del connettore dati Cloudflare usando un modello di Resource Manager.

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms

Selezionare la sottoscrizione, il gruppo di risorse e la località preferiti.

Inserisci Archiviazione BLOB di Azure Container Name, Archiviazione BLOB di Azure Connection String, Microsoft Sentinel Workspace Id, Microsoft Sentinel Shared Key:

Contrassegnare la casella di controllo con l'etichetta Accetto i termini e le condizioni indicati sopra.

Fare clic su Acquista per distribuire.

Opzione 2 - Distribuzione manuale di Funzioni di Azure:

Usare le istruzioni dettagliate seguenti per distribuire manualmente il connettore dati Cloudflare con Funzioni di Azure (distribuzione tramite Visual Studio Code).

Distribuire un'app per le funzioni

NOTA: Sarà necessario preparare vs code per lo sviluppo di funzioni Azure.

Scaricare il file dell'app per le funzioni Azure. Estrarre l'archivio nel computer di sviluppo locale.

Avviare VS Code. Scegliere File nel menu principale e selezionare Apri cartella.

Selezionare la cartella di primo livello dai file estratti.

Scegliere l'icona Azure nella barra attività, quindi nell'area Azure: Funzioni scegliere il pulsante Distribuisci nell'app per le funzioni. Se non sei già connesso, scegli l'icona Azure nella barra Attività, poi nell'area Azure: Funzioni, scegli Accedi ad Azure: Se sei già connesso, passa al passo successivo.

Fornire le informazioni seguenti alle richieste:

Selezionare la cartella: Scegliere una cartella dall'area di lavoro o passare a una cartella contenente l'app per le funzioni.

Selezionare Sottoscrizione: Scegliere la sottoscrizione da usare.

Selezionare Crea nuova app per le funzioni in Azure (non scegliere l'opzione Avanzate)

Immettere un nome univoco globale per l'app per le funzioni: Digitare un nome valido in un percorso URL. Il nome digitato viene convalidato per assicurarsi che sia univoco in Funzioni di Azure. (ad esempio CloudflareXX).

Selezionare un runtime: Scegliere Python 3.8.

Selezionare una posizione per le nuove risorse. Per ottenere prestazioni migliori e costi inferiori, scegliere la stessa area in cui si trova Microsoft Sentinel.

Verrà avviata la distribuzione. Una notifica viene visualizzata dopo la creazione dell'app per le funzioni e l'applicazione del pacchetto di distribuzione.

Passare a portale di Azuree per la configurazione dell'app per le funzioni.

Configurare l'app per le funzioni

Nell'app per le funzioni selezionare nome dell'app per le funzioni e selezionare Configurazione.

Nella scheda Impostazioni applicazione selezionare + Nuova impostazione applicazione.

Aggiungere ognuna delle impostazioni dell'applicazione seguenti singolarmente, con i rispettivi valori stringa (con distinzione tra maiuscole e minuscole): CONTAINER_NAME AZURE_STORAGE_CONNECTION_STRING WORKSPACE_ID SHARED_KEY logAnalyticsUri (facoltativo)

Usare logAnalyticsUri per eseguire l'override dell'endpoint DELL'API log analytics per il cloud dedicato. Ad esempio, per il cloud pubblico, lasciare il valore vuoto; per Azure ambito cloud GovUS, specificare il valore nel formato seguente: https://WORKSPACE_ID.ods.opinsights.azure.us.

Dopo aver immesso tutte le impostazioni dell'applicazione, fare clic su Salva.

Cloudflare (uso del contenitore BLOB) (tramite Codeless Connector Framework)

Supportato da:Cloudflare

Il connettore dati Cloudflare offre la possibilità di inserire i log di Cloudflare in Microsoft Sentinel usando Cloudflare Logpush e Archiviazione BLOB di Azure. Per altre informazioni, vedere la documentazione di Cloudflare.

NOTA: il connettore dati Cloudflare (Using Blob Container) (tramite Codeless Connector Framework) disponibile nella soluzione richiede che l'account Archiviazione BLOB di Azure e l'area di lavoro Microsoft Sentinel si trovano nella stessa sottoscrizione Azure e nello stesso gruppo di risorse. La distribuzione tra sottoscrizioni o gruppi di risorse diversi può causare errori, ad esempio CreateDataFlowResources non definiti durante la configurazione del connettore.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

CloudflareV2_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Crea un account di archiviazione e un contenitore: Prima di configurare logpush in Cloudflare, crea prima un account di archiviazione e un container in Microsoft Azure. Usare questa guida per altre informazioni su Contenitore e BLOB. Seguire la procedura descritta nella documentazione per creare un account di archiviazione Azure.

Genera un URL SAS Blob: Sono necessarie le autorizzazioni di creazione e scrittura. Per altre informazioni sul token e l'URL della firma di accesso condiviso BLOB, vedere la documentazione .

Raccogliere i log da Cloudflare al tuo contenitore Blob: Segui i passaggi nella documentazione per raccogliere i log da Cloudflare al tuo contenitore Blob.

Istruzioni per l'installazione:

Collega i logs di Cloudflare a Microsoft Sentinel:

Per abilitare i log di Cloudflare per Microsoft Sentinel, specificare le informazioni necessarie di seguito e fare clic su Connetti.

L'URL del container Blob da cui vuoi raccogliere dati:

Nome del gruppo risorse dell'account di archiviazione del container Blob:

Posizione dell'account di archiviazione del container Blob:

L'ID di abbonamento dell'account di archiviazione del container Blob:

Nome dell'argomento della griglia di eventi dell'account di archiviazione del contenitore BLOB, se esistente. Altrimenti tieni vuoto:

Abilitare/disabilitare la connessione

Cognni

Supportato da:Cognni

Il connettore Cognni offre un'integrazione rapida e semplice con Microsoft Sentinel. È possibile usare Cognni per eseguire il mapping autonomo delle informazioni importanti non classificate in precedenza e rilevare gli eventi imprevisti correlati. In questo modo è possibile riconoscere i rischi per le informazioni importanti, comprendere la gravità degli eventi imprevisti e analizzare i dettagli che è necessario correggere, abbastanza velocemente da fare la differenza.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

CognniIncidents_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Istruzioni per l'installazione:

Connettiti con Cognni:

Passare alla pagina integrazioni di Cognni

Fare clic su "Connetti" nella casella "Microsoft Sentinel"

Copiare e incollare 'workspaceId' e 'sharedKey' (da sotto) nei campi correlati nella schermata delle integrazioni di Cognni

Fare clic sul botton "Connetti" per completare la configurazione. A breve, tutti gli eventi imprevisti rilevati da Cognni verranno inoltrati qui (in Microsoft Sentinel)

Non sei un utente di Cognni? Unisciti a noi

ID dello spazio di lavoro:<variable value provided at install time>

Chiave condivisa:<variable value provided at install time>

Cohesity (usando Funzioni di Azure)

Supportato da:Cohesity

Le app per la funzione Cohesity offrono la possibilità di inserire avvisi ransomware Cohesity Datahawk in Microsoft Sentinel.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

Cohesity_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Microsoft. Permessi web/siti: Sono necessari permessi di lettura e scrittura per Funzioni di Azure per creare una Function App. Per altre informazioni, vedere Funzioni di Azure.

Archiviazione BLOB di Azure stringa di connessione e nome del contenitore: Archiviazione BLOB di Azure stringa di connessione e nome del contenitore

Istruzioni per l'installazione:

NOTA: Questo connettore usa Funzioni di Azure che si connettono ai Archiviazione BLOB di Azure e KeyVault. Ciò potrebbe comportare costi aggiuntivi. Per informazioni dettagliate, controllare la pagina dei prezzi Funzioni di Azure, Archiviazione BLOB di Azure pagina dei prezzi e Azure pagina dei prezzi di KeyVault.

(Passaggio facoltativo) Archiviare in modo sicuro le chiavi o i token di autorizzazione api e dell'area di lavoro in Azure Key Vault. Azure Key Vault fornisce un meccanismo sicuro per archiviare e recuperare i valori delle chiavi. Seguire queste istruzioni per usare Azure Key Vault con un'app per le funzioni Azure.

PASSAGGIO 1 - Ottenere una chiave API Cohesity DataHawk (vedere istruzioni per la risoluzione dei problemi 1)

PASSAGGIO 2: registrare Azure'app (collegamento) e salvare l'ID applicazione (client), l'ID directory (tenant) e il valore del segreto (istruzioni). Concedere Azure'autorizzazione Archiviazione (user_impersonation). Assegnare inoltre il ruolo 'Microsoft Sentinel Collaboratore' all'applicazione nella sottoscrizione appropriata.

PASSAGGIO 3: Distribuire il connettore e il Funzioni di Azure associato.

Azure Resource Manager (ARM) Template:

Usare questo metodo per la distribuzione automatizzata del connettore dati Cohesity usando un modello di Resource Manager.

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms

Selezionare la sottoscrizione, il gruppo di risorse e la località preferiti.

Immettere i parametri creati nei passaggi precedenti

Contrassegnare la casella di controllo con l'etichetta Accetto i termini e le condizioni indicati sopra.

Fare clic su Acquista per distribuire.

CommvaultSecurityIQ

Supportato da:Commvault

Questa funzione Azure consente agli utenti commvault di inserire avvisi/eventi nell'istanza di Microsoft Sentinel. Con le regole di analisi, Microsoft Sentinel può creare automaticamente eventi imprevisti Microsoft Sentinel da eventi e log in ingresso.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

CommvaultAlerts_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Microsoft. Permessi web/siti: Sono necessari permessi di lettura e scrittura per Funzioni di Azure per creare una Function App. Per altre informazioni, vedere Funzioni di Azure.

URL endpoint dell'ambiente Commvault: Assicurati di seguire la documentazione e di impostare il valore segreto in KeyVault

Token QSDK Commvault: Assicurati di seguire la documentazione e di impostare il valore segreto in KeyVault

Istruzioni per l'installazione:

NOTA: Questo connettore usa Funzioni di Azure per connettersi a un'istanza commvault per eseguire il pull dei log in Microsoft Sentinel. Ciò potrebbe comportare costi aggiuntivi per l'inserimento di dati. Per informazioni dettagliate, controllare la pagina dei prezzi Funzioni di Azure.

Archiviare in modo sicuro le chiavi o i token di autorizzazione api e dell'area di lavoro in Azure Key Vault. Azure Key Vault fornisce un meccanismo sicuro per archiviare e recuperare i valori delle chiavi. Seguire queste istruzioni per usare Azure Key Vault con un'app per le funzioni Azure.

PASSAGGIO 1 - Passaggi di configurazione per il token QSDK Commvalut

Seguire queste istruzioni per creare un token API.

PASSAGGIO 2 - Distribuire il connettore e la funzione di Azure associata

IMPORTANTE: Prima di distribuire il connettore dati CommvaultSecurityIQ, avere l'ID area di lavoro e la chiave primaria dell'area di lavoro (che possono essere copiati dal seguente), nonché l'URL dell'endpoint Commvault e il token QSDK, immediatamente disponibili.

ID dello spazio di lavoro:<variable value provided at install time>

Chiave primaria:<variable value provided at install time>

Modello Azure Resource Manager (ARM)

Usare questo metodo per la distribuzione automatizzata del connettore dati Commvault Security IQ.

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms

Selezionare la sottoscrizione, il gruppo di risorse e l'area preferiti.

Immettere l'ID area di lavoro, la chiave dell'area di lavoro 'e/o Altri campi obbligatori' e fare clic su Avanti.

Fare clic su Crea per distribuire.

Connettore push ADR a contrasto

Supportato da:Contrast Security

Il connettore Contrast Security offre la possibilità di inserire eventi di attacco e eventi imprevisti da Contrast Application Detection and Response (ADR) in Microsoft Sentinel. Questo connettore riceve i dati tramite il meccanismo di push del webhook usando l'autenticazione OAuth.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

ContrastADRAttackEvents_CL No No

ContrastADRIncidents_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Microsoft Entra: Permesso di creare una registrazione di un'app in Microsoft Entra ID (se si utilizza un'app creata automaticamente). In genere richiede il ruolo sviluppatore di applicazioni o superiore.

Microsoft Azure: Permesso di creare e configurare risorse Azure (DCE, DCR, tabelle) e assegnare ruoli RBAC. In genere richiede i ruoli Collaboratore e Amministratore accesso utente.

Accesso ADR a Webhook a confronto: Accesso alla piattaforma Contrast ADR per configurare il webhook con le impostazioni di autenticazione OAuth.

Istruzioni per l'installazione:

1. Dispiegare le risorse del connettore:

Distribuire le risorse di Azure necessarie per l'inserimento di dati ADR a contrasto.

Scegliere l'opzione di distribuzione

Selezionare una delle opzioni di distribuzione seguenti in base ai requisiti:

Opzione A: Creazione automatica dell'applicazione Microsoft Entra (scelta consigliata)

Facendo clic su Deploy Contrast ADR CCF Connector verrà creato automaticamente:

Endpoint raccolta dati (DCE)

Regola di raccolta dati (DCR) con flussi per eventi di attacco e eventi imprevisti

Tabelle di Log Analytics (ContrastADRAttackEvents_CL e ContrastADRIncidents_CL)

applicazione Microsoft Entra con credenziali OAuth

Assegnazione di ruolo (server di pubblicazione metriche di monitoraggio) in DCR

Dopo la distribuzione: Tutti i valori di configurazione (ID tenant, ID client, segreto client, URI DCE, ID non modificabile DCR) verranno popolati automaticamente di seguito per semplificare l'incollamento della copia nella piattaforma Contrast.

Opzione B: Usare un'applicazione Microsoft Entra preesistente (BYOA)

Facendo clic su Deploy Contrast ADR CCF Connector verrà creato:

Endpoint raccolta dati (DCE)

Regola di raccolta dati (DCR) con flussi per eventi di attacco e eventi imprevisti

Tabelle di Log Analytics (ContrastADRAttackEvents_CL e ContrastADRIncidents_CL)

Microsoft Entra'applicazione (è possibile ignorare questa operazione)

Quando usare: se si dispone di un'app Entra esistente che si vuole riutilizzare per motivi di sicurezza o conformità. Passaggi aggiuntivi necessari:

Dopo la distribuzione, assegnare manualmente all'entità servizio dell'app di Entra preesistente il ruolo server di pubblicazione metriche di monitoraggio nel DCR creato

Usare l'ID client e il segreto client dell'app Entra (ignorare quelli generati automaticamente di seguito)

Usare l'URI DCE e l'ID non modificabile DCR riportati di seguito nella configurazione del webhook Contrast

Fare clic su Distribuisci per iniziare:

2. Configura il Webhook ADR Contrast:

Copiare i valori seguenti per configurare l'integrazione Microsoft Sentinel nella piattaforma Contrast ADR.

Per l'opzione A (app Entra creata automaticamente): usare tutti i valori popolati automaticamente di seguito. Per l'opzione B (app Entra preesistente): Usa l'URI DCE, l'ID non modificabile DCR e i nomi Stream riportati di seguito, ma usa l'ID tenant, l'ID client e il segreto client dell'app Entra.

Azure valori di configurazione:

ID inquilino:<variable value provided at install time>

ID applicazione (client):<variable value provided at install time>

Segreto client:<variable value provided at install time>

Data Collection Endpoint (DCE) URI:<variable value provided at install time>

ID Immutabile della Regola di Raccolta Dati (DCR):<variable value provided at install time>

Nome della trasmissione degli eventi d'attacco:<variable value provided at install time>

Nome della trasmissione degli incidenti:<variable value provided at install time>

Configurare in Contrast ADR Platform

Accedi alla tua piattaforma Contrast ADR:

Naviga verso Integrazioni > Amministrative > Microsoft Sentinel:

Copiare e incollare tutti i valori di configurazione precedenti:

ID del Tenant

ID applicazione (client)

Segreto client

URI dce (Data Collection Endpoint)

ID non modificabile della regola di raccolta dati (DCR)

Nome Stream eventi di attacco

Nome Stream eventi imprevisti

Fare clic su Salva per completare l'integrazione

La piattaforma Contrast configurerà automaticamente l'autenticazione OAuth e gli endpoint dati usando questi valori.

3. Verifica dell'ingestione dei dati:

Verificare che i dati vengano trasmessi da Contrast ADR a Microsoft Sentinel.

Procedure di verifica

Attivare un evento di attacco di test in Contrast ADR

Attendere 5-10 minuti affinché i dati vengano visualizzati in Microsoft Sentinel

Eseguire la query seguente per verificare gli eventi di attacco:

ContrastADRAttackEvents_CL | take 10

Verificare i dati degli eventi imprevisti:

ContrastADRIncidents_CL | take 10

Verificare la connettività:

ContrastADRAttackEvents_CL | summarize LastLogReceived = max(TimeGenerated) | project IsConnected = LastLogReceived > ago(7d)

Se i dati vengono visualizzati e IsConnected restituisce true, il connettore è configurato correttamente.

Esportatore connettore Corelight

Supportato da:Corelight

Il connettore dati Corelight consente ai risponditori di eventi imprevisti e ai cacciatori di minacce che usano Microsoft Sentinel di lavorare in modo più rapido ed efficace. Il connettore dati consente l'inserimento di eventi da Zeek e Suricata tramite i sensori Corelight in Microsoft Sentinel.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

Corelight No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Istruzioni per l'installazione:

NOTA: Questo connettore dati dipende da un parser basato su una funzione Kusto per funzionare come previsto Corelight distribuito con la soluzione Microsoft Sentinel.

1. Ottieni i file:

Contattare TAM, SE o info@corelight.com per ottenere i file necessari per l'integrazione Microsoft Sentinel.

2. Dati campioni di riproduzione:

Riprodurre i dati di esempio per creare le tabelle necessarie nell'area di lavoro Log Analytics.

Invia dati campione (necessari solo una volta per ogni spazio di lavoro di Log Analytics):<variable value provided at install time>

3. Installa un esportatore personalizzato:

Installare l'esportatore personalizzato o il contenitore logstash.

4. Configura il Sensore Corelight per inviare i log all'Log Analytics di Azure Agent:

Usando i valori seguenti, configurare il sensore Corelight per l'uso dell'esportatore Microsoft Sentinel. In alternativa, è possibile configurare il contenitore logstash con questi valori e configurare il sensore per inviare JSON tramite TCP a tale contenitore sulla porta appropriata.

ID dello spazio di lavoro:<variable value provided at install time>

Chiave principale dello spazio di lavoro:<variable value provided at install time>

Cortex XDR - Eventi imprevisti

Supportato da:DEFEND Ltd.

Connettore dati personalizzato da DEFEND per usare l'API Cortex per inserire gli eventi imprevisti dalla piattaforma Cortex XDR in Microsoft Sentinel.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

CortexXDR_Incidents_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Credenziali API Cortex: Il token API Cortex è richiesto per l'API REST. Per altre informazioni, vedere API. Controllare tutti i requisiti e seguire le istruzioni per ottenere le credenziali.

Istruzioni per l'installazione:

Abilita l'API Cortex XDR:

Connettere Cortex XDR a Microsoft Sentinel tramite l'API Cortex per elaborare gli eventi imprevisti di Cortex.

Presepe

Supportato da:Cribl

Il connettore Cribl consente di connettere facilmente i log Cribl (Cribl edizione Enterprise - Standalone) con Microsoft Sentinel. In questo modo è possibile ottenere informazioni più dettagliate sulla sicurezza delle pipeline di dati dell'organizzazione.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

CriblInternal_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Istruzioni per l'installazione:

Istruzioni per l'installazione e la configurazione di Cribl Stream per Microsoft Sentinel:

Usare la documentazione di questo repository Github e configurare Cribl Stream usando

https://docs.cribl.io/stream/usecase-azure-workspace/

CrowdStrike API Data Connector (tramite Codeless Connector Framework)

Supportato da:Microsoft Corporation

CrowdStrike Data Connector consente di inserire i log dall'API CrowdStrike in Microsoft Sentinel. Questo connettore offre la possibilità di inserire CrowdStrike Alerts, Detections, Hosts, Cases e Vulnerabilities in Microsoft Sentinel. Questo connettore è basato su Microsoft Sentinel Codeless Connector Framework e usa l'API CrowdStrike per recuperare i log. Supporta le trasformazioni del tempo di inserimento basate su DCR in modo che le query possano essere eseguite in modo più efficiente. Per altre informazioni, vedere la documentazione dell'API CrowdStrike .

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

CrowdStrikeAlerts Sì Sì

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

Prerequisiti:

Crowdstrike OAuth2 API Client e ambiti:Avvisi, integrazioni API, log delle app, casi, regole di correlazione, rilevamenti, host, asset, incidenti, file in quarantena, vulnerabilità sono necessari per l'API REST. Per altre informazioni, vedere API.

Istruzioni per l'installazione:

Connetti CrowdStrike a Microsoft Sentinel:

Nota: Nota importante: l'API Eventi imprevisti è stata completamente rimossa. Usare invece il nuovo tipo di dati Cases.

Griglia connettori dati (configurare nel portale)

Rilevamento delle query (dopo connessione riuscita a successo):

Dopo l'inserimento dei log, la tabella CrowdStrikeDetections contiene singoli record di avviso raggruppati per aggregate_id. Per visualizzare il comportamento a livello di rilevamento reale, usare la query KQL seguente per aggregare gli avvisi in base al gruppo di rilevamento:

CrowdStrikeDetections | summarize AlertCount = count(), FirstSeen = min(CreatedTimestamp), LastSeen = max(CreatedTimestamp), MaxSeverity = max(Severity) by AggregateId

CrowdStrike Falcon Adversary Intelligence (usando Funzioni di Azure)

Supportato da:Microsoft Corporation

Il connettore CrowdStrike Falcon Indicators of Compromise recupera gli indicatori di compromissione dall'API Falcon Intel e li carica Microsoft Sentinel Threat Intel.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

ThreatIntelIndicators Sì No

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

Prerequisiti:

Microsoft. Permessi web/siti: Sono necessari permessi di lettura e scrittura per Funzioni di Azure per creare una Function App. Per altre informazioni, vedere Funzioni di Azure.

ID client e segreto client API CrowdStrike:CROWDSTRIKE_CLIENT_ID, CROWDSTRIKE_CLIENT_SECRET, CROWDSTRIKE_BASE_URL. Le credenziali crowdstrike devono avere l'ambito di lettura Indicatori (Falcon Intelligence).

Istruzioni per l'installazione:

PASSAGGIO 1: Generare le credenziali dell'API CrowdStrike.

Assicurarsi che l'ambito "Indicatori (Falcon Intelligence)" abbia l'opzione "read" selezionata

PASSAGGIO 2: registrare un'app Entra con il segreto client.

Fornire all'entità app Entra l'assegnazione di ruolo "collaboratore Microsoft Sentinel" nella rispettiva area di lavoro log analytics. Come assegnare ruoli in Azure.

PASSAGGIO 3- Scegliere UNO tra le due opzioni di distribuzione seguenti per distribuire il connettore e la funzione Azure associata

IMPORTANTE: Prima di distribuire il connettore CrowdStrike Falcon Indicator of Compromise, fare in modo che l'ID dell'area di lavoro sia copiato da quanto segue.

ID dello spazio di lavoro:<variable value provided at install time>

Opzione 1 - Azure Resource Manager (ARM) Template:

Usare questo metodo per la distribuzione automatizzata del connettore CrowdStrike Falcon Adversary Intelligence usando un modello ARM.

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms

Specificare i parametri seguenti: CrowdStrikeClientId, CrowdStrikeClientSecret, CrowdStrikeBaseUrl, WorkspaceId, TenantId, Indicators, AadClientId, AadClientSecret, LookBackDays

Opzione 2 - Distribuzione manuale di Funzioni di Azure:

Usare le istruzioni dettagliate seguenti per distribuire manualmente il connettore CrowdStrike Falcon Adversary Intelligence con Funzioni di Azure (distribuzione tramite Visual Studio Code).

Distribuire un'app per le funzioni

NOTA: Sarà necessario preparare vs code per lo sviluppo di funzioni Azure.

Scaricare il file dell'app per le funzioni Azure. Estrarre l'archivio nel computer di sviluppo locale.

Avviare VS Code. Scegliere File nel menu principale e selezionare Apri cartella.

Selezionare la cartella di primo livello dai file estratti.

Scegliere l'icona Azure nella barra attività, quindi nell'area Azure: Funzioni scegliere il pulsante Distribuisci nell'app per le funzioni. Se non sei già connesso, scegli l'icona Azure nella barra Attività, poi nell'area Azure: Funzioni, scegli Accedi ad Azure: Se sei già connesso, passa al passo successivo.

Fornire le informazioni seguenti alle richieste:

Selezionare la cartella: Scegliere una cartella dall'area di lavoro o passare a una cartella contenente l'app per le funzioni.

Selezionare Sottoscrizione: Scegliere la sottoscrizione da usare.

Selezionare Crea nuova app per le funzioni in Azure (non scegliere l'opzione Avanzate)

Immettere un nome univoco globale per l'app per le funzioni: Digitare un nome valido in un percorso URL. Il nome digitato viene convalidato per assicurarsi che sia univoco in Funzioni di Azure. (ad esempio CrowdStrikeFalconIOCXXXXX).

Selezionare un runtime: Scegliere Python 3.12.

Selezionare una posizione per le nuove risorse. Per ottenere prestazioni migliori e costi inferiori, scegliere la stessa area in cui si trova Microsoft Sentinel.

Verrà avviata la distribuzione. Una notifica viene visualizzata dopo la creazione dell'app per le funzioni e l'applicazione del pacchetto di distribuzione.

Passare a portale di Azuree per la configurazione dell'app per le funzioni.

Configurare l'app per le funzioni

Nell'app per le funzioni selezionare nome dell'app per le funzioni e selezionare Configurazione.

Nella scheda Impostazioni applicazione selezionare Nuova impostazione applicazione.

Aggiungere ognuna delle impostazioni dell'applicazione seguenti singolarmente, con i rispettivi valori stringa (con distinzione tra maiuscole e minuscole): CROWDSTRIKE_CLIENT_ID CROWDSTRIKE_CLIENT_SECRET CROWDSTRIKE_BASE_URL TENANT_ID INDICATORS WorkspaceKey AAD_CLIENT_ID AAD_CLIENT_SECRET LOOK_BACK_DAYS WORKSPACE_ID

Dopo aver immesso tutte le impostazioni dell'applicazione, fare clic su Salva.

CrowdStrike Falcon Data Replicator (AWS-S3 gestito da CrowdStrike) (usando Funzioni di Azure)

Supportato da:Microsoft Corporation

Questo connettore consente l'inserimento di dati FDR in Microsoft Sentinel usando Funzioni di Azure per supportare la valutazione dei potenziali rischi per la sicurezza, l'analisi delle attività di collaborazione, l'identificazione dei problemi di configurazione e altre informazioni operative.
NOTA:
1. La licenza FDR CrowdStrike deve essere disponibile & abilitata.
2. Il connettore usa un'autenticazione basata su Chiave & Segreto ed è adatto per i bucket gestiti da CrowdStrike.
3. Per gli ambienti che usano un bucket AWS S3 di proprietà completa, Microsoft consiglia di usare il connettore CrowdStrike Falcon Data Replicator (AWS S3).

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

CrowdStrikeReplicatorV2 No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Microsoft. Permessi web/siti: Sono necessari permessi di lettura e scrittura per Funzioni di Azure per creare una Function App. Per altre informazioni, vedere Funzioni di Azure.

Credenziali/permessi degli account SQS e AWS S3:AWS_SECRET, AWS_REGION_NAME, AWS_KEY, QUEUE_URL è necessario. Per altre informazioni, vedere pull di dati. Per iniziare, contattare il supporto di CrowdStrike. Su richiesta, creeranno un bucket Amazon Web Services (AWS) S3 gestito da CrowdStrike per scopi di archiviazione a breve termine e un account SQS (servizio di coda semplice) per il monitoraggio delle modifiche al bucket S3.

Istruzioni per l'installazione:

NOTA: Questo connettore usa Funzioni di Azure per connettersi ad AWS SQS/S3 per eseguire il pull dei log in Microsoft Sentinel. Ciò potrebbe comportare costi aggiuntivi per l'inserimento di dati. Per informazioni dettagliate, controllare la pagina dei prezzi Funzioni di Azure.

(Passaggio facoltativo) Archiviare in modo sicuro le chiavi o i token di autorizzazione dell'API in Azure Key Vault. Azure Key Vault fornisce un meccanismo sicuro per archiviare e recuperare i valori delle chiavi. Seguire queste istruzioni per usare Azure Key Vault con un'app per le funzioni Azure.

Prerequisiti

Configurare FDR in CrowdStrike: è necessario contattare il team di supporto di CrowdStrike per abilitare CrowdStrike FDR.

Dopo aver abilitato CrowdStrike FDR, dalla console di CrowdStrike passare a Supporto --> Client e chiavi API.

È necessario creare nuove credenziali per copiare l'ID della chiave di accesso AWS, la chiave di accesso segreto AWS, l'URL della coda SQS e l'area AWS.

Registrare l'applicazione AAD: per consentire a DCR di autenticare l'inserimento dei dati nell'analisi dei log, è necessario usare l'applicazione AAD.

Seguire le istruzioni riportate qui (passaggi da 1 a 5) per ottenere l'ID tenant di AAD, l'ID client AAD e il segreto client AAD.

Per L'ID entità AAD di questa applicazione, accedere all'app AAD tramite il portale di AAD e acquisire l'ID oggetto dalla pagina di panoramica dell'applicazione.

Opzioni di distribuzione

Scegliere ONE tra le due opzioni di distribuzione seguenti per distribuire il connettore e la funzione Azure associata

Opzione 1 - Modello Azure Resource Manager (ARM)

Usare questo metodo per la distribuzione automatizzata del connettore Crowdstrike Falcon Data Replicator V2 usando un modello ARM.

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms aka.ms

Specificare i dettagli necessari, ad esempio area di lavoro Microsoft Sentinel, credenziali di CrowdStrike AWS, Azure dettagli dell'applicazione AD e configurazioni di inserimento

NOTA: All'interno dello stesso gruppo di risorse, non è possibile combinare app Windows e Linux nella stessa area. Selezionare un gruppo di risorse esistente senza app di Windows o creare un nuovo gruppo di risorse. È consigliabile creare un nuovo gruppo di risorse per la distribuzione dell'app per le funzioni e delle risorse associate. 3. Contrassegnare la casella di controllo etichettata Accetto i termini e le condizioni indicati sopra. 4. Fare clic su Acquista per distribuire.

Opzione 2 - Distribuzione manuale di Funzioni di Azure

Usare le istruzioni dettagliate seguenti per distribuire manualmente il connettore Crowdstrike Falcon Data Replicator con Funzioni di Azure (distribuzione tramite Visual Studio Code).

Distribuire DCE, DCR e tabelle personalizzate per l'inserimento di dati

Distribuire il dce, i DCR e le tabelle personalizzate necessari usando il modello arm della risorsa raccolta dati

Dopo aver completato la distribuzione di DCE e DCR, ottenere le informazioni seguenti e mantenerle a portata di mano (necessarie durante Funzioni di Azure distribuzione dell'app).

Inserimento del log DCE: seguire le istruzioni disponibili in Creare un endpoint di raccolta dati (passaggio 3).

ID non modificabili di uno o più dcr (se applicabile): seguire le istruzioni disponibili in Raccogliere informazioni dal DCR (Stpe 2).

Distribuire un'app per le funzioni

Scaricare il file dell'app per le funzioni Azure. Estrarre l'archivio nel computer di sviluppo locale.

Seguire le istruzioni di distribuzione manuale dell'app per le funzioni per distribuire l'app Funzioni di Azure usando VSCode.

Dopo aver completato la distribuzione dell'app per le funzioni, seguire i passaggi successivi per configurarla.

Configurare l'app per le funzioni

Passare a portale di Azuree per la configurazione dell'app per le funzioni.

Nell'app per le funzioni selezionare nome dell'app per le funzioni e selezionare Configurazione.

Nella scheda Impostazioni applicazione selezionare Nuova impostazione applicazione.

Aggiungere ognuna delle impostazioni dell'applicazione seguenti singolarmente, con i rispettivi valori stringa (con distinzione tra maiuscole e minuscole): AWS_KEY AWS_SECRET AWS_REGION_NAME QUEUE_URL USER_SELECTION_REQUIRE_RAW //True se i dati non elaborati sono necessari USER_SELECTION_REQUIRE_SECONDARY //True se sono necessari dati secondari MAX_QUEUE_MESSAGES_MAIN_QUEUE // 100 per l'utilizzo e 150 per Premium MAX_SCRIPT_EXEC_TIME_MINUTES // aggiungere il valore 10 qui AZURE_TENANT_ID AZURE_CLIENT_ID AZURE_CLIENT_SECRET DCE_INGESTION_ENDPOINT NORMALIZED_DCR_ID RAW_DATA_DCR_ID EVENT_TO_TABLE_MAPPING_LINK // File è presente in github. Aggiungere se è possibile accedere al file tramite Internet REQUIRED_FIELDS_SCHEMA_LINK //File è presente in github. Aggiungere se è possibile accedere al file usando internet Schedule //Add value as '0 */1 * * * *' per assicurarsi che la funzione venga eseguita ogni minuto.

Dopo aver immesso tutte le impostazioni dell'applicazione, fare clic su Salva.

CrowdStrike Falcon Data Replicator (User Managed AWS-S3) (tramite Codeless Connector Framework)

Supportato da:Microsoft Corporation

Il connettore Crowdstrike Falcon Data Replicator (S3) offre la possibilità di inserire i dati degli eventi FDR in Microsoft Sentinel dal bucket AWS S3 in cui sono stati trasmessi i log FDR. Il connettore offre la possibilità di ottenere eventi da Agenti Falcon che consentono di esaminare i potenziali rischi per la sicurezza, analizzare l'uso della collaborazione da parte del team, diagnosticare i problemi di configurazione e altro ancora.
NOTA:
1. La licenza FDR CrowdStrike deve essere disponibile & abilitata.
2. Il connettore richiede la configurazione di un ruolo IAM in AWS per consentire l'accesso al bucket AWS S3 e potrebbe non essere adatto per ambienti che sfruttano i bucket gestiti crowdstrike.
3. Per gli ambienti che sfruttano i bucket gestiti da CrowdStrike, configurare il connettore CrowdStrike Falcon Data Replicator (CrowdStrike-Managed AWS S3).

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

CrowdStrike_Additional_Events_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Istruzioni per l'installazione:

Requisiti: per usare la funzionalità Falcon Data Replicator sono necessari i requisiti seguenti:

Sottoscrizione: 1.1. Falcon Data Replicator. 1.2. Falcon Insight XDR.

Ruoli: 2.1. Amministratore di Falcon.

Configurare crowdstrike & ambienti AWS Per configurare l'accesso in AWS, usare i due modelli seguenti forniti per configurare l'ambiente AWS. In questo modo sarà possibile inviare i log da un bucket S3 all'area di lavoro Log Analytics.

Per ogni modello, creare Stack in AWS:

Passare ad AWS CloudFormation Stacks.

Scegliere l'opzione "Specifica modello", quindi "Carica un file modello" facendo clic su "Scegli file" e selezionando il file del modello CloudFormation appropriato fornito di seguito. fare clic su "Scegli file" e selezionare il modello scaricato.

Fare clic su "Avanti" e su "Crea stack".

Assicurarsi che il bucket venga creato nella stessa area AWS del cid Falcon in cui viene effettuato il provisioning del feed FDR.

Area crowdstrike Area di AWS

US-1 us-west-1

US-2 us-west-2

UE-1 eu-central-1

Modello 1: Implementazione dell'autenticazione OpenID Connect:<Valore variabile fornito al momento dell'installazione>

Modello 2: Implementazione delle risorse AWS CrowdStrike:<valore variabile fornito al momento> dell'installazione Usando il tuo Bucket S3 Per usare il tuo bucket S3 puoi consultare la seguente guida Usa il tuo bucket S3 o segui questi passaggi:

Creare un caso di supporto con il nome seguente: Uso del bucket Self S3 per FDR

Aggiungere le informazioni seguenti: 2.1. Il CID Falcon in cui viene effettuato il provisioning del feed FDR 2.2. Indicare i tipi di eventi da specificare in questo nuovo feed FDR. 2.3. Indicare i tipi di eventi da specificare in questo nuovo feed FDR. 2.4. Non usare partizioni.

Tipo evento Prefisso S3

Eventi primari Dati/

Eventi secondari fdrv2/

Connettere nuovi agenti di raccolta Per abilitare AWS S3 per Microsoft Sentinel, fare clic sul pulsante Aggiungi nuovo agente di raccolta, compilare le informazioni necessarie nel riquadro di contesto e fare clic su Connetti.

Griglia connettori dati (configurare nel portale)

CTERA Syslog

Supportato da:CTERA

Il connettore dati CTERA per Microsoft Sentinel offre funzionalità di monitoraggio e rilevamento delle minacce per la soluzione CTERA. Include una cartella di lavoro che visualizza la somma di tutte le operazioni per tipo, eliminazioni e operazioni di accesso negato. Fornisce anche regole analitiche che rileva gli eventi imprevisti ransomware e avvisa quando un utente è bloccato a causa di attività ransomware sospette. Inoltre, consente di identificare modelli critici, ad esempio eventi di accesso negato di massa, eliminazioni di massa e modifiche delle autorizzazioni di massa, consentendo la gestione proattiva delle minacce e la risposta.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

Syslog Sì Sì

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

Istruzioni per l'installazione:

Passo 1: Collega la piattaforma CTERA a Syslog:

Configurare la connessione syslog del portale CTERA e Edge-Filer connettore Syslog

Passo 2: Installa Monitoraggio di Azure Agent (AMA) su Syslog Server:

Installare Monitoraggio di Azure Agent (AMA) nel server syslog per abilitare la raccolta dati.

CTM360 CyberBlindSpot (serverless)

Supportato da:Cyber Threat Management 360

Il connettore CTM360 Cyber Blind Spot (CBS) fornisce l'integrazione con la piattaforma CBS di CTM360 per inserire dati di sicurezza in 6 tipi di modulo: eventi imprevisti, log malware, credenziali violate, schede compromesse, violazione del dominio e violazione del sottodominio. Questo connettore usa Codeless Connector Framework (CCF) per la raccolta di dati serverless.

Tipi di dati:

CBSLog_AzureV2_CL

CBS_MalwareLogs_AzureV2_CL

CBS_BreachedCredentials_AzureV2_CL

CBS_CompromisedCards_AzureV2_CL

CBS_DomainInfringement_AzureV2_CL

CBS_SubdomainInfringement_AzureV2_CL

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

CBSLog_AzureV2_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Chiave API CBS CTM360: È necessaria una chiave valida CTM360 Cyber Blind Spot API per connettersi all'endpoint dell'API CBS.

Istruzioni per l'installazione:

Collega l'angolo cieco cibernetico CTM360 a Microsoft Sentinel:

Questo connettore usa Codeless Connector Framework (CCF) per inserire i dati da CTM360 CBS in Microsoft Sentinel. I dati vengono raccolti ogni 5 minuti in 6 tipi di modulo diversi.

Nota: questo connettore crea 6 tabelle separate per diversi tipi di modulo CBS: eventi imprevisti, log malware, credenziali violate, schede compromesse, violazione del dominio e violazione del sottodominio.

Passo 1: Ottieni le chiavi API CTM360:

Per configurare questa integrazione, sarà necessaria la chiave API CBS. È possibile ottenere queste chiavi usando i collegamenti seguenti:

Chiave API CBS trovata da questo collegamento: https://platform.ctm360.com/start/integrations dopo la registrazione con l'account

Passo 2: Configura la connessione:

Immettere la chiave DELL'API CBS CTM360 e connettersi per avviare l'inserimento dei dati.

Chiave API CTM360 CBS: (Inserisci la tua chiave API CTM360 CBS)

Abilitare/disabilitare la connessione

Passo 3: Verifica l'ingestione dei dati:

Dopo la connessione, il flusso dei dati dovrebbe iniziare entro 5-10 minuti. Usare le query di esempio precedenti per verificare l'inserimento dei dati per ogni tipo di modulo.

Nota: nota: l'inserimento iniziale dei dati può richiedere fino a 30 minuti. Il connettore esegue il polling ogni 5 minuti con una finestra in sequenza di 5 minuti.

CTM360 HackerView (Serverless)

Supportato da:Cyber Threat Management 360

Il connettore HackerView CTM360 consente di inserire problemi di sicurezza e vulnerabilità dalla piattaforma HackerView External Attack Surface Management in Microsoft Sentinel. Questo connettore serverless usa l'API REST per eseguire automaticamente il pull dei dati dei problemi per l'analisi e la correlazione con altri eventi di sicurezza.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

HackerViewLog_AzureV2_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Chiave API di HackerView: È richiesta una chiave API valida di HackerView con permessi per accedere ai dati dei problemi.

Istruzioni per l'installazione:

Connetti CTM360 HackerView a Microsoft Sentinel:

Questo connettore usa l'API REST HackerView per inserire automaticamente i problemi di sicurezza in Microsoft Sentinel.

Nota: si tratta di un connettore serverless che usa Azure Codeless Connector Framework (CCF). Non è necessaria alcuna distribuzione della funzione Azure.

Passo 1: Ottieni le chiavi API CTM360:

Per configurare questa integrazione, è necessaria la chiave API HackerView. È possibile ottenere queste chiavi usando i collegamenti seguenti:

Chiave API HackerView trovata da questo collegamento: https://platform.ctm360.com/start/integrations dopo la registrazione con l'account

Passo 2: Configura il connettore:

Immettere la chiave API HackerView e fare clic su Connetti per iniziare l'inserimento dei dati.

Chiave API: (Inserisci la tua chiave API HackerView)

Abilitare/disabilitare la connessione

Passo 3: Verifica l'ingestione dei dati:

Dopo la connessione, il flusso dei dati dovrebbe iniziare entro 5-10 minuti. Eseguire la query seguente per verificare:

Nota: HackerViewLog_AzureV2_CL | take 10

Log personalizzati tramite AMA

Supportato da:Microsoft Corporation

Molte applicazioni registrano informazioni su file di testo o JSON anziché su servizi di registrazione standard, ad esempio Registri eventi di Windows, Syslog o CEF. Il connettore dati Log personalizzati consente di raccogliere gli eventi dai file nei computer Windows e Linux e di trasmetterli alle tabelle di log personalizzate create. Durante lo streaming dei dati è possibile analizzare e trasformare il contenuto usando il DCR. Dopo aver raccolto i dati, è possibile applicare regole analitiche, ricerca, ricerca, intelligence sulle minacce, arricchimenti e altro ancora.

NOTA: usare questo connettore per i dispositivi seguenti: Cisco Meraki, Zscaler Private Access (ZPA), VMware vCenter, server HTTP Apache, Apache Tomcat, Jboss Enterprise application platform, Juniper IDP, MarkLogic Audit, MongoDB Audit, Nginx HTTP Server, Oracle Weblogic Server, PostgreSQL Events, Squid Proxy, Ubiquiti UniFi, SecurityBridge Threat detection SAP and AI vectra stream.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

JBossEvent_CL No No

JuniperIDP_CL No No

ApacheHTTPServer_CL No No

Tomcat_CL No No

meraki_CL No No

VectraStream_CL No No

MarkLogicAudit_CL No No

MongoDBAudit_CL No No

NGINX_CL No No

OracleWebLogicServer_CL No No

PostgreSQL_CL No No

SquidProxy_CL No No

Ubiquiti_CL No No

vcenter_CL No No

ZPA_CL No No

SecurityBridgeLogs_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Permessi: Per raccogliere dati da VM non Azure, devono avere Azure Arc installato e abilitato. Altre informazioni

Istruzioni per l'installazione:

Abilita la regola di raccolta dati:

I log personalizzati vengono raccolti dagli agenti Windows e Linux.

Installare l'agente: <variable value provided at install time>

CyberArk Audit

Supportato da:CyberArk Support

Il connettore dati CyberArk Audit consente Microsoft Sentinel di inserire i log eventi di sicurezza e altri eventi dal servizio CyberArk Audit tramite l'API REST. Questa integrazione consente di rilevare potenziali rischi per la sicurezza, monitorare le attività degli utenti, analizzare i modelli di collaborazione, risolvere i problemi di configurazione e ottenere informazioni più approfondite sull'ambiente.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

CyberArk_AuditEvents_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Piattaforma di servizi di audit CyberArk: Accesso per eseguire le configurazioni richieste nella piattaforma CyberArk Audit

Istruzioni per l'installazione:

Connettiti all'API di CyberArk Audit per iniziare a raccogliere i log degli eventi in Microsoft Sentinel:

Seguire la procedura seguente per integrare Microsoft Sentinel con CyberArk Audit e abilitare il monitoraggio centralizzato delle attività del sistema e degli utenti all'interno di Microsoft Sentinel. È anche possibile fare riferimento alla documentazione di CyberArk Audit e seguire fino al passaggio 5.

Passaggio 1: Creare una nuova integrazione SIEM

Nel portale cyberark passare a Administration.

Selezionare My environment>Integrations>Export to SIEM.

Nella pagina Integrazioni SIEM selezionare Create>Create SIEM integration

Create a SIEM integration Nella pagina selezionare il Identity Administration collegamento per creare un web server OAuth in Amministrazione identità. Passaggio 2: Creare un'app Web server OAuth2 in Amministrazione identità

Nella Identity Administration pagina, dal menu a sinistra selezionare Apps & Widgets>App Web

Selezionare Add App Web e creare un'app OAuth2 server Web di tipo dalla Custom scheda .

Immettere CyberArkAuditforMicrosoftSentinel nei ApplicationID campi e Name .

Tokens Nella scheda verificare che il valore nel Token Type campo sia jwtR256 e che sia selezionato solo il Client Creds metodo di autorizzazione.

Fare clic Add nella Scope scheda e immettere isp.audit.events:read.

Advanced Nella scheda copiare e incollare lo script seguente e quindi fare clic su Salva.

setClaim('tenant_id', TenantData.Get("CybrTenantID")); setClaim('aud', 'cyberark.isp.audit');

Fare clic su Save. Passaggio 3: Creare un utente del servizio in Identity Administration

Passare a Core Services>Users, selezionare .Add User

Account Nella sezione immettere Login name e Display name come MicrosoftSentinel. Aggiungere una nuova password o generare automaticamente la password.

Selezionare OAuth confidential client.

Application Settings Nella scheda fare clic su Add.

Selezionare l'applicazione CyberArkAuditforMicrosoftSentinel . Si tratta del nome creato nel servizio Web. Passaggio 4: Concedere le autorizzazioni dell'app Web all'utente del servizio

Passare all'app CyberArkAuditforMicrosoftSentinel Web creata.

Permissions Nella scheda fare clic Add per trovare l'utente MicrosoftSentinel e quindi fare clic su Add.

Impostare le autorizzazioni seguenti per l'utente:

Concessione

Visualizza

Esegui

Distribuire automaticamente il passaggio 5: Definire la descrizione dell'integrazione

Vai a Administration.

Selezionare My environment>Integrations>Export to SIEM.

Selezionare Create>Create SIEM integration.

Immettere il nome come Microsoft Sentinel Integration e, facoltativamente, aggiungere una descrizione.

Fare clic su Apply. Passaggio 6: Connettere il servizio di controllo CyberArk con Microsoft Sentinel Data Connector

Nota: Copiare tutti i dettagli acquisiti nei passaggi precedenti e connettersi al servizio CyberArk Audit.

Nome app server OAuth2: (ad es. AuditforMicrosoftSentinel)

Chiave API di Audit: (La chiave API può essere recuperata dal servizio Audit)

Endpoint Identità: (ad esempio kln9281.id.cyberark.cloud)

URL base dell'API di audit: (ad esempio org-test.audit.cyberark.cloud)

Audit Query Filter Action (Opzionale): (ad esempio {"op":"include","params":["cloud.core.login","cloud.core.mfasummary"]})

Codice applicativo filtro query audit (opzionale): (ad es. {"op":"include","params":["IDP", "CMS"]})

Tipo di filtro di audit per query (opzionale): (ad es. {"op":"include","params":["Failure"]})

CyberArk EPM

Supportato da:CyberArk Support

Il connettore dati CyberArk Endpoint Privilege Manager consente Microsoft Sentinel di inserire i log eventi di sicurezza e altri eventi da CyberArk EPM tramite l'API REST.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

CyberArk_EPMEvents_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Piattaforma EPM CyberArk: Accesso per eseguire le configurazioni richieste nella piattaforma EPM CyberArk

Istruzioni per l'installazione:

Connettiti all'API EPM di CyberArk per iniziare a raccogliere i log degli eventi in Microsoft Sentinel:

Seguire i passaggi di configurazione qui per integrare Microsoft Sentinel con CyberArk EPM e abilitare il monitoraggio centralizzato degli eventi degli endpoint all'interno di Microsoft Sentinel.

ID Web App: (L'ApplicationID dell'app web server OAuth2)

URL del tenant basato sulla regione: (ad esempio api-na.epm.cyberark.cloud)

ID del set: (Elenco degli ID del set EPM separati con virgola da cui interrogare gli eventi)

Endpoint Identità: (ad esempio kln9281.id.cyberark.cloud)

CyberArkAudit (usando Funzioni di Azure)

Supportato da:CyberArk Support

Il connettore dati CyberArk Audit offre la possibilità di recuperare i log eventi di sicurezza del servizio CyberArk Audit e altri eventi in Microsoft Sentinel tramite l'API REST. Il connettore consente il recupero degli eventi per valutare i potenziali rischi per la sicurezza, monitorare la collaborazione e diagnosticare e risolvere i problemi di configurazione.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

CyberArk_AuditEvents_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Microsoft. Permessi web/siti: Sono necessari permessi di lettura e scrittura per Funzioni di Azure per creare una Function App. Per altre informazioni, vedere Funzioni di Azure.

Sono necessari i dettagli e le credenziali delle connessioni API REST:OauthUsername, OauthPassword, WebAppID, AuditApiKey, IdentityEndpoint e AuditApiBaseUrl per effettuare chiamate API.

Istruzioni per l'installazione:

NOTA: Questo connettore usa Funzioni di Azure per connettersi all'API Archiviazione BLOB di Azure per eseguire il pull dei log in Microsoft Sentinel. Ciò potrebbe comportare costi aggiuntivi per l'inserimento dei dati e per l'archiviazione dei dati nei costi di Archiviazione BLOB di Azure. Per informazioni dettagliate, controllare la pagina dei prezzi Funzioni di Azure e Archiviazione BLOB di Azure pagina dei prezzi.

NOTA: Le chiavi o i token di autorizzazione API vengono archiviati in modo sicuro in Azure Key Vault. Azure Key Vault fornisce un meccanismo sicuro per archiviare e recuperare i valori delle chiavi.

PASSAGGIO 1 - Passaggi di configurazione per l'integrazione SIEM di CyberArk Audit

Seguire le istruzioni per ottenere i dettagli e le credenziali di connessione.

PASSAGGIO 2- Scegliere UNO tra le due opzioni di distribuzione seguenti per distribuire il connettore e la funzione Azure associata

IMPORTANTE: Prima di distribuire il connettore dati CyberArk Audit, fare in modo che il nome dell'area di lavoro e il percorso dell'area di lavoro siano copiati da quanto segue.

Nome dello spazio di lavoro:<variable value provided at install time>

Posizione dello spazio di lavoro:<variable value provided at install time>

Opzione 1 - Azure Resource Manager (ARM) Template:

Usare questo metodo per la distribuzione automatizzata del connettore dati CyberArk Audit usando un modello di Resource Manager.

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms

Selezionare la sottoscrizione, il gruppo di risorse e la località preferiti.

NOTA: All'interno dello stesso gruppo di risorse, non è possibile combinare app Windows e Linux nella stessa area. Selezionare un gruppo di risorse esistente senza app di Windows o creare un nuovo gruppo di risorse. 3. Immettere CyberArkAuditUsername, CyberArkAuditPassword, CyberArkAuditServerURL e distribuire. 4. Contrassegnare la casella di controllo etichettata Accetto i termini e le condizioni indicati sopra. 5. Fare clic su Acquista per distribuire.

Opzione 2 - Distribuzione manuale di Funzioni di Azure:

Usare le istruzioni dettagliate seguenti per distribuire manualmente il connettore dati CyberArk Audit con Funzioni di Azure (distribuzione tramite Visual Studio Code).

Distribuire un'app per le funzioni

NOTA: Sarà necessario preparare vs code per lo sviluppo di funzioni Azure.

Scaricare il file dell'app per le funzioni Azure. Estrarre l'archivio nel computer di sviluppo locale.

Avviare VS Code. Scegliere File nel menu principale e selezionare Apri cartella.

Selezionare la cartella di primo livello dai file estratti.

Scegliere l'icona Azure nella barra attività, quindi nell'area Azure: Funzioni scegliere il pulsante Distribuisci nell'app per le funzioni. Se non sei già connesso, scegli l'icona Azure nella barra Attività, poi nell'area Azure: Funzioni, scegli Accedi ad Azure: Se sei già connesso, passa al passo successivo.

Fornire le informazioni seguenti alle richieste:

Selezionare la cartella: Scegliere una cartella dall'area di lavoro o passare a una cartella contenente l'app per le funzioni.

Selezionare Sottoscrizione: Scegliere la sottoscrizione da usare.

Selezionare Crea nuova app per le funzioni in Azure (non scegliere l'opzione Avanzate)

Immettere un nome univoco globale per l'app per le funzioni: Digitare un nome valido in un percorso URL. Il nome digitato viene convalidato per assicurarsi che sia univoco in Funzioni di Azure. (ad esempio CyberArkXXXXX).

Selezionare un runtime: Scegliere Python 3.10.

Selezionare una posizione per le nuove risorse. Per ottenere prestazioni migliori e costi inferiori, scegliere la stessa area in cui si trova Microsoft Sentinel.

Verrà avviata la distribuzione. Una notifica viene visualizzata dopo la creazione dell'app per le funzioni e l'applicazione del pacchetto di distribuzione.

Passare a portale di Azuree per la configurazione dell'app per le funzioni.

Configurare l'app per le funzioni

Nell'app per le funzioni selezionare nome dell'app per le funzioni e selezionare Configurazione.

Nella scheda Impostazioni applicazione selezionare Nuova impostazione applicazione.

Aggiungere ognuna delle impostazioni dell'applicazione seguenti singolarmente, con i rispettivi valori stringa (con distinzione tra maiuscole e minuscole): CyberArkAuditUsername CyberArkAuditPassword CyberArkAuditServerURL WorkspaceID WorkspaceKey logAnalyticsUri (facoltativo)

Usare logAnalyticsUri per eseguire l'override dell'endpoint DELL'API log analytics per il cloud dedicato. Ad esempio, per il cloud pubblico, lasciare il valore vuoto; per Azure ambito cloud GovUS, specificare il valore nel formato seguente: https://<CustomerId>.ods.opinsights.azure.us.

Dopo aver immesso tutte le impostazioni dell'applicazione, fare clic su Salva.

CyberArkEPM (con Funzioni di Azure)

Supportato da:CyberArk Support

Il connettore dati CyberArk Endpoint Privilege Manager offre la possibilità di recuperare i registri eventi di sicurezza dei servizi CyberArk EPM e altri eventi in Microsoft Sentinel tramite l'API REST. Il connettore consente il recupero degli eventi per valutare i potenziali rischi per la sicurezza, monitorare la collaborazione e diagnosticare e risolvere i problemi di configurazione.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

CyberArkEPM_Events_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Microsoft. Permessi web/siti: Sono necessari permessi di lettura e scrittura per Funzioni di Azure per creare una Function App. Per altre informazioni, vedere Funzioni di Azure.

Le credenziali/permessi API REST:OauthUsername, OauthPassword, IdentityEndpoint, EPMRegionHost e WebAppID sono necessarie per effettuare chiamate API.

Istruzioni per l'installazione:

NOTA: Questo connettore usa Funzioni di Azure per connettersi all'API CyberArk EPM per eseguire il pull dei log in Microsoft Sentinel. Ciò potrebbe comportare costi aggiuntivi per l'inserimento dei dati e per l'archiviazione dei dati nei costi di Archiviazione BLOB di Azure. Per informazioni dettagliate, controllare la pagina dei prezzi Funzioni di Azure e Archiviazione BLOB di Azure pagina dei prezzi.

NOTA: Le chiavi o i token di autorizzazione API vengono archiviati in modo sicuro in Azure Key Vault. Azure Key Vault fornisce un meccanismo sicuro per archiviare e recuperare i valori delle chiavi.

NOTA: Questo connettore dati dipende da un parser basato su una funzione Kusto per funzionare come previsto CyberArkEPM che viene distribuito con la soluzione Microsoft Sentinel.

PASSAGGIO 1 - Passaggi di configurazione per l'API CyberArk EPM

Seguire le istruzioni per ottenere le credenziali OAuth2.

Ottenere OauthUsername, OauthPassword, WebAppID, IdentityEndpoint e EPMRegionHost per l'account CyberArk EPM.

PASSAGGIO 2- Scegliere UNO tra le due opzioni di distribuzione seguenti per distribuire il connettore e la funzione Azure associata

IMPORTANTE: Prima di distribuire il connettore dati CyberArk EPM, disporre del nome dell'area di lavoro e della posizione dell'area di lavoro (può essere copiato da quanto segue).

Nome dello spazio di lavoro:<variable value provided at install time>

Posizione dello spazio di lavoro:<variable value provided at install time>

Opzione 1 - Azure Resource Manager (ARM) Template:

Usare questo metodo per la distribuzione automatica del connettore dati CyberArk EPM usando un modello di Resource Manager.

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms

Selezionare la sottoscrizione, il gruppo di risorse e la località preferiti.

NOTA: All'interno dello stesso gruppo di risorse, non è possibile combinare app Windows e Linux nella stessa area. Selezionare un gruppo di risorse esistente senza app di Windows o creare un nuovo gruppo di risorse. 3. Immettere OauthUsername, OauthPassword, IdentityEndpoint, EPMRegionHost e WebAppID e distribuire. 4. Contrassegnare la casella di controllo etichettata Accetto i termini e le condizioni indicati sopra. 5. Fare clic su Acquista per distribuire.

Opzione 2 - Distribuzione manuale di Funzioni di Azure:

Usare le istruzioni dettagliate seguenti per distribuire manualmente il connettore dati CyberArk EPM con Funzioni di Azure (distribuzione tramite Visual Studio Code).

Distribuire un'app per le funzioni

NOTA: Sarà necessario preparare vs code per lo sviluppo di funzioni Azure.

Scaricare il file dell'app per le funzioni Azure. Estrarre l'archivio nel computer di sviluppo locale.

Avviare VS Code. Scegliere File nel menu principale e selezionare Apri cartella.

Selezionare la cartella di primo livello dai file estratti.

Scegliere l'icona Azure nella barra attività, quindi nell'area Azure: Funzioni scegliere il pulsante Distribuisci nell'app per le funzioni. Se non sei già connesso, scegli l'icona Azure nella barra Attività, poi nell'area Azure: Funzioni, scegli Accedi ad Azure: Se sei già connesso, passa al passo successivo.

Fornire le informazioni seguenti alle richieste:

Selezionare la cartella: Scegliere una cartella dall'area di lavoro o passare a una cartella contenente l'app per le funzioni.

Selezionare Sottoscrizione: Scegliere la sottoscrizione da usare.

Selezionare Crea nuova app per le funzioni in Azure (non scegliere l'opzione Avanzate)

Immettere un nome univoco globale per l'app per le funzioni: Digitare un nome valido in un percorso URL. Il nome digitato viene convalidato per assicurarsi che sia univoco in Funzioni di Azure. (ad esempio CyberArkXXXXX).

Selezionare un runtime: Scegliere Python 3.12.

Selezionare una posizione per le nuove risorse. Per ottenere prestazioni migliori e costi inferiori, scegliere la stessa area in cui si trova Microsoft Sentinel.

Verrà avviata la distribuzione. Una notifica viene visualizzata dopo la creazione dell'app per le funzioni e l'applicazione del pacchetto di distribuzione.

Passare a portale di Azuree per la configurazione dell'app per le funzioni.

Configurare l'app per le funzioni

Nell'app per le funzioni selezionare nome dell'app per le funzioni e selezionare Configurazione.

Nella scheda Impostazioni applicazione selezionare Nuova impostazione applicazione.

Aggiungere singolarmente ognuna delle impostazioni dell'applicazione seguenti, con i rispettivi valori stringa (con distinzione tra maiuscole e minuscole): OAuthUsername OAuthPassword IdentityEndpoint EPMRegionHost WebAppID

Dopo aver immesso tutte le impostazioni dell'applicazione, fare clic su Salva.

Cybersixgill Actionable Alerts (usando Funzioni di Azure)

Supportato da:Cybersixgill

Gli avvisi interattivi forniscono avvisi personalizzati in base agli asset configurati

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

CyberSixgill_Alerts_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Microsoft. Permessi web/siti: Sono necessari permessi di lettura e scrittura per Funzioni di Azure per creare una Function App. Per altre informazioni, vedere Funzioni di Azure.

Credenziali/permessi API REST:Client_ID e Client_Secret sono necessarie per effettuare chiamate API.

Istruzioni per l'installazione:

NOTA: Questo connettore usa Funzioni di Azure per connettersi all'API Cybersixgill per eseguire il pull di avvisi in Microsoft Sentinel. Ciò potrebbe comportare costi aggiuntivi per l'inserimento dei dati e per l'archiviazione dei dati nei costi di Archiviazione BLOB di Azure. Per informazioni dettagliate, controllare la pagina dei prezzi Funzioni di Azure e Archiviazione BLOB di Azure pagina dei prezzi.

(Passaggio facoltativo) Archiviare in modo sicuro le chiavi o i token di autorizzazione api e dell'area di lavoro in Azure Key Vault. Azure Key Vault fornisce un meccanismo sicuro per archiviare e recuperare i valori delle chiavi. Seguire queste istruzioni per usare Azure Key Vault con un'app per le funzioni Azure.

ID dello spazio di lavoro:<variable value provided at install time>

Chiave primaria:<variable value provided at install time>

Opzione 1 - Azure Resource Manager (ARM) Template:

Usare questo metodo per la distribuzione automatica del connettore dati Cybersixgill Actionable Alerts usando un modello arm.

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms

Selezionare la sottoscrizione, il gruppo di risorse e la località preferiti.

Immettere l'ID area di lavoro, la chiave dell'area di lavoro, l'ID client, il segreto client, TimeInterval e la distribuzione.

Contrassegnare la casella di controllo con l'etichetta Accetto i termini e le condizioni indicati sopra.

Fare clic su Acquista per distribuire.

Opzione 2 - Distribuzione manuale di Funzioni di Azure:

Usare le istruzioni dettagliate seguenti per distribuire manualmente il connettore dati Cybersixgill Actionable Alerts con Funzioni di Azure (distribuzione tramite Visual Studio Code).

Distribuire un'app per le funzioni

NOTA: sarà necessario preparare vs code per lo sviluppo di funzioni Azure.

Scaricare il file dell'app per le funzioni Azure. Estrarre l'archivio nel computer di sviluppo locale.

Avviare VS Code. Scegliere File nel menu principale e selezionare Apri cartella.

Selezionare la cartella di primo livello dai file estratti.

Scegliere l'icona Azure nella barra attività, quindi nell'area Azure: Funzioni scegliere il pulsante Distribuisci nell'app per le funzioni. Se non sei già connesso, scegli l'icona Azure nella barra Attività, poi nell'area Azure: Funzioni, scegli Accedi ad Azure: Se sei già connesso, passa al passo successivo.

Fornire le informazioni seguenti alle richieste:

Selezionare la cartella: Scegliere una cartella dall'area di lavoro o passare a una cartella contenente l'app per le funzioni.

Selezionare Sottoscrizione: Scegliere la sottoscrizione da usare.

Selezionare Crea nuova app per le funzioni in Azure (non scegliere l'opzione Avanzate)

Immettere un nome univoco globale per l'app per le funzioni: Digitare un nome valido in un percorso URL. Il nome digitato viene convalidato per assicurarsi che sia univoco in Funzioni di Azure. (ad esempio CybersixgillAlertsXXX).

Selezionare un runtime: Scegliere Python 3.11.

Selezionare una posizione per le nuove risorse. Per ottenere prestazioni migliori e costi inferiori, scegliere la stessa area in cui si trova Microsoft Sentinel.

Verrà avviata la distribuzione. Una notifica viene visualizzata dopo la creazione dell'app per le funzioni e l'applicazione del pacchetto di distribuzione.

Passare a portale di Azuree per la configurazione dell'app per le funzioni.

Configurare l'app per le funzioni

Nell'app per le funzioni selezionare nome dell'app per le funzioni e selezionare Configurazione.

Nella scheda Impostazioni applicazione selezionare + Nuova impostazione applicazione.

Aggiungere ognuna delle impostazioni dell'applicazione seguenti singolarmente, con i rispettivi valori stringa (distinzione tra maiuscole e minuscole): ClientID ClientSecret Polling WorkspaceID WorkspaceKey logAnalyticsUri (facoltativo)

Usare logAnalyticsUri per eseguire l'override dell'endpoint DELL'API log analytics per il cloud dedicato. Ad esempio, per il cloud pubblico, lasciare il valore vuoto; per Azure ambiente cloud GovUS, specificare il valore nel formato seguente:https://<CustomerId>.ods.opinsights.azure.us

Dopo aver immesso tutte le impostazioni dell'applicazione, fare clic su Salva.

Avvisi di Visione cyble

Supportato da:Cyble Support

Cyble Vision Alerts CCF Data Connector consente l'inserimento di avvisi di minacce da Cyble Vision in Microsoft Sentinel usando Codeless Connector Framework Connector. Raccoglie i dati degli avvisi tramite l'API, lo normalizza e lo archivia in una tabella personalizzata per il rilevamento avanzato, la correlazione e la risposta.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

CybleVisionAlerts_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Token API Cyble Vision: È necessario un API Token dalla Cyble Vision Platform.

Istruzioni per l'installazione:

Passo 1 - Generazione del token API dalla piattaforma Cyble:

Passare a Cyble Platform e accedere usando le credenziali di Cyble Vision.

Dopo aver eseguito l'accesso, passare al pannello a sinistra e scorrere verso il basso fino a Utilità. Fare clic su API di accesso. Nell'angolo in alto a destra della pagina fare clic sull'icona + (Aggiungi) per generare una nuova chiave API. Specificare un alias (un nome descrittivo per la chiave) e fare clic su Genera. Copiare il token API generato e archiviarlo in modo sicuro.

PASSO 2 - Configura il connettore dati:

Tornare a Microsoft Sentinel e aprire la pagina di configurazione del connettore dati Cyble Vision Alerts. Incollare il token API Cyble nel campo Token API in 'Dettagli API'.

API Token: (Inserisci il tuo API Token)

Intervallo di Query (in minuti): (Inserisci il tempo in minuti (ad esempio, 10))

Abilitare/disabilitare la connessione

Pacchetti di caccia di Cyborg Security HUNTER

Supportato da:Cyborg Security

Cyborg Security è un provider leader di soluzioni avanzate per la ricerca delle minacce, con la missione di fornire alle organizzazioni tecnologie all'avanguardia e strumenti collaborativi per rilevare e rispondere in modo proattivo alle minacce informatiche. L'offerta principale di Cyborg Security, la piattaforma HUNTER, combina potenti analisi, contenuti curati per la ricerca delle minacce e funzionalità complete di gestione della caccia per creare un ecosistema dinamico per efficaci operazioni di ricerca delle minacce.

Seguire i passaggi per accedere alla community di Cyborg Security e configurare le funzionalità "Apri nello strumento" nella piattaforma HUNTER.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

SecurityEvent Sì Sì

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

Istruzioni per l'installazione:

Nota: usare il collegamento seguente per trovare l'ID tentante di Azure Come trovare l'ID tenant di Active Directory Azure

Nome Gruppo Risorse e Nome Spazio di Lavoro:<variable value provided at install time>

WorkspaceID:<variable value provided at install time>

1. Iscriviti all'Account HUNTER Community di Cyborg Security:

Cyborg Security offre a Community Memebers l'accesso a un subset delle raccolte di minacce emergenti e ai pacchetti di ricerca.

Creare un account di commuinity gratuito per ottenere l'accesso ai pacchetti Hunt di Cyborg Security: Iscriviti subito!

2. Configura la funzione Apertura Strumento:

Passare alla sezione Ambiente della piattaforma HUNTER.

Compilare l'URI radice dell'ambiente nella sezione denominata Microsoft Sentinel. Sostituire gli <elementi> in grassetto con gli ID e i nomi della sottoscrizione, dei gruppi di risorse e delle aree di lavoro.

https[]()://portal.azure.com#@**AzureTenantID**/blade/Microsoft_OperationsManagementSuite_Workspace/Logs.ReactView/resourceId/%2Fsubscriptions%2F**AzureSubscriptionID**%2Fresourcegroups%2F**ResourceGroupName**%2Fproviders%2Fmicrosoft.operationalinsights%2Fworkspaces%2F<**WorkspaceName**>/

Fare clic su Salva.

3. Esegui un pacakge di caccia HUNTER in Microsoft Sentinel:

Identificare un pacchetto di ricerca cyborg Security HUNTER da distribuire e usare il pulsante Apri nello strumento per aprire rapidamente Microsoft Sentinel e organizzare il contenuto di ricerca.

Connettore dati cyera DSPM Microsoft Sentinel

Supportato da:Cyera Inc

Il connettore dati cyera DSPM consente di connettersi al tenant DSPM di Cyera e inserire classificazioni, asset, problemi e risorse/definizioni di identità in Microsoft Sentinel. Il connettore dati è basato sul framework codeless connector di Microsoft Sentinel e usa l'API di Cyera per recuperare i dati di telemetria DSPM di Cyera ricevuti possono essere correlati agli eventi di sicurezza che creano colonne personalizzate in modo che le query non debbano analizzarlo di nuovo, con conseguente miglioramento delle prestazioni.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

CyeraClassifications_CL No No

CyeraAssets_CL No No

CyeraAssets_MS_CL No No

CyeraIssues_CL No No

CyeraIdentities_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Istruzioni per l'installazione:

Autenticazione Cyera DSPM:

Connettersi a Cyera DSPM tenenant tramite token di accesso personale

ID client del Token di Accesso Personale Cyera: (client_id)

Chiave segreta del Token di Accesso Personale Cyera: (secret_key)

Abilitare/disabilitare la connessione

Superficie di attacco CYFIRMA

Supportato da:CYFIRMA

N/D

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

CyfirmaASCertificatesAlerts_CL No No

CyfirmaASConfigurationAlerts_CL No No

CyfirmaASDomainIPReputationAlerts_CL No No

CyfirmaASOpenPortsAlerts_CL No No

CyfirmaASCloudWeaknessAlerts_CL No No

CyfirmaASDomainIPVulnerabilityAlerts_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Istruzioni per l'installazione:

Surface d'attacco CYFIRMA:

Connettersi a CYFIRMA Attack Surface per inserire avvisi in Microsoft Sentinel. Questo connettore usa l'API DeCYFIR/DeTCT per recuperare i log e supporta le trasformazioni del tempo di inserimento basate su DCR, analizzando i dati di sicurezza in tabelle personalizzate durante l'inserimento. In questo modo si elimina la necessità di analizzare il tempo di query, migliorando le prestazioni e l'efficienza.

URL API CYFIRMA: ()https://decyfir.cyfirma.com

Chiave API CYFIRMA: (Chiave API CYFIRMA)

API Delta: (API Delta)

Abilitare/disabilitare la connessione

Intelligenza del Brand CYFIRMA

Supportato da:CYFIRMA

N/D

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

CyfirmaBIDomainITAssetAlerts_CL No No

CyfirmaBIExecutivePeopleAlerts_CL No No

CyfirmaBIProductSolutionAlerts_CL No No

CyfirmaBISocialHandlersAlerts_CL No No

CyfirmaBIMaliciousMobileAppsAlerts_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Istruzioni per l'installazione:

Intelligenza del Brand CYFIRMA:

Connettersi a CYFIRMA Brand Intelligence per inserire i dati degli avvisi in Microsoft Sentinel. Questo connettore usa l'API Avvisi DeCYFIR/DeTCT per recuperare i log e supporta le trasformazioni del tempo di inserimento basate su DCR, analizzando i dati di sicurezza in tabelle personalizzate durante l'inserimento. Ciò migliora le prestazioni e l'efficienza eliminando la necessità di analizzare il tempo di query.

URL API CYFIRMA: ()https://decyfir.cyfirma.com

Chiave API CYFIRMA: (Chiave API CYFIRMA)

API Delta: (API Delta)

Abilitare/disabilitare la connessione

Account compromessi CYFIRMA

Supportato da:CYFIRMA

Il connettore dati account compromessi CYFIRMA consente l'inserimento facile dei log dall'API DeCYFIR/DeTCT in Microsoft Sentinel. Basato su Microsoft Sentinel Codeless Connector Framework, usa l'API DeCYFIR/DeTCT per recuperare i log. Inoltre, supporta le trasformazioni del tempo di inserimento basate su DCR, che analizzano i dati di sicurezza in una tabella personalizzata durante l'inserimento. In questo modo si elimina la necessità di analizzare il tempo di query, migliorando le prestazioni e l'efficienza.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

CyfirmaCompromisedAccounts_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Istruzioni per l'installazione:

Conti COMPROMESSI di CYFIRMA:

CyFIRMA Compromised Accounts Data Connector consente l'inserimento facile dei log dall'API DeCYFIR/DeTCT in Microsoft Sentinel. Basato su Microsoft Sentinel Codeless Connector Framework, usa l'API DeCYFIR/DeTCT per recuperare i log. Inoltre, supporta le trasformazioni del tempo di inserimento basate su DCR, che analizzano i dati di sicurezza in una tabella personalizzata durante l'inserimento. In questo modo si elimina la necessità di analizzare il tempo di query, migliorando le prestazioni e l'efficienza.

URL API CYFIRMA: ()https://decyfir.cyfirma.com

Chiave API CYFIRMA: (Chiave API CYFIRMA)

API Delta: (API Delta)

Abilitare/disabilitare la connessione

CYFIRMA Intelligence Informatica

Supportato da:CYFIRMA

Il connettore dati CYFIRMA Cyber Intelligence consente l'inserimento facile dei log dall'API DeCYFIR in Microsoft Sentinel. Basato su Microsoft Sentinel Codeless Connector Framework, usa l'API Avvisi DeCYFIR per recuperare i log. Inoltre, supporta le trasformazioni del tempo di inserimento basate su DCR, che analizzano i dati di sicurezza in una tabella personalizzata durante l'inserimento. In questo modo si elimina la necessità di analizzare il tempo di query, migliorando le prestazioni e l'efficienza.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

CyfirmaIndicators_CL No No

CyfirmaThreatActors_CL No No

CyfirmaCampaigns_CL No No

CyfirmaMalware_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Istruzioni per l'installazione:

Intelligenza Informatica di CYFIRMA:

Questo connettore fornisce i log indicatori, attori delle minacce, malware e campagne di CYFIRMA Cyber Intelligence. Il connettore usa l'API DeCYFIR per recuperare i log e supporta le trasformazioni del tempo di inserimento basate su DCR, analizzando i dati di sicurezza in una tabella personalizzata durante l'inserimento. In questo modo si elimina la necessità di analizzare il tempo di query, migliorando le prestazioni e l'efficienza.

URL API CYFIRMA: ()https://decyfir.cyfirma.com

Chiave API CYFIRMA: (Chiave API CYFIRMA)

Ritira tutti gli IoC o gli IoC su misura: (tutti gli IoC o IoC su misura)

API Delta: (API Delta)

Azioni consigliate: (L'azione consigliata può essere una di: Tutti/Monitor/Blocca)

Attore Minaccioso Associato: (Qualsiasi attore minaccioso è associato agli IoC)

Abilitare/disabilitare la connessione

Rischio digitale CYFIRMA

Supportato da:CYFIRMA

Il connettore dati CYFIRMA Digital Risk Alerts consente l'inserimento facile dei log dall'API DeCYFIR/DeTCT in Microsoft Sentinel. Basato su Microsoft Sentinel Codeless Connector Framework, usa l'API Avvisi DeCYFIR per recuperare i log. Inoltre, supporta le trasformazioni del tempo di inserimento basate su DCR, che analizzano i dati di sicurezza in una tabella personalizzata durante l'inserimento. In questo modo si elimina la necessità di analizzare il tempo di query, migliorando le prestazioni e l'efficienza.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

CyfirmaDBWMPhishingAlerts_CL No No

CyfirmaDBWMRansomwareAlerts_CL No No

CyfirmaDBWMDarkWebAlerts_CL No No

CyfirmaSPESourceCodeAlerts_CL No No

CyfirmaSPEConfidentialFilesAlerts_CL No No

CyfirmaSPEPIIAndCIIAlerts_CL No No

CyfirmaSPESocialThreatAlerts_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Istruzioni per l'installazione:

Rischio digitale di CYFIRMA:

Connettersi agli avvisi di rischio digitali CYFIRMA per inserire i log in Microsoft Sentinel. Questo connettore usa l'API DeCYFIR/DeTCT per recuperare gli avvisi e supporta le trasformazioni del tempo di inserimento basate su DCR per un'analisi efficiente dei log.

URL API CYFIRMA: ()https://decyfir.cyfirma.com

Chiave API CYFIRMA: (Chiave API CYFIRMA)

API Delta: (API Delta)

Abilitare/disabilitare la connessione

Intelligence sulle vulnerabilità di CYFIRMA

Supportato da:CYFIRMA

Il connettore dati di Cyfirma Vulnerabilities Intelligence consente l'inserimento facile dei log dall'API DeCYFIR in Microsoft Sentinel. Basato su Microsoft Sentinel Codeless Connector Framework, sfrutta le API CYFIRMA per recuperare i log. Inoltre, supporta le trasformazioni del tempo di inserimento basate su DCR, che analizzano i dati di sicurezza in una tabella personalizzata durante l'inserimento. In questo modo si elimina la necessità di analizzare il tempo di query, migliorando le prestazioni e l'efficienza.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

CyfirmaVulnerabilities_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Istruzioni per l'installazione:

Intelligenza sulle vulnerabilità di CYFIRMA:

Questo connettore fornisce i log delle vulnerabilità di CYFIRMA Vulnerabilities Intelligence. Il connettore usa l'API DeCYFIR per recuperare i log e supporta le trasformazioni del tempo di inserimento basate su DCR, analizzando i dati di sicurezza in una tabella personalizzata durante l'inserimento. In questo modo si elimina la necessità di analizzare il tempo di query, migliorando le prestazioni e l'efficienza.

URL API CYFIRMA: ()https://decyfir.cyfirma.com

Chiave API CYFIRMA: (Chiave API CYFIRMA)

API Delta: (API Delta)

Vulnerabilità associate al fornitore:

Product-Associated Vulnerabilità:

Prodotto con vulnerabilità Version-Associated:

Abilitare/disabilitare la connessione

Eventi di sicurezza di Cynerio

Supportato da:Cynerio

Il connettore Cynerio consente di connettere facilmente gli eventi di sicurezza di Cynerio con Microsoft Sentinel per visualizzare gli eventi IDS. Ciò offre maggiori informazioni sul comportamento di sicurezza di rete dell'organizzazione e migliora le funzionalità delle operazioni di sicurezza.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

CynerioEvent_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Istruzioni per l'installazione:

Configura e collega Cynerio:

Cynerio può integrare ed esportare eventi direttamente in Microsoft Sentinel tramite Azure Server. Per stabilire l'integrazione, seguire questa procedura:

Nella console di Cynerio passare alla scheda Integrazioni impostazioni > (impostazione predefinita) e fare clic sul pulsante +Aggiungi integrazione in alto a destra.

Scorrere verso il basso fino alla sezione SIEM .

Nella scheda Microsoft Sentinel fare clic sul pulsante Connetti.

Verrà visualizzata la finestra Dettagli integrazione. Utilizzare i parametri seguenti per compilare il modulo e configurare la connessione.

ID dello spazio di lavoro:<variable value provided at install time>

Chiave primaria:<variable value provided at install time>

Intelligence sulle Minacce Cyren

Supportato da:Data443 Risk Mitigation, Inc.

Inserire gli indicatori di URL di reputazione IP e malware da Cyren usando Common Connector Framework (CCF).

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

Cyren_Indicators_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Gettoni Cyren JWT: Token JWT memorizzati in Azure Key Vault o forniti al momento del deployment.

Istruzioni per l'installazione:

Collega Cyren Intelligence sulle Minacce:

Per abilitare il connettore Cyren Threat Intelligence, specificare i token JWT seguenti e fare clic su Connetti.

Nota: È possibile usare il feed o entrambi a seconda della sottoscrizione. Lasciare vuoto il campo token per qualsiasi feed non acquistato. Verranno distribuiti solo i connettori per i token specificati.

Per una sicurezza avanzata, è possibile abilitare l'integrazione Key Vault per archiviare e recuperare i token JWT.

Token JWT della reputazione IP (Opzionale): (Lasciare vuoto se non acquistato)

URL malware token JWT (Opzionale): (Lasciare vuoto se non acquistato)

Abilitare/disabilitare la connessione

Eventi imprevisti smart soar D3

Supportato da:D3 Security

Il connettore dati D3 Smart SOAR esegue il pull degli eventi imprevisti da D3 Smart SOAR in Microsoft Sentinel usando l'endpoint di comando dell'API REST senza codice D3.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

D3SOARIncidents_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Istruzioni per l'installazione:

Collega D3 Smart SOAR a Microsoft Sentinel:

Prerequisito: in D3 Smart SOAR passare a Gestione organizzazione -> Siti, selezionare il sito che si sta connettendo e impostarne il fuso orario su (UTC+00:00) Coordinated Universal Time. Ciò garantisce che i timestamp degli eventi imprevisti siano allineati correttamente con Microsoft Sentinel.

Immettere i dettagli della connessione D3 Smart SOAR di seguito. Gli eventi imprevisti verranno sottoposti a polling ogni 5 minuti e scritti nella tabella D3SOARIncidents_CL. URL server: URL di base della distribuzione di D3 Smart SOAR, fino al percorso del sito incluso. Non includere il percorso DELL'API. Nome utente: nome utente dell'account smart SOAR D3 (uguale all'account di accesso del portale). Sito : il nome del sito D3 Smart SOAR a cui appartiene l'account (ad esempio Security Operations). D3 JWT : token Web JSON emesso da D3 Smart SOAR per l'autenticazione API.

URL del server: (https://poc.bemimo.com/ce_site/VSOC)

Nome utente: (admin)

Sito: (Operazioni di Sicurezza)

D3 JWT: (ey...)

Abilitare/disabilitare la connessione

Connettore della piattaforma di sicurezza Darktrace ActiveAI

Supportato da:Darktrace

Il connettore Darktrace ActiveAI Security Platform Connector offre la capacità di leggere i dati grezzi degli eventi provenienti da Darktrace in Microsoft Sentinel.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

DarktraceASM_CL No No

DarktraceEMAIL_CL No No

DarktraceIncidents_CL No No

DarktraceModelAlerts_CL No No

DarktraceResponseActions_CL No No

DarktraceSystemStatusAlerts_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Microsoft Entra: Permesso di creare una registrazione di un'app in Microsoft Entra ID. In genere richiede Entra ruolo sviluppatore di applicazioni ID o superiore.

Microsoft Azure: Permesso di assegnare il ruolo di Monitoring Metrics Publisher sulla regola di raccolta dati (DCR). In genere richiede Azure ruolo Proprietario controllo degli accessi in base al ruolo o Amministratore accesso utente

Istruzioni per l'installazione:

1. Creare risorse di Resource Manager e fornire le autorizzazioni necessarie

Questo connettore legge i dati dalle tabelle che Darktrace utilizza in uno Workspace Microsoft Analytics; se la configurazione Microsoft Sentinel Log Ingestion è abilitata in Darktrace, allora i dati grezzi degli eventi vengono inviati all'API Microsoft Sentinel Ingestion.

La configurazione automatizzata e l'inserimento sicuro dei dati con Entra'applicazione facendo clic su "Distribuisci" attiveranno la creazione di tabelle di Log Analytics e di una regola di raccolta dati (DCR). Verrà quindi creata un'applicazione Entra, verrà collegato il DCR e verrà impostato il segreto immesso nell'applicazione. Questa configurazione consente di inviare i dati in modo sicuro al DCR usando un token di Entra.

2. Eseguire il push dei log nell'area di lavoro

Usare i parametri seguenti per configurare il computer per inviare i log all'area di lavoro.

ID Tenant (ID Directory):<Valore variabile fornito al momento dell'installazione>

ID Domanda di Registrazione Entra App:<Valore variabile fornito al momento dell'installazione>

Segreto per la registrazione dell'app Entra:<Valore variabile fornito al momento dell'installazione>

Data Collection Endpoint Uri:<Valore variabile fornito al momento dell'installazione>

ID immutabile della regola di raccolta dati:<Valore variabile fornito al momento dell'installazione>

Nome del flusso di gestione Attack Surface:< valore variabile fornito al momento dell'installazione>

Nome della trasmissione EMAIL:<Valore variabile fornito al momento dell'installazione>

Nome del flusso di incidenti dell'analista IA:<Valore variabile fornito al momento dell'installazione>

Nome della Trasmissione degli Allerti Modello:<Valore variabile fornito al momento dell'installazione>

Nome del flusso di risposta autonoma:<Valore variabile fornito al momento dell'installazione>

Nome del flusso degli avvisi di stato del sistema:<Valore variabile fornito al momento dell'installazione>

DataBahn

Supportato da:Databahn

Il connettore DataBahn offre la possibilità di eseguire il push dei dati di telemetria della piattaforma in tempo reale dall'ambiente DataBahn direttamente in Microsoft Sentinel usando il modello di push Codeless Connector Framework (CCF). Questo connettore inserisce log di controllo, avvisi operativi e inventario dei dispositivi in tabelle log analytics personalizzate per l'analisi, gli avvisi e la visualizzazione.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

databahn_audit_logs_CL No No

databahn_alerts_CL No No

databahn_device_inventory_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Microsoft Entra: Permesso di creare una registrazione di un'app in Microsoft Entra ID. In genere richiede Entra ruolo sviluppatore di applicazioni ID o superiore.

Microsoft Azure: Permesso di assegnare il ruolo di Monitoring Metrics Publisher sulla regola di raccolta dati (DCR). In genere richiede Azure ruolo Proprietario controllo degli accessi in base al ruolo o Amministratore accesso utente.

Istruzioni per l'installazione:

1. Creare risorse ARM e fornire i permessi richiesti:

Questo connettore consente alla piattaforma DataBahn di eseguire il push di log di controllo, avvisi e inventario dei dispositivi direttamente in Microsoft Sentinel tramite l'API di inserimento monitoraggio Azure.

La configurazione automatizzata e l'inserimento sicuro dei dati con Entra'applicazione facendo clic su "Distribuisci" attiveranno la creazione di tabelle di Log Analytics e di una regola di raccolta dati (DCR). Verrà quindi creata un'applicazione Entra, verrà collegato il DCR e verrà impostato il segreto immesso nell'applicazione. Questa configurazione consente di inviare i dati in modo sicuro al DCR usando un token di Entra.

2. Configura la tua piattaforma DataBahn:

Usare i parametri seguenti per configurare la destinazione DataBahn Highway per eseguire il push dei dati nell'area di lavoro.

ID Tenant (ID Directory):<variable value provided at install time>

ID Domanda di Registrazione Entra App:<variable value provided at install time>

Segreto per la registrazione dell'app Entra:<variable value provided at install time>

Data Collection Endpoint Uri:<variable value provided at install time>

ID immutabile della regola di raccolta dati:<variable value provided at install time>

Nome del flusso dei log di audit:<variable value provided at install time>

Nome della trasmissione degli avvisi:<variable value provided at install time>

Nome del flusso di inventario dei dispositivi:<variable value provided at install time>

Datalake2Sentinel

Supportato da:Orange Cyberdefense

Questa soluzione installa il connettore Datalake2Sentinel creato usando Codeless Connector Framework e consente di inserire automaticamente gli indicatori di intelligence sulle minacce dalla piattaforma CTI di Datalake Orange Cyberdefense in Microsoft Sentinel tramite l'API REST Upload Indicators. Dopo aver installato la soluzione, configurare e abilitare questo connettore dati seguendo le indicazioni riportate in Gestire la visualizzazione soluzione.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

ThreatIntelligenceIndicator Sì No

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

Istruzioni per l'installazione:

Istruzioni per installazione e installazione:

Usare la documentazione di questo repository Github per installare e configurare Datalake per Microsoft Sentinel connettore.

https://github.com/cert-orangecyberdefense/datalake2sentinel

Connettore dati Dataminr Pulse Alerts (usando Funzioni di Azure)

Supportato da:Supporto di Dataminr

Dataminr Pulse Alerts Data Connector offre funzionalità di intelligence in tempo reale basate su intelligenza artificiale in Microsoft Sentinel per un rilevamento e una risposta più veloci alle minacce.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

DataminrPulse_Alerts_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Iscrizione Azure: L'abbonamento Azure con ruolo di proprietario è necessario per registrare un'applicazione in Microsoft Entra ID e assegnare il ruolo di contributore all'app nel gruppo risorse.

Microsoft. Permessi web/siti: Sono necessari permessi di lettura e scrittura per Funzioni di Azure per creare una Function App. Per altre informazioni, vedere Funzioni di Azure.

Credenziali/permessi Dataminr richiesti:

a. Per usare questo connettore dati, gli utenti devono avere un ID client e un segreto dell'API Dataminr Pulse validi.

b. Nel sito Web Dataminr Pulse è necessario configurare uno o più watchlist di Dataminr Pulse.

Istruzioni per l'installazione:

NOTA: Questo connettore usa Funzioni di Azure per connettersi a DataminrPulse in cui viene eseguito il push dei log tramite Dataminr RTAP e inserirà i log in Microsoft Sentinel. Inoltre, il connettore recupererà i dati inseriti dalla tabella dei log personalizzati e creerà indicatori di Intelligence per le minacce in Microsoft Sentinel Threat Intelligence. Ciò potrebbe comportare costi aggiuntivi per l'inserimento di dati. Per informazioni dettagliate, controllare la pagina dei prezzi Funzioni di Azure.

(Passaggio facoltativo) Archiviare in modo sicuro le chiavi o i token di autorizzazione api e dell'area di lavoro in Azure Key Vault. Azure Key Vault fornisce un meccanismo sicuro per archiviare e recuperare i valori delle chiavi. Seguire queste istruzioni per usare Azure Key Vault con un'app per le funzioni Azure.

PASSAGGIO 1- Credenziali per l'ID client e il segreto client di Dataminr Pulse

Ottenere l'ID utente/password/password di Dataminr Pulse e l'ID/segreto del client API da Dataminr Customer Success Manager (CSM).

PASSAGGIO 2- Configurare watchlist nel portale di Dataminr Pulse.

Seguire i passaggi descritti in questa sezione per configurare gli elenchi di controllo nel portale:

Accedere al sito Web Dataminr Pulse.

Fare clic sull'icona a ingranaggio delle impostazioni e selezionare Gestisci elenchi.

Selezionare il tipo di Watchlist che si vuole creare (Cyber, Topic, Company e così via) e fare clic sul pulsante Nuovo elenco .

Specificare un nome per il nuovo watchlist e selezionare un colore di evidenziazione o mantenere il colore predefinito.

Al termine della configurazione dell'elenco espressioni di controllo, fare clic su Salva per salvarlo.

PASSAGGIO 3 : Procedura di registrazione dell'app per l'applicazione in Microsoft Entra ID

Questa integrazione richiede una registrazione dell'app nel portale di Azure. Seguire i passaggi descritti in questa sezione per creare una nuova applicazione in Microsoft Entra ID:

Accedere al portale di Azure.

Cercare e selezionare Microsoft Entra ID.

In Gestisci selezionare Registrazioni app > Nuova registrazione.

Immettere un nome visualizzato per l'applicazione.

Selezionare Registra per completare la registrazione iniziale dell'app.

Al termine della registrazione, il portale di Azure visualizza il riquadro Panoramica della registrazione dell'app. Verranno visualizzati l'ID applicazione (client) e l'ID tenant. L'ID client e l'ID tenant sono necessari come parametri di configurazione per l'esecuzione di DataminrPulse Data Connector.

Collegamento di riferimento:/azure/active-directory/develop/quickstart-register-app

PASSAGGIO 4 - Aggiungere un segreto client per l'applicazione in Microsoft Entra ID

A volte chiamato password dell'applicazione, un segreto client è un valore stringa necessario per l'esecuzione di DataminrPulse Data Connector. Seguire i passaggi descritti in questa sezione per creare un nuovo segreto client:

Nel portale di Azure selezionare l'applicazione in Registrazioni app.

Selezionare Certificati & segreti > client Segreti > client Nuovo segreto client.

Aggiungere una descrizione per il segreto client.

Selezionare una scadenza per il segreto o specificare una durata personalizzata. Il limite è di 24 mesi.

Selezionare Aggiungi.

Registrare il valore del segreto da usare nel codice dell'applicazione client. Questo valore del segreto non viene mai più visualizzato dopo aver lasciato questa pagina. Il valore del segreto è obbligatorio come parametro di configurazione per l'esecuzione di DataminrPulse Data Connector.

Collegamento di riferimento:/azure/active-directory/develop/quickstart-register-app#add-a-client-secret

PASSAGGIO 5 - Assegnare il ruolo collaboratore all'applicazione in Microsoft Entra ID

Seguire i passaggi descritti in questa sezione per assegnare il ruolo:

Nella portale di Azure passare al gruppo di risorse e selezionare il gruppo di risorse.

Passare a Controllo di accesso (IAM) dal pannello sinistro.

Fare clic su Aggiungi e quindi selezionare Aggiungi assegnazione di ruolo.

Selezionare Collaboratore come ruolo e fare clic su Avanti.

In Assegna accesso a selezionare User, group, or service principal.

Fare clic su Aggiungi membri e digitare il nome dell'app creato e selezionarlo.

Fare ora clic su Rivedi e assegna e quindi fare di nuovo clic su Rivedi e assegna.

Collegamento di riferimento:/azure/role-based-access-control/role-assignments-portal

PASSAGGIO 6- Scegliere UNO tra le due opzioni di distribuzione seguenti per distribuire il connettore e la funzione Azure associata

IMPORTANTE: Prima di distribuire il connettore dati Dataminr Pulse Microsoft Sentinel, avere l'ID area di lavoro e la chiave primaria dell'area di lavoro (che possono essere copiati da quanto segue) immediatamente disponibili.

ID dello spazio di lavoro:<variable value provided at install time>

Chiave primaria:<variable value provided at install time>

Opzione 1 - Azure Resource Manager (ARM) Template:

Usare questo metodo per la distribuzione automatica del connettore DataminrPulse.

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms aka.ms

Selezionare la sottoscrizione, il gruppo di risorse e la località preferiti.

Immettere le informazioni seguenti: Function Name Workspace ID Workspace Key AlertsTableName BaseURL ClientId ClientSecret AzureClientId AzureClientSecret AzureTenantId AzureResourceGroupName AzureWorkspaceName AzureSubscriptionId Schedule LogLevel

Contrassegnare la casella di controllo con l'etichetta Accetto i termini e le condizioni indicati sopra.

Fare clic su Acquista per distribuire.

Opzione 2 - Distribuzione manuale di Funzioni di Azure:

Usare le istruzioni dettagliate seguenti per distribuire manualmente il connettore dati Dataminr Pulse Microsoft Sentinel con Funzioni di Azure (distribuzione tramite Visual Studio Code).

1) Implementare un'app funzionale:

NOTA: Sarà necessario preparare vs code per lo sviluppo di funzioni Azure.

Scaricare il file dell'app per le funzioni Azure. Estrarre l'archivio nel computer di sviluppo locale.

Avviare VS Code. Scegliere File nel menu principale e selezionare Apri cartella.

Selezionare la cartella di primo livello dai file estratti.

Scegliere l'icona Azure nella barra attività, quindi nell'area Azure: Funzioni scegliere il pulsante Distribuisci nell'app per le funzioni. Se non sei già connesso, scegli l'icona Azure nella barra Attività, poi nell'area Azure: Funzioni, scegli Accedi ad Azure: Se sei già connesso, passa al passo successivo.

Fornire le informazioni seguenti alle richieste:

Selezionare la cartella: Scegliere una cartella dall'area di lavoro o passare a una cartella contenente l'app per le funzioni.

Selezionare Sottoscrizione: Scegliere la sottoscrizione da usare.

Selezionare Crea nuova app per le funzioni in Azure (non scegliere l'opzione Avanzate)

Immettere un nome univoco globale per l'app per le funzioni: Digitare un nome valido in un percorso URL. Il nome digitato viene convalidato per assicurarsi che sia univoco in Funzioni di Azure. (ad esempio DmPulseXXXXX).

Selezionare un runtime: Scegliere Python 3.8 o versione successiva.

Selezionare una posizione per le nuove risorse. Per ottenere prestazioni migliori e costi inferiori, scegliere la stessa area in cui si trova Microsoft Sentinel.

Verrà avviata la distribuzione. Una notifica viene visualizzata dopo la creazione dell'app per le funzioni e l'applicazione del pacchetto di distribuzione.

Passare a portale di Azuree per la configurazione dell'app per le funzioni.

2) Configura l'app di funzione:

Nell'app per le funzioni selezionare nome dell'app per le funzioni e selezionare Configurazione.

Nella scheda Impostazioni applicazione selezionare + Nuova impostazione applicazione.

Aggiungere ognuna delle impostazioni dell'applicazione seguenti singolarmente, con i rispettivi valori (con distinzione tra maiuscole e minuscole): Function Name Workspace ID Workspace Key AlertsTableName BaseURL ClientId ClientSecret AzureClientId AzureClientSecret AzureTenantId AzureResourceGroupName AzureWorkspaceName AzureSubscriptionId Schedule LogLevel logAnalyticsUri (facoltativo)

Usare logAnalyticsUri per eseguire l'override dell'endpoint DELL'API log analytics per il cloud dedicato. Ad esempio, per il cloud pubblico, lasciare il valore vuoto; per Azure ambito cloud GovUS, specificare il valore nel formato seguente: https://<CustomerId>.ods.opinsights.azure.us.

Dopo aver immesso tutte le impostazioni dell'applicazione, fare clic su Salva.

PASSAGGIO 7 - Passaggi successivi alla distribuzione

1) Ottieni l'endpoint dell'app Funzione:

Passare alla pagina Panoramica della funzione Azure e fare clic su "Funzioni" nel pannello a sinistra.

Fare clic sulla funzione denominata "DataminrPulseAlertsHttpStarter".

Passare a "GetFunctionurl" e copiare l'URL della funzione.

Sostituire {functionname} con "DataminrPulseAlertsSentinelOrchestrator" nell'URL della funzione copiata.

2) Aggiungere impostazioni di integrazione in Dataminr RTAP usando l'URL della funzione:

Aprire qualsiasi strumento di richiesta API, ad esempio Postman.

Fare clic su '+' per creare una nuova richiesta.

Selezionare metodo di richiesta HTTP come 'POST'.

Immettere l'URL prepapred nel punto 1) nella parte dell'URL della richiesta.

In Corpo selezionare JSON non elaborato e specificare il corpo della richiesta come indicato di seguito(con distinzione tra maiuscole e minuscole): { "integration-settings": "ADD", "url": "(URL part from copied Function-url)", "token": "(value of code parameter from copied Function-url)" }

Dopo aver fornito tutti i dettagli necessari, fare clic su Invia.

Si riceverà un ID impostazione di integrazione nella risposta HTTP con codice di stato 200.

Salvare l'ID di integrazione per informazioni di riferimento future.

Ora è stata completata l'aggiunta delle impostazioni di integrazione per Dataminr RTAP. Dopo che Dataminr RTAP ha inviato i dati di un avviso, l'app per le funzioni viene attivata e dovrebbe essere possibile visualizzare i dati degli avvisi da Dataminr Pulse nella tabella dell'area di lavoro LogAnalytics denominata "DataminrPulse_Alerts_CL".

Datawiza DAP

Supportato da:Datawiza Technology Inc.

Connette i log DAP di Datawiza a Log Analytics di Azure tramite l'interfaccia dell'API REST

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

datawizaserveraccess_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Istruzioni per l'installazione:

Passo 1: Leggi la documentazione dettagliata:

Il processo di installazione è documentato in modo dettagliato nel sito della documentazione Microsoft Sentinel l'integrazione. L'utente deve consultare il supporto tecnico (support@datawiza.com) per comprendere ulteriormente l'installazione e il debug dell'integrazione.

Passo 2: Installa il connettore Datawiza Sentinel:

Il passaggio successivo consiste nell'installare il server d'inoltro del log di Datawiza per inviare i log a Microsoft Sentinel. L'installazione esatta dipenderà dall'ambiente in uso, consultare l'integrazione Microsoft Sentinel per informazioni dettagliate.

Passo 3: Testa l'ingestione dei dati:

Dopo circa 20 minuti accedere all'area di lavoro Log Analytics nell'installazione Microsoft Sentinel e individuare la sezione Log personalizzati per verificare che esista una tabella datawizaserveraccess_CL. Usare le query di esempio per esaminare i dati.

Derdack SIGNL4

Supportato da:Derdack

Quando si verificano errori o incidenti di sicurezza critici, SIGNL4 collega il "miglio" al personale, ai tecnici, agli amministratori IT e ai lavoratori sul campo. Aggiunge avvisi mobili in tempo reale ai servizi, ai sistemi e ai processi in pochissimo tempo. SIGNL4 invia notifiche tramite push mobile persistente, SMS e chiamate vocali con riconoscimento, rilevamento e escalation. La pianificazione integrata dei compiti e dei turni assicura che le persone giuste vengano avvisate al momento giusto.

Ulteriori informazioni >

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

SecurityIncident Sì Sì

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

Istruzioni per l'installazione:

NOTA: Questo connettore dati legacy include un modello base di playbook di App per la logica di Azure per Microsoft Sentinel. Il playbook si attiva quando viene creato un nuovo incidente Microsoft Sentinel. Puoi estendere il flusso di lavoro aggiungendo un'azione SIGNL4 in App per la logica di Azure per creare un nuovo avviso in SIGNL4.

Connettore SIGNL4: Il modo consigliato per integrare SIGNL4 con Microsoft Sentinel è utilizzare l'app Microsoft Sentinel connector in SIGNL4. Per le istruzioni complete di configurazione, vedi Integra SIGNL4 con Microsoft Sentinel.

Digital Shadows Searchlight (usando Funzioni di Azure)

Supportato da: Ombre digitali

Il connettore dati Digital Shadows fornisce l'inserimento degli eventi imprevisti e degli avvisi da Digital Shadows Searchlight nel Microsoft Sentinel usando l'API REST. Il connettore fornirà le informazioni sugli eventi imprevisti e gli avvisi in modo che consenta di esaminare, diagnosticare e analizzare i potenziali rischi e minacce per la sicurezza.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

DigitalShadows_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Microsoft. Permessi web/siti: Sono necessari permessi di lettura e scrittura per Funzioni di Azure per creare una Function App. Per altre informazioni, vedere Funzioni di Azure.

Credenziali/permessi dell'API REST:Sono necessari ID account, secret e key di Digital Shadows. Vedere la documentazione per altre informazioni sull'API in https://portal-digitalshadows.com/learn/searchlight-api/overview/description.

Istruzioni per l'installazione:

NOTA: Questo connettore usa Funzioni di Azure per connettersi a un 'Digital Shadows Searchlight' per eseguire il pull dei log in Microsoft Sentinel. Ciò potrebbe comportare costi aggiuntivi per l'inserimento di dati. Per informazioni dettagliate, controllare la pagina dei prezzi Funzioni di Azure.

(Passaggio facoltativo) Archiviare in modo sicuro le chiavi o i token di autorizzazione api e dell'area di lavoro in Azure Key Vault. Azure Key Vault fornisce un meccanismo sicuro per archiviare e recuperare i valori delle chiavi. Seguire queste istruzioni per usare Azure Key Vault con un'app per le funzioni Azure.

PASSAGGIO 1 - Passaggi di configurazione per l'API 'Digital Shadows Searchlight'

Il provider deve fornire o collegare i passaggi dettagliati per configurare l'endpoint API 'Digital Shadows Searchlight' in modo che la funzione Azure possa eseguire correttamente l'autenticazione, ottenere la chiave o il token di autorizzazione ed eseguire il pull dei log dell'appliance in Microsoft Sentinel.

PASSAGGIO 2- Scegliere UNO tra le due opzioni di distribuzione seguenti per distribuire il connettore e la funzione Azure associata

IMPORTANTE: Prima di distribuire il connettore 'Digital Shadows Searchlight', è possibile usare l'ID area di lavoro e la chiave primaria dell'area di lavoro (che possono essere copiati dal codice seguente), nonché le chiavi di autorizzazione dell'API "Digital Shadows Searchlight" o token, immediatamente disponibili.

ID dello spazio di lavoro:<variable value provided at install time>

Chiave primaria:<variable value provided at install time>

Opzione 1 - Azure Resource Manager (ARM) Template:

Usare questo metodo per la distribuzione automatica del connettore "Digital Shadows Searchlight".

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms

Selezionare la sottoscrizione, il gruppo di risorse e la località preferiti.

Immettere l'ID dell'area di lavoro, la chiave dell'area di lavoro, il nome utente dell'API, la password API, 'e/o altri campi obbligatori'.

Nota: se si usano Azure Key Vault segreti per uno dei valori precedenti, usare lo@Microsoft.KeyVault(SecretUri={Security Identifier})schema al posto dei valori stringa. Per altre informazioni, vedere Key Vault documentazione di riferimento. 4. Contrassegnare la casella di controllo etichettata Accetto i termini e le condizioni indicati sopra. 5. Fare clic su Acquista per distribuire.

Opzione 2 - Distribuzione manuale di Funzioni di Azure:

Usare le istruzioni dettagliate seguenti per distribuire manualmente il connettore "Digital Shadows Searchlight" con Funzioni di Azure.

1. Creare un'app funzionale:

Dal portale Azure passare a App per le funzioni.

Fare clic su + Crea nella parte superiore.

Nella scheda Informazioni di base verificare che lo stack di runtime sia impostato su Python 3.8.

Nella scheda Hosting verificare che il tipo di piano sia impostato su "Consumo (serverless)".

Selezionare Account di archiviazione

'Aggiungere altre configurazioni necessarie'.

"Apportare altre modifiche di configurazione preferibili", se necessario, quindi fare clic su Crea.

2. Importazione del codice funzione app (distribuzione Zip):

Installare Azure'interfaccia della riga di comando

Dal tipo di terminale az functionapp deployment source config-zip -g <ResourceGroup> -n <FunctionApp> --src <Zip File> e premere INVIO. Impostare il valore su ResourceGroup : nome del gruppo di risorse. Impostare il FunctionApp valore su: nome dell'app per le funzioni appena creata. Impostare il Zip File valore su: digitalshadowsConnector.zip(percorso del file ZIP). Nota: - Scaricare il file ZIP dal collegamento - Codice dell'app per le funzioni

3. Configura l'app funzione:

Nella schermata App per le funzioni fare clic sul nome dell'app per le funzioni e selezionare Configurazione.

Nella scheda Impostazioni applicazione selezionare + Nuova impostazione applicazione.

Aggiungere singolarmente ognuna delle impostazioni dell'applicazione "x (numero di)" seguenti, in Nome, con i rispettivi valori stringa (con distinzione tra maiuscole e minuscole) in Valore:

DigitalShadowsAccountID

WorkspaceID

WorkspaceKey

DigitalShadowsKey

DigitalShadowsSecret

'HistoricalDays

DigitalShadowsURL

ClassificationFilterOperation

HighVariabilityClassifications

FUNCTION_NAME

logAnalyticsUri (facoltativo)

(aggiungere eventuali altre impostazioni richieste dall'app per le funzioni)

Impostare il DigitalShadowsURL valore su: https://api.searchlight.app/v1

Impostare il HighVariabilityClassifications valore su: exposed-credential,marked-document

Impostare il valore su: ClassificationFilterOperation per escludere l'app exclude per le funzioni o include per includere l'app per le funzioni

Nota: se si usano Azure Key Vault segreti per uno dei valori precedenti, usare lo@Microsoft.KeyVault(SecretUri={Security Identifier})schema al posto dei valori stringa. Per altri dettagli, vedere Azure Key Vault documentazione di riferimento.

Usare logAnalyticsUri per eseguire l'override dell'endpoint DELL'API log analytics per il cloud dedicato. Ad esempio, per il cloud pubblico, lasciare il valore vuoto; per Azure ambiente cloud GovUS, specificare il valore nel formato seguente: https://< CustomerId.ods.opinsights.azure.us>.

Dopo aver immesso tutte le impostazioni dell'applicazione, fare clic su Salva.

DNS

Supportato da:Microsoft Corporation

Il connettore di log DNS consente di connettere facilmente i log di analisi e controllo DNS con Microsoft Sentinel e altri dati correlati per migliorare l'analisi.

Quando si abilita la raccolta di log DNS, è possibile:

Identificare i client che tentano di risolvere nomi di dominio dannosi.

Identificare i record di risorse non aggiornati.

Identificare i nomi di dominio sottoposti a query frequenti e i client DNS loquaci.

Visualizzare il carico delle richieste nei server DNS.

Visualizzare gli errori di registrazione DNS dinamici.

Per altre informazioni, vedere la documentazione Microsoft Sentinel.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

DnsEvents Sì Sì

DnsInventory Sì Sì

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

Connettore dati Doppel

Supportato da:Doppel

Il connettore dati è basato su Microsoft Sentinel per gli avvisi e gli eventi Doppel e supporta trasformazioni del tempo di inserimento basate su DCR che analizzano i dati degli eventi di sicurezza ricevuti in colonne personalizzate in modo che le query non debbano analizzarli di nuovo, con conseguente miglioramento delle prestazioni.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

DoppelTable_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Microsoft Entra Tenant ID, Client ID e Client Secret: Microsoft Entra ID richiede un Client ID e un Client Secret per autenticare la tua applicazione. Inoltre, l'accesso a livello globale Amministrazione/proprietario è necessario per assegnare all'applicazione registrata Entra un ruolo del server di pubblicazione metriche di monitoraggio del gruppo di risorse.

Richiede Workspace ID, DCE-URI, DCR-ID: Dovrai ottenere l'ID dello spazio di lavoro Log Analytics, l'URI di ingestione di Logs DCE e l'ID immutabile di DCR per la configurazione.

Istruzioni per l'installazione:

Configura il Webhook Doppel:

Configurare il webhook in Doppel e endpoint con le autorizzazioni in Microsoft Sentinel per l'invio dei dati.

Registra l'applicazione in Microsoft Entra ID:

Apri la pagina Microsoft Entra ID:

Fare clic sul collegamento fornito per aprire la pagina di registrazione Microsoft Entra ID in una nuova scheda.

Assicurarsi di aver eseguito l'accesso con un account con autorizzazioni a livello di Amministrazione.

Crea una nuova applicazione:

Nel portale Microsoft Entra ID selezionare Registrazioni app indicato nella scheda a sinistra.

Fare clic su + Nuova registrazione.

Compilare i campi seguenti:

Nome: Inserisci un nome per l'app (ad esempio, "Doppel App").

Tipi di account supportati: scegliere Account solo in questa directory organizzativa (solo directory predefinita - Tenant singolo).

Reindirizza URI: Lascia questo spazio vuoto a meno che non sia richiesto diversamente.

Fare clic su Registra per creare l'applicazione.

Copia gli ID della domanda e degli inquilini:

Dopo aver registrato l'app, annotare l'ID applicazione (client) e l'ID directory (tenant) nella pagina Panoramica . Saranno necessari per l'integrazione.

Crea un segreto per il cliente:

Nella sezione Certificati & segreti fare clic su + Nuovo segreto client.

Aggiungere una descrizione (ad esempio, 'Segreto Doppel') e impostare una scadenza (ad esempio, 1 anno).

Fare clic su Aggiungi.

Copiare immediatamente il valore del segreto client, perché non verrà visualizzato di nuovo.

Assegna il ruolo "Monitoring Metrics Publisher" all'app:

Apri il gruppo di risorse in portale di Azure:

Passare al gruppo di risorse che contiene l'area di lavoro Log Analytics e le regole di raccolta dati in cui si vuole che l'app eservi il push dei dati.

Assegna il ruolo:

Nel menu Gruppo di risorse fare clic su Controllo di accesso (IAM) indicato nella scheda a sinistra.

Fare clic su + Aggiungi e selezionare Aggiungi assegnazione di ruolo.

Nell'elenco a discesa Ruolo cercare e selezionare il ruolo Server di pubblicazione metriche di monitoraggio.

In Assegna accesso a scegliere Azure utente, gruppo o entità servizio di Active Directory.

Nel campo Seleziona cercare l'app registrata in base al nome o all'ID client.

Fare clic su Salva per assegnare il ruolo all'applicazione.

Distribuisci il modello ARM:

Recupera l'ID dello spazio di lavoro:

Dopo aver assegnato il ruolo, sarà necessario l'ID area di lavoro.

Passare all'area di lavoro Log Analytics all'interno del gruppo di risorse.

Nella sezione Panoramica individuare il campo ID area di lavoro in Dettagli area di lavoro.

Copiare l'ID area di lavoro e tenerlo a portata di mano per i passaggi successivi.

Clicca sul pulsante Distribuisci su Azure:

portal.azure.com.

In questo modo si accederà direttamente al portale di Azure per avviare la distribuzione.

Rivedere e personalizzare i parametri:

Nella pagina distribuzione personalizzata assicurarsi di eseguire la distribuzione nella sottoscrizione e nel gruppo di risorse corretti.

Compilare i parametri come nome dell'area di lavoro, ID area di lavoro e posizione dell'area di lavoro.

Fare clic su Rivedi e crea e quindi su Crea per distribuire le risorse.

Verifica la configurazione delle tabelle DCE, DCR e Log Analytics:

Controlla il punto finale di raccolta dati (DCE):

Dopo la distribuzione, passare a Azure endpoint di raccolta dati del portale>.

Verificare che l'endpoint DoppelDCE sia stato creato correttamente.

Copiare l'URI di inserimento dei log dce, perché sarà necessario per generare l'URL del webhook.

Configurazione della Regola di Conferma della Raccolta Dati (DCR):

Passare a Azure Regole di raccolta dati del portale>.

Verificare che la regola DoppelDCR sia presente.

Copiare l'ID non modificabile del record di dominio dalla pagina Panoramica, perché sarà necessario per l'URL del webhook.

Valida la tabella Log Analytics:

Passare all'area di lavoro Log Analytics (collegata a Microsoft Sentinel).

Nella sezione Tabelle verificare che la tabella DoppelTable_CL sia stata creata correttamente e che sia pronta per la ricezione dei dati.

Integra gli avvisi Doppel con Microsoft Sentinel:

Raccogli le informazioni necessarie:

Raccogliere i dettagli seguenti necessari per l'integrazione:

ID endpoint di raccolta dati (DCE-ID):

ID Regola di Raccolta Dati (DCR-ID):

Credenziali Microsoft Entra: ID Tenant, ID Client e Client Secret.

Coordinati con il supporto Doppel:

Condividere le credenziali DCE-ID, DCR-ID e Microsoft Entra raccolte con il supporto di Doppel.

Richiedere assistenza per configurare questi dettagli nel tenant Doppel per abilitare l'installazione del webhook.

Setup Webhook da parte di Doppel:

Doppel userà gli ID risorsa e le credenziali forniti per configurare un webhook.

Questo webhook faciliterà l'inoltro degli avvisi da Doppel a Microsoft Sentinel.

Verifica la consegna degli avvisi in Microsoft Sentinel:

Verificare che gli avvisi di Doppel vengano inoltrati correttamente a Microsoft Sentinel.

Verificare che la cartella di lavoro in Microsoft Sentinel venga aggiornata con le statistiche di avviso, garantendo un'integrazione dei dati senza problemi.

Notifiche di Dragos tramite Cloud Sitestore

Supportato da:Dragos Inc

La piattaforma Dragos è la principale piattaforma di cyber security industriale che offre un rilevamento completo delle minacce informatiche della tecnologia operativa (OT) costruito da competenze in materia di cybersecurity industriale senza rivali. Questa soluzione consente di visualizzare i dati di notifica di Dragos Platform in Microsoft Sentinel in modo che gli analisti della sicurezza siano in grado di valutare i potenziali eventi di cyber security che si verificano negli ambienti industriali.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

DragosAlerts_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Accesso API Dragos Sitestore: Un account utente Sitestore che ha il notification:read permesso. Questo account deve anche avere una chiave API che può essere fornita per Sentinel.

Istruzioni per l'installazione:

Fornire le informazioni seguenti per consentire a Microsoft Sentinel di connettersi a Dragos Sitestore.

Nome host del sito Dragos: (dragossitestore.example.com)

Dragos Sitestore API ID: (Inserisci l'API ID.)

Dragos Sitestore API Key Secret: (Inserisci il segreto della chiave API)

Gravità minima delle notifiche. I valori validi sono compresi tra 0 e 5 inclusi. Assicurati di una gravità inferiore o uguale alla massima gravità: (Inserisci la gravità minima (raccomanda 0 per tutte le notifiche))

Gravità massima della notifica. I valori validi sono compresi tra 0 e 5 inclusi. Assicurare una gravità superiore o uguale al minimo: (Inserisci la gravità massima (raccomanda 5 per tutte le notifiche))

Abilitare/disabilitare la connessione

Connettore eventi Druva

Supportato da:Druva Inc

Consente di inserire gli eventi Druva dalle API Druva

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

DruvaSecurityEvents_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Accesso API Druva: L'API Druva richiede un client id e un client secret per autenticarsi

Istruzioni per l'installazione:

Nota: configurazioni per connettersi all'API Rest Druva

Passaggio 1: Creare le credenziali dalla console di Druva. Per i passaggi, vedere questo documento: https://help.druva.com/en/articles/8580838-create-and-manage-api-credentials

Passaggio 2: Immettere il nome host. Per il cloud pubblico, il relativo apis.druva.com

Passaggio 3: Immettere l'ID client e la chiave privata client

Connettiti all'API Druva per iniziare a raccogliere i log in Microsoft Sentinel:

Specificare i valori obbligatori:

Nome ospite: (Esempio: apis.druva.com)

Dynamics 365 Field Service e operazioni

Supportato da:Microsoft Corporation

Dynamics 365 per finanza e operazioni è una soluzione completa di Pianificazione delle risorse aziendali che combina funzionalità finanziarie e operative per aiutare le aziende a gestire le operazioni quotidiane. Offre una gamma di funzionalità che consentono alle aziende di semplificare i flussi di lavoro, automatizzare le attività e ottenere informazioni dettagliate sulle prestazioni operative.

Il connettore dati Dynamics 365 Field Service e operations inserisce Dynamics 365 Field Service e i log di controllo e i log di controllo dell'amministratore delle operazioni, nonché i log dei processi aziendali degli utenti e delle attività dell'applicazione in Microsoft Sentinel.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

FinanceOperationsActivity_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Registrazione app Microsoft Entra: ID client dell'applicazione e segreto utilizzati per accedere a Dynamics 365 Field Service and Operations.

Istruzioni per l'installazione:

La connettività a Finance and Operations richiede una registrazione dell'app Microsoft Entra (ID client e segreto). Saranno necessari anche l'ID tenant Microsoft Entra e l'URL dell'organizzazione delle operazioni finanziarie.

Per abilitare la raccolta dati, creare un ruolo in Dynamics 365 Field Service e operazioni con le autorizzazioni per visualizzare l'entità Log di database. Assegnare questo ruolo a un utente finance and operations dedicato, mappato all'ID client di una registrazione dell'app Microsoft Entra. Per completare il processo, seguire questa procedura:

Passo 1 - Registrazione dell'app Microsoft Entra:

Passare al portale di Microsoft Entra.

In Applicazioni fare clic su Registrazioni app e creare una nuova registrazione dell'app (lasciare tutte le impostazioni predefinite).

Aprire la registrazione della nuova app e creare un nuovo segreto.

