استخدام وظائف Azure لتوصيل Microsoft Sentinel بمصدر البيانات الخاص بك

  • مقالة
  • قراءة خلال 7 دقائق

ملاحظة

يسمى Azure Sentinel الآن Microsoft Sentinel، وسنقوم بتحديث هذه الصفحات في الأسابيع القادمة. تعرف على المزيد حول التحسينات الأمنية الأخيرة لـ Microsoft.

يمكنك استخدام وظائف Azure، بالاقتران مع لغات ترميز مختلفة مثل PowerShell أو Python، لإنشاء موصل بدون خادم إلى نقاط نهاية واجهة برمجة تطبيقات REST لمصادر البيانات المتوافقة. ثم تسمح لك تطبيقات وظائف Azure بتوصيل Microsoft Sentinel بواجهة برمجة تطبيقات REST الخاصة بمصدر البيانات الخاص بك لسحب السجلات.

توضح هذه المقالة كيفية تكوين Microsoft Sentinel لاستخدام تطبيقات وظائف Azure. قد تحتاج أيضا إلى تكوين النظام المصدر الخاص بك، ويمكنك العثور على ارتباطات المعلومات الخاصة بالمورد والمنتج في صفحة كل موصل بيانات في البوابة الإلكترونية، أو القسم الخاص بخدمتك في الصفحة المرجعية لموصلات بيانات Microsoft Sentinel .

ملاحظة

  • بمجرد استيعابها في Microsoft Sentinel، يتم تخزين البيانات في الموقع الجغرافي لمساحة العمل التي تقوم بتشغيل Microsoft Sentinel فيها.

    للاحتفاظ على المدى الطويل، قد تحتاج أيضا إلى تخزين البيانات في Azure Data Explorer. لمزيد من المعلومات، راجع دمج مستكشف بيانات Azure.

  • قد يؤدي استخدام وظائف Azure لاستيعاب البيانات في Microsoft Sentinel إلى تكاليف إضافية لاستيعاب البيانات. لمزيد من المعلومات، راجع صفحة تسعير وظائف Azure .

المتطلبات الأساسية

تأكد من أن لديك الأذونات وبيانات الاعتماد التالية قبل استخدام وظائف Azure لتوصيل Microsoft Sentinel بمصدر البيانات الخاص بك وسحب سجلاته إلى Microsoft Sentinel:

  • يجب أن يكون لديك أذونات القراءة والكتابة على مساحة عمل Microsoft Sentinel.

  • يجب أن يكون لديك أذونات قراءة للمفاتيح المشتركة لمساحة العمل. تعرف على المزيد حول مفاتيح مساحة العمل.

  • يجب أن يكون لديك أذونات قراءة وكتابة على Azure Functions لإنشاء تطبيق دالة. تعرف على المزيد حول وظائف Azure.

  • ستحتاج أيضا إلى بيانات اعتماد للوصول إلى واجهة برمجة تطبيقات المنتج - إما اسم مستخدم وكلمة مرور أو رمز مميز أو مفتاح أو مجموعة أخرى. قد تحتاج أيضا إلى معلومات واجهة برمجة تطبيقات أخرى مثل عنوان URI لنقطة النهاية.

    لمزيد من المعلومات، راجع الوثائق الخاصة بالخدمة التي تتصل بها والقسم الخاص بالخدمة في الصفحة المرجعية لموصلات بيانات Microsoft Sentinel .

تكوين مصدر البيانات وتوصيله

ملاحظة

  • يمكنك تخزين مساحة العمل ومفاتيح تخويل واجهة برمجة التطبيقات أو الرموز المميزة بأمان في Azure Key Vault. يوفر Azure Key Vault آلية آمنة لتخزين القيم الرئيسية واستردادها. اتبع هذه الإرشادات لاستخدام Azure Key Vault مع تطبيق Azure Function.

  • تعتمد بعض موصلات البيانات على محلل استنادا إلى دالة Kusto للعمل كما هو متوقع. راجع القسم الخاص بخدمتك في الصفحة المرجعية لموصلات بيانات Microsoft Sentinel للحصول على ارتباطات إلى إرشادات لإنشاء وظيفة Kusto والاسم المستعار.

