TheHive Project – TheHive-anslutningsprogrammet (med Azure Functions) för Microsoft Sentinel

  • Artikel

TheHive-dataanslutningsappen ger möjlighet att mata in vanliga TheHive-händelser i Microsoft Sentinel via Webhooks. TheHive kan meddela det externa systemet om ändringshändelser (ärendeskapande, aviseringsuppdatering, uppgiftstilldelning) i realtid. När en ändring inträffar i TheHive skickas en HTTPS POST-begäran med händelseinformation till en url för anslutningsappen för motringningsdata. Mer information finns i Webhooks-dokumentationen. Anslutningsappen ger möjlighet att hämta händelser som hjälper till att undersöka potentiella säkerhetsrisker, analysera ditt teams användning av samarbete, diagnostisera konfigurationsproblem med mera.

Det här är automatiskt genererat innehåll. Om du vill ha ändringar kontaktar du lösningsleverantören.

Anslut ellerattribut

Anslut ellerattribut beskrivning
Log Analytics-tabeller TheHive_CL
Stöd för regler för datainsamling Stöds för närvarande inte
Stöds av Microsoft Corporation

Exempel på frågor

TheHive Events – alla aktiviteter.

TheHive_CL

| sort by TimeGenerated desc

Förutsättningar

Om du vill integrera med TheHive Project – TheHive (med Azure Functions) kontrollerar du att du har:

  • Microsoft.Web/sites-behörigheter: Läs- och skrivbehörighet till Azure Functions för att skapa en funktionsapp krävs. Mer information om Azure Functions finns i dokumentationen.
  • Webhooks-autentiseringsuppgifter/-behörigheter: TheHiveBearerToken, återanrops-URL krävs för att arbeta med webhooks. Mer information om hur du konfigurerar Webhooks finns i dokumentationen.

Installationsanvisningar för leverantör

Kommentar

Den här dataanslutningen använder Azure Functions baserat på HTTP-utlösare för väntande POST-begäranden med loggar för att hämta loggarna till Microsoft Sentinel. Detta kan leda till ytterligare kostnader för datainmatning. Mer information finns på prissättningssidan för Azure Functions.

(Valfritt steg) Lagra arbetsyta och API-auktoriseringsnycklar på ett säkert sätt eller token i Azure Key Vault. Azure Key Vault tillhandahåller en säker mekanism för att lagra och hämta nyckelvärden. Följ de här anvisningarna för att använda Azure Key Vault med en Azure-funktionsapp.

Kommentar

Den här dataanslutningsappen är beroende av en parser baserad på en Kusto-funktion för att fungera som förväntat TheHive som distribueras med Microsoft Sentinel-lösningen.

STEG 1 – Konfigurationssteg för TheHive

Följ anvisningarna för att konfigurera Webhooks.

  1. Autentiseringsmetoden är Beared Auth.
  2. Generera TheHiveBearerToken enligt din lösenordsprincip.
  3. Konfigurera Webhook-meddelanden i filen application.conf , inklusive parametern TheHiveBearerToken .

STEG 2 – Välj ETT av följande två distributionsalternativ för att distribuera anslutningsappen och den associerade Azure-funktionen

VIKTIGT: Innan du distribuerar TheHive-dataanslutningsappen måste du ha arbetsyte-ID:t och primärnyckeln för arbetsytan (kan kopieras från följande).

Nästa steg

Mer information finns i den relaterade lösningen på Azure Marketplace.