Conservare l'ID tenant, l'ID applicazione (client) e il segreto client per un uso successivo.

Passo 2 - Creare un ruolo per la raccolta dati in Finanza e Operazioni:

Nel portale Finanza e Operazioni, naviga su Amministrazione Sistema Workspace > e clicca su Configurazione Sicurezza:

In Ruoli fare clic su Crea nuovo e assegnare al nuovo ruolo un nome, ad esempio Visualizzatore log database.

Selezionare il nuovo ruolo nell'elenco dei ruoli e fare clic su Privilegi e non su Aggiungi riferimenti.

Selezionare Visualizzazione entità log database dall'elenco dei privilegi.

Fare clic su Oggetti non pubblicati e quindi su Pubblica tutto per pubblicare il ruolo.

Passo 3 - Creare un utente per la raccolta dati in Finanza e Operazioni:

Nel portale Finanza e Operazioni, naviga su Moduli > Amministrazione del Sistema e clicca su Utenti:

Creare un nuovo utente e assegnare all'utente il ruolo creato nel passaggio precedente.

Passo 4 - Registra l'app Microsoft Entra in Finanza e Operazioni:

Nel portale di F&O passare a Configurazione > di sistema > Microsoft Entra applicazioni (Azure applicazioni Active Directory)

Creare una nuova voce nella tabella. Nel campo ID client immettere l'ID applicazione dell'app registrata nel passaggio 1.

Nel campo Nome immettere un nome per l'applicazione.

Nel campo ID utente selezionare l'ID utente creato nel passaggio precedente.

Collega gli eventi da Dyanmics 365 Finance and Operations a Microsoft Sentinel:

Connettersi usando le credenziali client

Organizzazioni:

Ogni riga rappresenta una connessione Finance and Operations

Griglia connettori dati (configurare nel portale)

Dynamics365

Supportato da:Microsoft Corporation

Il connettore attività Dynamics 365 Common Data Service (CDS) fornisce informazioni dettagliate sulle attività di amministrazione, utente e supporto, nonché sugli eventi di registrazione di Microsoft Social Engagement. Connettendo Dynamics 365 log CRM a Microsoft Sentinel, è possibile visualizzare questi dati nelle cartelle di lavoro, usarli per creare avvisi personalizzati e migliorare il processo di indagine.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

Dynamics365Activity Sì No

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

Attacchi Dynatrace V1

Supportato da:Dynatrace

Questo connettore usa l'API REST Dynatrace Attacks per inserire gli attacchi rilevati in Microsoft Sentinel Log Analytics

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

DynatraceAttacks_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Inquilino di Dynatrace (es. xyz.dynatrace.com): Hai bisogno di un tenant Dynatrace valido con la Sicurezza delle applicazioni attivata, scopri di più sulla piattaforma Dynatrace.

Token di accesso Dynatrace: Ti serve un Dynatrace Access Token, il token dovrebbe avere un scope Read attacks (attack.read).

Istruzioni per l'installazione:

Eventi di attacco Dynatrace a Microsoft Sentinel:

Configurare e abilitare la sicurezza delle applicazioni Dynatrace. Seguire queste istruzioni per generare un token di accesso.

Attacchi Dynatrace V2

Supportato da:Dynatrace

Questo connettore usa l'API REST Dynatrace Attacks per inserire gli attacchi rilevati in Microsoft Sentinel Log Analytics

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

DynatraceAttacksV2_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Inquilino di Dynatrace (es. xyz.dynatrace.com): Hai bisogno di un tenant Dynatrace valido con la Sicurezza delle applicazioni attivata, scopri di più sulla piattaforma Dynatrace.

Token di accesso Dynatrace: Ti serve un Dynatrace Access Token, il token dovrebbe avere un scope Read attacks (attack.read).

Istruzioni per l'installazione:

Eventi di attacco Dynatrace a Microsoft Sentinel:

Configurare e abilitare la sicurezza delle applicazioni Dynatrace. Seguire queste istruzioni per generare un token di accesso.

Tenant Dynatrace (es. xyz.dynatrace.com): ({{dynatraceEnvironmentUrl}})

Dynatrace Access Token: ({{dynatraceAccessToken}})

Abilitare/disabilitare la connessione

Log di controllo di Dynatrace V1

Supportato da:Dynatrace

Questo connettore usa l'API REST Log di controllo di Dynatrace per inserire i log di controllo del tenant in Microsoft Sentinel Log Analytics

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

DynatraceAuditLogs_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Inquilino di Dynatrace (es. xyz.dynatrace.com): Ti serve un inquilino Dynatrace valido per saperne di più sulla piattaforma Dynatrace. Inizia la tua prova gratuita.

Token di accesso Dynatrace: Hai bisogno di un Dynatrace Access Token, il token dovrebbe avere l'ambito dei Read audit logs (auditLogs.read).

Istruzioni per l'installazione:

Eventi del registro di audit Dynatrace su Microsoft Sentinel:

Abilitare la registrazione di controllo Dynatrace. Seguire queste istruzioni per generare un token di accesso.

Log di controllo di Dynatrace V2

Supportato da:Dynatrace

Questo connettore usa l'API REST Log di controllo di Dynatrace per inserire i log di controllo del tenant in Microsoft Sentinel Log Analytics

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

DynatraceAuditLogsV2_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Inquilino di Dynatrace (es. xyz.dynatrace.com): Ti serve un inquilino Dynatrace valido per saperne di più sulla piattaforma Dynatrace. Inizia la tua prova gratuita.

Token di accesso Dynatrace: Hai bisogno di un Dynatrace Access Token, il token dovrebbe avere l'ambito dei Read audit logs (auditLogs.read).

Istruzioni per l'installazione:

Eventi del registro di audit Dynatrace su Microsoft Sentinel:

Abilitare la registrazione di controllo Dynatrace. Seguire queste istruzioni per generare un token di accesso.

Tenant Dynatrace (es. xyz.dynatrace.com): ({{dynatraceEnvironmentUrl}})

Dynatrace Access Token: ({{dynatraceAccessToken}})

Abilitare/disabilitare la connessione

Problemi di Dynatrace V1

Supportato da:Dynatrace

Questo connettore usa l'API REST problema Dynatrace per inserire gli eventi di problema in Microsoft Sentinel Log Analytics

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

DynatraceProblems_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Inquilino di Dynatrace (es. xyz.dynatrace.com): Ti serve un inquilino Dynatrace valido per saperne di più sulla piattaforma Dynatrace. Inizia la tua prova gratuita.

Token di accesso Dynatrace: Ti serve un Dynatrace Access Token, il token dovrebbe avere scope di Read problems (problems.read).

Istruzioni per l'installazione:

Eventi del problema Dynatrace su Microsoft Sentinel:

Seguire queste istruzioni per generare un token di accesso.

Problemi di Dynatrace V2

Supportato da:Dynatrace

Questo connettore usa l'API REST problema Dynatrace per inserire gli eventi di problema in Microsoft Sentinel Log Analytics

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

DynatraceProblemsV2_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Inquilino di Dynatrace (es. xyz.dynatrace.com): Ti serve un inquilino Dynatrace valido per saperne di più sulla piattaforma Dynatrace. Inizia la tua prova gratuita.

Token di accesso Dynatrace: Ti serve un Dynatrace Access Token, il token dovrebbe avere scope di Read problems (problems.read).

Istruzioni per l'installazione:

Eventi del problema Dynatrace su Microsoft Sentinel:

Seguire queste istruzioni per generare un token di accesso.

Tenant Dynatrace (es. xyz.dynatrace.com): ({{dynatraceEnvironmentUrl}})

Dynatrace Access Token: ({{dynatraceAccessToken}})

Abilitare/disabilitare la connessione

Vulnerabilità del runtime Dynatrace V1

Supportato da:Dynatrace

Questo connettore usa l'API REST Dynatrace Security Problem per inserire le vulnerabilità di runtime rilevate in Microsoft Sentinel Log Analytics.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

DynatraceSecurityProblems_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Inquilino di Dynatrace (es. xyz.dynatrace.com): Hai bisogno di un tenant Dynatrace valido con la Sicurezza delle applicazioni attivata, scopri di più sulla piattaforma Dynatrace.

Token di accesso Dynatrace: Ti serve un Dynatrace Access Token, il token dovrebbe avere l'ambito di Read security problems (securityProblems.read).

Istruzioni per l'installazione:

Eventi di vulnerabilità di Dynatrace su Microsoft Sentinel:

Configurare e abilitare la sicurezza delle applicazioni Dynatrace. Seguire queste istruzioni per generare un token di accesso.

Vulnerabilità del runtime Dynatrace V2

Supportato da:Dynatrace

Questo connettore usa l'API REST Dynatrace Security Problem per inserire le vulnerabilità di runtime rilevate in Microsoft Sentinel Log Analytics.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

DynatraceSecurityProblemsV2_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Inquilino di Dynatrace (es. xyz.dynatrace.com): Hai bisogno di un tenant Dynatrace valido con la Sicurezza delle applicazioni attivata, scopri di più sulla piattaforma Dynatrace.

Token di accesso Dynatrace: Ti serve un Dynatrace Access Token, il token dovrebbe avere l'ambito di Read security problems (securityProblems.read).

Istruzioni per l'installazione:

Eventi di vulnerabilità di Dynatrace su Microsoft Sentinel:

Configurare e abilitare la sicurezza delle applicazioni Dynatrace. Seguire queste istruzioni per generare un token di accesso.

Tenant Dynatrace (es. xyz.dynatrace.com): ({{dynatraceEnvironmentUrl}})

Dynatrace Access Token: ({{dynatraceAccessToken}})

Abilitare/disabilitare la connessione

Agente elastico

Supportato da:Microsoft Corporation

Il connettore dati dell'agente elastico offre la possibilità di inserire i log, le metriche e i dati di sicurezza dell'agente elastico in Microsoft Sentinel.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

ElasticAgentEvent No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Includere prerequisiti personalizzati se la connettività lo richiede - altrimenti elimina le custom: Descrizione per qualsiasi prerequisito personalizzato

Istruzioni per l'installazione:

NOTA: Questo connettore dati dipende da un parser basato su una funzione Kusto per funzionare come previsto ElasticAgentEvent distribuito con la soluzione Microsoft Sentinel.

NOTA: questo connettore dati è stato sviluppato usando Elastic Agent 7.14.

1. Installare e integrare l'agente per Linux o Windows:

Installare l'agente nel server in cui vengono inoltrati i log dell'agente elastico.

I log degli agenti elastici distribuiti nei server Linux o Windows vengono raccolti da agenti Linux o Windows.

Scegliere dove installare l'agente Linux:

Install agent su Azure Linux Virtual Machine:

Selezionare il computer in cui installare l'agente e quindi fare clic su Connetti.

Installare l'agente: <variable value provided at install time>

Install agent su una macchina Linux non-Azure:

Scaricare l'agente nel computer pertinente e seguire le istruzioni.

Installare l'agente: <variable value provided at install time>

Scegliere dove installare l'agente Windows:

Agente di installazione su Azure Windows macchina virtuale:

Selezionare il computer in cui installare l'agente e quindi fare clic su Connetti.

Installare l'agente: <variable value provided at install time>

Installa l'agente su una macchina non Azure Windows:

Scaricare l'agente nel computer pertinente e seguire le istruzioni.

Installare l'agente: <variable value provided at install time>

2. Configurare l'agente elastico (standalone):

Seguire le istruzioni per configurare l'agente elastico per l'output in Logstash

3. Configura Logstash per utilizzare il plugin Microsoft Logstash Output:

Seguire la procedura per configurare Logstash per l'uso del plug-in microsoft-logstash-output-azure-loganalytics:

3.1) Verificare se il plug-in è già installato: ./logstash-plugin list | grep 'azure-loganalytics' (se il plug-in è installato, andare al passaggio 3.3)

3.2) Installare il plug-in: ./logstash-plugin install microsoft-logstash-output-azure-loganalytics

3.3) Configurare Logstash per l'uso del plug-in

4. Valida l'ingestione dei log:

Seguire le istruzioni per convalidare la connettività:

Aprire Log Analytics per verificare se i log vengono ricevuti usando una tabella personalizzata specificata nel passaggio 3.3 (ad esempio, ElasticAgentLogs_CL).

Potrebbero essere necessari circa 30 minuti prima che la connessione flussi i dati all'area di lavoro.

Agente elastico (tramite Codeless Connector Framework)

Supportato da:Microsoft Corporation

Il connettore dati dell'agente elastico consente di inserire metriche di sistema, log e dati di telemetria raccolti da Elastic Agent da Elasticsearch in Microsoft Sentinel. Questo connettore usa l'API di ricerca Elasticsearch con l'autenticazione della chiave API per eseguire query su più flussi di dati (CPU, memoria, processo, file system, rete, caricamento, tempo di attività, metriche degli agenti e log). Supporta le trasformazioni del tempo di inserimento basate su DCR per un'esecuzione efficiente delle query. Per altre informazioni, vedere la documentazione dell'API: https://www.elastic.co/docs/api/doc/elasticsearch/operation/operation-search

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

ElasticAgentLogsV2_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Istruzioni per l'installazione:

1. Prerequisiti:

Assicurarsi di disporre dell'accesso e della configurazione necessari.

Prerequisiti

Una distribuzione elasticsearch (cloud autogestito o elastico)

Agente elastico distribuito con l'integrazione del sistema abilitata

Monitoraggio dell'agente abilitato per i log e le metriche

Chiave API Elasticsearch con autorizzazioni di lettura per tutti gli indici

Connettività di rete da Microsoft Sentinel all'endpoint Elasticsearch

Indici obbligatori

Il connettore esegue una query sugli indici Elasticsearch seguenti:

Metriche:

metrics-system.cpu-* - Metriche della CPU

metrics-system.memory-* - Metriche di memoria

metrics-system.process-* - Elaborare le metriche

metrics-system.filesystem-* - Metriche del file system

metrics-system.network-* - Metriche di rete

metrics-system.load-*- Caricamento del sistema (solo Linux)

metrics-system.uptime-* - Tempo di attività del sistema

metrics-elastic_agent.* - Telemetria dell'agente

Registri:

logs-elastic_agent-* - Log dell'agente

2. Configurare le connessioni Elasticsearch:

Aggiungere una o più connessioni Elasticsearch da cui raccogliere i dati.

Connessioni Elasticsearch

È possibile aggiungere più connessioni per raccogliere dati da distribuzioni elastiche diverse. Ogni connessione richiede il proprio URL Elasticsearch e la chiave API.

Creazione di una chiave API

In Kibana, vai su Chiavi API di Gestione > dello Stack:

Clicca su Crea chiave API:

Impostare un nome e configurare le autorizzazioni:

Accesso in lettura a metrics-system.*

Accesso in lettura a metrics-elastic_agent.*

Accesso in lettura a logs-elastic_agent-*

Copiare il valore della chiave API con codifica Base64

Griglia connettori dati (configurare nel portale)

Eventi di sicurezza del browser Ermes

Supportato da:Ermes Cyber Security S.p.A.

Eventi di sicurezza del browser Ermes

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

ErmesBrowserSecurityEvents_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Ermes Client ID e Client Secret: Abilita l'accesso API in Ermes. Per altre informazioni, contattare il supporto di Ermes Cyber Security .

Istruzioni per l'installazione:

Collega gli eventi di sicurezza del browser Ermes a Microsoft Sentinel:

Connettersi usando le credenziali OAuth2

URL API (opzionale): (https://api.shield.ermessecurity.com)

ESET Protect Platform (usando Funzioni di Azure)

Supportato da:ESET Enterprise Integrations

Il connettore dati ESET Protect Platform consente agli utenti di inserire i dati di rilevamento da ESET Protect Platform usando l'API REST di integrazione fornita. L'API REST di integrazione viene eseguita come app per le funzioni Azure pianificata.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

IntegrationTable_CL No No

IntegrationTableIncidents_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Microsoft. Permessi web/siti: Sono necessari permessi di lettura e scrittura per Funzioni di Azure per creare una Function App. Per altre informazioni, vedere Funzioni di Azure.

Permesso per registrare un'applicazione in Microsoft Entra ID: Sono necessari permessi sufficienti per registrare un'applicazione presso il tuo tenant Microsoft Entra.

Permesso di assegnare un ruolo all'applicazione registrata: È necessario il permesso di assegnare il ruolo di Monitoring Metrics Publisher all'applicazione registrata in Microsoft Entra ID.

Istruzioni per l'installazione:

NOTA: Il connettore dati ESET Protect Platform usa Funzioni di Azure per connettersi alla piattaforma ESET Protect tramite l'API Eset Connect per eseguire il pull dei log di rilevamento in Microsoft Sentinel. Questo processo potrebbe comportare costi aggiuntivi per l'inserimento di dati. Vedere i dettagli nella pagina dei prezzi Funzioni di Azure.

NOTA: La versione più recente della piattaforma ESET PROTECT e dell'integrazione Microsoft Sentinel esegue il pull non solo dei log di rilevamento, ma anche degli eventi imprevisti appena creati. Se l'integrazione è stata configurata prima della versione 20.06.2025, seguire questa procedura per aggiornarla.

Passo 1 - Crea un utente API:

Usare questa istruzione per creare un account utente dell'API ESET Connect con account di accesso e password.

Passo 2 - Crea una domanda registrata:

Creare un'applicazione registrata Microsoft Entra ID seguendo la procedura descritta nell'istruzione Registrare una nuova applicazione.

Passo 3 - Distribuisci il connettore dati ESET Protect Platform utilizzando il modello Azure Resource Manager (ARM):

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms

Selezionare il nome dell'area di lavoro Log Analytics associata al Microsoft Sentinel. Selezionare lo stesso gruppo di risorse del gruppo di risorse dell'area di lavoro Log Analytics.

Digitare i parametri dell'applicazione registrata in Microsoft Entra ID: ID client Azure, segreto client Azure, ID tenant Azure, ID oggetto. È possibile trovare l'ID oggetto nel portale di Azure seguendo questo percorso Microsoft Entra ID -> Gestisci (nel menu a sinistra) -> Applicazioni aziendali -> ID oggetto (il valore accanto al nome dell'applicazione registrato).

Specificare l'account utente e la password dell'API ESET Connect ottenuti nel passaggio 1.

Selezionare uno o più prodotti ESET (ESET PROTECT, ESET Inspect, ESET Cloud Office Security) da cui vengono recuperati i rilevamenti.

Agente di raccolta locale di Exchange Security Insights

Supportato da:Community

Connettore usato per eseguire il push della configurazione di Sicurezza locale di Exchange per l'analisi Microsoft Sentinel

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

ESIExchangeConfig_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Conto di servizio con ruolo di Gestione Organizzativa: L'Account di servizio che avvia lo script come task programmata deve essere Organization Management per poter recuperare tutte le informazioni di sicurezza necessarie.

Documentazione dettagliata:>NOTA: Documentazione dettagliata sulla procedura di installazione e sull'utilizzo è disponibile qui

Istruzioni per l'installazione:

1. Installare lo script ESI Collector su un server con la console PowerShell Exchange Admin:

Questo è lo script che raccoglierà informazioni di Exchange per eseguire il push del contenuto in Microsoft Sentinel.

Distribuzione degli script:

Scarica l'ultima versione di ESI Collector:

La versione più recente è disponibile qui : https://aka.ms/ESI-ExchangeCollector-Script. Il file da scaricare è CollectExchSecIns.zip

Copia la cartella script:

Decomprimere il contenuto e copiare la cartella script in un server in cui sono presenti i cmdlet di Exchange PowerShell.

Sblocca gli script PS1:

Fare clic a destra su ogni script PS1 e passare alla scheda Proprietà. Se lo script è contrassegnato come bloccato, sbloccarlo. È anche possibile usare il cmdlet 'Unblock-File . nella cartella decompressa tramite PowerShell.

Configura l'accesso alla rete:

Assicurarsi che lo script possa contattare Azure Analytics (*.ods.opinsights.azure.com).

2. Configura lo script collettore ESI:

Assicurarsi di essere l'amministratore locale del server. In modalità "Esegui come amministratore" avviare lo script "setup.ps1" per configurare l'agente di raccolta. Compilare le informazioni sull'area di lavoro Log Analytics (Microsoft Sentinel). Compilare il nome dell'ambiente o lasciare vuoto. Per impostazione predefinita, scegliere 'Def' come Analisi predefinita. Le altre opzioni sono per un utilizzo specifico.

ID dello spazio di lavoro:<variable value provided at install time>

Chiave primaria:<variable value provided at install time>

3. Programmare lo script Collector ESI (se non eseguito dallo script di installazione per mancanza di permessi o ignorato durante l'installazione):

Lo script deve essere pianificato per inviare la configurazione di Exchange a Microsoft Sentinel. È consigliabile pianificare lo script una volta al giorno. L'account usato per avviare lo script deve essere membro del gruppo Gestione organizzazione

NOTA: Questo connettore dati dipende da un parser basato su una funzione Kusto per funzionare come previsto. I parser vengono distribuiti automaticamente con la soluzione. Seguire la procedura per creare l'alias delle funzioni Kusto : ExchangeAdminAuditLogs

I parser vengono distribuiti automaticamente durante la distribuzione della soluzione. Se vuoi implementare manualmente, segui i passaggi seguenti:

Distribuzione manuale del parser:

1. Scarica il file Parser:

La versione più recente del file ExchangeAdminAuditLogs

2. Crea funzione Parser ExchangeAdminAuditLogs :

In 'Logs' Explorer of your Microsoft Sentinel's log analytics (Log Analytics) copiare il contenuto del file in Esplora log

3. Funzione di salvataggio Parser ExchangeAdminAuditLogs :

Fare clic sul pulsante Salva. Non è necessario alcun parametro per questo parser. Fare di nuovo clic su Salva.

Agente di raccolta online di Exchange Security Insights (usando Funzioni di Azure)

Supportato da:Community

Connettore usato per eseguire il push della configurazione di sicurezza Exchange Online per l'analisi Microsoft Sentinel

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

ESIExchangeOnlineConfig_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Microsoft. Permessi web/siti: Sono necessari permessi di lettura e scrittura per Funzioni di Azure per creare una Function App. Per altre informazioni, vedere Funzioni di Azure.

Permessi Microsoft.automation/AutomationAccounts: Sono necessari permessi di lettura e scrittura per creare un Automazione di Azure con un Runbook. Per altre informazioni, vedere Account di automazione.

Microsoft. Permessi di grafo: Groups.Read, Users.Read e Auditing. I permessi di lettura sono necessari per recuperare le informazioni di utenti/gruppo collegate alle assegnazioni di Exchange Online. Per altre informazioni, vedere la documentazione.

Permessi Exchange Online: Exchange. Per recuperare la configurazione di sicurezza di Exchange Online sono necessari il permesso ManageAsApp e il ruolo di Global Reader o Security Reader.Consulta la documentazione per saperne di più.

Permessi di archiviazione dei log (opzionali): Il Contributore di Dati Blob di Storage a un account di archiviazione collegato all'identità gestita dell'Account di Automazione o a un ID Application è obbligatorio per memorizzare i log. Consulta la documentazione per saperne di più.

Istruzioni per l'installazione:

NOTA - AGGIORNAMENTO:

Nota:
NOTA - AGGIORNAMENTO:
È consigliabile aggiornare l'agente di raccolta alla versione 7.6.0.0 o superiore. La procedura di aggiornamento degli script dell'agente di raccolta è disponibile qui: Aggiornamento dell'agente di raccolta online ESI

NOTA: Questo connettore dati dipende da un parser basato su una funzione Kusto per funzionare come previsto. Segui i passaggi per ogni Parser per creare l'alias Kusto Functions: ExchangeConfiguration e **ExchangeEnvironmentList STEP 1 - Deployment dei Parser:**

Distribuzione degli analizzatori (Quando si utilizza Microsoft Exchange Security Solution, gli analisi vengono distribuiti automaticamente):

1. Scarica i file del Parser:

La versione più recente dei 2 file ExchangeConfiguration.yaml e ExchangeEnvironmentList.yaml

2. Crea funzione Parser ExchangeConfiguration :

In 'Logs' Explorer of your Microsoft Sentinel's log analytics (Log Analytics) copiare il contenuto del file in Esplora log

3. Funzione di Salva Parser ExchangeConfiguration :

Fare clic sul pulsante Salva. Definire i parametri come richiesto nell'intestazione del file del parser. Fare di nuovo clic su Salva.

4. Riprodurre gli stessi passaggi per Parser ExchangeEnvironmentList:

Riprodurre i passaggi 2 e 3 con il contenuto del file 'ExchangeEnvironmentList.yaml'

NOTA: Questo connettore usa Automazione di Azure per connettersi a "Exchange Online" per eseguire il pull dell'analisi della sicurezza in Microsoft Sentinel. Ciò potrebbe comportare costi aggiuntivi per l'inserimento di dati. Per informazioni dettagliate, controllare la pagina dei prezzi Automazione di Azure.

PASSAGGIO 2: scegliere UNO tra le due opzioni di distribuzione seguenti per distribuire il connettore e il Automazione di Azure associato

IMPORTANTE: Prima di distribuire il connettore 'ESI Exchange Online Security Configuration', è possibile usare l'ID area di lavoro e la chiave primaria dell'area di lavoro (che possono essere copiati dal seguente), nonché il nome del tenant Exchange Online (contoso.onmicrosoft.com), immediatamente disponibile.

ID dello spazio di lavoro:<variable value provided at install time>

Chiave primaria:<variable value provided at install time>

Opzione 1 - Modello Azure Resource Manager (ARM)

Usare questo metodo per la distribuzione automatizzata del connettore 'ESI Exchange Online Security Configuration'.

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms

Selezionare la sottoscrizione, il gruppo di risorse e la località preferiti.

Immettere l'ID area di lavoro, la chiave dell'area di lavoro, il nome del tenant, 'e/o altri campi obbligatori'.

Contrassegnare la casella di controllo con l'etichetta Accetto i termini e le condizioni indicati sopra.

Fare clic su Acquista per distribuire.

Opzione 2 - Distribuzione manuale di Automazione di Azure

Usare le istruzioni dettagliate seguenti per distribuire manualmente il connettore "Configurazione della sicurezza Exchange Online ESI" con Automazione di Azure.

R. Crea l'account Automazione di Azure:

Nel portale di Azure passare a account Automazione di Azure.

Fare clic su + Aggiungi nella parte superiore.

Nella scheda Informazioni di base compilare i campi obbligatori e assegnare un nome alla Automazione di Azure.

Nelle schede Avanzate e Rete e Tag lasciare i campi come predefiniti se non è necessario personalizzarli.

"Apportare altre modifiche di configurazione preferibili", se necessario, quindi fare clic su Crea.

B. Aggiungi moduli di gestione Exchange Online, moduli Microsoft Graph (Autenticazione, Utente e Gruppo):

Nella pagina Account di automazione selezionare Moduli.

Fare clic su Sfoglia raccolta e cercare il modulo ExchangeOnlineManagement .

Selezionarlo e fare clic su Seleziona.

Scegliere Versione 5.1 nel campo Versione runtime e fare clic sul pulsante Importa. Ripetere il passaggio per i moduli seguenti: 'Microsoft.Graph.Authentication', 'Microsoft.Graph.Users' e 'Microsoft.Graph.Groups. Attenzione, dovete aspettare Microsoft. Installazione di Graph.Authentication prima di elaborare i moduli successivi:

C. Scarica i contenuti del Runbook:

Scaricare la versione più recente dell'agente di raccolta ESI. La versione più recente è disponibile qui: https://aka.ms/ESI-ExchangeCollector-Script

Decomprimere il file per trovare il file JSON e il file PS1 per il passaggio successivo.

D. Crea un runbook:

Nella pagina Account di automazione selezionare il pulsante Runbook .

Fare clic su Crea un runbook e assegnarle il nome "ESI-Collector" con un runbook di tipo PowerShell, Versione di runtime 5.1 e fare clic su "Crea".

Importare il contenuto del file PS1 del passaggio precedente nella finestra Runbook.

Clicca su Pubblica:

E. Crea la variabile GlobalConfiguration:

Nella pagina Account di automazione selezionare il pulsante Variabili .

Fare clic su Add a Variable (Aggiungi una variabile) e denominarla exaclty 'GlobalConfiguration' con un tipo String.

Nel campo 'Value' copiare il contenuto del file JSON del passaggio precedente.

All'interno del contenuto sostituire i valori di WorkspaceID e WorkspaceKey.

Fare clic sul pulsante "Crea".

F. Crea variabile Tenantname:

Nella pagina Account di automazione selezionare il pulsante Variabili .

Fare clic su Add a Variable (Aggiungi una variabile) e denominarla exaclty 'TenantName' con un tipo String.

Nel campo 'Valore' scrivere il nome del tenant del Exchange Online.

Fare clic sul pulsante "Crea".

G. Crea la variabile LastDateTracking:

Nella pagina Account di automazione selezionare il pulsante Variabili .

Fare clic su Aggiungi una variabile e denominarla exaclty 'LastDateTracking' con un tipo String.

Nel campo 'Value' scrivere 'Never'.

Fare clic sul pulsante "Crea".

H. Crea un programma di runbook:

Nella pagina Account di automazione selezionare il pulsante Runbook e fare clic sul runbook creato.

Fare clic sul pulsante Pianificazioni e Aggiungi pianificazione .

Fare clic su Pianificazione, Aggiungere una pianificazione e denominarla. Selezionare Valore ricorrente con una ricorrenza di ogni 1 giorno, fare clic su 'Crea'.

Fare clic su "Configura parametri ed esegui impostazioni". Lasciare tutto vuoto e fare di nuovo clic su OK e SU OK .

PASSAGGIO 3 - Assegnare l'autorizzazione Microsoft Graph e l'autorizzazione Exchange Online all'account di identità gestita

Per poter raccogliere Exchange Online informazioni ed essere in grado di recuperare le informazioni utente e l'elenco di membri dei gruppi di amministratori, l'account di automazione richiede più autorizzazioni.

Assegna i permessi tramite script:

R. Scarica lo script di autorizzazione:

Script di aggiornamento delle autorizzazioni

B. Recupera il GUID Automazione di Azure Managed Identity e inseriscilo nello script scaricato:

Passare all'account di Automazione nella sezione Identità . È possibile trovare il GUID dell'identità gestita.

Sostituire il GUID in $MI_ID = "XXXXXXXXXXX" con il GUID dell'identità gestita.

C. Avviare lo script con un account amministratore globale :

Attenzione questo script richiede moduli MSGraph e Amministrazione consenso per l'accesso al tenant con Microsoft Graph. Lo script aggiungerà 3 autorizzazioni all'identità gestita:

autorizzazione Exchange Online ManageAsApp

User.Read.All in Microsoft API Graph

Group.Read.All in Microsoft API Graph

D. Assegnazione del ruolo Exchange Online:

In qualità di amministratore globale, passare a Ruoli e amministratori.

Selezionare Ruolo lettore globale o Lettore di sicurezza e fare clic su "Aggiungi assegnazioni".

Fare clic su "Nessun membro selezionato" e cercare il nome dell'account di identità gestita a partire dal nome dell'account di automazione , ad esempio "Agente di raccolta ESI". Selezionarlo e fare clic su "Seleziona".

Fare clic su Avanti e convalidare l'assegnazione facendo clic su Assegna.

Connettore dati rilevamenti extrahop

Supportato da:ExtraHop Support

ExtraHop Detections Data Connector consente di importare dati di rilevamento da ExtraHop RevealX a Microsoft Sentinel tramite payload webhook. I dati sono inseriti usando l'API di inserimento log di monitoraggio Azure tramite una regola di raccolta dati ( DCR).

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

ExtraHop_Detections_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Iscrizione Azure: L'abbonamento Azure con ruolo di proprietario è necessario per registrare un'applicazione in Microsoft Entra ID, creare un endpoint di raccolta dati, una regola di raccolta dati e assegnare i ruoli richiesti.

Registrazione Microsoft Entra App: È richiesta una registrazione Microsoft Entra ID App (Service Principal) con un Client Secret. È necessario specificare l'ID oggetto dell'app in modo che la distribuzione possa assegnargli il ruolo necessario per pubblicare i log tramite l'API di inserimento log.

Microsoft. Permessi web/siti: Sono necessari permessi di lettura e scrittura per Funzioni di Azure per creare una Function App. Per altre informazioni, vedere Funzioni di Azure.

Permessi ExtraHop RevealX: Quanto segue è richiesto sul tuo sistema ExtraHop RevealX:

Il sistema RevealX deve eseguire la versione del firmware 9.9.2 o successiva.

Il sistema RevealX deve essere connesso a ExtraHop Servizi cloud.

L'account utente deve avere privilegi di amministrazione del sistema in RevealX 360 o privilegi di scrittura completa in RevealX Enterprise.

Istruzioni per l'installazione:

NOTA: questo connettore usa Funzioni di Azure per ricevere payload webhook ExtraHop e inserirli in Microsoft Sentinel usando l'API di inserimento log di monitoraggio Azure (inserimento basato su DCR). In questo modo viene sostituita l'API dell'agente di raccolta dati HTTP di Log Analytics legacy. Ciò potrebbe comportare costi aggiuntivi per l'inserimento di dati. Per informazioni dettagliate, controllare la pagina dei prezzi Funzioni di Azure.

(Passaggio facoltativo) Archiviare in modo sicuro le credenziali dell'API in Azure Key Vault. Azure Key Vault fornisce un meccanismo sicuro per archiviare e recuperare i valori delle chiavi. Seguire queste istruzioni per usare Azure Key Vault con un'app per le funzioni Azure.

NOTA: questo connettore dati dipende da un parser basato su una funzione Kusto per funzionare come previsto che viene distribuito come parte della soluzione. Per visualizzare il codice della funzione in Log Analytics, aprire il pannello Log Analytics/Microsoft Sentinel Log, fare clic su Funzioni e cercare l'alias ExtraHopDetections e caricare il codice della funzione o fare clic qui. L'attivazione della funzione richiede in genere 10-15 minuti dopo l'installazione/aggiornamento della soluzione.

Configurazione:

PASSAGGIO 1 : Procedura di registrazione dell'app per l'applicazione in Microsoft Entra ID

Questa integrazione richiede una registrazione dell'app nel portale di Azure. Seguire i passaggi descritti in questa sezione per creare una nuova applicazione in Microsoft Entra ID:

Accedere al portale di Azure.

Cercare e selezionare Microsoft Entra ID.

In Gestisci selezionare Registrazioni app > Nuova registrazione.

Immettere un nome visualizzato per l'applicazione , ad esempio ExtraHopSentinelConnector.

Selezionare Registra per completare la registrazione iniziale dell'app.

Al termine della registrazione, il portale di Azure visualizza il riquadro Panoramica della registrazione dell'app. Verranno visualizzati l'ID applicazione (client) e l'ID tenant. L'ID client e l'ID tenant sono necessari come parametri di configurazione per l'esecuzione di ExtraHop Data Connector.

Collegamento di riferimento:/azure/active-directory/develop/quickstart-register-app

PASSAGGIO 2 - Aggiungere un segreto client per l'applicazione in Microsoft Entra ID

A volte chiamato password dell'applicazione, un segreto client è un valore stringa necessario per l'esecuzione di ExtraHop Data Connector. Seguire i passaggi descritti in questa sezione per creare un nuovo segreto client:

Nel portale di Azure selezionare l'applicazione in Registrazioni app.

Selezionare Certificati & segreti > client Segreti > client Nuovo segreto client.

Aggiungere una descrizione per il segreto client.

Selezionare una scadenza per il segreto o specificare una durata personalizzata. Il limite è di 24 mesi.

Selezionare Aggiungi.

Registrare il valore del segreto da usare nel codice dell'applicazione client. Questo valore del segreto non viene mai più visualizzato dopo aver lasciato questa pagina. Il valore del segreto è obbligatorio come parametro di configurazione per l'esecuzione di ExtraHop Data Connector.

Collegamento di riferimento:/azure/active-directory/develop/quickstart-register-app#add-a-client-secret

PASSAGGIO 3: Ottenere l'ID oggetto dell'applicazione in Microsoft Entra ID

Dopo aver creato la registrazione dell'app, seguire i passaggi descritti in questa sezione per ottenere l'ID oggetto:

Vai a Microsoft Entra ID.

Selezionare Applicazioni aziendali dal menu a sinistra.

Trovare l'applicazione appena creata nell'elenco (è possibile eseguire la ricerca in base al nome specificato).

Fare clic sull'applicazione.

Nella pagina di panoramica copiare l'ID oggetto. Questo è il valore di AzureEntraObjectID necessario per l'assegnazione del ruolo del modello di Resource Manager.

PASSAGGIO 4 - Distribuire ExtraHop Data Connector

IMPORTANTE: Prima di distribuire il connettore ExtraHop Data, avere i dettagli di registrazione dell'app Microsoft Entra ID (ID client, segreto client, ID tenant e ID oggetto) immediatamente disponibili.

Distribuire ExtraHop Detections Data Connector:

Usare questo metodo per la distribuzione automatizzata del connettore dati rilevamenti ExtraHop.

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms

Selezionare la sottoscrizione, il gruppo di risorse e l'area preferiti.

Immettere le informazioni seguenti:

FunctionName : immettere il nome dell'app per le funzioni (usato per denominare tutte le risorse correlate). Deve essere di 1-11 caratteri. Predefinito: ExtraHop

Posizione : percorso in cui devono essere distribuite le regole di raccolta dati e gli endpoint di raccolta dati

WorkspaceName - Immettere Microsoft Sentinel nome dell'area di lavoro Log Analytics

AzureClientId : immettere Azure ID client creato durante la registrazione dell'app

AzureClientSecret: immettere Azure segreto client creato durante la creazione del segreto client

AzureEntraObjectID - Immettere l'ID oggetto dell'app Microsoft Entra

TenantId - Immettere l'ID tenant del Microsoft Entra ID

DetectionsTableName : immettere il nome della tabella usata per archiviare i log dei rilevamenti ExtraHop. Il valore predefinito è 'ExtraHop_Detections'

LogLevel : selezionare il livello di log o il valore di gravità del log da Debug, Informazioni, Errore, Avviso. Per impostazione predefinita, è impostato su Info

AppInsightsWorkspaceResourceID - Eseguire la migrazione di Application Insights classico all'area di lavoro Log Analytic che verrà ritirata entro il 29 febbraio 2024. Usare il pannello 'Log Analytic Workspace-->Properties' con il valore della proprietà 'RESOURCE ID'. Si tratta di un resourceId completo nel formato '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}'

Contrassegnare la casella di controllo con l'etichetta Accetto i termini e le condizioni indicati sopra.

Fare clic su Acquista per distribuire.

PASSAGGIO 5 - Post distribuzione

Dopo aver completato la distribuzione, configurare la connessione webhook da ExtraHop RevealX a Microsoft Sentinel.

1) Ottieni l'endpoint Function App:

Passare alla pagina di panoramica della funzione Azure e fare clic sulla scheda Funzioni.

Fare clic sulla funzione denominata ExtraHopHttpStarter.

Passare a Recupera URL funzione e copiare l'URL della funzione disponibile in predefinito (chiave funzione).

Sostituire {functionname} con ExtraHopDetectionsOrchestrator nell'URL della funzione copiata.

2) Configurare una connessione a Microsoft Sentinel e specificare i criteri del payload del webhook da RevealX:

Dal sistema ExtraHop configurare l'integrazione Microsoft Sentinel per stabilire una connessione tra Microsoft Sentinel ed ExtraHop RevealX e creare regole di notifica di rilevamento che invieranno dati webhook a Microsoft Sentinel. Per istruzioni dettagliate, vedere Integrare ExtraHop RevealX con Microsoft Sentinel SIEM.

Dopo aver configurato le regole di notifica e Microsoft Sentinel riceve dati webhook, l'app per le funzioni viene attivata ed è possibile visualizzare i rilevamenti ExtraHop dalla tabella personalizzata dell'area di lavoro Log Analytics. Usare la funzione del parser ExtraHopDetections per una visualizzazione normalizzata dei dati.

F5 BIG-IP

Supportato da:F5 Networks

Il connettore del firewall F5 consente di connettere facilmente i log F5 con Microsoft Sentinel, visualizzare i dashboard, creare avvisi personalizzati e migliorare l'analisi. In questo modo è possibile ottenere maggiori informazioni sulla rete dell'organizzazione e migliorare le funzionalità delle operazioni di sicurezza.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

F5Telemetry_LTM_CL No No

F5Telemetry_system_CL No No

F5Telemetry_ASM_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Istruzioni per l'installazione:

Configura e collega F5 BIGIP:

Per connettere F5 BIGIP, è necessario pubblicare una dichiarazione JSON all'endpoint API del sistema. Per istruzioni su come eseguire questa operazione, vedere Integrazione di F5 BGIP con Microsoft Sentinel.

ID dello spazio di lavoro:<variable value provided at install time>

Chiave primaria:<variable value provided at install time>

Feedly IoC

Supportato da:Feedly Inc

Il connettore dati Feedly IoC offre la possibilità di inserire gli indicatori di compromissione (IoC) dall'API Feedly in Microsoft Sentinel.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

feedly_indicators_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Accesso API Feedly: È necessario accedere all'API di Feedly. È necessario un token API Feedly con accesso ai flussi IoC da inserire. Generare il token API all'indirizzo https://feedly.com/i/team/api

Istruzioni per l'installazione:

Connettiti a Feedly per iniziare a raccogliere gli IoC in Microsoft Sentinel:

Passare a https://feedly.com/i/team/api e generare un nuovo token API per il connettore.

Nella pagina del connettore Sentinel specificare la chiave API Feedly e gli ID Stream. Fare quindi clic su "Connetti".

Chiave API Feedly: (Inserisci il token API Feedly)

ID flussi feedly: (streamId1, streamId2, streamId3)

Abilitare/disabilitare la connessione

Filewall per Microsoft 365

Supportato da:Filewall

Ingerire eventi da Filewall in Microsoft Sentinel (Exchange, SharePoint, OneDrive e Teams).

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

FilewallExchange_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Accesso API Filewall: È richiesta una chiave API Filewall.

Istruzioni per l'installazione:

Clicca su Aggiungi connessione, incolla la chiave API di Filewall e clicca su Collega. Questo creerà 4 connessioni di sondaggio (Exchange, SharePoint, OneDrive, Teams).

Griglia connettori dati (configurare nel portale)

Connettore push flare

Supportato da:Flare

Il connettore Flare offre la possibilità di inserire informazioni sulle minacce e dati sull'esposizione da Flare in Microsoft Sentinel. Flare identifica gli asset digitali dell'azienda resi disponibili pubblicamente a causa di errori umani o attacchi dannosi, tra cui credenziali perse, bucket cloud esposti, menzioni darkweb e altro ancora.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

FireworkV2_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Microsoft Entra: Permesso di creare una registrazione di un'app in Microsoft Entra ID.

Microsoft Azure: Permesso di assegnare il ruolo di Monitoring Metrics Publisher sulla regola di raccolta dati (DCR).

Fiammata: Permesso per configurare l'integrazione con Microsoft Sentinel in Flare.

Istruzioni per l'installazione:

1. Creare risorse ARM e fornire i permessi richiesti:

Questo connettore consente a Flare di inviare i dati di esposizione alle minacce a Microsoft Sentinel. Quando l'inoltro dei dati è abilitato in Flare, i dati degli eventi non elaborati vengono inviati in modo sicuro all'API di inserimento Microsoft Sentinel.

La configurazione automatizzata e l'inserimento sicuro dei dati con Entra'applicazione facendo clic su "Distribuisci" creeranno tabelle di Log Analytics e una regola di raccolta dati (DCR). Verrà quindi creata un'applicazione Entra, verrà collegato il DCR e verrà impostato il segreto immesso nell'applicazione. Questa configurazione consente di inviare i dati in modo sicuro al DCR usando un token di Entra.

2. Configura Flare per inviare i log a Microsoft Sentinel:

Usare i parametri seguenti per configurare Flare per inviare i log all'area di lavoro.

ID Applicazione Entra (Client):<variable value provided at install time>

ID Entra Directory (Inquilino):<variable value provided at install time>

Segreto per la registrazione dell'app Entra:<variable value provided at install time>

URL di ingestione del log:<variable value provided at install time>

3. Configura il canale di allerta in Flare:

Gli amministratori dell'organizzazione possono configurare un canale di avviso in Flare per inviare dati a Sentinel.

Eseguire l'autenticazione in Flare

Accedere alla pagina degli avvisi per creare un nuovo canale di avviso.

Selezionare "Microsoft Sentinel" e copiare i campi precedenti nel modulo.

Per altre informazioni, vedere la documentazione di Flare.

Forcepoint DLP

Supportato da:Community

Il connettore Forcepoint DLP (Prevenzione della perdita dei dati) consente di esportare automaticamente i dati degli eventi imprevisti DLP da Forcepoint DLP in Microsoft Sentinel in tempo reale. Ciò migliora la visibilità sulle attività degli utenti e gli eventi imprevisti di perdita di dati, consente un'ulteriore correlazione con i dati provenienti da carichi di lavoro Azure e altri feed e migliora la funzionalità di monitoraggio con Cartelle di lavoro all'interno di Microsoft Sentinel.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

ForcepointDLPEvents_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Istruzioni per l'installazione:

Seguire le istruzioni dettagliate nella documentazione di Forcepoint DLP per Microsoft Sentinel per configurare questo connettore.

ID dello spazio di lavoro:<variable value provided at install time>

Chiave primaria:<variable value provided at install time>

Forescout

Supportato da:Microsoft Corporation

Il connettore dati Forescout offre la possibilità di inserire gli eventi Forescout in Microsoft Sentinel. Per altre informazioni, vedere la documentazione di Forescout .

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

ForescoutEvent No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Istruzioni per l'installazione:

NOTA: Questo connettore dati dipende da un parser basato su una funzione Kusto per funzionare come previsto ForescoutEvent distribuito con la soluzione Microsoft Sentinel.

NOTA: Questo connettore dati è stato sviluppato usando la versione del plug-in Forescout Syslog: v3.6

1. Installare e integrare l'agente per Linux o Windows:

Installare l'agente nel server in cui vengono inoltrati i log forescout.

I log di Forescout Server distribuiti nei server Linux o Windows vengono raccolti da agenti Linux o Windows.

Scegliere dove installare l'agente Linux:

Install agent su Azure Linux Virtual Machine:

Selezionare il computer in cui installare l'agente e quindi fare clic su Connetti.

Installare l'agente: <variable value provided at install time>

Install agent su una macchina Linux non-Azure:

Scaricare l'agente nel computer pertinente e seguire le istruzioni.

Installare l'agente: <variable value provided at install time>

Scegliere dove installare l'agente Windows:

Agente di installazione su Azure Windows macchina virtuale:

Selezionare il computer in cui installare l'agente e quindi fare clic su Connetti.

Installare l'agente: <variable value provided at install time>

Installa l'agente su una macchina non Azure Windows:

Scaricare l'agente nel computer pertinente e seguire le istruzioni.

Installare l'agente: <variable value provided at install time>

2. Configurare i log da raccogliere:

Configurare le strutture da raccogliere e le relative gravità.

In Impostazioni avanzate dell'area di lavoro Configurazione selezionare Dati e quindi Syslog.

Selezionare Applica la configurazione seguente ai computer e selezionare le strutture e le gravità.

Fare clic su Salva.

Installare l'agente: <variable value provided at install time>

3. Configurare l'inoltro degli eventi Forescout:

Seguire la procedura di configurazione seguente per ottenere i log forescout in Microsoft Sentinel.

Selezionare un'appliance da configurare.

Seguire queste istruzioni per inoltrare gli avvisi dalla piattaforma Forescout a un server syslog.

Configurare le impostazioni nella scheda Trigger Syslog.

Monitoraggio proprietà host forescout

Supportato da:Microsoft Corporation

Il connettore Monitoraggio proprietà host Forescout consente di connettere le proprietà host dalla piattaforma Forescout con Microsoft Sentinel, per visualizzare, creare eventi imprevisti personalizzati e migliorare l'analisi. In questo modo è possibile ottenere maggiori informazioni sulla rete dell'organizzazione e migliorare le funzionalità delle operazioni di sicurezza.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

ForescoutHostProperties_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Requisito del plugin Forescout: Assicurati che il plugin Forescout Microsoft Sentinel funzioni sulla piattaforma Forescout

Istruzioni per l'installazione:

Istruzioni su come configurare il plug-in Forescout Microsoft Sentinel sono disponibili nel portale della documentazione di Forescout (https://docs.forescout.com/bundle/sentinel-1-0-h)

ID dello spazio di lavoro:<variable value provided at install time>

Chiave primaria:<variable value provided at install time>

Fortinet FortiNDR Cloud

Supportato da:Fortinet

Fortinet FortiNDR Cloud Data Connector offre la possibilità di inserire i dati fortinet FortiNDR Cloud in Microsoft Sentinel usando l'API FortiNDR Cloud

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

FortinetFortiNdrCloudRaw_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Microsoft. Permessi web/siti: Sono necessari permessi di lettura e scrittura per Funzioni di Azure per creare una Function App. Per altre informazioni, vedere Funzioni di Azure.

Credenziali MetaStream:AWS Access Key Id, AWS Secret Access Key e FortiNDR Cloud Account Code sono necessari per recuperare i dati degli eventi.

Credenziali API:FortiNDR Cloud API Token, FortiNDR Cloud Account UUID sono necessari per recuperare i dati di rilevamento.

Istruzioni per l'installazione:

NOTA: Questo connettore usa Funzioni di Azure per connettersi all'API FortiNDR Cloud per eseguire il pull dei log in Microsoft Sentinel. Ciò potrebbe comportare costi aggiuntivi per l'inserimento di dati. Per informazioni dettagliate, controllare la pagina dei prezzi Funzioni di Azure.

(Passaggio facoltativo) Archiviare in modo sicuro le chiavi o i token di autorizzazione api e dell'area di lavoro in Azure Key Vault. Azure Key Vault fornisce un meccanismo sicuro per archiviare e recuperare i valori delle chiavi. Seguire queste istruzioni per usare Azure Key Vault con un'app per le funzioni Azure.

NOTA: questo connettore usa un parser basato su una funzione Kusto per normalizzare i campi. Seguire questa procedura per creare l'alias della funzione Kusto Fortinet_FortiNDR_Cloud.

PASSAGGIO 1 - Passaggi di configurazione per la raccolta di log cloud Fortinet FortiNDR

Il provider deve fornire o collegare i passaggi dettagliati per configurare l'endpoint API "NOME APPLICAZIONE NOME PROVIDER" in modo che la funzione Azure possa eseguire correttamente l'autenticazione, ottenere la chiave o il token di autorizzazione ed eseguire il pull dei log dell'appliance in Microsoft Sentinel.

PASSAGGIO 2- Scegliere UNO tra le due opzioni di distribuzione seguenti per distribuire il connettore e la funzione Azure associata

IMPORTANTE: Prima di distribuire il connettore Fortinet FortiNDR Cloud, è possibile usare l'ID area di lavoro e la chiave primaria dell'area di lavoro (che possono essere copiati da quanto segue), nonché le credenziali dell'API FortiNDR Cloud (disponibili nella gestione degli account fortiNDR cloud), immediatamente disponibili.

ID dello spazio di lavoro:<variable value provided at install time>

Chiave primaria:<variable value provided at install time>

Modello Azure Resource Manager (ARM)

Usare questo metodo per la distribuzione automatica del connettore Fortinet FortiNDR Cloud.

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms

Selezionare la sottoscrizione, il gruppo di risorse e la località preferiti(Assicurarsi di usare la stessa posizione del gruppo di risorse e che la posizione supporti l'utilizzo flessibile.

Immettere l'ID area di lavoro, la chiave dell'area di lavoro, AwsAccessKeyId, AwsSecretAccessKey e/o altri campi obbligatori.

Fare clic su Crea per distribuire.

Connettore dati Fortra Agari (tramite Codeless Connector Framework)

Supportato da:Microsoft Corporation

Fortra Agari Data Connector consente di inserire i log dalle API Fortra Agari in Microsoft Sentinel. Questo connettore si integra con i prodotti Agari Brand Protection (BP), Phishing Defense (APD) e Phishing Response (APR). Supporta le trasformazioni del tempo di inserimento basate su DCR per un'esecuzione efficiente delle query. Per altre informazioni, vedere la documentazione dell'API Agari .

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

AgariBPAlertsLog_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Istruzioni per l'installazione:

Passaggi di configurazione per l'API Agari:

Seguire le istruzioni seguenti per ottenere le credenziali dell'API Agari.

Recuperare l'URL dell'API Accedere alla console di Agari e passare alla sezione API. L'URL API predefinito è https://api.agari.com

Recuperare le credenziali client Ottenere l'ID client e il segreto client dalla sezione Credenziali API nell'account Agari. Si noti che diversi prodotti Agari (Brand Protection, Phishing Defense, Risposta di phishing) possono richiedere credenziali API separate.

Selezionare Flussi di dati Scegliere i flussi di dati Agari da raccogliere. È possibile selezionare uno o più flussi in base alla sottoscrizione e ai requisiti.

URL API di base: (https://api.agari.com)

ID cliente: (Il tuo ID cliente)

Segreto del cliente: (Il tuo segreto cliente)

Abilitare/disabilitare la connessione

Log remoti ULTRA di Garrison (usando Funzioni di Azure)

Supportato da:Garrison

Il connettore Garrison ULTRA Remote Logs consente di inserire i log remoti di Garrison ULTRA in Microsoft Sentinel.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

Garrison_ULTRARemoteLogs_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Garrison ULTRA: Per utilizzare questo connettore dati devi avere una licenza Garrison ULTRA attiva.

Istruzioni per l'installazione:

Deployment - Azure Resource Manager (ARM) Template:

Questi passaggi descrivono la distribuzione automatizzata del connettore dati Garrison ULTRA Remote Logs usando un modello ARM.

Fare clic sul pulsante Distribuisci in Azure di seguito.

portal.azure.com

Specificare i dettagli necessari, ad esempio gruppi di risorse, Microsoft Sentinel configurazioni di area di lavoro e inserimento

NOTA: È consigliabile creare un nuovo gruppo di risorse per la distribuzione di queste risorse. 3. Contrassegnare la casella di controllo etichettata Accetto i termini e le condizioni indicati sopra. 4. Fare clic su Acquista per distribuire.

Esecuzione cloud GCP (tramite Codeless Connector Framework)

Supportato da:Microsoft Corporation

Il connettore dati GCP Cloud Run offre la possibilità di inserire i log delle richieste di Esecuzione cloud in Microsoft Sentinel usando Pub/Sub. Per altri dettagli, vedere Panoramica di Cloud Run .

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

GCPCloudRun Sì Sì

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

Istruzioni per l'installazione:

Connetti GCP Cloud Run a Microsoft Sentinel:

ID Tenant: Un identificatore univoco utilizzato come input nella configurazione Terraform all'interno di un ambiente GCP:<variable value provided at install time>

Abilitare i log di Cloud Run in Google Cloud Console, abilitare la registrazione cloud se non è abilitata in precedenza e salvare le modifiche. Distribuire o aggiornare i servizi Di Esecuzione cloud con la registrazione abilitata.

Collegamento di riferimento: collegamento alla documentazione

Connettere nuovi agenti di raccolta Per abilitare I log delle richieste di esecuzione del cloud GCP per Microsoft Sentinel, fare clic sul pulsante Aggiungi nuovo agente di raccolta, specificare le informazioni necessarie nel popup e fare clic su Connetti.

GCP Cloud SQL (tramite Codeless Connector Framework)

Supportato da:Microsoft Corporation

Il connettore dati SQL cloud GCP offre la possibilità di inserire i log di controllo in Microsoft Sentinel usando l'API SQL cloud GCP. Per altre informazioni, vedere la documentazione dei log di controllo SQL del cloud GCP .

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

GCPCloudSQL Sì Sì

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

Istruzioni per l'installazione:

Collega GCP Cloud SQL a Microsoft Sentinel:

ID Tenant: Un identificatore univoco utilizzato come input nella configurazione terraform all'interno di un ambiente GCP:<variable value provided at install time>

In Google Cloud Console abilitare l'API SQL cloud, se non abilitata in precedenza, e salvare le modifiche.

Connettere nuovi agenti di raccolta Per abilitare i log SQL di GCP Cloud per Microsoft Sentinel, fare clic sul pulsante Aggiungi nuovo agente di raccolta, compilare le informazioni necessarie nel riquadro di contesto e fare clic su Connetti.

Log di controllo di pubblicazione/sottosistema GCP

Supportato da:Microsoft Corporation

I log di controllo di Google Cloud Platform (GCP), inseriti dal connettore di Microsoft Sentinel, consentono di acquisire tre tipi di log di controllo: log attività di amministrazione, log di accesso ai dati e log di trasparenza di accesso. I log di controllo cloud di Google registrano un percorso che gli esperti possono usare per monitorare l'accesso e rilevare potenziali minacce nelle risorse di Google Cloud Platform (GCP).

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

GCPAuditLogs Sì Sì

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

Istruzioni per l'installazione:

ID Tenant: Un identificatore univoco utilizzato come input nella configurazione Terraform all'interno di un ambiente GCP:<variable value provided at install time>

Connettere nuovi agenti di raccolta Per abilitare i log di controllo GCP per Microsoft Sentinel, fare clic sul pulsante Aggiungi nuovo agente di raccolta, compilare le informazioni necessarie nel riquadro di contesto e fare clic su Connetti.

Log di Load Balancer di pubblicazione/sub GCP (tramite Codeless Connector Framework).

Supportato da:Microsoft Corporation

I log Load Balancer di Google Cloud Platform (GCP) forniscono informazioni dettagliate sul traffico di rete, acquisendo le attività in ingresso e in uscita. Questi log vengono usati per monitorare i modelli di accesso e identificare potenziali minacce alla sicurezza nelle risorse GCP. Inoltre, questi log includono anche i log di Web application firewall GCP (WAF), migliorando la capacità di rilevare e mitigare i rischi in modo efficace.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

GCPLoadBalancerLogs_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Istruzioni per l'installazione:

ID Tenant: Un identificatore univoco utilizzato come input nella configurazione Terraform all'interno di un ambiente GCP:<variable value provided at install time>

Abilitare Load Balancer log Nell'account GCP passare alla sezione Load Balancer. Qui è possibile eseguire il nevigate a [Servizio back-end] -> [Modifica], quando si è nel [servizio back-end] nella sezione [Registrazione] abilitare la casella di controllo di [Abilita log]. Dopo aver aperto la regola, impostare l'interruttore nella sezione Log su Attivato e salvare le modifiche.

Per altre informazioni: Collegamento alla documentazione

Connettere nuovi agenti di raccolta Per abilitare GCP Load Balancer Logs for Microsoft Sentinel, fare clic sul pulsante Aggiungi nuovo agente di raccolta, compilare le informazioni necessarie nel riquadro di contesto e fare clic su Connetti.

Log del flusso VPC di pubblicazione/sub GCP (tramite Codeless Connector Framework)

Supportato da:Microsoft Corporation

I log di flusso VPC di Google Cloud Platform (GCP) consentono di acquisire l'attività del traffico di rete a livello di VPC, consentendo di monitorare i modelli di accesso, analizzare le prestazioni di rete e rilevare potenziali minacce nelle risorse GCP.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

GCPVPCFlow Sì Sì

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

Istruzioni per l'installazione:

ID Tenant: Un identificatore univoco utilizzato come input nella configurazione Terraform all'interno di un ambiente GCP:<variable value provided at install time>

Abilitare i log di flusso VPC nell'account GCP, passare alla sezione rete VPC. Selezionare la subnet da monitorare e abilitare i log di flusso nella sezione Registrazione.

Per altre informazioni: Documentazione di Google Cloud

Connettere nuovi agenti di raccolta Per abilitare i log di flusso VPC GCP per Microsoft Sentinel, fare clic sul pulsante Aggiungi nuovo agente di raccolta, immettere le informazioni necessarie nel riquadro di contesto e fare clic su Connetti.

Connettore Gigamon AMX

Supportato da:Gigamon

Il connettore Gigamon offre la possibilità di leggere i dati degli eventi non elaborati da Gigamon in Microsoft Sentinel.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

GigamonV2_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Microsoft Entra: Permesso di creare una registrazione di un'app in Microsoft Entra ID. In genere richiede Entra ruolo sviluppatore di applicazioni ID o superiore.

Microsoft Azure: Permesso di assegnare il ruolo di Monitoring Metrics Publisher sulla regola di raccolta dati (DCR). In genere richiede Azure ruolo Proprietario controllo degli accessi in base al ruolo o Amministratore accesso utente

Istruzioni per l'installazione:

1. Creare risorse ARM e fornire i permessi richiesti:

Questo connettore legge i dati dalle tabelle usate da Gigamon CCF in un'area di lavoro di Microsoft Analytics, se l'opzione di inoltro dei dati è abilitata in Gigamon CCF, i dati degli eventi non elaborati vengono inviati all'API di inserimento Microsoft Sentinel.

La configurazione automatizzata e l'inserimento sicuro dei dati con Entra'applicazione facendo clic su "Distribuisci" attiveranno la creazione di tabelle di Log Analytics e di una regola di raccolta dati (DCR). Verrà quindi creata un'applicazione Entra, verrà collegato il DCR e verrà impostato il segreto immesso nell'applicazione. Questa configurazione consente di inviare i dati in modo sicuro al DCR usando un token di Entra.

2. Spingi i tuoi log nello spazio di lavoro:

Usare i parametri seguenti per configurare il computer per inviare i log all'area di lavoro.

ID Tenant (ID Directory):<variable value provided at install time>

ID Domanda di Registrazione Entra App:<variable value provided at install time>

Segreto per la registrazione dell'app Entra:<variable value provided at install time>

Data Collection Endpoint Uri:<variable value provided at install time>

ID immutabile della regola di raccolta dati:<variable value provided at install time>

Nome della Corrente dell'Attività:<variable value provided at install time>

Nome della Miniscia:<variable value provided at install time>

GitHub (tramite webhook)

Supportato da:Microsoft Corporation

Il connettore dati webhook di GitHub offre la possibilità di inserire gli eventi sottoscritti da GitHub in Microsoft Sentinel usando gli eventi webhook di GitHub. Il connettore offre la possibilità di inserire gli eventi in Microsoft Sentinel che consente di esaminare i potenziali rischi per la sicurezza, analizzare l'uso della collaborazione da parte del team, diagnosticare i problemi di configurazione e altro ancora.

Nota: Se si intende inserire i log di controllo di Github, fare riferimento a GitHub Enterprise Audit Log Connector dalla raccolta "Connettori dati".

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

githubscanaudit_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Microsoft. Permessi web/siti: Sono necessari permessi di lettura e scrittura per Funzioni di Azure per creare una Function App. Per altre informazioni, vedere Funzioni di Azure.

Istruzioni per l'installazione:

NOTA: Questo connettore è stato compilato in base al trigger HTTP basato sulla funzione Azure. Fornisce inoltre un endpoint a cui github sarà connesso tramite la sua funzionalità webhook e inserisce gli eventi sottoscritti in Microsoft Sentinel. Ciò potrebbe comportare costi aggiuntivi per l'inserimento di dati. Per informazioni dettagliate, controllare la pagina dei prezzi Funzioni di Azure.

(Passaggio facoltativo) Archiviare in modo sicuro le chiavi o i token di autorizzazione api e dell'area di lavoro in Azure Key Vault. Azure Key Vault fornisce un meccanismo sicuro per archiviare e recuperare i valori delle chiavi. Seguire queste istruzioni per usare Azure Key Vault con un'app per le funzioni Azure.

Scegliere ONE tra le due opzioni di distribuzione seguenti per distribuire il connettore e la funzione Azure associata

IMPORTANTE: Prima di distribuire il connettore Webhook Github, fare in modo che l'ID area di lavoro e la chiave primaria dell'area di lavoro siano copiati da quanto segue.

ID dello spazio di lavoro:<variable value provided at install time>

Chiave primaria:<variable value provided at install time>

Opzione 1 - Azure Resource Manager (ARM) Template:

Usare questo metodo per la distribuzione automatizzata del connettore dati GitHub usando un modello arm.

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms

Selezionare la sottoscrizione, il gruppo di risorse e la località preferiti.

NOTA: All'interno dello stesso gruppo di risorse, non è possibile combinare app Windows e Linux nella stessa area e distribuirsi. 3. Contrassegnare la casella di controllo etichettata Accetto i termini e le condizioni indicati sopra. 5. Fare clic su Acquista per distribuire.

Opzione 2 - Distribuzione manuale di Funzioni di Azure:

Usare le istruzioni dettagliate seguenti per distribuire manualmente il connettore dati webhook GitHub con Funzioni di Azure (distribuzione tramite Visual Studio Code).

Passo 1 - Distribuire un'app di funzione:

Scaricare il file dell'app per le funzioni Azure. Estrarre l'archivio nel computer di sviluppo locale.

Seguire le istruzioni di distribuzione manuale dell'app per le funzioni per distribuire l'app Funzioni di Azure usando VSCode.

Dopo aver completato la distribuzione dell'app per le funzioni, seguire i passaggi successivi per configurarla.

Passo 2 - Configura l'app Funzione:

Passare a portale di Azuree per la configurazione dell'app per le funzioni.

Nell'app per le funzioni selezionare nome dell'app per le funzioni e selezionare Configurazione.

Nella scheda Impostazioni applicazione selezionare Nuova impostazione applicazione.

Aggiungere ognuna delle impostazioni dell'applicazione seguenti singolarmente, con i rispettivi valori stringa (con distinzione tra maiuscole e minuscole): WorkspaceID WorkspaceKey logAnalyticsUri (facoltativo) - Usare logAnalyticsUri per eseguire l'override dell'endpoint API log analytics per il cloud dedicato. Ad esempio, per il cloud pubblico, lasciare il valore vuoto; per Azure ambito cloud GovUS, specificare il valore nel formato seguente: https://<CustomerId>.ods.opinsights.azure.us.

Dopo aver immesso tutte le impostazioni dell'applicazione, fare clic su Salva.

Passaggi successivi alla distribuzione

PASSO 1 - Per ottenere l'URL della funzione Azure:

Passare alla pagina Panoramica della funzione Azure e fare clic su "Funzioni" nel pannello a sinistra.

Fare clic sulla funzione denominata "GithubwebhookConnector".

Passare a "GetFunctionurl" e copiare l'URL della funzione.

PASSO 2 - Configura Webhook su Github Organization:

Passare a GitHub e aprire l'account e fare clic su "Le organizzazioni".

Fare clic su Impostazioni.

Fare clic su "Webhooks" e immettere l'URL dell'app per le funzioni copiato dal passaggio 1 precedente nella casella di testo URL payload.

Scegliere il tipo di contenuto "application/json".

Sottoscrivere gli eventi e fare clic su "Aggiungi webhook"

Ora è stata completata la configurazione del webhook di GitHub. Dopo l'attivazione degli eventi di GitHub e dopo un ritardo compreso tra 20 e 30 minuti (poiché per LogAnalytics sarà necessario avviare le risorse per la prima volta), sarà possibile visualizzare tutti gli eventi transazionali da Github alla tabella dell'area di lavoro LogAnalytics denominata "githubscanaudit_CL".

Per altri dettagli, fare clic qui

GitHub (con webhook) V2

Supportato da:Microsoft Corporation

Il connettore dati webhook GitHub (V2) offre la possibilità di inserire GitHub eventi sottoscritti in Microsoft Sentinel usando GitHub eventi webhook. Questo connettore usa l'API di inserimento log di Monitoraggio di Azure (CLv2) con l'autenticazione dell'identità gestita ed è il successore designato al connettore GitHub originale (usando webhook), che usa l'API DELL'agente di raccolta dati HTTP CLv1 (endpoint ODS) che Microsoft sostituisce con CLv2.

Gli eventi vengono scritti nella GitHubAdvancedSecurityAlerts_CL tabella. La githubscanaudit funzione parser fornisce una visualizzazione unificata sia nella tabella legacy githubscanaudit_CL che nella nuova GitHubAdvancedSecurityAlerts_CL tabella, quindi tutte le cartelle di lavoro, le regole analitiche e le query di ricerca esistenti continuano a funzionare senza modifiche.

Nota: Se attualmente si usa il connettore GitHub originale (usando webhook), entrambi i connettori possono essere eseguiti side-by-side. Per evitare l'inserimento di dati duplicati, arrestare l'app per le funzioni V1 originale dopo aver confermato che la versione 2 funziona correttamente. Vedere le istruzioni di migrazione nella parte inferiore di questa pagina del connettore.

Nota: Se si intende inserire GitHub log di controllo, vedere GitHub Enterprise Audit Log Connector dalla raccolta "Connettori dati".

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

GitHubAdvancedSecurityAlerts_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Microsoft. Permessi web/siti: Sono necessari permessi di lettura e scrittura per Funzioni di Azure per creare una Function App. Per altre informazioni, vedere Funzioni di Azure.

Microsoft. Permessi di autorizzazione/roleAssignments: I permessi per creare assegnazioni di ruolo sono richiesti nell'ambito del gruppo risorse. Questa operazione è necessaria per concedere all'identità gestita dell'app per le funzioni il ruolo Metriche di monitoraggio Publisher nella regola di raccolta dati.

Istruzioni per l'installazione:

NOTA: questo connettore è basato su un trigger HTTP basato su Azure funzione usando l'API di inserimento dei log (CLv2) con l'autenticazione dell'identità gestita. Non è necessario configurare una chiave dell'area di lavoro. L'autenticazione viene gestita automaticamente dall'identità gestita assegnata dal sistema dell'app per le funzioni. Ciò potrebbe comportare costi aggiuntivi per l'inserimento di dati. Per informazioni dettagliate, controllare la pagina dei prezzi Funzioni di Azure.

(Passaggio facoltativo) Archiviare in modo sicuro il segreto webhook GitHub in Azure Key Vault. Seguire queste istruzioni per usare Azure Key Vault con un'app per le funzioni Azure.

Scegliere ONE tra le due opzioni di distribuzione seguenti per distribuire il connettore e la funzione Azure associata

IMPORTANTE: prima di distribuire il connettore Webhook V2 github, è necessario che il nome dell'area di lavoro Log Analytics sia pronto. Le risorse del connettore (App per le funzioni, DCE, DCR, table) devono essere distribuite nello stesso gruppo di risorse come area di lavoro Log Analytics.

Nome dello spazio di lavoro:<variable value provided at install time>

Opzione 1 - Azure Resource Manager (ARM) Template:

Usare questo metodo per la distribuzione automatica del connettore dati GitHub V2 usando un modello di Resource Manager.

Fare clic sul pulsante Distribuisci in Azure di seguito.

portal.azure.com

Selezionare la sottoscrizione e il gruppo di risorse: eseguire la distribuzione nello stesso gruppo di risorse dell'area di lavoro Log Analytics.

NOTA: Non è possibile combinare app Windows e Linux nella stessa area e nello stesso gruppo di risorse. 3. Immettere WorkspaceName, ovvero il nome dell'area di lavoro Log Analytics (non l'ID risorsa completo). 4. Facoltativamente, immettere un githubWebhookSecret per abilitare la convalida della firma del payload. 5. Contrassegnare la casella di controllo etichettata Accetto i termini e le condizioni indicati sopra. 6. Fare clic su Acquista per distribuire.

Opzione 2 - Distribuzione manuale di Funzioni di Azure:

Usare le istruzioni dettagliate seguenti per distribuire manualmente il connettore dati webhook V2 GitHub con Funzioni di Azure.

Passo 1 - Distribuire un'app di funzione:

Scaricare il file dell'app per le funzioni Azure. Estrarre l'archivio nel computer di sviluppo locale.

Seguire le istruzioni di distribuzione manuale dell'app per le funzioni per distribuire l'app Funzioni di Azure usando VSCode.

Dopo aver completato la distribuzione dell'app per le funzioni, seguire i passaggi successivi per configurarla.

Passo 2 - Configura l'app Funzione:

Passare a portale di Azuree per la configurazione dell'app per le funzioni.

Nell'app per le funzioni selezionare nome dell'app per le funzioni e selezionare Configurazione.

Nella scheda Impostazioni applicazione selezionare Nuova impostazione applicazione.

Aggiungere singolarmente ognuna delle impostazioni dell'applicazione seguenti, con i rispettivi valori stringa (distinzione tra maiuscole e minuscole): DCE_ENDPOINT - Endpoint di inserimento dei log dell'endpoint di raccolta dati DCR_RULE_ID - Id non modificabile della regola di raccolta dati DCR_STREAM_NAME - Custom-GitHubAdvancedSecurityAlerts_CL GithubWebhookSecret (facoltativo) - Segreto webhook GitHub per la convalida del payload

Dopo aver immesso tutte le impostazioni dell'applicazione, fare clic su Salva.

Verificare che l'app per le funzioni disponga di un'identità gestita assegnata dal sistema abilitata.

Concedere all'identità gestita il ruolo Delle metriche di monitoraggio Publisher nella regola di raccolta dati.

Passaggi successivi alla distribuzione

PASSO 1 - Per ottenere l'URL della funzione Azure:

Passare alla pagina Panoramica della funzione Azure e fare clic su "Funzioni" nel pannello a sinistra.

Fare clic sulla funzione denominata "GithubWebhookConnectorV2".

Passare a "GetFunctionurl" e copiare l'URL della funzione.

PASSO 2 - Configura Webhook su Github Organization:

Passare a GitHub e aprire l'account e fare clic su "Le organizzazioni".

Fare clic su Impostazioni.

Fare clic su "Webhooks" e immettere l'URL dell'app per le funzioni copiato dal passaggio 1 precedente nella casella di testo URL payload.

Scegliere il tipo di contenuto "application/json".

Sottoscrivere gli eventi e fare clic su "Aggiungi webhook"

A questo scopo, la configurazione del webhook V2 GitHub. Dopo aver attivato GitHub eventi, dopo il ritardo di 5-10 minuti, dovrebbe essere possibile visualizzare tutti gli eventi transazionali di GitHub nella tabella dell'area di lavoro LogAnalytics denominata GitHubAdvancedSecurityAlerts_CL. Usare la githubscanaudit funzione parser per una vista unificata che include i dati delle tabelle legacy githubscanaudit_CL e nuove GitHubAdvancedSecurityAlerts_CL .

⚠️ IMPORTANTE: Migrazione da GitHub Webhook V1 a V2:

Se si usa attualmente la GitHub originale (usando il connettore Webhook) (githubscanaudit_CL tabella), seguire questa procedura per eseguire la migrazione alla versione 2 senza interrompere i dati esistenti o interrompere le cartelle di lavoro e le regole analitiche. Prima di iniziare: entrambi i connettori possono essere eseguiti side-by-side. I dati V1 si trovano in githubscanaudit_CL e la versione 2 dei dati viene inserita in GitHubAdvancedSecurityAlerts_CL. La githubscanaudit() funzione parser unisce entrambe le tabelle in modo che tutte le cartelle di lavoro, le regole di analisi e le query di ricerca continuino a funzionare invariate durante e dopo la migrazione. Passaggi di migrazione:

Distribuire V2 insieme alla versione 1. Completare tutti i passaggi precedenti per distribuire l'app per le funzioni GitHub webhook V2. Non rimuovere ancora V1.

Verificare che la versione 2 riceva eventi. Aggiornare l'URL del payload del webhook GitHub nelle impostazioni dell'organizzazione GitHub (Impostazioni -> Webhook) in modo che punti al nuovo URL dell'app per le funzioni V2. Attivare alcuni eventi GitHub e verificare che i dati siano visualizzati entro GitHubAdvancedSecurityAlerts_CL 5-10 minuti.

Convalidare il parser unificato. Eseguire githubscanaudit() | sort by TimeGenerated desc | take 50 in Log Analytics per verificare che i dati V1 e V2 siano visualizzati nello stesso schema.

Disabilitare l'app per le funzioni V1. Dopo aver confermato il funzionamento della versione 2, arrestare l'app per le funzioni V1 originale per impedire l'inserimento di eventi duplicati:

Nella portale di Azure passare all'GitHub app per le funzioni webhook V1 originale.

In Panoramica fare clic su Arresta per interrompere l'esecuzione.

Facoltativamente, aggiornare l'URL del payload del webhook GitHub in modo che punti esclusivamente all'endpoint V2.

Conservare i dati V1. I dati della githubscanaudit_CL tabella sono soggetti ai criteri di conservazione dell'area di lavoro Log Analytics. Non è necessaria alcuna azione: i dati cronologici della versione 1 continuano a essere querybili tramite githubscanaudit() finché non vengono esauriti in base alle impostazioni di conservazione.

⚠️ Avviso: non eliminare le risorse dell'app per le funzioni V1 fino a quando non è stata verificata la versione 2 è completamente operativa e non è più necessario eseguire il rollback. L'esecuzione simultanea di entrambe le operazioni non è causa l'inserimento duplicato finché un solo URL webhook è attivo in GitHub alla volta.

GitHub registro di controllo dell'organizzazione (tramite Archiviazione di Azure)

Supportato da:Microsoft Corporation

Il connettore del log di controllo GitHub inserisce i log di controllo GitHub Enterprise in Microsoft Sentinel da Archiviazione BLOB di Azure con latenza quasi in tempo reale. GitHub flussi di log di controllo per gestione rete virtuale di Azure quasi in tempo reale e il connettore esegue il polling della coda Archiviazione di Azure per le nuove notifiche create dal BLOB ogni 5 minuti (intervallo di polling predefinito). Connettendo GitHub log di controllo a Microsoft Sentinel, è possibile visualizzare questi dati nelle cartelle di lavoro, creare avvisi personalizzati e migliorare il processo di indagine.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

GitHubAuditLogsV2_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Microsoft Entra ID - Consenso Amministratore (una tantum per tenant): Il connettore utilizza l'applicazione enterprise ScubaSentinelToStorageProd di Microsoft per accedere al tuo account di archiviazione. Se questa app non è stata concessa in precedenza nel tenant, un utente con uno dei ruoli seguenti deve fare clic su "Concedi il consenso amministratore a livello di tenant" nella pagina del connettore prima di procedere:

Amministratore applicazione cloud(ruolo minimo obbligatorio)

Amministratore delle applicazioni:

Amministratore Globale:

Nota: Si tratta di un'azione una tantum per ogni tenant. Se l'entità servizio esiste già (ad esempio, un altro connettore che usa DivingSentinelToStorageProd è stato configurato in precedenza in questo tenant), l'ID dell'entità servizio verrà popolato automaticamente e non sarà necessaria alcuna azione.

Permessi di abbonamento: Servono i seguenti permessi per distribuire le risorse di flusso dati del connettore:

Ruolo collaboratore nella sottoscrizione o nel gruppo di risorse: per distribuire Griglia di eventi, code di archiviazione, DCR e risorse del connettore correlate.

Ruolo Proprietario o Amministratore accesso utenti nell'account di archiviazione: per assegnare ruoli controllo degli accessi in base al ruolo all'entità servizio Microsoft Sentinel.

Ruolo Collaboratore griglia di eventi o proprietario nell'account di archiviazione: per creare argomenti di sistema e sottoscrizioni di eventi di Griglia di eventi.

Nota: Il Microsoft.EventGrid provider di risorse deve essere registrato nella sottoscrizione contenente l'account di archiviazione.

Requisiti per l'Account di Storage: L'account Archiviazione BLOB di Azure deve soddisfare i seguenti requisiti:

Azure Data Lake Storage Gen2 (spazio dei nomi gerarchico abilitato): gli account di archiviazione standard non sono supportati.

Un contenitore BLOB già configurato per ricevere GitHub flusso dei log di controllo enterprise.

Configurazione della rete degli account di archiviazione: Le regole di rete basate su IP (reti selezionate / IPv4 CIDR) non sono supportate per questo connettore a causa delle restrizioni e limitazioni del firewall di Archiviazione di Azure:

Le regole di rete IP non hanno alcun effetto sulle richieste provenienti dalla stessa area Azure dell'account di archiviazione.

Le regole di rete IP non possono limitare l'accesso ai servizi Azure distribuiti nella stessa area, perché questi servizi usano indirizzi IP privati Azure per la comunicazione.

Le regole degli endpoint del servizio di rete virtuale non si applicano ai client in un'area associata.

Opzioni:

Non sono necessarie restrizioni di rete? Impostare il pannello Rete dell'account di archiviazione su Abilitato da tutte le reti.

È necessario limitare l'accesso? Usare Network Security Perimeter (NSP) per inserire nell'elenco elementi consentiti gli indirizzi IPv4 di Dive. Nota: solo gli indirizzi IPv4 sono attualmente supportati per le regole in ingresso NSP; IPv6 non è supportato. È in corso un impegno con il team NSP per supportare i tag di servizio, eliminando la necessità di gestire gli indirizzi IP manuali in futuro.

Importante:Non configurare le regole di rete in base a intervalli IP GitHub. GitHub non fornisce intervalli IP stabili come origine del flusso di log di controllo e tali indirizzi IP possono cambiare senza preavviso.

Assegnazioni dei ruoli degli account di archiviazione: I seguenti ruoli Azure RBAC devono essere assegnati al principale servizio applicativo enterprise Microsoft Sentinel (mostrato sotto) sull'Account Storage che contiene il tuo contenitore blob:

Lettore di dati BLOB di archiviazione : obbligatorio per la lettura dei dati BLOB dal contenitore.

Collaboratore ai dati della coda di archiviazione : obbligatorio per la gestione dei messaggi di notifica e coda di messaggi non recapitabili.

Per assegnare questi ruoli: passare all'account di archiviazione ->Controllo di accesso (IAM) ->Aggiungi assegnazione di ruolo, cercare l'ID entità servizio illustrato di seguito e assegnare entrambi i ruoli.

Raccolta dei log di audit GitHub sul tuo container blob: Segui i passaggi nella documentazione GitHub per configurare lo streaming dei log di audit verso il container Archiviazione BLOB di Azure.

Istruzioni per l'installazione:

Collega i log di audit di GitHub a Microsoft Sentinel:

Per abilitare l'inserimento del log di controllo GitHub da Archiviazione BLOB di Azure, specificare le informazioni necessarie di seguito e fare clic su Connetti.

L'URL del container blob da cui vuoi raccogliere i dati:

Nome della cartella BLOB nel contenitore. Facoltativo:

Posizione dell'account di stoccaggio del contenitore blob: (eastus)

Nome del gruppo risorse dell'account di stoccaggio del container blob: (my-resource-group)

L'ID di abbonamento dell'account di archiviazione del blob:

Il nome dell'argomento del sistema Event Grid per l'account di archiviazione, se esiste; altrimenti, lascia vuoto:

Abilitare/disabilitare la connessione

Politica sul ciclo di vita del blob (consigliata):

Per evitare la crescita dell'archiviazione non associato, configurare criteri di gestione del ciclo di vita nell'account di archiviazione per eliminare automaticamente i BLOB dopo un periodo di conservazione (ad esempio, 7 giorni). Dopo che il connettore inserisce i log di controllo in Microsoft Sentinel, i BLOB di origine non sono più necessari.

Per creare una regola del ciclo di vita con ambito per il contenitore:

Passare all'account di archiviazione -> Gestione dei dati -> Gestione del ciclo di vita.

Fare clic su Aggiungi una regola e configurare:

Nome regola: ad esempio, github-audit-cleanup

Ambito regola: selezionare Limita i BLOB con filtri e impostare la corrispondenza prefisso sul nome del contenitore, ad esempio my-container/. Ciò garantisce che la regola si applichi solo ai BLOB in tale contenitore.

Tipo di BLOB: BLOB in blocchi.

BLOB di base: eliminare i BLOB che sono stati modificati più di 7 giorni fa (modificare in base alle esigenze).

Salva la regola.

Nota: Ogni account di archiviazione ha un singolo criterio di gestione che può contenere più regole. Ogni regola può specificare come destinazione un contenitore specifico tramite filtri di prefisso. Se si dispone già di un criterio del ciclo di vita, aggiungere una nuova regola al criterio esistente anziché crearne una nuova.

Riferimento:

Per istruzioni dettagliate sulla configurazione del connettore Archiviazione di Azure per lo streaming dei log in Microsoft Sentinel, vedere Configurare Archiviazione di Azure connector.

Risoluzione dei problemi:

Se si verificano problemi con l'inserimento dati:

Abilitare la funzionalità di integrità : se la funzionalità di integrità del connettore non è abilitata, abilitarla per monitorare lo stato del connettore e rilevare i problemi in anticipo.

Abilitare i log di diagnostica: è consigliabile abilitare i log di diagnostica sia per l'account di archiviazione che per le risorse di Griglia di eventi per identificare e risolvere i problemi di integrità.

Per altri dettagli, vedere Risolvere i problemi relativi al connettore BLOB Archiviazione di Azure.

Log di controllo di GitHub Enterprise (tramite Codeless Connector Framework)

Supportato da:Microsoft Corporation

Il connettore del log di controllo di GitHub offre la possibilità di inserire i log di GitHub in Microsoft Sentinel. Connettendo i log di controllo di GitHub a Microsoft Sentinel, è possibile visualizzare questi dati nelle cartelle di lavoro, usarli per creare avvisi personalizzati e migliorare il processo di indagine.

Nota: Se si intende inserire gli eventi sottoscritti da GitHub in Microsoft Sentinel, fare riferimento a Connettore GitHub (usando webhook) dalla raccolta "Connettori dati".

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

GitHubAuditLogsV2_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Token di accesso personale API GitHub: Per abilitare il polling per il log di audit Enterprise, assicurati che l'utente autenticato sia un amministratore Enterprise e abbia un token di accesso personale GitHub (classico) con l'ambitoread:audit_log.

Tipo GitHub Enterprise: Questo connettore funzionerà solo con GitHub Enterprise Cloud; non supporterà GitHub Enterprise Server.

Istruzioni per l'installazione:

Collega il registro di audit aziendale di GitHub a Microsoft Sentinel:

Abilitare i log di controllo di GitHub. Seguire questa guida per creare o trovare il token di accesso personale.

Griglia connettori dati (configurare nel portale)

Google ApigeeX (tramite Codeless Connector Framework)

Supportato da:Microsoft Corporation

Il connettore dati Google ApigeeX offre la possibilità di inserire i log di controllo in Microsoft Sentinel usando l'API Google Apigee. Per altre informazioni, vedere la documentazione dell'API Google Apigee .

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

GCPApigee Sì Sì

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

Istruzioni per l'installazione:

Collega Google ApigeeX a Microsoft Sentinel:

ID Tenant: Un identificatore univoco utilizzato come input nella configurazione Terraform all'interno di un ambiente GCP:<variable value provided at install time>

Abilitare i log di ApigeeX in Google Cloud Console, abilitare l'API Apigee, se non abilitata in precedenza, e salvare le modifiche.

Connettere nuovi agenti di raccolta Per abilitare i log ApigeeX per Microsoft Sentinel, fare clic sul pulsante Aggiungi nuovo agente di raccolta, specificare le informazioni necessarie nel popup e fare clic su Connetti.

Rete CDN di Google Cloud Platform (tramite Codeless Connector Framework)

Supportato da:Microsoft Corporation

Il connettore dati della rete CDN di Google Cloud Platform offre la possibilità di inserire i log di controllo della rete CDN cloud e i log del traffico della rete CDN cloud in Microsoft Sentinel usando l'API del motore di calcolo. Per altri dettagli, vedere il documento Panoramica del prodotto .

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

GCPCDN Sì Sì

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

Istruzioni per l'installazione:

Collega GCP CDN a Microsoft Sentinel:

ID Tenant: Un identificatore univoco utilizzato come input nella configurazione Terraform all'interno di un ambiente GCP:<variable value provided at install time>

Abilitare i log della rete CDN in Google Cloud Console, abilitare la registrazione cloud se non è abilitata in precedenza e salvare le modifiche. Passare alla sezione Rete CDN cloud e fare clic su Aggiungi origine per creare back-end in base al collegamento fornito di seguito.

Collegamento di riferimento: collegamento alla documentazione

Connettere nuovi agenti di raccolta Per abilitare i log della rete CDN di GCP Cloud per Microsoft Sentinel, fare clic sul pulsante Aggiungi nuovo agente di raccolta, specificare le informazioni necessarie nel popup e fare clic su Connetti.

Google Cloud Platform Cloud IDS (tramite Codeless Connector Framework)

Supportato da:Microsoft Corporation

Il connettore dati IDS di Google Cloud Platform offre la possibilità di inserire i log del traffico CLOUD IDS, i log delle minacce e i log di controllo in Microsoft Sentinel usando l'API Google Cloud IDS. Per altre informazioni, vedere la documentazione dell'API IDS cloud.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

GCPIDS Sì Sì

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

Istruzioni per l'installazione:

Collega GCP Cloud IDS a Microsoft Sentinel:

ID Tenant: Un identificatore univoco utilizzato come input nella configurazione Terraform all'interno di un ambiente GCP:<variable value provided at install time>

Abilitare i log IDS in Google Cloud Console, abilitare l'API IDS cloud, se non abilitata in precedenza. Creare un endpoint IDS e salvare le modifiche.

Per altre informazioni su come creare e configurare un endpoint IDS: collegamento alla documentazione

Connettere nuovi agenti di raccolta Per abilitare i log IDS GCP per Microsoft Sentinel, fare clic sul pulsante Aggiungi nuovo agente di raccolta, specificare le informazioni necessarie nel popup e fare clic su Connetti.

Monitoraggio cloud di Google Cloud Platform (tramite Codeless Connector Framework)

Supportato da:Microsoft Corporation

Il connettore dati Google Cloud Platform Cloud Monitoring inserisce i log di monitoraggio da Google Cloud in Microsoft Sentinel usando l'API di monitoraggio cloud di Google. Per altri dettagli, vedere la documentazione dell'API di monitoraggio cloud .

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

GCPMonitoring Sì Sì

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

Istruzioni per l'installazione:

Collega il monitoraggio cloud della piattaforma cloud di Google a Microsoft Sentinel:

Configurare l'integrazione del monitoraggio GCP Per recuperare i log da GCP Cloud Monitoring a Sentinel'ID progetto del cloud Google è necessario.

Scegli il tipo di metrica: per raccogliere i log da Google Cloud Monitoring fornisci il tipo di metrica richiesto.

Per altri dettagli, vedere Google Cloud Metrics.For more details, refer to Google Cloud Metrics.

Le credenziali OAuth per recuperare l'ID client Oauth e il segreto client fanno riferimento a questa documentazione.

Connettersi a Sentinel Fare clic su Connetti per iniziare a eseguire il pull dei log di monitoraggio da Google Cloud in Microsoft Sentinel.

ID Project GCP:

Tipo di metrica:

Griglia connettori dati (configurare nel portale)

Motore di calcolo di Google Cloud Platform (tramite Codeless Connector Framework)

Supportato da:Microsoft Corporation

Il connettore dati del motore di calcolo di Google Cloud Platform offre la possibilità di inserire i log di controllo del motore di calcolo in Microsoft Sentinel usando l'API Google Cloud Compute Engine. Per altre informazioni, vedere la documentazione dell'API del motore di calcolo cloud .

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

GCPComputeEngine Sì Sì

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

Istruzioni per l'installazione:

Collega GCP Compute Engine a Microsoft Sentinel:

ID Tenant: Un identificatore univoco utilizzato come input nella configurazione Terraform all'interno di un ambiente GCP:<variable value provided at install time>

Abilitare i log del motore di calcolo in Google Cloud Console, abilitare l'API del motore di calcolo, se non abilitata in precedenza, e salvare le modifiche.

Connettere nuovi agenti di raccolta Per abilitare i log del motore di calcolo per Microsoft Sentinel, fare clic sul pulsante Aggiungi nuovo agente di raccolta, specificare le informazioni necessarie nel popup e fare clic su Connetti.

DNS di Google Cloud Platform (tramite Codeless Connector Framework)

Supportato da:Microsoft Corporation

Il connettore dati DNS di Google Cloud Platform offre la possibilità di inserire i log delle query DNS cloud e i log di controllo DNS cloud in Microsoft Sentinel usando l'API DNS di Google Cloud. Per altre informazioni, vedere la documentazione dell'API DNS cloud .

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

GCPDNS Sì Sì

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

Istruzioni per l'installazione:

Collega GCP DNS a Microsoft Sentinel:

NOTA: Se sia Azure funzione che il connettore CCF sono in esecuzione simultaneamente, i dati duplicati vengono popolati nelle tabelle.

ID Tenant: Un identificatore univoco utilizzato come input nella configurazione Terraform all'interno di un ambiente GCP:<variable value provided at install time>

Abilitare i log DNS in Google Cloud Console, passare alla sezione DNS cloud. Abilitare la registrazione cloud se non è stata abilitata in precedenza e salvare le modifiche. In questo caso, è possibile gestire le zone esistenti o creare una nuova zona e creare criteri per la zona da monitorare.

Per altre informazioni: Collegamento alla documentazione

Connettere nuovi agenti di raccolta Per abilitare i log DNS GCP per Microsoft Sentinel, fare clic sul pulsante Aggiungi nuovo agente di raccolta, specificare le informazioni necessarie nel popup e fare clic su Connetti.

Google Cloud Platform IAM (tramite Codeless Connector Framework)

Supportato da:Microsoft Corporation

Il connettore dati IAM di Google Cloud Platform offre la possibilità di inserire i log di controllo relativi alle attività di gestione delle identità e degli accessi (IAM) all'interno di Google Cloud in Microsoft Sentinel usando l'API Google IAM. Per altre informazioni, vedere la documentazione dell'API IAM GCP .

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

GCPIAM Sì Sì

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

Istruzioni per l'installazione:

Collega GCP IAM a Microsoft Sentinel:

NOTA: Se Azure function e il connettore CCF vengono eseguiti in parallelo, i dati duplicati vengono popolati nelle tabelle.

ID Tenant: Un identificatore univoco utilizzato come input nella configurazione Terraform all'interno di un ambiente GCP:<variable value provided at install time>

Per abilitare i log di IAM nell'account GCP, passare alla sezione IAM. Da qui è possibile creare un nuovo utente o modificare il ruolo di un utente esistente da monitorare. Assicurarsi di salvare le modifiche.

Per altre informazioni: Collegamento alla documentazione

Connettere nuovi agenti di raccolta Per abilitare i log DI GCPIAM per Microsoft Sentinel, fare clic sul pulsante Aggiungi nuovo agente di raccolta, compilare le informazioni necessarie nel riquadro di contesto e fare clic su Connetti.

NAT di Google Cloud Platform (tramite Codeless Connector Framework)

Supportato da:Microsoft Corporation

Il connettore dati NAT di Google Cloud Platform offre la possibilità di inserire i log di controllo NAT cloud e i log del traffico NAT cloud in Microsoft Sentinel usando l'API del motore di calcolo. Per altri dettagli, vedere il documento Panoramica del prodotto .

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

GCPNATAudit Sì Sì

GCPNAT Sì Sì

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

Istruzioni per l'installazione:

Collega GCP NAT a Microsoft Sentinel:

ID Tenant: Un identificatore univoco utilizzato come input nella configurazione Terraform all'interno di un ambiente GCP:<variable value provided at install time>

Abilitare i log NAT in Google Cloud Console, abilitare la registrazione cloud se non è abilitata in precedenza e salvare le modifiche. Passare alla sezione CLOUD NAT e fare clic su Aggiungi origine per creare back-end in base al collegamento fornito di seguito.

Collegamento di riferimento: collegamento alla documentazione

Connettere nuovi agenti di raccolta Per abilitare i log NAT del cloud GCP per Microsoft Sentinel, fare clic sul pulsante Aggiungi nuovo agente di raccolta, specificare le informazioni necessarie nel popup e fare clic su Connetti.

Google Cloud Platform Resource Manager (tramite Codeless Connector Framework)

Supportato da:Microsoft Corporation

Il connettore dati di Google Cloud Platform Resource Manager offre la possibilità di inserire Resource Manager log attività Amministrazione e di controllo di accesso ai dati in Microsoft Sentinel usando l'API Cloud Resource Manager. Per altri dettagli, vedere il documento Panoramica del prodotto .

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

GCPResourceManager Sì Sì

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

Istruzioni per l'installazione:

Collega GCP Resource Manager a Microsoft Sentinel:

ID Tenant: Un identificatore univoco utilizzato come input nella configurazione Terraform all'interno di un ambiente GCP:<variable value provided at install time>

Abilitare Resource Manager log in Google Cloud Console, abilitare l'API di Gestione risorse cloud se non è abilitata in precedenza e salvare le modifiche. Assicurarsi di disporre delle autorizzazioni IAM a livello di organizzazione per l'account per visualizzare tutti i log nella gerarchia delle risorse. È possibile fare riferimento ai collegamenti del documento per le diverse autorizzazioni IAM per il controllo di accesso con IAM a ogni livello fornito in questo collegamento

Connettere nuovi agenti di raccolta Per abilitare I log Resource Manager GCP per Microsoft Sentinel, fare clic sul pulsante Aggiungi nuovo agente di raccolta, specificare le informazioni necessarie nel popup e fare clic su Connetti.

Motore di Google Kubernetes (tramite Codeless Connector Framework)

Supportato da:Microsoft Corporation

I log del motore Google Kubernetes consentono di acquisire attività del cluster, comportamento del carico di lavoro ed eventi di sicurezza, consentendo di monitorare i carichi di lavoro kubernetes, analizzare le prestazioni e rilevare potenziali minacce nei cluster GKE.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

GKEAudit Sì Sì

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

Istruzioni per l'installazione:

ID Tenant: Un identificatore univoco utilizzato come input nella configurazione Terraform all'interno di un ambiente GCP:<variable value provided at install time>

Abilitare la registrazione del motore Kubernetes nell'account GCP, passare alla sezione Motore Kubernetes. Abilitare La registrazione cloud per i cluster. In Registrazione cloud assicurarsi che i log specifici da inserire, ad esempio server API, utilità di pianificazione, gestione controller, decisioni HPA e log delle applicazioni, siano abilitati per un monitoraggio efficace e un'analisi della sicurezza.

Connettere nuovi agenti di raccolta Per abilitare i log GKE per Microsoft Sentinel, fare clic sul pulsante Aggiungi nuovo agente di raccolta, immettere le informazioni necessarie nel riquadro di contesto e fare clic su Connetti.

Centro di comando di Google Security

Supportato da:Microsoft Corporation

Google Cloud Platform (GCP) Security Command Center è una piattaforma completa per la sicurezza e la gestione dei rischi per Google Cloud, inserita dal connettore di Sentinel. Offre funzionalità come l'inventario e l'individuazione degli asset, il rilevamento delle vulnerabilità e delle minacce e la mitigazione e correzione dei rischi per ottenere informazioni dettagliate sulla sicurezza e la superficie di attacco dati dell'organizzazione. Questa integrazione consente di eseguire attività correlate a risultati e asset in modo più efficace.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

GoogleCloudSCC Sì Sì

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

Istruzioni per l'installazione:

Configurare l'ambiente GCP È necessario avere le risorse GCP seguenti definite e configurate: argomento, sottoscrizione per l'argomento, pool di identità del carico di lavoro, provider di identità del carico di lavoro e account del servizio con le autorizzazioni per ottenere e utilizzare dalla sottoscrizione. Terraform fornisce l'API per IAM che crea le risorse. Collegamento agli script Terraform.

ID Tenant: Un identificatore univoco utilizzato come input nella configurazione Terraform all'interno di un ambiente GCP:<variable value provided at install time>

Connettere nuovi agenti di raccolta Per abilitare GCP SCC per Microsoft Sentinel, fare clic sul pulsante Aggiungi nuovo agente di raccolta, compilare le informazioni necessarie nel riquadro di contesto e fare clic su Connetti.

Allerte del Sistema di Rilevanza di Intelligence sulle Minacce di Google

Supportato da:Google

Il connettore dati Google Threat Intelligence (virustotal) assorbe gli avvisi del Sistema di Rilevanza GTI in Microsoft Sentinel. Il connettore interroga l'API di Avvisi del Sistema di Rilevanza GTI su un programma configurabile e memorizza i dati degli Allarmi del Sistema di Rilevanza nella tabella personalizzata RelevanceSystemAlerts_CL, consentendo agli analisti di sicurezza di indagare minacce, correlare incidenti e rispondere ad avvisi guidati dall'intelligence all'interno dello spazio di lavoro Sentinel.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

RelevanceSystemAlerts_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Iscrizione Azure: Un abbonamento Azure con ruolo di proprietario è necessario per registrare un'applicazione in Microsoft Entra ID e assegnare il ruolo di contributore all'app nel gruppo risorse.

Microsoft. Permessi web/siti: Sono necessari permessi di lettura e scrittura per Funzioni di Azure per creare una Function App. Per altre informazioni, vedere Funzioni di Azure.

Chiave API di Intelligence sulle Minacce di Google: È richiesta una chiave API di Google Threat Intelligence e un ID di progetto. Consulta la documentazione GTI per scoprire come ottenere una chiave API.

Istruzioni per l'installazione:

NOTA: Questo connettore utilizza un'app Azure funzione (Timer Trigger, Python 3.12) per interrogare l'API Google Threat Intelligence Alerts su un programma configurabile e inserire gli avvisi di rilevanza GTI nella tabella personalizzata RelevanceSystemAlerts_CL in Microsoft Sentinel. Ciò può comportare costi aggiuntivi per l'inserimento di dati. Per informazioni dettagliate, controllare la pagina dei prezzi Funzioni di Azure.

PASSO 1 - Ottenere le credenziali API di Google Threat Intelligence

Accedi al portale Google Threat Intelligence (virustotal).

Naviga nelle impostazioni del project GTI e copia l'ID Project.

Genera una chiave API per il tuo progetto e copiala in modo sicuro.

PASSAGGIO 2 - Procedura di registrazione dell'app per l'applicazione in Microsoft Entra ID

Questa integrazione richiede una registrazione dell'app nel portale di Azure. Seguire i passaggi descritti in questa sezione per creare una nuova applicazione in Microsoft Entra ID:

Accedere al portale di Azure.

Cercare e selezionare Microsoft Entra ID.

In Gestisci selezionare Registrazioni app > Nuova registrazione.

Inserisci un nome visualizzato per la tua applicazione (ad esempio RelevanceSystemAlertsSentinelConnector).

Selezionare Registra per completare la registrazione iniziale dell'app.

Al termine della registrazione, il portale di Azure visualizza il riquadro Panoramica della registrazione dell'app. Copia l'ID dell'applicazione (client) e l'ID della directory (tenant) - questi sono richiesti come parametri di configurazione.

Collegamento di riferimento:/azure/active-directory/develop/quickstart-register-app

PASSO 3 - Aggiungi un segreto client per l'applicazione in Microsoft Entra ID

A volte chiamata password di applicazione, un client secret è un valore di stringa richiesto per il connettore. Seguire i passaggi descritti in questa sezione per creare un nuovo segreto client:

Nel portale di Azure selezionare l'applicazione in Registrazioni app.

Selezionare Certificati & segreti > client Segreti > client Nuovo segreto client.

Aggiungere una descrizione per il segreto client.

Selezionare una scadenza per il segreto o specificare una durata personalizzata. Il limite è di 24 mesi.

Selezionare Aggiungi.

Registra il valore del segreto per l'uso come parametro AzureClientSecret. Questo valore del segreto non viene mai più visualizzato dopo aver lasciato questa pagina.

Collegamento di riferimento:/azure/active-directory/develop/quickstart-register-app#add-a-client-secret

PASSO 4 - Ottieni l'ID oggetto della tua applicazione in Microsoft Entra ID

Dopo aver creato la registrazione dell'app, segui i passaggi in questa sezione per ottenere l'ID Oggetto:

Vai a Microsoft Entra ID.

Selezionare Applicazioni aziendali dal menu a sinistra.

Trova la tua nuova applicazione nella lista (cerca con il nome che hai fornito).

Fare clic sull'applicazione.

Nella pagina panoramica, copia l'ID Oggetto. Questo è l'AzureEntraObjectID necessario per l'assegnazione del ruolo del template ARM.

PASSO 5 - Distribuire il connettore e l'app Azure Function associata

Modello Azure Resource Manager (ARM)

Utilizzare questo metodo per il deployment automatizzato del connettore GTI Relevance System Alerts utilizzando un template ARM.

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms aka.ms

Selezionare la sottoscrizione, il gruppo di risorse e la località preferiti.

Inserisci le informazioni qui sotto:

a. FunName - Inserisci un nome unico per l'app Azure Function (massimo 11 caratteri). Esempio: GTIRSAlerts

b. Posizione - Regione Azure per l'app Function e le risorse di supporto. Il valore predefinito è la posizione del gruppo di risorse. Esempio: eastus

c. WorkspaceName - Inserisci il nome Microsoft Sentinel Log Analytics workspace. Esempio: MyWorkspace

d. AppInsightsWorkspaceResourceID - Inserisci l'ID della risorsa completamente qualificata dello spazio di lavoro Log Analytics per Application Insights. Formato: /subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}

e. AzureTenantID - Inserisci l'ID Azure Tenant (Directory) ottenuto in STEP 2. Esempio: xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx

f. AzureClientID - Inserisci l'ID dell'applicazione (Client) ottenuto nel PASSO 2. Esempio: xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx

g. AzureClientSecret - Inserisci il valore del client secret ottenuto nel STEP 3.

h. AzureEntraObjectID - Inserisci l'ID Oggetto della tua app Microsoft Entra ottenuta in STEP 4. Esempio: xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx

i. GTIProjectId - Inserisci l'ID del progetto Google Threat Intelligence ottenuto nel PASSO 1. Esempio: my-gti-project-id. Consulta la documentazione GTI per capire come iniziare.

j. GTIApiKey - Inserisci la chiave API di Google Threat Intelligence ottenuta nel PASSO 1.

Okay. GTIRelevanceSystemAlertsTableName - Inserisci il nome della tabella personalizzata per gli avvisi di rilevanza del sistema GTI. Il _CL suffisso viene aggiunto automaticamente. Massimo 52 caratteri (il _CL suffisso conta per il limite di 57 caratteri della tabella Log Analytics). Predefinito: RelevanceSystemAlerts

l. StartDate - (Opzionale) Inserisci la data di inizio e ora nel yyyy-mm-ddTHH:MM:SS[.fff]Z formato. Esempio: 2026-05-20T15:43:51Z. Deve essere una data scaduta. Se non forniti, verranno recuperati i dati degli ultimi 7 giorni.

m. GTIFilterExpression - (Opzionale) Inserisci un'espressione filtro GTI API per restringere quali avvisi vengono ingeriti. Esempio: state = "NEW". Qualsiasi audit.update_time condizione verrà rimossa automaticamente - il connettore gestisce quel filtro internamente. La tua espressione è combinata con il filtro checkpoint usando AND.

n. Schedule - Inserisci un'espressione valida di Quartz Cron per il programma di trigger del timer. Predefinito: 0 */10 * * * * (ogni 10 minuti).

o. LogLevel - Imposta il livello logaritmico per l'app Function. Valori consentiti: Debug, Info, Warning, Error. Impostazione predefinita: Info.

p. KeyVaultName - Inserisci il nome del keyvault dove verranno memorizzati i token.

Contrassegnare la casella di controllo con l'etichetta Accetto i termini e le condizioni indicati sopra.

Fare clic su Acquista per distribuire.

PASSAGGIO 6 - Creare un keyvault

Seguire queste istruzioni per creare un nuovo keyvault.

Nella portale di Azure passare a Insiemi di credenziali delle chiavi e fare clic su Crea.

Seleziona Abbonamento, Gruppo Risorse e fornisci il nome unico di Keyvault.

PASSAGGIO 7 - Creare criteri di accesso in Keyvault

Seguire queste istruzioni per creare criteri di accesso in Keyvault.

Passare a keyvaults, selezionare il keyvault, passare a Criteri di accesso nel pannello a sinistra, fare clic su Crea.

Selezionare tutte le chiavi & le autorizzazioni dei segreti. Fare clic su Avanti.

Nella sezione principale, cerca il nome dell'app funzione che è stata implementata in STEP - 5. Fare clic su Avanti.

Nota: Assicurati che il modello di permessi nella configurazione di accesso di Key Vault sia impostato su 'Politica di accesso al Vault'

PASSO 8 - Verifica l'Ingestione dei Dati

Dopo il rilascio, verifica che i dati vengano assorbiti in Microsoft Sentinel:

Navigare su Microsoft Sentinel ? Tronchi.

Eseguire la query riportata di seguito:

RelevanceSystemAlerts_CL | sort by TimeGenerated desc | limit 10

I dati dovrebbero apparire entro 5-10 minuti dalla prima esecuzione della funzione.

Lo stato del connettore nella pagina dei connettori dati indica Collegato una volta ricevuti i dati negli ultimi 30 giorni.

Il connettore di risoluzione dei problemi mostra Disconnesso

Verifica che l'app Function sia in esecuzione: portale di Azure? Function App? Panoramica? Lo stato dovrebbe essere In corso.

Conferma che i dati sono stati ingeriti negli ultimi 30 giorni.

Consulta i log di Application Insights per eventuali errori.

Errori di autenticazione (401 / 403)

Verify AzureClientID, AzureClientSecret e AzureTenantID sono corretti in Function App ? Configurazione? Impostazioni dell'applicazione.

Assicurati che il segreto del cliente non sia scaduto.

Conferma che la Registrazione dell'App abbia permessi sufficienti.

Nessun dato nella tabella RelevanceSystemAlerts_CL

Controlla l'app Function? Funzioni? RilevanzaSystemAlerts? Monitora gli errori di esecuzione.

Verifica che la chiave API GTI e l'ID del progetto siano validi.

Conferma che l'API sorgente è raggiungibile da Azure.

Ripassa le tracce di Application Insight:

traces | where timestamp > ago(1h) | order by timestamp desc | take 50

Errori del limite di velocità (429)

Il connettore esegue automaticamente nuovi tentativi con backoff esponenziale. Se persistono errori, ridurre la frequenza di intermissione aumentando l'intervallo cron Schedule .

Attività dell'area di lavoro di Google (tramite Codeless Connector Framework)

Supportato da:Microsoft Corporation

Il connettore dati Google Workspace Activities offre la possibilità di inserire eventi attività dall'API Google Workspace in Microsoft Sentinel.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

GoogleWorkspaceReports Sì Sì

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

Prerequisiti:

Accesso all'API di Google Workspace: È necessario accedere all'API delle attività di Google Workspace tramite Oauth.

Istruzioni per l'installazione:

Connettiti a Google Workspace per iniziare a raccogliere i log delle attività degli utenti in Microsoft Sentinel:

Passaggi di configurazione per l'API Google Reports

Accedere alla console cloud di Google con le credenziali https://console.cloud.google.comdell'area di lavoro Amministrazione .

Utilizzando l'opzione di ricerca (disponibile in alto al centro), cerca API & Services:

Dalle API & Services ->Enabled API & Services abilitare Amministrazione API SDK per questo progetto.

Passare ad API & Services ->OAuth Consent Screen (Schermata di consenso OAuth). Se non è già configurato, creare una schermata di consenso OAuth con la procedura seguente:

Specificare il nome dell'app e altre informazioni obbligatorie.

Selezionare Esterno come tipo di utente per il gruppo di destinatari.

Passare alle API & Services ->Credentials e creare l'ID client OAuth 2.0

Fare clic su Crea credenziali nella parte superiore e selezionare ID client Oauth.

Selezionare Applicazione Web dall'elenco a discesa Tipo di applicazione.

Specificare un nome appropriato per l'app Web e aggiungere l'URI di reindirizzamento nel modulo seguente come URI di reindirizzamento autorizzati.

Dopo aver fatto clic su Crea, verranno forniti l'ID client e il segreto client. Copiare questi valori e usarli nei passaggi di configurazione seguenti.

Passare a Google Auth Platform ->Accesso ai dati: Aggiungere Amministrazione ambito DELL'API SDK

Configurare i passaggi per l'accesso oauth dell'API Google Reports. Specificare quindi le informazioni necessarie di seguito e fare clic su Connetti.

Griglia connettori dati (configurare nel portale)

Connettore dati GravityZone

Supportato da:Bitdefender SRL

Questo connettore consente l'integrazione tra Bitdefender GravityZone e Microsoft Sentinel tramite l'API del servizio Push eventi. Una volta configurata, trasmette tutti i tipi di evento GravityZone direttamente nell'area di lavoro Microsoft Sentinel, dove vengono archiviati come log nella GzSecurityEvents_CL tabella.

Le categorie di eventi principali, ad esempio EDR, XDR, mitigazione ransomware, sandboxing di rete ed eventi malware di Exchange, possono essere automaticamente correlate e generare eventi imprevisti tramite la regola di analisi NRT GravityZone Incident Alerts .

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

GzSecurityEvents_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Registrazione app Azure: Registrazione Microsoft Entra App con i seguenti dettagli: ID Directory (Tenant) conservato, ID Application (Client), ID oggetto Managed Service Principal (dalla voce Applicazioni Enterprise dell'app), Client Secret (generato sotto Certificati & segreti).

Account GravityZone Cloud: Un account GravityZone Cloud con una chiave API generata per l'endpoint Event Push Service.

Leggi la nostra guida: Segui questo articolo passo dopo passo per impostare l'integrazione. Clienti | Partner

Istruzioni per l'installazione:

Fare clic sul pulsante Distribuisci in Azure di seguito e immettere i parametri necessari.

aka.ms

Raccogliere l'URL di inserimento dei log dall'endpoint gz-sentinel-dcedi raccolta dati

Raccogliere l'ID non modificabile dalla gz-sentinel-dcrregola di raccolta dati

Passare all'account GravityZone Cloud e passare a Account personale. Creare una chiave API con autorizzazioni del servizio Push eventi .

Configura le impostazioni del tuo Event Push Service utilizzando questo articolo. Clienti | Partner. Si prega di notare che, dopo il successo del connettore dati e del connettore dati, con successo l'installazione del servizio Event Push di GravityZone, il sistema riceverà i dati del Activity Log quasi in tempo reale. Può verificarsi un breve ritardo tra la trasmissione dei dati e la loro apparizione nella sezione Microsoft Sentinel Logs:

Intelligence sulle Minacce GreyNoise

Supportato da:GreyNoise

Questo connettore dati installa un'app per le funzioni Azure per scaricare gli indicatori GreyNoise una volta al giorno e li inserisce nella tabella ThreatIntelIndicators in Microsoft Sentinel.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

ThreatIntelIndicators Sì No

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

Prerequisiti:

Microsoft. Permessi web/siti: Sono necessari permessi di lettura e scrittura per Funzioni di Azure per creare una Function App. Per altre informazioni, vedere Funzioni di Azure.

Chiave API di GreyNoise: Recupera qui la tua chiave API di GreyNoise.

Istruzioni per l'installazione:

Puoi collegare GreyNoise Threat Intelligence a Microsoft Sentinel seguendo i seguenti passaggi:

I passaggi seguenti creano un'applicazione AAD Azure, recuperano una chiave API GreyNoise e salvano i valori in un Configurazione app function Azure.

1. Recupera la tua API Key da GreyNoise Visualizer:

Generare una chiave API dal visualizzatore GreyNoise https://docs.greynoise.io/docs/using-the-greynoise-api

2. Nel tenant di Azure AD creare un'applicazione active directory (AAD) Azure e acquisire l'ID tenant e l'ID client. Inoltre, ottieni l'ID di Log Analytics Workspace associato alla tua istanza Microsoft Sentinel (dovrebbe essere visualizzato qui sotto):

Seguire le istruzioni riportate qui per creare l'app AAD Azure e salvare l'ID client e l'ID tenant: /azure/sentinel/connect-threat-intelligence-upload-api#instructions NOTA: attendere il passaggio 5 per generare il segreto client.

ID dello spazio di lavoro:<variable value provided at install time>

3. Assegnare all'applicazione AAD il ruolo di Contributore Microsoft Sentinel:

Seguire le istruzioni riportate qui per aggiungere il ruolo collaboratore Microsoft Sentinel: /azure/sentinel/connect-threat-intelligence-upload-api#assign-a-role-to-the-application

4. Specificare i permessi AAD per abilitare l'accesso MS API Graph all'API degli indicatori di upload:

Seguire questa sezione per aggiungere l'autorizzazione 'ThreatIndicators.ReadWrite.OwnedBy' all'app AAD: /azure/sentinel/connect-threat-intelligence-tip#specify-the-permissions-required-by-the-application. Tornare all'app AAD, assicurarsi di concedere il consenso amministratore per le autorizzazioni appena aggiunte. Infine, nella sezione "Token e API" generare un segreto client e salvarlo. Sarà necessario nel passaggio 6.

5. Implementare la Threat Intelligence (Nuova Soluzione) (v3.0.14 o successiva) che include l'API degli Indicatori di Upload di Intelligence sulle Minacce (Anteprima):

Vedere Microsoft Sentinel Content Hub per questa soluzione e installarla nell'istanza di Microsoft Sentinel. Si noti che non è necessario eseguire alcuna configurazione in questo passaggio.

6. Distribuire la funzione Azure:

Fare clic sul pulsante Distribuisci in Azure.

aka.ms

Compilare i valori appropriati per ogni parametro. Tenere presente che gli unici valori validi per il parametro GREYNOISE_CLASSIFICATIONS sono benigni, dannosi e/o sconosciuti, che devono essere separati da virgole.

7. Invia indicatori a Sentinel:

L'app per le funzioni installata nel passaggio 6 esegue una query sull'API GNQL GreyNoise una volta al giorno e invia ogni indicatore trovato in formato STIX 2.1 all'API Microsoft Upload Threat Intelligence Indicators. Ogni indicatore scade in circa 24 ore dalla creazione, a meno che non venga trovato nella query del giorno successivo. In questo caso, il tempo valido fino all'indicatore TI viene esteso per altre 24 ore, che lo mantiene attivo in Microsoft Sentinel.

Per altre informazioni sull'API GreyNoise e sul linguaggio di query GreyNoise (GNQL), fare clic qui.

Connettore Halcyon (v2)

Supportato da:Halcyon

Il connettore Halcyon offre la possibilità di inviare dati da Halcyon a Microsoft Sentinel. Questo connettore v2 assorbe Eventi Halcyon e HalcyonEventsV2_CL Aggiornamenti di Avviso in HalcyonAlertUpdatesV2_CL.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

HalcyonEventsV2_CL No No

HalcyonAlertUpdatesV2_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Microsoft Entra Create Permissions: Permessi per creare una registrazione di un'app in Microsoft Entra ID. In genere richiede Entra ruolo sviluppatore di applicazioni ID o superiore.

Permessi di assegnazione del ruolo: Permessi di scrittura necessari per assegnare il ruolo di Monitoring Metrics Publisher alla regola di raccolta dati (DCR). In genere richiede il ruolo Proprietario o Amministratore accesso utente a livello di gruppo di risorse.

Istruzioni per l'installazione:

1. Creare risorse arm e effettuare il provisioning delle autorizzazioni necessarie

Cliccando su "Deploy" si creano le tabelle Log Analytics (HalcyonEventsV2_CL e HalcyonAlertUpdatesV2_CL) e una Data Collection Rule (DCR), poi si crea un'applicazione Entra collegata al DCR e fornisce i permessi richiesti. Una volta configurato, Halcyon invia gli Eventi e gli Aggiornamenti di Allerta all'endpoint DCR, inserendoli nelle tabelle HalcyonEventsV2_CL e HalcyonAlertUpdatesV2_CL.

La configurazione automatizzata e l'inserimento sicuro dei dati con Entra'applicazione facendo clic su "Distribuisci" attiveranno la creazione di tabelle di Log Analytics e di una regola di raccolta dati (DCR). Verrà quindi creata un'applicazione Entra, verrà collegato il DCR e verrà impostato il segreto immesso nell'applicazione. Questa configurazione consente di inviare i dati in modo sicuro al DCR usando un token di Entra.

2. Configurare l'integrazione nella piattaforma Halcyon

Usare i parametri seguenti per configurare l'integrazione nella piattaforma Halcyon.

