Проект TheHive — соединитель TheHive (с помощью Функции Azure) для Microsoft Sentinel
Соединитель данных TheHive предоставляет возможность приема распространенных событий TheHive в Microsoft Sentinel через веб-перехватчики. TheHive может уведомлять внешнюю систему событий изменения (создание регистра, обновление оповещений, назначение задач) в режиме реального времени. При изменении в TheHive запрос HTTPS POST со сведениями о событии отправляется в URL-адрес соединителя данных обратного вызова. Дополнительные сведения см. в документации по веб-перехватчикам. Соединитель предоставляет возможность получать события, которые помогают изучить потенциальные риски безопасности, проанализировать использование совместной работы вашей команды, диагностировать проблемы конфигурации и многое другое.
Это автоматически сформированное содержимое. Для изменений обратитесь к поставщику решений.
атрибуты Подключение or
| Атрибут соединителя | Description |
|---|---|
| Таблицы Log Analytics | TheHive_CL |
| Поддержка правил сбора данных | В настоящий момент не поддерживается |
| Поддерживается | Корпорация Майкрософт |
Примеры запросов
События TheHive — все действия.
TheHive_CL
| sort by TimeGenerated desc
Необходимые компоненты
Чтобы интегрироваться с TheHive Project — TheHive (с помощью Функции Azure), убедитесь, что у вас есть:
- Разрешения Microsoft.Web/sites: требуется разрешение на чтение и запись для Функции Azure для создания приложения-функции. Дополнительные сведения о Функции Azure см. в документации.
- Учетные данные и разрешения веб-перехватчиков: TheHiveBearerToken, URL-адрес обратного вызова необходим для работы веб-перехватчиков. Дополнительные сведения о настройке веб-перехватчиков см. в документации.
Инструкции по установке поставщика
Примечание.
Этот соединитель данных использует Функции Azure на основе триггера HTTP для ожидания запросов POST с журналами для извлечения журналов в Microsoft Sentinel. Это может привести к дополнительным затратам на прием данных. Сведения см. на странице с ценами на функции Azure.
(Необязательный шаг) Безопасное хранение рабочих областей и ключей авторизации API в Azure Key Vault. Azure Key Vault предоставляет безопасный механизм для хранения и извлечения значений ключей. Выполните эти инструкции, чтобы использовать Azure Key Vault с приложением-функцией Azure.
Примечание.
Этот соединитель данных зависит от средства синтаксического анализа на основе функции Kusto для работы, как ожидалось , TheHive , развернутой с помощью решения Microsoft Sentinel.
ШАГ 1. Действия по настройке для TheHive
Следуйте инструкциям по настройке веб-перехватчиков.
- Метод проверки подлинности — нести проверку подлинности.
- Создайте TheHiveBearerToken в соответствии с политикой паролей.
- Настройте уведомления веб-перехватчика в файле application.conf , включая параметр TheHiveBearerToken .
ШАГ 2. Выберите ОДИН из следующих двух вариантов развертывания для развертывания соединителя и связанной функции Azure
ВАЖНО. Перед развертыванием соединителя данных TheHive укажите идентификатор рабочей области и первичный ключ рабочей области (можно скопировать из следующего раздела).
Следующие шаги
Дополнительные сведения см. в связанном решении в Azure Marketplace.