الخطوة 1 - الحصول على بيانات اعتماد واجهة برمجة التطبيقات للنظام المصدر

اتبع تعليمات النظام المصدر للحصول على بيانات اعتماد واجهة برمجة التطبيقات / مفاتيح التفويض / الرموز المميزة. انسخها والصقها في ملف نصي لوقت لاحق.

يمكنك العثور على تفاصيل حول بيانات الاعتماد الدقيقة التي ستحتاج إليها، والارتباطات إلى إرشادات المنتج للعثور عليها أو إنشائها، على صفحة موصل البيانات في البوابة الإلكترونية وفي القسم الخاص بخدمتك في الصفحة المرجعية لموصلات بيانات Microsoft Sentinel .

قد تحتاج أيضا إلى تكوين التسجيل أو الإعدادات الأخرى على النظام المصدر الخاص بك. ستجد التعليمات ذات الصلة جنبا إلى جنب مع تلك الواردة في الفقرة السابقة.

الخطوة 2 - نشر الموصل وتطبيق وظيفة Azure المرتبط

اختيار خيار توزيع

توفر هذه الطريقة نشرا تلقائيا للموصل المستند إلى وظيفة Azure باستخدام قالب ARM.

  1. في مدخل Microsoft Sentinel، حدد موصلات البيانات. حدد الموصل المستند إلى وظائف Azure من القائمة، ثم افتح صفحة الموصل.

  2. ضمن التكوين، انسخمعرف مساحة عمل Microsoft Sentinel والمفتاح الأساسي والصقهما جانبا.

  3. حدد Deploy to Azure. (قد تضطر إلى التمرير لأسفل للعثور على الزر.)

  4. ستظهر شاشة النشر المخصص .

    • حدد اشتراكاومجموعة مواردومنطقة لنشر تطبيق الوظائف فيها.

    • أدخل بيانات اعتماد واجهة برمجة التطبيقات / مفاتيح التفويض / الرموز المميزة التي قمت بحفظها في الخطوة 1 أعلاه.

    • أدخل معرف Microsoft Sentinel Workspaceومفتاح مساحة العمل (المفتاح الأساسي) اللذين قمت بنسخهما ووضعهما جانبا.

      ملاحظة

      في حالة استخدام أسرار Azure Key Vault لأي من القيم المذكورة أعلاه، استخدم @Microsoft.KeyVault(SecretUri={Security Identifier}) المخطط بدلا من قيم السلسلة. راجع وثائق مراجع Key Vault لمزيد من التفاصيل.

    • أكمل أي حقول أخرى في النموذج على شاشة النشر المخصص . راجع صفحة موصل البيانات في البوابة الإلكترونية أو القسم الخاص بخدمتك في الصفحة المرجعية لموصلات بيانات Microsoft Sentinel .

    • حدد ⁧⁩مراجعة + إنشاء⁧⁩. عند اكتمال التحقق من الصحة، حدد إنشاء.

العثور على بياناتك

بعد إنشاء اتصال ناجح، تظهر البيانات في السجلات ضمن CustomLogs، في الجداول المدرجة في القسم الخاص بخدمتك في الصفحة المرجعية لموصلات بيانات Microsoft Sentinel .

للاستعلام عن البيانات، أدخل أحد أسماء الجداول هذه - أو الاسم المستعار لدالة Kusto ذات الصلة - في نافذة الاستعلام.

راجع علامة التبويب الخطوات التالية في صفحة الموصل للحصول على بعض الاستعلامات النموذجية المفيدة.

التحقق من صحة الاتصال

قد يستغرق الأمر ما يصل إلى 20 دقيقة حتى تبدأ سجلاتك في الظهور في Log Analytics.

الخطوات التالية

في هذا المستند، تعلمت كيفية توصيل Microsoft Sentinel بمصدر البيانات باستخدام الموصلات المستندة إلى وظائف Azure. لمعرفة المزيد حول Microsoft Sentinel، راجع المقالات التالية: