Conector Infoblox Cloud Data para Microsoft Sentinel
O conector Infoblox Cloud Data permite que você conecte facilmente seus dados BloxOne do Infoblox ao Microsoft Sentinel. Ao conectar seus logs ao Microsoft Sentinel, você pode aproveitar a correlação, o alerta e o enriquecimento de inteligência de ameaças para cada log.
Atributos do conector
| Atributo do conector | Description |
|---|---|
| Tabela(s) do Log Analytics | CommonSecurityLog (InfobloxCDC) |
| Suporte às regras de coleta de dados | DCR de transformação do espaço de trabalho |
| Com suporte por | InfoBlox |
Exemplos de consulta
Retornar todos os logs de eventos de segurança de TD (defesa contra ameaças) do BloxOne
InfobloxCDC
| where DeviceEventClassID has_cs "RPZ"
Retornar todos os logs de consulta/resposta do BloxOne
InfobloxCDC
| where DeviceEventClassID has_cs "DNS"
Retornar todos os logs de eventos de segurança dos Filtros de categoria
InfobloxCDC
| where DeviceEventClassID has_cs "RPZ"
| where AdditionalExtensions has_cs "InfobloxRPZ=CAT_"
Retornar todos os logs de eventos de segurança dos Filtros de aplicativo
InfobloxCDC
| where DeviceEventClassID has_cs "RPZ"
| where AdditionalExtensions has_cs "InfobloxRPZ=APP_"
Retornar a contagem de ocorrências dos dez principais domínios de TD
InfobloxCDC
| where DeviceEventClassID has_cs "RPZ"
| summarize count() by DestinationDnsDomain
| top 10 by count_ desc
Retornar a contagem das dez principais ocorrências de IPs de origem de TD
InfobloxCDC
| where DeviceEventClassID has_cs "RPZ"
| summarize count() by SourceIP
| top 10 by count_ desc
Retornar concessões DHCP criadas recentemente
InfobloxCDC
| where DeviceEventClassID == "DHCP-LEASE-CREATE"
Instruções de instalação do fornecedor
Importante
Esse conector de dados depende de um analisador baseado em uma Função do Kusto para funcionar conforme o esperado, o InfobloxCDC, que é implantado com a solução.
Importante
Esse conector de dados do Microsoft Sentinel pressupõe que um host do conector Infoblox Cloud Data já foi criado e configurado no Portal de Serviços de Nuvem (CSP) do Infoblox. Como o Conector Infoblox Cloud Data é um recurso da Defesa contra Ameaças BloxOne, é necessário acesso a uma assinatura apropriada da Defesa contra Ameaças BloxOne. Confira este guia de início rápido para obter mais informações e requisitos de licenciamento.
- Configuração do agente de Syslog do Linux
Instale e configure o agente do Linux para coletar suas mensagens do Syslog no Formato Comum de Evento (CEF) e encaminhá-las para o Microsoft Sentinel.
Observe que os dados de todas as regiões serão armazenados no espaço de trabalho selecionado
1.1 Selecionar ou criar um computador Linux
Selecione ou crie um computador Linux que o Microsoft Sentinel usará como proxy entre a sua solução de segurança e o Microsoft Sentinel. Esse computador pode estar no seu ambiente local, no Microsoft Sentinel ou em outras nuvens.
1.2 Instalar o coletor CEF no computador Linux
Instale o Microsoft Monitoring Agent no seu computador Linux e configure o computador para escutar na porta necessária e encaminhar mensagens para o espaço de trabalho do Microsoft Sentinel. O coletor CEF coleta mensagens CEF na porta 514 TCP.
- Certifique-se de que você tem o Python no seu computador usando o seguinte comando: python -version.
- Você deve ter permissões elevadas (sudo) no computador.
Execute o seguinte comando para instalar e aplicar o coletor CEF:
sudo wget -O cef_installer.py https://raw.githubusercontent.com/Azure/Azure-Sentinel/master/DataConnectors/CEF/cef_installer.py&&sudo python cef_installer.py {0} {1}
- Configurar o BloxOne do Infoblox a fim de enviar dados do Syslog para o conector Infoblox Cloud Data e este encaminhar para o agente do Syslog
Siga as etapas abaixo para configurar o Infoblox CDC para enviar dados do BloxOne para o Microsoft Sentinel por meio do agente do Syslog do Linux.
Navegue até Gerenciar > Conector de dados.
Clique na guia Configuração de destino na parte superior.
Clique em Criar > Syslog.
- Nome: dê ao novo destino um nome significativo, como Microsoft-Sentinel-Destination.
- Descrição: opcionalmente, dê a ele uma descrição significativa.
- Estado: defina o estado como Habilitado.
- Formato: defina o formato como CEF.
- FQDN/IP: insira o endereço IP do dispositivo Linux no qual o agente Linux está instalado.
- Porta: deixe o número da porta em 514.
- Protocolo: selecione o protocolo desejado e o certificado AC, se aplicável.
- Clique em Salvar e Fechar.
Clique na guia Configuração do fluxo de tráfego na parte superior.
Clique em Criar.
- Nome: dê ao novo Fluxo de tráfego um nome significativo, como Microsoft-Sentinel-Flow.
- Descrição: opcionalmente, dê a ele uma descrição significativa.
- Estado: defina o estado como Habilitado.
- Expanda a seção Host habilitado para CDC.
- Host local: selecione o host local desejado para o qual o serviço do conector de cados está habilitado.
- Expanda a seção Configuração de origem.
- Fonte: selecione BloxOne Cloud Source.
- Selecione todos os tipos de log que você deseja coletar. Os tipos de log atualmente suportados são:
- Log de consulta/resposta de defesa contra ameaças
- Log de ocorrências de feeds de ameaças da defesa contra ameaças
- Log de consulta/resposta DDI
- Log de concessão DHCP DDI
- Expanda a seção Configuração de destino.
- Selecione o Destino você acabou de criar.
- Clique em Salvar e Fechar.
Permita que a configuração seja ativada por algum tempo.
Validar conexão
Siga as instruções para validar sua conectividade:
Abra o Log Analytics para verificar se os logs são recebidos usando o esquema CommonSecurityLog.
Pode levar cerca de 20 minutos até que a conexão transmita dados para o seu espaço de trabalho.
Se os logs não forem recebidos, execute o seguinte script de validação de conectividade:
- Certifique-se de que você tem o Python instalado no seu computador usando o seguinte comando: python -version
- Você precisa ter permissões elevadas (sudo) no seu computador
Execute o seguinte comando para validar a sua conectividade:
sudo wget -O cef_troubleshoot.py https://raw.githubusercontent.com/Azure/Azure-Sentinel/master/DataConnectors/CEF/cef_troubleshoot.py&&sudo python cef_troubleshoot.py {0}
- Proteja seu computador
Certifique-se de configurar a segurança do computador de acordo com a política de segurança da sua organização
Próximas etapas
Para obter mais informações, acesse a solução relacionada no Azure Marketplace.