Conector Cisco Umbrella (usando o Azure Functions) para o Microsoft Sentinel
O conector de dados Cisco Umbrella oferece a capacidade de ingerir eventos do Cisco Umbrella armazenados no Amazon S3 dentro do Microsoft Sentinel usando a API REST do Amazon S3. Consulte a documentação de gerenciamento de log do Cisco Umbrella para mais informações.
Atributos do conector
| Atributo do conector | Description |
|---|---|
| Alias de função do Kusto | Cisco_Umbrella |
| URL da função do Kusto | https://aka.ms/sentinel-ciscoumbrella-function |
| Tabela(s) do Log Analytics | Cisco_Umbrella_dns_CL Cisco_Umbrella_proxy_CL Cisco_Umbrella_ip_CL Cisco_Umbrella_cloudfirewall_CL |
| Suporte às regras de coleta de dados | Sem suporte no momento |
| Com suporte por | Microsoft Corporation |
Exemplos de consulta
Todos os logs do Cisco Umbrella
Cisco_Umbrella
| sort by TimeGenerated desc
Logs de DNS do Cisco Umbrella
Cisco_Umbrella
| where EventType == 'dnslogs'
| sort by TimeGenerated desc
Logs de Proxy do Cisco Umbrella
Cisco_Umbrella
| where EventType == 'proxylogs'
| sort by TimeGenerated desc
Logs de IP do Cisco Umbrella
Cisco_Umbrella
| where EventType == 'iplogs'
| sort by TimeGenerated desc
Logs de Firewall de Nuvem do Cisco Umbrella
Cisco_Umbrella
| where EventType == 'cloudfirewalllogs'
| sort by TimeGenerated desc
Pré-requisitos
Para fazer a integração com o Cisco Umbrella (usando o Azure Functions) verifique se você tem:
- Permissões Microsoft.Web/sites : são necessárias permissões de leitura e gravação no Azure Functions para criar um Aplicativo de Funções. Confira a documentação para saber mais sobre o Azure Functions.
- As credenciais/permissões da API REST do Amazon S3: ID da chave de acesso da AWS, chave de acesso secreta da AWS e nome do bucket do AWS S3 são necessários para a API REST do Amazon S3.
Instruções de instalação do fornecedor
Observação
Esse conector usa o Azure Functions para se conectar à API REST do Amazon S3 a fim de efetuar pull dos logs no Microsoft Sentinel. Isso pode resultar em custos adicionais de ingestão de dados. Consulte a página de preços do Azure Functions para obter detalhes.
Observação
Esse conector foi atualizado para dar suporte ao Cisco Umbrella versão 5 e 6.
(Etapa opcional): armazene o espaço de trabalho e as chaves de autorização ou tokens da API com segurança no Azure Key Vault. O Azure Key Vault fornece um mecanismo seguro para armazenar e recuperar valores de chave. Siga estas instruções para usar o Azure Key Vault com um aplicativos do Azure Functions.
Observação
Esse conector usa um analisador baseado em uma função Kusto para normalizar campos. Siga estas etapas para criar o alias da função Kusto do Cisco_Umbrella.
ETAPA 1 – Configuração da coleção de logs do Cisco Umbrella
Confira a documentação e siga as instruções para configurar o registro em log e obter credenciais.
ETAPA 2 – Escolha UMA das duas opções de implantação a seguir para implantar o conector e a função associada do Azure Functions
IMPORTANTE: antes de implantar o conector de dados do Cisco Umbrella, tenha em mãos a ID do espaço de trabalho e a chave primária do espaço de trabalho (podem ser copiadas do seguinte), bem como as credenciais de autorização da API REST S3 da Amazon.
Próximas etapas
Para obter mais informações, acesse a solução relacionada no Azure Marketplace.