Använd Azure Functions för att ansluta Microsoft Sentinel till din datakälla

Du kan använda Azure Functions, tillsammans med olika kodningsspråk som PowerShell eller Python, för att skapa en serverlös anslutningsapp till REST API-slutpunkterna för dina kompatibla datakällor. Azure Funktionsappar kan du sedan ansluta Microsoft Sentinel till datakällans REST API för att hämta loggar.

I den här artikeln beskrivs hur du konfigurerar Microsoft Sentinel för användning av Azure Function Apps. Du kan också behöva konfigurera källsystemet och du kan hitta länkar för leverantörs- och produktspecifik information på varje dataanslutningsapps sida i portalen eller avsnittet för din tjänst på referenssidan för Microsoft Sentinel dataanslutningsprogram.

Obs!

  • När data har matats in i Microsoft Sentinel lagras data på den geografiska platsen för arbetsytan där du kör Microsoft Sentinel.

    För långsiktig kvarhållning kanske du också vill lagra data i loggtyper som extraloggar. Mer information finns i Logglagringsplaner i Microsoft Sentinel.

  • Om du använder Azure Functions för att mata in data i Microsoft Sentinel kan det leda till ytterligare kostnader för datainmatning. Mer information finns på sidan Azure Functions prissättning.

Förhandskrav

Kontrollera att du har följande behörigheter och autentiseringsuppgifter innan du använder Azure Functions för att ansluta Microsoft Sentinel till datakällan och hämta loggarna till Microsoft Sentinel:

  • Du måste ha läs- och skrivbehörighet på Microsoft Sentinel arbetsyta.

  • Du måste ha läsbehörighet till delade nycklar för arbetsytan. Läs mer om arbetsytenycklar.

  • Du måste ha läs- och skrivbehörighet för Azure Functions för att skapa en funktionsapp. Läs mer om Azure Functions.

  • Du behöver också autentiseringsuppgifter för att komma åt produktens API – antingen ett användarnamn och lösenord, en token, en nyckel eller någon annan kombination. Du kan också behöva annan API-information, till exempel en slutpunkts-URI.

    Mer information finns i dokumentationen för den tjänst som du ansluter till och avsnittet för din tjänst på referenssidan för Microsoft Sentinel dataanslutningsappar.

  • Installera lösningen som innehåller din Azure Functions-baserade anslutningsapp från innehållshubben i Microsoft Sentinel. Mer information finns i Identifiera och hantera Microsoft Sentinel inbyggt innehåll.

Konfigurera och ansluta din datakälla

Obs!

  • Du kan lagra arbetsytor och API-auktoriseringsnycklar eller token på ett säkert sätt i Azure Key Vault. Azure Key Vault tillhandahåller en säker mekanism för att lagra och hämta nyckelvärden. Följ de här anvisningarna om du vill använda Azure Key Vault med en Azure funktionsapp.

  • Vissa dataanslutningar är beroende av en parser som baseras på en Kusto-funktion för att fungera som förväntat. Se avsnittet för din tjänst på referenssidan för Microsoft Sentinel dataanslutningsprogram för länkar till instruktioner för att skapa Kusto-funktionen och aliaset.

Azure Functions körningskonfiguration

Obs!

Microsoft Sentinel anslutningsappar som använder Azure Functions inkludera förkompilerade Python-beroenden. Azure Funktionsappens körningsmiljö, inklusive Python-versionen, är förkonfigurerad i lösningens ARM-mall och bör inte ändras.

Steg 1: Hämta källsystemets API-autentiseringsuppgifter

Följ källsystemets instruktioner för att hämta dess API-autentiseringsuppgifter/auktoriseringsnycklar/token. Kopiera och klistra in dem i en textfil för senare bruk.

Du hittar information om de exakta autentiseringsuppgifter som du behöver och länkar till produktens instruktioner för att hitta eller skapa dem på sidan för dataanslutningsappen i portalen och i avsnittet för din tjänst på referenssidan för Microsoft Sentinel dataanslutningsappar.

Du kan också behöva konfigurera loggning eller andra inställningar i källsystemet. Du hittar relevanta instruktioner tillsammans med dem i föregående stycke.

Steg 2: Distribuera anslutningsappen och den associerade Azure funktionsappen

Välj ett distributionsalternativ

Den här metoden tillhandahåller en automatiserad distribution av din Azure funktionsbaserade anslutningsapp med hjälp av en ARM-mall.

  1. I Microsoft Sentinel-portalen väljer du Dataanslutningsprogram. Välj din Azure Functions-baserade anslutningsapp i listan och sedan sidan Öppna anslutningsapp.

  2. Under Konfiguration kopierar du Microsoft Sentinel arbetsyte-ID och primärnyckel och klistrar in dem åt sidan.

  3. Välj Distribuera för att Azure. (Du kan behöva rulla nedåt för att hitta knappen.)

  4. Skärmen Anpassad distribution visas.

    • Välj en prenumeration, resursgrupp och region där funktionsappen ska distribueras.

    • Ange dina API-autentiseringsuppgifter/auktoriseringsnycklar/token som du sparade i steg 1 ovan.

    • Ange ditt Microsoft Sentinel arbetsyte-ID och arbetsytenyckel (primärnyckel) som du kopierade och lade åt sidan.

      Obs!

      Om du använder Azure Key Vault hemligheter för något av värdena ovan använder du @Microsoft.KeyVault(SecretUri={Security Identifier}) schemat i stället för strängvärdena. Mer information finns i dokumentationen om Key Vault referenser.

    • Fyll i andra fält i formuläret på skärmen Anpassad distribution . Se sidan för dataanslutningsappen i portalen eller avsnittet för din tjänst på referenssidan för Microsoft Sentinel dataanslutningsappar.

    • Välj Granska + skapa. När verifieringen är klar väljer du Skapa.

Hitta dina data

När en lyckad anslutning har upprättats visas data i Loggar under CustomLogs, i tabellerna som anges i avsnittet för din tjänst på referenssidan för Microsoft Sentinel dataanslutningsappar.

Om du vill fråga efter data anger du ett av dessa tabellnamn – eller relevant Kusto-funktionsalias – i frågefönstret.

Se fliken Nästa steg på anslutningssidan för några användbara exempelfrågor.

Verifiera anslutningen

Det kan ta upp till 20 minuter innan loggarna börjar visas i Log Analytics.

Nästa steg

I det här dokumentet har du lärt dig hur du ansluter Microsoft Sentinel till din datakälla med hjälp av Azure Functions-baserade anslutningsappar. Mer information om Microsoft Sentinel finns i följande artiklar:

  • Last updated on