ID directory (ID inquilino):<Valore variabile fornito al momento dell'installazione>

ID Registrazione App Entra (ID Cliente):<Valore variabile fornito al momento dell'installazione>

Segreto della registrazione dell'app Entra (Segreto delle credenziali) (QUESTO SEGRETO NON SARÀ VISIBILE DOPO AVER LASCIATO QUESTA PAGINA):<Valore variabile fornito al momento dell'installazione>

Endpoint di raccolta dati (URL):<Valore variabile fornito al momento dell'installazione>

ID Regola di Raccolta Dati (ID Regola):<Valore variabile fornito al momento dell'installazione>

Holm Security Asset Data (usando Funzioni di Azure)

Supportato da:Holm Security

Il connettore offre la possibilità di eseguire il polling dei dati dal Centro sicurezza Holm in Microsoft Sentinel.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

net_assets_CL No No

web_assets_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Microsoft. Permessi web/siti: Sono necessari permessi di lettura e scrittura per Funzioni di Azure per creare una Function App. Per altre informazioni, vedere Funzioni di Azure.

Token Holm API Sicurezza: È richiesto il Token Holm API Sicurezza. Token di API Sicurezza Holm

Istruzioni per l'installazione:

NOTA: Questo connettore usa Funzioni di Azure per connettersi a un asset di sicurezza di Holm per eseguire il pull dei log in Microsoft Sentinel. Ciò potrebbe comportare costi aggiuntivi per l'inserimento di dati. Per informazioni dettagliate, controllare la pagina dei prezzi Funzioni di Azure.

(Passaggio facoltativo) Archiviare in modo sicuro le chiavi o i token di autorizzazione api e dell'area di lavoro in Azure Key Vault. Azure Key Vault fornisce un meccanismo sicuro per archiviare e recuperare i valori delle chiavi. Seguire queste istruzioni per usare Azure Key Vault con un'app per le funzioni Azure.

PASSAGGIO 1 - Passaggi di configurazione per il API Sicurezza Holm

Seguire queste istruzioni per creare un token di autenticazione API.

PASSAGGIO 2- Usare l'opzione di distribuzione seguente per distribuire il connettore e la funzione Azure associata

IMPORTANTE: Prima di distribuire il connettore Holm Security, è possibile copiare l'ID dell'area di lavoro e la chiave primaria dell'area di lavoro (che può essere copiata da quanto segue), nonché il token di autorizzazione di Holm API Sicurezza, immediatamente disponibile.

ID dello spazio di lavoro:<variable value provided at install time>

Chiave primaria:<variable value provided at install time>

Azure Resource Manager (ARM) Deployment Template:

Opzione 1 - Modello Azure Resource Manager (ARM)

Usare questo metodo per la distribuzione automatica del connettore Holm Security.

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms

Selezionare la sottoscrizione, il gruppo di risorse e la località preferiti.

Immettere l'ID dell'area di lavoro, la chiave dell'area di lavoro, il nome utente dell'API, la password API, 'e/o altri campi obbligatori'.

Nota: se si usano Azure Key Vault segreti per uno dei valori precedenti, usare lo@Microsoft.KeyVault(SecretUri={Security Identifier})schema al posto dei valori stringa. Per altre informazioni, vedere Key Vault documentazione di riferimento. 4. Contrassegnare la casella di controllo etichettata Accetto i termini e le condizioni indicati sopra. 5. Fare clic su Acquista per distribuire.

Log IIS dei server Microsoft Exchange

Supportato da:Community

[Opzione 5] - Uso dell'agente di monitoraggio Azure: è possibile trasmettere tutti i log IIS dai computer Windows connessi all'area di lavoro Microsoft Sentinel usando l'agente Windows. Questa connessione consente di creare avvisi personalizzati e migliorare l'analisi.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

W3CIISLog Sì No

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

Prerequisiti:

Log Analytics di Azure verrà deprecato per raccogliere dati da macchine virtuali non Azure, è consigliabile Azure Arc. Altre informazioni

Documentazione dettagliata:>NOTA: Documentazione dettagliata sulla procedura di installazione e sull'utilizzo è disponibile qui

Istruzioni per l'installazione:

NOTA: Questa soluzione si basa sulle opzioni. In questo modo è possibile scegliere quali dati verranno inseriti perché alcune opzioni possono generare un volume di dati molto elevato. A seconda di ciò che si vuole raccogliere, tenere traccia delle funzionalità Cartelle di lavoro, Regole di analisi e Ricerca che si sceglieranno le opzioni che si distribuiranno. Ogni opzione è indipendente per una dall'altra. Per altre informazioni su ogni opzione: wiki "Microsoft Exchange Security"

Questo connettore dati è l'opzione 5 del wiki.

1. Scarica e installa gli agenti necessari per raccogliere i log per Microsoft Sentinel:

Il tipo di server (Exchange Server, Controller di dominio collegati a Exchange Server o a tutti i controller di dominio) dipende dall'opzione che si vuole distribuire.

Dispiegare gli agenti monitor:

Questo passaggio è necessario solo se è la prima volta che si esegue l'onboarding di Exchange Server/Controller di dominio Distribuire l'agente Azure Arc Altre informazioni

[Opzione 5] Log IIS dei server Exchange:

Selezionare come trasmettere i log IIS dei server Exchange

Abilita la regola di raccolta dati:

I log IIS vengono raccolti solo dagli agenti Windows .

Opzione 1 - Template Azure Resource Manager (ARM) (Metodo Preferito):

Usare questo metodo per la distribuzione automatica di DCE e DCR.

R. Crea DCE (se non è già creato per server Exchange):

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms

Selezionare la sottoscrizione, il gruppo di risorse e la località preferiti.

È possibile modificare il nome proposto del controller di dominio.

Fare clic su Crea per distribuire.

B. Regola di Deploy Data Connection:

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms

Selezionare la sottoscrizione, il gruppo di risorse e la località preferiti.

Immettere l'ID area di lavoro 'e/o Altri campi obbligatori'.

Contrassegnare la casella di controllo con l'etichetta Accetto i termini e le condizioni indicati sopra.

Fare clic su Acquista per distribuire.

Opzione 2 - Distribuzione manuale di Automazione di Azure:

Usare le istruzioni dettagliate seguenti per distribuire manualmente una regola di raccolta dati.

R. Crea DCE (se non è già creato per server Exchange):

Dal portale di Azure passare a Azure Endpoint raccolta dati.

Fare clic su + Crea nella parte superiore.

Nella scheda Informazioni di base compilare i campi obbligatori e assegnare un nome al controller di dominio.

"Apportare altre modifiche di configurazione preferibili", se necessario, quindi fare clic su Crea.

B. Crea un registro DCR, Tipo IIS:

Nel portale di Azure passare a Azure Regole di raccolta dati.

Fare clic su + Crea nella parte superiore.

Nella scheda Informazioni di base compilare i campi necessari, Selezionare Windows come tipo di piattaforma e assegnare un nome al registro azure container. Selezionare il controller di dominio creato.

Nella scheda Risorse immettere Exchange Server.

In "Raccogliere e recapitare" aggiungere un tipo di origine dati "log IIS" (non immettere un percorso se il percorso dei log IIS è configurato per impostazione predefinita). Fare clic su 'Aggiungi origine dati'

"Apportare altre modifiche di configurazione preferibili", se necessario, quindi fare clic su Crea.

Assegna il DCR a tutti i server Exchange:

Aggiungere tutti i server Exchange al Registro Azure Container

Informazioni dettagliate su Illumio

Supportato da:Illumio

Il connettore dati Illumio Insights consente di inserire i log dall'API Illumio in Microsoft Sentinel. Il connettore dati è basato su Microsoft Sentinel Codeless Connector Framework. Usa l'API Illumio per recuperare i log e supporta trasformazioni del tempo di inserimento basate su DCR che analizzano i dati di sicurezza ricevuti in una tabella personalizzata in modo che le query non debbano analizzarli nuovamente, con conseguente miglioramento delle prestazioni.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

IllumioInsights_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Istruzioni per l'installazione:

Passaggi di configurazione per l'API Illumio Insights

Prerequisiti

Registrare e accedere alla console Illumio con credenziali valide

Le credenziali client devono essere archiviate nell'account Microsoft Sentinel per il tenant

Passaggio 1: Registrare l'account del servizio

Vai su Illumio Console -> Accesso -> Account Servizio:

Creare un account del servizio per il tenant

Dopo aver creato un account del servizio, si riceveranno le credenziali client

Copia il nome utente (chiave API) e il passo segreto 2: Aggiungi credenziali client all'account Sentinel:

Aggiungere la chiave API e il segreto all'account Sentinel per l'autenticazione tenant

Queste credenziali verranno usate per autenticare le chiamate all'API SaaS Illumio

Passaggio 3: Utilizzo api Il connettore userà queste credenziali per chiamare l'API SaaS Illumio:

Endpoint:GET https://gw.console.illum.io/api/v1/resource-insights

Intestazioni obbligatorie:

x-illumio-tenant-id: ID tenant Illumio

x-auth-key: chiave API ottenuta dal passaggio 1

x-auth-X-api-secret: chiave privata ottenuta dal passaggio 1

Convalida dell'autenticazione Illumio convalida la richiesta in base a:

Firma per le chiavi pubbliche dell'ID Entra

Il gruppo di destinatari (aud) corrisponde all'URI dell'ID app dell'API

Convalida dell'autorità di certificazione

Compilare i campi necessari di seguito con le credenziali ottenute dalla console di Illumio:

Illumio Insights Api Key: (api_XXXXXX)

Api Secret: (API Secret)

Illumio Tenant Id: ({illumioTenantId})

Abilitare/disabilitare la connessione

Grafico Illumio Insights

Supportato da:Illumio

Il connettore Illumio Insights Graph pubblica report di scoperta di minacce e anomalie basati su IA generati dall'agente Illumio Insights. Sfruttamento del MITRE ATT&; CK, questi rapporti portano direttamente nel Data Lake insight ad alta fedeltà su minacce emergenti e comportamenti rischiosi.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

IllumioInsightsGraph No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Istruzioni per l'installazione:

1. Configurazione

Configura il connettore Illumio Insights Graph.

Questo connettore dati potrebbe richiedere 24 ore per l'ultimo rapporto dopo l'onboarding

Fasi di configurazione per il connettore Illumio Insights Graph

Prerequisiti

Registrare e accedere alla console Illumio con credenziali valide

Acquista Illumio Insights o inizia una prova gratuita per Illumio Insights

Abilita l'Agente Illumio Insights

Passaggio 1: Registrare l'account del servizio

Vai su Illumio Console? Accesso? Conti di servizio

Creare un account del servizio per il tenant

Dopo aver creato un account del servizio, si riceveranno le credenziali client

Copia il auth_username (Illumio Insights API Key) e il segreto (API Secret) Passo 2: Aggiungi le credenziali del client all'account Sentinel

Aggiungere la chiave API e il segreto all'account Sentinel per l'autenticazione tenant

Queste credenziali verranno usate per autenticare le chiamate all'API SaaS Illumio

Compilare i campi necessari di seguito con le credenziali ottenute dalla console di Illumio:

Illumio Insights Api Key: (api_XXXXXX)

Api Secret: (API Secret)

Illumio Tenant ID: ({IllumioTenantId - Optional})

2. Connettersi

Abilita il connettore Illumio Insights Graph.

Abilitare/disabilitare la connessione

Riepilogo di Illumio Insights

Supportato da:Illumio

Il connettore dati riepilogativo di Illumio Insights offre la possibilità di inserire informazioni dettagliate sulla sicurezza e report di analisi delle minacce di Illumio in Microsoft Sentinel tramite l'API REST. Per altre informazioni, vedere la documentazione dell'API Illumio . Il connettore consente di ottenere report di riepilogo giornalieri e settimanali da Illumio e visualizzarli in Microsoft Sentinel.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

IllumioInsightsSummary_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Accesso API Illumio: L'accesso API Illumio è richiesto per l'API Summari Illumio Insights.

Istruzioni per l'installazione:

1. Configurazione:

Configurare il connettore Di riepilogo di Illumio Insights.

[! NOTA] Questo connettore dati dipende da un parser basato su una funzione Kusto per funzionare come previsto che viene distribuito come parte della soluzione.

Illumio Insights Api Key: (api_XXXXXX)

Api Secret: (API Secret)

Illumio Tenant ID: ({illumioTenantId})

2. Connetti:

Abilitare il connettore Di riepilogo di Illumio Insights.

Abilitare/disabilitare la connessione

Illumio SaaS (usando Funzioni di Azure)

Supportato da:Illumio

Il connettore Illumio offre la possibilità di inserire eventi in Microsoft Sentinel. Il connettore offre la possibilità di inserire eventi controllabili e di flusso dal bucket AWS S3.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

Illumio_Auditable_Events_CL No No

Illumio_Flow_Events_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Microsoft. Permessi web/siti: Sono necessari permessi di lettura e scrittura per Funzioni di Azure per creare una Function App. Per altre informazioni, vedere Funzioni di Azure.

Credenziali/permessi degli account SQS e AWS S3:AWS_SECRET, AWS_REGION_NAME, AWS_KEY, QUEUE_URL è necessario. Se si usa il bucket s3 fornito da Illumio, contattare il supporto di Illumio. Su richiesta, ti forniranno il nome del bucket AWS S3, l'URL di AWS SQS e le credenziali AWS per accedervi.

Illuminato API key e secret:ILLUMIO_API_KEY, ILLUMIO_API_SECRET necessaria per un workbook per collegarsi al PCE SaaS e recuperare le risposte API.

Istruzioni per l'installazione:

NOTA: Questo connettore usa Funzioni di Azure per connettersi ad AWS SQS/S3 per eseguire il pull dei log in Microsoft Sentinel. Ciò potrebbe comportare costi aggiuntivi per l'inserimento di dati. Per informazioni dettagliate, controllare la pagina dei prezzi Funzioni di Azure.

(Passaggio facoltativo) Archiviare in modo sicuro le chiavi o i token di autorizzazione dell'API in Azure Key Vault. Azure Key Vault fornisce un meccanismo sicuro per archiviare e recuperare i valori delle chiavi. Seguire queste istruzioni per usare Azure Key Vault con un'app per le funzioni Azure.

Prerequisiti:

Assicurarsi che AWS SQS sia configurato per il bucket s3 da cui verranno estratti i log eventi controllabili e di flusso. Nel caso in cui Illumio fornisca bucket, contattare il supporto di Illumio per l'URL sqs, il nome del bucket s3 e le credenziali aws.

Registrare l'applicazione AAD: per consentire a DCR (regola di raccolta dati) di eseguire l'autenticazione per inserire i dati nell'analisi dei log, è necessario usare Entra'applicazione. 1. Seguire le istruzioni riportate qui (passaggi da 1 a 5) per ottenere l'ID tenant di AAD, l'ID client AAD e il segreto client AAD.

Assicurarsi di aver creato un'area di lavoro log analytics. Tenere presente il nome e l'area in cui è stato distribuito.

Distribuzione:

Scegliere uno degli approcci tra le opzioni seguenti. Usare il modello di Resource Manager seguente per distribuire le risorse di Azure o distribuire manualmente l'app per le funzioni.

1. Azure Resource Manager (ARM) Template:

Usare questo metodo per la distribuzione automatizzata di risorse Azure usando un modello arm.

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms

Specificare i dettagli necessari, ad esempio area di lavoro Microsoft Sentinel, credenziali AWS, Azure dettagli dell'applicazione AD e configurazioni di inserimento

NOTA: È consigliabile creare un nuovo gruppo di risorse per la distribuzione dell'app per le funzioni e delle risorse associate. 3. Contrassegnare la casella di controllo etichettata Accetto i termini e le condizioni indicati sopra. 4. Fare clic su Acquista per distribuire.

2. Distribuire app di funzionalità aggiuntive per gestire la scala:

Usare questo metodo per la distribuzione automatizzata di altre app per le funzioni usando un modello ARM.

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms

3. Distribuzione manuale di Funzioni di Azure:

Distribuzione tramite Visual Studio Code.

Distribuire un'app per le funzioni

Scaricare il file dell'app per le funzioni Azure. Estrarre l'archivio nel computer di sviluppo locale.

Seguire le istruzioni di distribuzione manuale dell'app per le funzioni per distribuire l'app Funzioni di Azure usando VSCode.

Dopo aver completato la distribuzione dell'app per le funzioni, seguire i passaggi successivi per configurarla.

Configurare l'app per le funzioni

Seguire il collegamento< di inserimento della documentazione >per configurare tutte le variabili di ambiente necessarie e fare clic su Salva. Assicurarsi di riavviare l'app per le funzioni dopo aver salvato le impostazioni.

Imperva Cloud WAF (usando Funzioni di Azure)

Supportato da:Microsoft Corporation

Il connettore dati Imperva Cloud WAF offre la possibilità di integrare e inserire eventi Web application firewall in Microsoft Sentinel tramite l'API REST. Per altre informazioni, vedere la documentazione sull'integrazione dei log. Il connettore consente il recupero degli eventi per valutare i potenziali rischi per la sicurezza, monitorare la collaborazione e diagnosticare e risolvere i problemi di configurazione.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

ImpervaWAFCloud_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Microsoft. Permessi web/siti: Sono necessari permessi di lettura e scrittura per Funzioni di Azure per creare una Function App. Per altre informazioni, vedere Funzioni di Azure.

Le credenziali/permessi dell'API REST:ImpervaAPIID, ImpervaAPIKey, ImpervaLogServerURI sono necessarie per l'API. Per altre informazioni, vedere Processo di integrazione dei log di installazione. Controllare tutti i requisiti e seguire le istruzioni per ottenere le credenziali. Si noti che questo connettore usa il formato dell'evento di log CEF. Altre informazioni sul formato del log.

Istruzioni per l'installazione:

NOTA: Questo connettore usa Funzioni di Azure per connettersi all'API Imperva Cloud per eseguire il pull dei log in Microsoft Sentinel. Ciò potrebbe comportare costi aggiuntivi per l'inserimento di dati. Per informazioni dettagliate, controllare la pagina dei prezzi Funzioni di Azure.

(Passaggio facoltativo) Archiviare in modo sicuro le chiavi o i token di autorizzazione api e dell'area di lavoro in Azure Key Vault. Azure Key Vault fornisce un meccanismo sicuro per archiviare e recuperare i valori delle chiavi. Seguire queste istruzioni per usare Azure Key Vault con un'app Funzioni di Azure.

**NOTA:**Questo connettore dati dipende da un parser basato su una funzione Kusto per funzionare come previsto ImpervaWAFCloud distribuito con la soluzione Microsoft Sentinel.

PASSAGGIO 1 - Procedura di configurazione per l'integrazione dei log

Seguire le istruzioni per ottenere le credenziali.

PASSAGGIO 2: scegliere UNO tra le due opzioni di distribuzione seguenti per distribuire il connettore e il Funzioni di Azure associato

IMPORTANTE: Prima di distribuire il connettore dati dell'area di lavoro, fare in modo che l'ID dell'area di lavoro e la chiave primaria dell'area di lavoro siano copiati da quanto segue.

ID dello spazio di lavoro:<variable value provided at install time>

Chiave primaria:<variable value provided at install time>

Opzione 1 - Azure Resource Manager (ARM) Template:

Usare questo metodo per la distribuzione automatizzata del connettore dati Imperva Cloud WAF usando un modello arm.

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms

Selezionare la sottoscrizione, il gruppo di risorse e la località preferiti.

NOTA: All'interno dello stesso gruppo di risorse, non è possibile combinare app Windows e Linux nella stessa area. Selezionare un gruppo di risorse esistente senza app di Windows o creare un nuovo gruppo di risorse. 3. Immettere ImpervaAPIID, ImpervaAPIKey, ImpervaLogServerURI e distribuire. 4. Contrassegnare la casella di controllo etichettata Accetto i termini e le condizioni indicati sopra. 5. Fare clic su Acquista per distribuire.

Opzione 2 - Distribuzione manuale di Funzioni di Azure:

Usare le istruzioni dettagliate seguenti per distribuire manualmente il connettore dati Imperva Cloud WAF con Funzioni di Azure (distribuzione tramite Visual Studio Code).

Distribuire un'app per le funzioni

NOTA: Sarà necessario preparare vs code per lo sviluppo di funzioni Azure.

Scaricare il file dell'app Funzioni di Azure. Estrarre l'archivio nel computer di sviluppo locale.

Avviare VS Code. Scegliere File nel menu principale e selezionare Apri cartella.

Selezionare la cartella di primo livello dai file estratti.

Scegliere l'icona Azure nella barra attività, quindi nell'area Azure: Funzioni scegliere il pulsante Distribuisci nell'app per le funzioni. Se non sei già connesso, scegli l'icona Azure nella barra Attività, poi nell'area Azure: Funzioni, scegli Accedi ad Azure: Se sei già connesso, passa al passo successivo.

Fornire le informazioni seguenti alle richieste:

Selezionare la cartella: Scegliere una cartella dall'area di lavoro o passare a una cartella contenente l'app per le funzioni.

Selezionare Sottoscrizione: Scegliere la sottoscrizione da usare.

Selezionare Crea nuova app per le funzioni in Azure (non scegliere l'opzione Avanzate)

Immettere un nome univoco globale per l'app per le funzioni: Digitare un nome valido in un percorso URL. Il nome digitato viene convalidato per assicurarsi che sia univoco in Funzioni di Azure. (ad esempio ImpervaCloudXXXXX).

Selezionare un runtime: Scegliere Python 3.11.

Selezionare una posizione per le nuove risorse. Per ottenere prestazioni migliori e costi inferiori, scegliere la stessa area in cui si trova Microsoft Sentinel.

Verrà avviata la distribuzione. Una notifica viene visualizzata dopo la creazione dell'app per le funzioni e l'applicazione del pacchetto di distribuzione.

Passare a portale di Azuree per la configurazione dell'app per le funzioni.

Configurare l'app per le funzioni

Nell'app per le funzioni selezionare nome dell'app per le funzioni e selezionare Configurazione.

Nella scheda Impostazioni applicazione selezionare Nuova impostazione applicazione.

Aggiungere ognuna delle impostazioni dell'applicazione seguenti singolarmente, con i rispettivi valori stringa (distinzione tra maiuscole e minuscole): ImpervaAPIID ImpervaAPIKey ImpervaLogServerURI WorkspaceID WorkspaceKey logAnalyticsUri (facoltativo)

Usare logAnalyticsUri per eseguire l'override dell'endpoint DELL'API log analytics per il cloud dedicato. Ad esempio, per il cloud pubblico, lasciare il valore vuoto; per Azure ambito cloud GovUS, specificare il valore nel formato seguente: https://<CustomerId>.ods.opinsights.azure.us.

Dopo aver immesso tutte le impostazioni dell'applicazione, fare clic su Salva.

Imperva Cloud WAF (tramite Codeless Connector Framework)

Supportato da:Microsoft Corporation

Il connettore dati Imperva WAF Cloud offre la possibilità di inserire i log in Microsoft Sentinel usando Imperva Log Integration tramite AWS S3 con le notifiche SQS. Il connettore analizza gli eventi WAF in formato CEF, inclusi i log di accesso e gli avvisi di sicurezza per il rilevamento e l'analisi delle minacce. Per altre informazioni, vedere Imperva WAF Cloud Log Integration .

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

ImpervaWAFCloud No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Ruolo AWS IAM: È richiesto un ruolo AWS IAM con una policy di trust cross-account.

Istruzioni per l'installazione:

Connetti Imperva WAF Cloud a Microsoft Sentinel:

NOTA: Questo connettore recupera i log WAF di Imperva Cloud dal bucket AWS S3

Per raccogliere dati da Imperva, è necessario configurare le risorse seguenti

AWS Role ARN Per raccogliere dati da Imperva, è necessario AWS Role ARN.

URL della coda di AWS SQS Per raccogliere dati da Imperva, è necessario l'URL della coda di AWS SQS.

Per i passaggi dettagliati per recuperare l'ARN del ruolo AWS, l'URL della coda SQS e configurare l'inoltro del log di Imperva al bucket Amazon S3, vedere la Guida alla configurazione del connettore.

Griglia connettori dati (configurare nel portale)

Infoblox Cloud Data Connector tramite AMA

Supportato da:Infoblox

Infoblox Cloud Data Connector consente di connettere facilmente i dati di Infoblox con Microsoft Sentinel. Connettendo i log a Microsoft Sentinel, è possibile sfruttare i vantaggi della ricerca & correlazione, avvisi e arricchimento dell'intelligence sulle minacce per ogni log.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

CommonSecurityLog Sì Sì

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

Istruzioni per l'installazione:

IMPORTANTE: Questo Microsoft Sentinel connettore dati presuppone che sia già stato creato e configurato un host del connettore dati Infoblox nel portale di infoblox Servizi cloud (CSP). Poiché Infoblox Data Connector è una funzionalità di Threat Defense, è necessario l'accesso a una sottoscrizione di Threat Defense appropriata. Per altre informazioni e requisiti di licenza, vedere questa guida introduttiva .

1. Configurazione dell'agente Linux Syslog:

Installare e configurare l'agente Linux per raccogliere i messaggi syslog CEF (Common Event Format) e inoltrarli a Microsoft Sentinel.

Si noti che i dati di tutte le aree verranno archiviati nell'area di lavoro selezionata

1.1 Seleziona o crea una macchina Linux:

Selezionare o creare un computer Linux che Microsoft Sentinel userà come proxy tra la soluzione di sicurezza e Microsoft Sentinel il computer può trovarsi nell'ambiente locale, Azure o in altri cloud.

1.2 Installa il collettore CEF sulla macchina Linux:

Installare Microsoft Monitoring Agent nel computer Linux e configurare il computer in modo che sia in ascolto sulla porta necessaria e inoltrare i messaggi all'area di lavoro Microsoft Sentinel. L'agente di raccolta CEF raccoglie i messaggi CEF sulla porta 514 TCP.

Assicurarsi di avere Python nel computer usando il comando seguente: python -version.

È necessario disporre di autorizzazioni elevate (sudo) nel computer.

Esegui il seguente comando per installare e applicare il collettore CEF:<variable value provided at install time>

2. Configura Infoblox per inviare i dati Syslog al Infoblox Cloud Data Connector per inoltrarlo all'agente Syslog:

Seguire la procedura seguente per configurare Infoblox CDC per inviare dati a Microsoft Sentinel tramite l'agente syslog Linux.

Passare a Gestisci > connettore dati.

Fare clic sulla scheda Configurazione destinazione nella parte superiore.

Fare clic su Crea > syslog.

Nome: assegnare alla nuova destinazione un nome significativo, ad esempio Microsoft-Sentinel-Destination.

Descrizione: specificare facoltativamente una descrizione significativa.

Stato: impostare lo stato su Abilitato.

Formato: impostare il formato su CEF.

FQDN/IP: Inserisci l'indirizzo IP del dispositivo Linux su cui è installato l'agente Linux.

Porta: lasciare il numero di porta 514.

Protocollo: Seleziona il protocollo desiderato e il certificato CA se applicabile.

Fare clic su Salva & Chiudi.

Fare clic sulla scheda Configurazione flusso di traffico nella parte superiore.

Fare clic su Crea.

Nome: assegnare al nuovo flusso di traffico un nome significativo, ad esempio Microsoft-Sentinel-Flow.

Descrizione: specificare facoltativamente una descrizione significativa.

Stato: impostare lo stato su Abilitato.

Espandere la sezione Istanza del servizio .

Istanza di servizio: Seleziona l'Istanza di Servizio desiderata per la quale è abilitato il servizio Connettore Dati.

Espandere la sezione Configurazione origine .

Origine: selezionare BloxOne Cloud Source.

Selezionare tutti i tipi di log desiderati da raccogliere. I tipi di log attualmente supportati sono:

Query/log di risposta di Threat Defense

I feed di minacce per la difesa dalle minacce arrivano al log

Log query/risposta DDI

Registro dei contratti di locazione DDI DHCP

Espandere la sezione Configurazione di destinazione .

Selezionare la destinazione appena creata.

Fare clic su Salva & Chiudi.

Consentire l'attivazione della configurazione.

3. Validare la connessione:

Seguire le istruzioni per convalidare la connettività:

Aprire Log Analytics per verificare se i log vengono ricevuti usando lo schema CommonSecurityLog.

Potrebbero essere necessari circa 20 minuti prima che la connessione flussi i dati all'area di lavoro.

Se i log non vengono ricevuti, eseguire lo script di convalida della connettività seguente:

Assicurarsi di avere Python nel computer usando il comando seguente: python -version

È necessario disporre di autorizzazioni elevate (sudo) nel computer

Esegui il seguente comando per convalidare la tua connettività:<variable value provided at install time>

4. Metti in sicurezza la tua macchina:

Assicurarsi di configurare la sicurezza del computer in base ai criteri di sicurezza dell'organizzazione

Ulteriori informazioni >

Connettore dati Infoblox tramite API REST

Supportato da:Infoblox

Infoblox Data Connector consente di connettere facilmente i dati TIDE di Infoblox e i dati dossier con Microsoft Sentinel. Connettendo i dati a Microsoft Sentinel, è possibile sfruttare la ricerca & correlazione, gli avvisi e l'arricchimento dell'intelligence sulle minacce per ogni log.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

Failed_Range_To_Ingest_CL No No

Infoblox_Failed_Indicators_CL No No

dossier_whois_CL No No

dossier_whitelist_CL No No

dossier_tld_risk_CL No No

dossier_threat_actor_CL No No

dossier_rpz_feeds_records_CL No No

dossier_rpz_feeds_CL No No

dossier_nameserver_matches_CL No No

dossier_nameserver_CL No No

dossier_malware_analysis_v3_CL No No

dossier_inforank_CL No No

dossier_infoblox_web_cat_CL No No

dossier_geo_CL No No

dossier_dns_CL No No

dossier_atp_threat_CL No No

dossier_atp_CL No No

dossier_ptr_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Iscrizione Azure: L'abbonamento Azure con ruolo di proprietario è necessario per registrare un'applicazione in Microsoft Entra ID e assegnare il ruolo di contributore all'app nel gruppo risorse.

Microsoft. Permessi web/siti: Sono necessari permessi di lettura e scrittura per Funzioni di Azure per creare una Function App. Per altre informazioni, vedere Funzioni di Azure.

Credenziali/permessi API REST: È richiesta lachiave API di Infoblox. Vedere la documentazione per altre informazioni sull'API nella guida di riferimento all'API Rest

Istruzioni per l'installazione:

NOTA: Questo connettore usa Funzioni di Azure per connettersi all'API Infoblox per creare indicatori di minaccia per TIDE ed eseguire il pull dei dati di Dossier in Microsoft Sentinel. Ciò potrebbe comportare costi aggiuntivi per l'inserimento di dati. Per informazioni dettagliate, controllare la pagina dei prezzi Funzioni di Azure.

(Passaggio facoltativo) Archiviare in modo sicuro le chiavi o i token di autorizzazione api e dell'area di lavoro in Azure Key Vault. Azure Key Vault fornisce un meccanismo sicuro per archiviare e recuperare i valori delle chiavi. Seguire queste istruzioni per usare Azure Key Vault con un'app per le funzioni Azure.

PASSAGGIO 1 : Procedura di registrazione dell'app per l'applicazione in Microsoft Entra ID

Questa integrazione richiede una registrazione dell'app nel portale di Azure. Seguire i passaggi descritti in questa sezione per creare una nuova applicazione in Microsoft Entra ID:

Accedere al portale di Azure.

Cercare e selezionare Microsoft Entra ID.

In Gestisci selezionare Registrazioni app > Nuova registrazione.

Immettere un nome visualizzato per l'applicazione.

Selezionare Registra per completare la registrazione iniziale dell'app.

Al termine della registrazione, il portale di Azure visualizza il riquadro Panoramica della registrazione dell'app. Verranno visualizzati l'ID applicazione (client) e l'ID tenant. L'ID client e l'ID tenant sono necessari come parametri di configurazione per l'esecuzione del playbook TriggersSync.

Collegamento di riferimento:/azure/active-directory/develop/quickstart-register-app

PASSAGGIO 2 - Aggiungere un segreto client per l'applicazione in Microsoft Entra ID

A volte chiamato password dell'applicazione, un segreto client è un valore stringa necessario per l'esecuzione del playbook TriggersSync. Seguire i passaggi descritti in questa sezione per creare un nuovo segreto client:

Nel portale di Azure selezionare l'applicazione in Registrazioni app.

Selezionare Certificati & segreti > client Segreti > client Nuovo segreto client.

Aggiungere una descrizione per il segreto client.

Selezionare una scadenza per il segreto o specificare una durata personalizzata. Il limite è di 24 mesi.

Selezionare Aggiungi.

Registrare il valore del segreto da usare nel codice dell'applicazione client. Questo valore del segreto non viene mai più visualizzato dopo aver lasciato questa pagina. Il valore del segreto è obbligatorio come parametro di configurazione per l'esecuzione del playbook TriggersSync.

Collegamento di riferimento:/azure/active-directory/develop/quickstart-register-app#add-a-client-secret

PASSAGGIO 3 - Assegnare il ruolo collaboratore all'applicazione in Microsoft Entra ID

Seguire i passaggi descritti in questa sezione per assegnare il ruolo:

Nella portale di Azure passare al gruppo di risorse e selezionare il gruppo di risorse.

Passare a Controllo di accesso (IAM) dal pannello sinistro.

Fare clic su Aggiungi e quindi selezionare Aggiungi assegnazione di ruolo.

Selezionare Collaboratore come ruolo e fare clic su Avanti.

In Assegna accesso a selezionare User, group, or service principal.

Fare clic su Aggiungi membri e digitare il nome dell'app creato e selezionarlo.

Fare ora clic su Rivedi e assegna e quindi fare di nuovo clic su Rivedi e assegna.

Collegamento di riferimento:/azure/role-based-access-control/role-assignments-portal

PASSAGGIO 4 : Passaggi per generare le credenziali dell'API Infoblox

Seguire queste istruzioni per generare la chiave API Infoblox. Nel portale di infoblox Servizi cloud generare una chiave API e copiarla in un punto sicuro da usare nel passaggio successivo. Per istruzioni su come creare chiavi API, vedere qui.

PASSAGGIO 5 - Passaggi per distribuire il connettore e la funzione di Azure associata

IMPORTANTE: Prima di distribuire il connettore dati Infoblox, è possibile avere a disposizione l'ID dell'area di lavoro e la chiave primaria dell'area di lavoro (che possono essere copiati dal codice seguente) e le credenziali di autorizzazione dell'API Infoblox

ID dello spazio di lavoro:<variable value provided at install time>

Chiave primaria:<variable value provided at install time>

Azure Resource Manager (ARM) Template:

Usare questo metodo per la distribuzione automatizzata del connettore di dati Infoblox.

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms

Selezionare la sottoscrizione, il gruppo di risorse e la località preferiti.

Immettere le informazioni seguenti: Azure ID tenant Azure ID client Azure client Secret Infoblox API Token Infoblox Base URL Workspace ID Workspace Key Log Level (Default: INFO) Confidence Threat Level App Insights Workspace ID

Contrassegnare la casella di controllo con l'etichetta Accetto i termini e le condizioni indicati sopra.

Fare clic su Acquista per distribuire.

Infoblox SOC Insight Data Connector tramite AMA

Supportato da:Infoblox

Infoblox SOC Insight Data Connector consente di connettere facilmente i dati di Infoblox BloxOne SOC Insight con Microsoft Sentinel. Connettendo i log a Microsoft Sentinel, è possibile sfruttare i vantaggi della ricerca & correlazione, avvisi e arricchimento dell'intelligence sulle minacce per ogni log.

Questo connettore dati inserisce i log di Infoblox SOC Insight CDC nell'area di lavoro Log Analytics usando il nuovo agente di monitoraggio Azure. Altre informazioni sull'inserimento con il nuovo agente di monitoraggio Azure sono disponibili qui. Microsoft consiglia di utilizzare questo Data Connector:

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

CommonSecurityLog Sì Sì

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

Prerequisiti:

Per raccogliere dati da macchine virtuali non Azure, devono avere Azure Arc installato e abilitato. Altre informazioni

È necessario installare Common Event Format (CEF) tramite AMA e Syslog tramite i connettori dati AMA. Altre informazioni

Istruzioni per l'installazione:

Chiavi dello spazio di lavoro:

Per usare i playbook come parte di questa soluzione, trovare l'ID area di lavoro e la chiave primaria dell'area di lavoro di seguito per praticità.

ID dello spazio di lavoro:<variable value provided at install time>

Chiave dello spazio di lavoro:<variable value provided at install time>

Parser:

Questo connettore dati dipende da un parser basato su una funzione Kusto per funzionare come previsto denominato InfobloxCDC_SOCInsights distribuito con la soluzione Microsoft Sentinel.

Approfondimenti sul SOC:

Questo connettore dati presuppone l'accesso a Infoblox BloxOne Threat Defense SOC Insights. Altre informazioni su SOC Insights sono disponibili qui.

Connettore Dati Infoblox Cloud:

Questo connettore dati presuppone che sia già stato creato e configurato un host di Infoblox Data Connector nel portale di infoblox Servizi cloud (CSP). Poiché Infoblox Data Connector è una funzionalità di BloxOne Threat Defense, è necessario l'accesso a una sottoscrizione di BloxOne Threat Defense appropriata. Per altre informazioni e requisiti di licenza, vedere questa guida introduttiva .

Segui i passaggi seguenti per configurare questo connettore dati:

R. Configura il Common Event Format (CEF) tramite connettore dati AMA:

Nota: i log CEF vengono raccolti solo dagli agenti Linux

Passare al pannello Connettori dati dell'area di lavoro > Microsoft Sentinel.

Cercare il formato CEF (Common Event Format) tramite il connettore dati AMA e aprirlo.

Assicurarsi che non sia stato configurato alcun DCR esistente per raccogliere la funzionalità necessaria dei log perché potrebbe causare la duplicazione dei log. Creare una nuova regola DCR (Data Collection Rule).

Nota: è consigliabile installare almeno l'agente AMA v1.27. Altre informazioni e verificare che non sia presente un DCR duplicato perché può causare la duplicazione del log.

Eseguire il comando fornito nella pagina Common Event Format (CEF) tramite il connettore dati AMA per configurare l'agente di raccolta CEF nel computer.

B. All'interno del Portale Servizi Cloud Infoblox, configura Infoblox BloxOne per inviare i dati CEF Syslog al Connettore Dati Infoblox Cloud da inoltrare all'agente Syslog:

Seguire la procedura seguente per configurare infoblox CDC per inviare dati BloxOne a Microsoft Sentinel tramite l'agente syslog Linux.

Passare a Gestisci > connettore dati.

Fare clic sulla scheda Configurazione destinazione nella parte superiore.

Fare clic su Crea > syslog.

Nome: assegnare alla nuova destinazione un nome significativo, ad esempio Microsoft-Sentinel-Destination.

Descrizione: specificare facoltativamente una descrizione significativa.

Stato: impostare lo stato su Abilitato.

Formato: impostare il formato su CEF.

FQDN/IP: Inserisci l'indirizzo IP del dispositivo Linux su cui è installato l'agente Linux.

Porta: lasciare il numero di porta 514.

Protocollo: Seleziona il protocollo desiderato e il certificato CA se applicabile.

Fare clic su Salva & Chiudi.

Fare clic sulla scheda Configurazione flusso di traffico nella parte superiore.

Fare clic su Crea.

Nome: assegnare al nuovo flusso di traffico un nome significativo, ad esempio Microsoft-Sentinel-Flow.

Descrizione: specificare facoltativamente una descrizione significativa.

Stato: impostare lo stato su Abilitato.

Espandere la sezione Istanza del servizio .

Istanza di servizio: Seleziona l'Istanza di Servizio desiderata per la quale è abilitato il servizio Connettore Dati.

Espandere la sezione Configurazione origine .

Origine: selezionare BloxOne Cloud Source.

Selezionare il tipo di log delle notifiche interne .

Espandere la sezione Configurazione di destinazione .

Selezionare la destinazione appena creata.

Fare clic su Salva & Chiudi.

Consentire l'attivazione della configurazione.

C. Valida la connessione:

Seguire le istruzioni per convalidare la connettività:

Aprire Log Analytics per verificare se i log vengono ricevuti usando lo schema CommonSecurityLog.

Potrebbero essere necessari circa 20 minuti prima che la connessione flussi i dati all'area di lavoro.

Se i log non vengono ricevuti, eseguire lo script di convalida della connettività seguente:

Assicurarsi di avere Python nel computer usando il comando seguente: python -version

È necessario disporre di autorizzazioni elevate (sudo) nel computer

Esegui il seguente comando per convalidare la tua connettività:<variable value provided at install time>

2. Mettere in sicurezza la tua macchina:

Assicurarsi di configurare la sicurezza del computer in base ai criteri di sicurezza dell'organizzazione

Ulteriori informazioni >

Infoblox SOC Insight Data Connector tramite l'API REST

Supportato da:Infoblox

Infoblox SOC Insight Data Connector consente di connettere facilmente i dati di Infoblox BloxOne SOC Insight con Microsoft Sentinel. Connettendo i log a Microsoft Sentinel, è possibile sfruttare i vantaggi della ricerca & correlazione, avvisi e arricchimento dell'intelligence sulle minacce per ogni log.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

InfobloxInsight_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Istruzioni per l'installazione:

Chiavi dello spazio di lavoro:

Per usare i playbook come parte di questa soluzione, trovare l'ID area di lavoro e la chiave primaria dell'area di lavoro di seguito per praticità.

ID dello spazio di lavoro:<variable value provided at install time>

Chiave dello spazio di lavoro:<variable value provided at install time>

Parser:

Questo connettore dati dipende da un parser basato su una funzione Kusto per funzionare come previsto denominato InfobloxInsight distribuito con la soluzione Microsoft Sentinel.

Approfondimenti sul SOC:

Questo connettore dati presuppone l'accesso a Infoblox BloxOne Threat Defense SOC Insights. Altre informazioni su SOC Insights sono disponibili qui.

Segui i passaggi seguenti per configurare questo connettore dati:

1. Genera una chiave API Infoblox e copiala in un luogo sicuro:

Nel portale di infoblox Servizi cloud generare una chiave API e copiarla in un punto sicuro da usare nel passaggio successivo. Per istruzioni su come creare chiavi API, vedere qui.

2. Configura il playbook Infoblox-SOC-Get-Open-Insights-API:

Creare e configurare il playbook Infoblox-SOC-Get-Open-Insights-API distribuito con questa soluzione. Immettere la chiave DELL'API Infoblox nel parametro appropriato quando richiesto.

Connettore dati InfoSecGlobal

Supportato da:InfoSecGlobal

Usare questo connettore dati per l'integrazione con InfoSec Crypto Analytics e ottenere i dati inviati direttamente a Microsoft Sentinel.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

InfoSecAnalytics_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Istruzioni per l'installazione:

Connettore dati InfoSecGlobal Crypto Analytics:

I dati vengono inviati a Microsoft Sentinel tramite Logstash

La configurazione logstash necessaria è inclusa nell'installazione di Crypto Analytics

La documentazione fornita con l'installazione di Crypto Analytics illustra come abilitare l'invio di dati a Microsoft Sentinel

ID dello spazio di lavoro:<variable value provided at install time>

Chiave primaria:<variable value provided at install time>

Log di sicurezza IONIX (tramite Codeless Connector Framework)

Supportato da:IONIX

Il connettore IONIX consente di inserire elementi azione dalla piattaforma IONIX Attack Surface Management in Microsoft Sentinel usando Codeless Connector Framework (CCF). Gli elementi azione rappresentano i risultati della sicurezza e le vulnerabilità che richiedono la correzione.

Questo connettore intercalla automaticamente l'API IONIX e scrive i dati nella tabella CyberpionActionItems_CL:

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

CyberpionActionItems_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Token API IONIX: È richiesto un token API da IONIX Portal. Crearne uno nell'API Impostazioni > nel portale IONIX.

Istruzioni per l'installazione:

Collega IONIX a Microsoft Sentinel:

Questo connettore usa l'API IONIX per eseguire automaticamente il polling degli elementi di azione e inserirli in Microsoft Sentinel. È necessario un token API dal portale IONIX.

Token API IONIX: (Inserisci il token JWT API dall'API IONIX Settings > )

Nome conto IONIX: (cyberpion)

Abilitare/disabilitare la connessione

Connettore dati per abuso di IPinfo

Supportato da:IPinfo

Questo connettore dati IPinfo installa un'app per le funzioni Azure per scaricare standard_abuse set di dati e inserirlo nella tabella di log personalizzata in Microsoft Sentinel

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

Ipinfo_Abuse_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Microsoft. Permessi web/siti: Sono necessari permessi di lettura e scrittura per Funzioni di Azure per creare una Function App. Per altre informazioni, vedere Funzioni di Azure.

Token API IPinfo: Recupera qui il tuo token API IPinfo.

Istruzioni per l'installazione:

1. Recupero del token API:

Recuperare il token API IPinfo qui.

2. Nel tuo tenant Azure AD, crea un'applicazione Azure Active Directory (AAD):

Nel tenant Azure AD creare un'applicazione active directory (AAD) Azure e acquisire l'ID tenant, l'ID client e il segreto client: usare questo collegamento.

3. Assegnare all'applicazione AAD il ruolo di Contributore Microsoft Sentinel:

Assegnare l'applicazione AAD appena creata ai collaboratori (ruoli di amministratore con privilegi) e alle metriche di monitoraggio Publisher(ruoli della funzione processo) nello stesso "gruppo di risorse" usato per "Area di lavoro Log Analytics" in cui viene aggiunto "Microsoft Sentinel" : Usare questo collegamento.

4. Ottieni l'ID della risorsa dello spazio di lavoro:

Usare il pannello Area di lavoro Log Analytic -> Proprietà con il valore della proprietà 'ID risorsa'. Si tratta di un resourceId completo nel formato '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}'

5. Distribuire la funzione Azure:

Usare questa opzione per la distribuzione automatica del connettore dati IPinfo usando un modello arm.

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms

Selezionare la sottoscrizione, il gruppo di risorse e la località preferiti.

Immettere il RESOURCE_ID, IPINFO_TOKEN, TENANT_ID, CLIENT_ID, CLIENT_SECRET.

Distribuzione manuale di Funzioni di Azure:

Usare le istruzioni dettagliate seguenti per distribuire manualmente il connettore dati IPinfo con Funzioni di Azure (distribuzione tramite Visual Studio Code).

Passo 1 - Distribuire un'app di funzione:

Scaricare il file dell'app per le funzioni Azure. Estrarre l'archivio nel computer di sviluppo locale Azure'app per le funzioni.

Creare un'app per le funzioni usando Funzioni di hosting Premium o un piano di servizio app usando l'opzione avanzata usando VSCode.

Seguire le istruzioni di distribuzione manuale dell'app per le funzioni per distribuire l'app Funzioni di Azure usando VSCode.

Dopo aver completato la distribuzione dell'app per le funzioni, seguire i passaggi successivi per configurarla.

Passo 2 - Configura l'app Funzione:

Passare a portale di Azuree per la configurazione dell'app per le funzioni.

Nell'app per le funzioni selezionare il nome dell'app per le funzioni e selezionare Impostazioni -> Configurazione o Variabili di ambiente.

Nella scheda Impostazioni applicazione selezionare + Nuova impostazione applicazione.

Aggiungere ognuna delle impostazioni dell'applicazione seguenti singolarmente, con i rispettivi valori stringa (distinzione tra maiuscole e minuscole): RESOURCE_ID IPINFO_TOKEN TENANT_ID CLIENT_ID CLIENT_SECRET RETENTION_IN_DAYS TOTAL_RETENTION_IN_DAYS SCHEDULE LOCATION

Dopo aver immesso tutte le impostazioni dell'applicazione, fare clic su Salva.

Connettore dati ASN IPinfo

Supportato da:IPinfo

Questo connettore dati IPinfo installa un'app per le funzioni Azure per scaricare standard_ASN set di dati e inserirlo nella tabella di log personalizzata in Microsoft Sentinel

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

Ipinfo_ASN_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Microsoft. Permessi web/siti: Sono necessari permessi di lettura e scrittura per Funzioni di Azure per creare una Function App. Per altre informazioni, vedere Funzioni di Azure.

Token API IPinfo: Recupera qui il tuo token API IPinfo.

Istruzioni per l'installazione:

1. Recupero del token API:

Recuperare il token API IPinfo qui.

2. Nel tuo tenant Azure AD, crea un'applicazione Azure Active Directory (AAD):

Nel tenant Azure AD creare un'applicazione active directory (AAD) Azure e acquisire l'ID tenant, l'ID client e il segreto client: usare questo collegamento.

3. Assegnare all'applicazione AAD il ruolo di Contributore Microsoft Sentinel:

Assegnare l'applicazione AAD appena creata ai collaboratori (ruoli di amministratore con privilegi) e alle metriche di monitoraggio Publisher(ruoli della funzione processo) nello stesso "gruppo di risorse" usato per "Area di lavoro Log Analytics" in cui viene aggiunto "Microsoft Sentinel" : Usare questo collegamento.

4. Ottieni l'ID della risorsa dello spazio di lavoro:

Usare il pannello Area di lavoro Log Analytic -> Proprietà con il valore della proprietà 'ID risorsa'. Si tratta di un resourceId completo nel formato '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}'

5. Distribuire la funzione Azure:

Usare questa opzione per la distribuzione automatica del connettore dati IPinfo usando un modello arm.

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms

Selezionare la sottoscrizione, il gruppo di risorse e la località preferiti.

Immettere il RESOURCE_ID, IPINFO_TOKEN, TENANT_ID, CLIENT_ID, CLIENT_SECRET.

Distribuzione manuale di Funzioni di Azure:

Usare le istruzioni dettagliate seguenti per distribuire manualmente il connettore dati IPinfo con Funzioni di Azure (distribuzione tramite Visual Studio Code).

Passo 1 - Distribuire un'app di funzione:

Scaricare il file dell'app per le funzioni Azure. Estrarre l'archivio nel computer di sviluppo locale Azure'app per le funzioni.

Creare un'app per le funzioni usando Funzioni di hosting Premium o un piano di servizio app usando l'opzione avanzata usando VSCode.

Seguire le istruzioni di distribuzione manuale dell'app per le funzioni per distribuire l'app Funzioni di Azure usando VSCode.

Dopo aver completato la distribuzione dell'app per le funzioni, seguire i passaggi successivi per configurarla.

Passo 2 - Configura l'app Funzione:

Passare a portale di Azuree per la configurazione dell'app per le funzioni.

Nell'app per le funzioni selezionare il nome dell'app per le funzioni e selezionare Impostazioni -> Configurazione o Variabili di ambiente.

Nella scheda Impostazioni applicazione selezionare + Nuova impostazione applicazione.

Aggiungere ognuna delle impostazioni dell'applicazione seguenti singolarmente, con i rispettivi valori stringa (distinzione tra maiuscole e minuscole): RESOURCE_ID IPINFO_TOKEN TENANT_ID CLIENT_ID CLIENT_SECRET RETENTION_IN_DAYS TOTAL_RETENTION_IN_DAYS SCHEDULE LOCATION

Dopo aver immesso tutte le impostazioni dell'applicazione, fare clic su Salva.

Connettore di dati del vettore IPinfo

Supportato da:IPinfo

Questo connettore dati IPinfo installa un'app per le funzioni Azure per scaricare standard_carrier set di dati e inserirlo nella tabella di log personalizzata in Microsoft Sentinel

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

Ipinfo_Carrier_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Microsoft. Permessi web/siti: Sono necessari permessi di lettura e scrittura per Funzioni di Azure per creare una Function App. Per altre informazioni, vedere Funzioni di Azure.

Token API IPinfo: Recupera qui il tuo token API IPinfo.

Istruzioni per l'installazione:

1. Recupero del token API:

Recuperare il token API IPinfo qui.

2. Nel tuo tenant Azure AD, crea un'applicazione Azure Active Directory (AAD):

Nel tenant Azure AD creare un'applicazione active directory (AAD) Azure e acquisire l'ID tenant, l'ID client e il segreto client: usare questo collegamento.

3. Assegnare all'applicazione AAD il ruolo di Contributore Microsoft Sentinel:

Assegnare l'applicazione AAD appena creata ai collaboratori (ruoli di amministratore con privilegi) e alle metriche di monitoraggio Publisher(ruoli della funzione processo) nello stesso "gruppo di risorse" usato per "Area di lavoro Log Analytics" in cui viene aggiunto "Microsoft Sentinel" : Usare questo collegamento.

4. Ottieni l'ID della risorsa dello spazio di lavoro:

Usare il pannello Area di lavoro Log Analytic -> Proprietà con il valore della proprietà 'ID risorsa'. Si tratta di un resourceId completo nel formato '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}'

5. Distribuire la funzione Azure:

Usare questa opzione per la distribuzione automatica del connettore dati IPinfo usando un modello arm.

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms

Selezionare la sottoscrizione, il gruppo di risorse e la località preferiti.

Immettere il RESOURCE_ID, IPINFO_TOKEN, TENANT_ID, CLIENT_ID, CLIENT_SECRET.

Distribuzione manuale di Funzioni di Azure:

Usare le istruzioni dettagliate seguenti per distribuire manualmente il connettore dati IPinfo con Funzioni di Azure (distribuzione tramite Visual Studio Code).

Passo 1 - Distribuire un'app di funzione:

Scaricare il file dell'app per le funzioni Azure. Estrarre l'archivio nel computer di sviluppo locale Azure'app per le funzioni.

Creare un'app per le funzioni usando Funzioni di hosting Premium o un piano di servizio app usando l'opzione avanzata usando VSCode.

Seguire le istruzioni di distribuzione manuale dell'app per le funzioni per distribuire l'app Funzioni di Azure usando VSCode.

Dopo aver completato la distribuzione dell'app per le funzioni, seguire i passaggi successivi per configurarla.

Passo 2 - Configura l'app Funzione:

Passare a portale di Azuree per la configurazione dell'app per le funzioni.

Nell'app per le funzioni selezionare il nome dell'app per le funzioni e selezionare Impostazioni -> Configurazione o Variabili di ambiente.

Nella scheda Impostazioni applicazione selezionare + Nuova impostazione applicazione.

Aggiungere ognuna delle impostazioni dell'applicazione seguenti singolarmente, con i rispettivi valori stringa (distinzione tra maiuscole e minuscole): RESOURCE_ID IPINFO_TOKEN TENANT_ID CLIENT_ID CLIENT_SECRET RETENTION_IN_DAYS TOTAL_RETENTION_IN_DAYS SCHEDULE LOCATION

Dopo aver immesso tutte le impostazioni dell'applicazione, fare clic su Salva.

Connettore dati aziendale IPinfo

Supportato da:IPinfo

Questo connettore di dati IPinfo installa un'app per le funzioni Azure per scaricare standard_company set di dati e inserirlo nella tabella di log personalizzata in Microsoft Sentinel

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

Ipinfo_Company_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Microsoft. Permessi web/siti: Sono necessari permessi di lettura e scrittura per Funzioni di Azure per creare una Function App. Per altre informazioni, vedere Funzioni di Azure.

Token API IPinfo: Recupera qui il tuo token API IPinfo.

Istruzioni per l'installazione:

1. Recupero del token API:

Recuperare il token API IPinfo qui.

2. Nel tuo tenant Azure AD, crea un'applicazione Azure Active Directory (AAD):

Nel tenant Azure AD creare un'applicazione active directory (AAD) Azure e acquisire l'ID tenant, l'ID client e il segreto client: usare questo collegamento.

3. Assegnare all'applicazione AAD il ruolo di Contributore Microsoft Sentinel:

Assegnare l'applicazione AAD appena creata ai collaboratori (ruoli di amministratore con privilegi) e alle metriche di monitoraggio Publisher(ruoli della funzione processo) nello stesso "gruppo di risorse" usato per "Area di lavoro Log Analytics" in cui viene aggiunto "Microsoft Sentinel" : Usare questo collegamento.

4. Ottieni l'ID della risorsa dello spazio di lavoro:

Usare il pannello Area di lavoro Log Analytic -> Proprietà con il valore della proprietà 'ID risorsa'. Si tratta di un resourceId completo nel formato '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}'

5. Distribuire la funzione Azure:

Usare questa opzione per la distribuzione automatica del connettore dati IPinfo usando un modello arm.

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms

Selezionare la sottoscrizione, il gruppo di risorse e la località preferiti.

Immettere il RESOURCE_ID, IPINFO_TOKEN, TENANT_ID, CLIENT_ID, CLIENT_SECRET.

Distribuzione manuale di Funzioni di Azure:

Usare le istruzioni dettagliate seguenti per distribuire manualmente il connettore dati IPinfo con Funzioni di Azure (distribuzione tramite Visual Studio Code).

Passo 1 - Distribuire un'app di funzione:

Scaricare il file dell'app per le funzioni Azure. Estrarre l'archivio nel computer di sviluppo locale Azure'app per le funzioni.

Creare un'app per le funzioni usando Funzioni di hosting Premium o un piano di servizio app usando l'opzione avanzata usando VSCode.

Seguire le istruzioni di distribuzione manuale dell'app per le funzioni per distribuire l'app Funzioni di Azure usando VSCode.

Dopo aver completato la distribuzione dell'app per le funzioni, seguire i passaggi successivi per configurarla.

Passo 2 - Configura l'app Funzione:

Passare a portale di Azuree per la configurazione dell'app per le funzioni.

Nell'app per le funzioni selezionare il nome dell'app per le funzioni e selezionare Impostazioni -> Configurazione o Variabili di ambiente.

Nella scheda Impostazioni applicazione selezionare + Nuova impostazione applicazione.

Aggiungere ognuna delle impostazioni dell'applicazione seguenti singolarmente, con i rispettivi valori stringa (distinzione tra maiuscole e minuscole): RESOURCE_ID IPINFO_TOKEN TENANT_ID CLIENT_ID CLIENT_SECRET RETENTION_IN_DAYS TOTAL_RETENTION_IN_DAYS SCHEDULE LOCATION

Dopo aver immesso tutte le impostazioni dell'applicazione, fare clic su Salva.

Connettore dati IPinfo Core

Supportato da:IPinfo

Questo connettore dati IPinfo installa un'app per le funzioni Azure per scaricare i set di dati di base e inserirli nella tabella di log personalizzata in Microsoft Sentinel

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

Ipinfo_CORE_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Microsoft. Permessi web/siti: Sono necessari permessi di lettura e scrittura per Funzioni di Azure per creare una Function App. Per altre informazioni, vedere Funzioni di Azure.

Token API IPinfo: Recupera qui il tuo token API IPinfo.

Istruzioni per l'installazione:

1. Recupero del token API:

Recuperare il token API IPinfo qui.

2. Nel tuo tenant Azure AD, crea un'applicazione Azure Active Directory (AAD):

Nel tenant Azure AD creare un'applicazione active directory (AAD) Azure e acquisire l'ID tenant, l'ID client e il segreto client: usare questo collegamento.

3. Assegnare all'applicazione AAD il ruolo di Contributore Microsoft Sentinel:

Assegnare l'applicazione AAD appena creata ai collaboratori (ruoli di amministratore con privilegi) e alle metriche di monitoraggio Publisher(ruoli della funzione processo) nello stesso "gruppo di risorse" usato per "Area di lavoro Log Analytics" in cui viene aggiunto "Microsoft Sentinel" : Usare questo collegamento.

4. Ottieni l'ID della risorsa dello spazio di lavoro:

Usare il pannello Area di lavoro Log Analytic -> Proprietà con il valore della proprietà 'ID risorsa'. Si tratta di un resourceId completo nel formato '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}'

5. Distribuire la funzione Azure:

Usare questa opzione per la distribuzione automatica del connettore dati IPinfo usando un modello arm.

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms

Selezionare la sottoscrizione, il gruppo di risorse e la località preferiti.

Immettere il RESOURCE_ID, IPINFO_TOKEN, TENANT_ID, CLIENT_ID, CLIENT_SECRET.

Distribuzione manuale di Funzioni di Azure:

Usare le istruzioni dettagliate seguenti per distribuire manualmente il connettore dati IPinfo con Funzioni di Azure (distribuzione tramite Visual Studio Code).

Passo 1 - Distribuire un'app di funzione:

Scaricare il file dell'app per le funzioni Azure. Estrarre l'archivio nel computer di sviluppo locale Azure'app per le funzioni.

Creare un'app per le funzioni usando Funzioni di hosting Premium o un piano di servizio app usando l'opzione avanzata usando VSCode.

Seguire le istruzioni di distribuzione manuale dell'app per le funzioni per distribuire l'app Funzioni di Azure usando VSCode.

Dopo aver completato la distribuzione dell'app per le funzioni, seguire i passaggi successivi per configurarla.

Passo 2 - Configura l'app Funzione:

Passare a portale di Azuree per la configurazione dell'app per le funzioni.

Nell'app per le funzioni selezionare il nome dell'app per le funzioni e selezionare Impostazioni -> Configurazione o Variabili di ambiente.

Nella scheda Impostazioni applicazione selezionare + Nuova impostazione applicazione.

Aggiungere ognuna delle impostazioni dell'applicazione seguenti singolarmente, con i rispettivi valori stringa (distinzione tra maiuscole e minuscole): RESOURCE_ID IPINFO_TOKEN TENANT_ID CLIENT_ID CLIENT_SECRET RETENTION_IN_DAYS TOTAL_RETENTION_IN_DAYS SCHEDULE LOCATION

Dopo aver immesso tutte le impostazioni dell'applicazione, fare clic su Salva.

Connettore dati IPinfo Country ASN

Supportato da:IPinfo

Questo connettore di dati IPinfo installa un'app per le funzioni Azure per scaricare country_asn set di dati e inserirli nella tabella di log personalizzata in Microsoft Sentinel

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

Ipinfo_Country_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Microsoft. Permessi web/siti: Sono necessari permessi di lettura e scrittura per Funzioni di Azure per creare una Function App. Per altre informazioni, vedere Funzioni di Azure.

Token API IPinfo: Recupera qui il tuo token API IPinfo.

Istruzioni per l'installazione:

1. Recupero del token API:

Recuperare il token API IPinfo qui.

2. Nel tuo tenant Azure AD, crea un'applicazione Azure Active Directory (AAD):

Nel tenant Azure AD creare un'applicazione active directory (AAD) Azure e acquisire l'ID tenant, l'ID client e il segreto client: usare questo collegamento.

3. Assegnare all'applicazione AAD il ruolo di Contributore Microsoft Sentinel:

Assegnare l'applicazione AAD appena creata ai collaboratori (ruoli di amministratore con privilegi) e alle metriche di monitoraggio Publisher(ruoli della funzione processo) nello stesso "gruppo di risorse" usato per "Area di lavoro Log Analytics" in cui viene aggiunto "Microsoft Sentinel" : Usare questo collegamento.

4. Ottieni l'ID della risorsa dello spazio di lavoro:

Usare il pannello Area di lavoro Log Analytic -> Proprietà con il valore della proprietà 'ID risorsa'. Si tratta di un resourceId completo nel formato '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}'

5. Distribuire la funzione Azure:

Usare questa opzione per la distribuzione automatica del connettore dati IPinfo usando un modello arm.

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms

Selezionare la sottoscrizione, il gruppo di risorse e la località preferiti.

Immettere il RESOURCE_ID, IPINFO_TOKEN, TENANT_ID, CLIENT_ID, CLIENT_SECRET.

Distribuzione manuale di Funzioni di Azure:

Usare le istruzioni dettagliate seguenti per distribuire manualmente il connettore dati IPinfo con Funzioni di Azure (distribuzione tramite Visual Studio Code).

Passo 1 - Distribuire un'app di funzione:

Scaricare il file dell'app per le funzioni Azure. Estrarre l'archivio nel computer di sviluppo locale Azure'app per le funzioni.

Creare un'app per le funzioni usando Funzioni di hosting Premium o un piano di servizio app usando l'opzione avanzata usando VSCode.

Seguire le istruzioni di distribuzione manuale dell'app per le funzioni per distribuire l'app Funzioni di Azure usando VSCode.

Dopo aver completato la distribuzione dell'app per le funzioni, seguire i passaggi successivi per configurarla.

Passo 2 - Configura l'app Funzione:

Passare a portale di Azuree per la configurazione dell'app per le funzioni.

Nell'app per le funzioni selezionare il nome dell'app per le funzioni e selezionare Impostazioni -> Configurazione o Variabili di ambiente.

Nella scheda Impostazioni applicazione selezionare + Nuova impostazione applicazione.

Aggiungere ognuna delle impostazioni dell'applicazione seguenti singolarmente, con i rispettivi valori stringa (distinzione tra maiuscole e minuscole): RESOURCE_ID IPINFO_TOKEN TENANT_ID CLIENT_ID CLIENT_SECRET RETENTION_IN_DAYS TOTAL_RETENTION_IN_DAYS SCHEDULE LOCATION

Dopo aver immesso tutte le impostazioni dell'applicazione, fare clic su Salva.

Connettore dati di dominio IPinfo

Supportato da:IPinfo

Questo connettore dati IPinfo installa un'app per le funzioni Azure per scaricare standard_domain set di dati e inserirlo nella tabella di log personalizzata in Microsoft Sentinel

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

Ipinfo_Domain_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Microsoft. Permessi web/siti: Sono necessari permessi di lettura e scrittura per Funzioni di Azure per creare una Function App. Per altre informazioni, vedere Funzioni di Azure.

Token API IPinfo: Recupera qui il tuo token API IPinfo.

Istruzioni per l'installazione:

1. Recupero del token API:

Recuperare il token API IPinfo qui.

2. Nel tuo tenant Azure AD, crea un'applicazione Azure Active Directory (AAD):

Nel tenant Azure AD creare un'applicazione active directory (AAD) Azure e acquisire l'ID tenant, l'ID client e il segreto client: usare questo collegamento.

3. Assegnare all'applicazione AAD il ruolo di Contributore Microsoft Sentinel:

Assegnare l'applicazione AAD appena creata ai collaboratori (ruoli di amministratore con privilegi) e alle metriche di monitoraggio Publisher(ruoli della funzione processo) nello stesso "gruppo di risorse" usato per "Area di lavoro Log Analytics" in cui viene aggiunto "Microsoft Sentinel" : Usare questo collegamento.

4. Ottieni l'ID della risorsa dello spazio di lavoro:

Usare il pannello Area di lavoro Log Analytic -> Proprietà con il valore della proprietà 'ID risorsa'. Si tratta di un resourceId completo nel formato '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}'

5. Distribuire la funzione Azure:

Usare questa opzione per la distribuzione automatica del connettore dati IPinfo usando un modello arm.

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms

Selezionare la sottoscrizione, il gruppo di risorse e la località preferiti.

Immettere il RESOURCE_ID, IPINFO_TOKEN, TENANT_ID, CLIENT_ID, CLIENT_SECRET.

Distribuzione manuale di Funzioni di Azure:

Usare le istruzioni dettagliate seguenti per distribuire manualmente il connettore dati IPinfo con Funzioni di Azure (distribuzione tramite Visual Studio Code).

Passo 1 - Distribuire un'app di funzione:

Scaricare il file dell'app per le funzioni Azure. Estrarre l'archivio nel computer di sviluppo locale Azure'app per le funzioni.

Creare un'app per le funzioni usando Funzioni di hosting Premium o un piano di servizio app usando l'opzione avanzata usando VSCode.

Seguire le istruzioni di distribuzione manuale dell'app per le funzioni per distribuire l'app Funzioni di Azure usando VSCode.

Dopo aver completato la distribuzione dell'app per le funzioni, seguire i passaggi successivi per configurarla.

Passo 2 - Configura l'app Funzione:

Passare a portale di Azuree per la configurazione dell'app per le funzioni.

Nell'app per le funzioni selezionare il nome dell'app per le funzioni e selezionare Impostazioni -> Configurazione o Variabili di ambiente.

Nella scheda Impostazioni applicazione selezionare + Nuova impostazione applicazione.

Aggiungere ognuna delle impostazioni dell'applicazione seguenti singolarmente, con i rispettivi valori stringa (distinzione tra maiuscole e minuscole): RESOURCE_ID IPINFO_TOKEN TENANT_ID CLIENT_ID CLIENT_SECRET RETENTION_IN_DAYS TOTAL_RETENTION_IN_DAYS SCHEDULE LOCATION

Dopo aver immesso tutte le impostazioni dell'applicazione, fare clic su Salva.

Connettore dati iplocation IPinfo

Supportato da:IPinfo

Questo connettore di dati IPinfo installa un'app per le funzioni Azure per scaricare standard_location set di dati e inserirlo nella tabella di log personalizzata in Microsoft Sentinel

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

Ipinfo_Location_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Microsoft. Permessi web/siti: Sono necessari permessi di lettura e scrittura per Funzioni di Azure per creare una Function App. Per altre informazioni, vedere Funzioni di Azure.

Token API IPinfo: Recupera qui il tuo token API IPinfo.

Istruzioni per l'installazione:

1. Recupero del token API:

Recuperare il token API IPinfo qui.

2. Nel tuo tenant Azure AD, crea un'applicazione Azure Active Directory (AAD):

Nel tenant Azure AD creare un'applicazione active directory (AAD) Azure e acquisire l'ID tenant, l'ID client e il segreto client: usare questo collegamento.

3. Assegnare all'applicazione AAD il ruolo di Contributore Microsoft Sentinel:

Assegnare l'applicazione AAD appena creata ai collaboratori (ruoli di amministratore con privilegi) e alle metriche di monitoraggio Publisher(ruoli della funzione processo) nello stesso "gruppo di risorse" usato per "Area di lavoro Log Analytics" in cui viene aggiunto "Microsoft Sentinel" : Usare questo collegamento.

4. Ottieni l'ID della risorsa dello spazio di lavoro:

Usare il pannello Area di lavoro Log Analytic -> Proprietà con il valore della proprietà 'ID risorsa'. Si tratta di un resourceId completo nel formato '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}'

5. Distribuire la funzione Azure:

Usare questa opzione per la distribuzione automatica del connettore dati IPinfo usando un modello arm.

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms

Selezionare la sottoscrizione, il gruppo di risorse e la località preferiti.

Immettere il RESOURCE_ID, IPINFO_TOKEN, TENANT_ID, CLIENT_ID, CLIENT_SECRET.

Distribuzione manuale di Funzioni di Azure:

Usare le istruzioni dettagliate seguenti per distribuire manualmente il connettore dati IPinfo con Funzioni di Azure (distribuzione tramite Visual Studio Code).

Passo 1 - Distribuire un'app di funzione:

Scaricare il file dell'app per le funzioni Azure. Estrarre l'archivio nel computer di sviluppo locale Azure'app per le funzioni.

Creare un'app per le funzioni usando Funzioni di hosting Premium o un piano di servizio app usando l'opzione avanzata usando VSCode.

Seguire le istruzioni di distribuzione manuale dell'app per le funzioni per distribuire l'app Funzioni di Azure usando VSCode.

Dopo aver completato la distribuzione dell'app per le funzioni, seguire i passaggi successivi per configurarla.

Passo 2 - Configura l'app Funzione:

Passare a portale di Azuree per la configurazione dell'app per le funzioni.

Nell'app per le funzioni selezionare il nome dell'app per le funzioni e selezionare Impostazioni -> Configurazione o Variabili di ambiente.

Nella scheda Impostazioni applicazione selezionare + Nuova impostazione applicazione.

Aggiungere ognuna delle impostazioni dell'applicazione seguenti singolarmente, con i rispettivi valori stringa (distinzione tra maiuscole e minuscole): RESOURCE_ID IPINFO_TOKEN TENANT_ID CLIENT_ID CLIENT_SECRET RETENTION_IN_DAYS TOTAL_RETENTION_IN_DAYS SCHEDULE LOCATION

Dopo aver immesso tutte le impostazioni dell'applicazione, fare clic su Salva.

Connettore Dati Esteso IPinfo Iplocation

Supportato da:IPinfo

Questo connettore dati IPinfo installa un'app per le funzioni Azure per scaricare standard_location_extended set di dati e inserirlo nella tabella di log personalizzata in Microsoft Sentinel

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

Ipinfo_Location_extended_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Microsoft. Permessi web/siti: Sono necessari permessi di lettura e scrittura per Funzioni di Azure per creare una Function App. Per altre informazioni, vedere Funzioni di Azure.

Token API IPinfo: Recupera qui il tuo token API IPinfo.

Istruzioni per l'installazione:

1. Recupero del token API:

Recuperare il token API IPinfo qui.

2. Nel tuo tenant Azure AD, crea un'applicazione Azure Active Directory (AAD):

Nel tenant Azure AD creare un'applicazione active directory (AAD) Azure e acquisire l'ID tenant, l'ID client e il segreto client: usare questo collegamento.

3. Assegnare all'applicazione AAD il ruolo di Contributore Microsoft Sentinel:

Assegnare l'applicazione AAD appena creata ai collaboratori (ruoli di amministratore con privilegi) e alle metriche di monitoraggio Publisher(ruoli della funzione processo) nello stesso "gruppo di risorse" usato per "Area di lavoro Log Analytics" in cui viene aggiunto "Microsoft Sentinel" : Usare questo collegamento.

4. Ottieni l'ID della risorsa dello spazio di lavoro:

Usare il pannello Area di lavoro Log Analytic -> Proprietà con il valore della proprietà 'ID risorsa'. Si tratta di un resourceId completo nel formato '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}'

5. Distribuire la funzione Azure:

Usare questa opzione per la distribuzione automatica del connettore dati IPinfo usando un modello arm.

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms

Selezionare la sottoscrizione, il gruppo di risorse e la località preferiti.

Immettere il RESOURCE_ID, IPINFO_TOKEN, TENANT_ID, CLIENT_ID, CLIENT_SECRET.

Distribuzione manuale di Funzioni di Azure:

Usare le istruzioni dettagliate seguenti per distribuire manualmente il connettore dati IPinfo con Funzioni di Azure (distribuzione tramite Visual Studio Code).

Passo 1 - Distribuire un'app di funzione:

Scaricare il file dell'app per le funzioni Azure. Estrarre l'archivio nel computer di sviluppo locale Azure'app per le funzioni.

Creare un'app per le funzioni usando Funzioni di hosting Premium o un piano di servizio app usando l'opzione avanzata usando VSCode.

Seguire le istruzioni di distribuzione manuale dell'app per le funzioni per distribuire l'app Funzioni di Azure usando VSCode.

Dopo aver completato la distribuzione dell'app per le funzioni, seguire i passaggi successivi per configurarla.

Passo 2 - Configura l'app Funzione:

Passare a portale di Azuree per la configurazione dell'app per le funzioni.

Nell'app per le funzioni selezionare il nome dell'app per le funzioni e selezionare Impostazioni -> Configurazione o Variabili di ambiente.

Nella scheda Impostazioni applicazione selezionare + Nuova impostazione applicazione.

Aggiungere ognuna delle impostazioni dell'applicazione seguenti singolarmente, con i rispettivi valori stringa (distinzione tra maiuscole e minuscole): RESOURCE_ID IPINFO_TOKEN TENANT_ID CLIENT_ID CLIENT_SECRET RETENTION_IN_DAYS TOTAL_RETENTION_IN_DAYS SCHEDULE LOCATION

Dopo aver immesso tutte le impostazioni dell'applicazione, fare clic su Salva.

Connettore dati IPinfo Plus

Supportato da:IPinfo

Questo connettore dati IPinfo installa un'app per le funzioni Azure per scaricare i set di dati Plus e inserirli nella tabella di log personalizzata in Microsoft Sentinel

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

Ipinfo_PLUS_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Microsoft. Permessi web/siti: Sono necessari permessi di lettura e scrittura per Funzioni di Azure per creare una Function App. Per altre informazioni, vedere Funzioni di Azure.

Token API IPinfo: Recupera qui il tuo token API IPinfo.

Istruzioni per l'installazione:

1. Recupero del token API:

Recuperare il token API IPinfo qui.

2. Nel tuo tenant Azure AD, crea un'applicazione Azure Active Directory (AAD):

Nel tenant Azure AD creare un'applicazione active directory (AAD) Azure e acquisire l'ID tenant, l'ID client e il segreto client: usare questo collegamento.

3. Assegnare all'applicazione AAD il ruolo di Contributore Microsoft Sentinel:

Assegnare l'applicazione AAD appena creata ai collaboratori (ruoli di amministratore con privilegi) e alle metriche di monitoraggio Publisher(ruoli della funzione processo) nello stesso "gruppo di risorse" usato per "Area di lavoro Log Analytics" in cui viene aggiunto "Microsoft Sentinel" : Usare questo collegamento.

4. Ottieni l'ID della risorsa dello spazio di lavoro:

Usare il pannello Area di lavoro Log Analytic -> Proprietà con il valore della proprietà 'ID risorsa'. Si tratta di un resourceId completo nel formato '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}'

5. Distribuire la funzione Azure:

Usare questa opzione per la distribuzione automatica del connettore dati IPinfo usando un modello arm.

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms

Selezionare la sottoscrizione, il gruppo di risorse e la località preferiti.

Immettere il RESOURCE_ID, IPINFO_TOKEN, TENANT_ID, CLIENT_ID, CLIENT_SECRET.

Distribuzione manuale di Funzioni di Azure:

Usare le istruzioni dettagliate seguenti per distribuire manualmente il connettore dati IPinfo con Funzioni di Azure (distribuzione tramite Visual Studio Code).

Passo 1 - Distribuire un'app di funzione:

Scaricare il file dell'app per le funzioni Azure. Estrarre l'archivio nel computer di sviluppo locale Azure'app per le funzioni.

Creare un'app per le funzioni usando Funzioni di hosting Premium o un piano di servizio app usando l'opzione avanzata usando VSCode.

Seguire le istruzioni di distribuzione manuale dell'app per le funzioni per distribuire l'app Funzioni di Azure usando VSCode.

Dopo aver completato la distribuzione dell'app per le funzioni, seguire i passaggi successivi per configurarla.

Passo 2 - Configura l'app Funzione:

Passare a portale di Azuree per la configurazione dell'app per le funzioni.

Nell'app per le funzioni selezionare il nome dell'app per le funzioni e selezionare Impostazioni -> Configurazione o Variabili di ambiente.

Nella scheda Impostazioni applicazione selezionare + Nuova impostazione applicazione.

Aggiungere ognuna delle impostazioni dell'applicazione seguenti singolarmente, con i rispettivi valori stringa (distinzione tra maiuscole e minuscole): RESOURCE_ID IPINFO_TOKEN TENANT_ID CLIENT_ID CLIENT_SECRET RETENTION_IN_DAYS TOTAL_RETENTION_IN_DAYS SCHEDULE LOCATION

Dopo aver immesso tutte le impostazioni dell'applicazione, fare clic su Salva.

Connettore Dati per la Privacy IPinfo

Supportato da:IPinfo

Questo connettore dati IPinfo installa un'app per le funzioni Azure per scaricare standard_privacy set di dati e inserirlo nella tabella di log personalizzata in Microsoft Sentinel

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

Ipinfo_Privacy_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Microsoft. Permessi web/siti: Sono necessari permessi di lettura e scrittura per Funzioni di Azure per creare una Function App. Per altre informazioni, vedere Funzioni di Azure.

Token API IPinfo: Recupera qui il tuo token API IPinfo.

Istruzioni per l'installazione:

1. Recupero del token API:

Recuperare il token API IPinfo qui.

2. Nel tuo tenant Azure AD, crea un'applicazione Azure Active Directory (AAD):

Nel tenant Azure AD creare un'applicazione active directory (AAD) Azure e acquisire l'ID tenant, l'ID client e il segreto client: usare questo collegamento.

3. Assegnare all'applicazione AAD il ruolo di Contributore Microsoft Sentinel:

Assegnare l'applicazione AAD appena creata ai collaboratori (ruoli di amministratore con privilegi) e alle metriche di monitoraggio Publisher(ruoli della funzione processo) nello stesso "gruppo di risorse" usato per "Area di lavoro Log Analytics" in cui viene aggiunto "Microsoft Sentinel" : Usare questo collegamento.

4. Ottieni l'ID della risorsa dello spazio di lavoro:

Usare il pannello Area di lavoro Log Analytic -> Proprietà con il valore della proprietà 'ID risorsa'. Si tratta di un resourceId completo nel formato '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}'

5. Distribuire la funzione Azure:

Usare questa opzione per la distribuzione automatica del connettore dati IPinfo usando un modello arm.

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms

Selezionare la sottoscrizione, il gruppo di risorse e la località preferiti.

Immettere il RESOURCE_ID, IPINFO_TOKEN, TENANT_ID, CLIENT_ID, CLIENT_SECRET.

Distribuzione manuale di Funzioni di Azure:

Usare le istruzioni dettagliate seguenti per distribuire manualmente il connettore dati IPinfo con Funzioni di Azure (distribuzione tramite Visual Studio Code).

Passo 1 - Distribuire un'app di funzione:

Scaricare il file dell'app per le funzioni Azure. Estrarre l'archivio nel computer di sviluppo locale Azure'app per le funzioni.

Creare un'app per le funzioni usando Funzioni di hosting Premium o un piano di servizio app usando l'opzione avanzata usando VSCode.

Seguire le istruzioni di distribuzione manuale dell'app per le funzioni per distribuire l'app Funzioni di Azure usando VSCode.

Dopo aver completato la distribuzione dell'app per le funzioni, seguire i passaggi successivi per configurarla.

Passo 2 - Configura l'app Funzione:

Passare a portale di Azuree per la configurazione dell'app per le funzioni.

Nell'app per le funzioni selezionare il nome dell'app per le funzioni e selezionare Impostazioni -> Configurazione o Variabili di ambiente.

Nella scheda Impostazioni applicazione selezionare + Nuova impostazione applicazione.

Aggiungere ognuna delle impostazioni dell'applicazione seguenti singolarmente, con i rispettivi valori stringa (distinzione tra maiuscole e minuscole): RESOURCE_ID IPINFO_TOKEN TENANT_ID CLIENT_ID CLIENT_SECRET RETENTION_IN_DAYS TOTAL_RETENTION_IN_DAYS SCHEDULE LOCATION

Dopo aver immesso tutte le impostazioni dell'applicazione, fare clic su Salva.

Connettore Dati Esteso per la Privacy IPinfo

Supportato da:IPinfo

Questo connettore dati IPinfo installa un'app per le funzioni Azure per scaricare standard_privacy set di dati e inserirlo nella tabella di log personalizzata in Microsoft Sentinel

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

Ipinfo_Privacy_extended_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Microsoft. Permessi web/siti: Sono necessari permessi di lettura e scrittura per Funzioni di Azure per creare una Function App. Per altre informazioni, vedere Funzioni di Azure.

Token API IPinfo: Recupera qui il tuo token API IPinfo.

Istruzioni per l'installazione:

1. Recupero del token API:

Recuperare il token API IPinfo qui.

2. Nel tuo tenant Azure AD, crea un'applicazione Azure Active Directory (AAD):

Nel tenant Azure AD creare un'applicazione active directory (AAD) Azure e acquisire l'ID tenant, l'ID client e il segreto client: usare questo collegamento.

3. Assegnare all'applicazione AAD il ruolo di Contributore Microsoft Sentinel:

Assegnare l'applicazione AAD appena creata ai collaboratori (ruoli di amministratore con privilegi) e alle metriche di monitoraggio Publisher(ruoli della funzione processo) nello stesso "gruppo di risorse" usato per "Area di lavoro Log Analytics" in cui viene aggiunto "Microsoft Sentinel" : Usare questo collegamento.

4. Ottieni l'ID della risorsa dello spazio di lavoro:

Usare il pannello Area di lavoro Log Analytic -> Proprietà con il valore della proprietà 'ID risorsa'. Si tratta di un resourceId completo nel formato '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}'

5. Distribuire la funzione Azure:

Usare questa opzione per la distribuzione automatica del connettore dati IPinfo usando un modello arm.

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms

Selezionare la sottoscrizione, il gruppo di risorse e la località preferiti.

Immettere il RESOURCE_ID, IPINFO_TOKEN, TENANT_ID, CLIENT_ID, CLIENT_SECRET.

Distribuzione manuale di Funzioni di Azure:

Usare le istruzioni dettagliate seguenti per distribuire manualmente il connettore dati IPinfo con Funzioni di Azure (distribuzione tramite Visual Studio Code).

Passo 1 - Distribuire un'app di funzione:

Scaricare il file dell'app per le funzioni Azure. Estrarre l'archivio nel computer di sviluppo locale Azure'app per le funzioni.

Creare un'app per le funzioni usando Funzioni di hosting Premium o un piano di servizio app usando l'opzione avanzata usando VSCode.

Seguire le istruzioni di distribuzione manuale dell'app per le funzioni per distribuire l'app Funzioni di Azure usando VSCode.

Dopo aver completato la distribuzione dell'app per le funzioni, seguire i passaggi successivi per configurarla.

Passo 2 - Configura l'app Funzione:

Passare a portale di Azuree per la configurazione dell'app per le funzioni.

Nell'app per le funzioni selezionare il nome dell'app per le funzioni e selezionare Impostazioni -> Configurazione o Variabili di ambiente.

Nella scheda Impostazioni applicazione selezionare + Nuova impostazione applicazione.

Aggiungere ognuna delle impostazioni dell'applicazione seguenti singolarmente, con i rispettivi valori stringa (distinzione tra maiuscole e minuscole): RESOURCE_ID IPINFO_TOKEN TENANT_ID CLIENT_ID CLIENT_SECRET RETENTION_IN_DAYS TOTAL_RETENTION_IN_DAYS SCHEDULE LOCATION

Dopo aver immesso tutte le impostazioni dell'applicazione, fare clic su Salva.

Connettore dati ResProxy IPinfo

Supportato da:IPinfo

Questo connettore dati IPinfo installa un'app per le funzioni Azure per scaricare i set di dati ResProxy e inserirli nella tabella di log personalizzata in Microsoft Sentinel

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

Ipinfo_RESIDENTIAL_PROXY_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Microsoft. Permessi web/siti: Sono necessari permessi di lettura e scrittura per Funzioni di Azure per creare una Function App. Per altre informazioni, vedere Funzioni di Azure.

Token API IPinfo: Recupera qui il tuo token API IPinfo.

Istruzioni per l'installazione:

1. Recupero del token API:

Recuperare il token API IPinfo qui.

2. Nel tuo tenant Azure AD, crea un'applicazione Azure Active Directory (AAD):

Nel tenant Azure AD creare un'applicazione active directory (AAD) Azure e acquisire l'ID tenant, l'ID client e il segreto client: usare questo collegamento.

3. Assegnare all'applicazione AAD il ruolo di Contributore Microsoft Sentinel:

Assegnare l'applicazione AAD appena creata ai collaboratori (ruoli di amministratore con privilegi) e alle metriche di monitoraggio Publisher(ruoli della funzione processo) nello stesso "gruppo di risorse" usato per "Area di lavoro Log Analytics" in cui viene aggiunto "Microsoft Sentinel" : Usare questo collegamento.

4. Ottieni l'ID della risorsa dello spazio di lavoro:

Usare il pannello Area di lavoro Log Analytic -> Proprietà con il valore della proprietà 'ID risorsa'. Si tratta di un resourceId completo nel formato '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}'

5. Distribuire la funzione Azure:

Usare questa opzione per la distribuzione automatica del connettore dati IPinfo usando un modello arm.

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms

Selezionare la sottoscrizione, il gruppo di risorse e la località preferiti.

Immettere il RESOURCE_ID, IPINFO_TOKEN, TENANT_ID, CLIENT_ID, CLIENT_SECRET.

Distribuzione manuale di Funzioni di Azure:

Usare le istruzioni dettagliate seguenti per distribuire manualmente il connettore dati IPinfo con Funzioni di Azure (distribuzione tramite Visual Studio Code).

Passo 1 - Distribuire un'app di funzione:

Scaricare il file dell'app per le funzioni Azure. Estrarre l'archivio nel computer di sviluppo locale Azure'app per le funzioni.

Creare un'app per le funzioni usando Funzioni di hosting Premium o un piano di servizio app usando l'opzione avanzata usando VSCode.

Seguire le istruzioni di distribuzione manuale dell'app per le funzioni per distribuire l'app Funzioni di Azure usando VSCode.

Dopo aver completato la distribuzione dell'app per le funzioni, seguire i passaggi successivi per configurarla.

Passo 2 - Configura l'app Funzione:

Passare a portale di Azuree per la configurazione dell'app per le funzioni.

Nell'app per le funzioni selezionare il nome dell'app per le funzioni e selezionare Impostazioni -> Configurazione o Variabili di ambiente.

Nella scheda Impostazioni applicazione selezionare + Nuova impostazione applicazione.

Aggiungere ognuna delle impostazioni dell'applicazione seguenti singolarmente, con i rispettivi valori stringa (distinzione tra maiuscole e minuscole): RESOURCE_ID IPINFO_TOKEN TENANT_ID CLIENT_ID CLIENT_SECRET RETENTION_IN_DAYS TOTAL_RETENTION_IN_DAYS SCHEDULE LOCATION

Dopo aver immesso tutte le impostazioni dell'applicazione, fare clic su Salva.

Connettore dati IPinfo RIRWHOIS

Supportato da:IPinfo

Questo connettore dati IPinfo installa un'app per le funzioni Azure per scaricare i set di dati RIRWHOIS e inserirli nella tabella di log personalizzata in Microsoft Sentinel

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

Ipinfo_RIRWHOIS_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Microsoft. Permessi web/siti: Sono necessari permessi di lettura e scrittura per Funzioni di Azure per creare una Function App. Per altre informazioni, vedere Funzioni di Azure.

Token API IPinfo: Recupera qui il tuo token API IPinfo.

Istruzioni per l'installazione:

1. Recupero del token API:

Recuperare il token API IPinfo qui.

2. Nel tuo tenant Azure AD, crea un'applicazione Azure Active Directory (AAD):

Nel tenant Azure AD creare un'applicazione active directory (AAD) Azure e acquisire l'ID tenant, l'ID client e il segreto client: usare questo collegamento.

3. Assegnare all'applicazione AAD il ruolo di Contributore Microsoft Sentinel:

Assegnare l'applicazione AAD appena creata ai collaboratori (ruoli di amministratore con privilegi) e alle metriche di monitoraggio Publisher(ruoli della funzione processo) nello stesso "gruppo di risorse" usato per "Area di lavoro Log Analytics" in cui viene aggiunto "Microsoft Sentinel" : Usare questo collegamento.

4. Ottieni l'ID della risorsa dello spazio di lavoro:

Usare il pannello Area di lavoro Log Analytic -> Proprietà con il valore della proprietà 'ID risorsa'. Si tratta di un resourceId completo nel formato '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}'

5. Distribuire la funzione Azure:

Usare questa opzione per la distribuzione automatica del connettore dati IPinfo usando un modello arm.

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms

Selezionare la sottoscrizione, il gruppo di risorse e la località preferiti.

Immettere il RESOURCE_ID, IPINFO_TOKEN, TENANT_ID, CLIENT_ID, CLIENT_SECRET.

Distribuzione manuale di Funzioni di Azure:

Usare le istruzioni dettagliate seguenti per distribuire manualmente il connettore dati IPinfo con Funzioni di Azure (distribuzione tramite Visual Studio Code).

Passo 1 - Distribuire un'app di funzione:

Scaricare il file dell'app per le funzioni Azure. Estrarre l'archivio nel computer di sviluppo locale Azure'app per le funzioni.

Creare un'app per le funzioni usando Funzioni di hosting Premium o un piano di servizio app usando l'opzione avanzata usando VSCode.

Seguire le istruzioni di distribuzione manuale dell'app per le funzioni per distribuire l'app Funzioni di Azure usando VSCode.

Dopo aver completato la distribuzione dell'app per le funzioni, seguire i passaggi successivi per configurarla.

Passo 2 - Configura l'app Funzione:

Passare a portale di Azuree per la configurazione dell'app per le funzioni.

Nell'app per le funzioni selezionare il nome dell'app per le funzioni e selezionare Impostazioni -> Configurazione o Variabili di ambiente.

Nella scheda Impostazioni applicazione selezionare + Nuova impostazione applicazione.

Aggiungere ognuna delle impostazioni dell'applicazione seguenti singolarmente, con i rispettivi valori stringa (distinzione tra maiuscole e minuscole): RESOURCE_ID IPINFO_TOKEN TENANT_ID CLIENT_ID CLIENT_SECRET RETENTION_IN_DAYS TOTAL_RETENTION_IN_DAYS SCHEDULE LOCATION

Dopo aver immesso tutte le impostazioni dell'applicazione, fare clic su Salva.

Connettore dati IPinfo RWHOIS

Supportato da:IPinfo

Questo connettore dati IPinfo installa un'app per le funzioni Azure per scaricare i set di dati RWHOIS e inserirli nella tabella di log personalizzata in Microsoft Sentinel

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

Ipinfo_RWHOIS_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Microsoft. Permessi web/siti: Sono necessari permessi di lettura e scrittura per Funzioni di Azure per creare una Function App. Per altre informazioni, vedere Funzioni di Azure.

Token API IPinfo: Recupera qui il tuo token API IPinfo.

Istruzioni per l'installazione:

1. Recupero del token API:

Recuperare il token API IPinfo qui.

2. Nel tuo tenant Azure AD, crea un'applicazione Azure Active Directory (AAD):

Nel tenant Azure AD creare un'applicazione active directory (AAD) Azure e acquisire l'ID tenant, l'ID client e il segreto client: usare questo collegamento.

3. Assegnare all'applicazione AAD il ruolo di Contributore Microsoft Sentinel:

Assegnare l'applicazione AAD appena creata ai collaboratori (ruoli di amministratore con privilegi) e alle metriche di monitoraggio Publisher(ruoli della funzione processo) nello stesso "gruppo di risorse" usato per "Area di lavoro Log Analytics" in cui viene aggiunto "Microsoft Sentinel" : Usare questo collegamento.

4. Ottieni l'ID della risorsa dello spazio di lavoro:

Usare il pannello Area di lavoro Log Analytic -> Proprietà con il valore della proprietà 'ID risorsa'. Si tratta di un resourceId completo nel formato '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}'

5. Distribuire la funzione Azure:

Usare questa opzione per la distribuzione automatica del connettore dati IPinfo usando un modello arm.

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms

Selezionare la sottoscrizione, il gruppo di risorse e la località preferiti.

Immettere il RESOURCE_ID, IPINFO_TOKEN, TENANT_ID, CLIENT_ID, CLIENT_SECRET.

Distribuzione manuale di Funzioni di Azure:

Usare le istruzioni dettagliate seguenti per distribuire manualmente il connettore dati IPinfo con Funzioni di Azure (distribuzione tramite Visual Studio Code).

Passo 1 - Distribuire un'app di funzione:

Scaricare il file dell'app per le funzioni Azure. Estrarre l'archivio nel computer di sviluppo locale Azure'app per le funzioni.

Creare un'app per le funzioni usando Funzioni di hosting Premium o un piano di servizio app usando l'opzione avanzata usando VSCode.

Seguire le istruzioni di distribuzione manuale dell'app per le funzioni per distribuire l'app Funzioni di Azure usando VSCode.

Dopo aver completato la distribuzione dell'app per le funzioni, seguire i passaggi successivi per configurarla.

Passo 2 - Configura l'app Funzione:

Passare a portale di Azuree per la configurazione dell'app per le funzioni.

Nell'app per le funzioni selezionare il nome dell'app per le funzioni e selezionare Impostazioni -> Configurazione o Variabili di ambiente.

Nella scheda Impostazioni applicazione selezionare + Nuova impostazione applicazione.

Aggiungere ognuna delle impostazioni dell'applicazione seguenti singolarmente, con i rispettivi valori stringa (distinzione tra maiuscole e minuscole): RESOURCE_ID IPINFO_TOKEN TENANT_ID CLIENT_ID CLIENT_SECRET RETENTION_IN_DAYS TOTAL_RETENTION_IN_DAYS SCHEDULE LOCATION

Dopo aver immesso tutte le impostazioni dell'applicazione, fare clic su Salva.

Connettore dati IPinfo WHOIS ASN

Supportato da:IPinfo

Questo connettore dati IPinfo installa un'app per le funzioni Azure per scaricare WHOIS_ASN set di dati e inserirlo nella tabella di log personalizzata in Microsoft Sentinel

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

Ipinfo_WHOIS_ASN_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Microsoft. Permessi web/siti: Sono necessari permessi di lettura e scrittura per Funzioni di Azure per creare una Function App. Per altre informazioni, vedere Funzioni di Azure.

Token API IPinfo: Recupera qui il tuo token API IPinfo.

Istruzioni per l'installazione:

1. Recupero del token API:

Recuperare il token API IPinfo qui.

2. Nel tuo tenant Azure AD, crea un'applicazione Azure Active Directory (AAD):

Nel tenant Azure AD creare un'applicazione active directory (AAD) Azure e acquisire l'ID tenant, l'ID client e il segreto client: usare questo collegamento.

3. Assegnare all'applicazione AAD il ruolo di Contributore Microsoft Sentinel:

Assegnare l'applicazione AAD appena creata ai collaboratori (ruoli di amministratore con privilegi) e alle metriche di monitoraggio Publisher(ruoli della funzione processo) nello stesso "gruppo di risorse" usato per "Area di lavoro Log Analytics" in cui viene aggiunto "Microsoft Sentinel" : Usare questo collegamento.

4. Ottieni l'ID della risorsa dello spazio di lavoro:

Usare il pannello Area di lavoro Log Analytic -> Proprietà con il valore della proprietà 'ID risorsa'. Si tratta di un resourceId completo nel formato '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}'

5. Distribuire la funzione Azure:

Usare questa opzione per la distribuzione automatica del connettore dati IPinfo usando un modello arm.

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms

Selezionare la sottoscrizione, il gruppo di risorse e la località preferiti.

Immettere il RESOURCE_ID, IPINFO_TOKEN, TENANT_ID, CLIENT_ID, CLIENT_SECRET.

Distribuzione manuale di Funzioni di Azure:

Usare le istruzioni dettagliate seguenti per distribuire manualmente il connettore dati IPinfo con Funzioni di Azure (distribuzione tramite Visual Studio Code).

Passo 1 - Distribuire un'app di funzione:

Scaricare il file dell'app per le funzioni Azure. Estrarre l'archivio nel computer di sviluppo locale Azure'app per le funzioni.

Creare un'app per le funzioni usando Funzioni di hosting Premium o un piano di servizio app usando l'opzione avanzata usando VSCode.

Seguire le istruzioni di distribuzione manuale dell'app per le funzioni per distribuire l'app Funzioni di Azure usando VSCode.

Dopo aver completato la distribuzione dell'app per le funzioni, seguire i passaggi successivi per configurarla.

Passo 2 - Configura l'app Funzione:

Passare a portale di Azuree per la configurazione dell'app per le funzioni.

Nell'app per le funzioni selezionare il nome dell'app per le funzioni e selezionare Impostazioni -> Configurazione o Variabili di ambiente.

Nella scheda Impostazioni applicazione selezionare + Nuova impostazione applicazione.

Aggiungere ognuna delle impostazioni dell'applicazione seguenti singolarmente, con i rispettivi valori stringa (distinzione tra maiuscole e minuscole): RESOURCE_ID IPINFO_TOKEN TENANT_ID CLIENT_ID CLIENT_SECRET RETENTION_IN_DAYS TOTAL_RETENTION_IN_DAYS SCHEDULE LOCATION

Dopo aver immesso tutte le impostazioni dell'applicazione, fare clic su Salva.

Connettore dati IPinfo WHOIS MNT

Supportato da:IPinfo

Questo connettore dati IPinfo installa un'app per le funzioni Azure per scaricare WHOIS_MNT set di dati e inserirlo nella tabella di log personalizzata in Microsoft Sentinel

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

Ipinfo_WHOIS_MNT_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Microsoft. Permessi web/siti: Sono necessari permessi di lettura e scrittura per Funzioni di Azure per creare una Function App. Per altre informazioni, vedere Funzioni di Azure.

Token API IPinfo: Recupera qui il tuo token API IPinfo.

Istruzioni per l'installazione:

1. Recupero del token API:

Recuperare il token API IPinfo qui.

2. Nel tuo tenant Azure AD, crea un'applicazione Azure Active Directory (AAD):

Nel tenant Azure AD creare un'applicazione active directory (AAD) Azure e acquisire l'ID tenant, l'ID client e il segreto client: usare questo collegamento.

3. Assegnare all'applicazione AAD il ruolo di Contributore Microsoft Sentinel:

Assegnare l'applicazione AAD appena creata ai collaboratori (ruoli di amministratore con privilegi) e alle metriche di monitoraggio Publisher(ruoli della funzione processo) nello stesso "gruppo di risorse" usato per "Area di lavoro Log Analytics" in cui viene aggiunto "Microsoft Sentinel" : Usare questo collegamento.

4. Ottieni l'ID della risorsa dello spazio di lavoro:

Usare il pannello Area di lavoro Log Analytic -> Proprietà con il valore della proprietà 'ID risorsa'. Si tratta di un resourceId completo nel formato '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}'

5. Distribuire la funzione Azure:

Usare questa opzione per la distribuzione automatica del connettore dati IPinfo usando un modello arm.

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms

Selezionare la sottoscrizione, il gruppo di risorse e la località preferiti.

Immettere il RESOURCE_ID, IPINFO_TOKEN, TENANT_ID, CLIENT_ID, CLIENT_SECRET.

Distribuzione manuale di Funzioni di Azure:

Usare le istruzioni dettagliate seguenti per distribuire manualmente il connettore dati IPinfo con Funzioni di Azure (distribuzione tramite Visual Studio Code).

Passo 1 - Distribuire un'app di funzione:

Scaricare il file dell'app per le funzioni Azure. Estrarre l'archivio nel computer di sviluppo locale Azure'app per le funzioni.

Creare un'app per le funzioni usando Funzioni di hosting Premium o un piano di servizio app usando l'opzione avanzata usando VSCode.

Seguire le istruzioni di distribuzione manuale dell'app per le funzioni per distribuire l'app Funzioni di Azure usando VSCode.

Dopo aver completato la distribuzione dell'app per le funzioni, seguire i passaggi successivi per configurarla.

Passo 2 - Configura l'app Funzione:

Passare a portale di Azuree per la configurazione dell'app per le funzioni.

Nell'app per le funzioni selezionare il nome dell'app per le funzioni e selezionare Impostazioni -> Configurazione o Variabili di ambiente.

Nella scheda Impostazioni applicazione selezionare + Nuova impostazione applicazione.

Aggiungere ognuna delle impostazioni dell'applicazione seguenti singolarmente, con i rispettivi valori stringa (distinzione tra maiuscole e minuscole): RESOURCE_ID IPINFO_TOKEN TENANT_ID CLIENT_ID CLIENT_SECRET RETENTION_IN_DAYS TOTAL_RETENTION_IN_DAYS SCHEDULE LOCATION

Dopo aver immesso tutte le impostazioni dell'applicazione, fare clic su Salva.

Connettore dati IPinfo WHOIS NET

Supportato da:IPinfo

Questo connettore dati IPinfo installa un'app per le funzioni Azure per scaricare WHOIS_NET set di dati e inserirlo nella tabella di log personalizzata in Microsoft Sentinel

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

Ipinfo_WHOIS_NET_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Microsoft. Permessi web/siti: Sono necessari permessi di lettura e scrittura per Funzioni di Azure per creare una Function App. Per altre informazioni, vedere Funzioni di Azure.

Token API IPinfo: Recupera qui il tuo token API IPinfo.

Istruzioni per l'installazione:

1. Recupero del token API:

Recuperare il token API IPinfo qui.

2. Nel tuo tenant Azure AD, crea un'applicazione Azure Active Directory (AAD):

Nel tenant Azure AD creare un'applicazione active directory (AAD) Azure e acquisire l'ID tenant, l'ID client e il segreto client: usare questo collegamento.

3. Assegnare all'applicazione AAD il ruolo di Contributore Microsoft Sentinel:

Assegnare l'applicazione AAD appena creata ai collaboratori (ruoli di amministratore con privilegi) e alle metriche di monitoraggio Publisher(ruoli della funzione processo) nello stesso "gruppo di risorse" usato per "Area di lavoro Log Analytics" in cui viene aggiunto "Microsoft Sentinel" : Usare questo collegamento.

4. Ottieni l'ID della risorsa dello spazio di lavoro:

Usare il pannello Area di lavoro Log Analytic -> Proprietà con il valore della proprietà 'ID risorsa'. Si tratta di un resourceId completo nel formato '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}'

5. Distribuire la funzione Azure:

Usare questa opzione per la distribuzione automatica del connettore dati IPinfo usando un modello arm.

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms

Selezionare la sottoscrizione, il gruppo di risorse e la località preferiti.

Immettere il RESOURCE_ID, IPINFO_TOKEN, TENANT_ID, CLIENT_ID, CLIENT_SECRET.

Distribuzione manuale di Funzioni di Azure:

Usare le istruzioni dettagliate seguenti per distribuire manualmente il connettore dati IPinfo con Funzioni di Azure (distribuzione tramite Visual Studio Code).

Passo 1 - Distribuire un'app di funzione:

Scaricare il file dell'app per le funzioni Azure. Estrarre l'archivio nel computer di sviluppo locale Azure'app per le funzioni.

Creare un'app per le funzioni usando Funzioni di hosting Premium o un piano di servizio app usando l'opzione avanzata usando VSCode.

Seguire le istruzioni di distribuzione manuale dell'app per le funzioni per distribuire l'app Funzioni di Azure usando VSCode.

Dopo aver completato la distribuzione dell'app per le funzioni, seguire i passaggi successivi per configurarla.

Passo 2 - Configura l'app Funzione:

Passare a portale di Azuree per la configurazione dell'app per le funzioni.

Nell'app per le funzioni selezionare il nome dell'app per le funzioni e selezionare Impostazioni -> Configurazione o Variabili di ambiente.

Nella scheda Impostazioni applicazione selezionare + Nuova impostazione applicazione.

Aggiungere ognuna delle impostazioni dell'applicazione seguenti singolarmente, con i rispettivi valori stringa (distinzione tra maiuscole e minuscole): RESOURCE_ID IPINFO_TOKEN TENANT_ID CLIENT_ID CLIENT_SECRET RETENTION_IN_DAYS TOTAL_RETENTION_IN_DAYS SCHEDULE LOCATION

Dopo aver immesso tutte le impostazioni dell'applicazione, fare clic su Salva.

Connettore dati IPinfo WHOIS ORG

Supportato da:IPinfo

Questo connettore dati IPinfo installa un'app per le funzioni di Azure per scaricare WHOIS_ORG set di dati e inserirlo nella tabella di log personalizzata in Microsoft Sentinel

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

Ipinfo_WHOIS_ORG_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Microsoft. Permessi web/siti: Sono necessari permessi di lettura e scrittura per Funzioni di Azure per creare una Function App. Per altre informazioni, vedere Funzioni di Azure.

Token API IPinfo: Recupera qui il tuo token API IPinfo.

Istruzioni per l'installazione:

1. Recupero del token API:

Recuperare il token API IPinfo qui.

2. Nel tuo tenant Azure AD, crea un'applicazione Azure Active Directory (AAD):

Nel tenant Azure AD creare un'applicazione active directory (AAD) Azure e acquisire l'ID tenant, l'ID client e il segreto client: usare questo collegamento.

3. Assegnare all'applicazione AAD il ruolo di Contributore Microsoft Sentinel:

Assegnare l'applicazione AAD appena creata ai collaboratori (ruoli di amministratore con privilegi) e alle metriche di monitoraggio Publisher(ruoli della funzione processo) nello stesso "gruppo di risorse" usato per "Area di lavoro Log Analytics" in cui viene aggiunto "Microsoft Sentinel" : Usare questo collegamento.

4. Ottieni l'ID della risorsa dello spazio di lavoro:

Usare il pannello Area di lavoro Log Analytic -> Proprietà con il valore della proprietà 'ID risorsa'. Si tratta di un resourceId completo nel formato '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}'

5. Distribuire la funzione Azure:

Usare questa opzione per la distribuzione automatica del connettore dati IPinfo usando un modello arm.

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms

Selezionare la sottoscrizione, il gruppo di risorse e la località preferiti.

Immettere il RESOURCE_ID, IPINFO_TOKEN, TENANT_ID, CLIENT_ID, CLIENT_SECRET.

Distribuzione manuale di Funzioni di Azure:

Usare le istruzioni dettagliate seguenti per distribuire manualmente il connettore dati IPinfo con Funzioni di Azure (distribuzione tramite Visual Studio Code).

Passo 1 - Distribuire un'app di funzione:

Scaricare il file dell'app per le funzioni Azure. Estrarre l'archivio nel computer di sviluppo locale Azure'app per le funzioni.

Creare un'app per le funzioni usando Funzioni di hosting Premium o un piano di servizio app usando l'opzione avanzata usando VSCode.

Seguire le istruzioni di distribuzione manuale dell'app per le funzioni per distribuire l'app Funzioni di Azure usando VSCode.

Dopo aver completato la distribuzione dell'app per le funzioni, seguire i passaggi successivi per configurarla.

Passo 2 - Configura l'app Funzione:

Passare a portale di Azuree per la configurazione dell'app per le funzioni.

Nell'app per le funzioni selezionare il nome dell'app per le funzioni e selezionare Impostazioni -> Configurazione o Variabili di ambiente.

Nella scheda Impostazioni applicazione selezionare + Nuova impostazione applicazione.

Aggiungere ognuna delle impostazioni dell'applicazione seguenti singolarmente, con i rispettivi valori stringa (distinzione tra maiuscole e minuscole): RESOURCE_ID IPINFO_TOKEN TENANT_ID CLIENT_ID CLIENT_SECRET RETENTION_IN_DAYS TOTAL_RETENTION_IN_DAYS SCHEDULE LOCATION

Dopo aver immesso tutte le impostazioni dell'applicazione, fare clic su Salva.

Connettore dati IPinfo WHOIS POC

Supportato da:IPinfo

Questo connettore di dati IPinfo installa un'app per le funzioni Azure per scaricare WHOIS_POC set di dati e inserirlo nella tabella di log personalizzata in Microsoft Sentinel

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

Ipinfo_WHOIS_POC_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Microsoft. Permessi web/siti: Sono necessari permessi di lettura e scrittura per Funzioni di Azure per creare una Function App. Per altre informazioni, vedere Funzioni di Azure.

Token API IPinfo: Recupera qui il tuo token API IPinfo.

Istruzioni per l'installazione:

1. Recupero del token API:

Recuperare il token API IPinfo qui.

2. Nel tuo tenant Azure AD, crea un'applicazione Azure Active Directory (AAD):

Nel tenant Azure AD creare un'applicazione active directory (AAD) Azure e acquisire l'ID tenant, l'ID client e il segreto client: usare questo collegamento.

3. Assegnare all'applicazione AAD il ruolo di Contributore Microsoft Sentinel:

Assegnare l'applicazione AAD appena creata ai collaboratori (ruoli di amministratore con privilegi) e alle metriche di monitoraggio Publisher(ruoli della funzione processo) nello stesso "gruppo di risorse" usato per "Area di lavoro Log Analytics" in cui viene aggiunto "Microsoft Sentinel" : Usare questo collegamento.

4. Ottieni l'ID della risorsa dello spazio di lavoro:

Usare il pannello Area di lavoro Log Analytic -> Proprietà con il valore della proprietà 'ID risorsa'. Si tratta di un resourceId completo nel formato '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}'

5. Distribuire la funzione Azure:

Usare questa opzione per la distribuzione automatica del connettore dati IPinfo usando un modello arm.

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms

Selezionare la sottoscrizione, il gruppo di risorse e la località preferiti.

Immettere il RESOURCE_ID, IPINFO_TOKEN, TENANT_ID, CLIENT_ID, CLIENT_SECRET.

Distribuzione manuale di Funzioni di Azure:

Usare le istruzioni dettagliate seguenti per distribuire manualmente il connettore dati IPinfo con Funzioni di Azure (distribuzione tramite Visual Studio Code).

Passo 1 - Distribuire un'app di funzione:

Scaricare il file dell'app per le funzioni Azure. Estrarre l'archivio nel computer di sviluppo locale Azure'app per le funzioni.

Creare un'app per le funzioni usando Funzioni di hosting Premium o un piano di servizio app usando l'opzione avanzata usando VSCode.

Seguire le istruzioni di distribuzione manuale dell'app per le funzioni per distribuire l'app Funzioni di Azure usando VSCode.

Dopo aver completato la distribuzione dell'app per le funzioni, seguire i passaggi successivi per configurarla.

Passo 2 - Configura l'app Funzione:

Passare a portale di Azuree per la configurazione dell'app per le funzioni.

Nell'app per le funzioni selezionare il nome dell'app per le funzioni e selezionare Impostazioni -> Configurazione o Variabili di ambiente.

Nella scheda Impostazioni applicazione selezionare + Nuova impostazione applicazione.

Aggiungere ognuna delle impostazioni dell'applicazione seguenti singolarmente, con i rispettivi valori stringa (distinzione tra maiuscole e minuscole): RESOURCE_ID IPINFO_TOKEN TENANT_ID CLIENT_ID CLIENT_SECRET RETENTION_IN_DAYS TOTAL_RETENTION_IN_DAYS SCHEDULE LOCATION

Dopo aver immesso tutte le impostazioni dell'applicazione, fare clic su Salva.

Island Enterprise Browser V2

Supportato da:Island

Island Enterprise Browser V2 Data Connector consente di inserire eventi utente, eventi di amministrazione ed eventi di sistema, tutti all'interno di un singolo connettore.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

Island_UserEvents_V2_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Chiave API dell'isola: È richiesta una chiave API dell'isola. Generare la chiave API tramite Island Management Console. Per altre istruzioni, fare riferimento alla documentazione ufficiale dell'isola.

Istruzioni per l'installazione:

Connetti Island con Microsoft Sentinel:

L'URL api e la chiave API sono disponibili tramite Console di gestione delle isole. Per altre istruzioni, fare riferimento alla documentazione ufficiale dell'isola.

URL API: (URL API)

Chiave API: (Chiave)

Abilitare/disabilitare la connessione

Connettore a spinta Jamf Protect

Supportato da:Jamf Software, LLC

Il connettore Jamf Protect offre la possibilità di leggere i dati degli eventi non elaborati da Jamf Protect in Microsoft Sentinel.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

jamfprotecttelemetryv2_CL No No

jamfprotectunifiedlogs_CL No No

jamfprotectalerts_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Microsoft Entra: Permesso di creare una registrazione di un'app in Microsoft Entra ID. In genere richiede Entra ruolo sviluppatore di applicazioni ID o superiore.

Microsoft Azure: Permesso di assegnare il ruolo di Monitoring Metrics Publisher sulla regola di raccolta dati (DCR). In genere richiede Azure ruolo Proprietario controllo degli accessi in base al ruolo o Amministratore accesso utente

Istruzioni per l'installazione:

1. Creare risorse ARM e fornire i permessi richiesti:

Questo connettore legge i dati dalle tabelle usate da Jamf Protect in un'area di lavoro di Microsoft Analytics, se l'opzione di inoltro dei dati è abilitata in Jamf Protect, i dati degli eventi non elaborati vengono inviati all'API di inserimento Microsoft Sentinel.

La configurazione automatizzata e l'inserimento sicuro dei dati con Entra'applicazione facendo clic su "Distribuisci" attiveranno la creazione di tabelle di Log Analytics e di una regola di raccolta dati (DCR). Verrà quindi creata un'applicazione Entra, verrà collegato il DCR e verrà impostato il segreto immesso nell'applicazione. Questa configurazione consente di inviare i dati in modo sicuro al DCR usando un token di Entra.

2. Spingi i tuoi log nello spazio di lavoro:

Usare i parametri seguenti per configurare il computer per inviare i log all'area di lavoro.

ID Tenant (ID Directory):<variable value provided at install time>

ID Domanda di Registrazione Entra App:<variable value provided at install time>

Segreto per la registrazione dell'app Entra:<variable value provided at install time>

Data Collection Endpoint Uri:<variable value provided at install time>

ID immutabile della regola di raccolta dati:<variable value provided at install time>

Nome del flusso di log unificati:<variable value provided at install time>

Nome del flusso telemetrico:<variable value provided at install time>

Nome della trasmissione degli avvisi:<variable value provided at install time>

JoeSandboxThreatIntelligence (usando Funzioni di Azure)

Supportato da:Stefan Bühlmann

Il connettore JoeSandboxThreatIntelligence genera e alimenta automaticamente l'intelligence sulle minacce per tutti gli invii a JoeSandbox, migliorando il rilevamento delle minacce e la risposta agli eventi imprevisti in Sentinel. Questa integrazione senza problemi consente ai team di affrontare in modo proattivo le minacce emergenti.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

ThreatIntelIndicators Sì No

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

Prerequisiti:

Sottoscrizione Azure: L'abbonamento Azure con ruolo proprietario è necessario per registrare un'applicazione in Azure Active Directory() e assegnare il ruolo di contributore all'app nel gruppo risorse.

Microsoft. Permessi web/siti: Sono necessari permessi di lettura e scrittura per Funzioni di Azure per creare una Function App. Per altre informazioni, vedere Funzioni di Azure.

Credenziali/permessi API REST: Lachiave API di JoeSandbox è richiesta.

Istruzioni per l'installazione:

NOTA: Questo connettore usa Funzioni di Azure per connettersi all'API JoeSandbox per eseguire il pull di ioc di minaccia JoeSandbox in Microsoft Sentinel. Ciò potrebbe comportare costi aggiuntivi per l'inserimento dei dati e per l'archiviazione dei dati nei costi di Archiviazione BLOB di Azure. Per informazioni dettagliate, controllare la pagina dei prezzi Funzioni di Azure e Archiviazione BLOB di Azure pagina dei prezzi.

(Passaggio facoltativo) Archiviare in modo sicuro le chiavi o i token di autorizzazione api e dell'area di lavoro in Azure Key Vault. Azure Key Vault fornisce un meccanismo sicuro per archiviare e recuperare i valori delle chiavi. Seguire queste istruzioni per usare Azure Key Vault con un'app per le funzioni Azure.

ID dello spazio di lavoro:<variable value provided at install time>

Chiave primaria:<variable value provided at install time>

Opzione 1 - Modello Azure Resource Manager (ARM) per il piano Flex Consumption:

Usare questo metodo per la distribuzione automatizzata del connettore dati usando un modello di Resource Manager.

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms

Selezionare la sottoscrizione, il gruppo di risorse e la località preferiti.

Immettere l'ID applicazione, l'ID tenant, il segreto client, la chiave API JoeSandbox, la data di recupero iniziale di JoeSandbox, TimeInterval e la distribuzione.

Contrassegnare la casella di controllo con l'etichetta Accetto i termini e le condizioni indicati sopra.

Fare clic su Acquista per distribuire.

Opzione 2 - Modello Azure Resource Manager (ARM) per il piano Premium:

Usare questo metodo per la distribuzione automatizzata del connettore dati usando un modello di Resource Manager.

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms

Selezionare la sottoscrizione, il gruppo di risorse e la località preferiti.

Immettere l'ID applicazione, l'ID tenant, il segreto client, la chiave API JoeSandbox, la data di recupero iniziale di JoeSandbox, TimeInterval e la distribuzione.

Contrassegnare la casella di controllo con l'etichetta Accetto i termini e le condizioni indicati sopra.

Fare clic su Acquista per distribuire.

Connettore push di Keeper Security

Supportato da:Keeper Security

Il connettore Keeper Security offre la possibilità di leggere i dati degli eventi non elaborati da Keeper Security in Microsoft Sentinel.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

KeeperSecurityEventNewLogs_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Microsoft Entra: Permesso di creare una registrazione di un'app in Microsoft Entra ID. In genere richiede Entra ruolo sviluppatore di applicazioni ID o superiore.

Microsoft Azure: Permesso di assegnare il ruolo di Monitoring Metrics Publisher sulla regola di raccolta dati (DCR). In genere richiede Azure ruolo Proprietario controllo degli accessi in base al ruolo o Amministratore accesso utente

Istruzioni per l'installazione:

1. Creare risorse ARM e fornire i permessi richiesti:

Questo connettore legge i dati dalle tabelle usate da Keeper Security in un'area di lavoro di Microsoft Analytics, se l'opzione di inoltro dei dati è abilitata in Keeper Security, i dati degli eventi non elaborati vengono inviati all'API di inserimento Microsoft Sentinel.

La configurazione automatizzata e l'inserimento sicuro dei dati con Entra'applicazione facendo clic su "Distribuisci" attiveranno la creazione di tabelle di Log Analytics e di una regola di raccolta dati (DCR). Verrà quindi creata un'applicazione Entra, verrà collegato il DCR e verrà impostato il segreto immesso nell'applicazione. Questa configurazione consente di inviare i dati in modo sicuro al DCR usando un token di Entra.

