Conector Workplace do Facebook (usando o Azure Functions) para o Microsoft Sentinel

  • Artigo

O conector de dados do Workplace fornece a capacidade de comum ingestão dos eventos do Workplace no Azure Sentinel por meio de Webhooks. Webhooks permitem que aplicativos de integração personalizados assinem eventos no local de trabalho e recebam atualizações em tempo real. Quando ocorre uma alteração no Workplace, uma solicitação de HTTPS POST é enviada com informações de evento para uma URL do conector de dados de chamada. Consulte esta documentação Webhooks para mais informações. O conector fornece a capacidade de obter eventos que ajudam a examinar riscos de segurança em potencial, analisar o uso colaboração pela sua equipe, diagnosticar problemas de configuração e muito mais.

Atributos do conector

Atributo do conector Description
Tabela(s) do Log Analytics Workplace_Facebook_CL
Suporte às regras de coleta de dados Sem suporte no momento
Com suporte por Microsoft Corporation

Exemplos de consulta

Eventos do Workplace – Todas as atividades.

Workplace_Facebook_CL

| sort by TimeGenerated desc

Pré-requisitos

Para se integrar ao Workplace do Facebook (usando o Azure Functions), verifique se você tem:

Instruções de instalação do fornecedor

Observação

Esse conector de dados usa o Azure Functions com base no Gatilho HTTP para aguardar solicitações POST com logs para efetuar pull de seus logs no Microsoft Sentinel. Isso pode resultar em custos adicionais de ingestão de dados. Consulte a página de preços do Azure Functions para obter detalhes.

(Etapa opcional): armazene o espaço de trabalho e as chaves de autorização ou tokens da API com segurança no Azure Key Vault. O Azure Key Vault fornece um mecanismo seguro para armazenar e recuperar valores de chave. Siga estas instruções para usar o Azure Key Vault com um aplicativos do Azure Functions.

Observação

Esse conector de dados depende de um analisador baseado em uma Função Kusto para funcionar conforme o esperado, o que é implantado como parte da solução. Para exibir o código da função no Log Analytics, abra a folha Logs do Log Analytics/Microsoft Sentinel, clique em Funções e pesquise pelo alias WorkplaceFacebook e carregue o código da função ou clique aqui, na segunda linha da consulta, insira os nomes de host de seus dispositivos do Workplace Facebook e quaisquer outros identificadores exclusivos para o fluxo de log. A função geralmente leva de 10 a 15 minutos para ser ativada após a instalação/atualização da solução.

ETAPA 1 – Etapas de configuração do Workplace

Siga as instruções para configurar Webhooks.

  1. Faça logon no Workplace com credenciais de Usuário administrador.
  2. No painel do administrador, selecione Integrações.
  3. Na exibição Todas as integrações, selecione Criar integração personalizada
  4. Digite o nome e a descrição e clique em Criar.
  5. No painel Detalhes da integração, mostre o Aplicativo secreto e copie-o.
  6. No painel Permissões de integração, defina todas as permissões de leitura. Confira a página de permissão para obter detalhes.
  7. Agora proceda com a ETAPA 2 para seguir as etapas (listadas na Opção 1 ou 2) para Implantar a Função do Azure.
  8. Insira os parâmetros solicitados e insira também um Token de escolha. Copie este Token/anote-o para a próxima etapa.
  9. Depois de implantar com êxito o Azure Functions, abra a página Aplicativo de Funções, selecione seu aplicativo, vá para Funções, clique em Obter URL da Função e copie-a/ Observe-a para a próxima etapa.
  10. Volte ao Workplace from Facebook. No painel Configurar webhooks, em cada aba, defina a URL de retorno como o mesmo valor copiado no ponto 9 acima e Verificar token como o mesmo valor copiado no ponto 8 acima, que foi obtido durante a ETAPA 2 da implantação do Azure Functions.
  11. Clique em Save (Salvar).

ETAPA 2 – Escolha UMA das duas opções de implantação a seguir para implantar o conector e a função associada do Azure Functions

IMPORTANTE: antes de implantar o conector de dados do Workspace, tenha a ID e a chave primária do espaço de trabalho (pode ser copiada a partir do seguinte).

Próximas etapas

Para obter mais informações, acesse a solução relacionada no Azure Marketplace.