Konektor Proofpoint On Demand Email Security (pomocí Azure Functions) pro Microsoft Sentinel
Konektor Proofpoint On Demand Email Security poskytuje možnost získat data Proofpoint on Demand Email Protection, umožňuje uživatelům kontrolovat sledovatelnost zpráv, monitorovat e-mailové aktivity, hrozby a exfiltraci dat útočníky a škodlivými účastníky programu. Konektor poskytuje možnost kontrolovat události ve vaší organizaci na akcelerovaném základě, získávat soubory protokolu událostí v hodinových přírůstcích po nedávných aktivitách.
Jedná se o automaticky vygenerovaný obsah. Pokud potřebujete změny, obraťte se na poskytovatele řešení.
atributy Připojení oru
| atribut Připojení or | Popis |
|---|---|
| Kód aplikace funkcí Azure | https://aka.ms/sentinel-proofpointpod-functionapp |
| Alias funkce Kusto | ProofpointPOD |
| Adresa URL funkce Kusto | https://aka.ms/sentinel-proofpointpod-parser |
| Tabulky Log Analytics | ProofpointPOD_message_CL ProofpointPOD_maillog_CL |
| Podpora pravidel shromažďování dat | V současnosti není podporováno |
| Podporováno | Microsoft Corporation |
Ukázky dotazů
Poslední zpráva ProofpointPOD – Události
ProofpointPOD
| where EventType == 'message'
| sort by TimeGenerated desc
Poslední události maillogu ProofpointPOD
ProofpointPOD
| where EventType == 'maillog'
| sort by TimeGenerated desc
Požadavky
Pokud chcete provést integraci se zabezpečením e-mailu Proofpoint On Demand (pomocí Azure Functions), ujistěte se, že máte:
- Oprávnění Microsoft.Web/sites: Vyžaduje se oprávnění ke čtení a zápisu do Azure Functions k vytvoření aplikace funkcí. Další informace o službě Azure Functions najdete v dokumentaci.
- Přihlašovací údaje nebo oprávnění rozhraní API protokolu Websocket: ProofpointClusterID, Je vyžadován proofpointToken . Další informace o rozhraní API najdete v dokumentaci.
Pokyny k instalaci dodavatele
Poznámka:
Tento konektor používá Azure Functions k připojení k rozhraní API Proofpoint Websocket k načtení protokolů do Služby Microsoft Sentinel. To může vést k dalším nákladům na příjem dat. Podrobnosti najdete na stránce s cenami služby Azure Functions.
(Volitelný krok) Bezpečně ukládejte pracovní prostor a autorizační klíče rozhraní API nebo tokeny ve službě Azure Key Vault. Azure Key Vault poskytuje zabezpečený mechanismus pro ukládání a načítání hodnot klíčů. Postupujte podle těchto pokynů k používání služby Azure Key Vault s aplikací funkcí Azure.
Tento datový konektor závisí na analyzátoru založeném na funkci Kusto, která funguje podle očekávání. Pomocí těchto kroků vytvořte alias funkcí Kusto, ProofpointPOD.
KROK 1 : Kroky konfigurace pro rozhraní API Proofpoint Websocket
- Služba rozhraní API proofpoint Websocket vyžaduje vzdálenou licenci předávání Syslog. Informace o povolení a kontrole rozhraní POD Log API najdete v dokumentaci .
- Musíte zadat ID clusteru a token zabezpečení.
KROK 2: V následujících dvou možnostech nasazení vyberte jednu z následujících dvou možností nasazení pro nasazení konektoru a přidružené funkce Azure Functions.
DŮLEŽITÉ: Před nasazením datového konektoru Zabezpečení e-mailu na vyžádání musí mít ID pracovního prostoru a primární klíč pracovního prostoru (lze zkopírovat z následujícího kódu) a také přihlašovací údaje rozhraní API protokolu POD proofpointu, které jsou snadno dostupné.
Možnost 1 – Šablona Azure Resource Manageru (ARM)
Tuto metodu použijte pro automatizované nasazení datového konektoru Proofpoint On Demand Email Security pomocí tempate ARM.
Klikněte níže na tlačítko Nasadit do Azure .
Vyberte upřednostňované předplatné, skupinu prostředků a umístění.
Zadejte ID pracovního prostoru, klíč pracovního prostoru, ProofpointClusterID, ProofpointToken a nasazení.
Zaškrtněte políčko označené jako Souhlasím s podmínkami a ujednáními uvedenými výše.
Kliknutím na Koupit nasadíte.
Možnost 2 – Ruční nasazení služby Azure Functions
Pomocí následujících podrobných pokynů nasaďte datový konektor Proofpoint On Demand Email Security pomocí služby Azure Functions ručně (nasazení přes Visual Studio Code).
1. Nasazení aplikace funkcí
POZNÁMKA:Budete muset připravit VS Code pro vývoj funkcí Azure.
Stáhněte si soubor aplikace funkcí Azure. Extrahujte archiv do místního vývojového počítače.
Spusťte VS Code. V hlavní nabídce zvolte Soubor a vyberte Otevřít složku.
Vyberte složku nejvyšší úrovně z extrahovaných souborů.
Na panelu aktivit zvolte ikonu Azure a pak v oblasti Azure: Functions zvolte tlačítko Nasadit do aplikace funkcí. Pokud ještě nejste přihlášení, zvolte ikonu Azure na panelu aktivit a pak v oblasti Azure: Functions zvolte Přihlásit se k Azure , pokud už jste přihlášení, přejděte k dalšímu kroku.
Podle pokynů na obrazovce zadejte tyto informace:
a. Vyberte složku: Zvolte složku z pracovního prostoru nebo přejděte do složky, která obsahuje vaši aplikaci funkcí.
b. Vyberte Předplatné: Zvolte předplatné, které chcete použít.
c. Vyberte Vytvořit novou aplikaci funkcí v Azure (nevybírejte možnost Upřesnit).
d. Zadejte globálně jedinečný název aplikace funkcí: Zadejte název, který je platný v cestě URL. Název, který zadáte, se ověří, aby se zajistilo, že je jedinečný ve službě Azure Functions. (např. ProofpointXXXXX).
e. Vyberte modul runtime: Zvolte Python 3.8.
f. Vyberte umístění pro nové prostředky. Pokud chcete dosáhnout lepšího výkonu a nižších nákladů, zvolte stejnou oblast , ve které se nachází Microsoft Sentinel.
Zahájí se nasazení. Po vytvoření aplikace funkcí a použití balíčku nasazení se zobrazí oznámení.
Přejděte na Web Azure Portal pro konfiguraci aplikace funkcí.
2. Konfigurace aplikace funkcí
- V aplikaci funkcí vyberte název aplikace funkcí a vyberte Konfigurace.
- Na kartě Nastavení aplikace vyberte + Nové nastavení aplikace.
- Přidejte jednotlivá nastavení aplikace s příslušnými řetězcovými hodnotami (rozlišují se malá a velká písmena): ProofpointClusterID ProofpointToken WorkspaceID WorkspaceKey logAnalyticsUri (volitelné)
- K přepsání koncového bodu rozhraní API log Analytics pro vyhrazený cloud použijte logAnalyticsUri. Například pro veřejný cloud ponechte hodnotu prázdnou; Pro cloudové prostředí Azure GovUS zadejte hodnotu v následujícím formátu:
https://<CustomerId>.ods.opinsights.azure.us.
- Po zadání všech nastavení aplikace klikněte na Uložit.
Další kroky
Další informace najdete v souvisejícím řešení na Azure Marketplace.