2. Spingi i tuoi log nello spazio di lavoro:

Usare i parametri seguenti per configurare il computer per inviare i log all'area di lavoro.

ID Tenant (ID Directory):<variable value provided at install time>

ID Domanda di Registrazione Entra App:<variable value provided at install time>

Segreto per la registrazione dell'app Entra:<variable value provided at install time>

Data Collection Endpoint Uri:<variable value provided at install time>

ID immutabile della regola di raccolta dati:<variable value provided at install time>

Nome della Corrente dei Registri degli Eventi:<variable value provided at install time>

3. Aggiorna la console amministrativa Keeper:

Configurare la console di Amministrazione Keeper con i dettagli di connessione Azure per abilitare l'inoltro dei dati a Microsoft Sentinel.

Configurare i log di monitoraggio Azure nella console di Amministrazione di Keeper

Nella console di Amministrazione Keeper accedere come amministratore di Keeper. Passare quindi a Report & Avvisi e selezionare Monitoraggio di Azureare i log.

Specificare le informazioni seguenti del passaggio 2 nella console di Amministrazione:

ID Tenant Azure: Puoi trovarlo nell'area "Subscriptions" di Azure.

ID applicazione (client): Questo si trova nella schermata panoramica della registrazione dell'app (KeeperLogging)

Valore segreto per il cliente: Questo è il Client Secret Value dai segreti di registrazione dell'app.

URL endpoint: Questo è un URL creato nel seguente formato specifico: https://<collection_url>/dataCollectionRules/<dcr_id>/streams/<table>?api-version=2023-01-01

Per assemblare l'URL dell'endpoint:

<URL> raccolta Questo proviene dal passaggio 2 precedente

< >DCR_ID Dalla regola dell'agente di raccolta dati copiare il valore "ID non modificabile", ad esempiodcr-xxxxxxx

Si tratta del nome della tabella creato da Azure, ad esempioCustom-KeeperSecurityEventNewLogs
Esempio: https://<Collection_URL>/dataCollectionRules/<DCR_ID>/streams/Custom-KeeperSecurityEventNewLogs?api-version=2023-01-01

LastPass Enterprise - Reportistica (Polling CCF)

Supportato da:The Collective Consulting

Il connettore LastPass Enterprise offre la funzionalità per i log di report lastpass (controllo) in Microsoft Sentinel. Il connettore offre visibilità su account di accesso e attività all'interno di LastPass ,ad esempio la lettura e la rimozione delle password.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

LastPassNativePoller_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

LastPass API Key e CID: sono necessari una chiave API LastPass e un CID. Per altre informazioni, vedere API LastPass.

Istruzioni per l'installazione:

Collega LastPass Enterprise a Microsoft Sentinel:

Specificare la chiave API di provisioning LastPass.

Lookout Mobile Threat Detection Connector (tramite Codeless Connector Framework) (anteprima)

Supportato da:Lookout

Il connettore dati Lookout Mobile Threat Detection offre la possibilità di inserire gli eventi correlati ai rischi per la sicurezza dei dispositivi mobili in Microsoft Sentinel tramite l'API Rischi per dispositivi mobili. Per altre informazioni, vedere la documentazione dell'API . Questo connettore consente di esaminare i potenziali rischi per la sicurezza rilevati nei dispositivi mobili.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

LookoutMtdV2_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Istruzioni per l'installazione:

Collega il connettore Lookout Mobile Threat Defence a Microsoft Sentinel:

Prima di connettersi a Lookout, verificare che i prerequisiti seguenti siano stati completati.

ApiKey è necessario per l'API di rilevamento delle minacce per dispositivi mobili. Per altre informazioni sull'API, vedere la documentazione . Controllare tutti i requisiti e seguire le istruzioni per ottenere le credenziali.

Chiave API: (Inserisci la tua chiave API)

Abilitare/disabilitare la connessione

IOC Luminar e credenziali perse (usando Funzioni di Azure)

Supportato da:Cognyte Luminar

Luminar IOCs e leaked Credentials connector consente l'integrazione dei dati IOC basati sull'intelligence e dei record trapelati correlati al cliente identificati da Luminar.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

ThreatIntelligenceIndicator Sì No

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

Prerequisiti:

Sottoscrizione Azure: L'abbonamento Azure con ruolo proprietario è necessario per registrare un'applicazione in Azure Active Directory() e assegnare il ruolo di contributore all'app nel gruppo risorse.

Microsoft. Permessi web/siti: Sono necessari permessi di lettura e scrittura per Funzioni di Azure per creare una Function App. Per altre informazioni, vedere Funzioni di Azure.

Credenziali/permessi API REST:sono necessari Luminar Client ID, Luminar Client Secret e Luminar Account ID.

Istruzioni per l'installazione:

NOTA: Questo connettore usa Funzioni di Azure per connettersi all'API Cognyte Luminar per eseguire il pull di IIC Luminar e credenziali perse in Microsoft Sentinel. Ciò potrebbe comportare costi aggiuntivi per l'inserimento dei dati e per l'archiviazione dei dati nei costi di Archiviazione BLOB di Azure. Per informazioni dettagliate, controllare la pagina dei prezzi Funzioni di Azure e Archiviazione BLOB di Azure pagina dei prezzi.

(Passaggio facoltativo) Archiviare in modo sicuro le chiavi o i token di autorizzazione api e dell'area di lavoro in Azure Key Vault. Azure Key Vault fornisce un meccanismo sicuro per archiviare e recuperare i valori delle chiavi. Seguire queste istruzioni per usare Azure Key Vault con un'app per le funzioni Azure.

ID dello spazio di lavoro:<variable value provided at install time>

Chiave primaria:<variable value provided at install time>

Opzione 1 - Azure Resource Manager (ARM) Template:

Usare questo metodo per la distribuzione automatizzata del connettore dati usando un modello di Resource Manager.

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms

Selezionare la sottoscrizione, il gruppo di risorse e la località preferiti.

Immettere l'ID applicazione, l'ID tenant, il segreto client, l'ID client dell'API Luminar, l'ID account dell'API Luminar, il segreto client dell'API Luminar, il limite, timeInterval e la distribuzione.

Contrassegnare la casella di controllo con l'etichetta Accetto i termini e le condizioni indicati sopra.

Fare clic su Acquista per distribuire.

Opzione 2 - Distribuzione manuale di Funzioni di Azure:

Usare le istruzioni dettagliate seguenti per distribuire manualmente il connettore dati Cognyte Luminar con Funzioni di Azure (distribuzione tramite Visual Studio Code).

Distribuire un'app per le funzioni

NOTA: sarà necessario preparare vs code per lo sviluppo di funzioni Azure.

Scaricare il file dell'app per le funzioni Azure. Estrarre l'archivio nel computer di sviluppo locale.

Avviare VS Code. Scegliere File nel menu principale e selezionare Apri cartella.

Selezionare la cartella di primo livello dai file estratti.

Scegliere l'icona Azure nella barra attività, quindi nell'area Azure: Funzioni scegliere il pulsante Distribuisci nell'app per le funzioni. Se non sei già connesso, scegli l'icona Azure nella barra Attività, poi nell'area Azure: Funzioni, scegli Accedi ad Azure: Se sei già connesso, passa al passo successivo.

Fornire le informazioni seguenti alle richieste:

Selezionare la cartella: Scegliere una cartella dall'area di lavoro o passare a una cartella contenente l'app per le funzioni.

Selezionare Sottoscrizione: Scegliere la sottoscrizione da usare.

Selezionare Crea nuova app per le funzioni in Azure (non scegliere l'opzione Avanzate)

Immettere un nome univoco globale per l'app per le funzioni: Digitare un nome valido in un percorso URL. Il nome digitato viene convalidato per assicurarsi che sia univoco in Funzioni di Azure. (ad esempio CognyteLuminarXXX).

Selezionare un runtime: Scegliere Python 3.11.

Selezionare una posizione per le nuove risorse. Per ottenere prestazioni migliori e costi inferiori, scegliere la stessa area in cui si trova Microsoft Sentinel.

Verrà avviata la distribuzione. Una notifica viene visualizzata dopo la creazione dell'app per le funzioni e l'applicazione del pacchetto di distribuzione.

Passare a portale di Azuree per la configurazione dell'app per le funzioni.

Configurare l'app per le funzioni

Nell'app per le funzioni selezionare nome dell'app per le funzioni e selezionare Configurazione.

Nella scheda Impostazioni applicazione selezionare + Nuova impostazione applicazione.

Aggiungere ognuna delle impostazioni dell'applicazione seguenti singolarmente, con i rispettivi valori stringa (distinzione tra maiuscole e minuscole): ID applicazione ID tenant Id client Segreto API Client ID API Luminar ID account Luminar API Client Secret Limit TimeInterval - Usare logAnalyticsUri per eseguire l'override dell'endpoint dell'API log analytics per il cloud dedicato. Ad esempio, per il cloud pubblico, lasciare il valore vuoto; per Azure ambiente cloud GovUS, specificare il valore nel formato seguente:https://<CustomerId>.ods.opinsights.azure.us

Dopo aver immesso tutte le impostazioni dell'applicazione, fare clic su Salva.

MailGuard 365

Supportato da:MailGuard 365

MailGuard 365 Enhanced Email Security per Microsoft 365. In esclusiva per il marketplace Microsoft, MailGuard 365 è integrato con la sicurezza di Microsoft 365 (incluso Defender) per una protezione avanzata da minacce e-mail avanzate come phishing, ransomware e sofisticati attacchi BEC.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

MailGuard365_Threats_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Istruzioni per l'installazione:

Configura e collega MailGuard 365:

Nella console mailGuard 365 fare clic su Impostazioni sulla barra di spostamento.

Fare clic sulla scheda Integrazioni .

Fare clic su Abilita Microsoft Sentinel.

Immettere l'ID dell'area di lavoro e la chiave primaria nei campi seguenti, fare clic su Fine.

Per altre istruzioni, contattare il supporto di MailGuard 365.

ID dello spazio di lavoro:<variable value provided at install time>

Chiave primaria:<variable value provided at install time>

MailRisk di Secure Practice

Supportato da:Secure Practice

Il connettore MailRisk by Secure Practice consente di inserire i dati di intelligence sulle minacce tramite posta elettronica dall'API MailRisk in Microsoft Sentinel. Questo connettore offre visibilità sui messaggi di posta elettronica segnalati, sulle valutazioni dei rischi e sugli eventi di sicurezza correlati alle minacce alla posta elettronica.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

MailRiskEventEmails_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Credenziali API: È necessaria anche la coppia di chiavi API di Secure Practice, che vengono create nelle impostazioni del portale di amministrazione. Generare una nuova coppia di chiavi con la descrizione Microsoft Sentinel.

Istruzioni per l'installazione:

1. Ottenere credenziali API di pratica sicura:

Accedere all'account di Procedura sicura e generare una chiave API e un segreto API, se non è già stato fatto.

2. Connettiti all'API di MailRisk:

Immettere le credenziali dell'API di procedura sicura di seguito. Le credenziali verranno archiviate e usate in modo sicuro per autenticare le richieste API.

Chiave API: (Inserisci la tua chiave API per la pratica sicura)

API Secret: (Inserisci il tuo Secure Practice API Secret)

Abilitare/disabilitare la connessione

log eventi meshStack

Supportato da:meshcloud GmbH

Il connettore meshStack Event Logs offre la possibilità di inserire gli eventi della piattaforma meshStack in Microsoft Sentinel. Connettendo i log eventi meshStack a Microsoft Sentinel, è possibile visualizzare questi dati nelle cartelle di lavoro, usarli per creare avvisi personalizzati e migliorare il processo di analisi per il monitoraggio della governance, del controllo e della conformità della piattaforma cloud.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

meshStackEventLogs_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

MeshStack OAuth2 API Key: È richiesta una chiave API MeshStack valida con il permesso 'Admin: Elenca i log eventi in qualsiasi workspace'. Creare la chiave API nel pannello meshStack Amministrazione in chiavi API Controllo di accesso>. La chiave API fornisce le credenziali OAuth2 (ID chiave come client_id e segreto chiave come client_secret) per l'autenticazione. Nota: la chiave API è associata a un'area di lavoro, ma può accedere agli eventi da tutte le aree di lavoro.

Istanza MeshStack: Accesso a un'istanza MeshStack con l'API Eventi abilitata.

Istruzioni per l'installazione:

Collega i Event Logs di MeshStack a Microsoft Sentinel:

Immettere l'URL dell'API dell'istanza di mesh e le credenziali OAuth2 dalla chiave API. Il formato dell'URL DELL'API deve essere: https://your-meshstack-instance.io. Creare una chiave API in meshStack (Amministrazione panel > Controllo di accesso > chiavi API) con l'autorizzazione "Amministrazione: Elenca log eventi in qualsiasi area di lavoro". La chiave API fornisce un ID chiave (client_id) e un segreto di chiave (client_secret) per l'autenticazione OAuth2.

URL API di meshStack: (https://your-meshstack-instance.io)

ID Client (ID Chiave): (Inserisci ID della chiave API)

Client Secret (Key Secret): (Inserisci Key Secret dalla API Key)

Abilitare/disabilitare la connessione

Microsoft 365 (in precedenza, Office 365)

Supportato da:Microsoft Corporation

Il connettore del log attività di Microsoft 365 (in precedenza Office 365) fornisce informazioni dettagliate sulle attività degli utenti in corso. Verranno visualizzati i dettagli delle operazioni, ad esempio download di file, richieste di accesso inviate, modifiche agli eventi di gruppo, set-mailbox e dettagli dell'utente che ha eseguito le azioni. Connettendo i log di Microsoft 365 a Microsoft Sentinel è possibile usare questi dati per visualizzare i dashboard, creare avvisi personalizzati e migliorare il processo di indagine. Per altre informazioni, vedere la documentazione Microsoft Sentinel.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

OfficeActivity Sì Sì

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

Gestione dei rischi Insider di Microsoft 365

Supportato da:Microsoft Corporation

Microsoft 365 Insider Risk Management è una soluzione di conformità in Microsoft 365 che consente di ridurre al minimo i rischi interni consentendo di rilevare, analizzare e agire su attività dannose e involontarie nell'organizzazione. Gli analisti del rischio dell'organizzazione possono intraprendere rapidamente le azioni appropriate per assicurarsi che gli utenti siano conformi agli standard di conformità dell'organizzazione.

I criteri di rischio Insider consentono di:

definire i tipi di rischi che si desidera identificare e rilevare nell'organizzazione.

decidere quali azioni intraprendere in risposta, incluso l'escalation dei casi a Microsoft Advanced eDiscovery, se necessario.

Questa soluzione genera avvisi che possono essere visualizzati dai clienti di Office nella soluzione Gestione dei rischi Insider nel Centro conformità Microsoft 365. Altre informazioni sulla gestione dei rischi Insider.

Questi avvisi possono essere importati in Microsoft Sentinel con questo connettore, consentendo di visualizzare, analizzare e rispondere a tali avvisi in un contesto di minaccia aziendale più ampio. Per altre informazioni, vedere la documentazione Microsoft Sentinel.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

SecurityAlert Sì Sì

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

Log eventi di sicurezza dei controller di dominio di Microsoft Active-Directory

Supportato da:Community

[Opzione 3 & 4] - Uso dell'agente di monitoraggio Azure: è possibile trasmettere una parte o tutti i log degli eventi di sicurezza dei controller di dominio dai computer Windows connessi all'area di lavoro Microsoft Sentinel usando l'agente Windows. Questa connessione consente di creare avvisi personalizzati e migliorare l'analisi.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

SecurityEvent Sì Sì

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

Prerequisiti:

Log Analytics di Azure verrà deprecato per raccogliere dati da macchine virtuali non Azure, è consigliabile Azure Arc. Altre informazioni

Documentazione dettagliata:>NOTA: Documentazione dettagliata sulla procedura di installazione e sull'utilizzo è disponibile qui

Istruzioni per l'installazione:

NOTA: Questa soluzione si basa sulle opzioni. In questo modo è possibile scegliere quali dati verranno inseriti perché alcune opzioni possono generare un volume di dati molto elevato. A seconda di ciò che si vuole raccogliere, tenere traccia delle funzionalità Cartelle di lavoro, Regole di analisi e Ricerca che si sceglieranno le opzioni che si distribuiranno. Ogni opzione è indipendente per una dall'altra. Per altre informazioni su ogni opzione: wiki "Microsoft Exchange Security"

Questo connettore dati è l'opzione 3 e 4 del wiki.

1. Scarica e installa gli agenti necessari per raccogliere i log per Microsoft Sentinel:

Il tipo di server (Exchange Server, Controller di dominio collegati a Exchange Server o a tutti i controller di dominio) dipende dall'opzione che si vuole distribuire.

Dispiegare gli agenti monitor:

Questo passaggio è necessario solo se è la prima volta che si esegue l'onboarding di Exchange Server/Controller di dominio Distribuire l'agente Azure Arc Altre informazioni

Log di sicurezza dei Domain Controller:

Selezionare come trasmettere i log di sicurezza dei controller di dominio. Se si vuole implementare l'opzione 3, è sufficiente selezionare DC nello stesso sito di Exchange Servers. Se si vuole implementare l'opzione 4, è possibile selezionare tutti i controller di dominio della foresta.

[Opzione 3] Elenca solo i Domain Controller sullo stesso sito degli Exchange Server per il prossimo passo:

In questo modo viene limitata la quantità di dati inclusi, ma non è possibile rilevare alcuni eventi imprevisti.

[Opzione 4] Elenca tutti i Domain Controller della tua Active-Directory Forest per il prossimo passo:

Ciò consente di raccogliere tutti gli eventi di sicurezza

Raccolta dei registri degli eventi di sicurezza:

Regole di raccolta dati - Log degli eventi di sicurezza:

Abilitare la regola di raccolta dati per i log di sicurezza I log degli eventi di sicurezza vengono raccolti solo dagli agenti Windows .

Aggiungere i controller di dominio selezionati nella scheda Risorse .

Selezionare Livello di log di sicurezza

Il livello comune è il livello minimo richiesto. Selezionare 'Common' o 'All Security Events' (Tutti gli eventi di sicurezza) nella definizione DCR.

Installare l'agente: <variable value provided at install time>

identità dell'agente Microsoft

Supportato da:Microsoft

Il connettore identità agente Microsoft offre una visualizzazione centrale delle identità di progetto agente e agente. Inserisce e tiene traccia delle identità degli agenti e dei dati degli asset che consentono di comprendere la proprietà, analizzare le relazioni e correlare gli asset di identità con i segnali di attività e rischio. Ciò comporta indagini arricchite, governance migliorata, valutazione dei rischi e comportamento di sicurezza tramite grafici.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

Supporto delle regole di raccolta dati: Attualmente non supportato

Istruzioni per l'installazione:

Microsoft Copilot

Supportato da:Microsoft

Il connettore dei log di Microsoft Copilot in Microsoft Sentinel consente l'inserimento senza problemi dei log attività generati da Copilot da M365 Copilot e Security Copilot in Microsoft Sentinel per il rilevamento avanzato delle minacce, l'analisi e la risposta. Raccoglie i dati di telemetria dai servizi di Microsoft Copilot, ad esempio dati di utilizzo e risposte di sistema, e inserisce in Microsoft Sentinel, consentendo ai team di sicurezza di monitorare l'uso improprio, rilevare anomalie e mantenere la conformità con i criteri dell'organizzazione.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

CopilotActivity No Sì

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Permessi per gli inquilini: 'Amministratore della Sicurezza' o 'Amministratore Globale' sul tenant dello spazio di lavoro.

Istruzioni per l'installazione:

Collega i log di audit di Microsoft Copilot a Microsoft Sentinel:

Questo connettore usa l'API di gestione di Office per ottenere i log di controllo Microsoft Copilot. I log verranno archiviati ed elaborati nell'area di lavoro Microsoft Sentinel esistente. I dati sono disponibili nella tabella CopilotActivity .

Abilitare/disabilitare la connessione

Microsoft Dataverse

Supportato da:Microsoft Corporation

Microsoft Dataverse è una piattaforma dati scalabile e sicura che consente alle organizzazioni di archiviare e gestire i dati usati dalle applicazioni aziendali. Il connettore dati di Microsoft Dataverse consente di inserire i log attività di Dataverse e Dynamics 365 CRM dal Microsoft Purview Audit accedere alle Microsoft Sentinel.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

DataverseActivity Sì Sì

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

Prerequisiti:

Permessi per gli inquilini: 'Amministratore della Sicurezza' o 'Amministratore Globale' sul tenant dello spazio di lavoro.

Micorosft Purview Audit: Microsoft Purview Audit (Standard o Premium) deve essere attivato.

Dataverse di produzione: Il logging delle attività è disponibile solo per ambienti di produzione. Altri tipi, ad esempio sandbox, non supportano la registrazione delle attività.

Impostazioni di audit Dataverse: Le impostazioni di audit devono essere configurate sia globalmente che a livello di entità/tabella. Per altre informazioni, vedere Impostazioni di controllo dataverse.

Istruzioni per l'installazione:

Collega i log di audit di Microsoft Dataverse a Microsoft Sentinel:

Questo connettore usa l'API di gestione di Office per ottenere i log di controllo di Dataverse. I log verranno archiviati ed elaborati nell'area di lavoro Microsoft Sentinel esistente. È possibile trovare i dati nella tabella DataverseActivity .

Abilitare/disabilitare la connessione

Microsoft Defender for Cloud Apps

Supportato da:Microsoft Corporation

Connettendosi con Microsoft Defender for Cloud Apps si otterrà visibilità nelle app cloud, si ottengono analisi sofisticate per identificare e combattere le minacce informatiche e controllare il modo in cui i dati viaggiano.

Identificare le app cloud IT shadow nella rete.

Controllare e limitare l'accesso in base alle condizioni e al contesto di sessione.

Usare criteri predefiniti o personalizzati per la condivisione dei dati e la prevenzione della perdita dei dati.

Identificare l'uso ad alto rischio e ottenere avvisi per attività utente insolite con funzionalità di analisi del comportamento e rilevamento anomalie di Microsoft, tra cui attività ransomware, viaggi impossibili, regole di inoltro e-mail sospette e download di massa di file.

Download in massa di file

Distribuisci ora >

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

SecurityAlert No No

McasShadowItReporting No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Microsoft Defender per endpoint

Supportato da:Microsoft Corporation

Microsoft Defender per endpoint è una piattaforma di sicurezza progettata per prevenire, rilevare, analizzare e rispondere alle minacce avanzate. La piattaforma crea avvisi quando vengono visualizzati eventi di sicurezza sospetti in un'organizzazione. Recuperare gli avvisi generati in Microsoft Defender per endpoint per Microsoft Sentinel in modo da poter analizzare in modo efficace gli eventi di sicurezza. È possibile creare regole, creare dashboard e creare playbook per una risposta immediata. Per altre informazioni, vedere la documentazione >Microsoft Sentinel .

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

SecurityAlert Sì Sì

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

Microsoft Defender per identità

Supportato da:Microsoft Corporation

Connettere Microsoft Defender per identità per ottenere visibilità sugli eventi e l'analisi degli utenti. Microsoft Defender per identità identifica, rileva e consente di analizzare le minacce avanzate, le identità compromesse e le azioni insider dannose dirette all'organizzazione. Microsoft Defender per identità consente agli analisti e ai professionisti della sicurezza di SecOp di rilevare attacchi avanzati in ambienti ibridi per:

Monitorare gli utenti, il comportamento delle entità e le attività con l'analisi basata sull'apprendimento

Proteggere le identità utente e le credenziali archiviate in Active Directory

Identificare e analizzare le attività utente sospette e gli attacchi avanzati per tutta la kill chain

Fornire informazioni chiare sull'incidente in una sequenza temporale semplice per la valutazione veloce

Provare ora >

Distribuisci ora >

Per altre informazioni, vedere la documentazione >Microsoft Sentinel .

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

SecurityAlert Sì Sì

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

Microsoft Defender per IoT

Supportato da:Microsoft Corporation

Ottenere informazioni dettagliate sulla sicurezza IoT connettendo Microsoft Defender per gli avvisi IoT a Microsoft Sentinel. È possibile ottenere dati e metriche degli avvisi predefiniti, tra cui tendenze degli avvisi, avvisi principali e suddivisione degli avvisi in base alla gravità. È anche possibile ottenere informazioni sulle raccomandazioni fornite per gli hub IoT, incluse le raccomandazioni principali e le raccomandazioni in base alla gravità. Per altre informazioni, vedere la documentazione Microsoft Sentinel.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

SecurityAlert Sì Sì

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

Microsoft Defender per Office 365 (anteprima)

Supportato da:Microsoft Corporation

Microsoft Defender per Office 365 protegge l'organizzazione da minacce dannose poste da messaggi di posta elettronica, collegamenti (URL) e strumenti di collaborazione. Inserendo Microsoft Defender per gli avvisi Office 365 in Microsoft Sentinel, è possibile incorporare informazioni sulle minacce basate su posta elettronica e URL nell'analisi dei rischi più ampia e creare di conseguenza scenari di risposta.

Verranno importati i tipi di avvisi seguenti:

È stato rilevato un clic url potenzialmente dannoso

Messaggi di posta elettronica contenenti malware rimossi dopo il recapito

Dei messaggi di posta elettronica contenenti URL di phishing sono stati rimossi dopo il recapito

Email segnalata dagli utenti come malware o phishing

Sono stati rilevati modelli di invio di messaggi di posta elettronica sospetti

Utente a cui è stato impedito l'invio di messaggi di posta elettronica

Questi avvisi possono essere visualizzati dai clienti di Office nel ** Centro sicurezza e conformità di Office**.

Per altre informazioni, vedere la documentazione Microsoft Sentinel.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

SecurityAlert Sì Sì

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

Microsoft Defender Threat Intelligence

Supportato da:Microsoft Corporation

Microsoft Sentinel offre la possibilità di importare informazioni sulle minacce generate da Microsoft per abilitare il monitoraggio, gli avvisi e la ricerca. Usare questo connettore dati per importare gli indicatori di compromissione (IOC) da Microsoft Defender Threat Intelligence (MDTI) in Microsoft Sentinel. Gli indicatori di minaccia possono includere indirizzi IP, domini, URL e hash di file e così via.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

ThreatIntelligenceIndicator Sì No

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

Microsoft Defender XDR

Supportato da:Microsoft Corporation

Microsoft Defender XDR è una suite di difesa aziendale unificata, integrata in modo nativo, pre e post-violazione che protegge endpoint, identità, posta elettronica e applicazioni e consente di rilevare, prevenire, analizzare e rispondere automaticamente a minacce sofisticate.

Microsoft Defender XDR suite include:

Microsoft Defender per endpoint

Microsoft Defender per identità

Microsoft Defender per Office 365

Gestione delle vulnerabilità & delle minacce

Microsoft Defender for Cloud Apps per la sicurezza delle app cloud

Per altre informazioni, vedere la documentazione Microsoft Sentinel.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

SecurityIncident Sì Sì

SecurityAlert Sì Sì

DeviceEvents Sì Sì

EmailEvents Sì Sì

IdentityLogonEvents Sì Sì

CloudAppEvents Sì Sì

AlertEvidence Sì Sì

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

Microsoft Entra ID

Supportato da:Microsoft Corporation

Per ottenere informazioni dettagliate sulle Microsoft Entra ID, connettere i log di controllo e di accesso a Microsoft Sentinel per raccogliere informazioni dettagliate sugli scenari di Microsoft Entra ID. È possibile ottenere informazioni sull'utilizzo delle app, i criteri di accesso condizionale e i dettagli relativi all'autenticazione legacy usando i log di accesso. È possibile ottenere informazioni sull'utilizzo della reimpostazione della password self-service, Microsoft Entra ID attività di gestione come utente, gruppo, ruolo, gestione delle app tramite la tabella Log di controllo. Per altre informazioni, vedere la documentazione Microsoft Sentinel.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

SigninLogs Sì Sì

AuditLogs Sì Sì

AADNonInteractiveUserSignInLogs Sì Sì

AADServicePrincipalSignInLogs Sì Sì

AADManagedIdentitySignInLogs Sì Sì

AADProvisioningLogs Sì Sì

ADFSSignInLogs Sì Sì

AADUserRiskEvents Sì Sì

AADRiskyUsers Sì Sì

NetworkAccessTraffic Sì Sì

AADRiskyServicePrincipals Sì Sì

AADServicePrincipalRiskEvents Sì Sì

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

asset Microsoft Entra ID

Supportato da:Microsoft Corporation

Entra connettore dati degli asset ID offre informazioni più dettagliate sui dati delle attività integrando i dettagli con le informazioni sugli asset. I dati di questo connettore vengono usati per compilare grafici di rischio dati in Purview. Se questi grafici sono stati abilitati, la disattivazione di questo connettore impedirà la compilazione dei grafici. Informazioni sul grafico dei rischi per i dati.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

Supporto delle regole di raccolta dati: Attualmente non supportato

Istruzioni per l'installazione:

Protezione Microsoft Entra ID

Supportato da:Microsoft Corporation

Microsoft Entra ID Protection offre una visualizzazione consolidata degli utenti a rischio, degli eventi di rischio e delle vulnerabilità, con la possibilità di correggere immediatamente i rischi e di impostare criteri per correggere automaticamente gli eventi futuri. Il servizio si basa sull'esperienza di Microsoft che protegge le identità degli utenti e ottiene un'enorme precisione dal segnale da oltre 13 miliardi di accessi al giorno. Integrare gli avvisi di Microsoft Microsoft Entra ID Protection con Microsoft Sentinel per visualizzare i dashboard, creare avvisi personalizzati e migliorare l'analisi. Per altre informazioni, vedere la documentazione di Microsoft Sentinel .

Ottenere Microsoft Entra ID Premium P1/P2

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

SecurityAlert Sì Sì

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

Log di controllo di Microsoft Exchange Amministrazione dai log eventi

Supportato da:Community

[Opzione 1] - Uso dell'agente di monitoraggio Azure: è possibile trasmettere tutti gli eventi di Controllo di Exchange dai computer Windows connessi all'area di lavoro Microsoft Sentinel usando l'agente Windows. Questa connessione consente di visualizzare i dashboard, creare avvisi personalizzati e migliorare l'analisi. Viene usato dalle cartelle di lavoro di sicurezza di Microsoft Exchange per fornire informazioni dettagliate sulla sicurezza dell'ambiente Exchange locale

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

Event Sì No

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

Prerequisiti:

Log Analytics di Azure verrà deprecato per raccogliere dati da macchine virtuali non Azure, è consigliabile Azure Arc. Altre informazioni

Documentazione dettagliata:>NOTA: Documentazione dettagliata sulla procedura di installazione e sull'utilizzo è disponibile qui

Istruzioni per l'installazione:

NOTA: Questa soluzione si basa sulle opzioni. In questo modo è possibile scegliere quali dati verranno inseriti perché alcune opzioni possono generare un volume di dati molto elevato. A seconda di ciò che si vuole raccogliere, tenere traccia delle funzionalità Cartelle di lavoro, Regole di analisi e Ricerca che si sceglieranno le opzioni che si distribuiranno. Ogni opzione è indipendente per una dall'altra. Per altre informazioni su ogni opzione: wiki "Microsoft Exchange Security"

Questo connettore dati è l'opzione 1 del wiki.

1. Scarica e installa gli agenti necessari per raccogliere i log per Microsoft Sentinel:

Il tipo di server (Exchange Server, Controller di dominio collegati a Exchange Server o a tutti i controller di dominio) dipende dall'opzione che si vuole distribuire.

Dispiegare gli agenti monitor:

Questo passaggio è necessario solo se è la prima volta che si esegue l'onboarding di Exchange Server/Controller di dominio Distribuire l'agente Azure Arc Altre informazioni

2. [Opzione 1] Raccolta log di gestione MS Exchange - Log degli eventi di audit amministrativo MS Exchange secondo le regole di raccolta dati:

I log eventi di MS Exchange Amministrazione Audit vengono raccolti usando le regole di raccolta dati (DCR) e consentono di archiviare tutti i cmdlet amministrativi eseguiti in un ambiente Exchange.

DCR:

Distribuzione delle regole di raccolta dati:

Abilitare la regola di raccolta dati Microsoft Exchange Amministrazione i log degli eventi di controllo vengono raccolti solo dagli agenti Windows.

Opzione 1 - Azure Resource Manager (ARM) Template (Preferibile):

Usare questo metodo per la distribuzione automatica del DCR.

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms

Selezionare la sottoscrizione, il gruppo di risorse e la località preferiti.

Immettere il nome dell'area di lavoro 'e/o Altri campi obbligatori'.

Contrassegnare la casella di controllo con l'etichetta Accetto i termini e le condizioni indicati sopra.

Fare clic su Acquista per distribuire.

Opzione 2 - Distribuzione manuale di Automazione di Azure:

Usare le istruzioni dettagliate seguenti per distribuire manualmente una regola di raccolta dati.

R. Creare DCR, Digitare il registro eventi:

Nel portale di Azure passare a Azure Regole di raccolta dati.

Fare clic su + Crea nella parte superiore.

Nella scheda Informazioni di base compilare i campi necessari, Selezionare Windows come tipo di piattaforma e assegnare un nome al registro azure container.

Nella scheda Risorse immettere Exchange Server.

In "Raccogliere e recapitare" aggiungere un tipo di origine dati "Registri eventi di Windows" e selezionare l'opzione "Personalizzato", immettere "Gestione MSExchange" come espressione e aggiungerla.

"Apportare altre modifiche di configurazione preferibili", se necessario, quindi fare clic su Crea.

Assegna il DCR a tutti i server Exchange:

Aggiungere tutti i server Exchange al Registro Azure Container

NOTA: Questo connettore dati dipende da un parser basato su una funzione Kusto per funzionare come previsto. I parser vengono distribuiti automaticamente con la soluzione. Seguire la procedura per creare l'alias delle funzioni Kusto : ExchangeAdminAuditLogs

I parser vengono distribuiti automaticamente durante la distribuzione della soluzione. Se vuoi implementare manualmente, segui i passaggi seguenti:

Distribuzione manuale del parser:

1. Scarica il file Parser:

La versione più recente del file ExchangeAdminAuditLogs

2. Crea funzione Parser ExchangeAdminAuditLogs :

In 'Logs' Explorer of your Microsoft Sentinel's log analytics (Log Analytics) copiare il contenuto del file in Esplora log

3. Funzione di salvataggio Parser ExchangeAdminAuditLogs :

Fare clic sul pulsante Salva. Non è necessario alcun parametro per questo parser. Fare di nuovo clic su Salva.

Log proxy HTTP di Microsoft Exchange

Supportato da:Community

[Opzione 7] - Usando Azure'agente di monitoraggio: è possibile trasmettere i log del proxy HTTP e i log degli eventi di sicurezza dai computer Windows connessi all'area di lavoro Microsoft Sentinel usando l'agente Di Windows. Questa connessione consente di creare avvisi personalizzati e di migliorare l'analisi. Altre informazioni

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

ExchangeHttpProxy_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Log Analytics di Azure sarà deprecato: Log Analytics di Azure sarà disattivato, per raccogliere dati da VM non Azure, è consigliato Azure Arc. Altre informazioni

Documentazione dettagliata:>NOTA: Documentazione dettagliata sulla procedura di installazione e sull'utilizzo è disponibile qui

Istruzioni per l'installazione:

NOTA: Questa soluzione si basa sulle opzioni. In questo modo è possibile scegliere quali dati verranno inseriti perché alcune opzioni possono generare un volume di dati molto elevato. A seconda di ciò che si vuole raccogliere, tenere traccia delle funzionalità Cartelle di lavoro, Regole di analisi e Ricerca che si sceglieranno le opzioni che si distribuiranno. Ogni opzione è indipendente per una dall'altra. Per altre informazioni su ogni opzione: wiki "Microsoft Exchange Security"

Questo connettore dati è l'opzione 7 del wiki.

1. Scarica e installa gli agenti necessari per raccogliere i log per Microsoft Sentinel:

Il tipo di server (Exchange Server, Controller di dominio collegati a Exchange Server o a tutti i controller di dominio) dipende dall'opzione che si vuole distribuire.

Dispiegare gli agenti monitor:

Questo passaggio è necessario solo se è la prima volta che si esegue l'onboarding di Exchange Server/Controller di dominio Distribuire l'agente Azure Arc Altre informazioni

2. [Opzione 7] Proxy HTTP dei server Exchange:

Selezionare come trasmettere il proxy HTTP dei server Exchange

Regole di raccolta dati - Quando viene utilizzato Monitoraggio di Azure Agent:

Abilitare la regola di raccolta dati Il rilevamento messaggi viene raccolto solo dagli agenti Windows .

Opzione 1 - Template Azure Resource Manager (ARM) (Metodo Preferito):

Usare questo metodo per la distribuzione automatica di DCE e DCR.

R. Crea DCE (se non è già creato per server Exchange):

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms

Selezionare la sottoscrizione, il gruppo di risorse e la località preferiti.

È possibile modificare il nome proposto del controller di dominio.

Fare clic su Crea per distribuire.

B. Regola di Deploy Data Connection:

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms

Selezionare la sottoscrizione, il gruppo di risorse e la località preferiti.

Immettere l'ID area di lavoro 'e/o Altri campi obbligatori'.

Contrassegnare la casella di controllo con l'etichetta Accetto i termini e le condizioni indicati sopra.

Fare clic su Acquista per distribuire.

Opzione 2 - Distribuzione manuale di Automazione di Azure:

Usare le istruzioni dettagliate seguenti per distribuire manualmente una regola di raccolta dati.

Crea una tabella personalizzata - Spiegazione:

Non è possibile creare la tabella personalizzata usando il portale di Azure. È necessario usare un modello di Resource Manager, uno script di PowerShell o un altro metodo descritto qui.

Crea una tabella personalizzata utilizzando un template ARM:

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms

Selezionare la sottoscrizione, il gruppo di risorse, il percorso e il nome dell'area di lavoro analitica preferiti.

Fare clic su Crea per distribuire.

Crea una tabella personalizzata usando PowerShell in Cloud Shell:

Dal portale di Azure aprire un Cloud Shell.

Copiare ed incollare ed eseguire lo script seguente nel Cloud Shell per creare la tabella. $tableParams = @' { "properties": { "schema": { "name": "ExchangeHttpProxy_CL", "columns": [ { "name": "AccountForestLatencyBreakup", "type": "string" }, { "name": "ActivityContextLifeTime", "type": "string" }, { "name": "ADLatency", "type": "string" }, { "name": "AnchorMailbox", "type": "string" }, { "name": "AuthenticatedUser", "type": "string" }, { "name": "AuthenticationType", "type": "string" }, { "name": "AuthModulePerfContext", "type": "string" }, { "name": "BackEndCookie", "type": "string" }, { "name": "BackEndGenericInfo", "type": "string" }, { "name": "BackendProcessingLatency", "type": "string" }, { "name": "BackendReqInitLatency", "type": "string" }, { "name": "BackendReqStreamLatency", "type": "string" }, { "name": "BackendRespInitLatency", "type": "string" }, { "name": "BackendRespStreamLatency", "type": "string" }, { "name": "BackEndStatus", "type": "string" }, { "name": "BuildVersion", "type": "string" }, { "name": "CalculateTargetBackEndLatency", "type": "string" }, { "name": "ClientIpAddress", "type": "string" }, { "name": "ClientReqStreamLatency", "type": "string" }, { "name": "ClientRequestId", "type": "string" }, { "name": "ClientRespStreamLatency", "type": "string" }, { "name": "CoreLatency", "type": "string" }, { "name": "DatabaseGuid", "type": "string" }, { "name": "EdgeTraceId", "type": "string" }, { "name": "ErrorCode", "type": "string" }, { "name": "GenericErrors", "type": "string" }, { "name": "GenericInfo", "type": "string" }, { "name": "GlsLatencyBreakup", "type": "string" }, { "name": "HandlerCompletionLatency", "type": "string" }, { "name": "HandlerToModuleSwitchingLatency", "type": "string" }, { "name": "HttpPipelineLatency", "type": "string" }, { "name": "HttpProxyOverhead", "type": "string" }, { "name": "HttpStatus", "type": "string" }, { "name": "IsAuthenticated", "type": "string" }, { "name": "KerberosAuthHeaderLatency", "type": "string" }, { "name": "majorVersion", "type": "string" }, { "name": "Method", "type": "string" }, { "name": "MinorVersion", "type": "string" }, { "name": "ModuleToHandlerSwitchingLatency", "type": "string" }, { "name": "Organization", "type": "string" }, { "name": "PartitionEndpointLookupLatency", "type": "string" }, { "name": "Protocol", "type": "string" }, { "name": "ProtocolAction", "type": "string" }, { "name": "ProxyAction", "type": "string" }, { "name": "ProxyTime", "type": "string" }, { "name": "RequestBytes", "type": "string" }, { "name": "RequestHandlerLatency", "type": "string" }, { "name": "RequestId", "type": "string" }, { "name": "ResourceForestLatencyBreakup", "type": "string" }, { "name": "ResponseBytes", "type": "string" }, { "name": "RevisionVersion", "type": "string" }, { "name": "RouteRefresherLatency", "type": "string" }, { "name": "RoutingHint", "type": "string" }, { "name": "RoutingLatency", "type": "string" }, { "name": "RoutingStatus", "type": "string" }, { "name": "RoutingType", "type": "string" }, { "name": "ServerHostName", "type": "string" }, { "name": "ServerLocatorHost", "type": "string" }, { "name": "ServerLocatorLatency", "type": "string" }, { "name": "SharedCacheLatencyBreakup", "type": "string" }, { "name": "TargetOutstandingRequests", "type": "string" }, { "name": "TargetServer", "type": "string" }, { "name": "TargetServerVersion", "type": "string" }, { "name": "TotalAccountForestLatency", "type": "string" }, { "name": "TotalGlsLatency", "type": "string" }, { "name": "TotalRequestTime", "type": "string" }, { "name": "TotalResourceForestLatency", "type": "string" }, { "name": "TotalSharedCacheLatency", "type": "string" }, { "name": "UrlHost", "type": "string" }, { "name": "UrlQuery", "type": "string" }, { "name": "UrlStem", "type": "string" }, { "name": "UserADObjectGuid", "type": "string" }, { "name": "UserAgent", "type": "string" }, { "name": "TimeGenerated", "type": "datetime" }, { "name": "FilePath", "type": "string" } ] } } } } ' @

Copiare, sostituire, incollare ed eseguire i parametri seguenti con valori personalizzati: $SubscriptionID = 'YourGUID' $ResourceGroupName = 'YourResourceGroupName' $WorkspaceName = 'YourWorkspaceName'

Eseguire il cmdlet seguente per creare la tabella: Invoke-AzRestMethod -Path "/subscriptions/$SubscriptionID/resourcegroups/$ResourceGroupName/providers/microsoft.operationalinsights/workspaces/$WorkspaceName/tables/ExchangeHttpProxy_CL?api-version=2021-12-01-preview" -Method PUT -payload $tableParams

R. Crea DCE (se non è già creato per server Exchange):

Dal portale di Azure passare a Azure Endpoint raccolta dati.

Fare clic su + Crea nella parte superiore.

Nella scheda Informazioni di base compilare i campi obbligatori e assegnare un nome al controller di dominio.

"Apportare altre modifiche di configurazione preferibili", se necessario, quindi fare clic su Crea.

B. Crea un DCR, Digita un registro personalizzato:

Nel portale di Azure passare a Azure Regole di raccolta dati.

Fare clic sul pulsante "Crea".

Nella scheda 'Informazioni di base' compilare il nome della regola, ad esempio DCR-Option7-HTTPProxyLogs, selezionare "Endpoint raccolta dati" con l'endpoint creato in precedenza e riempire altri parametri.

Nella scheda Risorse aggiungere i server Exchange.

In Raccolta e recapito aggiungere un tipo di origine dati 'Log di testo personalizzati' e immettere il modello di file seguente: 'C:\Program Files\Microsoft\Exchange Server\V15\Logging\HttpProxy\Autodiscover*.log','C:\Program Files\Microsoft\Exchange Server\V15\Logging\HttpProxy\Eas*.log','C:\Program Files\ Microsoft\Exchange Server\V15\Logging\HttpProxy\Ecp*.log','C:\Program Files\Microsoft\Exchange Server\V15\Logging\HttpProxy\.log','C:\Program Files\Microsoft\Exchange Server\V15\Logging\HttpProxy\Mapi*.log','C:\Program Files\ Microsoft\Exchange Server\V15\Logging\HttpProxy\Oab*.log','C:\Program Files\Microsoft\Exchange Server\V15\Logging\HttpProxy\Owa*.log','C:\Program Files\Microsoft\Exchange Server\V15\Logging\HttpProxy\OwaCalendar*.log','C:\Program Files\Microsoft\Exchange Server\V15\Logging\HttpProxy\PowerShell*.log','C:\Program Files\Microsoft\Exchange Server\V15\Logging\HttpProxy\RpcHttp*.log'

Inserire 'ExchangeHttpProxy_CL' in Nome tabella.

nel campo Trasforma immettere la richiesta KQL seguente: source | extend d = split(RawData,',') | extend DateTime=todatetime(d[0]),RequestId=tostring(d[1]) ,MajorVersion=tostring(d[2]) ,MinorVersion=tostring(d[3]) ,BuildVersion=tostring(d[4]) ,RevisionVersion=tostring(d[5]) ,ClientRequestId=tostring(d[6]) ,Protocol=tostring(d[7]) ,UrlHost=tostring(d[8]) ,UrlStem=tostring(d[9]) ,ProtocolAction=tostring(d[10]) ,AuthenticationType=tostring(d[11]) ,IsAuthenticated=tostring(d[12]) ,AuthenticatedUser=tostring(d[13]) , Organization=tostring(d[14]) ,AnchorMailbox=tostring(d[15]) ,UserAgent=tostring(d[16]) ,ClientIpAddress=tostring(d[17]) ,ServerHostName=tostring(d[18]) ,HttpStatus=tostring(d[19]) ,BackEndStatus=tostring(d[20]) , ErrorCode=tostring(d[21]) ,Method=tostring(d[22]) ,ProxyAction=tostring(d[23]) ,TargetServer=tostring(d[24]) ,TargetServerVersion=tostring(d[25]) ,RoutingType=tostring(d[26]) ,RoutingHint=tostring(d[27]) , BackEndCookie=tostring(d[28]) ,ServerLocatorHost=tostring(d[29]) ,ServerLocatorLatency=tostring(d[30]) ,RequestBytes=tostring(d[31]) ,ResponseBytes=tostring(d[32]) ,TargetOutstandingRequests=tostring(d[33]) ,AuthModulePerfContext=tostring(d[34]) ,HttpPipelineLatency=tostring(d[35]) ,CalculateTargetBackEndLatency=tostring(d[36]) ,GlsLatencyBreakup=tostring(d[37]) ,TotalGlsLatency=tostring(d[38]) ,AccountForestLatencyBreakup=tostring(d[39]) , TotalAccountForestLatency=tostring(d[40]) ,ResourceForestLatencyBreakup=tostring(d[41]) ,TotalResourceForestLatency=tostring(d[42]) ,ADLatency=tostring(d[43]) ,SharedCacheLatencyBreakup=tostring(d[44]) ,TotalSharedCacheLatency=tostring(d)[45]) ,ActivityContextLifeTime=tostring(d[46]) ,ModuleToHandlerSwitchingLatency=tostring(d[47]) ,ClientReqStreamLatency=tostring(d[48]) ,BackendReqInitLatency=tostring(d[49]) ,BackendReqStreamLatency=tostring(d[50]) , BackendProcessingLatency=tostring(d[51]) ,BackendRespInitLatency=tostring(d[52]) ,BackendRespStreamLatency=tostring(d[53]) ,ClientRespStreamLatency=tostring(d[54]) ,KerberosAuthHeaderLatency=tostring(d[55]) ,HandlerCompletionLatency=tostring(d[56]) ,RequestHandlerLatency=tostring(d[57]) ,HandlerToModuleSwitchingLatency=tostring(d[58]) ,ProxyTime=tostring(d[59]) ,CoreLatency=tostring(d[60]) ,RoutingLatency=tostring(d[61]) ,HttpProxyOverhead=tostring(d[62]) , TotalRequestTime=tostring(d[63]) ,RouteRefresherLatency=tostring(d[64]) ,UrlQuery=tostring(d[65]) ,BackEndGenericInfo=tostring(d[66]) ,GenericInfo=tostring(d[67]) ,GenericErrors=tostring(d [68]) ,EdgeTraceId=tostring(d[69]) ,DatabaseGuid=tostring(d[70]) ,UserADObjectGuid=tostring(d[71]) ,PartitionEndpointLookupLatency=tostring(d[72]) ,RoutingStatus=tostring(d[73]) | extend TimeGenerated = DateTime | project-away d,RawData,DateTime | project-away d,RawData,DateTime e fare clic su 'Destination'.

In "Destinazione" aggiungere una destinazione e selezionare l'area di lavoro in cui è stata creata in precedenza la tabella personalizzata

Fare clic su "Aggiungi origine dati".

Compilare altri parametri e tag necessari e creare il DCR

Assegna il DCR a tutti i server Exchange:

Aggiungere tutti i server Exchange al Registro Azure Container

Log ed eventi di Microsoft Exchange

Supportato da:Community

[Opzione 2] - Uso dell'agente di monitoraggio Azure: è possibile trasmettere tutti i log degli eventi dell'applicazione & sicurezza di Exchange dai computer Windows connessi all'area di lavoro Microsoft Sentinel usando l'agente Windows. Questa connessione consente di creare avvisi personalizzati e migliorare l'analisi.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

Event Sì No

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

Prerequisiti:

Log Analytics di Azure sarà deprecato: Log Analytics di Azure sarà disattivato, per raccogliere dati da VM non Azure, è consigliato Azure Arc. Altre informazioni

Documentazione dettagliata:>NOTA: Documentazione dettagliata sulla procedura di installazione e sull'utilizzo è disponibile qui

Istruzioni per l'installazione:

NOTA: Questa soluzione si basa sulle opzioni. In questo modo è possibile scegliere quali dati verranno inseriti perché alcune opzioni possono generare un volume di dati molto elevato. A seconda di ciò che si vuole raccogliere, tenere traccia delle funzionalità Cartelle di lavoro, Regole di analisi e Ricerca che si sceglieranno le opzioni che si distribuiranno. Ogni opzione è indipendente per una dall'altra. Per altre informazioni su ogni opzione: wiki "Microsoft Exchange Security"

Questo connettore dati è l'opzione 2 del wiki.

1. Scarica e installa gli agenti necessari per raccogliere i log per Microsoft Sentinel:

Il tipo di server (Exchange Server, Controller di dominio collegati a Exchange Server o a tutti i controller di dominio) dipende dall'opzione che si vuole distribuire.

Dispiegare gli agenti monitor:

Questo passaggio è necessario solo se è la prima volta che si esegue l'onboarding di Exchange Server/Controller di dominio Distribuire l'agente Azure Arc Altre informazioni

2. [Opzione 2] Logs di Sicurezza/Applicazioni/Sistema dei server Exchange:

I log di sicurezza/applicazione/sistema di Exchange Server vengono raccolti usando le regole di raccolta dati (DCR).

Raccolta dei registri degli eventi di sicurezza:

Regole di raccolta dati - Log degli eventi di sicurezza:

Abilitare la regola di raccolta dati per i log di sicurezza I log degli eventi di sicurezza vengono raccolti solo dagli agenti Windows .

Aggiungere Exchange Server nella scheda Risorse .

Selezionare Livello di log di sicurezza

Il livello comune è il livello minimo richiesto. Selezionare 'Common' o 'All Security Events' (Tutti gli eventi di sicurezza) nella definizione DCR.

Installare l'agente: <variable value provided at install time>

Raccolta di log di eventi di applicazione e sistema:

Abilita la regola di raccolta dati:

I log degli eventi di sistema e dell'applicazione vengono raccolti solo dagli agenti Windows .

Opzione 1 - Azure Resource Manager (ARM) Template (Metodo preferito):

Usare questo metodo per la distribuzione automatica del DCR.

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms

Selezionare la sottoscrizione, il gruppo di risorse e la località preferiti.

Immettere il nome dell'area di lavoro 'e/o Altri campi obbligatori'.

Contrassegnare la casella di controllo con l'etichetta Accetto i termini e le condizioni indicati sopra.

Fare clic su Acquista per distribuire.

Opzione 2 - Distribuzione manuale di Automazione di Azure:

Usare le istruzioni dettagliate seguenti per distribuire manualmente una regola di raccolta dati.

R. Creare DCR, Digitare il registro eventi:

Nel portale di Azure passare a Azure Regole di raccolta dati.

Fare clic su + Crea nella parte superiore.

Nella scheda Informazioni di base compilare i campi necessari, Selezionare Windows come tipo di piattaforma e assegnare un nome al registro azure container.

Nella scheda Risorse immettere Exchange Server.

In "Raccogliere e recapitare" aggiungere un tipo di origine dati "Registri eventi di Windows" e selezionare l'opzione "Basic".

Per Applicazione selezionare "Critico", "Errore" e "Avviso". Per Sistema selezionare Critico/Errore/Avviso/Informazioni.

"Apportare altre modifiche di configurazione preferibili", se necessario, quindi fare clic su Crea.

Assegna il DCR a tutti i server Exchange:

Aggiungere tutti i server Exchange al Registro Azure Container

Log di rilevamento messaggi di Microsoft Exchange

Supportato da:Community

[Opzione 6] - Usando Azure'agente di monitoraggio: è possibile trasmettere tutti i messaggi di Rilevamento messaggi di Exchange dai computer Windows connessi all'area di lavoro Microsoft Sentinel usando l'agente Windows. Questi log possono essere usati per tenere traccia del flusso di messaggi nell'ambiente Exchange. Questo connettore dati si basa sull'opzione 6 del wiki sulla sicurezza di Microsoft Exchange.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

MessageTrackingLog_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Log Analytics di Azure sarà deprecato: Log Analytics di Azure sarà disattivato, per raccogliere dati da VM non Azure, è consigliato Azure Arc. Altre informazioni

Documentazione dettagliata:>NOTA: Documentazione dettagliata sulla procedura di installazione e sull'utilizzo è disponibile qui

Istruzioni per l'installazione:

NOTA: Questa soluzione si basa sulle opzioni. In questo modo è possibile scegliere quali dati verranno inseriti perché alcune opzioni possono generare un volume di dati molto elevato. A seconda di ciò che si vuole raccogliere, tenere traccia delle funzionalità Cartelle di lavoro, Regole di analisi e Ricerca che si sceglieranno le opzioni che si distribuiranno. Ogni opzione è indipendente per una dall'altra. Per altre informazioni su ogni opzione: wiki "Microsoft Exchange Security"

Questo connettore dati è l'opzione 6 del wiki.

1. Scarica e installa gli agenti necessari per raccogliere i log per Microsoft Sentinel:

Il tipo di server (Exchange Server, Controller di dominio collegati a Exchange Server o a tutti i controller di dominio) dipende dall'opzione che si vuole distribuire.

Dispiegare gli agenti monitor:

Questo passaggio è necessario solo se è la prima volta che si esegue l'onboarding di Exchange Server/Controller di dominio Distribuire l'agente Azure Arc Altre informazioni

2. Tracciamento dei messaggi dei server Exchange:

Selezionare come trasmettere il rilevamento dei messaggi dei server Exchange

Regole di raccolta dati - Quando viene utilizzato Monitoraggio di Azure Agent:

Abilitare la regola di raccolta dati Il rilevamento messaggi viene raccolto solo dagli agenti Windows .

Opzione 1 - Azure Resource Manager (ARM) Template:

Usare questo metodo per la distribuzione automatica di DCE e DCR.

R. Crea DCE (se non è già creato per server Exchange):

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms

Selezionare la sottoscrizione, il gruppo di risorse e la località preferiti.

È possibile modificare il nome proposto del controller di dominio.

Fare clic su Crea per distribuire.

B. Deploy Data Connection Rule e Custom Table:

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms

Selezionare la sottoscrizione, il gruppo di risorse e la località preferiti.

Immettere l'ID area di lavoro 'e/o Altri campi obbligatori'.

Contrassegnare la casella di controllo con l'etichetta Accetto i termini e le condizioni indicati sopra.

Fare clic su Acquista per distribuire.

Opzione 2 - Distribuzione manuale di Automazione di Azure:

Usare le istruzioni dettagliate seguenti per distribuire manualmente una regola di raccolta dati.

Crea una tabella personalizzata - Spiegazione:

Non è possibile creare la tabella personalizzata usando il portale di Azure. È necessario usare un modello di Resource Manager, uno script di PowerShell o un altro metodo descritto qui.

Crea una tabella personalizzata utilizzando un template ARM:

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms

Selezionare la sottoscrizione, il gruppo di risorse, il percorso e il nome dell'area di lavoro analitica preferiti.

Fare clic su Crea per distribuire.

Crea una tabella personalizzata usando PowerShell in Cloud Shell:

Dal portale di Azure aprire un Cloud Shell.

Copiare ed incollare ed eseguire lo script seguente nel Cloud Shell per creare la tabella. $tableParams = @' { "properties": { "schema": { "name": "MessageTrackingLog_CL", "columns": [ { "name": "directionality", "type": "string" }, { "name": "reference", "type": "string" }, { "name": "source", "type": "string" }, { "name": "TimeGenerated", "type": "datetime" }, { "name": "clientHostname", "type": "string" }, { "name": "clientIP", "type": "string" }, { "name": "connectorId", "type": "string" }, { "name": "customData", "type": "string" }, { "name": "eventId", "type": "string" }, { "name": "internalMessageId", "type": "string" }, { "name": "logId", "type": "string" }, { "name": "messageId", "type": "string" }, { "name": "messageInfo", "type": "string" }, { "name": "messageSubject", "type": "string" }, { "name": "networkMessageId", "type": "string" }, { "name": "originalClientIp", "type": "string" }, { "name": "originalServerIp", "type": "string" }, { "name": "recipientAddress", "type": "string" }, { "name": "recipientCount", "type": "string" }, { "name": "recipientStatus", "type": "string" }, { "name": "relatedRecipientAddress", "type": "string" }, { "name": "returnPath", "type": "string" }, { "name": "senderAddress", "type": "string" }, { "name": "senderHostname", "type": "string" }, { "name": "serverIp", "type": "string" }, { "name": "sourceContext", "type": "string" }, { "name": "schemaVersion", "type": "string" }, { "name": "messageTrackingTenantId", "type": "string" }, { "name": "totalBytes", "type": "string" }, { "name": "transportTrafficType", "type": "string" }, { "name": "FilePath", "type": "string" } ] } } } } ' @

Copiare, sostituire, incollare ed eseguire i parametri seguenti con valori personalizzati: $SubscriptionID = 'YourGUID' $ResourceGroupName = 'YourResourceGroupName' $WorkspaceName = 'YourWorkspaceName'

Eseguire il cmdlet seguente per creare la tabella: Invoke-AzRestMethod -Path "/subscriptions/$SubscriptionID/resourcegroups/$ResourceGroupName/providers/microsoft.operationalinsights/workspaces/$WorkspaceName/tables/MessageTrackingLog_CL?api-version=2021-12-01-preview" -Method PUT -payload $tableParams

R. Crea DCE (se non è già creato per server Exchange):

Dal portale di Azure passare a Azure Endpoint raccolta dati.

Fare clic su + Crea nella parte superiore.

Nella scheda Informazioni di base compilare i campi obbligatori e assegnare un nome al controller di dominio, ad esempio ESI-ExchangeServers.

"Apportare altre modifiche di configurazione preferibili", se necessario, quindi fare clic su Crea.

B. Crea un DCR, Digita un registro personalizzato:

Nel portale di Azure passare a Azure Regole di raccolta dati.

Fare clic sul pulsante "Crea".

Nella scheda 'Informazioni di base' compilare il nome della regola, ad esempio DCR-Option6-MessageTrackingLogs, selezionare "Endpoint raccolta dati" con l'endpoint creato in precedenza e riempire altri parametri.

Nella scheda Risorse aggiungere i server Exchange.

In Raccolta e recapito aggiungere un tipo di origine dati 'Log di testo personalizzati' e immettere 'C:\Program Files\Microsoft\Exchange Server\V15\TransportRoles\Logs\MessageTracking*.log' nel modello di file, 'MessageTrackingLog_CL' in Nome tabella. 6.in campo Trasforma immettere la richiesta KQL seguente: source | extend d = split(RawData,',') | extend TimeGenerated =todatetime(d[0]) ,clientIP =tostring(d[1]) ,clientHostname =tostring(d[2]) ,serverIp=tostring(d[3]) ,senderHostname=tostring(d[4]) ,sourceContext=tostring(d[5]) ,connectorId =tostring(d[6]) ,sourceContext=tostring(d[5]) ,connectorId =tostring(d[6]) ,source=tostring(d[7]) ,eventId =tostring(d[8]) ,internalMessageId =tostring(d[9]) ,messageId =tostring(d[10]) ,networkMessageId =tostring(d[11]) ,recipientAddress=tostring(d[12]) ,recipientStatus=tostring(d[13]) , totalBytes=tostring(d[14]) ,recipientCount=tostring(d[15]) ,relatedRecipientAddress=tostring(d[16]) ,reference=tostring(d[17]) ,messageSubject =tostring(d[18]) ,senderAddress=tostring(d[19]) ,returnPath=tostring(d[20]) ,messageInfo =tostring(d[21]) ,directionality=tostring(d[22]) ,messageTrackingTenantId =tostring(d[23]) ,originalClientIp =tostring(d[24]) ,originalServerIp =tostring(d[25]) ,customData=tostring(d[26]) ,transportTrafficType =tostring(d[27]) , logId =tostring(d[28]) ,schemaVersion=tostring(d[29]) | project-away d,RawData e fare clic su 'Destination'.

In "Destinazione" aggiungere una destinazione e selezionare l'area di lavoro in cui è stata creata in precedenza la tabella personalizzata

Fare clic su "Aggiungi origine dati".

Compilare altri parametri e tag necessari e creare il DCR

Assegna il DCR a tutti i server Exchange:

Aggiungere tutti i server Exchange al Registro Azure Container

Microsoft Power Automate

Supportato da:Microsoft Corporation

Power Automate è un servizio Microsoft che consente agli utenti di creare flussi di lavoro automatizzati tra app e servizi per sincronizzare file, ricevere notifiche, raccogliere dati e altro ancora. Semplifica l'automazione delle attività, aumentando l'efficienza riducendo le attività manuali e ripetitive e migliorando la produttività. Il connettore dati di Power Automate offre la possibilità di inserire i log attività di Power Automate dal Microsoft Purview Audit accedere a Microsoft Sentinel.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

PowerAutomateActivity Sì Sì

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

Prerequisiti:

Permessi per gli inquilini: 'Amministratore della Sicurezza' o 'Amministratore Globale' sul tenant dello spazio di lavoro.

Micorosft Purview Audit: Microsoft Purview Audit (Standard o Premium) deve essere attivato.

Istruzioni per l'installazione:

Collega i Microsoft Power Automate log di audit a Microsoft Sentinel:

Questo connettore usa l'API di gestione di Office per ottenere i log di controllo di Power Automate. I log verranno archiviati ed elaborati nell'area di lavoro Microsoft Sentinel esistente. È possibile trovare i dati nella tabella PowerAutomateActivity .

Abilitare/disabilitare la connessione

Attività di Amministrazione di Microsoft Power Platform

Supportato da:Microsoft Corporation

Microsoft Power Platform è una suite a basso codice/senza codice che consente agli sviluppatori sia di cittadini che professionisti di semplificare i processi aziendali consentendo la creazione di app personalizzate, l'automazione dei flussi di lavoro e l'analisi dei dati con codice minimo. Il connettore dati di Power Platform Amministrazione offre la possibilità di inserire i log attività dell'amministratore di Power Platform dal Microsoft Purview Audit accedere a Microsoft Sentinel.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

PowerPlatformAdminActivity Sì Sì

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

Prerequisiti:

Permessi per gli inquilini: 'Amministratore della Sicurezza' o 'Amministratore Globale' sul tenant dello spazio di lavoro.

Micorosft Purview Audit: Microsoft Purview Audit (Standard o Premium) deve essere attivato.

Istruzioni per l'installazione:

Collega i log di audit delle attività amministrative di Microsoft Power Platform a Microsoft Sentinel:

Questo connettore usa l'API di gestione di Office per ottenere i log di controllo dell'amministratore di Power Platform. I log verranno archiviati ed elaborati nell'area di lavoro Microsoft Sentinel esistente. I dati sono disponibili nella tabella PowerPlatformAdminActivity .

Abilitare/disabilitare la connessione

Microsoft PowerBI

Supportato da:Microsoft Corporation

Microsoft PowerBI è una raccolta di servizi software, app e connettori che interagiscono per trasformare le origini dati non correlate in informazioni dettagliate coerenti, visivamente immersive e interattive. I dati possono essere un foglio di calcolo di Excel, una raccolta di data warehouse ibridi basati sul cloud e locali o un archivio dati di altro tipo. Questo connettore consente di trasmettere i log di controllo di PowerBI in Microsoft Sentinel, consentendo di tenere traccia delle attività degli utenti nell'ambiente PowerBI. È possibile filtrare i dati di controllo per intervallo di date, utente, dashboard, report, set di dati e tipo di attività.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

PowerBIActivity Sì Sì

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

Microsoft Project

Supportato da:Microsoft

Microsoft Project (MSP) è una soluzione software di gestione dei progetti. A seconda del piano, Microsoft Project consente di pianificare progetti, assegnare attività, gestire le risorse, creare report e altro ancora. Questo connettore consente di trasmettere i log di controllo Azure Project in Microsoft Sentinel per tenere traccia delle attività del progetto.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

ProjectActivity Sì Sì

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

Microsoft Purview

Supportato da:Microsoft Corporation

Connettersi a Microsoft Purview per abilitare l'arricchimento della riservatezza dei dati di Microsoft Sentinel. I log delle etichette di classificazione e riservatezza dei dati delle analisi di Microsoft Purview possono essere inseriti e visualizzati tramite cartelle di lavoro, regole analitiche e altro ancora. Per altre informazioni, vedere la documentazione Microsoft Sentinel.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

PurviewDataSensitivityLogs Sì Sì

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

Istruzioni per l'installazione:

Collega Microsoft Purview a Microsoft Sentinel:

Nel portale di Azure passare alla risorsa Purview:

Nella barra di ricerca, cerca account Purview:

Selezionare l'account specifico che si vuole configurare con Sentinel.

All'interno della tua risorsa Microsoft Purview: 3. Seleziona le impostazioni diagnostiche: 4. Seleziona + Aggiungi impostazione diagnostica: 5. Nella lama dell'impostazione diagnostica:

Selezionare Categoria di log come DataSensitivityLogEvent.

Selezionare Invia a Log Analytics.

Scegliere l'area di lavoro di destinazione del log. Questo dovrebbe essere lo stesso spazio di lavoro utilizzato da Microsoft Sentinel:

Fare clic su Salva.

Microsoft Purview Information Protection

Supportato da:Microsoft Corporation

Microsoft Purview Information Protection consente di individuare, classificare, proteggere e gestire le informazioni sensibili ovunque si trovino o viaggino. L'uso di queste funzionalità consente di conoscere i dati, identificare gli elementi sensibili e ottenere visibilità sul modo in cui vengono usati per proteggere meglio i dati. Le etichette di riservatezza sono la funzionalità di base che fornisce azioni di protezione, applicando crittografia, restrizioni di accesso e contrassegni visivi. Integrare i log Microsoft Purview Information Protection con Microsoft Sentinel per visualizzare i dashboard, creare avvisi personalizzati e migliorare l'analisi. Per altre informazioni, vedere la documentazione Microsoft Sentinel.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

MicrosoftPurviewInformationProtection Sì Sì

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

Controllo Mimecast

Supportato da:Mimecast

Il connettore dati per Mimecast Audit offre ai clienti la visibilità sugli eventi di sicurezza correlati agli eventi di controllo e autenticazione all'interno di Microsoft Sentinel. Il connettore dati fornisce dashboard predefiniti per consentire agli analisti di visualizzare informazioni dettagliate sull'attività degli utenti, facilitare la correlazione degli eventi imprevisti e ridurre i tempi di risposta alle indagini abbinati a funzionalità di avviso personalizzate. I prodotti Mimecast inclusi nel connettore sono: Audit

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

Audit_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Iscrizione Azure: L'abbonamento Azure con ruolo di proprietario è necessario per registrare un'applicazione in Microsoft Entra ID e assegnare il ruolo di contributore all'app nel gruppo risorse.

Microsoft. Permessi web/siti: Sono necessari permessi di lettura e scrittura per Funzioni di Azure per creare una Function App. Per altre informazioni, vedere Funzioni di Azure.

Credenziali/permessi API REST: Consulta la documentazione per saperne di più sull'API nel riferimento Rest API

Istruzioni per l'installazione:

NOTA: Questo connettore usa Funzioni di Azure per connettersi a un'API Mimecast per eseguire il pull dei log in Microsoft Sentinel. Ciò potrebbe comportare costi aggiuntivi per l'inserimento di dati. Per informazioni dettagliate, controllare la pagina dei prezzi Funzioni di Azure.

(Passaggio facoltativo) Archiviare in modo sicuro le chiavi o i token di autorizzazione api e dell'area di lavoro in Azure Key Vault. Azure Key Vault fornisce un meccanismo sicuro per archiviare e recuperare i valori delle chiavi. Seguire queste istruzioni per usare Azure Key Vault con un'app per le funzioni Azure.

Configurazione:

PASSAGGIO 1 - Procedura di configurazione per l'API Mimecast

Passare a portale di Azure ---> Registrazioni app ---> [your_app] ---> Certificati & segreti ---> Nuovo segreto client e creare un nuovo segreto (salvare immediatamente il valore in un punto sicuro perché non sarà possibile visualizzarlo in anteprima in un secondo momento)

PASSAGGIO 2 - Distribuire Mimecast API Connector

IMPORTANTE: Prima di distribuire il connettore DELL'API Mimecast, avere le chiavi o i token di autorizzazione dell'API Mimecast, immediatamente disponibili.

PASSAGGIO 3 : Procedura di registrazione dell'app per l'applicazione in Microsoft Entra ID

Questa integrazione richiede una registrazione dell'app nel portale di Azure. Seguire i passaggi descritti in questa sezione per creare una nuova applicazione in Microsoft Entra ID:

Accedere al portale di Azure.

Cercare e selezionare Microsoft Entra ID.

In Gestisci selezionare Registrazioni app > Nuova registrazione.

Immettere un nome visualizzato per l'applicazione.

Selezionare Registra per completare la registrazione iniziale dell'app.

Al termine della registrazione, il portale di Azure visualizza il riquadro Panoramica della registrazione dell'app. Verranno visualizzati l'ID applicazione (client) e l'ID tenant. L'ID client e l'ID tenant sono necessari come parametri di configurazione per l'esecuzione di TenableVM Data Connector.

Collegamento di riferimento:/azure/active-directory/develop/quickstart-register-app

PASSAGGIO 4 - Aggiungere un segreto client per l'applicazione in Microsoft Entra ID

A volte chiamato password dell'applicazione, un segreto client è un valore stringa necessario per l'esecuzione di TenableVM Data Connector. Seguire i passaggi descritti in questa sezione per creare un nuovo segreto client:

Nel portale di Azure selezionare l'applicazione in Registrazioni app.

Selezionare Certificati & segreti > client Segreti > client Nuovo segreto client.

Aggiungere una descrizione per il segreto client.

Selezionare una scadenza per il segreto o specificare una durata personalizzata. Il limite è di 24 mesi.

Selezionare Aggiungi.

Registrare il valore del segreto da usare nel codice dell'applicazione client. Questo valore del segreto non viene mai più visualizzato dopo aver lasciato questa pagina. Il valore del segreto è obbligatorio come parametro di configurazione per l'esecuzione di TenableVM Data Connector.

Collegamento di riferimento:/azure/active-directory/develop/quickstart-register-app#add-a-client-secret

PASSAGGIO 5: Ottenere l'ID oggetto dell'applicazione in Microsoft Entra ID

Dopo aver creato la registrazione dell'app, seguire i passaggi descritti in questa sezione per ottenere l'ID oggetto:

Vai a Microsoft Entra ID.

Selezionare Applicazioni aziendali dal menu a sinistra.

Trovare l'applicazione appena creata nell'elenco (è possibile eseguire la ricerca in base al nome specificato).

Fare clic sull'applicazione.

Nella pagina di panoramica copiare l'ID oggetto. Si tratta di AzureEntraObjectId necessario per l'assegnazione del ruolo del modello di Resource Manager.

Distribuire mimecast Audit Data Connector:

Usare questo metodo per la distribuzione automatizzata del connettore Mimecast Audit Data.

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms aka.ms

Selezionare la sottoscrizione, il gruppo di risorse e l'area preferiti.

Immettere le informazioni seguenti:

Posizione: percorso in cui devono essere distribuite le regole di raccolta dati e gli endpoint di raccolta dati

WorkspaceName - Immettere Microsoft Sentinel nome dell'area di lavoro Log Analytics

AzureClientID : immettere Azure ID client creato durante la registrazione dell'app

AzureClientSecret: immettere Azure segreto client creato durante la creazione del segreto client

AzureTenantID - Immettere Azure ID tenant del Azure Active Directory

AzureEntraObjectID - Immettere l'ID oggetto dell'app Microsoft Entra

MimecastBaseURL - Immettere l'URL di base dell'API Mimecast 2.0 (ad esempio https://api.services.mimecast.com)

MimecastClientID - Immettere l'ID client Mimecast per l'autenticazione

MimecastClientSecret - Immettere Mimecast Client Secret per l'autenticazione

MimecastAuditTableName: immettere il nome della tabella usata per archiviare i dati di controllo. Il valore predefinito è 'Audit'

StartDate: immettere la data di inizio nel formato 'aaaa-mm-gg'. Se non si specifica una data, i dati degli ultimi 60 giorni verranno recuperati automaticamente. Assicurarsi che la data sia nel passato e formattata correttamente

Pianificazione: immettere un'espressione cron-expression Quartz valida. (Esempio: 0 0 */1 * * *) Non mantenere vuoto il valore, il valore minimo è 10 minuti

LogLevel: aggiungere il livello di log o il valore di gravità del log. Per impostazione predefinita è impostato su INFO

AppInsightsWorkspaceResourceId - Eseguire la migrazione di Application Insights classico all'area di lavoro Log Analytic che verrà ritirata entro il 29 febbraio 2024. Usare il pannello 'Log Analytic Workspace-->Properties' con il valore della proprietà 'RESOURCE ID'. Si tratta di un resourceId completo nel formato '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}'

Contrassegnare la casella di controllo con l'etichetta Accetto i termini e le condizioni indicati sopra.

Fare clic su Acquista per distribuire.

Mimecast Audit & Authentication (tramite Funzioni di Azure)

Supportato da:Mimecast

Il connettore dati per Mimecast Audit & Authentication offre ai clienti la visibilità sugli eventi di sicurezza correlati agli eventi di controllo e autenticazione all'interno di Microsoft Sentinel. Il connettore dati fornisce dashboard predefiniti per consentire agli analisti di visualizzare informazioni dettagliate sull'attività degli utenti, facilitare la correlazione degli eventi imprevisti e ridurre i tempi di risposta alle indagini abbinati a funzionalità di avviso personalizzate. I prodotti Mimecast inclusi nel connettore sono: Audit & Authentication

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

MimecastAudit_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Microsoft. Permessi web/siti: Sono necessari permessi di lettura e scrittura per Funzioni di Azure per creare una Function App. Per altre informazioni, vedere Funzioni di Azure.

Credenziali API di Mimecast: È necessario avere le seguenti informazioni per configurare l'integrazione:

mimecastEmail: Email indirizzo di un utente amministratore mimecast dedicato

mimecastPassword: password per l'utente amministratore mimecast dedicato

mimecastAppId: ID applicazione API dell'app Mimecast Microsoft Sentinel registrata con Mimecast

mimecastAppKey: chiave dell'applicazione API dell'app Mimecast Microsoft Sentinel registrata con Mimecast

mimecastAccessKey: chiave di accesso per l'utente amministratore mimecast dedicato

mimecastSecretKey: chiave privata per l'utente amministratore mimecast dedicato

mimecastBaseURL: URL di base dell'API a livello di area Mimecast

L'ID applicazione Mimecast, la chiave dell'applicazione, insieme alla chiave di accesso e alle chiavi segrete per l'utente amministratore mimecast dedicato, possono essere ottenute tramite mimecast Administration Console: Administration | Servizi | Integrazioni di API e piattaforme.

L'URL di base dell'API Mimecast per ogni area è documentato qui: https://integrations.mimecast.com/documentation/api-overview/global-base-urls/

Gruppo di risorse: Devi creare un gruppo di risorse con un abbonamento che userai.

App funzioni: È necessario avere un'app Azure registrata affinché questo connettore possa essere utilizzato

ID applicazione

Identificativo inquilino

ID Client

Segreto client

Istruzioni per l'installazione:

NOTA: Questo connettore usa Funzioni di Azure per connettersi a un'API Mimecast per eseguire il pull dei log in Microsoft Sentinel. Ciò potrebbe comportare costi aggiuntivi per l'inserimento di dati. Per informazioni dettagliate, controllare la pagina dei prezzi Funzioni di Azure.

(Passaggio facoltativo) Archiviare in modo sicuro le chiavi o i token di autorizzazione api e dell'area di lavoro in Azure Key Vault. Azure Key Vault fornisce un meccanismo sicuro per archiviare e recuperare i valori delle chiavi. Seguire queste istruzioni per usare Azure Key Vault con un'app per le funzioni Azure.

Configurazione:

PASSAGGIO 1 - Procedura di configurazione per l'API Mimecast

Passare a portale di Azure ---> Registrazioni app ---> [your_app] ---> Certificati & segreti ---> Nuovo segreto client e creare un nuovo segreto (salvare immediatamente il valore in un punto sicuro perché non sarà possibile visualizzarlo in anteprima in un secondo momento)

PASSAGGIO 2 - Distribuire Mimecast API Connector

IMPORTANTE: Prima di distribuire il connettore API Mimecast, è possibile copiare l'ID dell'area di lavoro e la chiave primaria dell'area di lavoro (che possono essere copiati da quanto segue), nonché le chiavi o i token di autorizzazione dell'API Mimecast, immediatamente disponibili.

ID dello spazio di lavoro:<variable value provided at install time>

Chiave primaria:<variable value provided at install time>

Distribuire Mimecast Audit & Authentication Data Connector:

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms

Selezionare la sottoscrizione, il gruppo di risorse e la località preferiti.

Immettere i campi seguenti:

appName: stringa univoca che verrà usata come ID per l'app nella piattaforma Azure

objectId: Azure portale ---> Azure Active Directory ---> altre informazioni ---> ID oggetto ---> profilo

appInsightsLocation (predefinito): ovest Europa

mimecastEmail: Email indirizzo dell'utente dedicato per questa integrazione

mimecastPassword: password per l'utente dedicato

mimecastAppId: ID applicazione dell'app Microsoft Sentinel registrata con Mimecast

mimecastAppKey: chiave dell'applicazione dall'app Microsoft Sentinel registrata con Mimecast

mimecastAccessKey: chiave di accesso per l'utente Mimecast dedicato

mimecastSecretKey: chiave privata per l'utente Mimecast dedicato

mimecastBaseURL: URL di base dell'API Mimecast a livello di area

activeDirectoryAppId: portale di Azure ---> Registrazioni app ---> [your_app] ---> ID applicazione

activeDirectoryAppSecret: portale di Azure ---> Registrazioni app ---> [your_app] ---> certificati & segreti ---> [your_app_secret]

workspaceId: portale di Azure ---> Log Analytics Workspaces ---> [Area di lavoro] ---> Agents ---> WORKSPACE ID (oppure è possibile copiare workspaceId dall'alto)

workspaceKey: portale di Azure ---> aree di lavoro di Log Analytics ---> [Area di lavoro] ---> Agenti ---> chiave primaria (oppure è possibile copiare workspaceKey dall'alto)

AppInsightsWorkspaceResourceID: portale di Azure ---> ---> aree di lavoro di Log Analytics [Area di lavoro] ---> Proprietà ---> ID risorsa

Nota: se si usano Azure Key Vault segreti per uno dei valori precedenti, usare lo@Microsoft.KeyVault(SecretUri={Security Identifier})schema al posto dei valori stringa. Per altre informazioni, vedere Key Vault documentazione di riferimento.

Contrassegnare la casella di controllo con l'etichetta Accetto i termini e le condizioni indicati sopra.

Fare clic su Acquista per distribuire.

Passare a portale di Azure ---> Gruppi di risorse ---> [your_resource_group] ---> [appName](type: Storage account) ---> Storage Explorer ---> BLOB CONTAINERS ---> Audit checkpoints ---> Upload and create empty file on your machine named checkpoint.txt e selezionarlo per il caricamento (questa operazione viene eseguita in modo che date_range per i log SIEM sia archiviato in uno stato coerente)

Formazione di Consapevolezza Mimecast

Supportato da:Mimecast

Il connettore dati per Mimecast Awareness Training offre ai clienti la visibilità sugli eventi di sicurezza correlati alle tecnologie di ispezione di Targeted Threat Protection all'interno di Microsoft Sentinel. Il connettore dati offre dashboard predefiniti per consentire agli analisti di visualizzare informazioni dettagliate sulle minacce basate sulla posta elettronica, facilitare la correlazione degli eventi imprevisti e ridurre i tempi di risposta alle indagini abbinati a funzionalità di avviso personalizzate. I prodotti Mimecast inclusi nel connettore sono:

Dettagli prestazioni

Dettagli punteggio di sicurezza

Dati utente

Dettagli watchlist

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

Awareness_Performance_Details_CL No No

Awareness_SafeScore_Details_CL No No

Awareness_User_Data_CL No No

Awareness_Watchlist_Details_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Iscrizione Azure: L'abbonamento Azure con ruolo di proprietario è necessario per registrare un'applicazione in Microsoft Entra ID e assegnare il ruolo di contributore all'app nel gruppo risorse.

Microsoft. Permessi web/siti: Sono necessari permessi di lettura e scrittura per Funzioni di Azure per creare una Function App. Per altre informazioni, vedere Funzioni di Azure.

Credenziali/permessi API REST: Consulta la documentazione per saperne di più sull'API nel riferimento Rest API

Istruzioni per l'installazione:

Gruppo di risorse:

È necessario creare un gruppo di risorse con una sottoscrizione che si intende usare.

App funzioni:

È necessario avere un app Azure registrato per l'uso del connettore

ID applicazione

Identificativo inquilino

ID Client

Segreto client

ID oggetto Entra

NOTA: Questo connettore usa Funzioni di Azure per connettersi a un'API Mimecast per eseguire il pull dei log in Microsoft Sentinel. Ciò potrebbe comportare costi aggiuntivi per l'inserimento di dati. Per informazioni dettagliate, controllare la pagina dei prezzi Funzioni di Azure.

(Passaggio facoltativo) Archiviare in modo sicuro le chiavi o i token di autorizzazione api e dell'area di lavoro in Azure Key Vault. Azure Key Vault fornisce un meccanismo sicuro per archiviare e recuperare i valori delle chiavi. Seguire queste istruzioni per usare Azure Key Vault con un'app per le funzioni Azure.

PASSAGGIO 1 : Procedura di registrazione dell'app per l'applicazione in Microsoft Entra ID

Questa integrazione richiede una registrazione dell'app nel portale di Azure. Seguire i passaggi descritti in questa sezione per creare una nuova applicazione in Microsoft Entra ID:

Accedere al portale di Azure.

Cercare e selezionare Microsoft Entra ID.

In Gestisci selezionare Registrazioni app > Nuova registrazione.

Immettere un nome visualizzato per l'applicazione.

Selezionare Registra per completare la registrazione iniziale dell'app.

Al termine della registrazione, il portale di Azure visualizza il riquadro Panoramica della registrazione dell'app. Verranno visualizzati l'ID applicazione (client) e l'ID tenant. L'ID client e l'ID tenant sono necessari come parametri di configurazione per l'esecuzione di Mimecast Data Connector.

Collegamento di riferimento:/azure/active-directory/develop/quickstart-register-app

PASSAGGIO 2 - Aggiungere un segreto client per l'applicazione in Microsoft Entra ID

A volte chiamato password dell'applicazione, un segreto client è un valore stringa necessario per l'esecuzione di Mimecast Data Connector. Seguire i passaggi descritti in questa sezione per creare un nuovo segreto client:

Nel portale di Azure selezionare l'applicazione in Registrazioni app.

Selezionare Certificati & segreti > client Segreti > client Nuovo segreto client.

Aggiungere una descrizione per il segreto client.

Selezionare una scadenza per il segreto o specificare una durata personalizzata. Il limite è di 24 mesi.

Selezionare Aggiungi.

Registrare il valore del segreto da usare nel codice dell'applicazione client. Questo valore del segreto non viene mai più visualizzato dopo aver lasciato questa pagina. Il valore del segreto è obbligatorio come parametro di configurazione per l'esecuzione di Mimecast Data Connector.

Collegamento di riferimento:/azure/active-directory/develop/quickstart-register-app#add-a-client-secret

PASSAGGIO 3: Ottenere l'ID oggetto dell'applicazione in Microsoft Entra ID

Dopo aver creato la registrazione dell'app, seguire i passaggi descritti in questa sezione per ottenere l'ID oggetto:

Vai a Microsoft Entra ID.

Selezionare Applicazioni aziendali dal menu a sinistra.

Trovare l'applicazione appena creata nell'elenco (è possibile eseguire la ricerca in base al nome specificato).

Fare clic sull'applicazione.

Nella pagina di panoramica copiare l'ID oggetto. Si tratta di AzureEntraObjectId necessario per l'assegnazione del ruolo del modello di Resource Manager.

PASSAGGIO 4 - Distribuire Mimecast API Connector

IMPORTANTE: Prima di distribuire il connettore DELL'API Mimecast, avere le chiavi o i token di autorizzazione dell'API Mimecast, immediatamente disponibili.

Azure Resource Manager (ARM) Template:

Usare questo metodo per la distribuzione automatizzata del connettore mimecast Awareness Training Data.

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms aka.ms

Selezionare la sottoscrizione, il gruppo di risorse e l'area preferiti.

Immettere le informazioni seguenti:

Posizione: percorso in cui devono essere distribuite le regole di raccolta dati e gli endpoint di raccolta dati

WorkspaceName - Immettere Microsoft Sentinel nome dell'area di lavoro Log Analytics

AzureClientID : immettere Azure ID client creato durante la registrazione dell'app

AzureClientSecret: immettere Azure segreto client creato durante la creazione del segreto client

AzureTenantID - Immettere Azure ID tenant del Azure Active Directory

AzureEntraObjectID - Immettere l'ID oggetto dell'app Microsoft Entra

MimecastBaseURL - Immettere l'URL di base dell'API Mimecast 2.0 (ad esempio https://api.services.mimecast.com)

MimecastClientID - Immettere l'ID client Mimecast per l'autenticazione

MimecastClientSecret - Immettere Mimecast Client Secret per l'autenticazione

MimecastAwarenessPerformanceDetailsTableName: immettere il nome della tabella usata per archiviare i dati relativi ai dettagli delle prestazioni di riconoscimento. Il valore predefinito è 'Awareness_Performance_Details'

MimecastAwarenessUserDataTableName: immettere il nome della tabella usata per archiviare i dati degli utenti di Awareness. Il valore predefinito è 'Awareness_User_Data'

MimecastAwarenessWatchlistDetailsTableName: immettere il nome della tabella usata per archiviare i dati dettagli di Awareness Watchlist. Il valore predefinito è 'Awareness_Watchlist_Details'

MimecastAwarenessSafeScoreDetailsTableName: immettere il nome della tabella usata per archiviare i dati di Awareness SafeScore Details. Il valore predefinito è 'Awareness_SafeScore_Details'

StartDate: immettere la data di inizio nel formato 'aaaa-mm-gg'. Se non si specifica una data, i dati degli ultimi 60 giorni verranno recuperati automaticamente. Assicurarsi che la data sia nel passato e formattata correttamente

Pianificazione: immettere un'espressione cron-expression Quartz valida. (Esempio: 0 0 */1 * * *) Non mantenere vuoto il valore, il valore minimo è 10 minuti

LogLevel: aggiungere il livello di log o il valore di gravità del log. Per impostazione predefinita è impostato su INFO

AppInsightsWorkspaceResourceId - Eseguire la migrazione di Application Insights classico all'area di lavoro Log Analytic che verrà ritirata entro il 29 febbraio 2024. Usare il pannello 'Log Analytic Workspace-->Properties' con il valore della proprietà 'RESOURCE ID'. Si tratta di un resourceId completo nel formato '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}'

Contrassegnare la casella di controllo con l'etichetta Accetto i termini e le condizioni indicati sopra.

Fare clic su Acquista per distribuire.

Integrazione con Mimecast Cloud

Supportato da:Mimecast

Il connettore dati per Mimecast Cloud Integrated offre ai clienti la visibilità sugli eventi di sicurezza correlati alle tecnologie di ispezione integrate nel cloud all'interno di Microsoft Sentinel. Il connettore dati offre dashboard predefiniti per consentire agli analisti di visualizzare informazioni dettagliate sulle minacce basate sulla posta elettronica, facilitare la correlazione degli eventi imprevisti e ridurre i tempi di risposta alle indagini abbinati a funzionalità di avviso personalizzate.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

Cloud_Integrated_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Iscrizione Azure: L'abbonamento Azure con ruolo di proprietario è necessario per registrare un'applicazione in Microsoft Entra ID e assegnare il ruolo di contributore all'app nel gruppo risorse.

Microsoft. Permessi web/siti: Sono necessari permessi di lettura e scrittura per Funzioni di Azure per creare una Function App. Per altre informazioni, vedere Funzioni di Azure.

Credenziali/permessi API REST: Consulta la documentazione per saperne di più sull'API nel riferimento Rest API

Istruzioni per l'installazione:

Gruppo di risorse:

È necessario creare un gruppo di risorse con una sottoscrizione che si intende usare.

App funzioni:

È necessario avere un app Azure registrato per l'uso del connettore

ID applicazione

Identificativo inquilino

ID Client

Segreto client

NOTA: Questo connettore usa Funzioni di Azure per connettersi a un'API Mimecast per eseguire il pull dei log in Microsoft Sentinel. Ciò potrebbe comportare costi aggiuntivi per l'inserimento di dati. Per informazioni dettagliate, controllare la pagina dei prezzi Funzioni di Azure.

(Passaggio facoltativo) Archiviare in modo sicuro le chiavi o i token di autorizzazione api e dell'area di lavoro in Azure Key Vault. Azure Key Vault fornisce un meccanismo sicuro per archiviare e recuperare i valori delle chiavi. Seguire queste istruzioni per usare Azure Key Vault con un'app per le funzioni Azure.

Configurazione:

PASSAGGIO 1 - Procedura di configurazione per l'API Mimecast

Passare a portale di Azure ---> Registrazioni app ---> [your_app] ---> Certificati & segreti ---> Nuovo segreto client e creare un nuovo segreto (salvare immediatamente il valore in un punto sicuro perché non sarà possibile visualizzarlo in anteprima in un secondo momento)

PASSAGGIO 2 - Distribuire Mimecast API Connector

IMPORTANTE: Prima di distribuire il connettore DELL'API Mimecast, avere le chiavi o i token di autorizzazione dell'API Mimecast, immediatamente disponibili.

PASSAGGIO 3 : Procedura di registrazione dell'app per l'applicazione in Microsoft Entra ID

Questa integrazione richiede una registrazione dell'app nel portale di Azure. Seguire i passaggi descritti in questa sezione per creare una nuova applicazione in Microsoft Entra ID:

Accedere al portale di Azure.

Cercare e selezionare Microsoft Entra ID.

In Gestisci selezionare Registrazioni app > Nuova registrazione.

Immettere un nome visualizzato per l'applicazione.

Selezionare Registra per completare la registrazione iniziale dell'app.

Al termine della registrazione, il portale di Azure visualizza il riquadro Panoramica della registrazione dell'app. Verranno visualizzati l'ID applicazione (client) e l'ID tenant. L'ID client e l'ID tenant sono necessari come parametri di configurazione per l'esecuzione di TenableVM Data Connector.

Collegamento di riferimento:/azure/active-directory/develop/quickstart-register-app

PASSAGGIO 4 - Aggiungere un segreto client per l'applicazione in Microsoft Entra ID

A volte chiamato password dell'applicazione, un segreto client è un valore stringa necessario per l'esecuzione di TenableVM Data Connector. Seguire i passaggi descritti in questa sezione per creare un nuovo segreto client:

Nel portale di Azure selezionare l'applicazione in Registrazioni app.

Selezionare Certificati & segreti > client Segreti > client Nuovo segreto client.

Aggiungere una descrizione per il segreto client.

Selezionare una scadenza per il segreto o specificare una durata personalizzata. Il limite è di 24 mesi.

Selezionare Aggiungi.

Registrare il valore del segreto da usare nel codice dell'applicazione client. Questo valore del segreto non viene mai più visualizzato dopo aver lasciato questa pagina. Il valore del segreto è obbligatorio come parametro di configurazione per l'esecuzione di TenableVM Data Connector.

Collegamento di riferimento:/azure/active-directory/develop/quickstart-register-app#add-a-client-secret

PASSAGGIO 5: Ottenere l'ID oggetto dell'applicazione in Microsoft Entra ID

Dopo aver creato la registrazione dell'app, seguire i passaggi descritti in questa sezione per ottenere l'ID oggetto:

Vai a Microsoft Entra ID.

Selezionare Applicazioni aziendali dal menu a sinistra.

Trovare l'applicazione appena creata nell'elenco (è possibile eseguire la ricerca in base al nome specificato).

Fare clic sull'applicazione.

Nella pagina di panoramica copiare l'ID oggetto. Si tratta di AzureEntraObjectId necessario per l'assegnazione del ruolo del modello di Resource Manager.

Azure Resource Manager (ARM) Template:

Usare questo metodo per la distribuzione automatizzata del connettore Mimecast Cloud Integrated Data.

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms aka.ms

Selezionare la sottoscrizione, il gruppo di risorse e l'area preferiti.

Immettere le informazioni seguenti:

Posizione: percorso in cui devono essere distribuite le regole di raccolta dati e gli endpoint di raccolta dati

WorkspaceName - Immettere Microsoft Sentinel nome dell'area di lavoro Log Analytics

AzureClientID : immettere Azure ID client creato durante la registrazione dell'app

AzureClientSecret: immettere Azure segreto client creato durante la creazione del segreto client

AzureTenantID - Immettere Azure ID tenant del Azure Active Directory

AzureEntraObjectID - Immettere l'ID oggetto dell'app Microsoft Entra

MimecastBaseURL - Immettere l'URL di base dell'API Mimecast 2.0 (ad esempio https://api.services.mimecast.com)

MimecastClientID - Immettere l'ID client Mimecast per l'autenticazione

MimecastClientSecret - Immettere Mimecast Client Secret per l'autenticazione

MimecastCITableName: immettere il nome della tabella usata per archiviare i dati integrati nel cloud. Il valore predefinito è 'Cloud_Integrated'

StartDate: immettere la data di inizio nel formato 'aaaa-mm-gg'. Se non si specifica una data, i dati degli ultimi 60 giorni verranno recuperati automaticamente. Assicurarsi che la data sia nel passato e formattata correttamente

Pianificazione: immettere un'espressione cron-expression Quartz valida. (Esempio: 0 0 */1 * * *) Non mantenere vuoto il valore, il valore minimo è 10 minuti

LogLevel: aggiungere il livello di log o il valore di gravità del log. Per impostazione predefinita è impostato su INFO

AppInsightsWorkspaceResourceId - Eseguire la migrazione di Application Insights classico all'area di lavoro Log Analytic che verrà ritirata entro il 29 febbraio 2024. Usare il pannello 'Log Analytic Workspace-->Properties' con il valore della proprietà 'RESOURCE ID'. Si tratta di un resourceId completo nel formato '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}'

Contrassegnare la casella di controllo con l'etichetta Accetto i termini e le condizioni indicati sopra.

Fare clic su Acquista per distribuire.

Mimecast Intelligence per Microsoft - Microsoft Sentinel (usando Funzioni di Azure)

Supportato da:Mimecast

Il connettore dati per Mimecast Intelligence per Microsoft fornisce informazioni sulle minacce a livello di area curate dalle tecnologie di ispezione della posta elettronica di Mimecast con dashboard creati in modo da consentire agli analisti di visualizzare informazioni dettagliate sulle minacce basate sulla posta elettronica, facilitare la correlazione degli eventi imprevisti e ridurre i tempi di risposta alle indagini. Sono necessari prodotti e funzionalità Mimecast:

Gateway Sicuro di Email Mimecast

Intelligence sulle Minacce Mimecast

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

ThreatIntelligenceIndicator Sì No

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

Prerequisiti:

Microsoft. Permessi web/siti: Sono necessari permessi di lettura e scrittura per Funzioni di Azure per creare una Function App. Per altre informazioni, vedere Funzioni di Azure.

Credenziali API di Mimecast: È necessario avere le seguenti informazioni per configurare l'integrazione:

mimecastEmail: Email indirizzo di un utente amministratore mimecast dedicato

mimecastPassword: password per l'utente amministratore mimecast dedicato

mimecastAppId: ID applicazione API dell'app Mimecast Microsoft Sentinel registrata con Mimecast

mimecastAppKey: chiave dell'applicazione API dell'app Mimecast Microsoft Sentinel registrata con Mimecast

mimecastAccessKey: chiave di accesso per l'utente amministratore mimecast dedicato

mimecastSecretKey: chiave privata per l'utente amministratore mimecast dedicato

mimecastBaseURL: URL di base dell'API a livello di area Mimecast

L'ID applicazione Mimecast, la chiave dell'applicazione, insieme alla chiave di accesso e alle chiavi segrete per l'utente amministratore mimecast dedicato, possono essere ottenute tramite mimecast Administration Console: Administration | Servizi | Integrazioni di API e piattaforme.

L'URL di base dell'API Mimecast per ogni area è documentato qui: https://integrations.mimecast.com/documentation/api-overview/global-base-urls/

Gruppo di risorse: Devi creare un gruppo di risorse con un abbonamento che userai.

App funzioni: È necessario avere un'app Azure registrata affinché questo connettore possa essere utilizzato

ID applicazione

Identificativo inquilino

ID Client

Segreto client

Istruzioni per l'installazione:

NOTA: Questo connettore usa Funzioni di Azure per connettersi a un'API Mimecast per eseguire il pull dei log in Microsoft Sentinel. Ciò potrebbe comportare costi aggiuntivi per l'inserimento di dati. Per informazioni dettagliate, controllare la pagina dei prezzi Funzioni di Azure.

(Passaggio facoltativo) Archiviare in modo sicuro le chiavi o i token di autorizzazione api e dell'area di lavoro in Azure Key Vault. Azure Key Vault fornisce un meccanismo sicuro per archiviare e recuperare i valori delle chiavi. Seguire queste istruzioni per usare Azure Key Vault con un'app per le funzioni Azure.

Configurazione:

PASSAGGIO 1 - Procedura di configurazione per l'API Mimecast

Passare a portale di Azure ---> Registrazioni app ---> [your_app] ---> Certificati & segreti ---> Nuovo segreto client e creare un nuovo segreto (salvare immediatamente il valore in un punto sicuro perché non sarà possibile visualizzarlo in anteprima in un secondo momento)

PASSAGGIO 2 - Distribuire Mimecast API Connector

IMPORTANTE: Prima di distribuire il connettore API Mimecast, è possibile copiare l'ID dell'area di lavoro e la chiave primaria dell'area di lavoro (che possono essere copiati da quanto segue), nonché le chiavi o i token di autorizzazione dell'API Mimecast, immediatamente disponibili.

ID dello spazio di lavoro:<variable value provided at install time>

Chiave primaria:<variable value provided at install time>

Abilitare Mimecast Intelligence per Microsoft - connettore Microsoft Sentinel:

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms

Selezionare la sottoscrizione, il gruppo di risorse e la località preferiti.

Immettere i campi seguenti:

appName: stringa univoca che verrà usata come ID per l'app nella piattaforma Azure

objectId: Azure portale ---> Azure Active Directory ---> altre informazioni ---> ID oggetto ---> profilo

appInsightsLocation (predefinito): ovest Europa

mimecastEmail: Email indirizzo dell'utente dedicato per questa integrazione

mimecastPassword: password per l'utente dedicato

mimecastAppId: ID applicazione dell'app Microsoft Sentinel registrata con Mimecast

mimecastAppKey: chiave dell'applicazione dall'app Microsoft Sentinel registrata con Mimecast

mimecastAccessKey: chiave di accesso per l'utente Mimecast dedicato

mimecastSecretKey: chiave privata per l'utente Mimecast dedicato

mimecastBaseURL: URL di base dell'API Mimecast a livello di area

activeDirectoryAppId: portale di Azure ---> Registrazioni app ---> [your_app] ---> ID applicazione

activeDirectoryAppSecret: portale di Azure ---> Registrazioni app ---> [your_app] ---> certificati & segreti ---> [your_app_secret]

workspaceId: portale di Azure ---> Log Analytics Workspaces ---> [Area di lavoro] ---> Agents ---> WORKSPACE ID (oppure è possibile copiare workspaceId dall'alto)

workspaceKey: portale di Azure ---> aree di lavoro di Log Analytics ---> [Area di lavoro] ---> Agenti ---> chiave primaria (oppure è possibile copiare workspaceKey dall'alto)

AppInsightsWorkspaceResourceID: portale di Azure ---> ---> aree di lavoro di Log Analytics [Area di lavoro] ---> Proprietà ---> ID risorsa

Nota: se si usano Azure Key Vault segreti per uno dei valori precedenti, usare lo@Microsoft.KeyVault(SecretUri={Security Identifier})schema al posto dei valori stringa. Per altre informazioni, vedere Key Vault documentazione di riferimento.

Contrassegnare la casella di controllo con l'etichetta Accetto i termini e le condizioni indicati sopra.

Fare clic su Acquista per distribuire.

Passare a portale di Azure ---> Gruppi di risorse ---> [your_resource_group] ---> [appName](tipo: account di archiviazione) ---> Storage Explorer ---> contenitori BLOB ---> checkpoint TIR ---> Caricare e creare file vuoto nel computer denominato checkpoint.txt e selezionarlo per il caricamento ( questa operazione viene eseguita in modo che date_range per i log TIR sia archiviato in uno stato coerente)

Configurazione aggiuntiva:

Connettersi a un connettore di dati delle piattaforme di Intelligence per le minacce. Seguire le istruzioni nella pagina del connettore e quindi fare clic sul pulsante Connetti.

Gateway Sicuro di Email Mimecast

Supportato da:Mimecast

Il connettore dati per Mimecast Secure Email Gateway consente una facile raccolta dei log dal gateway Email sicuro per visualizzare informazioni dettagliate sulla posta elettronica e attività degli utenti all'interno di Microsoft Sentinel. Il connettore dati offre dashboard predefiniti per consentire agli analisti di visualizzare informazioni dettagliate sulle minacce basate sulla posta elettronica, facilitare la correlazione degli eventi imprevisti e ridurre i tempi di risposta alle indagini abbinati a funzionalità di avviso personalizzate. Sono necessari prodotti e funzionalità Mimecast:

Mimecast Cloud Gateway

Prevenzione della perdita di dati Mimecast

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

Seg_Cg_CL No No

Seg_Dlp_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Iscrizione Azure: L'abbonamento Azure con ruolo di proprietario è necessario per registrare un'applicazione in Microsoft Entra ID e assegnare il ruolo di contributore all'app nel gruppo risorse.

Microsoft. Permessi web/siti: Sono necessari permessi di lettura e scrittura per Funzioni di Azure per creare una Function App. Per altre informazioni, vedere Funzioni di Azure.

Credenziali/permessi API REST: Consulta la documentazione per saperne di più sull'API nel riferimento Rest API

Istruzioni per l'installazione:

NOTA: Questo connettore usa Funzioni di Azure per connettersi a un'API Mimecast per eseguire il pull dei log in Microsoft Sentinel. Ciò potrebbe comportare costi aggiuntivi per l'inserimento di dati. Per informazioni dettagliate, controllare la pagina dei prezzi Funzioni di Azure.

(Passaggio facoltativo) Archiviare in modo sicuro le chiavi o i token di autorizzazione api e dell'area di lavoro in Azure Key Vault. Azure Key Vault fornisce un meccanismo sicuro per archiviare e recuperare i valori delle chiavi. Seguire queste istruzioni per usare Azure Key Vault con un'app per le funzioni Azure.

Configurazione:

PASSAGGIO 1 - Procedura di configurazione per l'API Mimecast

Passare a portale di Azure ---> Registrazioni app ---> [your_app] ---> Certificati & segreti ---> Nuovo segreto client e creare un nuovo segreto (salvare immediatamente il valore in un punto sicuro perché non sarà possibile visualizzarlo in anteprima in un secondo momento)

**PASSAGGIO 2 - Distribuire Mimecast API Connector

IMPORTANTE: Prima di distribuire il connettore DELL'API Mimecast, avere le chiavi o i token di autorizzazione dell'API Mimecast, immediatamente disponibili.

PASSAGGIO 3 : Procedura di registrazione dell'app per l'applicazione in Microsoft Entra ID

Questa integrazione richiede una registrazione dell'app nel portale di Azure. Seguire i passaggi descritti in questa sezione per creare una nuova applicazione in Microsoft Entra ID:

Accedere al portale di Azure.

Cercare e selezionare Microsoft Entra ID.

In Gestisci selezionare Registrazioni app > Nuova registrazione.

Immettere un nome visualizzato per l'applicazione.

Selezionare Registra per completare la registrazione iniziale dell'app.

Al termine della registrazione, il portale di Azure visualizza il riquadro Panoramica della registrazione dell'app. Verranno visualizzati l'ID applicazione (client) e l'ID tenant. L'ID client e l'ID tenant sono necessari come parametri di configurazione per l'esecuzione di TenableVM Data Connector.

Collegamento di riferimento:/azure/active-directory/develop/quickstart-register-app

PASSAGGIO 4 - Aggiungere un segreto client per l'applicazione in Microsoft Entra ID

A volte chiamato password dell'applicazione, un segreto client è un valore stringa necessario per l'esecuzione di TenableVM Data Connector. Seguire i passaggi descritti in questa sezione per creare un nuovo segreto client:

Nel portale di Azure selezionare l'applicazione in Registrazioni app.

Selezionare Certificati & segreti > client Segreti > client Nuovo segreto client.

Aggiungere una descrizione per il segreto client.

Selezionare una scadenza per il segreto o specificare una durata personalizzata. Il limite è di 24 mesi.

Selezionare Aggiungi.

Registrare il valore del segreto da usare nel codice dell'applicazione client. Questo valore del segreto non viene mai più visualizzato dopo aver lasciato questa pagina. Il valore del segreto è obbligatorio come parametro di configurazione per l'esecuzione di TenableVM Data Connector.

Collegamento di riferimento:/azure/active-directory/develop/quickstart-register-app#add-a-client-secret

PASSAGGIO 5: Ottenere l'ID oggetto dell'applicazione in Microsoft Entra ID

Dopo aver creato la registrazione dell'app, seguire i passaggi descritti in questa sezione per ottenere l'ID oggetto:

Vai a Microsoft Entra ID.

Selezionare Applicazioni aziendali dal menu a sinistra.

Trovare l'applicazione appena creata nell'elenco (è possibile eseguire la ricerca in base al nome specificato).

Fare clic sull'applicazione.

Nella pagina di panoramica copiare l'ID oggetto. Si tratta di AzureEntraObjectId necessario per l'assegnazione del ruolo del modello di Resource Manager.

Distribuire Mimecast Secure Email Gateway Data Connector:

Usare questo metodo per la distribuzione automatica del connettore Mimecast Secure Email Gateway Data.

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms aka.ms

SSelezionare la sottoscrizione, il gruppo di risorse e l'area preferiti.

Immettere le informazioni seguenti:

Posizione: percorso in cui devono essere distribuite le regole di raccolta dati e gli endpoint di raccolta dati

WorkspaceName - Immettere Microsoft Sentinel nome dell'area di lavoro Log Analytics

AzureClientID : immettere Azure ID client creato durante la registrazione dell'app

AzureClientSecret: immettere Azure segreto client creato durante la creazione del segreto client

AzureTenantID - Immettere Azure ID tenant del Azure Active Directory

AzureEntraObjectID - Immettere l'ID oggetto dell'app Microsoft Entra

MimecastBaseURL - Immettere l'URL di base dell'API Mimecast 2.0 (ad esempio https://api.services.mimecast.com)

MimecastClientID - Immettere l'ID client Mimecast per l'autenticazione

MimecastClientSecret - Immettere Mimecast Client Secret per l'autenticazione

MimecastCGTableName: immettere il nome della tabella usata per archiviare i dati CG. Il valore predefinito è 'Seg_Cg'

MimecastDLPTableName: immettere il nome della tabella usata per archiviare i dati DLP. Il valore predefinito è 'Seg_Dlp'

StartDate: immettere la data di inizio nel formato 'aaaa-mm-gg'. Se non si specifica una data, i dati degli ultimi 60 giorni verranno recuperati automaticamente. Assicurarsi che la data sia nel passato e formattata correttamente

Pianificazione: immettere un'espressione cron-expression Quartz valida. (Esempio: 0 0 */1 * * *) Non mantenere vuoto il valore, il valore minimo è 10 minuti

LogLevel: aggiungere il livello di log o il valore di gravità del log. Per impostazione predefinita è impostato su INFO

AppInsightsWorkspaceResourceId - Eseguire la migrazione di Application Insights classico all'area di lavoro Log Analytic che verrà ritirata entro il 29 febbraio 2024. Usare il pannello 'Log Analytic Workspace-->Properties' con il valore della proprietà 'RESOURCE ID'. Si tratta di un resourceId completo nel formato '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}'

Contrassegnare la casella di controllo con l'etichetta Accetto i termini e le condizioni indicati sopra.

Fare clic su Acquista per distribuire.

Mimecast Secure Email Gateway (con Funzioni di Azure)

Supportato da:Mimecast

Il connettore dati per Mimecast Secure Email Gateway consente una facile raccolta dei log dal gateway Email sicuro per visualizzare informazioni dettagliate sulla posta elettronica e attività degli utenti all'interno di Microsoft Sentinel. Il connettore dati offre dashboard predefiniti per consentire agli analisti di visualizzare informazioni dettagliate sulle minacce basate sulla posta elettronica, facilitare la correlazione degli eventi imprevisti e ridurre i tempi di risposta alle indagini abbinati a funzionalità di avviso personalizzate. Sono necessari prodotti e funzionalità Mimecast:

Gateway Sicuro di Email Mimecast

Prevenzione della perdita di dati Mimecast

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

MimecastSIEM_CL No No

MimecastDLP_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Microsoft. Permessi web/siti: Sono necessari permessi di lettura e scrittura per Funzioni di Azure per creare una Function App. Per altre informazioni, vedere Funzioni di Azure.

Credenziali API di Mimecast: È necessario avere le seguenti informazioni per configurare l'integrazione:

mimecastEmail: Email indirizzo di un utente amministratore mimecast dedicato

mimecastPassword: password per l'utente amministratore mimecast dedicato

mimecastAppId: ID applicazione API dell'app Mimecast Microsoft Sentinel registrata con Mimecast

mimecastAppKey: chiave dell'applicazione API dell'app Mimecast Microsoft Sentinel registrata con Mimecast

mimecastAccessKey: chiave di accesso per l'utente amministratore mimecast dedicato

mimecastSecretKey: chiave privata per l'utente amministratore mimecast dedicato

mimecastBaseURL: URL di base dell'API a livello di area Mimecast

L'ID applicazione Mimecast, la chiave dell'applicazione, insieme alla chiave di accesso e alle chiavi segrete per l'utente amministratore mimecast dedicato, possono essere ottenute tramite mimecast Administration Console: Administration | Servizi | Integrazioni di API e piattaforme.

L'URL di base dell'API Mimecast per ogni area è documentato qui: https://integrations.mimecast.com/documentation/api-overview/global-base-urls/

Gruppo di risorse: Devi creare un gruppo di risorse con un abbonamento che userai.

App funzioni: È necessario avere un'app Azure registrata affinché questo connettore possa essere utilizzato

ID applicazione

Identificativo inquilino

ID Client

Segreto client

Istruzioni per l'installazione:

NOTA: Questo connettore usa Funzioni di Azure per connettersi a un'API Mimecast per eseguire il pull dei log in Microsoft Sentinel. Ciò potrebbe comportare costi aggiuntivi per l'inserimento di dati. Per informazioni dettagliate, controllare la pagina dei prezzi Funzioni di Azure.

(Passaggio facoltativo) Archiviare in modo sicuro le chiavi o i token di autorizzazione api e dell'area di lavoro in Azure Key Vault. Azure Key Vault fornisce un meccanismo sicuro per archiviare e recuperare i valori delle chiavi. Seguire queste istruzioni per usare Azure Key Vault con un'app per le funzioni Azure.

Configurazione:

PASSAGGIO 1 - Procedura di configurazione per l'API Mimecast

Passare a portale di Azure ---> Registrazioni app ---> [your_app] ---> Certificati & segreti ---> Nuovo segreto client e creare un nuovo segreto (salvare immediatamente il valore in un punto sicuro perché non sarà possibile visualizzarlo in anteprima in un secondo momento)

PASSAGGIO 2 - Distribuire Mimecast API Connector

IMPORTANTE: Prima di distribuire il connettore API Mimecast, è possibile copiare l'ID dell'area di lavoro e la chiave primaria dell'area di lavoro (che possono essere copiati da quanto segue), nonché le chiavi o i token di autorizzazione dell'API Mimecast, immediatamente disponibili.

ID dello spazio di lavoro:<variable value provided at install time>

Chiave primaria:<variable value provided at install time>

Distribuire Mimecast Secure Email Gateway Data Connector:

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms

Selezionare la sottoscrizione, il gruppo di risorse e la località preferiti.

Immettere i campi seguenti:

appName: stringa univoca che verrà usata come ID per l'app nella piattaforma Azure

objectId: Azure portale ---> Azure Active Directory ---> altre informazioni ---> ID oggetto ---> profilo

appInsightsLocation (predefinito): ovest Europa

mimecastEmail: Email indirizzo dell'utente dedicato per questa integrazione

mimecastPassword: password per l'utente dedicato

mimecastAppId: ID applicazione dell'app Microsoft Sentinel registrata con Mimecast

mimecastAppKey: chiave dell'applicazione dall'app Microsoft Sentinel registrata con Mimecast

mimecastAccessKey: chiave di accesso per l'utente Mimecast dedicato

mimecastSecretKey: chiave privata per l'utente Mimecast dedicato

mimecastBaseURL: URL di base dell'API Mimecast a livello di area

activeDirectoryAppId: portale di Azure ---> Registrazioni app ---> [your_app] ---> ID applicazione

activeDirectoryAppSecret: portale di Azure ---> Registrazioni app ---> [your_app] ---> certificati & segreti ---> [your_app_secret]

workspaceId: portale di Azure ---> Log Analytics Workspaces ---> [Area di lavoro] ---> Agents ---> WORKSPACE ID (oppure è possibile copiare workspaceId dall'alto)

workspaceKey: portale di Azure ---> aree di lavoro di Log Analytics ---> [Area di lavoro] ---> Agenti ---> chiave primaria (oppure è possibile copiare workspaceKey dall'alto)

AppInsightsWorkspaceResourceID: portale di Azure ---> ---> aree di lavoro di Log Analytics [Area di lavoro] ---> Proprietà ---> ID risorsa

Nota: se si usano Azure Key Vault segreti per uno dei valori precedenti, usare lo@Microsoft.KeyVault(SecretUri={Security Identifier})schema al posto dei valori stringa. Per altre informazioni, vedere Key Vault documentazione di riferimento.

Contrassegnare la casella di controllo con l'etichetta Accetto i termini e le condizioni indicati sopra.

Fare clic su Acquista per distribuire.

Passare a portale di Azure ---> Gruppi di risorse ---> [your_resource_group] ---> [appName](tipo: account di archiviazione) ---> Storage Explorer ---> CONTENITORi BLOB ---> checkpoint SIEM ---> Caricare e creare file vuoto nel computer denominato checkpoint.txt, dlp-checkpoint.txt e selezionarlo per il caricamento ( questa operazione viene eseguita in modo che date_range per i log SIEM sia archiviato in uno stato coerente)

Protezione Mirata contro Minacce Mimecast

Supportato da:Mimecast

Il connettore dati per Mimecast Targeted Threat Protection offre ai clienti la visibilità sugli eventi di sicurezza correlati alle tecnologie di ispezione di Targeted Threat Protection all'interno di Microsoft Sentinel. Il connettore dati offre dashboard predefiniti per consentire agli analisti di visualizzare informazioni dettagliate sulle minacce basate sulla posta elettronica, facilitare la correlazione degli eventi imprevisti e ridurre i tempi di risposta alle indagini abbinati a funzionalità di avviso personalizzate. I prodotti Mimecast inclusi nel connettore sono:

Protezione URL

Protezione della rappresentazione

Protezione allegati

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

Ttp_Url_CL No No

Ttp_Attachment_CL No No

Ttp_Impersonation_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Iscrizione Azure: L'abbonamento Azure con ruolo di proprietario è necessario per registrare un'applicazione in Microsoft Entra ID e assegnare il ruolo di contributore all'app nel gruppo risorse.

Microsoft. Permessi web/siti: Sono necessari permessi di lettura e scrittura per Funzioni di Azure per creare una Function App. Per altre informazioni, vedere Funzioni di Azure.

Credenziali/permessi API REST: Consulta la documentazione per saperne di più sull'API nel riferimento Rest API

Istruzioni per l'installazione:

Gruppo di risorse:

È necessario creare un gruppo di risorse con una sottoscrizione che si intende usare.

App funzioni:

È necessario avere un app Azure registrato per l'uso del connettore

ID applicazione

Identificativo inquilino

ID Client

Segreto client

NOTA: Questo connettore usa Funzioni di Azure per connettersi a un'API Mimecast per eseguire il pull dei log in Microsoft Sentinel. Ciò potrebbe comportare costi aggiuntivi per l'inserimento di dati. Per informazioni dettagliate, controllare la pagina dei prezzi Funzioni di Azure.

(Passaggio facoltativo) Archiviare in modo sicuro le chiavi o i token di autorizzazione api e dell'area di lavoro in Azure Key Vault. Azure Key Vault fornisce un meccanismo sicuro per archiviare e recuperare i valori delle chiavi. Seguire queste istruzioni per usare Azure Key Vault con un'app per le funzioni Azure.

PASSAGGIO 1 : Procedura di registrazione dell'app per l'applicazione in Microsoft Entra ID

Questa integrazione richiede una registrazione dell'app nel portale di Azure. Seguire i passaggi descritti in questa sezione per creare una nuova applicazione in Microsoft Entra ID:

Accedere al portale di Azure.

Cercare e selezionare Microsoft Entra ID.

In Gestisci selezionare Registrazioni app > Nuova registrazione.

Immettere un nome visualizzato per l'applicazione.

Selezionare Registra per completare la registrazione iniziale dell'app.

Al termine della registrazione, il portale di Azure visualizza il riquadro Panoramica della registrazione dell'app. Verranno visualizzati l'ID applicazione (client) e l'ID tenant. L'ID client e l'ID tenant sono necessari come parametri di configurazione per l'esecuzione di Mimecast Data Connector.

Collegamento di riferimento:/azure/active-directory/develop/quickstart-register-app

PASSAGGIO 2 - Aggiungere un segreto client per l'applicazione in Microsoft Entra ID

A volte chiamato password dell'applicazione, un segreto client è un valore stringa necessario per l'esecuzione di Mimecast Data Connector. Seguire i passaggi descritti in questa sezione per creare un nuovo segreto client:

Nel portale di Azure selezionare l'applicazione in Registrazioni app.

