alertas da cloud do Stream Defender para IoT para um parceiro SIEM

Antes de começar, precisará do Microsoft Defender do conector de dados IoT instalado na sua instância de Microsoft Sentinel. Para obter mais informações, veja Tutorial: Connect Microsoft Defender para IoT with Microsoft Sentinel (Tutorial: Ligar Microsoft Defender para IoT com Microsoft Sentinel).

Além disso, marcar quaisquer pré-requisitos para cada um dos procedimentos ligados nos passos abaixo.

Precisará de Microsoft Entra ID definido como principal de serviço para o Suplemento Splunk para Microsoft Serviços de Nuvem. Para tal, terá de criar uma aplicação Microsoft Entra com permissões específicas.

Para registar uma aplicação Microsoft Entra e definir permissões:

1. No Microsoft Entra ID, registe uma nova aplicação. Na página Certificados & segredos , adicione um novo segredo do cliente para o principal de serviço.

   Para obter mais informações, veja Registar uma aplicação com o plataforma de identidade da Microsoft

2. Na página permissões de API da sua aplicação, conceda permissões de API para ler dados da sua aplicação.

   • Selecione para adicionar uma permissão e, em seguida, selecionePermissões> da Aplicação do Microsoft Graph>SecurityEvents.ReadWrite.All>Add permissions.

   • Certifique-se de que o consentimento do administrador é necessário para a sua permissão.

   Para obter mais informações, veja Configurar uma aplicação cliente para aceder a uma API Web

3. Na página Descrição geral da sua aplicação, tenha em atenção os seguintes valores para a sua aplicação:

   • Nome de Exibição
   • ID do aplicativo (cliente)
   • ID do diretório (inquilino)

4. Na página Certificados & segredos , anote os valores do valor do segredo do cliente e do ID do Segredo.

Crie um hub de eventos Azure para utilizar como uma ponte entre Microsoft Sentinel e o seu parceiro SIEM. Inicie este passo ao criar um espaço de nomes do hub de eventos Azure e, em seguida, adicionar um hub de eventos Azure.

Para criar o espaço de nomes do hub de eventos e o hub de eventos:

1. No Hubs de Eventos do Azure, crie um novo espaço de nomes do hub de eventos. No seu novo espaço de nomes, crie um novo Azure hub de eventos.

   No hub de eventos, certifique-se de que define as definições Contagem de Partições e Retenção de Mensagens .

   Para obter mais informações, veja Criar um hub de eventos com o portal do Azure.

2. No espaço de nomes do hub de eventos, selecione a página Controlo de acesso (IAM) e adicione uma nova atribuição de função.

   Selecione para utilizar a função Recetor de Dados Hubs de Eventos do Azure e adicione a aplicação Microsoft Entra principal de serviço que criou anteriormente como membro.

   Para obter mais informações, veja: Atribuir funções de Azure com o portal do Azure.

3. Na página Descrição Geral do espaço de nomes do seu hub de eventos, anote o valor do Nome do anfitrião do espaço de nomes.

4. Na página Hubs de Eventos do seu espaço de nomes do hub de eventos, anote o nome do hub de eventos.

Para reencaminhar Microsoft Sentinel incidentes ou alertas para o seu hub de eventos, crie uma regra de exportação de dados do Azure Log Analytics.

Na regra, certifique-se de que define as seguintes definições:

1. Configurar a Origem como SecurityIncident

2. Configure o Destino como Tipo de Evento, com o espaço de nomes do hub de eventos e o nome do hub de eventos que registou anteriormente.

   Para obter mais informações, veja Exportação de dados da área de trabalho do Log Analytics no Azure Monitor.

Depois de configurar o hub de eventos e a regra de exportação, configure o Splunk para consumir Microsoft Sentinel incidentes do hub de eventos.

1. Instale o Suplemento Splunk para a aplicação Microsoft Serviços de Nuvem.

2. No Suplemento Splunk para a aplicação Microsoft Serviços de Nuvem, adicione uma conta Azure App.

   1. Introduza um nome significativo para a conta.
   2. Introduza o ID de cliente, o segredo do cliente e os detalhes do ID do inquilino que registou anteriormente.
   3. Defina o tipo de classe de conta como Azure Cloud Pública.

3. Aceda ao Suplemento Splunk para entradas do Microsoft Serviços de Nuvem e crie uma nova entrada para o seu hub de eventos Azure.

   1. Introduza um nome significativo para a sua entrada.
   2. Selecione o Azure App Conta que acabou de criar no Suplemento Splunk para a aplicação Serviços Microsoft.
   3. Introduza o FQDN do espaço de nomes do hub de eventos e o nome do hub de eventos.

   Deixe as outras definições como predefinições.

   Assim que os dados começam a ser ingeridos no Splunk a partir do seu hub de eventos, consulte os dados com o seguinte valor no campo de pesquisa: sourcetype="mscs:azure:eventhub"