Brug Azure Functions til at oprette forbindelse Microsoft Sentinel til datakilden

Du kan bruge Azure Functions sammen med forskellige kodesprog, f.eks. PowerShell eller Python, til at oprette en serverløs connector til REST API-slutpunkterne for dine kompatible datakilder. Azure Funktionsapps giver dig derefter mulighed for at oprette forbindelse Microsoft Sentinel til din datakildes REST API for at hente logge.

I denne artikel beskrives det, hvordan du konfigurerer Microsoft Sentinel til brug af Azure Funktionsapps. Du skal muligvis også konfigurere kildesystemet, og du kan finde leverandør- og produktspecifikke oplysningslinks på hver dataconnectorside på portalen eller sektionen for din tjeneste på referencesiden for Microsoft Sentinel dataconnectors.

Bemærk!

  • Når dataene er blevet indtaget til Microsoft Sentinel, gemmes de på den geografiske placering af det arbejdsområde, hvor du kører Microsoft Sentinel.

    I forbindelse med langtidsopbevaring kan det også være en god idé at gemme data i logtyper, f.eks . hjælpelogge. Du kan få flere oplysninger under Logopbevaringsplaner i Microsoft Sentinel.

  • Hvis du bruger Azure Functions til at indføde data i Microsoft Sentinel kan det medføre yderligere omkostninger til dataindtagelse. Du kan finde flere oplysninger på siden med Azure Functions priser.

Forudsætninger

Sørg for, at du har følgende tilladelser og legitimationsoplysninger, før du bruger Azure Functions til at oprette forbindelse Microsoft Sentinel til datakilden, og træk loggene til Microsoft Sentinel:

  • Du skal have læse- og skrivetilladelser til det Microsoft Sentinel arbejdsområde.

  • Du skal have læserettigheder til delte nøgler for arbejdsområdet. Få mere at vide om arbejdsområdenøgler.

  • Du skal have læse- og skrivetilladelser til Azure Functions for at oprette en funktionsapp. Få mere at vide om Azure Functions.

  • Du skal også bruge legitimationsoplysninger for at få adgang til produktets API – enten et brugernavn og en adgangskode, et token, en nøgle eller en anden kombination. Du skal muligvis også bruge andre API-oplysninger, f.eks. en URI for slutpunktet.

    Du kan få flere oplysninger i dokumentationen til den tjeneste, du opretter forbindelse til, og afsnittet om din tjeneste på referencesiden for Microsoft Sentinel dataconnectors.

  • Installér den løsning, der indeholder din Azure Functions-baserede connector, fra Content Hub i Microsoft Sentinel. Du kan finde flere oplysninger under Find og administrer Microsoft Sentinel indhold, der er klar til brug.

Konfigurer og opret forbindelse til datakilden

Bemærk!

  • Du kan gemme nøgler eller tokens til api-godkendelse på en sikker måde i Azure Key Vault. Azure Key Vault indeholder en sikker mekanisme til lagring og hentning af nøgleværdier. Følg disse instruktioner for at bruge Azure Key Vault sammen med en Azure-funktionsapp.

  • Nogle dataconnectors afhænger af en parser, der er baseret på en Kusto-funktion , for at fungere som forventet. Se afsnittet om din tjeneste på referencesiden for Microsoft Sentinel dataconnectors for at få links til instruktioner til oprettelse af funktionen Kusto og aliasset.

Azure Functions kørselskonfiguration

Bemærk!

Microsoft Sentinel connectorer, der bruger Azure Functions, omfatter forudkompilerede Python-afhængigheder. Azure Function App-kørsel, herunder Python-versionen, er forudkonfigureret i løsnings-ARM-skabelonen og bør ikke ændres.

Trin 1: Hent api-legitimationsoplysningerne for kildesystemet

Følg dit kildesystems instruktioner for at få dets API-legitimationsoplysninger/godkendelsesnøgler/tokens. Kopiér og indsæt dem i en tekstfil til senere.

Du kan finde oplysninger om de nøjagtige legitimationsoplysninger, du skal bruge, og links til dit produkts instruktioner til, hvordan du finder eller opretter dem, på dataconnectorsiden på portalen og i sektionen for din tjeneste på referencesiden for Microsoft Sentinel dataconnectors.

Du skal muligvis også konfigurere logføring eller andre indstillinger på kildesystemet. Du finder de relevante instruktioner sammen med dem i foregående afsnit.

Trin 2: Installér connectoren og den tilknyttede Azure-funktionsapp

Vælg en udrulningsindstilling

Denne metode leverer en automatisk udrulning af din Azure Funktionsbaserede connector ved hjælp af en ARM-skabelon.

  1. Vælg Dataconnectors på Microsoft Sentinel-portalen. Vælg din Azure Functions-baserede connector på listen, og åbn derefter connectorsiden.

  2. Under Konfiguration skal du kopiere det Microsoft Sentinel arbejdsområde-id og den primære nøgle og sætte dem til side.

  3. Vælg Installér på Azure. Du skal muligvis rulle ned for at finde knappen.

  4. Skærmen Brugerdefineret installation vises.

    • Vælg et abonnement, en ressourcegruppe og et område , hvor du vil udrulle din funktionsapp.

    • Angiv dine API-legitimationsoplysninger/godkendelsesnøgler/tokens, som du gemte i trin 1 ovenfor.

    • Angiv dit Microsoft Sentinel arbejdsområde-id og din arbejdsområdenøgle (primær nøgle), som du har kopieret og lagt til side.

      Bemærk!

      Hvis du bruger Azure Key Vault hemmeligheder for en af ovenstående værdier, skal du bruge skemaet @Microsoft.KeyVault(SecretUri={Security Identifier}) i stedet for strengværdierne. Du kan finde flere oplysninger i dokumentationen til Key Vault referencer.

    • Udfyld alle andre felter i formularen på skærmen Brugerdefineret installation . Se din dataconnectorside på portalen eller i sektionen for din tjeneste på referencesiden for Microsoft Sentinel dataconnectors.

    • Vælg Gennemse + opret. Når valideringen er fuldført, skal du vælge Opret.

Find dine data

Når der er oprettet en forbindelse, vises dataene i Logge under CustomLogs i de tabeller, der er angivet i sektionen for din tjeneste på referencesiden for Microsoft Sentinel dataconnectors.

Hvis du vil forespørge om data, skal du angive et af disse tabelnavne – eller det relevante Kusto-funktionsalias – i forespørgselsvinduet.

Se fanen Næste trin på connectorsiden for at få vist nogle nyttige eksempelforespørgsler.

Valider forbindelse

Det kan tage op til 20 minutter, før dine logge vises i Log Analytics.

Næste trin

I dette dokument har du lært, hvordan du opretter forbindelse Microsoft Sentinel til din datakilde ved hjælp af Azure Functions-baserede connectors. Du kan få mere at vide om Microsoft Sentinel i følgende artikler:

  • Last updated on