Selezionare Certificati & segreti > client Segreti > client Nuovo segreto client.

Aggiungere una descrizione per il segreto client.

Selezionare una scadenza per il segreto o specificare una durata personalizzata. Il limite è di 24 mesi.

Selezionare Aggiungi.

Registrare il valore del segreto da usare nel codice dell'applicazione client. Questo valore del segreto non viene mai più visualizzato dopo aver lasciato questa pagina. Il valore del segreto è obbligatorio come parametro di configurazione per l'esecuzione di Mimecast Data Connector.

Collegamento di riferimento:/azure/active-directory/develop/quickstart-register-app#add-a-client-secret

PASSAGGIO 3: Ottenere l'ID oggetto dell'applicazione in Microsoft Entra ID

Dopo aver creato la registrazione dell'app, seguire i passaggi descritti in questa sezione per ottenere l'ID oggetto:

Vai a Microsoft Entra ID.

Selezionare Applicazioni aziendali dal menu a sinistra.

Trovare l'applicazione appena creata nell'elenco (è possibile eseguire la ricerca in base al nome specificato).

Fare clic sull'applicazione.

Nella pagina di panoramica copiare l'ID oggetto. Si tratta di AzureEntraObjectId necessario per l'assegnazione del ruolo del modello di Resource Manager.

PASSAGGIO 4 - Distribuire Mimecast API Connector

IMPORTANTE: Prima di distribuire il connettore DELL'API Mimecast, avere le chiavi o i token di autorizzazione dell'API Mimecast, immediatamente disponibili.

Azure Resource Manager (ARM) Template:

Usare questo metodo per la distribuzione automatizzata del connettore Mimecast Targeted Threat Protection Data.

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms aka.ms

Selezionare la sottoscrizione, il gruppo di risorse e l'area preferiti.

Immettere le informazioni seguenti:

Posizione: percorso in cui devono essere distribuite le regole di raccolta dati e gli endpoint di raccolta dati

WorkspaceName - Immettere Microsoft Sentinel nome dell'area di lavoro Log Analytics

AzureClientID : immettere Azure ID client creato durante la registrazione dell'app

AzureClientSecret: immettere Azure segreto client creato durante la creazione del segreto client

AzureTenantID - Immettere Azure ID tenant del Azure Active Directory

AzureEntraObjectID - Immettere l'ID oggetto dell'app Microsoft Entra

MimecastBaseURL - Immettere l'URL di base dell'API Mimecast 2.0 (ad esempio https://api.services.mimecast.com)

MimecastClientID - Immettere l'ID client Mimecast per l'autenticazione

MimecastClientSecret - Immettere Mimecast Client Secret per l'autenticazione

StartDate: immettere la data di inizio nel formato 'aaaa-mm-gg'. Se non si specifica una data, i dati degli ultimi 60 giorni verranno recuperati automaticamente. Assicurarsi che la data sia nel passato e formattata correttamente

MimecastTTPAttachmentTableName: immettere il nome della tabella usata per archiviare i dati degli allegati TTP. Il valore predefinito è 'Ttp_Attachment'

MimecastTTPImpersonationTableName: immettere il nome della tabella usata per archiviare i dati di rappresentazione TTP. Il valore predefinito è 'Ttp_Impersonation'

MimecastTTPUrlTableName: immettere il nome della tabella usata per archiviare i dati dell'allegato TTP. Il valore predefinito è 'Ttp_Url'

Pianificazione: immettere un'espressione cron-expression Quartz valida. (Esempio: 0 0 */1 * * *) Non mantenere vuoto il valore, il valore minimo è 10 minuti

LogLevel: aggiungere il livello di log o il valore di gravità del log. Per impostazione predefinita è impostato su INFO

AppInsightsWorkspaceResourceId - Eseguire la migrazione di Application Insights classico all'area di lavoro Log Analytic che verrà ritirata entro il 29 febbraio 2024. Usare il pannello 'Log Analytic Workspace-->Properties' con il valore della proprietà 'RESOURCE ID'. Si tratta di un resourceId completo nel formato '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}'

Contrassegnare la casella di controllo con l'etichetta Accetto i termini e le condizioni indicati sopra.

Fare clic su Acquista per distribuire.

Mimecast Targeted Threat Protection (usando Funzioni di Azure)

Supportato da:Mimecast

Il connettore dati per Mimecast Targeted Threat Protection offre ai clienti la visibilità sugli eventi di sicurezza correlati alle tecnologie di ispezione di Targeted Threat Protection all'interno di Microsoft Sentinel. Il connettore dati offre dashboard predefiniti per consentire agli analisti di visualizzare informazioni dettagliate sulle minacce basate sulla posta elettronica, facilitare la correlazione degli eventi imprevisti e ridurre i tempi di risposta alle indagini abbinati a funzionalità di avviso personalizzate. I prodotti Mimecast inclusi nel connettore sono:

Protezione URL

Protezione della rappresentazione

Protezione allegati

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

MimecastTTPUrl_CL No No

MimecastTTPAttachment_CL No No

MimecastTTPImpersonation_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Microsoft. Permessi web/siti: Sono necessari permessi di lettura e scrittura per Funzioni di Azure per creare una Function App. Per altre informazioni, vedere Funzioni di Azure.

Credenziali/permessi API REST: È necessario avere le seguenti informazioni per configurare l'integrazione:

mimecastEmail: Email indirizzo di un utente amministratore mimecast dedicato

mimecastPassword: password per l'utente amministratore mimecast dedicato

mimecastAppId: ID applicazione API dell'app Mimecast Microsoft Sentinel registrata con Mimecast

mimecastAppKey: chiave dell'applicazione API dell'app Mimecast Microsoft Sentinel registrata con Mimecast

mimecastAccessKey: chiave di accesso per l'utente amministratore mimecast dedicato

mimecastSecretKey: chiave privata per l'utente amministratore mimecast dedicato

mimecastBaseURL: URL di base dell'API a livello di area Mimecast

L'ID applicazione Mimecast, la chiave dell'applicazione, insieme alla chiave di accesso e alle chiavi segrete per l'utente amministratore mimecast dedicato, possono essere ottenute tramite mimecast Administration Console: Administration | Servizi | Integrazioni di API e piattaforme.

L'URL di base dell'API Mimecast per ogni area è documentato qui: https://integrations.mimecast.com/documentation/api-overview/global-base-urls/

Istruzioni per l'installazione:

Gruppo di risorse:

È necessario creare un gruppo di risorse con una sottoscrizione che si intende usare.

App funzioni:

È necessario avere un app Azure registrato per l'uso del connettore

ID applicazione

Identificativo inquilino

ID Client

Segreto client

NOTA: Questo connettore usa Funzioni di Azure per connettersi a un'API Mimecast per eseguire il pull dei log in Microsoft Sentinel. Ciò potrebbe comportare costi aggiuntivi per l'inserimento di dati. Per informazioni dettagliate, controllare la pagina dei prezzi Funzioni di Azure.

(Passaggio facoltativo) Archiviare in modo sicuro le chiavi o i token di autorizzazione api e dell'area di lavoro in Azure Key Vault. Azure Key Vault fornisce un meccanismo sicuro per archiviare e recuperare i valori delle chiavi. Seguire queste istruzioni per usare Azure Key Vault con un'app per le funzioni Azure.

Configurazione:

PASSAGGIO 1 - Procedura di configurazione per l'API Mimecast

Passare a portale di Azure ---> Registrazioni app ---> [your_app] ---> Certificati & segreti ---> Nuovo segreto client e creare un nuovo segreto (salvare immediatamente il valore in un punto sicuro perché non sarà possibile visualizzarlo in anteprima in un secondo momento)

PASSAGGIO 2 - Distribuire Mimecast API Connector

IMPORTANTE: Prima di distribuire il connettore API Mimecast, è possibile copiare l'ID dell'area di lavoro e la chiave primaria dell'area di lavoro (che possono essere copiati da quanto segue), nonché le chiavi o i token di autorizzazione dell'API Mimecast, immediatamente disponibili.

ID dello spazio di lavoro:<variable value provided at install time>

Chiave primaria:<variable value provided at install time>

Distribuire mimecast Targeted Threat Protection Data Connector:

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms

Selezionare la sottoscrizione, il gruppo di risorse e la località preferiti.

Immettere i campi seguenti:

appName: stringa univoca che verrà usata come ID per l'app nella piattaforma Azure

objectId: Azure portale ---> Azure Active Directory ---> altre informazioni ---> ID oggetto ---> profilo

appInsightsLocation (predefinito): ovest Europa

mimecastEmail: Email indirizzo dell'utente dedicato per questa integrazione

mimecastPassword: password per l'utente dedicato

mimecastAppId: ID applicazione dell'app Microsoft Sentinel registrata con Mimecast

mimecastAppKey: chiave dell'applicazione dall'app Microsoft Sentinel registrata con Mimecast

mimecastAccessKey: chiave di accesso per l'utente Mimecast dedicato

mimecastSecretKey: chiave privata per l'utente Mimecast dedicato

mimecastBaseURL: URL di base dell'API Mimecast a livello di area

activeDirectoryAppId: portale di Azure ---> Registrazioni app ---> [your_app] ---> ID applicazione

activeDirectoryAppSecret: portale di Azure ---> Registrazioni app ---> [your_app] ---> certificati & segreti ---> [your_app_secret]

workspaceId: portale di Azure ---> Log Analytics Workspaces ---> [Area di lavoro] ---> Agents ---> WORKSPACE ID (oppure è possibile copiare workspaceId dall'alto)

workspaceKey: portale di Azure ---> aree di lavoro di Log Analytics ---> [Area di lavoro] ---> Agenti ---> chiave primaria (oppure è possibile copiare workspaceKey dall'alto)

AppInsightsWorkspaceResourceID: portale di Azure ---> ---> aree di lavoro di Log Analytics [Area di lavoro] ---> Proprietà ---> ID risorsa

Nota: se si usano Azure Key Vault segreti per uno dei valori precedenti, usare lo@Microsoft.KeyVault(SecretUri={Security Identifier})schema al posto dei valori stringa. Per altre informazioni, vedere Key Vault documentazione di riferimento.

Contrassegnare la casella di controllo con l'etichetta Accetto i termini e le condizioni indicati sopra.

Fare clic su Acquista per distribuire.

Passare a portale di Azure ---> Gruppi di risorse ---> [your_resource_group] ---> [appName](tipo: account di archiviazione) ---> Storage Explorer ---> CONTENITORi BLOB ---> checkpoint TTP ---> Caricare e creare file vuoti nel computer denominato attachment-checkpoint.txt, impersonation-checkpoint.txt, url-checkpoint.txt e selezionarli per il caricamento ( questa operazione viene eseguita in modo che date_range per i log TTP vengano archiviati in uno stato coerente)

MISP2Sentinel

Supportato da:Community

Questa soluzione installa il connettore MISP2Sentinel che consente di eseguire automaticamente il push degli indicatori di minaccia da MISP a Microsoft Sentinel tramite l'API REST Upload Indicators.This solution installs the MISP2Sentinel connector that allows you to push automatically threat indicators from MISP to Microsoft Sentinel via the Upload Indicators REST API. Dopo aver installato la soluzione, configurare e abilitare questo connettore dati seguendo le indicazioni riportate in Gestire la visualizzazione soluzione.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

ThreatIntelligenceIndicator Sì No

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

Istruzioni per l'installazione:

Istruzioni per installazione e installazione:

Usare la documentazione di questo repository GitHub per installare e configurare MISP per Microsoft Sentinel connettore:

https://github.com/cudeso/misp2sentinel

Log di MongoDB Atlas

Supportato da:MongoDB

Il connettore MongoDBAtlas Logs offre la possibilità di caricare i log del database Atlas di MongoDB in Microsoft Sentinel tramite l'API amministrazione di MongoDB Atlas. Per altre informazioni, vedere la documentazione dell'API . Il connettore consente di ottenere un intervallo di messaggi di log del database per gli host specificati e il progetto specificato.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

MDBALogTable_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Microsoft. Permessi web/siti: Sono necessari permessi di lettura e scrittura per Funzioni di Azure per creare una Function App. Per altre informazioni, vedere Funzioni di Azure.

Credenziali/permessi API REST: Sono richiesti l'ID del cliente e il segreto del cliente dell'account Atlas di MongoDB. Per altre informazioni, vedere Creazione di un account del servizio

Istruzioni per l'installazione:

NOTA: Questo connettore usa Funzioni di Azure per connettersi a "MongoDB Atlas" per eseguire il pull dei log in Microsoft Sentinel. Ciò potrebbe comportare costi aggiuntivi per l'inserimento di dati. Per informazioni dettagliate, controllare la pagina dei prezzi Funzioni di Azure.

(Passaggio facoltativo) Archiviare in modo sicuro le chiavi o i token di autorizzazione api e dell'area di lavoro in Azure Key Vault. Azure Key Vault fornisce un meccanismo sicuro per archiviare e recuperare i valori delle chiavi. Seguire queste istruzioni per usare Azure Key Vault con un'app per le funzioni Azure.

Assicurarsi che l'area di lavoro venga aggiunta a Microsoft Sentinel prima di distribuire il connettore.

PASSO 1 - Passaggi di configurazione per l''API di Amministrazione MongoDB Atlas':

Seguire queste istruzioni per creare un account del servizio Atlas mongoDB.

Copiare l'ID client e il segreto client creati, anche l'ID gruppo (progetto) e ogni ID cluster (nome host) necessari per i passaggi successivi.

Per altri dettagli, vedere la documentazione dell'API Atlas di MongoDB .

Il segreto client può essere passato al connettore tramite un insieme di credenziali delle chiavi Azure o direttamente nel connettore.

Se si vuole usare l'opzione key vault, creare un insieme di credenziali delle chiavi, usando un criterio di accesso dell'insieme di credenziali, con un segreto denominato mongodb-client-secret e il segreto client salvato come valore del segreto.

PASSO 2 - Distribuire il connettore 'MongoDB Atlas Logs' e la funzione Azure associata:

Fare clic sul pulsante Distribuisci in Azure di seguito.

portal.azure.com

PASSO 3 - Imposta i parametri del connettore:

Selezionare la sottoscrizione preferita e un gruppo di risorse esistente.

Immettere un ID risorsa dell'area di lavoro Log Analytics esistente appartenente al gruppo di risorse.

Clicca avanti:

Immettere l'ID gruppo MongoDB, un elenco di un massimo di 10 ID cluster MongoDB, ognuno in una riga separata e l'ID client MongoDB.

Scegliere metodo di autenticazione segreto client e copiare nel valore del segreto client o Key Vault e copiare nel nome dell'insieme di credenziali delle chiavi. Clicca avanti:

Esaminare i filtri MongoDB. Selezionare i log da almeno una categoria. Clicca avanti:

Esaminare la pianificazione. Clicca avanti:

Esaminare le impostazioni e quindi fare clic su Crea.

MuleSoft Cloudhub

Supportato da:Microsoft Corporation

Il connettore dati MuleSoft Cloudhub offre la possibilità di recuperare i log dalle applicazioni Cloudhub usando l'API Cloudhub e altri eventi in Microsoft Sentinel tramite l'API REST. Il connettore consente il recupero degli eventi per valutare i potenziali rischi per la sicurezza, monitorare la collaborazione e diagnosticare e risolvere i problemi di configurazione.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

MuleSoft_Cloudhub_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Microsoft. Permessi web/siti: Sono necessari permessi di lettura e scrittura per Funzioni di Azure per creare una Function App. Per altre informazioni, vedere Funzioni di Azure.

Credenziali/permessi API REST:MuleSoftEnvId, MuleSoftAppName, MuleSoftUsername e MuleSoftPassword sono necessari per effettuare chiamate API.

Istruzioni per l'installazione:

NOTA: Questo connettore usa Funzioni di Azure per connettersi all'API Archiviazione BLOB di Azure per eseguire il pull dei log in Microsoft Sentinel. Ciò potrebbe comportare costi aggiuntivi per l'inserimento dei dati e per l'archiviazione dei dati nei costi di Archiviazione BLOB di Azure. Per informazioni dettagliate, controllare la pagina dei prezzi Funzioni di Azure e Archiviazione BLOB di Azure pagina dei prezzi.

(Passaggio facoltativo) Archiviare in modo sicuro le chiavi o i token di autorizzazione api e dell'area di lavoro in Azure Key Vault. Azure Key Vault fornisce un meccanismo sicuro per archiviare e recuperare i valori delle chiavi. Seguire queste istruzioni per usare Azure Key Vault con un'app per le funzioni Azure.

NOTA: Questo connettore dati dipende da un parser basato su una funzione Kusto per funzionare come previsto MuleSoftCloudhub distribuito con la soluzione Microsoft Sentinel.

Nota: questo connettore dati recupera solo i log dell'applicazione CloudHub usando l'API della piattaforma e non dell'applicazione CloudHub 2.0

PASSAGGIO 1 - Procedura di configurazione per l'API MuleSoft Cloudhub

Seguire le istruzioni per ottenere le credenziali.

Ottenere MuleSoftEnvId, MuleSoftAppName, MuleSoftUsername e MuleSoftPassword usando la documentazione.

Salvare le credenziali per l'uso nel connettore dati.

PASSAGGIO 2- Scegliere UNO tra le due opzioni di distribuzione seguenti per distribuire il connettore e la funzione Azure associata

IMPORTANTE: Prima di distribuire il connettore dati MuleSoft Cloudhub, fare in modo che l'ID area di lavoro e la chiave primaria dell'area di lavoro siano copiati da quanto segue.

ID dello spazio di lavoro:<Valore variabile fornito al momento dell'installazione>

Chiave primaria:<Valore variabile fornito al momento dell'installazione>

Opzione 1 - Modello Azure Resource Manager (ARM)

Usare questo metodo per la distribuzione automatizzata del connettore dati MuleSoft Cloudhub usando un modello ARM.

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms

Selezionare la sottoscrizione, il gruppo di risorse e la località preferiti.

NOTA: All'interno dello stesso gruppo di risorse, non è possibile combinare app Windows e Linux nella stessa area. Selezionare un gruppo di risorse esistente senza app di Windows o creare un nuovo gruppo di risorse. 3. Immettere MuleSoftEnvId, MuleSoftAppName, MuleSoftUsername e MuleSoftPassword e distribuire. 4. Contrassegnare la casella di controllo etichettata Accetto i termini e le condizioni indicati sopra. 5. Fare clic su Acquista per distribuire.

Opzione 2 - Distribuzione manuale di Funzioni di Azure

Usare le istruzioni dettagliate seguenti per distribuire manualmente il connettore dati MuleSoft Cloudhub con Funzioni di Azure (distribuzione tramite Visual Studio Code).

Distribuire un'app per le funzioni

NOTA: Sarà necessario preparare vs code per lo sviluppo di funzioni Azure.

Scaricare il file dell'app per le funzioni Azure. Estrarre l'archivio nel computer di sviluppo locale.

Avviare VS Code. Scegliere File nel menu principale e selezionare Apri cartella.

Selezionare la cartella di primo livello dai file estratti.

Scegliere l'icona Azure nella barra attività, quindi nell'area Azure: Funzioni scegliere il pulsante Distribuisci nell'app per le funzioni. Se non è già stato eseguito l'accesso, scegliere l'icona Azure nella barra attività, quindi nell'area Azure: Funzioni scegliere Accedi a Azure Se si è già connessi, passare al passaggio successivo.

Fornire le informazioni seguenti alle richieste:

a. Selezionare la cartella: Scegliere una cartella dall'area di lavoro o passare a una cartella contenente l'app per le funzioni.

b. Selezionare Sottoscrizione: Scegliere la sottoscrizione da usare.

c. Selezionare Crea nuova app per le funzioni in Azure (non scegliere l'opzione Avanzate)

d. Immettere un nome univoco globale per l'app per le funzioni: Digitare un nome valido in un percorso URL. Il nome digitato viene convalidato per assicurarsi che sia univoco in Funzioni di Azure. (ad esempio MuleSoftXXXXX).

e. Selezionare un runtime: Scegliere Python 3.11.

f. Selezionare una posizione per le nuove risorse. Per ottenere prestazioni migliori e costi inferiori, scegliere la stessa area in cui si trova Microsoft Sentinel.

Verrà avviata la distribuzione. Una notifica viene visualizzata dopo la creazione dell'app per le funzioni e l'applicazione del pacchetto di distribuzione.

Passare a portale di Azuree per la configurazione dell'app per le funzioni.

Configurare l'app per le funzioni

Nell'app per le funzioni selezionare nome dell'app per le funzioni e selezionare Configurazione.

Nella scheda Impostazioni applicazione selezionare Nuova impostazione applicazione.

Aggiungere ognuna delle impostazioni dell'applicazione seguenti singolarmente, con i rispettivi valori stringa (distinzione tra maiuscole e minuscole): MuleSoftEnvId MuleSoftAppName MuleSoftUsername MuleSoftPassword WorkspaceID WorkspaceKey logAnalyticsUri (facoltativo)

Usare logAnalyticsUri per eseguire l'override dell'endpoint DELL'API log analytics per il cloud dedicato. Ad esempio, per il cloud pubblico, lasciare il valore vuoto; per Azure ambito cloud GovUS, specificare il valore nel formato seguente: https://<CustomerId>.ods.opinsights.azure.us.

Dopo aver immesso tutte le impostazioni dell'applicazione, fare clic su Salva.

Connettore di Allerta CloudHub Mulesoft (tramite Codeless Connector Framework)

Supportato da:Microsoft Corporation

Il connettore dati Mulesoft CloudHub ti permette di ingerire gli avvisi da Mulesoft CloudHub in Microsoft Sentinel tramite l'API REST di CloudHub v2. Questo connettore supporta endpoint configurabili per adattarsi a diverse regioni e ambienti di distribuzione Mulesoft, inclusi US Commercial Cloud, EU Cloud, Government Cloud e implementazioni on-premises. Utilizza il supporto multi-stream, così puoi connetterti contemporaneamente a più ambienti Mulesoft. Configura il connettore con le credenziali della piattaforma Anypoint, l'ID dell'ambiente e il filtro opzionale del nome dell'applicazione per iniziare a raccogliere dati. Usa il MuleSoftCloudhub parser per interrogare gli avvisi ingeriti. Consulta la documentazione delle API di Mulesoft CloudHub per maggiori informazioni sulle API CloudHub.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

MulesoftCloudhubAlerts_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Accesso API Mulesoft CloudHub: È necessario l'accesso API Mulesoft CloudHub con permessi di lettura.

Istruzioni per l'installazione:

1. Connessioni Mulesoft CloudHub

Gestisci le connessioni con i tuoi ambienti CloudHub Mulesoft

Prerequisiti

Prima di configurare questo connettore, assicurati di avere:

Account Mulesoft Anypoint Platform con i permessi appropriati

Ambiente Accesso all'ambiente CloudHub che vuoi monitorare

Credenziali di accesso API (nome utente e password)

ID dell'ambiente dalla tua console Mulesoft CloudHub

Trovare il tuo ID di ambiente

Accedi a Anypoint Platform

Naviga verso gli ambienti di gestione > degli accessi

Seleziona l'ambiente di destinazione

Copia l'ID dell'ambiente dall'URL o dai dettagli dell'ambiente

Nota: Questo connettore richiede l'accesso di lettura all'API CloudHub. Contatta il tuo amministratore Mulesoft se non hai i permessi necessari.

Griglia connettori dati (configurare nel portale)

2. Monitorare e Validare

Monitorare l'ingestione dei dati e validare la connettività

Passaggi post-connessione

Monitorare lo stato della connessione: Controlla lo stato del connettore nella pagina dei connettori dati

Validate Flusso di dati: Utilizzare le query di esempio fornite per verificare che i dati vengano raccolti

Log di recensione: Controlla i log di Monitoraggio di Azure per eventuali problemi di connessione o autenticazione

Programma di raccolta dati

Allarmi: Interrogato ogni 5 minuti dall'endpoint /v2/alerts

Sequenza temporale prevista

Dati iniziali: Prevedi 10-15 minuti affinché appaian i dati iniziali

Dati di allerta: Disponibile nella MuleSoftCloudhub tabella

Troubleshooting

Errori di autenticazione: Verifica le credenziali e l'accesso all'ambiente

Nessun dato: Assicurati che gli avvisi esistano nell'ambiente specificato

Dati parziali: Controlla le impostazioni dell'ID dell'ambiente e del filtro applicativo

Nota: Query di esempio:MuleSoftCloudhub | where TimeGenerated > ago(24h) | summarize count() by EventSeverity

MuleSoft CloudHub Logs (Push Connector tramite Codeless Connector Framework)

Supportato da:Microsoft Corporation

Connettore push-basato su Log4j MuleSoft CloudHub per ricevere log delle applicazioni direttamente da MuleSoft CloudHub tramite appender HTTP Log4j. Questo connettore consente ai clienti di trasmettere i log in tempo reale come raccomandato da MuleSoft, evitando limitazioni di velocità API e problemi di duplicati di dati. Configura le tue applicazioni MuleSoft con la configurazione Log4j HTTP appender fornita per trasmettere i log a Microsoft Sentinel.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

MuleSoftCloudhubLogs No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Microsoft. Insights/dataCollectionEndpoints: Data Collection Endpoint è necessario affinché il moderno connettore push possa ricevere dati dal sistema di sicurezza esterno.

Microsoft. Insights/dataCollectionRules: La Data Collection Rule è necessaria per definire lo schema e le trasformazioni dei dati in arrivo.

Microsoft. Autorizzazione/ruolo Assegnazioni: L'assegnazione di ruolo è necessaria per concedere all'applicazione Entra i permessi di inviare dati alla Data Collection Rule.

Istruzioni per l'installazione:

1. Creare risorse di Resource Manager e fornire le autorizzazioni necessarie

Questo connettore riceve dati da sistemi di sicurezza esterni che inviano i log a Microsoft Sentinel. Il sistema esterno deve essere configurato per inviare i dati grezzi degli eventi all'API di Microsoft Sentinel Ingestion. Cliccando su Deploy avvierà la creazione di tabelle Log Analytics e di una Data Collection Rule (DCR). Verrà quindi creata un'applicazione Entra, verrà collegato il DCR e verrà impostato il segreto immesso nell'applicazione. Questa configurazione consente di inviare i dati in modo sicuro al DCR usando un token di Entra.

Scopri di più sul processo di installazione dei connettori

Azure Resource Deployment

Il processo di implementazione creerà le seguenti risorse:

Log Analytics tabella(i) personalizzate/e

Endpoint raccolta dati (DCE)

Regola di raccolta dati

Entra ID Registrazione

Assegnazioni di ruoli per l'ingestione di dati

Valori di configurazione

Dopo il deployment, copia i seguenti valori per configurare il tuo sistema di sicurezza esterno:

ID Tenant (ID Directory):<Valore variabile fornito al momento dell'installazione>

ID Domanda di Registrazione Entra App:<Valore variabile fornito al momento dell'installazione>

Segreto per la registrazione dell'app Entra:<Valore variabile fornito al momento dell'installazione>

URL dell'endpoint di raccolta dati:<Valore variabile fornito al momento dell'installazione>

ID immutabile della regola di raccolta dati:<Valore variabile fornito al momento dell'installazione>

Nome dello stream (MuleSoftCloudhubLogs):<Valore variabile fornito al momento dell'installazione>

Nota: Mantieni questi valori sicuri. Ti serviranno per configurare il tuo sistema di sicurezza esterno.

2. Configura il tuo sistema esterno per inviare i log

Usa i seguenti parametri per configurare il tuo sistema di sicurezza esterno per inviare i log allo spazio di lavoro.

Passaggi di configurazione

Accedi all'interfaccia di configurazione del tuo sistema di sicurezza esterno.

Naviga nelle impostazioni di inoltro, integrazione o SIEM.

Seleziona Monitoraggio di Azure o Microsoft Sentinel come destinazione.

Seleziona Data Collection Endpoint come metodo di autenticazione.

Configura i campi richiesti usando i valori del passaggio precedente:

ID inquilino: Copia da quanto sopra

ID applicazione (client): Copia da quanto sopra

Segreto del cliente: Copia da quanto sopra

Endpoint di raccolta dati: Copia da quanto sopra

ID immutabile della regola di raccolta dati: Copia da quanto sopra

Nome dello streaming: Copia il nome appropriato del corso d'acqua sopra

Salva la configurazione e abilita/avvia il forwarder.

Validation

Nota: I dati appariranno nella tabella MuleSoftCloudhubLogs nel tuo spazio di lavoro Log Analytics entro pochi minuti.

Per verificare che i dati vengano ricevuti, esegui la seguente query nel tuo spazio di lavoro Log Analytics:

MuleSoftCloudhubLogs | where TimeGenerated > ago(1h) | take 10

Troubleshooting

Se i dati non compaiono:

Verifica che i valori di configurazione siano corretti

Controlla che il forwarder/integrazione sia abilitato e in esecuzione

Rivedi i log nel tuo sistema di sicurezza esterno per eventuali errori

Assicurati la connettività di rete dal tuo sistema ad Azure

Verifica che l'applicazione Entra abbia i permessi corretti

PROTEZIONE NC

Supportato da:archTIS

NC Protect Data Connector (archtis.com) offre la possibilità di inserire i log attività e gli eventi degli utenti in Microsoft Sentinel. Il connettore offre visibilità sui log attività degli utenti e sugli eventi di NC Protect in Microsoft Sentinel per migliorare le funzionalità di monitoraggio e indagine

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

NCProtectUAL_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

NC Protect: Devi avere un'istanza attiva di NC Protect per O365. Contattaci.

Istruzioni per l'installazione:

Installare NC Protect nell'Azure Tenancy

Accedere al sito di amministrazione di NC Protect

Dal menu di spostamento a sinistra selezionare Generale -> Monitoraggio attività utente

Selezionare la casella di controllo Abilita SIEM e fare clic sul pulsante Configura

Selezionare Microsoft Sentinel come applicazione e completare la configurazione usando le informazioni seguenti

Fare clic su Salva per attivare la connessione

ID dello spazio di lavoro:<variable value provided at install time>

Chiave primaria:<variable value provided at install time>

Avvisi ed eventi netskope

Supportato da:Netskope

Avvisi ed eventi di sicurezza netskope

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

NetskopeAlerts_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

URL di Netskope organisation: Il netskope data connector richiede che tu fornisca l'URL della tua organizzazione. È possibile trovare l'URL dell'organizzazione accedendo al portale Netskope.

Netskope API key: Il connettore dati Netskope richiede che tu fornisca una chiave API valida. È possibile crearne uno seguendo la documentazione di Netskope.

Istruzioni per l'installazione:

PASSO 1 - Crea una chiave API Netskope:

Per indicazioni su questo passaggio, seguire la documentazione di Netskope .

PASSO 2 - Inserisci i dettagli del tuo prodotto Netskope:

Immettere l'URL dell'organizzazione Netskope & token API di seguito:

URL dell'organizzazione: (Inserisci l'URL della tua organizzazione)

Chiave API: (Inserisci la tua chiave API) OPZIONALE: Specifica l'indice utilizzato dall'API:

La configurazione dell'indice è facoltativa e necessaria solo negli scenari avanzati. Netskope usa un indice per recuperare gli eventi. In alcuni casi avanzati (utilizzo dell'evento in più aree di lavoro Microsoft Sentinel o pre-applicazione dell'indice per recuperare solo i dati recenti), un cliente potrebbe voler avere il controllo diretto sull'indice.

Indice: (NetskopeCCF)

PASSO 3 - Clicca Collega:

Verificare che tutti i campi precedenti siano stati compilati correttamente. Premere Connetti per connettere Netskope a Microsoft Sentinel.

Abilitare/disabilitare la connessione

Netskope Data Connector

Supportato da:Netskope

Il connettore dati Netskope offre le funzionalità seguenti:

NetskopeToAzureStorage :

Ottenere i dati degli avvisi ed eventi Netskope da Netskope e inserire nell'archiviazione Azure. 2. StorageToSentinel:

Ottenere i dati di Netskope Alerts and Events dall'archiviazione Azure e inserire nella tabella di log personalizzata nell'area di lavoro Log Analytics. 3. WebTxMetrics :

Ottenere i dati WebTxMetrics da Netskope e inserire nella tabella di log personalizzata nell'area di lavoro Log Analytics.

Per altre informazioni sulle API REST, vedere la documentazione seguente:

Documentazione dell'API Netskope:

https://docs.netskope.com/en/netskope-help/admin-console/rest-api/rest-api-v2-overview-312207/2. Azure documentazione di archiviazione: /azure/storage/common/storage-introduction 3. Documentazione di Microsoft Log Analytics: /azure/azure-monitor/logs/log-analytics-overview

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

alertscompromisedcredentialdata_CL No No

alertsctepdata_CL No No

alertsdlpdata_CL No No

alertsmalsitedata_CL No No

alertsmalwaredata_CL No No

alertspolicydata_CL No No

alertsquarantinedata_CL No No

alertsremediationdata_CL No No

alertssecurityassessmentdata_CL No No

alertsubadata_CL No No

eventsapplicationdata_CL No No

eventsauditdata_CL No No

eventsconnectiondata_CL No No

eventsincidentdata_CL No No

eventsnetworkdata_CL No No

eventspagedata_CL No No

Netskope_WebTx_metrics_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Sottoscrizione Azure: L'abbonamento Azure con ruolo proprietario è necessario per registrare un'applicazione in Azure Active Directory() e assegnare il ruolo di contributore all'app nel gruppo risorse.

Microsoft. Permessi web/siti: Sono necessari permessi di lettura e scrittura per Funzioni di Azure per creare una Function App. Per altre informazioni, vedere Funzioni di Azure.

Credenziali/permessi API REST:sono richiesti Netskope Tenant e Netskope API Token. Vedere la documentazione per altre informazioni sull'API nella guida di riferimento all'API Rest

Istruzioni per l'installazione:

NOTA: Questo connettore usa Funzioni di Azure per connettersi alle API Netskope per eseguire il pull dei dati relativi ad avvisi ed eventi nella tabella di log personalizzata. Per informazioni dettagliate, controllare la pagina dei prezzi Funzioni di Azure.

(Passaggio facoltativo) Archiviare in modo sicuro le chiavi o i token di autorizzazione api e dell'area di lavoro in Azure Key Vault. Azure Key Vault fornisce un meccanismo sicuro per archiviare e recuperare i valori delle chiavi. Seguire queste istruzioni per usare Azure Key Vault con un'app per le funzioni Azure.

PASSAGGIO 1 : Procedura di registrazione dell'app per l'applicazione in Microsoft Entra ID

Questa integrazione richiede una registrazione dell'app nel portale di Azure. Seguire i passaggi descritti in questa sezione per creare una nuova applicazione in Microsoft Entra ID:

Accedere al portale di Azure.

Cercare e selezionare Microsoft Entra ID.

In Gestisci selezionare Registrazioni app > Nuova registrazione.

Immettere un nome visualizzato per l'applicazione.

Selezionare Registra per completare la registrazione iniziale dell'app.

Al termine della registrazione, il portale di Azure visualizza il riquadro Panoramica della registrazione dell'app. Verranno visualizzati l'ID applicazione (client) e l'ID tenant. L'ID client e l'ID tenant sono necessari come parametri di configurazione per l'esecuzione del playbook TriggersSync.

Collegamento di riferimento:/azure/active-directory/develop/quickstart-register-app

PASSAGGIO 2 - Aggiungere un segreto client per l'applicazione in Microsoft Entra ID

A volte chiamato password dell'applicazione, un segreto client è un valore stringa necessario per l'esecuzione del playbook TriggersSync. Seguire i passaggi descritti in questa sezione per creare un nuovo segreto client:

Nel portale di Azure selezionare l'applicazione in Registrazioni app.

Selezionare Certificati & segreti > client Segreti > client Nuovo segreto client.

Aggiungere una descrizione per il segreto client.

Selezionare una scadenza per il segreto o specificare una durata personalizzata. Il limite è di 24 mesi.

Selezionare Aggiungi.

Registrare il valore del segreto da usare nel codice dell'applicazione client. Questo valore del segreto non viene mai più visualizzato dopo aver lasciato questa pagina. Il valore del segreto è obbligatorio come parametro di configurazione per l'esecuzione del playbook TriggersSync.

Collegamento di riferimento:/azure/active-directory/develop/quickstart-register-app#add-a-client-secret

PASSAGGIO 3 - Assegnare il ruolo collaboratore all'applicazione in Microsoft Entra ID

Seguire i passaggi descritti in questa sezione per assegnare il ruolo:

Nella portale di Azure passare al gruppo di risorse e selezionare il gruppo di risorse.

Passare a Controllo di accesso (IAM) dal pannello sinistro.

Fare clic su Aggiungi e quindi selezionare Aggiungi assegnazione di ruolo.

Selezionare Collaboratore come ruolo e fare clic su Avanti.

In Assegna accesso a selezionare User, group, or service principal.

Fare clic su Aggiungi membri e digitare il nome dell'app creato e selezionarlo.

Fare ora clic su Rivedi e assegna e quindi fare di nuovo clic su Rivedi e assegna.

Collegamento di riferimento:/azure/role-based-access-control/role-assignments-portal

PASSAGGIO 4: Passaggi per creare/ottenere le credenziali per l'account Netskope

Segui i passaggi in questa sezione per creare/ottenere il nome host Netskope e il token API Netskope:

Accedere al tenant Netskope e passare al menu Impostazioni sulla barra di spostamento a sinistra.

Clicca su Strumenti e poi su API REST v2:

Fare clic sul pulsante nuovo token. Verrà quindi richiesto il nome del token, la durata della scadenza e gli endpoint da cui si vogliono recuperare i dati.

Dopo aver fatto clic sul pulsante Salva, verrà generato il token. Copiare il token e salvarlo in un luogo sicuro per un ulteriore utilizzo.

PASSAGGIO 5 - Passaggi per creare le funzioni di Azure per la raccolta di dati di avvisi ed eventi Netskope

IMPORTANTE: Prima di distribuire il connettore dati Netskope, avere a disposizione l'ID dell'area di lavoro e la chiave primaria dell'area di lavoro (che possono essere copiati da quanto segue) e le chiavi di autorizzazione dell'API Netskope.

ID dello spazio di lavoro:<variable value provided at install time>

Chiave primaria:<variable value provided at install time>

Usando il modello arm distribuisci le app per le funzioni per l'inserimento di eventi Netskope e avvisa i dati per Sentinel.

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms

Selezionare la sottoscrizione, il gruppo di risorse e la località preferiti.

Immettere le informazioni seguenti: Netskope HostName Netskope API Token Select Yes in Alerts and Events types (Selezionare Sì nell'elenco a discesa Tipi di avvisi ed eventi) per l'endpoint in cui si desidera recuperare la chiave dell'area di lavoro Alerts and Events Log Level ID

Fare clic su Rivedi e crea.

Quindi, dopo la convalida, fare clic su Crea per distribuire.

Netskope Web Transaction Connector (tramite archiviazione BLOB)

Supportato da:Netskope

Il connettore Netskope Web Transaction inserisce i log delle transazioni Web da Netskope Log Streaming in Microsoft Sentinel tramite Archiviazione BLOB di Azure tramite Codeless Connector Framework (CCF).

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

NetskopeWebTransactions_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Permessi di abbonamento: Servono permessi per creare le risorse di flusso dati:

code di archiviazione (coda di notifica e coda di messaggi non recapitabili)

argomento della griglia di eventi e sottoscrizione (per inviare notifiche "evento creato blob" alla coda di notifica)

assegnazioni di ruolo (per concedere l'accesso per Microsoft Sentinel'app al contenitore BLOB e alle code di archiviazione).

Configurazione della rete degli account di archiviazione: Le restrizioni di rete (firewall/regole IP) sull'account Archiviazione BLOB di Azure non sono supportate per questo connettore a causa delle restrizioni e limitazioni del firewall di Archiviazione di Azure:

Le regole di rete IPnon hanno alcun effettosulle richieste provenienti dalla stessa area Azure dell'account di archiviazione.

Le regole di rete IPnon possono limitarel'accesso ai servizi Azure distribuiti nella stessa area, poiché questi servizi usano indirizzi IP privati Azure per la comunicazione.

Le regole degli endpoint del servizio di rete virtuale non si applicano ai client in un'area associata.

Verificare che il pannello Rete dell'account di archiviazione sia impostato su Abilitato da tutte le reti.

Assegnazioni dei ruoli degli account di archiviazione: I seguenti ruoli Azure RBAC devono essere assegnati al principale servizio applicativo enterprise Microsoft Sentinel (mostrato sotto) sull'Account Storage che contiene il tuo contenitore blob:

Collaboratore ai dati dei BLOB di archiviazione , necessario per la lettura dei dati BLOB dal contenitore.

Collaboratore ai dati della coda di archiviazione , necessario per la gestione dei messaggi di notifica e della coda dei messaggi non recapitabili.

Per assegnare questi ruoli: passare all'account di archiviazione ->Controllo di accesso (IAM) ->Aggiungi assegnazione di ruolo, cercare l'ID entità servizio illustrato di seguito e assegnare entrambi i ruoli.

Raccolta dati da Netskope al tuo contenitore blob: Segui i passaggi nella documentazione di Netskope Log Streaming per configurare Netskope per trasmettere i log delle transazioni Web al tuo container Archiviazione BLOB di Azure.

Istruzioni per l'installazione:

Connect Netskope WebTx Logs to Microsoft Sentinel:

Per abilitare i log Netskope WebTx per Microsoft Sentinel, specificare le informazioni necessarie di seguito e fare clic su Connetti.

L'URL del container blob da cui vuoi raccogliere i dati:

Nome della cartella BLOB nel contenitore. Facoltativo:

Posizione dell'account di archiviazione del blob:

Nome del gruppo risorse dell'account di stoccaggio del blob:

L'ID di abbonamento dell'account di archiviazione del blob:

Nome dell'argomento della griglia di eventi dell'account di archiviazione del contenitore BLOB, se esistente. Altrimenti tieni vuoto:

Abilitare/disabilitare la connessione

Netskope Web Transactions Data Connector

Supportato da:Netskope

Il connettore dati Netskope Web Transactions offre la funzionalità di un'immagine docker per eseguire il pull dei dati delle transazioni Web Netskope da google pubsublite, elaborare i dati e inserire i dati elaborati in Log Analytics. Come parte di questo connettore dati verranno formate due tabelle in Log Analytics, una per i dati delle transazioni Web e l'altra per gli errori rilevati durante l'esecuzione.

Per altri dettagli relativi alle transazioni Web, vedere la documentazione seguente:

Documentazione di Netskope Web Transactions:

https://docs.netskope.com/en/netskope-help/data-security/transaction-events/netskope-transaction-events/

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

NetskopeWebtxData_CL No No

NetskopeWebtxErrors_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Iscrizione Azure: L'abbonamento Azure con ruolo di proprietario è necessario per registrare un'applicazione in Microsoft Entra ID e assegnare il ruolo di contributore all'app nel gruppo risorse.

Microsoft. Permessi di calcolo: sono necessari permessi di lettura e scrittura sulle VM Azure. Per altre informazioni, vedere Azure macchine virtuali.

Credenziali e permessi TransactionEvents:Netskope Tenant e Netskope API Token sono necessari. Per altre informazioni, vedere Eventi delle transazioni.

Microsoft. Permessi web/siti: Sono necessari permessi di lettura e scrittura per Funzioni di Azure per creare una Function App. Per altre informazioni, vedere Funzioni di Azure.

Istruzioni per l'installazione:

NOTA: Questo connettore offre la funzionalità di inserimento dei dati di Netskope Web Transactions usando un'immagine docker da distribuire in una macchina virtuale (VM Azure/VM locale). Per informazioni dettagliate, controllare la pagina dei prezzi della macchina virtuale Azure.

(Passaggio facoltativo) Archiviare in modo sicuro le chiavi o i token di autorizzazione api e dell'area di lavoro in Azure Key Vault. Azure Key Vault fornisce un meccanismo sicuro per archiviare e recuperare i valori delle chiavi. Seguire queste istruzioni per usare Azure Key Vault con un'app per le funzioni Azure.

PASSAGGIO 1 - Passaggi per creare/ottenere le credenziali per l'account Netskope

Segui i passaggi in questa sezione per creare/ottenere il nome host Netskope e il token API Netskope:

Accedere al tenant Netskope e passare al menu Impostazioni sulla barra di spostamento a sinistra.

Clicca su Strumenti e poi su API REST v2:

Fare clic sul pulsante nuovo token. Verrà quindi richiesto il nome del token, la durata della scadenza e gli endpoint da cui si vogliono recuperare i dati.

Dopo aver fatto clic sul pulsante Salva, verrà generato il token. Copiare il token e salvarlo in un luogo sicuro per un ulteriore utilizzo.

PASSAGGIO 2- Scegliere una delle due opzioni di distribuzione seguenti per distribuire il connettore dati basato su Docker per inserire i dati di Netskope Web Transactions

IMPORTANTE: Prima di distribuire il connettore dati Netskope, avere l'ID area di lavoro e la chiave primaria dell'area di lavoro (che possono essere copiati dai seguenti) immediatamente disponibili, nonché le chiavi di autorizzazione dell'API Netskope [assicurarsi che il token disponga delle autorizzazioni per gli eventi di transazione].

ID dello spazio di lavoro:<variable value provided at install time>

Chiave primaria:<variable value provided at install time>

Opzione 1 - Utilizzare il modello Azure Resource Manager (ARM) per distribuire VM [Consigliato]:

Usando il modello arm distribuisci una macchina virtuale Azure, installare i prerequisiti e avviare l'esecuzione.

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms

Selezionare la sottoscrizione, il gruppo di risorse e la località preferiti.

Immettere le informazioni seguenti: Nome immagine Docker (mgulledge/netskope-microsoft-sentinel-plugin:netskopewebtransactions) Netskope HostName Netskope API Token Seek Timestamp (Timestamp dell'epoca che si vuole cercare il puntatore pubsublite, può essere lasciato vuoto) Conteggio tentativi chiave dell'area di lavoro id area di lavoro Backoff Retry Count (Conteggio tentativi per gli errori correlati al token prima di riavviare l'esecuzione). Tempo di sospensione backoff (numero di secondi di sospensione prima di riprovare) Timeout di inattività (numero di secondi di attesa per i dati delle transazioni Web prima del riavvio dell'esecuzione) Tipo di autenticazione nome macchina virtuale Tipo di autenticazione Tipo di autenticazione password amministratore o prefisso dell'etichetta DNS chiave Prefisso della versione del sistema operativo Ubuntu Dimensione nome subnet Nome gruppo di sicurezza nome gruppo di sicurezza di rete Tipo di sicurezza del gruppo di sicurezza della rete

Fare clic su Rivedi e crea.

Quindi, dopo la convalida, fare clic su Crea per distribuire.

Opzione 2 - Distribuzione manuale su una macchina virtuale precedentemente creata:

Usare le istruzioni dettagliate seguenti per distribuire manualmente il connettore dati basato su Docker in una macchina virtuale creata in precedenza.

Installare docker e pull docker Image

NOTA: Assicurarsi che la macchina virtuale sia basata su Linux (preferibilmente Ubuntu).

In primo luogo, sarà necessario usare SSH nella macchina virtuale.

Installare ora il motore Docker.

Eseguire ora il pull dell'immagine docker dall'hub docker usando il comando "sudo docker pull mgulledge/netskope-microsoft-sentinel-plugin:netskopewebtransactions".

Per eseguire ora l'immagine docker, usare il comando : 'sudo docker run -it -v $(pwd)/docker_persistent_volume:/app mgulledge/netskope-microsoft-sentinel-plugin:netskopewebtransactions'. È possibile sostituire mgulledge/netskope-microsoft-sentinel-plugin:netskopewebtransactions con l'ID immagine. Qui docker_persistent_volume è il nome della cartella che verrà creata nella macchina virtuale in cui verranno archiviati i file.

Configurare i parametri

Dopo l'esecuzione dell'immagine docker, verranno richiesti i parametri necessari.

Aggiungere singolarmente ognuna delle impostazioni dell'applicazione seguenti, con i rispettivi valori (con distinzione tra maiuscole e minuscole): Netskope HostName Netskope API Token Seek Timestamp (Timestamp dell'epoca che si desidera cercare il puntatore pubsublite, può essere lasciato vuoto) Conteggio tentativi chiave dell'area di lavoro ID area di lavoro (Numero di tentativi per gli errori correlati al token prima di riavviare l'esecuzione). Tempo di sospensione backoff (numero di secondi di sospensione prima di riprovare) Timeout di inattività (numero di secondi di attesa per i dati delle transazioni Web prima del riavvio dell'esecuzione)

Ora l'esecuzione è stata avviata, ma è in modalità interattiva, in modo che la shell non possa essere arrestata. Per eseguirla come processo in background, arrestare l'esecuzione corrente premendo CTRL+C e quindi usare il comando : 'sudo docker run -d -v $(pwd)/docker_persistent_volume:/app mgulledge/netskope-microsoft-sentinel-plugin:netskopewebtransactions'.

Arrestare il contenitore Docker

Usare il comando 'sudo docker container ps' per elencare i contenitori Docker in esecuzione. Annotare l'ID contenitore.

Arrestare il contenitore usando il comando "sudo docker stop <container-id>".

Gruppi di sicurezza di rete

Supportato da:Microsoft Corporation

Azure gruppi di sicurezza di rete consentono di filtrare il traffico di rete da e verso Azure risorse in una rete virtuale Azure. Un gruppo di sicurezza di rete include regole che consentono o negano il traffico verso una subnet di rete virtuale, un'interfaccia di rete o entrambi.

Quando si abilita la registrazione per un gruppo di sicurezza di rete, è possibile raccogliere i tipi di informazioni di log delle risorse seguenti:

Evento: Le voci vengono registrate per cui le regole del gruppo di sicurezza di rete vengono applicate alle macchine virtuali, in base all'indirizzo MAC.

Contatore delle regole: Contiene le voci relative al numero di volte in cui ogni regola del gruppo di sicurezza di rete viene applicata per negare o consentire il traffico. Lo stato di queste regole viene raccolto ogni 300 secondi.

Questo connettore consente di trasmettere i log di diagnostica dei gruppi di sicurezza di rete in Microsoft Sentinel, consentendo di monitorare continuamente l'attività in tutte le istanze. Per altre informazioni, vedere la documentazione Microsoft Sentinel.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

AzureDiagnostics No No

Supporto delle regole di raccolta dati: Attualmente non supportato

NordPass

Supportato da:NordPass

L'integrazione di NordPass con Microsoft Sentinel SIEM tramite l'API consentirà di trasferire automaticamente i dati del log attività da NordPass a Microsoft Sentinel e ottenere informazioni dettagliate in tempo reale, ad esempio l'attività dell'elemento, tutti i tentativi di accesso e le notifiche di sicurezza.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

NordPassEventLogs_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Assicurarsi che il gruppo di risorse e l'area di lavoro Log Analytics vengano creati e si trovino nella stessa area in modo da poter distribuire il Funzioni di Azure.

Aggiungere Microsoft Sentinel all'area di lavoro Log Analytics creata.

Generare un URL e un token dell'API Microsoft Sentinel nel pannello Amministrazione NordPass per completare l'integrazione Funzioni di Azure. Si noti che sarà necessario l'account NordPass Enterprise per tale account.

Importante: Questo connettore usa Funzioni di Azure per recuperare i log attività da NordPass in Microsoft Sentinel. Ciò può comportare costi aggiuntivi per l'inserimento di dati. Per altre informazioni, vedere la pagina dei prezzi Funzioni di Azure.

Istruzioni per l'installazione:

Per procedere con l'installazione Microsoft Sentinel

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms

Si prega di notare che dopo il rilascio riuscito, il sistema estrae di default i dati del Registro Attività ogni 1 minuto:

NordStellar (push)

Supportato da:NordStellar

Il connettore NordStellar esegue il push di eventi di intelligence sulle minacce in tempo reale e di esposizione dalla piattaforma NordStellar in Microsoft Sentinel usando il modello di push CCF (Codeless Connector Framework). Tutti i tipi di evento vengono indirizzati a una singola tabella unificata NordStellar_CL con colonne comuni (EventId, EventType, ModuleRiskLevelAssetType, , AssetValueTags) estratte dalla trasformazione KQL di DCR, mentre il payload specifico del tipo viene mantenuto in una colonna dinamicaDetails.

Tipi di evento supportati:

Dati persi (module: LEAKED_DATA): DATA_BREACH, COMBO_LIST, MALWARE_INFECTION, CONSUMER_CREDENTIAL

Monitoraggio Web scuro (module: DARK_WEB_MONITORING): DARK_WEB_FORUM_POST, DARK_WEB_TELEGRAM_POST, DARK_WEB_RANSOMWARE_POST, DARK_WEB_MARKETPLACE_POST

Squatting del dominio (module: DOMAIN_SQUATTING): DOMAIN_PERMUTATION

Attacco Surface (module: ATTACK_SURFACE): ATTACK_SURFACE_WEB_APPLICATION_VULNERABILITY, ATTACK_SURFACE_NETWORK_SERVICE_VULNERABILITY,ATTACK_SURFACE_DNS_VULNERABILITY

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

NordStellar_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Microsoft Entra: Permesso di creare una registrazione di un'app in Microsoft Entra ID. In genere richiede Entra ruolo sviluppatore di applicazioni ID o superiore.

Microsoft Azure: Permesso di assegnare il ruolo di Monitoring Metrics Publisher sulla regola di raccolta dati (DCR). In genere richiede Azure ruolo Proprietario controllo degli accessi in base al ruolo o Amministratore accesso utente.

NordStellar: Tenant NordStellar attivo con permesso di configurare webhook in uscita per l'integrazione.

Istruzioni per l'installazione:

1. Dispiegare risorse del connettore:

Questo connettore consente a NordStellar di eseguire il push di eventi di intelligence sulle minacce in tempo reale ed esposizione direttamente a Microsoft Sentinel tramite l'API di inserimento Monitoraggio di Azure.

La configurazione automatica facendo clic su Distribuisci creerà:

Tabella di Log Analytics personalizzataNordStellar_CL

Regola di raccolta dati (DCR) con un singolo flusso Custom-NordStellar e una trasformazione KQL che promuove campi comuni e mantiene il payload specifico del tipo in Details

Endpoint raccolta dati (DCE) usato per l'inserimento

Un'applicazione Microsoft Entra con credenziali client OAuth 2.0

Assegnazione di ruolo richiesta Monitoring Metrics Publisher nel Registro Azure Container

Le credenziali restituite di seguito vengono quindi configurate nel portale NordStellar in modo che gli eventi possano essere inseriti in modo sicuro.

2. Configura NordStellar:

Usare i parametri seguenti per configurare l'integrazione Microsoft Sentinel nel portale NordStellar.

ID Tenant (ID Directory):<variable value provided at install time>

ID applicazione (client):<variable value provided at install time>

Segreto client:<variable value provided at install time>

URI dell'endpoint raccolta dati:<variable value provided at install time>

ID immutabile della regola di raccolta dati:<variable value provided at install time>

Nome dello streaming:<variable value provided at install time> NordStellar nell'inviluppo on-the-wire deve POSTARE un array JSON a {DCE URI}/dataCollectionRules/{DCR Immutable ID}/streams/Custom-NordStellar?api-version=2023-01-01 con un token portatore OAuth per l'ambito https://monitor.azure.com//.default.

Ogni elemento esegue il wrapping dell'evento webhook originale in una busta sottile:

[ { "time": "2026-04-27T10:30:00Z", "event": { "id": "...", "type": "DATA_BREACH", "module": "LEAKED_DATA", "risk_level": "HIGH", "date_added": "...", "tags": ["NAME"], "asset": { "type": "EMAIL", "value": "user@company.com" } } } ]

La trasformazione KQL di DCR promuove id, type, module,risk_levelasset.type/source_type ,asset.value/asset_value , , tags, e il timestamp appropriato (date_added per leaked-data/dark-web/domain-permutation, detected_at per attacco-superficie) in colonne tipizzate. Tutto il resto viene mantenuto nella colonna dinamica Details .

3. Verifica l'ingestione dei dati:

Verificare che gli eventi vengano trasmessi da NordStellar a Sentinel.

Attendere 5-10 minuti dopo aver abilitato l'integrazione, quindi eseguire questa query KQL nell'area di lavoro Microsoft Sentinel:

NordStellar_CL | where TimeGenerated > ago(1h) | summarize count() by EventType, Module | order by count_ desc

Se non vengono visualizzati dati dopo 15 minuti, verificare le credenziali nel portale NordStellar e controllare Monitoraggio di Azure la presenza di errori di inserimento nel Registro Azure Container.

Connettore di condivisione dati Obsidian

Supportato da:Obsidian Security

Il connettore Obsidian Datasharing offre la possibilità di leggere i dati degli eventi non elaborati da Obsidian Datasharing in Microsoft Sentinel.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

ObsidianActivity_CL No No

ObsidianThreat_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Microsoft Entra: Permesso di creare una registrazione di un'app in Microsoft Entra ID. In genere richiede Entra ruolo sviluppatore di applicazioni ID o superiore.

Microsoft Azure: Permesso di assegnare il ruolo di Monitoring Metrics Publisher sulla regola di raccolta dati (DCR). In genere richiede Azure ruolo Proprietario controllo degli accessi in base al ruolo o Amministratore accesso utente

Istruzioni per l'installazione:

1. Creare risorse ARM e fornire i permessi richiesti:

Questo connettore legge i dati dalle tabelle usate da Obsidian Datasharing in un'area di lavoro di Microsoft Analytics, se l'opzione di inoltro dei dati è abilitata in Obsidian Datasharing, i dati degli eventi non elaborati vengono inviati all'API di inserimento Microsoft Sentinel.

La configurazione automatizzata e l'inserimento sicuro dei dati con Entra'applicazione facendo clic su "Distribuisci" attiveranno la creazione di tabelle di Log Analytics e di una regola di raccolta dati (DCR). Verrà quindi creata un'applicazione Entra, verrà collegato il DCR e verrà impostato il segreto immesso nell'applicazione. Questa configurazione consente di inviare i dati in modo sicuro al DCR usando un token di Entra.

2. Spingi i tuoi log nello spazio di lavoro:

Usare i parametri seguenti per configurare il computer per inviare i log all'area di lavoro.

ID Tenant (ID Directory):<variable value provided at install time>

ID Domanda di Registrazione Entra App:<variable value provided at install time>

Segreto per la registrazione dell'app Entra:<variable value provided at install time>

Data Collection Endpoint Uri:<variable value provided at install time>

ID immutabile della regola di raccolta dati:<variable value provided at install time>

Nome della Corrente dell'Attività:<variable value provided at install time>

Nome della Miniscia:<variable value provided at install time>

Okta Single Sign-On (tramite Codeless Connector Framework)

Supportato da:Microsoft Corporation

Il connettore dati Okta Single Sign-On (SSO) consente di inserire i log eventi e di controllo dall'API di log di Okta Sysem in Microsoft Sentinel. Il connettore dati è basato su Microsoft Sentinel Codeless Connector Framework e usa l'API di log del sistema Okta per recuperare gli eventi. Il connettore supporta trasformazioni del tempo di inserimento basate su DCR che analizzano i dati degli eventi di sicurezza ricevuti in colonne personalizzate in modo che le query non debbano analizzarli di nuovo, con conseguente miglioramento delle prestazioni.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

OktaSSO No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Token Okta API: Un token API Okta. Seguire le istruzioni seguenti per creare una documentazione Vedere la documentazione per altre informazioni sull'API log di sistema Okta.

Istruzioni per l'installazione:

Per abilitare okta Single Sign-On per Microsoft Sentinel, specificare le informazioni necessarie di seguito e fare clic su Connetti.

Griglia connettori dati (configurare nel portale)

Onapsis Defend: Integrare il rilevamento delle minacce SAP non corrispondente & Intel con Microsoft Sentinel

Supportato da:Onapsis

Offrire ai team di sicurezza una visibilità approfondita sulle attività di exploit, zero giorni e attori delle minacce; comportamento sospetto dell'utente o insider; download di dati sensibili; violazioni del controllo di sicurezza; e altro ancora, il tutto arricchito dagli esperti SAP di Onapsis.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

Onapsis_Defend_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Microsoft Entra: Permesso di creare una registrazione di un'app in Microsoft Entra ID. In genere richiede Entra ruolo sviluppatore di applicazioni ID o superiore.

Microsoft Azure: Permesso di assegnare il ruolo di Monitoring Metrics Publisher alle regole di raccolta dati. In genere richiede Azure ruolo Proprietario controllo degli accessi in base al ruolo o Amministratore accesso utente.

Istruzioni per l'installazione:

1. Creare risorse ARM e fornire i permessi richiesti:

Verranno create le risorse DCR (Data Collection Rule) e DCE (Data Collection Endpoint). Verrà anche creata una registrazione dell'app Microsoft Entra e verranno assegnate le autorizzazioni necessarie.

Distribuzione automatizzata di risorse Azure Facendo clic su "Distribuisci risorse del connettore push" verrà attivata la creazione di risorse DCR e DCE. Verrà quindi creata una registrazione dell'app Microsoft Entra con il segreto client e verranno concesse le autorizzazioni per il DCR. Questa configurazione consente di inviare i dati in modo sicuro al DCR usando credenziali client OAuth v2.

2. Mantenere i dettagli della raccolta dati sugli endpoint e le informazioni di autenticazione in Onapsis Defend Integration:

Condividere l'URL dell'endpoint di raccolta dati e le informazioni di autenticazione con l'amministratore di Onapsis Defend Integration per configurare Onapsis Defend Integration per inviare i dati all'endpoint di raccolta dati.

ID inquilino | Usa questo valore per configurare come ID Tenat:<variable value provided at install time>

ID domanda Entra | Usa questo valore per l'ID Client:<variable value provided at install time>

Entra Application Secret | Usa questo valore per il Token:<variable value provided at install time>

LogIngestionURL | Usa questo valore come parametro URL:<variable value provided at install time>

DCR ID Immutabile | Usa questo valore come parametro DCR_ID:<variable value provided at install time>

Piattaforma IAM OneLogin (tramite Codeless Connector Framework)

Supportato da:Microsoft Corporation

Il connettore dati OneLogin offre la possibilità di inserire eventi comuni della piattaforma IAM onelogin in Microsoft Sentinel tramite l'API REST usando l'API eventi OneLogin e l'API OneLogin Users. Il connettore consente il recupero degli eventi per valutare i potenziali rischi per la sicurezza, monitorare la collaborazione e diagnosticare e risolvere i problemi di configurazione.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

OneLoginEventsV2_CL No No

OneLoginUsersV2_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Credenziali IAM API di OneLogin: Per creare le credenziali API segui il link al documento fornito qui, clicca qui. Assicurarsi di avere un tipo di account di proprietario o amministratore dell'account per creare le credenziali DELL'API. Dopo aver creato le credenziali API, si ottengono l'ID client e il segreto client.

Istruzioni per l'installazione:

Collega la piattaforma IAM OneLogin a Microsoft Sentinel:

Per inserire i dati da OneLogin IAM a Microsoft Sentinel, è necessario fare clic sul pulsante Aggiungi dominio sotto, quindi si ottiene un popup per compilare i dettagli, fornire le informazioni necessarie e fare clic su Connetti. È possibile visualizzare gli endpoint di dominio connessi nella griglia.

Griglia connettori dati (configurare nel portale)

OneTrust

Supportato da:OneTrust, LLC

Il connettore OneTrust per Microsoft Sentinel offre la possibilità di avere visibilità quasi in tempo reale sulla posizione o la correzione dei dati sensibili in Google Cloud e in altre origini dati supportate da OneTrust.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

OneTrustMetadataV3_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Microsoft Entra: Permesso di creare una registrazione di un'app in Microsoft Entra ID. In genere richiede Entra ruolo sviluppatore di applicazioni ID o superiore.

Microsoft Azure: Permesso di assegnare il ruolo di Monitoring Metrics Publisher sulla regola di raccolta dati (DCR). In genere richiede Azure ruolo Proprietario controllo degli accessi in base al ruolo o Amministratore accesso utente

Istruzioni per l'installazione:

1. Creare risorse ARM e fornire i permessi richiesti:

Questo connettore legge i dati dalle tabelle usate da OneTrust in un'area di lavoro di Microsoft Analytics. Se l'opzione di inoltro dei dati di OneTrust è abilitata, i dati degli eventi non elaborati possono essere inviati all'API di inserimento Microsoft Sentinel.

La configurazione automatizzata e l'inserimento sicuro dei dati con Entra'applicazione facendo clic su "Distribuisci" attiveranno la creazione di tabelle di Log Analytics e di una regola di raccolta dati (DCR). Verrà quindi creata un'applicazione Entra, verrà collegato il DCR e verrà impostato il segreto immesso nell'applicazione. Questa configurazione consente di inviare i dati in modo sicuro al DCR usando un token di Entra.

2. Spingi i tuoi log nello spazio di lavoro:

Usare i parametri seguenti per configurare il computer per inviare i log all'area di lavoro.

ID Tenant (ID Directory):<variable value provided at install time>

ID Domanda di Registrazione Entra App:<variable value provided at install time>

Segreto per la registrazione dell'app Entra:<variable value provided at install time>

Data Collection Endpoint Uri:<variable value provided at install time>

ID immutabile della regola di raccolta dati:<variable value provided at install time>

Nome del flusso di metadati OneTrust:<variable value provided at install time>

OpenAI (tramite Codeless Connector Framework)

Supportato da:Microsoft Corporation

Il connettore dati OpenAI consente di inserire i log di controllo, i dati di completamento della chat o entrambi dall'organizzazione OpenAI in Microsoft Sentinel tramite l'API OpenAI. Ogni tipo di dati usa un poller API REST separato e richiede un tipo di chiave API diverso: i log di controllo (azioni utente, gestione delle chiavi API, modifiche dell'organizzazione, eventi di sicurezza) richiedono una chiave API di amministrazione a livello di organizzazione, mentre i completamenti della chat (utilizzo del modello, utilizzo dei token, metriche delle prestazioni) richiedono una chiave API a livello di progetto. È possibile configurare uno o entrambi i tipi di dati in modo indipendente. I log di controllo vengono raccolti nella tabella OpenAIAuditLogs_CL personalizzata (con alias dal parser OpenAIAuditLogs). I completamenti della chat vengono normalizzati nella tabella ASIM standard ASimAgentEventLogs (aliasata dal parser OpenAIChatCompletions) per il monitoraggio della sicurezza, l'analisi della conformità e il monitoraggio dell'utilizzo. Per altre informazioni, vedere la documentazione dell'API OpenAI .

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

OpenAIAuditLogs No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Accesso API OpenAI: Ogni tipo di dato richiede un diverso tipo di chiave API. Per i log di controllo è necessaria una chiave API di amministrazione a livello di organizzazione , che può essere creata nelle impostazioni dell'organizzazione OpenAI. È necessaria una chiave API a livello di progetto per il completamento della chat, che può essere creata in un progetto specifico nel dashboard OpenAI. È possibile configurare i log di controllo, i completamenti della chat o entrambi in modo indipendente.

Istruzioni per l'installazione:

Informazioni sulla connessione:

Dettagli sulle connessioni usate per raccogliere dati dall'API OpenAI.

Log di controllo (OpenAIAuditLogs):

Usare le chiavi API di amministrazione a livello di organizzazione.

La registrazione di controllo deve essere abilitata nelle impostazioni dell'organizzazione OpenAI. I proprietari dell'organizzazione possono passare a OpenAI's Organization settings ->Data controls ->Data retention per abilitare la registrazione di controllo.

Una volta abilitata la registrazione di controllo OpenAI, non può essere disabilitata senza contattare il supporto OpenAI.

Completamenti chat (ASimAgentEventLogs):

Usare le chiavi API a livello di progetto.

Verranno raccolti solo i completamenti della chat creati con il store parametro impostato su true .

I completamenti della chat vengono normalizzati nella tabella ASIM standard ASimAgentEventLogs .

L'eliminazione dei completamenti della chat archiviati mentre questo connettore è attivo potrebbe richiedere la disconnessione e la riconnessione per reimpostare lo stato della raccolta dati.

Aggiungi connessione ai log di audit OpenAI:

Immettere le credenziali dell'API OpenAI per raccogliere i dati dei log di controllo dall'API OpenAI.

Aggiungi connessione per completare le chat OpenAI:

Immettere le credenziali dell'API OpenAI per raccogliere i dati di completamento della chat dall'API OpenAI.

Griglia connettori dati (configurare nel portale)

Infrastruttura cloud Oracle (tramite Codeless Connector Framework)

Supportato da:Microsoft Corporation

Il connettore dati Oracle Cloud Infrastructure (OCI) offre la possibilità di inserire i log OCI da OCI Stream in Microsoft Sentinel usando l'API REST di streaming OCI.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

OCI_LogsV2_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Accesso API per lo streaming OCI: È necessario accedere all'API OCI Streaming tramite le API Signing Keys.

Istruzioni per l'installazione:

Connettiti all'API OCI Streaming per iniziare a raccogliere i log degli eventi in Microsoft Sentinel:

Accedere alla console OCI e accedere al menu di spostamento.

Nel menu di spostamento passare a "Analytics & AI" -> "Streaming".

Fare clic su "Crea Stream".

Selezionare un "pool Stream" esistente o crearne uno nuovo.

Immettere i dettagli seguenti:

"nome Stream"

"Conservazione"

"Numero di partizioni"

"Frequenza di scrittura totale"

"Total Read Rate" (in base al volume di dati)

Nel menu di spostamento passare a "Registrazione" -> "Connettori di servizi".

Fare clic su "Crea connettore di servizio".

Immettere i dettagli seguenti:

"Nome connettore"

"Descrizione"

"Raggruppamento risorse"

Selezionare "Source": "Logging".

Selezionare "Target": "Streaming".

(Facoltativo) Configurare "Gruppo di log", "Filtri" o usare una "query di ricerca personalizzata" per trasmettere solo i log necessari.

Configurare "Target" selezionando il flusso creato in precedenza.

Fare clic su "Crea".

Seguire la documentazione per creare un file di configurazione della chiave privata e della chiave API. Salvare il file Pem, pass phrase (facoltativo, non è impostato quando si usa la console OCI per generare la coppia di chiavi di firma dell'API) e l'impronta digitale in un luogo protetto da usare durante la connessione.

Griglia connettori dati (configurare nel portale)

Avvisi di sicurezza di Orca

Supportato da:Orca Security

Il connettore Avvisi di sicurezza di Orca consente di esportare facilmente i log degli avvisi in Microsoft Sentinel.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

OrcaAlerts_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Istruzioni per l'installazione:

Seguire le indicazioni per l'integrazione dei log degli avvisi di sicurezza di Orca con Microsoft Sentinel.

ID dello spazio di lavoro:<variable value provided at install time>

Chiave primaria:<variable value provided at install time>

Palo Alto Cortex XDR

Supportato da:Microsoft Corporation

Il connettore dati Palo Alto Cortex XDR consente di inserire i log dall'API XDR Palo Alto Cortex in Microsoft Sentinel. Il connettore dati è basato su Microsoft Sentinel Codeless Connector Framework. Usa l'API XDR Palo Alto Cortex per recuperare i log e supporta trasformazioni del tempo di inserimento basate su DCR che analizzano i dati di sicurezza ricevuti in una tabella personalizzata in modo che le query non debbano analizzarli di nuovo, con conseguente miglioramento delle prestazioni.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

PaloAltoCortexXDR_Incidents_CL No No

PaloAltoCortexXDR_Endpoints_CL No No

PaloAltoCortexXDR_Audit_Management_CL No No

PaloAltoCortexXDR_Audit_Agent_CL No No

PaloAltoCortexXDR_Alerts_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Istruzioni per l'installazione:

Passaggi di configurazione per l'API XDR Palo Alto Cortex Seguire le istruzioni per ottenere le credenziali. è anche possibile seguire questa guida per generare la chiave API.

Recuperare l'URL dell'API

Accedere a Palo Alto Cortex XDR [Management Console] con le credenziali dell'utente amministratore

In [Console di gestione], fare clic su [Impostazioni] -> [Configurazioni]

In [Integrazioni] fare clic su [Chiavi API].

Nella pagina [Impostazioni] fare clic su [Copia URL API] nell'angolo in alto a destra.

Recuperare il token API

Accedere a Palo Alto Cortex XDR [Management Console] con le credenziali dell'utente amministratore

In [Console di gestione], fare clic su [Impostazioni] -> [Configurazioni]

In [Integrazioni] fare clic su [Chiavi API].

Nella pagina [Impostazioni] fare clic su [Nuova chiave] nell'angolo in alto a destra.

Scegliere livello di sicurezza, ruolo, scegliere Standard e fare clic su [Genera]

Copiare il token API, dopo aver generato [ID token API] nella colonna ID

URL API di base: (https://api-example.xdr.au.paloaltonetworks.com)

ID CHIAVE API: (ID API)

Token API: (Token API)

Abilitare/disabilitare la connessione

Palo Alto Cortex Xpanse (tramite Codeless Connector Framework)

Supportato da:Microsoft Corporation

Il connettore dati Palo Alto Cortex Xpanse inserisce i dati degli avvisi in Microsoft Sentinel.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

CortexXpanseAlerts_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Istruzioni per l'installazione:

Collega Palo Alto Xpanse a Microsoft Sentinel:

Per inserire dati da Palo Alto Cortex Xpanse a Microsoft Sentinel, fare clic su Aggiungi dominio. Immettere i dettagli necessari nel popup e fare clic su Connetti. Nella griglia seguente verranno visualizzati gli endpoint di dominio connessi. Per ottenere l'ID di autenticazione e la chiave API, passare a Impostazioni -> Configurazione -> Integrazioni -> Chiavi API nel portale Cortex Xpanse e generare nuove credenziali.

Griglia connettori dati (configurare nel portale)

Palo Alto Prisma Cloud CSPM (tramite Codeless Connector Framework)

Supportato da:Microsoft Corporation

Il connettore dati PALO Alto Prisma Cloud CSPM consente di connettersi all'istanza di Palo Alto Prisma Cloud CSPM e inserire avvisi (https://pan.dev/prisma-cloud/api/cspm/alerts/) & log di controllo (https://pan.dev/prisma-cloud/api/cspm/audit-logs/) in Microsoft Sentinel.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

PaloAltoPrismaCloudAlertV2_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Istruzioni per l'installazione:

Connetti gli eventi CSPM di Palo Alto Prisma Cloud a Microsoft Sentinel:

Per altre informazioni su come ottenere la chiave di accesso cloud, la chiave privata e l'URL di base di Prisma, vederel'esercitazione sul connettore, fornire le informazioni necessarie di seguito e fare clic su Connetti.

Chiave di accesso Prisma Cloud: (Inserisci Chiave di Accesso)

Chiave Segreta della Nuvola Prisma: (Inserisci Chiave Segreta)

URL base Prisma Cloud: (https://api2.eu.prismacloud.io)

Abilitare/disabilitare la connessione

Griglia connettori dati (configurare nel portale)

Palo Alto Prisma Cloud CWPP (usando l'API REST)

Supportato da:Microsoft Corporation

Il connettore dati Palo Alto Prisma Cloud CWPP consente di connettersi all'istanza di Palo Alto Prisma Cloud CWPP e inserire avvisi in Microsoft Sentinel. Il connettore dati è basato sul framework codeless connector di Microsoft Sentinel e usa l'API Prisma Cloud per recuperare gli eventi di sicurezza e supporta trasformazioni del tempo di inserimento basate su DCR che analizzano i dati degli eventi di sicurezza ricevuti in colonne personalizzate in modo che le query non debbano analizzarli di nuovo, con conseguente miglioramento delle prestazioni.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

PrismaCloudCompute_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

PrismaCloudCompute API Key: È richiesto un nome utente e una password dell'API CWPP Monitor Palo Alto Prisma Cloud. Per altre informazioni, vedere PrismaCloudCompute SIEM API.For more information, see PrismaCloudCompute SIEM API.

Istruzioni per l'installazione:

Collega gli eventi di sicurezza CWPP Cloud di Palo Alto Prisma a Microsoft Sentinel:

Per abilitare Palo Alto Prisma Cloud CWPP Security Events per Microsoft Sentinel, specificare le informazioni necessarie di seguito e fare clic su Connetti.

Percorso verso la console: (europe-west3.cloud.twistlock.com/{sasid})

Chiave di accesso Prisma (API): (Chiave di accesso Prisma (API))

Segreto: (Segreto)

Abilitare/disabilitare la connessione

Panorami

Supportato da:Panorami

Il connettore dati Panorays consente di assorbire i risultati aziendali dell'API Panorays in Microsoft Sentinel.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

PanoraysCompanyFindingPOC_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Istruzioni per l'installazione:

Fasi di configurazione per l'API Panorays

Token API: (Token API)

Abilitare/disabilitare la connessione

Pathlock Inc.: Rilevamento delle minacce e risposta per SAP

Supportato da:Pathlock Inc.

L'integrazione di Pathlock Threat Detection and Response (TD&R) con Microsoft Sentinel Solution for SAP offre una visibilità unificata in tempo reale sugli eventi di sicurezza SAP, consentendo alle organizzazioni di rilevare e agire sulle minacce in tutti gli scenari SAP. Questa integrazione predefinita consente ai Security Operations Center (SOC) di correlare gli avvisi specifici di SAP con i dati di telemetria a livello aziendale, creando funzionalità di intelligence interattive che connettono la sicurezza IT ai processi aziendali.

Il connettore di Pathlock è progettato appositamente per SAP e inoltra solo gli eventi rilevanti per la sicurezza per impostazione predefinita, riducendo al minimo il volume di dati e il disturbo mantenendo al contempo la flessibilità di inoltrare tutte le origini di log quando necessario. Ogni evento è arricchito con il contesto del processo aziendale, consentendo a Microsoft Sentinel Soluzione per l'analisi SAP di distinguere i modelli operativi dalle minacce reali e di assegnare priorità a ciò che conta veramente.

Questo approccio basato sulla precisione aiuta i team di sicurezza a ridurre drasticamente i falsi positivi, a concentrare le indagini e ad accelerare il tempo medio per rilevare (MTTD) e il tempo medio di risposta (MTTR). La libreria di Pathlock è costituita da più di 1.500 firme di rilevamento specifiche di SAP in più di 70 origini di log, la soluzione individua comportamenti di attacco complessi, punti deboli della configurazione e anomalie di accesso.

Combinando l'intelligenza del contesto aziendale con l'analisi avanzata, Pathlock consente alle aziende di rafforzare l'accuratezza del rilevamento, semplificare le azioni di risposta e mantenere il controllo continuo negli ambienti SAP, senza aggiungere complessità o livelli di monitoraggio ridondanti.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

ABAPAuditLog Sì Sì

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

Prerequisiti:

Microsoft Entra: Permesso di creare una registrazione di un'app in Microsoft Entra ID. In genere richiede Entra ruolo sviluppatore di applicazioni ID o superiore.

Microsoft Azure: Permesso di assegnare il ruolo di Monitoring Metrics Publisher alle regole di raccolta dati. In genere richiede Azure ruolo Proprietario controllo degli accessi in base al ruolo o Amministratore accesso utente.

Istruzioni per l'installazione:

1. Creare risorse ARM e fornire i permessi richiesti:

Verranno create le risorse DCR (Data Collection Rule) e DCE (Data Collection Endpoint). Verrà anche creata una registrazione dell'app Microsoft Entra e verranno assegnate le autorizzazioni necessarie.

Distribuzione automatizzata di risorse Azure Facendo clic su "Distribuisci risorse del connettore push" verrà attivata la creazione di risorse DCR e DCE. Verrà quindi creata una registrazione dell'app Microsoft Entra con il segreto client e verranno concesse le autorizzazioni per il DCR. Questa configurazione consente di inviare i dati in modo sicuro al DCR usando credenziali client OAuth v2.

2. Mantenere i dettagli della raccolta dati e le informazioni di autenticazione nella tua istanza centrale dei Controlli delle Applicazioni di Cybersecurity di Pathlock: Rilevamento e Risposta alle Minacce:

Condividere l'URL dell'endpoint di raccolta dati e le informazioni di autenticazione con l'amministratore di Pathlock per configurare l'inoltro plug and play in Rilevamento minacce e risposta per inviare dati all'endpoint di raccolta dati. Non esitare a contattare Pathlock se è necessario il supporto.

Usa questo valore per configurare come ID Tenant nella credenziale LogIngestionAPI:<variable value provided at install time>

ID Domanda Entra:<variable value provided at install time>

Segreta dell'applicazione Entra:<variable value provided at install time>

Usa questo valore per configurare il parametro LogsIngestionURL quando distribuisci l'IFlow:<variable value provided at install time>

ID immutabile DCR:<variable value provided at install time>

Log attività perimetrale 81

Supportato da:Perimeter 81

Il connettore Log attività perimetrale 81 consente di connettere facilmente i log attività di Perimeter 81 con Microsoft Sentinel, visualizzare i dashboard, creare avvisi personalizzati e migliorare l'analisi.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

Perimeter81_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Istruzioni per l'installazione:

Prendere nota dei valori seguenti e seguire le istruzioni riportate qui per connettere i log attività di Perimeter 81 con Microsoft Sentinel.

ID dello spazio di lavoro:<variable value provided at install time>

Chiave primaria:<variable value provided at install time>

Dispositivi di fosforo

Supportato da:Phosphorus Inc.

Il connettore del dispositivo Phosphorus offre a Phosphorus la possibilità di inserire i log dei dati del dispositivo in Microsoft Sentinel tramite l'API REST Phosphorus. Il connettore offre visibilità sui dispositivi registrati in Fosforo. Questo connettore dati esegue il pull delle informazioni sui dispositivi insieme ai relativi avvisi corrispondenti.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

Phosphorus_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Credenziali/permessi API REST: È richiesta lachiave API di Phosphorus. Assicurarsi che la chiave API associata all'utente disponga delle autorizzazioni Gestisci impostazioni abilitate.

Seguire queste istruzioni per abilitare le autorizzazioni di gestione delle impostazioni.

Accedere all'applicazione Phosphorus

Passare a "Impostazioni" -> "Gruppi"

Selezionare Il gruppo di cui fa parte l'utente di Integrazione

Passare a "Azioni prodotto" -> Attiva/Disattiva l'autorizzazione "Gestisci impostazioni".

Istruzioni per l'installazione:

PASSAGGIO 1 - Passaggi di configurazione per l'API Phosphorus

Seguire queste istruzioni per creare una chiave API Phosphorus.

Accedere all'istanza di Phosphorus

Passare a Impostazioni -> API

Se il tasto API non è già stato creato, premere il pulsante Aggiungi per creare il tasto API

La chiave API può ora essere copiata e usata durante la configurazione del connettore del dispositivo Phosphorus

Collega l'applicazione Phosphorus con Microsoft Sentinel:

PASSAGGIO 2 - Compilare i dettagli seguenti

IMPORTANTE: Prima di distribuire il connettore dati del dispositivo Phosphorus, avere il nome di dominio dell'istanza di Phosphorus immediatamente disponibile e le chiavi API Phosphorus

Ping 1 (tramite Codeless Connector Framework)

Supportato da:Microsoft Corporation

Questo connettore inserisce i log attività di controllo dalla piattaforma PingOne Identity in Microsoft Sentinel usando un framework del connettore senza codice.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

PingOne_AuditActivitiesV2_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Istruzioni per l'installazione:

Collega il connettore Ping One a Microsoft Sentinel:

Prima di connettersi a PingOne, verificare che i prerequisiti seguenti siano stati completati. Fare riferimento al documento per istruzioni dettagliate sull'installazione, tra cui come ottenere le credenziali client e l'ID ambiente.

Credenziali client Sono necessarie credenziali client, inclusi l'ID client e il segreto client.

ID ambiente Per generare il token e raccogliere i log dall'endpoint delle attività di controllo

Griglia connettori dati (configurare nel portale)

Connettore dati Prancer

Supportato da:Prancer PenSuiteAI Integration

Il Prancer Data Connector offre la capacità di ingerire dati CSPM e PAC di Prancer per elaborarli tramite Microsoft Sentinel. Per altre informazioni, vedere la documentazione di Prancer .

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

prancer_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Includere prerequisiti personalizzati se la connettività lo richiede - altrimenti elimina le custom: Descrizione per qualsiasi prerequisito personalizzato

Istruzioni per l'installazione:

NOTA: Questo connettore usa Funzioni di Azure per connettersi all'API REST Prancer per eseguire il pull dei log in Microsoft Sentinel. Ciò potrebbe comportare costi aggiuntivi per l'inserimento di dati. Per informazioni dettagliate, controllare la pagina dei prezzi Funzioni di Azure.

PASSAGGIO 1: Seguire la documentazione nel sito della documentazione di Prancer per configurare un'analisi con un connettore cloud di Azure.

PASSAGGIO 2: Dopo aver creato l'analisi, passare al menu "Integrazioni della terza parte" per l'analisi e selezionare Sentinel.

PASSAGGIO 3: Creare seguire la configurazione guidata per selezionare dove in Azure i risultati devono essere inviati.

PASSAGGIO 4: I dati devono iniziare a essere immessi in Microsoft Sentinel per l'elaborazione.

Microsoft Defender Threat Intelligence Premium

Supportato da:Microsoft Corporation

Microsoft Sentinel offre la possibilità di importare informazioni sulle minacce generate da Microsoft per abilitare il monitoraggio, gli avvisi e la ricerca. Usare questo connettore dati per importare gli indicatori di compromissione (IIC) da Microsoft Defender Threat Intelligence Premium (MDTI) in Microsoft Sentinel. Gli indicatori di minaccia possono includere indirizzi IP, domini, URL e hash di file e così via. Nota: si tratta di un connettore a pagamento. Per usare e inserire dati da esso, acquistare lo SKU "Accesso API MDTI" dal Centro per i partner.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

ThreatIntelligenceIndicator Sì No

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

PRODAFT USTA - Prevenzione delle Acquisizioni di Conto (tramite Codeless Connector Framework)

Supportato da:PRODAFT

Il connettore dati PRODAFT USTA Account Takeover Prevention assorbe ticket di credenziali compromesse dalla piattaforma PRODAFT USTA in Microsoft Sentinel. I valori sensibili vengono oscurati all'ingestione: le password in chiaro non vengono mai memorizzate - solo i segnali di forza delle password (punteggio e lunghezza) vengono conservati per il triage.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

PRODAFTUstaCompromisedCredentials_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Chiave PRODAFT USTA API: È richiesta una chiave PRODAFT USTA API di lunga durata con accesso all'endpoint Account Takeover Prevention.

Istruzioni per l'installazione:

Collega PRODAFT la prevenzione degli acquisti di account USTA a Microsoft Sentinel

Inserisci il tuo URL base USTA e una chiave API di lunga durata, poi seleziona Collega. Il connettore si autentica presso USTA con l'intestazione Authorization: Bearer <api-key> e sonda ogni minuto. Per caricare la cronologia precedente al momento della connessione, distribuisci il playbook PRODAFTUstaATP-Backfill fornito con questa soluzione.

URL base USTA: (https://usta.prodaft.com)

Chiave API: (Inserisci la tua chiave API USTA)

Abilitare/disabilitare la connessione

Proofpoint On Demand Email Security (tramite Codeless Connector Framework)

Supportato da:Proofpoint, Inc.

Proofpoint On Demand Email Security Data Connector offre la possibilità di ottenere i dati di Proofpoint on Demand Email Protection, consente agli utenti di controllare la tracciabilità dei messaggi, il monitoraggio delle attività di posta elettronica, le minacce e l'esfiltrazione dei dati da parte di utenti malintenzionati e utenti malintenzionati. Il connettore offre la possibilità di esaminare gli eventi nell'organizzazione con accelerazione, ottenere i file di log eventi in incrementi orari per l'attività recente.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

ProofpointPODMailLog_CL No No

ProofpointPODMessage_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Sono richiesti le credenziali/permessi dell'API Websocket:ProofpointClusterID e ProofpointToken. Per altre informazioni, vedere API.

Istruzioni per l'installazione:

Passaggi di configurazione per l'API Websocket pod proofpoint

L'API log PoD non consente l'uso dello stesso token per più sessioni contemporaneamente, quindi assicurarsi che il token non venga usato da nessuna parte.

Il servizio API Websocket di Proofpoint richiede la licenza di inoltro syslog remoto. Fare riferimento alla documentazione su come abilitare e controllare l'API log poD.

È necessario specificare l'ID cluster e il token di sicurezza.

Recuperare l'ID del cluster

Accedere al punto di prova [Console di gestione] con le credenziali utente Amministrazione

Nella Console di gestione l'ID cluster viene visualizzato nell'angolo superiore destro.

Recuperare il token API

Accedere al punto di prova [Console di gestione] con le credenziali utente Amministrazione

Nella Console di Gestione, clicca su Impostazioni -> Gestione delle Chiavi API:

In Gestione chiavi API fare clic sulla scheda Registrazione poD .

Ottenere o creare una nuova chiave API.

ID cluster: (cluster_id)

Chiave API: (Chiave API)

Abilitare/disabilitare la connessione

Proofpoint On Demand Email Security (tramite Codeless Connector Framework)

Supportato da:Microsoft Corporation

Proofpoint On Demand Email Security Data Connector offre la possibilità di ottenere i dati di Proofpoint on Demand Email Protection, consente agli utenti di controllare la tracciabilità dei messaggi, il monitoraggio delle attività di posta elettronica, le minacce e l'esfiltrazione dei dati da parte di utenti malintenzionati e utenti malintenzionati. Il connettore offre la possibilità di esaminare gli eventi nell'organizzazione con accelerazione, ottenere i file di log eventi in incrementi orari per l'attività recente.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

ProofpointPODMailLog_CL No No

ProofpointPODMessage_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Sono richiesti le credenziali/permessi dell'API Websocket:ProofpointClusterID e ProofpointToken. Per altre informazioni, vedere API.

Istruzioni per l'installazione:

Passaggi di configurazione per l'API Websocket pod proofpoint

L'API log PoD non consente l'uso dello stesso token per più sessioni contemporaneamente, quindi assicurarsi che il token non venga usato da nessuna parte.

Il servizio API Websocket di Proofpoint richiede la licenza di inoltro syslog remoto. Fare riferimento alla documentazione su come abilitare e controllare l'API log poD.

È necessario specificare l'ID cluster e il token di sicurezza.

Recuperare l'ID del cluster

Accedere al punto di prova [Console di gestione] con le credenziali utente Amministrazione

Nella Console di gestione l'ID cluster viene visualizzato nell'angolo superiore destro.

Recuperare il token API

Accedere al punto di prova [Console di gestione] con le credenziali utente Amministrazione

Nella Console di Gestione, clicca su Impostazioni -> Gestione delle Chiavi API:

In Gestione chiavi API fare clic sulla scheda Registrazione poD .

Ottenere o creare una nuova chiave API.

ID cluster: (cluster_id)

Chiave API: (Chiave API)

Abilitare/disabilitare la connessione

TAP di Proofpoint (tramite Codeless Connector Framework)

Supportato da:Proofpoint, Inc.

Il connettore Tap (Proofpoint Targeted Attack Protection) offre la possibilità di inserire i log tap di Proofpoint e gli eventi in Microsoft Sentinel. Il connettore offre visibilità sugli eventi Message e Click in Microsoft Sentinel per visualizzare i dashboard, creare avvisi personalizzati e migliorare le funzionalità di monitoraggio e analisi.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

ProofPointTAPMessagesDeliveredV2_CL No No

ProofPointTAPMessagesBlockedV2_CL No No

ProofPointTAPClicksPermittedV2_CL No No

ProofPointTAPClicksBlockedV2_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Chiave API TAP di Proofpoint: Per accedere all'API SIEM di Proofpoint è necessario un principio di servizio e un segreto API TAP di Proofpoint. Per altre informazioni, vedere API SIEM di Proofpoint.

Istruzioni per l'installazione:

Passaggi di configurazione per l'API TAP di Proofpoint

Accedere al dashboard TAP di Proofpoint

Passare a Impostazioni e passare alla scheda Applicazioni connesse

Clicca su Crea nuova credenziali:

Fornisci un nome e clicca su Genera:

Copiare valori di entità servizio e segreto

NOTA: Questo connettore dipende da un parser basato sulla funzione Kusto per funzionare come previsto ProofpointTAPEvent distribuito con la soluzione Microsoft Sentinel.

Preside di servizio: (123456)

Segreto: (123456)

Abilitare/disabilitare la connessione

TAP di Proofpoint (tramite Codeless Connector Framework)

Supportato da:Microsoft Corporation

Il connettore Tap (Proofpoint Targeted Attack Protection) offre la possibilità di inserire i log tap di Proofpoint e gli eventi in Microsoft Sentinel. Il connettore offre visibilità sugli eventi Message e Click in Microsoft Sentinel per visualizzare i dashboard, creare avvisi personalizzati e migliorare le funzionalità di monitoraggio e analisi.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

ProofPointTAPMessagesDeliveredV2_CL No No

ProofPointTAPMessagesBlockedV2_CL No No

ProofPointTAPClicksPermittedV2_CL No No

ProofPointTAPClicksBlockedV2_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Chiave API TAP di Proofpoint: Per accedere all'API SIEM di Proofpoint è necessario un principio di servizio e un segreto API TAP di Proofpoint. Per altre informazioni, vedere API SIEM di Proofpoint.

Istruzioni per l'installazione:

Passaggi di configurazione per l'API TAP di Proofpoint

Accedere al dashboard TAP di Proofpoint

Passare a Impostazioni e passare alla scheda Applicazioni connesse

Clicca su Crea nuova credenziali:

Fornisci un nome e clicca su Genera:

Copiare valori di entità servizio e segreto

NOTA: Questo connettore dipende da un parser basato sulla funzione Kusto per funzionare come previsto ProofpointTAPEvent distribuito con la soluzione Microsoft Sentinel.

Preside di servizio: (123456)

Segreto: (123456)

Abilitare/disabilitare la connessione

QscoutAppEventsConnector (tramite Codeless Connector Framework)

Supportato da:Quokka

Inserire gli eventi dell'applicazione Qscout in Microsoft Sentinel

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

QscoutAppEvents_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

ID Organizzazione Qscout: L'API richiede il tuo ID organizzazione in Qscout.

Chiave API dell'organizzazione Qscout: L'API richiede la chiave API della tua organizzazione in Qscout.

Istruzioni per l'installazione:

NOTA: Questo connettore usa Codeless Connector Framework (CCF) per connettersi al feed degli eventi dell'app Qscout e inserire i dati in Microsoft Sentinel

Specificare i valori necessari di seguito:

ID Organizzazione Qscout: (123456)

Chiave API dell'organizzazione Qscout: (abcdxyz)

Abilitare/disabilitare la connessione

Qualys Knowledge Base (tramite Codeless Connector Framework)

Supportato da:Microsoft Corporation

Inserire i dati di vulnerabilità della Knowledge Base qualys in Microsoft Sentinel usando la versione 4.0 dell'API Qualys.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

QualysKnowledgeBase Sì Sì

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

Prerequisiti:

Accesso API Qualys: Richiede un account utente Qualys con accesso in lettura agli endpoint della Knowledge Base.

Istruzioni per l'installazione:

Passaggio 1: Impostare le credenziali Specificare le credenziali dell'API Qualys per abilitare l'inserimento dei dati dalla Knowledge Base di Qualys.

Per raccogliere dati dalla macchina virtuale Qualys, è necessario fornire le risorse seguenti:

Credenziali API: nome utente e password per un account con accesso in lettura all'API della Knowledge Base. È possibile trovare le autorizzazioni esatte necessarie nella documentazione dell'API Qualys.

URL del server API: l'URL del server API di Qualys specifico per la tua regione. È possibile trovare l'URL esatto del server API per l'area qui

URL del server API: (Inserisci URL del server API)

Nome utente: (Inserisci il nome utente di Qualys)

Password: (Inserisci la tua password o token Qualys) Passo 2: Imposta eventuali filtri opzionali

Configurare i filtri facoltativi per personalizzare le vulnerabilità da inserire. Altre informazioni sui filtri disponibili sono disponibili nella documentazione dell'API Qualys.

2a. Filtro in base allo stato della patch Scegliere di visualizzare solo le vulnerabilità che sono patchable o non patchable.

2b. Filtrare in base al metodo di individuazione e ai tipi di autenticazione Scegliere di ricevere solo le vulnerabilità assegnate a un determinato metodo di individuazione o con tipi di autenticazione specifici.

Tipi di Autenticazione Discovery: (ad esempio, Windows, Oracle, Unix, SNMP (separato da virgole)) Passo 3: Rivedi e Abilita Rivedi le impostazioni di configurazione e abilita il connettore per iniziare a integrare i dati della Qualys Knowledge Base in Microsoft Sentinel.

Abilitare/disabilitare la connessione

KnowledgeBase della macchina virtuale Qualys (usando Funzioni di Azure)

Supportato da:Microsoft Corporation

Il connettore KnowledgeBase (KB) di Qualys Vulnerability Management (VM) offre la possibilità di inserire in Microsoft Sentinel i dati più recenti sulla vulnerabilità dalla Knowledge Base di Qualys.

Questi dati possono essere usati per correlare e arricchire i rilevamenti di vulnerabilità rilevati dal connettore dati Qualys Vulnerability Management (VM).

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

QualysKB_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Microsoft. Permessi web/siti: Sono necessari permessi di lettura e scrittura per Funzioni di Azure per creare una Function App. Per altre informazioni, vedere Funzioni di Azure.

Chiave API di Qualys: È richiesto un nome utente e una password dell'API Qualys VM. Per altre informazioni, vedere API VM Qualys.

Istruzioni per l'installazione:

NOTA: Questo connettore dati dipende da un parser basato su una funzione Kusto per funzionare come previsto che viene distribuito come parte della soluzione. Per visualizzare il codice della funzione in Log Analytics, aprire il pannello Log Analytics/Microsoft Sentinel Log, fare clic su Funzioni e cercare l'alias QualysVM Knowledgebase e caricare il codice della funzione o fare clic qui, nella seconda riga della query immettere i nomi host dei dispositivi QualysVM Knowledgebase e qualsiasi altro identificatore univoco per il logstream. L'attivazione della funzione richiede in genere 10-15 minuti dopo l'installazione/aggiornamento della soluzione.

Questo connettore dati dipende da un parser basato su una funzione Kusto per funzionare come previsto. Segui i passaggi per usare l'alias funzione Kusto, QualysKB:

(Passaggio facoltativo) Archiviare in modo sicuro le chiavi o i token di autorizzazione api e dell'area di lavoro in Azure Key Vault. Azure Key Vault fornisce un meccanismo sicuro per archiviare e recuperare i valori delle chiavi. Seguire queste istruzioni per usare Azure Key Vault con un'app per le funzioni Azure.

PASSAGGIO 1 - Passaggi di configurazione per l'API Qualys

Accedere alla console Gestione vulnerabilità Qualys con un account amministratore, selezionare la scheda Utenti e la scheda Utenti .

Fare clic sul menu a discesa Nuovo e selezionare Utenti.

Creare un nome utente e una password per l'account API.

Nella scheda Ruoli Utente, assicurati che il ruolo dell'account sia impostato su Manager e che sia consentito l'accesso alla GUI e API:

Disconnettersi dall'account amministratore e accedere alla console con le nuove credenziali API per la convalida, quindi disconnettersi dall'account API.

Accedere di nuovo alla console usando un account amministratore e modificare gli account API Ruoli utente, rimuovendo l'accesso alla GUI.

Salvare tutte le modifiche.

PASSAGGIO 2- Scegliere UNO tra le due opzioni di distribuzione seguenti per distribuire il connettore e la funzione Azure associata

IMPORTANTE: Prima di distribuire il connettore Qualys KB, avere l'ID area di lavoro e la chiave primaria dell'area di lavoro (possono essere copiati dal codice seguente), nonché il nome utente e la password dell'API Qualys, immediatamente disponibili.

ID dello spazio di lavoro:<variable value provided at install time>

Chiave primaria:<variable value provided at install time>

Opzione 1 - Azure Resource Manager (ARM) Template:

Usare questo metodo per la distribuzione automatica del connettore Qualys KB usando un modello ARM.

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms aka.ms

Selezionare la sottoscrizione, il gruppo di risorse e la località preferiti.

Immettere l'ID dell'area di lavoro, la chiave dell'area di lavoro, il nome utente dell'API, la password DELL'API, aggiornare l'URI ed eventuali parametri di filtro URI aggiuntivi (questo valore deve includere un simbolo "&" tra ogni parametro e non deve includere spazi)

Immettere l'URI corrispondente all'area. L'elenco completo degli URL del server API è disponibile qui

Nota: se si usano Azure Key Vault segreti per uno dei valori precedenti, usare lo@Microsoft.KeyVault(SecretUri={Security Identifier})schema al posto dei valori stringa. Per altre informazioni, vedere Key Vault documentazione di riferimento.

Contrassegnare la casella di controllo con l'etichetta Accetto i termini e le condizioni indicati sopra.

Fare clic su Acquista per distribuire.

Nota: se la distribuzione non è riuscita a causa del nome dell'account di archiviazione, impostare il nome della funzione su un valore univoco e ridistribuirlo.

Opzione 2 - Distribuzione manuale di Funzioni di Azure:

Questo metodo fornisce le istruzioni dettagliate per distribuire manualmente il connettore Qualys KB con Azure Function.

Passo 1 - Distribuire un'app di funzione:

Scaricare il file dell'app per le funzioni Azure. Estrarre l'archivio nel computer di sviluppo locale.

Seguire le istruzioni di distribuzione manuale dell'app per le funzioni per distribuire l'app Funzioni di Azure usando VSCode.

Dopo aver completato la distribuzione dell'app per le funzioni, seguire i passaggi successivi per configurarla.

Passo 2 - Configura l'app Funzione:

Passare a portale di Azuree per la configurazione dell'app per le funzioni.

Nell'app per le funzioni selezionare nome dell'app per le funzioni e selezionare Configurazione.

Nella scheda Impostazioni applicazione selezionare + Nuova impostazione applicazione.

Aggiungere singolarmente ognuna delle sette (7) impostazioni dell'applicazione seguenti, con i rispettivi valori stringa (con distinzione tra maiuscole e minuscole): apiUsername apiPassword workspaceID workspaceFiltro uri chiaveParametri logAnalyticsUri (facoltativo)

Immettere l'URI corrispondente all'area. L'elenco completo degli URL del server API è disponibile qui. Il uri valore deve seguire lo schema seguente: https://<API Server>/api/2.0

Aggiungere eventuali parametri di filtro aggiuntivi, per la filterParameters variabile, che devono essere aggiunti all'URI. Il filterParameter valore deve includere un simbolo "&" tra ogni parametro e non deve includere spazi.

Nota: se si usa Azure Key Vault, usare lo@Microsoft.KeyVault(SecretUri={Security Identifier})schema al posto dei valori stringa. Per altre informazioni, vedere Key Vault documentazione di riferimento.

Usare logAnalyticsUri per eseguire l'override dell'endpoint DELL'API log analytics per il cloud delegato. Ad esempio, per il cloud pubblico, lasciare il valore vuoto; per Azure ambito cloud GovUS, specificare il valore nel formato seguente: https://<CustomerId>.ods.opinsights.azure.us.

Dopo aver immesso tutte le impostazioni dell'applicazione, fare clic su Salva.

Gestione delle vulnerabilità di Qualys (tramite Codeless Connector Framework)

Supportato da:Microsoft Corporation

Il connettore dati Qualys Vulnerability Management (VM) offre la possibilità di inserire i dati di rilevamento degli host di vulnerabilità in Microsoft Sentinel tramite l'API Qualys. Il connettore offre visibilità sui dati di rilevamento host dalle analisi di vulnerabilità.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

QualysHostDetectionV3_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Accesso API e ruoli: Assicurati che l'utente della VM Qualys abbia un ruolo di Lettore o superiore. Se il ruolo è Lettore, verificare che l'accesso all'API sia abilitato per l'account. Il ruolo revisore non è supportato per accedere all'API. Per altre informazioni, vedere il documento Relativo all'API di rilevamento host della macchina virtuale Qualys e al confronto dei ruoli utente .

Istruzioni per l'installazione:

Collega la gestione delle vulnerabilità di Qualys a Microsoft Sentinel:

NOTA: per raccogliere dati per i rilevamenti in base all'host, espandere la colonna DetectionList nella tabella.

Per raccogliere dati dalla macchina virtuale Qualys, è necessario fornire le risorse seguenti

Credenziali API Per raccogliere dati dalla macchina virtuale Qualys, sono necessarie le credenziali dell'API Qualys, inclusi nome utente e password.

URL del server API Per raccogliere dati dalla macchina virtuale Qualys, è necessario l'URL del server API Qualys specifico per l'area. È possibile trovare l'URL esatto del server API per l'area qui

Nome utente Qualys API: (inserisci UserName)

Password API Qualys: (Inserisci password)

URL del server API di Qualys: (Inserisci URL del server API)

Limite di troncamento Configurare il numero massimo di record host da recuperare per ogni chiamata API (intervallo 20-5000). Valori più elevati possono migliorare le prestazioni, ma potrebbero influire sui tempi di risposta dell'API.

Abilitare/disabilitare la connessione

Radiflow iSID tramite AMA

Supportato da:Radiflow

iSID consente il monitoraggio senza interruzioni delle reti ICS distribuite per le modifiche alla topologia e al comportamento, usando più pacchetti di sicurezza, ognuno dei quali offre una funzionalità univoca relativa a un tipo specifico di attività di rete

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

RadiflowEvent No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Istruzioni per l'installazione:

NOTA: Questo connettore dati dipende da un parser basato su una funzione Kusto per funzionare come previsto [RadiflowEvent] distribuito con la soluzione Microsoft Sentinel.

1. Vi preghiamo di seguire i passaggi per configurare il connettore dati:

Passo A. Configurare il Common Event Format (CEF) tramite connettore dati AMA:

Nota: i log CEF vengono raccolti solo dagli agenti Linux

Passare a Microsoft Sentinel --- configurazione dell'area di lavoro> ---> pannello Connettore dati.

Cercare "Common Event Format (CEF) tramite il connettore dati AMA' e aprirlo.

Controllare se non è presente alcun DCR esistente configurato per raccogliere la funzionalità necessaria dei log, Creare una nuova regola DCR (Data Collection Rule).

Nota: - È consigliabile installare almeno la versione 1.27 dell'agente AMA Altre informazioni e assicurarsi che non sia presente un DCR duplicato perché può causare duplicazione del log.

Eseguire il comando fornito nella pagina del connettore dati CEF tramite AMA per configurare l'agente di raccolta CEF nel computer.

Passo B. Configura iSID per inviare log usando CEF:

Configurare l'inoltro dei log con CEF:

Passare alla sezione Notifiche di sistema del menu Configurazione.

In Syslog selezionare +Aggiungi.

Nella finestra di dialogo Nuovo server Syslog specificare il nome, l'INDIRIZZO IP del server remoto, la porta, il trasporto e selezionare Formato - CEF.

Premere Applica per uscire dalla finestra di dialogo Aggiungi syslog.

Passo C. Validare la connessione:

Seguire le istruzioni per convalidare la connettività:

Aprire Log Analytics per verificare se i log vengono ricevuti usando lo schema CommonSecurityLog.

Potrebbero essere necessari circa 20 minuti prima che la connessione flussi i dati all'area di lavoro.

Se i log non vengono ricevuti, eseguire lo script di convalida della connettività seguente:

Assicurarsi di avere Python nel computer usando il comando seguente: python --version

È necessario disporre di autorizzazioni elevate (sudo) nel computer

Esegui il seguente comando per convalidare la tua connettività:<variable value provided at install time>

2. Mettere in sicurezza la tua macchina:

Assicurarsi di configurare la sicurezza del computer in base ai criteri di sicurezza dell'organizzazione

Ulteriori informazioni >

Report sulla gestione delle vulnerabilità di Rapid7 Insight Platform (usando Funzioni di Azure)

Supportato da:Microsoft Corporation

Il connettore di dati Rapid7 Insight VM Report offre la possibilità di inserire i report di analisi e i dati sulle vulnerabilità in Microsoft Sentinel tramite l'API REST dalla piattaforma Rapid7 Insight (gestita nel cloud). Per altre informazioni, vedere la documentazione dell'API . Il connettore consente il recupero degli eventi per valutare i potenziali rischi per la sicurezza, monitorare la collaborazione e diagnosticare e risolvere i problemi di configurazione.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

NexposeInsightVMCloud_assets_CL No No

NexposeInsightVMCloud_vulnerabilities_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Microsoft. Permessi web/siti: Sono necessari permessi di lettura e scrittura per Funzioni di Azure per creare una Function App. Per altre informazioni, vedere Funzioni di Azure.

Credenziali REST API:InsightVMAPIKey è necessario per l'API REST. Per altre informazioni, vedere API. Controllare tutti i requisiti e seguire le istruzioni per ottenere le credenziali

Istruzioni per l'installazione:

NOTA: Questo connettore usa Funzioni di Azure per connettersi all'API della macchina virtuale Insight per eseguire il pull dei log in Microsoft Sentinel. Ciò potrebbe comportare costi aggiuntivi per l'inserimento di dati. Per informazioni dettagliate, controllare la pagina dei prezzi Funzioni di Azure.

(Passaggio facoltativo) Archiviare in modo sicuro le chiavi o i token di autorizzazione api e dell'area di lavoro in Azure Key Vault. Azure Key Vault fornisce un meccanismo sicuro per archiviare e recuperare i valori delle chiavi. Seguire queste istruzioni per usare Azure Key Vault con un'app per le funzioni Azure.

NOTA: Questo connettore dati dipende da un parser basato su una funzione Kusto per funzionare come previsto InsightVMAssets e InsightVMVulnerabilities distribuito con la soluzione Microsoft Sentinel.

PASSAGGIO 1 : Passaggi di configurazione per il cloud di macchine virtuali Insight

Seguire le istruzioni per ottenere le credenziali.

PASSAGGIO 2- Scegliere UNO tra le due opzioni di distribuzione seguenti per distribuire il connettore e la funzione Azure associata

IMPORTANTE: Prima di distribuire il connettore dati dell'area di lavoro, fare in modo che l'ID dell'area di lavoro e la chiave primaria dell'area di lavoro siano copiati da quanto segue.

ID dello spazio di lavoro:<variable value provided at install time>

Chiave primaria:<variable value provided at install time>

Opzione 1 - Azure Resource Manager (ARM) Template:

Usare questo metodo per la distribuzione automatizzata del connettore dati Rapid7 Insight Vulnerability Management Report usando un modello arm.

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms

Selezionare la sottoscrizione, il gruppo di risorse e la località preferiti.

NOTA: All'interno dello stesso gruppo di risorse, non è possibile combinare app Windows e Linux nella stessa area. Selezionare un gruppo di risorse esistente senza app di Windows o creare un nuovo gruppo di risorse. 3. Immettere InsightVMAPIKey, scegliere InsightVMCloudRegion e distribuire. 4. Contrassegnare la casella di controllo etichettata Accetto i termini e le condizioni indicati sopra. 5. Fare clic su Acquista per distribuire.

Opzione 2 - Distribuzione manuale di Funzioni di Azure:

Usare le istruzioni dettagliate seguenti per distribuire manualmente il connettore dati rapid7 Insight Vulnerability Management Report con Funzioni di Azure (distribuzione tramite Visual Studio Code).

Passo 1 - Distribuire un'app di funzione:

Scaricare il file dell'app per le funzioni Azure. Estrarre l'archivio nel computer di sviluppo locale.

Seguire le istruzioni di distribuzione manuale dell'app per le funzioni per distribuire l'app Funzioni di Azure usando VSCode.

Dopo aver completato la distribuzione dell'app per le funzioni, seguire i passaggi successivi per configurarla.

Passo 2 - Configura l'app Funzione:

Passare a portale di Azuree per la configurazione dell'app per le funzioni.

Nell'app per le funzioni selezionare nome dell'app per le funzioni e selezionare Configurazione.

Nella scheda Impostazioni applicazione selezionare Nuova impostazione applicazione.

Aggiungere ognuna delle impostazioni dell'applicazione seguenti singolarmente, con i rispettivi valori stringa (con distinzione tra maiuscole e minuscole):

InsightVMAPIKey

InsightVMCloudRegion

WorkspaceID

WorkspaceKey

logAnalyticsUri (facoltativo)

Usare logAnalyticsUri per eseguire l'override dell'endpoint api di Log Analytics per il cloud dedicato. Ad esempio, per il cloud pubblico, lasciare il valore vuoto; per Azure ambito cloud GovUS, specificare il valore nel formato seguente: https://<CustomerId>.ods.opinsights.azure.us.

Dopo aver immesso tutte le impostazioni dell'applicazione, fare clic su Salva.

Report sulla gestione delle vulnerabilità di Rapid7 Insight Platform (tramite Codeless Connector Framework)

Supportato da:Microsoft Corporation

Il connettore di dati Rapid7 Insight VM Report offre la possibilità di inserire i report di analisi e i dati sulle vulnerabilità in Microsoft Sentinel tramite l'API REST dalla piattaforma Rapid7 Insight (gestita nel cloud). Per altre informazioni, vedere la documentazione dell'API . Il connettore consente il recupero degli eventi per valutare i potenziali rischi per la sicurezza, monitorare la collaborazione e diagnosticare e risolvere i problemi di configurazione.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

Rapid7InsightVMCloudAssets Sì Sì

Rapid7InsightVMCloudVulnerabilities Sì Sì

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

Prerequisiti:

Credenziali REST API:InsightVMAPIKey è necessario per l'API REST. Per altre informazioni, vedere API. Controllare tutti i requisiti e seguire le istruzioni per ottenere le credenziali

Istruzioni per l'installazione:

Seguire le istruzioni per configurare il connettore Rapid7 InsightVM.

Nota: questo connettore dati dipende da un parser basato su una funzione Kusto per funzionare come previsto InsightVMAssets e InsightVMVulnerabilities distribuito con la soluzione Microsoft Sentinel.

1. Passaggi di configurazione per il cloud della VM Rapid7 Insight:

Seguire le istruzioni per ottenere le credenziali.

In Rapid7 InsightVM generare una chiave API.

Prendere nota dell'area e della chiave API.

Regione: (USA, UE, ecc.)

Chiave API: (Chiave API)

2. Connetti:

Abilitare il connettore della macchina virtuale Rapid7 Insight.

Abilitare/disabilitare la connessione

Eventi di setaccio rosso (push CCF)

Supportato da:Red Sift

Il connettore Red Sift offre la possibilità di inserire l'autenticazione red sift e gli eventi forensi tramite posta elettronica in Microsoft Sentinel usando il modello push CCF con DCE + DCR.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

RedSiftAuth_CL No No

RedSiftEmailForensics_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Microsoft Entra: Permesso di creare una registrazione di un'app in Microsoft Entra ID. In genere richiede Entra ruolo sviluppatore di applicazioni ID o superiore.

Microsoft Azure: Permesso di assegnare il ruolo di Monitoring Metrics Publisher sulla regola di raccolta dati (DCR). In genere richiede Azure ruolo Proprietario controllo degli accessi in base al ruolo o Amministratore accesso utente.

Istruzioni per l'installazione:

1. Creare risorse ARM e fornire i permessi richiesti:

Distribuire DCE, DCR, tabella personalizzata e la registrazione dell'app Entra usata per le credenziali client OAuth.

La configurazione automatizzata e l'inserimento sicuro dei dati con Entra'applicazione facendo clic su "Distribuisci" attiveranno la creazione di tabelle di Log Analytics e di una regola di raccolta dati (DCR). Verrà quindi creata un'applicazione Entra, verrà collegato il DCR e verrà impostato il segreto immesso nell'applicazione. Questa configurazione consente di inviare i dati in modo sicuro al DCR usando un token di Entra.

2. Configura il webhook Red Seft:

Usare i parametri seguenti per configurare Red Sift per inviare eventi a Microsoft Sentinel. Usare il nome del flusso appropriato per ogni tipo di evento.

ID Tenant (ID Directory):<variable value provided at install time>

ID Domanda di Registrazione Entra App:<variable value provided at install time>

Segreto per la registrazione dell'app Entra:<variable value provided at install time>

Data Collection Endpoint Uri:<variable value provided at install time>

ID immutabile della regola di raccolta dati:<variable value provided at install time>

Nome della diretta degli eventi di autenticazione:<variable value provided at install time>

Email Nome Eventi Forensi:<variable value provided at install time>

Connettore RSA ID Plus Amministrazione Logs

Supportato dal teamdi supporto rsa

Il connettore RSA ID Plus AdminLogs consente di inserire gli eventi di controllo della console di Amministrazione cloud in Microsoft Sentinel usando le API cloud Amministrazione.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

RSAIDPlus_AdminLogs_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Autenticazione RSA ID Plus API: Per accedere alle API Admin, è necessario un token JWT valido codificato in Base64URL, firmato con la chiave Legacy Administration API del client.

Istruzioni per l'installazione:

NOTA: Questo connettore usa Codeless Connector Framework (CCF) per connettersi alle API RSA ID Plus Cloud Amministrazione per eseguire il pull dei log in Microsoft Sentinel.

PASSO 1 - Crea un client legacy dell'API amministrativa nella console di amministrazione cloud:

Seguire i passaggi indicati in questa pagina.

PASSO 2 - Generare il token JWT codificato Base64URL:

Seguire i passaggi indicati in questa pagina sotto l'intestazione "API di amministrazione legacy".

PASSO 3 - Configura l'API Cloud Admin per iniziare a integrare i log degli eventi Admin in Microsoft Sentinel:

Specificare i valori necessari di seguito:

URL API admin: (https://< tenantName.access.securid.com/AdminInterface/restapi/v1/adminlog/exportLogs>)

Token JWT: (Inserisci il tuo token JWT)

PASSO 4 - Clicca Collega:

Verificare che tutti i campi precedenti siano stati compilati correttamente. Premere Connetti per avviare il connettore.

Abilitare/disabilitare la connessione

Connettore dati Rubrik Security Cloud (usando Funzioni di Azure)

Supportato da:Rubrik

Il connettore dati cloud di Rubrik Security consente ai team delle operazioni di sicurezza di integrare informazioni dettagliate dai servizi di osservabilità dei dati di Rubrik in Microsoft Sentinel. Le informazioni dettagliate includono l'identificazione del comportamento anomalo del file system associato a ransomware e l'eliminazione di massa, valutare il raggio di esplosione di un attacco ransomware e operatori di dati sensibili per dare priorità e analizzare più rapidamente i potenziali incidenti.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

Rubrik_Anomaly_Data_CL No No

Rubrik_Ransomware_Data_CL No No

Rubrik_ThreatHunt_Data_CL No No

Rubrik_Events_Data_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Microsoft. Permessi web/siti: Sono necessari permessi di lettura e scrittura per Funzioni di Azure per creare una Function App. Per altre informazioni, vedere Funzioni di Azure.

Istruzioni per l'installazione:

NOTA: Questo connettore usa Funzioni di Azure per connettersi al webhook Rubrik che esegue il push dei log in Microsoft Sentinel. Ciò potrebbe comportare costi aggiuntivi per l'inserimento di dati. Per informazioni dettagliate, controllare la pagina dei prezzi Funzioni di Azure.

(Passaggio facoltativo) Archiviare in modo sicuro le chiavi o i token di autorizzazione api e dell'area di lavoro in Azure Key Vault. Azure Key Vault fornisce un meccanismo sicuro per archiviare e recuperare i valori delle chiavi. Seguire queste istruzioni per usare Azure Key Vault con un'app per le funzioni Azure.

PASSAGGIO 1- Scegliere UNO tra le due opzioni di distribuzione seguenti per distribuire il connettore e la funzione Azure associata

IMPORTANTE: Prima di distribuire il connettore dati rubrik Microsoft Sentinel, è possibile usare l'ID area di lavoro e la chiave primaria dell'area di lavoro (che possono essere copiati da quanto segue).

ID dello spazio di lavoro:<variable value provided at install time>

Chiave primaria:<variable value provided at install time>

Opzione 1 - Azure Resource Manager (ARM) Template:

Usare questo metodo per la distribuzione automatica del connettore Rubrik.

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms

Selezionare la sottoscrizione, il gruppo di risorse e la località preferiti.

