Stream Von Defender für IoT-Cloudwarnungen an partner-SIEM

Bevor Sie beginnen, müssen Sie den Microsoft Defender für IoT-Datenconnector in Ihrem Microsoft Sentinel instance installiert haben. Weitere Informationen finden Sie unter Tutorial: Verbinden von Microsoft Defender für IoT mit Microsoft Sentinel.

Überprüfen Sie auch alle Voraussetzungen für jedes der in den folgenden Schritten verknüpften Prozeduren.

Sie benötigen Microsoft Entra ID, die als Dienstprinzipal für das Splunk-Add-On für Microsoft Cloud Services definiert sind. Dazu müssen Sie eine Microsoft Entra-Anwendung mit bestimmten Berechtigungen erstellen.

So registrieren Sie eine Microsoft Entra Anwendung und definieren Berechtigungen:

1. Registrieren Sie Microsoft Entra ID eine neue Anwendung. Fügen Sie auf der Seite Zertifikate & Geheimnisse einen neuen geheimen Clientschlüssel für den Dienstprinzipal hinzu.

   Weitere Informationen finden Sie unter Registrieren einer Anwendung beim Microsoft Identity Platform

2. Erteilen Sie auf der Api-Berechtigungsseite Ihrer App API-Berechtigungen zum Lesen von Daten aus Ihrer App.

   • Wählen Sie aus, um eine Berechtigung hinzuzufügen, und wählen Sie dann MicrosoftGraph-Anwendungsberechtigungen>>SecurityEvents.ReadWrite.All>Berechtigungen hinzufügen aus.

   • Stellen Sie sicher, dass die Administratoreinwilligung für Ihre Berechtigung erforderlich ist.

   Weitere Informationen finden Sie unter Konfigurieren einer Clientanwendung für den Zugriff auf eine Web-API.

3. Notieren Sie sich auf der Seite Übersicht Ihrer App die folgenden Werte für Ihre App:

   • Anzeigename
   • Anwendungs-ID (Client-ID)
   • Verzeichnis-ID (Mandant)

4. Notieren Sie sich auf der Seite Zertifikate & Geheimnisse die Werte ihres geheimen Clientschlüssels Wert und Geheimnis-ID.

Erstellen Sie einen Azure Event Hub, der als Brücke zwischen Microsoft Sentinel und Ihrem Partner-SIEM verwendet werden soll. Beginnen Sie mit diesem Schritt, indem Sie einen Azure Event Hub-Namespace erstellen und dann einen Azure Event Hub hinzufügen.

So erstellen Sie Ihren Event Hub-Namespace und Event Hub:

1. Erstellen Sie Azure Event Hubs einen neuen Event Hub-Namespace. Erstellen Sie in Ihrem neuen Namespace einen neuen Azure Event Hub.

   Definieren Sie in Ihrem Event Hub unbedingt die Einstellungen Partitionsanzahl und Nachrichtenaufbewahrung .

   Weitere Informationen finden Sie unter Erstellen eines Event Hubs mithilfe des Azure-Portal.

2. Wählen Sie in Ihrem Event Hub-Namespace die Seite Zugriffssteuerung (IAM) aus, und fügen Sie eine neue Rollenzuweisung hinzu.

   Wählen Sie aus, um die Rolle Azure Event Hubs Datenempfänger zu verwenden, und fügen Sie die Microsoft Entra Dienstprinzipal-App hinzu, die Sie zuvor als Mitglied erstellt haben.

   Weitere Informationen finden Sie unter Zuweisen Azure Rollen mithilfe des Azure-Portal.

3. Notieren Sie sich auf der Seite Übersicht Ihres Event Hub-Namespaces den Hostnamenswert des Namespace.

4. Notieren Sie sich auf der Event Hubs-Seite Ihres Event Hub-Namespaces den Namen Ihres Event Hubs.

Um Microsoft Sentinel Incidents oder Warnungen an Ihren Event Hub weiterzuleiten, erstellen Sie eine Datenexportregel aus Azure Log Analytics.

Stellen Sie sicher, dass Sie in Ihrer Regel die folgenden Einstellungen definieren:

1. Konfigurieren der Quelle als SecurityIncident

2. Konfigurieren Sie das Ziel als Ereignistyp, indem Sie den Event Hub-Namespace und den Event Hub-Namen verwenden, den Sie zuvor notiert haben.

   Weitere Informationen finden Sie unter Datenexport von Log Analytics-Arbeitsbereichen in Azure Monitor.

Nachdem Sie Ihre Event Hub- und Exportregel konfiguriert haben, konfigurieren Sie Splunk so, dass Microsoft Sentinel Incidents vom Event Hub verwendet werden.

1. Installieren Sie das Splunk-Add-On für Microsoft Cloud Services App.

2. Fügen Sie in der App Splunk-Add-On für Microsoft Cloud Services ein Azure-App-Konto hinzu.

   1. Geben Sie einen aussagekräftigen Namen für das Konto ein.
   2. Geben Sie die Client-ID, den geheimen Clientschlüssel und die Mandanten-ID ein, die Sie zuvor notiert haben.
   3. Definieren Sie den Kontoklassentyp als Azure Public Cloud.

3. Wechseln Sie zum Splunk-Add-On für Microsoft Cloud Services Eingaben, und erstellen Sie eine neue Eingabe für Ihren Azure Event Hub.

   1. Geben Sie einen aussagekräftigen Namen für Ihre Eingabe ein.
   2. Wählen Sie das Azure-App-Konto aus, das Sie soeben in der App Splunk-Add-On für Microsoft-Dienste erstellt haben.
   3. Geben Sie den FQDN ihres Event Hub-Namespace und den Event Hub-Namen ein.

   Übernehmen Sie für die anderen Einstellungen die Standardwerte.

   Sobald Daten von Ihrem Event Hub in Splunk erfasst werden, fragen Sie die Daten mit dem folgenden Wert in Ihrem Suchfeld ab: sourcetype="mscs:azure:eventhub"