Konektor AI Vectra Stream pro Microsoft Sentinel

  • Článek

Konektor AI Vectra Stream umožňuje odesílat metadata sítě shromážděná senzory Vectra přes síť a cloud do Microsoft Sentinelu.

Jedná se o automaticky vygenerovaný obsah. Pokud potřebujete změny, obraťte se na poskytovatele řešení.

atributy Připojení oru

atribut Připojení or Popis
Tabulky Log Analytics VectraStream_CL
Podpora pravidel shromažďování dat V současnosti není podporováno
Podporováno Vectra AI

Ukázky dotazů

Výpis všech dotazů DNS

VectraStream 

| where metadata_type == "metadat_dns" 

| project orig_hostname, id_orig_h, resp_hostname, id_resp_h, id_resp_p, qtype_name, ['query'], answers

Počet požadavků DNS na typ

VectraStream 

| where metadata_type == "metadat_dns" 

| summarize count() by type_name

Prvních 10 dotazů na neexistující doménu

VectraStream 

| where metadata_type == "metadat_dns" 

| where rcode_name == "NXDomain"

| summarize Count=count() by tostring(query)

| order by Count desc

| limit 10

Hostování a weby používající nefekční výměnu klíčů Diffie-Hellman

VectraStream 

| where metadata_type == "metadat_dns" 

| where cipher contains "TLS_RSA"

| distinct orig_hostname, id_orig_h, id_resp_h, server_name, cipher

| project orig_hostname, id_orig_h, id_resp_h, server_name, cipher

Požadavky

Pokud chcete integrovat S AI Vectra Stream, ujistěte se, že máte:

  • Vectra AI Brain: Musí být nakonfigurované pro export metadat streamu ve formátu JSON.

Pokyny k instalaci dodavatele

Poznámka:

Tento datový konektor závisí na analyzátoru založeném na funkci Kusto, která funguje podle očekávání vectraStream , která se nasazuje s řešením Microsoft Sentinel.

  1. Instalace a onboarding agenta pro Linux

Nainstalujte agenta Linuxu do instance Sperate Linuxu.

Protokoly se shromažďují jenom z linuxových agentů.

  1. Konfigurace protokolů, které se mají shromažďovat

Pomocí následujících kroků konfigurace získejte metadata vectra Streamu do Služby Microsoft Sentinel. Agent Log Analytics se využívá k odesílání vlastního KÓDU JSON do služby Azure Monitor a umožňuje ukládání metadat do vlastní tabulky. Další informace najdete v dokumentaci ke službě Azure Monitor.

  1. Stáhněte konfigurační soubor pro agenta Log Analytics: VectraStream.conf (umístěný ve složce Připojení or v rámci řešení Vectra: https://aka.ms/sentinel-aivectrastream-conf).

  2. Přihlaste se k serveru, na kterém jste nainstalovali agenta Azure Log Analytics.

  3. Zkopírujte Soubor VectraStream.conf do složky /etc/opt/microsoft/omsagent/workspace_id/conf/omsagent.d/.

  4. Upravte Soubor VectraStream.conf následujícím způsobem:

    i. v případě potřeby nakonfigurujte alternativní port pro odesílání dat. Výchozí port je 29009.

    ii. nahraďte workspace_id skutečnou hodnotou ID pracovního prostoru.

  5. Uložte změny a restartujte agenta Azure Log Analytics pro službu Linux pomocí následujícího příkazu: sudo /opt/microsoft/omsagent/bin/service_control restart

  6. Konfigurace a připojení streamu Vectra AI

Nakonfigurujte Vectra AI Brain tak, aby předával metadata streamu ve formátu JSON do pracovního prostoru Služby Microsoft Sentinel prostřednictvím agenta Log Analytics.

V uživatelském rozhraní Vectra přejděte do Nastavení > Cognito Stream a upravte cílovou konfiguraci:

  • Vybrat vydavatele: RAW JSON

  • Nastavte IP adresu serveru nebo název hostitele (což je hostitel, na kterém běží agent Log Analytics).

  • Nastavte veškerý port na 29009 (v případě potřeby je možné tento port upravit).

  • Uložit

  • Nastavení typů protokolů (výběr všech dostupných typů protokolů)

  • Klikněte na Uložit.

Další kroky

Další informace najdete v souvisejícím řešení na Azure Marketplace.