Immettere le informazioni seguenti: Function Name Workspace ID Workspace Key AnomaliesTableName RansomwareAnalysisTableName ThreatHuntsTableName EventsTableName LogLevel

Contrassegnare la casella di controllo con l'etichetta Accetto i termini e le condizioni indicati sopra.

Fare clic su Acquista per distribuire.

Opzione 2 - Distribuzione manuale di Funzioni di Azure:

Usare le istruzioni dettagliate seguenti per distribuire manualmente il connettore dati rubrik Microsoft Sentinel con Funzioni di Azure (distribuzione tramite Visual Studio Code).

Distribuire un'app per le funzioni

NOTA: Sarà necessario preparare vs code per lo sviluppo di funzioni Azure.

Scaricare il file dell'app per le funzioni Azure. Estrarre l'archivio nel computer di sviluppo locale.

Avviare VS Code. Scegliere File nel menu principale e selezionare Apri cartella.

Selezionare la cartella di primo livello dai file estratti.

Scegliere l'icona Azure nella barra attività, quindi nell'area Azure: Funzioni scegliere il pulsante Distribuisci nell'app per le funzioni. Se non sei già connesso, scegli l'icona Azure nella barra Attività, poi nell'area Azure: Funzioni, scegli Accedi ad Azure: Se sei già connesso, passa al passo successivo.

Fornire le informazioni seguenti alle richieste:

Selezionare la cartella: Scegliere una cartella dall'area di lavoro o passare a una cartella contenente l'app per le funzioni.

Selezionare Sottoscrizione: Scegliere la sottoscrizione da usare.

Selezionare Crea nuova app per le funzioni in Azure (non scegliere l'opzione Avanzate)

Immettere un nome univoco globale per l'app per le funzioni: Digitare un nome valido in un percorso URL. Il nome digitato viene convalidato per assicurarsi che sia univoco in Funzioni di Azure. (ad esempio RubrikXXXXX).

Selezionare un runtime: Scegliere Python 3.8 o versione successiva.

Selezionare una posizione per le nuove risorse. Per ottenere prestazioni migliori e costi inferiori, scegliere la stessa area in cui si trova Microsoft Sentinel.

Verrà avviata la distribuzione. Una notifica viene visualizzata dopo la creazione dell'app per le funzioni e l'applicazione del pacchetto di distribuzione.

Passare a portale di Azuree per la configurazione dell'app per le funzioni.

Configurare l'app per le funzioni

Nell'app per le funzioni selezionare nome dell'app per le funzioni e selezionare Configurazione.

Nella scheda Impostazioni applicazione selezionare + Nuova impostazione applicazione.

Aggiungere ognuna delle impostazioni dell'applicazione seguenti singolarmente, con i rispettivi valori (con distinzione tra maiuscole e minuscole): WorkspaceID WorkspaceKey AnomaliesTableName RansomwareAnalysisTableName ThreatHuntsTableName EventsTableName LogLevel logAnalyticsUri (facoltativo)

Usare logAnalyticsUri per eseguire l'override dell'endpoint DELL'API log analytics per il cloud dedicato. Ad esempio, per il cloud pubblico, lasciare il valore vuoto; per Azure ambiente cloud GovUS, specificare il valore nel formato seguente: https://< CustomerId.ods.opinsights.azure.us>.

Dopo aver immesso tutte le impostazioni dell'applicazione, fare clic su Salva.

Passaggi successivi alla distribuzione

1) Ottieni l'endpoint dell'app Funzione:

Passare alla pagina Panoramica della funzione Azure e fare clic sulla scheda "Funzioni".

Fare clic sulla funzione denominata "RubrikHttpStarter".

Passare a "GetFunctionurl" e copiare l'URL della funzione.

2) Aggiungere un webhook in RubrikSecurityCloud per inviare dati a Microsoft Sentinel:

Seguire le istruzioni della Guida utente di Rubrik per aggiungere un webhook per iniziare a ricevere informazioni sull'evento

Selezionare il Microsoft Sentinel come provider webhook

Immettere il nome webhook desiderato

Immettere la parte URL da Function-URL copiato come endpoint URL webhook e sostituire {functionname} con "RubrikAnomalyOrchestrator" per la soluzione Rubrik Microsoft Sentinel

Selezionare EventType come Anomaly

Selezionare i livelli di gravità seguenti: Critico, Avviso, Informativo

Scegli più tipi di log, se lo desideri, quando esegui "RubrikEventsOrchestrator":

Ripetere gli stessi passaggi per aggiungere webhook per l'analisi del rilevamento anomalie, la ricerca delle minacce e altri eventi.

NOTA: durante l'aggiunta di webhook per analisi del rilevamento anomalie, ricerca delle minacce e altri eventi, sostituire {functionname} con "RubrikRansomwareOrchestrator", "RubrikThreatHuntOrchestrator" e "RubrikEventsOrchestrator" rispettivamente in function-url copiato.

A questo punto è stata completata la configurazione del webhook rubrik. Dopo l'attivazione degli eventi webhook, sarà possibile visualizzare gli eventi Anomaly, Anomaly Detection Analysis, Threat Hunt e Other Events di Rubrik nella rispettiva tabella dell'area di lavoro LogAnalytics denominata "Rubrik_Anomaly_Data_CL", "Rubrik_Ransomware_Data_CL", "Rubrik_ThreatHunt_Data_CL" e "Rubrik_Events_Data_CL".

Sicurezza SaaS

Supportato da:Valence Security

Connette la piattaforma di sicurezza Valence SaaS Log Analytics di Azure tramite l'interfaccia dell'API REST

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

ValenceAlert_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Istruzioni per l'installazione:

Passo 1: Leggi la documentazione dettagliata:

Il processo di installazione è documentato in dettaglio nella knowledge base di Valence Security. L'utente deve consultare ulteriormente questa documentazione per comprendere l'installazione e il debug dell'integrazione.

Passo 2: Recupera le credenziali di accesso allo spazio di lavoro:

Il primo passaggio di installazione consiste nel recuperare sia l'ID area di lavoro che la chiave primaria dalla piattaforma Microsoft Sentinel. Copiare i valori mostrati di seguito e salvarli per la configurazione dell'integrazione del server d'inoltro del log api.

ID dello spazio di lavoro:<variable value provided at install time>

Chiave primaria:<variable value provided at install time>

Passo 3: Configura l'integrazione di Sentinel sulla Valence Security Platform:

Come amministratore di Valence Security Platform, passare alla schermata di configurazione, fare clic su Connetti nella scheda di integrazione SIEM e scegliere Microsoft Sentinel. Incollare i valori del passaggio precedente e fare clic su Connetti. Valence testerà la connessione in modo che, quando viene segnalato l'esito positivo, la connessione ha funzionato.

SailPoint IdentityNow (tramite Funzioni di Azure)

Supportato da:SailPoint

Il connettore dati SailPoint IdentityNow offre la possibilità di inserire gli eventi di ricerca [SailPoint IdentityNow] in Microsoft Sentinel tramite l'API REST. Il connettore offre ai clienti la possibilità di estrarre informazioni di controllo dal tenant IdentityNow. È progettato per semplificare ulteriormente l'inserimento di eventi di governance e attività utente IdentityNow in Microsoft Sentinel per migliorare le informazioni dettagliate della soluzione di monitoraggio degli eventi e degli eventi imprevisti di sicurezza.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

SailPointIDN_Events_CL No No

SailPointIDN_Triggers_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Microsoft. Permessi web/siti: Sono necessari permessi di lettura e scrittura per Funzioni di Azure per creare una Function App. Per altre informazioni, vedere Funzioni di Azure.

Credenziali di autenticazione API SailPoint IdentityNow: TENANT_ID, CLIENT_ID e CLIENT_SECRET sono necessari per l'autenticazione.

Istruzioni per l'installazione:

NOTA: Questo connettore utilizza Funzioni di Azure per collegarsi all'API REST di SailPoint IdentityNow e trasmettere i suoi log in Microsoft Sentinel. Ciò potrebbe comportare costi aggiuntivi per l'inserimento di dati. Per informazioni dettagliate, controllare la pagina dei prezzi Funzioni di Azure.

(Passaggio facoltativo) Archiviare in modo sicuro le chiavi o i token di autorizzazione api e dell'area di lavoro in Azure Key Vault. Azure Key Vault fornisce un meccanismo sicuro per archiviare e recuperare i valori delle chiavi. Seguire queste istruzioni per usare Azure Key Vault con un'app per le funzioni Azure.

STEP 1 - Passaggi di configurazione per l'API SailPoint IdentityNow

Seguire le istruzioni per ottenere le credenziali.

PASSAGGIO 2- Scegliere UNO tra le due opzioni di distribuzione seguenti per distribuire il connettore e la funzione Azure associata

IMPORTANTE: Prima di distribuire il connettore dati SailPoint IdentityNow, si devono avere l'ID dello Spazio di Lavoro e la Chiave Primaria dello Spazio di Lavoro (possono essere copiate da quanto segue).

ID dello spazio di lavoro:<Valore variabile fornito al momento dell'installazione>

Chiave primaria:<Valore variabile fornito al momento dell'installazione>

Opzione 1 - Modello Azure Resource Manager (ARM)

Utilizzare questo metodo per il deployment automatizzato del connettore dati SailPoint IdentityNow utilizzando un template ARM.

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms

Selezionare la sottoscrizione, il gruppo di risorse e la località preferiti.

NOTA: All'interno dello stesso gruppo di risorse, non è possibile combinare app Windows e Linux nella stessa area. Selezionare un gruppo di risorse esistente senza app di Windows o creare un nuovo gruppo di risorse. 3. Inserire altre informazioni e schierarsi. 4. Contrassegnare la casella di controllo etichettata Accetto i termini e le condizioni indicati sopra. 5. Fare clic su Acquista per distribuire.

Opzione 2 - Distribuzione manuale di Funzioni di Azure

Utilizza le seguenti istruzioni passo dopo passo per distribuire manualmente il connettore dati SailPoint IdentityNow con Funzioni di Azure (Deployment tramite Visual Studio Code).

Distribuire un'app per le funzioni

NOTA: Sarà necessario preparare vs code per lo sviluppo di funzioni Azure.

Scaricare il file dell'app per le funzioni Azure. Estrarre l'archivio nel computer di sviluppo locale.

Avviare VS Code. Scegliere File nel menu principale e selezionare Apri cartella.

Selezionare la cartella di primo livello dai file estratti.

Scegliere l'icona Azure nella barra attività, quindi nell'area Azure: Funzioni scegliere il pulsante Distribuisci nell'app per le funzioni. Se non è già stato eseguito l'accesso, scegliere l'icona Azure nella barra attività, quindi nell'area Azure: Funzioni scegliere Accedi a Azure Se si è già connessi, passare al passaggio successivo.

Fornire le informazioni seguenti alle richieste:

a. Selezionare la cartella: Scegliere una cartella dall'area di lavoro o passare a una cartella contenente l'app per le funzioni.

b. Selezionare Sottoscrizione: Scegliere la sottoscrizione da usare.

c. Selezionare Crea nuova app per le funzioni in Azure (non scegliere l'opzione Avanzate)

d. Immettere un nome univoco globale per l'app per le funzioni: Digitare un nome valido in un percorso URL. Il nome digitato viene convalidato per assicurarsi che sia univoco in Funzioni di Azure. (ad esempio searcheventXXXXX).

e. Seleziona un'runtime: Scegli Python 3.9.

f. Selezionare una posizione per le nuove risorse. Per ottenere prestazioni migliori e costi inferiori, scegliere la stessa area in cui si trova Microsoft Sentinel.

Verrà avviata la distribuzione. Una notifica viene visualizzata dopo la creazione dell'app per le funzioni e l'applicazione del pacchetto di distribuzione.

Passare a portale di Azuree per la configurazione dell'app per le funzioni.

Configurare l'app per le funzioni

Nell'app per le funzioni selezionare nome dell'app per le funzioni e selezionare Configurazione.

Nella scheda Impostazioni applicazione selezionare Nuova impostazione applicazione.

Aggiungi ciascuna delle seguenti impostazioni applicative individualmente, con i rispettivi valori di stringa (maiuscole e sensibili): TENANT_ID SHARED_KEY LIMIT GRANT_TYPE CUSTOMER_ID CLIENT_ID CLIENT_SECRET AZURE_STORAGE_ACCESS_KEY AZURE_STORAGE_ACCOUNT_NAME AzureWebJobsStorage logAnalyticsUri (opzionale)

Usare logAnalyticsUri per eseguire l'override dell'endpoint DELL'API log analytics per il cloud dedicato. Ad esempio, per il cloud pubblico, lasciare il valore vuoto; per Azure ambito cloud GovUS, specificare il valore nel formato seguente: https://<CustomerId>.ods.opinsights.azure.us.

Dopo aver immesso tutte le impostazioni dell'applicazione, fare clic su Salva.

Log di controllo di Salesforce (tramite Codeless Connector Framework)

Supportato da:Microsoft Corporation

Il connettore dati Salesforce Audit Logs consente di inserire modifiche amministrative e di configurazione dall'organizzazione Salesforce in Microsoft Sentinel tramite l'API REST. Il connettore consente di inserire gli eventi Setup Audit Trail e Login History in Microsoft Sentinel che tengono traccia delle modifiche apportate alla configurazione dell'organizzazione, consentendo di mantenere la visibilità della sicurezza e della conformità.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

SalesforceAuditTrail Sì Sì

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

Prerequisiti:

Accesso all'API Salesforce Service Cloud: È necessario accedere all'API Salesforce Service Cloud tramite un'app connessa.

Istruzioni per l'installazione:

Collega Salesforce a Microsoft Sentinel:

Seguire Creare un'app connessa in Salesforce per OAuth e Configurare un'app connessa per il flusso di credenziali client OAuth 2.0 per creare un'app connessa con accesso all'API cloud del servizio Salesforce. Tramite queste istruzioni, è necessario ottenere la chiave consumer e il segreto consumer. Per Salesforce Domain name (Nome dominio Salesforce) Passare al programma di installazione, digitare My Domain (Dominio personale) nella casella Ricerca rapida e selezionare My Domain (Dominio personale) per visualizzare i dettagli del dominio. Assicurarsi di immettere il nome di dominio senza una barra finale (ad esempio, https://your-domain.my.salesforce.com). Compilare il modulo seguente con tali informazioni.

Griglia connettori dati (configurare nel portale)

SalesForce Real-Time Event Monitoring Connector (tramite Codeless Connector Framework)

Supportato da:Microsoft Corporation

Il connettore RTEM (Salesforce Real-Time Event Monitoring) consente di inserire informazioni sugli eventi in tempo reale di Salesforce usando Object for Event Storage in Microsoft Sentinel tramite l'API REST. Il connettore offre la possibilità di esaminare gli eventi nell'organizzazione in modo accelerato, ottenere i dati degli eventi in tempo reale per le attività recenti.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

SalesForceRealTimeEventMonitoring_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Accesso all'API di monitoraggio eventi Salesforce: È necessario accedere all'API di monitoraggio eventi di Salesforce tramite un'app connessa.

Istruzioni per l'installazione:

Connettiti a Salesforce Event Monitoring per iniziare a raccogliere i log di monitoraggio degli eventi in tempo reale in Microsoft Sentinel:

Seguire Creare un'app connessa in Salesforce per OAuth e Configurare un'app connessa per il flusso di credenziali client OAuth 2.0 per creare un'app connessa con accesso all'API di monitoraggio eventi salesforce. Tramite queste istruzioni, è necessario ottenere la chiave consumer e il segreto consumer. Per Salesforce Domain name (Nome dominio Salesforce) Passare al programma di installazione, digitare My Domain (Dominio personale) nella casella Ricerca rapida e selezionare My Domain (Dominio personale) per visualizzare i dettagli del dominio. Assicurarsi di immettere il nome di dominio senza una barra finale (ad esempio, https://your-domain.my.salesforce.com). Compilare il modulo seguente con tali informazioni.

Nota: sottoscrizione di componente aggiuntivo obbligatoria: l'account Salesforce deve includere sottoscrizioni del componente aggiuntivo Salesforce Shield o Salesforce Event Monitoring per il funzionamento del connettore.

Griglia connettori dati (configurare nel portale)

Salesforce Service Cloud (tramite Codeless Connector Framework)

Supportato da:Microsoft Corporation

Il connettore dati Salesforce Service Cloud offre la possibilità di inserire informazioni sugli eventi operativi salesforce in Microsoft Sentinel tramite l'API REST. Il connettore offre la possibilità di esaminare gli eventi nell'organizzazione con accelerazione, ottenere i file di log eventi in incrementi orari per l'attività recente.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

SalesforceServiceCloudV3_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Accesso all'API Salesforce Service Cloud: È necessario accedere all'API Salesforce Service Cloud tramite un'app connessa.

Istruzioni per l'installazione:

Connettiti all'API Salesforce Service Cloud per iniziare a raccogliere event log in Microsoft Sentinel:

Seguire Creare un'app connessa in Salesforce per OAuth e Configurare un'app connessa per il flusso di credenziali client OAuth 2.0 per creare un'app connessa con accesso all'API cloud del servizio Salesforce. Tramite queste istruzioni, è necessario ottenere la chiave consumer e il segreto consumer. Per Salesforce Domain name (Nome dominio Salesforce) Passare al programma di installazione, digitare My Domain (Dominio personale) nella casella Ricerca rapida e selezionare My Domain (Dominio personale) per visualizzare i dettagli del dominio. Assicurarsi di immettere il nome di dominio senza una barra finale (ad esempio, https://your-domain.my.salesforce.com). Compilare il modulo seguente con tali informazioni.

Nota: si noti che la soluzione 3.2.0 e versioni successive usa la tabella SalesforceServiceCloudV3_CL. Il parser è stato aggiornato di conseguenza.

Griglia connettori dati (configurare nel portale)

Samsung Knox Asset Intelligence

Supportato da:Samsung Electronics Co., Ltd.

Samsung Knox Asset Intelligence Data Connector consente di centralizzare gli eventi e i log di sicurezza per dispositivi mobili per visualizzare informazioni dettagliate personalizzate usando il modello Cartella di lavoro e identificare gli eventi imprevisti in base ai modelli di regole di analisi.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

Samsung_Knox_Audit_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

App Entra: Un'app Entra deve essere registrata e provisionata con il ruolo 'Microsoft Metrics Publisher' e configurata con Certificate o Client Secret come credenziali per il trasferimento sicuro dei dati. Per altre informazioni sulla creazione, la registrazione e la configurazione delle credenziali dell'app Entra, vedere l'esercitazione sull'inserimento dei log.

Istruzioni per l'installazione:

Questo connettore dati usa l'API di inserimento log Microsoft per eseguire il push degli eventi di sicurezza in Microsoft Sentinel dalla soluzione Samsung Knox Asset Intelligence (KAI).

PASSO 1 - Crea e registra una Domanda Entra:

Nota: Questo Data Connector può supportare sia l'autenticazione basata su certificati che su Client Secret. Per l'autenticazione basata su certificato, è possibile scaricare il certificato firmato dalla CA Samsung (chiave pubblica) dal portale della documentazione di KAI. Per l'autenticazione basata su segreto client, è possibile creare il segreto durante la registrazione dell'applicazione Entra. Assicurarsi di copiare il valore del segreto client non appena viene generato.

IMPORTANTE: Salvare i valori per ID tenant (directory) e ID client (applicazione). Se l'autenticazione basata su segreto client è abilitata, salvare il segreto client (valore segreto) associato all'app Entra.

PASSO 2 - Automatizza il deployment di questo Data Connector utilizzando il seguente modello di Azure Resource Manager (ARM):

IMPORTANTE: Prima di distribuire il connettore dati, copiare il nome dell'area di lavoro seguente associato all'istanza di Microsoft Sentinel (anche Log Analytics).

Nome dello spazio di lavoro:<variable value provided at install time>

Fare clic sul pulsante seguente per installare Samsung Knox Intelligence Solution.

aka.ms\n2. Specificare i campi obbligatori seguenti: Nome area di lavoro Log Analytics, Percorso area di lavoro Log Analytics, Sottoscrizione dell'area di lavoro di Log Analytics (ID) e Gruppo di risorse dell'area di lavoro Log Analytics.

PASSO 3 - Ottieni i dettagli della raccolta dati Microsoft Sentinel:

Dopo aver distribuito il modello di Arm, passare a Regole https://portal.azure.com/#browse/microsoft.insights%2Fdatacollectionrulesdi raccolta dati e salvare i valori associati all'ID non modificabile (DCR) e all'endpoint di raccolta dati (DCE).

IMPORTANTE: Per abilitare l'integrazione end-to-end, le informazioni relative a Microsoft Sentinel DCE e DCR sono necessarie per la configurazione nel portale di Samsung Knox Asset Intelligence (PASSAGGIO 4).

Assicurarsi che l'applicazione Entra creata nel PASSAGGIO 1 disponga delle autorizzazioni per usare il registro azure data creato per inviare dati al controller di dominio. Per assegnare le autorizzazioni di conseguenza, vedere /azure/azure-monitor/logs/tutorial-logs-ingestion-portal#assign-permissions-to-the-dcr.

PASSO 4 - Connettiti alla soluzione Samsung Knox Asset Intelligence per configurare Microsoft Sentinel che invia alcuni eventi di sicurezza Knox come avvisi:

Accedere al portale di amministrazione di Knox Asset Intelligence e passare a Impostazioni dashboard; è disponibile nell'angolo in alto a destra del portale.

Nota: Assicurati che l'utente di accesso abbia accesso ai permessi 'Sicurezza' e 'Gestisci la vista della dashboard e la raccolta dati'.

Fare clic sulla scheda Sicurezza per visualizzare le impostazioni per Microsoft Sentinel Integration e Knox Security Logs.

Nella pagina Integrazione operazioni di sicurezza attivare e disattivare "Abilita integrazione Microsoft Sentinel" e immettere i valori appropriati nei campi obbligatori.

In base al metodo di autenticazione usato, fare riferimento alle informazioni salvate dal PASSAGGIO 1 durante la registrazione dell'applicazione Entra.

Per Microsoft Sentinel DCE e DCR, fare riferimento alle informazioni salvate dal PASSAGGIO 3.

Fare clic su "Test connessione" e verificare che la connessione abbia esito positivo.

Prima di poter salvare, configura i Log di Sicurezza Knox selezionando Essential o Advanced configuration (predefinita: Essential):

Per completare l'integrazione Microsoft Sentinel, fare clic su 'Salva'.

SAP BTP

Supportato da:Microsoft Corporation

SAP Business Technology Platform (SAP BTP) riunisce gestione dei dati, analisi, intelligenza artificiale, sviluppo di applicazioni, automazione e integrazione in un unico ambiente unificato.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

SAPBTPAuditLog_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Client ID e Client Secret per l'API di recupero di audit: Abilita l'accesso API in BTP.

Istruzioni per l'installazione:

Passaggio 1 - Passaggi di configurazione per l'API di recupero controllo BTP SAP

Seguire i passaggi forniti da SAP per l'API di recupero dei log di controllo per gli account globali nell'ambiente Cloud Foundry. Prendere nota dell'URL (AUDIT Retrieval API URL), uaa.url (User Account and Authentication Server URL) e del file uaa.clientid associato.

NOTA: È possibile eseguire l'onboarding in massa di sottoaccount BTP usando gli strumenti forniti.

Collega gli eventi da SAP BTP a Microsoft Sentinel:

Connettersi usando le credenziali client OAuth

Sottoaccount:

Ogni riga rappresenta un account secondario connesso

Griglia connettori dati (configurare nel portale)

SAP Enterprise Threat Detection, edizione cloud

Supportato da:SAP

Il connettore dati SAP Enterprise Threat Detection, cloud edition (ETD) consente l'inserimento di avvisi di sicurezza da ETD in Microsoft Sentinel, supportando la correlazione incrociata, gli avvisi e la ricerca delle minacce.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

SAPETDAlerts_CL No No

SAPETDInvestigations_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Client ID e Client Secret per l'API di recupero ETD: Abilita l'accesso API in ETD.

Istruzioni per l'installazione:

Passaggio 1 - Passaggi di configurazione per l'API di recupero controllo ETD SAP

Seguire i passaggi forniti da SAP vedere la documentazione ETD. Prendere nota dell'URL (AUDIT Retrieval API URL), uaa.url (User Account and Authentication Server URL) e del file uaa.clientid associato.

NOTA: È possibile eseguire l'onboarding di uno o più account secondari ETD seguendo i passaggi forniti da SAP vedere la documentazione ETD. Aggiungere una connessione per ogni account secondario.

MANCIA: Usare la serie di blog condivisa per altre informazioni.

Collega gli eventi da SAP ETD a Microsoft Sentinel:

Connettersi usando le credenziali client OAuth

Conti ETD:

Ogni riga rappresenta un account ETD connesso

Griglia connettori dati (configurare nel portale)

SAP LogServ (RISE), S/4HANA Cloud Private Edition

Supportato da:SAP

SAP LogServ è un servizio SAP Enterprise Servizi cloud (ECS) destinato alla raccolta, all'archiviazione, all'inoltro e all'accesso dei log. LogServ centralizza i log da tutti i sistemi, le applicazioni e i servizi ECS usati da un cliente registrato.
Le funzionalità principali includono:
Raccolta di log quasi in tempo reale: con la possibilità di integrarsi in Microsoft Sentinel come soluzione SIEM.
LogServ integra i rilevamenti e il monitoraggio delle minacce a livello di applicazione SAP esistenti in Microsoft Sentinel con i tipi di log di proprietà di SAP ECS come provider di sistema. Sono inclusi log come: LOG di controllo della sicurezza SAP (AS ABAP), database HANA, AS JAVA, ICM, SAP Web Dispatcher, SAP Cloud Connector, sistema operativo, gateway SAP, database di terze parti, rete, DNS, proxy, firewall

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

SAPLogServ_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Microsoft Entra: Permesso di creare una registrazione di un'app in Microsoft Entra ID. In genere richiede Entra ruolo sviluppatore di applicazioni ID o superiore.

Microsoft Azure: Permesso di assegnare il ruolo di Monitoring Metrics Publisher alle regole di raccolta dati. In genere richiede Azure ruolo Proprietario controllo degli accessi in base al ruolo o Amministratore accesso utente.

Istruzioni per l'installazione:

1. Creare risorse ARM e fornire i permessi richiesti:

Verranno create le risorse DCR (Data Collection Rule) e DCE (Data Collection Endpoint). Verrà anche creata una registrazione dell'app Microsoft Entra e verranno assegnate le autorizzazioni necessarie.

Distribuzione automatizzata di risorse Azure Facendo clic su "Distribuisci risorse del connettore push" verrà attivata la creazione di risorse DCR e DCE. Verrà quindi creata una registrazione dell'app Microsoft Entra con il segreto client e verranno concesse le autorizzazioni per il DCR. Questa configurazione consente di inviare i dati in modo sicuro al DCR usando credenziali client OAuth v2.

2. Mantenere i dettagli degli endpoint di raccolta dati e le informazioni di autenticazione in SAP LogServ:

Condividere l'URL dell'endpoint di raccolta dati e le informazioni di autenticazione con l'amministratore di SAP LogServ per configurare SAP LogServ per l'invio dei dati all'endpoint di raccolta dati.

Altre informazioni sono disponibili in questa serie di blog.

Usa questo valore per configurare come ID Tenant nella credenziale LogIngestionAPI:<variable value provided at install time>

ID Domanda Entra:<variable value provided at install time>

Segreta dell'applicazione Entra:<variable value provided at install time>

Usa questo valore per configurare il parametro LogsIngestionURL quando distribuisci l'IFlow:<variable value provided at install time>

ID immutabile DCR:<variable value provided at install time>

SAP S/4HANA Cloud Edizione Pubblica

Supportato da:SAP

Il connettore dati SAP S/4HANA Cloud Public Edition (GROW con SAP) consente l'inserimento del log di controllo della sicurezza di SAP nella soluzione Microsoft Sentinel per SAP, supportando la correlazione incrociata, gli avvisi e la ricerca delle minacce. Alla ricerca di meccanismi di autenticazione alternativi? Vedi qui.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

ABAPAuditLog Sì Sì

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

Prerequisiti:

Client ID e Client Secret per l'API di recupero di audit: Abilita l'accesso API in BTP.

Pacchetto di contenuti Microsoft Sentinel for SAP (60+ regole analitiche, workbook, parser e altro ancora): Distribuisci dal content hub di Microsoft Sentinel.

Istruzioni per l'installazione:

Passaggio 1 - Procedura di configurazione per SAP S/4HANA Cloud Public Edition

Per connettersi a SAP S/4HANA Cloud Public Edition, è necessario:

Configura una disposizione di comunicazione per lo scenario di comunicazione SAP_COM_0750:

URL dell'API tenant SAP S/4HANA Cloud Public Edition:

Utente di comunicazione valido (nome utente e password) per il sistema SAP S/4HANA Cloud

Autorizzazioni appropriate per accedere ai dati del log di controllo tramite i servizi OData

NOTA: Questo connettore supporta l'autenticazione di base. Alla ricerca di meccanismi di autenticazione alternativi? Vedere qui

Collega gli eventi da SAP S/4HANA Cloud Public Edition alla soluzione Microsoft Sentinel per SAP:

Connettersi usando l'autenticazione di base

Connessioni S/4HANA Cloud Public Edition:

Ogni riga rappresenta un sistema S/4HANA Cloud Public Edition connesso

Griglia connettori dati (configurare nel portale)

Soluzione SecurityBridge per SAP

Supportato da:SecurityBridge

SecurityBridge migliora la sicurezza SAP integrandosi facilmente con Microsoft Sentinel, consentendo il monitoraggio in tempo reale e il rilevamento delle minacce in tutti gli ambienti SAP. Questa integrazione consente ai Security Operations Center (SOC) di consolidare gli eventi di sicurezza SAP con altri dati dell'organizzazione, offrendo una visualizzazione unificata del panorama delle minacce. Sfruttando l'analisi basata su intelligenza artificiale e l'Security Copilot di Microsoft, SecurityBridge identifica modelli di attacco e vulnerabilità sofisticati all'interno delle applicazioni SAP, tra cui l'analisi del codice ABAP e le valutazioni della configurazione. La soluzione supporta distribuzioni scalabili in scenari SAP complessi, in locale, nel cloud o in ambienti ibridi. Colmando il divario tra i team IT e di sicurezza SAP, SecurityBridge consente alle organizzazioni di rilevare, analizzare e rispondere in modo proattivo alle minacce, migliorando il comportamento di sicurezza complessivo.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

ABAPAuditLog Sì Sì

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

Prerequisiti:

Microsoft Entra: Permesso di creare una registrazione di un'app in Microsoft Entra ID. In genere richiede Entra ruolo sviluppatore di applicazioni ID o superiore.

Microsoft Azure: Permesso di assegnare il ruolo di Monitoring Metrics Publisher alle regole di raccolta dati. In genere richiede Azure ruolo Proprietario controllo degli accessi in base al ruolo o Amministratore accesso utente.

Istruzioni per l'installazione:

1. Creare risorse ARM e fornire i permessi richiesti:

Verranno create le risorse DCR (Data Collection Rule) e DCE (Data Collection Endpoint). Verrà anche creata una registrazione dell'app Microsoft Entra e verranno assegnate le autorizzazioni necessarie.

Distribuzione automatizzata di risorse Azure Facendo clic su "Distribuisci risorse del connettore push" verrà attivata la creazione di risorse DCR e DCE. Verrà quindi creata una registrazione dell'app Microsoft Entra con il segreto client e verranno concesse le autorizzazioni per il DCR. Questa configurazione consente di inviare i dati in modo sicuro al DCR usando credenziali client OAuth v2.

2. Mantenere i dettagli della raccolta dati degli endpoint e delle informazioni di autenticazione in SecurityBridge:

Condividere l'URL dell'endpoint di raccolta dati e le informazioni di autenticazione con l'amministratore di SecurityBridge per configurare Securitybridge per l'invio dei dati all'endpoint di raccolta dati.

Altre informazioni sono disponibili nella pagina KB https://abap-experts.atlassian.net/wiki/spaces/SB/pages/4099309579/REST+Push+Interface

Usa questo valore per configurare come ID Tenant nella credenziale LogIngestionAPI:<variable value provided at install time>

ID Domanda Entra:<variable value provided at install time>

Segreta dell'applicazione Entra:<variable value provided at install time>

Usa questo valore per configurare il parametro LogsIngestionURL quando distribuisci l'IFlow:<variable value provided at install time>

ID immutabile DCR:<variable value provided at install time>

Sentinel per SAP Stream ID:<variable value provided at install time>

ID SecurityBridge_CL stream:<variable value provided at install time>

Log dei fulmini di Semperis

Supportato da:Semperis

Il connettore Semperis Lightning usa Funzioni di Azure per inserire i dati di sicurezza dell'identità Semperis Lightning in Microsoft Sentinel. Il connettore distribuisce una funzione di Azure e raccoglie i dati nelle tabelle di Log Analytics personalizzate per l'analisi e la ricerca delle minacce.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

LightningTier0Nodes_CL No No

LightningAttackPaths_CL No No

LightningIOEResults_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Microsoft. Permessi web/siti: Sono necessari permessi di lettura e scrittura per Funzioni di Azure per creare una Function App. Per altre informazioni, vedere Funzioni di Azure.

Credenziali API Semperis Lightning: Una chiave API Semperis Lightning e una zona selezionata (na o eu) sono necessarie per autenticare il connettore a Semperis Lightning.

Istruzioni per l'installazione:

NOTA: Questo connettore usa Funzioni di Azure per connettersi a Semperis Lightning ed eseguire il pull dei dati in Microsoft Sentinel. Ciò potrebbe comportare costi aggiuntivi per l'inserimento di dati. Per informazioni dettagliate, controllare la pagina dei prezzi Funzioni di Azure.

(Passaggio facoltativo) Archiviare in modo sicuro le chiavi di autorizzazione dell'area di lavoro e dell'API in Azure Key Vault. Azure Key Vault fornisce un meccanismo sicuro per archiviare e recuperare i valori delle chiavi. Seguire queste istruzioni per usare Azure Key Vault con un'app per le funzioni Azure.

Assicurarsi che l'area di lavoro venga aggiunta a Microsoft Sentinel prima di distribuire il connettore.

PASSO 1 - Configura l'accesso per Semperis Lightning:

Accedere al tenant di Semperis Lightning.

Creare o recuperare una chiave API Semperis valida per l'accesso al connettore.

Confermare il valore della zona Semperis (na per America del Nord o eu per l'Europa) da usare durante la distribuzione.

PASSO 2 - Distribuisci il connettore 'Semperis Lightning Logs' e la relativa funzione Azure:

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms

PASSO 3 - Imposta i parametri del connettore:

Selezionare la sottoscrizione preferita e un gruppo di risorse esistente.

Immettere un ID risorsa dell'area di lavoro Log Analytics esistente appartenente al gruppo di risorse.

Fare clic su Avanti.

Immettere la chiave API Semperis e selezionare la zona Semperis.

Modificare facoltativamente la pianificazione del connettore (impostazione predefinita: ogni 1 ora).

Esaminare le impostazioni e fare clic su Crea.

SentinelOne (tramite Codeless Connector Framework)

Supportato da:Microsoft Corporation

Il connettore dati SentinelOne consente di inserire i log dall'API SentinelOne in Microsoft Sentinel. Il connettore dati è basato su Microsoft Sentinel Codeless Connector Framework. Usa l'API SentinelOne per recuperare i log e supporta le trasformazioni del tempo di inserimento basate su DCR che analizzano i dati di sicurezza ricevuti in una tabella personalizzata in modo che le query non debbano analizzarli nuovamente, con conseguente miglioramento delle prestazioni.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

SentinelOneActivities_CL No No

SentinelOneAgents_CL No No

SentinelOneGroups_CL No No

SentinelOneThreats_CL No No

SentinelOneAlerts_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Istruzioni per l'installazione:

Procedura di configurazione per l'API SentinelOne Seguire le istruzioni per ottenere le credenziali. È anche possibile seguire la guida per generare la chiave API.

Recuperare l'URL di gestione SentinelOne

Accedere a SentinelOne [Console di gestione] con le credenziali dell'utente amministratore

Nella [Console di gestione] copiare il collegamento URL precedente senza il percorso URL.

Recuperare il token API

Accedere a SentinelOne [Console di gestione] con le credenziali dell'utente amministratore

In [Console di gestione], fare clic su [Impostazioni]

Nella visualizzazione [Impostazioni] fare clic su [USERS].

Nella pagina [USERS] fare clic su [Service Users] -> [Actions] -> [Create new service user].

Scegliere [Data di scadenza] e [ambito] (per sito) e fare clic su [Crea utente].

Dopo aver creato [Service User] copiare il [token API] dalla pagina e premere [Salva]

URL di gestione SentinelOne: (https://example.sentinelone.net/)

Token API: (Token API)

Abilitare/disabilitare la connessione

SentinelOne v2 (tramite Codeless Connector Framework)

Supportato da:Microsoft Corporation

Il connettore dati SentinelOne V2 assorbe i log di Attività, Agenti, Gruppi e Minacce dall'API REST di SentinelOne, e gli avvisi di sicurezza dall'API SentinelOne Unified Alert Management (UAM) GraphQL, in Microsoft Sentinel. È costruito sul Microsoft Sentinel Codeless Connector Framework e utilizza trasformazioni di tempo di ingestione basate su DCR. Vedi: SentinelOne UAM GraphQL API

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

SentinelOneActivities_CL No No

SentinelOneAgents_CL No No

SentinelOneGroups_CL No No

SentinelOneThreats_CL No No

SentinelOneAlertsV2_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Istruzioni per l'installazione:

Collega SentinelOne a Microsoft Sentinel

Configura la tua connessione API SentinelOne. Ogni istanza corrisponde a un singolo URL di gestione SentinelOne + API Token.

Passaggi di configurazione per l'API SentinelOne: Segui le istruzioni qui sotto per ottenere le credenziali. Gli avvisi vengono raccolti tramite l'API SentinelOne Unified Alert Management GraphQL.

Recuperare l'URL di gestione di SentinelOne 1.1. Accedi alla Console di Gestione SentinelOne con le credenziali utente Admin. 1.2. Nella Console di Gestione copiare il link URL senza il percorso URL.

Recuperare il token API 2.1. Accedi alla Console di Gestione SentinelOne con le credenziali utente Admin. 2.2. Nella Console di Gestione, clicca su Impostazioni. 2.3. Nella vista Impostazioni clicca su USERS. 2.4. Nella pagina USERS clicca su Utenti del Servizio -> Azioni -> Crea nuovo utente del servizio. 2.5. Scegli Data di scadenza e ambito (per sito) e clicca su Crea Utente. 2.6. Una volta creato l'Utente del Servizio, copia il token API dalla pagina e premi Salva.

Collega nuove istanze Per abilitare il connettore SentinelOne per Microsoft Sentinel, clicca sul pulsante Aggiungi nuova istanza, compila le informazioni richieste nel pannello contestuale e clicca su Connetti.

Griglia connettori dati (configurare nel portale)

Sicurezza Web serafica

Supportato da:Seraphic Security

Il connettore dati Seraphic Web Security consente di inserire gli eventi e gli avvisi di Seraphic Web Security in Microsoft Sentinel.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

SeraphicWebSecurity_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Chiave API serafica: Chiave API per Microsoft Sentinel collegata al tuo tenant Seraphic Web Security. Per ottenere questa chiave API per il tenant, visitare la pagina Integrazioni nella console Seraphic.

Istruzioni per l'installazione:

Connetti la sicurezza web serafica:

Inserire il nome di integrazione, l'URL di integrazione Seraphic e il nome dell'area di lavoro per Microsoft Sentinel:

Console Amministrazione Silverfort

Supportato da:Silverfort

La soluzione connettore Silverfort ITDR Amministrazione Console consente l'inserimento di eventi Silverfort e l'accesso a Microsoft Sentinel. Silverfort fornisce eventi basati su syslog e registrazione tramite Common Event Format (CEF). Inoltrando i dati CEF di Silverfort ITDR Amministrazione Console in Microsoft Sentinel, è possibile sfruttare i vantaggi della ricerca di Sentinels & correlazione, avvisi e arricchimento dell'intelligence sulle minacce sui dati Silverfort. Per altre informazioni, contattare Silverfort o consultare la documentazione di Silverfort.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

CommonSecurityLog Sì Sì

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

Istruzioni per l'installazione:

1. Configurazione dell'agente Linux Syslog:

Installare e configurare l'agente Linux per raccogliere i messaggi syslog CEF (Common Event Format) e inoltrarli a Microsoft Sentinel.

Si noti che i dati di tutte le aree verranno archiviati nell'area di lavoro selezionata

1.1 Seleziona o crea una macchina Linux:

Selezionare o creare un computer Linux che Microsoft Sentinel userà come proxy tra la soluzione di sicurezza e Microsoft Sentinel il computer può trovarsi nell'ambiente locale, Azure o in altri cloud.

1.2 Installa il collettore CEF sulla macchina Linux:

Installa l'Monitoraggio di Azure Agent (AMA) sul tuo computer Linux e configura la macchina per ascoltare sulla porta necessaria e inoltrare i messaggi al tuo workspace Microsoft Sentinel. L'agente di raccolta CEF raccoglie i messaggi CEF sulla porta 514 TCP.

Assicurarsi di avere Python nel computer usando il comando seguente: python -version.

È necessario disporre di autorizzazioni elevate (sudo) nel computer.

Esegui il seguente comando per installare e applicare il collettore CEF:<variable value provided at install time>

2. Inoltrare i log del Common Event Format (CEF) all'agente Syslog:

Impostare la soluzione di sicurezza per inviare messaggi Syslog in formato CEF al computer proxy. Assicurarsi di inviare i log alla porta 514 TCP nell'indirizzo IP del computer.

3. Validare la connessione:

Seguire le istruzioni per convalidare la connettività:

Aprire Log Analytics per verificare se i log vengono ricevuti usando lo schema CommonSecurityLog.

Potrebbero essere necessari circa 20 minuti prima che la connessione flussi i dati all'area di lavoro.

Se i log non vengono ricevuti, eseguire lo script di convalida della connettività seguente:

Assicurarsi di avere Python nel computer usando il comando seguente: python -version

È necessario disporre di autorizzazioni elevate (sudo) nel computer

Esegui il seguente comando per convalidare la tua connettività:<variable value provided at install time>

4. Metti in sicurezza la tua macchina:

Assicurarsi di configurare la sicurezza del computer in base ai criteri di sicurezza dell'organizzazione

Ulteriori informazioni >

SlackAudit (tramite Codeless Connector Framework)

Supportato da:Microsoft Corporation

Il connettore dati SlackAudit offre la possibilità di inserire i log di controllo slack in Microsoft Sentinel tramite l'API REST. Per altre informazioni, vedere la documentazione dell'API .

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

SlackAuditV2_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

UserName, Chiave API SlackAudit e Tipo d'Azione: Per generare il token di accesso, crea una nuova applicazione in Slack, poi aggiungi gli scope necessari e configura l'URL di reindirizzamento. Per istruzioni dettagliate sulla generazione del token di accesso, del nome utente e del limite dei nomi di azione, fare riferimento al collegamento.

Istruzioni per l'installazione:

Collega SlackAudit a Microsoft Sentinel:

Per inserire i dati da SlackAudit a Microsoft Sentinel, è necessario fare clic sul pulsante Aggiungi dominio sotto, quindi si ottiene un popup per compilare i dettagli, fornire le informazioni necessarie e fare clic su Connetti. È possibile visualizzare i nomi utente, le azioni connesse nella griglia.

Griglia connettori dati (configurare nel portale)

Snowflake (tramite Codeless Connector Framework)

Supportato da:Microsoft Corporation

Il connettore dati Snowflake offre la possibilità di inserire log cronologia di accesso snowflake, log della cronologia query, log delle concessioni utente, log delle concessioni dei ruoli, log della cronologia di caricamento, log della cronologia degli aggiornamenti di visualizzazione materializzata, log dei ruoli, log delle tabelle, log delle metriche di archiviazione tabelle, log degli utenti in Microsoft Sentinel tramite l'API SQL Snowflake. Per altre informazioni, vedere la documentazione dell'API SQL snowflake .

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

SnowflakeLogin_CL No No

SnowflakeQuery_CL No No

SnowflakeUserGrant_CL No No

SnowflakeRoleGrant_CL No No

SnowflakeLoad_CL No No

SnowflakeMaterializedView_CL No No

SnowflakeRoles_CL No No

SnowflakeTables_CL No No

SnowflakeTableStorageMetrics_CL No No

SnowflakeUsers_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Istruzioni per l'installazione:

Collega Snowflake a Microsoft Sentinel:

NOTA: per assicurarsi che i dati vengano presentati in colonne separate per ogni campo, eseguire il parser usando la funzione Snowflake()

Per raccogliere dati da Snowflake, è necessario fornire le risorse seguenti

Identificatore dell'account Per raccogliere dati da Snowflake, è necessario l'identificatore dell'account Snowflake.

Token di accesso a livello di codice Per raccogliere dati da Snowflake, è necessario il token di accesso programmatico Snowflake

Per istruzioni dettagliate sul recupero dell'identificatore dell'account e del token di accesso a livello di codice, vedere l'esercitazione sul connettore.

Griglia connettori dati (configurare nel portale)

Connettore dati dei log di controllo della piattaforma SOC Prime

Supportato da:SOC Prime

Il connettore dati SOC Prime Audit Logs consente di inserire i log dall'API SOC Prime Platform in Microsoft Sentinel. Il connettore dati è basato su Microsoft Sentinel Codeless Connector Framework. Usa l'API SOC Prime Platform per recuperare i log di controllo della piattaforma SOC Prime e supporta trasformazioni del tempo di inserimento basate su DCR che analizzano i dati di sicurezza ricevuti in una tabella personalizzata, con conseguente miglioramento delle prestazioni.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

SOCPrimeAuditLogs_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Istruzioni per l'installazione:

Procedura di configurazione per l'API SOC Prime Platform Seguire le istruzioni per ottenere le credenziali. è anche possibile seguire questa guida per generare la chiave API personale.

Recuperare la chiave API

Accedere alla piattaforma SOC Prime

Fare clic sull'icona [Account] -> [Impostazioni piattaforma] -> [API] 3. Fare clic su [Aggiungi nuova chiave] 4. Nel modale visualizzato assegnare alla chiave un nome significativo, impostare la data di scadenza e le API del prodotto che la chiave fornisce l'accesso a 5. Fare clic su [Genera] 6. Copiare la chiave e salvarla in un luogo sicuro. Non sarà possibile visualizzarlo di nuovo una volta chiuso questo modale

Chiave API SOC Prime: (Chiave API)

Abilitare/disabilitare la connessione

Connettore dati Sonrai

Supportato da:N/D

Usare questo connettore dati per l'integrazione con Sonrai Security e ottenere i ticket Sonrai inviati direttamente a Microsoft Sentinel.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

Sonrai_Tickets_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Istruzioni per l'installazione:

Connettore Dati di Sicurezza Sonrai:

Passare al dashboard sicurezza di Sonrai.

Nel pannello inferiore sinistro fare clic su integrazioni.

Selezionare Microsoft Sentinel dall'elenco delle integrazioni disponibili.

Compilare il modulo utilizzando le informazioni fornite di seguito.

ID dello spazio di lavoro:<variable value provided at install time>

Chiave primaria:<variable value provided at install time>

Sophos Endpoint Protection (tramite Codeless Connector Framework)

Supportato da:Microsoft Corporation

Il connettore dati Sophos Endpoint Protection offre la possibilità di inserire gli eventi Sophos e gli avvisi sophos in Microsoft Sentinel. Per altre informazioni, vedere la documentazione di Sophos Central Amministrazione.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

SophosEPEvents_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Accesso API Sophos Endpoint Protection: È necessario accedere all'API di Protezione degli Endpoint di Sophos tramite un principale di servizio.

Istruzioni per l'installazione:

Connettiti all'API di Protezione degli Endpoint di Sophos per iniziare a raccogliere i log di eventi e allarmi in Microsoft Sentinel:

Seguire le istruzioni di Sophos per creare un'entità servizio con accesso all'API Sophos. Sarà necessario il ruolo ReadOnly dell'entità servizio. Tramite queste istruzioni, è necessario ottenere l'ID client, il segreto client, l'ID tenant e l'area dati. Compilare il modulo con tali informazioni.

ID inquilino Sophos: (ID inquilino Sophos)

Regione dati Sophos Tenant: (eu01, eu02, us01, us02 o us03)

Griglia connettori dati (configurare nel portale)

Autenticazione Anomala di StealthTalk

Supportato da:Supporto StealthTalk

Il connettore StealthTalk Anomalous Authentication assorbe quattro classi di eventi anomali di autenticazione utente dal messenger StealthTalk Enterprise in una tabella Log Analytics personalizzata tramite l'API Logs Ingestion.

Eventi:

OffHoursLogin - accedi fuori dagli orari di lavoro configurati dall'utente.

NewDeviceLogin - accedi da un dispositivo mai visto prima.

GeoAnomalyLogin - accedi da un paese/città che non corrisponde alla zona geografica assegnata all'utente.

MultiFailLogin - più tentativi consecutivi di autenticazione falliti.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

StealthTalkAnomalousAuth_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Esempio di StealthTalk Enterprise: Un tenant StealthTalk Enterprise distribuito con accesso amministrativo per configurare il webhook in uscita verso lo spazio di lavoro di Log Analytics.

Registrazione Microsoft Entra App: Un principale di servizio che StealthTalk utilizza per autenticarsi all'API di Ingestione dei Logs. Deve avere il ruolo Monitoring Metrics Publisher nella Data Collection Rule implementata.

Istruzioni per l'installazione:

PASSO 1 - Infrastruttura di ingestione auto-distribuita (solo revisione)

Quando la soluzione viene installata tramite il Microsoft Sentinel Content Hub, le seguenti risorse vengono distribuite automaticamente nel gruppo di risorse dello spazio di lavoro:

Tabella StealthTalkAnomalousAuth_CL (corso d'acqua a 21 campi).

Endpoint StealthTalk-Sentinel-DCE.

Regola StealthTalk-Sentinel-DCR con Custom-StealthTalkAnomalousAuth_CL dichiarazione di flusso e trasformazione uno a uno.

Analisi ASIM Authentication 0.1.3 come funzioni di salvataggio di ricerca per workspace: vimAuthenticationStealthTalk (filtraggio) e ASimAuthenticationStealthTalk (non-filtraggio).

imAuthentication parser di estensione che registra il sorgente StealthTalk nell'unione ASIM Authentication dell'area di lavoro (sovrascrive la ricerca salvata di imAuthentication Microsoft per includere il parser StealthTalk vim).

ASimDisabledParsers watchlist + stato di onboarding di Microsoft Sentinel (idempotente).

Non è richiesta alcuna azione utente in questo passaggio oltre all'installazione della Soluzione. I passaggi rimanenti configurano StealthTalk per spingere eventi nel DCR schierato. Prerequisito: Il FullDeploymentAuthentication.json pacchetto di parser di autenticazione ASIM di Microsoft deve essere distribuito nello spazio di lavoro prima che questa soluzione venga installata.

PASSO 2 - Cattura l'endpoint DCE e l'ID immutabile DCR

Nel portale Azure, apri le risorse Data Collection Endpoint e Data Collection Rule implementate nello Step 1:

Dalle proprietà Data Collection Endpoint, copia l'URI dell'endpoint Logs Ingestion (sembra https://stealthtalk-sentinel-dce-<suffix>.<region>.ingest.monitor.azure.com).

Dalla panoramica delle regole di raccolta dati, copia l'ID Immutabile (che sembra dcr-<guid>).

Incollerai entrambi i valori nella console di amministrazione di StealthTalk nel Passo 5.

PASSO 3 - Crea una registrazione dell'app Microsoft Entra per StealthTalk

Crea una nuova registrazione App nel tuo tenant Microsoft Entra. Genera un segreto client (o usa un certificato). Nota l'ID Tenant ID, l'ID dell'app (client) e il segreto del client. StealthTalk utilizza questo principio di servizio per autenticarsi all'API di Ingestione dei Logs tramite OAuth.

PASSO 4 - Concedere alla registrazione dell'app il ruolo di Monitoring Metrics Publisher sul DCR

Apri la Data Collection Rule implementata nel Passaggio 1 ->Controllo accesso (IAM) -> + Aggiungi assegnazione di ruolo.

Ruolo: Monitoraggio delle metriche Publisher

Assegna accesso a: Utente, gruppo o principale di servizio

Seleziona la registrazione dell'app dal Passo 3

Le assegnazioni dei ruoli RBAC non possono essere eseguite dal modello di installazione della soluzione, quindi questo passaggio è manuale.

PASSO 5 - Configura StealthTalk per inviare eventi

Nella console di amministrazione di StealthTalk, configura l'integrazione Microsoft Sentinel/Log Analytics con i valori acquisiti nei Passaggi 2 e 3:

Endpoint DCE - l'URI dell'endpoint Ingestion dei Logs dal Passo 2

DCR Immutable ID - dal Passaggio 2

Nome del corso d'acqua - Custom-StealthTalkAnomalousAuth_CL

ID Tenant, ID App (client), Segreto client - dal Passo 3

Salva e attiva un evento di test. La console StealthTalk riporta successo/fallimento della stretta di mano OAuth e della consegna del primo evento.

PASSO 6 - Verifica l'ingestione e la normalizzazione dell'ASIM

Esegui le query di esempio sopra nei Log. Tutti devono restituire le righe entro pochi minuti dagli eventi di prova:

Tavolo grezzo StealthTalkAnomalousAuth_CL popolato.

La vista dell'unione ASIM tramite imAuthentication() | where EventVendor == 'StealthTalk' restituisce gli stessi eventi normalizzati allo schema di autenticazione ASIM.

Se la tabella grezze è vuota: verifica che la console StealthTalk riporti la consegna OAuth e eventi con successo, e confermi che la Registrazione App abbia il ruolo Monitoring Metrics Publisher sul DCR (Passo 4). Se la tabella grezze ha righe ma l'unione ASIM è vuota: ricontrolla che il FullDeploymentAuthentication.json pacchetto di parser di Microsoft sia distribuito.

PASSO 7 - Abilita regole analitiche, query di ricerca, workbook e playbook

Nel Microsoft Sentinel Content hub, apri la Soluzione di Autenticazione Anomala StealthTalk e clicca su Gestisci. Abilita i quattro modelli di Regole Analitiche, i tre modelli di Ricerca di Query, il Workbook e il Playbook di Microsoft Teams. Per il Playbook, dopo il deployment, concedere all'identità gestita assegnata al sistema il ruolo Microsoft Sentinel Responder sullo spazio di lavoro e concedere al principale del servizio Azure Security Insights il ruolo di Microsoft Sentinel Automation Contributor nel gruppo risorse del playbook. Poi crea una Regola di Automazione in Microsoft Sentinel che esegue il manuale degli incidenti delle quattro regole analitiche di StealthTalk.

Symantec Integrated Cyber Defense Exchange

Supportato da:Microsoft Corporation

Il connettore Symantec ICDx consente di connettere facilmente i log delle soluzioni di sicurezza Symantec con Microsoft Sentinel, per visualizzare i dashboard, creare avvisi personalizzati e migliorare l'analisi. In questo modo è possibile ottenere maggiori informazioni sulla rete dell'organizzazione e migliorare le funzionalità delle operazioni di sicurezza.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

SymantecICDx_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Istruzioni per l'installazione:

Configura e collega Symantec ICDx:

Sulla barra di spostamento ICDx fare clic su Configurazione.

Nella parte superiore della schermata Configurazione fare clic su Server d'inoltro e accanto a Microsoft Sentinel (Log Analytics) fare clic su Aggiungi.

Nella finestra Microsoft Sentinel (Log Analytics) visualizzata fare clic su Mostra avanzate. Vedere la documentazione per impostare le funzionalità avanzate.

Assicurarsi di impostare un nome per il server d'inoltro e in Destinazione Azure impostare questi campi obbligatori:

ID area di lavoro: incollare l'ID area di lavoro dalla pagina Microsoft Sentinel connettore del portale.

Chiave primaria: incollare la chiave primaria dalla pagina del connettore del portale Microsoft Sentinel.

Nome log personalizzato: digitare il nome del log personalizzato nell'area di lavoro Microsoft portale di Azure Log Analytics a cui si intende inoltrare gli eventi. Il valore predefinito è SymantecICDx.

Fare clic su Salva e per avviare il server d'inoltro, passare a Altre opzioni > e fare clic su Avvia.

ID dello spazio di lavoro:<variable value provided at install time>

Chiave primaria:<variable value provided at install time>

Connettore di integrazione synqly

Supportato da:Synqly

Il connettore Synqly offre la possibilità di eseguire il push degli eventi di sicurezza dalle integrazioni di Synqly in Microsoft Sentinel usando l'API di inserimento log Azure. Gli eventi vengono normalizzati automaticamente nelle tabelle ASIM (Advanced Security Information Model) per l'uso con Microsoft Sentinel analisi, cartelle di lavoro e query di ricerca.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

union ASimAuditEventLogs, ASimAuthenticationEventLogs, ASimDhcpEventLogs, ASimDnsActivityLogs, ASimFileEventLogs, ASimNetworkSessionLogs, ASimProcessEventLogs, ASimRegistryEventLogs, ASimUserManagementActivityLogs, ASimWebSessionLogs No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Microsoft Entra ID: ruolo di Application Developer (o superiore) per creare registrazioni app.

Microsoft Azure: ruolo di Proprietario o Amministratore Accesso Utente nel gruppo risorse per distribuire DCR e assegnare il ruolo di Monitoring Metrics Publisher.

Istruzioni per l'installazione:

1. Creare risorse ARM e fornire i permessi richiesti:

Questo connettore consente l'inserimento tramite push di eventi di sicurezza dalle integrazioni di Synqly in Microsoft Sentinel. Gli eventi vengono normalizzati automaticamente nelle tabelle ASIM (Advanced Security Information Model).

Distribuisci risorse connettore Facendo clic su "Distribuisci" vengono create una regola di raccolta dati (DCR), un endpoint di raccolta dati (DCE) e Entra'applicazione con le autorizzazioni necessarie per inviare i dati in modo sicuro a Microsoft Sentinel.

2. Concedere permessi aggiuntivi (in base al caso d'uso):

Potrebbero essere necessari ruoli aggiuntivi a seconda di come si prevede di usare Synqly con Microsoft Sentinel.

Connettore sink (sola scrittura): non sono necessarie autorizzazioni aggiuntive. Connettore SIEM (lettura/scrittura): assegnare Microsoft Sentinel collaboratore nell'applicazione Entra tramite l'interfaccia utente Azure nell'area di lavoro Log Analytics.

Per informazioni dettagliate sulla configurazione, vedere la documentazione di Synqly .

3. Invia i tuoi log nello spazio di lavoro:

Fornire questi parametri all'integrazione di Synqly. Il servizio Synqly gestirà automaticamente i dettagli tecnici dell'inserimento dei dati, tra cui la formattazione degli eventi in uno dei 10 schemi ASIM supportati (Authentication, AuditEvent, Dhcp, Dns, FileEvent, NetworkSession, ProcessEvent, RegistryEvent, UserManagement, WebSession).

Importante: Gli eventi con tipi di schema non supportati vengono silenziosamente eliminati da Azure. Se i dati previsti non vengono visualizzati, verificare con il provider di integrazione Synqly che gli eventi vengano inviati con uno dei tipi di schema supportati elencati in precedenza.

ID Tenant (ID Directory):<variable value provided at install time>

ID Domanda di Registrazione Entra App:<variable value provided at install time>

Segreto per la registrazione dell'app Entra:<variable value provided at install time>

Data Collection Endpoint Uri:<variable value provided at install time>

ID immutabile della regola di raccolta dati:<variable value provided at install time>

Nome dello streaming:<variable value provided at install time>

Syslog tramite AMA

Supportato da:Microsoft Corporation

Syslog è un protocollo di registrazione eventi comune a Linux. Le applicazioni invieranno messaggi che possono essere archiviati nel computer locale o recapitati a un agente di raccolta Syslog. Quando l'agente per Linux è installato, configura il daemon Syslog locale per inoltrare i messaggi all'agente. L'agente invia quindi il messaggio all'area di lavoro.

Ulteriori informazioni >

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

Syslog Sì Sì

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

Credenzialicompromesse

Supportato da:Data443 Risk Mitigation, Inc.

Inserire i risultati delle credenziali compromesse da TacitRed usando Common Connector Framework (CCF).

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

TacitRed_Findings_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Chiave API TacitRed: La chiave API è memorizzata in Azure Key Vault o fornita al momento del deployment.

Istruzioni per l'installazione:

Connetti le credenziali compromesse di TacitRed:

Per abilitare il connettore TacitRed, specificare la chiave API seguente e fare clic su Connetti.

Per una maggiore sicurezza, è possibile abilitare l'integrazione Key Vault per archiviare e recuperare la chiave API.

Chiave API TacitRed: (Inserisci la tua chiave API TacitRed)

Abilitare/disabilitare la connessione

Intuizioni su Talon

Supportato da:Talon Security

Il connettore Talon Security Logs consente di connettere facilmente gli eventi Talon e i log di controllo con Microsoft Sentinel, visualizzare i dashboard, creare avvisi personalizzati e migliorare l'analisi.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

Talon_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Istruzioni per l'installazione:

Prendere nota dei valori seguenti e seguire le istruzioni riportate qui per connettere gli eventi di Talon Security e i log di controllo con Microsoft Sentinel.

ID dello spazio di lavoro:<variable value provided at install time>

Chiave primaria:<variable value provided at install time>

Connettore push CCF di Tanium

Supportato da:Tanium Inc.

Questi feed di dati Microsoft Sentinel cartelle di lavoro e playbook in modo che gli analisti possano arricchire gli eventi imprevisti, visualizzare il rischio e l'integrità degli endpoint e automatizzare i flussi di lavoro di analisi e risposta. Per maggiori dettagli su Tanium, andare a https://www.tanium.com/contact-us/

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

TaniumComplyCompliance_CL No No

TaniumComplyVulnerabilities_CL No No

TaniumDefenderHealth_CL No No

TaniumDiscoverUnmanagedAssets_CL No No

TaniumHighUptime_CL No No

TaniumPatchCoverageStatus_CL No No

TaniumPatchListApplicability_CL No No

TaniumPatchListCompliance_CL No No

TaniumSCCMClientHealth_CL No No

TaniumThreatResponse_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Microsoft Entra: Permesso di creare una registrazione di un'app in Microsoft Entra ID.

Microsoft Azure: Permesso di assegnare il ruolo di Monitoring Metrics Publisher sulla regola di raccolta dati (DCR).

Istruzioni per l'installazione:

1. Creare risorse ARM e fornire i permessi richiesti:

Questo connettore consente a Tanium Server di eseguire il push dei dati di inventario di base direttamente a Microsoft Sentinel tramite l'API di inserimento monitoraggio Azure.

La configurazione automatizzata e l'inserimento sicuro dei dati con Entra'applicazione facendo clic su "Distribuisci" attiveranno la creazione di una tabella di Log Analytics e di una regola di raccolta dati (DCR). Verrà quindi creata un'applicazione Entra, verrà collegato il DCR e verrà impostato il segreto immesso nell'applicazione. Questa configurazione consente di inviare i dati Tanium in modo sicuro al DCR usando un token di Entra.

2. Configurare le connessioni Tanium:

Usare i parametri seguenti per configurare le connessioni Tanium per eseguire il push dei dati nell'area di lavoro.

ID Tenant (ID Directory):<variable value provided at install time>

ID Domanda di Registrazione Entra App:<variable value provided at install time>

Segreto per la registrazione dell'app Entra:<variable value provided at install time>

Data Collection Endpoint Uri:<variable value provided at install time>

ID immutabile della regola di raccolta dati:<variable value provided at install time>

Registro dei risultati di conformità Nome del Flusso di Registri:<variable value provided at install time>

Nome del flusso di registri di vulnerabilità di conformità:<variable value provided at install time>

Nome della Stream dei Log di Salute Defender:<variable value provided at install time>

Scopri Nome del Flusso dei Log di Salute degli Asset Non Gestiti:<variable value provided at install time>

Nome del flusso dei log ad alto tempo di attivazione:<variable value provided at install time>

Nome del flusso dei registri di copertura della patch:<variable value provided at install time>

Nome del flusso di log di applicabilità della lista delle patch:<variable value provided at install time>

Nome del flusso dei log di conformità della Lista delle patch:<variable value provided at install time>

Nome del flusso dei registri di salute dei clienti SCCM:<variable value provided at install time>

Nome del flusso di Avvisi di Risposta alle Minacce Log:<variable value provided at install time>

3. Crea la connessione in Tanium:

Dopo aver distribuito correttamente il connettore dati in Azure, creare la connessione necessaria nel server Tanium nel modulo Connect. Per altre informazioni sul modulo Connect, vedere La Guida di Tanium

Scaricare il file di importazione della connessione.

Sostituire i segnaposto con i parametri visualizzati sopra.

Nel server Tanium aprire il modulo Connect.

Usare la funzionalità di importazione per importare nuove connessioni.

Connettore dati Team Cymru Scout (usando Funzioni di Azure)

Supportato da:Team Cymru

Il connettore dati TeamCymruScout consente agli utenti di portare i dati di utilizzo dell'ip, del dominio e dell'account di Team Cymru Scout in Microsoft Sentinel per l'arricchimento.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

Cymru_Scout_Domain_Data_CL No No

Cymru_Scout_IP_Data_Foundation_CL No No

Cymru_Scout_IP_Data_Details_CL No No

Cymru_Scout_IP_Data_Communications_CL No No

Cymru_Scout_IP_Data_PDNS_CL No No

Cymru_Scout_IP_Data_Fingerprints_CL No No

Cymru_Scout_IP_Data_OpenPorts_CL No No

Cymru_Scout_IP_Data_x509_CL No No

Cymru_Scout_IP_Data_Summary_Details_CL No No

Cymru_Scout_IP_Data_Summary_PDNS_CL No No

Cymru_Scout_IP_Data_Summary_OpenPorts_CL No No

Cymru_Scout_IP_Data_Summary_Certs_CL No No

Cymru_Scout_IP_Data_Summary_Fingerprints_CL No No

Cymru_Scout_Account_Usage_Data_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Microsoft. Permessi web/siti: Sono necessari permessi di lettura e scrittura per Funzioni di Azure per creare una Function App. Per altre informazioni, vedere Funzioni di Azure.

Permesso di assegnare un ruolo all'applicazione registrata: È necessario il permesso di assegnare un ruolo all'applicazione registrata in Microsoft Entra ID.

Credenziali/permessi per il Team Cymru Scout: Sono richieste le credenziali dell'account Team Cymru Scout (nome utente, password).

Istruzioni per l'installazione:

NOTA: Questo connettore usa Funzioni di Azure per connettersi all'API Team Cymru Scout per eseguire il pull dei log in Microsoft Sentinel. Ciò potrebbe comportare costi aggiuntivi per l'inserimento di dati. Per informazioni dettagliate, controllare la pagina dei prezzi Funzioni di Azure.

(Passaggio facoltativo) Archiviare in modo sicuro le chiavi o i token di autorizzazione api e dell'area di lavoro in Azure Key Vault. Azure Key Vault fornisce un meccanismo sicuro per archiviare e recuperare i valori delle chiavi. Seguire queste istruzioni per usare Azure Key Vault con un'app per le funzioni Azure.

PASSAGGIO 1 - Passaggi per creare la chiave API di Team Cymru Scout

Seguire queste istruzioni per creare una chiave API Scout di Team Cymru.

Fare riferimento al documento Chiavi API per generare una chiave API da usare come forma alternativa di autorizzazione.

PASSAGGIO 2 - Procedura di registrazione dell'app per l'applicazione in Microsoft Entra ID

Questa integrazione richiede una registrazione dell'app nel portale di Azure. Seguire i passaggi descritti in questa sezione per creare una nuova applicazione in Microsoft Entra ID:

Accedere al portale di Azure.

Cercare e selezionare Microsoft Entra ID.

In Gestisci selezionare Registrazioni app > Nuova registrazione.

Immettere un nome visualizzato per l'applicazione.

Selezionare Registra per completare la registrazione iniziale dell'app.

Al termine della registrazione, il portale di Azure visualizza il riquadro Panoramica della registrazione dell'app. Verranno visualizzati l'ID applicazione (client) e l'ID tenant. L'ID client e l'ID tenant sono necessari come parametri di configurazione per l'esecuzione di TeamCymruScout Data Connector.

Collegamento di riferimento:/azure/active-directory/develop/quickstart-register-app

PASSAGGIO 3 - Aggiungere un segreto client per l'applicazione in Microsoft Entra ID

A volte chiamato password dell'applicazione, un segreto client è un valore stringa necessario per l'esecuzione di TeamCymruScout Data Connector. Seguire i passaggi descritti in questa sezione per creare un nuovo segreto client:

Nel portale di Azure selezionare l'applicazione in Registrazioni app.

Selezionare Certificati & segreti > client Segreti > client Nuovo segreto client.

Aggiungere una descrizione per il segreto client.

Selezionare una scadenza per il segreto o specificare una durata personalizzata. Il limite è di 24 mesi.

Selezionare Aggiungi.

Registrare il valore del segreto da usare nel codice dell'applicazione client. Questo valore del segreto non viene mai più visualizzato dopo aver lasciato questa pagina. Il valore del segreto è obbligatorio come parametro di configurazione per l'esecuzione di TeamCymruScout Data Connector.

Collegamento di riferimento:/azure/active-directory/develop/quickstart-register-app#add-a-client-secret

PASSAGGIO 4: Ottenere l'ID oggetto dell'applicazione in Microsoft Entra ID

Dopo aver creato la registrazione dell'app, seguire i passaggi descritti in questa sezione per ottenere l'ID oggetto:

Vai a Microsoft Entra ID.

Selezionare Applicazioni aziendali dal menu a sinistra.

Trovare l'applicazione appena creata nell'elenco (è possibile eseguire la ricerca in base al nome specificato).

Fare clic sull'applicazione.

Nella pagina di panoramica copiare l'ID oggetto. Si tratta di AzureEntraObjectId necessario per l'assegnazione del ruolo del modello di Resource Manager.

PASSAGGIO 5 - Assegnare il ruolo collaboratore all'applicazione in Microsoft Entra ID

Seguire i passaggi descritti in questa sezione per assegnare il ruolo:

Nella portale di Azure passare al gruppo di risorse e selezionare il gruppo di risorse.

Passare a Controllo di accesso (IAM) dal pannello sinistro.

Fare clic su Aggiungi e quindi selezionare Aggiungi assegnazione di ruolo.

Selezionare Collaboratore come ruolo e fare clic su Avanti.

In Assegna accesso a selezionare User, group, or service principal.

Fare clic su Aggiungi membri e digitare il nome dell'app creato e selezionarlo.

Fare ora clic su Rivedi e assegna e quindi fare di nuovo clic su Rivedi e assegna.

Collegamento di riferimento:/azure/role-based-access-control/role-assignments-portal

PASSAGGIO 6 - Caricare csv con gli incriminatori in Watchlist

Seguire i passaggi descritti in questa sezione per caricare csv contenenti indicatori nell'elenco di controllo:

Nella portale di Azure passare a Microsoft Sentinel e selezionare l'area di lavoro.

Passare a Watchlist nella sezione Configurazione dal pannello a sinistra.

Fare clic su TeamCymruScoutDomainData e quindi selezionare Aggiornamento bulk dall'elenco di controllo Aggiornamenti.

Caricare i file CSV con indicatori di dominio in Carica input file e fare clic su Avanti: Rivedi e crea.

Una volta completata la convalida, fare clic su Aggiorna.

Seguire la stessa procedura per aggiornare TeamCymruScoutIPData watchlist per gli indicatori IP.

Collegamento di riferimento:Aggiornare in blocco un elenco di controllo

PASSAGGIO 7- Scegliere UNO tra le due opzioni di distribuzione seguenti per distribuire il connettore e la funzione Azure associata

IMPORTANTE: Prima di distribuire il connettore dati TeamCymruScout, avere l'ID area di lavoro e la chiave primaria dell'area di lavoro (che possono essere copiati dai seguenti) immediatamente disponibili.., nonché le credenziali di TeamCymruScout.

Opzione 1 - Azure Resource Manager (ARM) Template:

Usare questo metodo per la distribuzione automatica del connettore dati TeamCymruScout.

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms

Selezionare la sottoscrizione, il gruppo di risorse e la località preferiti.

Immettere le informazioni seguenti: Location WorkspaceName Nome funzione TeamCymruScoutBaseURL AuthenticationType Username Password APIKey IPValues DomainValues APIType AzureClientId AzureClientSecret TenantId AzureEntraObjectId IPTableName DomainTableName AccountUsageTableName Schedule AccountUsageSchedule LogLevel

Contrassegnare la casella di controllo con l'etichetta Accetto i termini e le condizioni indicati sopra.

Fare clic su Acquista per distribuire.

Opzione 2 - Distribuzione manuale di Funzioni di Azure:

Usare le istruzioni dettagliate seguenti per distribuire manualmente il connettore dati TeamCymruScout con Funzioni di Azure (distribuzione tramite Visual Studio Code).

Distribuire un'app per le funzioni

NOTA: Sarà necessario preparare vs code per lo sviluppo di funzioni Azure.

Scaricare il file dell'app per le funzioni Azure. Estrarre l'archivio nel computer di sviluppo locale.

Avviare VS Code. Scegliere File nel menu principale e selezionare Apri cartella.

Selezionare la cartella di primo livello dai file estratti.

Scegliere l'icona Azure nella barra attività, quindi nell'area Azure: Funzioni scegliere il pulsante Distribuisci nell'app per le funzioni. Se non sei già connesso, scegli l'icona Azure nella barra Attività, poi nell'area Azure: Funzioni, scegli Accedi ad Azure: Se sei già connesso, passa al passo successivo.

Fornire le informazioni seguenti alle richieste:

Selezionare la cartella: Scegliere una cartella dall'area di lavoro o passare a una cartella contenente l'app per le funzioni.

Selezionare Sottoscrizione: Scegliere la sottoscrizione da usare.

Selezionare Crea nuova app per le funzioni in Azure (non scegliere l'opzione Avanzate)

Immettere un nome univoco globale per l'app per le funzioni: Digitare un nome valido in un percorso URL. Il nome digitato viene convalidato per assicurarsi che sia univoco in Funzioni di Azure. (ad esempio CymruScoutXXXXX).

Selezionare un runtime: Scegliere Python 3.12 o versione successiva.

Selezionare una posizione per le nuove risorse. Per ottenere prestazioni migliori e costi inferiori, scegliere la stessa area in cui si trova Microsoft Sentinel.

Verrà avviata la distribuzione. Una notifica viene visualizzata dopo la creazione dell'app per le funzioni e l'applicazione del pacchetto di distribuzione.

Passare a portale di Azuree per la configurazione dell'app per le funzioni.

Configurare l'app per le funzioni

Nell'app per le funzioni selezionare nome dell'app per le funzioni e selezionare Configurazione.

Nella scheda Impostazioni applicazione selezionare + Nuova impostazione applicazione.

Aggiungere ognuna delle impostazioni dell'applicazione seguenti singolarmente, con i rispettivi valori (con distinzione tra maiuscole e minuscole): CymruScoutBaseURL AuthenticationType TeamCymruScoutUsername TeamCymruScoutPassword APIKey IPValues DOMAINValues APIType AZURE_CLIENT_ID AZURE_CLIENT_SECRET AZURE_TENANT_ID IPTableName DomainTableName AccountUsageTableName Schedule AccountUsageSchedule LogLevel AZURE_DATA_COLLECTION_ENDPOINT AZURE_DATA_COLLECTION_RULE_ID_MAIN_TABLES AZURE_DATA_COLLECTION_RULE_ID_SUB_TABLES

Dopo aver immesso tutte le impostazioni dell'applicazione, fare clic su Salva.

Esposizione di identità tenable

Supportato da:Tenable

Il connettore Tenable Identity Exposure consente l'inserimento in Microsoft Sentinel di indicatori di esposizione, indicatori di attacchi e log dei flussi di trailflow. I diversi libri di lavoro e parser di dati consentono di modificare più facilmente i log e monitorare l'ambiente Active Directory. I modelli analitici consentono di automatizzare le risposte relative a eventi, esposizioni e attacchi diversi.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

Tenable_IE_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Accesso alla configurazione di TenableIE: Permessi per configurare il motore di allerta syslog

Istruzioni per l'installazione:

Questo connettore dati dipende da afad_parser in base a una funzione Kusto per funzionare come previsto che viene distribuito con la soluzione Microsoft Sentinel.

1. Configurare il server Syslog:

Sarà prima necessario un server Syslog linux a cui TenableIE invierà i log. In genere è possibile eseguire rsyslog in Ubuntu. È quindi possibile configurare questo server come si desidera, ma è consigliabile eseguire l'output dei log TenableIE in un file separato.

Configurare rsyslog per accettare i log dall'indirizzo IP TenableIE. Scegli una delle opzioni seguenti:

Opzione 1: Uso della direttiva AllowedSender

Questa configurazione limita gli host che possono inviare i log al server syslog a livello di rete. È più sicuro perché rifiuta le connessioni non autorizzate prima di elaborarle.

Scaricare il file di configurazione: 80-tenable-allowedsender.conf

Eseguire in modalità sudo: sudo -i

Impostare l'indirizzo IP TenableIE: export TENABLE_IE_IP={Enter your IP address}

Eseguire i comandi dal file di configurazione scaricato

Riavviare rsyslog: systemctl restart rsyslog

Opzione 2: Filtrare i log in base all'IP di origine (per gli ambienti con più origini syslog)

Questa configurazione accetta tutti i log in ingresso, ma elabora solo quelli dall'indirizzo IP TenableIE specificato. È particolarmente utile quando più server syslog o applicazioni inviano log allo stesso server syslog e si vuole elaborare in modo selettivo solo i log TenableIE.

Scaricare il file di configurazione: 80-tenable-filter.conf

Eseguire in modalità sudo: sudo -i

Impostare l'indirizzo IP TenableIE: export TENABLE_IE_IP={Enter your IP address}

Eseguire i comandi dal file di configurazione scaricato

Riavviare rsyslog: systemctl restart rsyslog

2. Installare e integrare l'agente Microsoft per Linux:

L'agente OMS riceverà gli eventi syslog TenableIE e lo pubblicherà in Microsoft Sentinel :

Scegliere dove installare l'agente:

Install agent su Azure Linux Virtual Machine:

Selezionare il computer in cui installare l'agente e quindi fare clic su Connetti.

Installare l'agente: <variable value provided at install time>

Install agent su una macchina Linux non-Azure:

Scaricare l'agente nel computer pertinente e seguire le istruzioni.

Installare l'agente: <variable value provided at install time>

3. Controlla i log degli agenti sul server Syslog:

tail -f /var/opt/microsoft/omsagent/log/omsagent.log

4. Configura TenableIE per inviare i log al tuo server Syslog:

Nel portale TenableIE passare a Sistema, Configurazione e quindi Syslog. Da qui è possibile creare un nuovo avviso Syslog verso il server Syslog.

Al termine, verificare che i log siano raccolti correttamente nel server in un file separato. A tale scopo, è possibile usare il pulsante Test della configurazione nella configurazione degli avvisi syslog in TenableIE. Se è stato usato il modello di avvio rapido, il server Syslog sarà in ascolto per impostazione predefinita sulla porta 514 in UDP e 1514 in TCP, senza TLS.

Nota: entrambe le opzioni di configurazione del passaggio 1 configurano il server syslog per l'ascolto sulla porta 514 per le connessioni UDP e TCP.

5. Configura i log personalizzati:

Configurare l'agente per raccogliere i log.

In Microsoft Sentinel passare a Configurazione - Impostazioni ->> Impostazioni area di lavoro -> Log personalizzati.

Fare clic su Aggiungi log personalizzato.

Carica un file TenableIE.log esempio Syslog dalla macchina Linux che esegue il server Syslog e clicca su Next:

Impostare il delimitatore di record su Nuova riga se non è già il caso e fare clic su Avanti.

Selezionare Linux e immettere il percorso del file Syslog, fare clic su + e quindi su Avanti. Il percorso predefinito del file è /var/log/TenableIE.log se si dispone di una versione <tenable 3.1.0, è anche necessario aggiungere il percorso /var/log/AlsidForAD.logdel file Linux .

Impostare Il nome su Tenable_IE_CL (Azure aggiunge automaticamente _CL alla fine del nome, deve essere presente solo uno, assicurarsi che il nome non sia Tenable_IE_CL_CL).

Clicca su Avanti, vedrai un curriculum, poi clicca su Crea:

6. Divertiti!

È ora possibile ricevere i log nella tabella Tenable_IE_CL , i dati dei log possono essere analizzati usando la funzione afad_parser() , usata da tutti gli esempi di query, le cartelle di lavoro e i modelli analitici.

Gestione delle vulnerabilità tenable (usando Funzioni di Azure)

Supportato da:Tenable

Il connettore dati TVM offre la possibilità di inserire i dati di asset, vulnerabilità, conformità, asset WAS e vulnerabilità WAS in Microsoft Sentinel usando api REST TVM. Per altre informazioni, vedere la documentazione dell'API . Il connettore offre la possibilità di ottenere dati che consentono di esaminare i potenziali rischi per la sicurezza, ottenere informazioni dettagliate sugli asset di calcolo, diagnosticare i problemi di configurazione e altro ancora

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

Tenable_VM_Asset_CL No No

Tenable_VM_Vuln_CL No No

Tenable_VM_Compliance_CL No No

Tenable_WAS_Asset_CL No No

Tenable_WAS_Vuln_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Microsoft. Permessi web/siti: Sono necessari permessi di lettura e scrittura per Funzioni di Azure per creare una Function App. Per altre informazioni, vedere Funzioni di Azure.

Credenziali/permessi API REST: Per accedere all'API Tenable REST è necessario sia un TenableAccessKey che un TenableSecretKey . Per altre informazioni, vedere API. Controllare tutti i requisiti e seguire le istruzioni per ottenere le credenziali.

Istruzioni per l'installazione:

NOTA: Questo connettore usa Azure Durable Functions per connettersi all'API TenableVM per eseguire il pull di asset, vulnerabilità e conformità (se selezionata) a intervalli regolari in Microsoft Sentinel. Ciò potrebbe comportare costi aggiuntivi per l'inserimento di dati. Per informazioni dettagliate, controllare la pagina dei prezzi Funzioni di Azure.

(Passaggio facoltativo) Archiviare in modo sicuro le chiavi o i token di autorizzazione api e dell'area di lavoro in Azure Key Vault. Azure Key Vault fornisce un meccanismo sicuro per archiviare e recuperare i valori delle chiavi. Seguire queste istruzioni per usare Azure Key Vault con un'app per le funzioni Azure.

NOTA: Questo connettore dati dipende da un parser tenableVM per le vulnerabilità e da un parser tenableVM per gli asset basati su una funzione Kusto che funziona come previsto, distribuito con la soluzione Microsoft Sentinel.

PASSAGGIO 1 - Passaggi di configurazione per TenableVM

Seguire le istruzioni per ottenere le credenziali API necessarie.

PASSAGGIO 2 - Procedura di registrazione dell'app per l'applicazione in Microsoft Entra ID

Questa integrazione richiede una registrazione dell'app nel portale di Azure. Seguire i passaggi descritti in questa sezione per creare una nuova applicazione in Microsoft Entra ID:

Accedere al portale di Azure.

Cercare e selezionare Microsoft Entra ID.

In Gestisci selezionare Registrazioni app > Nuova registrazione.

Immettere un nome visualizzato per l'applicazione.

Selezionare Registra per completare la registrazione iniziale dell'app.

Al termine della registrazione, il portale di Azure visualizza il riquadro Panoramica della registrazione dell'app. Verranno visualizzati l'ID applicazione (client) e l'ID tenant. L'ID client e l'ID tenant sono necessari come parametri di configurazione per l'esecuzione di TenableVM Data Connector.

Collegamento di riferimento:/azure/active-directory/develop/quickstart-register-app

PASSAGGIO 3 - Aggiungere un segreto client per l'applicazione in Microsoft Entra ID

A volte chiamato password dell'applicazione, un segreto client è un valore stringa necessario per l'esecuzione di TenableVM Data Connector. Seguire i passaggi descritti in questa sezione per creare un nuovo segreto client:

Nel portale di Azure selezionare l'applicazione in Registrazioni app.

Selezionare Certificati & segreti > client Segreti > client Nuovo segreto client.

Aggiungere una descrizione per il segreto client.

Selezionare una scadenza per il segreto o specificare una durata personalizzata. Il limite è di 24 mesi.

Selezionare Aggiungi.

Registrare il valore del segreto da usare nel codice dell'applicazione client. Questo valore del segreto non viene mai più visualizzato dopo aver lasciato questa pagina. Il valore del segreto è obbligatorio come parametro di configurazione per l'esecuzione di TenableVM Data Connector.

Collegamento di riferimento:/azure/active-directory/develop/quickstart-register-app#add-a-client-secret

PASSAGGIO 4: Ottenere l'ID oggetto dell'applicazione in Microsoft Entra ID

Dopo aver creato la registrazione dell'app, seguire i passaggi descritti in questa sezione per ottenere l'ID oggetto:

Vai a Microsoft Entra ID.

Selezionare Applicazioni aziendali dal menu a sinistra.

Trovare l'applicazione appena creata nell'elenco (è possibile eseguire la ricerca in base al nome specificato).

Fare clic sull'applicazione.

Nella pagina di panoramica copiare l'ID oggetto. Si tratta di AzureEntraObjectId necessario per l'assegnazione del ruolo del modello di Resource Manager.

PASSAGGIO 5- Scegliere UNO tra le due opzioni di distribuzione seguenti per distribuire il connettore e l'app per le funzioni Azure associata

Opzione 1 - Azure Resource Manager (ARM) Template:

Usare questo metodo per la distribuzione automatizzata del connettore dati TenableVM Vulnerability Management Report usando un modello di Resource Manager.

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms aka.ms

Selezionare la sottoscrizione, il gruppo di risorse, il nome e la posizione dell'app preferiti.

Immettere le informazioni seguenti:

WorkspaceName : immettere il nome dell'area di lavoro log analytics.

TenableAccessKey : immettere la chiave di accesso per l'uso dell'API Tenable.

TenableSecretKey : immettere chiave privata tenable per l'autenticazione.

AzureClientID: immettere Azure ID client.

AzureClientSecret: immettere Azure segreto client.

TenantID : immettere l'ID tenant ottenuto dai passaggi precedenti.

AzureEntraObjectId: immettere Azure'ID oggetto ottenuto dai passaggi precedenti.

LowestSeveritytoStore : gravità della vulnerabilità più bassa da archiviare. Valori consentiti: Informazioni, Basso, Medio, Alto, Critico. Il valore predefinito è Info.

ComplianceDataIngestion : selezionare true se si vuole abilitare l'inserimento dei dati di conformità dalla macchina virtuale tenable. Il valore predefinito è false.

WASAssetDataIngestion : selezionare true se si vuole abilitare l'inserimento dei dati degli asset WAS dalla macchina virtuale tenable. Il valore predefinito è false.

WASVulnerabilityDataIngestion : selezionare true se si vuole abilitare l'inserimento dei dati della vulnerabilità WAS dalla macchina virtuale tenable. Il valore predefinito è false.

LowestSeveritytoStoreWAS : la gravità della vulnerabilità più bassa da archiviare per WAS. Valori consentiti: Informazioni, Basso, Medio, Alto, Critico. Il valore predefinito è Info.

TenableExportScheduleInMinutes : pianificazione in pochi minuti per creare un nuovo processo di esportazione da una macchina virtuale tenable. Il valore predefinito è 1440.

AssetTableName : immettere il nome della tabella usata per archiviare i log dei dati degli asset.

VulnTableName : immettere il nome della tabella usata per archiviare i log dei dati della vulnerabilità.

ComplianceTableName : immettere il nome della tabella usata per archiviare i log dei dati di conformità.

WASAssetTableName : immettere il nome della tabella usata per archiviare i log dei dati degli asset WAS.

WASVulnTableName : immettere il nome della tabella usata per archiviare i log dei dati della vulnerabilità WAS.

Contrassegnare la casella di controllo con l'etichetta Accetto i termini e le condizioni indicati sopra.

Fare clic su Acquista per distribuire.

Opzione 2 - Distribuzione manuale di Funzioni di Azure:

Usare le istruzioni dettagliate seguenti per distribuire manualmente il connettore dati tenableVM Vulnerability Management Report con Funzioni di Azure (distribuzione tramite Visual Studio Code).

Distribuire un'app per le funzioni

NOTA: Sarà necessario preparare vs code per lo sviluppo di funzioni Azure.

Scaricare il file dell'app per le funzioni Azure. Estrarre l'archivio nel computer di sviluppo locale.

Avviare VS Code. Scegliere File nel menu principale e selezionare Apri cartella.

Selezionare la cartella di primo livello dai file estratti.

Scegliere l'icona Azure nella barra attività, quindi nell'area Azure: Funzioni scegliere il pulsante Distribuisci nell'app per le funzioni. Se non sei già connesso, scegli l'icona Azure nella barra Attività, poi nell'area Azure: Funzioni, scegli Accedi ad Azure: Se sei già connesso, passa al passo successivo.

Fornire le informazioni seguenti alle richieste:

Selezionare la cartella: Scegliere una cartella dall'area di lavoro o passare a una cartella contenente l'app per le funzioni.

Selezionare Sottoscrizione: Scegliere la sottoscrizione da usare.

Selezionare Crea nuova app per le funzioni in Azure (non scegliere l'opzione Avanzate)

Immettere un nome univoco globale per l'app per le funzioni: Digitare un nome valido in un percorso URL. Il nome digitato viene convalidato per assicurarsi che sia univoco in Funzioni di Azure. (ad esempio TenableVMXXXXX).

Selezionare un runtime: Scegliere Python 3.12.

Selezionare una posizione per le nuove risorse. Per ottenere prestazioni migliori e costi inferiori, scegliere la stessa area in cui si trova Microsoft Sentinel.

Verrà avviata la distribuzione. Una notifica viene visualizzata dopo la creazione dell'app per le funzioni e l'applicazione del pacchetto di distribuzione.

Passare a portale di Azuree per la configurazione dell'app per le funzioni.

Configurare l'app per le funzioni

Nell'app per le funzioni selezionare nome dell'app per le funzioni e selezionare Configurazione.

Nella scheda Impostazioni applicazione selezionare Nuova impostazione applicazione.

Aggiungere ognuna delle impostazioni dell'applicazione seguenti singolarmente, con i rispettivi valori stringa (con distinzione tra maiuscole e minuscole):

WorkspaceName : immettere il nome dell'area di lavoro log analytics.

TenableAccessKey : immettere la chiave di accesso per l'uso dell'API Tenable.

TenableSecretKey : immettere chiave privata tenable per l'autenticazione.

AzureClientID: immettere Azure ID client.

AzureClientSecret: immettere Azure segreto client.

TenantID : immettere l'ID tenant ottenuto dai passaggi precedenti.

AzureEntraObjectId: immettere Azure'ID oggetto ottenuto dai passaggi precedenti.

LowestSeveritytoStore : gravità della vulnerabilità più bassa da archiviare. Valori consentiti: Informazioni, Basso, Medio, Alto, Critico. Il valore predefinito è Info.

ComplianceDataIngestion : selezionare true se si vuole abilitare l'inserimento dei dati di conformità dalla macchina virtuale tenable. Il valore predefinito è false.

WASAssetDataIngestion : selezionare true se si vuole abilitare l'inserimento dei dati degli asset WAS dalla macchina virtuale tenable. Il valore predefinito è false.

WASVulnerabilityDataIngestion : selezionare true se si vuole abilitare l'inserimento dei dati della vulnerabilità WAS dalla macchina virtuale tenable. Il valore predefinito è false.

LowestSeveritytoStoreWAS : la gravità della vulnerabilità più bassa da archiviare per WAS. Valori consentiti: Informazioni, Basso, Medio, Alto, Critico. Il valore predefinito è Info.

TenableExportScheduleInMinutes : pianificazione in pochi minuti per creare un nuovo processo di esportazione da una macchina virtuale tenable. Il valore predefinito è 1440.

AssetTableName : immettere il nome della tabella usata per archiviare i log dei dati degli asset.

VulnTableName : immettere il nome della tabella usata per archiviare i log dei dati della vulnerabilità.

ComplianceTableName : immettere il nome della tabella usata per archiviare i log dei dati di conformità.

WASAssetTableName : immettere il nome della tabella usata per archiviare i log dei dati degli asset WAS.

WASVulnTableName : immettere il nome della tabella usata per archiviare i log dei dati della vulnerabilità WAS.

PyTenableUAVendor: il valore deve essere impostato su Microsoft.

PyTenableUAProduct: il valore deve essere impostato su Microsoft Sentinel.

PyTenableUABuild: il valore deve essere impostato su 3.1.0.

Dopo aver immesso tutte le impostazioni dell'applicazione, fare clic su Salva.

Microsoft Defender basata su tenant per il cloud

Supportato da:Microsoft Corporation

Microsoft Defender per il cloud è uno strumento di gestione della sicurezza che consente di rilevare e rispondere rapidamente alle minacce nei carichi di lavoro Azure, ibridi e multi-cloud. Questo connettore consente di trasmettere gli avvisi di sicurezza MDC da Microsoft 365 Defender in Microsoft Sentinel, in modo da poter sfruttare i vantaggi delle correlazioni XDR che collegano i puntini tra le risorse cloud, i dispositivi e le identità e visualizzare i dati nelle cartelle di lavoro, nelle query e nelle indagini e rispondere agli eventi imprevisti. Per altre informazioni, vedere la documentazione Microsoft Sentinel.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

SecurityAlert Sì Sì

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

Istruzioni per l'installazione:

Connetti Microsoft Defender per il cloud basato su tenant con Microsoft Sentinel:

Dopo aver connesso questo connettore, tutti gli avvisi Microsoft Defender per le sottoscrizioni cloud verranno inviati all'area di lavoro Microsoft Sentinel.

Le Microsoft Defender per gli avvisi cloud sono connesse per lo streaming tramite Microsoft 365 Defender. Per trarre vantaggio dal raggruppamento automatizzato degli avvisi in eventi imprevisti, connettere il connettore eventi imprevisti di Microsoft 365 Defender. Gli eventi imprevisti possono essere visualizzati nella coda degli eventi imprevisti.

TheHive (tramite Codeless Connector Framework)

Supportato da:Microsoft Corporation

Il connettore dati TheHive offre la possibilità di inserire i dati della piattaforma di risposta agli eventi imprevisti di sicurezza TheHive in Microsoft Sentinel tramite l'API REST. Per altre informazioni, vedere la documentazione dell'API . Il connettore consente di ottenere casi, attività e avvisi da TheHive e visualizzarli in Microsoft Sentinel.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

TheHiveData No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Accesso all'API TheHive: L'accesso Versione 4 e superiore è richiesto per l'API TheHive.

Istruzioni per l'installazione:

1. Configurazione:

Seguire le istruzioni per configurare il connettore TheHive.

URL base TheHive: (URL base dell'istanza TheHive (ad esempio, https://thehive.example.com)) Ottieni la chiave API dalle impostazioni del profilo utente TheHive. (o un utente dedicato creato a questo scopo)

Chiave API: (chiave API per TheHive API)

2. Connetti:

Abilitare il connettore TheHive.

Abilitare/disabilitare la connessione

Theom

Supportato da:Theom

Theom Data Connector consente alle organizzazioni di connettere l'ambiente Theom a Microsoft Sentinel. Questa soluzione consente agli utenti di ricevere avvisi sui rischi di sicurezza dei dati, creare e arricchire gli eventi imprevisti, controllare le statistiche e attivare playbook SOAR in Microsoft Sentinel

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

TheomAlerts_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Istruzioni per l'installazione:

Nella console dell'interfaccia utente di Theom fare clic su Gestisci -> Avvisi sulla barra laterale.

Selezionare Sentinel scheda.

Fare clic sul pulsante Attivo per abilitare la configurazione.

Immettere il Primary tasto come Authorization Token

Immettere Endpoint URL come https://<Workspace ID>.ods.opinsights.azure.com/api/logs?api-version=2016-04-01

Fare clic su SAVE SETTINGS

ID dello spazio di lavoro:<variable value provided at install time>

Chiave primaria:<variable value provided at install time>

Intelligence sulle minacce - TAXII

Supportato da:Microsoft Corporation

Microsoft Sentinel si integra con le origini dati TAXII 2.0 e 2.1 per abilitare il monitoraggio, gli avvisi e la ricerca usando l'intelligence sulle minacce. Usare questo connettore per inviare i tipi di oggetto STIX supportati dai server TAXII a Microsoft Sentinel. Gli indicatori di minaccia possono includere indirizzi IP, domini, URL e hash di file. Per altre informazioni, vedere la documentazione >Microsoft Sentinel .

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

ThreatIntelligenceIndicator Sì No

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

Piattaforme di Intelligence per le minacce

Supportato da:Microsoft Corporation

Microsoft Sentinel si integra con le origini dati di Microsoft Graph API Sicurezza per abilitare il monitoraggio, gli avvisi e la ricerca usando l'intelligence sulle minacce. Usare questo connettore per inviare indicatori di minaccia a Microsoft Sentinel dalla piattaforma TIP (Threat Intelligence Platform), ad esempio Threat Connect, Palo Alto Networks MindMeld, MISP o altre applicazioni integrate. Gli indicatori di minaccia possono includere indirizzi IP, domini, URL e hash di file. Per altre informazioni, vedere la documentazione >Microsoft Sentinel .

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

ThreatIntelligenceIndicator Sì No

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

API di caricamento di Intelligence per le minacce (anteprima)

Supportato da:Microsoft Corporation

Microsoft Sentinel offre un'API del piano dati per introdurre l'intelligence sulle minacce da Threat Intelligence Platform (TIP), ad esempio Threat Connect, Palo Alto Networks MineMeld, MISP o altre applicazioni integrate. Gli indicatori di minaccia possono includere indirizzi IP, domini, URL, hash di file e indirizzi di posta elettronica. Per altre informazioni, vedere la documentazione Microsoft Sentinel.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

ThreatIntelligenceIndicator Sì No

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

Istruzioni per l'installazione:

Puoi collegare le tue fonti di dati di intelligence sulle minacce a Microsoft Sentinel attraversando:

Uso di una piattaforma di intelligence per le minacce integrata (TIP), ad esempio Threat Connect, Palo Alto Networks MineMeld, MISP e altri.

Chiamata dell'API del piano dati Microsoft Sentinel direttamente da un'altra applicazione.

Nota: lo "stato" del connettore non verrà visualizzato come "Connesso" in questo caso, perché i dati vengono inseriti effettuando una chiamata API.

Segui questi passaggi per connetterti alla tua intelligence sulle minacce:

1. Ottenere il token di accesso Microsoft Entra ID:

Per inviare la richiesta alle API, è necessario acquisire Microsoft Entra ID token di accesso. È possibile seguire le istruzioni in questa pagina: /azure/databricks/dev-tools/api/latest/aad/app-aad-token#get-an-azure-ad-access-token

Avviso: richiedere Microsoft Entra ID token di accesso con valore di ambito: [variables('managementUri')]

2. Invia oggetti STIX a Sentinel:

È possibile inviare i tipi di oggetto STIX supportati chiamando l'API Upload. Per altre informazioni sull'API, fare clic qui.

Metodo HTTP: POST

Punto finale: https://api.ti.sentinel.azure.com/workspaces/[WorkspaceID]/threatintelligence-stix-objects:upload?api-version=2024-02-01-preview

WorkspaceID: l'area di lavoro in cui vengono caricati gli oggetti STIX.

Valore intestazione 1: "Authorization" = "Bearer [Microsoft Entra ID Access Token from step 1]"

Valore intestazione 2: "Content-Type" = "application/json"

Corpo: il corpo è un oggetto JSON contenente una matrice di oggetti STIX.

Trasmettere il connettore di sicurezza (usando Funzioni di Azure)

Supportato da:Transmit Security

Il connettore dati [Transmit Security] offre la possibilità di inserire gli eventi di trasmissione API Sicurezza comuni in Microsoft Sentinel tramite l'API REST. Per altre informazioni, vedere la documentazione dell'API. Il connettore consente il recupero degli eventi per valutare i potenziali rischi per la sicurezza, monitorare la collaborazione e diagnosticare e risolvere i problemi di configurazione.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

TransmitSecurityActivity_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Microsoft. Permessi web/siti: Sono necessari permessi di lettura e scrittura per Funzioni di Azure per creare una Function App. Per altre informazioni, vedere Funzioni di Azure.

È richiesto l'ID Client dell'API REST:TransmitSecurityClientID. Vedere la documentazione per altre informazioni sull'API in https://developer.transmitsecurity.com/.

È richiesto REST API Client Secret:TransmitSecurityClientSecret. Vedere la documentazione per altre informazioni sull'API in https://developer.transmitsecurity.com/.

Istruzioni per l'installazione:

NOTA: Questo connettore usa Funzioni di Azure per connettersi al API Sicurezza Di trasmissione per eseguire il pull dei log in Microsoft Sentinel. Ciò potrebbe comportare costi aggiuntivi per l'inserimento di dati. Per informazioni dettagliate, controllare la pagina dei prezzi Funzioni di Azure.

(Passaggio facoltativo) Archiviare in modo sicuro le chiavi o i token di autorizzazione api e dell'area di lavoro in Azure Key Vault. Azure Key Vault fornisce un meccanismo sicuro per archiviare e recuperare i valori delle chiavi. Seguire queste istruzioni per usare Azure Key Vault con un'app per le funzioni Azure.

PASSAGGIO 1 - Passaggi di configurazione per il API Sicurezza Di trasmissione

Seguire le istruzioni per ottenere le credenziali.

Accedere al portale di trasmissione della sicurezza.

Configurare un'app di gestione. Assegnare all'app un nome appropriato, ad esempio MyAzureSentinelCollector.

Salvare le credenziali del nuovo utente per l'uso nel connettore dati.

PASSAGGIO 2- Scegliere UNO tra le due opzioni di distribuzione seguenti per distribuire il connettore e la funzione Azure associata

IMPORTANTE: Prima di distribuire il connettore dati Transmit Security, fare in modo che l'ID area di lavoro e la chiave primaria dell'area di lavoro siano copiati da quanto segue.

ID dello spazio di lavoro:<variable value provided at install time>

Chiave primaria:<variable value provided at install time>

Opzione 1 - Azure Resource Manager (ARM) Template:

Usare questo metodo per la distribuzione automatica del connettore dati Transmit Security usando un modello arm.

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms aka.ms

Selezionare la sottoscrizione, il gruppo di risorse e la località preferiti.

NOTA: All'interno dello stesso gruppo di risorse, non è possibile combinare app Windows e Linux nella stessa area. Selezionare un gruppo di risorse esistente senza app di Windows o creare un nuovo gruppo di risorse.

Immettere TransmitSecurityClientID, TransmitSecurityClientSecret, TransmitSecurityPullEndpoint, TransmitSecurityTokenEndpoint e distribuire.

Contrassegnare la casella di controllo con l'etichetta Accetto i termini e le condizioni indicati sopra.

Fare clic su Acquista per distribuire.

Opzione 2 - Distribuzione manuale di Funzioni di Azure:

Usare le istruzioni dettagliate seguenti per distribuire manualmente il connettore dati Transmit Security con Funzioni di Azure (distribuzione tramite Visual Studio Code).

Distribuire un'app per le funzioni

NOTA: Sarà necessario preparare VS Code per lo sviluppo di funzioni Azure.

Scaricare il file dell'app per le funzioni Azure. Estrarre l'archivio nel computer di sviluppo locale.

Avviare VS Code. Scegliere File nel menu principale e selezionare Apri cartella.

Selezionare la cartella di primo livello dai file estratti.

Scegliere l'icona Azure nella barra attività, quindi nell'area Azure: Funzioni scegliere il pulsante Distribuisci nell'app per le funzioni.

Se non è già stato eseguito l'accesso, scegliere l'icona Azure nella barra attività, quindi nell'area Azure: Funzioni scegliere Accedi a Azure.

Se si è già connessi, passare al passaggio successivo.

Fornire le informazioni seguenti alle richieste:

Selezionare la cartella: Scegliere una cartella dall'area di lavoro o passare a una cartella contenente l'app per le funzioni.

Selezionare Sottoscrizione: Scegliere la sottoscrizione da usare.

Selezionare Crea nuova app per le funzioni in Azure (non scegliere l'opzione Avanzate).

Immettere un nome univoco globale per l'app per le funzioni: Digitare un nome valido in un percorso URL. Il nome digitato viene convalidato per assicurarsi che sia univoco in Funzioni di Azure.

Selezionare un runtime: Scegliere Python 3.11.

Selezionare una posizione per le nuove risorse. Per ottenere prestazioni migliori e costi inferiori, scegliere la stessa area in cui si trova Microsoft Sentinel.

Verrà avviata la distribuzione. Una notifica viene visualizzata dopo la creazione dell'app per le funzioni e l'applicazione del pacchetto di distribuzione.

Passare al portale di Azure per la configurazione dell'app per le funzioni.

Configurare l'app per le funzioni

Nell'app per le funzioni selezionare nome dell'app per le funzioni e selezionare Configurazione.

Selezionare Variabili di ambiente.

Aggiungere ognuna delle impostazioni dell'applicazione seguenti singolarmente, con i rispettivi valori stringa (con distinzione tra maiuscole e minuscole):

TransmitSecurityClientID:

TransmitSecurityClientSecret:

TransmitSecurityPullEndpoint:

TransmitSecurityTokenEndpoint:

WorkspaceID:

Chiave dello Spazio di Lavoro:

logAnalyticsUri (facoltativo)

Usare logAnalyticsUri per eseguire l'override dell'endpoint DELL'API log analytics per un cloud dedicato. Ad esempio, per il cloud pubblico, lasciare il valore vuoto; per l'ambiente cloud Azure GovUS specificare il valore nel formato seguente: https://<CustomerId>.ods.opinsights.azure.us.

Dopo aver immesso tutte le impostazioni dell'applicazione, fare clic su Applica.

Trellix Endpoint Security (tramite Codeless Connector Framework)

Supportato da:Microsoft Corporation

Il connettore dati Trellix Endpoint Security consente di inserire gli eventi di sicurezza da Trellix ePO (ePolicy Orchestrator) in Microsoft Sentinel. Questo connettore usa l'autenticazione delle credenziali client OAuth2 e gestisce automaticamente la paginazione per raccogliere dati completi sulla sicurezza degli endpoint, tra cui rilevamenti di minacce, informazioni sull'analizzatore, dettagli del sistema di origine e di destinazione e azioni di risposta alle minacce.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

TrellixEvents No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Istruzioni per l'installazione:

1. Configurazione API:

Configurare la connessione API Trellix ePO.

URL base API: (https://api.manage.trellix.com) Autenticazione

Specificare la chiave API per l'autenticazione. Verrà inviato nell'intestazione x-api-key.

Chiave API: (Inserisci la tua chiave API)

Nota: la chiave API verrà archiviata e usata in modo sicuro per l'autenticazione con l'API Trellix ePO.

2. Configurazione dell'autenticazione:

Configurare le credenziali di autenticazione OAuth2.

Endpoint token: (https://iam.cloud.trellix.com/iam/v1.0/token) OAuth2 Configurazione Configurare le credenziali client OAuth2 per l'accesso all'API. Per informazioni sul modello di autorizzazione dell'API Trellix, vedere https://developer.manage.trellix.com/public/mvision/docs/umam

ID cliente: (Il tuo ID cliente)

Segreto del cliente: (Il segreto del tuo cliente)

Nota: l'autenticazione OAuth2 fornisce l'accesso sicuro agli endpoint API.

3. Abilita il connettore:

Attivare il connettore Trellix Endpoint Security

Attivazione del connettore

Esaminare la configurazione e abilitare il connettore per iniziare a raccogliere gli eventi di sicurezza.

Abilitare/disabilitare la connessione post-connessione

Dopo la connessione, monitorare lo stato del connettore nella pagina Connettori dati . I dati dovrebbero iniziare a essere visualizzati entro 5-10 minuti.

Trend Micro Cloud Sicurezza delle App (utilizzando Funzioni di Azure)

Supportato da:Microsoft Corporation

Il connettore dati Trend Micro Cloud App Security offre la capacità di recuperare i log degli eventi di sicurezza dei servizi che la sicurezza delle app Cloud protegge e di più eventi in Microsoft Sentinel tramite l'API di recupero dei log. Consulta la documentazione API per maggiori informazioni. Il connettore consente il recupero degli eventi per valutare i potenziali rischi per la sicurezza, monitorare la collaborazione e diagnosticare e risolvere i problemi di configurazione.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

TrendMicroCAS_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Microsoft. Permessi web/siti: Sono necessari permessi di lettura e scrittura per Funzioni di Azure per creare una Function App. Per altre informazioni, vedere Funzioni di Azure.

Credenziali/permessi API REST:TrendMicroCASToken e TrendMicroCASServiceURL sono necessari per effettuare chiamate API. Per altre informazioni sull'API, vedere la documentazione .

Istruzioni per l'installazione:

NOTA: Questo connettore usa Funzioni di Azure per connettersi all'API Archiviazione BLOB di Azure per eseguire il pull dei log in Microsoft Sentinel. Ciò potrebbe comportare costi aggiuntivi per l'inserimento dei dati e per l'archiviazione dei dati nei costi di Archiviazione BLOB di Azure. Per informazioni dettagliate, controllare la pagina dei prezzi Funzioni di Azure e Archiviazione BLOB di Azure pagina dei prezzi.

(Passaggio facoltativo) Archiviare in modo sicuro le chiavi o i token di autorizzazione api e dell'area di lavoro in Azure Key Vault. Azure Key Vault fornisce un meccanismo sicuro per archiviare e recuperare i valori delle chiavi. Seguire queste istruzioni per usare Azure Key Vault con un'app per le funzioni Azure.

NOTA: Questo connettore dati dipende da un parser basato su una funzione Kusto per funzionare come previsto TrendMicroCAS, che viene distribuito con la Microsoft Sentinel Solution.

PASSO 1 - Fasi di configurazione per l'API di recupero di log di Trend Micro

Seguire le istruzioni per ottenere le credenziali.

Ottieni il TrendMicroCASToken utilizzando la documentazione.

Salvare le credenziali per l'uso nel connettore dati.

PASSAGGIO 2- Scegliere UNO tra le due opzioni di distribuzione seguenti per distribuire il connettore e la funzione Azure associata

IMPORTANTE: Prima di distribuire il connettore dati Trend Micro Cloud App Security per la sicurezza, utilizza l'ID dello Spazio di Lavoro e la Chiave Primaria dello Spazio di Lavoro (che possono essere copiate da quanto segue).

ID dello spazio di lavoro:<Valore variabile fornito al momento dell'installazione>

Chiave primaria:<Valore variabile fornito al momento dell'installazione>

Opzione 1 - Modello Azure Resource Manager (ARM)

Utilizzare questo metodo per il deployment automatizzato del connettore dati Trend Micro Cloud App Security utilizzando un ARM Tempate.

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms

Selezionare la sottoscrizione, il gruppo di risorse e la località preferiti.

NOTA: All'interno dello stesso gruppo di risorse, non è possibile combinare app Windows e Linux nella stessa area. Selezionare un gruppo di risorse esistente senza app di Windows o creare un nuovo gruppo di risorse. 3. Inserire TrendMicroCASToken, TrendMicroCASServiceURL e distribuire. 4. Contrassegnare la casella di controllo etichettata Accetto i termini e le condizioni indicati sopra. 5. Fare clic su Acquista per distribuire.

Opzione 2 - Distribuzione manuale di Funzioni di Azure

Usa le seguenti istruzioni passo dopo passo per distribuire manualmente il connettore dati Trend Micro Cloud App Security con Funzioni di Azure (Deployment via Visual Studio Code).

Distribuire un'app per le funzioni

NOTA: Sarà necessario preparare vs code per lo sviluppo di funzioni Azure.

Scaricare il file dell'app per le funzioni Azure. Estrarre l'archivio nel computer di sviluppo locale.

Avviare VS Code. Scegliere File nel menu principale e selezionare Apri cartella.

Selezionare la cartella di primo livello dai file estratti.

Scegliere l'icona Azure nella barra attività, quindi nell'area Azure: Funzioni scegliere il pulsante Distribuisci nell'app per le funzioni. Se non è già stato eseguito l'accesso, scegliere l'icona Azure nella barra attività, quindi nell'area Azure: Funzioni scegliere Accedi a Azure Se si è già connessi, passare al passaggio successivo.

Fornire le informazioni seguenti alle richieste:

a. Selezionare la cartella: Scegliere una cartella dall'area di lavoro o passare a una cartella contenente l'app per le funzioni.

b. Selezionare Sottoscrizione: Scegliere la sottoscrizione da usare.

c. Selezionare Crea nuova app per le funzioni in Azure (non scegliere l'opzione Avanzate)

d. Immettere un nome univoco globale per l'app per le funzioni: Digitare un nome valido in un percorso URL. Il nome digitato viene convalidato per assicurarsi che sia univoco in Funzioni di Azure. (ad esempio TMCASXXXXX).

e. Selezionare un runtime: Scegliere Python 3.11.

f. Selezionare una posizione per le nuove risorse. Per ottenere prestazioni migliori e costi inferiori, scegliere la stessa area in cui si trova Microsoft Sentinel.

Verrà avviata la distribuzione. Una notifica viene visualizzata dopo la creazione dell'app per le funzioni e l'applicazione del pacchetto di distribuzione.

Passare a portale di Azuree per la configurazione dell'app per le funzioni.

Configurare l'app per le funzioni

Nell'app per le funzioni selezionare nome dell'app per le funzioni e selezionare Configurazione.

Nella scheda Impostazioni applicazione selezionare Nuova impostazione applicazione.

Aggiungi ciascuna delle seguenti impostazioni applicative individualmente, con i rispettivi valori di stringa (maiuscole): TrendMicroCASToken TrendMicroCASServiceURL WorkspaceID WorkspaceLog Clavi AnalyticsUri (opzionale)

Usare logAnalyticsUri per eseguire l'override dell'endpoint DELL'API log analytics per il cloud dedicato. Ad esempio, per il cloud pubblico, lasciare il valore vuoto; per Azure ambito cloud GovUS, specificare il valore nel formato seguente: https://<CustomerId>.ods.opinsights.azure.us.

Dopo aver immesso tutte le impostazioni dell'applicazione, fare clic su Salva.

Trend Micro Cloud App Security (tramite Codeless Connector Framework)

Supportato da:Microsoft Corporation

Il connettore dati Trend Micro Cloud App Security offre la capacità di recuperare i log degli eventi di sicurezza dei servizi che la Cloud App Security protegge in Microsoft Sentinel tramite l'API SIEM. Il connettore offre la possibilità di ottenere eventi, il che aiuta a esaminare potenziali rischi di sicurezza, analizzare l'uso della collaborazione da parte del team, diagnosticare problemi di configurazione e altro ancora. Supporta trasformazioni di tempo di ingestione basate su DCR che analizzano i dati ricevuti dell'evento di sicurezza in colonne personalizzate, così che le query non debbano più analizzarli, risultando così in prestazioni migliori.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

TrendMicroCASV2_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Token API CAS Trend Micro: È richiesto un token API Sicurezza app Trend Micro Cloud. Per maggiori informazioni, vedi Trend Micro CAS API.

Istruzioni per l'installazione:

1. Configurare flussi dati CAS Trend Micro

Aggiungi uno o più flussi di dati selezionando le combinazioni di servizi cloud e tipi di evento che vuoi monitorare.

Griglia connettori dati (configurare nel portale)

Visione di tendenza 1 (usando Funzioni di Azure)

Supportato da:Trend Micro

Il connettore Trend Vision One consente di connettere facilmente i dati degli avvisi di Workbench con Microsoft Sentinel per visualizzare i dashboard, creare avvisi personalizzati e migliorare le funzionalità di monitoraggio e indagine. Ciò offre maggiori informazioni sulle reti/sistemi dell'organizzazione e migliora le funzionalità delle operazioni di sicurezza.

Il connettore Trend Vision One è supportato in Microsoft Sentinel nelle aree seguenti: Australia orientale, Australia sud-orientale, Brasile meridionale, Canada centrale, Canada orientale, India centrale, Stati Uniti centrali, Asia orientale, Stati Uniti orientali, Stati Uniti orientali 2, Francia centrale, Giappone orientale, Corea centrale, Stati Uniti centro-settentrionali, Europa settentrionale, Norvegia orientale, Sud Africa settentrionale, Stati Uniti centro-meridionali, Asia sud-orientale, Svezia centrale, Svizzera settentrionale, Emirati Arabi Uniti settentrionali, Regno Unito meridionale, Regno Unito occidentale, Europa occidentale, Stati Uniti occidentali, Stati Uniti occidentali 2, Stati Uniti occidentali 3.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

TrendMicro_XDR_WORKBENCH_CL No No

TrendMicro_XDR_RCA_Task_CL No No

TrendMicro_XDR_RCA_Result_CL No No

TrendMicro_XDR_OAT_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Microsoft. Permessi web/siti: Sono necessari permessi di lettura e scrittura per Funzioni di Azure per creare una Function App. Per altre informazioni, vedere Funzioni di Azure.

Token API Trend Vision One: È richiesto un token API Trend Vision One. Per altre informazioni sull'API Trend Vision One, vedere la documentazione.

Istruzioni per l'installazione:

NOTA: Questo connettore usa Funzioni di Azure per connettersi all'API Trend Vision One per eseguire il pull dei log in Microsoft Sentinel. Ciò potrebbe comportare costi aggiuntivi per l'inserimento di dati. Per informazioni dettagliate, controllare la pagina dei prezzi Funzioni di Azure.

(Passaggio facoltativo) Archiviare in modo sicuro le chiavi o i token di autorizzazione api e dell'area di lavoro in Azure Key Vault. Azure Key Vault fornisce un meccanismo sicuro per archiviare e recuperare i valori delle chiavi. Seguire queste istruzioni per usare Azure Key Vault con un'app per le funzioni Azure.

PASSAGGIO 1 - Passaggi di configurazione per l'API Visione delle tendenze 1

Seguire queste istruzioni per creare un account e un token di autenticazione API.

PASSAGGIO 2- Usare l'opzione di distribuzione seguente per distribuire il connettore e la funzione Azure associata

IMPORTANTE: Prima di distribuire il connettore Trend Vision One, è possibile copiare l'ID dell'area di lavoro e la chiave primaria dell'area di lavoro (può essere copiata da quanto segue), nonché il token di autorizzazione API Trend Vision One, immediatamente disponibile.

ID dello spazio di lavoro:<variable value provided at install time>

Chiave primaria:<variable value provided at install time>

Azure Resource Manager (ARM) Deployment Template:

Questo metodo fornisce una distribuzione automatizzata del connettore Trend Vision One usando un modello ARM.

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms

Selezionare la sottoscrizione, il gruppo di risorse e la località preferiti.

Immettere un nome di funzione univoco, un ID area di lavoro, una chiave dell'area di lavoro, un token API e un codice di area.

Nota: specificare il codice dell'area appropriata in base alla posizione in cui viene distribuita l'istanza di Trend Vision One: us, eu, au, in, sg, jp

Nota: se si usano Azure Key Vault segreti per uno dei valori precedenti, usare lo@Microsoft.KeyVault(SecretUri={Security Identifier})schema al posto dei valori stringa. Per altre informazioni, vedere Key Vault documentazione di riferimento.

Contrassegnare la casella di controllo con l'etichetta Accetto i termini e le condizioni indicati sopra.

Fare clic su Acquista per distribuire.

Sicurezza Tropico - Avvisi

Supportato da:TROPICO Security

Inserire avvisi di sicurezza da Tropico Security Platform in formato OCSF Security Finding.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

{{graphQueriesTableName}} No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Istruzioni per l'installazione:

Connettiti la piattaforma di sicurezza Tropico:

Immettere la chiave API di sola lettura da Impostazioni Tropico.

Chiave API: (trop_xxxx...)

