Uso de Azure Functions para conectar Microsoft Sentinel al origen de datos

Este método proporciona una implementación automatizada del conector basado en funciones de Azure mediante una plantilla de ARM.

1. En el portal de Microsoft Sentinel, seleccione Conectores de datos. Seleccione el conector basado en Azure Functions de la lista y, a continuación, abra la página del conector.

2. En Configuración, copie el identificador del área de trabajo de Microsoft Sentinel y la clave principal y péguelos a un lado.

3. Seleccione Implementar en Azure. (Es posible que tenga que desplazarse hacia abajo para encontrar el botón).

4. Aparecerá la pantalla Implementación personalizada .

   • Seleccione una suscripción, un grupo de recursos y una región en la que implementar la aplicación de funciones.

   • Escriba las credenciales de API, las claves de autorización o los tokens que guardó en el paso 1 anterior.

   • Escriba el identificador de área de trabajo de Microsoft Sentinel y la clave del área de trabajo (clave principal) que copió y dejó a un lado.

     Nota:

     Si usa Azure Key Vault secretos para cualquiera de los valores anteriores, use el @Microsoft.KeyVault(SecretUri={Security Identifier}) esquema en lugar de los valores de cadena. Consulte Key Vault documentación de referencias para obtener más detalles.

   • Complete cualquier otro campo del formulario en la pantalla Implementación personalizada . Consulte la página del conector de datos en el portal o la sección del servicio en la página de referencia de conectores de datos Microsoft Sentinel.

   • Seleccione Revisar y crear. Cuando se complete la validación, seleccione Crear.

Use las siguientes instrucciones paso a paso para implementar manualmente conectores basados en Azure Functions que usan funciones de PowerShell.

1. En el portal de Microsoft Sentinel, seleccione Conectores de datos. Seleccione el conector basado en Azure Functions de la lista y, a continuación, abra la página del conector.

2. En Configuración, copie el identificador del área de trabajo de Microsoft Sentinel y la clave principal y péguelos a un lado.

3. Creación de una aplicación de funciones

   1. En el Azure Portal, busque y seleccione Aplicación de funciones.

   2. En la página Aplicación de funciones , seleccione Crear. Se abrirá el Asistente para crear aplicación de funciones.

   3. En la pestaña Aspectos básicos :

      • Seleccione una suscripción y un grupo de recursos.
      • Asigne un nombre a la aplicación de funciones.
      • Establezca Pila en tiempo de ejecución en PowerShell Core.
      • Seleccione el número de versión adecuado.
      • Seleccione la región en la que desea implementar y, a continuación, seleccione Siguiente: Hospedaje.

   4. En la pestaña Hospedaje :

      • Elija la cuenta de almacenamiento que desea usar o cree una nueva.
      • Seleccione Consumo (sin servidor) como tipo de plan.

   5. Realice cualquier otro cambio de configuración que necesite y, a continuación, seleccione Revisar y crear.

   6. Espere el mensaje "Validación pasada" y, a continuación, seleccione Crear.

   7. Cuando se complete la implementación, seleccione Ir al recurso.

4. Importar código de aplicación de función

   1. En la aplicación de funciones recién creada, seleccione Funciones en el menú de navegación.

   2. En la página Funciones , seleccione + Agregar.

   3. En el panel Agregar función , seleccione el desencadenador Temporizador .

   4. Escriba un nombre único para la función y escriba una expresión cron para especificar la programación. El intervalo predeterminado es cada 5 minutos.

   5. Cuando se haya creado la función, seleccione Código y prueba en el panel izquierdo.

   6. Descargue el código de la aplicación de funciones proporcionado por el proveedor del sistema de origen y cópielo y péguelo en el editor de function apprun.ps1, reemplazando lo que hay de forma predeterminada. Puede encontrar el vínculo de descarga en la página del conector o en la sección del servicio en la página de referencia de Microsoft Sentinel conectores de datos.

