Gebruik Azure Functions om Microsoft Sentinel te verbinden met uw gegevensbron

U kunt Azure Functions gebruiken in combinatie met verschillende coderingstalen, zoals PowerShell of Python, om een serverloze connector te maken voor de REST API-eindpunten van uw compatibele gegevensbronnen. Azure Functie-apps kunt u vervolgens Microsoft Sentinel verbinding maken met de REST API van uw gegevensbron om logboeken op te halen.

In dit artikel wordt beschreven hoe u Microsoft Sentinel configureert voor het gebruik van Azure-functie-apps. Mogelijk moet u ook uw bronsysteem configureren en vindt u koppelingen naar leverancier- en productspecifieke informatie op de pagina van elke gegevensconnector in de portal of in de sectie voor uw service op de referentiepagina Microsoft Sentinel gegevensconnectors.

Opmerking

  • Zodra de gegevens zijn opgenomen in Microsoft Sentinel, worden ze opgeslagen op de geografische locatie van de werkruimte waarin u Microsoft Sentinel uitvoert.

    Voor langetermijnretentie kunt u ook gegevens opslaan in logboektypen, zoals hulplogboeken. Zie Bewaarplannen vastleggen in Microsoft Sentinel voor meer informatie.

  • Het gebruik van Azure Functions om gegevens op te nemen in Microsoft Sentinel kan leiden tot extra kosten voor gegevensopname. Zie de pagina met prijzen voor Azure Functions voor meer informatie.

Vereisten

Zorg ervoor dat u over de volgende machtigingen en referenties beschikt voordat u Azure Functions gebruikt om Microsoft Sentinel te verbinden met uw gegevensbron en de logboeken in Microsoft Sentinel op te halen:

Uw gegevensbron configureren en verbinden

Opmerking

  • U kunt veilig werkruimte- en API-autorisatiesleutels of -tokens opslaan in Azure Key Vault. Azure Key Vault biedt een veilig mechanisme voor het opslaan en ophalen van sleutelwaarden. Volg deze instructies om Azure Key Vault te gebruiken met een Azure-functie-app.

  • Sommige gegevensconnectors zijn afhankelijk van een parser op basis van een Kusto-functie om te werken zoals verwacht. Zie de sectie voor uw service op de referentiepagina Microsoft Sentinel gegevensconnectors voor koppelingen naar instructies voor het maken van de Kusto-functie en -alias.

runtime-configuratie van Azure Functions

Opmerking

Microsoft Sentinel connectors die gebruikmaken van Azure Functions zijn vooraf gecompileerde Python-afhankelijkheden. De Azure Function App-runtime, inclusief de Python-versie, is vooraf geconfigureerd in de OPLOSSINGs-ARM-sjabloon en mag niet worden gewijzigd.

Stap 1: de API-referenties van uw bronsysteem ophalen

Volg de instructies van uw bronsysteem om de API-referenties/autorisatiesleutels/tokens op te halen. Kopieer en plak ze in een tekstbestand voor later.

U vindt details over de exacte referenties die u nodig hebt en koppelingen naar de instructies van uw product om deze te vinden of te maken, op de gegevensconnectorpagina in de portal en in de sectie voor uw service op de referentiepagina voor Microsoft Sentinel gegevensconnectors.

Mogelijk moet u ook logboekregistratie of andere instellingen configureren op uw bronsysteem. U vindt de relevante instructies samen met die in de vorige alinea.

Stap 2: de connector en de bijbehorende Azure-functie-app implementeren

Een implementatieoptie kiezen

Deze methode biedt een geautomatiseerde implementatie van uw Azure functieconnector met behulp van een ARM-sjabloon.

  1. Selecteer gegevensconnectors in de Microsoft Sentinel-portal. Selecteer de connector op basis van Azure Functions in de lijst en vervolgens de pagina Connector openen.

  2. Kopieer onder Configuratie de Microsoft Sentinel werkruimte-id en primaire sleutel en plak deze opzij.

  3. Selecteer Implementeren in Azure. (Mogelijk moet u omlaag schuiven om de knop te vinden.)

  4. Het scherm Aangepaste implementatie wordt weergegeven.

    • Selecteer een abonnement, resourcegroep en regio waarin u uw functie-app wilt implementeren.

    • Voer uw API-referenties/autorisatiesleutels/tokens in die u in stap 1 hierboven hebt opgeslagen.

    • Voer uw Microsoft Sentinel Werkruimte-id en Werkruimtesleutel (primaire sleutel) in die u hebt gekopieerd en opzij hebt gezet.

      Opmerking

      Als u Azure Key Vault geheimen gebruikt voor een van de bovenstaande waarden, gebruikt u het @Microsoft.KeyVault(SecretUri={Security Identifier}) schema in plaats van de tekenreekswaarden. Raadpleeg de documentatie over Key Vault verwijzingen voor meer informatie.

    • Vul alle andere velden in het formulier in op het scherm Aangepaste implementatie . Zie de pagina van uw gegevensconnector in de portal of de sectie voor uw service op de referentiepagina Microsoft Sentinel gegevensconnectors.

    • Selecteer Beoordelen en maken. Wanneer de validatie is voltooid, selecteert u Maken.

Uw gegevens zoeken

Nadat een geslaagde verbinding tot stand is gebracht, worden de gegevens weergegeven in Logboeken onder CustomLogs, in de tabellen die worden vermeld in de sectie voor uw service op de referentiepagina Microsoft Sentinel gegevensconnectors.

Als u een query wilt uitvoeren op gegevens, voert u een van deze tabelnamen of de relevante Kusto-functiealias in het queryvenster in.

Zie het tabblad Volgende stappen op de connectorpagina voor enkele nuttige voorbeeldquery's.

Connectiviteit valideren

Het kan tot 20 minuten duren voordat uw logboeken worden weergegeven in Log Analytics.

Volgende stappen

In dit document hebt u geleerd hoe u Microsoft Sentinel kunt verbinden met uw gegevensbron met behulp van connectors op basis van Azure Functions. Zie de volgende artikelen voor meer informatie over Microsoft Sentinel:

  • Last updated on