Abilitare/disabilitare la connessione

Sicurezza Tropico - Eventi

Supportato da:TROPICO Security

Inserire eventi di sicurezza da Tropico Security Platform in formato OCSF Security Finding.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

{{graphQueriesTableName}} No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Istruzioni per l'installazione:

Connettiti la piattaforma di sicurezza Tropico:

Immettere la chiave API di sola lettura da Impostazioni Tropico.

Chiave API: (trop_xxxx...)

Abilitare/disabilitare la connessione

Sicurezza Tropico - Eventi imprevisti

Supportato da:TROPICO Security

Inserire eventi imprevisti di sessione degli utenti malintenzionati da Tropico Security Platform.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

{{graphQueriesTableName}} No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Istruzioni per l'installazione:

Connettiti la piattaforma di sicurezza Tropico:

Immettere la chiave API di sola lettura da Impostazioni Tropico.

Chiave API: (trop_xxxx...)

Abilitare/disabilitare la connessione

Utimaco Enterprise Secure Key Manager (ESKM)

Supportato da:Utimaco

Il connettore Utimaco ESKM assorbe i log del server KMIP da Utimaco Enterprise Secure Key Manager (ESKM) in Microsoft Sentinel.

Supporta l'autenticazione di base (nome utente/password).

Per maggiori informazioni, visita la documentazione Utimaco ESKM.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

UtimacoESKMKmipServerLogs_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Credenziali account Utimaco ESKM: Le credenziali dell'account ESKM di Utimaco (nome utente e password) sono necessarie per autenticarsi all'API di gestione ESKM. Consulta la documentazione Utimaco ESKM.

Istruzioni per l'installazione:

Passo 1 - Prerequisiti

Assicurati di avere un account di gestione ESKM Utimaco con permessi per accedere all'API di gestione. Nota l'URL base del tuo appliance ESKM (tipicamente https://<eskm-host>:8443).

Passo 2 - Collegarsi all'ESKM di Utimaco

Fornisci qui sotto l'URL base dell'API di gestione ESKM e le credenziali dell'account, poi clicca su Connetti.

URL base API: (https://< eskm-host>:8443)

Nome utente: (Inserisci il nome utente)

Password: (Inserisci password)

Abilitare/disabilitare la connessione

Segnali comportamentali dell'agente di intelligenza artificiale Vaikora

Supportato da:Data443 Risk Mitigation, Inc.

Inserire i segnali comportamentali dell'agente di intelligenza artificiale dall'API Vaikora in Microsoft Sentinel usando Codeless Connector Framework (CCF). Monitorare le azioni degli agenti, le decisioni dei criteri, i punteggi delle anomalie e i livelli di rischio per rilevare attività di IA sospette nell'ambiente.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

Vaikora_AgentSignals_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Vaikora API Key: Una chiave API Vaikora (vk_xxxxx) con accesso di lettura all'endpoint delle azioni. Ottenerlo dal dashboard di Vaikora in Chiavi API impostazioni > .

Istruzioni per l'installazione:

Connetti i segnali comportamentali degli agenti AI Vaikora:

Per abilitare il connettore Vaikora, immettere la chiave API Vaikora seguente e fare clic su Connetti. L'ID agente è facoltativo; usarlo per definire l'ambito dell'inserimento in un singolo agente o lasciarlo vuoto per inserire azioni da tutti gli agenti che la chiave può visualizzare.

La chiave API è disponibile nel dashboard vaikora in Impostazioni > chiavi API. L'ID agente è l'UUID visualizzato nella pagina dei dettagli di ogni agente.

Chiave API Vaikora: (vk_xxxxxxxxxxxxxxxxxxxxxxxx)

ID agente Vaikora (opzionale): (Lascia vuoto per monitorare tutti gli agenti)

Abilitare/disabilitare la connessione

Valimail Imponi eventi di configurazione

Supportato da:Valimail

Il connettore dati Valimail Configuration Events consente di inserire gli eventi di configurazione del dominio di posta elettronica dall'API Reporting di Valimail in Microsoft Sentinel. Il connettore dati è basato su Microsoft Sentinel Codeless Connector Framework.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

ValimailEnforceEvents_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Istruzioni per l'installazione:

Procedura di configurazione per l'API Eventi Valimail Seguire le istruzioni riportate nella guida per generare un set di credenziali dell'API reporting. Archiviare l'ID client creato e le chiavi dell'ID app.

Cliente Account Slug: (Account Slug)

ID client API: (Credenziale ID Client)

API ID App: (Credenziale ID App)

Abilitare/disabilitare la connessione

Connettore push Varonis Purview

Supportato da:Varonis

Il connettore Varonis Purview offre la possibilità di sincronizzare le risorse da Varonis a Microsoft Purview.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

VaronisResources_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Microsoft Entra: Permesso di creare una registrazione di un'app in Microsoft Entra ID. In genere richiede Entra ruolo sviluppatore di applicazioni ID o superiore.

Microsoft Azure: Permesso di assegnare il ruolo di Monitoring Metrics Publisher sulla regola di raccolta dati (DCR). In genere richiede Azure ruolo Proprietario controllo degli accessi in base al ruolo o Amministratore accesso utente

Istruzioni per l'installazione:

1. Esegui questo per impostare l'ingestione di Risorse Varoni:

Verranno create le tabelle di Log Analytics necessarie, la regola di raccolta dati (DCR) e un'applicazione Entra per inviare i dati in modo sicuro al DCR.

La configurazione automatizzata e l'inserimento sicuro dei dati con Entra'applicazione facendo clic su "Distribuisci" attiveranno la creazione di tabelle di Log Analytics e di una regola di raccolta dati (DCR). Verrà quindi creata un'applicazione Entra, verrà collegato il DCR e verrà impostato il segreto immesso nell'applicazione. Questa configurazione consente di inviare i dati in modo sicuro al DCR usando un token di Entra.

2. Spingi i tuoi log nello spazio di lavoro:

Usare i parametri seguenti per configurare il connettore Varonis Purview nel dashboard delle integrazioni di Varonis.

ID Tenant (ID Directory):<variable value provided at install time>

ID Domanda di Registrazione Entra App:<variable value provided at install time>

Segreto per la registrazione dell'app Entra:<variable value provided at install time>

Data Collection Endpoint Uri:<variable value provided at install time>

ID immutabile della regola di raccolta dati:<variable value provided at install time>

Nome del flusso Risorse:<variable value provided at install time>

Varonis SaaS

Supportato da:Varonis

Varonis SaaS offre la possibilità di inserire avvisi Varonis in Microsoft Sentinel.

Varonis assegna priorità alla visibilità approfondita dei dati, alle funzionalità di classificazione e alla correzione automatizzata per l'accesso ai dati. Varonis crea un'unica visualizzazione dei rischi con priorità per i dati, in modo da poter eliminare in modo proattivo e sistematico i rischi da minacce interne e attacchi informatici.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

VaronisAlerts_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Microsoft. Permessi web/siti: Sono necessari permessi di lettura e scrittura per Funzioni di Azure per creare una Function App. Per altre informazioni, vedere Funzioni di Azure.

Istruzioni per l'installazione:

NOTA: Questo connettore usa Funzioni di Azure per connettersi al servizio Varonis DatAlert per eseguire il pull degli avvisi in Microsoft Sentinel. Ciò potrebbe comportare costi aggiuntivi per l'inserimento di dati. Per informazioni dettagliate, vedere la pagina dei prezzi Funzioni di Azure.

Per Azure funzione e l'installazione dei servizi correlati, usare:

portal.azure.com

PASSAGGIO 1: ottenere le credenziali dell'API endpoint Varonis DatAlert.

Per generare l'ID client e la chiave API:

Avviare l'interfaccia Web Varonis.

Passare a Configurazione -> Chiavi API. Viene visualizzata la pagina Chiavi API.

Fare clic su Crea chiave API. Le impostazioni Aggiungi nuova chiave API vengono visualizzate a destra.

Compilare il nome e la descrizione.

Fare clic sul pulsante Genera chiave.

Copiare il segreto della chiave API e salvarlo in un percorso pratico. Non sarà possibile copiarlo di nuovo.

Per altre informazioni, consultare: Documentazione di Varonis

PASSAGGIO 2: distribuire il connettore e la funzione Azure associata.

Nome dello spazio di lavoro:<variable value provided at install time>

Usare questo metodo per la distribuzione automatizzata del connettore dati usando un modello di Resource Manager.

Fare clic sul pulsante Distribuisci in Azure.

portal.azure.com

Selezionare la sottoscrizione preferita, il gruppo di risorse, l'area, il tipo di account di archiviazione.

Immettere Nome area di lavoro Log Analytics, FQDN Varonis, Chiave API SaaS Varonis.

Fare clic su Rivedi e crea, Crea.

Vectra XDR (usando Funzioni di Azure)

Supportato da:Vectra Support

Il connettore Vectra XDR offre la possibilità di inserire i dati di rilevamento, controllo, assegnazione di punteggi delle entità, blocco, integrità ed entità vectra in Microsoft Sentinel tramite l'API REST Vectra. Per altre informazioni, vedere la documentazione https://support.vectra.ai/s/article/KB-VS-1666 dell'API.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

Detections_Data_CL No No

Audits_Data_CL No No

Entity_Scoring_Data_CL No No

Lockdown_Data_CL No No

Health_Data_CL No No

Entities_Data_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Microsoft. Permessi web/siti: Sono necessari permessi di lettura e scrittura per Funzioni di Azure per creare una Function App. Per altre informazioni, vedere Funzioni di Azure.

Credenziali/permessi REST API:Vectra Client ID e Client Secret sono necessari per la raccolta dati di Salute, Valutazione Entità, Entità, Rilevamento, Lockdown e Audit. Vedere la documentazione per altre informazioni sull'API in https://support.vectra.ai/s/article/KB-VS-1666.

Istruzioni per l'installazione:

NOTA: Questo connettore usa Funzioni di Azure per connettersi all'API Vectra per eseguire il pull dei log in Microsoft Sentinel. Ciò potrebbe comportare costi aggiuntivi per l'inserimento di dati. Per informazioni dettagliate, controllare la pagina dei prezzi Funzioni di Azure.

(Passaggio facoltativo) Archiviare in modo sicuro le chiavi o i token di autorizzazione api e dell'area di lavoro in Azure Key Vault. Azure Key Vault fornisce un meccanismo sicuro per archiviare e recuperare i valori delle chiavi. Seguire queste istruzioni per usare Azure Key Vault con un'app per le funzioni Azure.

NOTA: questo connettore dati dipende da un parser basato su una funzione Kusto per funzionare come previsto. Seguire questa procedura per Il parser di rilevamento, il parser di controllo, il parser di assegnazione dei punteggi delle entità, il parser di blocco e il parser di integrità per creare l'alias delle funzioni Kusto, VectraDetections, VectraAudits, VectraEntityScoring, VectraLockdown e VectraHealth.

PASSAGGIO 1 - Procedura di configurazione per le credenziali dell'API Vectra

Seguire queste istruzioni per creare un ID client Vectra e un segreto client.

Accedere al portale vectra

Passare a Gestisci -> Client API

Nella pagina Client API selezionare "Aggiungi client API" per creare un nuovo client.

Aggiungi nome client, selezionare Ruolo e fare clic su Genera credenziali per ottenere le credenziali client.

Assicurarsi di registrare l'ID client e la chiave privata per la custodia. Saranno necessarie queste due informazioni per ottenere un token di accesso dall'API Vectra. È necessario un token di accesso per effettuare richieste a tutti gli endpoint dell'API Vectra.

PASSAGGIO 2 - Procedura di registrazione dell'app per l'applicazione in Microsoft Entra ID

Questa integrazione richiede una registrazione dell'app nel portale di Azure. Seguire i passaggi descritti in questa sezione per creare una nuova applicazione in Microsoft Entra ID:

Accedere al portale di Azure.

Cercare e selezionare Microsoft Entra ID.

In Gestisci selezionare Registrazioni app > Nuova registrazione.

Immettere un nome visualizzato per l'applicazione.

Selezionare Registra per completare la registrazione iniziale dell'app.

Al termine della registrazione, il portale di Azure visualizza il riquadro Panoramica della registrazione dell'app. Verranno visualizzati l'ID applicazione (client) e l'ID tenant. L'ID client e l'ID tenant sono necessari come parametri di configurazione per l'esecuzione di Vectra Data Connector.

Collegamento di riferimento:/azure/active-directory/develop/quickstart-register-app

PASSAGGIO 3 - Aggiungere un segreto client per l'applicazione in Microsoft Entra ID

A volte chiamato password dell'applicazione, un segreto client è un valore stringa necessario per l'esecuzione di Vectra Data Connector. Seguire i passaggi descritti in questa sezione per creare un nuovo segreto client:

Nel portale di Azure selezionare l'applicazione in Registrazioni app.

Selezionare Certificati & segreti > client Segreti > client Nuovo segreto client.

Aggiungere una descrizione per il segreto client.

Selezionare una scadenza per il segreto o specificare una durata personalizzata. Il limite è di 24 mesi.

Selezionare Aggiungi.

Registrare il valore del segreto da usare nel codice dell'applicazione client. Questo valore del segreto non viene mai più visualizzato dopo aver lasciato questa pagina. Il valore del segreto è obbligatorio come parametro di configurazione per l'esecuzione di Vectra Data Connector.

Collegamento di riferimento:/azure/active-directory/develop/quickstart-register-app#add-a-client-secret

PASSAGGIO 4: Ottenere l'ID oggetto dell'applicazione in Microsoft Entra ID

Dopo aver creato la registrazione dell'app, seguire i passaggi descritti in questa sezione per ottenere l'ID oggetto:

Vai a Microsoft Entra ID.

Selezionare Applicazioni aziendali dal menu a sinistra.

Trovare l'applicazione appena creata nell'elenco (è possibile eseguire la ricerca in base al nome specificato).

Fare clic sull'applicazione.

Nella pagina di panoramica copiare l'ID oggetto. Si tratta di AzureEntraObjectId necessario per l'assegnazione del ruolo del modello di Resource Manager.

PASSAGGIO 5 - Assegnare il ruolo collaboratore all'applicazione in Microsoft Entra ID

Seguire i passaggi descritti in questa sezione per assegnare il ruolo:

Nella portale di Azure passare al gruppo di risorse e selezionare il gruppo di risorse.

Passare a Controllo di accesso (IAM) dal pannello sinistro.

Fare clic su Aggiungi e quindi selezionare Aggiungi assegnazione di ruolo.

Selezionare Collaboratore come ruolo e fare clic su Avanti.

In Assegna accesso a selezionare User, group, or service principal.

Fare clic su Aggiungi membri e digitare il nome dell'app creato e selezionarlo.

Fare ora clic su Rivedi e assegna e quindi fare di nuovo clic su Rivedi e assegna.

Collegamento di riferimento:/azure/role-based-access-control/role-assignments-portal

PASSAGGIO 6 - Creare un keyvault

Seguire queste istruzioni per creare un nuovo keyvault.

Nella portale di Azure passare a Insiemi di credenziali delle chiavi e fare clic su Crea.

Selezionare Sottoscrizione, Gruppo di risorse e specificare il nome univoco di keyvault.

PASSAGGIO 7 - Creare criteri di accesso in Keyvault

Seguire queste istruzioni per creare criteri di accesso in Keyvault.

Passare a keyvaults, selezionare il keyvault, passare a Criteri di accesso nel pannello a sinistra, fare clic su Crea.

Selezionare tutte le chiavi & le autorizzazioni dei segreti. Fare clic su Avanti.

Nella sezione Principal cercare in base al nome dell'applicazione generato in STEP - 2. Fare clic su Avanti.

Nota: Assicurati che il modello di permessi nella configurazione di accesso di Key Vault sia impostato su 'Politica di accesso al vault':

PASSAGGIO 8- Scegliere UNO tra le due opzioni di distribuzione seguenti per distribuire il connettore e la funzione Azure associata

IMPORTANTE: Prima di distribuire il connettore dati Vectra, avere le credenziali di autorizzazione dell'API Vectra immediatamente disponibili.

Opzione 1 - Azure Resource Manager (ARM) Template:

Usare questo metodo per la distribuzione automatica del connettore Vectra.

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms aka.ms

Selezionare la sottoscrizione, il gruppo di risorse e la località preferiti.

Immettere le informazioni seguenti: Nome funzione Nome area di lavoro URL di base Vectra (https://< vectra-portal-url>) ID client Vectra - Chiave privata client Vectra integrità - ID client Vectra integrità - Segreto client Vectra per l'assegnazione dei punteggi delle entità - ID client Vectra per l'assegnazione dei punteggi alle entità - Rilevamenti Vectra Segreto client - Id client Vectra di rilevamento - Controlla il segreto client Vectra - Controlla l'ID client Vectra - Segreto client Vectra di blocco - ID client Vectra di blocco - Host-Entity segreto client Vectra - Host-Entity ID client Vectra - Account-Entity Segreto client Vectra - Nome Account-Entity Key Vault Azure ID client Azure ID tenant del segreto client Azure Entra ObjectID StartTime (in formato MM/DD/AAAA HH:MM:SS) Include Score Decrease Audits Table Name Detections Table Name Entity Scoring Table Name Lockdown Table Name Nome tabella integrità Entità Nome tabella Escludere i dettagli del gruppo dal livello di log dei rilevamenti (impostazione predefinita: INFO) Lockdown Schedule Health Schedule Detections Schedule Audits Schedule Entity Scoring Schedule Entities Schedule

Contrassegnare la casella di controllo con l'etichetta Accetto i termini e le condizioni indicati sopra.

Fare clic su Acquista per distribuire.

Opzione 2 - Distribuzione manuale di Funzioni di Azure:

Usare le istruzioni dettagliate seguenti per distribuire manualmente il connettore dati Vectra con Funzioni di Azure (distribuzione tramite Visual Studio Code).

Distribuire un'app per le funzioni

NOTA: Sarà necessario preparare vs code per lo sviluppo di funzioni Azure.

Scaricare il file dell'app per le funzioni Azure. Estrarre l'archivio nel computer di sviluppo locale.

Avviare VS Code. Scegliere File nel menu principale e selezionare Apri cartella.

Selezionare la cartella di primo livello dai file estratti.

Scegliere l'icona Azure nella barra attività, quindi nell'area Azure: Funzioni scegliere il pulsante Distribuisci nell'app per le funzioni. Se non sei già connesso, scegli l'icona Azure nella barra Attività, poi nell'area Azure: Funzioni, scegli Accedi ad Azure: Se sei già connesso, passa al passo successivo.

Fornire le informazioni seguenti alle richieste:

Selezionare la cartella: Scegliere una cartella dall'area di lavoro o passare a una cartella contenente l'app per le funzioni.

Selezionare Sottoscrizione: Scegliere la sottoscrizione da usare.

Selezionare Crea nuova app per le funzioni in Azure (non scegliere l'opzione Avanzate)

Immettere un nome univoco globale per l'app per le funzioni: Digitare un nome valido in un percorso URL. Il nome digitato viene convalidato per assicurarsi che sia univoco in Funzioni di Azure. (ad esempio VECTRAXXXXX).

Selezionare un runtime: Scegliere Python 3.8 o versione successiva.

Selezionare una posizione per le nuove risorse. Per ottenere prestazioni migliori e costi inferiori, scegliere la stessa area in cui si trova Microsoft Sentinel.

Verrà avviata la distribuzione. Una notifica viene visualizzata dopo la creazione dell'app per le funzioni e l'applicazione del pacchetto di distribuzione.

Passare a portale di Azuree per la configurazione dell'app per le funzioni.

Configurare l'app per le funzioni

Nell'app per le funzioni selezionare nome dell'app per le funzioni e selezionare Configurazione.

Nella scheda Impostazioni applicazione selezionare + Nuova impostazione applicazione.

Aggiungere ognuna delle impostazioni dell'applicazione seguenti singolarmente, con i rispettivi valori (distinzione tra maiuscole e minuscole): ID area di lavoro Chiave dell'area di lavoro URL di base Vectra (https://< vectra-portal-url>) ID client Vectra - Chiave privata client Vectra integrità - ID client Vectra integrità - Assegnazione dei punteggi delle entità Vec Segreto client ditra - ID client Vectra per l'assegnazione dei punteggi di entità - Rileva il segreto client Vectra - Id client Vectra di rilevamento - Controlla il segreto client Vectra - Controlla l'ID client Vectra - Segreto client Vectra di blocco - Blocco Id client Vectra - Host-Entity Segreto client Vectra - Host-Entity ID client Vectra - Account-Entity Segreto client Vectra - Account-Entity Key Vault nome Azure ID client Azure ID tenant segreto client StartTime (in formato MM/DD/AAAA HH:MM:SS) Include Score Decrease Audits Table Name Detections Table Name Entity Scoring Table Name Lockdown Table Name Health Name Entities Table Name Log Level (Predefinito: INFO) Lockdown Schedule Health Schedule Detections Schedule Audits Schedule Entity Scoring Schedule Entities Schedule logAnalyticsUri (facoltativo)

Usare logAnalyticsUri per eseguire l'override dell'endpoint DELL'API log analytics per il cloud dedicato. Ad esempio, per il cloud pubblico, lasciare il valore vuoto; per Azure ambito cloud GovUS, specificare il valore nel formato seguente: https://<CustomerId>.ods.opinsights.azure.us.

Dopo aver immesso tutte le impostazioni dell'applicazione, fare clic su Salva.

Connettore dati Veeam (usando Funzioni di Azure)

Supportato da:Veeam Software

Veeam Data Connector consente di inserire i dati di telemetria veeam da più tabelle personalizzate in Microsoft Sentinel.

Il connettore supporta l'integrazione con le piattaforme Veeam Backup & Replication, Veeam ONE e Coveware per offrire un monitoraggio completo e analisi della sicurezza. I dati vengono raccolti tramite Funzioni di Azure e archiviati in tabelle log analytics personalizzate con regole di raccolta dati dedicate (DCR) ed endpoint di raccolta dati (DCE).

Tabelle personalizzate incluse:

VeeamMalwareEvents_CL: Eventi di rilevamento malware da Veeam Backup & Replication

VeeamSecurityComplianceAnalyzer_CL: Risultati dell'Analizzatore di Sicurezza e Conformità raccolti dai componenti dell'infrastruttura di backup Veeam

VeeamAuthorizationEvents_CL: Eventi di autorizzazione e autenticazione

VeeamOneTriggeredAlarms_CL: Allarmi attivati dai server Veeam ONE

VeeamCovewareFindings_CL: Risultati di sicurezza dalla soluzione Coveware

VeeamSessions_CL: Sessioni Veeam

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

VeeamMalwareEvents_CL No No

VeeamSecurityComplianceAnalyzer_CL No No

VeeamOneTriggeredAlarms_CL No No

VeeamAuthorizationEvents_CL No No

VeeamCovewareFindings_CL No No

VeeamSessions_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Microsoft. Permessi web/siti: Sono necessari permessi di lettura e scrittura per Funzioni di Azure per creare una Function App. Per altre informazioni, vedere Funzioni di Azure.

Accesso alle infrastrutture Veeam: È necessario accedere all'API REST di Veeam Backup & Replication e alla piattaforma di monitoraggio Veeam ONE. Sono incluse le credenziali di autenticazione appropriate e la connettività di rete.

Istruzioni per l'installazione:

NOTA: Questo connettore usa Funzioni di Azure per connettersi alle API Veeam ed eseguire il pull dei dati in Microsoft Sentinel tabelle personalizzate. Ciò può comportare costi aggiuntivi per l'inserimento di dati. Per informazioni dettagliate, vedere la pagina dei prezzi Funzioni di Azure.

PASSAGGIO 1- Selezionare l'opzione di distribuzione per Veeam Data Connector e Funzioni di Azure associati

IMPORTANTE: Prima di distribuire Veeam Data Connector, preparare Il nome dell'area di lavoro (può essere copiato da quanto segue).

Nome dello spazio di lavoro:<variable value provided at install time>

Azure Resource Manager (ARM) Template:

Usare questo metodo per la distribuzione automatizzata del connettore dati Veeam usando un modello di Resource Manager.

Fare clic sul pulsante Distribuisci in Azure di seguito.

portal.azure.com

Selezionare la sottoscrizione, il gruppo di risorse e la località preferiti.

Immettere il nome dell'area di lavoro Microsoft Sentinel.

Fare clic su Rivedi e crea, Crea.

VersasecCms

Supportato da:Versasec Support

Il connettore dati VersasecCms consente di inserire i log in Microsoft Sentinel.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

VersasecCmsSysLogs_CL No No

VersasecCmsErrorLogs_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Istruzioni per l'installazione:

Configurazione:

Immettere le credenziali per VersasecCms.

URL di gestione:

Percorso base API:

Token API:

Intervallo di sondaggio (minuti):

Abilitare/disabilitare la connessione

VirtualMetric DataStream per Microsoft Sentinel

Supportato da:VirtualMetric

Il connettore VirtualMetric DataStream distribuisce le regole di raccolta dati per inserire i dati di telemetria di sicurezza in Microsoft Sentinel.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

CommonSecurityLog Sì Sì

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

Prerequisiti:

Registrazione App o Azure Managed Identity: VirtualMetric DataStream richiede un'identità Entra ID per autenticare e inviare i log a Microsoft Sentinel. È possibile scegliere tra la creazione di una registrazione dell'app con ID client e segreto client o l'uso di Azure'identità gestita per una sicurezza avanzata senza gestione delle credenziali.

Assegnazione del ruolo del Gruppo di Risorse: L'identità scelta (Registrazione App o Identità gestita) deve essere assegnata al gruppo di risorse che contiene l'endpoint Data Collection con i seguenti ruoli: Monitoring Metrics Publisher (per l'ingestione di log) e Monitoring Reader (per la configurazione del flusso di lettura).

Istruzioni per l'installazione:

Configura VirtualMetric DataStream per Microsoft Sentinel:

Configurare VirtualMetric DataStream per Microsoft Sentinel per l'invio di dati.

Registra l'applicazione in Microsoft Entra ID (Opzionale):

Scegliere il metodo di autenticazione: Opzione A: Usare Azure'identità gestita (scelta consigliata)

Ignorare questo passaggio se si prevede di usare Azure'identità gestita per l'autenticazione.

Azure'identità gestita offre un metodo di autenticazione più sicuro senza gestire le credenziali.

Opzione B: Registrare un'applicazione dell'entità servizio

Apri la pagina Microsoft Entra ID:

Fare clic sul collegamento fornito per aprire la pagina di registrazione Microsoft Entra ID in una nuova scheda.

Assicurarsi di aver eseguito l'accesso con un account con autorizzazioni di amministratore dell'applicazione o amministratore globale .

Crea una nuova applicazione:

Nel portale Microsoft Entra ID selezionare Registrazioni app nel riquadro di spostamento a sinistra.

Fare clic su + Nuova registrazione.

Compilare i campi seguenti:

Nome: Inserisci un nome descrittivo per l'app (ad esempio, "VirtualMetric ASIM Connector").

Tipi di account supportati: scegliere Account solo in questa directory organizzativa (tenant singolo).

Reindirizza URI: Lascia questo vuoto.

Fare clic su Registra per creare l'applicazione.

Copia gli ID della domanda e degli inquilini:

Dopo aver registrato l'app, annotare l'ID applicazione (client) e l'ID directory (tenant) nella pagina Panoramica . Sono necessari per la configurazione VirtualMetric DataStream.

Crea un segreto per il cliente:

Nella sezione Certificati & segreti fare clic su + Nuovo segreto client.

Aggiungere una descrizione (ad esempio, 'VirtualMetric ASIM Secret') e impostare un periodo di scadenza appropriato.

Fare clic su Aggiungi.

Copiare immediatamente il valore del segreto client, perché non verrà visualizzato di nuovo. Archiviarlo in modo sicuro per la configurazione VirtualMetric DataStream.

Assegna i permessi richiesti:

Assegnare i ruoli necessari al metodo di autenticazione scelto (entità servizio o identità gestita) nel gruppo di risorse.

Per l'entità servizio (se è stato completato il passaggio 1):

Naviga al tuo gruppo di risorse:

Aprire il portale di Azure e passare al gruppo di risorse che contiene l'area di lavoro Log Analytics e dove verranno distribuite le regole di raccolta dati.

Assegna il ruolo di Publisher delle metriche di monitoraggio:

Nel gruppo di risorse fare clic su Controllo di accesso (IAM) dal menu a sinistra.

Fare clic su + Aggiungi e selezionare Aggiungi assegnazione di ruolo.

Nella scheda Ruolo cercare e selezionare Monitoring Metrics Publisher (Server di pubblicazione metriche di monitoraggio).

Fare clic su Avanti per passare alla scheda Membri .

In Assegna accesso a selezionare Utente, gruppo o entità servizio.

Fare clic su + Seleziona membri e cercare l'applicazione registrata in base al nome o all'ID client.

Selezionare l'applicazione e fare clic su Seleziona.

Fare clic su Rivedi e assegna due volte per completare l'assegnazione.

Assegnare il ruolo di lettore monitorato:

Ripetere lo stesso processo per assegnare il ruolo Lettore di monitoraggio :

Fare clic su + Aggiungi e selezionare Aggiungi assegnazione di ruolo.

Nella scheda Ruolo cercare e selezionare Lettore di monitoraggio.

Seguire lo stesso processo di selezione dei membri illustrato in precedenza.

Fare clic su Rivedi e assegna due volte per completare l'assegnazione. Per Azure'identità gestita:

Crea o identifica la tua identità gestita:

Se usi l'Identità gestita assegnata al sistema: abilitala sulla tua risorsa Azure (VM, App Service, ecc.).

Se usi l'Identità Gestita assegnata dall'utente: creane uno nel tuo gruppo di risorse se non esiste.

Assegna il ruolo di Publisher delle metriche di monitoraggio:

Seguire la stessa procedura descritta in precedenza, ma nella scheda Membri :

In Assegna accesso a selezionare Identità gestita.

Fare clic su + Seleziona membri , scegliere il tipo di identità gestita appropriato e selezionare l'identità.

Fare clic su Seleziona, quindi rivedi e assegna due volte per completare.

Assegnare il ruolo di lettore monitorato:

Ripetere il processo per assegnare il ruolo Lettore di monitoraggio alla stessa identità gestita. Riepilogo delle autorizzazioni necessarie: i ruoli assegnati offrono le funzionalità seguenti:

Monitoring Metrics Publisher: Scrivi i dati negli endpoint di raccolta dati (DCE) e invia telemetria tramite le Regole di Raccolta Dati (DCR)

Lettore di monitoraggio: Leggi la configurazione del flusso e accedi allo spazio di lavoro di Log Analytics per l'ingestione delle tabelle ASIM

Deploy Azure Infrastructure:

Distribuire le regole DCR (Data Collection Endpoint) e DCR (Data Collection Rules) necessarie per le tabelle Microsoft Sentinel usando il modello arm.

Deploy to Azure:

Fare clic sul pulsante Distribuisci in Azure seguente per distribuire automaticamente l'infrastruttura necessaria:

portal.azure.com

In questo modo si accederà direttamente al portale di Azure per avviare la distribuzione.

Configura i parametri di implementazione:

Nella pagina di distribuzione personalizzata configurare le impostazioni seguenti:

Dettagli del progetto:

Abbonamento: Seleziona il tuo abbonamento Azure dal menu a tendina

Gruppo di risorse: selezionare un gruppo di risorse esistente o fare clic su Crea nuovo per creare una nuova istanza di dettagli:

Regione: Seleziona la regione Azure dove si trova il tuo workspace Log Analytics (ad esempio, Europa occidentale)

Spazio di lavoro: Inserisci il nome del tuo spazio di lavoro Log Analytics

Nome DCE: Fornire un nome all'endpoint di raccolta dati (ad esempio, "vmetric-dce")

Prefisso nome DCR: Fornire un prefisso per le Regole di Raccolta Dati (ad esempio, "vmetric-dcr")

Completare il dispiegamento:

Fare clic su Rivedi e crea per convalidare il modello.

Esaminare i parametri e fare clic su Crea per distribuire le risorse.

Attendere il completamento della distribuzione (in genere richiede 2-5 minuti).

Verifica le risorse distribuite:

Dopo la distribuzione, verificare che siano state create le risorse seguenti:

Data Collection Endpoint (DCE): Check portale di Azure > Monitor > Data Collection Endpoints:

Regole di raccolta dati (DCR): Consulta le regole di raccolta dati di portale di Azure > Monitor>:

Copiare l'URI di inserimento dei log DCE dalla pagina Panoramica di DCE (formato: https://<dce-name>.<region>.ingest.monitor.azure.com)

Copiare l'ID risorsa DCE dalla pagina Panoramica di DCE (formato: /subscriptions/<subscription-id>/resourceGroups/<resource-group-name>/providers/Microsoft.Insights/dataCollectionEndpoints/<dce-name>)

Per ogni DCR, prendere nota dell'ID non modificabile nella pagina Panoramica , che sarà necessario per la configurazione VirtualMetric DataStream.

Configura l'integrazione di VirtualMetric DataStream:

Configurare VirtualMetric DataStream per inviare i dati di telemetria di sicurezza alle tabelle Microsoft Sentinel.

Accedi alla configurazione di VirtualMetric DataStream:

Accedere alla console di gestione VirtualMetric DataStream .

Passare alla sezione Obiettivi di gestione > della flotta .

Fare clic sul pulsante Aggiungi nuova destinazione .

Selezionare Microsoft Sentinel destinazione.

Configura le impostazioni generali:

Nome: Inserisci un nome per il tuo bersaglio (ad esempio, "cus01-ms-sentinel")

Descrizione: Opzionalmente fornire una descrizione della configurazione di destinazione

Configurare l'autenticazione Azure (scegliere in base al passaggio 1): Per l'autenticazione dell'entità servizio:

Managed Identity for Azure: Keep Disabled:

ID inquilino: Inserisci l'ID della directory (tenant) dal Passaggio 1

ID cliente: Inserisci l'ID Application (client) dal Passaggio 1

Segreto client: immettere il valore del segreto client dal passaggio 1 Per Azure'identità gestita:

Identità gestita per Azure: impostata su abilitata:

Configura le proprietà del flusso:

Endpoint: Scegli il tuo metodo di configurazione:

Per la configurazione manuale del flusso di streaming: Entra in scena l'URI di Ingestione dei Logs DCE (formato: https://<dce-name>.<region>.ingest.monitor.azure.com)

Per il rilevamento automatico del flusso di streaming: Inserisci l'ID risorsa DCE (formato: /subscriptions/<subscription-id>/resourceGroups/<resource-group-name>/providers/Microsoft.Insights/dataCollectionEndpoints/<dce-name>)

Flussi: selezionare Auto per il rilevamento automatico dei flussi o configurare flussi specifici, se necessario

Verifica l'ingestione dei dati in Microsoft Sentinel:

Torna al tuo spazio di lavoro Log Analytics:

Eseguire query di esempio sulle tabelle ASIM per verificare che i dati vengano ricevuti:
ASimNetworkSessionLogs | where TimeGenerated > ago(1h) | take 10

Controllare il dashboard panoramica Microsoft Sentinel per le nuove origini dati e i conteggi degli eventi.

VirtualMetric DataStream per Microsoft Sentinel data lake

Supportato da:VirtualMetric

Il connettore VirtualMetric DataStream distribuisce le regole di raccolta dati per inserire i dati di telemetria di sicurezza in Microsoft Sentinel data lake.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

CommonSecurityLog Sì Sì

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

Prerequisiti:

Registrazione App o Azure Managed Identity: VirtualMetric DataStream richiede un'identità Entra ID per autenticare e inviare i log al data lake Microsoft Sentinel. È possibile scegliere tra la creazione di una registrazione dell'app con ID client e segreto client o l'uso di Azure'identità gestita per una sicurezza avanzata senza gestione delle credenziali.

Assegnazione del ruolo del Gruppo di Risorse: L'identità scelta (Registrazione App o Identità gestita) deve essere assegnata al gruppo di risorse che contiene l'endpoint Data Collection con i seguenti ruoli: Monitoring Metrics Publisher (per l'ingestione di log) e Monitoring Reader (per la configurazione del flusso di lettura).

Istruzioni per l'installazione:

Configura VirtualMetric DataStream per il data lake Microsoft Sentinel:

Configurare VirtualMetric DataStream per Microsoft Sentinel data lake per l'invio di dati.

Registra l'applicazione in Microsoft Entra ID (Opzionale):

Scegliere il metodo di autenticazione: Opzione A: Usare Azure'identità gestita (scelta consigliata)

Ignorare questo passaggio se si prevede di usare Azure'identità gestita per l'autenticazione.

Azure'identità gestita offre un metodo di autenticazione più sicuro senza gestire le credenziali.

Opzione B: Registrare un'applicazione dell'entità servizio

Apri la pagina Microsoft Entra ID:

Fare clic sul collegamento fornito per aprire la pagina di registrazione Microsoft Entra ID in una nuova scheda.

Assicurarsi di aver eseguito l'accesso con un account con autorizzazioni di amministratore dell'applicazione o amministratore globale .

Crea una nuova applicazione:

Nel portale Microsoft Entra ID selezionare Registrazioni app nel riquadro di spostamento a sinistra.

Fare clic su + Nuova registrazione.

Compilare i campi seguenti:

Nome: Inserisci un nome descrittivo per l'app (ad esempio, "VirtualMetric ASIM Connector").

Tipi di account supportati: scegliere Account solo in questa directory organizzativa (tenant singolo).

Reindirizza URI: Lascia questo vuoto.

Fare clic su Registra per creare l'applicazione.

Copia gli ID della domanda e degli inquilini:

Dopo aver registrato l'app, annotare l'ID applicazione (client) e l'ID directory (tenant) nella pagina Panoramica . Sono necessari per la configurazione VirtualMetric DataStream.

Crea un segreto per il cliente:

Nella sezione Certificati & segreti fare clic su + Nuovo segreto client.

Aggiungere una descrizione (ad esempio, 'VirtualMetric ASIM Secret') e impostare un periodo di scadenza appropriato.

Fare clic su Aggiungi.

Copiare immediatamente il valore del segreto client, perché non verrà visualizzato di nuovo. Archiviarlo in modo sicuro per la configurazione VirtualMetric DataStream.

Assegna i permessi richiesti:

Assegnare i ruoli necessari al metodo di autenticazione scelto (entità servizio o identità gestita) nel gruppo di risorse.

Per l'entità servizio (se è stato completato il passaggio 1):

Naviga al tuo gruppo di risorse:

Aprire il portale di Azure e passare al gruppo di risorse che contiene l'area di lavoro Log Analytics e dove verranno distribuite le regole di raccolta dati.

Assegna il ruolo di Publisher delle metriche di monitoraggio:

Nel gruppo di risorse fare clic su Controllo di accesso (IAM) dal menu a sinistra.

Fare clic su + Aggiungi e selezionare Aggiungi assegnazione di ruolo.

Nella scheda Ruolo cercare e selezionare Monitoring Metrics Publisher (Server di pubblicazione metriche di monitoraggio).

Fare clic su Avanti per passare alla scheda Membri .

In Assegna accesso a selezionare Utente, gruppo o entità servizio.

Fare clic su + Seleziona membri e cercare l'applicazione registrata in base al nome o all'ID client.

Selezionare l'applicazione e fare clic su Seleziona.

Fare clic su Rivedi e assegna due volte per completare l'assegnazione.

Assegnare il ruolo di lettore monitorato:

Ripetere lo stesso processo per assegnare il ruolo Lettore di monitoraggio :

Fare clic su + Aggiungi e selezionare Aggiungi assegnazione di ruolo.

Nella scheda Ruolo cercare e selezionare Lettore di monitoraggio.

Seguire lo stesso processo di selezione dei membri illustrato in precedenza.

Fare clic su Rivedi e assegna due volte per completare l'assegnazione. Per Azure'identità gestita:

Crea o identifica la tua identità gestita:

Se usi l'Identità gestita assegnata al sistema: abilitala sulla tua risorsa Azure (VM, App Service, ecc.).

Se usi l'Identità Gestita assegnata dall'utente: creane uno nel tuo gruppo di risorse se non esiste.

Assegna il ruolo di Publisher delle metriche di monitoraggio:

Seguire la stessa procedura descritta in precedenza, ma nella scheda Membri :

In Assegna accesso a selezionare Identità gestita.

Fare clic su + Seleziona membri , scegliere il tipo di identità gestita appropriato e selezionare l'identità.

Fare clic su Seleziona, quindi rivedi e assegna due volte per completare.

Assegnare il ruolo di lettore monitorato:

Ripetere il processo per assegnare il ruolo Lettore di monitoraggio alla stessa identità gestita. Riepilogo delle autorizzazioni necessarie: i ruoli assegnati offrono le funzionalità seguenti:

Monitoring Metrics Publisher: Scrivi i dati negli endpoint di raccolta dati (DCE) e invia telemetria tramite le Regole di Raccolta Dati (DCR)

Lettore di monitoraggio: Leggi la configurazione del flusso e accedi allo spazio di lavoro di Log Analytics per l'ingestione delle tabelle ASIM

Deploy Azure Infrastructure:

Distribuire le regole DCR (Data Collection Endpoint) e DCR (Data Collection Rules) necessarie per Microsoft Sentinel tabelle data lake usando il modello arm.

Deploy to Azure:

Fare clic sul pulsante Distribuisci in Azure seguente per distribuire automaticamente l'infrastruttura necessaria:

portal.azure.com

In questo modo si accederà direttamente al portale di Azure per avviare la distribuzione.

Configura i parametri di implementazione:

Nella pagina di distribuzione personalizzata configurare le impostazioni seguenti:

Dettagli del progetto:

Abbonamento: Seleziona il tuo abbonamento Azure dal menu a tendina

Gruppo di risorse: selezionare un gruppo di risorse esistente o fare clic su Crea nuovo per creare una nuova istanza di dettagli:

Regione: Seleziona la regione Azure dove si trova il tuo workspace Log Analytics (ad esempio, Europa occidentale)

Spazio di lavoro: Inserisci il nome del tuo spazio di lavoro Log Analytics

Nome DCE: Fornire un nome all'endpoint di raccolta dati (ad esempio, "vmetric-dce")

Prefisso nome DCR: Fornire un prefisso per le Regole di Raccolta Dati (ad esempio, "vmetric-dcr")

Completare il dispiegamento:

Fare clic su Rivedi e crea per convalidare il modello.

Esaminare i parametri e fare clic su Crea per distribuire le risorse.

Attendere il completamento della distribuzione (in genere richiede 2-5 minuti).

Verifica le risorse distribuite:

Dopo la distribuzione, verificare che siano state create le risorse seguenti:

Data Collection Endpoint (DCE): Check portale di Azure > Monitor > Data Collection Endpoints:

Regole di raccolta dati (DCR): Consulta le regole di raccolta dati di portale di Azure > Monitor>:

Copiare l'URI di inserimento dei log DCE dalla pagina Panoramica di DCE (formato: https://<dce-name>.<region>.ingest.monitor.azure.com)

Copiare l'ID risorsa DCE dalla pagina Panoramica di DCE (formato: /subscriptions/<subscription-id>/resourceGroups/<resource-group-name>/providers/Microsoft.Insights/dataCollectionEndpoints/<dce-name>)

Per ogni DCR, prendere nota dell'ID non modificabile nella pagina Panoramica , che sarà necessario per la configurazione VirtualMetric DataStream.

Configura l'integrazione di VirtualMetric DataStream:

Configurare VirtualMetric DataStream per inviare dati di telemetria di sicurezza a Microsoft Sentinel tabelle data lake.

Accedi alla configurazione di VirtualMetric DataStream:

Accedere alla console di gestione VirtualMetric DataStream .

Passare alla sezione Obiettivi di gestione > della flotta .

Fare clic sul pulsante Aggiungi nuova destinazione .

Selezionare Microsoft Sentinel destinazione.

Configura le impostazioni generali:

Nome: Inserisci un nome per il tuo bersaglio (ad esempio, "cus01-ms-sentinel")

Descrizione: Opzionalmente fornire una descrizione della configurazione di destinazione

Configurare l'autenticazione Azure (scegliere in base al passaggio 1): Per l'autenticazione dell'entità servizio:

Managed Identity for Azure: Keep Disabled:

ID inquilino: Inserisci l'ID della directory (tenant) dal Passaggio 1

ID cliente: Inserisci l'ID Application (client) dal Passaggio 1

Segreto client: immettere il valore del segreto client dal passaggio 1 Per Azure'identità gestita:

Identità gestita per Azure: impostata su abilitata:

Configura le proprietà del flusso:

Endpoint: Scegli il tuo metodo di configurazione:

Per la configurazione manuale del flusso di streaming: Entra in scena l'URI di Ingestione dei Logs DCE (formato: https://<dce-name>.<region>.ingest.monitor.azure.com)

Per il rilevamento automatico del flusso di streaming: Inserisci l'ID risorsa DCE (formato: /subscriptions/<subscription-id>/resourceGroups/<resource-group-name>/providers/Microsoft.Insights/dataCollectionEndpoints/<dce-name>)

Flussi: selezionare Auto per il rilevamento automatico dei flussi o configurare flussi specifici, se necessario

Verifica l'ingestione dei dati nel data lake Microsoft Sentinel:

Torna al tuo spazio di lavoro Log Analytics:

Eseguire query di esempio sulle tabelle ASIM per verificare che i dati vengano ricevuti:
ASimNetworkSessionLogs | where TimeGenerated > ago(1h) | take 10

Controllare il dashboard panoramica Microsoft Sentinel per le nuove origini dati e i conteggi degli eventi.

Proxy del Direttore VirtualMetric

Supportato da:VirtualMetric

VirtualMetric Director Proxy distribuisce un'app per le funzioni Azure per collegare VirtualMetric DataStream in modo sicuro con i servizi Azure, tra cui Microsoft Sentinel, Azure Esplora dati e archiviazione Azure.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

CommonSecurityLog Sì Sì

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

Prerequisiti:

Azure Function App: Una Azure Function App deve essere distribuita per ospitare il Director Proxy. Richiede autorizzazioni di lettura, scrittura ed eliminazione per le risorse Microsoft.Web/sites all'interno del gruppo di risorse per creare e gestire l'app per le funzioni.

Configurazione di VirtualMetric DataStream: Devi configurare VirtualMetric DataStream con credenziali di autenticazione per connetterti al Director Proxy. Il proxy director funge da ponte sicuro tra VirtualMetric DataStream e i servizi di Azure.

Target Azure Services: Configura i tuoi servizi Azure target come Microsoft Sentinel Data Collection Endpoint, cluster Esplora dati di Azure o account Archiviazione di Azure dove il Proxy del Director inoltro i dati.

Istruzioni per l'installazione:

Implementa il proxy VirtualMetric Director:

Distribuire l'app per le funzioni Azure che funge da proxy sicuro tra VirtualMetric DataStream e Microsoft Sentinel.

Prerequisiti e Ordine di Schieramento:

Ordine di distribuzione consigliato:

Per una configurazione ottimale, considerare prima di tutto la distribuzione dei connettori di destinazione:

Distribuisci Microsoft Sentinel Connector: Distribuisci prima il VirtualMetric DataStream per Microsoft Sentinel Connector per creare gli endpoint e le regole di raccolta dati richiesti.

Distribuire Microsoft Sentinel connettore data lake (facoltativo): se si usa Microsoft Sentinel tabelle data lake, distribuire VirtualMetric DataStream per Microsoft Sentinel connettore data lake.

Distribuire il proxy director (questo passaggio): il proxy director può quindi essere configurato con le destinazioni di Microsoft Sentinel. Nota: Questo ordine è consigliato ma non obbligatorio. È possibile distribuire il proxy director in modo indipendente e configurarlo con le destinazioni in un secondo momento.

Deploy Azure Function App:

Distribuire VirtualMetric Director Proxy Azure Function App usando il pulsante Distribuisci in Azure.

Deploy to Azure:

Fare clic sul pulsante Distribuisci in Azure seguente per distribuire l'app per le funzioni:

portal.azure.com

Configura i parametri di implementazione:

Sottoscrizione: Selezionare la sottoscrizione Azure

Gruppo di risorse: Scegli lo stesso gruppo di risorse del tuo workspace Microsoft Sentinel oppure creane uno nuovo

Regione: Seleziona la regione Azure (dovrebbe corrispondere alla tua area di lavoro Microsoft Sentinel)

Nome dell'app funzione: Fornire un nome unico all'App Funzione (ad esempio, "vmetric-director-proxy")

Dispiegamento completo:

Fare clic su Rivedi e crea per convalidare i parametri

Fare clic su Crea per distribuire l'app per le funzioni

Attendere il completamento della distribuzione (in genere 3-5 minuti)

Si noti l'URL dell'app per le funzioni: https://<function-app-name>.azurewebsites.net

Configura i permessi dell'app funzionale:

Assegnare le autorizzazioni necessarie all'identità gestita dell'app per le funzioni per accedere alle risorse Microsoft Sentinel.

Abilita System-Assigned Identità Gestita:

Passare all'app per le funzioni distribuita nel portale di Azure

Passare a Identità in Impostazioni

Attiva /Disattiva stato per l'identità assegnata dal sistema

Fare clic su Salva e confermare

Naviga al Gruppo Risorse:

Passare al gruppo di risorse contenente l'area di lavoro Microsoft Sentinel e gli endpoint di raccolta dati

Assegna i ruoli richiesti:

Controllo dell'Open Access (IAM):

Clicca + Aggiungi > assegnazione ruolo:

Assegnare i ruoli seguenti all'identità gestita assegnata dal sistema dell'app per le funzioni:

Monitoring Metrics Publisher: Per inviare dati agli endpoint di raccolta dati

Lettore di monitoraggio: Per la lettura della configurazione delle regole di raccolta dati

Seleziona l'identità dell'app funzione:

Nella scheda Soci, seleziona Identità gestita:

Scegliere App per le funzioni e selezionare l'app per le funzioni proxy director distribuita

Completare l'assegnazione di ruolo

Ottenere il token di accesso all'app per le funzioni (facoltativo per l'autenticazione della chiave funzione):

Passare all'app per le funzioni

Passare a Chiavi app in Funzioni

Copiare la chiave host predefinita o creare una nuova chiave funzione per l'autenticazione

Configura l'integrazione di VirtualMetric DataStream:

Configurare VirtualMetric DataStream per inviare dati di telemetria di sicurezza a Microsoft Sentinel tramite il proxy director.

Accedi alla configurazione di VirtualMetric DataStream:

Accedere alla console di gestione VirtualMetric DataStream

Passare alla sezione Destinazioni

Clicca su Microsoft Sentinel Targets:

Fare clic su Aggiungi nuova destinazione o modificare una destinazione Microsoft Sentinel esistente

Configura le impostazioni generali:

Nome: Inserisci un nome per il tuo bersaglio (ad esempio, "sentinella con proxy")

Descrizione: Opzionalmente fornire una descrizione della configurazione di destinazione

Configurare l'autenticazione Azure: per l'autenticazione dell'entità servizio:

Managed Identity for Azure: Keep Disabled:

ID inquilino: Inserisci il tuo ID tenant Azure Active Directory

ID cliente: Inserisci l'ID della tua domanda principale di servizio

Segreto client: immettere il segreto client dell'entità servizio per Azure'identità gestita:

Identità gestita per Azure: impostata su abilitata:

Configurare il proxy director (nella scheda Proprietà Azure):

Indirizzo Endpoint: Inserisci l'URL dell'app funzione dal Passo 2 (formato: https://<function-app-name>.azurewebsites.net)

Token di accesso: Inserisci la chiave host dell'app funzione dal Passo 3 (opzionale se usi Identità gestita)

Configura le proprietà del flusso:

Endpoint: Entra in scena l'URI di Ingestione dei Logs DCE (formato: https://<dce-name>.<region>.ingest.monitor.azure.com)

Flussi: selezionare Auto per il rilevamento automatico dei flussi o configurare flussi specifici, se necessario

Verifica l'ingestione dei dati in Microsoft Sentinel:

Torna al tuo spazio di lavoro Log Analytics:

Eseguire query di esempio per verificare che i dati vengano ricevuti:
CommonSecurityLog | where TimeGenerated > ago(1h) | take 10

Controllare il dashboard panoramica Microsoft Sentinel per le nuove origini dati e i conteggi degli eventi

VMRayThreatIntelligence (usando Funzioni di Azure)

Supportato da:VMRay

Il connettore VMRayThreatIntelligence genera e alimenta automaticamente l'intelligence sulle minacce per tutti gli invii a VMRay, migliorando il rilevamento delle minacce e la risposta agli eventi imprevisti in Sentinel. Questa integrazione senza problemi consente ai team di affrontare in modo proattivo le minacce emergenti.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

ThreatIntelligenceIndicator Sì No

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

Prerequisiti:

Sottoscrizione Azure: L'abbonamento Azure con ruolo proprietario è necessario per registrare un'applicazione in Azure Active Directory() e assegnare il ruolo di contributore all'app nel gruppo risorse.

Microsoft. Permessi web/siti: Sono necessari permessi di lettura e scrittura per Funzioni di Azure per creare una Function App. Per altre informazioni, vedere Funzioni di Azure.

Credenziali/permessi API REST:La chiave API VMRay è richiesta.

Istruzioni per l'installazione:

NOTA: Questo connettore usa Funzioni di Azure per connettersi all'API VMRay per eseguire il pull di IIC VMRay Threat in Microsoft Sentinel. Ciò potrebbe comportare costi aggiuntivi per l'inserimento dei dati e per l'archiviazione dei dati nei costi di Archiviazione BLOB di Azure. Per informazioni dettagliate, controllare la pagina dei prezzi Funzioni di Azure e Archiviazione BLOB di Azure pagina dei prezzi.

(Passaggio facoltativo) Archiviare in modo sicuro le chiavi o i token di autorizzazione api e dell'area di lavoro in Azure Key Vault. Azure Key Vault fornisce un meccanismo sicuro per archiviare e recuperare i valori delle chiavi. Seguire queste istruzioni per usare Azure Key Vault con un'app per le funzioni Azure.

ID dello spazio di lavoro:<variable value provided at install time>

Chiave primaria:<variable value provided at install time>

Implementa il connettore di intelligence sulle minacce VMRay:

Assicurarsi di avere tutti i prerequisiti necessari: ID client, ID tenant, segreto client, chiave API VMRay e URL di base VMRay.

Per ottenere l'ID client, il segreto client e l'ID tenant, seguire queste istruzioni

Per il piano a consumo Flex, fare clic sul pulsante Distribuisci in Azure di seguito:

aka.ms

Per il piano Premium, fare clic sul pulsante Distribuisci in Azure di seguito:

aka.ms.

VMware Carbon Black Cloud tramite AWS S3 (tramite Codeless Connector Framework)

Supportato da:Microsoft

Il connettore dati VMware Carbon Black Cloud tramite AWS S3 offre la possibilità di inserire watchlist, avvisi, autenticazione ed endpoint tramite AWS S3 e di trasmetterli alle tabelle normalizzate ASIM. Il connettore consente il recupero degli eventi per valutare i potenziali rischi per la sicurezza, monitorare la collaborazione e diagnosticare e risolvere i problemi di configurazione.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

CarbonBlack_Alerts_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Ambiente: Devi avere definite e configurate le seguenti risorse AWS: S3, Simple Queue Service (SQS), ruoli IAM e politiche di permessi

Ambiente: Devi avere un account Carbon Black e i permessi necessari per creare un bucket Dati Inoltrato ad AWS S3. Per altre informazioni, vedere Carbon Black Data Forwarder Docs

Istruzioni per l'installazione:

Implementazione di AWS CloudFormation

Per configurare l'accesso in AWS, sono stati generati due modelli per configurare l'ambiente AWS per inviare i log dal bucket S3 all'area di lavoro Log Analytics.

Per ogni modello, creare Stack in AWS:

Passare ad AWS CloudFormation Stacks

In AWS scegliere l'opzione "Carica un file modello" e fare clic su "Scegli file". Selezionare il modello scaricato

Fare clic su "Avanti" e su "Crea stack"

Modello 1: Implementazione dell'autenticazione OpenID Connect:<variable value provided at install time>

Modello 2: Implementazione delle risorse AWS Carbon Black:<variable value provided at install time>

Quando si distribuisce il modello "Modello 2: distribuzione di risorse AWS Carbon Black", è necessario specificare alcuni parametri

Nome della pila: Un nome di stack a tua scelta (apparirà nell'elenco degli stack in AWS)

Nome del ruolo: Deve iniziare con il prefisso 'OIDC_', ha un valore predefinito.

Nome del secchio: Nome del secchio a tua scelta, se hai già un secchio esistente, incolla qui il nome

CreateNewBucket: Se hai già un bucket esistente che desideri usare per questo connettore, seleziona 'false' per questa opzione, altrimenti un bucket con il nome inserito in 'Nome Bucket' verrà creato da questo stack.

Regione: Questa è la regione delle risorse AWS basate sulla mappatura di Carbon Black - per maggiori informazioni consulta la documentazione di Carbon Black.

SQSQueuePrefisso: La pila crea più code, questo prefisso verrà aggiunto a ciascuna di esse.

WorkspaceID: Usa l'ID dello spazio di lavoro fornito qui sotto.

ID dello spazio di lavoro:<variable value provided at install time>

Al termine della distribuzione, passare alla scheda "Outputs" (Output), vedere: Role ARN, S3 bucket e 4 risorse SQS create. Queste risorse saranno necessarie nel passaggio successivo durante la configurazione dei data forwarder di Carbon Black e del connettore dati.

Configurazione del server d'inoltro dati Carbon Black

Dopo aver creato tutte le risorse AWS, è necessario configurare Carbon Black per inoltrare gli eventi ai bucket AWS per Microsoft Sentinel inserirli. Seguire la documentazione di Carbon Black su come creare un 'Data Forwarders' Usare la prima opzione consigliata. Quando viene richiesto di immettere un nome di bucket, usare il bucket creato nel passaggio precedente.

Sarà necessario aggiungere 'prefisso S3' per ogni server d'inoltro. Usare questo mapping:

Tipo evento Prefisso S3

Avviso carbon-black-cloud-forwarder/Alerts

Eventi di autenticazione carbon-black-cloud-forwarder/Auth

Eventi endpoint carbon-black-cloud-forwarder/Endpoint

Impatto della lista di controllo carbon-black-cloud-forwarder/Watchlist

Testare il server d'inoltro dati (facoltativo)

Per verificare che il server d'inoltro dati sia configurato come previsto, nel portale di Carbon Black cercare il server d'inoltro dati appena creato e fare clic sul pulsante "Inoltro di test" nella colonna "Azioni", verrà generato un file "HealthCheck" nel bucket S3. Verrà visualizzato immediatamente.

Connettere nuovi agenti di raccolta

Per abilitare AWS S3 per Microsoft Sentinel, fare clic sul pulsante "Aggiungi nuovo agente di raccolta", compilare le informazioni necessarie, il ruolo ARN e l'URL SQS vengono creati nel passaggio 1, si noti che sarà necessario immettere l'URL SQS corretto e selezionare il tipo di evento appropriato dall'elenco a discesa, ad esempio se si desidera inserire eventi di avviso, sarà necessario copiare l'URL sqs avvisi e selezionare il tipo di evento "Avvisi" nell'elenco a discesa

Griglia connettori dati (configurare nel portale)

VMware Workspace ONE (tramite Il framework del connettore senza codice)

Supportato da:Microsoft

Il connettore VMware Workspace ONE inserisce l'inventario dei dispositivi registrati e i dettagli dell'applicazione installati dalla piattaforma Workspace ONE Unified Endpoint Management (UEM) in Microsoft Sentinel. Supporta il rilevamento della conformità dei dispositivi, il rilevamento degli endpoint non conformi e l'individuazione di applicazioni non autorizzate nei dispositivi gestiti iOS, Android, Windows e macOS.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

VMwareWorkspaceOneDevices No No

VMwareWorkspaceOneDeviceApps No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Istruzioni per l'installazione:

Collega VMware Workspace ONE a Microsoft Sentinel:

Prerequisiti

Prima di connettersi, verificare:

Si dispone di un tenant UEM (Omnissa) attivo di VMware Workspace ONE

Hai accesso amministratore per creare un client OAuth in Gruppi & Impostazioni -> Configurazioni -> Gestione client OAuth:

Il ruolo OAuth Client deve includere: REST API Dispositivi Reader, Dispositivi MDM API REST, Applicazioni REST API Read:

Configurazione dell'autenticazione

Creare un client OAuth nell'area di lavoro ONE UEM:

Passare a Gruppi e impostazioni -> Configurazioni e cercare OAuth

Seleziona OAuth Gestione Client -> clicca su Aggiungi:

Inserisci un nome (ad esempio, MicrosoftSentinelConnector), assegna un ruolo con permessi di lettura di dispositivo/app, imposta Stato su Abilitato, poi clicca su Salva:

Copiare immediatamente l'ID client e il segreto client . Non possono essere recuperati dopo la chiusura della finestra di dialogo

URL di autenticazione per area

Selezionare l'URL di autenticazione corrispondente all'area data center del tenant di Workspace ONE:

Area geografica URL di autenticazione

Stati Uniti/Canada https://na.uemauth.vmwservices.com

Regno Unito/Germania https://emea.uemauth.vmwservices.com

Australia/APAC https://apac.uemauth.vmwservices.com

Ambiente UAT https://uat.uemauth.vmwservices.com

Griglia connettori dati (configurare nel portale)

Eventi DNS di Windows tramite AMA

Supportato da:Microsoft Corporation

Il connettore di log DNS di Windows consente di filtrare e trasmettere facilmente tutti i log di analisi dai server DNS Windows all'area di lavoro Microsoft Sentinel usando l'agente di monitoraggio Azure (AMA). La presenza di questi dati in Microsoft Sentinel consente di identificare i problemi e le minacce alla sicurezza, ad esempio:

Tentativo di risolvere nomi di dominio dannosi.

Record di risorse non aggiornati.

I nomi di dominio e i client DNS loquaci vengono spesso sottoposti a query.

Attacchi eseguiti sul server DNS.

È possibile ottenere le informazioni dettagliate seguenti sui server DNS Windows da Microsoft Sentinel:

Tutti i log centralizzati in un'unica posizione.

Richiedere il caricamento nei server DNS.

Errori di registrazione DNS dinamici.

Gli eventi DNS di Windows sono supportati da Advanced SIEM Information Model (ASIM) e trasmettono i dati nella tabella ASimDnsActivityLogs. Altre informazioni.

Per altre informazioni, vedere la documentazione Microsoft Sentinel.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

ASimDnsActivityLogs Sì Sì

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

firewall di Windows

Supportato da:Microsoft Corporation

Windows Firewall è un'applicazione di Microsoft Windows che filtra le informazioni provenienti dal sistema da Internet e blocca i programmi potenzialmente dannosi. Il software impedisce alla maggior parte dei programmi di comunicare attraverso il firewall. Gli utenti aggiungono semplicemente un programma all'elenco dei programmi consentiti per consentire la comunicazione tramite il firewall. Quando si usa una rete pubblica, Windows Firewall può anche proteggere il sistema bloccando tutti i tentativi non richiesti di connettersi al computer. Per altre informazioni, vedere la documentazione Microsoft Sentinel.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

Supporto delle regole di raccolta dati: Attualmente non supportato

Eventi di Windows Firewall tramite AMA

Supportato da:Microsoft Corporation

Windows Firewall è un'applicazione di Microsoft Windows che filtra le informazioni provenienti dal sistema da Internet e blocca i programmi potenzialmente dannosi. Il software firewall impedisce alla maggior parte dei programmi di comunicare tramite il firewall. Per trasmettere in streaming i log dell'applicazione Windows Firewall raccolti dai computer, usare l'agente di monitoraggio Azure (AMA) per trasmettere tali log all'area di lavoro Microsoft Sentinel.

Un endpoint di raccolta dati configurato deve essere collegato alla regola di raccolta dati (DCR) creata per la raccolta dei log da parte dell'AMA. Per questo connettore, un dce viene creato automaticamente nella stessa area dell'area di lavoro. Se si usa già un controller di dominio archiviato nella stessa area, è possibile modificare il controller di dominio creato predefinito e usare quello esistente tramite l'API. I controller di dominio possono trovarsi nelle risorse con il prefisso SentinelDCE nel nome della risorsa.

Per altre informazioni, vedere gli articoli seguenti:

Endpoint di raccolta dati in Monitoraggio Azure

documentazione di Microsoft Sentinel

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

Supporto delle regole di raccolta dati: Attualmente non supportato

Eventi inoltrati di Windows

Supportato da:Microsoft Corporation

È possibile trasmettere in streaming tutti i log wef (Windows Event Forwarding) dai server Windows connessi all'area di lavoro Microsoft Sentinel usando Monitoraggio di Azure Agent (AMA). Questa connessione consente di visualizzare i dashboard, creare avvisi personalizzati e migliorare l'analisi. In questo modo è possibile ottenere maggiori informazioni sulla rete dell'organizzazione e migliorare le funzionalità delle operazioni di sicurezza. Per altre informazioni, vedere la documentazione Microsoft Sentinel.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

WindowsEvent Sì Sì

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

eventi Sicurezza di Windows tramite AMA

Supportato da:Microsoft Corporation

È possibile trasmettere tutti gli eventi di sicurezza dai computer Windows connessi all'area di lavoro Microsoft Sentinel usando l'agente Di Windows. Questa connessione consente di visualizzare i dashboard, creare avvisi personalizzati e migliorare l'analisi. In questo modo è possibile ottenere maggiori informazioni sulla rete dell'organizzazione e migliorare le funzionalità delle operazioni di sicurezza. Per altre informazioni, vedere la documentazione Microsoft Sentinel.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

SecurityEvent Sì Sì

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

WithSecure Elements (CCF)

Supportato da:WithSecure

Eventi di sicurezza WithSecure Elements assorbiti tramite Codeless Connector Framework (CCF) di Microsoft Sentinel - una distribuzione completamente SaaS senza Azure Function, Account Storage o Key Vault da gestire.

Il connettore interroga l'API di eventi di sicurezza di WithSecure Elements e memorizza gli eventi normalizzati nella WsSecurityEvents_CL tabella Log Analytics.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

WsSecurityEvents_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Credenziali client API di WithSecure Elements: Sono richieste credenziali per il cliente. Consulta la guida utente per i dettagli.

Istruzioni per l'installazione:

Credi credenziali API Create WithSecure Elements

Seguire la guida dell'utente per creare le credenziali dell'API Elements. Salva l'ID del client e il segreto del client in un luogo sicuro.

Connettiti con Secure Elements a Microsoft Sentinel

Fornisci l'URL dell'API di Elements insieme all'id client e al segreto del client creato nel passaggio precedente, poi clicca su Collega per iniziare a ingerire eventi.

URL API Elements:https://api.connect.withsecure.com

Motore (opzionale): (predefinito)

Gruppo motore (opzionale): (predefinito)

API WithSecure Elements (funzione Azure)

Supportato da:WithSecure

WithSecure Elements è la piattaforma unificata di cyber security basata sul cloud progettata per ridurre i rischi, la complessità e l'inefficienza.

Elevare la sicurezza dagli endpoint alle applicazioni cloud. Armarsi contro ogni tipo di minaccia informatica, da attacchi mirati a ransomware zero-day.

WithSecure Elements combina potenti funzionalità di sicurezza predittive, preventive e reattive, tutte gestite e monitorate tramite un unico centro sicurezza. La nostra struttura modulare e i modelli di determinazione dei prezzi flessibili offrono la libertà di evolversi. Grazie alla nostra esperienza e alla nostra conoscenza, sarai sempre dotato di potere e non sarai mai solo.

Con Microsoft Sentinel integrazione, è possibile correlare i dati degli eventi di sicurezza della soluzione WithSecure Elements con i dati di altre origini, consentendo una panoramica completa dell'intero ambiente e una reazione più rapida alle minacce.

Con questa soluzione Azure funzione viene distribuita nel tenant, eseguendo periodicamente il polling per gli eventi di sicurezza WithSecure Elements.

Per altre informazioni, visitare il sito Web all'indirizzo: https://www.withsecure.com.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

WsSecurityEvents_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Microsoft. Permessi web/siti: Sono necessari permessi di lettura e scrittura per Funzioni di Azure per creare una Function App. Per altre informazioni, vedere Funzioni di Azure.

Credenziali client API di WithSecure Elements: Sono richieste credenziali per il cliente. Per altre informazioni, vedere la documentazione.

Istruzioni per l'installazione:

1. Crea credenziali API WithSecure Elements:

Seguire la guida dell'utente per creare le credenziali dell'API Elements. Salvare le credenziali in un luogo sicuro.

2. Crea un'applicazione Microsoft Entra:

Creare nuove Microsoft Entra'applicazione e le credenziali. Seguire le istruzioni e archiviare i valori di ID directory (tenant), ID oggetto, ID applicazione (client) e segreto client (dal campo delle credenziali client). Ricordarsi di archiviare il segreto client in un luogo sicuro.

3. Deploy Function App:

NOTA: Questo connettore usa Funzioni di Azure per eseguire il pull dei log da Elementi WithSecure. Ciò potrebbe comportare costi aggiuntivi per l'inserimento di dati. Per informazioni dettagliate, controllare la pagina dei prezzi Funzioni di Azure.

(Passaggio facoltativo) Archiviare in modo sicuro le credenziali client Microsoft Entra e le credenziali client dell'API WithSecure Elements in Azure Key Vault. Azure Key Vault fornisce un meccanismo sicuro per archiviare e recuperare i valori delle chiavi. Seguire queste istruzioni per usare Azure Key Vault con un'app per le funzioni Azure.

IMPORTANTE: Prima di distribuire il connettore WithSecure Elements, è possibile copiare il nome dell'area di lavoro (che può essere copiato dal seguente), i dati da Microsoft Entra (ID directory (tenant), ID oggetto, ID applicazione (client) e segreto client), nonché le credenziali client di WithSecure Elements, immediatamente disponibili.

Nome dello spazio di lavoro:<variable value provided at install time>

Distribuire tutte le risorse relative al connettore:

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms

Selezionare la sottoscrizione, il gruppo di risorse e la località preferiti.

Immettere l'ID area di lavoro, Entra ID client, Entra segreto client, Entra ID tenant, l'ID client dell'API Elements, il segreto client dell'API Elements.

Nota: se si usano Azure Key Vault segreti per uno dei valori precedenti, usare lo@Microsoft.KeyVault(SecretUri={Security Identifier})schema al posto dei valori stringa. Per altre informazioni, vedere Key Vault documentazione di riferimento. 4. È anche possibile compilare campi facoltativi: URL API Elements, Motore, Gruppo di motori. Usare il valore predefinito dell'URL dell'API Elements a meno che non si disponga di un caso speciale. Il motore e il gruppo di motore eseguono il mapping ai parametri di richiesta degli eventi di sicurezza, compilare tali parametri se si è interessati solo agli eventi di un motore o di un gruppo di motori specifico, nel caso in cui si desideri ricevere tutti gli eventi di sicurezza lasciare i campi con i valori predefiniti. 5. Contrassegnare la casella di controllo etichettata Accetto i termini e le condizioni indicati sopra. 6. Fare clic su Acquista per distribuire.

Wiz (usando Funzioni di Azure)

Supportato da:Wiz

Il connettore Wiz consente di inviare facilmente i problemi di Wiz, i risultati della vulnerabilità e i log di controllo a Microsoft Sentinel.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

union isfuzzy=true (WizIssues_CL),(WizIssuesV2_CL) No No

union isfuzzy=true (WizVulnerabilities_CL),(WizVulnerabilitiesV2_CL) No No

union isfuzzy=true (WizAuditLogs_CL),(WizAuditLogsV2_CL) No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Microsoft. Permessi web/siti: Sono necessari permessi di lettura e scrittura per Funzioni di Azure per creare una Function App. Per altre informazioni, vedere Funzioni di Azure.

Credenziali dell'Account Wiz Service: Assicurati di avere l'ID client e il client secret dell'account Wiz Service, l'URL dell'endpoint API e l'URL dell'autenticazione. Le istruzioni sono disponibili nella documentazione di Wiz.

Istruzioni per l'installazione:

NOTA: Questo connettore: usa Funzioni di Azure per connettersi all'API Wiz per eseguire il pull di problemi Wiz, risultati della vulnerabilità e log di controllo in Microsoft Sentinel. Ciò potrebbe comportare costi aggiuntivi per l'inserimento di dati. Per informazioni dettagliate, controllare la pagina dei prezzi Funzioni di Azure. Crea un Azure Key Vault con tutti i parametri necessari archiviati come segreti.

PASSO 1 - Ottieni le tue credenziali Wizard:

Seguire le istruzioni nella documentazione di Wiz per ottenere le credenziali erquired.

PASSO 2 - Distribuire il connettore e la funzione Azure associata:

IMPORTANTE: Prima di distribuire Il connettore Wiz, fare in modo che l'ID area di lavoro e la chiave primaria dell'area di lavoro (che possono essere copiati dal seguente) e le credenziali Wiz del passaggio precedente.

ID dello spazio di lavoro:<variable value provided at install time>

Chiave primaria:<variable value provided at install time>

Opzione 1: Distribuire utilizzando il modello Azure Resource Manager (ARM):

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms

Selezionare la sottoscrizione, il gruppo di risorse e la località preferiti.

Immettere i parametri seguenti:

Scegliere KeyVaultName e FunctionName per le nuove risorse

Inserisci le seguenti credenziali Wiz dal passo 1: WizAuthUrl, WizEndpointUrl, WizClientId e WizClientSecret:

Inserite le credenziali Workspace AzureLogsAnalyticsWorkspaceId e AzureLogAnalyticsWorkspaceSharedKey:

Scegliere i tipi di dati Wiz da inviare a Microsoft Sentinel, scegliere almeno uno tra Problemi di Wiz, Risultati della vulnerabilità e Log di controllo.

(facoltativo) seguire la documentazione di Wiz per aggiungere IssuesQueryFilter, VulnerbailitiesQueryFilter e AuditLogsQueryFilter.

Contrassegnare la casella di controllo con l'etichetta Accetto i termini e le condizioni indicati sopra.

Fare clic su Acquista per distribuire.

Opzione 2: Distribuzione manuale della funzione Azure:

Seguire la documentazione di Wiz per distribuire manualmente il connettore.

Attività utente workday

Supportato da:Microsoft Corporation

Il connettore dati Attività utente workday offre la possibilità di inserire i log attività utente dall'API Workday in Microsoft Sentinel.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

ASimAuditEventLogs Sì Sì

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

Prerequisiti:

Accesso all'API Workday User Activity: È necessario accedere all'API di attività utente Workday tramite Oauth. Il client API deve avere l'ambito: Sistema e deve essere autorizzato da un account con autorizzazioni di controllo di sistema.

Istruzioni per l'installazione:

Connettiti a Workday per iniziare a raccogliere i log delle attività degli utenti in Microsoft Sentinel:

In Workday accedere all'attività "Modifica configurazione tenant - Sicurezza", verificare la sezione "Impostazioni di OAuth 2.0" e verificare che la casella di controllo "OAuth 2.0 Clients Enabled" sia selezionata.

In Workday accedere all'attività "Modifica configurazione tenant - Sistema", verificare la sezione "Registrazione attività utente" e verificare che la casella di controllo "Abilita registrazione attività utente" sia selezionata.

In Workday accedere all'attività "Registra client API".

Definire il nome del client, selezionare "Tipo di concessione client": "Concessione del codice di autorizzazione" e quindi selezionare "Tipo di token di accesso": "Bearer"

Immettere l'"URI di reindirizzamento" disponibile nel modulo seguente

Nella sezione "Ambito (aree funzionali)", selezionare "Sistema" e fare clic su OK nella parte inferiore

Copiare l'ID client e il segreto client prima di uscire dalla pagina e archiviarli in modo sicuro.

Nella pagina del connettore Sentinel specificare gli endpoint necessari per token, autorizzazione e log attività utente, insieme all'ID client e al segreto client del passaggio precedente. Fare quindi clic su "Connetti".

Verrà visualizzato un popup workday per completare l'autenticazione OAuth2 e l'autorizzazione del client API. In questo caso è necessario specificare le credenziali per l'account Workday con autorizzazioni di controllo di sistema in Workday (può essere l'account Workday o l'utente del sistema di integrazione).

Al termine, il messaggio verrà visualizzato per autorizzare il client API

Endpoint del token: (https://wd2-impl-services1.workday.com/ccx/oauth2/{tenantName}/token)

Endpoint di autorizzazione: (https://impl.workday.com/{tenantName}/authorize)

Endpoint dei Log Attività Utente, termina con /activityLogging : (https://wd2-impl-services1.workday.com/ccx/api/privacy/v1/{tenantName}/activityLogging)

Workplace da Facebook (usando Funzioni di Azure)

Supportato da:Microsoft Corporation

Il connettore dati Workplace offre la possibilità di inserire eventi comuni di Workplace in Microsoft Sentinel tramite webhook. I webhook consentono alle app di integrazione personalizzate di sottoscrivere eventi in Workplace e ricevere aggiornamenti in tempo reale. Quando si verifica una modifica in Workplace, una richiesta HTTPS POST con informazioni sull'evento viene inviata a un URL del connettore dati di callback. Per altre informazioni, vedere la documentazione dei webhook . Il connettore consente il recupero degli eventi per valutare i potenziali rischi per la sicurezza, monitorare la collaborazione e diagnosticare e risolvere i problemi di configurazione.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

Workplace_Facebook_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Microsoft. Permessi web/siti: Sono necessari permessi di lettura e scrittura per Funzioni di Azure per creare una Function App. Per altre informazioni, vedere Funzioni di Azure.

Credenziali/permessi dei Webhook: WorkplaceAppSecret, WorkplaceVerifyToken, Callback URL sono necessari per i Webhook funzionanti. Per altre informazioni sulla configurazione dei webhook e sulla configurazione delle autorizzazioni, vedere la documentazione.

Istruzioni per l'installazione:

NOTA: Questo connettore dati usa Funzioni di Azure basato sul trigger HTTP per attendere le richieste POST con i log per eseguire il pull dei log in Microsoft Sentinel. Ciò potrebbe comportare costi aggiuntivi per l'inserimento di dati. Per informazioni dettagliate, controllare la pagina dei prezzi Funzioni di Azure.

(Passaggio facoltativo) Archiviare in modo sicuro le chiavi o i token di autorizzazione api e dell'area di lavoro in Azure Key Vault. Azure Key Vault fornisce un meccanismo sicuro per archiviare e recuperare i valori delle chiavi. Seguire queste istruzioni per usare Azure Key Vault con un'app Funzioni di Azure.

NOTA: Questo connettore dati dipende da un parser basato su una funzione Kusto per funzionare come previsto che viene distribuito come parte della soluzione. Per visualizzare il codice della funzione in Log Analytics, aprire il pannello Log Analytics/Microsoft Sentinel Log, fare clic su Funzioni e cercare l'alias WorkplaceFacebook e caricare il codice della funzione oppure fare clic qui nella seconda riga della query, immettere i nomi host dei dispositivi workplace Facebook e qualsiasi altro identificatore univoco per il logstream. L'attivazione della funzione richiede in genere 10-15 minuti dopo l'installazione/aggiornamento della soluzione.

PASSAGGIO 1 - Passaggi di configurazione per Workplace

Seguire le istruzioni per configurare i webhook.

Accedere all'area di lavoro con le credenziali utente Amministrazione.

Nel pannello Amministrazione fare clic su Integrazioni.

Nella vista Tutte le integrazioni, clicca su Crea integrazione personalizzata:

Immettere il nome e la descrizione e fare clic su Crea.

Nel pannello Dettagli integrazione mostra il segreto e la copia dell'app .

Nel pannel Autorizzazioni di integrazione impostare tutte le autorizzazioni di lettura. Per informazioni dettagliate, vedere la pagina delle autorizzazioni .

Passare ora al PASSAGGIO 2 per seguire i passaggi elencati nell'opzione 1 o 2 per distribuire la funzione Azure.

Immettere i parametri richiesti e immettere anche un token di scelta. Copiare questo token/Annotarlo per il passaggio successivo.

Al termine della distribuzione di Funzioni di Azure, aprire la pagina Dell'app per le funzioni, selezionare l'app, passare a Funzioni, fare clic su Recupera URL funzione e copiarlo/ Annotarlo per il passaggio successivo.

Indietro in Workplace da Facebook. Nel pannello Configura webhook in ogni scheda impostare l'URL di callback come lo stesso valore copiato nel punto 9 precedente e Verificare il token come lo stesso valore copiato nel punto 8 precedente ottenuto durante il PASSAGGIO 2 della distribuzione di Funzioni di Azure.

Fare clic su Salva.

PASSAGGIO 2: scegliere UNO tra le due opzioni di distribuzione seguenti per distribuire il connettore e il Funzioni di Azure associato

IMPORTANTE: Prima di distribuire il connettore dati Workplace, fare in modo che l'ID dell'area di lavoro e la chiave primaria dell'area di lavoro siano copiati da quanto segue.

ID dello spazio di lavoro:<variable value provided at install time>

Chiave primaria:<variable value provided at install time>

Opzione 1 - Azure Resource Manager (ARM) Template:

Usare questo metodo per la distribuzione automatizzata del connettore dati workplace usando un modello arm.

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms aka.ms

Selezionare la sottoscrizione, il gruppo di risorse e la località preferiti.

NOTA: All'interno dello stesso gruppo di risorse, non è possibile combinare app Windows e Linux nella stessa area. Selezionare un gruppo di risorse esistente senza app di Windows o creare un nuovo gruppo di risorse. 3. Immettere WorkplaceVerifyToken (può essere qualsiasi espressione, copiarla e salvarla per IL PASSAGGIO 1), WorkplaceAppSecret e distribuire. 4. Contrassegnare la casella di controllo etichettata Accetto i termini e le condizioni indicati sopra. 5. Fare clic su Acquista per distribuire. 6. Dopo aver distribuito la pagina Apri app per le funzioni, selezionare l'app, passare a Funzioni e fare clic su Recupera URL funzione copiarla e seguire p.7 dal PASSAGGIO 1.

Opzione 2 - Distribuzione manuale di Funzioni di Azure:

Usare le istruzioni dettagliate seguenti per distribuire manualmente il connettore dati Sophos Endpoint Protection con Funzioni di Azure (distribuzione tramite Visual Studio Code).

Passo 1 - Distribuire un'app di funzione:

NOTA: Sarà necessario preparare vs code per lo sviluppo di funzioni Azure.

Scaricare il file dell'app per le funzioni Azure. Estrarre l'archivio nel computer di sviluppo locale.

Seguire le istruzioni di distribuzione manuale dell'app per le funzioni per distribuire l'app Funzioni di Azure usando VSCode.

Dopo aver completato la distribuzione dell'app per le funzioni, seguire i passaggi successivi per configurarla.

Passo 2 - Configura l'app Funzione:

Nell'app per le funzioni selezionare nome dell'app per le funzioni e selezionare Configurazione.

Nella scheda Impostazioni applicazione selezionare Nuova impostazione applicazione.

Aggiungere ognuna delle impostazioni dell'applicazione seguenti singolarmente, con i rispettivi valori stringa (con distinzione tra maiuscole e minuscole): WorkplaceAppSecret WorkplaceVerifyToken WorkspaceID WorkspaceKey logAnalyticsUri (facoltativo)

Usare logAnalyticsUri per eseguire l'override dell'endpoint DELL'API log analytics per il cloud dedicato. Ad esempio, per il cloud pubblico, lasciare il valore vuoto; per Azure ambito cloud GovUS, specificare il valore nel formato seguente: https://<CustomerId>.ods.opinsights.azure.us.

Dopo aver immesso tutte le impostazioni dell'applicazione, fare clic su Salva.

Piattaforma di sicurezza XBOW (tramite funzione Azure)

Supportato da:XBOW

Il connettore dati XBOW inserisce snapshot di asset, risultati della vulnerabilità e attività di valutazione dalla piattaforma di sicurezza XBOW in Microsoft Sentinel. Una funzione Azure esegue il polling dell'API XBOW in un timer ed esegue il push di snapshot JSON degli asset in XbowAssets_CL, risultati arricchiti (con prove, ricette PoC, impatto e mitigazioni) in XbowFindings_CLe valutazione degli eventi del ciclo di vita in XbowAssessments_CL, usando l'API di inserimento del monitoraggio Azure (DCE/DCR).

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

XbowAssets_CL No No

XbowFindings_CL No No

XbowAssessments_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

XBOW API Token: È necessario un XBOW Personal Access Token. Generarne uno nella console XBOW in Impostazioni > Token di accesso personale. Definire l'ambito del token per l'organizzazione da monitorare.

ID organizzazione XBOW: L'ID dell'organizzazione dal tuo account XBOW. Trovarlo nell'URL della console XBOW o tramite l'API.

Microsoft. Permessi web/siti: Sono necessari permessi di lettura e scrittura per Funzioni di Azure per creare una Function App. Per altre informazioni, vedere Funzioni di Azure.

Prerequisiti personalizzati se necessario, altrimenti elimina questo tag personalizzato: Descrizione per eventuali prerequisiti personalizzati

Registrazione App Azure AD: È richiesta una registrazione App Azure AD (main principal). È necessario assegnare manualmente il ruolo server di pubblicazione metriche di monitoraggio nella regola di raccolta dati (DCR) a questa registrazione dell'app dopo la distribuzione.

Istruzioni per l'installazione:

NOTA: Questo connettore usa Funzioni di Azure e l'API di inserimento monitoraggio Azure (DCE/DCR) per inserire asset, risultati e valutazioni XBOW in Microsoft Sentinel. Il modello arm crea automaticamente l'endpoint raccolta dati, le tabelle di log personalizzate (XbowAssets_CL, XbowFindings_CLe XbowAssessments_CL), la regola di raccolta dati e l'app per le funzioni. Ciò potrebbe comportare costi aggiuntivi per l'inserimento di dati. Per informazioni dettagliate, controllare la pagina dei prezzi Funzioni di Azure e Monitoraggio di Azure.

(Passaggio facoltativo) Archiviare in modo sicuro il token API XBOW e le credenziali di registrazione dell'app in Azure Key Vault. Seguire queste istruzioni per usare riferimenti Azure Key Vault con un'app per le funzioni Azure.

PASSO 1 – Genera un token API XBOW:

Accedere alla console XBOW con accesso amministratore.

Fare clic sull'icona del profilo (in alto a destra) e selezionare Impostazioni.

Nella barra laterale sinistra fare clic su Token di accesso personale.

Fare clic su Genera nuovo token, specificare un nome e selezionare l'ambito dell'organizzazione.

Copiare e archiviare in modo sicuro il token, che non verrà visualizzato di nuovo.

Prendere nota dell'ID organizzazione dalla console XBOW o dall'URL quando si visualizza l'organizzazione.

PASSO 2 – Crea una registrazione dell'app Azure AD e concedi il ruolo DCR:

Nel portale di Azure passare a Azure Active Directory > Registrazioni app > Nuova registrazione.

Specificare un nome (ad esempio Xbow-Sentinel-Connector) e registrare.

In Certificati & segreti creare un nuovo segreto client. Si noti l'ID tenant, l'ID client e il segreto client.

Distribuire il connettore usando il passaggio 3 seguente, quindi tornare qui.

Aprire la regola di raccolta dati distribuita (dagli output di distribuzione o eseguendo una ricerca nel gruppo di risorse).

Passare a Controllo di accesso (IAM) > Aggiungere l'assegnazione di ruolo.

Selezionare Role Monitoring Metrics Publisher (Server di pubblicazione metriche di monitoraggio ruolo).

Assegnare l'accesso alla registrazione dell'app (entità servizio) creata in precedenza.

Attendere alcuni minuti per la propagazione del controllo degli accessi in base al ruolo prima di verificare l'inserimento.

PASSO 3 – Distribuisci l'app funzione Azure:

Fare clic su Distribuisci per Azure e compilare i parametri. Il modello creerà automaticamente l'endpoint di raccolta dati, le XbowAssets_CLtabelle , XbowFindings_CLe , la XbowAssessments_CL regola di raccolta dati e l'app per le funzioni.

aka.ms

Parametri da compilare:

Parametro Descrizione

WorkspaceName Nome dell'area di lavoro Log Analytics/Microsoft Sentinel

XbowApiToken Token di accesso personale XBOW dal passaggio 1

XbowOrgId ID organizzazione XBOW dal passaggio 1

TenantId Azure ID tenant di ACTIVE Directory dal passaggio 2

ClientId ID client di registrazione app dal passaggio 2

ClientSecret Segreto client di registrazione app dal passaggio 2

AppInsightsWorkspaceResourceID ID risorsa completo dell'area di lavoro Log Analytics (dalle proprietà dell'area di lavoro > Log Analytics)

FunctionAppLocation Area Azure facoltativa per le risorse dell'app per le funzioni (per impostazione predefinita è la posizione del gruppo di risorse)

ID dello spazio di lavoro:<variable value provided at install time>

Segmento zero reti (push)

Supportato da:Zero Networks

Il connettore push del segmento Zero Networks consente a Zero Networks di inviare audit, attività di rete, attività di identità e attività RPC direttamente a Microsoft Sentinel in tempo reale. Distribuire il connettore per creare una regola di raccolta dati e Microsoft Entra'app, quindi configurare l'applicazione Zero Networks con i dettagli di connessione per eseguire il push degli eventi.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

ZNAudit_CL No No

ZNNetworkActivity_CL No No

ZNIdentityActivity_CL No No

ZNRPCActivity_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Microsoft Entra: Permesso di creare una registrazione di un'app in Microsoft Entra ID. In genere richiede Entra ruolo sviluppatore di applicazioni ID o superiore.

Microsoft Azure: Permesso di assegnare il ruolo di Monitoring Metrics Publisher sulla regola di raccolta dati (DCR). In genere richiede Azure ruolo Proprietario controllo degli accessi in base al ruolo o Amministratore accesso utente.

Istruzioni per l'installazione:

1. Creare risorse ARM e fornire i permessi richiesti:

Distribuire il connettore push per creare una tabella di Log Analytics, una regola di raccolta dati (DCR), un endpoint di raccolta dati e un'app Microsoft Entra. Configurare quindi l'applicazione Zero Networks con i dettagli di connessione.

Configurazione automatica Facendo clic su "Distribuisci" verranno creati un DCR e dce, quindi una registrazione dell'app Microsoft Entra con il segreto client e verranno concesse le autorizzazioni per il DCR. L'applicazione può quindi inviare dati in modo sicuro usando le credenziali client OAuth 2.0.

2. Configura la tua applicazione Zero Networks:

Usare i valori seguenti per configurare l'applicazione Zero Networks per eseguire il push di controlli, attività di rete, attività di identità e attività RPC in Microsoft Sentinel.

ID Tenant (ID Directory):<variable value provided at install time>

ID Domanda Entra:<variable value provided at install time>

Segreta dell'applicazione Entra:<variable value provided at install time>

URI dell'endpoint raccolta dati:<variable value provided at install time>

ID immutabile della regola di raccolta dati:<variable value provided at install time>

Stream: Audit:<variable value provided at install time>

Stream: Attività di rete:<variable value provided at install time>

Stream: Attività di Identità:<variable value provided at install time>

Streaming: Attività RPC:<variable value provided at install time>

Controllo del segmento Zero Networks

Supportato da:Zero Networks

Il connettore dati Zero Networks Segment Audit offre la possibilità di inserire gli eventi di controllo zero reti in Microsoft Sentinel tramite l'API REST. Questo connettore dati usa Microsoft Sentinel funzionalità di polling nativo.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

ZNSegmentAuditNativePoller_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Token API Zero Networks:ZeroNetworksAPI è richiesto per l'API REST. Vedere la Guida all'API e seguire le istruzioni per ottenere le credenziali.

Istruzioni per l'installazione:

Collega zero reti a Microsoft Sentinel:

Immettere l'URL DELL'API Zero Networks ,ad esempio portal.zeronetworks.com. Il connettore aggiunge automaticamente https:// e /api/v1/audit. Specificare quindi la chiave API e fare clic su Connetti.

URL API di Zero Networks: (portal.zeronetworks.com)

ApiKey: (ApiKey)

Abilitare/disabilitare la connessione

Griglia connettori dati (configurare nel portale)

Avvisi ZeroFox

Supportato da:ZeroFox

Raccoglie gli avvisi dall'API ZeroFox.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

ZeroFoxAlertPoller_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Chiave API delle integrazioni ZeroFox: È richiesta una chiave API per integrazioni ZeroFox. Richiederlo all'indirizzo integrations@zerofox.com.

Istruzioni per l'installazione:

Collega ZeroFox a Microsoft Sentinel:

Per abilitare il connettore, specificare le informazioni necessarie di seguito e fare clic su Connetti.

Fornisci la tua chiave API per le integrazioni ZeroFox: (Chiave API per integrazioni ZeroFox)

Abilitare/disabilitare la connessione

ZeroFox CTI

Supportato da:ZeroFox

I connettori dati ZeroFox CTI offrono la possibilità di inserire i diversi avvisi di intelligence sulle minacce informatiche ZeroFox in Microsoft Sentinel.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

ZeroFox_CTI_advanced_dark_web_CL No No

ZeroFox_CTI_botnet_CL No No

ZeroFox_CTI_breaches_CL No No

ZeroFox_CTI_C2_CL No No

ZeroFox_CTI_compromised_credentials_CL No No

ZeroFox_CTI_credit_cards_CL No No

ZeroFox_CTI_dark_web_CL No No

ZeroFox_CTI_discord_CL No No

ZeroFox_CTI_disruption_CL No No

ZeroFox_CTI_email_addresses_CL No No

ZeroFox_CTI_exploits_CL No No

ZeroFox_CTI_irc_CL No No

ZeroFox_CTI_malware_CL No No

ZeroFox_CTI_national_ids_CL No No

ZeroFox_CTI_phishing_CL No No

ZeroFox_CTI_phone_numbers_CL No No

ZeroFox_CTI_ransomware_CL No No

ZeroFox_CTI_telegram_CL No No

ZeroFox_CTI_threat_actors_CL No No

ZeroFox_CTI_vulnerabilities_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Microsoft. Permessi web/siti: Sono necessari permessi di lettura e scrittura per Funzioni di Azure per creare una Function App. Per altre informazioni, vedere Funzioni di Azure.

Credenziali/permessi API ZeroFox:Username ZeroFox, ZeroFox Personal Access Token sono richiesti per l'API REST di ZeroFox.

Istruzioni per l'installazione:

NOTA: Questo connettore usa Funzioni di Azure per connettersi all'API REST CTI ZeroFox per eseguire il pull dei log in Microsoft Sentinel. Ciò potrebbe comportare costi aggiuntivi per l'inserimento di dati. Per informazioni dettagliate, controllare la pagina dei prezzi Funzioni di Azure.

(Passaggio facoltativo) Archiviare in modo sicuro le chiavi o i token di autorizzazione api e dell'area di lavoro in Azure Key Vault. Azure Key Vault fornisce un meccanismo sicuro per archiviare e recuperare i valori delle chiavi. Seguire queste istruzioni per usare Azure Key Vault con un'app per le funzioni Azure.

PASSAGGIO 1 - Recupero delle credenziali ZeroFox:

Seguire queste istruzioni per configurare la registrazione e ottenere le credenziali.

Accedere al sito Web di ZeroFox. uso del nome utente e della password 2: fare clic sul pulsante Impostazioni e passare alla sezione Connettori dati. 3 - Selezionare la scheda FEED DI DATI API e andare alla fine della pagina, selezionare <<Reimposta>> nella casella Informazioni API per ottenere un token di accesso personale da usare insieme al nome utente.

PASSAGGIO 2 - Distribuire i connettori dati di funzione Azure usando il modello di Azure Resource Manager:

IMPORTANTE: Prima di distribuire il connettore dati ZeroFox CTI, avere l'ID area di lavoro e la chiave primaria dell'area di lavoro (che possono essere copiati da quanto segue), immediatamente disponibili.

ID dello spazio di lavoro:<variable value provided at install time>

Chiave primaria:<variable value provided at install time>

Preparazione delle risorse per il dispiegamento:

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms

Selezionare la sottoscrizione, il gruppo di risorse, l'area di lavoro log analytics e la località preferiti.

Inserisci l'ID dello Spazio Lavoro, la Chiave dello Spazio, il Nome Utente ZeroFox, il Token di Accesso Personale ZeroFox:

Fare clic su Rivedi e crea per distribuire.

ZeroFox Enterprise - Dark Web Avanzato

Supportato da:ZeroFox

Raccoglie dati avanzati del dark web dall'API di ZeroFox in Microsoft Sentinel.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

ZeroFoxAdvancedDarkWeb_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Token di Accesso Personale ZeroFox (PAT): È richiesto un PAT ZeroFox. È possibile ottenerlo nei > dati.

Istruzioni per l'installazione:

Connettere ZeroFox a Microsoft Sentinel

Per abilitare il connettore, specificare le informazioni necessarie di seguito e fare clic su Connetti.

Fornisci il tuo nome utente del tuo account ZeroFox: (Nome account Zerofox)

Fornisci il tuo PAT ZeroFox: (PAT Zerofox)

Abilitare/disabilitare la connessione

ZeroFox Enterprise - Avvisi (Polling CCF)

Supportato da:ZeroFox

Raccoglie gli avvisi dall'API ZeroFox.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

ZeroFoxAlertPoller_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Token di Accesso Personale ZeroFox (PAT): È richiesto un PAT ZeroFox. È possibile ottenerlo nei > dati.

Istruzioni per l'installazione:

Collega ZeroFox a Microsoft Sentinel:

Connettere ZeroFox a Microsoft Sentinel

Fornisci il tuo PAT ZeroFox: (PAT Zerofox)

Abilitare/disabilitare la connessione

ZeroFox Enterprise - Botnet

Supportato da:ZeroFox

Raccoglie dati botnet dall'API ZeroFox in Microsoft Sentinel.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

ZeroFoxBotnet_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Token di Accesso Personale ZeroFox (PAT): È richiesto un PAT ZeroFox. È possibile ottenerlo nei > dati.

Istruzioni per l'installazione:

Connettere ZeroFox a Microsoft Sentinel

Per abilitare il connettore, specificare le informazioni necessarie di seguito e fare clic su Connetti.

Fornisci il tuo nome utente del tuo account ZeroFox: (Nome account Zerofox)

Fornisci il tuo PAT ZeroFox: (PAT Zerofox)

Abilitare/disabilitare la connessione

ZeroFox Enterprise - Credenziali compromesse da botnet

Supportato da:ZeroFox

Raccoglie i dati delle credenziali compromesse dalla botnet dall'API ZeroFox in Microsoft Sentinel.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

ZeroFoxBotnetCC_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Token di Accesso Personale ZeroFox (PAT): È richiesto un PAT ZeroFox. È possibile ottenerlo nei > dati.

Istruzioni per l'installazione:

Connettere ZeroFox a Microsoft Sentinel

Per abilitare il connettore, specificare le informazioni necessarie di seguito e fare clic su Connetti.

Fornisci il tuo nome utente del tuo account ZeroFox: (Nome account Zerofox)

Fornisci il tuo PAT ZeroFox: (PAT Zerofox)

Abilitare/disabilitare la connessione

ZeroFox Enterprise - Breccia

Supportato da:ZeroFox

Raccoglie i dati delle violazioni dall'API ZeroFox in Microsoft Sentinel.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

ZeroFoxBreaches_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Token di Accesso Personale ZeroFox (PAT): È richiesto un PAT ZeroFox. È possibile ottenerlo nei > dati.

Istruzioni per l'installazione:

Connettere ZeroFox a Microsoft Sentinel

Per abilitare il connettore, specificare le informazioni necessarie di seguito e fare clic su Connetti.

Fornisci il tuo nome utente del tuo account ZeroFox: (Nome account Zerofox)

Fornisci il tuo PAT ZeroFox: (PAT Zerofox)

Abilitare/disabilitare la connessione

ZeroFox Enterprise - Credenziali compromesse

Supportato da:ZeroFox

Raccoglie dati sulle credenziali compromesse dall'API ZeroFox in Microsoft Sentinel.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

ZeroFoxCompromisedCredentials_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Token di Accesso Personale ZeroFox (PAT): È richiesto un PAT ZeroFox. È possibile ottenerlo nei > dati.

Istruzioni per l'installazione:

Connettere ZeroFox a Microsoft Sentinel

Per abilitare il connettore, specificare le informazioni necessarie di seguito e fare clic su Connetti.

Fornisci il tuo nome utente del tuo account ZeroFox: (Nome account Zerofox)

Fornisci il tuo PAT ZeroFox: (PAT Zerofox)

Abilitare/disabilitare la connessione

ZeroFox Enterprise - Carte di credito

Supportato da:ZeroFox

Raccoglie i dati delle carte di credito dall'API ZeroFox in Microsoft Sentinel.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

ZeroFoxCreditCards_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Token di Accesso Personale ZeroFox (PAT): È richiesto un PAT ZeroFox. È possibile ottenerlo nei > dati.

Istruzioni per l'installazione:

Connettere ZeroFox a Microsoft Sentinel

Per abilitare il connettore, specificare le informazioni necessarie di seguito e fare clic su Connetti.

Fornisci il tuo nome utente del tuo account ZeroFox: (Nome account Zerofox)

Fornisci il tuo PAT ZeroFox: (PAT Zerofox)

Abilitare/disabilitare la connessione

ZeroFox Enterprise - Dark Web

Supportato da:ZeroFox

Raccoglie dati del dark web dall'API ZeroFox in Microsoft Sentinel.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

ZeroFoxDarkWeb_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Token di Accesso Personale ZeroFox (PAT): È richiesto un PAT ZeroFox. È possibile ottenerlo nei > dati.

Istruzioni per l'installazione:

Connettere ZeroFox a Microsoft Sentinel

Per abilitare il connettore, specificare le informazioni necessarie di seguito e fare clic su Connetti.

Fornisci il tuo nome utente del tuo account ZeroFox: (Nome account Zerofox)

Fornisci il tuo PAT ZeroFox: (PAT Zerofox)

Abilitare/disabilitare la connessione

ZeroFox Enterprise - Discord

Supportato da:ZeroFox

Raccoglie dati di Discord dall'API di ZeroFox in Microsoft Sentinel.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

ZeroFoxDiscord_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Token di Accesso Personale ZeroFox (PAT): È richiesto un PAT ZeroFox. È possibile ottenerlo nei > dati.

Istruzioni per l'installazione:

Connettere ZeroFox a Microsoft Sentinel

Per abilitare il connettore, specificare le informazioni necessarie di seguito e fare clic su Connetti.

Fornisci il tuo nome utente del tuo account ZeroFox: (Nome account Zerofox)

Fornisci il tuo PAT ZeroFox: (PAT Zerofox)

Abilitare/disabilitare la connessione

ZeroFox Enterprise - Interruzione

Supportato da:ZeroFox

Raccoglie i dati di interruzione dall'API ZeroFox in Microsoft Sentinel.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

ZeroFoxDisruption_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Token di Accesso Personale ZeroFox (PAT): È richiesto un PAT ZeroFox. È possibile ottenerlo nei > dati.

Istruzioni per l'installazione:

Connettere ZeroFox a Microsoft Sentinel

Per abilitare il connettore, specificare le informazioni necessarie di seguito e fare clic su Connetti.

Fornisci il tuo nome utente del tuo account ZeroFox: (Nome account Zerofox)

Fornisci il tuo PAT ZeroFox: (PAT Zerofox)

Abilitare/disabilitare la connessione

ZeroFox Enterprise - Indirizzi email

Supportato da:ZeroFox

Raccoglie i dati degli indirizzi email dall'API ZeroFox in Microsoft Sentinel.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

ZeroFoxEmailAddresses_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Token di Accesso Personale ZeroFox (PAT): È richiesto un PAT ZeroFox. È possibile ottenerlo nei > dati.

Istruzioni per l'installazione:

Connettere ZeroFox a Microsoft Sentinel

Per abilitare il connettore, specificare le informazioni necessarie di seguito e fare clic su Connetti.

Fornisci il tuo nome utente del tuo account ZeroFox: (Nome account Zerofox)

Fornisci il tuo PAT ZeroFox: (PAT Zerofox)

Abilitare/disabilitare la connessione

ZeroFox Enterprise - Exploit

Supportato da:ZeroFox

Raccoglie dati di exploit dall'API ZeroFox in Microsoft Sentinel.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

ZeroFoxExploits_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Token di Accesso Personale ZeroFox (PAT): È richiesto un PAT ZeroFox. È possibile ottenerlo nei > dati.

Istruzioni per l'installazione:

Connettere ZeroFox a Microsoft Sentinel

Per abilitare il connettore, specificare le informazioni necessarie di seguito e fare clic su Connetti.

Fornisci il tuo nome utente del tuo account ZeroFox: (Nome account Zerofox)

Fornisci il tuo PAT ZeroFox: (PAT Zerofox)

Abilitare/disabilitare la connessione

ZeroFox Enterprise - Indicatori

Supportato da:ZeroFox

Raccoglie dati degli indicatori dall'API ZeroFox in Microsoft Sentinel.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

ZeroFoxIndicators_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Token di Accesso Personale ZeroFox (PAT): È richiesto un PAT ZeroFox. È possibile ottenerlo nei > dati.

Istruzioni per l'installazione:

Connettere ZeroFox a Microsoft Sentinel

Per abilitare il connettore, specificare le informazioni necessarie di seguito e fare clic su Connetti.

Fornisci il tuo nome utente del tuo account ZeroFox: (Nome account Zerofox)

Fornisci il tuo PAT ZeroFox: (PAT Zerofox)

Abilitare/disabilitare la connessione

ZeroFox Enterprise - Incidenti chiave

Supportato da:ZeroFox

Raccoglie i dati sugli incidenti chiave dall'API di ZeroFox in Microsoft Sentinel.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

ZeroFoxKeyIncidents_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Token di Accesso Personale ZeroFox (PAT): È richiesto un PAT ZeroFox. È possibile ottenerlo nei > dati.

Istruzioni per l'installazione:

Connettere ZeroFox a Microsoft Sentinel

Per abilitare il connettore, specificare le informazioni necessarie di seguito e fare clic su Connetti.

Fornisci il tuo nome utente del tuo account ZeroFox: (Nome account Zerofox)

Fornisci il tuo PAT ZeroFox: (PAT Zerofox)

Abilitare/disabilitare la connessione

ZeroFox Enterprise - ID nazionali

Supportato da:ZeroFox

Raccoglie i dati nazionali IDS dall'API ZeroFox in Microsoft Sentinel.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

ZeroFoxNationalIds_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Token di Accesso Personale ZeroFox (PAT): È richiesto un PAT ZeroFox. È possibile ottenerlo nei > dati.

Istruzioni per l'installazione:

Connettere ZeroFox a Microsoft Sentinel

Per abilitare il connettore, specificare le informazioni necessarie di seguito e fare clic su Connetti.

Fornisci il tuo nome utente del tuo account ZeroFox: (Nome account Zerofox)

Fornisci il tuo PAT ZeroFox: (PAT Zerofox)

Abilitare/disabilitare la connessione

ZeroFox Enterprise - Minacce Fisiche

Supportato da:ZeroFox

Raccoglie dati fisici sulle minacce dall'API ZeroFox in Microsoft Sentinel.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

ZeroFoxPhysicalThreats_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Token di Accesso Personale ZeroFox (PAT): È richiesto un PAT ZeroFox. È possibile ottenerlo nei > dati.

Istruzioni per l'installazione:

Connettere ZeroFox a Microsoft Sentinel

Per abilitare il connettore, specificare le informazioni necessarie di seguito e fare clic su Connetti.

Fornisci il tuo nome utente del tuo account ZeroFox: (Nome account Zerofox)

Fornisci il tuo PAT ZeroFox: (PAT Zerofox)

Abilitare/disabilitare la connessione

ZeroFox Enterprise - Telegram

Supportato da:ZeroFox

Raccoglie dati Telegram dall'API ZeroFox in Microsoft Sentinel.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

ZeroFoxTelegram_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Token di Accesso Personale ZeroFox (PAT): È richiesto un PAT ZeroFox. È possibile ottenerlo nei > dati.

Istruzioni per l'installazione:

Connettere ZeroFox a Microsoft Sentinel

Per abilitare il connettore, specificare le informazioni necessarie di seguito e fare clic su Connetti.

Fornisci il tuo nome utente del tuo account ZeroFox: (Nome account Zerofox)

Fornisci il tuo PAT ZeroFox: (PAT Zerofox)

Abilitare/disabilitare la connessione

ZeroFox Enterprise - Vulnerabilità

Supportato da:ZeroFox

Raccoglie i dati sulle vulnerabilità dall'API ZeroFox in Microsoft Sentinel.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

ZeroFoxVulnerabilities_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Token di Accesso Personale ZeroFox (PAT): È richiesto un PAT ZeroFox. È possibile ottenerlo nei > dati.

Istruzioni per l'installazione:

Connettere ZeroFox a Microsoft Sentinel

Per abilitare il connettore, specificare le informazioni necessarie di seguito e fare clic su Connetti.

Fornisci il tuo nome utente del tuo account ZeroFox: (Nome account Zerofox)

Fornisci il tuo PAT ZeroFox: (PAT Zerofox)

Abilitare/disabilitare la connessione

Difesa Mobili contro le Minacce Zimperium

Supportato da:Zimperium

Zimperium Mobile Threat Defense Connector offre la possibilità di connettere il log delle minacce zimperium con Microsoft Sentinel per visualizzare i dashboard, creare avvisi personalizzati e migliorare l'analisi. Ciò offre maggiori informazioni sul panorama delle minacce per dispositivi mobili dell'organizzazione e migliora le funzionalità delle operazioni di sicurezza.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

ZimperiumThreatLog_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Istruzioni per l'installazione:

Configura e collega Zimperium MTD:

In zConsole fare clic su Gestisci sulla barra di spostamento.

Fare clic sulla scheda Integrazioni .

Fare clic sul pulsante Threat Reporting e quindi sul pulsante Aggiungi integrazioni .

Creare l'integrazione:

Nelle integrazioni disponibili selezionare Microsoft Microsoft Sentinel.

Immettere l'ID dell'area di lavoro e la chiave primaria nei campi seguenti, fare clic su Avanti.

Compilare un nome per l'integrazione Microsoft Sentinel.

Selezionare un livello di filtro per i dati sulle minacce di cui si vuole eseguire il push in Microsoft Sentinel.

Clicca Termina:

Per altre istruzioni, vedere il portale di supporto clienti di Zimperium.

ID dello spazio di lavoro:<variable value provided at install time>

Chiave primaria:<variable value provided at install time>

Connettore Zoom Reports (tramite Codeless Connector Framework)

Supportato da:Microsoft Corporation

Il connettore dati Zoom Reports consente di inserire i dati di Zoom Reports in Microsoft Sentinel tramite l'API REST Zoom v2, consentendo di monitorare e controllare l'utilizzo di Zoom nell'organizzazione. Questo connettore usa le credenziali dell'account OAuth da server a server per l'autenticazione e supporta l'inserimento di più tipi di report, inclusi i report sull'utilizzo giornaliero per le statistiche di riunione e le metriche di utilizzo, i report utente per le informazioni sull'host utente attivo/inattivo, i report di telefonia per le statistiche sull'utilizzo della telefonia, i report sull'utilizzo della registrazione cloud per l'archiviazione cloud e la registrazione dell'utilizzo, i log operazioni per le operazioni amministrative e il audit trail, e Log attività per le attività di accesso/disconnessione degli utenti. Ogni tipo di report viene raccolto in una configurazione di polling separata con supporto di impaginazione automatica tramite NextPageToken. Il connettore dati è basato su Microsoft Sentinel Codeless Connector Framework e supporta trasformazioni del tempo di inserimento basate su DCR per ottimizzare le prestazioni delle query.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

ZoomV2_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Accesso API Zoom: Accesso all'API REST di Zoom v2 con le credenziali dell'account

Istruzioni per l'installazione:

1. Configurazione dello zoom:

Configurare l'app OAuth da server a server e raccogliere le credenziali

Passaggio 1: Configurare l'app OAuth zoom da server a server, seguire Creare un'app. Assicurarsi di aggiungere gli ambiti correlati ai report all'app:

report:read:list_users:admin

report:read:cloud_recording:admin

report:read:daily_usage:admin

report:read:operation_logs:admin

report:read:telephone:admin

report:read:user_activities:admin

Per altre informazioni, vedere Zoom Server-to-Server OAuth Documentation and Reports APIs (Api zoom server-to-server OAuth e report).

Passaggio 2: Ottenere le credenziali dell'app

Trovare le credenziali dell'app (ID account, ID client e segreto client) nella Personal app management pagina in Zoom App Marketplace

Note sulla sicurezza

Archiviare l'ID account, l'ID client e il segreto client in modo sicuro

Ruotare regolarmente le credenziali per una sicurezza avanzata

ID Client: (ID Client App Zoom)

Segreto del cliente: (Segreto del client dell'app Zoom)

ID account: (ID account Zoom)

URL base del token: (https://zoom.us/oauth/token)

URL base API: (https://api.zoom.us/v2)

2. Connetti:

Abilitare il connettore Zoom Reports

Attivare il connettore

Esaminare le credenziali dell'app Zoom disponibili nel passaggio 2, quindi abilitare il connettore per iniziare a raccogliere i dati dei report zoom.

Monitoraggio

Controllare l'arrivo dei dati usando queste query:

Controllare tutti i tipi di report:

ZoomV2_CL | where TimeGenerated > ago(30m) | summarize Records = count() by EventType

Controllare il tipo di report specifico:

ZoomV2_CL | where EventType == 'dates' | where TimeGenerated > ago(1h) | limit 10

Monitorare l'integrità del connettore:

ZoomV2_CL | where TimeGenerated > ago(24h) | summarize LastRecord = max(TimeGenerated), RecordCount = count() by EventType | order by LastRecord desc

Abilitare/disabilitare la connessione

Connettore Push Log Push di Audit NSS di Zscaler Internet Access Cloud

Supportato da:Zscaler

Il connettore Zscaler offre la possibilità di leggere i dati del log di controllo ZIA in Microsoft Sentinel.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

CommonSecurityLog Sì Sì

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

Prerequisiti:

Microsoft Entra: Permesso di creare una registrazione di un'app in Microsoft Entra ID. In genere richiede Entra ruolo sviluppatore di applicazioni ID o superiore.

Microsoft Azure: Permesso di assegnare il ruolo di Monitoring Metrics Publisher sulla regola di raccolta dati (DCR). In genere richiede Azure ruolo Proprietario controllo degli accessi in base al ruolo o Amministratore accesso utente

Istruzioni per l'installazione:

1. Creare risorse ARM e fornire i permessi richiesti:

Questo connettore legge i dati dalle tabelle usate da Zscaler in un'area di lavoro di Microsoft Analytics, se l'opzione Cloud NSS è abilitata in Zscaler, i dati degli eventi non elaborati vengono inviati all'API di inserimento Microsoft Sentinel.

La configurazione automatizzata e l'inserimento sicuro dei dati con Entra'applicazione facendo clic su "Distribuisci" attiveranno la creazione di tabelle di Log Analytics e di una regola di raccolta dati (DCR). Verrà quindi creata un'applicazione Entra, verrà collegato il DCR e verrà impostato il segreto immesso nell'applicazione. Questa configurazione consente di inviare i dati in modo sicuro al DCR usando un token di Entra.

2. Spingi i tuoi log nello spazio di lavoro:

Usare i parametri seguenti per configurare il computer per inviare i log all'area di lavoro.

ID Tenant (ID Directory):<variable value provided at install time>

ID Domanda di Registrazione Entra App:<variable value provided at install time>

Segreto per la registrazione dell'app Entra:<variable value provided at install time>

Data Collection Endpoint Uri:<variable value provided at install time>

ID immutabile della regola di raccolta dati:<variable value provided at install time>

Connettore push del log attività CASB di Zscaler Internet Access Cloud NSS

Supportato da:Zscaler

Il connettore Zscaler offre la possibilità di leggere i dati del log attività CASB di ZIA in Microsoft Sentinel.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

CommonSecurityLog Sì Sì

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

Prerequisiti:

Microsoft Entra: Permesso di creare una registrazione di un'app in Microsoft Entra ID. In genere richiede Entra ruolo sviluppatore di applicazioni ID o superiore.

Microsoft Azure: Permesso di assegnare il ruolo di Monitoring Metrics Publisher sulla regola di raccolta dati (DCR). In genere richiede Azure ruolo Proprietario controllo degli accessi in base al ruolo o Amministratore accesso utente

Istruzioni per l'installazione:

1. Creare risorse ARM e fornire i permessi richiesti:

Questo connettore legge i dati dalle tabelle usate da Zscaler in un'area di lavoro di Microsoft Analytics, se l'opzione Cloud NSS è abilitata in Zscaler, i dati degli eventi non elaborati vengono inviati all'API di inserimento Microsoft Sentinel.

La configurazione automatizzata e l'inserimento sicuro dei dati con Entra'applicazione facendo clic su "Distribuisci" attiveranno la creazione di tabelle di Log Analytics e di una regola di raccolta dati (DCR). Verrà quindi creata un'applicazione Entra, verrà collegato il DCR e verrà impostato il segreto immesso nell'applicazione. Questa configurazione consente di inviare i dati in modo sicuro al DCR usando un token di Entra.

2. Spingi i tuoi log nello spazio di lavoro:

Usare i parametri seguenti per configurare il computer per inviare i log all'area di lavoro.

ID Tenant (ID Directory):<variable value provided at install time>

ID Domanda di Registrazione Entra App:<variable value provided at install time>

Segreto per la registrazione dell'app Entra:<variable value provided at install time>

Data Collection Endpoint Uri:<variable value provided at install time>

ID immutabile della regola di raccolta dati:<variable value provided at install time>

Zscaler Internet Access Cloud NSS CASB Cloud Storage Log Push Connector

Supportato da:Zscaler

Il connettore Zscaler offre la possibilità di leggere i dati di log di ZIA CASB Cloud Storage in Microsoft Sentinel.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

CommonSecurityLog Sì Sì

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

Prerequisiti:

Microsoft Entra: Permesso di creare una registrazione di un'app in Microsoft Entra ID. In genere richiede Entra ruolo sviluppatore di applicazioni ID o superiore.

Microsoft Azure: Permesso di assegnare il ruolo di Monitoring Metrics Publisher sulla regola di raccolta dati (DCR). In genere richiede Azure ruolo Proprietario controllo degli accessi in base al ruolo o Amministratore accesso utente

Istruzioni per l'installazione:

1. Creare risorse ARM e fornire i permessi richiesti:

Questo connettore legge i dati dalle tabelle usate da Zscaler in un'area di lavoro di Microsoft Analytics, se l'opzione Cloud NSS è abilitata in Zscaler, i dati degli eventi non elaborati vengono inviati all'API di inserimento Microsoft Sentinel.

La configurazione automatizzata e l'inserimento sicuro dei dati con Entra'applicazione facendo clic su "Distribuisci" attiveranno la creazione di tabelle di Log Analytics e di una regola di raccolta dati (DCR). Verrà quindi creata un'applicazione Entra, verrà collegato il DCR e verrà impostato il segreto immesso nell'applicazione. Questa configurazione consente di inviare i dati in modo sicuro al DCR usando un token di Entra.

2. Spingi i tuoi log nello spazio di lavoro:

Usare i parametri seguenti per configurare il computer per inviare i log all'area di lavoro.

ID Tenant (ID Directory):<variable value provided at install time>

ID Domanda di Registrazione Entra App:<variable value provided at install time>

Segreto per la registrazione dell'app Entra:<variable value provided at install time>

Data Collection Endpoint Uri:<variable value provided at install time>

ID immutabile della regola di raccolta dati:<variable value provided at install time>

Zscaler Internet Access Cloud NSS Collaborazione CASB Log Push Connector

Supportato da:Zscaler

Il connettore Zscaler offre la possibilità di leggere i dati di log di Collaborazione CASB ZIA in Microsoft Sentinel.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

CommonSecurityLog Sì Sì

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

Prerequisiti:

Microsoft Entra: Permesso di creare una registrazione di un'app in Microsoft Entra ID. In genere richiede Entra ruolo sviluppatore di applicazioni ID o superiore.