   7. Haga clic en Guardar.

5. Configuración de la aplicación de funciones

   1. En la página de function app, seleccione Configuración en Configuración en el menú de navegación.

   2. En la pestaña Configuración de la aplicación , seleccione + Nueva configuración de aplicación.

   3. Agregue la configuración de aplicación prescrita para el producto individualmente, con sus respectivos valores de cadena que distinguen mayúsculas de minúsculas. Consulte la página del conector de datos o la sección del producto de la sección del servicio en la página de referencia de Microsoft Sentinel conectores de datos.

      Sugerencia

      Si procede, use la configuración de la aplicación logAnalyticsUri para invalidar el punto de conexión de la API de Log Analytics si usa una nube dedicada. Por ejemplo, si usa la nube pública, deje el valor vacío; para Azure entorno en la nube de GovUS, especifique el valor en el formato siguiente: https://<CustomerId>.ods.opinsights.azure.us.

Use las siguientes instrucciones paso a paso para implementar manualmente conectores basados en Azure Functions que usan funciones de Python. Este tipo de implementación requiere Visual Studio Code.

1. En el portal de Microsoft Sentinel, seleccione Conectores de datos. Seleccione el conector basado en Azure Functions de la lista y, a continuación, abra la página del conector.

2. En Configuración, copie el identificador del área de trabajo de Microsoft Sentinel y la clave principal y péguelos a un lado.

3. Implementación de una aplicación de funciones

   Nota:

   Tendrá que preparar Visual Studio Code (VS Code) para el desarrollo de Azure Function.

   1. Descargue el archivo Azure Function App mediante el vínculo proporcionado en la página del conector de datos y en la sección del servicio en la página de referencia de Microsoft Sentinel conectores de datos. Extraiga el archivo en el equipo de desarrollo local.

   2. Inicie VS Code. En la barra de menús, seleccione Archivo > Abrir carpeta....

   3. Seleccione la carpeta de nivel superior de los archivos extraídos del archivo.

   4. Elija el icono Azure en la barra actividad de VS Code (a la izquierda). A continuación, en el área Azure: Funciones, elija el botón Implementar en la aplicación de funciones.

      Nota:

      Si aún no ha iniciado sesión, elija el icono de Azure en la barra de actividad. A continuación, en el área Azure: Funciones, elija Iniciar sesión para Azure.
      Si ya ha iniciado sesión, vaya al paso siguiente.

   5. Proporcione la siguiente información en los mensajes:

      • Seleccionar carpeta: elija una carpeta del área de trabajo o vaya a una carpeta que contenga la aplicación de funciones.
      • Seleccionar suscripción: elija la suscripción que se va a usar.
      • Seleccione Crear nueva aplicación de funciones en Azure. (No elija la opción Avanzadas ).
      • Escriba un nombre único global para la aplicación de funciones: asigne a la aplicación de funciones un nombre que sería válido en una ruta de acceso url. El nombre que elija se validará para asegurarse de que es único a lo largo de Azure Functions.
      • Seleccione un entorno de ejecución: elija Python 3.8.

   6. Se iniciará la implementación. Se muestra una notificación después de crear la aplicación de funciones y aplicar el paquete de implementación.

   7. Vuelva a la página de function app para la configuración.

4. Configuración de la aplicación de funciones

   1. En la página de function app, seleccione Configuración en Configuración en el menú de navegación.

   2. En la pestaña Configuración de la aplicación , seleccione + Nueva configuración de aplicación.

   3. Agregue la configuración de aplicación prescrita para el producto individualmente, con sus respectivos valores de cadena que distinguen mayúsculas de minúsculas. Consulte la página del conector de datos o la sección del servicio en la página de referencia de conectores de datos Microsoft Sentinel para ver la configuración de la aplicación que se va a agregar.

      • Si procede, use la configuración de la aplicación logAnalyticsUri para invalidar el punto de conexión de la API de Log Analytics si usa una nube dedicada. Por ejemplo, si usa la nube pública, deje el valor vacío; para Azure entorno en la nube de GovUS, especifique el valor en el formato siguiente: https://<CustomerId>.ods.opinsights.azure.us.