Microsoft Azure: Permesso di assegnare il ruolo di Monitoring Metrics Publisher sulla regola di raccolta dati (DCR). In genere richiede Azure ruolo Proprietario controllo degli accessi in base al ruolo o Amministratore accesso utente

Istruzioni per l'installazione:

1. Creare risorse ARM e fornire i permessi richiesti:

Questo connettore legge i dati dalle tabelle usate da Zscaler in un'area di lavoro di Microsoft Analytics, se l'opzione Cloud NSS è abilitata in Zscaler, i dati degli eventi non elaborati vengono inviati all'API di inserimento Microsoft Sentinel.

La configurazione automatizzata e l'inserimento sicuro dei dati con Entra'applicazione facendo clic su "Distribuisci" attiveranno la creazione di tabelle di Log Analytics e di una regola di raccolta dati (DCR). Verrà quindi creata un'applicazione Entra, verrà collegato il DCR e verrà impostato il segreto immesso nell'applicazione. Questa configurazione consente di inviare i dati in modo sicuro al DCR usando un token di Entra.

2. Spingi i tuoi log nello spazio di lavoro:

Usare i parametri seguenti per configurare il computer per inviare i log all'area di lavoro.

ID Tenant (ID Directory):<variable value provided at install time>

ID Domanda di Registrazione Entra App:<variable value provided at install time>

Segreto per la registrazione dell'app Entra:<variable value provided at install time>

Data Collection Endpoint Uri:<variable value provided at install time>

ID immutabile della regola di raccolta dati:<variable value provided at install time>

Connettore Log Push CRM Cloud di accesso Internet Cloud NSS CASB

Supportato da:Zscaler

Il connettore Zscaler offre la possibilità di leggere i dati di log di ZIA CASB CRM in Microsoft Sentinel.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

CommonSecurityLog Sì Sì

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

Prerequisiti:

Microsoft Entra: Permesso di creare una registrazione di un'app in Microsoft Entra ID. In genere richiede Entra ruolo sviluppatore di applicazioni ID o superiore.

Microsoft Azure: Permesso di assegnare il ruolo di Monitoring Metrics Publisher sulla regola di raccolta dati (DCR). In genere richiede Azure ruolo Proprietario controllo degli accessi in base al ruolo o Amministratore accesso utente

Istruzioni per l'installazione:

1. Creare risorse ARM e fornire i permessi richiesti:

Questo connettore legge i dati dalle tabelle usate da Zscaler in un'area di lavoro di Microsoft Analytics, se l'opzione Cloud NSS è abilitata in Zscaler, i dati degli eventi non elaborati vengono inviati all'API di inserimento Microsoft Sentinel.

La configurazione automatizzata e l'inserimento sicuro dei dati con Entra'applicazione facendo clic su "Distribuisci" attiveranno la creazione di tabelle di Log Analytics e di una regola di raccolta dati (DCR). Verrà quindi creata un'applicazione Entra, verrà collegato il DCR e verrà impostato il segreto immesso nell'applicazione. Questa configurazione consente di inviare i dati in modo sicuro al DCR usando un token di Entra.

2. Spingi i tuoi log nello spazio di lavoro:

Usare i parametri seguenti per configurare il computer per inviare i log all'area di lavoro.

ID Tenant (ID Directory):<variable value provided at install time>

ID Domanda di Registrazione Entra App:<variable value provided at install time>

Segreto per la registrazione dell'app Entra:<variable value provided at install time>

Data Collection Endpoint Uri:<variable value provided at install time>

ID immutabile della regola di raccolta dati:<variable value provided at install time>

Zscaler Internet Access Cloud NSS CASB Email Log Push Connector

Supportato da:Zscaler

Il connettore Zscaler offre la possibilità di leggere i dati dei log di posta elettronica CASB di ZIA IN MICROSOFT SENTINEL.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

CommonSecurityLog Sì Sì

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

Prerequisiti:

Microsoft Entra: Permesso di creare una registrazione di un'app in Microsoft Entra ID. In genere richiede Entra ruolo sviluppatore di applicazioni ID o superiore.

Microsoft Azure: Permesso di assegnare il ruolo di Monitoring Metrics Publisher sulla regola di raccolta dati (DCR). In genere richiede Azure ruolo Proprietario controllo degli accessi in base al ruolo o Amministratore accesso utente

Istruzioni per l'installazione:

1. Creare risorse ARM e fornire i permessi richiesti:

Questo connettore legge i dati dalle tabelle usate da Zscaler in un'area di lavoro di Microsoft Analytics, se l'opzione Cloud NSS è abilitata in Zscaler, i dati degli eventi non elaborati vengono inviati all'API di inserimento Microsoft Sentinel.

La configurazione automatizzata e l'inserimento sicuro dei dati con Entra'applicazione facendo clic su "Distribuisci" attiveranno la creazione di tabelle di Log Analytics e di una regola di raccolta dati (DCR). Verrà quindi creata un'applicazione Entra, verrà collegato il DCR e verrà impostato il segreto immesso nell'applicazione. Questa configurazione consente di inviare i dati in modo sicuro al DCR usando un token di Entra.

2. Spingi i tuoi log nello spazio di lavoro:

Usare i parametri seguenti per configurare il computer per inviare i log all'area di lavoro.

ID Tenant (ID Directory):<variable value provided at install time>

ID Domanda di Registrazione Entra App:<variable value provided at install time>

Segreto per la registrazione dell'app Entra:<variable value provided at install time>

Data Collection Endpoint Uri:<variable value provided at install time>

ID immutabile della regola di raccolta dati:<variable value provided at install time>

Connettore Push di Log per la Condivisione File NSS CASB di accesso Internet a Internet Cloud di Zscaler

Supportato da:Zscaler

Il connettore Zscaler offre la possibilità di leggere i dati di log di condivisione file CASB di ZIA in Microsoft Sentinel.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

CommonSecurityLog Sì Sì

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

Prerequisiti:

Microsoft Entra: Permesso di creare una registrazione di un'app in Microsoft Entra ID. In genere richiede Entra ruolo sviluppatore di applicazioni ID o superiore.

Microsoft Azure: Permesso di assegnare il ruolo di Monitoring Metrics Publisher sulla regola di raccolta dati (DCR). In genere richiede Azure ruolo Proprietario controllo degli accessi in base al ruolo o Amministratore accesso utente

Istruzioni per l'installazione:

1. Creare risorse ARM e fornire i permessi richiesti:

Questo connettore legge i dati dalle tabelle usate da Zscaler in un'area di lavoro di Microsoft Analytics, se l'opzione Cloud NSS è abilitata in Zscaler, i dati degli eventi non elaborati vengono inviati all'API di inserimento Microsoft Sentinel.

La configurazione automatizzata e l'inserimento sicuro dei dati con Entra'applicazione facendo clic su "Distribuisci" attiveranno la creazione di tabelle di Log Analytics e di una regola di raccolta dati (DCR). Verrà quindi creata un'applicazione Entra, verrà collegato il DCR e verrà impostato il segreto immesso nell'applicazione. Questa configurazione consente di inviare i dati in modo sicuro al DCR usando un token di Entra.

2. Spingi i tuoi log nello spazio di lavoro:

Usare i parametri seguenti per configurare il computer per inviare i log all'area di lavoro.

ID Tenant (ID Directory):<variable value provided at install time>

ID Domanda di Registrazione Entra App:<variable value provided at install time>

Segreto per la registrazione dell'app Entra:<variable value provided at install time>

Data Collection Endpoint Uri:<variable value provided at install time>

ID immutabile della regola di raccolta dati:<variable value provided at install time>

Zscaler Internet Access Cloud NSS CASB ITSM Log Push Connector

Supportato da:Zscaler

Il connettore Zscaler offre la possibilità di leggere i dati di log di ZIA CASB ITSM in Microsoft Sentinel.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

CommonSecurityLog Sì Sì

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

Prerequisiti:

Microsoft Entra: Permesso di creare una registrazione di un'app in Microsoft Entra ID. In genere richiede Entra ruolo sviluppatore di applicazioni ID o superiore.

Microsoft Azure: Permesso di assegnare il ruolo di Monitoring Metrics Publisher sulla regola di raccolta dati (DCR). In genere richiede Azure ruolo Proprietario controllo degli accessi in base al ruolo o Amministratore accesso utente

Istruzioni per l'installazione:

1. Creare risorse ARM e fornire i permessi richiesti:

Questo connettore legge i dati dalle tabelle usate da Zscaler in un'area di lavoro di Microsoft Analytics, se l'opzione Cloud NSS è abilitata in Zscaler, i dati degli eventi non elaborati vengono inviati all'API di inserimento Microsoft Sentinel.

La configurazione automatizzata e l'inserimento sicuro dei dati con Entra'applicazione facendo clic su "Distribuisci" attiveranno la creazione di tabelle di Log Analytics e di una regola di raccolta dati (DCR). Verrà quindi creata un'applicazione Entra, verrà collegato il DCR e verrà impostato il segreto immesso nell'applicazione. Questa configurazione consente di inviare i dati in modo sicuro al DCR usando un token di Entra.

2. Spingi i tuoi log nello spazio di lavoro:

Usare i parametri seguenti per configurare il computer per inviare i log all'area di lavoro.

ID Tenant (ID Directory):<variable value provided at install time>

ID Domanda di Registrazione Entra App:<variable value provided at install time>

Segreto per la registrazione dell'app Entra:<variable value provided at install time>

Data Collection Endpoint Uri:<variable value provided at install time>

ID immutabile della regola di raccolta dati:<variable value provided at install time>

Zscaler Internet Access Cloud NSS CASB Repository Push Connector

Supportato da:Zscaler

Il connettore Zscaler offre la possibilità di leggere i dati di log del repository CASB ZIA in Microsoft Sentinel.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

CommonSecurityLog Sì Sì

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

Prerequisiti:

Microsoft Entra: Permesso di creare una registrazione di un'app in Microsoft Entra ID. In genere richiede Entra ruolo sviluppatore di applicazioni ID o superiore.

Microsoft Azure: Permesso di assegnare il ruolo di Monitoring Metrics Publisher sulla regola di raccolta dati (DCR). In genere richiede Azure ruolo Proprietario controllo degli accessi in base al ruolo o Amministratore accesso utente

Istruzioni per l'installazione:

1. Creare risorse ARM e fornire i permessi richiesti:

Questo connettore legge i dati dalle tabelle usate da Zscaler in un'area di lavoro di Microsoft Analytics, se l'opzione Cloud NSS è abilitata in Zscaler, i dati degli eventi non elaborati vengono inviati all'API di inserimento Microsoft Sentinel.

La configurazione automatizzata e l'inserimento sicuro dei dati con Entra'applicazione facendo clic su "Distribuisci" attiveranno la creazione di tabelle di Log Analytics e di una regola di raccolta dati (DCR). Verrà quindi creata un'applicazione Entra, verrà collegato il DCR e verrà impostato il segreto immesso nell'applicazione. Questa configurazione consente di inviare i dati in modo sicuro al DCR usando un token di Entra.

2. Spingi i tuoi log nello spazio di lavoro:

Usare i parametri seguenti per configurare il computer per inviare i log all'area di lavoro.

ID Tenant (ID Directory):<variable value provided at install time>

ID Domanda di Registrazione Entra App:<variable value provided at install time>

Segreto per la registrazione dell'app Entra:<variable value provided at install time>

Data Collection Endpoint Uri:<variable value provided at install time>

ID immutabile della regola di raccolta dati:<variable value provided at install time>

Zscaler Internet Access Cloud NSS DNS Log Push Connector

Supportato da:Zscaler

Il connettore Zscaler offre la possibilità di leggere i dati di log DNS di ZIA in Microsoft Sentinel.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

CommonSecurityLog Sì Sì

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

Prerequisiti:

Microsoft Entra: Permesso di creare una registrazione di un'app in Microsoft Entra ID. In genere richiede Entra ruolo sviluppatore di applicazioni ID o superiore.

Microsoft Azure: Permesso di assegnare il ruolo di Monitoring Metrics Publisher sulla regola di raccolta dati (DCR). In genere richiede Azure ruolo Proprietario controllo degli accessi in base al ruolo o Amministratore accesso utente

Istruzioni per l'installazione:

1. Creare risorse ARM e fornire i permessi richiesti:

Questo connettore legge i dati dalle tabelle usate da Zscaler in un'area di lavoro di Microsoft Analytics, se l'opzione Cloud NSS è abilitata in Zscaler, i dati degli eventi non elaborati vengono inviati all'API di inserimento Microsoft Sentinel.

La configurazione automatizzata e l'inserimento sicuro dei dati con Entra'applicazione facendo clic su "Distribuisci" attiveranno la creazione di tabelle di Log Analytics e di una regola di raccolta dati (DCR). Verrà quindi creata un'applicazione Entra, verrà collegato il DCR e verrà impostato il segreto immesso nell'applicazione. Questa configurazione consente di inviare i dati in modo sicuro al DCR usando un token di Entra.

2. Spingi i tuoi log nello spazio di lavoro:

Usare i parametri seguenti per configurare il computer per inviare i log all'area di lavoro.

ID Tenant (ID Directory):<variable value provided at install time>

ID Domanda di Registrazione Entra App:<variable value provided at install time>

Segreto per la registrazione dell'app Entra:<variable value provided at install time>

Data Collection Endpoint Uri:<variable value provided at install time>

ID immutabile della regola di raccolta dati:<variable value provided at install time>

Connettore Push Log Push di Email NSS Cloud per l'accesso Internet Cloud

Supportato da:Zscaler

Il connettore Zscaler offre la possibilità di leggere i dati di log di ZIA Email DLP in Microsoft Sentinel.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

CommonSecurityLog Sì Sì

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

Prerequisiti:

Microsoft Entra: Permesso di creare una registrazione di un'app in Microsoft Entra ID. In genere richiede Entra ruolo sviluppatore di applicazioni ID o superiore.

Microsoft Azure: Permesso di assegnare il ruolo di Monitoring Metrics Publisher sulla regola di raccolta dati (DCR). In genere richiede Azure ruolo Proprietario controllo degli accessi in base al ruolo o Amministratore accesso utente

Istruzioni per l'installazione:

1. Creare risorse ARM e fornire i permessi richiesti:

Questo connettore legge i dati dalle tabelle usate da Zscaler in un'area di lavoro di Microsoft Analytics, se l'opzione Cloud NSS è abilitata in Zscaler, i dati degli eventi non elaborati vengono inviati all'API di inserimento Microsoft Sentinel.

La configurazione automatizzata e l'inserimento sicuro dei dati con Entra'applicazione facendo clic su "Distribuisci" attiveranno la creazione di tabelle di Log Analytics e di una regola di raccolta dati (DCR). Verrà quindi creata un'applicazione Entra, verrà collegato il DCR e verrà impostato il segreto immesso nell'applicazione. Questa configurazione consente di inviare i dati in modo sicuro al DCR usando un token di Entra.

2. Spingi i tuoi log nello spazio di lavoro:

Usare i parametri seguenti per configurare il computer per inviare i log all'area di lavoro.

ID Tenant (ID Directory):<variable value provided at install time>

ID Domanda di Registrazione Entra App:<variable value provided at install time>

Segreto per la registrazione dell'app Entra:<variable value provided at install time>

Data Collection Endpoint Uri:<variable value provided at install time>

ID immutabile della regola di raccolta dati:<variable value provided at install time>

Zscaler Internet Access Cloud NSS Endpoint DLP Log Push Connector

Supportato da:Zscaler

Il connettore Zscaler offre la possibilità di leggere i dati di log DLP degli endpoint ZIA in Microsoft Sentinel.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

CommonSecurityLog Sì Sì

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

Prerequisiti:

Microsoft Entra: Permesso di creare una registrazione di un'app in Microsoft Entra ID. In genere richiede Entra ruolo sviluppatore di applicazioni ID o superiore.

Microsoft Azure: Permesso di assegnare il ruolo di Monitoring Metrics Publisher sulla regola di raccolta dati (DCR). In genere richiede Azure ruolo Proprietario controllo degli accessi in base al ruolo o Amministratore accesso utente

Istruzioni per l'installazione:

1. Creare risorse ARM e fornire i permessi richiesti:

Questo connettore legge i dati dalle tabelle usate da Zscaler in un'area di lavoro di Microsoft Analytics, se l'opzione Cloud NSS è abilitata in Zscaler, i dati degli eventi non elaborati vengono inviati all'API di inserimento Microsoft Sentinel.

La configurazione automatizzata e l'inserimento sicuro dei dati con Entra'applicazione facendo clic su "Distribuisci" attiveranno la creazione di tabelle di Log Analytics e di una regola di raccolta dati (DCR). Verrà quindi creata un'applicazione Entra, verrà collegato il DCR e verrà impostato il segreto immesso nell'applicazione. Questa configurazione consente di inviare i dati in modo sicuro al DCR usando un token di Entra.

2. Spingi i tuoi log nello spazio di lavoro:

Usare i parametri seguenti per configurare il computer per inviare i log all'area di lavoro.

ID Tenant (ID Directory):<variable value provided at install time>

ID Domanda di Registrazione Entra App:<variable value provided at install time>

Segreto per la registrazione dell'app Entra:<variable value provided at install time>

Data Collection Endpoint Uri:<variable value provided at install time>

ID immutabile della regola di raccolta dati:<variable value provided at install time>

Connettore Push di Log Firewall NSS per l'accesso Internet Cloud Zscaler

Supportato da:Zscaler

Il connettore Zscaler offre la possibilità di leggere i dati di log del firewall ZIA in Microsoft Sentinel.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

CommonSecurityLog Sì Sì

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

Prerequisiti:

Microsoft Entra: Permesso di creare una registrazione di un'app in Microsoft Entra ID. In genere richiede Entra ruolo sviluppatore di applicazioni ID o superiore.

Microsoft Azure: Permesso di assegnare il ruolo di Monitoring Metrics Publisher sulla regola di raccolta dati (DCR). In genere richiede Azure ruolo Proprietario controllo degli accessi in base al ruolo o Amministratore accesso utente

Istruzioni per l'installazione:

1. Creare risorse ARM e fornire i permessi richiesti:

Questo connettore legge i dati dalle tabelle usate da Jamf Protect in un'area di lavoro di Microsoft Analytics, se l'opzione di inoltro dei dati è abilitata in Jamf Protect, i dati degli eventi non elaborati vengono inviati all'API di inserimento Microsoft Sentinel.

La configurazione automatizzata e l'inserimento sicuro dei dati con Entra'applicazione facendo clic su "Distribuisci" attiveranno la creazione di tabelle di Log Analytics e di una regola di raccolta dati (DCR). Verrà quindi creata un'applicazione Entra, verrà collegato il DCR e verrà impostato il segreto immesso nell'applicazione. Questa configurazione consente di inviare i dati in modo sicuro al DCR usando un token di Entra.

2. Spingi i tuoi log nello spazio di lavoro:

Usare i parametri seguenti per configurare il computer per inviare i log all'area di lavoro.

ID Tenant (ID Directory):<variable value provided at install time>

ID Domanda di Registrazione Entra App:<variable value provided at install time>

Segreto per la registrazione dell'app Entra:<variable value provided at install time>

Data Collection Endpoint Uri:<variable value provided at install time>

ID immutabile della regola di raccolta dati:<variable value provided at install time>

Connettore push log di Zscaler Internet Access Cloud NSS

Supportato da:Zscaler

Il connettore Zscaler offre la possibilità di leggere i dati di log del tunnel ZIA in Microsoft Sentinel.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

CommonSecurityLog Sì Sì

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

Prerequisiti:

Microsoft Entra: Permesso di creare una registrazione di un'app in Microsoft Entra ID. In genere richiede Entra ruolo sviluppatore di applicazioni ID o superiore.

Microsoft Azure: Permesso di assegnare il ruolo di Monitoring Metrics Publisher sulla regola di raccolta dati (DCR). In genere richiede Azure ruolo Proprietario controllo degli accessi in base al ruolo o Amministratore accesso utente

Istruzioni per l'installazione:

1. Creare risorse ARM e fornire i permessi richiesti:

Questo connettore legge i dati dalle tabelle usate da Zscaler in un'area di lavoro di Microsoft Analytics, se l'opzione Cloud NSS è abilitata in Zscaler, i dati degli eventi non elaborati vengono inviati all'API di inserimento Microsoft Sentinel.

La configurazione automatizzata e l'inserimento sicuro dei dati con Entra'applicazione facendo clic su "Distribuisci" attiveranno la creazione di tabelle di Log Analytics e di una regola di raccolta dati (DCR). Verrà quindi creata un'applicazione Entra, verrà collegato il DCR e verrà impostato il segreto immesso nell'applicazione. Questa configurazione consente di inviare i dati in modo sicuro al DCR usando un token di Entra.

2. Spingi i tuoi log nello spazio di lavoro:

Usare i parametri seguenti per configurare il computer per inviare i log all'area di lavoro.

ID Tenant (ID Directory):<variable value provided at install time>

ID Domanda di Registrazione Entra App:<variable value provided at install time>

Segreto per la registrazione dell'app Entra:<variable value provided at install time>

Data Collection Endpoint Uri:<variable value provided at install time>

ID immutabile della regola di raccolta dati:<variable value provided at install time>

Connettore push log Web NSS cloud di Zscaler Internet Access

Supportato da:Zscaler

Il connettore Zscaler offre la possibilità di leggere i dati dei log Web di ZIA in Microsoft Sentinel.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

CommonSecurityLog Sì Sì

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

Prerequisiti:

Microsoft Entra: Permesso di creare una registrazione di un'app in Microsoft Entra ID. In genere richiede Entra ruolo sviluppatore di applicazioni ID o superiore.

Microsoft Azure: Permesso di assegnare il ruolo di Monitoring Metrics Publisher sulla regola di raccolta dati (DCR). In genere richiede Azure ruolo Proprietario controllo degli accessi in base al ruolo o Amministratore accesso utente

Istruzioni per l'installazione:

1. Creare risorse ARM e fornire i permessi richiesti:

Questo connettore legge i dati dalle tabelle usate da Jamf Protect in un'area di lavoro di Microsoft Analytics, se l'opzione di inoltro dei dati è abilitata in Jamf Protect, i dati degli eventi non elaborati vengono inviati all'API di inserimento Microsoft Sentinel.

La configurazione automatizzata e l'inserimento sicuro dei dati con Entra'applicazione facendo clic su "Distribuisci" attiveranno la creazione di tabelle di Log Analytics e di una regola di raccolta dati (DCR). Verrà quindi creata un'applicazione Entra, verrà collegato il DCR e verrà impostato il segreto immesso nell'applicazione. Questa configurazione consente di inviare i dati in modo sicuro al DCR usando un token di Entra.

2. Spingi i tuoi log nello spazio di lavoro:

Usare i parametri seguenti per configurare il computer per inviare i log all'area di lavoro.

ID Tenant (ID Directory):<variable value provided at install time>

ID Domanda di Registrazione Entra App:<variable value provided at install time>

Segreto per la registrazione dell'app Entra:<variable value provided at install time>

Data Collection Endpoint Uri:<variable value provided at install time>

ID immutabile della regola di raccolta dati:<variable value provided at install time>

Connettori dati Sentinel deprecati

Nota

Nella tabella seguente sono elencati i connettori dati deprecati e legacy. I connettori deprecati non sono più supportati.

[Deprecato] Log di autenticazione0 (usando la funzione Azure) (usando Funzioni di Azure)

Supportato da:Microsoft Corporation

Il connettore dati Auth0 Logs (usando Azure Function) offre la possibilità di inserire gli eventi di log di Auth0 in Microsoft Sentinel

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

Auth0AM_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Autorizzazioni Microsoft.Web/sites: sono necessarie autorizzazioni di lettura e scrittura per Funzioni di Azure per creare un'app per le funzioni. Per altre informazioni, vedere Funzioni di Azure.

Credenziali/autorizzazioni dell'API REST: è necessario il token API . Per altre informazioni, vedere Token API

Istruzioni per l'installazione:

NOTA: Questo connettore usa Funzioni di Azure per connettersi alle API di gestione di Auth0 per eseguire il pull dei log in Microsoft Sentinel. Ciò potrebbe comportare costi aggiuntivi per l'inserimento di dati. Per informazioni dettagliate, controllare la pagina dei prezzi Funzioni di Azure.

(Passaggio facoltativo) Archiviare in modo sicuro le chiavi o i token di autorizzazione api e dell'area di lavoro in Azure Key Vault. Azure Key Vault fornisce un meccanismo sicuro per archiviare e recuperare i valori delle chiavi. Seguire queste istruzioni per usare Azure Key Vault con un'app per le funzioni Azure.

PASSAGGIO 1 - Procedura di configurazione per l'API di gestione di Auth0

Seguire le istruzioni per ottenere le credenziali.

Nel dashboard di Auth0 passare ad Applicazioni > applicazioni.

Selezionare l'applicazione. Deve trattarsi di un'applicazione "Da computer a computer" configurata con almeno autorizzazioni read:logs e read:logs_users .

Copiare dominio, CLIENTID, segreto client

PASSAGGIO 2- Scegliere UNO tra le due opzioni di distribuzione seguenti per distribuire il connettore e la funzione Azure associata

IMPORTANTE: Prima di distribuire il connettore dati Auth0 Access Management, fare in modo che l'ID area di lavoro e la chiave primaria dell'area di lavoro siano copiati da quanto segue.

ID area di lavoro: <valore variabile fornito in fase di installazione>

Chiave primaria: <valore variabile fornito in fase di installazione>

Opzione 1 - Modello Azure Resource Manager (ARM)

Usare questo metodo per la distribuzione automatica del connettore dati Auth0 Access Management usando un modello di Resource Manager.

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms

Selezionare la sottoscrizione, il gruppo di risorse e la località preferiti.

NOTA: All'interno dello stesso gruppo di risorse, non è possibile combinare app Windows e Linux nella stessa area. Selezionare un gruppo di risorse esistente senza app di Windows o creare un nuovo gruppo di risorse. 3. Immettere dominio, CLIENTID, segreto client, AzureSentinelWorkspaceId, AzureSentinelSharedKey. 4. Contrassegnare la casella di controllo etichettata Accetto i termini e le condizioni indicati sopra. 5. Fare clic su Acquista per distribuire.

Opzione 2 - Distribuzione manuale di Funzioni di Azure

Usare le istruzioni dettagliate seguenti per distribuire manualmente il connettore dati Auth0 Access Management con Funzioni di Azure (distribuzione tramite Visual Studio Code).

Distribuire un'app per le funzioni

NOTA: Sarà necessario preparare vs code per lo sviluppo di funzioni Azure.

Scaricare il file dell'app per le funzioni Azure. Estrarre l'archivio nel computer di sviluppo locale.

Avviare VS Code. Scegliere File nel menu principale e selezionare Apri cartella.

Selezionare la cartella di primo livello dai file estratti.

Scegliere l'icona Azure nella barra attività, quindi nell'area Azure: Funzioni scegliere il pulsante Distribuisci nell'app per le funzioni. Se non è già stato eseguito l'accesso, scegliere l'icona Azure nella barra attività, quindi nell'area Azure: Funzioni scegliere Accedi a Azure Se si è già connessi, passare al passaggio successivo.

Fornire le informazioni seguenti alle richieste:

a. Selezionare la cartella: Scegliere una cartella dall'area di lavoro o passare a una cartella contenente l'app per le funzioni.

b. Selezionare Sottoscrizione: Scegliere la sottoscrizione da usare.

c. Selezionare Crea nuova app per le funzioni in Azure (non scegliere l'opzione Avanzate)

d. Immettere un nome univoco globale per l'app per le funzioni: Digitare un nome valido in un percorso URL. Il nome digitato viene convalidato per assicurarsi che sia univoco in Funzioni di Azure. (ad esempio Auth0AMXXXXX).

e. Selezionare un runtime: Scegliere Python 3.11.

f. Selezionare una posizione per le nuove risorse. Per ottenere prestazioni migliori e costi inferiori, scegliere la stessa area in cui si trova Microsoft Sentinel.

Verrà avviata la distribuzione. Una notifica viene visualizzata dopo la creazione dell'app per le funzioni e l'applicazione del pacchetto di distribuzione.

Passare a portale di Azuree per la configurazione dell'app per le funzioni.

Configurare l'app per le funzioni

Nell'app per le funzioni selezionare nome dell'app per le funzioni e selezionare Configurazione.

Nella scheda Impostazioni applicazione selezionare Nuova impostazione applicazione.

Aggiungere ognuna delle impostazioni dell'applicazione seguenti singolarmente, con i rispettivi valori stringa (con distinzione tra maiuscole e minuscole): DOMAIN CLIENT_ID CLIENT_SECRET WorkspaceID WorkspaceKey logAnalyticsUri (facoltativo)

Usare logAnalyticsUri per eseguire l'override dell'endpoint DELL'API log analytics per il cloud dedicato. Ad esempio, per il cloud pubblico, lasciare il valore vuoto; per Azure ambito cloud GovUS, specificare il valore nel formato seguente: https://<CustomerId>.ods.opinsights.azure.us.

Dopo aver immesso tutte le impostazioni dell'applicazione, fare clic su Salva.

[Deprecato] Eventi Box (usando Azure Function) (usando Funzioni di Azure)

Supportato da:Microsoft Corporation

Il connettore dati Box consente di inserire gli eventi aziendali di Box in Microsoft Sentinel usando l'API REST Box. Per altre informazioni, vedere la documentazione di Box .

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

BoxEvents_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Autorizzazioni Microsoft.Web/sites: sono necessarie autorizzazioni di lettura e scrittura per Funzioni di Azure per creare un'app per le funzioni. Per altre informazioni, vedere Funzioni di Azure.

Credenziali DELL'API Box: il file JSON di configurazione box è necessario per l'autenticazione JWT dell'API REST Box. Per altre informazioni, vedere Autenticazione JWT.

Istruzioni per l'installazione:

NOTA: Questo connettore usa Funzioni di Azure per connettersi all'API REST Box per eseguire il pull dei log in Microsoft Sentinel. Ciò potrebbe comportare costi aggiuntivi per l'inserimento di dati. Per informazioni dettagliate, controllare la pagina dei prezzi Funzioni di Azure.

(Passaggio facoltativo) Archiviare in modo sicuro le chiavi o i token di autorizzazione api e dell'area di lavoro in Azure Key Vault. Azure Key Vault fornisce un meccanismo sicuro per archiviare e recuperare i valori delle chiavi. Seguire queste istruzioni per usare Azure Key Vault con un'app per le funzioni Azure.

NOTA: Questo connettore dipende da un parser basato sulla funzione Kusto per funzionare come previsto BoxEvents che viene distribuito con la soluzione Microsoft Sentinel.

PASSAGGIO 1 - Configurazione della raccolta di eventi Box

Vedere la documentazione per configurare l'autenticazione JWT e ottenere il file JSON con le credenziali.

PASSAGGIO 2- Scegliere UNO tra le due opzioni di distribuzione seguenti per distribuire il connettore e la funzione Azure associata

IMPORTANTE: Prima di distribuire il connettore dati Box, fare in modo che l'ID area di lavoro e la chiave primaria dell'area di lavoro (che possono essere copiati da quanto segue) e il file di configurazione JSON box siano immediatamente disponibili.

ID area di lavoro: <valore variabile fornito in fase di installazione>

Chiave primaria: <valore variabile fornito in fase di installazione>

Opzione 1 - Modello Azure Resource Manager (ARM)

Usare questo metodo per la distribuzione automatica del connettore dati Box usando un modello arm.

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms

Selezionare la sottoscrizione, il gruppo di risorse e la località preferiti.

Immettere AzureSentinelWorkspaceId, AzureSentinelSharedKey, BoxConfigJSON

Contrassegnare la casella di controllo con l'etichetta Accetto i termini e le condizioni indicati sopra.

Fare clic su Acquista per distribuire.

Opzione 2 - Distribuzione manuale di Funzioni di Azure

Usare le istruzioni dettagliate seguenti per distribuire manualmente il connettore dati Box con Funzioni di Azure (distribuzione tramite Visual Studio Code).

Passaggio 1 - Distribuire un'app per le funzioni

Scaricare il file dell'app per le funzioni Azure. Estrarre l'archivio nel computer di sviluppo locale.

Seguire le istruzioni di distribuzione manuale dell'app per le funzioni per distribuire l'app Funzioni di Azure usando VSCode.

Dopo aver completato la distribuzione dell'app per le funzioni, seguire i passaggi successivi per configurarla.

Passaggio 2- Configurare l'app per le funzioni

Passare a portale di Azuree per la configurazione dell'app per le funzioni.

Nell'app per le funzioni selezionare nome dell'app per le funzioni e selezionare Configurazione.

Nella scheda Impostazioni applicazione selezionare + Nuova impostazione applicazione.

Aggiungere ognuna delle impostazioni dell'applicazione seguenti singolarmente, con i rispettivi valori stringa (con distinzione tra maiuscole e minuscole): AzureSentinelWorkspaceId AzureSentinelSharedKey BOX_CONFIG_JSON logAnalyticsUri (facoltativo)

Usare logAnalyticsUri per eseguire l'override dell'endpoint DELL'API log analytics per il cloud dedicato. Ad esempio, per il cloud pubblico, lasciare il valore vuoto; per Azure ambito cloud GovUS, specificare il valore nel formato seguente: https://<CustomerId>.ods.opinsights.azure.us.

Dopo aver immesso tutte le impostazioni dell'applicazione, fare clic su Salva.

[Deprecato] Log di controllo di GitHub Enterprise

Supportato da:Microsoft Corporation

Il connettore del log di controllo di GitHub offre la possibilità di inserire i log di GitHub in Microsoft Sentinel. Connettendo i log di controllo di GitHub a Microsoft Sentinel, è possibile visualizzare questi dati nelle cartelle di lavoro, usarli per creare avvisi personalizzati e migliorare il processo di indagine.

Nota: Se si intende inserire gli eventi sottoscritti da GitHub in Microsoft Sentinel, fare riferimento a Connettore GitHub (usando webhook) dalla raccolta "Connettori dati".

NOTA: questo connettore dati è stato deprecato, prendere in considerazione il passaggio al connettore dati CCF disponibile nella soluzione che sostituisce l'inserimento tramite l'API agente di raccolta dati HTTP deprecata.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

GitHubAuditLogPolling_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Token di accesso personale dell'API GitHub: è necessario un token di accesso personale di GitHub per abilitare il polling per il log di controllo dell'organizzazione. È possibile usare un token classico con ambito 'read:org' oppure un token con granularità fine con ambito 'Amministrazione: sola lettura'.

Tipo GitHub Enterprise: questo connettore funzionerà solo con GitHub Enterprise Cloud; non supporterà GitHub Enterprise Server.

Istruzioni per l'installazione:

Connettere il log di controllo a livello di organizzazione di GitHub Enterprise a Microsoft Sentinel

Abilitare i log di controllo di GitHub. Seguire questa guida per creare o trovare il token di accesso personale.

[Deprecato] Infoblox SOC Insight Data Connector tramite l'agente legacy

Supportato da:Infoblox

Infoblox SOC Insight Data Connector consente di connettere facilmente i dati di Infoblox BloxOne SOC Insight con Microsoft Sentinel. Connettendo i log a Microsoft Sentinel, è possibile sfruttare i vantaggi della ricerca & correlazione, avvisi e arricchimento dell'intelligence sulle minacce per ogni log.

Questo connettore dati inserisce i log di Infoblox SOC Insight CDC nell'area di lavoro Log Analytics usando l'agente log analytics legacy.

Microsoft consiglia l'installazione di Infoblox SOC Insight Data Connector tramite AMA Connector. Il connettore legacy usa l'agente di Log Analytics che sta per essere deprecato entro il 31 agosto 2024 e deve essere installato solo quando AMA non è supportato.

L'uso di MMA e AMA nello stesso computer può causare la duplicazione del log e costi di inserimento aggiuntivi. Altri dettagli.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

CommonSecurityLog Sì Sì

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

Istruzioni per l'installazione:

Chiavi dell'area di lavoro

Per usare i playbook come parte di questa soluzione, trovare l'ID area di lavoro e la chiave primaria dell'area di lavoro di seguito per praticità.

ID area di lavoro: <valore variabile fornito in fase di installazione>

Chiave area di lavoro: <valore variabile fornito in fase di installazione>

Parser

Questo connettore dati dipende da un parser basato su una funzione Kusto per funzionare come previsto denominato InfobloxCDC_SOCInsights distribuito con la soluzione Microsoft Sentinel.

Approfondimenti SOC

Questo connettore dati presuppone l'accesso a Infoblox BloxOne Threat Defense SOC Insights. Altre informazioni su SOC Insights sono disponibili qui.

Connettore Dati Infoblox Cloud

Questo connettore dati presuppone che sia già stato creato e configurato un host di Infoblox Data Connector nel portale di infoblox Servizi cloud (CSP). Poiché Infoblox Data Connector è una funzionalità di BloxOne Threat Defense, è necessario l'accesso a una sottoscrizione di BloxOne Threat Defense appropriata. Per altre informazioni e requisiti di licenza, vedere questa guida introduttiva .

1. Linux configurazione dell'agente Syslog

Installare e configurare l'agente Linux per raccogliere i messaggi syslog CEF (Common Event Format) e inoltrarli a Microsoft Sentinel.

Si noti che i dati di tutte le aree verranno archiviati nell'area di lavoro selezionata

1.1 Selezionare o creare un computer Linux

Selezionare o creare un computer Linux che Microsoft Sentinel userà come proxy tra la soluzione di sicurezza e Microsoft Sentinel il computer può trovarsi nell'ambiente locale, Azure o in altri cloud.

1.2 Installare l'agente di raccolta CEF nel computer Linux

Installare Microsoft Monitoring Agent nel computer Linux e configurare il computer in modo che sia in ascolto sulla porta necessaria e inoltrare i messaggi all'area di lavoro Microsoft Sentinel. L'agente di raccolta CEF raccoglie i messaggi CEF sulla porta 514 TCP.

Assicurarsi di avere Python nel computer usando il comando seguente: python -version.

È necessario disporre di autorizzazioni elevate (sudo) nel computer.

Eseguire il comando seguente per installare e applicare il valore della variabile CEF collector:: <fornito in fase di installazione>

2. All'interno del portale di Infoblox Servizi cloud configurare Infoblox BloxOne per inviare i dati cef Syslog al connettore dati cloud Infoblox da inoltrare all'agente Syslog

Seguire la procedura seguente per configurare infoblox CDC per inviare dati BloxOne a Microsoft Sentinel tramite l'agente syslog Linux.

Passare a Gestisci > connettore dati.

Fare clic sulla scheda Configurazione destinazione nella parte superiore.

Fare clic su Crea > syslog.

Nome: assegnare alla nuova destinazione un nome significativo, ad esempio Microsoft-Sentinel-Destination.

Descrizione: specificare facoltativamente una descrizione significativa.

Stato: impostare lo stato su Abilitato.

Formato: impostare il formato su CEF.

FQDN/IP: immettere l'indirizzo IP del dispositivo Linux in cui è installato l'agente Linux.

Porta: lasciare il numero di porta 514.

Protocollo: selezionare il protocollo desiderato e il certificato ca, se applicabile.

Fare clic su Salva & Chiudi.

Fare clic sulla scheda Configurazione flusso di traffico nella parte superiore.

Fare clic su Crea.

Nome: assegnare al nuovo flusso di traffico un nome significativo, ad esempio Microsoft-Sentinel-Flow.

Descrizione: specificare facoltativamente una descrizione significativa.

Stato: impostare lo stato su Abilitato.

Espandere la sezione Istanza del servizio .

Istanza del servizio: selezionare l'istanza del servizio desiderata per cui è abilitato il servizio Connettore dati.

Espandere la sezione Configurazione origine .

Origine: selezionare BloxOne Cloud Source.

Selezionare il tipo di log delle notifiche interne .

Espandere la sezione Configurazione di destinazione .

Selezionare la destinazione appena creata.

Fare clic su Salva & Chiudi.

Consentire l'attivazione della configurazione.

3. Convalidare la connessione

Seguire le istruzioni per convalidare la connettività:

Aprire Log Analytics per verificare se i log vengono ricevuti usando lo schema CommonSecurityLog.

Potrebbero essere necessari circa 20 minuti prima che la connessione flussi i dati all'area di lavoro.

Se i log non vengono ricevuti, eseguire lo script di convalida della connettività seguente:

Assicurarsi di avere Python nel computer usando il comando seguente: python -version

È necessario disporre di autorizzazioni elevate (sudo) nel computer

Eseguire il comando seguente per convalidare la connettività:: <valore variabile fornito in fase di installazione>

**4. Proteggere il computer **

Assicurarsi di configurare la sicurezza del computer in base ai criteri di sicurezza dell'organizzazione

Ulteriori informazioni >

[Deprecato] Log di sicurezza IONIX (push)

Supportato da:IONIX

⚠️ Questo connettore è deprecato e verrà rimosso a giugno 2026. Usare invece il nuovo connettore "IONIX Security Logs (tramite Codeless Connector Framework)", che fornisce il polling giornaliero automatico senza richiedere la configurazione manuale nel portale IONIX.

Il connettore dati IONIX Security Logs inserisce i log dal sistema IONIX direttamente in Sentinel. Il connettore consente agli utenti di visualizzare i dati, creare avvisi e eventi imprevisti e migliorare le indagini sulla sicurezza.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

CyberpionActionItems_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Sottoscrizione IONIX: è necessaria una sottoscrizione e un account per i log IONIX. Uno può essere acquisito qui.

Istruzioni per l'installazione:

Seguire le istruzioni per integrare gli avvisi di sicurezza IONIX in Sentinel.

ID area di lavoro: <valore variabile fornito in fase di installazione>

Chiave primaria: <valore variabile fornito in fase di installazione>

[Deprecato] Ricerca

Supportato da:Lookout

Il connettore dati Lookout offre la possibilità di inserire gli eventi Lookout in Microsoft Sentinel tramite l'API Rischio per dispositivi mobili. Per altre informazioni, vedere la documentazione dell'API . Il connettore dati Lookout offre la possibilità di ottenere eventi che consentono di esaminare i potenziali rischi per la sicurezza e altro ancora.

NOTA: questo connettore dati è stato deprecato, prendere in considerazione il passaggio al connettore dati CCF disponibile nella soluzione che sostituisce l'inserimento tramite l'API agente di raccolta dati HTTP deprecata.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

Lookout_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Autorizzazioni Microsoft.Web/sites: sono necessarie autorizzazioni di lettura e scrittura per Funzioni di Azure per creare un'app per le funzioni. Per altre informazioni, vedere Funzioni di Azure.

Credenziali/autorizzazioni dell'API di rischio per dispositivi mobili: EnterpriseName & ApiKey sono necessari per l'API di rischio per dispositivi mobili. Per altre informazioni, vedere API. Controllare tutti i requisiti e seguire le istruzioni per ottenere le credenziali.

Istruzioni per l'installazione:

NOTA: Questo connettore di dati Lookout usa Funzioni di Azure per connettersi all'API Di rischio per dispositivi mobili per eseguire il pull dei relativi eventi in Microsoft Sentinel. Ciò potrebbe comportare costi aggiuntivi per l'inserimento di dati. Per informazioni dettagliate, controllare la pagina dei prezzi Funzioni di Azure.

NOTA: Questo connettore dati dipende da un parser basato su una funzione Kusto per funzionare come previsto LookoutEvents distribuito con la soluzione Microsoft Sentinel.

PASSAGGIO 1 - Procedura di configurazione per l'API di rischio per dispositivi mobili

Seguire le istruzioni per ottenere le credenziali.

PASSAGGIO 2: seguire le istruzioni riportate di seguito per distribuire il connettore dati Lookout e la funzione di Azure associata

IMPORTANTE: Prima di avviare la distribuzione del connettore di dati Lookout , assicurarsi che l'ID area di lavoro e la chiave dell'area di lavoro siano pronti (può essere copiato da quanto segue).

ID area di lavoro: <valore variabile fornito in fase di installazione>

Chiave area di lavoro: <valore variabile fornito in fase di installazione>

Modello Azure Resource Manager (ARM)

Seguire la procedura seguente per la distribuzione automatizzata del connettore dati Lookout usando un modello di Resource Manager.

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms

Selezionare la sottoscrizione, il gruppo di risorse e l'area preferiti.

NOTA: All'interno dello stesso gruppo di risorse, non è possibile combinare app Windows e Linux nella stessa area. Selezionare un gruppo di risorse esistente senza app di Windows o creare un nuovo gruppo di risorse. 3. Immettere il nome della funzione, l'ID area di lavoro, la chiave dell'area di lavoro, il nome dell'organizzazione & la chiave API e distribuirvi. 4. Fare clic su Crea per distribuire.

[Deprecato] Log ed eventi di Microsoft Exchange

Supportato da:Community

Deprecato, usare i connettori dati "ESI-Opt". È possibile trasmettere tutti gli eventi di controllo di Exchange, i log IIS, i log del proxy HTTP e i log degli eventi di sicurezza dai computer Windows connessi all'area di lavoro Microsoft Sentinel usando l'agente Di Windows. Questa connessione consente di visualizzare i dashboard, creare avvisi personalizzati e migliorare l'analisi. Viene usato dalle cartelle di lavoro di sicurezza di Microsoft Exchange per fornire informazioni dettagliate sulla sicurezza dell'ambiente Exchange locale

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

Event Sì No

SecurityEvent Sì Sì

W3CIISLog Sì No

MessageTrackingLog_CL No No

ExchangeHttpProxy_CL No No

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

Prerequisiti:

Log Analytics di Azure verrà deprecato per raccogliere dati da macchine virtuali non Azure, è consigliabile Azure Arc. Altre informazioni

Documentazione dettagliata: >NOTA: La documentazione dettagliata sulla procedura di installazione e sull'utilizzo è disponibile qui

Istruzioni per l'installazione:

NOTA: Questa soluzione si basa sulle opzioni. In questo modo è possibile scegliere quali dati verranno inseriti perché alcune opzioni possono generare un volume di dati molto elevato. A seconda di ciò che si vuole raccogliere, tenere traccia delle funzionalità Cartelle di lavoro, Regole di analisi e Ricerca che si sceglieranno le opzioni che si distribuiranno. Ogni opzione è indipendente per una dall'altra. Per altre informazioni su ogni opzione: wiki "Microsoft Exchange Security"

1. Scaricare e installare gli agenti necessari per raccogliere i log per Microsoft Sentinel

Il tipo di server (Exchange Server, Controller di dominio collegati a Exchange Server o a tutti i controller di dominio) dipende dall'opzione che si vuole distribuire.

Distribuire gli agenti di monitoraggio

Questo passaggio è necessario solo se è la prima volta che si esegue l'onboarding di Exchange Server/Controller di dominio

Selezionare l'agente da installare nei server per raccogliere i log:

[Preferito] agente di monitoraggio Azure tramite Azure Arc

Distribuire l'agente Azure Arc Altre informazioni

Installare Azure'agente di Log Analytics (deprecato il 08/31/2024)

Scaricare l'agente di Log Analytics Azure e scegliere il metodo di distribuzione nel collegamento seguente.

Install Agent: <valore variabile fornito in fase di installazione>

2. Distribuire l'injestion di log seguendo le opzioni selezionate

[Opzione 1] Raccolta di log di gestione di MS Exchange

Selezionare come trasmettere i log eventi di MS Exchange Amministrazione Audit

Registri eventi di Ms Exchange Amministrazione Audit

Regole di raccolta dati - Quando viene usato Azure'agente di monitoraggio

Abilitare la regola di raccolta dati Microsoft Exchange Amministrazione i log degli eventi di controllo vengono raccolti solo dagli agenti Windows.

Opzione 1 - Modello Azure Resource Manager (ARM)

Usare questo metodo per la distribuzione automatica del DCR.

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms

Selezionare la sottoscrizione, il gruppo di risorse e la località preferiti.

Immettere il nome dell'area di lavoro 'e/o Altri campi obbligatori'.

Contrassegnare la casella di controllo con l'etichetta Accetto i termini e le condizioni indicati sopra.

Fare clic su Acquista per distribuire.

Opzione 2 - Distribuzione manuale di Automazione di Azure

Usare le istruzioni dettagliate seguenti per distribuire manualmente una regola di raccolta dati.

R. Creare il registro eventi di tipo DCR

Nel portale di Azure passare a Azure Regole di raccolta dati.

Fare clic su + Crea nella parte superiore.

Nella scheda Informazioni di base compilare i campi necessari, Selezionare Windows come tipo di piattaforma e assegnare un nome al registro azure container.

Nella scheda Risorse immettere Exchange Server.

In "Raccogliere e recapitare" aggiungere un tipo di origine dati "Registri eventi di Windows" e selezionare l'opzione "Personalizzato", immettere "Gestione MSExchange" come espressione e aggiungerla.

"Apportare altre modifiche di configurazione preferibili", se necessario, quindi fare clic su Crea.

Assegnare il DCR a tutti i server Exchange

Aggiungere tutti i server Exchange al Registro Azure Container

Regole di raccolta dati : quando viene usato l'agente di Log Analytics Azure legacy

Configurare i log da raccogliere

Configurare gli eventi da raccogliere e le relative gravità.

In Gestione agenti legacy dell'area di lavoro selezionare Registri eventi di Windows.

Fare clic su Add Windows event log (Aggiungi registro eventi di Windows) e immettere MSExchange Management (Gestione MSExchange ) come nome del log.

Raccogliere tipi di errore, avviso e informazioni

Fare clic su Salva.

Install Agent: <valore variabile fornito in fase di installazione>

[Opzione 2] Log di sicurezza/applicazione/sistema di Exchange Server

Selezionare come trasmettere i log di sicurezza/applicazione/sistema di Exchange Server

Raccolta di log eventi di sicurezza

Regole di raccolta dati - Log eventi di sicurezza

Abilitare la regola di raccolta dati per i log di sicurezza I log degli eventi di sicurezza vengono raccolti solo dagli agenti Windows .

Aggiungere Exchange Server nella scheda Risorse .

Selezionare Livello di log di sicurezza

Il livello comune è il livello minimo richiesto. Selezionare 'Common' o 'All Security Events' (Tutti gli eventi di sicurezza) nella definizione DCR.

Install Agent: <valore variabile fornito in fase di installazione>

Raccolta di registri eventi di sistema e applicazioni

Regole di raccolta dati - Quando viene usato Azure'agente di monitoraggio

Abilitare i log degli eventi di sistema e applicazione della regola di raccolta dati vengono raccolti solo dagli agenti Windows .

Opzione 1 - Modello Azure Resource Manager (ARM)

Usare questo metodo per la distribuzione automatica del DCR.

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms

Selezionare la sottoscrizione, il gruppo di risorse e la località preferiti.

Immettere il nome dell'area di lavoro 'e/o Altri campi obbligatori'.

Contrassegnare la casella di controllo con l'etichetta Accetto i termini e le condizioni indicati sopra.

Fare clic su Acquista per distribuire.

Opzione 2 - Distribuzione manuale di Automazione di Azure

Usare le istruzioni dettagliate seguenti per distribuire manualmente una regola di raccolta dati.

R. Creare il registro eventi di tipo DCR

Nel portale di Azure passare a Azure Regole di raccolta dati.

Fare clic su + Crea nella parte superiore.

Nella scheda Informazioni di base compilare i campi necessari, Selezionare Windows come tipo di piattaforma e assegnare un nome al registro azure container.

Nella scheda Risorse immettere Exchange Server.

In "Raccogliere e recapitare" aggiungere un tipo di origine dati "Registri eventi di Windows" e selezionare l'opzione "Basic".

Per Applicazione selezionare "Critico", "Errore" e "Avviso". Per Sistema selezionare Critico/Errore/Avviso/Informazioni.

"Apportare altre modifiche di configurazione preferibili", se necessario, quindi fare clic su Crea.

Assegnare il DCR a tutti i server Exchange

Aggiungere tutti i server Exchange al Registro Azure Container

Regole di raccolta dati : quando viene usato l'agente di Log Analytics Azure legacy

Configurare i log da raccogliere

Configurare gli eventi da raccogliere e le relative gravità.

In Configurazione impostazioni avanzate dell'area di lavoro selezionare Dati e quindi Registri eventi di Windows.

Fare clic su Aggiungi registro eventi di Windows e cercare Applicazione come nome del log.

Fare clic su Aggiungi registro eventi di Windows e cercare Sistema come nome del log.

Raccogliere i tipi Di errore (per tutti), Avviso (per tutti) e Informazioni (per Sistema)

Fare clic su Salva.

Install Agent: <valore variabile fornito in fase di installazione>

[Opzione 3 e 4] Log di sicurezza dei controller di dominio

Selezionare come trasmettere i log di sicurezza dei controller di dominio. Se si vuole implementare l'opzione 3, è sufficiente selezionare DC nello stesso sito di Exchange Servers. Se si vuole implementare l'opzione 4, è possibile selezionare tutti i controller di dominio della foresta.

[Opzione 3] Elencare solo i controller di dominio nello stesso sito di Exchange Server per il passaggio successivo

In questo modo viene limitata la quantità di dati inclusi, ma non è possibile rilevare alcuni eventi imprevisti.

[Opzione 4] Elencare tutti i controller di dominio della foresta Active-Directory per il passaggio successivo

Ciò consente di raccogliere tutti gli eventi di sicurezza

Raccolta di log eventi di sicurezza

Regole di raccolta dati - Log eventi di sicurezza

Abilitare la regola di raccolta dati per i log di sicurezza I log degli eventi di sicurezza vengono raccolti solo dagli agenti Windows .

Aggiungere i controller di dominio selezionati nella scheda Risorse .

Selezionare Livello di log di sicurezza

Il livello comune è il livello minimo richiesto. Selezionare 'Common' o 'All Security Events' (Tutti gli eventi di sicurezza) nella definizione DCR.

Install Agent: <valore variabile fornito in fase di installazione>

[Opzione 5] Log IIS dei server Exchange

Selezionare come trasmettere i log IIS dei server Exchange

Regole di raccolta dati - Quando viene usato Azure'agente di monitoraggio

Abilitare i log IIS delle regole di raccolta dati vengono raccolti solo dagli agenti Windows .

Opzione 1 - Modello Azure Resource Manager (ARM)

Usare questo metodo per la distribuzione automatica di DCE e DCR.

R. Creare DCE (se non è già stato creato per exchange server)

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms

Selezionare la sottoscrizione, il gruppo di risorse e la località preferiti.

È possibile modificare il nome proposto del controller di dominio.

Fare clic su Crea per distribuire.

B. Distribuire la regola di connessione dati

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms

Selezionare la sottoscrizione, il gruppo di risorse e la località preferiti.

Immettere l'ID area di lavoro 'e/o Altri campi obbligatori'.

Contrassegnare la casella di controllo con l'etichetta Accetto i termini e le condizioni indicati sopra.

Fare clic su Acquista per distribuire.

Opzione 2 - Distribuzione manuale di Automazione di Azure

Usare le istruzioni dettagliate seguenti per distribuire manualmente una regola di raccolta dati.

R. Creare DCE (se non è già stato creato per exchange server)

Dal portale di Azure passare a Azure Endpoint raccolta dati.

Fare clic su + Crea nella parte superiore.

Nella scheda Informazioni di base compilare i campi obbligatori e assegnare un nome al controller di dominio.

"Apportare altre modifiche di configurazione preferibili", se necessario, quindi fare clic su Crea.

B. Creare DCR, digitare il log IIS

Nel portale di Azure passare a Azure Regole di raccolta dati.

Fare clic su + Crea nella parte superiore.

Nella scheda Informazioni di base compilare i campi necessari, Selezionare Windows come tipo di piattaforma e assegnare un nome al registro azure container. Selezionare il controller di dominio creato.

Nella scheda Risorse immettere Exchange Server.

In "Raccogliere e recapitare" aggiungere un tipo di origine dati "log IIS" (non immettere un percorso se il percorso dei log IIS è configurato per impostazione predefinita). Fare clic su 'Aggiungi origine dati'

"Apportare altre modifiche di configurazione preferibili", se necessario, quindi fare clic su Crea.

Assegnare il DCR a tutti i server Exchange

Aggiungere tutti i server Exchange al Registro Azure Container

Regole di raccolta dati : quando viene usato l'agente di Log Analytics Azure legacy

Configurare i log da raccogliere

Configurare gli eventi da raccogliere e le relative gravità.

In Impostazioni avanzate dell'area di lavoro Configurazione selezionare Dati e quindi Log IIS.

Selezionare Raccogliere file di log IIS in formato W3C

Fare clic su Salva.

Install Agent: <valore variabile fornito in fase di installazione>

[Opzione 6] Rilevamento dei messaggi dei server Exchange

Selezionare come trasmettere il rilevamento dei messaggi dei server Exchange

Regole di raccolta dati - Quando viene usato Azure'agente di monitoraggio

Abilitare la regola di raccolta dati Il rilevamento messaggi viene raccolto solo dagli agenti Windows .

Nota: attenzione, i log personalizzati nell'agente di monitoraggio sono in anteprima. La distribuzione non funziona come previsto per il momento (marzo 2023).

Opzione 1 - Modello Azure Resource Manager (ARM)

Usare questo metodo per la distribuzione automatica di DCE e DCR.

R. Creare DCE (se non è già stato creato per exchange server)

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms

Selezionare la sottoscrizione, il gruppo di risorse e la località preferiti.

È possibile modificare il nome proposto del controller di dominio.

Fare clic su Crea per distribuire.

B. Distribuire la regola di connessione dati e la tabella personalizzata

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms

Selezionare la sottoscrizione, il gruppo di risorse e la località preferiti.

Immettere l'ID area di lavoro 'e/o Altri campi obbligatori'.

Contrassegnare la casella di controllo con l'etichetta Accetto i termini e le condizioni indicati sopra.

Fare clic su Acquista per distribuire.

Opzione 2 - Distribuzione manuale di Automazione di Azure

Usare le istruzioni dettagliate seguenti per distribuire manualmente una regola di raccolta dati.

R. Creare DCE (se non è già stato creato per exchange server)

Dal portale di Azure passare a Azure Endpoint raccolta dati.

Fare clic su + Crea nella parte superiore.

Nella scheda Informazioni di base compilare i campi obbligatori e assegnare un nome al controller di dominio, ad esempio ESI-ExchangeServers.

"Apportare altre modifiche di configurazione preferibili", se necessario, quindi fare clic su Crea.

B. Creare una tabella DCR personalizzata

Scaricare il file di esempio da Microsoft Sentinel GitHub.

Nel portale Azure passare a Analisi aree di lavoro e selezionare l'area di lavoro di destinazione.

Fare clic su "Tabelle", fare clic su + Crea nella parte superiore e selezionare Nuovo log personalizzato (basato su DCR).

Nella scheda Informazioni di base immettere MessageTrackingLog nel nome della tabella, creare una regola raccolta dati con il nome DCR-Option6-MessageTrackingLogs (ad esempio) e selezionare l'endpoint di raccolta dati creato in precedenza.

Nella scheda Schema e trasformazione scegliere il file di esempio scaricato e fare clic su Editor trasformazione.

Nel campo di trasformazione immettere la richiesta KQL seguente: source | extend TimeGenerated = todatetime(['date-time']) | extend clientHostname = ['client-hostname'], clientIP = ['client-ip'], connectorId = ['connector-id'], customData = ['custom-data'], eventId = ['event-id'], internalMessageId = ['internal-message-id'], logId = ['log-id'], messageId = ['message-id'], messageInfo = ['message-info'], messageSubject = ['message-subject'], networkMessageId = ['network-message-id'], originalClientIp = ['original-client-ip'], originalServerIp = ['original-server-ip'], recipientAddress= ['recipient-address'], recipientCount= ['recipient-count'], recipientStatus= ['recipient-status'], relatedRecipientAddress= ['related-recipient-address'], returnPath= ['return-path'], senderAddress= ['sender-address'], senderHostname= ['server-hostname'], serverIp= ['server-ip'], sourceContext= ['source-context'], schemaVersion=['schema-version'], messageTrackingTenantId = ['tenant-id'], totalBytes = ['total-bytes'], transportTrafficType = ['transport-traffic-type'] | project-away ['client-ip'], ['client-hostname'], ['connector-id'], ['custom-data'], ['date-time'], ['event-id'], ['internal-message-id'], ['log-id'], ['message-id'], ['message-info'], ['message-subject'], ['network-message-id'], ['original-client-ip'], ['original-server-ip'], ['recipient-address'], ['recipient-count'], ['recipient-status'], ['related-recipient-address'], ['return-path'], ['sender-address'], ['server-hostname'], ['server-ip'], ['source-context'], [' schema-version'], ['tenant-id'], ['total-byte'], ['transport-traffic-type']

Fare clic su 'Esegui' e dopo 'Applica'.

Fare clic su Avanti, quindi su Crea.

C. Modificare il registro DCR creato, digitare il log personalizzato

Nel portale di Azure passare a Azure Regole di raccolta dati.

Selezionare il DCR creato in precedenza, ad esempio DCR-Option6-MessageTrackingLogs.

Nella scheda Risorse immettere Exchange Server.

In Origini dati aggiungere un tipo di origine dati 'Log di testo personalizzati' e immettere 'C:\Program Files\Microsoft\Exchange Server\V15\TransportRoles\Logs\MessageTracking*.log' nel modello di file, 'MessageTrackingLog_CL' in Nome tabella. 6.in campo Transform immettere la richiesta KQL seguente: source | extend TimeGenerated = todatetime(['date-time']) | extend clientHostname = ['client-hostname'], clientIP = ['client-ip'], connectorId = ['connector-id'], customData = ['custom-data'], eventId = ['event-id'], internalMessageId = ['internal-message-id'], logId = ['log-id'], messageId = ['message-id'], messageInfo = ['message-info'], messageSubject = ['message-subject'], networkMessageId = ['network-message-id'], originalClientIp = ['original-client-ip'], originalServerIp = ['original-server-ip'], recipientAddress= ['recipient-address'], recipientCount= ['recipient-count'], recipientStatus= ['recipient-status'], relatedRecipientAddress= ['related-recipient-address'], returnPath= ['return-path'], senderAddress= ['sender-address'], senderHostname= ['server-hostname'], serverIp= ['server-ip'], sourceContext= ['source-context'], schemaVersion=['schema-version'], messageTrackingTenantId = ['tenant-id'], totalBytes = ['total-bytes'], transportTrafficType = ['transport-traffic-type'] | project-away ['client-ip'], ['client-hostname'], ['connector-id'], ['custom-data'], ['date-time'], ['event-id'], ['internal-message-id'], ['log-id'], ['message-id'], ['message-info'], ['message-subject'], ['network-message-id'], ['original-client-ip'], ['original-server-ip'], ['recipient-address'], ['recipient-count'], ['recipient-status'], ['related-recipient-address'], ['return-path'], ['sender-address'], ['server-hostname'], ['server-ip'], ['source-context'], [' schema-version'], ['tenant-id'], ['total-byte'], ['transport-traffic-type']

Fare clic su "Aggiungi origine dati".

Assegnare il DCR a tutti i server Exchange

Aggiungere tutti i server Exchange al Registro Azure Container

Regole di raccolta dati : quando viene usato l'agente di Log Analytics Azure legacy

Configurare i log da raccogliere

Nella parte Impostazioni area di lavoro selezionare Tabelle, fare clic su + Crea e fare clic su Nuovo log personalizzato (basato su MMA).

Selezionare File di esempio MessageTracking Sample (Esempio di traccia) e fare clic su Avanti

Selezionare Windows e immettere il percorso C:\Program Files\Microsoft\Exchange Server\V15\TransportRoles\Logs\MessageTracking*.log. Fare clic su Avanti.

Immettere MessageTrackingLog come Nome tabella e fare clic su Avanti.

Fare clic su Salva.

Install Agent: <valore variabile fornito in fase di installazione>

[Opzione 7] Proxy HTTP dei server Exchange

Selezionare come trasmettere il proxy HTTP dei server Exchange

Regole di raccolta dati - Quando viene usato Azure'agente di monitoraggio

Abilitare la regola di raccolta dati Il rilevamento messaggi viene raccolto solo dagli agenti Windows .

Nota: attenzione, i log personalizzati nell'agente di monitoraggio sono in anteprima. La distribuzione non funziona come previsto per il momento (marzo 2023).

Opzione 1 - Modello Azure Resource Manager (ARM)

Usare questo metodo per la distribuzione automatica di DCE e DCR.

R. Creare DCE (se non è già stato creato per exchange server)

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms

Selezionare la sottoscrizione, il gruppo di risorse e la località preferiti.

È possibile modificare il nome proposto del controller di dominio.

Fare clic su Crea per distribuire.

B. Distribuire la regola di connessione dati

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms

Selezionare la sottoscrizione, il gruppo di risorse e la località preferiti.

Immettere l'ID area di lavoro 'e/o Altri campi obbligatori'.

Contrassegnare la casella di controllo con l'etichetta Accetto i termini e le condizioni indicati sopra.

Fare clic su Acquista per distribuire.

Opzione 2 - Distribuzione manuale di Automazione di Azure

Usare le istruzioni dettagliate seguenti per distribuire manualmente una regola di raccolta dati.

R. Creare DCE (se non è già stato creato per exchange server)

Dal portale di Azure passare a Azure Endpoint raccolta dati.

Fare clic su + Crea nella parte superiore.

Nella scheda Informazioni di base compilare i campi obbligatori e assegnare un nome al controller di dominio.

"Apportare altre modifiche di configurazione preferibili", se necessario, quindi fare clic su Crea.

B. Creare una tabella DCR personalizzata

Scaricare il file di esempio da Microsoft Sentinel GitHub.

Nel portale Azure passare a Analisi aree di lavoro e selezionare l'area di lavoro di destinazione.

Fare clic su "Tabelle", fare clic su + Crea nella parte superiore e selezionare Nuovo log personalizzato (basato su DCR).

Nella scheda Informazioni di base immettere ExchangeHttpProxy nel nome della tabella, creare una regola di raccolta dati con il nome DCR-Option7-HTTPProxyLogs (ad esempio) e selezionare l'endpoint di raccolta dati creato in precedenza.

Nella scheda Schema e trasformazione scegliere il file di esempio scaricato e fare clic su Editor trasformazione.

Nel campo trasformazione immettere la richiesta KQL seguente: *source | extend TimeGenerated = todatetime(DateTime) | Project-Away DateTime

Fare clic su 'Esegui' e dopo 'Applica'.

Fare clic su Avanti, quindi su Crea.

C. Modificare il registro DCR creato, digitare il log personalizzato

Nel portale di Azure passare a Azure Regole di raccolta dati.

Selezionare il DCR creato in precedenza, ad esempio DCR-Option7-HTTPProxyLogs.

Nella scheda Risorse immettere Exchange Server.

In Origini dati aggiungere un tipo di origine dati 'Log di testo personalizzati' e immettere 'C:\Program Files\Microsoft\Exchange Server\V15\Logging\HttpProxy\Autodiscover*.log' nel modello di file, 'ExchangeHttpProxy_CL' in Nome tabella. 6.in campo Transform immettere la richiesta KQL seguente: source | extend TimeGenerated = todatetime(DateTime) | Project-away DateTime

Fare clic su "Aggiungi origine dati".

Assegnare il DCR a tutti i server Exchange

Aggiungere tutti i server Exchange al Registro Azure Container

Regole di raccolta dati : quando viene usato l'agente di Log Analytics Azure legacy

Configurare i log da raccogliere

Nella parte Impostazioni area di lavoro selezionare Tabelle, fare clic su + Crea e fare clic su Nuovo log personalizzato (basato su MMA).

Selezionare File di esempio MessageTracking Sample (Esempio di traccia) e fare clic su Avanti

Selezionare Windows e immettere tutti i percorsi C:\Program Files\Microsoft\Exchange Server\V15\Logging\HttpProxy\Autodiscover*.log, C:\Program Files\Microsoft\Exchange Server\V15\Logging\HttpProxy\Eas*.log, C:\Program Files\Microsoft\Exchange Server\V15\Logging\HttpProxy\Ecp*.log, C:\Program Files\Microsoft\Exchange Server\V15\Logging\HttpProxy\Ews*.log, C:\Program Files\Microsoft\Exchange Server\V15\Logging\HttpProxy\Mapi*.log, C:\Program Files\Microsoft\Exchange Server\V15\ Logging\HttpProxy\Oab*.log, C:\Program Files\Microsoft\Exchange Server\V15\Logging\HttpProxy\Owa*.log, C:\Program Files\Microsoft\Exchange Server\V15\Logging\HttpProxy\OwaCalendar*.log, C:\Program Files\Microsoft\Exchange Server\V15\Logging\HttpProxy\PowerShell*.log e C:\Program Files\Microsoft\Exchange Server\V15\Logging\HttpProxy\RpcHttp*.log . Fare clic su Avanti.

Immettere ExchangeHttpProxy come Nome tabella e fare clic su Avanti.

Fare clic su Salva.

Install Agent: <valore variabile fornito in fase di installazione>

NOTA: Questo connettore dati dipende da un parser basato su una funzione Kusto per funzionare come previsto. I parser vengono distribuiti automaticamente con la soluzione. Seguire la procedura per creare l'alias delle funzioni Kusto : ExchangeAdminAuditLogs

I parser vengono distribuiti automaticamente durante la distribuzione della soluzione. Se si vuole distribuire manualmente, seguire la procedura seguente

Distribuzione manuale del parser

1. Scaricare il file Parser

La versione più recente del file ExchangeAdminAuditLogs

2. Creare la funzione Parser ExchangeAdminAuditLogs

In 'Logs' Explorer of your Microsoft Sentinel's log analytics (Log Analytics) copiare il contenuto del file in Esplora log

3. Salvare la funzione Parser ExchangeAdminAuditLogs

Fare clic sul pulsante Salva. Non è necessario alcun parametro per questo parser. Fare di nuovo clic su Salva.

[Deprecato] Okta Single Sign-On (usando la funzione Azure) (usando Funzioni di Azure)

Supportato da:Microsoft Corporation

Il connettore Okta Single Sign-On (SSO) (usando Azure Function) offre la possibilità di inserire i log eventi e di controllo dall'API Okta in Microsoft Sentinel. Il connettore offre visibilità su questi tipi di log in Microsoft Sentinel per visualizzare i dashboard, creare avvisi personalizzati e migliorare le funzionalità di monitoraggio e indagine.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

Okta_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Autorizzazioni Microsoft.Web/sites: sono necessarie autorizzazioni di lettura e scrittura per Funzioni di Azure per creare un'app per le funzioni. Per altre informazioni, vedere Funzioni di Azure.

Token API Okta: è necessario un token API Okta. Per altre informazioni sull'API del log di sistema okta, vedere la documentazione.

Istruzioni per l'installazione:

NOTA: Questo connettore usa Funzioni di Azure per connettersi all'accesso SSO di Okta per eseguire il pull dei log in Microsoft Sentinel. Ciò potrebbe comportare costi aggiuntivi per l'inserimento di dati. Per informazioni dettagliate, controllare la pagina dei prezzi Funzioni di Azure.

NOTA: Questo connettore è stato aggiornato, se in precedenza è stata distribuita una versione precedente e si vuole aggiornarlo, eliminare la funzione okta Azure esistente prima di ridistribuirla.

(Passaggio facoltativo) Archiviare in modo sicuro le chiavi o i token di autorizzazione api e dell'area di lavoro in Azure Key Vault. Azure Key Vault fornisce un meccanismo sicuro per archiviare e recuperare i valori delle chiavi. Seguire queste istruzioni per usare Azure Key Vault con un'app per le funzioni Azure.

PASSAGGIO 1 - Procedura di configurazione per l'API SSO Okta

Seguire queste istruzioni per creare un token API.

Nota: per altre informazioni sulle restrizioni relative ai limiti di frequenza applicate da Okta, vedere la documentazione.

PASSAGGIO 2- Scegliere UNO tra le due opzioni di distribuzione seguenti per distribuire il connettore e la funzione Azure associata

IMPORTANTE: Prima di distribuire il connettore Okta SSO, avere l'ID area di lavoro e la chiave primaria dell'area di lavoro (che possono essere copiati dal codice seguente), nonché il token di autorizzazione dell'API SSO okta, immediatamente disponibile.

ID area di lavoro: <valore variabile fornito in fase di installazione>

Chiave primaria: <valore variabile fornito in fase di installazione>

Opzione 1 - Modello Azure Resource Manager (ARM)

Questo metodo fornisce una distribuzione automatica del connettore Okta SSO usando un modello ARM.

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms aka.ms

Selezionare la sottoscrizione, il gruppo di risorse e la località preferiti.

Immettere l'ID area di lavoro, la chiave dell'area di lavoro, il token API e l'URI.

Usare lo schema seguente per il uri valore: https://<OktaDomain>/api/v1/logs?since= Sostituire <OktaDomain> con il dominio. Fare clic qui per ulteriori dettagli su come identificare lo spazio dei nomi del dominio Okta. Non è necessario aggiungere un valore di ora all'URI, l'app per le funzioni accoderà dinamicamente l'ora di inizio iniziale dei log alle 0:00 UTC per la data UTC corrente come valore di ora all'URI nel formato corretto.

Nota: se si usano Azure Key Vault segreti per uno dei valori precedenti, usare lo@Microsoft.KeyVault(SecretUri={Security Identifier})schema al posto dei valori stringa. Per altre informazioni, vedere Key Vault documentazione di riferimento.

Contrassegnare la casella di controllo con l'etichetta Accetto i termini e le condizioni indicati sopra.

Fare clic su Acquista per distribuire.

Opzione 2 - Distribuzione manuale di Funzioni di Azure

Usare le istruzioni dettagliate seguenti per distribuire manualmente il connettore Okta SSO con Funzioni di Azure (distribuzione tramite Visual Studio Code).

Passaggio 1 - Distribuire un'app per le funzioni

Scaricare il file dell'app per le funzioni Azure. Estrarre l'archivio nel computer di sviluppo locale.

Seguire le istruzioni di distribuzione manuale dell'app per le funzioni per distribuire l'app Funzioni di Azure usando VSCode.

Dopo aver completato la distribuzione dell'app per le funzioni, seguire i passaggi successivi per configurarla.

Passaggio 2- Configurare l'app per le funzioni

Passare a portale di Azuree per la configurazione dell'app per le funzioni.

Nell'app per le funzioni selezionare nome dell'app per le funzioni e selezionare Configurazione.

Nella scheda Impostazioni applicazione selezionare + Nuova impostazione applicazione.

Aggiungere ognuna delle cinque (5) impostazioni dell'applicazione seguenti singolarmente, con i rispettivi valori stringa (distinzione tra maiuscole e minuscole): apiToken workspaceID workspaceRegistro uri chiaveAnalyticsUri (facoltativo)

Usare lo schema seguente per il uri valore: https://<OktaDomain>/api/v1/logs?since= Sostituire <OktaDomain> con il dominio. Fare clic qui per ulteriori dettagli su come identificare lo spazio dei nomi del dominio Okta. Non è necessario aggiungere un valore di ora all'URI, l'app per le funzioni accoderà dinamicamente l'ora di inizio iniziale dei log alle 0:00 UTC per la data UTC corrente come valore di ora all'URI nel formato corretto.

Nota: se si usano Azure Key Vault segreti per uno dei valori precedenti, usare lo@Microsoft.KeyVault(SecretUri={Security Identifier})schema al posto dei valori stringa. Per altre informazioni, vedere Key Vault documentazione di riferimento.

Usare logAnalyticsUri per eseguire l'override dell'endpoint DELL'API log analytics per il cloud dedicato. Ad esempio, per il cloud pubblico, lasciare il valore vuoto; per Azure ambiente cloud GovUS, specificare il valore nel formato seguente: https://< CustomerId.ods.opinsights.azure.us>.

Dopo aver immesso tutte le impostazioni dell'applicazione, fare clic su Salva.

[Deprecato] SentinelOne (uso della funzione Azure) (tramite Funzioni di Azure)

Supportato da:Microsoft Corporation

Il connettore dati SentinelOne consente di inserire oggetti server SentinelOne comuni, ad esempio minacce, agenti, applicazioni, attività, criteri, gruppi e altri eventi, in Microsoft Sentinel tramite l'API REST. Per altre informazioni, vedere la documentazione https://<SOneInstanceDomain>.sentinelone.net/api-doc/overview dell'API. Il connettore consente il recupero degli eventi per valutare i potenziali rischi per la sicurezza, monitorare la collaborazione e diagnosticare e risolvere i problemi di configurazione.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

SentinelOne_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Autorizzazioni Microsoft.Web/sites: sono necessarie autorizzazioni di lettura e scrittura per Funzioni di Azure per creare un'app per le funzioni. Per altre informazioni, vedere Funzioni di Azure.

Credenziali/autorizzazioni dell'API REST: SentinelOneAPIToken è obbligatorio. Vedere la documentazione per altre informazioni sull'API in https://<SOneInstanceDomain>.sentinelone.net/api-doc/overview.

Istruzioni per l'installazione:

NOTA: Questo connettore usa Funzioni di Azure per connettersi all'API SentinelOne per eseguire il pull dei log in Microsoft Sentinel. Ciò potrebbe comportare costi aggiuntivi per l'inserimento di dati. Per informazioni dettagliate, controllare la pagina dei prezzi Funzioni di Azure.

(Passaggio facoltativo) Archiviare in modo sicuro le chiavi o i token di autorizzazione api e dell'area di lavoro in Azure Key Vault. Azure Key Vault fornisce un meccanismo sicuro per archiviare e recuperare i valori delle chiavi. Seguire queste istruzioni per usare Azure Key Vault con un'app per le funzioni Azure.

NOTA: Questo connettore dati dipende da un parser basato su una funzione Kusto per funzionare come previsto che viene distribuito come parte della soluzione. Per visualizzare il codice della funzione in Log Analytics, aprire il pannello Log Analytics/Microsoft Sentinel Log, fare clic su Funzioni e cercare l'alias SentinelOne e caricare il codice della funzione o fare clic qui. L'attivazione della funzione richiede in genere 10-15 minuti dopo l'installazione/aggiornamento della soluzione.

PASSAGGIO 1 - Passaggi di configurazione per l'API SentinelOne

Seguire le istruzioni per ottenere le credenziali.

Accedere a SentinelOne Management Console con Amministrazione credenziali utente.

Nella Console di gestione fare clic su Impostazioni.

Nella visualizzazione IMPOSTAZIONI fare clic su UTENTI

Fare clic su Nuovo utente.

Immettere le informazioni per il nuovo utente della console.

In Ruolo selezionare Amministrazione.

Fare clic su SALVA

Salvare le credenziali del nuovo utente per l'uso nel connettore dati.

NOTA:- Amministrazione l'accesso può essere delegato usando ruoli personalizzati. Per altre informazioni sul controllo degli accessi in base al ruolo personalizzato, vedere la documentazione di SentinelOne.

PASSAGGIO 2- Scegliere UNO tra le due opzioni di distribuzione seguenti per distribuire il connettore e la funzione Azure associata

IMPORTANTE: Prima di distribuire il connettore dati SentinelOne, fare in modo che l'ID area di lavoro e la chiave primaria dell'area di lavoro siano copiati da quanto segue.

ID area di lavoro: <valore variabile fornito in fase di installazione>

Chiave primaria: <valore variabile fornito in fase di installazione>

Opzione 1 - Modello Azure Resource Manager (ARM)

Usare questo metodo per la distribuzione automatizzata del connettore dati SentinelOne Audit usando un modello arm.

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms aka.ms

Selezionare la sottoscrizione, il gruppo di risorse e la località preferiti.

NOTA: All'interno dello stesso gruppo di risorse, non è possibile combinare app Windows e Linux nella stessa area. Selezionare un gruppo di risorse esistente senza app di Windows o creare un nuovo gruppo di risorse. 3. Immettere SentinelOneAPIToken, SentinelOneUrl(https://<SOneInstanceDomain>.sentinelone.net) e distribuire. 4. Contrassegnare la casella di controllo etichettata Accetto i termini e le condizioni indicati sopra. 5. Fare clic su Acquista per distribuire.

Opzione 2 - Distribuzione manuale di Funzioni di Azure

Usare le istruzioni dettagliate seguenti per distribuire manualmente il connettore dati SentinelOne Reports con Funzioni di Azure (distribuzione tramite Visual Studio Code).

Distribuire un'app per le funzioni

NOTA: Sarà necessario preparare vs code per lo sviluppo di funzioni Azure.

Scaricare il file dell'app per le funzioni Azure. Estrarre l'archivio nel computer di sviluppo locale.

Avviare VS Code. Scegliere File nel menu principale e selezionare Apri cartella.

Selezionare la cartella di primo livello dai file estratti.

Scegliere l'icona Azure nella barra attività, quindi nell'area Azure: Funzioni scegliere il pulsante Distribuisci nell'app per le funzioni. Se non è già stato eseguito l'accesso, scegliere l'icona Azure nella barra attività, quindi nell'area Azure: Funzioni scegliere Accedi a Azure Se si è già connessi, passare al passaggio successivo.

Fornire le informazioni seguenti alle richieste:

a. Selezionare la cartella: Scegliere una cartella dall'area di lavoro o passare a una cartella contenente l'app per le funzioni.

b. Selezionare Sottoscrizione: Scegliere la sottoscrizione da usare.

c. Selezionare Crea nuova app per le funzioni in Azure (non scegliere l'opzione Avanzate)

d. Immettere un nome univoco globale per l'app per le funzioni: Digitare un nome valido in un percorso URL. Il nome digitato viene convalidato per assicurarsi che sia univoco in Funzioni di Azure. (ad esempio SOneXXXXX).

e. Selezionare un runtime: Scegliere Python 3.11.

f. Selezionare una posizione per le nuove risorse. Per ottenere prestazioni migliori e costi inferiori, scegliere la stessa area in cui si trova Microsoft Sentinel.

Verrà avviata la distribuzione. Una notifica viene visualizzata dopo la creazione dell'app per le funzioni e l'applicazione del pacchetto di distribuzione.

Passare a portale di Azuree per la configurazione dell'app per le funzioni.

Configurare l'app per le funzioni

Nell'app per le funzioni selezionare nome dell'app per le funzioni e selezionare Configurazione.

Nella scheda Impostazioni applicazione selezionare Nuova impostazione applicazione.

Aggiungere ognuna delle impostazioni dell'applicazione seguenti singolarmente, con i rispettivi valori stringa (con distinzione tra maiuscole e minuscole): SentinelOneAPIToken SentinelOneUrl WorkspaceID WorkspaceKey logAnalyticsUri (facoltativo)

Usare logAnalyticsUri per eseguire l'override dell'endpoint DELL'API log analytics per il cloud dedicato. Ad esempio, per il cloud pubblico, lasciare il valore vuoto; per Azure ambito cloud GovUS, specificare il valore nel formato seguente: https://<CustomerId>.ods.opinsights.azure.us.

Dopo aver immesso tutte le impostazioni dell'applicazione, fare clic su Salva.

[Deprecato] Sophos Endpoint Protection (usando la funzione Azure) (usando Funzioni di Azure)

Supportato da:Microsoft Corporation

Il connettore dati Sophos Endpoint Protection offre la possibilità di inserire eventi Sophos in Microsoft Sentinel. Per altre informazioni, vedere la documentazione di Sophos Central Amministrazione.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

SophosEP_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Autorizzazioni Microsoft.Web/sites: sono necessarie autorizzazioni di lettura e scrittura per Funzioni di Azure per creare un'app per le funzioni. Per altre informazioni, vedere Funzioni di Azure.

Credenziali/autorizzazioni dell'API REST: è necessario il token API . Per altre informazioni, vedere Token API

Istruzioni per l'installazione:

NOTA: Questo connettore usa Funzioni di Azure per connettersi alle API di Sophos Central per eseguire il pull dei log in Microsoft Sentinel. Ciò potrebbe comportare costi aggiuntivi per l'inserimento di dati. Per informazioni dettagliate, controllare la pagina dei prezzi Funzioni di Azure.

(Passaggio facoltativo) Archiviare in modo sicuro le chiavi o i token di autorizzazione api e dell'area di lavoro in Azure Key Vault. Azure Key Vault fornisce un meccanismo sicuro per archiviare e recuperare i valori delle chiavi. Seguire queste istruzioni per usare Azure Key Vault con un'app per le funzioni Azure.

NOTA: Questo connettore dati dipende da un parser basato su una funzione Kusto per funzionare come previsto SophosEPEvent distribuito con la soluzione Microsoft Sentinel.

PASSAGGIO 1 - Passaggi di configurazione per l'API Sophos Central

Seguire le istruzioni per ottenere le credenziali.

In Sophos Central Amministrazione passare a Gestione token API impostazioni > globali.

Per creare un nuovo token, fare clic su Aggiungi token nell'angolo superiore destro della schermata.

Selezionare un nome di token e fare clic su Salva. Viene visualizzato il riepilogo del token API per questo token.

Fare clic su Copia per copiare l'URL di accesso API e le intestazioni dalla sezione Riepilogo token API negli Appunti.

PASSAGGIO 2- Scegliere UNO tra le due opzioni di distribuzione seguenti per distribuire il connettore e la funzione Azure associata

IMPORTANTE: Prima di distribuire il connettore dati Sophos Endpoint Protection, fare in modo che l'ID area di lavoro e la chiave primaria dell'area di lavoro siano copiati da quanto segue.

ID area di lavoro: <valore variabile fornito in fase di installazione>

Chiave primaria: <valore variabile fornito in fase di installazione>

Opzione 1 - Modello Azure Resource Manager (ARM)

Usare questo metodo per la distribuzione automatizzata del connettore dati Sophos Endpoint Protection usando un modello arm.

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms

Selezionare la sottoscrizione, il gruppo di risorse e la località preferiti.

NOTA: All'interno dello stesso gruppo di risorse, non è possibile combinare app Windows e Linux nella stessa area. Selezionare un gruppo di risorse esistente senza app di Windows o creare un nuovo gruppo di risorse. 3. Immettere l'URL e le intestazioni di accesso dell'API Sophos, AzureSentinelWorkspaceId, AzureSentinelSharedKey. 4. Contrassegnare la casella di controllo etichettata Accetto i termini e le condizioni indicati sopra. 5. Fare clic su Acquista per distribuire.

Opzione 2 - Distribuzione manuale di Funzioni di Azure

Usare le istruzioni dettagliate seguenti per distribuire manualmente il connettore dati Sophos Endpoint Protection con Funzioni di Azure (distribuzione tramite Visual Studio Code).

Passaggio 1 - Distribuire un'app per le funzioni

NOTA: Sarà necessario preparare vs code per lo sviluppo di funzioni Azure.

Scaricare il file dell'app per le funzioni Azure. Estrarre l'archivio nel computer di sviluppo locale.

Seguire le istruzioni di distribuzione manuale dell'app per le funzioni per distribuire l'app Funzioni di Azure usando VSCode.

Dopo aver completato la distribuzione dell'app per le funzioni, seguire i passaggi successivi per configurarla.

Passaggio 2- Configurare l'app per le funzioni

Passare a portale di Azuree per la configurazione dell'app per le funzioni.

Nell'app per le funzioni selezionare nome dell'app per le funzioni e selezionare Configurazione.

Nella scheda Impostazioni applicazione selezionare Nuova impostazione applicazione.

Aggiungere ognuna delle impostazioni dell'applicazione seguenti singolarmente, con i rispettivi valori stringa (con distinzione tra maiuscole e minuscole): SOPHOS_TOKEN WorkspaceID WorkspaceKey logAnalyticsUri (facoltativo)

Usare logAnalyticsUri per eseguire l'override dell'endpoint DELL'API log analytics per il cloud dedicato. Ad esempio, per il cloud pubblico, lasciare il valore vuoto; per Azure ambito cloud GovUS, specificare il valore nel formato seguente: https://<CustomerId>.ods.opinsights.azure.us.

Dopo aver immesso tutte le impostazioni dell'applicazione, fare clic su Salva.

[Deprecato] VMware Carbon Black Cloud (usando la funzione Azure) (usando Funzioni di Azure)

Supportato da:Microsoft

Il connettore VMware Carbon Black Cloud offre la possibilità di inserire dati carbon black in Microsoft Sentinel. Il connettore offre visibilità sui log di controllo, notifica ed eventi in Microsoft Sentinel per visualizzare i dashboard, creare avvisi personalizzati e migliorare le funzionalità di monitoraggio e analisi.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

CarbonBlackEvents_CL No No

CarbonBlackNotifications_CL No No

CarbonBlackAuditLogs_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Autorizzazioni Microsoft.Web/sites: sono necessarie autorizzazioni di lettura e scrittura per Funzioni di Azure per creare un'app per le funzioni. Per altre informazioni, vedere Funzioni di Azure.

Chiavi API VMware Carbon Black: sono necessarie LE API Carbon Black e/o le chiavi API di livello SIEM. Per altre informazioni sull'API Carbon Black, vedere la documentazione.

Un ID API e una chiave del livello di accesso dell'API Carbon Black sono necessari per i log eventi e di controllo.

Per gli avvisi di notifica sono necessari un ID API e una chiave del livello di accesso SIEM carbon black.

Credenziali/autorizzazioni dell'API REST di Amazon S3: ID chiave di accesso AWS, chiave di accesso segreto AWS, nome bucket AWS S3, nome cartella nel bucket AWS S3 sono necessari per l'API REST amazon S3.

Istruzioni per l'installazione:

NOTA: Questo connettore usa Funzioni di Azure per connettersi a VMware Carbon Black per eseguire il pull dei log in Microsoft Sentinel. Ciò potrebbe comportare costi aggiuntivi per l'inserimento di dati. Per informazioni dettagliate, controllare la pagina dei prezzi Funzioni di Azure.

(Passaggio facoltativo) Archiviare in modo sicuro le chiavi o i token di autorizzazione api e dell'area di lavoro in Azure Key Vault. Azure Key Vault fornisce un meccanismo sicuro per archiviare e recuperare i valori delle chiavi. Seguire queste istruzioni per usare Azure Key Vault con un'app per le funzioni Azure.

PASSAGGIO 1 - Passaggi di configurazione per l'API VMware Carbon Black

Seguire queste istruzioni per creare una chiave API.

PASSAGGIO 2- Scegliere UNO tra le due opzioni di distribuzione seguenti per distribuire il connettore e la funzione Azure associata

IMPORTANTE: Prima di distribuire il connettore VMware Carbon Black, avere l'ID dell'area di lavoro e la chiave primaria dell'area di lavoro (che possono essere copiati dai seguenti), nonché le chiavi di autorizzazione dell'API Carbon Black VMware, immediatamente disponibili.

ID area di lavoro: <valore variabile fornito in fase di installazione>

Chiave primaria: <valore variabile fornito in fase di installazione>

Opzione 1 - Modello Azure Resource Manager (ARM)

Questo metodo fornisce una distribuzione automatizzata del connettore VMware Carbon Black usando un modello ARM.

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms aka.ms

Selezionare la sottoscrizione, il gruppo di risorse e la località preferiti.

Immettere l'ID area di lavoro, la chiave dell'area di lavoro, i tipi di log, gli ID API, le chiavi API, la chiave dell'organizzazione Carbon Black, il nome del bucket S3, l'ID chiave di accesso AWS, la chiave di accesso segreto AWS, EventPrefixFolderName, AlertPrefixFolderName e convalidare l'URI.

Immettere l'URI corrispondente all'area. L'elenco completo degli URL API è disponibile qui

L'intervallo di tempo predefinito è impostato per eseguire il pull degli ultimi cinque (5) minuti di dati. Se l'intervallo di tempo deve essere modificato, è consigliabile modificare il trigger timer dell'app per le funzioni di conseguenza (nel file function.json, dopo la distribuzione) per evitare l'inserimento di dati sovrapposti.

Carbon Black richiede un set separato di ID API/chiavi per inserire gli avvisi di notifica. Immettere i valori ID API/Chiave SIEM o lasciare vuoto, se non necessario.

Nota: se si usano Azure Key Vault segreti per uno dei valori precedenti, usare lo@Microsoft.KeyVault(SecretUri={Security Identifier})schema al posto dei valori stringa. Per altre informazioni, vedere Key Vault documentazione di riferimento.

Contrassegnare la casella di controllo con l'etichetta Accetto i termini e le condizioni indicati sopra.

Fare clic su Acquista per distribuire.

Opzione 2 - Distribuzione manuale di Funzioni di Azure

Usare le istruzioni dettagliate seguenti per distribuire manualmente il connettore VMware Carbon Black con Funzioni di Azure.

Creare un'app per le funzioni

Nel portale di Azure passare a App per le funzioni e selezionare + Aggiungi.

Nella scheda Informazioni di base verificare che lo stack di runtime sia impostato su PowerShell Core.

Nella scheda Hosting verificare che sia selezionato il tipo di piano Consumo (serverless).

Apportare altre modifiche di configurazione preferibili, se necessario, quindi fare clic su Crea.

Importare il codice dell'app per le funzioni

Nell'app per le funzioni appena creata selezionare Funzioni nel riquadro sinistro e fare clic su + Aggiungi.

Selezionare Trigger timer.

Immettere un nome di funzione univoco e modificare la pianificazione cron, se necessario. Il valore predefinito è impostato per eseguire l'app per le funzioni ogni 5 minuti. (Nota: il trigger Timer deve corrispondere al timeInterval valore seguente per evitare sovrapposizioni di dati), fare clic su Crea.

Fare clic su Codice e test nel riquadro sinistro.

Copiare il codice dell'app per le funzioni e incollarlo nell'editor dell'app per le funzioni run.ps1 .

Fare clic su Salva.

Configurare l'app per le funzioni

Nell'app per le funzioni selezionare nome dell'app per le funzioni e selezionare Configurazione.

Nella scheda Impostazioni applicazione selezionare + Nuova impostazione applicazione.

Aggiungere ognuna delle seguenti impostazioni dell'applicazione da tredici a sedici (13-16) singolarmente, con i rispettivi valori stringa (distinzione tra maiuscole e minuscole): apiId apiKey workspaceID workspaceKey uri timeInterval CarbonBlackOrgKey CarbonBlackLogTypes s3BucketName EventPrefixFolderName AlertPrefixFolderName AWSAccessKeyId AWSSecretAccessKey SIEMapiId (facoltativo) SIEMapiKey (facoltativo) logAnalyticsUri (facoltativo)

Immettere l'URI corrispondente all'area. L'elenco completo degli URL API è disponibile qui. Il uri valore deve seguire lo schema seguente: - https://<API URL>.conferdeploy.net Non è necessario aggiungere un suffisso di ora all'URI, l'app per le funzioni accoderà dinamicamente il valore di ora all'URI nel formato corretto.

Impostare ( timeInterval in minuti) sul valore predefinito di 5 per corrispondere al trigger timer predefinito di ogni 5 minuto. Se l'intervallo di tempo deve essere modificato, è consigliabile modificare il trigger timer dell'app per le funzioni di conseguenza per evitare la sovrapposizione dell'inserimento di dati.

Carbon Black richiede un set separato di ID API/chiavi per inserire gli avvisi di notifica. Immettere i SIEMapiId valori e SIEMapiKey , se necessario, oppure omettere, se non necessario.

Nota: se si usa Azure Key Vault, usare lo@Microsoft.KeyVault(SecretUri={Security Identifier})schema al posto dei valori stringa. Per altre informazioni, vedere Key Vault documentazione di riferimento.

Usare logAnalyticsUri per eseguire l'override dell'endpoint DELL'API log analytics per il cloud dedicato. Ad esempio, per il cloud pubblico, lasciare il valore vuoto; per Azure ambiente cloud GovUS, specificare il valore nel formato seguente:https://<CustomerId>.ods.opinsights.azure.us

Dopo aver immesso tutte le impostazioni dell'applicazione, fare clic su Salva.

[Deprecato] Zoom Reports (usando Funzioni di Azure)

Supportato da:Microsoft Corporation

Il connettore dati Report zoom offre la possibilità di inserire gli eventi report zoom in Microsoft Sentinel tramite l'API REST. Per altre informazioni, vedere la documentazione dell'API . Il connettore consente il recupero degli eventi per valutare i potenziali rischi per la sicurezza, monitorare la collaborazione e diagnosticare e risolvere i problemi di configurazione.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

Zoom_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Autorizzazioni Microsoft.Web/sites: sono necessarie autorizzazioni di lettura e scrittura per Funzioni di Azure per creare un'app per le funzioni. Per altre informazioni, vedere Funzioni di Azure.

Credenziali/autorizzazioni dell'API REST: AccountID, ClientID e ClientSecret sono necessari per l'API Zoom. Per altre informazioni, vedere API Zoom. Seguire le istruzioni per le configurazioni dell'API Zoom.

Istruzioni per l'installazione:

NOTA: Questo connettore usa Funzioni di Azure per connettersi all'API Zoom per eseguire il pull dei log in Microsoft Sentinel. Ciò potrebbe comportare costi aggiuntivi per l'inserimento di dati. Per informazioni dettagliate, controllare la pagina dei prezzi Funzioni di Azure.

(Passaggio facoltativo) Archiviare in modo sicuro le chiavi o i token di autorizzazione api e dell'area di lavoro in Azure Key Vault. Azure Key Vault fornisce un meccanismo sicuro per archiviare e recuperare i valori delle chiavi. Seguire queste istruzioni per usare Azure Key Vault con un'app per le funzioni Azure.

NOTA: Questo connettore dati dipende da un parser basato su una funzione Kusto per funzionare come previsto che viene distribuito come parte della soluzione. Per visualizzare il codice della funzione in Log Analytics, aprire il pannello Log Analytics/Microsoft Sentinel Log, fare clic su Funzioni e cercare l'alias Zoom e caricare il codice della funzione o fare clic qui. L'attivazione della funzione richiede in genere 10-15 minuti dopo l'installazione/aggiornamento della soluzione.

PASSAGGIO 1 - Passaggi di configurazione per l'API Zoom

Seguire le istruzioni per ottenere le credenziali.

PASSAGGIO 2- Scegliere UNO tra le due opzioni di distribuzione seguenti per distribuire il connettore e la funzione Azure associata

IMPORTANTE: Prima di distribuire il connettore dati Zoom Reports, impostare l'ID area di lavoro e la chiave primaria dell'area di lavoro (copiabili da quanto segue).

ID area di lavoro: <valore variabile fornito in fase di installazione>

Chiave primaria: <valore variabile fornito in fase di installazione>

Opzione 1 - Modello Azure Resource Manager (ARM)

Usare questo metodo per la distribuzione automatica del connettore dati Zoom Audit usando un modello ARM.

Fare clic sul pulsante Distribuisci in Azure di seguito.

aka.ms aka.ms

Selezionare la sottoscrizione, il gruppo di risorse e l'area preferiti.

NOTA: All'interno dello stesso gruppo di risorse, non è possibile combinare app Windows e Linux nella stessa area. Selezionare un gruppo di risorse esistente senza app di Windows o creare un nuovo gruppo di risorse. 3. Immettere AccountID, ClientID, ClientSecret, WorkspaceID, WorkspaceKey, Function Name e fare clic su Rivedi e crea. 4. Infine fare clic su Crea per distribuire.

Opzione 2 - Distribuzione manuale di Funzioni di Azure

Usare le istruzioni dettagliate seguenti per distribuire manualmente il connettore dati Zoom Reports con Funzioni di Azure (distribuzione tramite Visual Studio Code).

Passaggio 1 - Distribuire un'app per le funzioni

NOTA: Sarà necessario preparare vs code per lo sviluppo di funzioni Azure.

Scaricare il file dell'app per le funzioni Azure. Estrarre l'archivio nel computer di sviluppo locale.

Avviare VS Code. Scegliere File nel menu principale e selezionare Apri cartella.

Selezionare la cartella di primo livello dai file estratti.

Scegliere l'icona Azure nella barra attività, quindi nell'area Azure: Funzioni scegliere il pulsante Distribuisci nell'app per le funzioni. Se non è già stato eseguito l'accesso, scegliere l'icona Azure nella barra attività, quindi nell'area Azure: Funzioni scegliere Accedi a Azure Se si è già connessi, passare al passaggio successivo.

Fornire le informazioni seguenti alle richieste:

a. Selezionare la cartella: Scegliere una cartella dall'area di lavoro o passare a una cartella contenente l'app per le funzioni.

b. Selezionare Sottoscrizione: Scegliere la sottoscrizione da usare.

c. Selezionare Crea nuova app per le funzioni in Azure (non scegliere l'opzione Avanzate)

d. Immettere un nome univoco globale per l'app per le funzioni: Digitare un nome valido in un percorso URL. Il nome digitato viene convalidato per assicurarsi che sia univoco in Funzioni di Azure. (ad esempio ZoomXXXXX).

e. Selezionare un runtime: Scegliere Python 3.11.

f. Selezionare una posizione per le nuove risorse. Per ottenere prestazioni migliori e costi inferiori, scegliere la stessa area in cui si trova Microsoft Sentinel.

Verrà avviata la distribuzione. Una notifica viene visualizzata dopo la creazione dell'app per le funzioni e l'applicazione del pacchetto di distribuzione.

Passare al portale di Azure per la configurazione dell'app per le funzioni

Passaggio 2- Configurare l'app per le funzioni

Nell'app per le funzioni selezionare nome dell'app per le funzioni e selezionare Configurazione.

Nella scheda Impostazioni applicazione selezionare Nuova impostazione applicazione.

Aggiungere ognuna delle impostazioni dell'applicazione seguenti singolarmente, con i rispettivi valori stringa (con distinzione tra maiuscole e minuscole): AccountID ClientID ClientSecret WorkspaceID WorkspaceKey logAnalyticsUri (facoltativo) Usare logAnalyticsUri per eseguire l'override dell'endpoint DELL'API log analytics per il cloud dedicato. Ad esempio, per il cloud pubblico, lasciare il valore vuoto; per Azure ambito cloud GovUS, specificare il valore nel formato seguente: https://<CustomerId>.ods.opinsights.azure.us.

Dopo aver immesso tutte le impostazioni dell'applicazione, fare clic su Salva.

Darktrace Connector for Microsoft Sentinel REST API (Legacy)

Supportato da:Darktrace

Il connettore REST API di Darktrace invia eventi in tempo reale da Darktrace a Microsoft Sentinel ed è progettato per essere utilizzato con la soluzione Darktrace per Microsoft Sentinel. Il connettore scrive i log in una tabella di log personalizzata denominata "darktrace_model_alerts_CL"; È possibile inserire violazioni del modello, eventi imprevisti di analista di intelligenza artificiale, avvisi di sistema e avvisi di Email. È possibile configurare filtri aggiuntivi nella pagina Configurazione del sistema Darktrace. I dati vengono inviati a Microsoft Sentinel dai master Darktrace.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

darktrace_model_alerts_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Prerequisiti di Darktrace: per usare questo connettore dati è necessario un master Darktrace che esegue v5.2+. I dati vengono inviati all'API dell'agente di raccolta dati HTTP Azure monitora gli indirizzi HTTP dai master Darktrace, pertanto è necessaria la connettività in uscita dal master Darktrace all'API REST Microsoft Sentinel.

Filtrare i dati di Darktrace: durante la configurazione è possibile configurare filtri aggiuntivi nella pagina Configurazione sistema Darktrace per limitare la quantità o i tipi di dati inviati.

Provare la soluzione Sentinel Darktrace: è possibile ottenere il massimo da questo connettore installando la soluzione Darktrace per Microsoft Sentinel. In questo modo verranno fornite cartelle di lavoro per visualizzare i dati degli avvisi e le regole di analisi per creare automaticamente avvisi e eventi imprevisti dalle violazioni del modello Darktrace e dagli eventi imprevisti degli analisti di intelligenza artificiale.

Istruzioni per l'installazione:

Le istruzioni dettagliate per l'installazione sono disponibili nel portale clienti di Darktrace: https://customerportal.darktrace.com/product-guides/main/microsoft-sentinel-introduction

Prendere nota dell'ID area di lavoro e della chiave primaria. È necessario immettere questi dettagli nella pagina Configurazione del sistema Darktrace.

ID area di lavoro: <valore variabile fornito in fase di installazione>

Chiave primaria: <valore variabile fornito in fase di installazione>

Configurazione di Darktrace

Nella pagina Configurazione sistema Darktrace seguire questa procedura:

Passare alla pagina Configurazione di sistema (menu > principale Amministrazione > Configurazione di sistema)

Passare alla configurazione dei moduli e fare clic sulla scheda di configurazione "Microsoft Sentinel"

Selezionare "HTTPS (JSON)" e premere "Nuovo"

Compilare i dettagli necessari e selezionare i filtri appropriati

Fare clic su "Verifica impostazioni avviso" per tentare l'autenticazione e inviare un avviso di test

Eseguire una query di esempio "Cerca avvisi di test" per verificare che l'avviso di test sia stato ricevuto

Eventi di Amministrazione di Island Enterprise Browser (legacy)

Supportato da:Island

Si tratta di un connettore legacy e non è più consigliato. Usare invece Island Enterprise Browser V2 Data Connector , che supporta gli eventi utente, amministratore e di sistema all'interno di un singolo connettore.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

Island_Admin_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Chiave API dell'isola: è necessaria una chiave API island.

Istruzioni per l'installazione:

Connettere l'isola a Microsoft Sentinel

Si tratta di un connettore legacy. Per istruzioni complete sull'installazione, fare riferimento alla documentazione ufficiale dell'isola (è necessario accedere alla Console di gestione delle isole).

Eventi utente di Island Enterprise Browser (legacy)

Supportato da:Island

Si tratta di un connettore legacy e non è più consigliato. Usare invece Island Enterprise Browser V2 Data Connector , che supporta gli eventi utente, amministratore e di sistema all'interno di un singolo connettore.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

Island_User_CL No No

Supporto delle regole di raccolta dati: Attualmente non supportato

Prerequisiti:

Chiave API dell'isola: è necessaria una chiave API island.

Istruzioni per l'installazione:

Connettere l'isola a Microsoft Sentinel

Si tratta di un connettore legacy. Per istruzioni complete sull'installazione, fare riferimento alla documentazione ufficiale dell'isola (è necessario accedere alla Console di gestione delle isole).

Eventi di sicurezza tramite l'agente legacy

Supportato da:Microsoft Corporation

È possibile trasmettere tutti gli eventi di sicurezza dai computer Windows connessi all'area di lavoro Microsoft Sentinel usando l'agente Di Windows. Questa connessione consente di visualizzare i dashboard, creare avvisi personalizzati e migliorare l'analisi. In questo modo è possibile ottenere maggiori informazioni sulla rete dell'organizzazione e migliorare le funzionalità delle operazioni di sicurezza. Per altre informazioni, vedere la documentazione Microsoft Sentinel.

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

SecurityEvent Sì Sì

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

Microsoft Defender basata su sottoscrizione per il cloud (legacy)

Supportato da:Microsoft Corporation

Microsoft Defender per il cloud è uno strumento di gestione della sicurezza che consente di rilevare e rispondere rapidamente alle minacce nei carichi di lavoro Azure, ibridi e multi-cloud. Questo connettore consente di trasmettere gli avvisi di sicurezza da Microsoft Defender per cloud in Microsoft Sentinel, in modo da poter visualizzare i dati di Defender nelle cartelle di lavoro, eseguirne query per generare avvisi e analizzare e rispondere agli eventi imprevisti.

Ulteriori informazioni>

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

SecurityAlert Sì Sì

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

Syslog tramite l'agente legacy

Supportato da:Microsoft Corporation

Syslog è un protocollo di registrazione eventi comune a Linux. Le applicazioni invieranno messaggi che possono essere archiviati nel computer locale o recapitati a un agente di raccolta Syslog. Quando l'agente per Linux è installato, configura il daemon Syslog locale per inoltrare i messaggi all'agente. L'agente invia quindi il messaggio all'area di lavoro.

Ulteriori informazioni >

Tabelle di Log Analytics:

Tabella Supporto DCR Inserimento solo lago

Syslog Sì Sì

Supporto delle regole di raccolta dati:Trasformazione DCR dell'area di lavoro

Passaggi successivi

Per ulteriori informazioni, vedere:

catalogo delle soluzioni Microsoft Sentinel

Integrazione di Intelligence per le minacce in Microsoft Sentinel

Commenti e suggerimenti

Questa pagina è stata utile?

Last updated on 2026-07-30

Tabella	Supporto DCR	Inserimento solo lago
`CiscoSecureEndpointAuditLogsV2_CL`	No	No
`CiscoSecureEndpointEventsV2_CL`	No	No

Tabella	Supporto DCR	Inserimento solo lago
`CitrixAnalytics_SPA_Events_V1_CL`	No	No
`CitrixAnalytics_indicatorSummary_V1_CL`	No	No
`CitrixAnalytics_indicatorEventDetails_V1_CL`	No	No
`CitrixAnalytics_riskScoreChange_V1_CL`	No	No
`CitrixAnalytics_userProfile_V1_CL`	No	No
`CitrixAnalytics_CVAD_Events_V1_CL`	No	No

Tabella	Supporto DCR	Inserimento solo lago
`ContrastADRAttackEvents_CL`	No	No
`ContrastADRIncidents_CL`	No	No

Tabella	Supporto DCR	Inserimento solo lago
`JBossEvent_CL`	No	No
`JuniperIDP_CL`	No	No
`ApacheHTTPServer_CL`	No	No
`Tomcat_CL`	No	No
`meraki_CL`	No	No
`VectraStream_CL`	No	No
`MarkLogicAudit_CL`	No	No
`MongoDBAudit_CL`	No	No
`NGINX_CL`	No	No
`OracleWebLogicServer_CL`	No	No
`PostgreSQL_CL`	No	No
`SquidProxy_CL`	No	No
`Ubiquiti_CL`	No	No
`vcenter_CL`	No	No
`ZPA_CL`	No	No
`SecurityBridgeLogs_CL`	No	No

Tabella	Supporto DCR	Inserimento solo lago
`CyeraClassifications_CL`	No	No
`CyeraAssets_CL`	No	No
`CyeraAssets_MS_CL`	No	No
`CyeraIssues_CL`	No	No
`CyeraIdentities_CL`	No	No

Tabella	Supporto DCR	Inserimento solo lago
`CyfirmaASCertificatesAlerts_CL`	No	No
`CyfirmaASConfigurationAlerts_CL`	No	No
`CyfirmaASDomainIPReputationAlerts_CL`	No	No
`CyfirmaASOpenPortsAlerts_CL`	No	No
`CyfirmaASCloudWeaknessAlerts_CL`	No	No
`CyfirmaASDomainIPVulnerabilityAlerts_CL`	No	No

Tabella	Supporto DCR	Inserimento solo lago
`CyfirmaBIDomainITAssetAlerts_CL`	No	No
`CyfirmaBIExecutivePeopleAlerts_CL`	No	No
`CyfirmaBIProductSolutionAlerts_CL`	No	No
`CyfirmaBISocialHandlersAlerts_CL`	No	No
`CyfirmaBIMaliciousMobileAppsAlerts_CL`	No	No

Tabella	Supporto DCR	Inserimento solo lago
`CyfirmaIndicators_CL`	No	No
`CyfirmaThreatActors_CL`	No	No
`CyfirmaCampaigns_CL`	No	No
`CyfirmaMalware_CL`	No	No

Tabella	Supporto DCR	Inserimento solo lago
`CyfirmaDBWMPhishingAlerts_CL`	No	No
`CyfirmaDBWMRansomwareAlerts_CL`	No	No
`CyfirmaDBWMDarkWebAlerts_CL`	No	No
`CyfirmaSPESourceCodeAlerts_CL`	No	No
`CyfirmaSPEConfidentialFilesAlerts_CL`	No	No
`CyfirmaSPEPIIAndCIIAlerts_CL`	No	No
`CyfirmaSPESocialThreatAlerts_CL`	No	No

Tabella	Supporto DCR	Inserimento solo lago
`DarktraceASM_CL`	No	No
`DarktraceEMAIL_CL`	No	No
`DarktraceIncidents_CL`	No	No
`DarktraceModelAlerts_CL`	No	No
`DarktraceResponseActions_CL`	No	No
`DarktraceSystemStatusAlerts_CL`	No	No

Tabella	Supporto DCR	Inserimento solo lago
`databahn_audit_logs_CL`	No	No
`databahn_alerts_CL`	No	No
`databahn_device_inventory_CL`	No	No

Tabella	Supporto DCR	Inserimento solo lago
`F5Telemetry_LTM_CL`	No	No
`F5Telemetry_system_CL`	No	No
`F5Telemetry_ASM_CL`	No	No

Tabella	Supporto DCR	Inserimento solo lago
`Illumio_Auditable_Events_CL`	No	No
`Illumio_Flow_Events_CL`	No	No

Tabella	Supporto DCR	Inserimento solo lago
`Failed_Range_To_Ingest_CL`	No	No
`Infoblox_Failed_Indicators_CL`	No	No
`dossier_whois_CL`	No	No
`dossier_whitelist_CL`	No	No
`dossier_tld_risk_CL`	No	No
`dossier_threat_actor_CL`	No	No
`dossier_rpz_feeds_records_CL`	No	No
`dossier_rpz_feeds_CL`	No	No
`dossier_nameserver_matches_CL`	No	No
`dossier_nameserver_CL`	No	No
`dossier_malware_analysis_v3_CL`	No	No
`dossier_inforank_CL`	No	No
`dossier_infoblox_web_cat_CL`	No	No
`dossier_geo_CL`	No	No
`dossier_dns_CL`	No	No
`dossier_atp_threat_CL`	No	No
`dossier_atp_CL`	No	No
`dossier_ptr_CL`	No	No

Tabella	Supporto DCR	Inserimento solo lago
`jamfprotecttelemetryv2_CL`	No	No
`jamfprotectunifiedlogs_CL`	No	No
`jamfprotectalerts_CL`	No	No

Tabella	Supporto DCR	Inserimento solo lago
`SecurityIncident`	Sì	Sì
`SecurityAlert`	Sì	Sì
`DeviceEvents`	Sì	Sì
`EmailEvents`	Sì	Sì
`IdentityLogonEvents`	Sì	Sì
`CloudAppEvents`	Sì	Sì
`AlertEvidence`	Sì	Sì

Tabella	Supporto DCR	Inserimento solo lago
`SigninLogs`	Sì	Sì
`AuditLogs`	Sì	Sì
`AADNonInteractiveUserSignInLogs`	Sì	Sì
`AADServicePrincipalSignInLogs`	Sì	Sì
`AADManagedIdentitySignInLogs`	Sì	Sì
`AADProvisioningLogs`	Sì	Sì
`ADFSSignInLogs`	Sì	Sì
`AADUserRiskEvents`	Sì	Sì
`AADRiskyUsers`	Sì	Sì
`NetworkAccessTraffic`	Sì	Sì
`AADRiskyServicePrincipals`	Sì	Sì
`AADServicePrincipalRiskEvents`	Sì	Sì

Tabella	Supporto DCR	Inserimento solo lago
`Awareness_Performance_Details_CL`	No	No
`Awareness_SafeScore_Details_CL`	No	No
`Awareness_User_Data_CL`	No	No
`Awareness_Watchlist_Details_CL`	No	No

Tabella	Supporto DCR	Inserimento solo lago
`Ttp_Url_CL`	No	No
`Ttp_Attachment_CL`	No	No
`Ttp_Impersonation_CL`	No	No

Tabella	Supporto DCR	Inserimento solo lago
`MimecastTTPUrl_CL`	No	No
`MimecastTTPAttachment_CL`	No	No
`MimecastTTPImpersonation_CL`	No	No

Trovare il connettore dati Microsoft Sentinel

Prerequisiti del connettore dati

Connettori Syslog e Common Event Format (CEF)

Log personalizzati tramite il connettore AMA

connettori dati Sentinel

Passaggi di configurazione

Validation

Troubleshooting

BV-ClaudeCompliance (tramite Codeless Connector Framework)

Raccolta di dati

Tables

Query di esempio

Opzione A: Creazione automatica dell'applicazione Microsoft Entra (scelta consigliata)

Opzione B: Usare un'applicazione Microsoft Entra preesistente (BYOA)

Azure valori di configurazione:

Configurare in Contrast ADR Platform

Per ogni modello, creare Stack in AWS:

Indici obbligatori

Creazione di una chiave API

NOTA - AGGIORNAMENTO:

Trovare il tuo ID di ambiente

Programma di raccolta dati

Sequenza temporale prevista

Troubleshooting

Passaggi di configurazione

Validation

Troubleshooting

Configurazione dell'autenticazione

URL di autenticazione per area

Passaggio 2: Ottenere le credenziali dell'app

Note sulla sicurezza

Monitoraggio

Connettori dati Sentinel deprecati

Passaggi successivi

Commenti e suggerimenti

Risorse aggiuntive

Tabella	Supporto DCR	Inserimento solo lago
`alertscompromisedcredentialdata_CL`	No	No
`alertsctepdata_CL`	No	No
`alertsdlpdata_CL`	No	No
`alertsmalsitedata_CL`	No	No
`alertsmalwaredata_CL`	No	No
`alertspolicydata_CL`	No	No
`alertsquarantinedata_CL`	No	No
`alertsremediationdata_CL`	No	No
`alertssecurityassessmentdata_CL`	No	No
`alertsubadata_CL`	No	No
`eventsapplicationdata_CL`	No	No
`eventsauditdata_CL`	No	No
`eventsconnectiondata_CL`	No	No
`eventsincidentdata_CL`	No	No
`eventsnetworkdata_CL`	No	No
`eventspagedata_CL`	No	No
`Netskope_WebTx_metrics_CL`	No	No

Tabella	Supporto DCR	Inserimento solo lago
`PaloAltoCortexXDR_Incidents_CL`	No	No
`PaloAltoCortexXDR_Endpoints_CL`	No	No
`PaloAltoCortexXDR_Audit_Management_CL`	No	No
`PaloAltoCortexXDR_Audit_Agent_CL`	No	No
`PaloAltoCortexXDR_Alerts_CL`	No	No

Tabella	Supporto DCR	Inserimento solo lago
`ProofPointTAPMessagesDeliveredV2_CL`	No	No
`ProofPointTAPMessagesBlockedV2_CL`	No	No
`ProofPointTAPClicksPermittedV2_CL`	No	No
`ProofPointTAPClicksBlockedV2_CL`	No	No

Tabella	Supporto DCR	Inserimento solo lago
`NexposeInsightVMCloud_assets_CL`	No	No
`NexposeInsightVMCloud_vulnerabilities_CL`	No	No

Tabella	Supporto DCR	Inserimento solo lago
`Rapid7InsightVMCloudAssets`	Sì	Sì
`Rapid7InsightVMCloudVulnerabilities`	Sì	Sì

Tabella	Supporto DCR	Inserimento solo lago
`Rubrik_Anomaly_Data_CL`	No	No
`Rubrik_Ransomware_Data_CL`	No	No
`Rubrik_ThreatHunt_Data_CL`	No	No
`Rubrik_Events_Data_CL`	No	No

Tabella	Supporto DCR	Inserimento solo lago
`LightningTier0Nodes_CL`	No	No
`LightningAttackPaths_CL`	No	No
`LightningIOEResults_CL`	No	No

Tabella	Supporto DCR	Inserimento solo lago
`SentinelOneActivities_CL`	No	No
`SentinelOneAgents_CL`	No	No
`SentinelOneGroups_CL`	No	No
`SentinelOneThreats_CL`	No	No
`SentinelOneAlerts_CL`	No	No

Tabella	Supporto DCR	Inserimento solo lago
`SnowflakeLogin_CL`	No	No
`SnowflakeQuery_CL`	No	No
`SnowflakeUserGrant_CL`	No	No
`SnowflakeRoleGrant_CL`	No	No
`SnowflakeLoad_CL`	No	No
`SnowflakeMaterializedView_CL`	No	No
`SnowflakeRoles_CL`	No	No
`SnowflakeTables_CL`	No	No
`SnowflakeTableStorageMetrics_CL`	No	No
`SnowflakeUsers_CL`	No	No

Tabella	Supporto DCR	Inserimento solo lago
`TaniumComplyCompliance_CL`	No	No
`TaniumComplyVulnerabilities_CL`	No	No
`TaniumDefenderHealth_CL`	No	No
`TaniumDiscoverUnmanagedAssets_CL`	No	No
`TaniumHighUptime_CL`	No	No
`TaniumPatchCoverageStatus_CL`	No	No
`TaniumPatchListApplicability_CL`	No	No
`TaniumPatchListCompliance_CL`	No	No
`TaniumSCCMClientHealth_CL`	No	No
`TaniumThreatResponse_CL`	No	No